Зошто еден OTP не може да покрие Wi-Fi, VPN и регистар

Единствениот влез ветува еден идентитет и помалку барања, но ветувањето се крши на третиот протокол. Стапицата е да се претпостави дека една успешна автентикација создава токен што секој друг протокол може да го претстави. Пристапот до Wi-Fi, влезот во VPN и регистарот на контејнери секој води различен обмен, со различни публики и рокови. Споделувањето сметка е одлука на директориумот; споделувањето акредитиви е одлука на протоколот, а протоколите ретко се согласуваат.

Три обмени, три сопственици

Корпоративниот Wi-Fi извршува EAP метод во 802.1X, обично завршен од RADIUS служба која има свој поглед на корисникот или уредот. VPN портата се автентикува низ својот поддржан тек и потоа држи сесија со свој тајмер за повторна автентикација. Регистарот одговара на неавтентикувано барање со предизвик што именува служба за токени, публика и опсег, а клиентот ги разменува своите акредитиви за краткотраен токен.

Тоа не се три погледи на една сесија. Секој има свој проверувач, свој рок и своја патека за отповикување, затоа промена на лозинка во директориумот може да остави еден да работи, а друг расипан. Третирајте ги како три интеграции што случајно делат кориснички директориум.

Што носи SSO во прелистувачот, а што не

Сесијата во прелистувач кај давател на идентитет е навистина корисна: апликациите што пренасочуваат кон него ја наследуваат најавата што корисникот веќе ја завршил. Тоа работи затоа што тие апликации зборуваат исти протоколи за пренасочување и токени и ја прифаќаат истата публика. Барателот што зборува EAP нема пренасочување да следи, а Docker клиентот што добива предизвик од регистарот не бара OIDC токен за идентитет. Давателот на идентитет може да гарантира само за протоколите за кои е изграден.

Неуспехот лесно се гледа во дневниците кога се знае каде да се погледне. Давателот на идентитет известува за успешна најава додека поврзувањето со Wi-Fi сѐ уште не успева, или регистарот враќа 401 по размена на токен што прелистувачот никогаш не го видел. Два успеси и еден неуспех не се противречност; тоа се три одделни автентикации.

Каде сертификатот заменува повторен код

За управувани уреди, EAP заснован на сертификати го отстранува човечкиот чекор без да го отстрани идентитетот: уредот претставува сертификат, RADIUS службата го проверува кај издавачката власт, а отповикувањето се случува кај таа власт, а не во заедничка тајна. Цената е работа на животниот циклус, бидејќи сертификатите истекуваат и мора да се обноват пред тоа.

Регистрите имаат еквивалентна поделба. Интерактивниот корисник може да се најави еднаш и да дозволи помошник за акредитиви да го зачува добиениот токен, додека автоматизацијата треба да користи тесно ограничени службени акредитиви или идентитет на работно оптоварување. Ниту едно не треба да биде еднократен код на човек копиран во конвејер. Помошникот чува токен за одредена публика на регистарот, па не може да се пренасочи кон VPN портата со уредување на конфигурациска датотека.

docker login registry.example.com

Споредете ги трошоците за одржување, не бројот на барања

Споделените акредитиви изгледаат ефтино затоа што работата е невидлива сѐ додека не пропадне. Наместо тоа, избројте што чини секоја опција во текот на годината: регистрација, обновување, отповикување, радиусот на влијание од истекување и бројот на системи допрени кога некој заминува. Флотата сертификати чини повеќе за градење и помалку за работа во размер; копираниот код не чини ништо за почеток и сѐ за одмотање.

Потоа изберете по сегмент, а не глобално. Wi-Fi може да премине на сертификати, VPN може да го задржи поддржаниот SSO со MFA, а регистарот може да користи токени со експлицитни опсези. Забележете го сопственикот, публиката, опсегот, истекот и патеката за отповикување за секој, и барањата ќе паднат каде што треба наместо насекаде одеднаш. Тој запис е и одговорот кога ревизор прашува кои системи сѐ уште веруваат на лозинка.