Mac-ൽ Kerberos SSO യും VPN ഉം: രണ്ട് സൈൻ-ഇൻ പാതകൾ താരതമ്യം ചെയ്യുക

രണ്ട് സംവിധാനങ്ങൾ Mac-ൽ ഒരേ സൗഹൃദ ഫലം നൽകുന്നു, പക്ഷേ ഉള്ളിൽ തികച്ചും വ്യത്യസ്തമായി പെരുമാറുന്നു. ഒന്ന് SSO എക്സ്റ്റെൻഷനിലൂടെ Kerberos ടിക്കറ്റുകൾ നേടി പങ്കെടുക്കുന്ന അപ്ലിക്കേഷനുകൾക്ക് നൽകുന്നു. മറ്റൊന്ന് ഐഡന്റിറ്റി പ്രൊവൈഡറുമായി ബ്രൗസർ സെഷൻ സൂക്ഷിച്ച് വെബ് അപ്ലിക്കേഷനുകൾ അത് അംഗീകരിക്കാൻ അനുവദിക്കുന്നു. അവയ്ക്ക് നെറ്റ്വർക്കിൽ എന്ത് വേണം, അവയുടെ ക്രെഡൻഷ്യലുകൾ എത്ര കാലം നിലനിൽക്കും, ടണൽ വീഴുന്ന നിമിഷത്തിൽ എന്ത് സംഭവിക്കും എന്നിവയിൽ വ്യത്യാസപ്പെടുന്നു.

രണ്ട് സംവിധാനങ്ങൾ, ഒരു സൈൻ-ഇൻ സ്ക്രീൻ

ടിക്കറ്റ് അധിഷ്ഠിത പാത Kerberos ഡൊമെയ്ൻ, കീ വിതരണ കേന്ദ്രം, അതുമായി യോജിക്കുന്ന ഘടികാരം എന്നിവയെ ആശ്രയിക്കുന്നു. ബ്രൗസർ പാത എത്തിച്ചേരാവുന്ന ഐഡന്റിറ്റി പ്രൊവൈഡർ, കുക്കി അല്ലെങ്കിൽ ടോക്കൺ, ആ ഇഷ്യൂവറെ വിശ്വസിക്കുന്ന അപ്ലിക്കേഷൻ എന്നിവയെ ആശ്രയിക്കുന്നു. രണ്ടും സൈൻ-ഇന്നിൽ ആരംഭിക്കാൻ ക്രമീകരിക്കാം, അതുകൊണ്ടാണ് അവയെ ഒരേ സവിശേഷതയായി തെറ്റിദ്ധരിക്കുന്നത്. ഏതാണ് സ്വീകരിക്കേണ്ടതെന്ന് അപ്ലിക്കേഷനുകൾ തീരുമാനിക്കുന്നു, Mac രണ്ടും ഒരേ സമയം നിയമാനുസൃതമായി പ്രവർത്തിപ്പിക്കാം.

ഉപയോക്താവ് അപ്ലിക്കേഷൻ തുറക്കുമ്പോൾ അത് എന്താണ് പരിശോധിക്കുന്നതെന്ന് ചോദിച്ച് അവയെ താരതമ്യം ചെയ്യുക. Kerberos ഡൊമെയ്നിൽ ചേർന്ന ഫയൽ സേവനത്തിന് സേവന ടിക്കറ്റ് വേണം, എത്ര ബ്രൗസർ സെഷൻ ഉണ്ടായാലും അതിനെ തൃപ്തിപ്പെടുത്തില്ല. ആധുനിക ഐഡന്റിറ്റി പ്രൊവൈഡറിന് പിന്നിലുള്ള വെബ് അപ്ലിക്കേഷന് ആ പ്രൊവൈഡറുടെ ടോക്കൺ വേണം, Kerberos ടിക്കറ്റ് പൂർണ്ണമായി അവഗണിക്കുന്നു. ഏത് പരിശോധനയാണ് നടക്കുന്നതെന്ന് അറിഞ്ഞാൽ വിന്യാസ ചോദ്യങ്ങൾ പൊതുവായതിൽ നിന്ന് നിർദ്ദിഷ്ടമാകുന്നു.

Kerberos എക്സ്റ്റെൻഷന് നെറ്റ്വർക്കിൽ എന്ത് വേണം

Apple-ന്റെ Kerberos SSO എക്സ്റ്റെൻഷൻ ഗൈഡ് സജീവ ടിക്കറ്റ് സമാഹരണത്തോടെയുള്ള തദ്ദേശീയ Active Directory പ്രാമാണീകരണം വിവരിക്കുന്നു, അത് ഡൊമെയ്ൻ ബൈൻഡിംഗിന് പകരം പ്രാദേശിക അക്കൗണ്ടുകളുമായി ജോടിയാക്കുന്നു. അത് ചെയ്യാൻ കഴിയാത്തത് ഡൊമെയ്ൻ കൺട്രോളറുകളിലേക്കുള്ള ഒരു പാത കണ്ടുപിടിക്കുകയാണ്. Mac-ന് Kerberos സേവന റെക്കോർഡുകൾക്ക് ഉത്തരം നൽകുന്ന റിസോൾവറും അനുവദിച്ച ടണലിലൂടെ അവയിലേക്ക് എത്തുന്ന റൂട്ടും വേണം. വൃത്തിയായി ഇൻസ്റ്റാൾ ചെയ്യുന്ന പ്രൊഫൈൽ ക്ലയന്റിൽ നിന്ന് ഡൊമെയ്ൻ യഥാർത്ഥത്തിൽ കണ്ടെത്താൻ കഴിയുന്നതുവരെ ഒന്നും തെളിയിക്കുന്നില്ല.

ക്രെഡൻഷ്യലുകൾ പരിശോധിക്കുന്നതിന് മുമ്പ് കണ്ടെത്തൽ പരിശോധിക്കുക: Kerberos ഡൊമെയ്നിന്റെ SRV റെക്കോർഡുകൾ പരിഹരിക്കപ്പെടണം, അവ തിരികെ നൽകുന്ന വിലാസങ്ങൾ VPN വന്നതിന് ശേഷം എത്തിച്ചേരാവുന്നതായിരിക്കണം. സമയവും എത്തിച്ചേരാനുള്ള കഴിവിനൊപ്പം പ്രധാനമാണ്, കാരണം സഹിഷ്ണുതയ്ക്കപ്പുറം നീങ്ങിയ ഘടികാരത്തിൽ നിന്നുള്ള അഭ്യർത്ഥനകൾ Kerberos നിരസിക്കുന്നു, ഉണ്ടാകുന്ന പിശക് പ്രാമാണീകരണ പരാജയമായി തോന്നുന്നു. ടണൽ താഴെയിരിക്കുമ്പോൾ സമയ സ്രോതസ്സിലേക്ക് എത്താത്ത Mac അത് തിരികെ വരുന്ന നിമിഷം വീണ്ടും പരാജയപ്പെടും. ഘടികാര സ്രോതസ്സ് സംഭവ പ്രതികരണമായല്ല, വിന്യാസത്തിന്റെ ഭാഗമായി ശരിയാക്കുക.

klist
sudo sntp -sS time.apple.com

ഓരോ അപ്ലിക്കേഷനുമുള്ള VPN എക്സ്റ്റെൻഷന് പ്രവർത്തിക്കാൻ കഴിയുമോ എന്ന് തീരുമാനിക്കുന്നു

പൂർണ്ണ ടണൽ എല്ലാം റൂട്ട് ചെയ്ത് ഈ പ്രശ്നം മറയ്ക്കുന്നു. ഓരോ അപ്ലിക്കേഷനുമുള്ള കോൺഫിഗറേഷൻ VPN പ്രൊഫൈലിൽ പേരിട്ട അപ്ലിക്കേഷനുകളെ മാത്രം റൂട്ട് ചെയ്യുന്നു, SSO എക്സ്റ്റെൻഷൻ തന്നെ ടിക്കറ്റുകൾ കൊണ്ടുവരാൻ നെറ്റ്വർക്ക് വേണ്ടുന്ന പ്രക്രിയയാണ്. അത് മാപ്പിംഗിൽ ഇല്ലെങ്കിൽ പ്രാദേശിക സൈൻ-ഇൻ വിജയിക്കും, ബ്രൗസറിനായി ടണൽ ഉയരും, ടിക്കറ്റ് സമാഹരണം ഇപ്പോഴും പരാജയപ്പെടും.

VPN കോൺഫിഗറേഷൻ വായിച്ച് അത് ഉൾക്കൊള്ളേണ്ട ഓരോ അപ്ലിക്കേഷനും പട്ടികപ്പെടുത്തുക, തുടർന്ന് ബണ്ടിൽ ഐഡന്റിഫയർ ഊഹിക്കുന്നതിന് പകരം രേഖപ്പെടുത്തിയ മാപ്പിംഗ് സംവിധാനത്തിലൂടെ SSO ഘടകം ചേർക്കുക. കാണുന്ന ക്ലയന്റ് മാപ്പ് ചെയ്യുകയും അതിന് പിന്നിലെ ഘടകം ചെയ്യാതിരിക്കുകയും ചെയ്യുന്നത് ഈ പിശകിന്റെ ക്ലാസിക് രൂപമാണ്. എക്സ്റ്റെൻഷനുള്ള അതേ നിയന്ത്രിത പ്രൊഫൈലിൽ മാപ്പിംഗ് സൂക്ഷിക്കുക, ഒന്നിലെ മാറ്റം മറ്റൊന്നിനെ നിശബ്ദമായി അസാധുവാക്കാതിരിക്കാൻ. ആ Mac-ൽ ഒരിക്കലും സൈൻ ഇൻ ചെയ്യാത്ത ഉപയോക്താവിനൊപ്പം പരിശോധിക്കുക, കാരണം കാഷെ ചെയ്ത ടിക്കറ്റ് തകർന്ന പാതയെ ആരോഗ്യകരമായി കാണിക്കാം, തുടർന്ന് പാസ്വേഡ് മാറ്റിയ ശേഷം വീണ്ടും പരിശോധിക്കുക.

ബ്രൗസർ ഐഡന്റിറ്റി സെഷൻ മറ്റൊരു കരാർ

ബ്രൗസർ സെഷന് Kerberos ഡൊമെയ്നോ സേവന ടിക്കറ്റോ Kerberos അർത്ഥത്തിൽ ഘടികാര സഹിഷ്ണുതയോ ഇല്ല. അതിന് ഇഷ്യൂവർ, ടോക്കൺ ആയുസ്സ്, പുതുക്കൽ പാത എന്നിവയുണ്ട്, അതിന്റെ പരാജയ രീതികൾ ഒരിക്കലും പൂർത്തിയാകാത്ത റീഡയറക്ടുകളും സ്വകാര്യ ജാലകം വലിച്ചെറിയുന്ന കുക്കികളുമാണ്. ടിക്കറ്റ് പാതയുടെ പകരമായി അതിനെ കാണുന്നത് അപ്ലിക്കേഷൻ തന്നെ ആ ഇഷ്യൂവറെ സ്വീകരിക്കുന്നിടത്ത് മാത്രം സുരക്ഷിതമാണ്. VPN പോർട്ടലിൽ നിന്നുള്ള പ്രാമാണീകരണ പ്രതികരണം ബന്ധമില്ലാത്ത സേവനത്തിലേക്ക് പകർത്തുന്നത് സംയോജനമല്ല, ചെറുപാത എത്ര സൗകര്യപ്രദമായി തോന്നിയാലും.

രണ്ട് സംവിധാനങ്ങളും വിന്യസിച്ചാൽ, ഏത് അപ്ലിക്കേഷനുകൾ ഏതാണ് ഉപയോഗിക്കുന്നതെന്ന് രേഖപ്പെടുത്തുക, കാരണം പിന്തുണാ സംഭാഷണം അതിനെ ആശ്രയിച്ചിരിക്കുന്നു. സൈൻ ഇൻ ചെയ്തിട്ടുണ്ടെന്ന് പറയുന്നുവെങ്കിലും ഫയൽ പങ്കിടൽ തുറക്കാൻ കഴിയില്ലെന്ന് പറയുന്ന ഉപയോക്താവ് രണ്ട് സംവിധാനങ്ങളെ വിവരിക്കുന്നു, ഉത്തരം ടിക്കറ്റ് പാത ഒരിക്കലും പ്രവർത്തിച്ചില്ല എന്നതാണ്. പങ്കിടൽ തുറക്കാൻ കഴിയുമെന്നും ഇൻട്രാനെറ്റ് പോർട്ടൽ അല്ലെന്നും പറയുന്ന ഉപയോക്താവ് അതിന്റെ വിപരീതം വിവരിക്കുന്നു, ടിക്കറ്റിൽ സംവിധാനത്തിന്റെ പേര് എഴുതുന്നത് ഒരു ചോദ്യവട്ടം ലാഭിക്കുന്നു.

ക്രമം പിന്തുടരുക, ഭാഗങ്ങളല്ല

സാധാരണ രജിസ്റ്റർ ചെയ്ത അക്കൗണ്ടുമായി മുഴുവൻ ശൃംഖലയും പിന്തുടരുക: പ്രാദേശിക സൈൻ-ഇൻ, ടണൽ, ടിക്കറ്റ് സമാഹരണം, തുടർന്ന് ഒരു സേവനത്തിനെതിരെ ഒരു യഥാർത്ഥ പ്രവർത്തനം. ടണൽ വീണ്ടും ബന്ധിപ്പിച്ചതിന് ശേഷവും ബോധപൂർവ്വം പാസ്വേഡ് മാറ്റിയതിന് ശേഷവും ഇത് ആവർത്തിക്കുക, കാരണം ആ ഓരോ സാഹചര്യവും ആയുസ്സ് യുക്തിയുടെ വേറൊരു ഭാഗം പരിശീലിപ്പിക്കുന്നു. ഓരോ ഘട്ടവും സ്വതന്ത്രമായി കടക്കുന്നത് ശൃംഖല പ്രവർത്തിക്കുന്നതിന് തുല്യമല്ല. ശൃംഖലയാണ് ഉപയോക്താവ് അനുഭവിക്കുന്നത്, അതാണ് സ്വീകാര്യതാ കേസ് ഉൾക്കൊള്ളേണ്ടത്.

പ്രൊഫൈൽ ഉടമ, VPN പ്രാമാണീകരണ രീതി, ഡൊമെയ്ൻ കണ്ടെത്തൽ പാത, എക്സ്റ്റെൻഷന്റെ അപ്ലിക്കേഷൻ മാപ്പിംഗ് എന്നിവ ഒരിടത്ത് രേഖപ്പെടുത്തുക. ആ രേഖയാണ് പ്രവാഹത്തെ അത് നിർമ്മിക്കാത്ത ഒരാൾക്ക് പുനരുൽപ്പാദിപ്പിക്കാൻ കഴിയുന്നതാക്കുന്നത്. തുടർന്ന് ഏറ്റവും സാധ്യതയുള്ള പരാജയം പരിശോധിക്കുക, ടണൽ താഴെയിരിക്കുമ്പോൾ കാലഹരണപ്പെട്ട ടിക്കറ്റ്, കൂടാതെ ക്ലയന്റ് റീബൂട്ട് ഇല്ലാതെ കരകയറുന്നുവെന്ന് സ്ഥിരീകരിക്കുക, കാരണം തണുത്ത തുടക്കത്തിൽ നിന്ന് മാത്രം പ്രവർത്തിക്കുന്ന വിന്യാസം പൂർത്തിയായിട്ടില്ല.

ഓരോ ഘട്ടത്തിന്റെയും ഉടമയും രേഖപ്പെടുത്തുക, കാരണം ആരും പരിപാലിക്കാത്ത Kerberos ഡൊമെയ്ൻ പഴയതാകുന്നു. ആർക്കും വിവരിക്കാൻ കഴിയാത്ത ശൃംഖല ആർക്കും ഡീബഗ് ചെയ്യാൻ കഴിയാത്ത ശൃംഖലയാണ്.