Mac дээрх Kerberos SSO ба VPN: нэвтрэх хоёр замыг харьцуул

Хоёр механизм Mac дээр ижил эв найртай үр дүн өгдөг ч дотроо огт өөрөөр ажилладаг. Нэг нь SSO өргөтгөлөөр Kerberos тасалбар авч, оролцож буй програмуудад өгдөг. Нөгөө нь таних үйлчилгээ үзүүлэгчтэй хөтчийн сесс хадгалж, вэб програмуудад түүнийг хүлээн зөвшөөрөх боломж олгодог. Тэд сүлжээнд юу хэрэгтэй, итгэмжлэл хэр удаан хүчинтэй, туннель унасан тэр мөчид юу болох зэргээр ялгаатай.

Хоёр механизм, нэг нэвтрэх дэлгэц

Тасалбарт суурилсан зам нь Kerberos домэйн, түлхүүр хуваарилах төв, түүнтэй нийцэх цагт хамаардаг. Хөтчийн зам нь хүртээмжтэй таних үйлчилгээ үзүүлэгч, күүки эсвэл токен, тэр хэвлэгчд итгэдэг программд хамаардаг. Хоёуланг нь нэвтрэх үед эхлүүлэхээр тохируулж болох тул нэг л функц гэж андуурдаг. Аль нь хүлээн авахыг програмууд шийддэг бөгөөд Mac хоёуланг нь нэгэн зэрэг хууль ёсоор ажиллуулж болно.

Хэрэглэгч програмыг нээх үед тэр юу шалгадгийг асууж харьцуул. Kerberos домэйнд нэгдсэн файлын үйлчилгээ үйлчилгээний тасалбар шаарддаг бөгөөд ямар ч хэмжээний хөтчийн сесс түүнийг хангахгүй. Орчин үеийн таних үйлчилгээ үзүүлэгчийн ард байгаа вэб програм тэр үзүүлэгчийн токеныг шаардаж, Kerberos тасалбарыг огт үл харгалздаг. Ямар шалгалт болж байгааг мэдсэний дараа байршуулалтын асуултууд ерөнхий биш тодорхой болно.

Kerberos өргөтгөлд сүлжээнд юу хэрэгтэй

Apple-ын Kerberos SSO өргөтгөлийн гарын авлага идэвхтэй тасалбар олж авахтай хамт уугуул Active Directory баталгаажуулалтыг тайлбарладаг бөгөөд энэ нь домэйн холболтын оронд локал бүртгэлтэй хослуулдаг. Хийж чадахгүй зүйл нь домэйны хянагч руу зам зохион бүтээх явдал юм. Mac-д Kerberos үйлчилгээний бичлэгт хариу өгдөг шийдэгч, мөн зөвшөөрөгдсөн туннелээр тэдгээрт хүрэх маршрут хэрэгтэй. Цэвэр суулгагдсан профайл нь домэйныг клиентээс үнэхээр илрүүлж чатах хүртэл юу ч нотолдоггүй.

Итгэмжлэлийг шалгахаас өмнө илрүүлэлтийг шалга: Kerberos домэйны SRV бичлэгүүд шийдэгдэх ёстой бөгөөд тэдний буцаах хаягууд нь VPN ассан үед хүртээмжтэй байх ёстой. Цаг нь хүртээмжтэй адил чухал, учир нь Kerberos өөрийн тэсвэрлэх хязгаараас хэтэрсэн цагаас ирсэн хүсэлтийг татгалздаг бөгөөд үүссэн алдаа нь баталгаажуулалтын доголдол мэт харагддаг. Туннель унтарсан үед цагийн эх сурвалжид хүрч чадахгүй Mac буцаж ирэх тэр мөчид дахин бүтэлгүйтнэ. Цагийн эх сурвалжийг ослын хариу арга хэмжээ биш, байршуулалтын нэг хэсэг болгон зас.

klist
sudo sntp -sS time.apple.com

Програм тус бүрийн VPN өргөтгөл ажиллаж чадах эсэхийг шийддэг

Бүрэн туннель бүгдийг чиглүүлж, энэ асуудлыг нуудаг. Програм тус бүрийн тохиргоо нь VPN профайлд нэрлэсэн програмуудыг л чиглүүлдэг бөгөөд SSO өргөтгөл нь өөрөө тасалбар авахын тулд сүлжээ шаарддаг процесс юм. Хэрэв энэ нь зураглалд байхгүй бол локал нэвтрэлт амжилттай болж, хөтчид зориулж туннель асч, тасалбар авалт ялагдсаар байна.

VPN тохиргоог уншиж, түүнд хамаарах ёстой бүх програмыг жагсаа, дараа нь багцын танигчийг таамаглахын оронд баримтжуулсан зураглалын механизмаар SSO бүрэлдэхүүнийг нэм. Харагдах клиентийг зураглаж, түүний ард байгаа бүрэлдэхүүнийг зураглахгүй байх нь энэ алдааны сонгодог хувилбар юм. Зураглалыг өргөтгөлтэй ижил удирдлагатай профайлд хадгал, ингэснээр нэгний өөрчлөлт нөгөөг чимээгүйгээр хүчингүй болгохгүй. Тэр Mac-д хэзээ ч нэвтэрч байгаагүй хэрэглэгчтэй турш, учир нь кэшлэсэн тасалбар эвдэрсэн замыг эрүүл мэт харуулж болно, дараа нь нууц үг солигдсоны дараа дахин турш.

Хөтчийн таних сесс нь өөр гэрээ

Хөтчийн сессэд Kerberos домэйн, үйлчилгээний тасалбар, Kerberos утгаар цагийн тэсвэрлэл байхгүй. Түүнд хэвлэгч, токены амьдрах хугацаа, шинэчлэх зам байдаг бөгөөд түүний доголдлын горимууд нь хэзээ ч дуусдаггүй дахин чиглүүлэлт, хувийн цонхны хаядаг күүки юм. Үүнийг тасалбарын замын орлуулагч гэж үзэх нь зөвхөн програм өөрөө тэр хэвлэгчийг хүлээн авдаг газарт л аюулгүй. VPN порталаас баталгаажуулалтын хариуг холбоогүй үйлчилгээнд хуулах нь нэгтгэл биш, товч зам хэчнээн тохиромжтой харагдсан ч.

Хоёр механизм хоёулаа байрласан үед аль програм аль нэгийг ашиглаж байгааг баримтжуул, учир нь дэмжлэгийн яриа үүнээс хамаарна. Нэвтэрсэн ч файл хуваалцалтыг нээж чадахгүй гэж мэдээлсэн хэрэглэгч хоёр системийг тодорхойлж байгаа бөгөөд хариулт нь тасалбарын зам огт ажиллаагүй гэсэн үг. Хуваалцалтыг нээж чадах ч интранет порталыг чадахгүй хэрэглэгч эсрэгээр тодорхойлж байгаа бөгөөд тасалбарт механизмын нэрийг бичих нь нэг асуултын тойрог хэмнэнэ.

Дарааллаар нь яв, хэсгүүдээр биш

Энгийн бүртгэлтэй бүртгэлээр бүх хэлхээг туул: локал нэвтрэлт, туннель, тасалбар авалт, дараа нь үйлчилгээний эсрэг нэг бодит үйлдэл. Туннель дахин холбогдсоны дараа болон санаатайгаар нууц үг сольсны дараа давтаж турш, учир нь эдгээр тохиолдол бүр амьдрах хугацааны логикийн өөр хэсгийг сургадаг. Үе шат бүр тусдаа давсан нь хэлхээ ажиллаж байгаатай ижил биш. Хэлхээ бол хэрэглэгчийн мэдрэх зүйл бөгөөд хүлээн авах тохиолдол үүнийг хамрах ёстой.

Профайлын эзэмшигч, VPN баталгаажуулалтын арга, домэйн илрүүлэх зам, өргөтгөлийн програмын зураглалыг нэг газарт тэмдэглэ. Тэр бичлэг л урсгалыг үүнийг барьж байгаагүй хүнд давтагдахуйц болгодог. Дараа нь хамгийн их таарах доголдлыг шалга, туннель унтарсан үед хугацаа дууссан тасалбар, мөн клиент дахин ачаалахгүйгээр сэргэж байгааг батал, учир нь зөвхөн хүйтэн эхлэлээс ажилладаг байршуулалт дуусаагүй байна.

Үе шат бүрийн эзэмшигчийг ч тэмдэглэ, учир нь хэн ч арчлахгүй Kerberos домэйн хуучирдаг. Хэн ч тайлбарлаж чадахгүй хэлхээ бол хэн ч дибаг хийж чадахгүй хэлхээ юм.