Яагаад нэг OTP Wi-Fi, VPN, бүртгэлийг хамаарахгүй вэ

Нэгдсэн нэвтрэлт нэг идентитет, цөөн асуулт амладаг ч амлалт гуравдахь протокол дээр эвдэрдэг. Нэг амжилттай баталгаажуулалт бусад бүх протоколын танилцуулж чадах токен үүсгэдэг гэж үзэх нь урхи юм. Wi-Fi-д орох, VPN-д орох, контейнерын бүртгэл тус бүр өөр солилцоо хийж, өөр үзэгчид, хугацаатай. Бүртгэл хуваалцах нь лавлахын шийдвэр; итгэмжлэл хуваалцах нь протоколын шийдвэр бөгөөд протоколууд ховор санал нэгддэг.

Гурван солилцоо, гурван эзэн

Аж ахуйн Wi-Fi нь 802.1X дотор EAP аргыг ажиллуулж, ихэвчлэн хэрэглэгч эсвэл төхөөрөмжийн талаар өөрийн үзэл бодолтой RADIUS үйлчилгээ үүнийг дуусгадаг. VPN гарц өөрийн дэмжигдсэн урсгалаар баталгаажуулж, дараа нь өөрийн дахин баталгаажуулалтын таймертай сессийг хадгална. Бүртгэл баталгаажаагүй хүсэлтэд токен үйлчилгээ, үзэгчид, хамрах хүрээг нэрлэсэн сорилтоор хариулж, клиент итгэмжлэлээ богино хугацааны токеноор солилцдог.

Эдгээр нь нэг сессийн гурван үзэл бодол биш. Тус бүр өөрийн шалгагч, өөрийн хугацаа, өөрийн цуцлах замтай тул лавлах дахь нууц үгийн өөрчлөлт нэгийг ажиллаж, нөгөөг эвдэрсэн байлгаж болно. Тэдгээрийг санамсаргүйгээр хэрэглэгчийн лавлах хуваалцдаг гурван интеграци гэж үзээрэй.

Хөтчийн SSO юу дамжуулж, юу дамжуулдаггүй

Идентитет нийлүүлэгч дэх хөтчийн сесс үнэхээр ашигтай: тэнд дахин чиглүүлдэг аппликейшнүүд хэрэглэгчийн аль хэдийн дуусгасан нэвтрэлтийг өвлөдөг. Энэ нь ажилладаг, учир нь тэдгээр аппликейшнүүд ижил дахин чиглүүлэх болон токен протоколоор ярьж, ижил үзэгчдийг хүлээн авдаг. EAP ярьдаг хүсэлт гаргагчид дагах дахин чиглүүлэлт байхгүй, бүртгэлийн сорилт авсан Docker клиент OIDC идентитет токен шаарддаггүй. Идентитет нийлүүлэгч зөвхөн өөрийг нь ярихаар бүтээсэн протоколуудад баталгаа өгч чадна.

Хаана харахыг мэдвэл бүртгэлээс алдааг харах амархан. Идентитет нийлүүлэгч амжилттай нэвтрэлт мэдээлж байхад Wi-Fi холболт хараахан бүтэлгүйтдэг, эсвэл хөтөч хэзээ ч хараагүй токен солилцооны дараа бүртгэл 401 буцаадаг. Хоёр амжилт, нэг бүтэлгүйтэл нь зөрчил биш; эдгээр нь гурван тусдаа баталгаажуулалт.

Гэрчилгээ давтагдсан кодыг хаана орлох вэ

Удирдлагатай төхөөрөмжийн хувьд гэрчилгээнд суурилсан EAP нь идентитетийг арилгахгүйгээр хүний алхмыг арилгадаг: төхөөрөмж гэрчилгээ танилцуулж, RADIUS үйлчилгээ түүнийг олгогч эрх бүхий байгууллагад шалгаж, цуцлалт нь хуваалцсан нууцад биш, тэр байгууллагад болдог. Үнэ нь амьдралын мөчлөгийн ажил, учир нь гэрчилгээ хугацаа дуусч, түүнээс өмнө шинэчлэгдэх ёстой.

Бүртгэлүүд ижил хуваагдалтай. Интерактив хэрэглэгч нэг удаа нэвтэрч, үүссэн токеныг итгэмжлэлийн туслах хадгалахыг зөвшөөрч болох бол автоматжуулалт нарийн хамрах хүрээтэй үйлчилгээний итгэмжлэл эсвэл ажлын ачааллын идентитетийг ашиглах ёстой. Аль нь ч хүний нэг удаагийн кодыг дамжуулах хоолойд хуулсан байх ёсгүй. Туслах тодорхой бүртгэлийн үзэгчдэд зориулсан токен хадгалдаг тул тохиргооны файлыг засварлаж VPN гарц руу дахин чиглүүлэх боломжгүй.

docker login registry.example.com

Засварын зардлыг харьцуул, асуултын тоог биш

Хуваалцсан итгэмжлэл хямд харагддаг, учир нь ажил бүтэлгүйтэх хүртэл үл үзэгдэх юм. Оронд нь сонголт бүр нэг жилийн хугацаанд юу зарцуулдагийг тоол: бүртгэл, шинэчлэл, цуцлалт, алдагдлын нөлөөллийн радиус, хэн нэгэн явахад хүрэх системийн тоо. Гэрчилгээний флот барихад илүү, цар хүрээнд ажиллуулахад бага зарцуулдаг; хуулсан код эхлэхэд юу ч, тайлахад бүгдийг зарцуулдаг.

Дараа нь глобал биш, хэсэг тус бүрээр сонго. Wi-Fi гэрчилгээ рүү шилжиж болно, VPN MFA-тай дэмжигдсэн SSO-г хадгалж болно, бүртгэл тодорхой хамрах хүрээтэй токен ашиглаж болно. Тус бүрийн эзэн, үзэгчид, хамрах хүрээ, дуусах хугацаа, цуцлах замыг бүртгэ, асуултууд нэгэн зэрэг хаа сайгүй биш, хэрэгтэй газарт унана. Энэ бүртгэл нь аудитор аль системүүд нууц үгэнд итгэсээр байгааг асуухад өгөх хариулт ч мөн.