Mengapa satu OTP tidak dapat meliputi Wi-Fi, VPN dan daftar

Log masuk tunggal menjanjikan satu identiti dan lebih sedikit gesaan, dan janji itu terpecah pada protokol ketiga. Perangkapnya ialah menganggap satu pengesahan berjaya menghasilkan token yang boleh dikemukakan oleh setiap protokol lain. Kemasukan Wi-Fi, kemasukan VPN dan daftar kontena masing-masing menjalankan pertukaran berbeza, dengan khalayak dan jangka hayat berbeza. Berkongsi akaun ialah keputusan direktori; berkongsi kelayakan ialah keputusan protokol, dan protokol jarang bersetuju.

Tiga pertukaran, tiga pemilik

Wi-Fi perusahaan menjalankan kaedah EAP dalam 802.1X, biasanya ditamatkan oleh perkhidmatan RADIUS yang mempunyai pandangannya sendiri terhadap pengguna atau peranti. Get Laluan VPN mengesahkan melalui aliran sokongannya sendiri dan kemudian menyimpan sesi dengan pemasa pengesahan semula sendiri. Daftar menjawab permintaan tanpa pengesahan dengan cabaran yang menamakan perkhidmatan token, khalayak dan skop, dan klien menukar kelayakannya dengan token jangka pendek.

Itu bukan tiga pandangan bagi satu sesi. Setiap satu mempunyai pengesah sendiri, jangka hayat sendiri dan laluan pembatalan sendiri, sebab itu pertukaran kata laluan dalam direktori boleh membiarkan satu berfungsi dan satu lagi rosak. Layannya sebagai tiga integrasi yang kebetulan berkongsi direktori pengguna.

Apa yang dibawa SSO pelayar dan apa yang tidak

Sesi pelayar di penyedia identiti benar-benar berguna: aplikasi yang mengubah hala ke sana mewarisi log masuk yang sudah dilengkapkan pengguna. Itu berfungsi kerana aplikasi tersebut bertutur protokol ubah hala dan token yang sama serta menerima khalayak yang sama. Peminta yang bertutur EAP tiada ubah hala untuk diikut, dan klien Docker yang menerima cabaran daftar tidak meminta token identiti OIDC. Penyedia identiti hanya boleh menjamin protokol yang dibina untuk dituturkannya.

Kegagalan mudah dilihat dalam log apabila anda tahu ke mana perlu dilihat. Penyedia identiti melaporkan log masuk berjaya sedangkan perkaitan Wi-Fi masih gagal, atau daftar memulangkan 401 selepas pertukaran token yang tidak pernah dilihat pelayar. Dua kejayaan dan satu kegagalan bukan percanggahan; ia tiga pengesahan berasingan.

Di mana sijil menggantikan kod berulang

Untuk peranti terurus, EAP berasaskan sijil menghapuskan langkah manusia tanpa menghapuskan identiti: peranti mengemukakan sijil, perkhidmatan RADIUS memeriksanya dengan pihak berkuasa pengeluar, dan pembatalan berlaku di pihak berkuasa itu dan bukan dalam rahsia bersama. Hargaannya ialah kerja kitaran hayat, kerana sijil tamat tempoh dan mesti diperbaharui sebelum itu.

Daftar mempunyai pembahagian setara. Pengguna interaktif boleh log masuk sekali dan membiarkan pembantu kelayakan menyimpan token yang terhasil, manakala automasi patut menggunakan kelayakan perkhidmatan berskop sempit atau identiti beban kerja. Kedua-duanya tidak patut menjadi kod sekali guna manusia yang disalin ke dalam saluran paip. Pembantu menyimpan token untuk khalayak daftar tertentu, jadi ia tidak boleh dihalakan semula ke get laluan VPN dengan menyunting fail konfigurasi.

docker login registry.example.com

Bandingkan kos penyelenggaraan, bukan bilangan gesaan

Kelayakan bersama kelihatan murah kerana kerjanya tidak kelihatan sehingga ia gagal. Sebaliknya hitung apa yang setiap pilihan koskan sepanjang tahun: pendaftaran, pembaharuan, pembatalan, jejari kesan kebocoran dan bilangan sistem yang disentuh apabila seseorang pergi. Armada sijil lebih mahal dibina dan lebih murah dikendalikan pada skala; kod yang disalin tidak ber kos untuk bermula dan menelan segala-galanya untuk diuraikan.

Kemudian pilih mengikut segmen dan bukan secara global. Wi-Fi boleh beralih kepada sijil, VPN boleh mengekalkan SSO sokongan dengan MFA, dan daftar boleh menggunakan token dengan skop eksplisit. Catat pemilik, khalayak, skop, tamat tempoh dan laluan pembatalan bagi setiap satu, dan gesaan akan jatuh di tempat yang sepatutnya dan bukan di merata-rata serentak. Catatan itu juga jawapannya apabila juruaudit bertanya sistem mana yang masih mempercayai kata laluan.