Kerberos SSO u VPN fuq Mac: qabbel iż-żewġ toroq tad-dħul

Żewġ mekkaniżmi jagħtu l-istess riżultat faċli fuq Mac u jġibu ruħhom b'mod għal kollox differenti taħt il-wiċċ. Wieħed jikseb tikketti Kerberos permezz ta' estensjoni SSO u jagħtihom lill-applikazzjonijiet li jipparteċipaw. L-ieħor iżomm sessjoni tal-browser ma' fornitur tal-identità u jħalli lill-applikazzjonijiet web jonorawha. Huma differenti f'dak li jeħtieġu fuq in-netwerk, kemm iddumu l-kredenzjali tagħhom u x'jiġri fil-mument li l-mina taqa'.

Żewġ mekkaniżmi, skrin tad-dħul wieħed

It-triq ibbażata fuq it-tikketti tiddependi fuq dominju Kerberos, ċentru tad-distribuzzjoni taċ-ċavetta u arloġġ li jaqbel miegħu. It-triq tal-browser tiddependi fuq fornitur tal-identità aċċessibbli, cookie jew token, u applikazzjoni li tafda f'dak il-ħarrieġ. It-tnejn jistgħu jiġu kkonfigurati biex jibdew mad-dħul, u għalhekk jiġu mfixkla bħala l-istess karatteristika. L-applikazzjonijiet jiddeċiedu liema miż-żewġ jaċċettaw, u Mac jista' legalment iħaddem it-tnejn fl-istess ħin.

Qabbelhom billi tistaqsi x'jiċċekkja l-applikazzjoni meta utent jiftaħha. Servizz tal-fajls magħqud mad-dominju Kerberos irid tikka tas-servizz, u l-ebda ammont ta' sessjoni tal-browser mhu se jissodisfah. Applikazzjoni web wara fornitur tal-identità modern irid it-token ta' dak il-fornitur u jinjora t-tikka Kerberos għal kollox. Ladarba tkun taf liema verifika ssir, il-mistoqsijiet tal-varar isiru speċifiċi minflok ġenerali.

X'jeħtieġ l-estensjoni Kerberos fuq in-netwerk

Il-gwida tal-estensjoni Kerberos SSO ta' Apple tiddeskrivi awtentikazzjoni nattiva tal-Active Directory b'akkwist proattiv tat-tikketti, imqabbla ma' kontijiet lokali minflok rabta mad-dominju. Dak li ma tistax tagħmel huwa tivvinta triq lejn il-kontrolluri tad-dominju. Il-Mac jeħtieġ solver li jwieġeb għar-rekords tas-servizz Kerberos, u rotta li tilħaqhom permezz tal-mina approvata. Profil li jiġi installat nadif ma jipprova xejn sakemm id-dominju ma jistax jiġi skopert mill-klijent.

Iċċekkja l-iskoperta qabel ma tiċċekkja l-kredenzjali: ir-rekords SRV tad-dominju Kerberos iridu jiġu riżolti, u l-indirizzi li jirritornaw iridu jkunu aċċessibbli ladarba l-VPN ikun 'il fuq. Il-ħin huwa importanti daqs l-aċċessibbiltà, għax Kerberos jirrifjuta talbiet minn arloġġ li tkaxkar lil hinn mit-tolleranza tiegħu, u l-iżball li jipproduċi jidher qisu falliment ta' awtentikazzjoni. Mac li ma jistax jilħaq sors tal-ħin waqt li l-mina tkun 'l isfel se jfalli mill-ġdid fil-mument li jerġa' lura. Aġġusta s-sors tal-ħin bħala parti mill-varar u mhux bħala reazzjoni għal inċident.

klist
sudo sntp -sS time.apple.com

VPN għal kull app tiddetermina jekk l-estensjoni tistax taħdem

Mina sħiħa torbot kollox u taħbi din il-problema. Konfigurazzjoni għal kull app torbot biss l-applikazzjonijiet imsemmija fil-profil tal-VPN, u l-estensjoni SSO hija nnifisha proċess li jeħtieġ in-netwerk biex iġib it-tikketti. Jekk mhijiex fil-mappa, id-dħul lokali jirnexxi, il-mina titla' għall-browser, u l-akkwist tat-tikketti xorta jfalli.

Aqra l-konfigurazzjoni tal-VPN u elenka kull applikazzjoni li suppost tkopri, imbagħad żid il-komponent SSO permezz tal-mekkaniżmu tal-mappa ddokumentat u mhux billi taqta' u tara identifikatur tal-bundle. Li tħarreġ il-klijent viżibbli u mhux il-komponent warajh hija l-verżjoni klassika ta' dan l-iżball. Żomm il-mappa fl-istess profil ġestit bħall-estensjoni, sabiex bidla f'waħda ma tistax tinvalida lill-oħra fis-skiet. Ittestja ma' utent li qatt ma daħal fuq dak il-Mac, għax tikka fil-cache tista' tagħmel triq maqluba tidher f'saħħitha, imbagħad ittestja mill-ġdid wara bidla tal-password.

Sessjoni tal-identità fil-browser hija kuntratt ieħor

Sessjoni tal-browser m'għandha l-ebda dominju Kerberos, l-ebda tikka tas-servizz u l-ebda tolleranza tal-arloġġ fis-sens ta' Kerberos. Għandha ħarrieġ, tul tal-ħajja tat-token u triq tal-aġġornament, u l-modi ta' falliment tagħha huma ridirezzjonijiet li qatt ma jitlestew u cookies li tieqa privata tarmi. Li tqisha bħala sostitut għat-triq tat-tikketti hija sigura biss fejn l-applikazzjoni stess taċċetta dak il-ħarrieġ. Li tikkopja tweġiba ta' awtentikazzjoni mill-portal tal-VPN għal servizz mhux relatat mhijiex integrazzjoni, kemm tidher komda l-qasira.

Meta ż-żewġ mekkaniżmi jkunu varati, iddokumenta liema applikazzjonijiet jużaw liema, għax il-konversazzjoni tal-appoġġ tiddependi fuq dan. Utent li jgħid li daħal imma ma jistax jiftaħ kondiviżjoni tal-fajls qed jiddeskrivi żewġ sistemi, u t-tweġiba hija li t-triq tat-tikketti qatt ma ġriet. Utent li jista' jiftaħ il-kondiviżjoni imma mhux il-portal tal-intranet qed jiddeskrivi l-oppost, u li ssemmi l-mekkaniżmu fit-ticket tfaddal dawra ta' mistoqsijiet.

Imxi s-sekwenza, mhux il-partijiet

Imxi l-katina kollha b'kont reġistrat ordinarju: dħul lokali, mina, akkwist tat-tikketti, imbagħad operazzjoni waħda reali fuq servizz. Erġa' għamilha wara li l-mina terġa' tinqabad u wara bidla intenzjonata tal-password, għax kull wieħed minn dawn il-każijiet jeżerċita parti differenti tal-loġika tal-ħajja. Li kull stadju jgħaddi waħdu mhuwiex l-istess bħall-katina taħdem. Il-katina hija dak li jesperjenza l-utent, u huwa dak li l-każ tal-aċċettazzjoni irid ikopri.

Irreġistra s-sid tal-profil, il-metodu tal-awtentikazzjoni tal-VPN, it-triq tal-iskoperta tad-dominju u l-mappa tal-applikazzjonijiet tal-estensjoni f'post wieħed. Dak ir-rekord huwa dak li jagħmel il-fluss riproducibbli minn xi ħadd li ma bniehx. Imbagħad iċċekkja l-falliment li x'aktarx tiltaqa' miegħu, tikka skaduta waqt li l-mina tkun 'l isfel, u kkonferma li l-klijent jirkupra mingħajr restart, għax varar li jaħdem biss minn bidu kiesaħ mhuwiex lest.

Innota s-sid ta' kull stadju wkoll, għax dominju Kerberos li ħadd ma jieħu ħsiebu jsir skadut. Katina li ħadd ma jista' jiddeskrivi hija katina li ħadd ma jista' jnaddaf mill-iżbalji.