Il-SSO tal-VPN idaħħal lill-utenti fl-apps interni awtomatikament?

Dħul wieħed jista' jkopri t-tunnel u l-apps warajh, imma biss meta kull app ikollha l-fiduċja tagħha stess. Din hija l-ordni biex tqabbad u tittestja.

Gateway tal-VPN li jawtentika permezz ta' fornitur tal-identità jipprova ħaġa waħda: il-fornitur għamel garanzija għal utent quddiem il-gateway. Ma jagħtix lil dak l-utent kredenzjali għall-wiki tal-intranet, għall-bord tal-monitoraġġ jew għas-server tal-build. Dawk is-servizzi jdaħħlu n-nies permezz tal-federazzjoni tagħhom stess u japplikaw l-awtorizzazzjoni tagħhom stess, u t-tunnel jiddeċiedi biss liema pakketti jistgħu jaslu għandhom.

Tliet sessjonijiet, tliet deċiżjonijiet separati

Żomm l-istati separati, għax kull wieħed jiskadi skont l-iskeda tiegħu stess. Is-sessjoni tal-VPN hija l-aċċettazzjoni tal-identità mill-gateway flimkien mal-aċċess tan-netwerk li ta. Is-sessjoni tal-browser għand il-fornitur tal-identità hija dak li l-browser għadu jżomm għal dak il-fornitur u jista' jerġa' jużah skont il-politika tiegħu. Is-sessjoni tal-app tappartjeni għal servizz wieħed li vvalida risposta indirizzata lilu.

It-taħlit ta' dawk l-istati jipproduċi l-mistoqsija żbaljata, normalment ifformulata bħala għaliex it-tunnel ma jdaħħalx lill-utent kullimkien. Erġa' ifformulaha: liema app m'għandhiex entrata tal-federazzjoni, liema waħda tirrifjuta lill-utent, u liema waħda nieqsa minn rotta. Talba waħda tad-dħul li tiftaħ l-app tal-intranet xorta tista' terġa' lura għall-fornitur, għax it-tieni ridirezzjoni hija talba ġdida għall-awtorizzazzjoni għal udjenza differenti.

Qabbad il-gateway bħala l-app tiegħu stess

Irreġistra l-VPN bħala app approvata fil-fornitur, bl-identifikatur, il-URI tar-ridirezzjoni u l-allokazzjoni tal-utenti tiegħu stess. Imbagħad iddeċiedi liema awtorizzazzjonijiet tan-netwerk jagħti dak id-dħul, għax din hija politika tal-VPN u mhux karatteristika tal-fornitur. L-utenti li għandhom jilħqu biss is-subnet tal-monitoraġġ jieħdu politika tal-gateway differenti, mhux password differenti.

Ir-risposta tal-awtentikazzjoni tat-tunnel mhijiex kredenzjali li tista' terġa' tintuża. It-tokens tal-ID tal-OIDC iġorru talba tal-udjenza li ssemmi l-klijent li għalih inħarġu, u l-asserzjonijiet bearer tas-SAML jillimitaw l-udjenza għall-fornitur tas-servizz li jirċevihom. It-tieni servizz li jaċċetta r-risposta tal-ewwel servizz huwa kkonfigurat ħażin, u l-ikkupjar ta' token f'app oħra mhuwiex integrazzjoni.

Irreġistra kull app interna, imbagħad issettja l-kuntest tal-browser

Kull servizz jeħtieġ il-valuri SAML jew OIDC appoġġjati: emittent, identifikatur tal-klijent, URL tal-callback jew tal-konsumatur tal-asserzjoni, talbiet meħtieġa u allokazzjoni. L-aċċessibbiltà tiġi fuqha, għax il-verifiki tal-identità qatt ma jipprovdu rotta jew tweġiba DNS.

  1. Oħloq l-entrata tal-app u kkonferma li l-ID tal-entità jew tal-klijent taqbel ma' dak li jibgħat l-app.
  2. Irreġistra l-URL eżatt tal-callback inkluż skema u port; żball żgħir ifalli wara li l-utent jawtentika.
  3. Alloka lill-utenti jew lill-gruppi, imbagħad ikkonferma li t-talbiet meħtieġa jinħarġu.
  4. Ippermetti l-endpoints tal-fornitur tal-identità kif ukoll l-app privata, inkella r-ridirezzjoni ma tistax titlesta.

Il-kuntest tal-browser jiddeċiedi jekk sessjoni eżistenti tal-fornitur tintużax mill-ġdid. Klijent nattiv li jiftaħ il-browser tas-sistema jista' jaqsam dak l-istat, filwaqt li vista inkorporata bil-ġarr tal-cookies tagħha stess normalment ma tistax. Browser ġdid, twieqi privati u tieni profil kollha jibdew minn xejn, li huwa mistenni u mhux konfigurazzjoni tal-SSO miksura.

Mexxi l-fluss u aqra fejn jieqaf

Irriproduċi bil-panel tan-netwerk tal-browser u osserva l-katina tar-ridirezzjonijiet. Mossa utli ssegwi qabża waħda kull darba: mill-gateway għall-fornitur, mill-fornitur lura għall-app b'kodiċi jew asserzjoni, mill-app għall-endpoint tat-tokens tal-fornitur, is-sessjoni tal-app tinħareġ. Il-qabża fejn tieqaf il-katina ssemmi l-komponent li għandu jissewwa.

Żewġ verifiki tal-kmand tal-linja jsolvu d-dubji tas-soltu, u t-tnejn huma siguri minn host tal-amministrazzjoni:

curl -s https://idp.example.com/.well-known/openid-configuration | jq -r '.authorization_endpoint, .token_endpoint'
curl -sI https://app.example.net/ | grep -iE '^(HTTP/|location:)'

Meta l-metadata telenka endpoints li qatt ma rreġistrajt, l-app qed tipponta lejn kerrej jew emittent ieħor. Meta l-ewwel talba lill-app twieġeb 302 lejn host mhux mistenni, il-konfigurazzjoni tal-federazzjoni tal-app hija l-post fejn wieħed iħares, mhux il-profil tal-VPN.

Sewwi t-talbiet billi ssib min talabhom

It-tieni talba għall-password mhijiex awtomatikament difett. L-app tista' titlob livell ta' assigurazzjoni ogħla, jew il-fornitur jista' jimponi età massima tas-sessjoni u sfida ġdida. It-tneħħija ta' dawk ir-rekwiżiti biex il-fluss ikun iktar kwiet iddgħajjef kontroll maħsub, għalhekk stabbilixxi liema komponent talabhom qabel tibdel il-politika.

Imbagħad iddeċiedi x'għandu jitjieb. Jekk it-talba tiġi mill-app, sewwi l-entrata tal-federazzjoni tagħha. Jekk tiġi mill-fornitur skont il-politika, iddokumenta r-rekwiżit. Jekk l-app ma tkunx tista' tintlaħaq wara dħul b'suċċess, ir-rotot tat-tunnel huma s-suspettat, għax l-identità u l-kunsinna tal-pakketti jfallu f'postijiet differenti u jidhru simili mis-sedil tal-utent.

Artikli relatati