Waarom één OTP niet Wi-Fi, VPN en een registry dekt

Single sign-on belooft één identiteit en minder prompts, en de belofte breekt bij het derde protocol. De valkuil is aannemen dat één geslaagde authenticatie een token oplevert dat elk ander protocol kan presenteren. Wi-Fi-toegang, VPN-toegang en een containerregistry draaien elk een andere uitwisseling, met verschillende doelgroepen en levensduren. Het account delen is een directorybeslissing; de credential delen is een protocolbeslissing, en de protocollen zijn het zelden eens.

Drie uitwisselingen, drie eigenaren

Bedrijfs-Wi-Fi draait een EAP-methode binnen 802.1X, meestal beëindigd door een RADIUS-dienst met een eigen kijk op de gebruiker of het apparaat. Een VPN-gateway authenticeert via zijn eigen ondersteunde flow en houdt daarna een sessie met een eigen herauthenticatietimer. Een registry antwoordt op een niet-geauthenticeerd verzoek met een uitdaging die een tokendienst, een publiek en een scope noemt, en de client wisselt zijn credential in voor een kortlevend token.

Dat zijn geen drie weergaven van één sessie. Elk heeft een eigen verifier, een eigen levensduur en een eigen intrekkingspad, waardoor een wachtwoordwijziging in de directory de ene kan laten werken en de andere kan breken. Behandel ze als drie integraties die toevallig een gebruikersdirectory delen.

Wat browser-SSO wel en niet meeneemt

Een browsersessie bij een identiteitsprovider is echt nuttig: applicaties die daarheen doorsturen, erven de login die de gebruiker al heeft afgerond. Dat werkt omdat die applicaties dezelfde doorstuur- en tokenprotocollen spreken en hetzelfde publiek accepteren. Een supplicant die EAP spreekt heeft geen doorstuur om te volgen, en een Docker-client die een registry-uitdaging krijgt vraagt niet om een OIDC-id-token. De identiteitsprovider kan alleen instaan voor protocollen waarvoor hij is gebouwd.

De fout is gemakkelijk te zien in de logs als je weet waar je moet kijken. De identiteitsprovider meldt een geslaagde login terwijl de Wi-Fi-associatie nog steeds mislukt, of de registry geeft 401 terug na een tokenuitwisseling die de browser nooit zag. Twee successen en één fout zijn geen tegenspraak; het zijn drie afzonderlijke authenticaties.

Waar een certificaat een herhaalde code vervangt

Voor beheerde apparaten verwijdert certificaatgebaseerde EAP de menselijke stap zonder de identiteit te verwijderen: het apparaat presenteert een certificaat, de RADIUS-dienst controleert het bij de uitgevende autoriteit, en intrekking gebeurt bij die autoriteit in plaats van in een gedeeld geheim. De prijs is levenscycluswerk, want certificaten verlopen en moeten daarvoor worden vernieuwd.

Registries hebben een gelijkwaardige splitsing. Een interactieve gebruiker kan één keer inloggen en een credentialhelper het resulterende token laten opslaan, terwijl automatisering een nauw begrensde dienstcredential of workload-identiteit moet gebruiken. Geen van beide zou de eenmalige code van een mens moeten zijn die in een pijplijn is gekopieerd. De helper slaat een token op voor een specifiek registry-publiek, dus hij kan niet via het bewerken van een configuratiebestand naar de VPN-gateway worden omgeleid.

docker login registry.example.com

Vergelijk de onderhoudskosten, niet het aantal prompts

Een gedeelde credential lijkt goedkoop omdat het werk onzichtbaar is tot het misgaat. Tel in plaats daarvan wat elke optie per jaar kost: inschrijving, vernieuwing, intrekking, de impactradius van een lek en het aantal systemen dat wordt geraakt als iemand vertrekt. Een certificaatvloot kost meer om te bouwen en minder om op schaal te beheren; een gekopieerde code kost niets om te beginnen en alles om te ontrafelen.

Kies dan per been in plaats van globaal. Wi-Fi kan naar certificaten, de VPN kan zijn ondersteunde SSO met MFA houden, en de registry kan tokens met expliciete scopes gebruiken. Leg de eigenaar, het publiek, de scope, het verlopen en het intrekkingspad voor elk vast, en de prompts vallen waar ze horen in plaats van overal tegelijk. Die registratie is ook het antwoord wanneer een auditor vraagt welke systemen nog een wachtwoord vertrouwen.