Kerberos SSO og VPN på Mac: samanlikn dei to påloggingsvegane

To mekanismar gir det same venlege resultatet på ein Mac og oppfører seg heilt ulikt under overflata. Den eine hentar Kerberos-billettar gjennom ei SSO-utviding og gir dei vidare til program som deltek. Den andre held ein nettlesarsesjon hos ein identitetsleverandør og lèt nettprogram godkjenne han. Dei skil seg i kva dei treng på nettverket, kor lenge påloggingsinformasjonen deira varer, og kva som skjer i det augneblinken tunnelen fell.

To mekanismar, éin påloggingsskjerm

Den billettbaserte vegen er avhengig av eit Kerberos-domene, eit nøkkelfordelingssenter og ei klokke som stemmer med det. Nettlesarvegen er avhengig av ein tilgjengeleg identitetsleverandør, ein informasjonskapsel eller token, og eit program som stolar på den utgivaren. Begge kan konfigurerast til å starte ved pålogging, og difor vert dei forveksla med same funksjon. Programma avgjer kva av dei to dei godtek, og ein Mac kan med rette køyre begge samstundes.

Samanlikn dei ved å spørje kva programmet kontrollerer når ein brukar opnar det. Ein filteneste som er knytt til Kerberos-domenet, vil ha ein tenestebillett, og inga mengd nettlesarsesjon vil tilfredsstille han. Eit nettprogram bak ein moderne identitetsleverandør vil ha tokenet til den utgivaren og ignorerer Kerberos-billetten fullstendig. Når du veit kva kontroll som skjer, vert utrullingsspørsmåla konkrete i staden for generelle.

Kva Kerberos-utvidinga treng på nettverket

Apples rettleiar for Kerberos SSO-utvidinga skildrar innebygd Active Directory-autentisering med proaktiv billettinnhenting, samankopla med lokale kontoar i staden for domenetilknyting. Det ho ikkje kan, er å finne opp ein veg til domenekontrollørane. Macen treng ein resolver som svarar på Kerberos-tenestepostane, og ei rute som når dei gjennom den godkjende tunnelen. Ein profil som vert installert reint, provar ingenting før domenet faktisk kan oppdagast frå klienten.

Kontroller oppdaginga før du kontrollerer påloggingsinformasjonen: SRV-postane for Kerberos-domenet må løysast, og adressene dei returnerer må vere tilgjengelege når VPN-en er oppe. Tid tyder like mykje som tilgjenge, fordi Kerberos avviser førespurnader frå ei klokke som har drive utanfor toleransen, og feilen det gir ser ut som ein autentiseringsfeil. Ein Mac som ikkje når ei tidskjelde medan tunnelen er nede, vil feile igjen i det augneblinken han kjem tilbake. Rett tidskjelda som ein del av utrulleringa og ikkje som ein hendingsrespons.

klist
sudo sntp -sS time.apple.com

VPN per program avgjer om utvidinga kan fungere

Ein full tunnel rutar alt og skjuler dette problemet. Ein konfigurasjon per program rutar berre programma som er namngjevne i VPN-profilen, og SSO-utvidinga er sjølv ein prosess som treng nettverket for å hente billettar. Viss ho ikkje er i kartlegginga, lukkast den lokale pålogginga, tunnelen kjem opp for nettlesaren, og billettinnhentinga feilar framleis.

Les VPN-konfigurasjonen og list opp kvart program han skal dekkje, og legg deretter til SSO-komponenten gjennom den dokumenterte kartleggingsmekanismen i staden for å gjette ein pakkeidentifikator. Å kartleggje den synlege klienten og ikkje komponenten bak han er den klassiske versjonen av denne feilen. Hald kartlegginga i same administrerte profil som utvidinga, slik at ei endring i den eine ikkje stille kan gjere den andre ugyldig. Test med ein brukar som aldri har logga på den Macen, fordi ein bufra billett kan få ein øydelagd veg til å sjå sunn ut, og test deretter igjen etter ei passordendring.

Ein nettlesaridentitetssesjon er ein annan kontrakt

Ein nettlesarsesjon har ikkje noko Kerberos-domene, ingen tenestebillett og ingen klokketoleranse i Kerberos-forstand. Han har ein utgivar, ein tokenlevetid og ein fornyingsveg, og feilmodusane er omdirigeringar som aldri fullførast og informasjonskapslar som eit privat vindauge kastar. Å handsame han som ein erstatning for billettvegen er berre trygt der programmet sjølv godtek den utgivaren. Å kopiere eit autentiseringssvar frå VPN-portalen til ein urelatert teneste er ikkje integrasjon, uansett kor praktisk snarvegen verkar.

Når begge mekanismane er rulla ut, dokumenter kva program som brukar kva, fordi støttesamtalen er avhengig av det. Ein brukar som rapporterer å vere pålogga men ikkje kan opne ei fildeling, skildrar to system, og svaret er at billettvegen aldri køyrde. Ein brukar som kan opne delinga men ikkje intranettportalen, skildrar det motsette, og å namngje mekanismen i saka sparar ein runde med spørsmål.

Gå gjennom sekvensen, ikkje delane

Gå gjennom heile kjeda med ein vanleg registrert konto: lokal pålogging, tunnel, billettinnhenting, deretter éin ekte operasjon mot ei teneste. Gjenta det etter at tunnelen har kopla til igjen og etter ei medviten passordendring, fordi kvart av desse tilfella trenar ein annan del av levetidslogikken. At kvart trinn består for seg sjølv, er ikkje det same som at kjeda verkar. Kjeda er det brukaren opplever, og det er det akseptansetesten må dekkje.

Noter profileigar, VPN-autentiseringsmetode, domeneoppdagingsveg og programkartlegginga til utvidinga på ein stad. Den registreringa er det som gjer flyten reproduserbar av nokon som ikkje bygde han. Kontroller deretter feilen du mest sannsynleg vil møte, ein utlopen billett medan tunnelen er nede, og stadfest at klienten kjem seg utan omstart, fordi ei utrullering som berre verkar frå kaldstart ikkje er ferdig.

Noter òg eigaren av kvart trinn, fordi eit Kerberos-domene ingen vedlikeheld vert utdatert. Ei kjeda ingen kan skildre, er ei kjeda ingen kan feilsøkje.