په Mac کې Kerberos SSO او VPN: د ننوتلو دوه لارې پرتله کړئ

دوه میکانزمونه په Mac کې یو شان خوږه پایله ورکوي او د ښکته خوا څخه په بشپړ ډول جلا چلند کوي۔ یو یې د SSO غزول شوې برخې له لارې Kerberos ټیکټونه اخلي او هغه برخه اخیستونکو اپلیکیشنونو ته ورکوي۔ بل یې د هویت چمتو کونکي سره د براوزر ناسته ساتي او ویب اپلیکیشنونو ته اجازه ورکوي چې هغه ومني۔ دوی په دې کې توپیر لري چې په شبکه کې ورته څه ته اړتیا ده، د دوی اسناد څومره دوام کوي او هغه شیبه چې تونل راغورځي څه پېښېږي۔

دوه میکانزمونه، یوه ننوتلو پرده

د ټیکټ پر بنسټ لاره په Kerberos ډومین، د کیلي ویش مرکز او له هغې سره سمون خوړونکې ساعت پورې تړلې ده۔ د براوزر لاره په رسېدونکي هویت چمتو کونکي، کوکي یا ټوکن او هغه کونکي ته باور لرونکي اپلیکیشن پورې تړلې ده۔ دواړه کولای شي د ننوتلو پر مهال پیل شي، نو ځکه یې یوه ځانګړتیا ګڼي۔ اپلیکیشنونه فیصله کوي چې کوم یو ومني، او Mac کولای شي دواړه په یو وخت کې په قانوني توګه وچلوي۔

دوی پرتله کړئ په دې پوښتل چې کاروونکی اپلیکیشن پرانیزي، هغه څه ګوري۔ د Kerberos ډومین سره تړلې دوتنې خدمت د خدمت ټیکټ غواړي، او د براوزر ناستې هېڅ اندازه به یې راضي نه کړي۔ د نوي هویت چمتو کونکي شاته ویب اپلیکیشن د هغه چمتو کونکي ټوکن غواړي او Kerberos ټیکټ په بشپړ ډول نه ګوري۔ کله چې پوه شوئ کومه ګڼنه کېږي، د ځای پر ځای کولو پوښتنې عمومي نه، بلکې ځانګړې کېږي۔

Kerberos غزول شوې برخې ته په شبکه کې څه ته اړتیا ده

د Apple د Kerberos SSO غزول شوې برخې لارښود د Active Directory اصلي تصدیق د فعال ټیکټ ترلاسه کولو سره تشریح کوي، چې د ډومین تړلو پر ځای له محلي حسابونو سره جوړه ده۔ هغه څه چې نه شي کولای دا دي چې د ډومین کنټرولرونو ته لاره جوړه کړي۔ Mac ته د Kerberos خدمت ریکارډونو ته ځواب ویونکی حل کوونکی او د تصویب شوي تونل له لارې هغو ته رسېدونکې لاره ته اړتیا ده۔ پاکه نصب شوې پروفایل تر هغې پورې څه نه ثابتوي چې ډومین له کلاینټ څخه واقعاً کشف شي۔

له اسنادو څخه مخکې کشف وګورئ: د Kerberos ډومین SRV ریکارډونه باید حل شي، او هغه پته چې بیرته راګرځوي باید VPN له پورته کېدو وروسته رسېدونکې وي۔ وخت هم د رسېدو په اندازه مهم دی، ځکه Kerberos هغه غوښتنې ردوي چې له خپل زغم څخه وتلې ساعت څخه راغلې وي، او هغه تېروتنه چې جوړوي د تصدیق ناکامي ښکاري۔ هغه Mac چې د تونل د بندېدو پر مهال د وخت سرچینې ته نه رسېږي، د هغې د بېرته راتلو په شیبه کې بیا ناکامېږي۔ د ساعت سرچینه د پېښې غبرګون په توګه نه، بلکې د ځای پر ځای کولو برخې په توګه سمه کړئ۔

klist
sudo sntp -sS time.apple.com

د هر اپ لپاره VPN فیصله کوي چې غزول شوې برخه کار کولای شي که نه

بشپړ تونل هر څه لارښوونه کوي او دا ستونزه پټوي۔ د هر اپ لپاره ترتیب یوازې هغه اپلیکیشنونه لارښوونه کوي چې په VPN پروفایل کې نومول شوي، او SSO غزول شوې برخه پخپله هغه بهیر دی چې د ټیکټونو راوړلو لپاره شبکه غواړي۔ که په نقشه کې نه وي، محلي ننوتل بریالي کېږي، تونل د براوزر لپاره پورته کېږي، او د ټیکټ ترلاسه کول بیا هم ناکامېږي۔

VPN ترتیب ولولئ او هرهغه اپلیکیشن لیست کړئ چې باید یې پوښښ وکړي، بیا SSO برخه د مستند شوې نقشې میتود له لارې اضافه کړئ، نه د بنډل پېژندونکي په اټکل کولو سره۔ د لیدونکي کلاینټ نقشه کول او د هغه شاته برخه نه نقشه کول د دې تېروتنې کلاسیکه بڼه ده۔ نقشه په هغه هماغه مدیریت شوې پروفایل کې وساتئ چې غزول شوې برخه پکې ده، تر څو د یو بدلون بل په خاموشۍ کې باطل نه کړي۔ له هغه کاروونکي سره وآزمویئ چې هېڅکله په هغه Mac کې نه دی ننوتلی، ځکه کیش شوی ټیکټ کولای شي ماتې لارې ته روغه بڼه ورکړي، بیا د پټنوم له بدلون وروسته بیا وآزمویئ۔

د براوزر هویت ناسته یو بل تړون دی

د براوزر ناسته کې هیڅ Kerberos ډومین، خدمت ټیکټ او په Kerberos معنا کې د ساعت زغم نشته۔ هغه یو خپرونکی، د ټوکن ژوند او تازه کولو لاره لري، او د هغې د ناکامۍ طریقې هغه لارښوونې دي چې هېڅکله بشپړې نه شي او هغه کوکي چې شخصي کړکۍ یې غورځوي۔ د ټیکټ لارې بدیل ګڼل یوازې هغه ځای کې خوندي دي چې اپلیکیشن پخپله هغه خپرونکی مني۔ د VPN پورټال څخه د تصدیق ځواب کاپي کول بې اړیکې خدمت ته یوځای کول نه دي، هر څومره چې لنډه لار اسانه ښکاره شي۔

کله چې دواړه میکانزمونه ځای پر ځای شوي، مستند کړئ چې کوم اپلیکیشنونه کوم یو کاروي، ځکه د ملاتړ خبرې اترې پرې تړلې دي۔ هغه کاروونکی چې وایي ننوتلی دی خو دوتنه شریکول نه شي پرانیستلای، دوه سیستمونه تشریح کوي، او ځواب دا دی چې د ټیکټ لاره هېڅکله ونه چلېده۔ هغه کاروونکی چې شریکول پرانیستلای شي خو انټرانیټ پورټال نه، هغه برعکس تشریح کوي، او په ټیکټ کې د میکانزم نوم اخیستل د پوښتنو یوه دوره خوندي کوي۔

تسلسل تعقیب کړئ، نه برخې

ټول زنځیر د عادي راجستر شوي حساب سره تعقیب کړئ: محلي ننوتل، تونل، د ټیکټ ترلاسه کول، بیا د یو خدمت پر وړاندې یو ریښتینی عمل۔ د تونل له بیاځلي نښلولو وروسته او له قصدي پټنوم بدلون وروسته یې تکرار کړئ، ځکه دغه هر حالت د ژوند منطق بېله برخه تمرینوي۔ د هر پړاو په جلا توګه تېرېدل د زنځیر د کار کولو سره یو شان نه دي۔ زنځیر هغه څه دي چې کاروونکی یې تجربه کوي، او هماغه باید د منلو قضیه پوښړه کړي۔

د پروفایل مالک، د VPN تصدیق طریقه، د ډومین کشف لاره او د غزول شوې برخې اپلیکیشن نقشه په یوه ځای کې ثبت کړئ۔ هماغه ریکارډ جریان د هغه چا لپاره بیا تولید وړ کوي چې دا یې نه دی جوړ کړی۔ بیا هغه ناکامي وګورئ چې تر ټولو ډېره به ورسره مخ شئ، د تونل د بندېدو پر مهال پای ته رسېدلی ټیکټ، او تایید کړئ چې کلاینټ پرته له بیاځلي پیل کېدو روغېږي، ځکه هغه ځای پر ځای کول چې یوازې له سړې پیل څخه کار کوي بشپړ نه دي۔

د هر پړاو مالک هم یاد کړئ، ځکه هغه Kerberos ډومین چې څوک پالنه یې نه کوي زوړ کېږي۔ هغه زنځیر چې څوک یې تشریح نه شي کولای، هغه زنځیر دی چې څوک یې ډیبګ نه شي کولای۔