Por que um único OTP não cobre Wi-Fi, VPN e um registro

O login único promete uma identidade e menos avisos, e a promessa quebra no terceiro protocolo. A armadilha é supor que uma autenticação bem-sucedida produz um token que qualquer outro protocolo possa apresentar. O acesso Wi-Fi, a entrada VPN e um registro de contêineres executam cada um uma troca diferente, com públicos e vidas úteis diferentes. Compartilhar a conta é uma decisão de diretório; compartilhar a credencial é uma decisão de protocolo, e os protocolos raramente concordam.

Três trocas, três proprietários

O Wi-Fi corporativo executa um método EAP dentro de 802.1X, geralmente terminado por um serviço RADIUS que tem a própria visão do usuário ou do dispositivo. Um gateway VPN autentica pelo próprio fluxo compatível e depois mantém uma sessão com o próprio temporizador de reautenticação. Um registro responde a uma solicitação não autenticada com um desafio que nomeia um serviço de tokens, um público e um escopo, e o cliente troca a credencial por um token de curta duração.

Não são três visões de uma única sessão. Cada um tem o próprio verificador, a própria vida útil e o próprio caminho de revogação, por isso uma troca de senha no diretório pode deixar um funcionando e o outro quebrado. Trate-os como três integrações que por acaso compartilham um diretório de usuários.

O que o SSO do navegador leva e o que não leva

Uma sessão de navegador em um provedor de identidade é realmente útil: as aplicações que redirecionam para ele herdam o login que o usuário já concluiu. Isso funciona porque essas aplicações falam os mesmos protocolos de redirecionamento e de token e aceitam o mesmo público. Um suplicante que fala EAP não tem nenhum redirecionamento a seguir, e um cliente Docker que recebe um desafio do registro não pede um token de identidade OIDC. O provedor de identidade só pode responder pelos protocolos para os quais foi construído.

A falha é fácil de ver nos registros quando você sabe onde olhar. O provedor de identidade informa um login bem-sucedido enquanto a associação Wi-Fi ainda falha, ou o registro devolve 401 após uma troca de token que o navegador nunca viu. Dois sucessos e uma falha não são contradição; são três autenticações separadas.

Onde um certificado substitui um código repetido

Para dispositivos gerenciados, o EAP baseado em certificado remove a etapa humana sem remover a identidade: o dispositivo apresenta um certificado, o serviço RADIUS o verifica junto à autoridade emissora, e a revogação acontece nessa autoridade em vez de em um segredo compartilhado. O preço é trabalho de ciclo de vida, porque os certificados expiram e devem ser renovados antes disso.

Os registros têm uma divisão equivalente. Um usuário interativo pode entrar uma vez e deixar um assistente de credenciais guardar o token resultante, enquanto a automação deve usar uma credencial de serviço de escopo estreito ou uma identidade de carga de trabalho. Nenhuma das duas deve ser o código de uso único de uma pessoa copiado para um pipeline. O assistente guarda um token para um público específico do registro, então não pode ser redirecionado ao gateway VPN editando um arquivo de configuração.

docker login registry.example.com

Compare o custo de manutenção, não o número de avisos

Uma credencial compartilhada parece barata porque o trabalho é invisível até falhar. Em vez disso, conte quanto cada opção custa ao longo de um ano: inscrição, renovação, revogação, o raio de impacto de um vazamento e o número de sistemas tocados quando alguém sai. Uma frota de certificados custa mais para construir e menos para operar em escala; um código copiado não custa nada para começar e custa tudo para desfazer.

Depois escolha por trecho em vez de globalmente. O Wi-Fi pode migrar para certificados, a VPN pode manter o SSO compatível com MFA, e o registro pode usar tokens com escopos explícitos. Registre o proprietário, o público, o escopo, a expiração e o caminho de revogação de cada um, e os avisos cairão onde devem em vez de em toda parte de uma vez. Esse registro também é a resposta quando um auditor pergunta quais sistemas ainda confiam em uma senha.