Viscosity lembrou a senha: o que aquela caixa fez

Aquela caixa de seleção no prompt de login parece uma preferência do cliente, mas numa máquina gerida é muitas vezes uma decisão de política. O controle de lembrança do Viscosity guarda a credencial no Keychain do macOS quando a implantação permite o armazenamento. O mito é que a caixa é sempre sua para definir. Na prática, três coisas separadas podem bloqueá-la, e apenas uma delas tem a ver com a senha.

O que a caixa realmente guarda

Selecionar a opção de lembrar pede ao cliente que mantenha o valor para aquela única ligação e conta. O item vai para o Keychain, e logins posteriores reutilizam-no através do prompt suportado em vez de uma preferência oculta. Nada é escrito no próprio ficheiro de ligação. Essa separação também explica por que remover o item mais tarde produz um prompt em vez de um perfil quebrado.

O valor guardado é uma entrada para a autenticação que o servidor ia realizar de qualquer forma. Não altera o que o gateway exige, não contorna um segundo fator e não transforma um código de uso único num segredo reutilizável. O que encurta é a digitação, não a política que a implantação aplica a essa conta.

Por que o controle pode faltar

Um administrador pode desativar o armazenamento de credenciais numa instalação gerida, e a SparkLabs documenta o controle de lembrança juntamente com o seu comportamento no Keychain no guia de armazenamento de credenciais. Quando a caixa falta, não está avariada, e procurar um comando de preferências que a contorne é a resposta errada.

Pergunte ao proprietário qual fluxo de trabalho suportado se aplica em vez disso. Uma implantação que proíbe o armazenamento costuma ter uma razão, e a razão é muitas vezes que a conta é partilhada, o dispositivo não é de confiança ou a credencial deve expirar segundo um calendário. Contornar a definição transforma um controle intencional num incidente, e o incidente costuma chegar com a auditoria de outra pessoa anexada.

Numa instalação não gerida, um controle em falta é uma pergunta de suporte com um número de versão anexado. Envie a compilação instalada do cliente e o que o prompt mostra realmente, em vez de adivinhar valores predefinidos ocultos.

Três prompts que não são o mesmo prompt

Um código de uso único não é uma senha, uma senha não é uma autorização do Keychain, e uma rejeição do servidor não é nenhum dos três. Misturá-los produz falhas que se leem como credenciais erradas quando o problema real é um campo, um diálogo ou uma rota.

O diálogo do Keychain é local por conceção. Pergunta se esta aplicação pode ler este item nesta máquina, e aprová-lo não diz nada ao servidor VPN.

Por isso, negar o diálogo produz uma falha do lado do cliente que o servidor nunca vê, enquanto uma senha errada produz uma rejeição do lado do servidor que o cliente só pode comunicar. Leia o diálogo antes de responder, e verifique se a aplicação que pede é o cliente que espera e não um instalador ou um processo auxiliar. A distinção importa mais em máquinas partilhadas, onde o item pode ser acessível a mais de uma conta.

Um segundo fator fica fora de tudo isto. Guardar uma senha não guarda o código, e uma implantação que exige o código continua a exigi-lo em cada ligação. Mantenha esse passo visível durante os testes, porque um fluxo que o ignora em silêncio não é o fluxo que configurou.

Recuperar uma credencial sem repor o resto

Se a autenticação falhar após uma mudança de senha, use o caminho documentado de novo prompt e atualização do cliente para essa única ligação em vez de editar o Keychain à mão. Leia a mensagem antes de substituir algo, porque um tempo limite, uma rejeição de certificado ou uma rota em falta não se reparam sobrescrevendo uma senha guardada. Fazê-lo repetidamente sobretudo treina-o para ignorar o erro que o cliente mostra. Atualize a credencial afetada, depois volte a ligar e observe que prompt aparece.

A reposição completa do Keychain que os fóruns de suporte sugerem é uma mudança muito maior do que o problema. A senha guardada de uma ligação não tem nada a ver com o certificado de outra, e apagar tudo transforma um único item obsoleto numa tarde inteira de reinscrição.

Termine desligando e voltando a ligar através dos controles normais, confirmando que a conta pretendida é usada e que remover o item guardado produz um prompt em vez de uma falha. Reutilização previsível com uma forma clara de atualizar ou remover a credencial é o resultado que vale a pena testar.