Mac Kerberos SSO i VPN: uporedite dva puta prijave

Dva mehanizma daju isti prijatan rezultat na Macu, a ispod površine se ponašaju potpuno različito. Jedan dobija Kerberos karte preko SSO proširenja i predaje ih aplikacijama koje u tome učestvuju. Drugi održava sesiju preglednika kod davatelja identiteta i pušta web aplikacije da je prihvate. Razlikuju se po tome što im treba na mreži, koliko dugo traju njihovi akreditivi i šta se dešava u trenutku kada tunel padne.

Dva mehanizma, jedan ekran za prijavu

Put zasnovan na kartama zavisi od Kerberos domena, centra za distribuciju ključeva i sata koji je s njim usklađen. Put preko preglednika zavisi od dostupnog davatelja identiteta, kolačića ili tokena i aplikacije koja vjeruje tom izdavatelju. Oba se mogu podesiti da počnu pri prijavi, zbog čega ih zamjenjuju za istu funkciju. Aplikacije odlučuju koje od dva prihvataju, a Mac može s pravom pokretati oba istovremeno.

Uporedite ih tako što ćete pitati šta aplikacija provjerava kada je korisnik otvori. Datotečna usluga pridružena Kerberos domenu traži servisnu kartu i nikakva količina sesije preglednika to neće zadovoljiti. Web aplikacija iza modernog davatelja identiteta traži token tog davatelja i potpuno ignoriše Kerberos kartu. Kada znate koja provjera se dešava, pitanja o postavljanju postaju konkretna umjesto općenita.

Šta Kerberos proširenju treba na mreži

Appleov vodič za Kerberos SSO proširenje opisuje izvornu provjeru identiteta u Active Directory sa proaktivnim pribavljanjem karata, uparenu s lokalnim računima umjesto vezivanja za domen. Ono što ne može jest izmisliti put do kontrolera domena. Macu treba razrješivač koji odgovara na Kerberos servisne zapise i ruta koja do njih dolazi kroz odobreni tunel. Profil koji se čisto instalira ne dokazuje ništa dok se domen zaista ne može otkriti s klijenta.

Provjerite otkrivanje prije provjere akreditiva: SRV zapisi za Kerberos domen moraju se razriješiti, a adrese koje vraćaju moraju biti dostupne kada VPN bude podignut. Vrijeme je jednako važno kao dostupnost, jer Kerberos odbija zahtjeve sa sata koji je odlutao izvan tolerancije, a greška koju proizvodi izgleda kao neuspjela provjera identiteta. Mac koji ne može doći do izvora vremena dok je tunel pao ponovo će pasti u trenutku kada se vrati. Popravite izvor vremena kao dio postavljanja, a ne kao reagovanje na incident.

klist
sudo sntp -sS time.apple.com

VPN po aplikaciji odlučuje može li proširenje raditi

Puni tunel usmjerava sve i skriva ovaj problem. Konfiguracija po aplikaciji usmjerava samo aplikacije navedene u VPN profilu, a SSO proširenje je i samo proces kojem treba mreža da bi pribavio karte. Ako ga nema u mapiranju, lokalna prijava uspijeva, tunel se podiže za preglednik, a pribavljanje karata i dalje ne uspijeva.

Pročitajte VPN konfiguraciju i navedite svaku aplikaciju koju treba pokriti, zatim dodajte SSO komponentu kroz dokumentirani mehanizam mapiranja, a ne pogađanjem identifikatora paketa. Mapirati vidljivog klijenta, a ne komponentu iza njega, klasična je verzija ove greške. Držite mapiranje u istom upravljanom profilu kao i proširenje, kako promjena jednog ne bi tiho poništila drugo. Testirajte s korisnikom koji se nikada nije prijavio na taj Mac, jer keširana karta može učiniti pokvaren put zdravim, a zatim testirajte ponovo nakon promjene lozinke.

Sesija identiteta u pregledniku je drugačiji ugovor

Sesija preglednika nema Kerberos domen, nema servisnu kartu i nema toleranciju sata u kerberoskom smislu. Ima izdavatelja, životni vijek tokena i put osvježavanja, a načini neuspjeha su preusmjeravanja koja se nikada ne završe i kolačići koje privatni prozor odbacuje. Tretirati je kao zamjenu za put karata sigurno je samo tamo gdje aplikacija sama prihvaća tog izdavatelja. Kopiranje odgovora provjere identiteta s VPN portala u nepovezanu uslugu nije integracija, koliko god prečica izgledala zgodna.

Kada su oba mehanizma postavljena, dokumentirajte koje aplikacije koriste koji, jer razgovor s podrškom zavisi od toga. Korisnik koji prijavi da je prijavljen ali ne može otvoriti datotečni resurs opisuje dva sistema, a odgovor je da put karata nikada nije pokrenut. Korisnik koji može otvoriti resurs ali ne i intranetni portal opisuje obrnuto, a imenovanje mehanizma u prijavi štedi jedan krug pitanja.

Prođite slijed, a ne dijelove

Prođite cijeli lanac s običnim upisanim računom: lokalna prijava, tunel, pribavljanje karata, zatim jedna stvarna radnja prema usluzi. Ponovite to nakon ponovnog povezivanja tunela i nakon namjerne promjene lozinke, jer svaki od tih slučajeva vježba drugi dio logike trajanja. To što svaka faza prolazi sama za sebe nije isto kao lanac koji radi. Lanac je ono što korisnik doživljava i to je ono što prijemni test mora pokriti.

Zapišite vlasnika profila, metodu provjere identiteta VPN-a, put otkrivanja domena i mapiranje aplikacija proširenja na jednom mjestu. Taj zapis čini tok reproducibilnim za nekoga ko ga nije gradio. Zatim provjerite neuspjeh koji ćete najvjerovatnije sresti, isteklu kartu dok je tunel pao, i potvrdite da se klijent oporavlja bez ponovnog pokretanja, jer postavljanje koje radi samo iz hladnog starta nije završeno.

Zabilježite i vlasnika svake faze, jer Kerberos domen o kojem nitko ne brine postaje zastario. Lanac koji nitko ne može opisati jest lanac koji nitko ne može otkloniti greške.