Zašto jedan OTP ne može pokriti Wi-Fi, VPN i registar

Jedinstvena prijava obećava jedan identitet i manje upita, ali obećanje se lomi na trećem protokolu. Zamka je pretpostavka da jedna uspešna autentifikacija stvara token koji svaki drugi protokol može predstaviti. Pristup Wi-Fi mreži, ulaz u VPN i registar kontejnera svaki sprovodi drugačiju razmenu, sa različitim publikama i rokovima. Deljenje naloga odluka je imenika; deljenje akreditiva odluka je protokola, a protokoli se retko slažu.

Tri razmene, tri vlasnika

Poslovni Wi-Fi izvodi EAP metodu unutar 802.1X, obično je zaključuje RADIUS servis koji ima sopstveni pogled na korisnika ili uređaj. VPN pristupnik autentifikuje se kroz sopstveni podržani tok i zatim drži sesiju sa sopstvenim meračem ponovne autentifikacije. Registar odgovara na neautentifikovani zahtev izazovom koji imenuje servis tokena, publiku i opseg, a klijent razmenjuje svoj akreditiv za kratkotrajni token.

To nisu tri pogleda na jednu sesiju. Svaki ima sopstveni proverivač, sopstveni rok i sopstveni put opoziva, zbog čega promena lozinke u imeniku može ostaviti jedan od njih radnim, a drugi slomljenim. Tretirajte ih kao tri integracije koje slučajno dele korisnički imenik.

Šta SSO u pregledaču prenosi, a šta ne

Sesija pregledača kod davalaca identiteta uistinu je korisna: aplikacije koje preusmeravaju na njega nasleđuju prijavu koju je korisnik već završio. To funkcioniše jer te aplikacije govore iste protokole preusmeravanja i tokena i prihvataju istu publiku. Tražilac koji govori EAP nema preusmeravanja da prati, a Docker klijent koji primi izazov registra ne traži OIDC token identiteta. Davalac identiteta može da jamči samo za protokole za koje je izgrađen.

Kvar je lako videti u zapisima kad znate gde da gledate. Davalac identiteta izveštava o uspešnoj prijavi dok povezivanje sa Wi-Fi mrežom još uvek ne uspeva, ili registar vraća 401 nakon razmene tokena koju pregledač nikad nije video. Dva uspeha i jedan kvar nisu protivrečje; to su tri odvojene autentifikacije.

Gde sertifikat zamenjuje ponovljeni kod

Za upravljane uređaje EAP zasnovan na sertifikatima uklanja ljudski korak bez uklanjanja identiteta: uređaj predstavlja sertifikat, RADIUS servis ga proverava kod izdavaoca, a opoziv se događa kod tog izdavaoca, a ne u deljenoj tajni. Cena je rad na životnom ciklusu, jer sertifikati ističu i moraju se obnoviti pre toga.

Registri imaju jednakovrednu podelu. Interaktivni korisnik može se prijaviti jednom i pustiti pomoćnika za akreditive da sačuva dobijeni token, dok automatizacija treba da koristi usko ograničen servisni akreditiv ili identitet radnog opterećenja. Ni jedno ne bi smelo biti čovekov jednokratni kod kopiran u cevovod. Pomoćnik čuva token za određenu publiku registra, pa se ne može preusmeriti na VPN pristupnik uređivanjem konfiguracione datoteke.

docker login registry.example.com

Uporedite trošak održavanja, ne broj upita

Deljeni akreditiv izgleda jeftin jer je rad nevidljiv dok se ne pokvari. Umesto toga izbrojte šta svaka opcija košta tokom godine: upis, obnova, opoziv, domet posledica curenja i broj sistema dotaknutih kad neko ode. Flota sertifikata skuplja je za izgradnju i jeftinija za pogon u merilu; kopirani kod ne košta ništa za početak i sve za razmotavanje.

Zatim birajte po segmentu, a ne globalno. Wi-Fi može preći na sertifikate, VPN može zadržati podržani SSO sa MFA, a registar može koristiti tokene sa izričitim opsezima. Zabeležite vlasnika, publiku, opseg, istek i put opoziva za svaki, i upiti će pasti gde treba umesto svuda odjednom. Taj zapis je i odgovor kad revizor pita koji sistemi još veruju lozinci.