Kerberos SSO a VPN na Macu: porovnajte dve cesty prihlásenia

Dva mechanizmy dávajú na Macu rovnaký príjemný výsledok a vo vnútri sa správajú úplne inak. Jeden získava kerberosové lístky cez rozšírenie SSO a odovzdáva ich zúčastneným aplikáciám. Druhý udržiava reláciu prehliadača u poskytovateľa identity a necháva webové aplikácie, aby ju akceptovali. Líšia sa v tom, čo potrebujú v sieti, ako dlho vydržia ich prihlasovacie údaje a čo sa stane v okamihu, keď tunel spadne.

Dva mechanizmy, jedna prihlasovacia obrazovka

Cesta založená na lístkoch závisí od domény Kerberos, centra distribúcie kľúčov a hodín, ktoré sú s ňou v súlade. Cesta prehliadača závisí od dostupného poskytovateľa identity, cookie alebo tokenu a aplikácie, ktorá tomuto vydavateľovi dôveruje. Obe možno nastaviť tak, aby sa spustili pri prihlásení, a preto sa považujú za rovnakú funkciu. Aplikácie rozhodujú, ktorú z tých dvoch prijmú, a Mac môže legitímne prevádzkovať obe súčasne.

Porovnajte ich tak, že sa opýtate, čo aplikácia kontroluje, keď ju používateľ otvorí. Súborová služba pripojená k doméne Kerberos chce servisný lístok a žiadne množstvo relácie prehliadača to nesplní. Webová aplikácia za moderným poskytovateľom identity chce token tohto poskytovateľa a kerberosový lístok úplne ignoruje. Keď viete, ktorá kontrola prebieha, otázky nasadenia sa stanú konkrétnymi namiesto všeobecných.

Čo rozšírenie Kerberos potrebuje v sieti

Apple v príručke k rozšíreniu Kerberos SSO opisuje natívne overovanie v Active Directory s proaktívnym získavaním lístkov, spojené s miestnymi účtami namiesto väzby na doménu. Čo nedokáže, je vymyslieť cestu k radičom domény. Mac potrebuje prekladač, ktorý odpovedá na kerberosové servisné záznamy, a trasu, ktorá sa k nim dostane cez schválený tunel. Profil, ktorý sa čisto nainštaluje, nič nedokazuje, kým doménu nemožno skutočne objaviť z klienta.

Skontrolujte zisťovanie skôr než prihlasovacie údaje: záznamy SRV pre doménu Kerberos sa musia preložiť a adresy, ktoré vracajú, musia byť dostupné, keď je VPN hore. Čas je rovnako dôležitý ako dostupnosť, pretože Kerberos odmieta požiadavky z hodín, ktoré sa odchýlili nad jeho toleranciu, a chyba, ktorú to vyprodukuje, vyzerá ako zlyhanie overenia. Mac, ktorý sa nedostane k zdroju času, kým je tunel dole, zlyhá znova v okamihu, keď sa vráti. Opravte zdroj času ako súčasť nasadenia, nie ako reakciu na incident.

klist
sudo sntp -sS time.apple.com

VPN pre jednotlivé aplikácie rozhoduje, či rozšírenie môže fungovať

Plný tunel smeruje všetko a tento problém skrýva. Konfigurácia pre jednotlivé aplikácie smeruje len aplikácie uvedené v profile VPN a rozšírenie SSO je samo proces, ktorý na získanie lístkov potrebuje sieť. Ak v mapovaní nie je, miestne prihlásenie uspeje, tunel sa prehliadaču zdvihne a získanie lístkov napriek tomu zlyhá.

Prečítajte si konfiguráciu VPN a vypíšte každú aplikáciu, ktorú má pokrývať, potom pridajte komponent SSO cez dokumentovaný mechanizmus mapovania, nie hádaním identifikátora balíka. Namapovať viditeľného klienta a nie komponent za ním je klasická verzia tejto chyby. Udržujte mapovanie v rovnakom spravovanom profile ako rozšírenie, aby zmena jedného nemohla ticho zneplatniť druhé. Testujte s používateľom, ktorý sa na tom Macu nikdy neprihlásil, pretože uložený lístok môže spôsobiť, že pokazená cesta vyzerá zdravo, a potom test zopakujte po zmene hesla.

Relácia identity v prehliadači je iná zmluva

Relácia prehliadača nemá doménu Kerberos, servisný lístok ani toleranciu hodín v kerberosovom zmysle. Má vydavateľa, životnosť tokenu a cestu obnovy a jej režimy zlyhania sú presmerovania, ktoré sa nikdy nedokončia, a cookies, ktoré súkromné okno zahodí. Považovať ju za náhradu cesty lístkov je bezpečné len tam, kde aplikácia sama tohto vydavateľa akceptuje. Kopírovanie autentizačnej odpovede z portálu VPN do nesúvisiacej služby nie je integrácia, nech už skratka vyzerá akokoľvek pohodlne.

Keď sú nasadené oba mechanizmy, zdokumentujte, ktoré aplikácie používajú ktorý, pretože na tom závisí rozhovor s podporou. Používateľ, ktorý hlási, že je prihlásený, ale nemôže otvoriť súborovú zdieľanú zložku, opisuje dva systémy a odpoveďou je, že cesta lístkov nikdy nebežala. Používateľ, ktorý otvorí zdieľanú zložku, ale nie intranetový portál, opisuje opak, a pomenovanie mechanizmu v tikete ušetrí jedno kolo otázok.

Prejdite postupnosť, nie časti

Prejdite celú reťaz s bežným zaregistrovaným účtom: miestne prihlásenie, tunel, získanie lístkov a potom jedna skutočná operácia voči službe. Zopakujte to po opätovnom pripojení tunela a po úmyselnej zmene hesla, pretože každý z týchto prípadov precvičuje inú časť logiky životnosti. To, že každá fáza prejde sama o sebe, nie je to isté ako fungujúca reťaz. Reťaz je to, čo používateľ zažíva, a to musí pokryť akceptačný test.

Zaznamenajte vlastníka profilu, metódu overovania VPN, cestu zisťovania domény a mapovanie aplikácií rozšírenia na jedno miesto. Práve tento záznam robí tok reprodukovateľným pre niekoho, kto ho nestaval. Potom skontrolujte zlyhanie, s ktorým sa najpravdepodobnejšie stretnete, vypršaný lístok pri vypnutom tuneli, a potvrďte, že sa klient zotaví bez reštartu, pretože nasadenie, ktoré funguje len zo studeného štartu, nie je hotové.

Poznamenajte si aj vlastníka každej fázy, pretože doména Kerberos, o ktorú sa nikto nestará, zostarne. Reťaz, ktorú nikto nedokáže opísať, je reťaz, ktorú nikto nedokáže ladiť.