Stránka na zmenu hesla VPN: zladenie s úložiskom identít

Otvorte stránku na zmenu hesla a prečítajte si ju tak, ako by si ju prečítal používateľ, a potom sa opýtajte, ktorá služba skutočne vlastní prihlasovacie údaje. Stránka je formulár; úložisko identít je autorita. Ak sa tieto dve nezhodujú, používateľ narazí na odmietnuté heslo, reset, ktorý nič neresetuje, alebo správu o úspechu, ktorá nič nemení. Prejsť tok od obrazovky k backendu je jediný spôsob, ako to zachytiť.

Začnite klasifikáciou operácie: bežná zmena, tok s expirovaným heslom alebo obnova po zabudnutom hesle.

Tri operácie, tri pracovné postupy

Bežná zmena predpokladá, že používateľ pozná aktuálne heslo a dokáže to preukázať. Tok s expirovaným heslom môže povoliť obmedzenú reláciu, v ktorej je povolená iba zmena. Obnova po zabudnutom hesle vyžaduje úplne iný dôkaz identity a môže byť delegovaná poskytovateľovi identity namiesto spracovania na bráne VPN. Každá má vlastný koncový bod, podporu backendu a pravidlá relácie a jeden formulár nemôže správne obslúžiť všetky tri.

Pri federovanom nasadení brána nemusí vôbec zbierať nové heslo. Skontrolujte, či tok presmerúva k poskytovateľovi identity a či text stránky stále opisuje lokálny formulár.

Odkiaľ politika skutočne pochádza

Opýtajte sa vlastníka identity na povolenú dĺžku, znakovú sadu a akékoľvek platné obmedzenia, potom napíšte pokyny, ktoré tomu zodpovedajú. Vymýšľanie pravidiel zloženia v texte pomoci alebo sľubovanie prijatia, ktoré backend odmieta, oboje vytvára tikety podpory. Usmernenia NIST k digitálnej identite sa prikláňajú k jasnému vedeniu a užitočnej spätnej väzbe namiesto svojvoľných pravidiel, pričom skutočná politika organizácie stále platí. Publikácia nie je dôkazom, že konkrétny adresár sa už správa takto.

Udržujte chybové správy užitočné bez úniku tajomstiev. Správa, ktorá opakuje čiastočne napísané heslo, alebo snímka obrazovky v tikete, ktorá ho obsahuje, menia artefakt podpory na odhalenie prihlasovacích údajov.

Formulácie zodpovedajúce backendu

Stránka by mala pomenovať pracovný postup, nie abstraktne opisovať politiku. Povedzte, kde sa zmena uskutočňuje, aký dôkaz sa vyžaduje a čo sa stane s ostatnými reláciami. Ak zmena odhlási používateľa všade, povedzte to; ak ponechá iné zariadenia aktívne, povedzte aj to. Zmätený používateľ, ktorý opakuje úspešnú zmenu, je náklad na podporu, ktorému lepšia formulácia zabráni.

Lokalizácia môže zmeniť tón pokynov; nemôže zmeniť to, čo backend prijíma.

Testujte tok, nie stránku

Použite povolený testovací účet a prejdite zdokumentovanú zmenu, prípad odmietnutia, prípad expirovaného hesla a následné prihlásenie. Kde je MFA alebo federálne presmerovanie súčasťou schváleného toku, prejdite aj to. Stránka, ktorá sa vykresľuje správne, overila prezentáciu a nič iné, pretože o dokončení operácie s prihlasovacími údajmi rozhoduje služba identity.

Zaznamenajte výsledok každého prípadu s použitým účtom a časom. Tok, ktorý raz funguje pre správcu a zlyháva pre bežného používateľa, je častý výsledok a práve záznam ho robí viditeľným.

Potom aktualizujte stránku, aby opisovala, čo sa skutočne stalo. To je celá úloha.