Kerberos SSO in VPN na Macu: primerjajte dve poti prijave

Dva mehanizma dajeta na Macu enak prijazen rezultat in se pod površjem obnašata povsem različno. Eden pridobiva vozovnice Kerberos prek razširitve SSO in jih predaja sodelujočim aplikacijam. Drugi ohranja sejo brskalnika pri ponudniku identitete in dovoljuje spletnim aplikacijam, da jo priznajo. Razlikujeta se v tem, kaj potrebujeta v omrežju, kako dolgo veljajo njune poverilnice in kaj se zgodi v trenutku, ko tunel pade.

Dva mehanizma, en zaslon za prijavo

Pot na podlagi vozovnic je odvisna od domene Kerberos, centra za distribucijo ključev in ure, ki se z njo ujema. Pot brskalnika je odvisna od dosegljivega ponudnika identitete, piškotka ali žetona in aplikacije, ki zaupa temu izdajatelju. Obe je mogoče nastaviti, da se začneta ob prijavi, zato ju zamenjujejo za isto funkcijo. Aplikacije odločajo, katero od obeh sprejmejo, in Mac lahko zakonito izvaja obe hkrati.

Primerjajte ju z vprašanjem, kaj aplikacija preverja, ko jo uporabnik odpre. Datotečna storitev, pridružena domeni Kerberos, želi storitveno vozovnico in nobena količina seje brskalnika je ne bo zadovoljila. Spletna aplikacija za sodobnim ponudnikom identitete želi žeton tega ponudnika in vozovnico Kerberos popolnoma prezre. Ko veste, katero preverjanje poteka, postanejo vprašanja uvajanja konkretna in ne splošna.

Kaj razširitev Kerberos potrebuje v omrežju

Applov vodnik po razširitvi Kerberos SSO opisuje vgrajeno preverjanje pristnosti Active Directory s proaktivnim pridobivanjem vozovnic, povezano z lokalnimi računi namesto vezave na domeno. Česar ne zmore, je izmisliti pot do krmilnikov domene. Mac potrebuje razreševalnik, ki odgovarja na storitvene zapise Kerberos, in pot, ki jih doseže skozi odobreni tunel. Profil, ki se namesti čisto, ničesar ne dokaže, dokler domene ni mogoče dejansko odkriti s odjemalca.

Preverite odkrivanje, preden preverite poverilnice: zapisi SRV za domeno Kerberos se morajo razrešiti, naslovi, ki jih vrnejo, pa morajo biti dosegljivi, ko je VPN vzpostavljen. Čas je enako pomemben kot dosegljivost, ker Kerberos zavrača zahteve z ure, ki je zanihala prek svoje tolerance, in napaka, ki jo to povzroči, je videti kot neuspeh preverjanja pristnosti. Mac, ki ne doseže vira časa, medtem ko je tunel spuščen, bo spet odpovedal v trenutku, ko se vrne. Popravite vir časa kot del uvajanja in ne kot odziv na incident.

klist
sudo sntp -sS time.apple.com

VPN za posamezne aplikacije odloča, ali lahko razširitev deluje

Poln tunel usmerja vse in skrije to težavo. Konfiguracija za posamezne aplikacije usmerja le aplikacije, navedene v profilu VPN, razširitev SSO pa je sama proces, ki potrebuje omrežje za pridobivanje vozovnic. Če je ni v preslikavi, lokalna prijava uspe, tunel se dvigne za brskalnik, pridobivanje vozovnic pa še vedno spodleti.

Preberite konfiguracijo VPN in naštejte vsako aplikacijo, ki naj bi jo pokrivala, nato dodajte komponento SSO prek dokumentiranega mehanizma preslikave, ne z ugibanjem identifikatorja paketa. Preslikati vidnega odjemalca in ne komponente za njim je klasična različica te napake. Preslikavo hranite v istem upravljanem profilu kot razširitev, da sprememba ene ne more tiho razveljaviti druge. Preizkusite z uporabnikom, ki se na tem Macu še nikoli ni prijavil, ker lahko predpomnjena vozovnica naredi pokvarjeno pot videti zdravo, nato preizkusite znova po spremembi gesla.

Seja identitete v brskalniku je druga pogodba

Seja brskalnika nima domene Kerberos, storitvene vozovnice in tolerance ure v smislu Kerberosa. Ima izdajatelja, življenjsko dobo žetona in pot osvežitve, njeni načini odpovedi pa so preusmeritve, ki se nikoli ne končajo, in piškotki, ki jih zasebno okno zavrže. Obravnavati jo kot nadomestilo za pot vozovnic je varno le tam, kjer aplikacija sama sprejme tega izdajatelja. Kopiranje odgovora preverjanja pristnosti s portala VPN v nepovezano storitev ni integracija, ne glede na to, kako priročna se zdi bližnjica.

Ko sta uvedena oba mehanizma, dokumentirajte, katere aplikacije uporabljajo katerega, ker je pogovor s podporo odvisen od tega. Uporabnik, ki poroča, da je prijavljen, a ne more odpreti datotečne delitve, opisuje dva sistema, odgovor pa je, da pot vozovnic ni nikoli stekla. Uporabnik, ki lahko odpre delitev, ne pa intranetnega portala, opisuje nasprotno, in poimenovanje mehanizma v prijavi prihrani en krog vprašanj.

Pojdite skozi zaporedje, ne skozi dele

Pojdite skozi celotno verigo z običajnim vpisanim računom: lokalna prijava, tunel, pridobivanje vozovnic, nato ena resnična operacija proti storitvi. Ponovite po ponovni povezavi tunela in po namerni spremembi gesla, ker vsak od teh primerov uri drug del logike življenjske dobe. To, da vsaka stopnja uspe sama zase, ni isto kot delujoča veriga. Veriga je tisto, kar uporabnik doživi, in to mora pokriti sprejemni primer.

Zabeležite lastnika profila, metodo preverjanja pristnosti VPN, pot odkrivanja domene in preslikavo aplikacij razširitve na enem mestu. Ta zapis naredi tok ponovljiv za nekoga, ki ga ni zgradil. Nato preverite odpoved, s katero se boste najverjetneje srečali, poteklo vozovnico med spuščenim tunelom, in potrdite, da si odjemalec opomore brez ponovnega zagona, ker uvajanje, ki deluje le iz hladnega zagona, ni dokončano.

Zabeležite tudi lastnika vsake stopnje, ker domena Kerberos, za katero nihče ne skrbi, postane zastarela. Veriga, ki je nihče ne zna opisati, je veriga, ki je nihče ne zna razhroščevati.