Pse një OTP i vetëm nuk mbulon Wi-Fi, VPN dhe një regjistër

Hyrja e vetme premton një identitet dhe më pak kërkesa, dhe premtimi thyhet në protokollin e tretë. Kurthi është të supozohet se një autentikim i suksesshëm prodhon një token që çdo protokoll tjetër mund ta paraqesë. Hyrja në Wi-Fi, hyrja në VPN dhe një regjistër kontejnerësh kryejnë secili një shkëmbim të ndryshëm, me audience dhe jetëgjatësi të ndryshme. Ndarja e llogarisë është vendim i drejtorisë; ndarja e kredencialeve është vendim i protokollit, dhe protokollet rrallë bien dakord.

Tre shkëmbime, tre pronarë

Wi-Fi i ndërmarrjes ekzekuton një metodë EAP brenda 802.1X, zakonisht e përfunduar nga një shërbim RADIUS që ka pamjen e vet për përdoruesin ose pajisjen. Një portë VPN autentikohet përmes rrjedhës së vet të mbështetur dhe më pas mban një sesion me kohëmatësin e vet të riautentikimit. Një regjistër i përgjigjet një kërkese të paautentikuar me një sfidë që emërton një shërbim tokenësh, një audiencë dhe një shtrirje, dhe klienti shkëmben kredencialet e veta për një token afatshkurtër.

Këto nuk janë tre pamje të një sesioni. Secili ka verifikuesin e vet, jetëgjatësinë e vet dhe rrugën e vet të revokimit, prandaj një ndryshim fjalëkalimi në drejtori mund të lërë njërin duke punuar dhe tjetrin të prishur. Trajtojini si tre integrime që ndajnë rastësisht një drejtori përdoruesish.

Çfarë mbart SSO-ja e shfletuesit dhe çfarë jo

Një sesion shfletuesi te një ofrues identiteti është vërtet i dobishëm: aplikacionet që ridrejtojnë atje trashëgojnë hyrjen që përdoruesi ka përfunduar tashmë. Kjo funksionon sepse ato aplikacione flasin të njëjtat protokolle ridrejtimi dhe tokenësh dhe pranojnë të njëjtën audiencë. Një kërkues që flet EAP nuk ka asnjë ridrejtim për të ndjekur, dhe një klient Docker që merr një sfidë regjistri nuk kërkon një token identiteti OIDC. Ofruesi i identitetit mund të garantojë vetëm protokollet për të cilat është ndërtuar.

Dështimi shihet lehtë në regjistrat kur e dini ku të shikoni. Ofruesi i identitetit raporton një hyrje të suksesshme ndërsa shoqërimi me Wi-Fi ende dështon, ose regjistri kthen 401 pas një shkëmbimi tokeni që shfletuesi nuk e pa kurrë. Dy suksese dhe një dështim nuk janë kundërthënie; janë tre autentikime të ndara.

Ku një certifikatë zë vendin e një kodi të përsëritur

Për pajisjet e menaxhuara, EAP i bazuar në certifikatë heq hapin njerëzor pa hequr identitetin: pajisja paraqet një certifikatë, shërbimi RADIUS e kontrollon atë te autoriteti lëshues, dhe revokimi ndodh në atë autoritet në vend të një sekreti të përbashkët. Çmimi është puna e ciklit të jetës, sepse certifikatat skadojnë dhe duhet të rinovohen përpara se ta bëjnë.

Regjistrat kanë një ndarje ekuivalente. Një përdorues interaktiv mund të hyjë një herë dhe të lejojë një ndihmës kredencialesh të ruajë tokenin që rezulton, ndërsa automatizimi duhet të përdorë një kredencial shërbimi me shtrirje të ngushtë ose një identitet ngarkese pune. Asnjëra nuk duhet të jetë kodi njëpërdorimsh i një njeriu i kopjuar në një tubacion. Ndihmësi ruan një token për një audiencë të caktuar të regjistrit, kështu që nuk mund të ridrejtohet te porta VPN duke redaktuar një skedar konfigurimi.

docker login registry.example.com

Krahasoni koston e mirëmbajtjes, jo numrin e kërkesave

Një kredencial i përbashkët duket i lirë sepse puna është e padukshme derisa të dështojë. Numëroni në vend të kësaj sa kushton çdo opsion gjatë një viti: regjistrimi, rinovimi, revokimi, rrezja e ndikimit të një rrjedhjeje dhe numri i sistemeve që preken kur dikush largohet. Një flotë certifikatash kushton më shumë për t'u ndërtuar dhe më pak për t'u operuar në shkallë; një kod i kopjuar nuk kushton asgjë për të nisur dhe gjithçka për t'u zgjidhur.

Më pas zgjidhni për secilin segment, jo globalisht. Wi-Fi mund të kalojë në certifikata, VPN mund të mbajë SSO-në e mbështetur me MFA, dhe regjistri mund të përdorë tokenë me shtrirje eksplicite. Shënoni pronarin, audiencën, shtrirjen, skadimin dhe rrugën e revokimit për secilin, dhe kërkesat do të bien atje ku duhet, jo kudo njëherësh. Ai regjistrim është gjithashtu përgjigjja kur një auditor pyet cilat sisteme ende i besojnë një fjalëkalimi.