Kerberos SSO и VPN на Mac-у: упоредите два пута пријаве

Два механизма дају исти пријатан резултат на Mac-у, а испод површине се понашају потпуно различито. Један добија Kerberos карте преко SSO проширења и предаје их апликацијама које учествују. Други одржава сесију прегледача код даваоца идентитета и пушта веб-апликације да је прихвате. Разликују се по ономе што им је потребно на мрежи, колико дуго трају њихови акредитиви и шта се дешава у тренутку када тунел падне.

Два механизма, један екран за пријаву

Пут заснован на картама зависи од Kerberos домена, центра за дистрибуцију кључева и сата који је с њим усклађен. Пут преко прегледача зависи од доступног даваоца идентитета, колачића или токена и апликације која верује том издаваоцу. Оба могу да се подесе да почну при пријави, због чега се мешају са истом функцијом. Апликације одлучују које од два прихватају, а Mac може с правом да покреће оба истовремено.

Упоредите их тако што ћете питати шта апликација проверава када је корисник отвори. Дататечна услуга придружена Kerberos домену тражи сервисну карту и никаква количина сесије прегледача то неће задовољити. Веб-апликација иза модерног даваоца идентитета тражи токен тог даваоца и потпуно игнорише Kerberos карту. Када знате која провера се дешава, питања о распоређивању постају конкретна уместо општа.

Шта Kerberos проширењу треба на мрежи

Apple-ов водич за Kerberos SSO проширење описује изворну Active Directory проверу идентитета са проактивним прибављањем карата, упарену са локалним налозима уместо везивања за домен. Оно што не може јесте да измисли пут до контролера домена. Mac-у треба разрешивач који одговара на Kerberos сервисне записе и рута која до њих долази кроз одобрени тунел. Профил који се чисто инсталира не доказује ништа док се домен заиста не може открити са клијента.

Проверите откривање пре провере акредитива: SRV записи за Kerberos домен морају да се разреше, а адресе које враћају морају бити доступне када се VPN подигне. Време је једнако важно као доступност, јер Kerberos одбија захтеве са сата који је одлутао изван толеранције, а грешка која настаје изгледа као неуспешна провера идентитета. Mac који не може да дође до извора времена док је тунел спуштен поново ће пасти у тренутку када се врати. Поправите извор времена као део распоређивања, а не као одговор на инцидент.

klist
sudo sntp -sS time.apple.com

VPN по апликацији одлучује да ли проширење може да ради

Пун тунел усмерава све и скрива овај проблем. Конфигурација по апликацији усмерава само апликације наведене у VPN профилу, а SSO проширење је и само процес коме је потребна мрежа да би прибавило карте. Ако га нема у мапирању, локална пријава успева, тунел се подиже за прегледач, а прибављање карата и даље не успева.

Прочитајте VPN конфигурацију и наведите сваку апликацију коју треба да покрије, затим додајте SSO компоненту кроз документовани механизам мапирања, а не погађањем идентификатора пакета. Мапирати видљивог клијента, а не компоненту иза њега, класична је верзија ове грешке. Држите мапирање у истом управљаном профилу као проширење, да промена у једном не би тихо поништила друго. Тестирајте са корисником који се никада није пријавио на тај Mac, јер кеширана карта може да учини покварен пут здравим, а затим тестирајте поново после промене лозинке.

Сесија идентитета у прегледачу је други уговор

Сесија прегледача нема Kerberos домен, нема сервисну карту и нема толеранцију сата у смислу Kerberos-а. Има издаваоца, животни век токена и пут за освежавање, а њени начини неуспеха су преусмеравања која се никада не завршавају и колачићи које приватни прозор одбацује. Третирати је као замену за пут карата безбедно је само тамо где сама апликација прихвата тог издаваоца. Копирање одговора провере идентитета са VPN портала у неповезану услугу није интеграција, колико год кратак пут изгледао згодно.

Када су оба механизма распоређена, документујте које апликације користе који, јер разговор са подршком зависи од тога. Корисник који пријави да је пријављен али не може да отвори дељење датотека описује два система, а одговор је да пут карата никада није покренут. Корисник који може да отвори дељење али не и интранет портал описује супротно, а именовање механизма у тикету штеди један круг питања.

Прођите кроз редослед, а не кроз делове

Прођите кроз цео ланац са обичним регистрованим налогом: локална пријава, тунел, прибављање карата, затим једна стварна операција према услузи. Поновите то после поновног повезивања тунела и после намерне промене лозинке, јер сваки од тих случајева увежбава други део логике животног века. То што свака фаза прође сама за себе није исто као ланац који ради. Ланац је оно што корисник доживљава, и то је оно што пријемни тест мора да покрије.

Запишите власника профила, метод провере идентитета VPN-а, пут откривања домена и мапирање апликација проширења на једном месту. Тај запис чини ток поновљивим за некога ко га није градио. Затим проверите неуспех који ћете највероватније срести, истеклу карту док је тунел спуштен, и потврдите да се клијент опоравља без поновног покретања, јер распоређивање које ради само из хладног старта није завршено.

Забележите и власника сваке фазе, јер Kerberos домен о коме нико не брине постаје застарео. Ланац који нико не може да опише је ланац који нико не може да отклони грешку.