Зашто један OTP не може да покрије Wi-Fi, VPN и регистар

Јединствена пријава обећава један идентитет и мање упита, али обећање се ломи на трећем протоколу. Замка је претпоставка да једна успешна аутентификација ствара токен који сваки други протокол може да представи. Приступ Wi-Fi мрежи, улаз у VPN и регистар контејнера сваки спроводи другачију размену, са различитим публикама и роковима. Дељење налога одлука је именика; дељење акредитива одлука је протокола, а протоколи се ретко слажу.

Три размене, три власника

Пословни Wi-Fi изводи EAP методу унутар 802.1X, обично је закључује RADIUS сервис који има сопствени поглед на корисника или уређај. VPN приступник се аутентификује кроз сопствени подржани ток и затим држи сесију са сопственим мерачем поновне аутентификације. Регистар одговара на неаутентификовани захтев изазовом који именује сервис токена, публику и опсег, а клијент размењује свој акредитив за краткотрајни токен.

То нису три погледа на једну сесију. Сваки има сопствени проверивач, сопствени рок и сопствени пут опозива, због чега промена лозинке у именику може оставити један од њих радним, а други сломљеним. Третирајте их као три интеграције које случајно деле кориснички именик.

Шта SSO у прегледачу преноси, а шта не

Сесија прегледача код даваоца идентитета уистину је корисна: апликације које преусмеравају на њега наслеђују пријаву коју је корисник већ завршио. То функционише јер те апликације говоре исте протоколе преусмеравања и токена и прихватају исту публику. Тражилац који говори EAP нема преусмеравања да прати, а Docker клијент који прими изазов регистра не тражи OIDC токен идентитета. Давалац идентитета може да јамчи само за протоколе за које је изграђен.

Квар је лако видети у записима кад знате где да гледате. Давалац идентитета извештава о успешној пријави док повезивање са Wi-Fi мрежом још увек не успева, или регистар враћа 401 након размене токена коју прегледач никада није видео. Два успеха и један квар нису противречје; то су три одвојене аутентификације.

Где сертификат замењује поновљени код

За управљане уређаје EAP заснован на сертификатима уклања људски корак без уклањања идентитета: уређај представља сертификат, RADIUS сервис га проверава код издаваоца, а опозив се догађа код тог издаваоца, а не у дељеној тајни. Цена је рад на животном циклусу, јер сертификати истичу и морају се обновити пре тога.

Регистри имају једнаковредну поделу. Интерактивни корисник може се пријавити једном и пустити помоћника за акредитиве да сачува добијени токен, док аутоматизација треба да користи уско ограничен сервисни акредитив или идентитет радног оптерећења. Ни једно не би смело бити човеков једнократни код копиран у цевовод. Помоћник чува токен за одређену публику регистра, па се не може преусмерити на VPN приступник уређивањем конфигурационе датотеке.

docker login registry.example.com

Упоредите трошак одржавања, не број упита

Дељени акредитив изгледа јефтин јер је рад невидљив док се не поквари. Уместо тога избројте шта свака опција кошта током године: упис, обнова, опозив, домет последица цурења и број система дотакнутих кад неко оде. Флота сертификата скупља је за изградњу и јефтинија за погон у мерилу; копирани код не кошта ништа за почетак и све за размотавање.

Затим бирајте по сегменту, а не глобално. Wi-Fi може прећи на сертификате, VPN може задржати подржани SSO са MFA, а регистар може користити токене са изричитим опсезима. Забележите власника, публику, опсег, истек и пут опозива за сваки, и упити ће пасти где треба уместо свуда одједном. Тај запис је и одговор кад ревизор пита који системи још верују лозинки.