Kerberos SSO na VPN kwenye Mac: linganisha njia mbili za kuingia

Mbinu mbili hutoa matokeo yale yale ya kirafiki kwenye Mac na hujiendesha tofauti kabisa chini ya uso. Moja hupata tiketi za Kerberos kupitia nyongeza ya SSO na kuzikabidhi kwa programu zinazoshiriki. Nyingine hushikilia kikao cha kivinjari kwa mtoa utambulisho na kuruhusu programu za wavuti kukikubali. Zinatofautiana katika kile zinachohitaji kwenye mtandao, muda ambao vitambulisho vyao hudumu na kile kinachotokea wakati handaki linapoanguka.

Mbinu mbili, skrini moja ya kuingia

Njia ya tiketi inategemea kikoa cha Kerberos, kituo cha usambazaji wa funguo na saa inayokubaliana nacho. Njia ya kivinjari inategemea mtoa utambulisho anayeweza kufikiwa, kidakuzi au tokeni, na programu inayomwamini mtoaji huyo. Zote mbili zinaweza kupangwa kuanza wakati wa kuingia, ndiyo sababu zinachukuliwa kuwa kipengele kimoja. Programu huamua ni ipi kati ya hizo mbili zinazokubali, na Mac inaweza kuendesha zote kwa wakati mmoja kihalali.

Zilinganishe kwa kuuliza programu hukagua nini mtumiaji anapofungua. Huduma ya faili iliyojiunga na kikoa cha Kerberos inataka tiketi ya huduma, na hakuna kiasi chochote cha kikao cha kivinjari kitakachoiridhisha. Programu ya wavuti iliyo nyuma ya mtoa utambulisho wa kisasa inataka tokeni ya mtoaji huyo na inapuuza tiketi ya Kerberos kabisa. Mara tu unapojua ukaguzi upi hufanyika, maswali ya usambazaji yanakuwa mahususi badala ya ya jumla.

Kile nyongeza ya Kerberos inahitaji kwenye mtandao

Mwongozo wa nyongeza ya Kerberos SSO wa Apple unaeleza uthibitishaji asilia wa Active Directory na upatikanaji wa tiketi kwa bidii, ukiwa umeunganishwa na akaunti za ndani badala ya kujiunga na kikoa. Kile ambacho haiwezi kufanya ni kuvumbua njia kuelekea vidhibiti vya kikoa. Mac inahitaji kitatuzi kinachojibu rekodi za huduma za Kerberos, na njia inayozifikia kupitia handaki lililoidhinishwa. Profaili inayosakinishwa safi haithibitishi chochote hadi kikoa kiweze kugundulika kutoka kwa mteja.

Kagua ugunduzi kabla ya kukagua vitambulisho: rekodi za SRV za kikoa cha Kerberos lazima zituliwe, na anwani zinazorudisha lazima zifikiwe mara VPN inapoinuka. Muda ni muhimu kama ufikivu, kwa sababu Kerberos hukataa maombi kutoka saa iliyopinda zaidi ya uvumilivu wake, na hitilafu inayotokea inaonekana kama kushindwa kwa uthibitishaji. Mac isiyoweza kufikia chanzo cha muda wakati handaki likiwa chini itashindwa tena wakati linaporejea. Rekebisha chanzo cha muda kama sehemu ya usambazaji na si kama jibu la tukio.

klist
sudo sntp -sS time.apple.com

VPN kwa kila programu huamua kama nyongeza inaweza kufanya kazi

Handaki kamili huelekeza kila kitu na huficha tatizo hili. Mpangilio wa kila programu huelekeza tu programu zilizotajwa kwenye profaili ya VPN, na nyongeza ya SSO yenyewe ni mchakato unaohitaji mtandao kupata tiketi. Ikiwa haiko kwenye ramani, kuingia kwa ndani kunafanikiwa, handaki linapanda kwa kivinjari, na upatikanaji wa tiketi bado unashindwa.

Soma mpangilio wa VPN na uorodheshe kila programu inayopaswa kuifunika, kisha ongeza sehemu ya SSO kupitia utaratibu wa ramani ulioandikwa badala ya kukisia kitambulisho cha kifurushi. Kupanga mteja anayeonekana na si sehemu iliyo nyuma yake ni toleo la kawaida la kosa hili. Weka ramani katika profaili ile ile inayosimamiwa kama nyongeza, ili mabadiliko kwenye moja yasiweze kubatilisha nyingine kwa kimya. Jaribu na mtumiaji ambaye hajawahi kuingia kwenye Mac huyo, kwa sababu tiketi iliyohifadhiwa inaweza kufanya njia iliyovunjika ionekane njema, kisha jaribu tena baada ya mabadiliko ya nenosiri.

Kikao cha utambulisho kwenye kivinjari ni mkataba mwingine

Kikao cha kivinjari hakina kikoa cha Kerberos, hakina tiketi ya huduma na hakina uvumilivu wa saa kwa maana ya Kerberos. Kina mtoaji, muda wa maisha ya tokeni na njia ya kuonyesha upya, na hali zake za kushindwa ni uelekezaji upya ambao haukamiliki kamwe na vidakuzi ambavyo dirisha la faragha hutupa. Kuichukulia kama mbadala wa njia ya tiketi ni salama tu pale ambapo programu yenyewe inakubali mtoaji huyo. Kunakili jibu la uthibitishaji kutoka lango la VPN hadi huduma isiyohusiana si muunganiko, vyovyote vile njia ya mkato inavyoonekana rahisi.

Wakati mbinu zote mbili zimewekwa, andika ni programu zipi zinazotumia ipi, kwa sababu mazungumzo ya msaada yanategemea hilo. Mtumiaji anayeripoti ameingia lakini hawezi kufungua ushirikiano wa faili anaelezea mifumo miwili, na jibu ni kwamba njia ya tiketi haikuwahi kuendeshwa. Mtumiaji anayeweza kufungua ushirikiano lakini si lango la intranet anaelezea kinyume chake, na kutaja mbinu kwenye tiketi kunaokoa raundi moja ya maswali.

Fuata mfuatano, si sehemu

Fuata mnyororo mzima kwa akaunti ya kawaida iliyosajiliwa: kuingia kwa ndani, handaki, upatikanaji wa tiketi, kisha operesheni moja halisi dhidi ya huduma. Rudia baada ya handaki kuunganishwa upya na baada ya mabadiliko ya nenosiri kwa makusudi, kwa sababu kila moja ya matukio hayo hufanya mazoezi sehemu tofauti ya mantiki ya maisha. Kupita kwa kila hatua peke yake si sawa na mnyororo kufanya kazi. Mnyororo ni kile mtumiaji anachopitia, na ndicho kisa cha kukubali kinapaswa kufunika.

Rekodi mmiliki wa profaili, njia ya uthibitishaji ya VPN, njia ya ugunduzi wa kikoa na ramani ya programu za nyongeza mahali pamoja. Rekodi hiyo ndiyo inayofanya mtiririko uweze kuzalishwa tena na mtu ambaye hakuujenga. Kisha kagua kushindwa ambako kuna uwezekano mkubwa wa kukutana nako, tiketi iliyoisha muda wakati handaki likiwa chini, na uthibitisha kuwa mteja anapona bila kuwasha upya, kwa sababu usambazaji unaofanya kazi kutoka mwanzo baridi pekee haujakamilika.

Kumbuka pia mmiliki wa kila hatua, kwa sababu kikoa cha Kerberos ambacho hakina mtu anayekitunza kinakuwa cha zamani. Mnyororo ambao hakuna mtu anayeweza kuueleza ni mnyororo ambao hakuna mtu anayeweza kuutatua.