Je, VPN SSO huwasajili watumiaji kwenye programu za ndani kiotomatiki?

Lango la VPN linalothibitisha kupitia mtoa utambulisho linathibitisha jambo moja: mtoa huduma alimdhamini mtumiaji mbele ya lango. Halimpi mtumiaji huyo kitambulisho cha kuingia wiki ya mtandao wa ndani, dashibodi ya ufuatiliaji au seva ya ujenzi. Huduma hizo huwasaidia watu kuingia kupitia shirikisho lao wenyewe na kutumia idhini yao wenyewe, na handaki huamua tu ni pakiti zipi zinaweza kuwafikia.

Vikao vitatu, maamuzi matatu tofauti

Tenganisha hali hizo, kwa sababu kila moja inaisha kwa ratiba yake. Kikao cha VPN ni kukubaliwa kwa utambulisho na lango pamoja na ufikiaji wa mtandao uliotolewa. Kikao cha kivinjari kwa mtoa utambulisho ni kile kivinjari bado kinashikilia kwa mtoa huduma huyo na kinaweza kutumika tena kwa mujibu wa sera yake. Kikao cha programu ni cha huduma moja iliyothibitisha jibu lililoelekezwa kwake.

Kuchanganya hali hizo huzalisha swali lisilo sahihi, kawaida likiundwa kama kwa nini handaki haliwasaidii watumiaji kuingia kila mahali. Liandike upya: ni programu gani haina ingizo la shirikisho, ipi inamkataa mtumiaji, na ipi haina njia. Ombi moja la kuingia linalofungua programu ya mtandao wa ndani bado linaweza kurudi kwa mtoa huduma, kwa sababu uelekezaji wa pili ni ombi jipya la idhini kwa hadhira tofauti.

Unganisha lango kama programu yake yenyewe

Sajili VPN kama programu iliyoidhinishwa kwa mtoa huduma, ikiwa na kitambulisho chake, URI ya uelekezaji na ugawaji wa watumiaji. Kisha amua ni idhini zipi za mtandao ambazo kuingia huko kunatoa, kwa sababu hiyo ni sera ya VPN na si kipengele cha mtoa huduma. Watumiaji wanaopaswa kufikia tu subnet ya ufuatiliaji hupata sera tofauti ya lango, si neno la siri tofauti.

Jibu la uthibitishaji la handaki si kitambulisho kinachoweza kutumika tena. Tokeni za ID za OIDC hubeba dai la hadhira linalotaja mteja ambaye zilitolewa kwa ajili yake, na madai ya kubeba ya SAML huzuia hadhira kwa mtoa huduma anayepokea. Huduma ya pili inayokubali jibu la kwanza imesanidiwa vibaya, na kunakili tokeni kwenye programu nyingine si muunganiko.

Sajili kila programu ya ndani, kisha weka muktadha wa kivinjari

Kila huduma inahitaji thamani za SAML au OIDC zinazotumika: mtoaji, kitambulisho cha mteja, URL ya kurudisha simu au ya mtumiaji wa dai, madai yanayohitajika na ugawaji. Ufikivu huja juu yake, kwa sababu ukaguzi wa utambulisho hauwahi kutoa njia au jibu la DNS.

1. Unda ingizo la programu na uthibitishe kwamba ID ya huluki au mteja inalingana na kile ambacho programu inatuma.
2. Sajili URL kamili ya kurudisha simu ikiwa ni pamoja na mpango na lango; kosa dogo hushindwa baada ya mtumiaji kuthibitishwa.
3. Gawa watumiaji au vikundi, kisha uthibitishe kwamba madai yanayohitajika yanatolewa.
4. Ruhusu vituo vya mwisho vya mtoa utambulisho pamoja na programu ya faragha, vinginevyo uelekezaji hauwezi kukamilika.

Muktadha wa kivinjari huamua kama kikao kilichopo cha mtoa huduma kitatumika tena. Mteja asilia anayefungua kivinjari cha mfumo anaweza kushiriki hali hiyo, wakati mwonekano uliopachikwa wenye chombo chake cha vidakuzi kawaida hauwezi. Kivinjari kipya, madirisha ya faragha na wasifu wa pili huanza kutoka mwanzo, jambo linalotarajiwa na si usanidi wa SSO uliovunjika.

Endesha mtiririko na usome unakokomaa

Zalisha upya kwa paneli ya mtandao ya kivinjari na uangalie mnyororo wa uelekezaji. Safari yenye manufaa hufuata hatua moja kwa wakati: lango hadi mtoa huduma, mtoa huduma kurudi kwenye programu na msimbo au dai, programu hadi kituo cha mwisho cha tokeni cha mtoa huduma, kikao cha programu kutolewa. Hatua ambapo mnyororo unakomaa hutaja sehemu ya kurekebisha.

Ukaguzi mbili wa mstari wa amri hutatua mashaka ya kawaida, na zote mbili ni salama kuziendesha kutoka kwa mwenyeji wa msimamizi:

curl -s https://idp.example.com/.well-known/openid-configuration | jq -r '.authorization_endpoint, .token_endpoint'
curl -sI https://app.example.net/ | grep -iE '^(HTTP/|location:)'

Wakati metadata inaorodhesha vituo vya mwisho ambavyo hujawahi kuvisajili, programu inaelekeza kwa mpangaji au mtoaji mwingine. Wakati ombi la kwanza kwa programu linajibu 302 kwa mwenyeji usiotarajiwa, mahali pa kuangalia ni usanidi wa shirikisho la programu, si wasifu wa VPN.

Rekebisha maombi kwa kutafuta nani aliyaomba

Ombi la pili la neno la siri si kasoro kiotomatiki. Programu inaweza kuomba kiwango cha juu cha uhakika, au mtoa huduma anaweza kulazimisha umri wa juu wa kikao na changamoto mpya. Kuondoa mahitaji hayo ili kufanya mtiririko uwe tulivu hudhoofisha udhibiti wa kukusudia, kwa hivyo baini ni sehemu gani iliomba kabla ya kubadilisha sera.

Kisha amua nini cha kuboresha. Ikiwa ombi linatoka kwa programu, rekebisha ingizo lake la shirikisho. Ikiwa linatoka kwa mtoa huduma kwa mujibu wa sera, andika mahitaji. Ikiwa programu haipatikani baada ya kuingia kwa mafanikio, njia ya handaki ndiyo inayoshukiwa, kwa sababu utambulisho na uwasilishaji wa pakiti hushindwa mahali tofauti na huonekana sawa kutoka kwa kiti cha mtumiaji.