Mac లో Kerberos SSO మరియు VPN: రెండు సైన్-ఇన్ మార్గాలను పోల్చండి

రెండు విధానాలు Mac లో అదే ఆహ్లాదకర ఫలితాన్ని ఇస్తాయి కానీ లోపల పూర్తిగా భిన్నంగా ప్రవర్తిస్తాయి. ఒకటి SSO పొడిగింపు ద్వారా Kerberos టికెట్లను పొంది పాల్గొనే అప్లికేషన్లకు ఇస్తుంది. మరొకటి గుర్తింపు ప్రదాతతో బ్రౌజర్ సెషన్ ఉంచి వెబ్ అప్లికేషన్లు దానిని అంగీకరించేలా చేస్తుంది. నెట్వర్క్లో ఏమి కావాలి, వాటి ఆధారాలు ఎంత కాలం నిలుస్తాయి మరియు టన్నెల్ పడిపోయే క్షణంలో ఏమి జరుగుతుంది అనే విషయాల్లో అవి భిన్నంగా ఉంటాయి.

రెండు విధానాలు, ఒక సైన్-ఇన్ స్క్రీన్

టికెట్ ఆధారిత మార్గం Kerberos డొమైన్, కీ పంపిణీ కేంద్రం మరియు దానితో సమ్మతించే గడియారంపై ఆధారపడి ఉంటుంది. బ్రౌజర్ మార్గం చేరుకోగలిగే గుర్తింపు ప్రదాత, కుకీ లేదా టోకెన్ మరియు ఆ జారీదారుపై నమ్మకం ఉన్న అప్లికేషన్పై ఆధారపడి ఉంటుంది. రెండింటిని సైన్-ఇన్ సమయంలో ప్రారంభమయ్యేలా కాన్ఫిగర్ చేయవచ్చు, అందుకే అవి ఒకే లక్షణంగా పొరపాటుగా భావించబడతాయి. ఏది అంగీకరించాలో అప్లికేషన్లు నిర్ణయిస్తాయి, Mac రెండింటినీ ఒకే సమయంలో చట్టబద్ధంగా అమలు చేయగలదు.

వినియోగదారు అప్లికేషన్ను తెరిచినప్పుడు అది ఏమి తనిఖీ చేస్తుందో అడగడం ద్వారా వాటిని పోల్చండి. Kerberos డొమైన్కు చేరిన ఫైల్ సేవకు సేవా టికెట్ కావాలి, ఎంత బ్రౌజర్ సెషన్ ఉన్నా దానిని సంతృప్తిపరచదు. ఆధునిక గుర్తింపు ప్రదాత వెనుక ఉన్న వెబ్ అప్లికేషన్కు ఆ ప్రదాత టోకెన్ కావాలి, Kerberos టికెట్ను పూర్తిగా పట్టించుకోదు. ఏ తనిఖీ జరుగుతుందో తెలిసిన తర్వాత అమలు ప్రశ్నలు సాధారణమైనవి కాకుండా నిర్దిష్టంగా మారుతాయి.

Kerberos పొడిగింపుకు నెట్వర్క్లో ఏమి కావాలి

Apple యొక్క Kerberos SSO పొడిగింపు మార్గదర్శిని ముందస్తు టికెట్ సేకరణతో స్థానిక Active Directory ప్రామాణీకరణను వివరిస్తుంది, ఇది డొమైన్ బైండింగ్కు బదులుగా స్థానిక ఖాతాలతో జత చేయబడింది. అది చేయలేనిది డొమైన్ నియంత్రకాలకు మార్గాన్ని కనిపెట్టడం. Mac కు Kerberos సేవా రికార్డులకు ప్రతిస్పందించే పరిష్కర్త మరియు ఆమోదించబడిన టన్నెల్ ద్వారా వాటిని చేరుకునే మార్గం కావాలి. శుభ్రంగా ఇన్స్టాల్ అయ్యే ప్రొఫైల్ క్లయింట్ నుండి డొమైన్ నిజంగా కనుగొనగలిగే వరకు ఏమీ నిరూపించదు.

ఆధారాలను తనిఖీ చేయడానికి ముందు కనుగొనడాన్ని తనిఖీ చేయండి: Kerberos డొమైన్ కోసం SRV రికార్డులు పరిష్కరించబడాలి, అవి తిరిగి ఇచ్చే చిరునామాలు VPN పైకి వచ్చిన తర్వాత చేరుకోగలిగి ఉండాలి. సమయం కూడా చేరుకోగలగడం అంతే ముఖ్యం, ఎందుకంటే Kerberos తన సహనశీలతను దాటి జరిగిన గడియారం నుండి వచ్చే అభ్యర్థనలను తిరస్కరిస్తుంది, ఉత్పన్నమయ్యే లోపం ప్రామాణీకరణ వైఫల్యంలా కనిపిస్తుంది. టన్నెల్ కింద ఉన్నప్పుడు సమయ మూలాన్ని చేరుకోలేని Mac అది తిరిగి వచ్చిన క్షణంలో మళ్లీ విఫలమవుతుంది. గడియార మూలాన్ని సంఘటన ప్రతిస్పందనగా కాకుండా అమలులో భాగంగా సరిచేయండి.

klist
sudo sntp -sS time.apple.com

ప్రతి యాప్ VPN పొడిగింపు పని చేయగలదా అని నిర్ణయిస్తుంది

పూర్తి టన్నెల్ అన్నింటినీ మార్గనిర్దేశం చేసి ఈ సమస్యను దాచుతుంది. ప్రతి యాప్ కాన్ఫిగరేషన్ VPN ప్రొఫైల్లో పేర్కొన్న అప్లికేషన్లను మాత్రమే మార్గనిర్దేశం చేస్తుంది, SSO పొడిగింపు స్వయంగా టికెట్లు తేవడానికి నెట్వర్క్ అవసరమయ్యే ప్రక్రియ. అది మ్యాపింగ్లో లేకపోతే, స్థానిక సైన్-ఇన్ విజయవంతమవుతుంది, బ్రౌజర్ కోసం టన్నెల్ పైకి వస్తుంది, టికెట్ సేకరణ ఇప్పటికీ విఫలమవుతుంది.

VPN కాన్ఫిగరేషన్ చదివి అది కవర్ చేయాల్సిన ప్రతి అప్లికేషన్ను జాబితా చేయండి, తర్వాత బండిల్ ఐడెంటిఫైయర్ను ఊహించడానికి బదులుగా డాక్యుమెంట్ చేయబడిన మ్యాపింగ్ విధానం ద్వారా SSO భాగాన్ని జోడించండి. కనిపించే క్లయింట్ను మ్యాప్ చేయడం మరియు దాని వెనుక ఉన్న భాగాన్ని చేయకపోవడం ఈ పొరపాటు యొక్క క్లాసిక్ రూపం. మ్యాపింగ్ను పొడిగింపుతో అదే నిర్వహిత ప్రొఫైల్లో ఉంచండి, ఒకదానిలోని మార్పు మరొకదాన్ని నిశ్శబ్దంగా చెల్లనిదిగా చేయకుండా. ఆ Mac లో ఎప్పుడూ సైన్-ఇన్ చేయని వినియోగదారుతో పరీక్షించండి, ఎందుకంటే కాష్ చేయబడిన టికెట్ విరిగిన మార్గాన్ని ఆరోగ్యకరంగా చూపవచ్చు, తర్వాత పాస్వర్డ్ మార్పు తర్వాత మళ్లీ పరీక్షించండి.

బ్రౌజర్ గుర్తింపు సెషన్ వేరే ఒప్పందం

బ్రౌజర్ సెషన్కు Kerberos డొమైన్, సేవా టికెట్ మరియు Kerberos అర్థంలో గడియార సహనశీలత లేవు. దానికి జారీదారు, టోకెన్ ఆయుష్షు మరియు రిఫ్రెష్ మార్గం ఉన్నాయి, దాని వైఫల్య విధానాలు ఎప్పటికీ పూర్తికాని మళ్లింపులు మరియు ప్రైవేట్ విండో పారేసే కుకీలు. టికెట్ మార్గానికి ప్రత్యామ్నాయంగా పరిగణించడం అప్లికేషన్ స్వయంగా ఆ జారీదారును అంగీకరించే చోట మాత్రమే సురక్షితం. VPN పోర్టల్ నుండి ప్రామాణీకరణ ప్రతిస్పందనను సంబంధం లేని సేవకు కాపీ చేయడం ఏకీకరణ కాదు, సత్వరమార్గం ఎంత సౌకర్యవంతంగా అనిపించినా.

రెండు విధానాలూ అమలు చేయబడినప్పుడు, ఏ అప్లికేషన్లు ఏది ఉపయోగిస్తున్నాయో డాక్యుమెంట్ చేయండి, ఎందుకంటే మద్దతు సంభాషణ దానిపై ఆధారపడి ఉంటుంది. సైన్-ఇన్ అయ్యానని కానీ ఫైల్ షేర్ను తెరవలేనని చెప్పే వినియోగదారు రెండు వ్యవస్థలను వివరిస్తున్నాడు, సమాధానం టికెట్ మార్గం ఎప్పుడూ అమలు కాలేదు అని. షేర్ను తెరవగలిగినా ఇంట్రానెట్ పోర్టల్ను తెరవలేని వినియోగదారు దానికి వ్యతిరేకంగా వివరిస్తున్నాడు, టికెట్లో విధానాన్ని పేర్కొనడం ఒక రౌండ్ ప్రశ్నలను ఆదా చేస్తుంది.

క్రమాన్ని అనుసరించండి, భాగాలను కాదు

సాధారణ నమోదైన ఖాతాతో మొత్తం గొలుసును అనుసరించండి: స్థానిక సైన్-ఇన్, టన్నెల్, టికెట్ సేకరణ, తర్వాత ఒక సేవపై ఒక నిజమైన కార్యకలాపం. టన్నెల్ తిరిగి కనెక్ట్ అయిన తర్వాత మరియు ఉద్దేశపూర్వకంగా పాస్వర్డ్ మార్చిన తర్వాత దీన్ని పునరావృతం చేయండి, ఎందుకంటే ఆ ప్రతి సందర్భం ఆయుష్షు తర్కంలోని వేరే భాగాన్ని సాధన చేస్తుంది. ప్రతి దశ విడిగా ఉత్తీర్ణం కావడం గొలుసు పని చేయడంతో సమానం కాదు. గొలుసే వినియోగదారు అనుభవించేది, అదే ఆమోద కేసు కవర్ చేయాలి.

ప్రొఫైల్ యజమాని, VPN ప్రామాణీకరణ పద్ధతి, డొమైన్ కనుగొనే మార్గం మరియు పొడిగింపు యొక్క అప్లికేషన్ మ్యాపింగ్ను ఒకే చోట నమోదు చేయండి. ఆ రికార్డే దీన్ని నిర్మించని వ్యక్తికి ప్రవాహాన్ని పునఃఉత్పత్తి చేయగలిగేలా చేస్తుంది. తర్వాత మీరు ఎదుర్కొనే అవకాశం ఉన్న వైఫల్యాన్ని తనిఖీ చేయండి, టన్నెల్ కింద ఉన్నప్పుడు గడువు ముగిసిన టికెట్, మరియు క్లయింట్ రీబూట్ లేకుండా కోలుకుంటుందని నిర్ధారించండి, ఎందుకంటే చల్లని ప్రారంభం నుండి మాత్రమే పని చేసే అమలు పూర్తి కాలేదు.

ప్రతి దశ యజమానిని కూడా గమనించండి, ఎందుకంటే ఎవరూ చూసుకోని Kerberos డొమైన్ పాతదైపోతుంది. ఎవరూ వివరించలేని గొలుసు ఎవరూ డీబగ్ చేయలేని గొలుసు.