Bakit hindi kayang saklawin ng isang OTP ang Wi-Fi, VPN at registry

Nangangako ang single sign-on ng isang pagkakakilanlan at mas kaunting tanong, at nababasag ang pangako sa ikatlong protocol. Ang bitag ay ang ipalagay na ang isang matagumpay na authentication ay gumagawa ng token na maipapakita ng bawat ibang protocol. Ang pagpasok sa Wi-Fi, pagpasok sa VPN at isang container registry ay may kani-kaniyang palitan, na may magkaibang audience at buhay. Ang pagbabahagi ng account ay desisyon ng direktoryo; ang pagbabahagi ng credential ay desisyon ng protocol, at bihirang magkasundo ang mga protocol.

Tatlong palitan, tatlong may-ari

Nagpapatakbo ang enterprise Wi-Fi ng paraang EAP sa loob ng 802.1X, kadalasang tinatapos ng serbisyong RADIUS na may sariling pananaw sa user o device. Nagpapatunay ang gateway ng VPN sa sarili nitong sinusuportahang daloy at pagkatapos ay nagpapanatili ng sesyon na may sariling timer ng muling pagpapatunay. Sinasagot ng registry ang isang hindi napatunayang kahilingan ng hamon na nagbabanggit ng serbisyo ng token, audience at saklaw, at ipinagpapalit ng client ang credential nito sa isang panandaliang token.

Hindi ito tatlong pananaw ng isang sesyon. Bawat isa ay may sariling verifier, sariling buhay at sariling daan ng pagbawi, kaya ang pagbabago ng password sa direktoryo ay maaaring mag-iwan ng isang gumagana at isa pang sira. Tratuhin sila bilang tatlong integrasyon na nagkataong nagbabahagi ng direktoryo ng user.

Ano ang dinadala ng SSO ng browser at ano ang hindi

Ang sesyon ng browser sa isang provider ng pagkakakilanlan ay tunay na kapaki-pakinabang: ang mga aplikasyong nagre-redirect doon ay nagmamana ng pag-login na natapos na ng user. Gumagana iyon dahil ang mga aplikasyong iyon ay nagsasalita ng parehong protocol ng redirect at token at tumatanggap ng parehong audience. Ang humihingi na nagsasalita ng EAP ay walang redirect na susundan, at ang kliyenteng Docker na tumatanggap ng hamon ng registry ay hindi humihingi ng OIDC identity token. Ang provider ng pagkakakilanlan ay makapagbibigay-lang ng garantiya para sa mga protocol kung saan ito itinayo.

Madaling makita ang kabiguan sa mga log kapag alam mo kung saan titingin. Nag-uulat ang provider ng pagkakakilanlan ng matagumpay na pag-login habang nabibigo pa rin ang pagkakaugnay sa Wi-Fi, o nagbabalik ang registry ng 401 pagkatapos ng palitan ng token na hindi kailanman nakita ng browser. Ang dalawang tagumpay at isang kabiguan ay hindi kontradiksyon; tatlong hiwalay na pagpapatunay sila.

Kung saan pinapalitan ng sertipiko ang paulit-ulit na code

Para sa mga pinamamahalaang device, inaalis ng EAP na nakabatay sa sertipiko ang hakbang ng tao nang hindi inaalis ang pagkakakilanlan: nagpapakita ang device ng sertipiko, sinusuri ito ng serbisyong RADIUS sa nagbigay na awtoridad, at nangyayari ang pagbawi sa awtoridad na iyon kaysa sa isang ibinahaging lihim. Ang kapalit ay trabaho sa lifecycle, dahil nag-eexpire ang mga sertipiko at dapat i-renew bago iyon.

May katumbas na paghahati ang mga registry. Ang interactive na user ay makakapag-log in nang isang beses at hayaang iimbak ng helper ng credential ang resultang token, habang ang automation ay dapat gumamit ng makitid ang saklaw na service credential o identity ng workload. Wala sa dalawa ang dapat maging isang beses na code ng tao na kinopya sa isang pipeline. Nag-iimbak ang helper ng token para sa partikular na audience ng registry, kaya hindi ito maaaring i-redirect sa gateway ng VPN sa pamamagitan ng pag-edit ng configuration file.

docker login registry.example.com

Ihambing ang gastos sa pagpapanatili, hindi ang bilang ng mga tanong

Mukhang mura ang ibinahaging credential dahil hindi nakikita ang trabaho hanggang mabigo ito. Bilangin sa halip kung magkano ang bawat opsyon sa loob ng isang taon: enrollment, renewal, pagbawi, ang saklaw ng epekto ng isang leak at ang bilang ng sistemang nagagalaw kapag may umalis. Ang fleet ng sertipiko ay mas mahal buuin at mas mura patakbuhin sa sukat; ang kinopyang code ay walang gastos sa simula at lahat sa paglutas.

Pagkatapos pumili kada bahagi sa halip na pandaigdigan. Maaaring lumipat ang Wi-Fi sa mga sertipiko, mapanatili ng VPN ang sinusuportahang SSO kasama ng MFA, at magamit ng registry ang mga token na may malinaw na saklaw. Itala ang may-ari, audience, saklaw, pagtatapos at daan ng pagbawi para sa bawat isa, at babagsak ang mga tanong kung saan nararapat sa halip na sa lahat ng lugar nang sabay. Ang talang iyon ay ang sagot din kapag nagtanong ang auditor kung aling mga sistema ang nagtitiwala pa sa password.