Mac'te Kerberos SSO ve VPN: iki oturum açma yolunu karşılaştırın

İki mekanizma bir Mac'te aynı dostane sonucu üretir ve kaputun altında tamamen farklı davranır. Biri bir SSO uzantısı aracılığıyla Kerberos biletleri alır ve bunları katılan uygulamalara verir. Diğeri bir kimlik sağlayıcısıyla tarayıcı oturumu tutar ve web uygulamalarının bunu kabul etmesini sağlar. Ağda neye ihtiyaç duydukları, kimlik bilgilerinin ne kadar sürdüğü ve tünelin düştüğü anda ne olduğu konusunda farklıdırlar.

İki mekanizma, tek oturum açma ekranı

Bilet tabanlı yol bir Kerberos etki alanına, anahtar dağıtım merkezine ve onunla uyumlu bir saate bağlıdır. Tarayıcı yolu erişilebilir bir kimlik sağlayıcısına, bir çereze veya belirtece ve o veren kuruluşa güvenen bir uygulamaya bağlıdır. İkisi de oturum açma sırasında başlayacak şekilde yapılandırılabilir, bu yüzden aynı özellik sanılırlar. Uygulamalar ikisinden hangisini kabul edeceğine karar verir ve bir Mac ikisini de aynı anda meşru olarak çalıştırabilir.

Kullanıcı uygulamayı açtığında neyi denetlediğini sorarak karşılaştırın. Kerberos etki alanına katılmış bir dosya hizmeti bir hizmet bileti ister ve hiçbir tarayıcı oturumu miktarı bunu karşılamaz. Modern bir kimlik sağlayıcısının arkasındaki web uygulaması o sağlayıcının belirtecini ister ve Kerberos biletini tamamen yok sayar. Hangi denetimin gerçekleştiğini bildiğinizde dağıtım soruları genel değil, belirli hale gelir.

Kerberos uzantısının ağda neye ihtiyacı var

Apple'ın Kerberos SSO uzantısı kılavuzu, proaktif bilet edinimi ile yerel Active Directory kimlik doğrulamasını açıklar ve etki alanı bağlaması yerine yerel hesaplarla eşleştirir. Yapamadığı şey, etki alanı denetleyicilerine giden bir yol icat etmektir. Mac'in Kerberos hizmet kayıtlarına yanıt veren bir çözümleyiciye ve bunlara onaylanmış tünelden ulaşan bir yola ihtiyacı vardır. Temiz kurulan bir profil, etki alanı istemciden gerçekten keşfedilebilene kadar hiçbir şey kanıtlamaz.

Kimlik bilgilerini denetlemeden önce keşfi denetleyin: Kerberos etki alanının SRV kayıtları çözümlenmeli ve döndürdükleri adresler VPN açıldıktan sonra erişilebilir olmalıdır. Zaman, erişilebilirlik kadar önemlidir, çünkü Kerberos toleransının ötesine kayan bir saatten gelen istekleri reddeder ve ürettiği hata kimlik doğrulama başarısızlığı gibi görünür. Tünel kapalıyken bir zaman kaynağına ulaşamayan Mac, tünel geri geldiği anda yeniden başarısız olur. Saat kaynağını olay müdahalesi olarak değil, dağıtımın parçası olarak düzeltin.

klist
sudo sntp -sS time.apple.com

Uygulama başına VPN uzantının çalışıp çalışamayacağını belirler

Tam tünel her şeyi yönlendirir ve bu sorunu gizler. Uygulama başına yapılandırma yalnızca VPN profilinde adı geçen uygulamaları yönlendirir ve SSO uzantısı da bilet almak için ağa ihtiyaç duyan bir süreçtir. Eşlemede yoksa yerel oturum açma başarılı olur, tarayıcı için tünel açılır ve bilet edinimi yine başarısız olur.

VPN yapılandırmasını okuyun ve kapsaması gereken her uygulamayı listeleyin, ardından paket tanımlayıcısını tahmin etmek yerine belgelenmiş eşleme mekanizmasıyla SSO bileşenini ekleyin. Görünen istemciyi eşleyip arkasındaki bileşeni eşlememek bu hatanın klasik biçimidir. Eşlemeyi uzantıyla aynı yönetilen profilde tutun, böylece birindeki değişiklik diğerini sessizce geçersiz kılamasın. O Mac'te hiç oturum açmamış bir kullanıcıyla test edin, çünkü önbelleğe alınmış bir bilet bozuk bir yolu sağlıklı gösterebilir, ardından parola değişikliğinden sonra yeniden test edin.

Tarayıcı kimlik oturumu başka bir sözleşmedir

Tarayıcı oturumunun Kerberos etki alanı, hizmet bileti ve Kerberos anlamında saat toleransı yoktur. Bir veren kuruluşu, belirteç ömrü ve yenileme yolu vardır ve başarısızlık kipleri hiç tamamlanmayan yönlendirmeler ile özel pencerenin attığı çerezlerdir. Onu bilet yolunun yerine koymak yalnızca uygulamanın kendisi o veren kuruluşu kabul ettiği yerde güvenlidir. VPN portalından bir kimlik doğrulama yanıtını ilgisiz bir hizmete kopyalamak entegrasyon değildir, kısayol ne kadar elverişli görünse de.

Her iki mekanizma da devreye alındığında hangi uygulamaların hangisini kullandığını belgeleyin, çünkü destek görüşmesi buna bağlıdır. Oturum açtığını ama dosya paylaşımını açamadığını bildiren kullanıcı iki sistemi anlatıyordur ve yanıt bilet yolunun hiç çalışmadığıdır. Paylaşımı açıp intranet portalını açamayan kullanıcı bunun tersini anlatır ve mekanizmayı kayıtta adlandırmak bir soru turu kazandırır.

Sırayı izleyin, parçaları değil

Tüm zinciri sıradan kayıtlı bir hesapla izleyin: yerel oturum açma, tünel, bilet edinimi ve ardından bir hizmete karşı gerçek bir işlem. Tünel yeniden bağlandıktan sonra ve kasıtlı bir parola değişikliğinden sonra yineleyin, çünkü bu durumların her biri ömür mantığının farklı bir bölümünü çalıştırır. Her aşamanın tek başına geçmesi çalışan bir zincirle aynı şey değildir. Zincir kullanıcının deneyimidir ve kabul senaryosunun kapsaması gereken de odur.

Profil sahibini, VPN kimlik doğrulama yöntemini, etki alanı keşif yolunu ve uzantının uygulama eşlemesini tek bir yerde kaydedin. O kayıt, akışı onu inşa etmemiş biri için yeniden üretilebilir kılar. Ardından en olası karşılaşacağınız hatayı, tünel kapalıyken süresi dolmuş bir bileti denetleyin ve istemcinin yeniden başlatma olmadan toparlandığını doğrulayın, çünkü yalnızca soğuk başlangıçtan çalışan bir dağıtım bitmiş değildir.

Her aşamanın sahibini de not edin, çünkü kimsenin ilgilenmediği bir Kerberos etki alanı eskimiş hale gelir. Kimsenin tanımlayamadığı bir zincir, kimsenin hata ayıklayamadığı bir zincirdir.