Tek bir OTP neden Wi-Fi, VPN ve bir kayıt defterini kapsamaz

Tek oturum açma tek bir kimlik ve daha az istem vaat eder ve bu vaat üçüncü protokolde kırılır. Tuzak, tek bir başarılı kimlik doğrulamanın diğer her protokolün sunabileceği bir token ürettiğini varsaymaktır. Wi-Fi girişi, VPN girişi ve bir konteyner kayıt defteri her biri farklı bir takas yürütür; farklı kitleler ve ömürlerle. Hesabı paylaşmak bir dizin kararıdır; kimlik bilgisini paylaşmak bir protokol kararıdır ve protokoller nadiren anlaşır.

Üç takas, üç sahip

Kurumsal Wi-Fi, 802.1X içinde bir EAP yöntemi çalıştırır ve genellikle kullanıcı veya cihaz hakkında kendi görüşü olan bir RADIUS hizmeti bunu sonlandırır. Bir VPN ağ geçidi kendi desteklenen akışıyla kimlik doğrular ve ardından kendi yeniden kimlik doğrulama zamanlayıcısıyla bir oturum tutar. Bir kayıt defteri, kimliği doğrulanmamış bir isteğe token hizmeti, kitle ve kapsam adını veren bir meydan okumayla yanıt verir ve istemci kimlik bilgisini kısa ömürlü bir token ile değiştirir.

Bunlar tek bir oturumun üç görünümü değildir. Her birinin kendi doğrulayıcısı, kendi ömrü ve kendi iptal yolu vardır; bu yüzden dizindeki bir parola değişikliği birini çalışır, diğerini bozuk bırakabilir. Onları tesadüfen bir kullanıcı dizinini paylaşan üç entegrasyon olarak ele alın.

Tarayıcı SSO'su neyi taşır, neyi taşımaz

Bir kimlik sağlayıcıdaki tarayıcı oturumu gerçekten yararlıdır: oraya yönlendiren uygulamalar kullanıcının zaten tamamladığı oturum açmayı devralır. Bu işe yarar çünkü o uygulamalar aynı yönlendirme ve token protokollerini konuşur ve aynı kitleyi kabul eder. EAP konuşan bir istek sahibinin izleyeceği hiçbir yönlendirme yoktur ve kayıt defteri meydan okuması alan bir Docker istemcisi OIDC kimlik token'ı istemez. Kimlik sağlayıcı yalnızca konuşmak için inşa edildiği protokollere kefil olabilir.

Arızayı günlüklerde görmek kolaydır, nereye bakacağınızı bildiğinizde. Kimlik sağlayıcı başarılı bir oturum açma bildirirken Wi-Fi ilişkilendirmesi hâlâ başarısız olur, ya da kayıt defteri tarayıcının hiç görmediği bir token takasından sonra 401 döndürür. İki başarı ve bir başarısızlık çelişki değildir; bunlar üç ayrı kimlik doğrulamadır.

Bir sertifikanın tekrarlanan kodun yerini aldığı yer

Yönetilen cihazlarda sertifika tabanlı EAP, kimliği kaldırmadan insan adımını kaldırır: cihaz bir sertifika sunar, RADIUS hizmeti bunu veren otoriteye karşı denetler ve iptal, paylaşılan bir sır yerine o otoritede gerçekleşir. Bedeli yaşam döngüsü işidir, çünkü sertifikaların süresi dolar ve bundan önce yenilenmelidir.

Kayıt defterlerinin eşdeğer bir bölünmesi vardır. Etkileşimli bir kullanıcı bir kez oturum açıp ortaya çıkan token'ı bir kimlik bilgisi yardımcısının saklamasına izin verebilir, otomasyon ise dar kapsamlı bir hizmet kimlik bilgisi veya iş yükü kimliği kullanmalıdır. Hiçbiri bir insanın bir kez kullanılan kodunun işlem hattına kopyalanmış hâli olmamalıdır. Yardımcı, belirli bir kayıt defteri kitlesi için token saklar, bu yüzden bir yapılandırma dosyasını düzenleyerek VPN ağ geçidine yönlendirilemez.

docker login registry.example.com

İstem sayısını değil, bakım maliyetini karşılaştırın

Paylaşılan kimlik bilgisi ucuz görünür çünkü iş, ters gidene kadar görünmez. Bunun yerine her seçeneğin bir yıl içinde neye mal olduğunu sayın: kayıt, yenileme, iptal, bir sızıntının etki yarıçapı ve birisi ayrıldığında dokunulan sistem sayısı. Bir sertifika filosu kurmakta daha pahalı, ölçekte işletmekte daha ucuzdur; kopyalanmış bir kod başlamakta hiçbir şeye, çözmekte her şeye mal olur.

Sonra küresel olarak değil, her bacak için seçin. Wi-Fi sertifikalara geçebilir, VPN MFA'lı desteklenen SSO'sunu koruyabilir ve kayıt defteri açık kapsamlı token'lar kullanabilir. Her biri için sahibi, kitleyi, kapsamı, son kullanma tarihini ve iptal yolunu kaydedin; istemler aynı anda her yerde değil, olmaları gereken yere düşer. Bu kayıt, bir denetçi hangi sistemlerin hâlâ bir parolaya güvendiğini sorduğunda da yanıttır.