Mac'da Kerberos SSO va VPN: ikki kirish yo'lini solishtiring

Ikki mexanizm Mac'da bir xil yoqimli natija beradi va ichkarida butunlay boshqacha ishlaydi. Biri SSO kengaytmasi orqali Kerberos chiptalarini oladi va ularni ishtirok etuvchi ilovalarga beradi. Boshqasi identifikatsiya provayderi bilan brauzer seansini saqlaydi va veb-ilovalarning uni tan olishiga imkon beradi. Ular tarmoqda nimaga muhtojligi, hisob ma'lumotlari qancha vaqt amal qilishi va tunnel uzilgan paytda nima bo'lishi bilan farqlanadi.

Ikki mexanizm, bitta kirish ekrani

Chiptaga asoslangan yo'l Kerberos domeni, kalit taqsimlash markazi va u bilan mos keladigan soatga bog'liq. Brauzer yo'li kirish mumkin bo'lgan identifikatsiya provayderi, cookie yoki tokenga va o'sha chiqaruvchiga ishonadigan ilovaga bog'liq. Ikkalasini kirishda boshlanadigan qilib sozlash mumkin, shuning uchun ularni bir xil funksiya deb adashtirishadi. Qaysi birini qabul qilishni ilovalar hal qiladi, Mac esa ikkalasini bir vaqtda qonuniy ravishda ishga tushirishi mumkin.

Ularni foydalanuvchi ilovani ochganda nima tekshirilishini so'rab solishtiring. Kerberos domeniga qo'shilgan fayl xizmati xizmat chiptasini talab qiladi va brauzer seansining hech qanday miqdori uni qanoatlantirmaydi. Zamonaviy identifikatsiya provayderi orqasidagi veb-ilova o'sha provayderning tokenini talab qiladi va Kerberos chiptasini butunlay e'tiborsiz qoldiradi. Qaysi tekshiruv sodir bo'lishini bilgandan so'ng, joylashtirish savollari umumiy emas, aniq bo'ladi.

Kerberos kengaytmasi tarmoqda nimaga muhtoj

Apple'ning Kerberos SSO kengaytmasi bo'yicha qo'llanmasi faol chipta olish bilan mahalliy Active Directory autentifikatsiyasini tasvirlaydi, u domenga qo'shilish o'rniga mahalliy hisoblar bilan juftlashadi. U qila olmaydigan narsa — domen kontrollerlariga yo'l o'ylab topish. Mac'ga Kerberos xizmat yozuvlariga javob beradigan hal qiluvchi va ularga tasdiqlangan tunnel orqali yetib boradigan marshrut kerak. Toza o'rnatiladigan profil domen mijozdan haqiqatan topilmaguncha hech narsani isbotlamaydi.

Hisob ma'lumotlarini tekshirishdan oldin topishni tekshiring: Kerberos domenining SRV yozuvlari hal bo'lishi kerak va ular qaytaradigan manzillar VPN ko'tarilgandan keyin ochiq bo'lishi kerak. Vaqt ham yetib borish kabi muhim, chunki Kerberos o'z bardoshidan oshib ketgan soatdan kelgan so'rovlarni rad etadi va yuzaga keladigan xato autentifikatsiya muvaffaqiyatsizligidek ko'rinadi. Tunnel yopiq turganda vaqt manbasiga yeta olmaydigan Mac u qaytgan paytda yana muvaffaqiyatsiz bo'ladi. Soat manbasini voqeaga javob sifatida emas, joylashtirishning bir qismi sifatida tuzating.

klist
sudo sntp -sS time.apple.com

Har bir ilova uchun VPN kengaytma ishlay oladimi-yo'qmi shuni hal qiladi

To'liq tunnel hamma narsani yo'naltiradi va bu muammoni yashiradi. Har bir ilova uchun konfiguratsiya faqat VPN profilida nomlangan ilovalarni yo'naltiradi, SSO kengaytmasining o'zi esa chiptalarni olish uchun tarmoq kerak bo'ladigan jarayon. Agar u xaritalashda bo'lmasa, mahalliy kirish muvaffaqiyatli bo'ladi, brauzer uchun tunnel ko'tariladi, chipta olish esa baribir muvaffaqiyatsiz yakunlanadi.

VPN konfiguratsiyasini o'qing va u qamrab olishi kerak bo'lgan har bir ilovani sanab chiqing, so'ng paket identifikatorini taxmin qilish o'rniga hujjatlashtirilgan xaritalash mexanizmi orqali SSO komponentini qo'shing. Ko'rinadigan mijozni xaritalab, uning orqasidagi komponentni xaritalamaslik bu xatoning klassik ko'rinishidir. Xaritalashni kengaytma bilan bir xil boshqariladigan profilda saqlang, shunda biridagi o'zgarish ikkinchisini jimgina bekor qila olmaydi. O'sha Mac'ga hech qachon kirgan bo'lmagan foydalanuvchi bilan sinab ko'ring, chunki keshlangan chipta buzilgan yo'lni sog'lom ko'rsatishi mumkin, so'ng parol o'zgarganidan keyin yana sinab ko'ring.

Brauzerdagi identifikatsiya seansi boshqa shartnoma

Brauzer seansida Kerberos domeni, xizmat chiptasi va Kerberos ma'nosida soat bardoshi yo'q. Unda chiqaruvchi, tokenning umri va yangilash yo'li bor, uning muvaffaqiyatsizlik usullari esa hech qachon tugamaydigan qayta yo'naltirishlar va maxfiy oyna tashlab yuboradigan cookie fayllaridir. Uni chipta yo'lining o'rnini bosuvchi deb hisoblash faqat ilovaning o'zi o'sha chiqaruvchini qabul qiladigan joyda xavfsiz. VPN portalidan autentifikatsiya javobini aloqasiz xizmatga ko'chirish integratsiya emas, qisqa yo'l qanchalik qulay ko'rinmasin.

Ikkala mexanizm ham joylashtirilganda, qaysi ilovalar qaysi birini ishlatishini hujjatlashtiring, chunki qo'llab-quvvatlash suhbati shunga bog'liq. Kirganini, lekin fayl ulashishni ocha olmasligini aytayotgan foydalanuvchi ikki tizimni tasvirlaydi va javob — chipta yo'li hech qachon ishlamagan. Ulashishni ochib, intranet portalini ocha olmaydigan foydalanuvchi buning aksini tasvirlaydi va chiptada mexanizm nomini ko'rsatish bir tur savolni tejaydi.

Ketma-ketlikni bosib o'ting, bo'laklarni emas

Butun zanjirni oddiy ro'yxatdan o'tgan hisob bilan bosib o'ting: mahalliy kirish, tunnel, chipta olish, so'ng xizmatga qarshi bitta haqiqiy amal. Tunnel qayta ulangandan keyin va ataylab parol o'zgartirilgandan keyin buni takrorlang, chunki bu holatlarning har biri umr mantiqining boshqa qismini mashq qildiradi. Har bir bosqichning alohida o'tishi zanjirning ishlashi bilan bir xil emas. Zanjir — foydalanuvchi boshdan kechiradigan narsa va qabul sinovi aynan shuni qamrab olishi kerak.

Profil egasi, VPN autentifikatsiya usuli, domenni topish yo'li va kengaytmaning ilovalar xaritalashini bir joyda qayd eting. Aynan o'sha yozuv oqimni uni qurmagan kishi uchun takrorlanadigan qiladi. So'ng eng ko'p uchraydigan muvaffaqiyatsizlikni tekshiring, tunnel yopiq turganda muddati o'tgan chiptani, va mijoz qayta yuklamasdan tiklanishini tasdiqlang, chunki faqat sovuq startdan ishlaydigan joylashtirish tugallanmagan.

Har bir bosqichning egasini ham qayd eting, chunki hech kim g'amxo'rlik qilmaydigan Kerberos domeni eskiradi. Hech kim tasvirlab bera olmaydigan zanjir — hech kim nosozlikni tuzata olmaydigan zanjir.