Nega bitta OTP Wi-Fi, VPN va registrni qamrab olmaydi

Yagona kirish bitta shaxs va kamroq so'rov va'da qiladi, ammo va'da uchinchi protokolda buziladi. Tuzoq — bitta muvaffaqiyatli autentifikatsiya har bir boshqa protokol taqdim eta oladigan token yaratadi deb o'ylash. Wi-Fi kirish, VPN kirish va konteyner registri har biri boshqa almashinuvni amalga oshiradi, turli auditoriyalar va umrlar bilan. Hisobni ulashish katalog qarori; hisob ma'lumotlarini ulashish protokol qarori, va protokollar kamdan-kam kelishadi.

Uch almashinuv, uch egasi

Korxona Wi-Fi 802.1X ichida EAP usulini ishga tushiradi, odatda foydalanuvchi yoki qurilma haqida o'z qarashiga ega RADIUS xizmati uni tugatadi. VPN darvoza o'zining qo'llab-quvvatlanadigan oqimi orqali autentifikatsiya qiladi va so'ng o'z qayta autentifikatsiya taymeri bilan sessiyani saqlaydi. Registr autentifikatsiya qilinmagan so'rovga token xizmati, auditoriya va qamrovni nomlaydigan chaqiriq bilan javob beradi, va mijoz o'z hisob ma'lumotlarini qisqa umrli tokenga almashtiradi.

Bu bitta sessiyaning uch ko'rinishi emas. Har birining o'z tekshiruvchisi, o'z umri va o'z bekor qilish yo'li bor, shuning uchun katalogdagi parol o'zgarishi birini ishlayotgan, ikkinchisini buzilgan holda qoldirishi mumkin. Ularni tasodifan foydalanuvchi katalogini ulashadigan uchta integratsiya sifatida ko'ring.

Brauzer SSO nimani olib yuradi va nimani yo'q

Identifikatsiya provayderidagi brauzer sessiyasi haqiqatan foydali: u yerga yo'naltiruvchi ilovalar foydalanuvchi allaqachon tugatgan kirishni meros oladi. Bu ishlaydi, chunki o'sha ilovalar bir xil yo'naltirish va token protokollarida gaplashadi va bir xil auditoriyani qabul qiladi. EAP gapiradigan so'rovchining ergashadigan yo'naltirishi yo'q, va registr chaqirig'ini olgan Docker mijozi OIDC shaxs tokenini so'ramaydi. Identifikatsiya provayderi faqat o'zi gapirish uchun qurilgan protokollarga kafolat bera oladi.

Qayerga qarashni bilsangiz, nosozlikni jurnallarda ko'rish oson. Identifikatsiya provayderi muvaffaqiyatli kirish haqida xabar beradi, holbuki Wi-Fi ulanishi hali ham amalga oshmaydi, yoki registr brauzer hech qachon ko'rmagan token almashinuvidan keyin 401 qaytaradi. Ikki muvaffaqiyat va bitta nosozlik qarama-qarshilik emas; bu uch alohida autentifikatsiya.

Sertifikat takrorlanadigan kodni qayerda almashtiradi

Boshqariladigan qurilmalar uchun sertifikatga asoslangan EAP shaxsni olib tashlamasdan inson qadamini olib tashlaydi: qurilma sertifikat taqdim etadi, RADIUS xizmati uni beruvchi organ oldida tekshiradi, va bekor qilish umumiy sirda emas, o'sha organda sodir bo'ladi. Narxi — hayot davri ishi, chunki sertifikatlar muddati tugaydi va bundan oldin yangilanishi kerak.

Registrlarda ham teng bo'linish bor. Interaktiv foydalanuvchi bir marta kirib, hosil bo'lgan tokenni hisob ma'lumotlari yordamchisi saqlashiga ruxsat berishi mumkin, avtomatlashtirish esa tor qamrovli xizmat hisob ma'lumotlari yoki ish yuki shaxsidan foydalanishi kerak. Ularning hech biri odamning bir martalik kodi konveyerga ko'chirilgani bo'lmasligi kerak. Yordamchi ma'lum bir registr auditoriyasi uchun token saqlaydi, shuning uchun konfiguratsiya faylini tahrirlash bilan uni VPN darvozasiga yo'naltirib bo'lmaydi.

docker login registry.example.com

Xizmat ko'rsatish xarajatini solishtiring, so'rovlar sonini emas

Umumiy hisob ma'lumotlari arzon ko'rinadi, chunki ish nosozlikka uchraguncha ko'rinmaydi. Buning o'rniga har bir variantning bir yil davomida qancha turishini sanang: ro'yxatga olish, yangilash, bekor qilish, oqibat tarqalish radiusi va kimdir ketganda tegib ketiladigan tizimlar soni. Sertifikatlar parki qurishga qimmat, miqyosda ishlatishga arzon; ko'chirilgan kod boshlashga hech narsa, yechishga hamma narsa turadi.

So'ngra global emas, har bir qism bo'yicha tanlang. Wi-Fi sertifikatlarga o'tishi mumkin, VPN MFA bilan qo'llab-quvvatlanadigan SSO ni saqlab qolishi mumkin, registr esa aniq qamrovli tokenlardan foydalanishi mumkin. Har biri uchun egasi, auditoriya, qamrov, muddat va bekor qilish yo'lini yozib qo'ying, va so'rovlar bir vaqtda hamma joyda emas, kerakli joyda tushadi. Bu yozuv auditor qaysi tizimlar hali ham parolga ishonishini so'raganda ham javob bo'ladi.