Kerberos SSO và VPN trên Mac: so sánh hai đường đăng nhập

Hai cơ chế cho cùng một kết quả thân thiện trên Mac nhưng lại hành xử hoàn toàn khác nhau bên dưới. Một cơ chế lấy vé Kerberos qua tiện ích SSO và chuyển chúng cho các ứng dụng tham gia. Cơ chế kia giữ phiên trình duyệt với nhà cung cấp danh tính và để các ứng dụng web chấp nhận nó. Chúng khác nhau ở những gì cần trên mạng, thời hạn hiệu lực của thông tin xác thực và điều gì xảy ra đúng lúc đường hầm sụp.

Hai cơ chế, một màn hình đăng nhập

Đường dựa trên vé phụ thuộc vào một miền Kerberos, trung tâm phân phối khóa và một đồng hồ khớp với nó. Đường trình duyệt phụ thuộc vào nhà cung cấp danh tính có thể truy cập, cookie hoặc token, và ứng dụng tin tưởng nhà phát hành đó. Cả hai có thể được cấu hình để bắt đầu khi đăng nhập, nên chúng bị nhầm là cùng một tính năng. Các ứng dụng quyết định chấp nhận cái nào trong hai, và một chiếc Mac có thể chạy cả hai cùng lúc một cách hợp lệ.

So sánh chúng bằng cách hỏi ứng dụng kiểm tra gì khi người dùng mở nó. Dịch vụ tệp đã tham gia miền Kerberos muốn một vé dịch vụ, và không lượng phiên trình duyệt nào làm hài lòng nó. Ứng dụng web phía sau nhà cung cấp danh tính hiện đại muốn token của nhà cung cấp đó và bỏ qua hoàn toàn vé Kerberos. Khi biết cuộc kiểm tra nào diễn ra, các câu hỏi triển khai trở nên cụ thể thay vì chung chung.

Tiện ích Kerberos cần gì trên mạng

Hướng dẫn tiện ích Kerberos SSO của Apple mô tả xác thực Active Directory gốc với việc lấy vé chủ động, kết hợp với tài khoản cục bộ thay vì liên kết miền. Điều nó không thể làm là bịa ra một đường tới các bộ điều khiển miền. Mac cần một bộ phân giải trả lời các bản ghi dịch vụ Kerberos và một tuyến đi tới chúng qua đường hầm đã được phê duyệt. Một hồ sơ cài đặt sạch không chứng minh được gì cho tới khi miền thực sự có thể được khám phá từ máy khách.

Kiểm tra khám phá trước khi kiểm tra thông tin xác thực: các bản ghi SRV của miền Kerberos phải phân giải được, và các địa chỉ chúng trả về phải truy cập được khi VPN đã lên. Thời gian quan trọng ngang với khả năng truy cập, vì Kerberos từ chối các yêu cầu từ đồng hồ đã trôi quá dung sai, và lỗi nó tạo ra trông giống thất bại xác thực. Một chiếc Mac không tới được nguồn thời gian khi đường hầm xuống sẽ lại thất bại đúng lúc nó trở lại. Hãy sửa nguồn thời gian như một phần của triển khai chứ không phải phản ứng sự cố.

klist
sudo sntp -sS time.apple.com

VPN theo ứng dụng quyết định tiện ích có thể hoạt động hay không

Đường hầm đầy đủ định tuyến mọi thứ và che giấu vấn đề này. Cấu hình theo ứng dụng chỉ định tuyến các ứng dụng được nêu trong hồ sơ VPN, và bản thân tiện ích SSO là một tiến trình cần mạng để lấy vé. Nếu nó không có trong ánh xạ, đăng nhập cục bộ thành công, đường hầm lên cho trình duyệt, và việc lấy vé vẫn thất bại.

Đọc cấu hình VPN và liệt kê mọi ứng dụng mà nó phải bao phủ, sau đó thêm thành phần SSO qua cơ chế ánh xạ được ghi tài liệu thay vì đoán định danh gói. Ánh xạ máy khách nhìn thấy mà không ánh xạ thành phần phía sau là phiên bản kinh điển của lỗi này. Giữ ánh xạ trong cùng hồ sơ được quản lý với tiện ích, để thay đổi ở cái này không thể âm thầm vô hiệu hóa cái kia. Kiểm tra với người dùng chưa từng đăng nhập trên chiếc Mac đó, vì vé được lưu đệm có thể làm một tuyến hỏng trông khỏe mạnh, rồi kiểm tra lại sau khi đổi mật khẩu.

Phiên danh tính trên trình duyệt là một hợp đồng khác

Phiên trình duyệt không có miền Kerberos, không có vé dịch vụ và không có dung sai đồng hồ theo nghĩa Kerberos. Nó có nhà phát hành, thời hạn token và đường làm mới, và các chế độ hỏng của nó là những chuyển hướng không bao giờ hoàn tất cùng cookie mà cửa sổ riêng tư vứt bỏ. Coi nó là thứ thay thế cho đường vé chỉ an toàn ở nơi ứng dụng tự chấp nhận nhà phát hành đó. Sao chép phản hồi xác thực từ cổng VPN sang một dịch vụ không liên quan không phải là tích hợp, dù lối tắt trông tiện đến đâu.

Khi cả hai cơ chế được triển khai, hãy ghi lại ứng dụng nào dùng cái nào, vì cuộc trò chuyện hỗ trợ phụ thuộc vào điều đó. Người dùng báo đã đăng nhập nhưng không mở được chia sẻ tệp đang mô tả hai hệ thống, và câu trả lời là đường vé chưa từng chạy. Người dùng mở được chia sẻ nhưng không mở được cổng intranet đang mô tả điều ngược lại, và việc nêu tên cơ chế trong phiếu giúp tiết kiệm một vòng câu hỏi.

Đi theo trình tự, không phải từng phần

Đi hết chuỗi với một tài khoản đã đăng ký thông thường: đăng nhập cục bộ, đường hầm, lấy vé, rồi một thao tác thật với dịch vụ. Lặp lại sau khi đường hầm kết nối lại và sau khi cố ý đổi mật khẩu, vì mỗi trường hợp đó rèn một phần khác của logic thời hạn. Việc từng giai đoạn tự qua không giống với một chuỗi hoạt động. Chuỗi là điều người dùng trải nghiệm, và đó là điều ca nghiệm thu phải bao phủ.

Ghi lại chủ hồ sơ, phương thức xác thực VPN, đường khám phá miền và ánh xạ ứng dụng của tiện ích ở một nơi. Bản ghi đó là thứ khiến luồng có thể tái tạo bởi người không xây dựng nó. Sau đó kiểm tra lỗi bạn dễ gặp nhất, vé hết hạn trong khi đường hầm xuống, và xác nhận máy khách phục hồi mà không cần khởi động lại, vì một triển khai chỉ chạy từ khởi động nguội là chưa xong.

Cũng ghi lại chủ của từng giai đoạn, vì một miền Kerberos không ai bảo trì sẽ trở nên lỗi thời. Một chuỗi không ai mô tả được là một chuỗi không ai gỡ lỗi được.