Kimlik sektörü parolayı emekli etmekle meşgul, haklı olarak. Ama kurumun bir köşesinde parola onlarca yıl önce zaten kayboldu: domain'e bağlı Windows iş istasyonu. Kullanıcı sabah makinesinin kilidini açtı; Kerberos o andan beri onun adına sessizce kefalet veriyor. Doğru kurulduğunda, o makineden bir web uygulaması açmak kullanıcı adı, parola ve herhangi bir istem içermez. Sayfa yüklenir, oturum açılmış olarak.
Bu deneyim (gerçek sıfır tık SSO) çeper içinde hâlâ rakipsiz. Mühendislik sorusu şu: bu deneyimi keskin kenarlarını devralmadan modern bir kimlik platformuna nasıl aşılarsınız?
Sessiz web girişi gerçekte nasıl çalışır
Akış SPNEGO/Negotiate, koreografi kısa: giriş sayfası tarayıcıdan bilet ister; domain'e bağlı ve doğru yapılandırılmış istemcide tarayıcı, kullanıcıyı rahatsız etmeden Kerberos servis biletini uzatır; platform bileti doğrular ve oturumu başlatır. Kullanıcının gözünden hiçbir şey olmamıştır; zaten bütün mesele budur.
Sağlam bir uygulamayı kırılgan olandan üç tasarım kararı ayırır:
Kerberos bir optimizasyondur, asla bir kapı değildir. Olağandışı her durum (bilet yok, NTLM'e düşüş, domain dışı makine, dizinin tanımadığı kullanıcı) sessizce normal giriş formuna inmelidir. En kötü eski SSO kurulumları kullanıcıları hata sayfasından korkmaya alıştırdı; doğru davranışta başarısızlık görünmezdir ve form hep oradadır.
Challenge, ağa göre kapsanır. Negotiate challenge'ı alan ama bileti olmayan tarayıcı çoğu zaman çıplak bir kimlik bilgisi diyaloğu açar: olabilecek en çirkin deneyim, üstelik genellikle tam da hiçbir zaman bileti olmayacak makinelerde (ev dizüstüleri, telefonlar). Çözüm, Kerberos'un kime önerileceğine istemci ağına göre karar vermektir: ağ dışındaki istemci challenge'ı hiç görmez, dolayısıyla o popup'ı da hiç görmez.
Keytab kenarda değil, derinde yaşar. Bilet doğrulaması çevrimdışıdır: servis anahtarını elinde tutan, biletleri çözebilir; yanlış ellerde, sahteleyebilir de. O anahtarın internete bakan bir giriş uygulamasında işi yoktur. Monosign'ın uygulamasında doğrulama yalnızca API katmanında koşar; giriş uygulaması bileti iletir ve karşılığında bir kimlik alır, Kerberos anahtarları kenara hiç dokunmaz.
Birden çok orman, tek giriş sayfası
Gerçek kurumlarda tek ve derli toplu bir domain nadirdir. Modern bir uygulama bileti Kerberos etkin her dizin kaynağına karşı doğrular, biletin realm'inden hangi ormana ait olduğunu çıkarır ve kullanıcıyı yalnızca o kaynakta arar; böylece hesap adları çakışan iki orman birbirine karışamaz ve her kaynak kendi politikasını korur.
Kerberos ile passkey aynı stratejidir
Bunu eski-yeni karşıtlığı olarak kurmak cazip. Oysa aynı ilkenin iki ortama uygulanışı bu: kullanıcı kendini güvenilir bir şeye bir kez kanıtlar; yazılım o kanıtı ileriye taşır. Domain'e bağlı masaüstünde güvenilir şey makinenin domain kimliğidir; geri kalan her yerde bir passkey. İkisini de konuşan bir platform, AD yatırımınızın çoktan ödediği sıfır tık deneyimi korumanızı sağlar; filonun kalanı parolasıza geçer; iki yol da aynı oturuma, aynı MFA politikalarına, aynı denetim izine çıkar.
Monofor bu tabloda nerede
Monosign, Kerberos girişini SSO'sunun parçası olarak sunar: birden çok AD kaynağında domain'e bağlı istemciler için sessiz SPNEGO doğrulaması, ağ bazlı challenge kapsamı, standart forma sessiz geri düşüş ve API katmanında yalıtılmış keytab doğrulaması. ADFS'ten ayrılmayı planlıyorsanız geçiş yolu ADFS alternatifi sayfasında.
Otuz yıl sonra Kerberos hâlâ var olan en iyi girişi sunuyor: kimsenin fark etmediğini.
Devamı için: Single Sign-On Nedir ve Kerberos sözlük maddesi.
