AWS Client VPN SAML en Google Workspace: die terugbelgat

Die app_not_configured_for_user-bladsy kom van Google Workspace, en dit verskyn voordat ’n enkele tonnelpakket onderhandel is. Dié volgorde is die hele diagnose. Om die kliënt te herinstalleer, die profiel te wysig of roetes na te gaan, kan nie ’n bladsy skoonmaak wat die VPN-eindpunt nog nooit gesien het nie. Die stap wat faal, is ’n oordrag in die blaaier tussen die identiteitsverskaffer en ’n luisteraar op die gebruiker se eie masjien, en daar is presies drie dinge wat in daardie oordrag die moeite werd is om na te gaan.

Lees die bladsy as ’n verklaring van die identiteitsverskaffer

Google gee dit terug wanneer die SAML-toepassing nie vir die rekening wat aangemeld het, geaktiveer is nie. Die app kan afgeskakel wees, die gebruiker kan buite die toegewysde organisasie-eenheid of groep val, of die diensverskaffer-instellings kan nie ooreenstem met wat die versoek gevra het nie.

Niks daarvan is ’n sertifikaat-, roete- of tonnelprobleem nie, selfs al is dit by die VPN-kliënt waar die gebruiker dit raakgesien het.

Die twee waardes wat die kliënt sal aanvaar

AWS Client VPN doen ’n diensverskaffer-geïnisieerde SAML-uitruiling, so die kliënt maak ’n blaaier oop, die gebruiker verifieer, en die verskaffer pos ’n ondertekende verklaring terug na ’n Assertion Consumer Service-URL. Vir die AWS-voorsiene kliënt vir rekenaars is daardie URL ’n luisteraar op loopback, gewoonlik poort 35001, en die verwagte gehoor is die entiteitsidentifiseerder van die Client VPN SAML-toepassing, nie die AWS-console-aanmeldentiteit nie.

Albei waardes moet ooreenstem met wat die kliënt verwag: waar die verklaring gepos word en aan wie dit gerig is. ’n Konfigurasie wat uit ’n console-SSO-toepassing gekopieer is, kan heeltemal geloofwaardig lyk en steeds die verkeerde paar teiken.

Neem albei waardes uit die Client VPN SAML-vereistes, nie uit ’n algemene AWS-enkelmeldingsgids nie. Die console-SSO-entiteit lyk soortgelyk genoeg om aanloklik te wees. Dit is ’n ander toepassing met ’n ander gehoor, en die kliënt verwerp die verklaring sonder om homself te verduidelik. Kopieer die paar een keer en bewaar dit langs die profiel.

Google sal nie die gewone HTTP-terugbel aanvaar nie

Die administrasiekonsol vereis ’n HTTPS-ACS-URL, en die kliënt se terugbel is gewone HTTP op loopback. Daardie waarde kan glad nie in die Workspace-app-konfigurasie ingetik word nie, en daarom probeer sommige spanne ’n omgekeerde instaanbediener wat TLS termineer en na die plaaslike luisteraar aanstuur. Dit herstel nie die wanverhouding nie: die blaaier sien een oorsprong, die kliënt adverteer ’n ander, en die teruggekeerde antwoord kan by die verkeerde bestemming aankom.

Die reëling wat werk, is ’n makelaar-identiteitsverskaffer. Die SAML-toepassing by die makelaar kry die loopback-terugbel en die AWS-gehoor, en die makelaar federeer die Workspace-rekening opstroom. Google se HTTPS-reël bly bevredig, en die verklaring wat die kliënt bereik, noem steeds die adres en gehoor wat dit verwag.

Daardie makelaar is ’n administratiewe afhanklikheid wat iemand moet besit, monitor en by uitfasering moet insluit. Dit is ook ’n tweede plek waar ’n onderbreking ’n aanmeldingsfout word. Bereken die prys daarvan voordat jy die ontwerp belowe. As niemand dit sal besit nie, is die eerlike antwoord dat die AWS-kliënt nie Workspace as sy enigste identiteitsverskaffer kan gebruik nie.

Toewysing en tweestap-verifikasie

Voordat jy enigiets herontwerp, bevestig dat die app vir die regte organisasie-eenheid of groep aangeskakel is, en dat derdeparty-SAML-toepassings hul eie toewysingsbeheer het, apart van die app-lys aan die Google-kant.

Kyk ook of tweestap-verifikasie vir die rekening geaktiveer is. Google kan dit vereis voordat ’n SAML-toepassing vir ’n gebruiker bruikbaar word, en ’n enkele antwoord in die oorspronklike draad is presies so opgelos. Dit is die goedkoopste ding om uit te skakel en die verveligste om laaste te ontdek.

Verifieer met ’n skoon sessie

Na enige verandering, toets met ’n vars blaaierprofiel en ’n skoon kliëntkonfigurasie. Gekasde verklarings en hergebruikte sessies verberg of die regstelling geslaag het.

Vergelyk dan twee rekords langs mekaar: die identiteitsverskaffer se ouditgebeurtenis en die kliëntlog. ’n Suksesvolle aanmelding sonder ’n tonnel wys terug na die terugbel of die gehoor. ’n Verbinde tonnel met ’n onbereikbare hulpbron is ’n roete- of magtigingsprobleem en hoort heeltemal elders.

Wat nie verander moet word nie

Moenie auth-federate uit die profiel stroop of sertifikaatkontroles afskakel om verby die bladsy te kom nie. Albei verander die verifikasie-ontwerp eerder as die foutiewe terugbel, en albei breek gewoonlik by die volgende kliëntopdatering.

Herstel eerder die oordrag, en laat ’n nota wat die makelaar, die gehoor en die loopback-poort noem. Die volgende persoon wat die bladsy sien, sal al drie nodig hê.