مصادقة AWS Client VPN: أذونات IAM ليست طريقة لتسجيل الدخول
أذونات وحدة التحكم لا تصادق على نفق. قارن بين طرق الشهادة وAD وSAML، ثم اعرف متى تناسب إعادة توجيه المنفذ عبر SSM قاعدة بيانات خاصة واحدة.
منح مستخدم إذنًا لإنشاء نقطة نهاية AWS Client VPN أو وصفها لا يسمح لهذا المستخدم بالاتصال بها. هذان نوعان مختلفان من الهوية: يتحكم IAM في استدعاءات AWS API، بينما تقبل نقطة النهاية فقط طرق مصادقة العميل المهيأة عليها. لذلك قد يملك المستخدم صلاحيات واسعة في وحدة التحكم ومع ذلك لا يملك شيئًا يمكن لعميل VPN تقديمه. حدّد الطريقة التي تثق بها نقطة النهاية، ثم قرّر ما إذا كان النفق الكامل هو الشكل المناسب للوصول الذي تمنحه.
هوية API ليست هوية نفق
عندما يقول أحدهم «دور IAM مرتبط، فلماذا ما زال VPN يفشل»، تكون الإجابة عادةً أن أيا من خطوات تدفق الاتصال لا يقرأ ذلك الدور. يقدّم العميل شهادة، أو اسم مستخدم وكلمة مرور AD، أو تأكيد SAML. تتحقق نقطة النهاية من أحدها ثم تخصّص عنوانًا.
يبقى IAM مهمًا، لكن لاحقًا وفي مكان آخر: إنشاء نقطة النهاية وربط الشبكات الفرعية ونشر المسارات وكتابة قواعد التخويل هي إجراءات API. أبقِ هذه الأذونات محصورة في المشغلين الذين يحتاجونها بدلًا من منح كل مستخدم القدرة على إعادة كتابة قواعد الوصول لنقطة النهاية.
اختر من الطرق التي تدعمها نقطة النهاية
تقبل AWS Client VPN المصادقة المتبادلة القائمة على الشهادة، ومصادقة Active Directory، والمصادقة الموحدة القائمة على SAML. شهادة الخادم مطلوبة أيًا كانت طريقة العميل التي تختارها، والإعداد الذي يجمع بين طرق يتطلب نجاح الاثنين معًا لا أحدهما.
| Client method | What the user presents | Where the work sits |
|---|---|---|
| Mutual certificate | A client certificate the endpoint trusts | Certificate authority, issuing and revoking per user |
| Active Directory | Domain credentials | Directory reachable from the endpoint's VPC |
| SAML federation | An assertion from an identity provider | IdP application, attribute mapping, client support |
الشهادات هي الأرخص في الإعداد والأسهل في الخطأ عند التوسع، لأن كل مستخدم يحتاج إلى بيانات اعتماد وكل مغادرة تحتاج إلى إلغاء. تنقل مصادقة الدليل دورة الحياة هذه إلى نظام قائم. وتنقلها الاتحادية إلى مزوّد هوية وتضيف خطوة متصفح إلى العميل.
اقرأ إعداد نقطة النهاية نفسها قبل تشخيص العميل. إذا كانت المصادقة المتبادلة مفعّلة إلى جانب طريقة قائمة على المستخدم، فسيفشل عميل لديه شهادة صالحة لكن ليس لديه حساب دليل، ويبدو الخطأ عادةً كمشكلة مصافحة عامة.
الاتحادية ليست تمرير مفاتيح الوصول
لا يمرّر إعداد SAML مفاتيح وصول IAM ولا رمز دور مفترض إلى النفق. يوثّق مزوّد الهوية الشخص، ويعيد تأكيدًا، وتقبله نقطة النهاية في إطار الثقة التي هيأتها. الجلسة الناتجة هي جلسة VPN وليست جلسة AWS API.
هذا التمييز يحدد من يستطيع تشخيص ماذا. تظهر مشاكل IdP كخطأ في المتصفح أو العميل قبل وجود أي نفق، بينما تظهر مشاكل النفق بعد تأكيد ناجح. اسأل أيهما تنظر إليه قبل فتح أي من وحدتي التحكم.
بعد تسجيل الدخول، تبقى المسارات وقواعد التخويل هي الفاصل
المصادقة تمنح الجلسة عنوانًا؛ لكنها لا تمنح الجلسة وجهة. تخبر مسارات نقطة النهاية العميل بالشبكات الفرعية التي يرسل إليها، وتحدد قواعد التخويل أي المستخدمين يمكنهم الوصول إلى أي من تلك الشبكات الفرعية، وتحدد مجموعات الأمان وأذونات الهدف نفسه الباقي.
لهذا السبب قد يفشل مستخدم تمت مصادقته بنجاح في الوصول إلى قاعدة بيانات. تحقق من ربط جدول المسارات بالشبكة الفرعية، وقاعدة التخويل لمجموعة المستخدم، ومجموعة الأمان على الهدف بهذا الترتيب، لأن كلًا منها ينتج نوعًا مختلفًا من انتهاء المهلة.
لقاعدة بيانات خاصة واحدة، قارن مع إعادة توجيه المنفذ
إذا كانت المهمة الحقيقية اتصالًا معتمدًا واحدًا بقاعدة بيانات خاصة واحدة، فإن النفق الشبكي الكامل خيار لا شرط. يستطيع AWS Systems Manager Session Manager فتح جلسة إعادة توجيه منفذ إلى عقدة مُدارة عبر IAM، وتصل تلك العقدة إلى قاعدة البيانات على الشبكة الخاصة. لا يحصل المستخدم أبدًا على عنوان VPC. وتصبح العقدة المُدارة المضيف الوحيد القادر على الوصول إلى منفذ قاعدة البيانات، وهو عادةً ما كانت مراجعة الأمان تطلبه. يحتاج المستخدمون بعد ذلك إلى عميل محلي وأمر جلسة بدلًا من ملف تعريف VPN.
المقايضة هي النطاق مقابل المتطلبات المسبقة. تحتاج إعادة توجيه المنفذ إلى وكيل SSM على العقدة المُدارة، وإمكانية الوصول الشبكي من تلك العقدة إلى قاعدة البيانات، وإضافة Session Manager على جهاز المستخدم، وإذن ببدء تلك الجلسة تحديدًا. وهي ليست مسارًا إلى كل شبكة فرعية، ولن تحمل بروتوكولات عشوائية كما يفعل النفق.
أبقِ هوية قاعدة البيانات نفسها في مكانها في كلتا الحالتين. لا يختفي التحقق من TLS ومصادقة قاعدة البيانات لأن المسار تم تخويله بواسطة IAM، والجلسة المعتمدة لا تقول شيئًا عن الجداول التي يجوز للمستخدم قراءتها.
اختر على أساس النطاق ودورة الحياة: نفق عندما يحتاج كثير من المستخدمين إلى وجهات كثيرة ويمكنك تشغيل دورة حياة الشهادات أو الدليل، وجلسة إعادة توجيه عندما يحتاج عدد قليل من الأشخاص إلى خدمة واحدة وتفضّل عدم توزيع عناوين الشبكة. في كلتا الحالتين، سجّل طريقة المصادقة وقاعدة التخويل وتسجيل دخول قاعدة البيانات كثلاث حقائق منفصلة، لأنها تفشل بشكل منفصل.