AWS Client VPN SAML وGoogle Workspace: فجوة رد النداء

تأتي صفحة app_not_configured_for_user من Google Workspace، وهي تظهر قبل التفاوض على حزمة نفق واحدة. هذا الترتيب هو التشخيص كله. إعادة تثبيت العميل أو تعديل الملف الشخصي أو فحص المسارات لا يمكنها إزالة صفحة لم يرها طرف النفق بعد. الخطوة الفاشلة هي تسليم في المتصفح بين مزود الهوية ومستمع على جهاز المستخدم نفسه، وهناك ثلاثة أشياء بالضبط تستحق الفحص في ذلك التسليم.

اقرأ الصفحة كبيان من مزود الهوية

يعيد Google هذه الصفحة عندما لا يكون تطبيق SAML ممكّنًا للحساب الذي سجّل الدخول. قد يكون التطبيق مغلقًا، أو قد يكون المستخدم خارج الوحدة التنظيمية أو المجموعة المخصصة، أو قد لا تتطابق إعدادات مزود الخدمة مع ما طلبه الطلب.

لا شيء من ذلك مشكلة شهادة أو مسار أو نفق، مع أن المستخدم لاحظها في عميل VPN.

القيمتان التي سيقبلهما العميل

يشغّل AWS Client VPN تبادل SAML يبدأه مزود الخدمة، فيفتح العميل متصفحًا، ويصادق المستخدم، ويعيد المزود إرسال تأكيد موقّع إلى عنوان URL لخدمة استهلاك التأكيدات. بالنسبة إلى عميل سطح المكتب الذي توفره AWS، ذلك العنوان هو مستمع على واجهة الاسترجاع، وغالبًا المنفذ 35001، والجمهور المتوقع هو معرّف كيان تطبيق Client VPN SAML وليس كيان تسجيل الدخول إلى وحدة تحكم AWS.

يجب أن تتطابق القيمتان مع ما يتوقعه العميل: أين يُرسل التأكيد وإلى مَن هو موجّه. الإعداد المنسوخ من تطبيق SSO في وحدة التحكم قد يبدو معقولًا تمامًا ومع ذلك يستهدف الزوج الخطأ.

خذ القيمتين من متطلبات Client VPN SAML، لا من دليل عام لتسجيل الدخول الموحّد في AWS. كيان SSO في وحدة التحكم يبدو مشابهًا بما يكفي ليكون مغريًا. إنه تطبيق مختلف بجمهور مختلف، ويرفض العميل التأكيد دون أن يشرح نفسه. انسخ الزوج مرة واحدة واحفظه بجوار الملف الشخصي.

Google لن تقبل رد النداء عبر HTTP العادي

تتطلب وحدة تحكم المسؤول عنوان ACS بصيغة HTTPS، ورد نداء العميل هو HTTP عادي على واجهة الاسترجاع. لا يمكن كتابة تلك القيمة في إعداد تطبيق Workspace على الإطلاق، ولهذا تحاول بعض الفرق استخدام وكيل عكسي ينهي TLS ويعيد التوجيه إلى المستمع المحلي. هذا لا يصلح عدم التطابق: المتصفح يرى أصلًا واحدًا، والعميل يعلن أصلًا آخر، وقد تصل الاستجابة المرتجعة إلى وجهة خاطئة.

الترتيب الذي ينجح هو مزود هوية وسيط. يحصل تطبيق SAML عند الوسيط على رد النداء على واجهة الاسترجاع وعلى جمهور AWS، ويقوم الوسيط بتوحيد حساب Workspace في الأعلى. تبقى قاعدة HTTPS لدى Google مستوفاة، ويظل التأكيد الذي يصل إلى العميل يسمّي العنوان والجمهور الذي يتوقعه.

ذلك الوسيط اعتماد إداري يجب أن يملكه شخص ويراقبه ويُدرجه في إنهاء الخدمة. وهو أيضًا موضع ثانٍ يتحول فيه انقطاع إلى فشل تسجيل دخول. قدّر تكلفته قبل أن تعد بالتصميم. وإذا لم يكن هناك من يملكه، فالجواب الصادق أن عميل AWS لا يستطيع استخدام Workspace كمزود الهوية الوحيد له.

التعيين والتحقق بخطوتين

قبل إعادة تصميم أي شيء، تأكد من أن التطبيق ممكّن للوحدة التنظيمية أو المجموعة الصحيحة، وأن تطبيقات SAML التابعة لجهات خارجية لها ضوابط تعيين خاصة بها منفصلة عن قائمة التطبيقات في جانب Google.

تحقق أيضًا مما إذا كان التحقق بخطوتين ممكّنًا في الحساب. يمكن أن يفرضه Google قبل أن يصبح تطبيق SAML صالحًا للمستخدم، وقد حُلّ رد واحد في النقاش الأصلي بهذه الطريقة بالضبط. إنه أرخص شيء يمكن استبعاده وأكثر شيء مزعج أن تكتشفه أخيرًا.

تحقق من خلال جلسة نظيفة

بعد أي تغيير، اختبر بملف تعريف متصفح جديد وإعداد عميل نظيف. التأكيدات المخزنة مؤقتًا والجلسات المعاد استخدامها تخفي ما إذا كان الإصلاح قد نجح.

ثم قارن سجلين جنبًا إلى جنب: حدث التدقيق لدى مزود الهوية وسجل العميل. تسجيل دخول ناجح دون نفق يشير إلى رد النداء أو الجمهور. نفق متصل بمورد غير قابل للوصول مشكلة توجيه أو تخويل ومكانها آخر تمامًا.

ما لا يجب تغييره

لا تُزل auth-federate من الملف الشخصي ولا تعطّل فحوص الشهادات لتجاوز الصفحة. كلاهما يغيّر تصميم المصادقة بدلًا من رد النداء المعطوب، وكلاهما ينكسر عادةً عند التحديث التالي للعميل.

أصلح التسليم بدلًا من ذلك، واترك ملاحظة تسمّي الوسيط والجمهور ومنفذ الاسترجاع. الشخص التالي الذي يرى الصفحة سيحتاج الثلاثة.