AWS Client VPN autentifikasiyası: IAM icazələri giriş üsulu deyil
Konsol icazələri tuneli autentifikasiya etmir. Sertifikat, AD və SAML üsullarını müqayisə edin, sonra SSM port yönləndirməsinin bir özəl verilənlər bazasına nə vaxt uyğun olduğunu görün.
İstifadəçiyə AWS Client VPN son nöqtəsini yaratmaq və ya təsvir etmək icazəsi vermək o istifadəçinin ona qoşulmasına imkan vermir. Bunlar iki fərqli kimlik növüdür: IAM AWS API çağırışlarını idarə edir, son nöqtə isə yalnız özündə konfiqurasiya edilmiş müştəri autentifikasiyası üsullarını qəbul edir. Beləliklə, istifadəçi geniş konsol hüquqlarına sahib ola bilər və yenə də VPN müştərisinin təqdim edə biləcəyi heç bir şey olmaz. Son nöqtənin hansı üsula etibar etdiyini müəyyənləşdirin, sonra verdiyiniz giriş üçün tam tunelin düzgün forma olub-olmadığına qərar verin.
API kimliyi tunel kimliyi deyil
Kimsə «IAM rolu bağlanıb, bəs VPN niyə hələ də uğursuz olur» dedikdə, cavab adətən ondan ibarətdir ki, qoşulma axınındakı heç bir addım o rolu oxumur. Müştəri sertifikat, AD istifadəçi adı və parolu və ya SAML təsdiqi təqdim edir. Son nöqtə bunlardan birini yoxlayır və sonra ünvan təyin edir.
IAM yenə də vacibdir, sadəcə sonra və başqa yerdə: son nöqtənin yaradılması, alt şəbəkələrin birləşdirilməsi, marşrutların yayımlanması və avtorizasiya qaydalarının yazılması API əməliyyatlarıdır. Bu icazələri ehtiyacı olan operatorlarla məhdudlaşdırın, hər istifadəçiyə son nöqtənin giriş qaydalarını yenidən yazmaq imkanı verməyin.
Son nöqtənin dəstəklədiyi üsullardan seçin
AWS Client VPN sertifikata əsaslanan qarşılıqlı autentifikasiyanı, Active Directory autentifikasiyasını və SAML əsaslı federativ autentifikasiyanı qəbul edir. Hansı müştəri üsulunu seçdiyinizdən asılı olmayaraq server sertifikatı tələb olunur və üsulları birləşdirən konfiqurasiya hər ikisinin uğurlu olmasını tələb edir, birinin deyil.
| Client method | What the user presents | Where the work sits |
|---|---|---|
| Mutual certificate | A client certificate the endpoint trusts | Certificate authority, issuing and revoking per user |
| Active Directory | Domain credentials | Directory reachable from the endpoint's VPC |
| SAML federation | An assertion from an identity provider | IdP application, attribute mapping, client support |
Sertifikatlar qurulması ən ucuz və miqyasda səhv salınması ən asan üsuldur, çünki hər istifadəçiyə etimadnamə lazımdır və hər gediş ləğv tələb edir. Kataloq autentifikasiyası bu həyat dövrünü mövcud sistemə köçürür. Federasiya onu kimlik provayderinə köçürür və müştəriyə brauzer addımı əlavə edir.
Müştərini sazlamadan əvvəl son nöqtənin öz konfiqurasiyasını oxuyun. Əgər qarşılıqlı autentifikasiya istifadəçiyə əsaslanan üsulla birlikdə aktivdirsə, etibarlı sertifikatı olan, lakin kataloq hesabı olmayan müştəri yenə də uğursuz olacaq və xəta adətən ümumi əl sıxma problemi kimi görünür.
Federasiya giriş açarlarının ötürülməsi deyil
SAML quruluşu tunelə IAM giriş açarlarını və ya fərz edilən rol tokenini ötürmür. Kimlik provayderi şəxsi autentifikasiya edir, təsdiq qaytarır və son nöqtə onu konfiqurasiya etdiyiniz etimad çərçivəsində qəbul edir. Nəticədə yaranan sessiya VPN sessiyasıdır, AWS API sessiyası deyil.
Bu fərq kimin nəyi diaqnoz edə biləcəyini müəyyən edir. IdP problemləri hələ heç bir tunel yoxkən brauzer və ya müştəri xətası kimi görünür, tunel problemləri isə uğurlu təsdiqdən sonra görünür. Hansı konsolu açmazdan əvvəl bu ikisindən hansına baxdığınızı soruşun.
Girişdən sonra marşrutlar və avtorizasiya hələ də həll edir
Autentifikasiya sessiyaya ünvan verir; sessiyaya təyinat vermir. Son nöqtə marşrutları müştəriyə hansı alt şəbəkələrə göndərəcəyini deyir, avtorizasiya qaydaları hansı istifadəçilərin o alt şəbəkələrdən hansına çata biləcəyini müəyyən edir, təhlükəsizlik qrupları və hədəfin öz icazələri isə qalanını həll edir.
Buna görə də uğurla autentifikasiya olunan istifadəçi yenə də verilənlər bazasına çata bilməyə bilər. Alt şəbəkə üçün marşrut cədvəli assosiasiyasını, istifadəçinin qrupu üçün avtorizasiya qaydasını və hədəfdəki təhlükəsizlik qrupunu bu ardıcıllıqla yoxlayın, çünki hər biri fərqli vaxt aşımı növü yaradır.
Bir özəl verilənlər bazası üçün port yönləndirmə ilə müqayisə edin
Əgər əsl vəzifə bir özəl verilənlər bazasına bir təsdiqlənmiş qoşulmadırsa, tam şəbəkə tuneli tələb deyil, seçimdir. AWS Systems Manager Session Manager IAM vasitəsilə idarə olunan node-a port yönləndirmə sessiyası aça bilər və həmin node özəl şəbəkədə verilənlər bazasına çatır. İstifadəçi heç vaxt VPC ünvanı almır. İdarə olunan node verilənlər bazası portuna çata bilən yeganə host olur və bu, adətən təhlükəsizlik baxışının tələb etdiyi şeydir. Sonra istifadəçilərə VPN profili deyil, yerli müştəri və sessiya əmri lazımdır.
Güzəşt əhatə dairəsi ilə ilkin şərtlər arasındadır. Port yönləndirmə idarə olunan node-da SSM agentini, həmin node-dan verilənlər bazasına şəbəkə əlçatanlığını, istifadəçinin maşınında Session Manager plaginini və həmin xüsusi sessiyanı başlamaq icazəsini tələb edir. Bu, hər alt şəbəkəyə giriş marşrutu deyil və tunel kimi ixtiyari protokolları daşımır.
Hər iki halda verilənlər bazasının öz kimliyini yerində saxlayın. Yol IAM tərəfindən avtorizasiya edildiyi üçün TLS yoxlaması və verilənlər bazası autentifikasiyası yox olmur və təsdiqlənmiş sessiya istifadəçinin hansı cədvəlləri oxuya biləcəyi barədə heç nə demir.
Əhatə dairəsi və həyat dövrünə görə seçin: çoxlu istifadəçinin çoxlu təyinat yerinə ehtiyacı olduqda və sertifikat və ya kataloq həyat dövrünü idarə edə bildikdə tunel, bir neçə nəfərin bir xidmətə ehtiyacı olduqda və şəbəkə ünvanları paylamaq istəmədikdə yönləndirmə sessiyası. Hər iki halda autentifikasiya üsulunu, avtorizasiya qaydasını və verilənlər bazası girişini üç ayrı fakt kimi qeyd edin, çünki onlar ayrı-ayrılıqda uğursuz olur.