AWS Client VPN SAML və Google Workspace: geri çağırış boşluğu

app_not_configured_for_user səhifəsi Google Workspace-dən gəlir və tək bir tunel paketi razılaşdırılmadan əvvəl görünür. Bu sıralama bütün diaqnozdur. Klienti yenidən quraşdırmaq, profili redaktə etmək və ya marşrutları yoxlamaq VPN son nöqtəsinin hələ görmədiyi səhifəni silə bilməz. Uğursuz mərhələ identifikasiya provayderi ilə istifadəçinin öz maşınındakı dinləyici arasındakı brauzer ötürməsidir və bu ötürmədə yoxlanmağa dəyər tam üç şey var.

Səhifəni identifikasiya provayderinin bəyanatı kimi oxuyun

Google bunu SAML tətbiqi daxil olan hesab üçün aktivləşdirilmədikdə qaytarır. Tətbiq söndürülmüş ola bilər, istifadəçi təyin edilmiş təşkilati vahiddən və ya qrupdan kənarda ola bilər, ya da xidmət provayderi parametrləri sorğunun tələb etdiyi ilə uyğun gəlməyə bilər.

Bunların heç biri sertifikat, marşrut və ya tunel problemi deyil, baxmayaraq ki istifadəçi bunu VPN klientində görüb.

Klientin qəbul edəcəyi iki dəyər

AWS Client VPN xidmət provayderinin başlatdığı SAML mübadiləsi aparır, yəni klient brauzer açır, istifadəçi autentifikasiyadan keçir və provayder imzalanmış təsdiqi Assertion Consumer Service URL-inə göndərir. AWS-nin təqdim etdiyi masaüstü klient üçün bu URL loopback-də dinləyicidir, adətən 35001 portu, və gözlənilən auditoriya AWS konsolunun daxil olma identifikatoru deyil, Client VPN SAML tətbiqinin obyekt identifikatorudur.

Hər iki dəyər klientin gözlədiyi ilə uyğun olmalıdır: təsdiqin hara göndərildiyi və kimə ünvanlandığı. Konsol SSO tətbiqindən kopyalanmış konfiqurasiya tamamilə inandırıcı görünə və yenə də səhv cütü hədəf ala bilər.

Hər iki dəyəri ümumi AWS tək giriş bələdçisindən deyil, Client VPN SAML tələblərindən götürün. Konsol SSO obyekti cəlbedici olacaq qədər oxşar görünür. O, fərqli auditoriyası olan fərqli tətbiqdir və klient təsdiqi heç nə izah etmədən rədd edir. Cütü bir dəfə kopyalayın və profilin yanında saxlayın.

Google düz HTTP geri çağırışını qəbul etməyəcək

Admin konsolu HTTPS ACS URL-i tələb edir, klientin geri çağırışı isə loopback-də düz HTTP-dir. Bu dəyəri Workspace tətbiq konfiqurasiyasına ümumiyyətlə yazmaq mümkün deyil, buna görə bəzi komandalar TLS-i sonlandırıb yerli dinləyiciyə yönləndirən tərs proksi sınayır. Bu uyğunsuzluğu aradan qaldırmır: brauzer bir mənbə görür, klient başqasını elan edir və qaytarılan cavab səhv təyinatla gələ bilər.

İşləyən quruluş vasitəçi identifikasiya provayderidir. Vasitəçidəki SAML tətbiqi loopback geri çağırışını və AWS auditoriyasını alır, vasitəçi isə Workspace hesabını yuxarıda federasiya edir. Google-un HTTPS qaydası təmin olunmuş qalır və klientə çatan təsdiq yenə gözlədiyi ünvanı və auditoriyanı adlandırır.

Bu vasitəçi kiminsə sahib olmalı, izləməli və işdən çıxarma prosesinə daxil etməli olduğu inzibati asılılıqdır. O, həm də kəsintinin giriş uğursuzluğuna çevrildiyi ikinci yerdir. Dizaynı vəd etməzdən əvvəl onun qiymətini hesablayın. Əgər ona heç kim sahib olmayacaqsa, dürüst cavab budur ki, AWS klienti Workspace-i yeganə identifikasiya provayderi kimi istifadə edə bilməz.

Təyinat və ikiaddımlı yoxlama

Hər hansı bir şeyi yenidən dizayn etməzdən əvvəl tətbiqin düzgün təşkilati vahid və ya qrup üçün aktiv olduğunu və üçüncü tərəf SAML tətbiqlərinin Google tərəfindəki tətbiq siyahısından ayrı öz təyinat nəzarətləri olduğunu təsdiqləyin.

Həmçinin hesabda ikiaddımlı yoxlamanın aktiv olub-olmadığını yoxlayın. Google bunu SAML tətbiqi istifadəçi üçün istifadəyə yararlı olmadan əvvəl tələb edə bilər və ilkin müzakirədə bir cavab məhz bu şəkildə həll olundu. Bu, istisna etmək üçün ən ucuz və sonunda kəşf etmək üçün ən bezdirici şeydir.

Təmiz sessiya ilə yoxlayın

Hər hansı dəyişiklikdən sonra təzə brauzer profili və təmiz klient konfiqurasiyası ilə test edin. Keşlənmiş təsdiqlər və təkrar istifadə olunan sessiyalar düzəlişin nəticə verdiyini gizlədir.

Sonra iki qeydi yan-yana müqayisə edin: identifikasiya provayderinin audit hadisəsi və klient jurnalı. Tunelsiz uğurlu giriş geri çağırışa və ya auditoriyaya işarə edir. Əlçatmaz resursla bağlı tunel marşrut və ya avtorizasiya problemidir və tamamilə başqa yerə aiddir.

Nəyi dəyişməməli

Səhifəni keçmək üçün auth-federate sətrini profildən silməyin və sertifikat yoxlamalarını söndürməyin. Hər ikisi uğursuz geri çağırışı deyil, autentifikasiya dizaynını dəyişir və hər ikisi adətən növbəti klient yeniləməsində pozulur.

Əvəzində ötürməni düzəldin və vasitəçini, auditoriyanı və loopback portunu adlandıran qeyd buraxın. Səhifəni görəcək növbəti şəxsə hər üçü lazım olacaq.