AWS Client VPN SAML ও Google Workspace: কলব্যাক ফাঁক

পৃষ্ঠাটি app_not_configured_for_user Google Workspace থেকে আসে এবং একটি টানেল প্যাকেটও নেগোশিয়েট হওয়ার আগেই দেখা যায়। এই ক্রমটাই পুরো রোগনির্ণয়। ক্লায়েন্ট পুনরায় ইনস্টল করা, প্রোফাইল সম্পাদনা করা বা রুট পরীক্ষা করা এমন একটি পৃষ্ঠা সরাতে পারে না যা VPN এন্ডপয়েন্ট এখনও দেখেনি। ব্যর্থ ধাপটি হলো আইডেন্টিটি প্রোভাইডার এবং ব্যবহারকারীর নিজের মেশিনের একটি লিসেনারের মধ্যে ব্রাউজার হ্যান্ড-অফ, এবং সেই হ্যান্ড-অফে ঠিক তিনটি জিনিস পরীক্ষা করার যোগ্য।

পৃষ্ঠাটিকে আইডেন্টিটি প্রোভাইডারের বিবৃতি হিসেবে পড়ুন

SAML অ্যাপ্লিকেশনটি যে অ্যাকাউন্ট সাইন ইন করেছে তার জন্য সক্রিয় না থাকলে Google এটি ফেরত দেয়। অ্যাপটি বন্ধ থাকতে পারে, ব্যবহারকারী নির্ধারিত সাংগঠনিক ইউনিট বা গ্রুপের বাইরে থাকতে পারে, অথবা সার্ভিস-প্রোভাইডার সেটিংস অনুরোধটি যা চেয়েছিল তার সাথে মিলতে পারে না।

এর কোনোটিই সার্টিফিকেট, রুট বা টানেল সমস্যা নয়, যদিও ব্যবহারকারী এটি VPN ক্লায়েন্টেই লক্ষ্য করেছে।

ক্লায়েন্ট যে দুটি মান গ্রহণ করবে

AWS Client VPN সার্ভিস-প্রোভাইডার-আরম্ভিত SAML বিনিময় চালায়, তাই ক্লায়েন্ট একটি ব্রাউজার খোলে, ব্যবহারকারী প্রমাণীকরণ করেন, এবং প্রোভাইডার একটি স্বাক্ষরিত অ্যাসারশন Assertion Consumer Service URL-এ ফেরত পাঠায়। AWS-প্রদত্ত ডেস্কটপ ক্লায়েন্টের জন্য সেই URL হলো লুপব্যাকে একটি লিসেনার, সাধারণত পোর্ট 35001, এবং প্রত্যাশিত অডিয়েন্স হলো Client VPN SAML অ্যাপ্লিকেশনের এন্টিটি আইডেন্টিফায়ার, AWS কনসোল সাইন-ইন এন্টিটি নয়।

দুটি মানই ক্লায়েন্ট যা প্রত্যাশা করে তার সাথে মিলতে হবে: অ্যাসারশন কোথায় পোস্ট হয় এবং কাকে সম্বোধন করা হয়েছে। কনসোল SSO অ্যাপ্লিকেশন থেকে কপি করা কনফিগারেশন সম্পূর্ণ বিশ্বাসযোগ্য দেখাতে পারে এবং তবুও ভুল জোড়াকে লক্ষ্য করতে পারে।

দুটি মানই Client VPN SAML প্রয়োজনীয়তা থেকে নিন, সাধারণ AWS সিঙ্গেল সাইন-অন গাইড থেকে নয়। কনসোল SSO এন্টিটি প্রলুব্ধকর হওয়ার মতো যথেষ্ট মিল দেখায়। এটি ভিন্ন অডিয়েন্সের ভিন্ন অ্যাপ্লিকেশন, এবং ক্লায়েন্ট কোনো ব্যাখ্যা ছাড়াই অ্যাসারশন প্রত্যাখ্যান করে। জোড়াটি একবার কপি করুন এবং প্রোফাইলের পাশে সংরক্ষণ করুন।

Google প্লেইন-HTTP কলব্যাক গ্রহণ করবে না

অ্যাডমিন কনসোল HTTPS ACS URL দাবি করে, আর ক্লায়েন্টের কলব্যাক লুপব্যাকে প্লেইন HTTP। সেই মান Workspace অ্যাপ কনফিগারেশনে একেবারেই লেখা যায় না, তাই কিছু দল TLS সমাপ্ত করে স্থানীয় লিসেনারে ফরোয়ার্ড করে এমন রিভার্স প্রক্সি চেষ্টা করে। এটি অমিল ঠিক করে না: ব্রাউজার একটি অরিজিন দেখে, ক্লায়েন্ট অন্য একটি ঘোষণা করে, এবং ফেরত আসা প্রতিক্রিয়া ভুল গন্তব্যে পৌঁছাতে পারে।

যে ব্যবস্থাটি কাজ করে তা হলো ব্রোকার আইডেন্টিটি প্রোভাইডার। ব্রোকারের SAML অ্যাপ্লিকেশন লুপব্যাক কলব্যাক এবং AWS অডিয়েন্স পায়, এবং ব্রোকার Workspace অ্যাকাউন্টটি আপস্ট্রিমে ফেডারেট করে। Google-এর HTTPS নিয়ম পূরণই থাকে, এবং ক্লায়েন্টের কাছে পৌঁছানো অ্যাসারশন এখনও তার প্রত্যাশিত ঠিকানা ও অডিয়েন্সের নাম উল্লেখ করে।

সেই ব্রোকার একটি প্রশাসনিক নির্ভরতা, যা কাউকে মালিকানা নিতে, পর্যবেক্ষণ করতে এবং অফবোর্ডিংয়ে অন্তর্ভুক্ত করতে হবে। এটি দ্বিতীয় জায়গা যেখানে একটি বিভ্রাট লগইন ব্যর্থতায় পরিণত হয়। ডিজাইনের প্রতিশ্রুতি দেওয়ার আগে এর খরচ হিসাব করুন। কেউ যদি এর মালিকানা না নেয়, সৎ উত্তর হলো AWS ক্লায়েন্ট Workspace-কে একমাত্র আইডেন্টিটি প্রোভাইডার হিসেবে ব্যবহার করতে পারে না।

অ্যাসাইনমেন্ট ও দুই-ধাপ যাচাই

কিছু পুনরায় ডিজাইন করার আগে নিশ্চিত করুন অ্যাপটি সঠিক সাংগঠনিক ইউনিট বা গ্রুপের জন্য চালু আছে, এবং তৃতীয় পক্ষের SAML অ্যাপগুলোর Google-এর দিকের অ্যাপ তালিকা থেকে আলাদা নিজস্ব অ্যাসাইনমেন্ট নিয়ন্ত্রণ রয়েছে।

অ্যাকাউন্টে দুই-ধাপ যাচাই সক্রিয় আছে কিনা তাও পরীক্ষা করুন। কোনো SAML অ্যাপ ব্যবহারকারীর জন্য ব্যবহারযোগ্য হওয়ার আগে Google এটি দাবি করতে পারে, এবং মূল আলোচনার একটি উত্তর ঠিক এভাবেই সমাধান হয়েছিল। এটি বাদ দেওয়া সবচেয়ে সস্তা এবং সবার শেষে আবিষ্কার করা সবচেয়ে বিরক্তিকর।

পরিচ্ছন্ন সেশনে যাচাই করুন

যেকোনো পরিবর্তনের পরে একটি নতুন ব্রাউজার প্রোফাইল ও পরিচ্ছন্ন ক্লায়েন্ট কনফিগারেশন দিয়ে পরীক্ষা করুন। ক্যাশে করা অ্যাসারশন ও পুনরায় ব্যবহৃত সেশন সমাধান কাজ করেছে কিনা তা লুকিয়ে রাখে।

তারপর দুটি রেকর্ড পাশাপাশি তুলনা করুন: আইডেন্টিটি প্রোভাইডারের অডিট ইভেন্ট এবং ক্লায়েন্ট লগ। টানেল ছাড়া সফল সাইন-ইন কলব্যাক বা অডিয়েন্সের দিকে ইঙ্গিত করে। সংযুক্ত টানেল কিন্তু অপ্রাপ্য রিসোর্স রাউটিং বা অনুমোদনের সমস্যা এবং সম্পূর্ণ ভিন্ন জায়গার।

কী পরিবর্তন করবেন না

পৃষ্ঠাটি পেরোতে প্রোফাইল থেকে auth-federate সরাবেন না বা সার্টিফিকেট পরীক্ষা নিষ্ক্রিয় করবেন না। দুটোই ব্যর্থ কলব্যাকের বদলে প্রমাণীকরণের ডিজাইন বদলায়, এবং দুটোই সাধারণত পরের ক্লায়েন্ট আপডেটে ভেঙে যায়।

বরং হ্যান্ড-অফটি ঠিক করুন, এবং একটি নোট রেখে যান যাতে ব্রোকার, অডিয়েন্স ও লুপব্যাক পোর্টের নাম থাকে। পৃষ্ঠাটি দেখতে পাওয়া পরের ব্যক্তির তিনটিই লাগবে।