AWS Client VPN autentifikacija: IAM dozvole nisu način prijave
Dozvole u konzoli ne autentifikuju tunel. Uporedite metode sa sertifikatom, AD i SAML, pa pogledajte kada SSM prosljeđivanje portova odgovara jednoj privatnoj bazi podataka.
Davanje korisniku dozvole da kreira ili opiše AWS Client VPN endpoint ne omogućava tom korisniku da se poveže na njega. To su dvije različite vrste identiteta: IAM upravlja pozivima AWS API-ja, a endpoint prihvata samo metode autentifikacije klijenta koje su na njemu konfigurisane. Korisnik zato može imati široka prava u konzoli i ipak nemati ništa što VPN klijent može predstaviti. Odredite kojoj metodi endpoint vjeruje, pa odlučite da li je puni tunel pravi oblik za pristup koji dajete.
API identitet nije identitet tunela
Kada neko kaže „IAM uloga je povezana, zašto VPN još uvijek ne radi“, odgovor je obično da nijedan korak u toku povezivanja ne čita tu ulogu. Klijent predstavlja sertifikat, AD korisničko ime i lozinku ili SAML tvrdnju. Endpoint provjeri jedno od toga i zatim dodijeli adresu.
IAM je i dalje važan, samo kasnije i na drugom mjestu: kreiranje endpointa, povezivanje podmreža, objavljivanje ruta i pisanje pravila autorizacije su API radnje. Držite te dozvole ograničene na operatere kojima su potrebne, umjesto da svakom korisniku date mogućnost da prepiše pravila pristupa endpointa.
Odaberite među metodama koje endpoint podržava
AWS Client VPN prihvata uzajamnu autentifikaciju zasnovanu na sertifikatu, autentifikaciju putem Active Directory i federisanu autentifikaciju zasnovanu na SAML-u. Sertifikat servera je potreban bez obzira na to koju metodu klijenta odaberete, a konfiguracija koja kombinuje metode zahtijeva uspjeh obje, a ne jedne.
| Client method | What the user presents | Where the work sits |
|---|---|---|
| Mutual certificate | A client certificate the endpoint trusts | Certificate authority, issuing and revoking per user |
| Active Directory | Domain credentials | Directory reachable from the endpoint's VPC |
| SAML federation | An assertion from an identity provider | IdP application, attribute mapping, client support |
Sertifikati su najjeftiniji za postavljanje i najlakše ih je pogrešno postaviti u velikom obimu, jer svaki korisnik treba vjerodajnicu, a svaki odlazak zahtijeva opoziv. Autentifikacija putem direktorija premješta taj životni ciklus u postojeći sistem. Federacija ga premješta kod provajdera identiteta i dodaje korak u pregledniku na klijentu.
Pročitajte vlastitu konfiguraciju endpointa prije nego što počnete otklanjati greške na klijentu. Ako je uzajamna autentifikacija omogućena uz metodu zasnovanu na korisniku, klijent s važećim sertifikatom ali bez računa u direktoriju i dalje će pasti, a greška obično izgleda kao opšti problem rukovanja.
Federacija nije prenošenje pristupnih ključeva
SAML postavka ne ubacuje IAM pristupne ključeve ni token preuzete uloge u tunel. Provajder identiteta autentifikuje osobu, vraća tvrdnju, a endpoint je prihvata u okviru povjerenja koje ste konfigurisali. Rezultirajuća sesija je VPN sesija, a ne sesija AWS API-ja.
Ta razlika određuje ko može šta dijagnostikovati. Problemi s IdP-om pojavljuju se kao greška preglednika ili klijenta prije nego što tunel uopšte postoji, dok se problemi s tunelom pojavljuju nakon uspješne tvrdnje. Pitajte koje od to dvoje gledate prije nego što otvorite bilo koju konzolu.
Nakon prijave rute i autorizacija i dalje odlučuju
Autentifikacija daje sesiji adresu; ona ne daje sesiji odredište. Rute endpointa govore klijentu u koje podmreže da šalje, pravila autorizacije odlučuju koji korisnici mogu dosegnuti koje od tih podmreža, a sigurnosne grupe i vlastite dozvole cilja odlučuju o ostalom.
Zato korisnik koji se uspješno autentifikuje i dalje može propustiti da dosegne bazu podataka. Provjerite povezanost tabele ruta za podmrežu, pravilo autorizacije za korisnikovu grupu i sigurnosnu grupu na cilju tim redom, jer svako od njih proizvodi drugu vrstu isteka vremena.
Za jednu privatnu bazu podataka uporedite s prosljeđivanjem portova
Ako je stvarni zadatak jedna odobrena veza prema jednoj privatnoj bazi podataka, potpuni mrežni tunel je izbor, a ne zahtjev. AWS Systems Manager Session Manager može otvoriti sesiju prosljeđivanja portova prema upravljanom čvoru kroz IAM, a taj čvor dosegne bazu podataka na privatnoj mreži. Korisnik nikada ne dobija VPC adresu. Upravljani čvor postaje jedini host koji može dosegnuti port baze podataka, što je obično ono što je sigurnosna provjera tražila. Korisnicima tada treba lokalni klijent i naredba sesije umjesto VPN profila.
Trgovina je obim protiv preduslova. Prosljeđivanje portova zahtijeva SSM agenta na upravljanom čvoru, mrežnu dostupnost od tog čvora do baze podataka, dodatak Session Manager na korisnikovom računaru i dozvolu za pokretanje te konkretne sesije. To nije ruta u svaku podmrežu i neće prenositi proizvoljne protokole kao tunel.
U svakom slučaju zadržite vlastiti identitet baze podataka. TLS provjera i autentifikacija baze podataka ne nestaju zato što je put autorizovan kroz IAM, a odobrena sesija ništa ne govori o tome koje tabele korisnik smije čitati.
Birajte prema obimu i životnom ciklusu: tunel kada mnogim korisnicima treba mnogo odredišta i možete voditi životni ciklus sertifikata ili direktorija, sesiju prosljeđivanja kada nekolicini ljudi treba jedna usluga i radije ne biste dijelili mrežne adrese. U svakom slučaju zabilježite metodu autentifikacije, pravilo autorizacije i prijavu na bazu podataka kao tri odvojene činjenice, jer one padaju odvojeno.