Autenticació d’AWS Client VPN: els permisos d’IAM no són un mètode d’inici de sessió
Els permisos de la consola no autentiquen un túnel. Compareu els mètodes de certificat, AD i SAML i, després, mireu quan la redirecció de ports per SSM encaixa en una única base de dades privada.
Donar a un usuari permís per crear o descriure un punt de connexió d’AWS Client VPN no li permet connectar-s’hi. Són dos tipus d’identitat diferents: IAM governa les crides a l’API d’AWS i el punt de connexió només accepta els mètodes d’autenticació de client que hi ha configurats. Per tant, un usuari pot tenir amplis drets a la consola i, tot i així, no tenir res que el client VPN pugui presentar. Decidiu quin mètode confia el punt de connexió i, després, decidiu si un túnel complet és la forma adequada per a l’accés que concediu.
Una identitat d’API no és una identitat de túnel
Quan algú diu «el rol d’IAM està adjunt, per què continua fallant la VPN», la resposta sol ser que cap pas del flux de connexió no llegeix mai aquest rol. El client presenta un certificat, un nom d’usuari i una contrasenya d’AD, o una asserció SAML. El punt de connexió valida un d’aquests i després assigna una adreça.
IAM continua important, però més tard i en un altre lloc: crear el punt de connexió, associar subxarxes, publicar rutes i escriure regles d’autorització són accions d’API. Mantingueu aquests permisos limitats als operadors que els necessiten en lloc de donar a cada usuari la capacitat de reescriure les regles d’accés del punt de connexió.
Trieu entre els mètodes que admet el punt de connexió
AWS Client VPN accepta autenticació mútua basada en certificat, autenticació d’Active Directory i autenticació federada basada en SAML. Cal un certificat de servidor sigui quin sigui el mètode de client que trieu, i una configuració que combini mètodes requereix que tots dos tinguin èxit, no un de sol.
| Client method | What the user presents | Where the work sits |
|---|---|---|
| Mutual certificate | A client certificate the endpoint trusts | Certificate authority, issuing and revoking per user |
| Active Directory | Domain credentials | Directory reachable from the endpoint's VPC |
| SAML federation | An assertion from an identity provider | IdP application, attribute mapping, client support |
Els certificats són els més barats de desplegar i els més fàcils d’equivocar a escala, perquè cada usuari necessita una credencial i cada sortida necessita una revocació. L’autenticació de directori trasllada aquest cicle de vida a un sistema existent. La federació el trasllada a un proveïdor d’identitat i afegeix un pas de navegador al client.
Llegiu la configuració del mateix punt de connexió abans de depurar el client. Si l’autenticació mútua està activada al costat d’un mètode basat en usuari, un client amb un certificat vàlid però sense compte de directori continuarà fallant, i l’error sol semblar un problema genèric d’intercanvi de salutació.
La federació no és passar claus d’accés
Una configuració SAML no introdueix claus d’accés d’IAM ni un testimoni de rol assumit al túnel. El proveïdor d’identitat autentica la persona, retorna una asserció i el punt de connexió l’accepta sota la confiança que heu configurat. La sessió resultant és una sessió VPN, no una sessió de l’API d’AWS.
Aquesta distinció decideix qui pot diagnosticar què. Els problemes d’IdP apareixen com un error de navegador o de client abans que existeixi cap túnel, mentre que els problemes de túnel apareixen després d’una asserció correcta. Pregunteu quin dels dos esteu mirant abans d’obrir qualsevol de les dues consoles.
Després de l’inici de sessió, les rutes i l’autorització encara decideixen
L’autenticació dona una adreça a la sessió; no dona cap destinació a la sessió. Les rutes del punt de connexió diuen al client a quines subxarxes ha d’enviar, les regles d’autorització decideixen quins usuaris poden arribar a quines d’aquestes subxarxes, i els grups de seguretat i els permisos propis de l’objectiu decideixen la resta.
Per això un usuari que s’autentica correctament pot fallar igualment a l’hora d’arribar a una base de dades. Comproveu l’associació de la taula de rutes per a la subxarxa, la regla d’autorització per al grup de l’usuari i el grup de seguretat de l’objectiu en aquest ordre, perquè cadascun produeix un tipus diferent de temps d’espera.
Per a una base de dades privada, compareu amb la redirecció de ports
Si la tasca real és una connexió aprovada a una única base de dades privada, un túnel de xarxa complet és una opció i no un requisit. AWS Systems Manager Session Manager pot obrir una sessió de redirecció de ports cap a un node gestionat mitjançant IAM, i aquest node arriba a la base de dades a la xarxa privada. L’usuari no rep mai una adreça VPC. El node gestionat es converteix en l’únic amfitrió que pot arribar al port de la base de dades, que normalment és el que demanava la revisió de seguretat. Llavors els usuaris necessiten un client local i una ordre de sessió en lloc d’un perfil de VPN.
L’intercanvi és abast contra requisits previs. La redirecció de ports necessita l’agent SSM al node gestionat, accessibilitat de xarxa des d’aquest node fins a la base de dades, el connector de Session Manager a la màquina de l’usuari i permís per iniciar aquesta sessió concreta. No és una ruta cap a totes les subxarxes i no transportarà protocols arbitraris com ho fa un túnel.
En qualsevol cas, manteniu la identitat pròpia de la base de dades. La verificació TLS i l’autenticació de la base de dades no desapareixen pel fet que el camí s’hagi autoritzat amb IAM, i una sessió aprovada no diu res sobre quines taules pot llegir l’usuari.
Trieu segons l’abast i el cicle de vida: un túnel quan molts usuaris necessiten moltes destinacions i podeu gestionar el cicle de vida de certificats o de directori; una sessió de redirecció quan un grapat de persones necessiten un sol servei i preferiu no repartir adreces de xarxa. En qualsevol cas, registreu el mètode d’autenticació, la regla d’autorització i l’inici de sessió de la base de dades com tres fets separats, perquè fallen per separat.