AWS Client VPN SAML a Google Workspace: y bwlch galwad-yn-ôl

Daw’r dudalen app_not_configured_for_user o Google Workspace, ac mae’n ymddangos cyn i unrhyw becyn twnnel gael ei drafod. Y drefn honno yw’r diagnosis cyfan. Nid yw ailosod y cleient, golygu’r proffil na gwirio llwybrau yn gallu clirio tudalen nad yw pen draw’r VPN wedi’i gweld eto. Y cam sy’n methu yw trosglwyddiad yn y porwr rhwng y darparwr hunaniaeth a gwrandäwr ar beiriant y defnyddiwr ei hun, ac mae union dri pheth sy’n werth eu gwirio yn y trosglwyddiad hwnnw.

Darllenwch y dudalen fel datganiad gan y darparwr hunaniaeth

Mae Google yn dychwelyd hyn pan nad yw’r cais SAML wedi’i alluogi ar gyfer y cyfrif a fewngofnododd. Efallai bod y cais wedi’i ddiffodd, efallai bod y defnyddiwr y tu allan i’r uned sefydliadol neu’r grŵp a neilltuwyd, neu efallai nad yw gosodiadau’r darparwr gwasanaeth yn cyfateb i’r hyn y gofynnodd y cais amdano.

Nid oes unrhyw un o’r rhain yn broblem tystysgrif, llwybr na thwnnel, er mai yn y cleient VPN y sylwodd y defnyddiwr arni.

Y ddau werth y bydd y cleient yn eu derbyn

Mae AWS Client VPN yn cynnal cyfnewidiad SAML a gychwynnir gan y darparwr gwasanaeth, felly mae’r cleient yn agor porwr, mae’r defnyddiwr yn dilysu, ac mae’r darparwr yn postio haeriad llofnodedig yn ôl i URL Assertion Consumer Service. Ar gyfer cleient pen-desg AWS mae’r URL hwnnw’n wrandäwr ar loopback, fel arfer porth 35001, a’r gynulleidfa ddisgwyliedig yw dynodydd endid cais SAML Client VPN, nid endid mewngofnodi consol AWS.

Rhaid i’r ddau werth gyfateb i’r hyn y mae’r cleient yn ei ddisgwyl: ble y postir yr haeriad a phwy y mae’n cyfeirio ato. Gall ffurfweddiad a gopïwyd o gais SSO consol edrych yn hollol gredadwy ac eto anelu at y pâr anghywir.

Cymerwch y ddau werth o ofynion Client VPN SAML, nid o ganllaw mewngofnodi sengl AWS cyffredinol. Mae endid SSO y consol yn edrych yn ddigon tebyg i fod yn demtasiwn. Cais gwahanol ydyw â chynulleidfa wahanol, ac mae’r cleient yn gwrthod yr haeriad heb egluro pam. Copïwch y pâr unwaith, a’i storio wrth ymyl y proffil.

Ni fydd Google yn derbyn y galwad-yn-ôl HTTP plaen

Mae’r consol weinyddol yn gofyn am URL ACS HTTPS, ac mae galwad-yn-ôl y cleient yn HTTP plaen ar loopback. Ni ellir teipio’r gwerth hwnnw yng nghyfluniad cais Workspace o gwbl, a dyna pam mae rhai timau’n ceisio dirprwy gwrthdro sy’n terfynu TLS ac yn anfon ymlaen i’r gwrandäwr lleol. Nid yw hynny’n trwsio’r camgymhariad: mae’r porwr yn gweld un tarddiad, mae’r cleient yn hysbysebu un arall, a gall yr ymateb a ddychwelir gyrraedd y cyrchfan anghywir.

Y drefniant sy’n gweithio yw darparwr hunaniaeth brocer. Mae’r cais SAML yn y brocer yn cael y galwad-yn-ôl loopback a chynulleidfa AWS, ac mae’r brocer yn ffedereiddio’r cyfrif Workspace i fyny’r gadwyn. Mae rheol HTTPS Google yn parhau’n fodlon, ac mae’r haeriad sy’n cyrraedd y cleient yn dal i enwi’r cyfeiriad a’r gynulleidfa y mae’n eu disgwyl.

Mae’r brocer hwnnw’n ddibyniaeth weinyddol y mae’n rhaid i rywun ei pherchenogi, ei monitro a’i chynnwys wrth ddadgofrestru. Dyma hefyd yr ail le lle mae methiant yn troi’n fethiant mewngofnodi. Prisiwch ef cyn addo’r dyluniad. Os na fydd neb yn ei berchenogi, yr ateb gonest yw na all cleient AWS ddefnyddio Workspace fel ei unig ddarparwr hunaniaeth.

Neilltuo a dilysu dau gam

Cyn ailddylunio unrhyw beth, cadarnhewch fod y cais ymlaen ar gyfer yr uned sefydliadol neu’r grŵp cywir, a bod gan geisiadau SAML trydydd parti eu rheolaethau neilltuo eu hunain ar wahân i restr ceisiadau ochr Google.

Gwiriwch hefyd a yw dilysu dau gam wedi’i alluogi ar y cyfrif. Gall Google ei fynnu cyn i gais SAML fod yn ddefnyddiadwy i ddefnyddiwr, ac un ateb yn yr edefyn gwreiddiol a ddatryswyd yn union felly. Dyma’r peth rhataf i’w ddiystyru a’r mwyaf blin i’w ddarganfod olaf.

Dilyswch gyda sesiwn lân

Ar ôl unrhyw newid, profwch gyda phroffil porwr newydd a chyfluniad cleient lân. Mae haeriadau wedi’u storio a sesiynau wedi’u hailddefnyddio yn cuddio a yw’r trwsiad wedi gweithio.

Yna cymharwch ddau gofnod ochr yn ochr: digwyddiad archwilio’r darparwr hunaniaeth a log y cleient. Mae mewngofnodi llwyddiannus heb dwnnel yn cyfeirio’n ôl at y galwad-yn-ôl neu’r gynulleidfa. Twnnel cysylltiedig ag adnodd na ellir ei gyrraedd yn broblem llwybro neu awdurdodi, ac mae’n perthyn yn hollol rywie arall.

Beth i beidio â’i newid

Peidiwch â stribedu auth-federate o’r proffil na diffodd gwiriadau tystysgrif i basio’r dudalen. Mae’r ddau yn newid y dyluniad dilysu yn lle’r galwad-yn-ôl sy’n methu, ac mae’r ddau fel arfer yn torri yn y diweddariad cleient nesaf.

Trwsiwch y trosglwyddiad yn lle hynny, a gadewch nodyn sy’n enwi’r brocer, y gynulleidfa a phorth loopback. Bydd angen y tri ar y person nesaf sy’n gweld y dudalen.