AWS Client VPN SAML og Google Workspace: hullet i callbacken

Siden app_not_configured_for_user kommer fra Google Workspace og vises, før en enkelt tunnelpakke er forhandlet. Den rækkefølge er hele diagnosen. Geninstallation af klienten, redigering af profilen eller kontrol af ruter kan ikke rydde en side, som VPN-endepunktet endnu ikke har set. Det trin, der fejler, er en overdragelse i browseren mellem identitetsudbyderen og en lytter på brugerens egen maskine, og der er præcis tre ting, der er værd at kontrollere i den overdragelse.

Læs siden som en udtalelse fra identitetsudbyderen

Google returnerer dette, når SAML-programmet ikke er aktiveret for den konto, der loggede ind. Programmet kan være slået fra, brugeren kan ligge uden for den tildelte organisationsenhed eller gruppe, eller tjenesteudbyderens indstillinger passer måske ikke til det, anmodningen bad om.

Intet af det er et certifikat-, rute- eller tunnelproblem, selv om det var i VPN-klienten, at brugeren lagde mærke til det.

De to værdier, klienten accepterer

AWS Client VPN kører en tjenesteudbyder-initieret SAML-udveksling, så klienten åbner en browser, brugeren godkender sig, og udbyderen sender en signeret assertion tilbage til en Assertion Consumer Service-URL. For AWS’ skrivebordsklient er den URL en lytter på loopback, typisk port 35001, og den forventede målgruppe er identifikatoren for Client VPN SAML-programmets enhed, ikke enheden for AWS-konsolens login.

Begge værdier skal matche det, klienten forventer: hvor assertionen sendes hen, og hvem den er adresseret til. En konfiguration kopieret fra et SSO-program i konsollen kan se helt troværdig ud og alligevel ramme det forkerte par.

Tag begge værdier fra Client VPN SAML-kravene, ikke fra en generel AWS-guide til enkeltlogin. SSO-enheden i konsollen ligner nok til at være fristende. Det er et andet program med en anden målgruppe, og klienten afviser assertionen uden at forklare sig. Kopiér parret én gang, og opbevar det ved siden af profilen.

Google accepterer ikke det almindelige HTTP-callback

Administrationskonsollen kræver en HTTPS ACS-URL, og klientens callback er almindelig HTTP på loopback. Den værdi kan slet ikke skrives ind i Workspace-appens konfiguration, og derfor prøver nogle teams en omvendt proxy, der afslutter TLS og videresender til den lokale lytter. Det reparerer ikke uoverensstemmelsen: browseren ser ét origin, klienten annoncerer et andet, og det returnerede svar kan ankomme med den forkerte destination.

Den ordning, der virker, er en mægler-identitetsudbyder. SAML-programmet hos mægleren får loopback-callbacken og AWS-målgruppen, og mægleren federerer Workspace-kontoen opad. Googles HTTPS-regel er stadig opfyldt, og assertionen, der når klienten, navngiver stadig den adresse og målgruppe, den forventer.

Den mægler er en administrativ afhængighed, som nogen skal eje, overvåge og inkludere i offboarding. Det er også et andet sted, hvor en nedetid bliver til en loginfejl. Sæt pris på det, før du lover designet. Hvis ingen vil eje det, er det ærlige svar, at AWS-klienten ikke kan bruge Workspace som sin eneste identitetsudbyder.

Tildeling og totrinsbekræftelse

Før du redesigner noget, skal du bekræfte, at programmet er slået til for den rigtige organisationsenhed eller gruppe, og at tredjeparts SAML-programmer har deres egne tildelingskontroller adskilt fra applisten på Google-siden.

Kontroller også, om kontoen har totrinsbekræftelse aktiveret. Google kan kræve det, før et SAML-program bliver brugbart for en bruger, og et enkelt svar i den oprindelige tråd blev løst præcis sådan. Det er det billigste at udelukke og det mest irriterende at opdage til sidst.

Bekræft med en ren session

Efter enhver ændring, test med en frisk browserprofil og en ren klientkonfiguration. Cachelagrede assertions og genbrugte sessioner skjuler, om rettelsen virkede.

Sammenlign derefter to poster side om side: identitetsudbyderens revisionshændelse og klientloggen. En vellykket login uden tunnel peger tilbage på callbacken eller målgruppen. En tilsluttet tunnel med en utilgængelig ressource er et rute- eller autorisationsproblem og hører helt andre steder hen.

Hvad du ikke skal ændre

Fjern ikke auth-federate fra profilen, og slå ikke certifikatkontroller fra for at komme forbi siden. Begge ændrer autentificeringsdesignet i stedet for den fejlende callback, og begge brækker typisk ved næste klientopdatering.

Ret i stedet overdragelsen, og efterlad en note, der navngiver mægleren, målgruppen og loopback-porten. Den næste person, der ser siden, får brug for alle tre.