Έλεγχος ταυτότητας στο AWS Client VPN: τα δικαιώματα IAM δεν είναι μέθοδος σύνδεσης

Το να δώσετε σε έναν χρήστη άδεια να δημιουργεί ή να περιγράφει ένα τελικό σημείο AWS Client VPN δεν του επιτρέπει να συνδεθεί σε αυτό. Πρόκειται για δύο διαφορετικά είδη ταυτότητας: το IAM διαχειρίζεται τις κλήσεις του AWS API και το τελικό σημείο δέχεται μόνο τις μεθόδους ελέγχου ταυτότητας πελάτη που έχουν ρυθμιστεί πάνω του. Έτσι, ένας χρήστης μπορεί να έχει ευρεία δικαιώματα στην κονσόλα και παρόλα αυτά να μην έχει τίποτα που να μπορεί να παρουσιάσει ο πελάτης VPN. Αποφασίστε ποια μέθοδο εμπιστεύεται το τελικό σημείο και μετά αποφασίστε αν ένα πλήρες τούνελ είναι το σωστό σχήμα για την πρόσβαση που παραχωρείτε.

Η ταυτότητα του API δεν είναι ταυτότητα τούνελ

Όταν κάποιος λέει «ο ρόλος IAM είναι συνδεδεμένος, γιατί το VPN εξακολουθεί να αποτυγχάνει», η απάντηση είναι συνήθως ότι κανένα βήμα στη ροή σύνδεσης δεν διαβάζει ποτέ αυτόν τον ρόλο. Ο πελάτης παρουσιάζει ένα πιστοποιητικό, ένα όνομα χρήστη και κωδικό πρόσβασης AD ή έναν ισχυρισμό SAML. Το τελικό σημείο επικυρώνει ένα από αυτά και στη συνέχεια εκχωρεί μια διεύθυνση.

Το IAM εξακολουθεί να έχει σημασία, απλώς αργότερα και αλλού: η δημιουργία του τελικού σημείου, η συσχέτιση υποδικτύων, η δημοσίευση διαδρομών και η σύνταξη κανόνων εξουσιοδότησης είναι ενέργειες API. Κρατήστε αυτά τα δικαιώματα περιορισμένα στους χειριστές που τα χρειάζονται, αντί να δίνετε σε κάθε χρήστη τη δυνατότητα να ξαναγράφει τους κανόνες πρόσβασης του τελικού σημείου.

Διαλέξτε από τις μεθόδους που υποστηρίζει το τελικό σημείο

Το AWS Client VPN δέχεται αμοιβαίο έλεγχο ταυτότητας βάσει πιστοποιητικού, έλεγχο ταυτότητας Active Directory και ομοσπονδιακό έλεγχο ταυτότητας βάσει SAML. Απαιτείται πιστοποιητικό διακομιστή ανεξάρτητα από τη μέθοδο πελάτη που θα επιλέξετε, και μια διαμόρφωση που συνδυάζει μεθόδους απαιτεί να πετύχουν και οι δύο, όχι μία.

Τα πιστοποιητικά είναι τα φθηνότερα στην εγκατάσταση και τα ευκολότερα να γίνουν λάθος σε κλίμακα, γιατί κάθε χρήστης χρειάζεται διαπιστευτήριο και κάθε αποχώρηση απαιτεί ανάκληση. Ο έλεγχος ταυτότητας καταλόγου μεταφέρει αυτόν τον κύκλο ζωής σε ένα υπάρχον σύστημα. Η ομοσπονδία τον μεταφέρει σε έναν πάροχο ταυτότητας και προσθέτει ένα βήμα προγράμματος περιήγησης στον πελάτη.

Διαβάστε τη διαμόρφωση του ίδιου του τελικού σημείου πριν αποσφαλματώσετε τον πελάτη. Αν ο αμοιβαίος έλεγχος ταυτότητας είναι ενεργοποιημένος μαζί με μια μέθοδο βάσει χρήστη, ένας πελάτης με έγκυρο πιστοποιητικό αλλά χωρίς λογαριασμό καταλόγου θα αποτύχει παρόλα αυτά, και το σφάλμα συνήθως μοιάζει με γενικό πρόβλημα χειραψίας.

Η ομοσπονδία δεν είναι μετάδοση κλειδιών πρόσβασης

Μια ρύθμιση SAML δεν τροφοδοτεί το τούνελ με κλειδιά πρόσβασης IAM ούτε με διακριτικό ρόλου που έχει αναληφθεί. Ο πάροχος ταυτότητας ελέγχει την ταυτότητα του ατόμου, επιστρέφει έναν ισχυρισμό και το τελικό σημείο τον δέχεται στο πλαίσιο της εμπιστοσύνης που ρυθμίσατε. Η συνεδρία που προκύπτει είναι συνεδρία VPN, όχι συνεδρία AWS API.

Αυτή η διάκριση καθορίζει ποιος μπορεί να διαγνώσει τι. Τα προβλήματα IdP εμφανίζονται ως σφάλμα προγράμματος περιήγησης ή πελάτη πριν υπάρξει καν τούνελ, ενώ τα προβλήματα τούνελ εμφανίζονται μετά από έναν επιτυχή ισχυρισμό. Ρωτήστε ποιο από τα δύο κοιτάτε πριν ανοίξετε οποιαδήποτε από τις δύο κονσόλες.

Μετά τη σύνδεση, οι διαδρομές και η εξουσιοδότηση αποφασίζουν ακόμα

Ο έλεγχος ταυτότητας δίνει στη συνεδρία μια διεύθυνση· δεν δίνει στη συνεδρία έναν προορισμό. Οι διαδρομές του τελικού σημείου λένε στον πελάτη σε ποια υποδίκτυα να στέλνει, οι κανόνες εξουσιοδότησης καθορίζουν ποιοι χρήστες μπορούν να φτάσουν σε ποια από αυτά τα υποδίκτυα, και οι ομάδες ασφαλείας μαζί με τα δικά τους δικαιώματα του στόχου καθορίζουν τα υπόλοιπα.

Γι’ αυτό ένας χρήστης που επικυρώνεται επιτυχώς μπορεί να αποτύχει να φτάσει σε μια βάση δεδομένων. Ελέγξτε τη συσχέτιση του πίνακα διαδρομών για το υποδίκτυο, τον κανόνα εξουσιοδότησης για την ομάδα του χρήστη και την ομάδα ασφαλείας στον στόχο με αυτή τη σειρά, γιατί καθένα παράγει διαφορετικό είδος λήξης χρόνου.

Για μία ιδιωτική βάση δεδομένων, συγκρίνετε με την προώθηση θύρας

Αν το πραγματικό έργο είναι μία εγκεκριμένη σύνδεση σε μία ιδιωτική βάση δεδομένων, ένα πλήρες τούνελ δικτύου είναι επιλογή και όχι απαίτηση. Το AWS Systems Manager Session Manager μπορεί να ανοίξει μια συνεδρία προώθησης θύρας προς έναν διαχειριζόμενο κόμβο μέσω IAM, και αυτός ο κόμβος φτάνει στη βάση δεδομένων στο ιδιωτικό δίκτυο. Ο χρήστης δεν λαμβάνει ποτέ διεύθυνση VPC. Ο διαχειριζόμενος κόμβος γίνεται ο μόνος κεντρικός υπολογιστής που μπορεί να φτάσει στη θύρα της βάσης δεδομένων, το οποίο συνήθως είναι αυτό που ζητούσε η επισκόπηση ασφαλείας. Στη συνέχεια οι χρήστες χρειάζονται έναν τοπικό πελάτη και μια εντολή συνεδρίας αντί για προφίλ VPN.

Το αντιστάθμισμα είναι εύρος έναντι προϋποθέσεων. Η προώθηση θύρας απαιτεί τον παράγοντα SSM στον διαχειριζόμενο κόμβο, δικτυακή προσβασιμότητα από αυτόν τον κόμβο στη βάση δεδομένων, την προσθήκη Session Manager στον υπολογιστή του χρήστη και άδεια για την έναρξη αυτής της συγκεκριμένης συνεδρίας. Δεν είναι διαδρομή προς κάθε υποδίκτυο και δεν μεταφέρει αυθαίρετα πρωτόκολλα όπως κάνει ένα τούνελ.

Σε κάθε περίπτωση κρατήστε την ταυτότητα της ίδιας της βάσης δεδομένων στη θέση της. Η επαλήθευση TLS και ο έλεγχος ταυτότητας της βάσης δεδομένων δεν εξαφανίζονται επειδή η διαδρομή εξουσιοδοτήθηκε από το IAM, και μια εγκεκριμένη συνεδρία δεν λέει τίποτα για το ποιους πίνακες επιτρέπεται να διαβάζει ο χρήστης.

Επιλέξτε με βάση το εύρος και τον κύκλο ζωής: τούνελ όταν πολλοί χρήστες χρειάζονται πολλούς προορισμούς και μπορείτε να διαχειριστείτε κύκλο ζωής πιστοποιητικών ή καταλόγου, συνεδρία προώθησης όταν λίγοι άνθρωποι χρειάζονται μία υπηρεσία και προτιμάτε να μη μοιράζετε δικτυακές διευθύνσεις. Σε κάθε περίπτωση, καταγράψτε τη μέθοδο ελέγχου ταυτότητας, τον κανόνα εξουσιοδότησης και τη σύνδεση στη βάση δεδομένων ως τρία ξεχωριστά γεγονότα, γιατί αποτυγχάνουν ξεχωριστά.