AWS Client VPN-i autentimine: IAM-i õigused ei ole sisselogimismeetod
Konsooliõigused ei autenti tunnelit. Võrrelge sertifikaadi-, AD- ja SAML-meetodeid ning vaadake seejärel, millal SSM-i pordiedastus sobib ühe privaatse andmebaasi jaoks.
Kasutajale AWS Client VPN-i lõpp-punkti loomise või kirjeldamise õiguse andmine ei võimalda sellel kasutajal sellega ühenduda. Need on kaks erinevat liiki identiteet: IAM haldab AWS API kutseid ja lõpp-punkt võtab vastu ainult sellel konfigureeritud kliendi autentimismeetodeid. Seega võib kasutajal olla laiad konsooliõigused ja ikkagi mitte midagi, mida VPN-i klient saaks esitada. Otsustage, millist meetodit lõpp-punkt usaldab, ja seejärel otsustage, kas täielik tunnel on teie antava juurdepääsu jaoks õige kuju.
API identiteet ei ole tunneli identiteet
Kui keegi ütleb „IAM-i roll on külge pandud, miks VPN siis ikka ebaõnnestub“, on vastus tavaliselt see, et ükski ühenduse voo samm ei loe seda rolli kunagi. Klient esitab sertifikaadi, AD kasutajanime ja parooli või SAML-i väite. Lõpp-punkt valideerib ühe neist ja määrab seejärel aadressi.
IAM on endiselt oluline, lihtsalt hiljem ja mujal: lõpp-punkti loomine, alamvõrkude sidumine, marsruutide avaldamine ja autoriseerimisreeglite kirjutamine on API toimingud. Hoidke need õigused piiratud operaatoritega, kes neid vajavad, selle asemel et anda igale kasutajale võimalus lõpp-punkti juurdepääsureegleid ümber kirjutada.
Valige meetodite hulgast, mida lõpp-punkt toetab
AWS Client VPN aktsepteerib sertifikaadipõhist vastastikust autentimist, Active Directory autentimist ja SAML-põhist föderatiivset autentimist. Serverisertifikaat on nõutav olenemata sellest, millise kliendimeetodi valite, ja meetodeid kombineeriv konfiguratsioon nõuab mõlema õnnestumist, mitte ühe.
| Client method | What the user presents | Where the work sits |
|---|---|---|
| Mutual certificate | A client certificate the endpoint trusts | Certificate authority, issuing and revoking per user |
| Active Directory | Domain credentials | Directory reachable from the endpoint's VPC |
| SAML federation | An assertion from an identity provider | IdP application, attribute mapping, client support |
Sertifikaadid on kõige odavamad püsti panna ja suures mahus kõige kergemini valesti minna, sest iga kasutaja vajab volitusi ja iga lahkumine vajab tühistamist. Kataloogiautentimine viib selle elutsükli olemasolevasse süsteemi. Föderatsioon viib selle identiteedipakkuja juurde ja lisab kliendile brauserisammu.
Lugege lõpp-punkti enda konfiguratsiooni enne kliendi silumist. Kui vastastikune autentimine on lubatud koos kasutajapõhise meetodiga, ebaõnnestub kehtiva sertifikaadiga, kuid kataloogikontota klient endiselt, ja viga näeb tavaliselt välja nagu üldine kätlemisprobleem.
Föderatsioon ei ole juurdepääsuvõtmete edasiandmine
SAML-i seadistus ei sisesta tunnelisse IAM-i juurdepääsuvõtmeid ega ülevõetud rolli tokenit. Identiteedipakkuja autendib isiku, tagastab väite ja lõpp-punkt võtab selle vastu teie konfigureeritud usalduse raames. Tulemuseks olev sessioon on VPN-i sessioon, mitte AWS API sessioon.
See erinevus otsustab, kes mida diagnoosida saab. IdP probleemid ilmnevad brauseri või kliendi veana enne, kui tunnel üldse olemas on, samas kui tunneli probleemid ilmnevad pärast edukat väidet. Küsige, kumba kahest te vaatate, enne kui avate kummagi konsooli.
Pärast sisselogimist otsustavad endiselt marsruudid ja autoriseerimine
Autentimine annab sessioonile aadressi; see ei anna sessioonile sihtkohta. Lõpp-punkti marsruudid ütlevad kliendile, millistesse alamvõrkudesse saata, autoriseerimisreeglid otsustavad, millised kasutajad pääsevad millistesse nendest alamvõrkudest, ja ülejäänu otsustavad turbegrupid ning sihtkoha enda õigused.
Seetõttu võib edukalt autenditud kasutaja ikkagi andmebaasini mitte jõuda. Kontrollige alamvõrgu marsruuditabeli seost, kasutaja grupi autoriseerimisreeglit ja sihtkoha turbegruppi selles järjekorras, sest igaüks neist tekitab erinevat liiki ajalõpu.
Ühe privaatse andmebaasi jaoks võrrelge pordiedastusega
Kui tegelik ülesanne on üks kinnitatud ühendus ühe privaatse andmebaasiga, on täielik võrgutunnel valik, mitte nõue. AWS Systems Manager Session Manager saab IAM-i kaudu avada pordiedastuse sessiooni hallatavasse sõlme ja see sõlm jõuab andmebaasini privaatvõrgus. Kasutaja ei saa kunagi VPC aadressi. Hallatav sõlm jääb ainsaks hostiks, mis pääseb andmebaasi porti, mis on tavaliselt see, mida turvaülevaatus nõudis. Seejärel vajavad kasutajad kohalikku klienti ja sessioonikäsku, mitte VPN-profiili.
Kompromiss on ulatus eeltingimuste vastu. Pordiedastus vajab SSM-agenti hallatavas sõlmes, võrgu kättesaadavust sellest sõlmest andmebaasini, Session Manageri pistikprogrammi kasutaja masinas ja õigust täpselt selle sessiooni käivitamiseks. See ei ole marsruut igasse alamvõrku ja see ei kanna suvalisi protokolle nii nagu tunnel.
Hoidke andmebaasi enda identiteet igal juhul paigas. TLS-i kontroll ja andmebaasi autentimine ei kao sellepärast, et tee autoriseeriti IAM-i kaudu, ja kinnitatud sessioon ei ütle midagi selle kohta, milliseid tabeleid kasutaja tohib lugeda.
Valige ulatuse ja elutsükli järgi: tunnel, kui paljud kasutajad vajavad palju sihtkohti ja saate sertifikaatide või kataloogi elutsüklit hallata; edastussessioon, kui paar inimest vajavad ühte teenust ja te pigem ei jaga võrguadresse. Igal juhul registreerige autentimismeetod, autoriseerimisreegel ja andmebaasi sisselogimine kolme eraldi faktina, sest need ebaõnnestuvad eraldi.