AWS Client VPN SAML ja Google Workspace: tagasikutse lünk

Leht app_not_configured_for_user pärineb Google Workspace’ist ja ilmub enne, kui ükski tunneli pakett on läbi räägitud. See järjekord on kogu diagnoos. Kliendi uuesti paigaldamine, profiili muutmine või marsruutide kontrollimine ei saa eemaldada lehte, mida VPN-i lõpp-punkt pole veel näinud. Ebaõnnestuv samm on brauseri üleandmine identiteedipakkuja ja kasutaja enda masinas oleva kuulaja vahel ning selles üleandmises tasub kontrollida täpselt kolme asja.

Lugege lehte identiteedipakkuja avaldusena

Google tagastab selle, kui SAML-rakendus ei ole sisseloginud konto jaoks lubatud. Rakendus võib olla välja lülitatud, kasutaja võib olla väljaspool määratud organisatsiooniüksust või gruppi, või teenusepakkuja seaded ei pruugi vastata sellele, mida päring nõudis.

Miski sellest ei ole sertifikaadi, marsruudi ega tunneli probleem, kuigi kasutaja märkas seda VPN-kliendis.

Kaks väärtust, mille klient vastu võtab

AWS Client VPN teeb teenusepakkuja algatatud SAML-vahetuse, seega klient avab brauseri, kasutaja autendib end ja pakkuja saadab allkirjastatud väite tagasi Assertion Consumer Service’i URL-ile. AWS-i pakutava töölauakliendi jaoks on see URL kuulaja loopbackil, tavaliselt port 35001, ja oodatav auditoorium on Client VPN SAML-rakenduse olemuse identifikaator, mitte AWS-i konsooli sisselogimise olemus.

Mõlemad väärtused peavad vastama sellele, mida klient ootab: kuhu väide saadetakse ja kellele see on adresseeritud. Konsooli SSO-rakendusest kopeeritud konfiguratsioon võib tunduda täiesti usutav ja siiski sihtida vale paari.

Võtke mõlemad väärtused Client VPN SAML-i nõuetest, mitte AWS-i üldisest ühekordse sisselogimise juhendist. Konsooli SSO-olemus näeb piisavalt sarnane välja, et ahvatleda. See on teine rakendus teise auditooriumiga ja klient lükkab väite tagasi ilma end selgitamata. Kopeerige paar üks kord ja hoidke seda profiili kõrval.

Google ei aktsepteeri tavalist HTTP-tagasikutset

Administraatori konsool nõuab HTTPS-i ACS-i URL-i ja kliendi tagasikutse on loopbackil tavaline HTTP. Seda väärtust ei saa Workspace’i rakenduse konfiguratsiooni üldse sisestada, mistõttu mõned meeskonnad proovivad pöördproksit, mis lõpetab TLS-i ja edastab kohalikule kuulajale. See ei paranda lahknevust: brauser näeb ühte origin’it, klient kuulutab teist ja tagastatud vastus võib jõuda vale sihtkohta.

Toimiv lahendus on vahendava identiteedipakkuja kasutamine. Vahendaja SAML-rakendus saab loopbacki tagasikutse ja AWS-i auditooriumi ning vahendaja födereerib Workspace’i konto ülespoole. Google’i HTTPS-i reegel jääb täidetuks ja kliendini jõudev väide nimetab endiselt oodatud aadressi ja auditooriumi.

See vahendaja on haldussõltuvus, mida keegi peab omama, jälgima ja offboarding’usse kaasama. See on ka teine koht, kus katkestus muutub sisselogimise tõrkeks. Hinnake seda enne, kui disaini lubate. Kui keegi seda omada ei taha, on aus vastus, et AWS-i klient ei saa Workspace’i kasutada oma ainsa identiteedipakkujana.

Määramine ja kaheastmeline kinnitamine

Enne millegi ümberkujundamist kinnitage, et rakendus on õige organisatsiooniüksuse või grupi jaoks sees, ja et kolmandate osapoolte SAML-rakendustel on oma määramiskontrollid, mis on Google’i poolsel rakenduste loendist eraldi.

Kontrollige ka, kas kontol on kaheastmeline kinnitamine lubatud. Google võib seda nõuda enne, kui SAML-rakendus muutub kasutajale kasutatavaks, ja üks vastus algses lõimes lahendati täpselt nii. See on kõige odavam välistada ja kõige tüütum viimasena avastada.

Kontrollige puhta seansiga

Pärast iga muudatust testige värske brauseriprofiili ja puhta kliendikonfiguratsiooniga. Vahemällu salvestatud väited ja korduvkasutatud seansid varjavad, kas parandus mõjus.

Seejärel võrrelge kahte kirjet kõrvuti: identiteedipakkuja auditisündmus ja kliendi logi. Õnnestunud sisselogimine ilma tunnelita osutab tagasi tagasikutsele või auditooriumile. Ühendatud tunnel, mille ressursile ei pääse, on marsruutimise või volitamise probleem ja kuulub hoopis mujale.

Mida mitte muuta

Ärge eemaldage profiilist auth-federate’i ega lülitage sertifikaadikontrolle välja, et lehest mööda saada. Mõlemad muudavad autentimise disaini, mitte ebaõnnestuvat tagasikutset, ja mõlemad lagunevad tavaliselt järgmise kliendiuuendusega.

Parandage selle asemel üleandmine ja jätke märkus, mis nimetab vahendajat, auditooriumi ja loopbacki porti. Järgmine inimene, kes lehte näeb, vajab kõiki kolme.