AWS Client VPN SAML eta Google Workspace: itzulera-deiaren hutsunea

app_not_configured_for_user orria Google Workspace-tik dator eta tunel pakete bat negoziatu aurretik agertzen da. Ordena hori da diagnostiko osoa. Bezeroa berriz instalatzeak, profila editatzeak edo bideak egiaztatzeak ezin dute VPN muturrak oraindik ikusi ez duen orri bat garbitu. Huts egiten duen urratsa identitate-hornitzailearen eta erabiltzailearen makinako entzule baten arteko nabigatzaileko eskualdaketa da, eta eskualdaketa horretan zehazki hiru gauza merezi du egiaztatzea.

Irakurri orria identitate-hornitzailearen adierazpen gisa

Googlek hau itzultzen du SAML aplikazioa saioa hasi duen konturako gaituta ez dagoenean. Aplikazioa itzalita egon daiteke, erabiltzailea esleitutako unitate antolakuntza edo taldetik kanpo egon daiteke, edo zerbitzu-hornitzailearen ezarpenak eskaerak eskatu zuenarekin bat ez etorri.

Horietako bat ere ez da ziurtagiri, bide edo tunel arazoa, erabiltzaileak VPN bezeroan nabaritu badu ere.

Bezeroak onartuko dituen bi balioak

AWS Client VPN zerbitzu-hornitzaileak hasitako SAML trukea egiten du, beraz bezeroak nabigatzaile bat irekitzen du, erabiltzaileak autentifikatu egiten da, eta hornitzaileak sinatutako adierazpen bat bidaltzen du Assertion Consumer Service URL batera. AWSk emandako mahaigaineko bezeroarentzat URL hori loopbackeko entzule bat da, normalean 35001 portua, eta espero den audientzia Client VPN SAML aplikazioaren entitate-identifikatzailea da, ez AWS kontsolaren saio-hasierako entitatea.

Bi balioek bat egin behar dute bezeroak espero duenarekin: non argitaratzen den adierazpena eta nori zuzentzen zaion. Kontsolako SSO aplikazio batetik kopiatutako konfigurazioa erabat sinesgarria izan daiteke eta hala ere bikote okerra helburu izan.

Hartu bi balioak Client VPN SAML baldintzetatik, ez AWSko saio-hasiera bakarreko gida orokor batetik. Kontsolako SSO entitatea nahikoa antzekoa da tentagarria izateko. Beste aplikazio bat da, beste audientzia batekin, eta bezeroak adierazpena baztertzen du bere burua azaldu gabe. Kopiatu bikotea behin eta gorde profilaren ondoan.

Googlek ez du HTTP itzulera-dei arrunta onartuko

Administrazio-kontsolak HTTPS ACS URL bat eskatzen du, eta bezeroaren itzulera-deia HTTP arrunta da loopbacken. Balio hori ezin da Workspace aplikazioaren konfigurazioan sartu, eta horregatik talde batzuek TLS amaitzen duen eta tokiko entzulera birbidaltzen duen alderantzizko proxy bat probatzen dute. Horrek ez du desdoitzea konpontzen: nabigatzaileak jatorri bat ikusten du, bezeroak beste bat iragartzen du, eta itzultzen den erantzuna helmuga okerrarekin irits daiteke.

Funtzionatzen duen antolamendua identitate-hornitzaile bitartekaria da. Bitartekariaren SAML aplikazioak loopbackeko itzulera-deia eta AWSko audientzia jasotzen ditu, eta bitartekariak Workspace kontua gorantz federatzen du. Googlek HTTPS araua beteta jarraitzen du, eta bezeroarengana iristen den adierazpenak oraindik espero duen helbidea eta audientzia aipatzen ditu.

Bitartekari hori norbaiten jabetzakoa, monitorizatu eta bajaren barruan sartu beharreko mendekotasun administratiboa da. Bigarren leku bat ere bada, non etenaldi bat saio-hasierako hutsegite bihurtzen den. Baloratu diseinua agindu aurretik. Inork bere gain hartuko ez balu, erantzun zintzoa da AWS bezeroak ezin duela Workspace erabili bere identitate-hornitzaile bakartzat.

Esleipena eta bi urratseko egiaztapena

Ezer birformulatu aurretik, egiaztatu aplikazioa unitate antolakuntza edo talde zuzenarentzat gaituta dagoela, eta hirugarrenen SAML aplikazioek beren esleipen-kontrolak dituztela, Google aldeko aplikazio-zerrendatik bereiziak.

Egiaztatu ere kontuak bi urratseko egiaztapena gaituta duen. Googlek eskatu dezake SAML aplikazio bat erabiltzaile batentzat erabilgarri bihurtu aurretik, eta jatorrizko hariaren erantzun bakarra hain zuzen horrela konpondu zen. Baztertzeko gauzarik merkeena da eta azkenean aurkitzeko gogaikarriena.

Egiaztatu saio garbi batekin

Edozein aldaketaren ondoren, probatu nabigatzaile-profil berri batekin eta bezero-konfigurazio garbi batekin. Cachean gordetako adierazpenek eta berrerabilitako saioek ezkutatzen dute konponketa iritsi den.

Ondoren alderatu bi erregistro elkarren ondoan: identitate-hornitzailearen auditoria-gertaera eta bezeroaren erregistroa. Tunelik gabeko saio-hasiera arrakastatsuak itzulera-deira edo audientziara seinalatzen du. Konektatutako tunela iristezin den baliabide batekin bideratze edo baimen arazoa da eta erabat beste leku batekoa.

Zer ez aldatu

Ez kendu auth-federate profilatik eta ez desgaitu ziurtagiri-egiaztapenak orria gainditzeko. Biek autentifikazioaren diseinua aldatzen dute, huts egiten duen itzulera-deia ez ezik, eta biek normalean hausten dute hurrengo bezero-eguneratzean.

Konpondu eskualdaketa horren ordez, eta utzi bitartekaria, audientzia eta loopback portua aipatzen dituen ohar bat. Orria ikusiko duen hurrengo pertsonak hirurak beharko ditu.