احراز هویت AWS Client VPN: مجوزهای IAM روش ورود نیستند
مجوزهای کنسول یک تونل را احراز هویت نمی‌کنند. روش‌های گواهی، AD و SAML را مقایسه کنید و سپس ببینید چه زمانی هدایت پورت با SSM برای یک پایگاه داده خصوصی مناسب است.
دادن اجازه به یک کاربر برای ساخت یا توصیف یک نقطه پایانی AWS Client VPN به او اجازه نمی‌دهد به آن متصل شود. این‌ها دو نوع متفاوت هویت هستند: IAM فراخوانی‌های AWS API را اداره می‌کند و نقطه پایانی فقط روش‌های احراز هویت کلاینتی را می‌پذیرد که روی آن پیکربندی شده‌اند. بنابراین یک کاربر می‌تواند اختیارات گسترده در کنسول داشته باشد و با این حال چیزی نداشته باشد که کلاینت VPN بتواند ارائه دهد. تعیین کنید نقطه پایانی به کدام روش اعتماد دارد، سپس تصمیم بگیرید آیا تونل کامل شکل درستی برای دسترسی‌ای است که می‌دهید.
هویت API هویت تونل نیست
وقتی کسی می‌گوید «نقش IAM متصل است، پس چرا VPN هنوز شکست می‌خورد»، پاسخ معمولاً این است که هیچ مرحله‌ای در جریان اتصال هرگز آن نقش را نمی‌خواند. کلاینت یک گواهی، یک نام کاربری و گذرواژه AD، یا یک اظهارنامه SAML ارائه می‌دهد. نقطه پایانی یکی از آن‌ها را اعتبارسنجی می‌کند و سپس نشانی اختصاص می‌دهد.
IAM هنوز مهم است، فقط دیرتر و جای دیگر: ساخت نقطه پایانی، پیوند زیرشبکه‌ها، انتشار مسیرها و نوشتن قواعد مجوزدهی کنش‌های API هستند. این مجوزها را محدود به اپراتورهایی نگه دارید که به آن‌ها نیاز دارند، به‌جای اینکه به هر کاربر توان بازنویسی قواعد دسترسی نقطه پایانی را بدهید.
از میان روش‌هایی که نقطه پایانی پشتیبانی می‌کند انتخاب کنید
AWS Client VPN احراز هویت متقابل مبتنی بر گواهی، احراز هویت Active Directory و احراز هویت فدرال مبتنی بر SAML را می‌پذیرد. صرف‌نظر از روش کلاینتی که انتخاب می‌کنید، گواهی سرور لازم است، و پیکربندی‌ای که روش‌ها را ترکیب می‌کند موفقیت هر دو را می‌خواهد، نه یکی را.
| Client method | What the user presents | Where the work sits |
|---|---|---|
| Mutual certificate | A client certificate the endpoint trusts | Certificate authority, issuing and revoking per user |
| Active Directory | Domain credentials | Directory reachable from the endpoint's VPC |
| SAML federation | An assertion from an identity provider | IdP application, attribute mapping, client support |
گواهی‌ها ارزان‌ترین برای راه‌اندازی و در مقیاس آسان‌ترین برای اشتباه هستند، زیرا هر کاربر به یک اعتبارنامه نیاز دارد و هر خروج به یک ابطال نیاز دارد. احراز هویت دایرکتوری آن چرخه عمر را به سامانه‌ای موجود منتقل می‌کند. فدراسیون آن را به یک ارائه‌دهنده هویت منتقل می‌کند و یک مرحله مرورگر به کلاینت اضافه می‌کند.
پیش از عیب‌یابی کلاینت، پیکربندی خود نقطه پایانی را بخوانید. اگر احراز هویت متقابل در کنار یک روش مبتنی بر کاربر فعال باشد، کلاینتی با گواهی معتبر اما بدون حساب دایرکتوری باز هم شکست می‌خورد، و خطا معمولاً مانند یک مشکل عمومی دست‌دادن به نظر می‌رسد.
فدراسیون انتقال کلیدهای دسترسی نیست
یک تنظیم SAML نه کلیدهای دسترسی IAM و نه توکن نقش فرض‌شده را به تونل تزریق نمی‌کند. ارائه‌دهنده هویت شخص را احراز هویت می‌کند، یک اظهارنامه برمی‌گرداند، و نقطه پایانی آن را در چارچوب اعتمادی که پیکربندی کرده‌اید می‌پذیرد. نشستی که حاصل می‌شود یک نشست VPN است، نه نشست AWS API.
این تمایز تعیین می‌کند چه کسی چه چیزی را می‌تواند عیب‌یابی کند. مشکلات IdP به‌صورت خطای مرورگر یا کلاینت پیش از وجود هر تونلی آشکار می‌شوند، در حالی که مشکلات تونل پس از یک اظهارنامه موفق آشکار می‌شوند. پیش از باز کردن هر یک از دو کنسول بپرسید کدام یک از این دو را می‌بینید.
پس از ورود، مسیرها و مجوزدهی همچنان تعیین‌کننده‌اند
احراز هویت به یک نشست نشانی می‌دهد؛ به نشست مقصد نمی‌دهد. مسیرهای نقطه پایانی به کلاینت می‌گویند به کدام زیرشبکه‌ها بفرستد، قواعد مجوزدهی تعیین می‌کنند کدام کاربران می‌توانند به کدام یک از آن زیرشبکه‌ها برسند، و گروه‌های امنیتی به‌همراه مجوزهای خود مقصد بقیه را تعیین می‌کنند.
به همین دلیل کاربری که با موفقیت احراز هویت می‌شود باز هم ممکن است به یک پایگاه داده نرسد. پیوند جدول مسیر برای زیرشبکه، قاعده مجوزدهی برای گروه کاربر و گروه امنیتی روی مقصد را به همین ترتیب بررسی کنید، زیرا هر یک نوع متفاوتی از پایان زمان تولید می‌کند.
برای یک پایگاه داده خصوصی، با هدایت پورت مقایسه کنید
اگر وظیفه واقعی یک اتصال تأییدشده به یک پایگاه داده خصوصی است، تونل شبکه کامل یک انتخاب است نه یک الزام. AWS Systems Manager Session Manager می‌تواند از طریق IAM یک نشست هدایت پورت به یک گره مدیریت‌شده باز کند، و آن گره در شبکه خصوصی به پایگاه داده می‌رسد. کاربر هرگز نشانی VPC دریافت نمی‌کند. گره مدیریت‌شده تنها میزبانی می‌شود که می‌تواند به پورت پایگاه داده برسد، که معمولاً همان چیزی است که بازبینی امنیتی می‌خواست. سپس کاربران به یک کلاینت محلی و یک فرمان نشست نیاز دارند، نه یک مشخصات VPN.
معامله، دامنه در برابر پیش‌نیازها است. هدایت پورت به عامل SSM روی گره مدیریت‌شده، دسترسی شبکه از آن گره به پایگاه داده، افزونه Session Manager روی ماشین کاربر و مجوز آغاز همان نشست خاص نیاز دارد. این مسیری به هر زیرشبکه نیست و پروتکل‌های دلخواه را مانند یک تونل حمل نمی‌کند.
در هر حال هویت خود پایگاه داده را سر جایش نگه دارید. بررسی TLS و احراز هویت پایگاه داده به این دلیل که مسیر با IAM مجاز شده از بین نمی‌رود، و یک نشست تأییدشده چیزی درباره اینکه کاربر کدام جدول‌ها را می‌تواند بخواند نمی‌گوید.
بر اساس دامنه و چرخه عمر انتخاب کنید: تونل وقتی کاربران بسیاری به مقصدهای بسیاری نیاز دارند و می‌توانید چرخه عمر گواهی یا دایرکتوری را اداره کنید؛ نشست هدایت وقتی چند نفر به یک سرویس نیاز دارند و ترجیح می‌دهید نشانی‌های شبکه توزیع نکنید. در هر حال، روش احراز هویت، قاعده مجوزدهی و ورود به پایگاه داده را سه واقعیت جداگانه ثبت کنید، زیرا جداگانه شکست می‌خورند.