AWS Client VPN -todennus: IAM-käyttöoikeudet eivät ole kirjautumismenetelmä
Konsolin käyttöoikeudet eivät todenna tunnelia. Vertaa varmenne-, AD- ja SAML-menetelmiä ja katso sitten, milloin SSM:n portinohjaus sopii yhdelle yksityiselle tietokannalle.
Käyttäjälle annettu oikeus luoda tai kuvata AWS Client VPN -päätepiste ei anna hänelle oikeutta yhdistää siihen. Kyse on kahdesta eri identiteettityypistä: IAM hallitsee AWS API -kutsuja, ja päätepiste hyväksyy vain siihen määritetyt asiakastodennusmenetelmät. Käyttäjällä voi siis olla laajat konsolioikeudet ja silti ei mitään, mitä VPN-asiakas voisi esittää. Päätä, mihin menetelmään päätepiste luottaa, ja päätä sitten, onko täysi tunneli oikea muoto antamallesi käyttöoikeudelle.
API-identiteetti ei ole tunnelin identiteetti
Kun joku sanoo „IAM-rooli on liitetty, miksi VPN silti epäonnistuu“, vastaus on yleensä se, että mikään yhteysvirran vaihe ei koskaan lue tätä roolia. Asiakas esittää varmenteen, AD-käyttäjänimen ja salasanan tai SAML-väitteen. Päätepiste validoi yhden niistä ja osoittaa sitten osoitteen.
IAM on edelleen tärkeä, vain myöhemmin ja muualla: päätepisteen luominen, aliverkkojen liittäminen, reittien julkaiseminen ja valtuutussääntöjen kirjoittaminen ovat API-toimintoja. Pidä nämä oikeudet rajattuina operaattoreihin, jotka niitä tarvitsevat, sen sijaan että antaisit jokaiselle käyttäjälle mahdollisuuden kirjoittaa uudelleen päätepisteen käyttösäännöt.
Valitse menetelmistä, joita päätepiste tukee
AWS Client VPN hyväksyy varmenteeseen perustuvan keskinäisen todennuksen, Active Directory -todennuksen ja SAML-pohjaisen federoidun todennuksen. Palvelinvarmenne vaaditaan riippumatta siitä, minkä asiakasmenetelmän valitset, ja menetelmiä yhdistävä kokoonpano vaatii molempien onnistumista, ei toisen.
| Client method | What the user presents | Where the work sits |
|---|---|---|
| Mutual certificate | A client certificate the endpoint trusts | Certificate authority, issuing and revoking per user |
| Active Directory | Domain credentials | Directory reachable from the endpoint's VPC |
| SAML federation | An assertion from an identity provider | IdP application, attribute mapping, client support |
Varmenteet ovat halvimmat ottaa käyttöön ja helpoimmat mennä pieleen mittakaavassa, koska jokainen käyttäjä tarvitsee tunnistetiedon ja jokainen lähtö vaatii mitätöinnin. Hakemistotodennus siirtää tämän elinkaaren olemassa olevaan järjestelmään. Federaatio siirtää sen identiteetintarjoajalle ja lisää asiakkaalle selainvaiheen.
Lue päätepisteen oma kokoonpano ennen asiakkaan virheenkorjausta. Jos keskinäinen todennus on käytössä käyttäjäpohjaisen menetelmän rinnalla, asiakas, jolla on kelvollinen varmenne mutta ei hakemistotiliä, epäonnistuu silti, ja virhe näyttää yleensä yleiseltä kättelyongelmalta.
Federaatio ei ole käyttöavainten välittämistä
SAML-järjestely ei syötä tunnelia IAM-käyttöavaimia eikä oletetun roolin tokenia. Identiteetintarjoaja todentaa henkilön, palauttaa väitteen, ja päätepiste hyväksyy sen määrittämäsi luottamuksen puitteissa. Tuloksena oleva istunto on VPN-istunto, ei AWS API -istunto.
Tämä ero ratkaisee, kuka voi diagnosoida mitä. IdP-ongelmat näkyvät selaimen tai asiakkaan virheenä ennen kuin tunnelia on olemassa, kun taas tunneliongelmat näkyvät onnistuneen väitteen jälkeen. Kysy, kumpaa näistä katsot, ennen kuin avaat kumman tahansa konsolin.
Kirjautumisen jälkeen reitit ja valtuutus ratkaisevat edelleen
Todennus antaa istunnolle osoitteen; se ei anna istunnolle kohdetta. Päätepisteen reitit kertovat asiakkaalle, mihin aliverkkoihin lähettää, valtuutussäännöt ratkaisevat, mitkä käyttäjät voivat päästä mihinkin näistä aliverkoista, ja tietoturvaryhmät sekä kohteen omat oikeudet ratkaisevat loput.
Siksi käyttäjä, joka todennetaan onnistuneesti, voi silti jäädä saavuttamatta tietokantaa. Tarkista aliverkon reittitaulun liitos, käyttäjän ryhmän valtuutussääntö ja kohteen tietoturvaryhmä tässä järjestyksessä, koska jokainen niistä tuottaa erilaisen aikakatkaisun.
Yhdelle yksityiselle tietokannalle: vertaa portinohjaukseen
Jos varsinainen tehtävä on yksi hyväksytty yhteys yhteen yksityiseen tietokantaan, täysi verkkotunneli on valinta eikä vaatimus. AWS Systems Manager Session Manager voi avata IAM:n kautta portinohjausistunnon hallittuun solmuun, ja se solmu tavoittaa tietokannan yksityisessä verkossa. Käyttäjä ei koskaan saa VPC-osoitetta. Hallitusta solmusta tulee ainoa isäntä, joka voi tavoittaa tietokannan portin, ja se on yleensä juuri se, mitä tietoturvakatselmus pyysi. Käyttäjät tarvitsevat silloin paikallisen asiakkaan ja istuntokomennon VPN-profiilin sijaan.
Vaihtokauppa on laajuus ehtoja vastaan. Portinohjaus vaatii SSM-agentin hallitulla solmulla, verkon tavoitettavuuden solmusta tietokantaan, Session Manager -liitännäisen käyttäjän koneella ja oikeuden käynnistää juuri se istunto. Se ei ole reitti jokaiseen aliverkkoon, eikä se kuljeta mielivaltaisia protokollia kuten tunneli.
Pidä tietokannan oma identiteetti paikallaan joka tapauksessa. TLS-varmennus ja tietokannan todennus eivät katoa siksi, että polku valtuutettiin IAM:llä, eikä hyväksytty istunto kerro mitään siitä, mitä tauluja käyttäjä saa lukea.
Valitse laajuuden ja elinkaaren mukaan: tunneli, kun monet käyttäjät tarvitsevat monia kohteita ja voit ylläpitää varmenne- tai hakemistoelinkaarta; ohjausistunto, kun kourallinen ihmisiä tarvitsee yhden palvelun ja mieluummin et jaa verkko-osoitteita. Joka tapauksessa kirjaa todennusmenetelmä, valtuutussääntö ja tietokantakirjautuminen kolmena erillisenä faktana, koska ne epäonnistuvat erikseen.