AWS Client VPN-autentikaasje: IAM-machten binne gjin oanmeldmetoade
Konsolmachten autentisearje gjin tunnel. Ferlykje sertifikaat-, AD- en SAML-metoaden en sjoch dan wannear't SSM-poarte-oerdracht by ien privee databank past.
In brûker tastimming jaan om in AWS Client VPN-einpunt oan te meitsjen of te beskriuwen lit dy brûker der net mei ferbine. Dat binne twa ferskillende soarten identiteit: IAM regelet AWS API-oproppen, en it einpunt akseptearret allinnich de kliïnt-autentikaasjemetoachen dy't dêr konfigurearre binne. Sa kin in brûker brede konsolmachten hawwe en dochs neat hawwe dat de VPN-kliïnt presintearje kin. Beslis hokker metoade it einpunt fertrout, en beslis dan oft in folsleine tunnel de goede foarm is foar de tagong dy't jo jouwe.
In API-identiteit is gjin tunnelidentiteit
As immen seit „de IAM-rol is taheakke, wêrom mislearret de VPN dan noch“, is it antwurd meastentiids dat gjin inkelde stap yn de ferbiningsstream dy rol ea lêst. De kliïnt presintearret in sertifikaat, in AD-brûkersnamme en wachtwurd, of in SAML-bewearing. It einpunt falidearret ien dêrfan en jout dan in adres ta.
IAM is noch altyd wichtich, mar letter en earne oars: it einpunt oanmeitsje, subnetten ferbine, rûtes publisearje en autorisaasjeregels skriuwe binne API-aksjes. Hâld dy macht beheind ta de operators dy't se nedich hawwe, ynstee fan elke brûker de mooglikheid te jaan om de tagongsregels fan it einpunt op ’e nij te skriuwen.
Kies út ’e metoaden dy't it einpunt stipet
AWS Client VPN akseptearret sertifikaatbasearre wjerskrige autentikaasje, Active Directory-autentikaasje en SAML-basearre federaasje-autentikaasje. In server-sertifikaat is ferplicht, hokker kliïntmetoade jo ek kieze, en in konfiguraasje dy't metoaden kombinearret freget dat beide slagje, net ien.
| Client method | What the user presents | Where the work sits |
|---|---|---|
| Mutual certificate | A client certificate the endpoint trusts | Certificate authority, issuing and revoking per user |
| Active Directory | Domain credentials | Directory reachable from the endpoint's VPC |
| SAML federation | An assertion from an identity provider | IdP application, attribute mapping, client support |
Sertifikaten binne it goedkeapst op te setten en it maklikst om op skaal ferkeard te dwaan, om't elke brûker in bewiisstik nedich hat en elk fertrek in ynlûken freget. Mapautentikaasje ferpleatst dy libbenssyklus nei in besteand systeem. Federaasje ferpleatst it nei in identiteitsjouwer en foeget in browserstap ta oan de kliïnt.
Lês de konfiguraasje fan it einpunt sels foardat jo de kliïnt debugge. As wjerskrige autentikaasje oan stiet njonken in brûkerbasearre metoade, sil in kliïnt mei in jildich sertifikaat mar sûnder mapakkount noch altyd mislearje, en de flater liket meastentiids op in algemien hânskoftenprobleem.
Federaasje is gjin trochjaan fan tagongssleutels
In SAML-opsetsel stopet gjin IAM-tagongssleutels of in token fan in oannommen rol yn ’e tunnel. De identiteitsjouwer autentisearret de persoan, jout in bewiaring werom, en it einpunt akseptearret dy ûnder it fertrouwen dat jo konfigurearre hawwe. De sesje dy't dêrút komt is in VPN-sesje, net in AWS API-sesje.
Dat ûnderskied beslút wa't wat debugge kin. IdP-problemen ferskine as in browser- of kliïntflater foardat der ea in tunnel is, wylst tunnelproblemen ferskine nei in slagge bewiaring. Freegje hokker fan de twa jo sjogge foardat jo ien fan beide konsoles iepenje.
Nei it oanmelden beslute rûtes en autorisaasje noch altyd
Autentikaasje jout in sesje in adres; it jout de sesje gjin bestimming. De rûtes fan it einpunt fertelle de kliïnt nei hokker subnetten te stjoeren, autorisaasjeregels beslute hokker brûkers hokker fan dy subnetten berikke meie, en befeiligingsgroepen plus de eigen machten fan it doel beslute de rest.
Dêrom kin in brûker dy't him mei súkses autentisearret noch altyd mislearje om in databank te berikken. Kontrolearje de rûtetabelferbining foar it subnet, de autorisaasjeregel foar de groep fan de brûker en de befeiligingsgroep op it doel yn dy folchoarder, om't elk fan dy in oar soart tiidferrin jout.
Foar ien privee databank, ferlykje mei poarte-oerdracht
As de echte taak ien goedkarde ferbining nei ien privee databank is, is in folsleine netwurktunnel in kar en gjin eask. AWS Systems Manager Session Manager kin fia IAM in poarte-oerdrachtsesje nei in beheard knooppunt iepenje, en dat knooppunt berikt de databank op it privee netwurk. De brûker krijt nea in VPC-adres. It behearde knooppunt wurdt de iennichste host dy't de poarte fan ’e databank berikke kin, en dat is meastentiids wat de befeiligingsresinsje frege. Brûkers hawwe dan in lokale kliïnt en in sesjekommand nedich ynstee fan in VPN-profyl.
De ruil is omfang tsjin betingsten. Poarte-oerdracht freget de SSM-agent op it behearde knooppunt, netwurkberikberens fan dat knooppunt nei de databank, de Session Manager-plug-in op ’e masine fan ’e brûker en tastimming om krekt dy sesje te starten. It is gjin rûte yn elk subnet, en it sil gjin willekeurige protokollen drage sa't in tunnel docht.
Hâld de eigen identiteit fan ’e databank hoe dan ek op syn plak. TLS-ferifikaasje en databankautentikaasje ferdwine net om't it paad troch IAM autorisearre is, en in goedkarde sesje seit neat oer hokker tabellen de brûker lêze mei.
Kies op grûn fan omfang en libbenssyklus: in tunnel as in protte brûkers in protte bestimmingen nedich hawwe en jo de sertifikaat- of maplibbenssyklus rinne kinne; in oerdrachtsesje as in hantsjefol minsken ien tsjinst nedich hawwe en jo leaver gjin netwurkadressen útjouwe. Registrearje hoe dan ek de autentikaasjemetoade, de autorisaasjeregel en de databankoanmelding as trije aparte feiten, om't se apart mislearje.