Fíordheimhniú AWS Client VPN: ní modh logála isteach iad ceadanna IAM
Ní fhíordheimníonn ceadanna an chonsóil tollán. Cuir modhanna teastais, AD agus SAML i gcomparáid, ansin féach cathain a oireann cur ar aghaidh poirt trí SSM do bhunachar sonraí príobháideach amháin.
Má thugtar cead d’úsáideoir críochphointe AWS Client VPN a chruthú nó a chur síos, ní ligeann sé don úsáideoir sin nascadh leis. Dhá chineál éagsúla aitheantais atá anseo: rialaíonn IAM glaonna AWS API, agus ní ghlacann an críochphointe ach leis na modhanna fíordheimhnithe cliaint atá cumraithe air. Mar sin is féidir le húsáideoir cearta leathana consóile a bheith aige agus fós gan aon rud a bhféadfadh an cliant VPN a chur i láthair. Socraigh cén modh a bhfuil muinín ag an gcríochphointe as, agus socraigh ansin an é tollán iomlán an chruth ceart don rochtain atá á tabhairt agat.
Ní haitheantas tolláin aitheantas API
Nuair a deir duine «tá an ról IAM ceangailte, cén fáth a dteipeann ar an VPN fós», is é an freagra de ghnáth nach léann aon chéim sa sreabhadh naisc an ról sin riamh. Cuireann an cliant teastas, ainm úsáideora agus focal faire AD, nó dearbhú SAML i láthair. Déanann an críochphointe ceann acu a bhailíochtú agus ansin sannann sé seoladh.
Tá IAM fós tábhachtach, ach níos déanaí agus in áit eile: is gníomhartha API iad an críochphointe a chruthú, foirlínte a cheangal, bealaí a fhoilsiú agus rialacha údaraithe a scríobh. Coinnigh na ceadanna sin teoranta do na hoibreoirí a dteastaíonn siad uathu, in ionad an cumas a thabhairt do gach úsáideoir rialacha rochtana an chríochphointe a athscríobh.
Roghnaigh ó na modhanna a thacaíonn an críochphointe leo
Glacann AWS Client VPN le fíordheimhniú frithpháirteach bunaithe ar theastas, fíordheimhniú Active Directory agus fíordheimhniú cónaidhme bunaithe ar SAML. Tá teastas freastalaí ag teastáil is cuma cén modh cliaint a roghnaíonn tú, agus éilíonn cumraíocht a chomhcheanglaíonn modhanna go n-éireodh leis an dá cheann, ní le ceann amháin.
| Client method | What the user presents | Where the work sits |
|---|---|---|
| Mutual certificate | A client certificate the endpoint trusts | Certificate authority, issuing and revoking per user |
| Active Directory | Domain credentials | Directory reachable from the endpoint's VPC |
| SAML federation | An assertion from an identity provider | IdP application, attribute mapping, client support |
Is iad teastais na cinn is saoire le cur ar bun agus is éasca le dul amú orthu ar scála, mar teastaíonn dintiúir ó gach úsáideoir agus teastaíonn cúlghairm ó gach imeacht. Aistríonn fíordheimhniú eolaire an timthriall saoil sin go córas atá ann cheana. Aistríonn an chónaidhm é chuig soláthraí aitheantais agus cuireann sí céim bhrabhsálaí leis an gcliant.
Léigh cumraíocht an chríochphointe féin sula ndéanann tú dífhabhtú ar an gcliant. Má tá fíordheimhniú frithpháirteach cumasaithe taobh le modh bunaithe ar úsáideoir, teipfidh ar chliant a bhfuil teastas bailí aige ach nach bhfuil cuntas eolaire aige fós, agus is gnách go mbíonn cuma fhadhb láimhe ginearálta ar an earráid.
Ní hé an chónaidhm eochracha rochtana a sheachadadh
Ní chuireann socrú SAML eochracha rochtana IAM ná comhartha róil ghlactha isteach sa tollán. Fíordheimhníonn an soláthraí aitheantais an duine, seolann sé dearbhú ar ais, agus glacann an críochphointe leis faoin muinín a chumraigh tú. Is seisiún VPN an seisiún a thagann as, ní seisiún AWS API.
Cinneann an t-idirdhealú sin cé atá in ann cad a dhiagnóisiú. Taispeántar fadhbanna IdP mar earráid bhrabhsálaí nó cliaint sula mbíonn aon tollán ann, agus taispeántar fadhbanna tolláin tar éis dearbhaithe rathaigh. Fiafraigh cé acu den dá rud atá á fheiceáil agat sula n-osclaíonn tú ceachtar consóil.
Tar éis logáil isteach, cinneann bealaí agus údarú fós
Tugann fíordheimhniú seoladh do sheisiún; ní thugann sé ceann scríbe don seisiún. Insíonn bealaí an chríochphointe don chliant cé na foirlínte chuig a seolann sé, cinneann rialacha údaraithe cé na húsáideoirí ar féidir leo teacht ar cé acu de na foirlínte sin, agus cinneann grúpaí slándála móide ceadanna an sprioc féin an chuid eile.
Sin é an fáth a bhféadfadh úsáideoir a fhíordheimhnítear go rathúil mainneachtain ar bhunachar sonraí a bhaint amach fós. Seiceáil ceangal an tábla bealaí don fhoirlíne, an riail údaraithe do ghrúpa an úsáideora agus an grúpa slándála ar an sprioc san ord sin, mar cruthaíonn gach ceann acu cineál éagsúil ama istigh.
Do bhunachar sonraí príobháideach amháin, cuir i gcomparáid le cur ar aghaidh poirt
Más é an fíor-thasc nasc ceadaithe amháin le bunachar sonraí príobháideach amháin, is rogha é tollán líonra iomlán seachas riachtanas. Is féidir le AWS Systems Manager Session Manager seisiún cur-ar-aghaidh-poirt a oscailt chuig nód bainistithe trí IAM, agus sroicheann an nód sin an bunachar sonraí ar an líonra príobháideach. Ní fhaigheann an t-úsáideoir seoladh VPC riamh. Is é an nód bainistithe an t-aon óstach ar féidir leis port an bhunachair sonraí a shroicheadh, agus is gnách gurb é sin an rud a d’iarr an t-athbhreithniú slándála. Ansin teastaíonn cliant áitiúil agus ordú seisiúin ó úsáideoirí seachas próifíl VPN.
Is é an mhalairt raon feidhme in aghaidh réamhchoinníollacha. Teastaíonn gníomhaire SSM ar an nód bainistithe, inrochtaineacht líonra ón nód sin chuig an mbunachar sonraí, breiseán Session Manager ar mheaisín an úsáideora agus cead an seisiún áirithe sin a thosú le cur ar aghaidh poirt. Ní bealach isteach i ngach foirlíne é, agus ní iompraíonn sé prótacail threallacha mar a dhéanann tollán.
Coinnigh aitheantas an bhunachair sonraí féin ina áit ar aon chuma. Ní imíonn fíorú TLS agus fíordheimhniú an bhunachair sonraí mar gheall gur údaraíodh an cosán le IAM, agus ní deir seisiún ceadaithe aon rud faoi cé na táblaí ar féidir leis an úsáideoir iad a léamh.
Roghnaigh de réir raoin feidhme agus timthriall saoil: tollán nuair a theastaíonn go leor scríbe ó go leor úsáideoirí agus is féidir leat timthriall saoil teastais nó eolaire a rith; seisiún cur-ar-aghaidh nuair a theastaíonn seirbhís amháin ó dhornán daoine agus b’fhearr leat gan seoltaí líonra a scaipeadh. Ar aon chuma, taifead an modh fíordheimhnithe, an riail údaraithe agus logáil isteach an bhunachair sonraí mar thrí fhíric ar leith, mar teipeann orthu ar leith.