אימות ב-AWS Client VPN: הרשאות IAM אינן שיטת התחברות
הרשאות בקונסולה אינן מאמתות מנהרה. השוו בין שיטות תעודה, AD ו-SAML, ואז ראו מתי העברת פורט דרך SSM מתאימה למסד נתונים פרטי אחד.
מתן הרשאה למשתמש ליצור או לתאר נקודת קצה של AWS Client VPN אינו מאפשר לאותו משתמש להתחבר אליה. אלה שני סוגים שונים של זהות: IAM מנהל קריאות ל-AWS API, ונקודת הקצה מקבלת רק את שיטות אימות הלקוח שהוגדרו עליה. לכן משתמש עשוי להחזיק בהרשאות רחבות בקונסולה ובכל זאת לא להחזיק דבר שהלקוח של VPN יכול להציג. החליטו באיזו שיטה נקודת הקצה בוטחת, ואז החליטו אם מנהרה מלאה היא הצורה הנכונה לגישה שאתם מעניקים.
זהות של API אינה זהות של מנהרה
כשמישהו אומר „תפקיד ה-IAM מחובר, אז למה ה-VPN עדיין נכשל“, התשובה היא בדרך כלל שאף שלב בזרימת החיבור לא קורא את התפקיד הזה. הלקוח מציג תעודה, שם משתמש וסיסמה של AD, או הצהרת SAML. נקודת הקצה מאמתת אחד מהם ואז מקצה כתובת.
IAM עדיין חשוב, רק מאוחר יותר ובמקום אחר: יצירת נקודת הקצה, שיוך תת-רשתות, פרסום מסלולים וכתיבת כללי הרשאה הם פעולות API. החזיקו את ההרשאות האלה מוגבלות למפעילים שזקוקים להן במקום לתת לכל משתמש את היכולת לשכתב את כללי הגישה של נקודת הקצה.
בחרו מבין השיטות שנקודת הקצה תומכת בהן
AWS Client VPN מקבל אימות הדדי מבוסס תעודה, אימות Active Directory ואימות פדרטיבי מבוסס SAML. נדרשת תעודת שרת ללא קשר לשיטת הלקוח שתבחרו, ותצורה שמשלבת שיטות דורשת ששתיהן יצליחו, לא אחת.
| Client method | What the user presents | Where the work sits |
|---|---|---|
| Mutual certificate | A client certificate the endpoint trusts | Certificate authority, issuing and revoking per user |
| Active Directory | Domain credentials | Directory reachable from the endpoint's VPC |
| SAML federation | An assertion from an identity provider | IdP application, attribute mapping, client support |
תעודות הן הזולות ביותר להקים והקלות ביותר לטעות בהן בקנה מידה, כי כל משתמש זקוק לאישור וכל עזיבה דורשת ביטול. אימות מדריך מעביר את מחזור החיים הזה למערכת קיימת. פדרציה מעבירה אותו לספק זהות ומוסיפה שלב דפדפן ללקוח.
קראו את התצורה של נקודת הקצה עצמה לפני שאתם מאתרים תקלות בלקוח. אם אימות הדדי מופעל לצד שיטה מבוססת משתמש, לקוח עם תעודה תקפה אך בלי חשבון מדריך עדיין ייכשל, והשגיאה נראית בדרך כלל כמו בעיית לחיצת יד כללית.
פדרציה אינה העברת מפתחות גישה
הגדרת SAML אינה מזרימה מפתחות גישה של IAM או אסימון של תפקיד משוער אל המנהרה. ספק הזהות מאמת את האדם, מחזיר הצהרה, ונקודת הקצה מקבלת אותה במסגרת האמון שהגדרתם. ההפעלה שנוצרת היא הפעלת VPN, לא הפעלת AWS API.
ההבחנה הזאת קובעת מי יכול לאבחן מה. בעיות IdP מופיעות כשגיאת דפדפן או לקוח לפני שקיימת מנהרה כלשהי, ואילו בעיות מנהרה מופיעות אחרי הצהרה מוצלחת. שאלו איזו מהשתיים אתם רואים לפני שתפתחו מי מהקונסולות.
אחרי ההתחברות, מסלולים והרשאה עדיין קובעים
אימות מעניק להפעלה כתובת; הוא אינו מעניק להפעלה יעד. מסלולי נקודת הקצה אומרים ללקוח לאילו תת-רשתות לשלוח, כללי הרשאה קובעים אילו משתמשים יכולים להגיע לאילו מתת-הרשתות האלה, וקבוצות אבטחה בתוספת ההרשאות של היעד עצמו קובעות את השאר.
זו הסיבה לכך שמשתמש שמאומת בהצלחה עדיין עשוי להיכשל בהגעה למסד נתונים. בדקו את שיוך טבלת המסלולים לתת-הרשת, את כלל ההרשאה של קבוצת המשתמש ואת קבוצת האבטחה ביעד לפי הסדר הזה, כי כל אחד מהם יוצר סוג אחר של פסק זמן.
עבור מסד נתונים פרטי אחד, השוו להעברת פורט
אם המשימה האמיתית היא חיבור מאושר אחד למסד נתונים פרטי אחד, מנהרת רשת מלאה היא בחירה ולא דרישה. AWS Systems Manager Session Manager יכול לפתוח הפעלת העברת פורט אל צומת מנוהל דרך IAM, והצומת הזה מגיע למסד הנתונים ברשת הפרטית. המשתמש לעולם אינו מקבל כתובת VPC. הצומת המנוהל הופך למארח היחיד שיכול להגיע לפורט של מסד הנתונים, וזה בדרך כלל מה שסקירת האבטחה ביקשה. לאחר מכן המשתמשים זקוקים ללקוח מקומי ולפקודת הפעלה במקום פרופיל VPN.
הפשרה היא היקף מול דרישות מוקדמות. העברת פורט דורשת את סוכן SSM בצומת המנוהל, נגישות רשת מהצומת הזה למסד הנתונים, את התוסף Session Manager במחשב המשתמש והרשאה להתחיל את ההפעלה המסוימת הזו. זה אינו מסלול לכל תת-רשת, והוא לא יישא פרוטוקולים שרירותיים כפי שמנהרה עושה.
בכל מקרה השאירו את הזהות של מסד הנתונים עצמו במקומה. אימות TLS ואימות מסד הנתונים אינם נעלמים מפני שהנתיב אושר על ידי IAM, והפעלה מאושרת אינה אומרת דבר על אילו טבלאות המשתמש רשאי לקרוא.
בחרו לפי היקף ומחזור חיים: מנהרה כשמשתמשים רבים זקוקים ליעדים רבים ואתם יכולים להפעיל מחזור חיים של תעודות או מדריך; הפעלת העברה כשמספר קטן של אנשים זקוק לשירות אחד ואתם מעדיפים לא לחלק כתובות רשת. בכל מקרה, תעדו את שיטת האימות, את כלל ההרשאה ואת הכניסה למסד הנתונים כשלוש עובדות נפרדות, כי הן נכשלות בנפרד.