AWS Client VPN SAML और Google Workspace: कॉलबैक की खाई

app_not_configured_for_user पृष्ठ Google Workspace से आता है और एक भी टनल पैकेट तय होने से पहले दिखाई देता है। यही क्रम पूरा निदान है। क्लाइंट को फिर से इंस्टॉल करना, प्रोफ़ाइल संपादित करना या रूट जाँचना ऐसे पृष्ठ को नहीं साफ़ कर सकता जिसे VPN एंडपॉइंट ने अभी देखा ही नहीं। विफल होने वाला चरण पहचान प्रदाता और उपयोगकर्ता की अपनी मशीन पर सुनने वाले के बीच ब्राउज़र में होने वाला हस्तांतरण है, और उस हस्तांतरण में ठीक तीन चीज़ें जाँचने योग्य हैं।

पृष्ठ को पहचान प्रदाता का वक्तव्य समझें

Google यह तब लौटाता है जब साइन इन किए गए खाते के लिए SAML एप्लिकेशन सक्षम नहीं है। ऐप बंद हो सकता है, उपयोगकर्ता सौंपी गई संगठनात्मक इकाई या समूह से बाहर हो सकता है, या सेवा प्रदाता की सेटिंग्स अनुरोध की मांग से मेल नहीं खातीं।

इनमें से कोई भी प्रमाणपत्र, रूट या टनल की समस्या नहीं है, भले ही उपयोगकर्ता ने इसे VPN क्लाइंट में देखा हो।

वे दो मान जिन्हें क्लाइंट स्वीकार करेगा

AWS Client VPN सेवा प्रदाता द्वारा आरंभ किया गया SAML आदान-प्रदान करता है, इसलिए क्लाइंट ब्राउज़र खोलता है, उपयोगकर्ता प्रमाणित करता है, और प्रदाता हस्ताक्षरित अभिकथन को Assertion Consumer Service URL पर वापस भेजता है। AWS द्वारा दिए गए डेस्कटॉप क्लाइंट के लिए वह URL loopback पर एक श्रोता है, सामान्यतः पोर्ट 35001, और अपेक्षित दर्शक Client VPN SAML एप्लिकेशन की एंटिटी पहचान है, AWS कंसोल की साइन-इन एंटिटी नहीं।

दोनों मान उससे मेल खाने चाहिए जिसकी क्लाइंट अपेक्षा करता है: अभिकथन कहाँ भेजा जाता है और किसे संबोधित है। कंसोल के SSO एप्लिकेशन से कॉपी किया गया कॉन्फ़िगरेशन पूरी तरह विश्वसनीय लग सकता है और फिर भी गलत जोड़ी को लक्षित कर सकता है।

दोनों मान Client VPN SAML की आवश्यकताओं से लें, AWS की सामान्य सिंगल साइन-ऑन मार्गदर्शिका से नहीं। कंसोल की SSO एंटिटी इतनी मिलती-जुलती है कि लुभावनी लगे। यह अलग दर्शक वाला अलग एप्लिकेशन है, और क्लाइंट बिना समझाए अभिकथन को अस्वीकार कर देता है। जोड़ी को एक बार कॉपी करें और प्रोफ़ाइल के पास रखें।

Google सादा HTTP कॉलबैक स्वीकार नहीं करेगा

व्यवस्थापक कंसोल HTTPS ACS URL मांगता है, और क्लाइंट का कॉलबैक loopback पर सादा HTTP है। वह मान Workspace एप्लिकेशन कॉन्फ़िगरेशन में डाला ही नहीं जा सकता, इसीलिए कुछ टीमें ऐसा रिवर्स प्रॉक्सी आज़माती हैं जो TLS समाप्त कर स्थानीय श्रोता को अग्रेषित करता है। इससे असंगति ठीक नहीं होती: ब्राउज़र एक मूल देखता है, क्लाइंट दूसरा घोषित करता है, और लौटाई गई प्रतिक्रिया गलत गंतव्य पर पहुँच सकती है।

जो व्यवस्था काम करती है वह ब्रोकर पहचान प्रदाता है। ब्रोकर पर SAML एप्लिकेशन को loopback कॉलबैक और AWS दर्शक मिलता है, और ब्रोकर Workspace खाते को ऊपर की ओर फ़ेडरेट करता है। Google का HTTPS नियम संतुष्ट रहता है, और क्लाइंट तक पहुँचने वाला अभिकथन अभी भी अपेक्षित पता और दर्शक का नाम लेता है।

वह ब्रोकर एक प्रशासनिक निर्भरता है जिसे किसी को रखना, निगरानी करना और ऑफ़बोर्डिंग में शामिल करना होगा। यह दूसरी जगह भी है जहाँ रुकावट लॉगिन विफलता बन जाती है। डिज़ाइन का वादा करने से पहले इसकी कीमत आँकें। यदि कोई इसे नहीं संभालेगा, तो ईमानदार उत्तर यह है कि AWS क्लाइंट Workspace को अपने एकमात्र पहचान प्रदाता के रूप में उपयोग नहीं कर सकता।

आवंटन और दो-चरणीय सत्यापन

कुछ भी नया डिज़ाइन करने से पहले पुष्टि करें कि ऐप सही संगठनात्मक इकाई या समूह के लिए चालू है, और तृतीय-पक्ष SAML ऐप्स के अपने आवंटन नियंत्रण हैं, जो Google पक्ष की ऐप सूची से अलग हैं।

यह भी जाँचें कि खाते पर दो-चरणीय सत्यापन सक्षम है या नहीं। Google इसे तब अनिवार्य कर सकता है जब कोई SAML ऐप उपयोगकर्ता के लिए उपयोगी बने, और मूल थ्रेड में एक उत्तर ठीक इसी तरह सुलझा था। इसे बाहर करना सबसे सस्ता है और अंत में पता चलना सबसे कष्टकर।

स्वच्छ सत्र से सत्यापित करें

किसी भी बदलाव के बाद नए ब्राउज़र प्रोफ़ाइल और स्वच्छ क्लाइंट कॉन्फ़िगरेशन से परीक्षण करें। कैश किए गए अभिकथन और पुनः उपयोग किए गए सत्र छिपा देते हैं कि सुधार हुआ या नहीं।

फिर दो रिकॉर्ड साथ-साथ मिलाएँ: पहचान प्रदाता का ऑडिट ईवेंट और क्लाइंट लॉग। बिना टनल के सफल साइन-इन कॉलबैक या दर्शक की ओर इशारा करता है। जुड़ी हुई टनल पर पहुँच से बाहर संसाधन रूटिंग या प्राधिकरण की समस्या है और पूरी तरह कहीं और की है।

क्या न बदलें

पृष्ठ पार करने के लिए प्रोफ़ाइल से auth-federate न हटाएँ और न ही प्रमाणपत्र जाँच बंद करें। दोनों विफल कॉलबैक के बजाय प्रमाणीकरण का डिज़ाइन बदलते हैं, और दोनों अगले क्लाइंट अपडेट पर टूट जाते हैं।

इसके बजाय हस्तांतरण ठीक करें, और एक नोट छोड़ें जिसमें ब्रोकर, दर्शक और loopback पोर्ट का नाम हो। अगली बार पृष्ठ देखने वाले व्यक्ति को तीनों की आवश्यकता होगी।