Autentifikacija u AWS Client VPN-u: IAM dopuštenja nisu način prijave
Dopuštenja u konzoli ne autentificiraju tunel. Usporedite metode s certifikatom, AD i SAML, pa pogledajte kada SSM prosljeđivanje portova odgovara jednoj privatnoj bazi podataka.
Davanje korisniku dopuštenja za stvaranje ili opisivanje završne točke AWS Client VPN ne omogućuje tom korisniku povezivanje s njom. To su dvije različite vrste identiteta: IAM upravlja pozivima AWS API-ja, a završna točka prihvaća samo metode autentifikacije klijenta koje su na njoj konfigurirane. Korisnik stoga može imati široka prava u konzoli i pritom nemati ništa što VPN klijent može predstaviti. Odredite kojoj metodi završna točka vjeruje, a zatim odlučite je li puni tunel pravi oblik za pristup koji dajete.
Identitet API-ja nije identitet tunela
Kada netko kaže „IAM uloga je povezana, zašto VPN još uvijek ne radi“, odgovor je obično da nijedan korak u tijeku povezivanja nikada ne čita tu ulogu. Klijent predstavlja certifikat, AD korisničko ime i lozinku ili SAML tvrdnju. Završna točka provjerava jedno od toga i zatim dodjeljuje adresu.
IAM je i dalje važan, samo kasnije i drugdje: stvaranje završne točke, povezivanje podmreža, objavljivanje ruta i pisanje pravila autorizacije API su radnje. Držite ta dopuštenja ograničena na operatere kojima su potrebna umjesto da svakom korisniku date mogućnost prepisivanja pravila pristupa završne točke.
Odaberite među metodama koje završna točka podržava
AWS Client VPN prihvaća uzajamnu autentifikaciju na temelju certifikata, autentifikaciju putem Active Directoryja i federiranu autentifikaciju na temelju SAML-a. Certifikat poslužitelja potreban je bez obzira na to koju metodu klijenta odaberete, a konfiguracija koja kombinira metode zahtijeva uspjeh obiju, a ne jedne.
| Client method | What the user presents | Where the work sits |
|---|---|---|
| Mutual certificate | A client certificate the endpoint trusts | Certificate authority, issuing and revoking per user |
| Active Directory | Domain credentials | Directory reachable from the endpoint's VPC |
| SAML federation | An assertion from an identity provider | IdP application, attribute mapping, client support |
Certifikati su najjeftiniji za postavljanje i najlakše ih je pogrešno postaviti u velikom opsegu, jer svaki korisnik treba vjerodajnicu, a svaki odlazak zahtijeva opoziv. Autentifikacija putem imenika premješta taj životni ciklus u postojeći sustav. Federacija ga premješta k pružatelju identiteta i dodaje korak u pregledniku na klijentu.
Pročitajte vlastitu konfiguraciju završne točke prije nego počnete otklanjati pogreške na klijentu. Ako je uzajamna autentifikacija omogućena uz metodu koja se temelji na korisniku, klijent s važećim certifikatom, ali bez računa u imeniku i dalje će pasti, a pogreška obično izgleda kao opći problem rukovanja.
Federacija nije prenošenje pristupnih ključeva
SAML postavka ne ubacuje IAM pristupne ključeve ni token preuzete uloge u tunel. Pružatelj identiteta autentificira osobu, vraća tvrdnju, a završna točka je prihvaća u okviru povjerenja koje ste konfigurirali. Rezultirajuća sesija je VPN sesija, a ne sesija AWS API-ja.
Ta razlika određuje kome je što moguće dijagnosticirati. Problemi s IdP-om pojavljuju se kao pogreška preglednika ili klijenta prije nego što tunel uopće postoji, dok se problemi s tunelom pojavljuju nakon uspješne tvrdnje. Pitajte koje od to dvoje gledate prije nego što otvorite bilo koju konzolu.
Nakon prijave rute i autorizacija i dalje odlučuju
Autentifikacija daje sesiji adresu; ona ne daje sesiji odredište. Rute završne točke govore klijentu u koje podmreže slati, pravila autorizacije odlučuju koji korisnici mogu dosegnuti koje od tih podmreža, a sigurnosne grupe i vlastita dopuštenja cilja odlučuju o ostalom.
Zato korisnik koji se uspješno autentificira i dalje može propustiti dosegnuti bazu podataka. Provjerite povezanost tablice ruta za podmrežu, pravilo autorizacije za korisnikovu grupu i sigurnosnu grupu na cilju tim redom, jer svako od njih proizvodi drugu vrstu isteka vremena.
Za jednu privatnu bazu podataka usporedite s prosljeđivanjem portova
Ako je stvarni zadatak jedna odobrena veza prema jednoj privatnoj bazi podataka, potpuni mrežni tunel izbor je, a ne zahtjev. AWS Systems Manager Session Manager može putem IAM-a otvoriti sesiju prosljeđivanja portova prema upravljanom čvoru, a taj čvor doseže bazu podataka na privatnoj mreži. Korisnik nikada ne dobiva VPC adresu. Upravljani čvor postaje jedini host koji može dosegnuti port baze podataka, što je obično ono što je sigurnosni pregled tražio. Korisnicima tada treba lokalni klijent i naredba sesije umjesto VPN profila.
Trgovina je opseg nasuprot preduvjetima. Prosljeđivanje portova zahtijeva SSM agenta na upravljanom čvoru, mrežnu dostupnost od tog čvora do baze podataka, dodatak Session Manager na korisnikovu računalu i dopuštenje za pokretanje te konkretne sesije. To nije ruta u svaku podmrežu i neće prenositi proizvoljne protokole kao tunel.
U svakom slučaju zadržite vlastiti identitet baze podataka. TLS provjera i autentifikacija baze podataka ne nestaju zato što je put autorizirao IAM, a odobrena sesija ne govori ništa o tome koje tablice korisnik smije čitati.
Birajte prema opsegu i životnom ciklusu: tunel kada mnogim korisnicima treba mnogo odredišta i možete voditi životni ciklus certifikata ili imenika, sesiju prosljeđivanja kada nekolicini ljudi treba jedna usluga i radije ne biste dijelili mrežne adrese. U svakom slučaju zabilježite metodu autentifikacije, pravilo autorizacije i prijavu u bazu podataka kao tri odvojene činjenice, jer one padaju odvojeno.