AWS Client VPN SAML i Google Workspace: jaz u povratnom pozivu

Stranica app_not_configured_for_user dolazi iz Google Workspacea i pojavljuje se prije nego što je dogovoren i jedan paket tunela. Taj je redoslijed cijela dijagnoza. Ponovna instalacija klijenta, uređivanje profila ili provjera ruta ne mogu ukloniti stranicu koju VPN endpoint još nije vidio. Korak koji pada je prijenos u pregledniku između davatelja identiteta i slušatelja na korisnikovu vlastitu računalu, a u tom prijenosu vrijedi provjeriti točno tri stvari.

Čitajte stranicu kao izjavu davatelja identiteta

Google ovo vraća kada SAML aplikacija nije omogućena za račun koji se prijavio. Aplikacija može biti isključena, korisnik može biti izvan dodijeljene organizacijske jedinice ili grupe, ili se postavke davatelja usluga možda ne podudaraju s onim što je zahtjev tražio.

Ništa od toga nije problem certifikata, rute ili tunela, iako je korisnik to primijetio u VPN klijentu.

Dvije vrijednosti koje će klijent prihvatiti

AWS Client VPN provodi SAML razmjenu koju pokreće davatelj usluga, pa klijent otvara preglednik, korisnik se autentificira, a davatelj šalje potpisanu tvrdnju natrag na URL Assertion Consumer Service. Za AWS-ov stolni klijent taj je URL slušatelj na loopbacku, obično port 35001, a očekivana publika je identifikator entiteta SAML aplikacije Client VPN, a ne entitet prijave u AWS konzolu.

Obje vrijednosti moraju odgovarati onome što klijent očekuje: kamo se tvrdnja šalje i kome je upućena. Konfiguracija kopirana iz SSO aplikacije u konzoli može izgledati posve uvjerljivo i ipak ciljati pogrešan par.

Uzmite obje vrijednosti iz zahtjeva Client VPN SAML, a ne iz općeg vodiča za jedinstvenu prijavu u AWS-u. SSO entitet u konzoli izgleda dovoljno slično da bude primamljiv. To je druga aplikacija s drugom publikom, a klijent odbija tvrdnju bez objašnjenja. Kopirajte par jednom i pohranite ga uz profil.

Google neće prihvatiti običan HTTP povratni poziv

Administratorska konzola zahtijeva HTTPS ACS URL, a klijentov povratni poziv običan je HTTP na loopbacku. Ta se vrijednost uopće ne može upisati u konfiguraciju Workspace aplikacije, zato neki timovi pokušavaju obrnuti proxy koji prekida TLS i prosljeđuje lokalnom slušatelju. To ne popravlja nepodudarnost: preglednik vidi jedno podrijetlo, klijent oglašava drugo, a vraćeni odgovor može stići na pogrešno odredište.

Rješenje koje djeluje je posrednički davatelj identiteta. SAML aplikacija kod posrednika dobiva loopback povratni poziv i AWS publiku, a posrednik federira Workspace račun prema gore. Googleovo HTTPS pravilo ostaje zadovoljeno, a tvrdnja koja stiže do klijenta i dalje navodi adresu i publiku koju očekuje.

Taj posrednik administrativna je ovisnost koju netko mora posjedovati, nadzirati i uključiti u odjavu. To je i drugo mjesto gdje se ispad pretvara u neuspjelu prijavu. Izračunajte cijenu prije nego što obećate dizajn. Ako ga nitko neće posjedovati, iskren odgovor je da AWS klijent ne može rabiti Workspace kao svog jedinog davatelja identiteta.

Dodjela i dvostruka provjera

Prije nego što bilo što redizajnirate, potvrdite da je aplikacija uključena za ispravnu organizacijsku jedinicu ili grupu i da SAML aplikacije trećih strana imaju vlastite kontrole dodjele odvojene od popisa aplikacija na Googleovoj strani.

Provjerite i je li za račun omogućena dvostruka provjera. Google je može zahtijevati prije nego SAML aplikacija postane upotrebljiva korisniku, a jedan odgovor u izvornoj raspravi riješen je upravo tako. To je najjeftinije isključiti i najneugodnije otkriti posljednje.

Provjerite s čistom sesijom

Nakon svake promjene testirajte sa svježim profilom preglednika i čistom konfiguracijom klijenta. Predmemorirane tvrdnje i ponovno rabljene sesije skrivaju je li popravak uspio.

Zatim usporedite dva zapisa jedan uz drugi: revizijski događaj davatelja identiteta i zapisnik klijenta. Uspješna prijava bez tunela upućuje natrag na povratni poziv ili publiku. Povezani tunel s nedostupnim resursom problem je usmjeravanja ili autorizacije i pripada sasvim drugamo.

Što ne mijenjati

Ne uklanjajte auth-federate iz profila i ne isključujte provjere certifikata da biste zaobišli stranicu. Oboje mijenja dizajn autentifikacije, a ne pokvareni povratni poziv, i oboje se obično slomi pri sljedećem ažuriranju klijenta.

Popravite umjesto toga prijenos i ostavite bilješku koja navodi posrednika, publiku i loopback port. Sljedeća osoba koja vidi stranicu trebat će sve tri.