AWS Client VPN-hitelesítés: az IAM-engedélyek nem bejelentkezési módszerek

Ha egy felhasználónak engedélyt adunk arra, hogy AWS Client VPN végpontot hozzon létre vagy írjon le, attól az még nem tud csatlakozni hozzá. Két különböző identitásfajtáról van szó: az IAM az AWS API-hívásokat szabályozza, a végpont pedig csak a rajta beállított ügyfél-hitelesítési módszereket fogadja el. Így egy felhasználónak lehetnek széles konzoljogosultságai, és mégis lehet semmije, amit a VPN-ügyfél fel tud mutatni. Döntse el, melyik módszerben bízik a végpont, majd döntse el, hogy a teljes alagút-e a megfelelő forma az általa adott hozzáféréshez.

Az API-identitás nem alagútidentitás

Amikor valaki azt mondja, hogy „az IAM-szerepkör hozzá van csatolva, miért sikertelen mégis a VPN”, a válasz általában az, hogy a kapcsolat folyamatának egyetlen lépése sem olvassa ezt a szerepkört. Az ügyfél tanúsítványt, AD-felhasználónevet és jelszót vagy SAML-állítást mutat be. A végpont ezek egyikét érvényesíti, majd címet rendel hozzá.

Az IAM továbbra is számít, csak később és máshol: a végpont létrehozása, alhálózatok társítása, útvonalak közzététele és engedélyezési szabályok írása API-művelet. Tartsa ezeket az engedélyeket azokra az üzemeltetőkre korlátozva, akiknek szükségük van rájuk, ahelyett hogy minden felhasználónak megadná a végpont hozzáférési szabályainak átírását.

Válasszon a végpont által támogatott módszerek közül

Az AWS Client VPN elfogad tanúsítványalapú kölcsönös hitelesítést, Active Directory-hitelesítést és SAML-alapú összevont hitelesítést. Szervertanúsítványra mindenképpen szükség van, függetlenül a választott ügyfélmódszertől, és a módszereket kombináló konfigurációnak mindkettő sikerét igényli, nem csak az egyikét.

A tanúsítványokat a legolcsóbb bevezetni és nagy méretekben a legkönnyebb elrontani, mert minden felhasználónak kell egy hitelesítő adat, és minden távozásnál visszavonásra van szükség. A címtárhitelesítés ezt az életciklust egy meglévő rendszerbe helyezi át. Az összevonás identitásszolgáltatóhoz helyezi át, és egy böngészőlépést ad az ügyfélhez.

Olvassa el magának a végpontnak a konfigurációját, mielőtt az ügyfelet hibakeresné. Ha a kölcsönös hitelesítés egy felhasználóalapú módszer mellett van engedélyezve, egy érvényes tanúsítvánnyal rendelkező, de címtárfiók nélküli ügyfél továbbra is sikertelen lesz, és a hiba általában általános kézfogási problémának tűnik.

Az összevonás nem hozzáférési kulcsok átadása

A SAML-beállítás nem juttat IAM-hozzáférési kulcsokat vagy feltételezett szerepkör-tokent az alagútba. Az identitásszolgáltató hitelesíti a személyt, visszaad egy állítást, és a végpont elfogadja azt a beállított bizalmi keretben. A létrejövő munkamenet VPN-munkamenet, nem AWS API-munkamenet.

Ez a megkülönböztetés dönti el, ki mit tud diagnosztizálni. Az IdP-problémák böngésző- vagy ügyfélhibaként jelennek meg, mielőtt bármilyen alagút létezne, míg az alagútproblémák sikeres állítás után jelennek meg. Kérdezze meg, melyiket nézi, mielőtt bármelyik konzolt megnyitja.

Bejelentkezés után az útvonalak és az engedélyezés döntenek továbbra is

A hitelesítés címet ad a munkamenetnek; nem ad célállomást a munkamenetnek. A végpont útvonalai megmondják az ügyfélnek, mely alhálózatokra küldjön, az engedélyezési szabályok döntik el, mely felhasználók melyik alhálózatokat érhetik el, a biztonsági csoportok és a cél saját engedélyei pedig a többit.

Ezért fordulhat elő, hogy egy sikeresen hitelesített felhasználó mégsem ér el egy adatbázist. Ellenőrizze az alhálózat útvonaltáblázat-társítását, a felhasználó csoportjának engedélyezési szabályát és a cél biztonsági csoportját ebben a sorrendben, mert mindegyik másfajta időtúllépést okoz.

Egyetlen privát adatbázishoz hasonlítsa össze a porttovábbítással

Ha a valódi feladat egyetlen jóváhagyott kapcsolat egyetlen privát adatbázishoz, a teljes hálózati alagút választás, nem követelmény. Az AWS Systems Manager Session Manager IAM-en keresztül porttovábbítási munkamenetet nyithat egy felügyelt csomóponthoz, és az a csomópont eléri az adatbázist a privát hálózaton. A felhasználó soha nem kap VPC-címet. A felügyelt csomópont lesz az egyetlen gazdagép, amely elérheti az adatbázis portját, és általában ez volt az, amit a biztonsági átvizsgálás kért. A felhasználóknak ezután helyi ügyfélre és munkamenet-parancsra van szükségük VPN-profil helyett.

A csere hatókör az előfeltételekkel szemben. A porttovábbításhoz SSM-ügynök kell a felügyelt csomóponton, hálózati elérhetőség onnan az adatbázisig, a Session Manager beépülő modul a felhasználó gépén, és engedély arra a konkrét munkamenetre. Ez nem bejárat minden alhálózatba, és nem szállít tetszőleges protokollokat úgy, mint egy alagút.

Mindenképpen tartsa meg az adatbázis saját identitását. A TLS-ellenőrzés és az adatbázis-hitelesítés nem tűnik el attól, hogy az útvonalat az IAM engedélyezte, és egy jóváhagyott munkamenet semmit nem mond arról, mely táblákat olvashat a felhasználó.

Hatókör és életciklus szerint válasszon: alagutat, amikor sok felhasználónak sok célállomásra van szüksége, és tudja kezelni a tanúsítvány- vagy címtár-életciklust; továbbítási munkamenetet, amikor néhány embernek egy szolgáltatás kell, és inkább nem oszt hálózati címeket. Mindkét esetben rögzítse a hitelesítési módszert, az engedélyezési szabályt és az adatbázis-bejelentkezést három külön tényként, mert külön hibáznak.