AWS Client VPN SAML és a Google Workspace: a visszahívás hézaga

Az app_not_configured_for_user oldal a Google Workspace-ből érkezik, és még az előtt megjelenik, hogy egyetlen alagútcsomagot is egyeztettek volna. Ez a sorrend maga a teljes diagnózis. A kliens újratelepítése, a profil szerkesztése vagy az útvonalak ellenőrzése nem törölhet egy olyan oldalt, amelyet a VPN végpontja még nem látott. A hibát adó lépés egy böngészőn belüli átadás az identitásszolgáltató és a felhasználó saját gépén futó figyelő között, és ebben az átadásban pontosan három dolgot érdemes ellenőrizni.

Olvassa az oldalt az identitásszolgáltató nyilatkozataként

A Google ezt akkor adja vissza, amikor a SAML-alkalmazás nincs engedélyezve a bejelentkezett fiók számára. Lehet, hogy az alkalmazás ki van kapcsolva, a felhasználó a kijelölt szervezeti egységen vagy csoporton kívül van, vagy a szolgáltató beállításai nem felelnek meg annak, amit a kérés kért.

Ezek egyike sem tanúsítvány-, útvonal- vagy alagútprobléma, pedig a felhasználó a VPN-kliensben vette észre.

A két érték, amelyet a kliens elfogad

Az AWS Client VPN szolgáltató által kezdeményezett SAML-cserét folytat, tehát a kliens böngészőt nyit, a felhasználó hitelesíti magát, és a szolgáltató egy aláírt állítást küld vissza egy Assertion Consumer Service URL-re. Az AWS által biztosított asztali kliens esetében ez az URL egy loopbacken futó figyelő, jellemzően a 35001-es port, és a várt közönség a Client VPN SAML-alkalmazás entitás-azonosítója, nem az AWS-konzol bejelentkezési entitása.

Mindkét értéknek meg kell felelnie annak, amit a kliens vár: hová kerül az állítás, és kinek szól. Egy konzolbeli SSO-alkalmazásból másolt konfiguráció teljesen hihetőnek tűnhet, és mégis a rossz párt célozhatja.

Mindkét értéket a Client VPN SAML követelményeiből vegye, ne egy általános AWS egyszeri bejelentkezési útmutatóból. A konzol SSO-entitása elég hasonlónak tűnik ahhoz, hogy csábítson. Ez más alkalmazás, más közönséggel, és a kliens magyarázat nélkül utasítja el az állítást. Másolja le a párt egyszer, és tárolja a profil mellett.

A Google nem fogadja el az egyszerű HTTP-s visszahívást

Az adminisztrációs konzol HTTPS ACS URL-t követel, a kliens visszahívása pedig egyszerű HTTP a loopbacken. Ez az érték egyáltalán nem írható be a Workspace-alkalmazás konfigurációjába, ezért egyes csapatok olyan fordított proxyt próbálnak, amely lezárja a TLS-t és továbbít a helyi figyelőnek. Ez nem javítja az eltérést: a böngésző egy origót lát, a kliens egy másikat hirdet, és a visszaküldött válasz rossz célállomással érkezhet.

A működő megoldás egy közvetítő identitásszolgáltató. A közvetítőnél lévő SAML-alkalmazás megkapja a loopback visszahívást és az AWS közönséget, a közvetítő pedig felfelé föderálja a Workspace-fiókot. A Google HTTPS-szabálya teljesülve marad, és a klienshez eljutó állítás továbbra is megnevezi a várt címet és közönséget.

Ez a közvetítő adminisztratív függőség, amelyet valakinek birtokolnia, felügyelnie kell, és bele kell foglalni a kilépésbe. Ez a második hely is, ahol egy kiesés bejelentkezési hibává válik. Árazza be, mielőtt megígéri a tervet. Ha senki nem vállalja, az őszinte válasz az, hogy az AWS-kliens nem használhatja a Workspace-t egyetlen identitásszolgáltatójaként.

Hozzárendelés és kétlépcsős ellenőrzés

Mielőtt bármit újratervezne, erősítse meg, hogy az alkalmazás a megfelelő szervezeti egység vagy csoport számára van bekapcsolva, és hogy a harmadik féltől származó SAML-alkalmazásoknak saját hozzárendelési vezérlésük van, a Google oldali alkalmazáslistától elkülönítve.

Azt is ellenőrizze, hogy a fiókon be van-e kapcsolva a kétlépcsős ellenőrzés. A Google megkövetelheti, mielőtt egy SAML-alkalmazás használhatóvá válik egy felhasználó számára, és az eredeti szálban egy választ pontosan így oldottak meg. Ezt a legolcsóbb kizárni, és a legbosszantóbb utolsóként felfedezni.

Ellenőrizze tiszta munkamenettel

Minden változtatás után teszteljen friss böngészőprofillal és tiszta klienskonfigurációval. A gyorsítótárazott állítások és az újrahasznált munkamenetek elrejtik, hogy a javítás megérkezett-e.

Ezután hasonlítson össze két rekordot egymás mellett: az identitásszolgáltató audit-eseményét és a kliens naplóját. A sikeres bejelentkezés alagút nélkül a visszahívásra vagy a közönségre mutat vissza. Csatlakoztatott alagút elérhetetlen erőforrással útvonal- vagy engedélyezési probléma, és egészen máshová tartozik.

Mit ne változtasson

Ne távolítsa el az auth-federate elemet a profilból, és ne kapcsolja ki a tanúsítványellenőrzéseket, hogy átjusson az oldalon. Mindkettő a hitelesítés tervezését változtatja meg a hibás visszahívás helyett, és mindkettő általában a következő kliensfrissítésnél törik el.

Inkább az átadást javítsa, és hagyjon jegyzetet, amely megnevezi a közvetítőt, a közönséget és a loopback portot. A következő embernek, aki látja az oldalt, mindháromra szüksége lesz.