AWS Client VPN նույնականացում. IAM թույլտվությունները մուտքի մեթոդ չեն
Կոնսոլի թույլտվությունները թունել չեն նույնականացնում։ Համեմատեք վկայագրի, AD-ի և SAML-ի մեթոդները, ապա տեսեք, թե երբ է SSM-ի պորտի փոխանցումը հարմար մեկ մասնավոր տվյալների բազայի համար։
Օգտատիրոջը AWS Client VPN վերջնակետ ստեղծելու կամ նկարագրելու թույլտվություն տալը նրան չի թույլատրում միանալ դրան։ Սրանք ինքնության երկու տարբեր տեսակներ են․ IAM-ը կառավարում է AWS API-ի կանչերը, իսկ վերջնակետն ընդունում է միայն դրա վրա կարգավորված հաճախորդի նույնականացման մեթոդները։ Այսպիսով, օգտատերը կարող է ունենալ լայն կոնսոլային իրավունքներ և այդուհանդերձ չունենալ ոչինչ, ինչ VPN հաճախորդը կարող է ներկայացնել։ Որոշեք, թե վերջնակետը որ մեթոդին է վստահում, ապա որոշեք՝ արդյոք ամբողջական թունելը ճիշտ ձևն է ձեր տրամադրած մուտքի համար։
API-ի ինքնությունը թունելի ինքնություն չէ
Երբ ինչ-որ մեկը ասում է «IAM դերը կցված է, ինչու է VPN-ը դեռ ձախողվում», պատասխանը սովորաբար այն է, որ միացման հոսքի ոչ մի քայլ երբեք չի կարդում այդ դերը։ Հաճախորդը ներկայացնում է վկայագիր, AD օգտանուն և գաղտնաբառ կամ SAML պնդում։ Վերջնակետը վավերացնում է դրանցից մեկը և ապա նշանակում հասցե։
IAM-ը դեռ կարևոր է, պարզապես ավելի ուշ և այլ տեղ․ վերջնակետի ստեղծումը, ենթացանցերի միացումը, երթուղիների հրապարակումը և լիազորման կանոնների գրումը API գործողություններ են։ Պահեք այդ թույլտվությունները սահմանափակ այն օպերատորներով, ովքեր դրանց կարիքն ունեն, փոխանակ յուրաքանչյուր օգտատիրոջ հնարավորություն տալու վերաշարադրել վերջնակետի մուտքի կանոնները։
Ընտրեք վերջնակետի աջակցած մեթոդներից
AWS Client VPN-ն ընդունում է վկայագրի վրա հիմնված փոխադարձ նույնականացում, Active Directory նույնականացում և SAML-ի վրա հիմնված ֆեդերատիվ նույնականացում։ Սերվերի վկայագիր պահանջվում է անկախ ձեր ընտրած հաճախորդի մեթոդից, և մեթոդները համակցող կարգավորումը պահանջում է երկուսի հաջողությունը, ոչ թե մեկի։
| Client method | What the user presents | Where the work sits |
|---|---|---|
| Mutual certificate | A client certificate the endpoint trusts | Certificate authority, issuing and revoking per user |
| Active Directory | Domain credentials | Directory reachable from the endpoint's VPC |
| SAML federation | An assertion from an identity provider | IdP application, attribute mapping, client support |
Վկայագրերը ամենաէժանն են տեղադրվում և մեծ մասշտաբով ամենահեշտն են սխալվում, որովհետև յուրաքանչյուր օգտատեր պահանջում է հավատարմագիր, և յուրաքանչյուր հեռացում պահանջում է չեղարկում։ Գրացուցակային նույնականացումը այդ կենսացիկլը տեղափոխում է գործող համակարգ։ Ֆեդերացիան այն տեղափոխում է ինքնության մատակարարի մոտ և հաճախորդին ավելացնում է դիտարկիչի քայլ։
Կարդացեք հենց վերջնակետի կարգավորումը՝ նախքան հաճախորդի վրիպազերծումը։ Եթե փոխադարձ նույնականացումը միացված է օգտատիրոջ վրա հիմնված մեթոդի կողքին, վավեր վկայագիր ունեցող, բայց գրացուցակային հաշիվ չունեցող հաճախորդը դեռ կձախողվի, և սխալը սովորաբար նման է ընդհանուր ձեռքսեղմման խնդրի։
Ֆեդերացիան մուտքի բանալիների փոխանցում չէ
SAML կարգավորումը IAM մուտքի բանալիներ կամ ենթադրված դերի նշան չի մտցնում թունել։ Ինքնության մատակարարը նույնականացնում է անձին, վերադարձնում պնդում, և վերջնակետն ընդունում է այն ձեր կարգավորած վստահության շրջանակում։ Ստացված նստաշրջանը VPN նստաշրջան է, ոչ թե AWS API նստաշրջան։
Այդ տարբերությունը որոշում է, թե ով ինչ կարող է ախտորոշել։ IdP-ի խնդիրները ի հայտ են գալիս որպես դիտարկիչի կամ հաճախորդի սխալ՝ մինչև որևէ թունելի գոյությունը, մինչդեռ թունելի խնդիրները ի հայտ են գալիս հաջող պնդումից հետո։ Հարցրեք, թե այդ երկուսից որն եք նայում, նախքան կոնսոլներից որևէ մեկը բացելը։
Մուտքից հետո երթուղիներն ու լիազորումը դեռ որոշում են
Նույնականացումը նստաշրջանին հասցե է տալիս, բայց նպատակակետ չի տալիս։ Վերջնակետի երթուղիները հաճախորդին ասում են, թե որ ենթացանցերն ուղարկել, լիազորման կանոնները որոշում են, թե որ օգտատերերը կարող են հասնել այդ ենթացանցերից որոնց, իսկ անվտանգության խմբերն ու թիրախի սեփական թույլտվությունները որոշում են մնացածը։
Այդ պատճառով հաջողությամբ նույնականացված օգտատերը դեռ կարող է չհասնել տվյալների բազային։ Ստուգեք ենթացանցի երթուղային աղյուսակի կապը, օգտատիրոջ խմբի լիազորման կանոնը և թիրախի անվտանգության խումբը հենց այդ հերթականությամբ, որովհետև դրանցից յուրաքանչյուրը տարբեր տեսակի ժամկետանց է առաջացնում։
Մեկ մասնավոր տվյալների բազայի համար համեմատեք պորտի փոխանցման հետ
Եթե իրական խնդիրը մեկ մասնավոր տվյալների բազային մեկ հաստատված միացումն է, ապա ամբողջական ցանցային թունելը ընտրություն է, ոչ պահանջ։ AWS Systems Manager Session Manager-ը կարող է IAM-ի միջոցով բացել պորտի փոխանցման նստաշրջան դեպի կառավարվող հանգույց, և այդ հանգույցը հասնում է տվյալների բազային մասնավոր ցանցում։ Օգտատերը երբեք VPC հասցե չի ստանում։ Կառավարվող հանգույցը դառնում է միակ հոսթը, որը կարող է հասնել տվյալների բազայի պորտին, և դա սովորաբար այն է, ինչ պահանջում էր անվտանգության ստուգումը։ Այնուհետև օգտատերերին պետք են տեղական հաճախորդ և նստաշրջանի հրաման՝ VPN պրոֆիլի փոխարեն։
Փոխզիջումը ծավալն ընդդեմ նախապայմանների։ Պորտի փոխանցումը պահանջում է SSM գործակալ կառավարվող հանգույցում, ցանցային հասանելիություն այդ հանգույցից տվյալների բազա, Session Manager հավելում օգտատիրոջ մեքենայում և թույլտվություն սկսելու հենց այդ նստաշրջանը։ Դա մուտք չէ յուրաքանչյուր ենթացանց, և այն չի կրի կամայական արձանագրություններ, ինչպես թունելը։
Ամեն դեպքում պահեք տվյալների բազայի սեփական ինքնությունը իր տեղում։ TLS ստուգումը և տվյալների բազայի նույնականացումը չեն անհետանում այն պատճառով, որ ուղին լիազորվել է IAM-ով, և հաստատված նստաշրջանը ոչինչ չի ասում այն մասին, թե որ աղյուսակները օգտատերը կարող է կարդալ։
Ընտրեք ըստ ծավալի և կենսացիկլի․ թունել, երբ շատ օգտատերերի պետք են շատ նպատակակետեր, և դուք կարող եք վարել վկայագրի կամ գրացուցակի կենսացիկլը. փոխանցման նստաշրջան, երբ մի քանի մարդկանց պետք է մեկ ծառայություն, և դուք նախընտրում եք չբաշխել ցանցային հասցեներ։ Ամեն դեպքում գրանցեք նույնականացման մեթոդը, լիազորման կանոնը և տվյալների բազայի մուտքը որպես երեք առանձին փաստ, որովհետև դրանք առանձին են ձախողվում։