AWS Client VPN SAML և Google Workspace. հետադարձ կանչի բացը

app_not_configured_for_user էջը գալիս է Google Workspace-ից և հայտնվում է նախքան թունելի որևէ փաթեթի համաձայնեցումը։ Այդ հերթականությունն ամբողջ ախտորոշումն է։ Հաճախորդի վերատեղադրումը, պրոֆիլի խմբագրումը կամ երթուղիների ստուգումը չեն կարող մաքրել էջ, որը VPN-ի վերջնակետը դեռ չի տեսել։ Ձախողվող քայլը բրաուզերում փոխանցումն է ինքնության մատակարարի և օգտատիրոջ սեփական մեքենայի լսողի միջև, և այդ փոխանցման մեջ արժե ստուգել ուղիղ երեք բան։

Կարդացեք էջը որպես ինքնության մատակարարի հայտարարություն

Google-ը վերադարձնում է սա, երբ SAML հավելվածը միացված չէ այն հաշվի համար, որը մուտք է գործել։ Հավելվածը կարող է անջատված լինել, օգտատերը կարող է լինել նշանակված կազմակերպական միավորից կամ խմբից դուրս, կամ ծառայության մատակարարի կարգավորումները կարող են չհամապատասխանել հարցման պահանջին։

Դրանցից ոչ մեկը վկայագրի, երթուղու կամ թունելի խնդիր չէ, թեև օգտատերը դա նկատել է VPN հաճախորդում։

Երկու արժեքները, որոնք հաճախորդը կընդունի

AWS Client VPN-ը կատարում է ծառայության մատակարարի նախաձեռնած SAML փոխանակում, այնպես որ հաճախորդը բացում է բրաուզեր, օգտատերը նույնականացվում է, և մատակարարը ստորագրված հայտարարություն է ուղարկում Assertion Consumer Service URL-ին։ AWS-ի տրամադրած աշխատասեղանի հաճախորդի համար այդ URL-ը լսող է loopback-ի վրա, սովորաբար 35001 պորտը, և սպասվող լսարանը Client VPN SAML հավելվածի սուբյեկտի նույնացուցիչն է, ոչ թե AWS կոնսոլի մուտքի սուբյեկտը։

Երկու արժեքներն էլ պետք է համապատասխանեն այն բանին, ինչ սպասում է հաճախորդը՝ որտեղ է ուղարկվում հայտարարությունը և ում է հասցեագրված։ Կոնսոլի SSO հավելվածից պատճենված կարգավորումը կարող է բոլորովին վստահելի թվալ և այնուամենայնիվ ուղղված լինել սխալ զույգին։

Վերցրեք երկու արժեքներն էլ Client VPN SAML-ի պահանջներից, ոչ թե AWS-ի ընդհանուր միասնական մուտքի ուղեցույցից։ Կոնսոլի SSO սուբյեկտը բավական նման է թվում, որ գրավիչ լինի։ Դա այլ հավելված է այլ լսարանով, և հաճախորդը մերժում է հայտարարությունը՝ չբացատրելով իրեն։ Պատճենեք զույգը մեկ անգամ և պահեք այն պրոֆիլի կողքին։

Google-ը չի ընդունի պարզ HTTP հետադարձ կանչը

Ադմինիստրատորի կոնսոլը պահանջում է HTTPS ACS URL, իսկ հաճախորդի հետադարձ կանչը պարզ HTTP է loopback-ի վրա։ Այդ արժեքը բոլորովին հնարավոր չէ մուտքագրել Workspace հավելվածի կարգավորումներում, և դրա պատճառով որոշ թիմեր փորձում են հակադարձ վստահված սերվեր, որը ավարտում է TLS-ը և փոխանցում տեղական լսողին։ Դա չի վերացնում անհամապատասխանությունը. բրաուզերը տեսնում է մեկ ծագում, հաճախորդը հայտարարում է մյուսը, և վերադարձված պատասխանը կարող է հասնել սխալ նպատակակետի։

Աշխատող լուծումը միջնորդ ինքնության մատակարարն է։ Միջնորդի մոտ գտնվող SAML հավելվածը ստանում է loopback հետադարձ կանչը և AWS լսարանը, իսկ միջնորդը ֆեդերացնում է Workspace հաշիվը վերև։ Google-ի HTTPS կանոնը մնում է բավարարված, և հաճախորդին հասնող հայտարարությունը դեռ նշում է այն հասցեն ու լսարանը, որոնք նա սպասում է։

Այդ միջնորդը վարչական կախվածություն է, որը ինչ-որ մեկը պետք է տիրապետի, վերահսկի և ներառի աշխատանքից դուրս գալու գործընթացում։ Դա նաև երկրորդ տեղն է, որտեղ խափանումը վերածվում է մուտքի ձախողման։ Գնահատեք այն նախքան ձևավորումը խոստանալը։ Եթե ոչ ոք չտիրապետի դրան, ազնիվ պատասխանն այն է, որ AWS հաճախորդը չի կարող օգտագործել Workspace-ը որպես իր միակ ինքնության մատակարար։

Նշանակում և երկքայլ ստուգում

Նախքան որևէ բան վերանախագծելը, հաստատեք, որ հավելվածը միացված է ճիշտ կազմակերպական միավորի կամ խմբի համար, և որ երրորդ կողմի SAML հավելվածներն ունեն իրենց նշանակման կառավարումը՝ առանձին Google-ի կողմի հավելվածների ցանկից։

Ստուգեք նաև, թե արդյոք հաշվում միացված է երկքայլ ստուգումը։ Google-ը կարող է պահանջել այն նախքան SAML հավելվածը օգտատիրոջ համար օգտագործելի կդառնա, և սկզբնական թեմայում մեկ պատասխան լուծվել է հենց այդպես։ Սա բացառելու ամենաէժան և վերջում հայտնաբերելու ամենանյարդայնացնող բանն է։

Ստուգեք մաքուր սեսիայով

Ցանկացած փոփոխությունից հետո փորձարկեք նոր բրաուզերի պրոֆիլով և մաքուր հաճախորդի կարգավորումով։ Քեշավորված հայտարարությունները և վերօգտագործված սեսիաները թաքցնում են՝ հասել է արդյոք ուղղումը։

Այնուհետև կողք կողքի համեմատեք երկու գրառում՝ ինքնության մատակարարի աուդիտի իրադարձությունը և հաճախորդի մատյանը։ Առանց թունելի հաջող մուտքը մատնանշում է հետադարձ կանչին կամ լսարանին։ Միացված թունել՝ անհասանելի ռեսուրսով երթուղավորման կամ լիազորման խնդիր է և բոլորովին այլ տեղ է պատկանում։

Ինչ չփոխել

Չհեռացնեք auth-federate-ը պրոֆիլից և չանջատեք վկայագրի ստուգումները՝ էջը շրջանցելու համար։ Երկուսն էլ փոխում են նույնականացման ձևավորումը, այլ ոչ թե ձախողվող հետադարձ կանչը, և երկուսն էլ սովորաբար կոտրվում են հաջորդ հաճախորդի թարմացման ժամանակ։

Փոխարենը ուղղեք փոխանցումը և թողեք գրառում, որը նշում է միջնորդին, լսարանը և loopback պորտը։ Էջը տեսնող հաջորդ մարդուն պետք կլինեն բոլոր երեքը։