AWS Client VPN SAML dan Google Workspace: celah callback

Halaman app_not_configured_for_user berasal dari Google Workspace dan muncul sebelum satu paket tunnel pun dinegosiasikan. Urutan itulah keseluruhan diagnosisnya. Memasang ulang klien, menyunting profil, atau memeriksa rute tidak dapat membersihkan halaman yang belum pernah dilihat endpoint VPN. Langkah yang gagal adalah penyerahan di browser antara penyedia identitas dan pendengar di mesin pengguna sendiri, dan dalam penyerahan itu ada tepat tiga hal yang layak diperiksa.

Baca halaman itu sebagai pernyataan penyedia identitas

Google mengembalikan ini ketika aplikasi SAML tidak diaktifkan untuk akun yang masuk. Aplikasi mungkin dimatikan, pengguna mungkin berada di luar unit organisasi atau grup yang ditetapkan, atau pengaturan penyedia layanan mungkin tidak cocok dengan yang diminta permintaan.

Tidak satu pun dari itu merupakan masalah sertifikat, rute, atau tunnel, meskipun pengguna melihatnya di klien VPN.

Dua nilai yang akan diterima klien

AWS Client VPN menjalankan pertukaran SAML yang dimulai penyedia layanan, jadi klien membuka browser, pengguna mengautentikasi, dan penyedia mengirim pernyataan bertanda tangan kembali ke URL Assertion Consumer Service. Untuk klien desktop yang disediakan AWS URL itu adalah pendengar di loopback, biasanya port 35001, dan audiens yang diharapkan adalah pengenal entitas aplikasi SAML Client VPN, bukan entitas masuk konsol AWS.

Kedua nilai harus cocok dengan yang diharapkan klien: ke mana pernyataan dikirim dan kepada siapa ditujukan. Konfigurasi yang disalin dari aplikasi SSO konsol bisa tampak sepenuhnya masuk akal dan tetap mengarah ke pasangan yang salah.

Ambil kedua nilai dari persyaratan Client VPN SAML, bukan dari panduan masuk tunggal AWS yang umum. Entitas SSO konsol terlihat cukup mirip sehingga menggoda. Itu aplikasi lain dengan audiens lain, dan klien menolak pernyataan tanpa menjelaskan diri. Salin pasangan itu sekali, dan simpan di samping profil.

Google tidak akan menerima callback HTTP biasa

Konsol admin mengharuskan URL ACS HTTPS, sedangkan callback klien adalah HTTP biasa di loopback. Nilai itu sama sekali tidak dapat diketikkan ke konfigurasi aplikasi Workspace, itulah sebabnya beberapa tim mencoba proxy terbalik yang mengakhiri TLS dan meneruskan ke pendengar lokal. Itu tidak memperbaiki ketidakcocokan: browser melihat satu origin, klien mengiklankan yang lain, dan respons yang dikembalikan bisa tiba dengan tujuan yang salah.

Susunan yang berhasil adalah penyedia identitas perantara. Aplikasi SAML di perantara mendapat callback loopback dan audiens AWS, dan perantara memfederasikan akun Workspace ke hulu. Aturan HTTPS Google tetap terpenuhi, dan pernyataan yang mencapai klien masih menyebutkan alamat dan audiens yang diharapkannya.

Perantara itu adalah ketergantungan administratif yang harus dimiliki, dipantau, dan dimasukkan seseorang ke dalam offboarding. Itu juga tempat kedua di mana gangguan menjadi kegagalan masuk. Hitung biayanya sebelum menjanjikan desainnya. Jika tidak ada yang mau memilikinya, jawaban jujurnya adalah klien AWS tidak dapat memakai Workspace sebagai satu-satunya penyedia identitasnya.

Penetapan dan verifikasi dua langkah

Sebelum merancang ulang apa pun, pastikan aplikasi aktif untuk unit organisasi atau grup yang benar, dan bahwa aplikasi SAML pihak ketiga punya kontrol penetapan sendiri yang terpisah dari daftar aplikasi di sisi Google.

Periksa juga apakah akun mengaktifkan verifikasi dua langkah. Google dapat mewajibkannya sebelum aplikasi SAML dapat digunakan pengguna, dan satu jawaban di utas asli diselesaikan persis seperti itu. Itu hal termurah untuk disingkirkan dan paling menjengkelkan untuk ditemukan terakhir.

Verifikasi dengan sesi bersih

Setelah perubahan apa pun, uji dengan profil browser baru dan konfigurasi klien bersih. Pernyataan yang di-cache dan sesi yang dipakai ulang menyembunyikan apakah perbaikan berhasil.

Lalu bandingkan dua catatan berdampingan: peristiwa audit penyedia identitas dan log klien. Masuk yang berhasil tanpa tunnel menunjuk kembali ke callback atau audiens. Tunnel tersambung dengan sumber daya yang tak terjangkau adalah masalah perutean atau otorisasi dan sama sekali milik tempat lain.

Apa yang jangan diubah

Jangan mencopot auth-federate dari profil atau menonaktifkan pemeriksaan sertifikat untuk melewati halaman. Keduanya mengubah desain autentikasi, bukan callback yang gagal, dan keduanya cenderung rusak pada pembaruan klien berikutnya.

Perbaiki penyerahannya, dan tinggalkan catatan yang menyebutkan perantara, audiens, dan port loopback. Orang berikutnya yang melihat halaman akan membutuhkan ketiganya.