Auðkenning í AWS Client VPN: IAM-heimildir eru ekki innskráningaraðferð
Heimildir í stjórnborðinu auðkenna ekki göng. Berið saman aðferðir með skírteini, AD og SAML og sjáið síðan hvenær SSM-tengiflutningur hentar fyrir eina einkagagnagrunn.
Að veita notanda heimild til að búa til eða lýsa AWS Client VPN endapunkti gerir þeim notanda ekki kleift að tengjast honum. Þetta eru tvær ólíkar tegundir auðkennis: IAM stýrir AWS API köllum og endapunkturinn tekur aðeins við þeim biðlaraauðkenningaraðferðum sem stilltar eru á hann. Þannig getur notandi haft víðtækar heimildir í stjórnborðinu og samt ekki haft neitt sem VPN-biðlarinn getur lagt fram. Ákveðið hvaða aðferð endapunkturinn treystir og ákveðið síðan hvort fullt göng sé rétta formið fyrir þann aðgang sem þið veitið.
API-auðkenni er ekki auðkenni gagns
Þegar einhver segir „IAM-hlutverkið er tengt, af hverju mistekst VPN-ið samt“, er svarið yfirleitt að ekkert skref í tengiferlinum lesi þetta hlutverk. Biðlarinn leggur fram skírteini, AD-notandanafn og lykilorð eða SAML-yfirlýsingu. Endapunkturinn staðfestir eitt þeirra og úthlutar síðan vistfangi.
IAM skiptir enn máli, bara seinna og annars staðar: að búa til endapunktinn, tengja undirnet, birta leiðir og skrifa heimildarreglur eru API-aðgerðir. Haldið þessum heimildum takmörkuðum við þá stjórnendur sem þurfa á þeim að halda í stað þess að gefa hverjum notanda möguleika á að endurskrifa aðgangsreglur endapunktsins.
Veljið úr þeim aðferðum sem endapunkturinn styður
AWS Client VPN tekur við gagnkvæmri auðkenningu á grundvelli skírteinis, auðkenningu með Active Directory og sambandsauðkenningu á grundvelli SAML. Þjónustuskírteini er nauðsynlegt óháð því hvaða biðlaraaðferð þið veljið, og stilling sem sameinar aðferðir krefst þess að báðar takist, ekki önnur.
| Client method | What the user presents | Where the work sits |
|---|---|---|
| Mutual certificate | A client certificate the endpoint trusts | Certificate authority, issuing and revoking per user |
| Active Directory | Domain credentials | Directory reachable from the endpoint's VPC |
| SAML federation | An assertion from an identity provider | IdP application, attribute mapping, client support |
Skírteini eru ódýrust í uppsetningu og auðveldast að gera rangt í stórum stíl, því hver notandi þarf skilríki og hver brottför krefst afturköllunar. Auðkenning með skrá flytur þennan lífsferil yfir í núverandi kerfi. Samband flytur hann til auðkennisveitanda og bætir vafraskrefi við biðlarann.
Lesið stillingu endapunktsins sjálfs áður en þið kembið biðlarann. Ef gagnkvæm auðkenning er virk við hlið notendamiðaðrar aðferðar mun biðlari með gilt skírteini en engan skrárreikning samt mistakast, og villan lítur yfirleitt út eins og almenn handabandsvandamál.
Samband er ekki miðlun aðgangslykla
SAML-uppsetning setur hvorki IAM-aðgangslykla né tákn fyrir yfirtekið hlutverk inn í göngin. Auðkennisveitandinn auðkennir manneskjuna, skilar yfirlýsingu og endapunkturinn tekur við henni innan þess trausts sem þið stilltuð. Lotan sem verður til er VPN-lota, ekki AWS API-lota.
Þessi greinarmunur ræður því hver getur greint hvað. IdP-vandamál birtast sem vafra- eða biðlaravilla áður en nokkur göng eru til, en gönguvandamál birtast eftir árangursríka yfirlýsingu. Spurjið hvorra tveggja þið eruð að horfa á áður en þið opnið hvort stjórnborðið sem er.
Eftir innskráningu ráða leiðir og heimild enn
Auðkenning gefur lotu vistfang; hún gefur lotunni ekki áfangastað. Leiðir endapunktsins segja biðlaranum hvaða undirnet á að senda til, heimildarreglur ráða því hvaða notendur komast í hvaða af þessum undirnetum, og öryggishópar ásamt eigin heimildum marksins ráða restinni.
Þess vegna getur notandi sem auðkenist með góðum árangri samt mistekist að ná í gagnagrunn. Athugið tengingu leiðatöflunnar við undirnetið, heimildarregluna fyrir hóp notandans og öryggishópinn á markinu í þessari röð, því hvert þeirra myndar aðra tegund tímamarka.
Fyrir einn einkagagnagrunn, berið saman við tengiflutning
Ef raunverulega verkefnið er ein samþykkt tenging við einn einkagagnagrunn er fullt netgöng val en ekki krafa. AWS Systems Manager Session Manager getur opnað tengiflutningslotu að stýrðum hnút í gegnum IAM, og sá hnútur nær í gagnagrunninn á einkanetinu. Notandinn fær aldrei VPC-vistfang. Stýrði hnúturinn verður eini vistþjónninn sem kemst að gagnagrunnsportinu, sem er yfirleitt það sem öryggisúttektin bað um. Notendur þurfa þá staðbundinn biðlara og lotuskipun í stað VPN-sniðs.
Skiptin eru umfang gegn forsendum. Tengiflutningur krefst SSM-umboðsmanns á stýrða hnútnum, netaðgengis frá þeim hnút að gagnagrunninum, Session Manager-viðbótarinnar á vél notandans og heimildar til að hefja þá tilteknu lotu. Þetta er ekki leið inn í hvert undirnet og flytur ekki handahófskennd samskiptareglur eins og göng gera.
Haldið auðkenni gagnagrunnsins sjálfs á sínum stað í öllum tilvikum. TLS-staðfesting og auðkenning gagnagrunnsins hverfa ekki vegna þess að leiðin var heimiluð af IAM, og samþykkt lota segir ekkert um hvaða töflur notandinn má lesa.
Veljið eftir umfangi og lífsferli: göng þegar margir notendur þurfa marga áfangastaði og þið getið rekið lífsferil skírteina eða skrár, flutningslotu þegar handfylli fólks þarf eina þjónustu og þið viljið frekar ekki dreifa netvistföngum. Í öllum tilvikum skráið auðkenningaraðferðina, heimildarregluna og innskráningu í gagnagrunninn sem þrjár aðskildar staðreyndir, því þær mistakast hver fyrir sig.