AWS Client VPN SAML og Google Workspace: gaflið í endurkallinu

Síðan app_not_configured_for_user kemur frá Google Workspace og birtist áður en einu göngupakka er samið um. Þessi röð er öll greiningin. Enduruppsetning biðlarans, breyting á sniðinu eða athugun á leiðum getur ekki hreinsað síðu sem VPN-endapunkturinn hefur ekki séð enn. Skrefið sem bregst er afhending í vafranum milli auðkennisveitandans og hlustanda á vél notandans sjálfs, og í þeirri afhendingu eru nákvæmlega þrír hlutir sem vert er að skoða.

Lestu síðuna sem yfirlýsingu auðkennisveitandans

Google skilar þessu þegar SAML-forritið er ekki virkt fyrir reikninginn sem skráði sig inn. Forritið gæti verið slökkt, notandinn gæti verið utan úthlutaðrar skipulagsheildar eða hóps, eða stillingar þjónustuveitandans passa ef til vill ekki við það sem beiðnin krafðist.

Ekkert af þessu er vandamál með skírteini, leið eða göngum, þótt notandinn hafi tekið eftir því í VPN-biðlaranum.

Gildin tvö sem biðlarinn samþykkir

AWS Client VPN framkvæmir SAML-skipti sem þjónustuveitandinn hefur frumkvæði að, svo biðlarinn opnar vafra, notandinn auðkennir sig og veitandinn sendir undirritaða fullyrðingu til baka á Assertion Consumer Service-slóð. Fyrir skrifborðsbiðlarann sem AWS útvegar er sú slóð hlustandi á loopback, venjulega port 35001, og vænt áhorfendahópur er auðkenni einingar Client VPN SAML-forritsins, ekki eining innskráningar í AWS-stjórnborðið.

Bæði gildin verða að passa við það sem biðlarinn væntir: hvert fullyrðingin er send og hverjum hún er beint til. Stillingar sem afritaðar eru úr SSO-forriti í stjórnborðinu geta virst fullkomlega trúverðugar og samt miða á ranga parið.

Taktu bæði gildin úr Client VPN SAML-kröfunum, ekki úr almennri AWS-leiðbeiningu um eitt innskráning. SSO-eining stjórnborðsins lítur nógu svipað út til að vera freistandi. Það er annað forrit með annan áhorfendahóp, og biðlarinn hafnar fullyrðingunni án að útskýra sig. Afritaðu parið einu sinni og geymdu það við hlið sniðsins.

Google samþykkir ekki venjulega HTTP-endurkallið

Stjórnborð kerfisstjóra krefst HTTPS ACS-slóðar, og endurkall biðlarans er venjulegt HTTP á loopback. Það gildi er alls ekki hægt að slá inn í stillingar Workspace-forritsins, og þess vegna prófa sum teymi öfugt staðgengil sem lýkur TLS og sendir áfram til staðbundins hlustanda. Það lagar ekki misræmið: vafrinn sér eitt upprunans, biðlarinn auglýsir annað, og svarinu sem kemur til baka getur lent á röngum áfangastað.

Fyrirkomulagið sem virkar er milliliðar-auðkennisveitandi. SAML-forritið hjá milliliðnum fær loopback-endurkallið og AWS-áhorfendahópinn, og milliliðurinn sambætir Workspace-reikningnum upp á við. HTTPS-regla Google er áfram uppfyllt, og fullyrðingin sem berst biðlaranum nefnir enn það heimilisfang og þann áhorfendahóp sem hann væntir.

Sá milliliður er stjórnsýsluleg ósjálfstæði sem einhver verður að eiga, fylgjast með og hafa með í útskráningu. Hann er líka annar staðurinn þar sem bilun verður innskráningarbilun. Verðleggðu hann áður en þú lofar hönnuninni. Ef enginn vill eiga hann, er heiðarlegt svar að AWS-biðlarinn geti ekki notað Workspace sem eina auðkennisveitanda sinn.

Úthlutun og tveggja þrepa sannvottun

Áður en þú hannar neitt upp á nýtt, staðfestu að forritið sé virkt fyrir rétta skipulagsheild eða hóp, og að SAML-forrit þriðja aðila hafi sína eigin úthlutunarstýringu, aðskilda frá forritalistanum á Google-hliðinni.

Athugaðu líka hvort tveggja þrepa sannvottun sé virk á reikningnum. Google getur krafist hennar áður en SAML-forrit verður nothæft fyrir notanda, og einu svari í upprunalega þræðinum var svarað einmitt þannig. Það er ódýrasta atriðið að útiloka og pirrandi að uppgötva síðast.

Sannprófaðu með hreinni lotu

Eftir hverja breytingu skaltu prófa með nýju vafrasniði og hreinum biðlarastillingum. Skyggðar fullyrðingar og endurnýttar lotur fela hvort viðgerðin skilaði sér.

Berðu síðan saman tvær færslur hlið við hlið: endurskoðunaratburð auðkennisveitandans og annál biðlarans. Árangursrík innskráning án ganga vísar aftur á endurkallið eða áhorfendahópinn. Tengd göng með óaðgengilega auðlind er leiðar- eða heimildarvandamál og á heima allt annars staðar.

Hvað á ekki að breyta

Fjarlægðu ekki auth-federate úr sniðinu og slökktu ekki á skírteinisathugunum til að komast fram hjá síðunni. Bæði breyta hönnun auðkenningarinnar frekar en endurkallinu sem bregst, og bæði brotna venjulega við næstu biðlarauppfærslu.

Lagaðu frekar afhendinguna, og skildu eftir athugasemd sem nefnir milliliðinn, áhorfendahópinn og loopback-portið. Næsta manneskja sem sér síðuna mun þurfa öll þrjú.