AWS Client VPN аутентификациясы: IAM рұқсаттары кіру әдісі емес
Консоль рұқсаттары туннельді аутентификацияламайды. Сертификат, AD және SAML әдістерін салыстырып, SSM портын бағыттау бір жеке дерекқорға қашан сәйкес келетінін қараңыз.
Пайдаланушыға AWS Client VPN соңғы нүктесін жасауға немесе сипаттауға рұқсат беру оған қосылуға мүмкіндік бермейді. Бұл екі түрлі сәйкестік түрі: IAM AWS API шақыруларын басқарады, ал соңғы нүкте тек өзінде конфигурацияланған клиент аутентификациясы әдістерін қабылдайды. Сондықтан пайдаланушының кең консоль құқықтары болуы мүмкін, бірақ VPN клиенті ұсына алатын ештеңесі болмауы мүмкін. Соңғы нүкте қай әдіске сенетінін анықтаңыз, содан кейін беріп отырған қатынасыңыз үшін толық туннель дұрыс пішін бе, соны шешіңіз.
API сәйкестігі туннель сәйкестігі емес
Біреу «IAM рөлі тіркелген, сонда неге VPN әлі де сәтсіз болады» дегенде, жауап әдетте қосылу ағынының ешбір қадамы бұл рөлді оқымайтынында. Клиент сертификатты, AD пайдаланушы аты мен құпиясөзін немесе SAML дәлелін ұсынады. Соңғы нүкте солардың біреуін тексереді де, кейін мекенжай тағайындайды.
IAM әлі де маңызды, тек кейінірек және басқа жерде: соңғы нүктені жасау, ішкі желілерді қосу, маршруттарды жариялау және авторизация ережелерін жазу API әрекеттері. Бұл рұқсаттарды оларға мұқтаж операторлармен шектеп ұстаңыз, әр пайдаланушыға соңғы нүктенің қатынау ережелерін қайта жазу мүмкіндігін берудің орнына.
Соңғы нүкте қолдайтын әдістердің ішінен таңдаңыз
AWS Client VPN сертификатқа негізделген өзара аутентификацияны, Active Directory аутентификациясын және SAML негізіндегі федеративті аутентификацияны қабылдайды. Қай клиент әдісін таңдасаңыз да сервер сертификаты қажет, ал әдістерді біріктіретін конфигурация екеуінің де сәтті болуын талап етеді, біреуінің ғана емес.
| Client method | What the user presents | Where the work sits |
|---|---|---|
| Mutual certificate | A client certificate the endpoint trusts | Certificate authority, issuing and revoking per user |
| Active Directory | Domain credentials | Directory reachable from the endpoint's VPC |
| SAML federation | An assertion from an identity provider | IdP application, attribute mapping, client support |
Сертификаттарды орнату ең арзан және ауқымда қателесу ең оңай, өйткені әр пайдаланушыға тіркелгі деректері қажет және әр кету кері қайтарып алуды талап етеді. Каталог аутентификациясы бұл өмірлік циклді бар жүйеге көшіреді. Федерация оны сәйкестік провайдеріне көшіріп, клиентке браузер қадамын қосады.
Клиентті жөндеуге кіріспес бұрын соңғы нүктенің өз конфигурациясын оқыңыз. Егер өзара аутентификация пайдаланушыға негізделген әдіспен қатар қосылған болса, жарамды сертификаты бар, бірақ каталог тіркелгісі жоқ клиент бәрібір сәтсіз болады, және қате әдетте жалпы қол алысу мәселесіне ұқсайды.
Федерация қатынау кілттерін беру емес
SAML конфигурациясы туннельге IAM қатынау кілттерін немесе қабылданған рөл токенін енгізбейді. Сәйкестік провайдері адамды аутентификациялайды, дәлел қайтарады, ал соңғы нүкте оны сіз конфигурациялаған сенім шеңберінде қабылдайды. Нәтижесіндегі сессия — VPN сессиясы, AWS API сессиясы емес.
Бұл айырмашылық кімнің нені диагностикалай алатынын шешеді. IdP мәселелері кез келген туннель пайда болмай тұрып браузер немесе клиент қатесі ретінде көрінеді, ал туннель мәселелері сәтті дәлелден кейін көрінеді. Екі консольдің қайсысын ашпас бұрын осы екеуінің қайсын көріп отырғаныңызды сұраңыз.
Кіргеннен кейін маршруттар мен авторизация әлі де шешеді
Аутентификация сессияға мекенжай береді; ол сессияға меже бермейді. Соңғы нүктенің маршруттары клиентке қай ішкі желілерге жіберу керегін айтады, авторизация ережелері қай пайдаланушылар сол ішкі желілердің қайсысына жете алатынын шешеді, ал қауіпсіздік топтары мен нысанның өз рұқсаттары қалғанын шешеді.
Сондықтан сәтті аутентификацияланған пайдаланушы дерекқорға жете алмауы мүмкін. Ішкі желі үшін маршрут кестесінің байланысын, пайдаланушы тобының авторизация ережесін және нысандағы қауіпсіздік тобын осы ретпен тексеріңіз, өйткені олардың әрқайсысы таймауттың басқа түрін тудырады.
Бір жеке дерекқор үшін портты бағыттаумен салыстырыңыз
Егер нақты міндет бір жеке дерекқорға бір мақұлданған қосылу болса, толық желілік туннель — талап емес, таңдау. AWS Systems Manager Session Manager IAM арқылы басқарылатын түйінге портты бағыттау сессиясын аша алады, және сол түйін жеке желідегі дерекқорға жетеді. Пайдаланушы ешқашан VPC мекенжайын алмайды. Басқарылатын түйін дерекқор портына жете алатын жалғыз хост болады, және әдетте бұл қауіпсіздік шолуы талап еткен нәрсе. Содан кейін пайдаланушыларға VPN профилінің орнына жергілікті клиент пен сессия пәрмені қажет.
Айырбас — ауқым мен алғышарттар. Портты бағыттау басқарылатын түйінде SSM агентін, сол түйіннен дерекқорға желілік қолжетімділікті, пайдаланушының машинасында Session Manager плагинін және дәл сол сессияны бастауға рұқсатты талап етеді. Бұл әр ішкі желіге кіретін маршрут емес және туннель сияқты еркін протоколдарды тасымалдамайды.
Қандай жағдайда да дерекқордың өз сәйкестігін орнында қалдырыңыз. Жол IAM арқылы авторизацияланғаны үшін TLS тексеруі мен дерекқор аутентификациясы жоғалмайды, ал мақұлданған сессия пайдаланушы қандай кестелерді оқи алатыны туралы ештеңе айтпайды.
Ауқым мен өмірлік цикл бойынша таңдаңыз: көп пайдаланушыға көп меже қажет болса және сертификат немесе каталог өмірлік циклін жүргізе алсаңыз — туннель; бірнеше адамға бір қызмет қажет болса және желілік мекенжайларды таратқыңыз келмесе — бағыттау сессиясы. Қандай жағдайда да аутентификация әдісін, авторизация ережесін және дерекқорға кіруді үш бөлек факт ретінде жазып қойыңыз, өйткені олар бөлек сәтсіз болады.