AWS Client VPN SAML және Google Workspace: кері шақыру алшақтығы

app_not_configured_for_user беті Google Workspace-тен келеді және туннельдің бірде-бір пакеті келісілмей тұрып пайда болады. Осы реттілік — бүкіл диагностика. Клиентті қайта орнату, профильді өңдеу немесе маршруттарды тексеру VPN соңғы нүктесі әлі көрмеген бетті тазалай алмайды. Сәтсіз қадам — браузердегі идентификация провайдері мен пайдаланушының өз машинасындағы тыңдаушы арасындағы тапсыру, және сол тапсыруда тексеруге тұрарлық дәл үш нәрсе бар.

Бетті идентификация провайдерінің мәлімдемесі ретінде оқыңыз

Google мұны кірген тіркелгі үшін SAML қолданбасы қосылмаған кезде қайтарады. Қолданба өшірулі болуы мүмкін, пайдаланушы тағайындалған ұйымдық бірліктен немесе топтан тыс болуы мүмкін, немесе қызмет провайдерінің параметрлері сұраныс талап еткенге сай болмауы мүмкін.

Олардың ешқайсысы сертификат, маршрут немесе туннель мәселесі емес, бірақ пайдаланушы мұны VPN клиентінде байқаған.

Клиент қабылдайтын екі мән

AWS Client VPN қызмет провайдері бастаған SAML алмасуын жүргізеді, сондықтан клиент браузер ашады, пайдаланушы өзін растайды, ал провайдер қол қойылған тұжырымды Assertion Consumer Service URL-іне қайта жібереді. AWS ұсынған жұмыс үстелі клиенті үшін бұл URL — loopback-тегі тыңдаушы, әдетте 35001 порты, ал күтілетін аудитория — Client VPN SAML қолданбасының субъектілік идентификаторы, AWS консолінің кіру субъектісі емес.

Екі мән де клиент күткенге сай болуы керек: тұжырым қайда жіберіледі және кімге арналған. Консольдің SSO қолданбасынан көшірілген конфигурация толық сенімді көрініп, бәрібір қате жұпты нысана етуі мүмкін.

Екі мәнді де Client VPN SAML талаптарынан алыңыз, AWS-тің жалпы бір реттік кіру нұсқаулығынан емес. Консольдің SSO субъектісі азғырарлықтай ұқсас көрінеді. Ол басқа аудиториясы бар басқа қолданба, және клиент тұжырымды өзін түсіндірмей қабылдамайды. Жұпты бір рет көшіріп, профильдің жанында сақтаңыз.

Google қарапайым HTTP кері шақыруды қабылдамайды

Әкімшілік консол HTTPS ACS URL-ін талап етеді, ал клиенттің кері шақыруы loopback-тегі қарапайым HTTP. Бұл мәнді Workspace қолданбасының конфигурациясына мүлдем енгізуге болмайды, сондықтан кейбір топтар TLS-ті аяқтайтын және жергілікті тыңдаушыға жіберетін кері проксиді сынап көреді. Бұл сәйкессіздікті түзетпейді: браузер бір шығу көзін көреді, клиент екіншісін жариялайды, ал қайтарылған жауап қате межеге жетуі мүмкін.

Жұмыс істейтін шешім — делдал идентификация провайдері. Делдалдағы SAML қолданбасы loopback кері шақыруын және AWS аудиториясын алады, ал делдал Workspace тіркелгісін жоғары федерацияға қосады. Google-дың HTTPS ережесі сақталған күйде қалады, және клиентке жеткен тұжырым әлі де күтілетін мекенжай мен аудиторияны атайды.

Бұл делдал — біреу иеленуі, бақылауы және қызметтен шығаруға қосуы тиіс әкімшілік тәуелділік. Ол сондай-ақ үзіліс кіру сәтсіздігіне айналатын екінші орын. Дизайнды уәде етпес бұрын оны бағалаңыз. Егер оны ешкім иеленбесе, шынайы жауап — AWS клиенті Workspace-ті өзінің жалғыз идентификация провайдері ретінде пайдалана алмайды.

Тағайындау және екі қадамды растау

Бірдеңені қайта жобаламас бұрын қолданбаның дұрыс ұйымдық бірлік немесе топ үшін қосылғанын және үшінші тараптың SAML қолданбаларында Google жағындағы қолданбалар тізімінен бөлек өз тағайындау бақылауы бар екенін растаңыз.

Сондай-ақ тіркелгіде екі қадамды растаудың қосылғанын тексеріңіз. Google оны SAML қолданбасы пайдаланушыға қолжетімді болмас бұрын талап етуі мүмкін, және бастапқы ағымдағы бір жауап дәл осылай шешілді. Оны болдырмау ең арзан, ал соңында анықтау ең жалықтырарлық.

Таза сессиямен тексеріңіз

Кез келген өзгерістен кейін жаңа браузер профилімен және таза клиент конфигурациясымен сынаңыз. Кэштелген тұжырымдар мен қайта пайдаланылған сессиялар түзетудің жеткенін жасырады.

Содан кейін екі жазбаны қатар салыстырыңыз: идентификация провайдерінің аудит оқиғасы және клиент журналы. Туннельсіз сәтті кіру кері шақыруға немесе аудиторияға сілтейді. Қосылған туннель, бірақ қолжетімсіз ресурс — маршруттау немесе авторизация мәселесі және мүлдем басқа жерге жатады.

Нені өзгертпеу керек

Бетті айналып өту үшін профильден auth-federate белгісін алып тастамаңыз және сертификат тексерулерін өшірмеңіз. Екеуі де сәтсіз кері шақыруды емес, аутентификация дизайнын өзгертеді, және екеуі де әдетте келесі клиент жаңартуында бұзылады.

Оның орнына тапсыруды түзетіңіз және делдалды, аудиторияны және loopback портын атайтын жазба қалдырыңыз. Бетті көретін келесі адамға үшеуі де қажет болады.