AWS Client VPN ದೃಢೀಕರಣ: IAM ಅನುಮತಿಗಳು ಲಾಗಿನ್ ವಿಧಾನವಲ್ಲ
ಕನ್ಸೋಲ್ ಅನುಮತಿಗಳು ಟನೆಲ್ ಅನ್ನು ದೃಢೀಕರಿಸುವುದಿಲ್ಲ. ಪ್ರಮಾಣಪತ್ರ, AD ಮತ್ತು SAML ವಿಧಾನಗಳನ್ನು ಹೋಲಿಸಿ, ನಂತರ SSM ಪೋರ್ಟ್ ಫಾರ್ವರ್ಡಿಂಗ್ ಒಂದು ಖಾಸಗಿ ಡೇಟಾಬೇಸ್‌ಗೆ ಯಾವಾಗ ಸರಿಹೊಂದುತ್ತದೆ ಎಂದು ನೋಡಿ.
ಬಳಕೆದಾರರಿಗೆ AWS Client VPN ಎಂಡ್‌ಪಾಯಿಂಟ್ ರಚಿಸಲು ಅಥವಾ ವಿವರಿಸಲು ಅನುಮತಿ ನೀಡುವುದು ಆ ಬಳಕೆದಾರರಿಗೆ ಅದಕ್ಕೆ ಸಂಪರ್ಕಿಸಲು ಅವಕಾಶ ನೀಡುವುದಿಲ್ಲ. ಇವು ಎರಡು ಬೇರೆ ಬೇರೆ ರೀತಿಯ ಗುರುತುಗಳು: IAM AWS API ಕರೆಗಳನ್ನು ನಿಯಂತ್ರಿಸುತ್ತದೆ, ಮತ್ತು ಎಂಡ್‌ಪಾಯಿಂಟ್ ಅದರ ಮೇಲೆ ಸಂರಚಿಸಲಾದ ಕ್ಲೈಂಟ್ ದೃಢೀಕರಣ ವಿಧಾನಗಳನ್ನು ಮಾತ್ರ ಸ್ವೀಕರಿಸುತ್ತದೆ. ಹೀಗಾಗಿ ಬಳಕೆದಾರರಿಗೆ ವಿಶಾಲ ಕನ್ಸೋಲ್ ಹಕ್ಕುಗಳಿದ್ದರೂ VPN ಕ್ಲೈಂಟ್ ಮಂಡಿಸಬಹುದಾದ ಯಾವುದೂ ಇಲ್ಲದಿರಬಹುದು. ಎಂಡ್‌ಪಾಯಿಂಟ್ ಯಾವ ವಿಧಾನವನ್ನು ನಂಬುತ್ತದೆ ಎಂಬುದನ್ನು ನಿರ್ಧರಿಸಿ, ನಂತರ ನೀವು ನೀಡುತ್ತಿರುವ ಪ್ರವೇಶಕ್ಕೆ ಪೂರ್ಣ ಟನೆಲ್ ಸರಿಯಾದ ಆಕಾರವೇ ಎಂದು ನಿರ್ಧರಿಸಿ.
API ಗುರುತು ಟನೆಲ್ ಗುರುತಲ್ಲ
ಯಾರಾದರೂ «IAM ಪಾತ್ರ ಲಗತ್ತಿಸಲಾಗಿದೆ, ಹಾಗಿದ್ದರೂ VPN ಏಕೆ ವಿಫಲವಾಗುತ್ತದೆ» ಎಂದು ಹೇಳಿದಾಗ, ಉತ್ತರ ಸಾಮಾನ್ಯವಾಗಿ ಸಂಪರ್ಕ ಹರಿವಿನ ಯಾವುದೇ ಹಂತವೂ ಆ ಪಾತ್ರವನ್ನು ಓದುವುದಿಲ್ಲ ಎಂಬುದು. ಕ್ಲೈಂಟ್ ಪ್ರಮಾಣಪತ್ರ, AD ಬಳಕೆದಾರಹೆಸರು ಮತ್ತು ಗುಪ್ತಪದ, ಅಥವಾ SAML ಪ್ರತಿಪಾದನೆಯನ್ನು ಮಂಡಿಸುತ್ತದೆ. ಎಂಡ್‌ಪಾಯಿಂಟ್ ಅವುಗಳಲ್ಲಿ ಒಂದನ್ನು ಮಾನ್ಯಗೊಳಿಸಿ ನಂತರ ವಿಳಾಸವನ್ನು ನಿಗದಿಪಡಿಸುತ್ತದೆ.
IAM ಇನ್ನೂ ಮುಖ್ಯ, ಆದರೆ ನಂತರ ಮತ್ತು ಬೇರೆಡೆ: ಎಂಡ್‌ಪಾಯಿಂಟ್ ರಚಿಸುವುದು, ಉಪಜಾಲಗಳನ್ನು ಸಂಯೋಜಿಸುವುದು, ಮಾರ್ಗಗಳನ್ನು ಪ್ರಕಟಿಸುವುದು ಮತ್ತು ಅನುಮೋದನೆ ನಿಯಮಗಳನ್ನು ಬರೆಯುವುದು API ಕ್ರಿಯೆಗಳು. ಆ ಅನುಮತಿಗಳನ್ನು ಅವು ಬೇಕಾದ ನಿರ್ವಾಹಕರಿಗೆ ಸೀಮಿತಗೊಳಿಸಿ, ಪ್ರತಿ ಬಳಕೆದಾರರಿಗೂ ಎಂಡ್‌ಪಾಯಿಂಟ್‌ನ ಪ್ರವೇಶ ನಿಯಮಗಳನ್ನು ಮರುಬರೆಯುವ ಸಾಮರ್ಥ್ಯ ನೀಡುವ ಬದಲು.
ಎಂಡ್‌ಪಾಯಿಂಟ್ ಬೆಂಬಲಿಸುವ ವಿಧಾನಗಳಿಂದ ಆಯ್ಕೆಮಾಡಿ
AWS Client VPN ಪ್ರಮಾಣಪತ್ರ ಆಧಾರಿತ ಪರಸ್ಪರ ದೃಢೀಕರಣ, Active Directory ದೃಢೀಕರಣ ಮತ್ತು SAML ಆಧಾರಿತ ಒಕ್ಕೂಟ ದೃಢೀಕರಣವನ್ನು ಸ್ವೀಕರಿಸುತ್ತದೆ. ನೀವು ಆಯ್ಕೆಮಾಡುವ ಕ್ಲೈಂಟ್ ವಿಧಾನ ಯಾವುದೇ ಇರಲಿ ಸರ್ವರ್ ಪ್ರಮಾಣಪತ್ರ ಅಗತ್ಯ, ಮತ್ತು ವಿಧಾನಗಳನ್ನು ಸಂಯೋಜಿಸುವ ಸಂರಚನೆಗೆ ಎರಡೂ ಯಶಸ್ವಿಯಾಗಬೇಕು, ಒಂದಲ್ಲ.
| Client method | What the user presents | Where the work sits |
|---|---|---|
| Mutual certificate | A client certificate the endpoint trusts | Certificate authority, issuing and revoking per user |
| Active Directory | Domain credentials | Directory reachable from the endpoint's VPC |
| SAML federation | An assertion from an identity provider | IdP application, attribute mapping, client support |
ಪ್ರಮಾಣಪತ್ರಗಳು ಸ್ಥಾಪಿಸಲು ಅಗ್ಗವಾದವು ಮತ್ತು ದೊಡ್ಡ ಪ್ರಮಾಣದಲ್ಲಿ ತಪ್ಪಾಗಲು ಸುಲಭವಾದವು, ಏಕೆಂದರೆ ಪ್ರತಿ ಬಳಕೆದಾರರಿಗೂ ರುಜುವಾತು ಬೇಕು ಮತ್ತು ಪ್ರತಿ ನಿರ್ಗಮನಕ್ಕೂ ರದ್ದತಿ ಬೇಕು. ಡೈರೆಕ್ಟರಿ ದೃಢೀಕರಣ ಆ ಜೀವನಚಕ್ರವನ್ನು ಇರುವ ವ್ಯವಸ್ಥೆಗೆ ವರ್ಗಾಯಿಸುತ್ತದೆ. ಒಕ್ಕೂಟ ಅದನ್ನು ಗುರುತು ಪೂರೈಕೆದಾರರಿಗೆ ವರ್ಗಾಯಿಸಿ ಕ್ಲೈಂಟ್‌ಗೆ ಬ್ರೌಸರ್ ಹಂತವನ್ನು ಸೇರಿಸುತ್ತದೆ.
ಕ್ಲೈಂಟ್ ಅನ್ನು ಡೀಬಗ್ ಮಾಡುವ ಮೊದಲು ಎಂಡ್‌ಪಾಯಿಂಟ್‌ನ ಸ್ವಂತ ಸಂರಚನೆಯನ್ನು ಓದಿ. ಬಳಕೆದಾರ ಆಧಾರಿತ ವಿಧಾನದ ಜೊತೆಗೆ ಪರಸ್ಪರ ದೃಢೀಕರಣ ಸಕ್ರಿಯವಾಗಿದ್ದರೆ, ಮಾನ್ಯ ಪ್ರಮಾಣಪತ್ರವಿದ್ದರೂ ಡೈರೆಕ್ಟರಿ ಖಾತೆ ಇಲ್ಲದ ಕ್ಲೈಂಟ್ ವಿಫಲವಾಗುತ್ತದೆ, ಮತ್ತು ದೋಷ ಸಾಮಾನ್ಯವಾಗಿ ಸಾಮಾನ್ಯ ಹ್ಯಾಂಡ್‌ಶೇಕ್ ಸಮಸ್ಯೆಯಂತೆ ಕಾಣುತ್ತದೆ.
ಒಕ್ಕೂಟವು ಪ್ರವೇಶ ಕೀಗಳನ್ನು ರವಾನಿಸುವುದಲ್ಲ
SAML ಸಂರಚನೆ IAM ಪ್ರವೇಶ ಕೀಗಳನ್ನು ಅಥವಾ ಊಹಿಸಿದ ಪಾತ್ರದ ಟೋಕನ್ ಅನ್ನು ಟನೆಲ್‌ಗೆ ಸೇರಿಸುವುದಿಲ್ಲ. ಗುರುತು ಪೂರೈಕೆದಾರರು ವ್ಯಕ್ತಿಯನ್ನು ದೃಢೀಕರಿಸಿ ಪ್ರತಿಪಾದನೆಯನ್ನು ಹಿಂತಿರುಗಿಸುತ್ತಾರೆ, ಮತ್ತು ಎಂಡ್‌ಪಾಯಿಂಟ್ ನೀವು ಸಂರಚಿಸಿದ ವಿಶ್ವಾಸದ ಅಡಿಯಲ್ಲಿ ಅದನ್ನು ಸ್ವೀಕರಿಸುತ್ತದೆ. ಫಲಿತಾಂಶದ ಅಧಿವೇಶನ VPN ಅಧಿವೇಶನ, AWS API ಅಧಿವೇಶನವಲ್ಲ.
ಆ ವ್ಯತ್ಯಾಸವು ಯಾರು ಏನನ್ನು ವಿಶ್ಲೇಷಿಸಬಹುದು ಎಂಬುದನ್ನು ನಿರ್ಧರಿಸುತ್ತದೆ. IdP ಸಮಸ್ಯೆಗಳು ಯಾವುದೇ ಟನೆಲ್ ಇರುವ ಮೊದಲೇ ಬ್ರೌಸರ್ ಅಥವಾ ಕ್ಲೈಂಟ್ ದೋಷವಾಗಿ ಕಾಣಿಸುತ್ತವೆ, ಆದರೆ ಟನೆಲ್ ಸಮಸ್ಯೆಗಳು ಯಶಸ್ವಿ ಪ್ರತಿಪಾದನೆಯ ನಂತರ ಕಾಣಿಸುತ್ತವೆ. ಯಾವುದೇ ಕನ್ಸೋಲ್ ತೆರೆಯುವ ಮೊದಲು ಈ ಎರಡರಲ್ಲಿ ಯಾವುದನ್ನು ನೋಡುತ್ತಿದ್ದೀರಿ ಎಂದು ಕೇಳಿ.
ಲಾಗಿನ್ ನಂತರವೂ ಮಾರ್ಗಗಳು ಮತ್ತು ಅನುಮೋದನೆ ನಿರ್ಧರಿಸುತ್ತವೆ
ದೃಢೀಕರಣವು ಅಧಿವೇಶನಕ್ಕೆ ವಿಳಾಸ ನೀಡುತ್ತದೆ; ಅದು ಅಧಿವೇಶನಕ್ಕೆ ಗಮ್ಯಸ್ಥಾನ ನೀಡುವುದಿಲ್ಲ. ಎಂಡ್‌ಪಾಯಿಂಟ್ ಮಾರ್ಗಗಳು ಯಾವ ಉಪಜಾಲಗಳಿಗೆ ಕಳುಹಿಸಬೇಕೆಂದು ಕ್ಲೈಂಟ್‌ಗೆ ತಿಳಿಸುತ್ತವೆ, ಅನುಮೋದನೆ ನಿಯಮಗಳು ಯಾವ ಬಳಕೆದಾರರು ಆ ಉಪಜಾಲಗಳಲ್ಲಿ ಯಾವುದನ್ನು ತಲುಪಬಹುದು ಎಂದು ನಿರ್ಧರಿಸುತ್ತವೆ, ಮತ್ತು ಭದ್ರತಾ ಗುಂಪುಗಳು ಹಾಗೂ ಗುರಿಯ ಸ್ವಂತ ಅನುಮತಿಗಳು ಉಳಿದದ್ದನ್ನು ನಿರ್ಧರಿಸುತ್ತವೆ.
ಅದಕ್ಕಾಗಿಯೇ ಯಶಸ್ವಿಯಾಗಿ ದೃಢೀಕರಿಸಿದ ಬಳಕೆದಾರರೂ ಡೇಟಾಬೇಸ್ ತಲುಪಲು ವಿಫಲವಾಗಬಹುದು. ಉಪಜಾಲದ ಮಾರ್ಗ ಕೋಷ್ಟಕ ಸಂಯೋಜನೆ, ಬಳಕೆದಾರರ ಗುಂಪಿನ ಅನುಮೋದನೆ ನಿಯಮ ಮತ್ತು ಗುರಿಯ ಮೇಲಿನ ಭದ್ರತಾ ಗುಂಪನ್ನು ಈ ಕ್ರಮದಲ್ಲಿ ಪರಿಶೀಲಿಸಿ, ಏಕೆಂದರೆ ಪ್ರತಿಯೊಂದೂ ಬೇರೆ ರೀತಿಯ ಸಮಯ ಮೀರುವಿಕೆ ಉಂಟುಮಾಡುತ್ತದೆ.
ಒಂದು ಖಾಸಗಿ ಡೇಟಾಬೇಸ್‌ಗಾಗಿ, ಪೋರ್ಟ್ ಫಾರ್ವರ್ಡಿಂಗ್‌ನೊಂದಿಗೆ ಹೋಲಿಸಿ
ನಿಜವಾದ ಕೆಲಸವು ಒಂದು ಖಾಸಗಿ ಡೇಟಾಬೇಸ್‌ಗೆ ಒಂದು ಅನುಮೋದಿತ ಸಂಪರ್ಕವಾಗಿದ್ದರೆ, ಪೂರ್ಣ ಜಾಲ ಟನೆಲ್ ಅವಶ್ಯಕತೆಯಲ್ಲ, ಆಯ್ಕೆ. AWS Systems Manager Session Manager IAM ಮೂಲಕ ನಿರ್ವಹಿತ ನೋಡ್‌ಗೆ ಪೋರ್ಟ್ ಫಾರ್ವರ್ಡಿಂಗ್ ಅಧಿವೇಶನ ತೆರೆಯಬಹುದು, ಮತ್ತು ಆ ನೋಡ್ ಖಾಸಗಿ ಜಾಲದಲ್ಲಿ ಡೇಟಾಬೇಸ್ ತಲುಪುತ್ತದೆ. ಬಳಕೆದಾರರಿಗೆ ಎಂದಿಗೂ VPC ವಿಳಾಸ ಸಿಗುವುದಿಲ್ಲ. ನಿರ್ವಹಿತ ನೋಡ್ ಡೇಟಾಬೇಸ್ ಪೋರ್ಟ್ ತಲುಪಬಲ್ಲ ಏಕೈಕ ಹೋಸ್ಟ್ ಆಗುತ್ತದೆ, ಮತ್ತು ಭದ್ರತಾ ಪರಿಶೀಲನೆ ಸಾಮಾನ್ಯವಾಗಿ ಅದನ್ನೇ ಕೇಳಿತ್ತು. ನಂತರ ಬಳಕೆದಾರರಿಗೆ VPN ಪ್ರೊಫೈಲ್ ಬದಲು ಸ್ಥಳೀಯ ಕ್ಲೈಂಟ್ ಮತ್ತು ಅಧಿವೇಶನ ಆದೇಶ ಬೇಕು.
ವ್ಯಾಪಾರವು ವ್ಯಾಪ್ತಿ ಮತ್ತು ಪೂರ್ವಾಪೇಕ್ಷೆಗಳ ನಡುವೆ. ಪೋರ್ಟ್ ಫಾರ್ವರ್ಡಿಂಗ್‌ಗೆ ನಿರ್ವಹಿತ ನೋಡ್‌ನಲ್ಲಿ SSM ಏಜೆಂಟ್, ಆ ನೋಡ್‌ನಿಂದ ಡೇಟಾಬೇಸ್‌ಗೆ ಜಾಲ ತಲುಪುವಿಕೆ, ಬಳಕೆದಾರರ ಯಂತ್ರದಲ್ಲಿ Session Manager ಪ್ಲಗಿನ್ ಮತ್ತು ಆ ನಿರ್ದಿಷ್ಟ ಅಧಿವೇಶನ ಆರಂಭಿಸಲು ಅನುಮತಿ ಬೇಕು. ಇದು ಪ್ರತಿ ಉಪಜಾಲಕ್ಕೂ ಪ್ರವೇಶ ಮಾರ್ಗವಲ್ಲ, ಮತ್ತು ಟನೆಲ್‌ನಂತೆ ಅನಿಯಂತ್ರಿತ ಪ್ರೋಟೋಕಾಲ್‌ಗಳನ್ನು ಒಯ್ಯುವುದಿಲ್ಲ.
ಯಾವುದೇ ಸಂದರ್ಭದಲ್ಲಿ ಡೇಟಾಬೇಸ್‌ನ ಸ್ವಂತ ಗುರುತನ್ನು ಅದರ ಸ್ಥಳದಲ್ಲಿ ಇರಿಸಿ. ಮಾರ್ಗವನ್ನು IAM ಅನುಮೋದಿಸಿದೆ ಎಂಬ ಕಾರಣಕ್ಕೆ TLS ಪರಿಶೀಲನೆ ಮತ್ತು ಡೇಟಾಬೇಸ್ ದೃಢೀಕರಣ ಮಾಯವಾಗುವುದಿಲ್ಲ, ಮತ್ತು ಅನುಮೋದಿತ ಅಧಿವೇಶನವು ಬಳಕೆದಾರರು ಯಾವ ಕೋಷ್ಟಕಗಳನ್ನು ಓದಬಹುದು ಎಂಬುದರ ಬಗ್ಗೆ ಏನನ್ನೂ ಹೇಳುವುದಿಲ್ಲ.
ವ್ಯಾಪ್ತಿ ಮತ್ತು ಜೀವನಚಕ್ರದ ಆಧಾರದ ಮೇಲೆ ಆಯ್ಕೆಮಾಡಿ: ಅನೇಕ ಬಳಕೆದಾರರಿಗೆ ಅನೇಕ ಗಮ್ಯಸ್ಥಾನಗಳು ಬೇಕು ಮತ್ತು ನೀವು ಪ್ರಮಾಣಪತ್ರ ಅಥವಾ ಡೈರೆಕ್ಟರಿ ಜೀವನಚಕ್ರ ನಡೆಸಬಹುದಾದಾಗ ಟನೆಲ್; ಕೆಲವೇ ಜನರಿಗೆ ಒಂದು ಸೇವೆ ಬೇಕು ಮತ್ತು ನೀವು ಜಾಲ ವಿಳಾಸಗಳನ್ನು ಹಂಚಲು ಇಷ್ಟಪಡದಿದ್ದರೆ ಫಾರ್ವರ್ಡಿಂಗ್ ಅಧಿವೇಶನ. ಯಾವುದೇ ಸಂದರ್ಭದಲ್ಲಿ, ದೃಢೀಕರಣ ವಿಧಾನ, ಅನುಮೋದನೆ ನಿಯಮ ಮತ್ತು ಡೇಟಾಬೇಸ್ ಲಾಗಿನ್ ಅನ್ನು ಮೂರು ಪ್ರತ್ಯೇಕ ಸತ್ಯಗಳಾಗಿ ದಾಖಲಿಸಿ, ಏಕೆಂದರೆ ಅವು ಪ್ರತ್ಯೇಕವಾಗಿ ವಿಫಲವಾಗುತ್ತವೆ.