AWS Client VPN SAML ಮತ್ತು Google Workspace: ಕಾಲ್‍ಬ್ಯಾಕ್ ಕಂದರ

app_not_configured_for_user ಪುಟ Google Workspace ನಿಂದ ಬರುತ್ತದೆ ಮತ್ತು ಒಂದೇ ಒಂದು ಸುರಂಗ ಪ್ಯಾಕೆಟ್ ಮಾತುಕತೆ ಆಗುವ ಮೊದಲೇ ಕಾಣಿಸಿಕೊಳ್ಳುತ್ತದೆ. ಆ ಕ್ರಮವೇ ಸಂಪೂರ್ಣ ರೋಗನಿರ್ಣಯ. ಕ್ಲೈಂಟ್ ಮರುಸ್ಥಾಪಿಸುವುದು, ಪ್ರೊಫೈಲ್ ಸಂಪಾದಿಸುವುದು ಅಥವಾ ಮಾರ್ಗಗಳನ್ನು ಪರಿಶೀಲಿಸುವುದು VPN ಅಂತ್ಯಬಿಂದು ಇನ್ನೂ ನೋಡದ ಪುಟವನ್ನು ತೆರವು ಮಾಡಲಾರದು. ವಿಫಲವಾಗುವ ಹಂತವೆಂದರೆ ಗುರುತಿನ ಪೂರೈಕೆದಾರ ಮತ್ತು ಬಳಕೆದಾರರ ಸ್ವಂತ ಯಂತ್ರದಲ್ಲಿನ ಕೇಳುಗರ ನಡುವಿನ ಬ್ರೌಸರ್ ಹಸ್ತಾಂತರ, ಮತ್ತು ಆ ಹಸ್ತಾಂತರದಲ್ಲಿ ನಿಖರವಾಗಿ ಮೂರು ವಿಷಯಗಳನ್ನು ಪರಿಶೀಲಿಸುವುದು ಯೋಗ್ಯ.

ಪುಟವನ್ನು ಗುರುತಿನ ಪೂರೈಕೆದಾರರ ಹೇಳಿಕೆಯಾಗಿ ಓದಿ

ಸೈನ್ ಇನ್ ಮಾಡಿದ ಖಾತೆಗೆ SAML ಅಪ್ಲಿಕೇಶನ್ ಸಕ್ರಿಯವಾಗಿಲ್ಲದಿದ್ದಾಗ Google ಇದನ್ನು ಹಿಂತಿರುಗಿಸುತ್ತದೆ. ಅಪ್ಲಿಕೇಶನ್ ಆಫ್ ಆಗಿರಬಹುದು, ಬಳಕೆದಾರರು ನಿಗದಿತ ಸಾಂಸ್ಥಿಕ ಘಟಕ ಅಥವಾ ಗುಂಪಿನ ಹೊರಗಿರಬಹುದು, ಅಥವಾ ಸೇವಾ ಪೂರೈಕೆದಾರರ ಸೆಟ್ಟಿಂಗ್‌ಗಳು ವಿನಂತಿ ಕೇಳಿದ್ದಕ್ಕೆ ಹೊಂದಿಕೆಯಾಗದಿರಬಹುದು.

ಇವುಗಳಲ್ಲಿ ಯಾವುದೂ ಪ್ರಮಾಣಪತ್ರ, ಮಾರ್ಗ ಅಥವಾ ಸುರಂಗದ ಸಮಸ್ಯೆ ಅಲ್ಲ, ಬಳಕೆದಾರರು ಅದನ್ನು VPN ಕ್ಲೈಂಟ್‌ನಲ್ಲಿ ಗಮನಿಸಿದ್ದರೂ.

ಕ್ಲೈಂಟ್ ಸ್ವೀಕರಿಸುವ ಎರಡು ಮೌಲ್ಯಗಳು

AWS Client VPN ಸೇವಾ ಪೂರೈಕೆದಾರರಿಂದ ಪ್ರಾರಂಭವಾದ SAML ವಿನಿಮಯವನ್ನು ನಡೆಸುತ್ತದೆ, ಆದ್ದರಿಂದ ಕ್ಲೈಂಟ್ ಬ್ರೌಸರ್ ತೆರೆಯುತ್ತದೆ, ಬಳಕೆದಾರರು ದೃಢೀಕರಿಸುತ್ತಾರೆ, ಮತ್ತು ಪೂರೈಕೆದಾರರು ಸಹಿ ಮಾಡಿದ ಸಮರ್ಥನೆಯನ್ನು Assertion Consumer Service URL ಗೆ ಹಿಂತಿರುಗಿಸುತ್ತಾರೆ. AWS ಒದಗಿಸುವ ಡೆಸ್ಕ್‌ಟಾಪ್ ಕ್ಲೈಂಟ್ಗೆ ಆ URL loopback ಮೇಲಿನ ಕೇಳುಗ, ಸಾಮಾನ್ಯವಾಗಿ ಪೋರ್ಟ್ 35001, ಮತ್ತು ನಿರೀಕ್ಷಿತ ಪ್ರೇಕ್ಷಕರು Client VPN SAML ಅಪ್ಲಿಕೇಶನ್‌ನ ಘಟಕ ಗುರುತಿಸುವಿಕೆ, AWS ಕನ್ಸೋಲ್ ಸೈನ್-ಇನ್ ಘಟಕವಲ್ಲ.

ಎರಡೂ ಮೌಲ್ಯಗಳು ಕ್ಲೈಂಟ್ ನಿರೀಕ್ಷಿಸುವುದಕ್ಕೆ ಹೊಂದಿಕೆಯಾಗಬೇಕು: ಸಮರ್ಥನೆ ಎಲ್ಲಿ ಪೋಸ್ಟ್ ಆಗುತ್ತದೆ ಮತ್ತು ಯಾರಿಗೆ ಉದ್ದೇಶಿಸಲಾಗಿದೆ. ಕನ್ಸೋಲ್ SSO ಅಪ್ಲಿಕೇಶನ್‌ನಿಂದ ನಕಲಿಸಿದ ಸಂರಚನೆ ಸಂಪೂರ್ಣ ನಂಬಲರ್ಹವಾಗಿ ಕಾಣಬಹುದು ಮತ್ತು ಆದರೂ ತಪ್ಪು ಜೋಡಿಯನ್ನು ಗುರಿಯಾಗಿಸಬಹುದು.

ಎರಡೂ ಮೌಲ್ಯಗಳನ್ನು Client VPN SAML ಅಗತ್ಯತೆಗಳಿಂದ ತೆಗೆದುಕೊಳ್ಳಿ, ಸಾಮಾನ್ಯ AWS ಏಕ ಸೈನ್-ಆನ್ ಮಾರ್ಗದರ್ಶಿಯಿಂದ ಅಲ್ಲ. ಕನ್ಸೋಲ್ SSO ಘಟಕವು ಪ್ರಲೋಭನೆಗೊಳ್ಳುವಷ್ಟು ಹೋಲುತ್ತದೆ. ಅದು ಬೇರೆ ಪ್ರೇಕ್ಷಕರನ್ನು ಹೊಂದಿರುವ ಬೇರೆ ಅಪ್ಲಿಕೇಶನ್, ಮತ್ತು ಕ್ಲೈಂಟ್ ತನ್ನನ್ನು ವಿವರಿಸದೆ ಸಮರ್ಥನೆಯನ್ನು ತಿರಸ್ಕರಿಸುತ್ತದೆ. ಜೋಡಿಯನ್ನು ಒಮ್ಮೆ ನಕಲಿಸಿ ಪ್ರೊಫೈಲ್ ಪಕ್ಕದಲ್ಲಿ ಇರಿಸಿ.

Google ಸಾಮಾನ್ಯ HTTP ಕಾಲ್‍ಬ್ಯಾಕ್ ಸ್ವೀಕರಿಸುವುದಿಲ್ಲ

ನಿರ್ವಾಹಕ ಕನ್ಸೋಲ್ HTTPS ACS URL ಅಗತ್ಯಪಡಿಸುತ್ತದೆ, ಮತ್ತು ಕ್ಲೈಂಟ್‌ನ ಕಾಲ್‍ಬ್ಯಾಕ್ loopback ಮೇಲಿನ ಸಾಮಾನ್ಯ HTTP. ಆ ಮೌಲ್ಯವನ್ನು Workspace ಅಪ್ಲಿಕೇಶನ್ ಸಂರಚನೆಗೆ ಸಂಪೂರ್ಣವಾಗಿ ಟೈಪ್ ಮಾಡಲಾಗದು, ಆದ್ದರಿಂದ ಕೆಲವು ತಂಡಗಳು TLS ಮುಗಿಸಿ ಸ್ಥಳೀಯ ಕೇಳುಗರಿಗೆ ಮುಂದಿಸುವ ರಿವರ್ಸ್ ಪ್ರಾಕ್ಸಿ ಪ್ರಯತ್ನಿಸುತ್ತವೆ. ಅದು ಹೊಂದಾಣಿಕೆಯನ್ನು ಸರಿಪಡಿಸುವುದಿಲ್ಲ: ಬ್ರೌಸರ್ ಒಂದು ಮೂಲವನ್ನು ನೋಡುತ್ತದೆ, ಕ್ಲೈಂಟ್ ಇನ್ನೊಂದನ್ನು ಘೋಷಿಸುತ್ತದೆ, ಮತ್ತು ಹಿಂತಿರುಗಿದ ಪ್ರತಿಕ್ರಿಯೆ ತಪ್ಪು ಗಮ್ಯಸ್ಥಾನಕ್ಕೆ ತಲುಪಬಹುದು.

ಕೆಲಸ ಮಾಡುವ ವ್ಯವಸ್ಥೆ ಬ್ರೋಕರ್ ಗುರುತಿನ ಪೂರೈಕೆದಾರ. ಬ್ರೋಕರ್‌ನಲ್ಲಿನ SAML ಅಪ್ಲಿಕೇಶನ್ loopback ಕಾಲ್‍ಬ್ಯಾಕ್ ಮತ್ತು AWS ಪ್ರೇಕ್ಷಕರನ್ನು ಪಡೆಯುತ್ತದೆ, ಮತ್ತು ಬ್ರೋಕರ್ Workspace ಖಾತೆಯನ್ನು ಮೇಲಕ್ಕೆ ಒಕ್ಕೂಟಗೊಳಿಸುತ್ತದೆ. Google ನ HTTPS ನಿಯಮ ತೃಪ್ತವಾಗಿಯೇ ಇರುತ್ತದೆ, ಮತ್ತು ಕ್ಲೈಂಟ್ ತಲುಪುವ ಸಮರ್ಥನೆ ಇನ್ನೂ ಅದು ನಿರೀಕ್ಷಿಸುವ ವಿಳಾಸ ಮತ್ತು ಪ್ರೇಕ್ಷಕರನ್ನು ಹೆಸರಿಸುತ್ತದೆ.

ಆ ಬ್ರೋಕರ್ ಯಾರೋ ಹೊಂದಿರಬೇಕು, ಮೇಲ್ವಿಚಾರಣೆ ಮಾಡಬೇಕು ಮತ್ತು ಆಫ್‌ಬೋರ್ಡಿಂಗ್‌ನಲ್ಲಿ ಸೇರಿಸಬೇಕಾದ ಆಡಳಿತಾತ್ಮಕ ಅವಲಂಬನೆ. ಅಡಚಣೆ ಲಾಗಿನ್ ವೈಫಲ್ಯವಾಗುವ ಎರಡನೇ ಸ್ಥಳವೂ ಅದು. ವಿನ್ಯಾಸವನ್ನು ಭರವಸೆ ನೀಡುವ ಮೊದಲು ಅದನ್ನು ಬೆಲೆ ಕಟ್ಟಿ. ಯಾರೂ ಅದನ್ನು ಹೊಂದದಿದ್ದರೆ, AWS ಕ್ಲೈಂಟ್ Workspace ಅನ್ನು ತನ್ನ ಏಕೈಕ ಗುರುತಿನ ಪೂರೈಕೆದಾರನಾಗಿ ಬಳಸಲಾಗದು ಎಂಬುದೇ ಪ್ರಾಮಾಣಿಕ ಉತ್ತರ.

ನಿಯೋಜನೆ ಮತ್ತು ಎರಡು-ಹಂತದ ಪರಿಶೀಲನೆ

ಏನನ್ನೂ ಮರು ವಿನ್ಯಾಸ ಮಾಡುವ ಮೊದಲು ಅಪ್ಲಿಕೇಶನ್ ಸರಿಯಾದ ಸಾಂಸ್ಥಿಕ ಘಟಕ ಅಥವಾ ಗುಂಪಿಗೆ ಆನ್ ಆಗಿದೆಯೇ ಮತ್ತು ತೃತೀಯ ಪಕ್ಷದ SAML ಅಪ್ಲಿಕೇಶನ್‌ಗಳಿಗೆ Google ಬದಿಯ ಅಪ್ಲಿಕೇಶನ್ ಪಟ್ಟಿಯಿಂದ ಪ್ರತ್ಯೇಕವಾದ ತಮ್ಮದೇ ನಿಯೋಜನೆ ನಿಯಂತ್ರಣಗಳಿವೆ ಎಂದು ಖಚಿತಪಡಿಸಿ.

ಖಾತೆಯಲ್ಲಿ ಎರಡು-ಹಂತದ ಪರಿಶೀಲನೆ ಸಕ್ರಿಯವಾಗಿದೆಯೇ ಎಂದೂ ಪರಿಶೀಲಿಸಿ. SAML ಅಪ್ಲಿಕೇಶನ್ ಬಳಕೆದಾರರಿಗೆ ಬಳಸಲು ಯೋಗ್ಯವಾಗುವ ಮೊದಲು Google ಅದನ್ನು ಕೇಳಬಹುದು, ಮತ್ತು ಮೂಲ ಥ್ರೆಡ್‌ನ ಒಂದು ಉತ್ತರ ನಿಖರವಾಗಿ ಹಾಗೆಯೇ ಪರಿಹರಿಸಲ್ಪಟ್ಟಿತು. ಅದನ್ನು ಹೊರಗಿಡುವುದು ಅಗ್ಗದ್ದು ಮತ್ತು ಕೊನೆಯಲ್ಲಿ ಕಂಡುಹಿಡಿಯುವುದು ಅತ್ಯಂತ ಕಿರಿಕಿರಿಯದ್ದು.

ಸ್ವಚ್ಛ ಸೆಷನ್‌ನೊಂದಿಗೆ ಪರಿಶೀಲಿಸಿ

ಯಾವುದೇ ಬದಲಾವಣೆಯ ನಂತರ ಹೊಸ ಬ್ರೌಸರ್ ಪ್ರೊಫೈಲ್ ಮತ್ತು ಸ್ವಚ್ಛ ಕ್ಲೈಂಟ್ ಸಂರಚನೆಯೊಂದಿಗೆ ಪರೀಕ್ಷಿಸಿ. ಕ್ಯಾಶ್ ಮಾಡಿದ ಸಮರ್ಥನೆಗಳು ಮತ್ತು ಮರುಬಳಕೆಯಾದ ಸೆಷನ್‌ಗಳು ಸರಿಪಡಿಸುವಿಕೆ ಆಯಿತೇ ಎಂಬುದನ್ನು ಮರೆಮಾಡುತ್ತವೆ.

ನಂತರ ಎರಡು ದಾಖಲೆಗಳನ್ನು ಅಕ್ಕಪಕ್ಕ ಹೋಲಿಸಿ: ಗುರುತಿನ ಪೂರೈಕೆದಾರರ ಆಡಿಟ್ ಘಟನೆ ಮತ್ತು ಕ್ಲೈಂಟ್ ಲಾಗ್. ಸುರಂಗವಿಲ್ಲದ ಯಶಸ್ವಿ ಸೈನ್-ಇನ್ ಕಾಲ್‍ಬ್ಯಾಕ್ ಅಥವಾ ಪ್ರೇಕ್ಷಕರ ಕಡೆ ತೋರಿಸುತ್ತದೆ. ಸಂಪರ್ಕಗೊಂಡ ಸುರಂಗ, ಆದರೆ ತಲುಪಲಾಗದ ಸಂಪನ್ಮೂಲ ಮಾರ್ಗನಿರ್ದೇಶನ ಅಥವಾ ಅಧಿಕಾರ ಸಮಸ್ಯೆ ಮತ್ತು ಸಂಪೂರ್ಣ ಬೇರೆಡೆಯದ್ದು.

ಏನನ್ನು ಬದಲಾಯಿಸಬಾರದು

ಪುಟ ದಾಟಲು ಪ್ರೊಫೈಲ್‌ನಿಂದ auth-federate ತೆಗೆಯಬೇಡಿ ಅಥವಾ ಪ್ರಮಾಣಪತ್ರ ತಪಾಸಣೆಗಳನ್ನು ನಿಷ್ಕ್ರಿಯಗೊಳಿಸಬೇಡಿ. ಎರಡೂ ವಿಫಲವಾಗುವ ಕಾಲ್‍ಬ್ಯಾಕ್ ಬದಲು ದೃಢೀಕರಣದ ವಿನ್ಯಾಸವನ್ನು ಬದಲಿಸುತ್ತವೆ, ಮತ್ತು ಎರಡೂ ಸಾಮಾನ್ಯವಾಗಿ ಮುಂದಿನ ಕ್ಲೈಂಟ್ ನವೀಕರಣದಲ್ಲಿ ಮುರಿಯುತ್ತವೆ.

ಬದಲಾಗಿ ಹಸ್ತಾಂತರವನ್ನು ಸರಿಪಡಿಸಿ, ಮತ್ತು ಬ್ರೋಕರ್, ಪ್ರೇಕ್ಷಕರು ಮತ್ತು loopback ಪೋರ್ಟ್ ಹೆಸರಿಸುವ ಟಿಪ್ಪಣಿ ಬಿಡಿ. ಪುಟವನ್ನು ನೋಡುವ ಮುಂದಿನ ವ್ಯಕ್ತಿಗೆ ಮೂರೂ ಬೇಕಾಗುತ್ತವೆ.