AWS Client VPN SAML과 Google Workspace: 콜백의 빈틈

app_not_configured_for_user 페이지는 Google Workspace에서 오며, 터널 패킷 하나가 협상되기도 전에 나타납니다. 그 순서가 진단의 전부입니다. 클라이언트를 다시 설치하거나 프로필을 편집하거나 경로를 확인하는 것으로는 VPN 엔드포인트가 아직 본 적 없는 페이지를 지울 수 없습니다. 실패하는 단계는 ID 공급자와 사용자 자신의 기계에 있는 수신기 사이의 브라우저 인계이며, 그 인계에서 점검할 가치가 있는 것은 정확히 세 가지입니다.

그 페이지를 ID 공급자의 진술로 읽으십시오

Google은 로그인한 계정에 SAML 애플리케이션이 활성화되어 있지 않을 때 이것을 반환합니다. 앱이 꺼져 있거나, 사용자가 할당된 조직 단위나 그룹 밖에 있거나, 서비스 공급자 설정이 요청이 요구한 것과 맞지 않을 수 있습니다.

그중 어느 것도 인증서, 경로, 터널 문제가 아닙니다. 사용자가 그것을 VPN 클라이언트에서 보았더라도 마찬가지입니다.

클라이언트가 받아들일 두 값

AWS Client VPN은 서비스 공급자가 시작하는 SAML 교환을 수행하므로, 클라이언트가 브라우저를 열고, 사용자가 인증하고, 공급자가 서명된 어설션을 Assertion Consumer Service URL로 되돌려 보냅니다. AWS가 제공하는 데스크톱 클라이언트의 경우 그 URL은 loopback의 수신기이며 보통 포트 35001이고, 기대되는 대상은 AWS 콘솔 로그인 엔티티가 아니라 Client VPN SAML 애플리케이션의 엔티티 식별자입니다.

두 값 모두 클라이언트가 기대하는 것과 일치해야 합니다. 어설션이 어디로 게시되는지, 누구에게 주소가 지정되는지입니다. 콘솔의 SSO 애플리케이션에서 복사한 구성은 충분히 그럴듯해 보이면서도 잘못된 쌍을 가리킬 수 있습니다.

두 값 모두 Client VPN SAML 요구 사항에서 가져오고, 일반적인 AWS 단일 로그인 안내서에서 가져오지 마십시오. 콘솔의 SSO 엔티티는 유혹적일 만큼 비슷하게 보입니다. 다른 대상을 가진 다른 애플리케이션이며, 클라이언트는 스스로 설명하지 않고 어설션을 거부합니다. 쌍을 한 번 복사하고 프로필 옆에 보관하십시오.

Google은 평문 HTTP 콜백을 받아들이지 않습니다

관리 콘솔은 HTTPS ACS URL을 요구하는데, 클라이언트의 콜백은 loopback의 평문 HTTP입니다. 그 값은 Workspace 앱 구성에 아예 입력할 수 없습니다. 그래서 일부 팀은 TLS를 종료하고 로컬 수신기로 전달하는 리버스 프록시를 시도합니다. 그것은 불일치를 고치지 않습니다. 브라우저는 한 출처를 보고 클라이언트는 다른 출처를 알리며, 반환된 응답이 잘못된 목적지로 도착할 수 있습니다.

작동하는 방식은 브로커 ID 공급자입니다. 브로커의 SAML 애플리케이션이 loopback 콜백과 AWS 대상을 받고, 브로커가 Workspace 계정을 상위에서 페더레이션합니다. Google의 HTTPS 규칙은 충족된 채로 남고, 클라이언트에 도달하는 어설션은 여전히 기대하는 주소와 대상을 명시합니다.

그 브로커는 누군가 소유하고, 모니터링하고, 퇴사 처리에 포함해야 하는 운영 의존성입니다. 장애가 로그인 실패로 바뀌는 두 번째 장소이기도 합니다. 설계를 약속하기 전에 비용을 산정하십시오. 아무도 소유하지 않는다면, AWS 클라이언트가 Workspace를 유일한 ID 공급자로 쓸 수 없다는 것이 정직한 답입니다.

할당과 두 단계 확인

무엇이든 다시 설계하기 전에 앱이 올바른 조직 단위나 그룹에 대해 켜져 있는지, 타사 SAML 앱에 Google 쪽 앱 목록과 별개의 자체 할당 제어가 있는지 확인하십시오.

계정에 두 단계 확인이 켜져 있는지도 확인하십시오. Google은 SAML 앱이 사용자에게 유용해지기 전에 그것을 요구할 수 있으며, 원래 스레드의 한 답변이 바로 그렇게 해결되었습니다. 배제하기에 가장 싸고 마지막에 발견하면 가장 짜증나는 항목입니다.

깨끗한 세션으로 검증하십시오

어떤 변경 후에도 새 브라우저 프로필과 깨끗한 클라이언트 구성으로 테스트하십시오. 캐시된 어설션과 재사용된 세션은 수정이 적용되었는지 감춥니다.

그다음 두 기록을 나란히 비교하십시오. ID 공급자의 감사 이벤트와 클라이언트 로그입니다. 터널 없이 성공한 로그인은 콜백이나 대상을 가리킵니다. 연결되었지만 리소스에 닿지 않는 터널은 라우팅이나 권한 부여 문제이며 전혀 다른 곳에 속합니다.

바꾸지 말아야 할 것

페이지를 통과하려고 프로필에서 auth-federate를 제거하거나 인증서 검사를 끄지 마십시오. 둘 다 실패한 콜백이 아니라 인증 설계를 바꾸며, 둘 다 보통 다음 클라이언트 업데이트에서 깨집니다.

대신 인계를 고치고, 브로커와 대상, loopback 포트를 명시한 메모를 남기십시오. 다음에 이 페이지를 보는 사람에게는 세 가지 모두 필요합니다.