AWS Client VPN аутентификациясы: IAM уруксаттары кирүү ыкмасы эмес
Консолдук уруксаттар туннелди аутентификация кылбайт. Сертификат, AD жана SAML ыкмаларын салыштырып, SSM портун багыттоо бир жеке маалымат базасына качан туура келерин караңыз.
Колдонуучуга AWS Client VPN акыркы чекитин түзүүгө же сүрөттөөгө уруксат берүү ага ага туташууга мүмкүндүк бербейт. Бул эки башка идентификация түрү: IAM AWS API чакырууларын башкарат, ал эми акыркы чекит өзүндө конфигурацияланган кардар аутентификациясынын ыкмаларын гана кабыл алат. Ошондуктан колдонуучунун кең консолдук укуктары болушу мүмкүн, бирок VPN кардары көрсөтө ала турган эч нерсеси болбошу мүмкүн. Акыркы чекит кайсы ыкмага ишенээрин аныктаңыз, андан кийин берген мүмкүнчүлүгүңүз үчүн толук туннель туура формабы, аны чечиңиз.
API идентификациясы туннелдин идентификациясы эмес
Бирөө «IAM ролу тиркелген, эмне үчүн VPN дагы эле иштебейт» дегенде, жооп адатта туташуу агымынын бир да кадамы бул ролду окубайт дегенде болот. Кардар сертификатты, AD колдонуучу атын жана сырсөзүн же SAML дооматын сунуштайт. Акыркы чекит алардын бирин текшерип, анан дарек ыйгарат.
IAM дагы эле маанилүү, бирок кийин жана башка жерде: акыркы чекитти түзүү, ички тармактарды туташтыруу, маршруттарды жарыялоо жана авторизация эрежелерин жазуу API аракеттери. Бул уруксаттарды аларга муктаж операторлор менен чектеп кармаңыз, ар бир колдонуучуга акыркы чекиттин кирүү эрежелерин кайра жазуу мүмкүнчүлүгүн берүүнүн ордуна.
Акыркы чекит колдогон ыкмалардан тандаңыз
AWS Client VPN сертификатка негизделген өз ара аутентификацияны, Active Directory аутентификациясын жана SAML негизиндеги федеративдик аутентификацияны кабыл алат. Кайсы кардар ыкмасын тандасаңыз да сервер сертификаты талап кылынат, ал эми ыкмаларды айкалыштырган конфигурация экөө тең ийгиликтүү болушун талап кылат, биринин эмес.
| Client method | What the user presents | Where the work sits |
|---|---|---|
| Mutual certificate | A client certificate the endpoint trusts | Certificate authority, issuing and revoking per user |
| Active Directory | Domain credentials | Directory reachable from the endpoint's VPC |
| SAML federation | An assertion from an identity provider | IdP application, attribute mapping, client support |
Сертификаттарды орнотуу эң арзан жана масштабда ката кетирүү эң оңой, анткени ар бир колдонуучуга эсептик маалымат керек жана ар бир кетүү жокко чыгарууну талап кылат. Каталог аутентификациясы бул жашоо циклин бар системага өткөрөт. Федерация аны идентификация провайдерине өткөрүп, кардарга браузер кадамын кошот.
Кардарды жөндөөдөн мурун акыркы чекиттин өз конфигурациясын окуңуз. Эгер өз ара аутентификация колдонуучуга негизделген ыкма менен катар күйгүзүлсө, жарактуу сертификаты бар, бирок каталог эсеби жок кардар баары бир ийгиликсиз болот, жана ката адатта жалпы кол кармашуу маселесине окшойт.
Федерация кирүү ачкычтарын берүү эмес
SAML конфигурациясы туннелге IAM кирүү ачкычтарын же кабыл алынган ролдун токенин киргизбейт. Идентификация провайдери адамды аутентификациялап, дооматты кайтарат, ал эми акыркы чекит аны сиз конфигурациялаган ишенимдин алкагында кабыл алат. Пайда болгон сессия VPN сессиясы, AWS API сессиясы эмес.
Бул айырма ким эмнени диагностикалай аларын чечет. IdP маселелери кандайдыр бир туннель пайда боло электе браузер же кардар катасы катары көрүнөт, ал эми туннелдин маселелери ийгиликтүү дооматтан кийин көрүнөт. Эки консолдун кайсынысын ачардан мурун ушул экөөнүн кайсынысын көрүп жатканыңызды сураңыз.
Киргенден кийин маршруттар жана авторизация дагы эле чечет
Аутентификация сессияга дарек берет; ал сессияга багыт бербейт. Акыркы чекиттин маршруттары кардарга кайсы ички тармактарга жөнөтүүнү айтат, авторизация эрежелери кайсы колдонуучулар ошол ички тармактардын кайсынысына жете аларын чечет, ал эми коопсуздук топтору жана объектинин өз уруксаттары калганын чечет.
Ошондуктан ийгиликтүү аутентификацияланган колдонуучу дагы эле маалымат базасына жете албашы мүмкүн. Ички тармак үчүн маршрут таблицасынын байланышын, колдонуучунун тобунун авторизация эрежесин жана объектидеги коопсуздук тобун ушул тартипте текшериңиз, анткени алардын ар бири башка таймаут түрүн жаратат.
Бир жеке маалымат базасы үчүн портту багыттоо менен салыштырыңыз
Эгер чыныгы милдет бир жеке маалымат базасына бир бекитилген туташуу болсо, толук тармактык туннель талап эмес, тандоо. AWS Systems Manager Session Manager IAM аркылуу башкарылуучу түйүнгө портту багыттоо сессиясын ача алат, жана ал түйүн жеке тармактагы маалымат базасына жетет. Колдонуучу эч качан VPC дарегин албайт. Башкарылуучу түйүн маалымат базасынын портуна жете алган жалгыз хост болуп калат, жана адатта коопсуздук текшерүүсү талап кылган нерсе ушул. Андан кийин колдонуучуларга VPN профилинин ордуна жергиликтүү кардар жана сессия буйругу керек.
Алмашуу — көлөм жана алдын ала шарттар. Портту багыттоо башкарылуучу түйүндө SSM агентин, ошол түйүндөн маалымат базасына тармактык жеткиликтүүлүктү, колдонуучунун машинасындагы Session Manager плагинин жана так ошол сессияны баштоого уруксатты талап кылат. Бул ар бир ички тармакка кирүү маршруту эмес жана туннель сыяктуу эркин протоколдорду ташыбайт.
Кандай болбосун маалымат базасынын өз идентификациясын ордунда калтырыңыз. Жол IAM аркылуу авторизацияланганы үчүн TLS текшерүүсү жана маалымат базасынын аутентификациясы жоголбойт, ал эми бекитилген сессия колдонуучу кайсы таблицаларды окуй алары тууралуу эч нерсе айтпайт.
Көлөм жана жашоо цикли боюнча тандаңыз: көп колдонуучуга көп багыт керек болсо жана сертификат же каталог жашоо цикли менен иштей алсаңыз — туннель; бир аз адамга бир кызмат керек болсо жана тармактык даректерди бөлүштүргүңүз келбесе — багыттоо сессиясы. Кандай болбосун аутентификация ыкмасын, авторизация эрежесин жана маалымат базасына кирүүнү үч өзүнчө факт катары жазып коюңуз, анткени алар өзүнчө ийгиликсиз болот.