AWS Client VPN SAML жана Google Workspace: кайтарып чакыруу боштугу

app_not_configured_for_user баракчасы Google Workspaceтен келет жана туннелдин бир да пакети сүйлөшүлө электе пайда болот. Ушул тартип — бүткүл диагностика. Клиентти кайра орнотуу, профилди өңдөө же маршруттарды текшерүү VPN акыркы чекити көрө элек баракчаны тазалай албайт. Ийгиликсиз кадам — браузердеги идентификация провайдери менен колдонуучунун өз машинасындагы угуучунун ортосундагы өткөрүп берүү, жана ал өткөрүп берүүдө так үч нерсени текшерүүгө татыктуу.

Баракчаны идентификация провайдеринин билдирүүсү катары окуңуз

Google муну кирген эсеп үчүн SAML колдонмосу иштетилбеген учурда кайтарат. Колдонмо өчүрүлгөн болушу мүмкүн, колдонуучу дайындалган уюштуруу бирдигинен же топтон тышкары болушу мүмкүн, же кызмат провайдеринин жөндөөлөрү суроо талап кылганга туура келбеши мүмкүн.

Алардын эч бири сертификат, маршрут же туннел көйгөйү эмес, бирок колдонуучу муну VPN клиентинде байкаган.

Клиент кабыл ала турган эки маани

AWS Client VPN кызмат провайдери баштаган SAML алмашууну жүргүзөт, ошондуктан клиент браузер ачат, колдонуучу өзүн тастыктайт, ал эми провайдер кол коюлган ырастоону Assertion Consumer Service URLине кайра жөнөтөт. AWS сунуштаган иш такта клиенти үчүн бул URL — loopbackтеги угуучу, адатта 35001 порту, ал эми күтүлгөн аудитория — Client VPN SAML колдонмосунун субъектилик идентификатору, AWS консолунун кирүү субъектиси эмес.

Эки маани тең клиент күткөнгө туура келиши керек: ырастоо кайда жөнөтүлөт жана кимге арналган. Консолдун SSO колдонмосунан көчүрүлгөн конфигурация толук ишенимдүү көрүнүп, баары бир туура эмес жупту көздөшү мүмкүн.

Эки маанини тең Client VPN SAML талаптарынан алыңыз, AWSтин жалпы бир жолу кирүү колдонмосунан эмес. Консолдун SSO субъектиси азгырарлык окшош көрүнөт. Ал башка аудиториясы бар башка колдонмо, жана клиент ырастоону өзүн түшүндүрбөстөн четке кагат. Жупту бир жолу көчүрүп, профилдин жанында сактаңыз.

Google жөнөкөй HTTP кайтарып чакырууну кабыл албайт

Администратордук консол HTTPS ACS URLин талап кылат, ал эми клиенттин кайтарып чакыруусу loopbackтеги жөнөкөй HTTP. Бул маанини Workspace колдонмосунун конфигурациясына такыр киргизүүгө болбойт, ошондуктан кээ бир топтор TLSти бүтүрүп, жергиликтүү угуучуга жиберүүчү тескери проксини сынап көрүшөт. Бул дал келбестикти оңдобойт: браузер бир булакты көрөт, клиент экинчисин жарыялайт, жана кайтарылган жооп туура эмес дарекке жетиши мүмкүн.

Иштеген чечим — ортомчу идентификация провайдери. Ортомчудaгы SAML колдонмосу loopback кайтарып чакырууну жана AWS аудиториясын алат, ал эми ортомчу Workspace эсебин жогору федерациялайт. Googleдун HTTPS эрежеси аткарылган бойдон калат, жана клиентке жеткен ырастоо дагы эле күтүлгөн даректи жана аудиторияны атайт.

Бул ортомчу — бирөө ээлик кылышы, көзөмөлдөшү жана кызматтан чыгарууга кошуусу керек болгон административдик көз карандылык. Ал ошондой эле үзгүлтүк кирүү ийгиликсиздигине айлануучу экинчи орун. Долбоорду убада кылганга чейин аны баалаңыз. Эгер ага эч ким ээлик кылбаса, чын жооп — AWS клиенти Workspaceти өзүнүн жалгыз идентификация провайдери катары колдоно албайт.

Дайындоо жана эки баскычтуу текшерүү

Бир нерсени кайра долбоорлоого чейин колдонмо туура уюштуруу бирдиги же топ үчүн күйгүзүлгөнүн жана үчүнчү тараптын SAML колдонмолорунда Google тараптагы колдонмолор тизмесинен өзүнчө дайындоо көзөмөлү бар экенин ырастаңыз.

Ошондой эле эсепте эки баскычтуу текшерүүнүн күйгүзүлгөнүн текшериңиз. Google аны SAML колдонмосу колдонуучуга жарактуу болгонго чейин талап кылышы мүмкүн, жана баштапкы темадагы бир жооп так ушундай чечилген. Аны четтетүү эң арзан, ал эми акыркы болуп табуу эң тажатма.

Таза сессия менен текшериңиз

Ар кандай өзгөртүүдөн кийин жаңы браузер профили жана таза клиент конфигурациясы менен сынаңыз. Кэштелген ырастоолор жана кайра колдонулган сессиялар оңдоо жеткенин жашырат.

Андан кийин эки жазууну катар салыштырыңыз: идентификация провайдеринин аудит окуясы жана клиент журналы. Туннелсиз ийгиликтүү кирүү кайтарып чакырууга же аудиторияга шилтейт. Туташкан туннел, бирок жеткиликсиз ресурс — маршруттоо же авторизация маселеси жана таптакыр башка жерге таандык.

Эмнени өзгөртпөө керек

Баракчаны айланып өтүү үчүн профилден auth-federate белгисин алып салбаңыз жана сертификат текшерүүлөрүн өчүрбөңүз. Экөө тең ийгиликсиз кайтарып чакыруунун ордуна аутентификациянын долбоорун өзгөртөт, жана экөө тең адатта кийинки клиент жаңыртуусунда бузулат.

Анын ордуна өткөрүп берүүнү оңдоп, ортомчуну, аудиторияны жана loopback портун атаган жазуу калтырыңыз. Баракчаны көрө турган кийинки адамга үчөө тең керек болот.