AWS Client VPN-Authentifikatioun: IAM-Berechtegungen sinn keng Anmeldungsmethod
Konsolberechtegungen authentifizéiere keen Tunnel. Vergläicht d’Methoden mat Zertifikat, AD a SAML, a kuckt dann wéini SSM-Portweiderleitung zu enger eenzeger privater Datebank passt.
Engem Benotzer d’Berechtegung ze ginn, en AWS Client VPN-Endpunkt ze schafen oder ze beschreiwen, erlaabt him net, sech domat ze verbannen. Dat sinn zwou verschidden Aarte vun Identitéit: IAM regelt AWS API-Uruff, an den Endpunkt akzeptéiert just déi Client-Authentifikatiounsmethoden, déi drop konfiguréiert sinn. Sou kann e Benotzer breet Konsolberechtegungen hunn an trotzdem näischt hunn, wat de VPN-Client ka presentéieren. Entscheet, wéi enger Method den Endpunkt vertraut, an entscheet dann, ob en vollständegen Tunnel déi richteg Form fir den Zougang ass, deen Dir gitt.
Eng API-Identitéit ass keng Tunnelidentitéit
Wann een seet „d’IAM-Roll ass ugehaange, firwat schléit de VPN dann nach ëmmer fehl“, ass d’Äntwert meeschtens, datt kee Schrëtt am Verbindungsfloss jee déi Roll liest. De Client presentéiert en Zertifikat, en AD-Benotzernumm mat Passwuert oder eng SAML-Assertioun. Den Endpunkt validéiert eng dovun a verdeelt duerno eng Adress.
IAM ass nach ëmmer wichteg, just méi spéit an aneschtwou: den Endpunkt schafen, Subnetzer associéieren, Routen publizéieren an Autorisatiounsregelen schreiwen sinn API-Aktiounen. Halt dës Berechtegungen op déi Operateuren beschränkt, déi se brauchen, amplaz all Benotzer d’Méiglechkeet ze ginn, d’Zougangsregelen vum Endpunkt ëmzeschreiwen.
Wielt aus de Methoden, déi den Endpunkt ënnerstëtzt
AWS Client VPN akzeptéiert zertifikatsbaséiert géigesäiteg Authentifikatioun, Active Directory-Authentifikatioun a SAML-baséiert federéiert Authentifikatioun. En Serverzertifikat ass néideg, egal wéi eng Clientmethod Dir wielt, an eng Konfiguratioun, déi Methoden kombinéiert, verlaangt, datt béid geléngen, net eng.
| Client method | What the user presents | Where the work sits |
|---|---|---|
| Mutual certificate | A client certificate the endpoint trusts | Certificate authority, issuing and revoking per user |
| Active Directory | Domain credentials | Directory reachable from the endpoint's VPC |
| SAML federation | An assertion from an identity provider | IdP application, attribute mapping, client support |
Zertifikater sinn déi bëllegst opzesetzen an am einfachste falsch ze maachen am grousse Moossstab, well all Benotzer en Nodeweis brauch an all Ofgang eng Widderruffung erfuerdert. D’Verzeechnes-Authentifikatioun verlagert dëse Liewenszyklus an en existéierend System. D’Federatioun verlagert en op en Identitéitsprovider a setzt e Browser-Schrëtt bei de Client derbäi.
Liest d’Konfiguratioun vum Endpunkt selwer, ier Dir de Client debuggt. Wann géigesäiteg Authentifikatioun niewent enger benotzerbaséierter Method aktivéiert ass, wäert e Client mat engem gültege Zertifikat awer ouni Verzeechneskont nach ëmmer fehlschloen, an de Feeler gesäit meeschtens aus wéi e generellt Handshake-Problem.
Federatioun ass net d’Weiderginn vun Zougangsschlësselen
Eng SAML-Konfiguratioun sprëtzt keng IAM-Zougangsschlësselen an keen Token vun enger ugehollener Roll an den Tunnel. Den Identitéitsprovider authentifizéiert d’Persoun, gëtt eng Assertioun zréck, an den Endpunkt akzeptéiert se ënner dem Vertrauen, deen Dir konfiguréiert hutt. D’Sessioun, déi doraus entsteet, ass eng VPN-Sessioun, keng AWS API-Sessioun.
Dësen Ënnerscheed entscheet, wien wat diagnostizéiere kann. IdP-Problemer erschéngen als Browser- oder Clientfeeler, ier iergendeen Tunnel existéiert, wärend Tunnelproblemer no enger erfollegräicher Assertioun erschéngen. Frot, wéi eng vun den zwou Dir kuckt, ier Dir eng vun deenen zwee Konsolen opmaacht.
No der Umeldung entscheeden nach ëmmer d’Routen an d’Autorisatioun
Authentifikatioun gëtt enger Sessioun eng Adress; se gëtt der Sessioun keen Zil. D’Routen vum Endpunkt soen dem Client, a wéi eng Subnetzer en ze schécke soll, Autorisatiounsregelen entscheeden, wéi eng Benotzer wéi eng vun dëse Subnetzer erreeche kënnen, an d’Sécherheetsgruppen zesumme mat de eigenen Berechtegunge vum Zil entscheeden de Rescht.
Dofir kann e Benotzer, dee sech erfollegräich authentifizéiert, nach ëmmer net bis an eng Datebank kommen. Iwwerpréift d’Associatioun vun der Routentabelle fir den Subnetz, d’Autorisatiounsregel fir d’Grupp vum Benotzer an d’Sécherheetsgrupp um Zil an där Reihenfolge, well jiddweree vun hinnen eng aner Aart vun Zäitiwwerschreidung produzéiert.
Fir eng eenzeg privat Datebank, vergläicht mat der Portweiderleitung
Wann déi richteg Aufgab eng genehmegt Verbindung zu enger eenzeger privater Datebank ass, ass en vollstännegen Netzwierktunnel eng Wiel an net eng Fuerderung. AWS Systems Manager Session Manager ka via IAM eng Portweiderleitungs-Sessioun op en geréierten Node opmaachen, an deen Node erreecht d’Datebank am private Netz. De Benotzer kritt niéngens eng VPC-Adress. De geréierten Node gëtt deen eenzegen Host, deen den Datebankport erreeche kann, wat meeschtens dat ass, wat d’Sécherheetsreview gefrot huet. Duerno brauchen d’Benotzer e lokale Client an e Sessiounsbefehl amplaz vun engem VPN-Profil.
Den Tausch ass Ëmfang géint Virbedingungen. D’Portweiderleitung brauch den SSM-Agent um geréierten Node, Netzwierkerreechbarkeet vun deem Node bis an d’Datebank, de Session Manager-Plugin um Benotzer senger Maschinn an d’Berechtegung, genee déi Sessioun ze starten. Et ass kee Wee an all Subnetz, an et dréit keng belibeg Protokoller wéi en Tunnel.
Behält op alle Fall d’Identitéit vun der Datebank selwer op hirem Plaz. TLS-Verifikatioun an Datebank-Authentifikatioun verschwannen net, well de Wee vun IAM autoriséiert gouf, an eng genehmegt Sessioun seet näischt doruechter, wéi eng Tabelle den Benotzer liese kann.
Wielt no Ëmfang a Liewenszyklus: en Tunnel, wann vill Benotzer vill Ziler brauchen an Dir de Zertifikats- oder Verzeechnes-Liewenszyklus bedreiwe kënnt; eng Weiderleitungs-Sessioun, wann eng Handvoll Leit en eenzegen Déngscht brauchen an Dir léiwer keng Netzwierkadressen ausdeelt. Registréiert op alle Fall d’Authentifikatiounsmethod, d’Autorisatiounsregel an d’Datebankumeldung als dräi getrennt Fakten, well se getrennt fehlschloen.