AWS Client VPN SAML a Google Workspace: de Lach am Callback

D’Säit app_not_configured_for_user kënnt vu Google Workspace a si erschéngt, ier een eenzegen Tunnelpak ausgehandelt ass. Dës Reiefolleg ass déi ganz Diagnos. De Client nei installéieren, de Profil änneren oder d’Routen iwwerpréiwen kann eng Säit net ewechmaachen, déi den VPN-Endpunkt nach net gesinn huet. De Schrëtt, dee feelt, ass eng Iwwergab am Browser tëscht dem Identitéitsprovider an engem Lauschterer op dem Benotzer senger eege Maschinn, an an där Iwwergab sinn et genee dräi Saachen, déi et wäert sinn ze préiwen.

Liest d’Säit als eng Deklaratioun vum Identitéitsprovider

Google gëtt dëst zréck, wann d’SAML-Applikatioun net fir de Kont aktivéiert ass, deen sech ageloggt huet. D’App kann ausgeschalt sinn, de Benotzer kann ausserhalb vun der zougewisener Organisatiounseenheet oder Grupp sinn, oder d’Astellunge vum Serviceprovider kënnen net mat deem iwwerenee stëmmen, wat d’Ufro verlaangt huet.

Näischt dovun ass e Zertifikat-, Routen- oder Tunnelproblem, och wann de Benotzer et am VPN-Client bemierkt huet.

Déi zwee Wäerter, déi de Client akzeptéiert

AWS Client VPN mécht en SAML-Austausch, dee vum Serviceprovider ugefaange gëtt, also mécht de Client e Browser op, de Benotzer authentifizéiert sech, an de Provider schéckt eng ënnerschriwwen Assertioun zréck op eng Assertion Consumer Service-URL. Fir den Desktopclient vun AWS ass déi URL e Lauschterer op loopback, meeschtens Port 35001, an déi erwaart Publikum ass den Entitéitsidentifikator vun der Client VPN SAML-Applikatioun, net d’Entitéit vum AWS-Konsol-Login.

Béid Wäerter mussen deem entspriechen, wat de Client erwaart: wou d’Assertioun hi geschéckt gëtt a un wien se adresséiert ass. Eng Konfiguratioun, déi aus enger Konsol-SSO-Applikatioun kopéiert gouf, kann ganz iwwerzeegend ausgesinn an trotzdem dat falscht Puer uviséieren.

Huelt béid Wäerter aus de Client VPN SAML-Ufuerderungen, net aus engem allgemenge AWS-Guide fir eenzeg Umeldung. D’Konsol-SSO-Entitéit gesäit ähnlech genuch aus, fir verlockend ze sinn. Et ass eng aner Applikatioun mat enger anerer Publikum, an de Client verwërft d’Assertioun, ouni sech ze erklären. Kopéiert d’Puer eng Kéier a versuergt et nieft dem Profil.

Google wäert den einfachen HTTP-Callback net akzeptéieren

D’Administratiounskonsol verlaangt eng HTTPS-ACS-URL, an de Callback vum Client ass einfachen HTTP op loopback. Dee Wäert kann een iwwerhaapt net an d’Konfiguratioun vun der Workspace-App antippen, dofir probéieren e puer Teams en ëmgedréinte Proxy, deen TLS ofschléisst an un de lokale Lauschterer weiderleede. Dat reparéiert den Ënnerscheed net: de Browser gesäit eng Origine, de Client annoncéiert eng aner, an déi zréckkomm Äntwert kann um falschen Zil ukommen.

D’Léisung, déi funktionéiert, ass en Broker-Identitéitsprovider. D’SAML-Applikatioun beim Broker kritt den Loopback-Callback an d’AWS-Publikum, an de Broker federéiert de Workspace-Kont no uewen. Dem Google seng HTTPS-Reeg bleift erfëllt, an d’Assertioun, déi beim Client ukommt, nennt nach ëmmer d’Adress an d’Publikum, déi en erwaart.

Dee Broker ass eng administrativ Ofhängegkeet, déi een iwwerhuele, iwwerwaache muss an an der Offboarding muss abezéien. Et ass och eng zweet Plaz, wou eng Stéierung zu enger Loginfeeler gëtt. Präist en, ier der den Design verspriechen. Wann een en net iwwerhëlt, ass déi éierlech Äntwert, datt den AWS-Client de Workspace net als säin eenzegen Identitéitsprovider kann notzen.

Zouweisung an zweestufeg Verifikatioun

Ier der eppes nei designt, bestätegt, datt d’App fir déi richteg Organisatiounseenheet oder Grupp ageschalt ass, an datt SAML-Applikatioune vun Drëtte hir eege Zouweisungskontrolle hunn, getrennt vun der App-Lëscht op der Google-Säit.

Préift och, ob op dem Kont zweestufeg Verifikatioun ageschalt ass. Google kann se verlaangen, ier eng SAML-Applikatioun fir e Benotzer brauchbar gëtt, an eng eenzeg Äntwert am ursprénglechen Thread gouf genee sou geléist. Et ass dat bëllegst, wat ee kann ausschléissen, an dat lästegst, wat ee fir d’lescht entdeckt.

Verifizéiert mat enger propperer Sessioun

No all Ännerung testt mat engem neie Browserprofil an enger propperer Clientkonfiguratioun. Gecachte Assertiounen a weiderbenotzte Sessiounen verstoppen, ob de Fix ukomm ass.

Dann vergläicht zwee Opzeechnungen niefteneen: dem Identitéitsprovider säi Audit-Event an de Client-Log. E erfollegräichen Login ouni Tunnel weist zréck op de Callback oder d’Publikum. En ageschalten Tunnel mat enger onerreechbarer Ressource ass e Routing- oder Autorisatiounsproblem a gehéiert ganz anzwousch anescht.

Wat een net soll änneren

Huelt auth-federate net aus dem Profil eraus a schalt d’Zertifikatspréiwen net aus, fir d’Säit ze iwwersprangen. Béides ännert den Design vun der Authentifikatioun an net de feelerhaften Callback, a béides geet meeschtens beim nächsten Clientupdate futti.

Flickt amplaz d’Iwwergab, a léisst en Notiz, déi de Broker, d’Publikum an de Loopback-Port nennt. Déi nächst Persoun, déi d’Säit gesäit, brauch all dräi.