Mellt VPN SSO Benotzer automatesch an internen Apps un?

Eng Umeldung kann den Tunnel an d'Apps dohannert ofdecken, awer nëmmen wann all App hiren eegene Vertrauen huet. Hei ass d'Reiefolleg fir et ze verkabelen an ze testen.

En VPN-Gateway, dee sech iwwer en Identitéitsprovider authentifizéiert, beweist eng Saach: de Provider huet fir e Benotzer vis-à-vis vum Gateway gebiergt. Hie gëtt deem Benotzer keng Umeldungsdaten fir d'Intranet-Wiki, den Iwwerwaachungs-Dashboard oder de Build-Server. Déi Servicer melden d'Leit iwwer hir eege Föderatioun un a wenden hir eege Autorisatioun un, an den Tunnel entscheet just, wéi eng Pakete si kënne erreechen.

Dräi Sessiounen, dräi getrennten Entscheedungen

Halt d'Zoustänn getrennt, well jidderee no sengem eegene Plang ofleeft. D'VPN-Sessioun ass d'Acceptatioun vun enger Identitéit duerch de Gateway plus de Netzwierkzougang, deen en ginn huet. D'Browsersessioun beim Identitéitsprovider ass dat, wat de Browser nach fir dee Provider hält an no senger Politik ka weiderbenotzen. D'Applikatiounssessioun gehéiert zu engem Service, deen eng Äntwert validéiert huet, déi u hien adresséiert war.

Dës Zoustänn ze verwiesselen ergëtt déi falsch Fro, meeschtens formuléiert als firwat den Tunnel de Benotzer net iwwerall umellt. Formuléiert se ëm: wéi eng App huet keen Föderatiounsantrag, wat eng refuséiert de Benotzer, a wéi enger feelt eng Route. Eng eenzeg Umeldungsaufuer, déi d'Intranet-App opmécht, kann nach ëmmer zum Provider zréckspréngt, well déi zweet Ëmleedung eng nei Autorisatiounsufro fir en anert Publikum ass.

Verkabelt de Gateway als seng eegen Applikatioun

Registréiert de VPN als genehmegt Applikatioun beim Provider, mat senger eegener Kennung, Ëmleedungs-URI a Benotzerzoudeelung. Entscheet duerno, wéi eng Netzwierkautorisatiounen déi Umeldung gëtt, well dat eng VPN-Politik ass an net eng Providerfunktioun. Benotzer, déi nëmmen d'Iwwerwaachungssubnetz solle kënnen erreechen, kréien eng aner Gatewaypolitik, net en anert Passwuert.

D'Authentifikatiounsäntwert vum Tunnel ass keng weiderbenotzbar Umeldungsdaten. OIDC-ID-Token droen eng Publikumsufuer, déi de Client nennt, fir deen se ausgestallt goufen, an SAML-Bearer-Assertionen limitéieren de Publikum op de Serviceprovider, deen se kritt. En zweete Service, dee sech op d'Äntwert vum éischten afléisst, ass falsch konfiguréiert, an en Token an eng aner App ze kopéieren ass keng Integratioun.

Registréiert all intern App, setzt duerno de Browserkontext

All Service brauch déi ënnerstëtzt SAML- oder OIDC-Wäerter: Emittent, Clientkennung, Callback- oder Assertiounskonsument-URL, erfuerderlech Ufroe an Zoudeelung. D'Erreechbarkeet kënnt drop, well Identitéitspréifungen ni eng Route oder eng DNS-Äntwert liwweren.

  1. Maacht den Applikatiounsantrag an definit, datt d'Entitéits- oder Client-ID zu deem passt, wat d'App schéckt.
  2. Registréiert déi exakt Callback-URL inklusiv Schema a Port; eng knapp Verfeelerung schléit no der Authentifikatioun vum Benotzer feel.
  3. Deelt d'Benotzer oder Gruppen zou a bestätegt duerno, datt déi erfuerderlech Ufroe ginn.
  4. Erlaabt d'Endpunkten vum Identitéitsprovider souwéi déi privat App, soss kann d'Ëmleedung net ofschléissen.

De Browserkontext entscheet, ob eng bestoend Providersessioun weiderbenotzt gëtt. E native Client, deen de Systembrowser opmécht, kann deen Zoustand deelen, wärend eng agebett Vue mat sengem eegene Cookie-Glas dat meeschtens net kann. Neie Browser, privat Fënsteren an en zweet Profil fänken aus dem Näischt un, wat erwaart gëtt an net eng futti SSO-Konfiguratioun.

Fuert de Flux aus a liest, wou en ophält

Reproduzéiert mat dem Netzwierkpanel vum Browser a beobachtet d'Ëmleedungsketten. En nëtzlechen Duerchgang follegt ee Sprong op eemol: Gateway zum Provider, Provider zréck an d'App mat engem Code oder enger Assertioun, App zum Token-Endpunkt vum Provider, App-Sessioun ausgestallt. De Sprong, wou d'Ketten ophält, nennt de Komponent, dee muss reparéiert ginn.

Zwee Kommandozeilenpréifungen entscheeden déi üblech Zweifelen, a béid si sécher vun engem Adminhost auszeféieren:

curl -s https://idp.example.com/.well-known/openid-configuration | jq -r '.authorization_endpoint, .token_endpoint'
curl -sI https://app.example.net/ | grep -iE '^(HTTP/|location:)'

Wann d'Metadaten Endpunkte oplëschten, déi dir ni registréiert hutt, weist d'App op en anere Locataire oder Emittent. Wann déi éischt Ufro un d'App 302 op en onerwaarten Host äntwert, ass d'Föderatiounskonfiguratioun vun der App d'Stopp fir nozekucken, net de VPN-Profil.

Reparéiert d'Aufueren, andeems dir fannt, wien se gefrot huet

Eng zweet Passwuertaufuer ass net automatesch e Feeler. D'App kann en héicht Niveau u Sécherheet verlaangen, oder de Provider kann en Héchstalter vun der Sessioun an eng nei Erausfuerderung duerchsetzen. Dës Ufuerderunge weiderzemaachen, fir de Flux méi roueg ze maachen, schwächt eng bewosst Kontroll, also bestëmmt, wéi ee Komponent se gefrot huet, ier dir d'Politik ännert.

Entscheet duerno, wat soll verbessert ginn. Kommt d'Aufuer vun der App, reparéiert hiren Föderatiounsantrag. Kommt se vum Provider no der Politik, dokumentéiert d'Ufuerderung. Ass d'App no enger erfollegräicher Umeldung net erreechbar, ass d'Routing vum Tunnel verdächteg, well Identitéit an Ausliwwerung vu Pakete schéitere op verschiddene Plazen a sech vum Sëtz vum Benotzer aus ähnlech ausgesinn.

Ähnlech Artikelen