AWS Client VPN SAML ir Google Workspace: atgalinio iškvietimo spraga

Puslapis app_not_configured_for_user ateina iš Google Workspace ir pasirodo anksčiau, nei suderinamas bent vienas tunelio paketas. Ši tvarka ir yra visa diagnostika. Kliento perdiegimas, profilio redagavimas ar maršrutų tikrinimas negali išvalyti puslapio, kurio VPN galinis taškas dar nematė. Nepavykęs žingsnis yra perdavimas naršyklėje tarp tapatybės teikėjo ir klausytuvo pačiame naudotojo kompiuteryje, ir tame perdavime verta patikrinti lygiai tris dalykus.

Skaitykite puslapį kaip tapatybės teikėjo pareiškimą

Google tai grąžina, kai SAML programa nėra įjungta tam naudotojui, kuris prisijungė. Programa gali būti išjungta, naudotojas gali būti už paskirto organizacinio vieneto ar grupės, arba paslaugos teikėjo nustatymai gali neatitikti to, ko reikalavo užklausa.

Niekas iš to nėra sertifikato, maršruto ar tunelio problema, nors naudotojas tai pastebėjo VPN kliente.

Dvi reikšmės, kurias klientas priims

AWS Client VPN atlieka paslaugos teikėjo inicijuotą SAML mainus, todėl klientas atidaro naršyklę, naudotojas autentifikuojasi, o teikėjas išsiunčia pasirašytą teiginį atgal į Assertion Consumer Service URL. AWS teikiamam darbalaukio klientui tas URL yra klausytuvas per loopback, paprastai 35001 prievadas, o laukiama auditorija yra Client VPN SAML programos objekto identifikatorius, o ne AWS konsolės prisijungimo objektas.

Abi reikšmės turi atitikti tai, ko klientas tikisi: kur siunčiamas teiginys ir kam jis adresuotas. Konfigūracija, nukopijuota iš konsolės SSO programos, gali atrodyti visiškai įtikinamai ir vis tiek taikyti neteisingą porą.

Imkite abi reikšmes iš Client VPN SAML reikalavimų, o ne iš bendro AWS vienkartinio prisijungimo vadovo. Konsolės SSO objektas atrodo pakankamai panašiai, kad gundytų. Tai kita programa su kita auditorija, ir klientas atmeta teiginį nepaaiškindamas. Nukopijuokite porą vieną kartą ir laikykite ją prie profilio.

Google nepriims paprasto HTTP atgalinio iškvietimo

Administravimo konsolė reikalauja HTTPS ACS URL, o kliento atgalinis iškvietimas yra paprastas HTTP per loopback. Šios reikšmės apskritai negalima įvesti į Workspace programos konfigūraciją, todėl kai kurios komandos bando atvirkštinį tarpinį serverį, kuris užbaigia TLS ir persiunčia vietiniam klausytuvui. Tai neištaiso neatitikimo: naršyklė mato vieną kilmę, klientas skelbia kitą, o grąžintas atsakymas gali atvykti netinkamu adresu.

Veikiantis sprendimas yra tarpininko tapatybės teikėjas. SAML programa pas tarpininką gauna loopback atgalinį iškvietimą ir AWS auditoriją, o tarpininkas federuoja Workspace paskyrą aukštyn. Google HTTPS taisyklė lieka įvykdyta, o klientą pasiekęs teiginys vis dar įvardija laukiamą adresą ir auditoriją.

Tas tarpininkas yra administracinė priklausomybė, kurią kažkas turi valdyti, stebėti ir įtraukti į atleidimo procesą. Tai ir antra vieta, kur sutrikimas virsta prisijungimo klaida. Įkainokite jį prieš žadėdami dizainą. Jei niekas jo nevaldys, sąžiningas atsakymas yra toks, kad AWS klientas negali naudoti Workspace kaip vienintelio tapatybės teikėjo.

Priskyrimas ir dviejų žingsnių patvirtinimas

Prieš ką nors pertvarkydami patvirtinkite, kad programa įjungta tinkamam organizaciniam vienetui ar grupei, ir kad trečiųjų šalių SAML programos turi savo priskyrimo valdymą, atskirą nuo programų sąrašo Google pusėje.

Taip pat patikrinkite, ar paskyroje įjungtas dviejų žingsnių patvirtinimas. Google gali jo reikalauti anksčiau, nei SAML programa taps naudojama naudotojui, ir vienas atsakymas pradinėje gijoje buvo išspręstas būtent taip. Tai pigiausia pašalinti ir nemaloniausia atrasti paskiausiai.

Patikrinkite švaria sesija

Po bet kokio pakeitimo bandykite su nauju naršyklės profiliu ir švaria kliento konfigūracija. Talpykloje laikomi teiginiai ir pakartotinai naudojamos sesijos paslepia, ar pataisa suveikė.

Tada palyginkite du įrašus vienas šalia kito: tapatybės teikėjo audito įvykį ir kliento žurnalą. Sėkmingas prisijungimas be tunelio nurodo atgal į iškvietimą ar auditoriją. Prijungtas tunelis su nepasiekiamu ištekliu yra maršrutizavimo ar autorizacijos problema ir priklauso visai kitur.

Ko nekeisti

Neišimkite auth-federate iš profilio ir neišjunkite sertifikatų patikrų, kad apeitumėte puslapį. Abu keičia autentifikacijos dizainą, o ne nepavykusį atgalinį iškvietimą, ir abu paprastai lūžta kitame kliento atnaujinime.

Verčiau pataisykite perdavimą ir palikite pastabą, kurioje nurodytas tarpininkas, auditorija ir loopback prievadas. Kitas žmogus, pamatęs puslapį, turės visus tris.