AWS Client VPN autentifikācija: IAM atļaujas nav pieteikšanās metode
Konsoles atļaujas neautentificē tuneli. Salīdziniet sertifikāta, AD un SAML metodes, pēc tam skatiet, kad SSM porta pāradresēšana atbilst vienai privātai datubāzei.
Piešķirot lietotājam atļauju izveidot vai aprakstīt AWS Client VPN galapunktu, viņš vēl nevar tam pievienoties. Tie ir divi dažādi identitātes veidi: IAM pārvalda AWS API izsaukumus, un galapunkts pieņem tikai tajā konfigurētās klienta autentifikācijas metodes. Tāpēc lietotājam var būt plašas konsoles tiesības un tomēr nekas, ko VPN klients varētu uzrādīt. Izlemiet, kurai metodei galapunkts uzticas, un pēc tam izlemiet, vai pilns tunelis ir pareizā forma piešķirtajai piekļuvei.
API identitāte nav tuneļa identitāte
Kad kāds saka „IAM loma ir piesaistīta, kāpēc VPN joprojām neizdodas“, atbilde parasti ir tāda, ka neviens savienojuma plūsmas solis nekad nelasa šo lomu. Klients uzrāda sertifikātu, AD lietotājvārdu un paroli vai SAML apgalvojumu. Galapunkts validē vienu no tiem un pēc tam piešķir adresi.
IAM joprojām ir svarīgs, tikai vēlāk un citur: galapunkta izveide, apakštīklu saistīšana, maršrutu publicēšana un autorizācijas noteikumu rakstīšana ir API darbības. Turiet šīs atļaujas ierobežotas ar operatoriem, kuriem tās vajadzīgas, tā vietā, lai katram lietotājam dotu iespēju pārrakstīt galapunkta piekļuves noteikumus.
Izvēlieties no metodēm, ko atbalsta galapunkts
AWS Client VPN pieņem sertifikātā balstītu savstarpēju autentifikāciju, Active Directory autentifikāciju un uz SAML balstītu federatīvu autentifikāciju. Servera sertifikāts ir nepieciešams neatkarīgi no izvēlētās klienta metodes, un konfigurācija, kas apvieno metodes, prasa abu panākumus, nevis vienas.
| Client method | What the user presents | Where the work sits |
|---|---|---|
| Mutual certificate | A client certificate the endpoint trusts | Certificate authority, issuing and revoking per user |
| Active Directory | Domain credentials | Directory reachable from the endpoint's VPC |
| SAML federation | An assertion from an identity provider | IdP application, attribute mapping, client support |
Sertifikāti ir vislētāk ieviešami un lielā mērogā visvieglāk saprotami nepareizi, jo katram lietotājam vajag akreditācijas datus un katrai aiziešanai vajag atsaukšanu. Direktorija autentifikācija pārceļ šo dzīves ciklu uz esošu sistēmu. Federācija pārceļ to pie identitātes nodrošinātāja un pievieno pārlūka soli klientam.
Izlasiet paša galapunkta konfigurāciju pirms klienta atkļūdošanas. Ja savstarpēja autentifikācija ir iespējota blakus lietotājā balstītai metodei, klients ar derīgu sertifikātu, bet bez direktorija konta joprojām neizdosies, un kļūda parasti izskatās kā vispārīga rokasspiediena problēma.
Federācija nav piekļuves atslēgu nodošana
SAML iestatījums neievada tunelī IAM piekļuves atslēgas vai pieņemtās lomas žetonu. Identitātes nodrošinātājs autentificē personu, atgriež apgalvojumu, un galapunkts to pieņem jūsu konfigurētās uzticības ietvaros. Rezultātā iegūtā sesija ir VPN sesija, nevis AWS API sesija.
Šī atšķirība nosaka, kas ko var diagnosticēt. IdP problēmas parādās kā pārlūka vai klienta kļūda pirms jebkāda tuneļa pastāvēšanas, savukārt tuneļa problēmas parādās pēc veiksmīga apgalvojuma. Pajautājiet, kuru no abiem jūs skatāties, pirms atverat jebkuru no konsolēm.
Pēc pieteikšanās maršruti un autorizācija joprojām izšķir
Autentifikācija sesijai piešķir adresi; tā sesijai nepiešķir galamērķi. Galapunkta maršruti pasaka klientam, uz kuriem apakštīkliem sūtīt, autorizācijas noteikumi izšķir, kuri lietotāji var sasniegt kuru no šiem apakštīkliem, un drošības grupas kopā ar mērķa paša atļaujām izšķir pārējo.
Tāpēc lietotājs, kas veiksmīgi autentificējas, joprojām var nesasniegt datubāzi. Pārbaudiet apakštīkla maršrutu tabulas saistījumu, lietotāja grupas autorizācijas noteikumu un drošības grupu uz mērķa tieši šajā secībā, jo katrs no tiem rada cita veida noildzi.
Vienai privātai datubāzei salīdziniet ar porta pāradresēšanu
Ja īstais uzdevums ir viens apstiprināts savienojums ar vienu privātu datubāzi, pilns tīkla tunelis ir izvēle, nevis prasība. AWS Systems Manager Session Manager var caur IAM atvērt porta pāradresēšanas sesiju uz pārvaldītu mezglu, un šis mezgls sasniedz datubāzi privātajā tīklā. Lietotājs nekad nesaņem VPC adresi. Pārvaldītais mezgls kļūst par vienīgo resursdatoru, kas var sasniegt datubāzes portu, un parasti tas ir tas, ko prasīja drošības pārskats. Pēc tam lietotājiem vajag vietējo klientu un sesijas komandu, nevis VPN profilu.
Kompromiss ir apjoms pret priekšnosacījumiem. Porta pāradresēšanai vajag SSM aģentu pārvaldītajā mezglā, tīkla sasniedzamību no šī mezgla līdz datubāzei, Session Manager spraudni lietotāja mašīnā un atļauju palaist tieši šo sesiju. Tas nav maršruts uz katru apakštīklu, un tas nepārvadās patvaļīgus protokolus tā, kā to dara tunelis.
Jebkurā gadījumā saglabājiet pašas datubāzes identitāti savā vietā. TLS pārbaude un datubāzes autentifikācija nepazūd tāpēc, ka ceļu autorizēja IAM, un apstiprināta sesija neko nepasaka par to, kuras tabulas lietotājs drīkst lasīt.
Izvēlieties pēc apjoma un dzīves cikla: tuneli, kad daudziem lietotājiem vajag daudz galamērķu un jūs varat uzturēt sertifikātu vai direktorija dzīves ciklu; pāradresēšanas sesiju, kad dažiem cilvēkiem vajag vienu pakalpojumu un jūs labprātāk neizdalītu tīkla adreses. Jebkurā gadījumā reģistrējiet autentifikācijas metodi, autorizācijas noteikumu un pieteikšanos datubāzē kā trīs atsevišķus faktus, jo tie neizdodas atsevišķi.