AWS Client VPN SAML un Google Workspace: atzvana robi

Lapa app_not_configured_for_user nāk no Google Workspace un parādās pirms tam, kad ir saskaņots pat viens tuneļa pakete. Šī secība ir visa diagnostika. Klienta pārinstalēšana, profila rediģēšana vai maršrutu pārbaude nevar notīrīt lapu, kuru VPN galapunkts vēl nav redzējis. Neizdevusies darbība ir pāreja pārlūkā starp identitātes nodrošinātāju un klausītāju pašā lietotāja datorā, un šajā pārejā ir vērts pārbaudīt tieši trīs lietas.

Lasiet lapu kā identitātes nodrošinātāja paziņojumu

Google to atgriež, kad SAML lietojumprogramma nav iespējota kontam, kurš pierakstījās. Programma var būt izslēgta, lietotājs var būt ārpus piešķirtās organizācijas vienības vai grupas, vai pakalpojuma sniedzēja iestatījumi var neatbilst tam, ko pieprasīja pieprasījums.

Neviens no tiem nav sertifikāta, maršruta vai tuneļa problēma, lai gan lietotājs to pamanīja VPN klientā.

Divas vērtības, ko klients pieņems

AWS Client VPN veic pakalpojuma sniedzēja iniciētu SAML apmaiņu, tāpēc klients atver pārlūku, lietotājs autentificējas, un nodrošinātājs nosūta parakstītu apgalvojumu atpakaļ uz Assertion Consumer Service URL. AWS nodrošinātajam galddatora klientam šis URL ir klausītājs uz loopback, parasti 35001 ports, un gaidītā auditorija ir Client VPN SAML lietojumprogrammas entītijas identifikators, nevis AWS konsoles pierakstīšanās entītija.

Abām vērtībām jāatbilst tam, ko klients gaida: kur apgalvojums tiek nosūtīts un kam tas adresēts. Konfigurācija, kas nokopēta no konsoles SSO lietojumprogrammas, var izskatīties pilnīgi ticama un tomēr mērķēt uz nepareizo pāri.

Ņemiet abas vērtības no Client VPN SAML prasībām, nevis no vispārīgas AWS vienotās pieteikšanās rokasgrāmatas. Konsoles SSO entītija izskatās pietiekami līdzīga, lai vilinātu. Tā ir cita lietojumprogramma ar citu auditoriju, un klients noraida apgalvojumu, nepaskaidrojot sevi. Nokopējiet pāri vienreiz un glabājiet to blakus profilam.

Google nepieņems vienkāršo HTTP atzvanu

Administrēšanas konsole pieprasa HTTPS ACS URL, un klienta atzvans ir vienkāršs HTTP uz loopback. Šo vērtību vispār nevar ievadīt Workspace lietojumprogrammas konfigurācijā, tāpēc dažas komandas izmēģina apgriezto starpniekserveri, kas pabeidz TLS un pārsūta uz vietējo klausītāju. Tas nelabo neatbilstību: pārlūks redz vienu izcelsmi, klients izziņo citu, un atgrieztā atbilde var nonākt nepareizā galamērķī.

Darbojošais risinājums ir starpnieka identitātes nodrošinātājs. SAML lietojumprogramma pie starpnieka saņem loopback atzvanu un AWS auditoriju, un starpnieks federē Workspace kontu uz augšu. Google HTTPS noteikums paliek izpildīts, un apgalvojums, kas sasniedz klientu, joprojām nosauc gaidīto adresi un auditoriju.

Šis starpnieks ir administratīva atkarība, kas kādam jāpārvalda, jāuzrauga un jāiekļauj darbinieka aiziešanas procesā. Tā ir arī otra vieta, kur pārtraukums pārvēršas pieteikšanās kļūmē. Novērtējiet to pirms dizaina solīšanas. Ja neviens to nepārvaldīs, godīgā atbilde ir tāda, ka AWS klients nevar izmantot Workspace kā vienīgo identitātes nodrošinātāju.

Piešķiršana un divpakāpju verifikācija

Pirms kaut ko pārprojektējat, pārliecinieties, ka lietojumprogramma ir ieslēgta pareizajai organizācijas vienībai vai grupai, un ka trešo pušu SAML lietojumprogrammām ir sava piešķiršanas kontrole, kas atšķiras no lietojumprogrammu saraksta Google pusē.

Pārbaudiet arī, vai kontā ir iespējota divpakāpju verifikācija. Google to var pieprasīt, pirms SAML lietojumprogramma kļūst lietojama lietotājam, un viena atbilde sākotnējā pavedienā tika atrisināta tieši tā. Tas ir lētākais, ko izslēgt, un nepatīkamākais, ko atklāt pēdējam.

Pārbaudiet ar tīru sesiju

Pēc jebkuras izmaiņas testējiet ar jaunu pārlūka profilu un tīru klienta konfigurāciju. Kešatmiņā saglabātie apgalvojumi un atkārtoti izmantotās sesijas slēpj, vai labojums ir nonācis.

Pēc tam salīdziniet divus ierakstus blakus: identitātes nodrošinātāja audita notikumu un klienta žurnālu. Veiksmīga pieteikšanās bez tuneļa norāda atpakaļ uz atzvanu vai auditoriju. Pievienots tunelis ar nesasniedzamu resursu ir maršrutēšanas vai autorizācijas problēma un pieder pavisam citur.

Ko ne mainīt

Neizņemiet auth-federate no profila un neizslēdziet sertifikātu pārbaudes, lai apietu lapu. Abi maina autentifikācijas dizainu, nevis neizdevušos atzvanu, un abi parasti salūzt nākamajā klienta atjauninājumā.

Labojiet tā vietā pāreju un atstājiet piezīmi, kurā nosaukts starpnieks, auditorija un loopback ports. Nākamajam cilvēkam, kas ieraudzīs lapu, būs vajadzīgi visi trīs.