Автентикација на AWS Client VPN: дозволите на IAM не се метод за најава
Дозволите во конзолата не автентицираат тунел. Споредете ги методите со сертификат, AD и SAML, потоа видете кога преусмерувањето на порта преку SSM одговара на една приватна база на податоци.
Давањето на корисник дозвола да создаде или опише крајна точка на AWS Client VPN не му овозможува да се поврзе со неа. Тоа се два различни вида идентитет: IAM управува со повиците кон AWS API, а крајната точка прифаќа само методите за автентикација на клиент конфигурирани на неа. Затоа корисникот може да има широки права во конзолата, а сепак да нема ништо што VPN клиентот може да го претстави. Одлучете на кој метод му верува крајната точка, потоа одлучете дали целосен тунел е вистинската форма за пристапот што го давате.
Идентитетот на API не е идентитет на тунел
Кога некој ќе каже „IAM улогата е прикачена, зошто VPN сè уште не работи“, одговорот обично е дека ниту еден чекор во текот на поврзувањето никогаш не ја чита таа улога. Клиентот претставува сертификат, корисничко име и лозинка на AD или тврдење SAML. Крајната точка валидира едно од нив и потоа доделува адреса.
IAM сè уште е важен, само подоцна и на друго место: создавањето на крајната точка, поврзувањето на подмрежи, објавувањето рути и пишувањето правила за авторизација се API дејства. Држете ги тие дозволи ограничени на операторите на кои им требаат, наместо на секој корисник да му дадете можност да ги препише правилата за пристап на крајната точка.
Изберете од методите што ги поддржува крајната точка
AWS Client VPN прифаќа меѓусебна автентикација заснована на сертификат, автентикација преку Active Directory и федеративна автентикација заснована на SAML. Серверски сертификат е потребен без оглед на избраниот клиентски метод, а конфигурацијата што комбинира методи бара успех на двете, а не на едната.
| Client method | What the user presents | Where the work sits |
|---|---|---|
| Mutual certificate | A client certificate the endpoint trusts | Certificate authority, issuing and revoking per user |
| Active Directory | Domain credentials | Directory reachable from the endpoint's VPC |
| SAML federation | An assertion from an identity provider | IdP application, attribute mapping, client support |
Сертификатите се најевтини за поставување и најлесни за грешка во голем обем, бидејќи секој корисник бара акредитив, а секое заминување бара отповикување. Автентикацијата преку директориум го преместува тој животен циклус во постоечки систем. Федерацијата го преместува кај давател на идентитет и му додава чекор во прелистувач на клиентот.
Прочитајте ја сопствената конфигурација на крајната точка пред да го отстранувате дефектот на клиентот. Ако меѓусебната автентикација е овозможена покрај метод заснован на корисник, клиент со валиден сертификат, но без сметка во директориумот, сè уште ќе не успее, а грешката обично изгледа како општ проблем со ракување.
Федерацијата не е пренесување пристапни клучеви
Поставувањето SAML не внесува пристапни клучеви на IAM или токен на преземена улога во тунелот. Давателот на идентитет ја автентицира личноста, враќа тврдење, а крајната точка го прифаќа во рамки на довербата што сте ја конфигурирале. Добиената сесија е VPN сесија, а не сесија на AWS API.
Таа разлика одлучува кој што може да дијагностицира. Проблемите со IdP се појавуваат како грешка во прелистувачот или клиентот пред воопшто да постои тунел, додека проблемите со тунелот се појавуваат по успешно тврдење. Прашајте кое од двете го гледате пред да отворите која било од конзолите.
По најавата, рутите и авторизацијата сè уште одлучуваат
Автентикацијата и дава адреса на сесијата; таа не и дава дестинација. Рутите на крајната точка му кажуваат на клиентот во кои подмрежи да испраќа, правилата за авторизација одлучуваат кои корисници можат да достигнат која од тие подмрежи, а безбедносните групи заедно со сопствените дозволи на целта одлучуваат за остатокот.
Затоа корисник што успешно се автентицирал сè уште може да не достигне база на податоци. Проверете го поврзувањето на табелата со рути за подмрежата, правилото за авторизација за групата на корисникот и безбедносната група на целта по тој редослед, бидејќи секое од нив произведува различен вид истекување на времето.
За една приватна база на податоци, споредете со преусмерување на порта
Ако вистинската задача е една одобрена врска до една приватна база на податоци, целосен мрежен тунел е избор, а не барање. AWS Systems Manager Session Manager може преку IAM да отвори сесија за преусмерување на порта до управуван јазол, и тој јазол ја достигнува базата на податоци во приватната мрежа. Корисникот никогаш не добива адреса на VPC. Управуваниот јазол станува единствениот домаќин што може да ја достигне портата на базата на податоци, и тоа обично е она што го бараше безбедносниот преглед. Потоа на корисниците им треба локален клиент и команда за сесија наместо профил на VPN.
Размената е опсег наспроти предуслови. Преусмерувањето на порта бара SSM агент на управуваниот јазол, мрежна достапност од тој јазол до базата на податоци, приклучок Session Manager на машината на корисникот и дозвола за стартување на токму таа сесија. Тоа не е пат во секоја подмрежа и нема да пренесува произволни протоколи како тунелот.
Во секој случај задржете го сопствениот идентитет на базата на податоци. Проверката TLS и автентикацијата на базата на податоци не исчезнуваат затоа што патеката е авторизирана од IAM, а одобрената сесија не кажува ништо за тоа кои табели корисникот смее да ги чита.
Изберете според опсегот и животниот циклус: тунел кога на многу корисници им требаат многу дестинации и можете да водите животен циклус на сертификати или директориум; сесија за преусмерување кога на неколку луѓе им треба една услуга и повеќе сакате да не делите мрежни адреси. Во секој случај запишете го методот на автентикација, правилото за авторизација и најавата во базата на податоци како три одделни факти, бидејќи тие не успеваат одделно.