AWS Client VPN SAML и Google Workspace: јазот во повратниот повик

Страницата app_not_configured_for_user доаѓа од Google Workspace и се појавува пред да биде договорен и еден пакет од тунелот. Тој редослед е целата дијагноза. Преинсталирањето на клиентот, уредувањето на профилот или проверката на рутите не можат да исчистат страница што крајната точка на VPN сè уште не ја видела. Чекорот што паѓа е предавање во прелистувачот помеѓу давателот на идентитет и слушател на самата машина на корисникот, и во тоа предавање вреди да се проверат точно три работи.

Читајте ја страницата како изјава од давателот на идентитет

Google го враќа ова кога SAML апликацијата не е овозможена за сметката што се најавила. Апликацијата може да е исклучена, корисникот може да е надвор од доделената организациска единица или група, или поставките на давателот на услуга може да не одговараат на она што го барало барањето.

Ништо од тоа не е проблем со сертификат, рута или тунел, иако корисникот го забележал во VPN клиентот.

Двете вредности што клиентот ќе ги прифати

AWS Client VPN врши SAML размена иницирана од давателот на услуга, па клиентот отвора прелистувач, корисникот се автентицира, и давателот испраќа потпишано тврдење назад на URL на Assertion Consumer Service. За десктоп клиентот што го обезбедува AWS тој URL е слушател на loopback, обично порта 35001, а очекуваната публика е идентификаторот на ентитетот на SAML апликацијата на Client VPN, а не ентитетот за најава на AWS конзолата.

Двете вредности мора да одговараат на она што клиентот го очекува: каде се испраќа тврдењето и на кого му е упатено. Конфигурација копирана од SSO апликација во конзолата може да изгледа сосема уверливо и сепак да го цели погрешниот пар.

Земете ги двете вредности од барањата на Client VPN SAML, а не од општ водич за еднократна најава на AWS. SSO ентитетот во конзолата изгледа доволно слично за да биде примамлив. Тоа е друга апликација со друга публика, и клиентот го одбива тврдењето без да се објасни. Копирајте го парот еднаш и чувајте го до профилот.

Google нема да го прифати обичниот HTTP повратен повик

Администраторската конзола бара HTTPS ACS URL, а повратниот повик на клиентот е обичен HTTP на loopback. Таа вредност воопшто не може да се внесе во конфигурацијата на апликацијата Workspace, затоа некои тимови пробуваат обратен прокси што завршува TLS и препраќа до локалниот слушател. Тоа не ја поправа неусогласеноста: прелистувачот гледа едно потекло, клиентот рекламира друго, а вратениот одговор може да пристигне на погрешна дестинација.

Решението што работи е посредник давател на идентитет. SAML апликацијата кај посредникот ги добива loopback повратниот повик и публиката на AWS, а посредникот ја федерира сметката Workspace нагоре. Правилото за HTTPS на Google останува исполнето, и тврдењето што стигнува до клиентот сè уште ја наведува адресата и публиката што ги очекува.

Тој посредник е административна зависност што некој треба да ја поседува, следи и вклучи во отпуштањето. Тоа е и второ место каде прекин се претвора во неуспешна најава. Проценете го пред да го ветите дизајнот. Ако никој нема да го поседува, чесниот одговор е дека клиентот на AWS не може да го користи Workspace како свој единствен давател на идентитет.

Доделување и двостепена проверка

Пред да преправите нешто, потврдете дека апликацијата е вклучена за вистинската организациска единица или група и дека SAML апликациите од трети страни имаат свои контроли за доделување, одвоени од списокот апликации на страната на Google.

Проверете и дали на сметката е овозможена двостепена проверка. Google може да ја бара пред SAML апликацијата да стане употреблива за корисник, и еден одговор во оригиналната дискусија беше решен токму така. Тоа е најевтиното за исклучување и најдосадното за откривање последно.

Проверете со чиста сесија

По секоја промена тестирајте со нов профил на прелистувач и чиста конфигурација на клиентот. Кешираните тврдења и повторно користените сесии кријат дали поправката успеала.

Потоа споредете два записи еден до друг: настанот за ревизија на давателот на идентитет и дневникот на клиентот. Успешна најава без тунел укажува назад на повратниот повик или публиката. Поврзан тунел со недостапен ресурс е проблем со рутирање или авторизација и припаѓа сосема на друго место.

Што да не менувате

Не отстранувајте го auth-federate од профилот и не исклучувајте ги проверките на сертификати за да ја заобиколите страницата. Двете го менуваат дизајнот на автентикација, а не неуспешниот повратен повик, и двете обично се кршат при следното ажурирање на клиентот.

Поправете го наместо тоа предавањето и оставете белешка што ги наведува посредникот, публиката и портата на loopback. Следниот човек што ќе ја види страницата ќе ги потребува сите три.