AWS Client VPN SAML आणि Google Workspace: कॉलबॅकची दरी

app_not_configured_for_user पृष्ठ Google Workspace कडून येते आणि एकही बोगदा पॅकेट वाटाघाटी होण्यापूर्वी दिसते. हा क्रम म्हणजे संपूर्ण निदान. क्लायंट पुन्हा स्थापित करणे, प्रोफाइल संपादित करणे किंवा मार्ग तपासणे यामुळे VPN अंतबिंदूने अद्याप न पाहिलेले पृष्ठ साफ होऊ शकत नाही. अयशस्वी होणारी पायरी म्हणजे ओळख प्रदाता आणि वापरकर्त्याच्या स्वतःच्या मशीनवरील श्रोत्याच्या दरम्यान ब्राउझरमधील हस्तांतरण, आणि त्या हस्तांतरणात नेमक्या तीन गोष्टी तपासण्यासारख्या आहेत.

पृष्ठाला ओळख प्रदात्याचे विधान म्हणून वाचा

साइन इन केलेल्या खात्यासाठी SAML अनुप्रयोग सक्षम नसताना Google हे परत करते. अनुप्रयोग बंद असू शकतो, वापरकर्ता नेमून दिलेल्या संस्थात्मक एकक किंवा गटाबाहेर असू शकतो, किंवा सेवा प्रदात्याच्या सेटिंग्ज विनंतीने मागितलेल्या गोष्टीशी जुळत नसू शकतात.

यापैकी कोणतीही प्रमाणपत्र, मार्ग किंवा बोगद्याची समस्या नाही, जरी वापरकर्त्याने ती VPN क्लायंटमध्ये लक्षात घेतली असली तरी.

क्लायंट स्वीकारणारी दोन मूल्ये

AWS Client VPN सेवा प्रदात्याने सुरू केलेली SAML देवाणघेवाण करते, म्हणून क्लायंट ब्राउझर उघडतो, वापरकर्ता स्वतःचे प्रमाणीकरण करतो, आणि प्रदाता स्वाक्षरी केलेले विधान Assertion Consumer Service URL वर परत पाठवतो. AWS ने दिलेल्या डेस्कटॉप क्लायंटसाठी तो URL loopback वरील श्रोता आहे, सामान्यतः पोर्ट 35001, आणि अपेक्षित प्रेक्षक Client VPN SAML अनुप्रयोगाची अस्तित्व ओळख आहे, AWS कन्सोलची साइन-इन अस्तित्व नाही.

दोन्ही मूल्ये क्लायंट अपेक्षित असलेल्या गोष्टीशी जुळली पाहिजेत: विधान कुठे पोस्ट होते आणि कोणाला उद्देशून आहे. कन्सोलच्या SSO अनुप्रयोगातून कॉपी केलेली संरचना पूर्णपणे विश्वासार्ह दिसू शकते आणि तरीही चुकीच्या जोडीला लक्ष्य करू शकते.

दोन्ही मूल्ये Client VPN SAML च्या आवश्यकतांमधून घ्या, सामान्य AWS एकल साइन-ऑन मार्गदर्शकातून नाही. कन्सोलची SSO अस्तित्व इतकी जुळती दिसते की मोहात पाडते. ती वेगळ्या प्रेक्षकांची वेगळी अनुप्रयोग आहे, आणि क्लायंट स्वतःला स्पष्ट न करता विधान नाकारतो. जोडी एकदा कॉपी करा आणि प्रोफाइलजवळ ठेवा.

Google साधा HTTP कॉलबॅक स्वीकारणार नाही

प्रशासकीय कन्सोल HTTPS ACS URL मागते, आणि क्लायंटचा कॉलबॅक loopback वर साधा HTTP आहे. ते मूल्य Workspace अनुप्रयोगाच्या संरचनेत अजिबात टाइप करता येत नाही, म्हणूनच काही संघ TLS संपवून स्थानिक श्रोत्याकडे पाठवणारा उलटा प्रॉक्सी वापरून पाहतात. यामुळे विसंगती दुरुस्त होत नाही: ब्राउझर एक मूळ पाहतो, क्लायंट दुसरे जाहीर करतो, आणि परत आलेला प्रतिसाद चुकीच्या गंतव्यस्थानी पोहोचू शकतो.

जे काम करते ते म्हणजे दलाल ओळख प्रदाता. दलालाकडील SAML अनुप्रयोगाला loopback कॉलबॅक आणि AWS प्रेक्षक मिळतात, आणि दलाल Workspace खाते वरच्या दिशेने एकत्रित करतो. Google चा HTTPS नियम पूर्ण राहतो, आणि क्लायंटपर्यंत पोहोचणारे विधान अजूनही अपेक्षित पत्ता आणि प्रेक्षक नावाने सांगते.

तो दलाल ही प्रशासकीय अवलंबित्व आहे जे कोणीतरी मालकीने ठेवले पाहिजे, देखरेख केली पाहिजे आणि बाहेर पडण्याच्या प्रक्रियेत समाविष्ट केले पाहिजे. व्यत्यय लॉगिन अयशस्वी होण्याचे ते दुसरे स्थान आहे. रचना देण्याचे वचन देण्यापूर्वी त्याची किंमत मोजा. जर कोणीही त्याची मालकी घेतली नाही, तर प्रामाणिक उत्तर असे आहे की AWS क्लायंट Workspace ला त्याचा एकमेव ओळख प्रदाता म्हणून वापरू शकत नाही.

नियुक्ती आणि दोन-टप्पे पडताळणी

काहीही पुनर्रचना करण्यापूर्वी अनुप्रयोग योग्य संस्थात्मक एकक किंवा गटासाठी सुरू आहे आणि तृतीय-पक्ष SAML अनुप्रयोगांना Google बाजूच्या अनुप्रयोग सूचीपासून वेगळे स्वतंत्र नियुक्ती नियंत्रण आहे याची खात्री करा.

खात्यावर दोन-टप्पे पडताळणी सक्षम आहे का हे देखील तपासा. SAML अनुप्रयोग वापरकर्त्यासाठी वापरण्यायोग्य होण्यापूर्वी Google ती आवश्यक करू शकते, आणि मूळ थ्रेडमधील एक उत्तर नेमके त्याच प्रकारे सोडवले गेले. ती वगळणे सर्वात स्वस्त आणि शेवटी शोधणे सर्वात त्रासदायक.

स्वच्छ सत्राने पडताळा

कोणत्याही बदलानंतर नवीन ब्राउझर प्रोफाइल आणि स्वच्छ क्लायंट संरचनेसह चाचणी करा. कॅशे केलेली विधाने आणि पुनर्वापर केलेली सत्रे दुरुस्ती झाली का हे लपवतात.

नंतर दोन नोंदी शेजारी शेजारी तुलना करा: ओळख प्रदात्याची लेखापरीक्षण घटना आणि क्लायंट लॉग. बोगद्याशिवाय यशस्वी साइन-इन कॉलबॅक किंवा प्रेक्षकांकडे निर्देश करते. जोडलेला बोगदा पण पोहोच न येणारा स्रोत मार्गनिर्देशन किंवा अधिकृततेची समस्या आहे आणि पूर्णपणे वेगळ्या ठिकाणची आहे.

काय बदलू नये

पृष्ठ ओलांडण्यासाठी प्रोफाइलमधून auth-federate काढू नका किंवा प्रमाणपत्र तपासण्या बंद करू नका. दोन्ही अयशस्वी कॉलबॅकऐवजी प्रमाणीकरणाची रचना बदलतात, आणि दोन्ही सामान्यतः पुढील क्लायंट अद्ययावतामध्ये तुटतात.

त्याऐवजी हस्तांतरण दुरुस्त करा, आणि दलाल, प्रेक्षक आणि loopback पोर्ट नावाने नमूद करणारी टीप सोडा. पृष्ठ पाहणाऱ्या पुढील व्यक्तीला तीनही लागतील.