Pengesahan AWS Client VPN: kebenaran IAM bukan kaedah log masuk
Kebenaran konsol tidak mengesahkan terowong. Bandingkan kaedah sijil, AD dan SAML, kemudian lihat bila pemajuan port SSM sesuai untuk satu pangkalan data peribadi.
Memberi pengguna kebenaran untuk mencipta atau menerangkan titik akhir AWS Client VPN tidak membenarkannya menyambung ke titik akhir itu. Ini dua jenis identiti yang berbeza: IAM mengawal panggilan AWS API, dan titik akhir hanya menerima kaedah pengesahan klien yang dikonfigurasikan padanya. Jadi pengguna boleh mempunyai hak konsol yang luas namun tetap tiada apa-apa yang boleh dikemukakan oleh klien VPN. Tentukan kaedah mana yang dipercayai oleh titik akhir, kemudian tentukan sama ada terowong penuh ialah bentuk yang betul untuk akses yang anda berikan.
Identiti API bukan identiti terowong
Apabila seseorang berkata «peranan IAM sudah dilampirkan, mengapa VPN masih gagal», jawapannya biasanya tiada satu pun langkah dalam aliran sambungan membaca peranan itu. Klien mengemukakan sijil, nama pengguna dan kata laluan AD, atau pernyataan SAML. Titik akhir mengesahkan salah satunya dan kemudian memberikan alamat.
IAM masih penting, hanya kemudian dan di tempat lain: mencipta titik akhir, mengaitkan subnet, menerbitkan laluan dan menulis peraturan kebenaran ialah tindakan API. Kekalkan kebenaran itu terhad kepada pengendali yang memerlukannya dan bukan memberi setiap pengguna keupayaan menulis semula peraturan akses titik akhir.
Pilih daripada kaedah yang disokong oleh titik akhir
AWS Client VPN menerima pengesahan bersama berasaskan sijil, pengesahan Active Directory dan pengesahan persekutuan berasaskan SAML. Sijil pelayan diperlukan tanpa mengira kaedah klien yang anda pilih, dan konfigurasi yang menggabungkan kaedah memerlukan kedua-duanya berjaya, bukan salah satu.
| Client method | What the user presents | Where the work sits |
|---|---|---|
| Mutual certificate | A client certificate the endpoint trusts | Certificate authority, issuing and revoking per user |
| Active Directory | Domain credentials | Directory reachable from the endpoint's VPC |
| SAML federation | An assertion from an identity provider | IdP application, attribute mapping, client support |
Sijil paling murah untuk disediakan dan paling mudah disalahkan pada skala besar, kerana setiap pengguna memerlukan kelayakan dan setiap pemergian memerlukan pembatalan. Pengesahan direktori memindahkan kitaran hayat itu ke sistem sedia ada. Persekutuan memindahkannya kepada pembekal identiti dan menambah langkah pelayar pada klien.
Baca konfigurasi titik akhir itu sendiri sebelum menyahpepijat klien. Jika pengesahan bersama diaktifkan bersama kaedah berasaskan pengguna, klien dengan sijil sah tetapi tanpa akaun direktori masih akan gagal, dan ralat biasanya kelihatan seperti masalah jabat tangan umum.
Persekutuan bukan menghantar kunci akses
Persediaan SAML tidak memasukkan kunci akses IAM atau token peranan yang diandaikan ke dalam terowong. Pembekal identiti mengesahkan orang itu, mengembalikan pernyataan, dan titik akhir menerimanya di bawah kepercayaan yang anda konfigurasikan. Sesi yang terhasil ialah sesi VPN, bukan sesi AWS API.
Perbezaan itu menentukan siapa boleh mendiagnosis apa. Masalah IdP muncul sebagai ralat pelayar atau klien sebelum ada terowong, manakala masalah terowong muncul selepas pernyataan yang berjaya. Tanya yang mana antara keduanya yang anda lihat sebelum membuka mana-mana konsol.
Selepas log masuk, laluan dan kebenaran masih menentukan
Pengesahan memberi sesi satu alamat; ia tidak memberi sesi satu destinasi. Laluan titik akhir memberitahu klien ke subnet mana untuk dihantar, peraturan kebenaran menentukan pengguna mana yang boleh mencapai subnet mana, dan kumpulan keselamatan serta kebenaran sasaran itu sendiri menentukan selebihnya.
Itulah sebabnya pengguna yang berjaya disahkan masih boleh gagal mencapai pangkalan data. Semak kaitan jadual laluan untuk subnet, peraturan kebenaran untuk kumpulan pengguna dan kumpulan keselamatan pada sasaran dalam urutan itu, kerana setiap satu menghasilkan jenis tamat masa yang berbeza.
Untuk satu pangkalan data peribadi, bandingkan dengan pemajuan port
Jika tugas sebenar ialah satu sambungan yang diluluskan ke satu pangkalan data peribadi, terowong rangkaian penuh ialah pilihan dan bukan keperluan. AWS Systems Manager Session Manager boleh membuka sesi pemajuan port ke nod terurus melalui IAM, dan nod itu mencapai pangkalan data pada rangkaian peribadi. Pengguna tidak pernah menerima alamat VPC. Nod terurus menjadi satu-satunya hos yang boleh mencapai port pangkalan data, dan itulah biasanya yang diminta oleh semakan keselamatan. Pengguna kemudian memerlukan klien tempatan dan arahan sesi dan bukannya profil VPN.
Pertukaran ialah skop berbanding prasyarat. Pemajuan port memerlukan ejen SSM pada nod terurus, kebolehsampaian rangkaian dari nod itu ke pangkalan data, pemalam Session Manager pada mesin pengguna dan kebenaran untuk memulakan sesi tertentu itu. Ia bukan laluan ke setiap subnet, dan ia tidak akan membawa protokol sewenang-wenangnya seperti terowong.
Walau apa pun, kekalkan identiti pangkalan data itu sendiri. Pengesahan TLS dan pengesahan pangkalan data tidak hilang kerana laluan itu dibenarkan oleh IAM, dan sesi yang diluluskan tidak mengatakan apa-apa tentang jadual mana yang boleh dibaca oleh pengguna.
Pilih berdasarkan skop dan kitaran hayat: terowong apabila ramai pengguna memerlukan banyak destinasi dan anda boleh mengendalikan kitaran hayat sijil atau direktori; sesi pemajuan apabila segelintir orang memerlukan satu perkhidmatan dan anda lebih suka tidak mengagihkan alamat rangkaian. Walau apa pun, rekod kaedah pengesahan, peraturan kebenaran dan log masuk pangkalan data sebagai tiga fakta berasingan, kerana ketiganya gagal secara berasingan.