AWS Client VPN SAML dan Google Workspace: jurang callback

Halaman app_not_configured_for_user datang daripada Google Workspace dan muncul sebelum satu paket terowong dirundingkan. Urutan itulah keseluruhan diagnosis. Memasang semula klien, menyunting profil atau memeriksa laluan tidak dapat membersihkan halaman yang belum dilihat oleh titik akhir VPN. Langkah yang gagal ialah penyerahan dalam pelayar antara penyedia identiti dan pendengar pada mesin pengguna sendiri, dan dalam penyerahan itu ada tepat tiga perkara yang wajar diperiksa.

Baca halaman itu sebagai kenyataan penyedia identiti

Google memulangkan ini apabila aplikasi SAML tidak didayakan untuk akaun yang log masuk. Aplikasi mungkin dimatikan, pengguna mungkin berada di luar unit organisasi atau kumpulan yang ditetapkan, atau tetapan penyedia perkhidmatan mungkin tidak sepadan dengan apa yang diminta oleh permintaan.

Tiada satu pun daripada itu masalah sijil, laluan atau terowong, walaupun pengguna menyedarinya dalam klien VPN.

Dua nilai yang akan diterima oleh klien

AWS Client VPN menjalankan pertukaran SAML yang dimulakan penyedia perkhidmatan, jadi klien membuka pelayar, pengguna mengesahkan identiti, dan penyedia menghantar pernyataan bertandatangan kembali ke URL Assertion Consumer Service. Untuk klien desktop yang disediakan AWS URL itu ialah pendengar pada loopback, biasanya port 35001, dan audiens yang dijangka ialah pengecam entiti aplikasi SAML Client VPN, bukan entiti log masuk konsol AWS.

Kedua-dua nilai mesti sepadan dengan apa yang dijangka oleh klien: di mana pernyataan disiarkan dan kepada siapa ia dialamatkan. Konfigurasi yang disalin daripada aplikasi SSO konsol boleh kelihatan sangat munasabah dan masih menyasarkan pasangan yang salah.

Ambil kedua-dua nilai daripada keperluan Client VPN SAML, bukan daripada panduan log masuk tunggal AWS yang generik. Entiti SSO konsol kelihatan cukup serupa untuk menggoda. Ia aplikasi lain dengan audiens lain, dan klien menolak pernyataan itu tanpa menjelaskan dirinya. Salin pasangan itu sekali, dan simpan di sebelah profil.

Google tidak akan menerima callback HTTP biasa

Konsol pentadbir memerlukan URL ACS HTTPS, dan callback klien ialah HTTP biasa pada loopback. Nilai itu tidak boleh ditaip ke dalam konfigurasi aplikasi Workspace sama sekali, sebab itulah sesetengah pasukan mencuba proksi songsang yang menamatkan TLS dan menghantar ke pendengar tempatan. Itu tidak membaiki ketidakpadanan: pelayar melihat satu asalan, klien mengiklankan yang lain, dan respons yang dipulangkan boleh tiba di destinasi yang salah.

Susunan yang berkesan ialah penyedia identiti perantara. Aplikasi SAML di perantara menerima callback loopback dan audiens AWS, dan perantara mempersekutukan akaun Workspace ke hulu. Peraturan HTTPS Google kekal dipenuhi, dan pernyataan yang sampai kepada klien masih menamakan alamat dan audiens yang dijangka.

Perantara itu ialah kebergantungan pentadbiran yang perlu dimiliki, dipantau dan dimasukkan oleh seseorang dalam proses keluar. Ia juga tempat kedua di mana gangguan menjadi kegagalan log masuk. Nilaikan kosnya sebelum menjanjikan reka bentuk. Jika tiada siapa yang memilikinya, jawapan jujurnya ialah klien AWS tidak boleh menggunakan Workspace sebagai satu-satunya penyedia identitinya.

Penugasan dan pengesahan dua langkah

Sebelum mereka semula apa-apa, pastikan aplikasi dihidupkan untuk unit organisasi atau kumpulan yang betul, dan aplikasi SAML pihak ketiga mempunyai kawalan penugasan sendiri yang berasingan daripada senarai aplikasi di sebelah Google.

Periksa juga sama ada akaun mempunyai pengesahan dua langkah dihidupkan. Google boleh mewajibkannya sebelum aplikasi SAML boleh digunakan oleh pengguna, dan satu jawapan dalam urutan asal telah diselesaikan tepat begitu. Ia perkara paling murah untuk disingkirkan dan paling menjengkelkan untuk ditemui terakhir.

Sahkan dengan sesi bersih

Selepas sebarang perubahan, uji dengan profil pelayar baharu dan konfigurasi klien bersih. Pernyataan yang dicache dan sesi yang digunakan semula menyembunyikan sama ada pembaikan berkesan.

Kemudian bandingkan dua rekod bersebelahan: peristiwa audit penyedia identiti dan log klien. Log masuk berjaya tanpa terowong menunjuk kembali kepada callback atau audiens. Terowong bersambung dengan sumber yang tidak dapat dicapai ialah masalah penghalaan atau kebenaran dan tergolong di tempat lain sama sekali.

Apa yang tidak patut diubah

Jangan buang auth-federate daripada profil atau matikan pemeriksaan sijil untuk melepasi halaman. Kedua-duanya mengubah reka bentuk pengesahan identiti dan bukan callback yang gagal, dan kedua-duanya cenderung rosak pada kemas kini klien seterusnya.

Baiki penyerahan itu sebaliknya, dan tinggalkan nota yang menamakan perantara, audiens dan port loopback. Orang seterusnya yang melihat halaman itu akan memerlukan ketiga-tiganya.