Awtenfikazzjoni tal-AWS Client VPN: il-permessi tal-IAM mhumiex metodu ta’ dħul
Il-permessi tal-console ma jawtentikawx tunnel. Qabbel il-metodi taċ-ċertifikat, AD u SAML, imbagħad ara meta t-trasferiment tal-port SSM jaqbel ma’ database privata waħda.
Li tagħti lill-utent permess joħloq jew jiddeskrivi endpoint tal-AWS Client VPN ma jħallihx jikkonnettja miegħu. Dawn huma żewġ tipi differenti ta’ identità: l-IAM jirregola s-sejħiet tal-AWS API, u l-endpoint jaċċetta biss il-metodi tal-awtenfikazzjoni tal-klijent konfigurati fuqu. Għalhekk utent jista’ jkollu drittijiet wiesgħa fil-console u xorta ma jkollu xejn li l-klijent VPN jista’ jippreżenta. Iddeċiedi liema metodu jafda l-endpoint, imbagħad iddeċiedi jekk tunnel sħiħ huwiex il-forma t-tajba għall-aċċess li qed tagħti.
Identità tal-API mhix identità tat-tunnel
Meta xi ħadd jgħid „ir-rwol tal-IAM huwa mehmuż, mela għaliex il-VPN xorta qed ifalli“, it-tweġiba normalment hija li ebda pass fil-fluss tal-konnessjoni ma qatt jaqra dak ir-rwol. Il-klijent jippreżenta ċertifikat, isem tal-utent u password tal-AD, jew dikjarazzjoni SAML. L-endpoint jivvalida waħda minnhom u mbagħad jassenja indirizz.
L-IAM xorta huwa importanti, biss aktar tard u x’imkien ieħor: il-ħolqien tal-endpoint, l-assoċjazzjoni tas-subnets, il-pubblikazzjoni tar-rotot u l-kitba tar-regoli tal-awtorizzazzjoni huma azzjonijiet tal-API. Żomm dawk il-permessi limitati għall-operaturi li jeħtiġuhom minflok ma tagħti lil kull utent il-kapaċità li jikteb mill-ġdid ir-regoli tal-aċċess tal-endpoint.
Agħżel mill-metodi li l-endpoint jappoġġja
L-AWS Client VPN jaċċetta awtenfikazzjoni reċiproka bbażata fuq iċ-ċertifikat, awtenfikazzjoni tal-Active Directory u awtenfikazzjoni federata bbażata fuq SAML. Ċertifikat tas-server huwa meħtieġ irrispettivament minn liema metodu tal-klijent tagħżel, u konfigurazzjoni li tgħaqqad metodi teħtieġ li t-tnejn jirnexxu, mhux waħda.
| Client method | What the user presents | Where the work sits |
|---|---|---|
| Mutual certificate | A client certificate the endpoint trusts | Certificate authority, issuing and revoking per user |
| Active Directory | Domain credentials | Directory reachable from the endpoint's VPC |
| SAML federation | An assertion from an identity provider | IdP application, attribute mapping, client support |
Iċ-ċertifikati huma l-orħos biex jiġu stabbiliti u l-eħfef biex jiġu żbaljati fuq skala, għax kull utent jeħtieġ kredenzjali u kull tluq jeħtieġ revoka. L-awtenfikazzjoni tad-directory ċċaqlaq dak iċ-ċiklu tal-ħajja għal sistema eżistenti. Il-federazzjoni ċċaqilqu għal fornitur tal-identità u żżid pass tal-browser mal-klijent.
Aqra l-konfigurazzjoni tal-endpoint stess qabel ma tiddebagga l-klijent. Jekk l-awtenfikazzjoni reċiproka hija attivata flimkien ma’ metodu bbażat fuq l-utent, klijent b’ċertifikat validu imma mingħajr kont tad-directory xorta se jfalli, u l-iżball normalment jidher bħal problema ġenerali ta’ handshake.
Il-federazzjoni mhix tgħaddi ċ-ċwievet tal-aċċess
Setup SAML ma jdaħħalx ċwievet tal-aċċess tal-IAM jew token ta’ rwol preżunt fit-tunnel. Il-fornitur tal-identità jawtentika l-persuna, jirritorna dikjarazzjoni, u l-endpoint jaċċettaha taħt il-fiduċja li kkonfigurajt. Is-sessjoni li tirriżulta hija sessjoni VPN, mhux sessjoni tal-AWS API.
Dik id-differenza tiddetermina min jista’ jiddijanjostika xiex. Il-problemi tal-IdP jidhru bħala żball tal-browser jew tal-klijent qabel ma jeżisti xi tunnel, filwaqt li l-problemi tat-tunnel jidhru wara dikjarazzjoni li tirnexxi. Staqsi liema miż-żewġ qed tara qabel ma tiftaħ xi console.
Wara d-dħul, ir-rotot u l-awtorizzazzjoni xorta jiddeċiedu
L-awtenfikazzjoni tagħti indirizz lis-sessjoni; ma tagħtix destinazzjoni lis-sessjoni. Ir-rotot tal-endpoint jgħidu lill-klijent lejn liema subnets għandu jibgħat, ir-regoli tal-awtorizzazzjoni jiddeċiedu liema utenti jistgħu jilħqu liema minn dawk is-subnets, u l-gruppi tas-sigurtà flimkien mal-permessi tal-mira stess jiddeċiedu l-bqija.
Għalhekk utent li jawtentika b’suċċess xorta jista’ jfalli jilħaq database. Iċċekkja l-assoċjazzjoni tat-tabella tar-rotot għas-subnet, ir-regola tal-awtorizzazzjoni għall-grupp tal-utent u l-grupp tas-sigurtà fuq il-mira f’dik l-ordni, għax kull waħda minnhom tipproduċi tip differenti ta’ skadenza.
Għal database privata waħda, qabbel mat-trasferiment tal-port
Jekk ix-xogħol veru huwa konnessjoni waħda approvata ma’ database privata waħda, tunnel sħiħ tan-netwerk huwa għażla u mhux rekwiżit. L-AWS Systems Manager Session Manager jista’ jiftaħ sessjoni ta’ trasferiment tal-port lejn node ġestit permezz tal-IAM, u dak in-node jilħaq id-database fuq in-netwerk privat. L-utent qatt ma jirċievi indirizz VPC. In-node ġestit isir l-uniku host li jista’ jilħaq il-port tad-database, u dan normalment huwa dak li kien qed jitlob ir-reviżjoni tas-sigurtà. L-utenti mbagħad jeħtieġu klijent lokali u kmand tas-sessjoni minflok profil VPN.
Il-kummerċ huwa ambitu kontra rekwiżiti minn qabel. It-trasferiment tal-port jeħtieġ l-aġent SSM fuq in-node ġestit, aċċessibilità tan-netwerk minn dak in-node għad-database, il-plugin Session Manager fuq il-magna tal-utent u permess biex tinbeda dik is-sessjoni speċifika. Mhix rotta f’kull subnet, u mhux se ġġorr protokolli arbitrarji bħal ma jagħmel tunnel.
Fi kwalunkwe każ żomm l-identità tad-database stess f’postha. Il-verifika TLS u l-awtenfikazzjoni tad-database ma jisparixxux għax it-triq ġiet awtorizzata mill-IAM, u sessjoni approvata ma tgħid xejn dwar liema tabelli l-utent jista’ jaqra.
Agħżel skont l-ambitu u ċ-ċiklu tal-ħajja: tunnel meta ħafna utenti jeħtieġu ħafna destinazzjonijiet u tista’ tmexxi ċ-ċiklu tal-ħajja taċ-ċertifikati jew tad-directory; sessjoni ta’ trasferiment meta numru żgħir ta’ nies jeħtieġu servizz wieħed u tippreferi ma tqassamx indirizzi tan-netwerk. Fi kwalunkwe każ, irreġistra l-metodu tal-awtenfikazzjoni, ir-regola tal-awtorizzazzjoni u d-dħul fid-database bħala tliet fatti separati, għax jonqsu b’mod separat.