AWS Client VPN SAML u Google Workspace: il-vojt fis-sejħa lura

Il-paġna app_not_configured_for_user tiġi minn Google Workspace u tidher qabel ma jiġi nnegozjat saħansitra pakkett wieħed tat-tunnel. Dan l-ordni huwa d-dijanjosi kollha. L-installazzjoni mill-ġdid tal-klijent, l-editjar tal-profil jew il-verifika tar-rotot ma jistgħux inaddfu paġna li l-punt tat-tmiem tal-VPN għadu ma rahiex. Il-pass li jonqos huwa tgħaddija fil-browser bejn il-fornitur tal-identità u semmiegħ fuq il-magna tal-utent stess, u f’dik it-tgħaddija hemm eżattament tliet affarijiet li jixirqu jiġu verifikati.

Aqra l-paġna bħala dikjarazzjoni tal-fornitur tal-identità

Google jirritorna dan meta l-applikazzjoni SAML ma tkunx attivata għall-kont li daħal. L-app tista’ tkun mitfija, l-utent jista’ jkun barra mill-unità organizzattiva jew mill-grupp assenjat, jew is-settings tal-fornitur tas-servizz jistgħu ma jaqblux ma’ dak li talab ir-rikjesta.

Xejn minn dan mhuwa problema ta’ ċertifikat, rotta jew tunnel, għalkemm l-utent induna bih fil-klijent tal-VPN.

Iż-żewġ valuri li l-klijent se jaċċetta

AWS Client VPN iwettaq skambju SAML mniedi mill-fornitur tas-servizz, għalhekk il-klijent jiftaħ browser, l-utent jawtentika ruħu, u l-fornitur jibgħat dikjarazzjoni ffirmata lura lejn URL ta’ Assertion Consumer Service. Għall-klijent tad-desktop li jipprovdi AWS dak l-URL huwa semmiegħ fuq loopback, normalment il-port 35001, u l-udjenza mistennija hija l-identifikatur tal-entità tal-applikazzjoni SAML tal-Client VPN, mhux l-entità tad-dħul tal-console AWS.

Iż-żewġ valuri għandhom jaqblu ma’ dak li jistenna l-klijent: fejn tiġi ppubblikata d-dikjarazzjoni u lil min hija indirizzata. Konfigurazzjoni kopjata minn applikazzjoni SSO tal-console tista’ tidher kompletament plawżibbli u xorta tkun qed timmira l-par żbaljat.

Ħu ż-żewġ valuri mir-rekwiżiti tal-Client VPN SAML, mhux minn gwida ġenerika tad-dħul uniku tal-AWS. L-entità SSO tal-console tidher biżżejjed simili biex tkun tħajjar. Hija applikazzjoni oħra b’udjenza oħra, u l-klijent jirrifjuta d-dikjarazzjoni mingħajr ma jispjega ruħu. Ikkopja l-par darba waħda, u żommu ħdejn il-profil.

Google mhux se jaċċetta s-sejħa lura HTTP sempliċi

Il-console tal-amministratur teħtieġ URL ACS bl-HTTPS, u s-sejħa lura tal-klijent hija HTTP sempliċi fuq loopback. Dak il-valur ma jistax jittejjeb fil-konfigurazzjoni tal-app Workspace xejn, u għalhekk xi timijiet jippruvaw proxy invers li jtemm it-TLS u jgħaddi lis-semmiegħ lokali. Dan ma jsewwix id-diskrepanza: il-browser jara oriġini waħda, il-klijent jirreklama oħra, u r-risposta li tirritorna tista’ tasal fid-destinazzjoni żbaljata.

L-arranġament li jaħdem huwa fornitur tal-identità sensar. L-applikazzjoni SAML fis-sensar tirċievi s-sejħa lura loopback u l-udjenza tal-AWS, u s-sensar jiffedera l-kont Workspace ’il fuq. Ir-regola tal-HTTPS ta’ Google tibqa’ sodisfatta, u d-dikjarazzjoni li tasal għand il-klijent għadha ssemmi l-indirizz u l-udjenza li jistenna.

Dak is-sensar huwa dipendenza amministrattiva li xi ħadd irid ikollu, jimmonitorja u jinkludi fl-offboarding. Huwa wkoll it-tieni post fejn waqfa ssir falliment tad-dħul. Ipprezzah qabel ma twiegħed id-disinn. Jekk ħadd mhu se jieħu ħsiebu, it-tweġiba onesta hija li l-klijent tal-AWS ma jistax juża Workspace bħala l-uniku fornitur tal-identità tiegħu.

Assenjazzjoni u verifika f’żewġ passi

Qabel ma terġa’ tiddisinja xejn, ikkonferma li l-app hija attivata għall-unità organizzattiva jew għall-grupp it-tajba, u li l-applikazzjonijiet SAML ta’ partijiet terzi għandhom il-kontrolli tal-assenjazzjoni tagħhom stess, separati mil-lista tal-applikazzjonijiet fuq in-naħa ta’ Google.

Ivverifika wkoll jekk il-kont għandux verifika f’żewġ passi attivata. Google jista’ jitlobha qabel ma applikazzjoni SAML issir użabbli għal utent, u tweġiba waħda fil-ħajt oriġinali ġiet solvuta eżattament hekk. Hija l-orħos ħaġa li teskludi u l-aktar tedjanti li tiskopri l-aħħar.

Ivverifika b’sessjoni nadifa

Wara kull bidla, ittestja bi profil tal-browser ġdid u konfigurazzjoni tal-klijent nadifa. Id-dikjarazzjonijiet fil-cache u s-sessjonijiet użati mill-ġdid jaħbu jekk il-fiss ġiex.

Imbagħad qabbel żewġ rekords spalla ma’ spalla: l-avveniment tal-awditjar tal-fornitur tal-identità u l-log tal-klijent. Dħul ta’ suċċess mingħajr tunnel iwassal lura għas-sejħa lura jew għall-udjenza. Tunnel konness b’riżors li ma jintlaħaqx hija problema ta’ routing jew awtorizzazzjoni u tappartjeni x’imkien ieħor għal kollox.

X’m’għandekx tbiddel

Tneħħix auth-federate mill-profil u tħassarx il-verifiki taċ-ċertifikati biex tgħaddi l-paġna. It-tnejn ibiddlu d-disinn tal-awtentikazzjoni minflok is-sejħa lura li qed tonqos, u t-tnejn għandhom tendenza li jinqasmu fl-aġġornament tal-klijent li jmiss.

Minflok sewwi t-tgħaddija, u ħalli nota li ssemmi s-sensar, l-udjenza u l-port tal-loopback. Il-persuna li jmiss li tara l-paġna ser ikollha bżonn it-tlieta.