X'jiġri fil-pass tal-browser ta' login VPN federat

Tagħfas Ikkonnettja, u minflok kaxxa tal-password il-klijent VPN jiftaħ il-browser tiegħek. Dan it-tħassib iħawwad lil min jistenna li t-tunnel jawtentika ruħu. Il-browser mhuwiex devjazzjoni: hemmhekk il-fornitur tal-identità verament jawtentika l-persuna, u l-klijent biss jistenna r-riżultat.

Li ssegwi login wieħed mill-bidu sat-tmiem juri liema pass jappartjeni kull falliment, u dan huwa eżattament il-parti li ħafna runbooks jaqbeżu.

Ibda mill-klijent, mhux mill-konfigurazzjoni tal-gateway

Il-klijent jibni talba u jibgħat il-browser lill-fornitur tal-identità b'identifikatur tal-fornitur tas-servizz u post tar-ritorn. Imbagħad l-IdP tal-organizzazzjoni tiegħek iwettaq dak li huwa kkonfigurat: password, MFA, verifika tal-apparat, aċċess kondizzjonali. Jekk il-browser diġà għandu sessjoni valida, il-parti viżibbli tista' tieħu sekonda jew tnejn. Dak iż-żmien qasir huwa użu mill-ġdid tas-sessjoni, mhux verifika maqbuża.

Aqra fil-konfigurazzjoni federali tal-klijent żewġ valuri qabel kull ħaġa oħra: il-metadata jew l-URL tal-IdP li jafda, u l-indirizz tal-callback li jistenna. Nuqqas ta' qbil hemmhekk ifalli qabel ma tittajpja xi password.

X'għandu jirritorna l-fornitur tal-identità

L-IdP iwieġeb b'risposta SAML iffirmata li fiha asserzjoni: min hu s-suġġett, min ħarġu, għal min hu u kemm idum validu. Dawk l-oqsma huma l-kuntratt. Emittent, udjenza, riċevitur u tieqa tal-validità kollha jridu jaqblu ma' dak li jistenna s-servizz.

Risposta ffirmata mill-IdP t-tajjeb iżda indirizzata lil udjenza oħra għadha invalida. Din hija l-verifika li n-nies jaqbeżu meta jikkupjaw il-metadata minn laboratorju għall-produzzjoni.

X'jivvalida s-servizz VPN qabel ma jafda fik

Is-servizz jivverifika l-firma kontra ċ-ċertifikat affidat, jivverifika l-emittent, l-udjenza u r-riċevitur, imbagħad jevalwa l-kundizzjonijiet taż-żmien. Biss wara dan jimmapja l-asserzjoni għal utent jew grupp u japplika l-politika tal-awtorizzazzjoni VPN. L-awtentikazzjoni u l-awtorizzazzjoni huma passi separati hawn, u asserzjoni valida mingħajr grupp li jaqbel tagħti sessjoni li tgħaqqad u ma tasal għal xejn.

L-asserzjoni hija materjal tal-awtentikazzjoni, mhux password. Li tpastejha fi klijent ieħor, jew iżżommha għal konnessjoni mill-ġdid aktar tard, mhuwiex login appoġġjat.

Żewġ tulijiet ta' ħajja li jispiċċaw separatament

Is-sessjoni tal-browser fl-IdP u s-sessjoni VPN fil-gateway jiskadu b'arli differenti. Li toħroġ mill-IdP mhux bilfors iġġarraf tunnel stabbilit, u li tiskonnettja t-tunnel ma joħroġx lilek mill-browser.

AWS Client VPN jiddokumenta li l-fluss federat tiegħu ma jappoġġjax logout wieħed SAML, li huwa eżempju konkret ta' din il-lakuna. Iċċekkja s-servizz tiegħek stess minflok ma tassumi simetrija.

Għalhekk konnessjoni mill-ġdid iġġib ruħha b'mod differenti fid-09:00 u fil-15:00. Tista' terġa' tuża s-sessjoni tal-IdP bil-kwiet, titlob MFA mill-ġdid, jew tfalli għax it-tul tas-sessjoni tal-endpoint skada filwaqt li dak tal-browser le. Il-fluss federali ta' AWS jiddeskrivi r-rekwiżiti tiegħu tal-klijent u tar-risposta, u servizzi oħra jużaw tħassib differenti.

Meta l-pass tal-browser ifalli, iċċekkja dawn fl-ordni

Aħdem mill-browser 'il barra, għax il-messaġġ tal-iżball normalment isemmi l-aħħar qabża u mhux l-ewwel waħda.

Jekk il-paġna qatt ma tgħabbi, l-URL tal-IdP tal-klijent jew it-triq lejha hija ħażina. Jekk l-IdP jirrifjuta t-talba, l-identifikatur tal-fornitur tas-servizz jew il-callback ma jaqblux mal-konfigurazzjoni tiegħu. Jekk il-browser juri suċċess u l-klijent xorta jfalli, ir-risposta waslet post ħażin jew falliet il-validazzjoni tal-udjenza u taż-żmien. U jekk it-tunnel jerfa' mingħajr aċċess, l-asserzjoni ġiet aċċettata imma l-mapping tal-grupp le.

Żomm il-paġna mistennija, il-callback u l-mapping tal-grupp f'dokument wieħed. Imbagħad utent li jirrapporta login VPN miksur jista' jgħid liema minn dawn l-erba' affarijiet ra, u t-tweġiba diġà hija nofs miktuba.