AWS Client VPN SAML र Google Workspace: कलब्याकको खाली ठाउँ

app_not_configured_for_user पृष्ठ Google Workspace बाट आउँछ र एउटै सुरुङ प्याकेट वार्ता नहुँदै देखिन्छ। यही क्रम सम्पूर्ण निदान हो। क्लाइन्ट पुनः स्थापना गर्नु, प्रोफाइल सम्पादन गर्नु वा मार्ग जाँच्नुले VPN अन्त्यबिन्दुले अझै नदेखेको पृष्ठ हटाउन सक्दैन। असफल हुने चरण भनेको पहिचान प्रदायक र प्रयोगकर्ताकै मेसिनमा रहेको श्रोताबीचको ब्राउजर हस्तान्तरण हो, र त्यो हस्तान्तरणमा ठ्याक्कै तीनवटा कुरा जाँच्न योग्य छन्।

पृष्ठलाई पहिचान प्रदायकको भनाइका रूपमा पढ्नुहोस्

साइन इन गरेको खाताका लागि SAML अनुप्रयोग सक्षम नभएको बेला Google ले यो फर्काउँछ। अनुप्रयोग बन्द हुन सक्छ, प्रयोगकर्ता तोकिएको संगठनात्मक इकाई वा समूहबाहिर हुन सक्छ, वा सेवा प्रदायकको सेटिङ अनुरोधले मागेको कुरासँग मिल्दैन।

यीमध्ये कुनै पनि प्रमाणपत्र, मार्ग वा सुरुङको समस्या होइन, यद्यपि प्रयोगकर्ताले यो VPN क्लाइन्टमा देखेको थियो।

क्लाइन्टले स्वीकार गर्ने दुई मान

AWS Client VPN ले सेवा प्रदायकबाट सुरु हुने SAML आदानप्रदान गर्छ, त्यसैले क्लाइन्टले ब्राउजर खोल्छ, प्रयोगकर्ताले प्रमाणीकरण गर्छ, र प्रदायकले हस्ताक्षरित अभिकथन Assertion Consumer Service URL मा फर्काउँछ। AWS ले दिने डेस्कटप क्लाइन्टका लागि त्यो URL loopback मा रहेको श्रोता हो, सामान्यतया पोर्ट 35001, र अपेक्षित दर्शक Client VPN SAML अनुप्रयोगको इकाई पहिचान हो, AWS कन्सोलको साइन-इन इकाई होइन।

दुवै मान क्लाइन्टले अपेक्षा गरेको कुरासँग मिल्नुपर्छ: अभिकथन कहाँ पोस्ट हुन्छ र कसलाई सम्बोधन गरिएको छ। कन्सोलको SSO अनुप्रयोगबाट प्रतिलिपि गरिएको कन्फिगरेसन पूर्ण विश्वसनीय देखिन सक्छ र तैपनि गलत जोडीलाई लक्षित गर्न सक्छ।

दुवै मान Client VPN SAML का आवश्यकताबाट लिनुहोस्, सामान्य AWS एकल साइन-अन मार्गदर्शिकाबाट होइन। कन्सोलको SSO इकाई प्रलोभन हुने गरी मिल्दो देखिन्छ। त्यो फरक दर्शक भएको फरक अनुप्रयोग हो, र क्लाइन्टले आफैं व्याख्या नगरी अभिकथन अस्वीकार गर्छ। जोडी एकचोटि प्रतिलिपि गर्नुहोस् र प्रोफाइलको छेउमा राख्नुहोस्।

Google ले साधारण HTTP कलब्याक स्वीकार गर्दैन

प्रशासक कन्सोलले HTTPS ACS URL माग्छ, र क्लाइन्टको कलब्याक loopback मा साधारण HTTP हो। त्यो मान Workspace अनुप्रयोगको कन्फिगरेसनमा लेख्नै सकिँदैन, त्यसैले केही टोलीले TLS अन्त्य गरी स्थानीय श्रोतामा पठाउने उल्टो प्रोक्सी प्रयास गर्छन्। त्यसले असमझदारी सुधार्दैन: ब्राउजरले एउटा मूल देख्छ, क्लाइन्टले अर्को घोषणा गर्छ, र फर्किएको प्रतिक्रिया गलत गन्तव्यमा पुग्न सक्छ।

काम गर्ने व्यवस्था दलाल पहिचान प्रदायक हो। दलालसँगको SAML अनुप्रयोगले loopback कलब्याक र AWS दर्शक पाउँछ, र दलालले Workspace खातालाई माथितिर महासंघीकरण गर्छ। Google को HTTPS नियम पूरा भइरहन्छ, र क्लाइन्टसम्म पुग्ने अभिकथनले अझै अपेक्षित ठेगाना र दर्शकको नाम लिन्छ।

त्यो दलाल एक प्रशासनिक निर्भरता हो जसको स्वामित्व कसैले लिनुपर्छ, अनुगमन गर्नुपर्छ र बहिर्गमनमा समावेश गर्नुपर्छ। अवरोध लगइन असफलतामा परिणत हुने दोस्रो स्थान पनि हो। डिजाइनको वाचा गर्नुअघि यसको मूल्य आँक्नुहोस्। यदि कसैले यसको स्वामित्व लिँदैन भने, इमानदार उत्तर यही हो कि AWS क्लाइन्टले Workspace लाई आफ्नो एकमात्र पहिचान प्रदायकका रूपमा प्रयोग गर्न सक्दैन।

तोकाइ र दुई-चरणीय प्रमाणीकरण

केही पुनः डिजाइन गर्नुअघि अनुप्रयोग सही संगठनात्मक इकाई वा समूहका लागि खुला छ र तेस्रो-पक्ष SAML अनुप्रयोगसँग Google पक्षको अनुप्रयोग सूचीबाट अलग आफ्नै तोकाइ नियन्त्रण छ भनी पुष्टि गर्नुहोस्।

खातामा दुई-चरणीय प्रमाणीकरण सक्षम छ कि छैन पनि जाँच्नुहोस्। SAML अनुप्रयोग प्रयोगकर्ताका लागि उपयोगी हुनुअघि Google ले यो माग्न सक्छ, र मूल थ्रेडको एउटा उत्तर ठ्याक्कै त्यसै गरी समाधान भएको थियो। यसलाई बाहिर राख्न सबैभन्दा सस्तो र अन्तमा पत्ता लगाउन सबैभन्दा झर्को लाग्ने कुरा हो।

सफा सत्रले प्रमाणित गर्नुहोस्

कुनै पनि परिवर्तनपछि नयाँ ब्राउजर प्रोफाइल र सफा क्लाइन्ट कन्फिगरेसनसँग परीक्षण गर्नुहोस्। क्यास गरिएका अभिकथन र पुनः प्रयोग गरिएका सत्रले सुधार भयो कि भएन लुकाउँछन्।

त्यसपछि दुई अभिलेख छेउछाउ राखी तुलना गर्नुहोस्: पहिचान प्रदायकको अडिट घटना र क्लाइन्ट लग। सुरुङ बिनाको सफल साइन-इनले कलब्याक वा दर्शकतर्फ संकेत गर्छ। जोडिएको सुरुङ तर पहुँच नहुने स्रोत मार्गनिर्देशन वा अधिकारको समस्या हो र पूर्ण रूपमा अन्त्यै ठाउँको हो।

के परिवर्तन नगर्ने

पृष्ठ पार गर्न प्रोफाइलबाट auth-federate नहटाउनुहोस् र प्रमाणपत्र जाँच बन्द नगर्नुहोस्। दुवैले असफल कलब्याकको सट्टा प्रमाणीकरणको डिजाइन बदल्छन्, र दुवै सामान्यतया अर्को क्लाइन्ट अद्यावधिकमा बिग्रन्छन्।

बरु हस्तान्तरण सुधार्नुहोस्, र दलाल, दर्शक र loopback पोर्टको नाम उल्लेख गर्ने टिप्पणी छोड्नुहोस्। पृष्ठ देख्ने अर्को व्यक्तिलाई तीनवटै चाहिन्छ।