AWS Client VPN-autentisering: IAM-løyve er ikkje ein påloggingsmetode
Konsolløyve autentiserer ikkje ein tunnel. Samanlikn metodane med sertifikat, AD og SAML, og sjå deretter når SSM-vidareføring av portar passar for éin privat database.
Når ein brukar får løyve til å opprette eller skildre eit AWS Client VPN-endepunkt, tyder det ikkje at brukaren kan kople til det. Det er to ulike slag identitet: IAM styrer AWS API-kall, og endepunktet godtek berre dei klientautentiseringsmetodane som er konfigurerte på det. Ein brukar kan altså ha breie konsollrettar og likevel ikkje ha noko som VPN-klienten kan presentere. Avgjer kva metode endepunktet stolar på, og avgjer deretter om ein full tunnel er rett form for tilgangen du gir.
Ein API-identitet er ikkje ein tunnelidentitet
Når nokon seier «IAM-rolla er vedlagt, kvifor feilar VPN framleis», er svaret vanlegvis at ingen steg i tilkoplingsflyten nokon gong les den rolla. Klienten presenterer eit sertifikat, eit AD-brukarnamn og passord eller ei SAML-påstand. Endepunktet validerer ein av dei og tildeler deretter ei adresse.
IAM er framleis viktig, berre seinare og andre stader: å opprette endepunktet, kople til subnett, publisere ruter og skrive autorisasjonsreglar er API-handlingar. Hald desse løyva avgrensa til operatørane som treng dei, i staden for å gi kvar brukar høve til å skrive om tilgangsreglane til endepunktet.
Vel blant metodane endepunktet støttar
AWS Client VPN godtek sertifikatbasert gjensidig autentisering, Active Directory-autentisering og SAML-basert føderert autentisering. Eit serversertifikat krevst uansett kva klientmetode du vel, og ein konfigurasjon som kombinerer metodar krev at begge lukkast, ikkje éin.
| Client method | What the user presents | Where the work sits |
|---|---|---|
| Mutual certificate | A client certificate the endpoint trusts | Certificate authority, issuing and revoking per user |
| Active Directory | Domain credentials | Directory reachable from the endpoint's VPC |
| SAML federation | An assertion from an identity provider | IdP application, attribute mapping, client support |
Sertifikat er dei billegaste å setje opp og dei lettaste å gjere feil med i stor skala, fordi kvar brukar treng ein legitimasjon og kvar avgang krev ein tilbakekalling. Katalogautentisering flyttar den livssyklusen til eit eksisterande system. Føderasjon flyttar han til ein identitetsleverandør og legg til eit nettlesarsteg på klienten.
Les konfigurasjonen til endepunktet sjølv før du feilsøkjer klienten. Viss gjensidig autentisering er slått på saman med ein brukarbasert metode, vil ein klient med gyldig sertifikat, men utan katalogkonto, framleis feile, og feilen ser vanlegvis ut som eit generelt handtrykkproblem.
Føderasjon er ikkje å senda tilgangsnøklar vidare
Eit SAML-oppsett fører ikkje IAM-tilgangsnøklar eller eit token for ei antatt rolle inn i tunnelen. Identitetsleverandøren autentiserer personen, returnerer ei påstand, og endepunktet godtek ho innanfor tilliten du har konfigurert. Økta som oppstår, er ei VPN-økt, ikkje ei AWS API-økt.
Den skilnaden avgjer kven som kan feilsøkje kva. IdP-problem viser seg som ein nettlesar- eller klientfeil før det i det heile finst ein tunnel, medan tunnelproblem viser seg etter ei vellukka påstand. Spør kven av dei to du ser på før du opnar nokon av konsollane.
Etter pålogging avgjer framleis ruter og autorisasjon
Autentisering gir ei økt ei adresse; ho gir ikkje økta ein destinasjon. Rutene til endepunktet fortel klienten kva subnett han skal senda til, autorisasjonsreglar avgjer kva brukarar som kan nå kva av desse subnetta, og tryggingsgrupper pluss dei eigne løyva til målet avgjer resten.
Derfor kan ein brukar som autentiserer seg rett, framleis mislukkast med å nå ein database. Kontroller knytinga av rutetabellen til subnettet, autorisasjonsregelen for gruppa til brukaren og tryggingsgruppa på målet i den rekkjefølgja, fordi kvar av dei gir ein annan type tidsavbrot.
For éin privat database, samanlikn med vidareføring av portar
Viss den eigentlege oppgåva er éin godkjend tilkopling til éin privat database, er ein full nettverkstunnel eit val og ikkje eit krav. AWS Systems Manager Session Manager kan opne ei økt med portvidareføring til ein styrt node via IAM, og den noden når databasen på det private nettverket. Brukaren får aldri ei VPC-adresse. Den styrte noden blir den einaste verten som kan nå porten til databasen, og det er vanlegvis det tryggingsgjennomgangen bad om. Brukarar treng då ein lokal klient og ein øktkommando i staden for ein VPN-profil.
Avveginga er omfang mot føresetnader. Vidareføring av portar krev SSM-agenten på den styrte noden, nettverkstilgjenge frå den noden til databasen, Session Manager-pluginen på maskina til brukaren og løyve til å starte akkurat den økta. Det er ikkje ei rute inn i kvart subnett, og det ber ikkje vilkårlege protokollar slik ein tunnel gjer.
Hald identiteten til databasen sjølv på plass uansett. TLS-verifisering og databaseautentisering forsvinn ikkje fordi banen vart autorisert av IAM, og ei godkjend økt seier ingenting om kva tabellar brukaren kan lese.
Vel ut frå omfang og livssyklus: ein tunnel når mange brukarar treng mange destinasjonar og du kan drive livssyklusen for sertifikat eller katalog; ei økt med vidareføring når ein handfull menneske treng éin teneste og du helst vil sleppe å dele ut nettverksadresser. Uansett bør du registrere autentiseringsmetoden, autorisasjonsregelen og databaseloggen som tre separate fakta, fordi dei feilar kvar for seg.