AWS Client VPN SAML og Google Workspace: hullet i tilbakeringingen

Siden app_not_configured_for_user kommer fra Google Workspace og vises før en eneste tunnelpakke er forhandlet. Den rekkefølgen er hele diagnosen. Å installere klienten på nytt, redigere profilen eller sjekke ruter kan ikke fjerne en side VPN-endepunktet ennå ikke har sett. Trinnet som feiler, er en overlevering i nettleseren mellom identitetsleverandøren og en lytter på brukerens egen maskin, og i den overleveringen er det nøyaktig tre ting som er verdt å sjekke.

Les siden som en uttalelse fra identitetsleverandøren

Google returnerer dette når SAML-applikasjonen ikke er aktivert for kontoen som logget inn. Appen kan være slått av, brukeren kan være utenfor den tildelte organisasjonsenheten eller gruppen, eller innstillingene til tjenesteleverandøren samsvarer kanskje ikke med det forespørselen ba om.

Ingen av delene er et sertifikat-, rute- eller tunnelproblem, selv om brukeren la merke til det i VPN-klienten.

De to verdiene klienten godtar

AWS Client VPN kjører en tjenesteleverandørinitiert SAML-utveksling, så klienten åpner en nettleser, brukeren autentiserer seg, og leverandøren sender en signert påstand tilbake til en Assertion Consumer Service-URL. For skrivebordsklienten AWS leverer er den URL-en en lytter på loopback, vanligvis port 35001, og den forventede målgruppen er enhetsidentifikatoren til Client VPN SAML-applikasjonen, ikke enheten for AWS-konsollinnlogging.

Begge verdiene må samsvare med det klienten forventer: hvor påstanden sendes og hvem den er adressert til. En konfigurasjon kopiert fra en SSO-applikasjon i konsollen kan se helt troverdig ut og likevel treffe feil par.

Ta begge verdiene fra Client VPN SAML-kravene, ikke fra en generell AWS-veiledning for enkeltinnlogging. SSO-enheten i konsollen ser likt nok ut til å være fristende. Det er en annen applikasjon med en annen målgruppe, og klienten avviser påstanden uten å forklare seg. Kopier paret én gang, og oppbevar det ved siden av profilen.

Google godtar ikke den vanlige HTTP-tilbakeringingen

Administrasjonskonsollen krever en HTTPS ACS-URL, og klientens tilbakeringing er vanlig HTTP på loopback. Den verdien kan ikke skrives inn i Workspace-appens konfigurasjon i det hele tatt, og derfor prøver noen team en omvendt proxy som avslutter TLS og videresender til den lokale lytteren. Det reparerer ikke misforholdet: nettleseren ser én opprinnelse, klienten annonserer en annen, og svaret som kommer tilbake kan ankomme feil destinasjon.

Oppsettet som fungerer, er en megler-identitetsleverandør. SAML-applikasjonen hos megleren får loopback-tilbakeringingen og AWS-målgruppen, og megleren federerer Workspace-kontoen oppover. Googles HTTPS-regel er fortsatt oppfylt, og påstanden som når klienten, navngir fortsatt adressen og målgruppen den forventer.

Den megleren er en administrativ avhengighet som noen må eie, overvåke og ta med i offboarding. Det er også et andre sted der en driftsstans blir en innloggingsfeil. Prissett det før du lover designet. Hvis ingen vil eie det, er det ærlige svaret at AWS-klienten ikke kan bruke Workspace som sin eneste identitetsleverandør.

Tildeling og totrinnsbekreftelse

Før du redesigner noe, bekreft at appen er slått på for riktig organisasjonsenhet eller gruppe, og at tredjeparts SAML-apper har egne tildelingskontroller atskilt fra applisten på Google-siden.

Sjekk også om kontoen har totrinnsbekreftelse aktivert. Google kan kreve det før en SAML-app blir brukbar for en bruker, og ett svar i den opprinnelige tråden ble løst akkurat slik. Det er det billigste å utelukke og det mest irriterende å oppdage sist.

Verifiser med en ren økt

Etter enhver endring, test med en frisk nettleserprofil og en ren klientkonfigurasjon. Bufrede påstander og gjenbrukte økter skjuler om rettelsen kom frem.

Sammenlign deretter to poster side om side: identitetsleverandørens revisjonshendelse og klientloggen. En vellykket innlogging uten tunnel peker tilbake på tilbakeringingen eller målgruppen. En tilkoblet tunnel med en utilgjengelig ressurs er et rute- eller autorisasjonsproblem og hører helt andre steder hjemme.

Hva du ikke bør endre

Ikke fjern auth-federate fra profilen og ikke slå av sertifikatkontroller for å komme forbi siden. Begge endrer autentiseringsdesignet i stedet for den feilende tilbakeringingen, og begge ryker vanligvis ved neste klientoppdatering.

Rett i stedet overleveringen, og legg igjen et notat som navngir megleren, målgruppen og loopback-porten. Den neste personen som ser siden, vil trenge alle tre.