Autentifikacija u AWS Client VPN-u: IAM dozvole nisu način prijave
Dozvole u konzoli ne autentifikuju tunel. Uporedite metode sa sertifikatom, AD i SAML, pa pogledajte kada SSM prosleđivanje portova odgovara jednoj privatnoj bazi podataka.
Davanje korisniku dozvole da kreira ili opiše AWS Client VPN endpoint ne omogućava tom korisniku da se poveže na njega. To su dve različite vrste identiteta: IAM upravlja pozivima AWS API-ja, a endpoint prihvata samo metode autentifikacije klijenta koje su na njemu konfigurisane. Korisnik zato može imati široka prava u konzoli i ipak nemati ništa što VPN klijent može predstaviti. Odredite kojoj metodi endpoint veruje, pa odlučite da li je puni tunel pravi oblik za pristup koji dajete.
API identitet nije identitet tunela
Kada neko kaže „IAM uloga je povezana, zašto VPN još uvek ne radi“, odgovor je obično da nijedan korak u toku povezivanja ne čita tu ulogu. Klijent predstavlja sertifikat, AD korisničko ime i lozinku ili SAML tvrdnju. Endpoint proveri jedno od toga i zatim dodeli adresu.
IAM je i dalje važan, samo kasnije i na drugom mestu: kreiranje endpointa, povezivanje podmreža, objavljivanje ruta i pisanje pravila autorizacije su API radnje. Držite te dozvole ograničene na operatere kojima su potrebne, umesto da svakom korisniku date mogućnost da prepiše pravila pristupa endpointa.
Odaberite među metodama koje endpoint podržava
AWS Client VPN prihvata uzajamnu autentifikaciju zasnovanu na sertifikatu, autentifikaciju putem Active Directory i federisanu autentifikaciju zasnovanu na SAML-u. Sertifikat servera je potreban bez obzira na to koju metodu klijenta odaberete, a konfiguracija koja kombinuje metode zahteva uspeh obe, a ne jedne.
| Client method | What the user presents | Where the work sits |
|---|---|---|
| Mutual certificate | A client certificate the endpoint trusts | Certificate authority, issuing and revoking per user |
| Active Directory | Domain credentials | Directory reachable from the endpoint's VPC |
| SAML federation | An assertion from an identity provider | IdP application, attribute mapping, client support |
Sertifikati su najjeftiniji za postavljanje i najlakše ih je pogrešno postaviti u velikom obimu, jer svaki korisnik treba verodajnicu, a svaki odlazak zahteva opoziv. Autentifikacija putem direktorijuma premešta taj životni ciklus u postojeći sistem. Federacija ga premešta kod provajdera identiteta i dodaje korak u pregledaču na klijentu.
Pročitajte sopstvenu konfiguraciju endpointa pre nego što počnete da otklanjate greške na klijentu. Ako je uzajamna autentifikacija omogućena uz metodu zasnovanu na korisniku, klijent sa važećim sertifikatom ali bez računa u direktorijumu i dalje će pasti, a greška obično izgleda kao opšti problem rukovanja.
Federacija nije prenošenje pristupnih ključeva
SAML postavka ne ubacuje IAM pristupne ključeve ni token preuzete uloge u tunel. Provajder identiteta autentifikuje osobu, vraća tvrdnju, a endpoint je prihvata u okviru poverenja koje ste konfigurisali. Rezultujuća sesija je VPN sesija, a ne sesija AWS API-ja.
Ta razlika određuje ko može šta da dijagnostikuje. Problemi sa IdP-om pojavljuju se kao greška pregledača ili klijenta pre nego što tunel uopšte postoji, dok se problemi sa tunelom pojavljuju nakon uspešne tvrdnje. Pitajte koje od to dvoje gledate pre nego što otvorite bilo koju konzolu.
Nakon prijave rute i autorizacija i dalje odlučuju
Autentifikacija daje sesiji adresu; ona ne daje sesiji odredište. Rute endpointa govore klijentu u koje podmreže da šalje, pravila autorizacije odlučuju koji korisnici mogu da dosegnu koje od tih podmreža, a sigurnosne grupe i sopstvene dozvole cilja odlučuju o ostalom.
Zato korisnik koji se uspešno autentifikuje i dalje može da propusti da dosegne bazu podataka. Proverite povezanost tabele ruta za podmrežu, pravilo autorizacije za korisnikovu grupu i sigurnosnu grupu na cilju tim redom, jer svako od njih proizvodi drugu vrstu isteka vremena.
Za jednu privatnu bazu podataka uporedite sa prosleđivanjem portova
Ako je stvarni zadatak jedna odobrena veza prema jednoj privatnoj bazi podataka, potpuni mrežni tunel je izbor, a ne zahtev. AWS Systems Manager Session Manager može kroz IAM da otvori sesiju prosleđivanja portova prema upravljanom čvoru, a taj čvor dosegne bazu podataka na privatnoj mreži. Korisnik nikada ne dobija VPC adresu. Upravljani čvor postaje jedini host koji može da dosegne port baze podataka, što je obično ono što je sigurnosna provera tražila. Korisnicima tada treba lokalni klijent i naredba sesije umesto VPN profila.
Trgovina je obim protiv preduslova. Prosleđivanje portova zahteva SSM agenta na upravljanom čvoru, mrežnu dostupnost od tog čvora do baze podataka, dodatak Session Manager na korisnikovom računaru i dozvolu za pokretanje te konkretne sesije. To nije ruta u svaku podmrežu i neće prenositi proizvoljne protokole kao tunel.
U svakom slučaju zadržite sopstveni identitet baze podataka. TLS provera i autentifikacija baze podataka ne nestaju zato što je put autorizovan kroz IAM, a odobrena sesija ništa ne govori o tome koje tabele korisnik sme da čita.
Birajte prema obimu i životnom ciklusu: tunel kada mnogim korisnicima treba mnogo odredišta i možete da vodite životni ciklus sertifikata ili direktorijuma, sesiju prosleđivanja kada nekolicini ljudi treba jedna usluga i radije ne biste delili mrežne adrese. U svakom slučaju zabeležite metodu autentifikacije, pravilo autorizacije i prijavu na bazu podataka kao tri odvojene činjenice, jer one padaju odvojeno.