AWS Client VPN සත්‍යාපනය: IAM අවසර ලොගින් ක්‍රමයක් නොවේ
කොන්සෝල අවසර ටනලයක් සත්‍යාපනය නොකරයි. සහතික, AD සහ SAML ක්‍රම සසඳා, පසුව SSM වරාය යොමු කිරීම එක් පෞද්ගලික දත්ත සමුදායකට කවදා ගැලපේදැයි බලන්න.
පරිශීලකයෙකුට AWS Client VPN අන්ත ලක්ෂ්‍යයක් සෑදීමට හෝ විස්තර කිරීමට අවසර දීම ඔහුට එයට සම්බන්ධ වීමට ඉඩ නොදේ. මේවා වෙනස් ආකාර දෙකක අනන්‍යතා වේ: IAM AWS API ඇමතුම් පාලනය කරයි, සහ අන්ත ලක්ෂ්‍යය එය මත වින්‍යාස කර ඇති සේවාලාභී සත්‍යාපන ක්‍රම පමණක් පිළිගනී. එබැවින් පරිශීලකයෙකුට පුළුල් කොන්සෝල අයිතිවාසිකම් තිබිය හැකි අතර, එසේ වුවද VPN සේවාලාභියාට ඉදිරිපත් කළ හැකි කිසිවක් නොතිබිය හැක. අන්ත ලක්ෂ්‍යය විශ්වාස කරන ක්‍රමය තීරණය කරන්න, පසුව ඔබ ලබා දෙන ප්‍රවේශයට සම්පූර්ණ ටනලය නිවැරදි හැඩයදැයි තීරණය කරන්න.
API අනන්‍යතාවය ටනල අනන්‍යතාවය නොවේ
කිසිවෙකු «IAM භූමිකාව සම්බන්ධ කර ඇත, එසේ නම් VPN තවමත් අසාර්ථක වන්නේ ඇයි» යැයි කියන විට, පිළිතුර සාමාන්‍යයෙන් වන්නේ සම්බන්ධතා ප්‍රවාහයේ කිසිදු පියවරක් එම භූමිකාව කිසිදා නොකියවන බවයි. සේවාලාභියා සහතිකයක්, AD පරිශීලක නාමයක් සහ මුරපදයක්, හෝ SAML ප්‍රකාශයක් ඉදිරිපත් කරයි. අන්ත ලක්ෂ්‍යය ඉන් එකක් වලංගු කර පසුව ලිපිනයක් වෙන් කරයි.
IAM තවමත් වැදගත් වේ, නමුත් පසුව සහ වෙනත් තැනක: අන්ත ලක්ෂ්‍යය සෑදීම, උපජාල සම්බන්ධ කිරීම, මාර්ග ප්‍රකාශයට පත් කිරීම සහ අවසර නීති ලිවීම API ක්‍රියා වේ. එම අවසර ඒවා අවශ්‍ය ක්‍රියාකරුවන්ට පමණක් සීමා කරන්න, සෑම පරිශීලකයෙකුටම අන්ත ලක්ෂ්‍යයේ ප්‍රවේශ නීති නැවත ලිවීමේ හැකියාව ලබා දීම වෙනුවට.
අන්ත ලක්ෂ්‍යය අනුග්‍රහය දෙන ක්‍රම අතරින් තෝරන්න
AWS Client VPN සහතික පදනම් කළ අන්‍යෝන්‍ය සත්‍යාපනය, Active Directory සත්‍යාපනය සහ SAML පදනම් කළ ෆෙඩරල් සත්‍යාපනය පිළිගනී. ඔබ තෝරන සේවාලාභී ක්‍රමය කුමක් වුවත් සේවාදායක සහතිකයක් අවශ්‍ය වේ, සහ ක්‍රම එකට එකතු කරන වින්‍යාසයකට දෙකම සාර්ථක විය යුතුය, එකක් නොවේ.
| Client method | What the user presents | Where the work sits |
|---|---|---|
| Mutual certificate | A client certificate the endpoint trusts | Certificate authority, issuing and revoking per user |
| Active Directory | Domain credentials | Directory reachable from the endpoint's VPC |
| SAML federation | An assertion from an identity provider | IdP application, attribute mapping, client support |
සහතික ස්ථාපනය කිරීමට ලාභම සහ විශාල පරිමාණයෙන් වැරදීමට පහසුම වේ, මන්ද සෑම පරිශීලකයෙකුටම අක්තපත්‍රයක් අවශ්‍ය වන අතර සෑම නික්මීමකටම අවලංගු කිරීමක් අවශ්‍ය වේ. නාමාවලි සත්‍යාපනය එම ජීවන චක්‍රය පවතින පද්ධතියකට ගෙන යයි. ෆෙඩරේෂන් එය අනන්‍යතා සපයන්නෙකු වෙත ගෙන ගොස් සේවාලාභියාට බ්‍රවුසර පියවරක් එකතු කරයි.
සේවාලාභියා නිදොස් කිරීමට පෙර අන්ත ලක්ෂ්‍යයේම වින්‍යාසය කියවන්න. පරිශීලක පදනම් කළ ක්‍රමයක් සමඟ අන්‍යෝන්‍ය සත්‍යාපනය සක්‍රීය නම්, වලංගු සහතිකයක් ඇති නමුත් නාමාවලි ගිණුමක් නැති සේවාලාභියෙකු තවමත් අසාර්ථක වන අතර, දෝෂය සාමාන්‍යයෙන් සාමාන්‍ය හස්ත සම්පර්ක ගැටලුවක් මෙන් පෙනේ.
ෆෙඩරේෂන් යනු ප්‍රවේශ යතුරු ලබා දීම නොවේ
SAML සැකසුමක් IAM ප්‍රවේශ යතුරු හෝ භාරගත් භූමිකා ටෝකනයක් ටනලයට ඇතුළු නොකරයි. අනන්‍යතා සපයන්නා පුද්ගලයා සත්‍යාපනය කර ප්‍රකාශයක් ආපසු ලබා දෙන අතර, අන්ත ලක්ෂ්‍යය ඔබ වින්‍යාස කළ විශ්වාසය යටතේ එය පිළිගනී. ලැබෙන සැසිය VPN සැසියකි, AWS API සැසියක් නොවේ.
එම වෙනස කවුරුන් කුමක් රෝග විනිශ්චය කළ හැකිද යන්න තීරණය කරයි. IdP ගැටලු කිසිදු ටනලයක් පවතින්නට පෙර බ්‍රවුසර හෝ සේවාලාභී දෝෂයක් ලෙස දිස්වන අතර, ටනල ගැටලු සාර්ථක ප්‍රකාශයකින් පසුව දිස්වේ. ඕනෑම කොන්සෝලයක් විවෘත කිරීමට පෙර ඔබ මේ දෙකෙන් කුමක් දෙස බලා සිටින්නේදැයි අසන්න.
ලොගින් වීමෙන් පසුවත් මාර්ග සහ අවසර තීරණය කරයි
සත්‍යාපනය සැසියකට ලිපිනයක් ලබා දෙයි; එය සැසියට ගමනාන්තයක් ලබා නොදෙයි. අන්ත ලක්ෂ්‍යයේ මාර්ග සේවාලාභියාට කුමන උපජාල වෙත යැවිය යුතුදැයි කියයි, අවසර නීති තීරණය කරන්නේ කුමන පරිශීලකයින්ට එම උපජාලවලින් කුමකට ළඟා විය හැකිද යන්නයි, සහ ආරක්ෂක කණ්ඩායම් සහ ඉලක්කයේම අවසර ඉතිරිය තීරණය කරයි.
එබැවින් සාර්ථකව සත්‍යාපනය වූ පරිශීලකයෙකුට තවමත් දත්ත සමුදායකට ළඟා වීමට අසාර්ථක විය හැක. උපජාලය සඳහා මාර්ග වගු සම්බන්ධය, පරිශීලකයාගේ කණ්ඩායම සඳහා අවසර නීතිය සහ ඉලක්කයේ ආරක්ෂක කණ්ඩායම මෙම අනුපිළිවෙලින් පරීක්ෂා කරන්න, මන්ද එක් එක් එක වෙනස් ආකාරයේ කාල ඉකුත්වීමක් ඇති කරයි.
එක් පෞද්ගලික දත්ත සමුදායක් සඳහා, වරාය යොමු කිරීම සමඟ සසඳන්න
සැබෑ කාර්යය එක් පෞද්ගලික දත්ත සමුදායකට එක් අනුමත සම්බන්ධතාවයක් නම්, සම්පූර්ණ ජාල ටනලයක් අවශ්‍යතාවයක් නොව තේරීමකි. AWS Systems Manager Session Manager හට IAM හරහා කළමනාකරණය වූ නෝඩයකට වරාය යොමු කිරීමේ සැසියක් විවෘත කළ හැකි අතර, එම නෝඩය පෞද්ගලික ජාලයේ දත්ත සමුදායට ළඟා වේ. පරිශීලකයාට කිසිදා VPC ලිපිනයක් නොලැබේ. කළමනාකරණය වූ නෝඩය දත්ත සමුදායේ වරායට ළඟා විය හැකි එකම සත්කාරකය බවට පත් වන අතර, ආරක්ෂක සමාලෝචනය සාමාන්‍යයෙන් ඉල්ලා සිටියේ එයයි. ඉන්පසු පරිශීලකයින්ට VPN පැතිකඩක් වෙනුවට දේශීය සේවාලාභියෙකු සහ සැසි විධානයක් අවශ්‍ය වේ.
වෙළඳාම වන්නේ විෂය පථය සහ පූර්ව කොන්දේසි අතරය. වරාය යොමු කිරීමට කළමනාකරණය වූ නෝඩයේ SSM නියෝජිතයා, එම නෝඩයේ සිට දත්ත සමුදායට ජාල ළඟාවීම, පරිශීලකයාගේ යන්ත්‍රයේ Session Manager ප්ලගිනය සහ එම නිශ්චිත සැසිය ආරම්භ කිරීමට අවසරය අවශ්‍ය වේ. එය සෑම උපජාලයකටම ප්‍රවේශ මාර්ගයක් නොවන අතර, ටනලයක් මෙන් අත්තනෝමතික ප්‍රොටෝකෝල රැගෙන යන්නේ නැත.
කුමන අවස්ථාවක වුවද දත්ත සමුදායේම අනන්‍යතාවය එහි තැන තබන්න. මාර්ගය IAM මගින් අවසර ලබා ඇති නිසා TLS සත්‍යාපනය සහ දත්ත සමුදාය සත්‍යාපනය අතුරුදහන් නොවේ, සහ අනුමත සැසියක් පරිශීලකයාට කුමන වගු කියවිය හැකිද යන්න ගැන කිසිවක් නොකියයි.
විෂය පථය සහ ජීවන චක්‍රය අනුව තෝරන්න: බොහෝ පරිශීලකයින්ට බොහෝ ගමනාන්ත අවශ්‍ය වන අතර ඔබට සහතික හෝ නාමාවලි ජීවන චක්‍රය කළමනාකරණය කළ හැකි විට ටනලය; කිහිප දෙනෙකුට එක් සේවාවක් අවශ්‍ය වන අතර ජාල ලිපින බෙදාහැරීමට අකැමැති විට යොමු කිරීමේ සැසිය. කුමන අවස්ථාවක වුවද, සත්‍යාපන ක්‍රමය, අවසර නීතිය සහ දත්ත සමුදාය ලොගින් තුන් වෙනස් කරුණු ලෙස සටහන් කරන්න, මන්ද ඒවා වෙන වෙනම අසාර්ථක වේ.