Overovanie v AWS Client VPN: povolenia IAM nie sú spôsob prihlásenia
Povolenia v konzole neoverujú tunel. Porovnajte metódy s certifikátom, AD a SAML a potom zistite, kedy sa presmerovanie portov cez SSM hodí na jednu privátnu databázu.
Ak udelíte používateľovi povolenie vytvárať alebo popisovať koncový bod AWS Client VPN, neznamená to, že sa k nemu tento používateľ môže pripojiť. Ide o dva rôzne druhy identity: IAM riadi volania AWS API a koncový bod prijíma iba metódy overovania klienta, ktoré sú na ňom nastavené. Používateľ teda môže mať široké práva v konzole a napriek tomu nemá nič, čo by klient VPN mohol predložiť. Rozhodnite, ktorej metóde koncový bod dôveruje, a potom rozhodnite, či je úplný tunel správnym tvarom pre prístup, ktorý udeľujete.
Identita API nie je identita tunela
Keď niekto povie „rola IAM je pripojená, prečo VPN stále zlyháva“, odpoveď zvyčajne je, že žiadny krok v toku pripojenia túto rolu nikdy nečíta. Klient predloží certifikát, používateľské meno a heslo AD alebo tvrdenie SAML. Koncový bod overí jedno z nich a potom pridelí adresu.
IAM je stále dôležitý, len neskôr a inde: vytvorenie koncového bodu, priradenie podsietí, publikovanie trás a písanie autorizačných pravidiel sú akcie API. Držte tieto povolenia obmedzené na operátorov, ktorí ich potrebujú, namiesto toho, aby ste každému používateľovi dali možnosť prepísať pravidlá prístupu koncového bodu.
Vyberte z metód, ktoré koncový bod podporuje
AWS Client VPN prijíma vzájomné overovanie certifikátom, overovanie cez Active Directory a federované overovanie založené na SAML. Certifikát servera sa vyžaduje bez ohľadu na to, ktorú klientsku metódu vyberiete, a konfigurácia, ktorá kombinuje metódy, vyžaduje úspech oboch, nie jednej.
| Client method | What the user presents | Where the work sits |
|---|---|---|
| Mutual certificate | A client certificate the endpoint trusts | Certificate authority, issuing and revoking per user |
| Active Directory | Domain credentials | Directory reachable from the endpoint's VPC |
| SAML federation | An assertion from an identity provider | IdP application, attribute mapping, client support |
Certifikáty sa najlacnejšie zavádzajú a najľahšie sa vo veľkom pokazia, pretože každý používateľ potrebuje poverenie a každý odchod si vyžaduje odvolanie. Overovanie cez adresár presúva tento životný cyklus do existujúceho systému. Federácia ho presúva k poskytovateľovi identity a pridáva ku klientovi krok v prehliadači.
Prečítajte si vlastnú konfiguráciu koncového bodu, skôr než začnete ladiť klienta. Ak je vzájomné overovanie zapnuté vedľa metódy založenej na používateľovi, klient s platným certifikátom, ale bez účtu v adresári, stále zlyhá, a chyba zvyčajne vyzerá ako všeobecný problém s handshake.
Federácia nie je odovzdávanie prístupových kľúčov
Nastavenie SAML nevpúšťa do tunela prístupové kľúče IAM ani token prevzatej roly. Poskytovateľ identity overí osobu, vráti tvrdenie a koncový bod ho prijme v rámci dôvery, ktorú ste nastavili. Výsledná relácia je relácia VPN, nie relácia AWS API.
Tento rozdiel určuje, kto môže čo diagnostikovať. Problémy s IdP sa prejavia ako chyba prehliadača alebo klienta ešte predtým, než tunel existuje, zatiaľ čo problémy s tunelom sa prejavia po úspešnom tvrdení. Spýtajte sa, na ktorú z tých dvoch sa pozeráte, skôr než otvoríte ktorúkoľvek konzolu.
Po prihlásení stále rozhodujú trasy a autorizácia
Overenie dá relácii adresu; nedá jej cieľ. Trasy koncového bodu hovoria klientovi, do ktorých podsietí má posielať, autorizačné pravidlá rozhodujú, ktorí používatelia môžu dosiahnuť ktoré z týchto podsietí, a o zvyšku rozhodujú bezpečnostné skupiny a vlastné povolenia cieľa.
Preto používateľ, ktorý sa úspešne overí, môže stále nedosiahnuť databázu. Skontrolujte priradenie smerovacej tabuľky k podsieti, autorizačné pravidlo pre skupinu používateľa a bezpečnostnú skupinu na cieli v tomto poradí, pretože každé z nich vytvára iný druh vypršania.
Pre jednu privátnu databázu porovnajte s presmerovaním portov
Ak je skutočnou úlohou jedno schválené pripojenie k jednej privátnej databáze, úplný sieťový tunel je voľba, nie požiadavka. AWS Systems Manager Session Manager môže cez IAM otvoriť reláciu presmerovania portu k spravovanému uzlu a tento uzol dosiahne databázu v privátnej sieti. Používateľ nikdy nedostane adresu VPC. Spravovaný uzol sa stane jediným hostiteľom, ktorý môže dosiahnuť port databázy, a to je zvyčajne to, čo bezpečnostná revízia žiadala. Používatelia potom potrebujú lokálneho klienta a príkaz relácie namiesto profilu VPN.
Kompromis je rozsah proti predpokladom. Presmerovanie portov vyžaduje agenta SSM na spravovanom uzle, sieťovú dostupnosť z tohto uzla do databázy, doplnok Session Manager na počítači používateľa a povolenie spustiť práve túto reláciu. Nie je to cesta do každej podsiete a neprenáša ľubovoľné protokoly tak ako tunel.
V oboch prípadoch ponechajte vlastnú identitu databázy na mieste. Overenie TLS a overovanie databázy nezmiznú preto, že cesta bola autorizovaná cez IAM, a schválená relácia nič nehovorí o tom, ktoré tabuľky používateľ smie čítať.
Vyberajte podľa rozsahu a životného cyklu: tunel, keď mnohí používatelia potrebujú mnoho cieľov a môžete viesť životný cyklus certifikátov alebo adresára; reláciu presmerovania, keď niekoľko ľudí potrebuje jednu službu a radšej nechcete rozdávať sieťové adresy. V oboch prípadoch zaznamenajte metódu overovania, autorizačné pravidlo a prihlásenie do databázy ako tri oddelené fakty, pretože zlyhávajú oddelene.