AWS Client VPN SAML a Google Workspace: medzera v spätnom volaní

Stránka app_not_configured_for_user pochádza z Google Workspace a objaví sa skôr, než sa vyjedná jediný paket tunela. Toto poradie je celá diagnóza. Preinštalovanie klienta, úprava profilu ani kontrola trás neodstránia stránku, ktorú koncový bod VPN ešte nevidel. Zlyhávajúci krok je odovzdanie v prehliadači medzi poskytovateľom identity a poslucháčom na vlastnom počítači používateľa, a v tomto odovzdaní stojí za kontrolu presne tri veci.

Čítajte stránku ako vyhlásenie poskytovateľa identity

Google to vracia, keď aplikácia SAML nie je povolená pre účet, ktorý sa prihlásil. Aplikácia môže byť vypnutá, používateľ môže byť mimo priradenej organizačnej jednotky alebo skupiny, alebo sa nastavenia poskytovateľa služieb nemusia zhodovať s tým, čo požiadavka žiadala.

Nič z toho nie je problém certifikátu, trasy ani tunela, aj keď si to používateľ všimol v klientovi VPN.

Dve hodnoty, ktoré klient prijme

AWS Client VPN vykonáva výmenu SAML iniciovanú poskytovateľom služieb, takže klient otvorí prehliadač, používateľ sa overí a poskytovateľ odošle podpísané tvrdenie späť na adresu Assertion Consumer Service. Pre desktopového klienta od AWS je touto adresou poslucháč na loopbacku, zvyčajne port 35001, a očakávané publikum je identifikátor entity aplikácie SAML pre Client VPN, nie entita prihlásenia do konzoly AWS.

Obe hodnoty musia zodpovedať tomu, čo klient očakáva: kam sa tvrdenie odosiela a komu je adresované. Konfigurácia skopírovaná z aplikácie SSO v konzole môže vyzerať úplne vierohodne a predsa mieriť na nesprávnu dvojicu.

Vezmite obe hodnoty z požiadaviek Client VPN SAML, nie zo všeobecného návodu na jednotné prihlásenie v AWS. Entita SSO v konzole vyzerá dosť podobne, aby bola lákavá. Je to iná aplikácia s iným publikom a klient tvrdenie odmietne bez vysvetlenia. Skopírujte dvojicu raz a uložte ju vedľa profilu.

Google neprijme obyčajné HTTP spätné volanie

Administrátorská konzola vyžaduje adresu ACS cez HTTPS, a spätné volanie klienta je obyčajné HTTP na loopbacku. Túto hodnotu nemožno do konfigurácie aplikácie Workspace vôbec zadať, preto niektoré tímy skúšajú reverznú proxy, ktorá ukončí TLS a presmeruje na miestneho poslucháča. To nesúlad neopraví: prehliadač vidí jeden pôvod, klient ohlasuje iný a vrátená odpoveď môže doraziť na nesprávne miesto určenia.

Fungujúcim usporiadaním je sprostredkujúci poskytovateľ identity. Aplikácia SAML u sprostredkovateľa dostane spätné volanie na loopback a publikum AWS a sprostredkovateľ federuje účet Workspace vyššie. Pravidlo HTTPS u Google zostáva splnené a tvrdenie, ktoré dorazí ku klientovi, stále uvádza adresu a publikum, ktoré očakáva.

Tento sprostredkovateľ je administratívna závislosť, ktorú musí niekto vlastniť, sledovať a zahrnúť do ukončenia prístupu. Je to aj druhé miesto, kde sa výpadok zmení na zlyhanie prihlásenia. Vyceníte ho, kým dizajn sľúbite. Ak ho nikto nebude vlastniť, poctivá odpoveď je, že klient AWS nemôže Workspace použiť ako jediného poskytovateľa identity.

Priradenie a dvojfázové overenie

Skôr než čokoľvek prepracujete, overte, že aplikácia je zapnutá pre správnu organizačnú jednotku alebo skupinu a že aplikácie SAML tretích strán majú vlastné ovládanie priradenia oddelené od zoznamu aplikácií na strane Google.

Skontrolujte tiež, či má účet zapnuté dvojfázové overenie. Google ho môže vyžadovať skôr, než sa aplikácia SAML stane pre používateľa použiteľnou, a jedna odpoveď v pôvodnom vlákne bola vyriešená práve takto. Je to najlacnejšia vec na vylúčenie a najotravnejšia na objavenie na konci.

Overte s čistou reláciou

Po každej zmene testujte s novým profilom prehliadača a čistou konfiguráciou klienta. Uložené tvrdenia a znovu použité relácie skrývajú, či oprava zabrala.

Potom porovnajte dva záznamy vedľa seba: auditnú udalosť poskytovateľa identity a log klienta. Úspešné prihlásenie bez tunela ukazuje späť na spätné volanie alebo publikum. Pripojený tunel s nedostupným zdrojom je problém smerovania alebo autorizácie a patrí celkom inam.

Čo nemeniť

Neodstraňujte auth-federate z profilu a nevypínajte kontroly certifikátov, aby ste stránku obišli. Oboje mení návrh overovania, nie zlyhávajúce spätné volanie, a oboje sa zvyčajne pokazí pri ďalšej aktualizácii klienta.

Namiesto toho opravte odovzdanie a zanechajte poznámku, ktorá uvádza sprostredkovateľa, publikum a port loopback. Ďalší človek, ktorý stránku uvidí, bude potrebovať všetky tri.