Čo sa deje v kroku prehliadača pri federovanom prihlásení do VPN

Kliknete na Pripojiť a namiesto poľa pre heslo vám klient VPN otvorí prehliadač. Toto odovzdanie mätie ľudí, ktorí očakávajú, že sa tunel overí sám. Prehliadač nie je obchádzka: práve tam poskytovateľ identity skutočne overuje osobu a klient len čaká na výsledok.

Prechod jedného prihlásenia od začiatku do konca ukáže, kam patrí každá chyba, a práve túto časť väčšina runbookov vynecháva.

Začnite pri klientovi, nie pri konfigurácii brány

Klient zostaví požiadavku a pošle prehliadač poskytovateľovi identity s identifikátorom poskytovateľa služieb a adresou návratu. IdP vašej organizácie potom vykoná to, čo má nakonfigurované: heslo, MFA, kontrolu zariadenia, podmienený prístup. Ak má prehliadač už platnú reláciu, viditeľná časť môže trvať sekundu alebo dve. Tá krátkosť je opätovné použitie relácie, nie vynechaná kontrola.

V konfigurácii federácie klienta si najprv prečítajte dve hodnoty: metadáta alebo URL IdP, ktorému dôveruje, a adresu spätného volania, ktorú očakáva. Nezhoda tam zlyhá skôr, než sa napíše akékoľvek heslo.

Čo musí poskytovateľ identity vrátiť

IdP odpovedá podpísanou odpoveďou SAML, ktorá obsahuje assertion: kto je subjekt, kto ju vydal, pre koho je určená a ako dlho zostáva platná. Tieto polia sú zmluva. Vydavateľ, audience, príjemca a okno platnosti sa musia zhodovať s tým, čo služba očakáva.

Odpoveď podpísaná správnym IdP, ale adresovaná inej audience, je stále neplatná. To je kontrola, ktorú ľudia vynechávajú, keď kopírujú metadáta medzi laboratóriom a produkciou.

Čo služba VPN overí, kým vám uverí

Služba overí podpis voči dôveryhodnému certifikátu, skontroluje vydavateľa, audience a príjemcu, potom vyhodnotí časové podmienky. Až potom namapuje assertion na používateľa alebo skupinu a použije autorizačnú politiku VPN. Overenie identity a autorizácia sú tu oddelené kroky a platný assertion bez zodpovedajúcej skupiny vytvorí reláciu, ktorá sa pripojí a nikam sa nedostane.

Assertion je autentifikačný materiál, nie heslo. Vložiť ho do iného klienta alebo si ho nechať na neskoršie opätovné pripojenie nie je podporované prihlásenie.

Dve životnosti, ktoré končia oddelene

Relácia prehliadača na IdP a relácia VPN na bráne vypršia na rôznych hodinách. Odhlásenie z IdP nemusí nevyhnutne zrušiť vytvorený tunel a odpojenie tunela vás neodhlási z prehliadača.

AWS Client VPN dokumentuje, že jeho federovaný tok nepodporuje SAML single logout, čo je jeden konkrétny príklad tejto medzery. Overte si vlastnú službu, namiesto toho, aby ste predpokladali symetriu.

Preto sa opätovné pripojenie správa inak o 09:00 a o 15:00. Môže potichu znovu použiť reláciu IdP, znova si vyžiadať MFA alebo zlyhať, pretože trvanie relácie koncového bodu vypršalo, kým relácia prehliadača nie. Pracovný postup federácie AWS opisuje vlastné požiadavky na klienta a odpoveď a iné služby používajú iné odovzdania.

Keď krok prehliadača zlyhá, skontrolujte tieto v poradí

Pracujte od prehliadača smerom von, pretože chybová správa zvyčajne pomenúva posledný skok, nie prvý.

Ak sa stránka nikdy nenačíta, URL IdP klienta alebo cesta k nemu je nesprávna. Ak IdP požiadavku odmietne, identifikátor poskytovateľa služieb alebo spätné volanie nezodpovedá jeho konfigurácii. Ak prehliadač ukáže úspech a klient stále zlyháva, odpoveď dorazila na nesprávne miesto alebo neprešla validáciou audience a času. A ak sa tunel zdvihne bez prístupu, assertion bol prijatý, ale mapovanie skupín nie.

Držte očakávanú stránku, spätné volanie a mapovanie skupín v jednom dokumente. Potom používateľ, ktorý nahlási pokazené prihlásenie do VPN, môže povedať, ktorú z tých štyroch vecí videl, a odpoveď je už napoly napísaná.