AWS Client VPN SAML in Google Workspace: vrzel pri povratnem klicu

Stran app_not_configured_for_user prihaja iz Google Workspace in se pojavi, preden je dogovorjen en sam paket tunela. Ta vrstni red je cela diagnoza. Ponovna namestitev odjemalca, urejanje profila ali preverjanje poti ne morejo počistiti strani, ki je končna točka VPN še ni videla. Korak, ki spodleti, je predaja v brskalniku med ponudnikom identitete in poslušalcem na uporabnikovem lastnem računalniku, in v tej predaji je vredno preveriti natanko tri stvari.

Berite stran kot izjavo ponudnika identitete

Google to vrne, ko aplikacija SAML ni omogočena za račun, ki se je prijavil. Aplikacija je morda izklopljena, uporabnik je morda zunaj dodeljene organizacijske enote ali skupine, ali se nastavitve ponudnika storitev morda ne ujemajo s tem, kar je zahtevala zahteva.

Nič od tega ni težava s potrdilom, potjo ali tunelom, čeprav je uporabnik to opazil v odjemalcu VPN.

Dve vrednosti, ki jih bo odjemalec sprejel

AWS Client VPN izvede izmenjavo SAML, ki jo sproži ponudnik storitev, zato odjemalec odpre brskalnik, uporabnik se overi, ponudnik pa pošlje podpisano trditev nazaj na naslov Assertion Consumer Service. Za namiznega odjemalca, ki ga ponuja AWS, je ta naslov poslušalec na loopbacku, običajno vrata 35001, pričakovana publika pa je identifikator entitete aplikacije SAML za Client VPN, ne entiteta prijave v konzolo AWS.

Obe vrednosti se morata ujemati s tem, kar odjemalec pričakuje: kam se trditev pošlje in komu je naslovljena. Konfiguracija, kopirana iz aplikacije SSO v konzoli, je lahko videti povsem verodostojna in vseeno cilja napačen par.

Vzemite obe vrednosti iz zahtev Client VPN SAML, ne iz splošnega vodnika za enotno prijavo v AWS. Entiteta SSO v konzoli je videti dovolj podobna, da je vabljiva. To je druga aplikacija z drugo publiko in odjemalec trditev zavrne, ne da bi se pojasnil. Kopirajte par enkrat in ga shranite ob profilu.

Google ne bo sprejel običajnega HTTP povratnega klica

Skrbniška konzola zahteva naslov ACS prek HTTPS, povratni klic odjemalca pa je običajen HTTP na loopbacku. Te vrednosti v konfiguracijo aplikacije Workspace sploh ni mogoče vnesti, zato nekatere ekipe poskusijo obratni posrednik, ki zaključi TLS in posreduje lokalnemu poslušalcu. To ne odpravi neskladja: brskalnik vidi en izvor, odjemalec oglašuje drugega, vrnjeni odgovor pa lahko prispe na napačen cilj.

Deluje posredniški ponudnik identitete. Aplikacija SAML pri posredniku dobi povratni klic loopback in publiko AWS, posrednik pa federira račun Workspace navzgor. Googlovo pravilo HTTPS ostane izpolnjeno, trditev, ki doseže odjemalca, pa še vedno navaja naslov in publiko, ki ju pričakuje.

Ta posrednik je administrativna odvisnost, ki jo mora nekdo imeti, spremljati in vključiti v odhod zaposlenega. Je tudi drugo mesto, kjer se izpad spremeni v neuspešno prijavo. Ovrednotite ga, preden obljubite zasnovo. Če ga nihče ne bo imel, je pošten odgovor, da odjemalec AWS ne more uporabljati Workspace kot edinega ponudnika identitete.

Dodelitev in dvostopenjsko preverjanje

Preden karkoli preoblikujete, potrdite, da je aplikacija vklopljena za pravo organizacijsko enoto ali skupino in da imajo aplikacije SAML tretjih strani svoje kontrolnike dodeljevanja, ločene od seznama aplikacij na Googlovi strani.

Preverite tudi, ali je na računu omogočeno dvostopenjsko preverjanje. Google ga lahko zahteva, preden aplikacija SAML postane uporabna za uporabnika, in en odgovor v izvirni niti je bil rešen natanko tako. To je najceneje izločiti in najbolj nadležno odkriti nazadnje.

Preverite s čisto sejo

Po vsaki spremembi preizkusite z novim profilom brskalnika in čisto konfiguracijo odjemalca. Shranjene trditve in ponovno uporabljene seje skrijejo, ali je popravek prišel skozi.

Nato primerjajte dva zapisa drug ob drugem: revizijski dogodek ponudnika identitete in dnevnik odjemalca. Uspešna prijava brez tunela kaže nazaj na povratni klic ali publiko. Povezan tunel z nedosegljivim virom je težava usmerjanja ali avtorizacije in sodi povsem drugam.

Česa ne spreminjati

Ne odstranite auth-federate iz profila in ne izklopite preverjanja potrdil, da bi prišli mimo strani. Oboje spremeni zasnovo overjanja, ne spodletelega povratnega klica, in oboje se običajno zlomi pri naslednji posodobitvi odjemalca.

Namesto tega popravite predajo in pustite opombo, ki navaja posrednika, publiko in vrata loopback. Naslednja oseba, ki bo videla stran, bo potrebovala vse tri.