AWS Client VPN SAML dhe Google Workspace: boshllëku i thirrjes kthyese

Faqja app_not_configured_for_user vjen nga Google Workspace dhe shfaqet para se të negociohet edhe një paketë e vetme tuneli. Ky rend është i gjithë diagnozi. Riinstalimi i klientit, redaktimi i profilit ose kontrolli i rrugëve nuk mund të pastrojnë një faqe që pika fundore e VPN-së nuk e ka parë ende. Hapi që dështon është një dorëzim në shfletues midis ofruesit të identitetit dhe një dëgjuesi në makinën e vetë përdoruesit, dhe në atë dorëzim vlen të kontrollohen saktësisht tri gjëra.

Lexojeni faqen si një deklaratë të ofruesit të identitetit

Google e kthen këtë kur aplikacioni SAML nuk është i aktivizuar për llogarinë që u identifikua. Aplikacioni mund të jetë i fikur, përdoruesi mund të jetë jashtë njësisë organizative ose grupit të caktuar, ose cilësimet e ofruesit të shërbimit mund të mos përputhen me atë që kërkoi kërkesa.

Asnjëra prej tyre nuk është problem certifikate, rruge ose tuneli, edhe pse përdoruesi e vuri re në klientin e VPN-së.

Dy vlerat që klienti do të pranojë

AWS Client VPN kryen një shkëmbim SAML të nisur nga ofruesi i shërbimit, prandaj klienti hap një shfletues, përdoruesi autentikohet dhe ofruesi dërgon një pohim të nënshkruar përsëri në një URL të Assertion Consumer Service. Për klientin e desktopit që ofron AWS ai URL është një dëgjues në loopback, zakonisht porta 35001, dhe publiku i pritur është identifikuesi i entitetit të aplikacionit SAML të Client VPN, jo entiteti i hyrjes në konsolën AWS.

Të dyja vlerat duhet të përputhen me atë që pret klienti: ku postohet pohimi dhe kujt i drejtohet. Një konfigurim i kopjuar nga një aplikacion SSO i konsolës mund të duket plotësisht i besueshëm dhe gjithsesi të synojë çiftin e gabuar.

Merri të dyja vlerat nga kërkesat e Client VPN SAML, jo nga një udhëzues i përgjithshëm i hyrjes së vetme të AWS. Entiteti SSO i konsolës duket mjaft i ngjashëm sa për të joshur. Është aplikacion tjetër me publik tjetër, dhe klienti e refuzon pohimin pa u shpjeguar. Kopjojeni çiftin një herë dhe ruajeni pranë profilit.

Google nuk do ta pranojë thirrjen kthyese HTTP të thjeshtë

Konsola e administratorit kërkon një URL ACS me HTTPS, ndërsa thirrja kthyese e klientit është HTTP e thjeshtë në loopback. Ajo vlerë nuk mund të shkruhet fare në konfigurimin e aplikacionit Workspace, prandaj disa ekipe provojnë një përfaqësues të kundërt që përfundon TLS-in dhe përcjell te dëgjuesi lokal. Kjo nuk e rregullon mospërputhjen: shfletuesi sheh një origjinë, klienti njofton një tjetër, dhe përgjigjja e kthyer mund të mbërrijë në destinacionin e gabuar.

Rregullimi që funksionon është një ofrues identiteti ndërmjetës. Aplikacioni SAML te ndërmjetësi merr thirrjen kthyese loopback dhe publikun e AWS, dhe ndërmjetësi federon llogarinë Workspace lart. Rregulli HTTPS i Google mbetet i plotësuar, dhe pohimi që arrin te klienti vazhdon të emërtojë adresën dhe publikun që pret.

Ai ndërmjetës është një varësi administrative që dikush duhet ta zotërojë, ta monitorojë dhe ta përfshijë në largimin nga puna. Është gjithashtu një vend i dytë ku një ndërprerje bëhet dështim identifikimi. Vlerësojeni përpara se ta premtoni dizajnin. Nëse askush nuk do ta zotërojë, përgjigjja e sinqertë është se klienti i AWS nuk mund të përdorë Workspace si ofruesin e vetëm të identitetit.

Caktimi dhe verifikimi dyhapësh

Para se të ridizajnoni çdo gjë, konfirmoni që aplikacioni është i ndezur për njësinë organizative ose grupin e duhur, dhe që aplikacionet SAML të palëve të treta kanë kontrollet e tyre të caktimit, të ndara nga lista e aplikacioneve në anën e Google.

Kontrolloni gjithashtu nëse llogaria ka verifikim dyhapësh të aktivizuar. Google mund ta kërkojë para se një aplikacion SAML të bëhet i përdorshëm për një përdorues, dhe një përgjigje në temën origjinale u zgjidh pikërisht kështu. Është gjëja më e lirë për t’u përjashtuar dhe më e bezdisshmja për t’u zbuluar e fundit.

Verifikoni me një sesion të pastër

Pas çdo ndryshimi, provoni me një profil të ri shfletuesi dhe një konfigurim të pastër klienti. Pohimet e ruajtura në memorje dhe sesionet e ripërdorura fshehin nëse rregullimi arriti.

Pastaj krahasoni dy regjistrime njëri pranë tjetrit: ngjarjen e auditimit të ofruesit të identitetit dhe regjistrin e klientit. Një hyrje e suksesshme pa tunel tregon përsëri te thirrja kthyese ose te publiku. Një tunel i lidhur me një burim të paarritshëm është problem rrugëtimi ose autorizimi dhe i përket krejt diku tjetër.

Çfarë të mos ndryshoni

Mos e hiqni auth-federate nga profili dhe mos i çaktivizoni kontrollet e certifikatës për të kaluar faqen. Të dyja ndryshojnë dizajnin e autentikimit dhe jo thirrjen kthyese që dështon, dhe të dyja zakonisht thyhen në përditësimin e ardhshëm të klientit.

Rregulloni në vend të kësaj dorëzimin, dhe lini një shënim që emërton ndërmjetësin, publikun dhe portën loopback. Personi i ardhshëm që sheh faqen do t’i ketë të nevojshme të tria.