Аутентификација у AWS Client VPN-у: IAM дозволе нису начин пријаве
Дозволе у конзоли не аутентификују тунел. Упоредите методе са сертификатом, AD и SAML, па погледајте када SSM прослеђивање портова одговара једној приватној бази података.
Давање кориснику дозволе да креира или опише AWS Client VPN крајњу тачку не омогућава том кориснику да се повеже на њу. То су две различите врсте идентитета: IAM управља позивима AWS API-ја, а крајња тачка прихвата само методе аутентификације клијента конфигурисане на њој. Корисник зато може имати широка права у конзоли и ипак немати ништа што VPN клијент може представити. Одредите којој методи крајња тачка верује, па одлучите да ли је пуни тунел прави облик за приступ који дајете.
Идентитет API-ја није идентитет тунела
Када неко каже „IAM улога је повезана, зашто VPN још увек не ради“, одговор је обично да ниједан корак у току повезивања не чита ту улогу. Клијент представља сертификат, AD корисничко име и лозинку или SAML тврдњу. Крајња тачка провери једно од тога и затим додели адресу.
IAM је и даље важан, само касније и на другом месту: креирање крајње тачке, повезивање подмрежа, објављивање рута и писање правила ауторизације су API радње. Држите те дозволе ограничене на оператере којима су потребне, уместо да сваком кориснику дате могућност да препише правила приступа крајње тачке.
Изаберите међу методама које крајња тачка подржава
AWS Client VPN прихвата узајамну аутентификацију засновану на сертификату, аутентификацију преко Active Directory и федеративну аутентификацију засновану на SAML-у. Сертификат сервера је потребан без обзира на то коју методу клијента изаберете, а конфигурација која комбинује методе захтева успех обе, а не једне.
| Client method | What the user presents | Where the work sits |
|---|---|---|
| Mutual certificate | A client certificate the endpoint trusts | Certificate authority, issuing and revoking per user |
| Active Directory | Domain credentials | Directory reachable from the endpoint's VPC |
| SAML federation | An assertion from an identity provider | IdP application, attribute mapping, client support |
Сертификати су најјефтинији за постављање и најлакше их је погрешно поставити у великом обиму, јер сваки корисник треба акредитив, а сваки одлазак захтева опозив. Аутентификација преко директоријума премешта тај животни циклус у постојећи систем. Федерација га премешта код провајдера идентитета и додаје корак у прегледачу на клијенту.
Прочитајте сопствену конфигурацију крајње тачке пре него што почнете да отклањате грешке на клијенту. Ако је узајамна аутентификација омогућена уз методу засновану на кориснику, клијент са важећим сертификатом али без налога у директоријуму и даље ће пасти, а грешка обично изгледа као општи проблем руковања.
Федерација није преношење приступних кључева
SAML поставка не убацује IAM приступне кључеве ни токен преузете улоге у тунел. Провајдер идентитета аутентификује особу, враћа тврдњу, а крајња тачка је прихвата у оквиру поверења које сте конфигурисали. Резултујућа сесија је VPN сесија, а не сесија AWS API-ја.
Та разлика одређује ко може шта да дијагностикује. Проблеми са IdP-ом појављују се као грешка прегледача или клијента пре него што тунел уопште постоји, док се проблеми са тунелом појављују након успешне тврдње. Питајте које од то двоје гледате пре него што отворите било коју конзолу.
Након пријаве руте и ауторизација и даље одлучују
Аутентификација даје сесији адресу; она не даје сесији одредиште. Руте крајње тачке говоре клијенту у које подмреже да шаље, правила ауторизације одлучују који корисници могу да досегну које од тих подмрежа, а безбедносне групе и сопствене дозволе циља одлучују о осталом.
Зато корисник који се успешно аутентификује и даље може да пропусти да досегне базу података. Проверите повезаност табеле рута за подмрежу, правило ауторизације за корисникову групу и безбедносну групу на циљу тим редом, јер свако од њих производи другу врсту истека времена.
За једну приватну базу података упоредите са прослеђивањем портова
Ако је стварни задатак једна одобрена веза према једној приватној бази података, потпуни мрежни тунел је избор, а не захтев. AWS Systems Manager Session Manager може кроз IAM да отвори сесију прослеђивања портова према управљаном чвору, а тај чвор досегне базу података на приватној мрежи. Корисник никада не добија VPC адресу. Управљани чвор постаје једини хост који може да досегне порт базе података, што је обично оно што је безбедносна провера тражила. Корисницима тада треба локални клијент и наредба сесије уместо VPN профила.
Трговина је обим против предуслова. Прослеђивање портова захтева SSM агента на управљаном чвору, мрежну доступност од тог чвора до базе података, додатак Session Manager на корисниковом рачунару и дозволу за покретање те конкретне сесије. То није рута у сваку подмрежу и неће преносити произвољне протоколе као тунел.
У сваком случају задржите сопствени идентитет базе података. TLS провера и аутентификација базе података не нестају зато што је пут ауторизован кроз IAM, а одобрена сесија ништа не говори о томе које табеле корисник сме да чита.
Бирајте према обиму и животном циклусу: тунел када многим корисницима треба много одредишта и можете да водите животни циклус сертификата или директоријума, сесију прослеђивања када неколицини људи треба једна услуга и радије не бисте делили мрежне адресе. У сваком случају забележите методу аутентификације, правило ауторизације и пријаву на базу података као три одвојене чињенице, јер оне падају одвојено.