AWS Client VPN SAML na Google Workspace: pengo la mwitikio

Ukurasa wa app_not_configured_for_user unatoka Google Workspace na unaonekana kabla ya pakiti moja ya handaki kujadiliwa. Mpangilio huo ndio utambuzi wote. Kusakinisha upya mteja, kuhariri wasifu au kukagua njia hakuwezi kufuta ukurasa ambao mwisho wa VPN haujaona bado. Hatua inayoshindikana ni makabidhiano ndani ya kivinjari kati ya mtoa utambulisho na msikilizaji kwenye mashine ya mtumiaji mwenyewe, na katika makabidhiano hayo kuna vitu vitatu hasa vinavyostahili kukaguliwa.

Soma ukurasa kama tamko la mtoa utambulisho

Google hurudisha hii wakati programu ya SAML haijawashwa kwa akaunti iliyoingia. Programu inaweza kuwa imezimwa, mtumiaji anaweza kuwa nje ya kitengo cha shirika au kikundi kilichopangwa, au mipangilio ya mtoa huduma inaweza kutolingana na kile ombi lilihitaji.

Hakuna moja ya hayo ni tatizo la cheti, njia au handaki, ingawa mtumiaji aliliona kwenye mteja wa VPN.

Thamani mbili ambazo mteja atakubali

AWS Client VPN hufanya ubadilishanaji wa SAML ulioanzishwa na mtoa huduma, kwa hiyo mteja hufungua kivinjari, mtumiaji hujithibitisha, na mtoa huduma hutuma dai lililosainiwa kurudi kwenye URL ya Assertion Consumer Service. Kwa mteja wa kompyuta ya mezani anayotolewa na AWS URL hiyo ni msikilizaji kwenye loopback, kwa kawaida lango 35001, na hadhira inayotarajiwa ni kitambulisho cha huluki cha programu ya SAML ya Client VPN, si huluki ya kuingia kwenye konsoli ya AWS.

Thamani zote mbili lazima zilingane na kile mteja anachotarajia: dai linatumwa wapi na linaelekezwa kwa nani. Mipangilio iliyonakiliwa kutoka programu ya SSO ya konsoli inaweza kuonekana kuwa ya kuaminika kabisa na bado ikalenga jozi isiyo sahihi.

Chukua thamani zote mbili kutoka mahitaji ya Client VPN SAML, si kutoka mwongozo wa jumla wa kuingia mara moja wa AWS. Huluki ya SSO ya konsoli inaonekana kufanana vya kutosha kushawishi. Ni programu nyingine yenye hadhira nyingine, na mteja hukataa dai bila kujieleza. Nakili jozi mara moja na uihifadhi kando ya wasifu.

Google haitakubali mwitikio wa kawaida wa HTTP

Konsoli ya msimamizi inahitaji URL ya ACS ya HTTPS, na mwitikio wa mteja ni HTTP ya kawaida kwenye loopback. Thamani hiyo haiwezi kuandikwa kabisa kwenye mipangilio ya programu ya Workspace, ndiyo sababu baadhi ya timu hujaribu proksi ya kinyume inayomaliza TLS na kupeleka kwa msikilizaji wa ndani. Hiyo haitengenezi kutolingana: kivinjari huona asili moja, mteja hutangaza nyingine, na jibu linalorudi linaweza kufika mahali pasipofaa.

Mpangilio unaofanya kazi ni mtoa utambulisho wa dalali. Programu ya SAML kwa dalali hupata mwitikio wa loopback na hadhira ya AWS, na dalali huunganisha akaunti ya Workspace juu. Sheria ya HTTPS ya Google inabaki imetimizwa, na dai linalofika kwa mteja bado hutaja anwani na hadhira inayotarajiwa.

Dalali huyo ni utegemezi wa kiutawala ambao mtu anapaswa kumiliki, kufuatilia na kuujumuisha katika kuondolewa kazini. Pia ni mahali pa pili ambapo hitilafu hugeuka kuwa kushindikana kwa kuingia. Ipe bei kabla ya kuahidi muundo. Ikiwa hakuna atakayemiliki, jibu la uaminifu ni kwamba mteja wa AWS hawezi kutumia Workspace kama mtoa utambulisho wake pekee.

Ugawaji na uthibitishaji wa hatua mbili

Kabla ya kubadilisha muundo wa kitu chochote, thibitisha kwamba programu imewashwa kwa kitengo cha shirika au kikundi sahihi, na kwamba programu za SAML za wahusika wengine zina vidhibiti vyao vya ugawaji vilivyo tofauti na orodha ya programu upande wa Google.

Kagua pia kama akaunti imewasha uthibitishaji wa hatua mbili. Google inaweza kuuhitaji kabla programu ya SAML kutumika kwa mtumiaji, na jibu moja katika mjadala wa awali lilitatuliwa kwa namna hiyo hasa. Ni kitu cha bei ndogo zaidi kuondoa na cha kuchusha zaidi kugundua mwishoni.

Thibitisha kwa kipindi safi

Baada ya mabadiliko yoyote, jaribu kwa wasifu mpya wa kivinjari na mipangilio safi ya mteja. Madai yaliyohifadhiwa na vipindi vilivyotumika tena huficha kama marekebisho yalifika.

Kisha linganisha kumbukumbu mbili kwa upande: tukio la ukaguzi la mtoa utambulisho na kumbukumbu ya mteja. Kuingia kwa mafanikio bila handaki huelekeza nyuma kwenye mwitikio au hadhira. Handaki iliyounganishwa lakini rasilimali isiyofikika ni tatizo la uelekezaji au idhini na ni la mahali pengine kabisa.

Nini kusibadilishe

Usiondoe auth-federate kwenye wasifu na usizime ukaguzi wa vyeti ili kupita ukurasa. Zote mbili hubadilisha muundo wa uthibitishaji badala ya mwitikio unaoshindikana, na zote mbili kwa kawaida huvunjika kwenye sasisho la mteja linalofuata.

Badala yake rekebisha makabidhiano, na uache kidokezo kinachotaja dalali, hadhira na lango la loopback. Mtu anayefuata kuona ukurasa atahitaji vyote vitatu.