AWS Client VPN அங்கீகாரம்: IAM அனுமதிகள் உள்நுழைவு முறை அல்ல
கன்சோல் அனுமதிகள் ஒரு சுரங்கப்பாதையை அங்கீகரிக்காது. சான்றிதழ், AD மற்றும் SAML முறைகளை ஒப்பிட்டு, SSM துறைமுக மாற்றம் ஒரு தனியார் தரவுத்தளத்திற்கு எப்போது பொருந்தும் என்பதைப் பாருங்கள்.
ஒரு பயனருக்கு AWS Client VPN இறுதிப்புள்ளியை உருவாக்க அல்லது விவரிக்க அனுமதி வழங்குவது அவரை அதனுடன் இணைக்க அனுமதிக்காது. இவை இரண்டு வெவ்வேறு வகையான அடையாளங்கள்: IAM AWS API அழைப்புகளை நிர்வகிக்கிறது, இறுதிப்புள்ளி அதன் மீது உள்ளமைக்கப்பட்ட வாடிக்கையாளர் அங்கீகார முறைகளை மட்டுமே ஏற்கிறது. எனவே ஒரு பயனருக்கு பரந்த கன்சோல் உரிமைகள் இருந்தாலும் VPN வாடிக்கையாளர் வழங்கக்கூடிய எதுவும் இல்லாமல் இருக்கலாம். இறுதிப்புள்ளி எந்த முறையை நம்புகிறது என்பதைத் தீர்மானித்து, பின்னர் நீங்கள் வழங்கும் அணுகலுக்கு முழு சுரங்கப்பாதை சரியான வடிவமா என்பதைத் தீர்மானிக்கவும்.
API அடையாளம் சுரங்கப்பாதை அடையாளம் அல்ல
யாராவது «IAM பங்கு இணைக்கப்பட்டுள்ளது, பின்னர் VPN ஏன் இன்னும் தோல்வியடைகிறது» என்று கேட்டால், பதில் பொதுவாக இணைப்பு ஓட்டத்தில் எந்தப் படியும் அந்தப் பங்கை ஒருபோதும் படிக்காது என்பதே. வாடிக்கையாளர் ஒரு சான்றிதழ், AD பயனர்பெயர் மற்றும் கடவுச்சொல், அல்லது SAML உரிமைகோரலை வழங்குகிறார். இறுதிப்புள்ளி அவற்றில் ஒன்றைச் சரிபார்த்து பின்னர் ஒரு முகவரியை ஒதுக்குகிறது.
IAM இன்னும் முக்கியமானது, ஆனால் பின்னர், வேறு இடத்தில்: இறுதிப்புள்ளியை உருவாக்குதல், துணை வலைப்பிணைப்புகளை இணைத்தல், வழித்தடங்களை வெளியிடுதல் மற்றும் அங்கீகார விதிகளை எழுதுதல் ஆகியவை API செயல்கள். அந்த அனுமதிகளை அவை தேவைப்படும் இயக்குபவர்களுக்கு மட்டுமே வைத்திருங்கள், ஒவ்வொரு பயனருக்கும் இறுதிப்புள்ளியின் அணுகல் விதிகளை மீண்டும் எழுதும் திறனை வழங்குவதற்குப் பதிலாக.
இறுதிப்புள்ளி ஆதரிக்கும் முறைகளில் தேர்ந்தெடுக்கவும்
AWS Client VPN சான்றிதழ் அடிப்படையிலான பரஸ்பர அங்கீகாரம், Active Directory அங்கீகாரம் மற்றும் SAML அடிப்படையிலான கூட்டாட்சி அங்கீகாரத்தை ஏற்கிறது. நீங்கள் தேர்ந்தெடுக்கும் வாடிக்கையாளர் முறை எதுவாக இருந்தாலும் சேவையக சான்றிதழ் தேவை, மேலும் முறைகளை இணைக்கும் உள்ளமைவுக்கு இரண்டும் வெற்றிபெற வேண்டும், ஒன்று அல்ல.
| Client method | What the user presents | Where the work sits |
|---|---|---|
| Mutual certificate | A client certificate the endpoint trusts | Certificate authority, issuing and revoking per user |
| Active Directory | Domain credentials | Directory reachable from the endpoint's VPC |
| SAML federation | An assertion from an identity provider | IdP application, attribute mapping, client support |
சான்றிதழ்கள் நிறுவ மிகவும் மலிவானவை மற்றும் பெரிய அளவில் தவறு செய்ய மிகவும் எளிதானவை, ஏனெனில் ஒவ்வொரு பயனருக்கும் ஒரு சான்று தேவை மற்றும் ஒவ்வொரு வெளியேற்றத்திற்கும் ரத்து தேவை. அடைவு அங்கீகாரம் அந்த வாழ்க்கைச் சுழற்சியை ஏற்கனவே உள்ள அமைப்புக்கு நகர்த்துகிறது. கூட்டாட்சி அதை ஒரு அடையாள வழங்குநருக்கு நகர்த்தி வாடிக்கையாளருக்கு உலாவி படிநிலையைச் சேர்க்கிறது.
வாடிக்கையாளரைப் பிழைத்திருத்துவதற்கு முன் இறுதிப்புள்ளியின் சொந்த உள்ளமைவைப் படிக்கவும். பயனர் அடிப்படையிலான முறையுடன் பரஸ்பர அங்கீகாரம் இயக்கப்பட்டிருந்தால், செல்லுபடியாகும் சான்றிதழ் உள்ள ஆனால் அடைவுக் கணக்கு இல்லாத வாடிக்கையாளர் இன்னும் தோல்வியடையும், மேலும் பிழை பொதுவாக ஒரு பொதுவான கைப்பிடி சிக்கலைப் போலத் தோன்றும்.
கூட்டாட்சி என்பது அணுகல் விசைகளைக் கடத்துவது அல்ல
SAML அமைப்பு IAM அணுகல் விசைகளையோ ஏற்றுக்கொள்ளப்பட்ட பங்கு டோக்கனையோ சுரங்கப்பாதையில் செலுத்துவதில்லை. அடையாள வழங்குநர் நபரை அங்கீகரித்து ஒரு உரிமைகோரலைத் திருப்பித் தருகிறார், இறுதிப்புள்ளி நீங்கள் உள்ளமைத்த நம்பிக்கையின் கீழ் அதை ஏற்கிறது. விளையும் அமர்வு VPN அமர்வு, AWS API அமர்வு அல்ல.
அந்த வேறுபாடு யார் எதைக் கண்டறிய முடியும் என்பதைத் தீர்மானிக்கிறது. IdP சிக்கல்கள் எந்தச் சுரங்கப்பாதையும் இருப்பதற்கு முன்பே உலாவி அல்லது வாடிக்கையாளர் பிழையாகத் தோன்றும், அதேசமயம் சுரங்கப்பாதை சிக்கல்கள் வெற்றிகரமான உரிமைகோரலுக்குப் பிறகு தோன்றும். எந்தக் கன்சோலையும் திறப்பதற்கு முன் இவை இரண்டில் எதைப் பார்க்கிறீர்கள் என்று கேளுங்கள்.
உள்நுழைந்த பிறகும் வழித்தடங்களும் அங்கீகாரமும் தீர்மானிக்கின்றன
அங்கீகாரம் ஒரு அமர்வுக்கு முகவரியைத் தருகிறது; அது அமர்வுக்கு இலக்கைத் தருவதில்லை. இறுதிப்புள்ளியின் வழித்தடங்கள் எந்தத் துணை வலைப்பிணைப்புகளுக்கு அனுப்ப வேண்டும் என்பதை வாடிக்கையாளருக்குச் சொல்கின்றன, அங்கீகார விதிகள் எந்தப் பயனர்கள் அந்தத் துணை வலைப்பிணைப்புகளில் எதை அடைய முடியும் என்பதைத் தீர்மானிக்கின்றன, மேலும் பாதுகாப்புக் குழுக்கள் மற்றும் இலக்கின் சொந்த அனுமதிகள் மீதமுள்ளதைத் தீர்மானிக்கின்றன.
அதனால்தான் வெற்றிகரமாக அங்கீகரிக்கப்பட்ட பயனரும் ஒரு தரவுத்தளத்தை அடைய முடியாமல் போகலாம். துணை வலைப்பிணைப்பிற்கான வழித்தட அட்டவணை இணைப்பு, பயனரின் குழுவிற்கான அங்கீகார விதி மற்றும் இலக்கின் பாதுகாப்புக் குழுவை அந்த வரிசையில் சரிபார்க்கவும், ஏனெனில் ஒவ்வொன்றும் வேறு வகையான நேரம் முடிவை உருவாக்குகிறது.
ஒரு தனியார் தரவுத்தளத்திற்கு, துறைமுக மாற்றத்துடன் ஒப்பிடுங்கள்
உண்மையான பணி ஒரு தனியார் தரவுத்தளத்திற்கு ஒரு அங்கீகரிக்கப்பட்ட இணைப்பாக இருந்தால், முழு வலைப்பிணைப்பு சுரங்கப்பாதை தேவை அல்ல, ஒரு தேர்வு. AWS Systems Manager Session Manager IAM வழியாக நிர்வகிக்கப்பட்ட முனைக்கு துறைமுக மாற்ற அமர்வைத் திறக்க முடியும், அந்த முனை தனியார் வலைப்பிணைப்பில் தரவுத்தளத்தை அடைகிறது. பயனர் ஒருபோதும் VPC முகவரியைப் பெறுவதில்லை. நிர்வகிக்கப்பட்ட முனையே தரவுத்தள துறைமுகத்தை அடையக்கூடிய ஒரே புரவலன் ஆகிறது, பொதுவாக பாதுகாப்பு மதிப்பாய்வு கோரியது அதுவே. பின்னர் பயனர்களுக்கு VPN சுயவிவரத்திற்குப் பதிலாக உள்ளூர் வாடிக்கையாளர் மற்றும் அமர்வுக் கட்டளை தேவை.
வர்த்தகம் என்பது எல்லைக்கு எதிரான முன்நிபந்தனைகள். துறைமுக மாற்றத்திற்கு நிர்வகிக்கப்பட்ட முனையில் SSM முகவர், அந்த முனையிலிருந்து தரவுத்தளத்திற்கு வலைப்பிணைப்பு அணுகல், பயனரின் இயந்திரத்தில் Session Manager செருகுநிரல் மற்றும் அந்தக் குறிப்பிட்ட அமர்வைத் தொடங்க அனுமதி தேவை. இது ஒவ்வொரு துணை வலைப்பிணைப்பிற்கும் நுழைவு வழி அல்ல, சுரங்கப்பாதையைப் போல தன்னிச்சையான நெறிமுறைகளைக் கொண்டு செல்லாது.
எந்தச் சூழ்நிலையிலும் தரவுத்தளத்தின் சொந்த அடையாளத்தை அதன் இடத்தில் வைத்திருங்கள். பாதை IAM மூலம் அங்கீகரிக்கப்பட்டதால் TLS சரிபார்ப்பும் தரவுத்தள அங்கீகாரமும் மறைந்துவிடாது, அங்கீகரிக்கப்பட்ட அமர்வு பயனர் எந்த அட்டவணைகளைப் படிக்கலாம் என்பதைப் பற்றி எதுவும் கூறாது.
எல்லை மற்றும் வாழ்க்கைச் சுழற்சியின் அடிப்படையில் தேர்ந்தெடுக்கவும்: பல பயனர்களுக்கு பல இலக்குகள் தேவைப்பட்டு சான்றிதழ் அல்லது அடைவு வாழ்க்கைச் சுழற்சியை இயக்க முடிந்தால் சுரங்கப்பாதை; சிலருக்கு ஒரு சேவை தேவைப்பட்டு வலைப்பிணைப்பு முகவரிகளை விநியோகிக்க விரும்பவில்லை என்றால் மாற்ற அமர்வு. எந்தச் சூழ்நிலையிலும், அங்கீகார முறை, அங்கீகார விதி மற்றும் தரவுத்தள உள்நுழைவை மூன்று தனித்தனி உண்மைகளாகப் பதிவு செய்யுங்கள், ஏனெனில் அவை தனித்தனியாகத் தோல்வியடைகின்றன.