AWS Client VPN ప్రామాణీకరణ: IAM అనుమతులు లాగిన్ పద్ధతి కాదు
కన్సోల్ అనుమతులు టన్నెల్‌ను ప్రామాణీకరించవు. సర్టిఫికెట్, AD మరియు SAML పద్ధతులను పోల్చి, తర్వాత SSM పోర్ట్ ఫార్వర్డింగ్ ఒక ప్రైవేట్ డేటాబేస్‌కు ఎప్పుడు సరిపోతుందో చూడండి.
వినియోగదారుకు AWS Client VPN ఎండ్‌పాయింట్‌ను సృష్టించడానికి లేదా వివరించడానికి అనుమతి ఇవ్వడం ఆ వినియోగదారునికి దానికి కనెక్ట్ అవ్వడానికి అనుమతించదు. ఇవి రెండు వేర్వేరు రకాల గుర్తింపులు: IAM AWS API కాల్‌లను నిర్వహిస్తుంది, ఎండ్‌పాయింట్ దానిపై కాన్ఫిగర్ చేసిన క్లయింట్ ప్రామాణీకరణ పద్ధతులను మాత్రమే ఆమోదిస్తుంది. కాబట్టి వినియోగదారుకు విస్తృత కన్సోల్ హక్కులు ఉన్నా VPN క్లయింట్ ప్రదర్శించగలిగేది ఏమీ ఉండకపోవచ్చు. ఎండ్‌పాయింట్ ఏ పద్ధతిని నమ్ముతుందో నిర్ణయించి, తర్వాత మీరు ఇస్తున్న యాక్సెస్‌కు పూర్తి టన్నెల్ సరైన ఆకారమా అని నిర్ణయించండి.
API గుర్తింపు టన్నెల్ గుర్తింపు కాదు
ఎవరైనా «IAM పాత్ర జోడించబడింది, అయినా VPN ఎందుకు విఫలమవుతోంది» అని అడిగినప్పుడు, జవాబు సాధారణంగా కనెక్షన్ ప్రవాహంలో ఏ దశ ఆ పాత్రను ఎప్పుడూ చదవదు అని. క్లయింట్ సర్టిఫికెట్, AD వినియోగదారు పేరు మరియు పాస్‌వర్డ్, లేదా SAML ప్రకటనను ప్రదర్శిస్తుంది. ఎండ్‌పాయింట్ వాటిలో ఒకదాన్ని ధృవీకరించి తర్వాత చిరునామాన్ని కేటాయిస్తుంది.
IAM ఇప్పటికీ ముఖ్యం, కానీ తర్వాత మరియు వేరే చోట: ఎండ్‌పాయింట్ సృష్టించడం, సబ్‌నెట్‌లను అనుసంధానించడం, మార్గాలను ప్రచురించడం మరియు అధికార నియమాలను రాయడం API చర్యలు. ఆ అనుమతులను అవి అవసరమైన ఆపరేటర్లకు మాత్రమే పరిమితం చేయండి, ప్రతి వినియోగదారుకు ఎండ్‌పాయింట్ యాక్సెస్ నియమాలను తిరిగి రాసే సామర్థ్యం ఇవ్వడం బదులు.
ఎండ్‌పాయింట్ మద్దతు ఇచ్చే పద్ధతుల్లో ఎంచుకోండి
AWS Client VPN సర్టిఫికెట్ ఆధారిత పరస్పర ప్రామాణీకరణ, Active Directory ప్రామాణీకరణ మరియు SAML ఆధారిత సమాఖ్య ప్రామాణీకరణను ఆమోదిస్తుంది. మీరు ఎంచుకునే క్లయింట్ పద్ధతి ఏదైనా సర్వర్ సర్టిఫికెట్ అవసరం, మరియు పద్ధతులను కలిపే కాన్ఫిగరేషన్‌కు రెండూ విజయవంతం కావాలి, ఒకటి కాదు.
| Client method | What the user presents | Where the work sits |
|---|---|---|
| Mutual certificate | A client certificate the endpoint trusts | Certificate authority, issuing and revoking per user |
| Active Directory | Domain credentials | Directory reachable from the endpoint's VPC |
| SAML federation | An assertion from an identity provider | IdP application, attribute mapping, client support |
సర్టిఫికెట్‌లు ఇన్‌స్టాల్ చేయడానికి చౌకైనవి మరియు పెద్ద స్థాయిలో తప్పు చేయడానికి సులభమైనవి, ఎందుకంటే ప్రతి వినియోగదారుకు ఆధారాలు అవసరం మరియు ప్రతి నిష్క్రమణకు రద్దు అవసరం. డైరెక్టరీ ప్రామాణీకరణ ఆ జీవిత చక్రాన్ని ఇప్పటికే ఉన్న వ్యవస్థకు తరలిస్తుంది. సమాఖ్య దానిని గుర్తింపు ప్రదాతకు తరలించి క్లయింట్‌కు బ్రౌజర్ దశను జోడిస్తుంది.
క్లయింట్‌ను డీబగ్ చేయడానికి ముందు ఎండ్‌పాయింట్ స్వంత కాన్ఫిగరేషన్‌ను చదవండి. వినియోగదారు ఆధారిత పద్ధతితో పాటు పరస్పర ప్రామాణీకరణ ప్రారంభమై ఉంటే, చెల్లుబాటు అయ్యే సర్టిఫికెట్ ఉన్నా డైరెక్టరీ ఖాతా లేని క్లయింట్ ఇప్పటికీ విఫలమవుతుంది, మరియు లోపం సాధారణంగా సాధారణ హ్యాండ్‌షేక్ సమస్యలా కనిపిస్తుంది.
సమాఖ్య అనేది యాక్సెస్ కీలను అందించడం కాదు
SAML సెటప్ IAM యాక్సెస్ కీలను లేదా స్వీకరించిన పాత్ర టోకెన్‌ను టన్నెల్‌లోకి చొప్పించదు. గుర్తింపు ప్రదాత వ్యక్తిని ప్రామాణీకరించి ప్రకటనను తిరిగి ఇస్తాడు, ఎండ్‌పాయింట్ మీరు కాన్ఫిగర్ చేసిన విశ్వాసం కింద దాన్ని ఆమోదిస్తుంది. ఫలిత సెషన్ VPN సెషన్, AWS API సెషన్ కాదు.
ఆ భేదం ఎవరు ఏమి నిర్ధారణ చేయగలరో నిర్ణయిస్తుంది. IdP సమస్యలు ఏ టన్నెల్ ఉనికిలోకి రాకముందే బ్రౌజర్ లేదా క్లయింట్ లోపంగా కనిపిస్తాయి, అయితే టన్నెల్ సమస్యలు విజయవంతమైన ప్రకటన తర్వాత కనిపిస్తాయి. ఏదైనా కన్సోల్ తెరవడానికి ముందు మీరు ఈ రెండింటిలో ఏది చూస్తున్నారో అడగండి.
లాగిన్ తర్వాత కూడా మార్గాలు మరియు అధికారం నిర్ణయిస్తాయి
ప్రామాణీకరణ సెషన్‌కు చిరునామా ఇస్తుంది; అది సెషన్‌కు గమ్యాన్ని ఇవ్వదు. ఎండ్‌పాయింట్ మార్గాలు ఏ సబ్‌నెట్‌లకు పంపాలో క్లయింట్‌కు చెబుతాయి, అధికార నియమాలు ఏ వినియోగదారులు ఆ సబ్‌నెట్‌లలో ఏది చేరుకోగలరో నిర్ణయిస్తాయి, మరియు భద్రతా సమూహాలు మరియు లక్ష్యం స్వంత అనుమతులు మిగిలినవి నిర్ణయిస్తాయి.
అందుకే విజయవంతంగా ప్రామాణీకరించబడిన వినియోగదారు కూడా డేటాబేస్‌ను చేరుకోవడంలో విఫలమవ్వవచ్చు. సబ్‌నెట్ కోసం మార్గ పట్టిక అనుసంధానం, వినియోగదారు సమూహం కోసం అధికార నియమం మరియు లక్ష్యంపై భద్రతా సమూహాన్ని ఆ క్రమంలో తనిఖీ చేయండి, ఎందుకంటే ప్రతి ఒకటి వేరే రకమైన సమయ ముగింపును ఉత్పత్తి చేస్తుంది.
ఒక ప్రైవేట్ డేటాబేస్ కోసం, పోర్ట్ ఫార్వర్డింగ్‌తో పోల్చండి
నిజమైన పని ఒక ప్రైవేట్ డేటాబేస్‌కు ఒక ఆమోదించబడిన కనెక్షన్ అయితే, పూర్తి నెట్‌వర్క్ టన్నెల్ అవసరం కాదు, ఎంపిక. AWS Systems Manager Session Manager IAM ద్వారా నిర్వహిత నోడ్‌కు పోర్ట్ ఫార్వర్డింగ్ సెషన్ తెరవగలదు, ఆ నోడ్ ప్రైవేట్ నెట్‌వర్క్‌లోని డేటాబేస్‌ను చేరుకుంటుంది. వినియోగదారు ఎప్పుడూ VPC చిరునామా పొందరు. నిర్వహిత నోడ్ డేటాబేస్ పోర్ట్‌ను చేరుకోగల ఏకైక హోస్ట్ అవుతుంది, మరియు భద్రతా సమీక్ష సాధారణంగా అడిగింది అదే. తర్వాత వినియోగదారులకు VPN ప్రొఫైల్ బదులు స్థానిక క్లయింట్ మరియు సెషన్ ఆదేశం అవసరం.
వ్యాపారం అనేది పరిధి మరియు ముందస్తు షరతులు. పోర్ట్ ఫార్వర్డింగ్‌కు నిర్వహిత నోడ్‌పై SSM ఏజెంట్, ఆ నోడ్ నుండి డేటాబేస్‌కు నెట్‌వర్క్ చేరుకోగలిగే సామర్థ్యం, వినియోగదారు మెషీన్‌పై Session Manager ప్లగిన్ మరియు ఆ నిర్దిష్ట సెషన్‌ను ప్రారంభించడానికి అనుమతి అవసరం. ఇది ప్రతి సబ్‌నెట్‌లోకి ప్రవేశ మార్గం కాదు, మరియు టన్నెల్ లాగా ఏకపక్ష ప్రోటోకాల్‌లను మోసుకెళ్లదు.
ఏ సందర్భంలోనైనా డేటాబేస్ స్వంత గుర్తింపును దాని స్థానంలో ఉంచండి. మార్గం IAM ద్వారా అధికారం పొందిందని TLS ధృవీకరణ మరియు డేటాబేస్ ప్రామాణీకరణ మాయం కావు, మరియు ఆమోదించబడిన సెషన్ వినియోగదారు ఏ పట్టికలను చదవగలరో ఏమీ చెప్పదు.
పరిధి మరియు జీవిత చక్రం ఆధారంగా ఎంచుకోండి: చాలా మంది వినియోగదారులకు చాలా గమ్యాలు అవసరమై, మీరు సర్టిఫికెట్ లేదా డైరెక్టరీ జీవిత చక్రాన్ని నడపగలిగితే టన్నెల్; కొందరికి ఒక సేవ అవసరమై, నెట్‌వర్క్ చిరునామాలను పంచడం ఇష్టపడకపోతే ఫార్వర్డింగ్ సెషన్. ఏ సందర్భంలోనైనా, ప్రామాణీకరణ పద్ధతి, అధికార నియమం మరియు డేటాబేస్ లాగిన్‌ను మూడు వేర్వేరు వాస్తవాలుగా నమోదు చేయండి, ఎందుకంటే అవి విడివిడిగా విఫలమవుతాయి.