AWS Client VPN SAML మరియు Google Workspace: కాల్‍బ్యాక్ ఖాళీ

app_not_configured_for_user పేజీ Google Workspace నుండి వస్తుంది, ఒక్క టన్నెల్ ప్యాకెట్ కూడా చర్చించబడకముందే అది కనిపిస్తుంది. ఆ క్రమమే మొత్తం నిర్ధారణ. క్లయింట్‌ను మళ్లీ ఇన్‌స్టాల్ చేయడం, ప్రొఫైల్ సవరించడం లేదా మార్గాలను తనిఖీ చేయడం VPN ఎండ్‌పాయింట్ ఇంకా చూడని పేజీని తుడిచివేయలేవు. విఫలమయ్యే దశ, గుర్తింపు ప్రదాతకు, వినియోగదారి స్వంత మెషీన్‌లోని శ్రోతకు మధ్య బ్రౌజర్‌లో జరిగే అప్పగింత, ఆ అప్పగింతలో సరిగ్గా మూడు విషయాలు తనిఖీ చేయదగినవి.

పేజీని గుర్తింపు ప్రదాత ప్రకటనగా చదవండి

సైన్ ఇన్ చేసిన ఖాతాకు SAML అప్లికేషన్ ప్రారంభించబడనప్పుడు Google దీన్ని తిరిగి ఇస్తుంది. యాప్ ఆఫ్‌లో ఉండవచ్చు, వినియోగదారు కేటాయించిన సంస్థ యూనిట్ లేదా సమూహం వెలుపల ఉండవచ్చు, లేదా సేవా ప్రదాత సెట్టింగ్‌లు అభ్యర్థన కోరిన దానితో సరిపోకపోవచ్చు.

వీటిలో ఏదీ సర్టిఫికెట్, మార్గం లేదా టన్నెల్ సమస్య కాదు, వినియోగదారు దాన్ని VPN క్లయింట్‌లో గమనించినా.

క్లయింట్ అంగీకరించే రెండు విలువలు

AWS Client VPN సేవా ప్రదాత ప్రారంభించిన SAML మార్పిడిని నిర్వహిస్తుంది, కాబట్టి క్లయింట్ బ్రౌజర్ తెరుస్తుంది, వినియోగదారు ధృవీకరించుకుంటారు, ప్రదాత సంతకం చేసిన ప్రకటనను Assertion Consumer Service URLకి తిరిగి పంపుతుంది. AWS అందించే డెస్క్‌టాప్ క్లయింట్కి ఆ URL loopbackపై శ్రోత, సాధారణంగా పోర్ట్ 35001, మరియు ఆశించిన ప్రేక్షకులు Client VPN SAML అప్లికేషన్ యొక్క ఎంటిటీ గుర్తింపు, AWS కన్సోల్ సైన్-ఇన్ ఎంటిటీ కాదు.

రెండు విలువలూ క్లయింట్ ఆశించే దానితో సరిపోవాలి: ప్రకటన ఎక్కడ పోస్ట్ అవుతుంది, ఎవరికి ఉద్దేశించబడింది. కన్సోల్‌లోని SSO అప్లికేషన్ నుండి కాపీ చేసిన కాన్ఫిగరేషన్ పూర్తిగా నమ్మదగినట్టు కనిపించి, అయినా తప్పు జోడిని లక్ష్యంగా చేసుకోవచ్చు.

రెండు విలువలనూ Client VPN SAML అవసరాల నుండి తీసుకోండి, సాధారణ AWS సింగిల్ సైన్-ఆన్ మార్గదర్శిని నుండి కాదు. కన్సోల్ SSO ఎంటిటీ ప్రలోభపెట్టేంత పోలి ఉంటుంది. అది వేరే ప్రేక్షకులతో వేరే అప్లికేషన్, క్లయింట్ తనను వివరించకుండా ప్రకటనను తిరస్కరిస్తుంది. జోడిని ఒకసారి కాపీ చేసి ప్రొఫైల్ పక్కన ఉంచండి.

Google సాధారణ HTTP కాల్‍బ్యాక్‌ను అంగీకరించదు

అడ్మిన్ కన్సోల్ HTTPS ACS URL కోరుతుంది, క్లయింట్ కాల్‍బ్యాక్ loopbackపై సాధారణ HTTP. ఆ విలువను Workspace యాప్ కాన్ఫిగరేషన్‌లో అసలు టైప్ చేయలేము, అందుకే కొన్ని బృందాలు TLS ముగించి స్థానిక శ్రోతకు పంపే రివర్స్ ప్రాక్సీ ప్రయత్నిస్తాయి. అది అసమానతను సరిచేయదు: బ్రౌజర్ ఒక మూలాన్ని చూస్తుంది, క్లయింట్ మరొకటి ప్రకటిస్తుంది, తిరిగి వచ్చిన ప్రతిస్పందన తప్పు గమ్యానికి చేరవచ్చు.

పనిచేసే ఏర్పాటు బ్రోకర్ గుర్తింపు ప్రదాత. బ్రోకర్ వద్దనున్న SAML అప్లికేషన్ loopback కాల్‍బ్యాక్ మరియు AWS ప్రేక్షకులను పొందుతుంది, బ్రోకర్ Workspace ఖాతాను పైకి ఫెడరేట్ చేస్తుంది. Google HTTPS నియమం నెరవేరుతూనే ఉంటుంది, క్లయింట్‌కు చేరే ప్రకటన ఇంకా తాను ఆశించే చిరునామా మరియు ప్రేక్షకులను పేర్కొంటుంది.

ఆ బ్రోకర్ ఎవరో స్వంతం చేసుకోవాల్సిన, పర్యవేక్షించాల్సిన, ఉద్యోగ విరమణలో చేర్చాల్సిన పరిపాలనా ఆధారం. అంతరాయం లాగిన్ వైఫల్యంగా మారే రెండో స్థలం కూడా అదే. డిజైన్ వాగ్దానం చేసే ముందు దానికి ధర వేయండి. ఎవరూ దాన్ని స్వంతం చేసుకోకపోతే, AWS క్లయింట్ Workspaceను తన ఏకైక గుర్తింపు ప్రదాతగా ఉపయోగించలేదు అన్నదే నిజాయితీ సమాధానం.

కేటాయింపు మరియు రెండు-దశల ధృవీకరణ

ఏదైనా పునర్‌డిజైన్ చేసే ముందు యాప్ సరైన సంస్థ యూనిట్ లేదా సమూహానికి ఆన్‌లో ఉందని, మూడో-పక్ష SAML యాప్‌లకు Google వైపు యాప్ జాబితా నుండి వేరుగా సొంత కేటాయింపు నియంత్రణలు ఉన్నాయని నిర్ధారించండి.

ఖాతాలో రెండు-దశల ధృవీకరణ ప్రారంభించబడిందో లేదో కూడా తనిఖీ చేయండి. SAML యాప్ వినియోగదారికి ఉపయోగకరంగా మారే ముందు Google దాన్ని కోరవచ్చు, అసలు థ్రెడ్‌లోని ఒక సమాధానం సరిగ్గా అలాగే పరిష్కరించబడింది. దాన్ని పక్కన పెట్టడం అతి చవకైనది, చివర్లో కనుగొనడం అత్యంత చిరాకు కలిగించేది.

శుభ్రమైన సెషన్‌తో ధృవీకరించండి

ఏ మార్పు తర్వాత అయినా కొత్త బ్రౌజర్ ప్రొఫైల్ మరియు శుభ్రమైన క్లయింట్ కాన్ఫిగరేషన్‌తో పరీక్షించండి. కాష్ చేసిన ప్రకటనలు, మళ్లీ ఉపయోగించిన సెషన్‌లు సరిచేత పనిచేసిందో లేదో దాచుతాయి.

తర్వాత రెండు రికార్డులను పక్కపక్కన పోల్చండి: గుర్తింపు ప్రదాత ఆడిట్ సంఘటన మరియు క్లయింట్ లాగ్. టన్నెల్ లేని విజయవంత సైన్-ఇన్ కాల్‍బ్యాక్ లేదా ప్రేక్షకుల వైపు సూచిస్తుంది. కనెక్ట్ అయిన టన్నెల్ కానీ చేరుకోలేని వనరు రౌటింగ్ లేదా అనుమతి సమస్య, అది పూర్తిగా వేరే చోటికి చెందుతుంది.

ఏమి మార్చకూడదు

పేజీ దాటడానికి ప్రొఫైల్ నుండి auth-federate తీసివేయవద్దు, సర్టిఫికెట్ తనిఖీలను నిలిపివేయవద్దు. రెండూ విఫలమవుతున్న కాల్‍బ్యాక్‌కు బదులు ధృవీకరణ డిజైన్‌ను మారుస్తాయి, రెండూ సాధారణంగా తదుపరి క్లయింట్ అప్‌డేట్‌లో విరిగిపోతాయి.

బదులుగా అప్పగింతను సరిచేయండి, బ్రోకర్, ప్రేక్షకులు మరియు loopback పోర్ట్ పేర్కొనే గమనికను వదిలేయండి. పేజీ చూసే తదుపరి వ్యక్తికి మూడూ అవసరం.