AWS Client VPN kimlik doğrulama: IAM izinleri bir oturum açma yöntemi değildir
Konsol izinleri bir tüneli kimlik doğrulamaz. Sertifika, AD ve SAML yöntemlerini karşılaştırın, ardından SSM bağlantı noktası yönlendirmesinin tek bir özel veritabanına ne zaman uygun olduğunu görün.
Bir kullanıcıya AWS Client VPN uç noktası oluşturma veya tanımlama izni vermek, o kullanıcının uç noktaya bağlanmasını sağlamaz. Bunlar iki farklı kimlik türüdür: IAM, AWS API çağrılarını yönetir ve uç nokta yalnızca üzerinde yapılandırılmış istemci kimlik doğrulama yöntemlerini kabul eder. Bu nedenle bir kullanıcının konsolda geniş hakları olabilir ve yine de VPN istemcisinin sunabileceği hiçbir şeyi olmayabilir. Uç noktanın hangi yönteme güvendiğine karar verin, ardından verdiğiniz erişim için tam tünelin doğru biçim olup olmadığına karar verin.
Bir API kimliği tünel kimliği değildir
Biri «IAM rolü ekli, o zaman VPN neden hâlâ başarısız oluyor» dediğinde, yanıt genellikle bağlantı akışındaki hiçbir adımın o rolü hiç okumadığıdır. İstemci bir sertifika, bir AD kullanıcı adı ve parolası veya bir SAML iddiası sunar. Uç nokta bunlardan birini doğrular ve ardından bir adres atar.
IAM hâlâ önemlidir, yalnızca daha sonra ve başka bir yerde: uç noktayı oluşturmak, alt ağları ilişkilendirmek, yolları yayımlamak ve yetkilendirme kuralları yazmak API eylemleridir. Bu izinleri ihtiyaç duyan operatörlerle sınırlı tutun, her kullanıcıya uç noktanın erişim kurallarını yeniden yazma olanağı vermek yerine.
Uç noktanın desteklediği yöntemler arasından seçin
AWS Client VPN sertifika tabanlı karşılıklı kimlik doğrulamayı, Active Directory kimlik doğrulamasını ve SAML tabanlı birleşik kimlik doğrulamayı kabul eder. Hangi istemci yöntemini seçerseniz seçin bir sunucu sertifikası gerekir ve yöntemleri birleştiren bir yapılandırma ikisinin de başarılı olmasını gerektirir, birinin değil.
| Client method | What the user presents | Where the work sits |
|---|---|---|
| Mutual certificate | A client certificate the endpoint trusts | Certificate authority, issuing and revoking per user |
| Active Directory | Domain credentials | Directory reachable from the endpoint's VPC |
| SAML federation | An assertion from an identity provider | IdP application, attribute mapping, client support |
Sertifikalar kurulumu en ucuz ve ölçekte yanlış yapılması en kolay olanlardır, çünkü her kullanıcının bir kimlik bilgisine ihtiyacı vardır ve her ayrılış bir iptal gerektirir. Dizin kimlik doğrulaması bu yaşam döngüsünü mevcut bir sisteme taşır. Birleşik kimlik, onu bir kimlik sağlayıcısına taşır ve istemciye bir tarayıcı adımı ekler.
İstemcide hata ayıklamadan önce uç noktanın kendi yapılandırmasını okuyun. Kullanıcı tabanlı bir yöntemin yanında karşılıklı kimlik doğrulama etkinse, geçerli sertifikası olan ama dizin hesabı olmayan bir istemci yine de başarısız olur ve hata genellikle genel bir el sıkışma sorunu gibi görünür.
Birleşik kimlik, erişim anahtarlarını iletmek değildir
Bir SAML kurulumu tünele IAM erişim anahtarları veya üstlenilen bir rol belirteci aktarmaz. Kimlik sağlayıcısı kişiyi doğrular, bir iddia döndürür ve uç nokta bunu yapılandırdığınız güven çerçevesinde kabul eder. Ortaya çıkan oturum bir VPN oturumudur, AWS API oturumu değil.
Bu ayrım kimin neyi teşhis edebileceğini belirler. IdP sorunları herhangi bir tünel var olmadan önce tarayıcı veya istemci hatası olarak görünürken tünel sorunları başarılı bir iddiadan sonra görünür. Herhangi bir konsolu açmadan önce bu ikisinden hangisine baktığınızı sorun.
Oturum açtıktan sonra yollar ve yetkilendirme yine belirler
Kimlik doğrulama bir oturuma adres verir; oturuma hedef vermez. Uç noktanın yolları istemciye hangi alt ağlara göndereceğini söyler, yetkilendirme kuralları hangi kullanıcıların bu alt ağlardan hangilerine ulaşabileceğini belirler ve güvenlik grupları ile hedefin kendi izinleri geri kalanı belirler.
Bu yüzden başarıyla kimlik doğrulanan bir kullanıcı yine de bir veritabanına ulaşamayabilir. Alt ağın yol tablosu ilişkilendirmesini, kullanıcının grubunun yetkilendirme kuralını ve hedefteki güvenlik grubunu bu sırayla kontrol edin, çünkü her biri farklı türde bir zaman aşımı üretir.
Tek bir özel veritabanı için bağlantı noktası yönlendirmesiyle karşılaştırın
Gerçek görev tek bir özel veritabanına tek bir onaylı bağlantıysa, tam ağ tüneli bir zorunluluk değil seçimdir. AWS Systems Manager Session Manager, IAM üzerinden yönetilen bir düğüme bağlantı noktası yönlendirme oturumu açabilir ve o düğüm özel ağdaki veritabanına ulaşır. Kullanıcı hiçbir zaman bir VPC adresi almaz. Yönetilen düğüm, veritabanı bağlantı noktasına ulaşabilen tek ana bilgisayar olur ve bu genellikle güvenlik incelemesinin istediği şeydir. Kullanıcıların ardından VPN profili yerine yerel bir istemciye ve oturum komutuna ihtiyacı olur.
Değiş tokuş kapsam ile ön koşullar arasındadır. Bağlantı noktası yönlendirmesi yönetilen düğümde SSM aracısını, o düğümden veritabanına ağ erişilebilirliğini, kullanıcının makinesinde Session Manager eklentisini ve tam olarak o oturumu başlatma iznini gerektirir. Her alt ağa giden bir yol değildir ve bir tünel gibi rastgele protokolleri taşımaz.
Her durumda veritabanının kendi kimliğini yerinde tutun. TLS doğrulaması ve veritabanı kimlik doğrulaması yol IAM tarafından yetkilendirildi diye ortadan kalkmaz ve onaylanmış bir oturum kullanıcının hangi tabloları okuyabileceği konusunda hiçbir şey söylemez.
Kapsam ve yaşam döngüsüne göre seçin: birçok kullanıcının birçok hedefe ihtiyacı olduğunda ve sertifika veya dizin yaşam döngüsünü yürütebildiğinizde tünel; birkaç kişinin tek bir hizmete ihtiyacı olduğunda ve ağ adresleri dağıtmamayı tercih ettiğinizde yönlendirme oturumu. Her durumda kimlik doğrulama yöntemini, yetkilendirme kuralını ve veritabanı oturum açmasını üç ayrı olgu olarak kaydedin, çünkü ayrı ayrı başarısız olurlar.