AWS Client VPN SAML ve Google Workspace: geri çağrı boşluğu

app_not_configured_for_user sayfası Google Workspace’ten gelir ve tek bir tünel paketi bile müzakere edilmeden önce görünür. Bu sıralama tanının tamamıdır. İstemciyi yeniden kurmak, profili düzenlemek veya rotaları denetlemek, VPN uç noktasının henüz görmediği bir sayfayı temizleyemez. Başarısız olan adım, tarayıcıda kimlik sağlayıcı ile kullanıcının kendi makinesindeki bir dinleyici arasındaki devir teslimdir ve bu devir teslimde tam olarak üç şeyi denetlemeye değer.

Sayfayı kimlik sağlayıcının açıklaması olarak okuyun

Google bunu, SAML uygulaması oturum açan hesap için etkin değilse döndürür. Uygulama kapalı olabilir, kullanıcı atanmış organizasyon biriminin veya grubun dışında olabilir, ya da hizmet sağlayıcı ayarları isteğin talep ettiğiyle uyuşmuyor olabilir.

Bunların hiçbiri sertifika, rota veya tünel sorunu değildir, kullanıcı bunu VPN istemcisinde fark etmiş olsa bile.

İstemcinin kabul edeceği iki değer

AWS Client VPN, hizmet sağlayıcı tarafından başlatılan bir SAML alışverişi yürütür; bu yüzden istemci bir tarayıcı açar, kullanıcı kimliğini doğrular ve sağlayıcı imzalı bir bildirimi Assertion Consumer Service URL’sine geri gönderir. AWS’nin sağladığı masaüstü istemcisi için bu URL loopback üzerinde bir dinleyicidir, genellikle 35001 numaralı bağlantı noktası, ve beklenen hedef kitle AWS konsolu oturum açma varlığı değil, Client VPN SAML uygulamasının varlık tanımlayıcısıdır.

Her iki değer de istemcinin beklediğiyle eşleşmelidir: bildirimin nereye gönderildiği ve kime hitap ettiği. Konsoldaki bir SSO uygulamasından kopyalanan yapılandırma tamamen inandırıcı görünebilir ve yine de yanlış çifti hedefleyebilir.

Her iki değeri de Client VPN SAML gereksinimlerinden alın, genel bir AWS tek oturum açma kılavuzundan değil. Konsoldaki SSO varlığı baştan çıkaracak kadar benzer görünür. Farklı hedef kitleye sahip farklı bir uygulamadır ve istemci bildirimi kendini açıklamadan reddeder. Çifti bir kez kopyalayın ve profilin yanında saklayın.

Google düz HTTP geri çağrısını kabul etmez

Yönetici konsolu HTTPS ACS URL’si ister, istemcinin geri çağrısı ise loopback üzerinde düz HTTP’dir. Bu değer Workspace uygulamasının yapılandırmasına hiç yazılamaz, bu yüzden bazı ekipler TLS’i sonlandırıp yerel dinleyiciye ileten ters vekil sunucu dener. Bu uyumsuzluğu düzeltmez: tarayıcı bir kaynak görür, istemci başka bir kaynak bildirir ve dönen yanıt yanlış hedefe varabilir.

İşe yarayan düzen bir aracı kimlik sağlayıcıdır. Aracıdaki SAML uygulaması loopback geri çağrısını ve AWS hedef kitlesini alır, aracı da Workspace hesabını yukarıya federalize eder. Google’ın HTTPS kuralı karşılanmış kalır ve istemciye ulaşan bildirim hâlâ beklediği adresi ve hedef kitleyi belirtir.

O aracı, birinin sahip olması, izlemesi ve işten çıkarma sürecine katması gereken idari bir bağımlılıktır. Kesintinin oturum açma hatasına dönüştüğü ikinci yer de orasıdır. Tasarımı vaat etmeden önce maliyetini hesaplayın. Kimse sahip olmayacaksa dürüst yanıt, AWS istemcisinin Workspace’i tek kimlik sağlayıcısı olarak kullanamayacağıdır.

Atama ve iki adımlı doğrulama

Herhangi bir şeyi yeniden tasarlamadan önce uygulamanın doğru organizasyon birimi veya grup için açık olduğunu ve üçüncü taraf SAML uygulamalarının Google tarafındaki uygulama listesinden ayrı kendi atama denetimleri olduğunu doğrulayın.

Hesapta iki adımlı doğrulamanın açık olup olmadığını da denetleyin. Google bunu bir SAML uygulaması kullanıcı için kullanılabilir hâle gelmeden talep edebilir ve orijinal başlıktaki bir yanıt tam olarak böyle çözülmüştü. Dışlaması en ucuz, en son keşfedilmesi en can sıkıcı olan şeydir.

Temiz bir oturumla doğrulayın

Her değişiklikten sonra yeni bir tarayıcı profili ve temiz istemci yapılandırmasıyla test edin. Önbelleğe alınmış bildirimler ve yeniden kullanılan oturumlar düzeltmenin işe yarayıp yaramadığını gizler.

Ardından iki kaydı yan yana karşılaştırın: kimlik sağlayıcının denetim olayı ve istemci günlüğü. Tünelsiz başarılı oturum açma geri çağrıya veya hedef kitleye işaret eder. Bağlı tünel ama erişilemeyen kaynak yönlendirme veya yetkilendirme sorunudur ve tamamen başka bir yere aittir.

Neyi değiştirmemeli

Sayfayı geçmek için profilden auth-federate öğesini çıkarmayın ve sertifika denetimlerini kapatmayın. İkisi de başarısız geri çağrı yerine kimlik doğrulama tasarımını değiştirir ve ikisi de genellikle bir sonraki istemci güncellemesinde bozulur.

Bunun yerine devir teslimi düzeltin ve aracıyı, hedef kitleyi ve loopback bağlantı noktasını adlandıran bir not bırakın. Sayfayı görecek bir sonraki kişinin üçüne de ihtiyacı olacak.