AWS Client VPN SAML і Google Workspace: розрив у зворотному виклику

Сторінка app_not_configured_for_user надходить із Google Workspace і з’являється раніше, ніж узгоджено бодай один пакет тунелю. Цей порядок і є весь діагноз. Перевстановлення клієнта, редагування профілю або перевірка маршрутів не приберуть сторінку, яку кінцева точка VPN ще не бачила. Крок, що збоїть, — це передача в браузері між постачальником ідентичності та слухачем на самій машині користувача, і в цій передачі варто перевірити рівно три речі.

Читайте сторінку як заяву постачальника ідентичності

Google повертає це, коли застосунок SAML не ввімкнено для облікового запису, який увійшов. Застосунок може бути вимкнений, користувач може перебувати поза призначеним організаційним підрозділом або групою, або налаштування постачальника послуг можуть не відповідати тому, що вимагав запит.

Ніщо з цього не є проблемою сертифіката, маршруту чи тунелю, хоча користувач помітив це саме в клієнті VPN.

Два значення, які клієнт прийме

AWS Client VPN виконує обмін SAML, ініційований постачальником послуг, тому клієнт відкриває браузер, користувач автентифікується, а постачальник надсилає підписане твердження назад на адресу Assertion Consumer Service. Для настільного клієнта, який надає AWS, ця адреса — слухач на loopback, зазвичай порт 35001, а очікувана аудиторія — ідентифікатор сутності застосунку SAML Client VPN, а не сутність входу до консолі AWS.

Обидва значення мають збігатися з тим, чого очікує клієнт: куди надсилається твердження і кому воно адресоване. Конфігурація, скопійована із застосунку SSO в консолі, може виглядати цілком правдоподібно і все одно націлюватися на неправильну пару.

Беріть обидва значення з вимог Client VPN SAML, а не із загального посібника з єдиного входу AWS. Сутність SSO у консолі виглядає достатньо схожою, щоб спокушати. Це інший застосунок з іншою аудиторією, і клієнт відхиляє твердження, не пояснюючи себе. Скопіюйте пару один раз і зберігайте її поряд із профілем.

Google не прийме зворотний виклик звичайним HTTP

Консоль адміністратора вимагає адресу ACS через HTTPS, а зворотний виклик клієнта — звичайний HTTP на loopback. Це значення взагалі не можна ввести в конфігурацію застосунку Workspace, тому деякі команди пробують зворотний проксі, який завершує TLS і передає на локальний слухач. Це не виправляє невідповідності: браузер бачить одне джерело, клієнт оголошує інше, і повернена відповідь може прийти не за адресою.

Робоче рішення — посередницький постачальник ідентичності. Застосунок SAML у посередника отримує зворотний виклик на loopback і аудиторію AWS, а посередник федералізує обліковий запис Workspace вище. Правило HTTPS у Google залишається виконаним, і твердження, що доходить до клієнта, досі називає очікувані адресу й аудиторію.

Цей посередник — адміністративна залежність, якою хтось має володіти, яку треба моніторити й включати в оформлення звільнення. Це також друге місце, де збій перетворюється на помилку входу. Оцініть його, перш ніж обіцяти дизайн. Якщо ніхто не володітиме ним, чесна відповідь така: клієнт AWS не може використовувати Workspace як єдиного постачальника ідентичності.

Призначення та двоетапна перевірка

Перш ніж щось переробляти, переконайтеся, що застосунок увімкнено для потрібного організаційного підрозділу або групи і що сторонні застосунки SAML мають власні засоби призначення, окремі від списку застосунків на боці Google.

Перевірте також, чи ввімкнено в обліковому записі двоетапну перевірку. Google може вимагати її до того, як застосунок SAML стане придатним для користувача, і одна відповідь у початковій гілці розв’язалася саме так. Це найдешевше виключити і найприкріше виявити останнім.

Перевіряйте на чистій сесії

Після будь-якої зміни тестуйте з новим профілем браузера і чистою конфігурацією клієнта. Кешовані твердження та повторно використані сесії приховують, чи дійшло виправлення.

Потім порівняйте два записи поруч: подію аудиту постачальника ідентичності та журнал клієнта. Успішний вхід без тунелю вказує назад на зворотний виклик або аудиторію. Під’єднаний тунель із недоступним ресурсом — це проблема маршрутизації або авторизації, і вона належить зовсім іншому місцю.

Що не змінювати

Не вилучайте auth-federate з профілю і не вимикайте перевірки сертифікатів, щоб обійти сторінку. І те, і те змінює дизайн автентифікації, а не збійний зворотний виклик, і обидва зазвичай ламаються під час наступного оновлення клієнта.

Виправте натомість передачу і залиште нотатку, де названо посередника, аудиторію та порт loopback. Наступній людині, яка побачить сторінку, знадобляться всі три.