AWS Client VPN autentifikatsiyasi: IAM ruxsatlari kirish usuli emas
Konsol ruxsatlari tunnelni autentifikatsiya qilmaydi. Sertifikat, AD va SAML usullarini solishtiring, so‘ng SSM port yo‘naltirish bitta xususiy ma’lumotlar bazasiga qachon mos kelishini ko‘ring.
Foydalanuvchiga AWS Client VPN oxirgi nuqtasini yaratish yoki tavsiflash ruxsatini berish unga u bilan ulanish imkonini bermaydi. Bular ikki xil identifikatsiya turi: IAM AWS API chaqiruvlarini boshqaradi, oxirgi nuqta esa faqat o‘zida sozlangan mijoz autentifikatsiyasi usullarini qabul qiladi. Shuning uchun foydalanuvchi keng konsol huquqlariga ega bo‘lib, baribir VPN mijozi taqdim eta oladigan hech narsasi bo‘lmasligi mumkin. Oxirgi nuqta qaysi usulga ishonishini aniqlang, so‘ng siz berayotgan kirish uchun to‘liq tunnel to‘g‘ri shakl ekanini hal qiling.
API identifikatsiyasi tunnel identifikatsiyasi emas
Kimdir «IAM roli biriktirilgan, unda nega VPN hali ham muvaffaqiyatsiz bo‘lmoqda» desa, javob odatda ulanish oqimida hech bir qadam bu rolni hech qachon o‘qimasligidadir. Mijoz sertifikat, AD foydalanuvchi nomi va parolini yoki SAML da’vosini taqdim etadi. Oxirgi nuqta ulardan birini tekshiradi va keyin manzil tayinlaydi.
IAM hali ham muhim, faqat keyinroq va boshqa joyda: oxirgi nuqta yaratish, quyi tarmoqlarni bog‘lash, marshrutlarni e’lon qilish va avtorizatsiya qoidalarini yozish API amallaridir. Bu ruxsatlarni ularga muhtoj operatorlar bilan cheklang, har bir foydalanuvchiga oxirgi nuqtaning kirish qoidalarini qayta yozish imkonini berish o‘rniga.
Oxirgi nuqta qo‘llab-quvvatlaydigan usullardan tanlang
AWS Client VPN sertifikatga asoslangan o‘zaro autentifikatsiyani, Active Directory autentifikatsiyasini va SAML asosidagi federativ autentifikatsiyani qabul qiladi. Qaysi mijoz usulini tanlasangiz ham server sertifikati talab qilinadi va usullarni birlashtiruvchi konfiguratsiya ikkalasining ham muvaffaqiyatini talab qiladi, bittasining emas.
| Client method | What the user presents | Where the work sits |
|---|---|---|
| Mutual certificate | A client certificate the endpoint trusts | Certificate authority, issuing and revoking per user |
| Active Directory | Domain credentials | Directory reachable from the endpoint's VPC |
| SAML federation | An assertion from an identity provider | IdP application, attribute mapping, client support |
Sertifikatlar o‘rnatish uchun eng arzon va katta miqyosda xato qilish uchun eng oson, chunki har bir foydalanuvchiga hisob ma’lumotlari kerak va har bir chiqish bekor qilishni talab qiladi. Katalog autentifikatsiyasi bu hayot tsiklini mavjud tizimga ko‘chiradi. Federatsiya uni identifikatsiya provayderiga ko‘chiradi va mijozga brauzer qadamini qo‘shadi.
Mijozni tuzatishdan oldin oxirgi nuqtaning o‘z konfiguratsiyasini o‘qing. Agar o‘zaro autentifikatsiya foydalanuvchiga asoslangan usul bilan birga yoqilgan bo‘lsa, haqiqiy sertifikati bor, lekin katalog hisobi yo‘q mijoz baribir muvaffaqiyatsiz bo‘ladi va xato odatda umumiy qo‘l siqish muammosiga o‘xshaydi.
Federatsiya kirish kalitlarini uzatish emas
SAML sozlamasi tunnelga IAM kirish kalitlarini yoki qabul qilingan rol tokenini kiritmaydi. Identifikatsiya provayderi shaxsni autentifikatsiya qiladi, da’vo qaytaradi va oxirgi nuqta uni siz sozlagan ishonch doirasida qabul qiladi. Natijada yuzaga kelgan sessiya VPN sessiyasi, AWS API sessiyasi emas.
Bu farq kim nimani diagnostika qila olishini belgilaydi. IdP muammolari har qanday tunnel paydo bo‘lishidan oldin brauzer yoki mijoz xatosi sifatida ko‘rinadi, tunnel muammolari esa muvaffaqiyatli da’vodan keyin ko‘rinadi. Ikkala konsolni ochishdan oldin shu ikkisidan qaysi birini ko‘rayotganingizni so‘rang.
Kirgandan keyin ham marshrutlar va avtorizatsiya hal qiladi
Autentifikatsiya sessiyaga manzil beradi; u sessiyaga manzil bermaydi. Oxirgi nuqta marshrutlari mijozga qaysi quyi tarmoqlarga yuborishni aytadi, avtorizatsiya qoidalari qaysi foydalanuvchilar o‘sha quyi tarmoqlardan qaysi biriga yeta olishini belgilaydi, xavfsizlik guruhlari va nishonning o‘z ruxsatlari qolganini belgilaydi.
Shuning uchun muvaffaqiyatli autentifikatsiya qilingan foydalanuvchi baribir ma’lumotlar bazasiga yeta olmasligi mumkin. Quyi tarmoq uchun marshrut jadvali bog‘lanishini, foydalanuvchi guruhi uchun avtorizatsiya qoidasini va nishondagi xavfsizlik guruhini shu tartibda tekshiring, chunki ularning har biri boshqa turdagi vaqt tugashini keltiradi.
Bitta xususiy ma’lumotlar bazasi uchun port yo‘naltirish bilan solishtiring
Agar haqiqiy vazifa bitta xususiy ma’lumotlar bazasiga bitta tasdiqlangan ulanish bo‘lsa, to‘liq tarmoq tunnel — talab emas, tanlov. AWS Systems Manager Session Manager IAM orqali boshqariladigan tugunga port yo‘naltirish sessiyasini ocha oladi va u tugun xususiy tarmoqdagi ma’lumotlar bazasiga yetadi. Foydalanuvchi hech qachon VPC manzilini olmaydi. Boshqariladigan tugun ma’lumotlar bazasi portiga yeta oladigan yagona xostga aylanadi va odatda xavfsizlik ko‘rigi talab qilgan narsa shu. Keyin foydalanuvchilarga VPN profili o‘rniga mahalliy mijoz va sessiya buyrug‘i kerak bo‘ladi.
Ayirboshlash — qamrov va oldingi shartlar. Port yo‘naltirish boshqariladigan tugunda SSM agentini, shu tugundan ma’lumotlar bazasiga tarmoq yetib borishini, foydalanuvchi mashinasida Session Manager plaginini va aynan shu sessiyani boshlash ruxsatini talab qiladi. Bu har bir quyi tarmoqqa kirish yo‘li emas va tunnel kabi ixtiyoriy protokollarni tashimaydi.
Har qanday holatda ma’lumotlar bazasining o‘z identifikatsiyasini joyida saqlang. Yo‘l IAM tomonidan avtorizatsiya qilingani uchun TLS tekshiruvi va ma’lumotlar bazasi autentifikatsiyasi yo‘qolmaydi, tasdiqlangan sessiya esa foydalanuvchi qaysi jadvallarni o‘qiy olishi haqida hech narsa demaydi.
Qamrov va hayot tsikli bo‘yicha tanlang: ko‘p foydalanuvchiga ko‘p manzil kerak bo‘lsa va sertifikat yoki katalog hayot tsiklini yurita olsangiz tunnel; bir necha kishiga bitta xizmat kerak bo‘lsa va tarmoq manzillarini tarqatishni xohlamasangiz yo‘naltirish sessiyasi. Har qanday holatda autentifikatsiya usulini, avtorizatsiya qoidasini va ma’lumotlar bazasiga kirishni uchta alohida fakt sifatida qayd eting, chunki ular alohida muvaffaqiyatsiz bo‘ladi.