Le traduzioni sono generate tramite traduzione automatica. In caso di conflitto tra il contenuto di una traduzione e la versione originale in Inglese, quest'ultima prevarrà.

Autorizzazione della connessione in AWS Client VPN

È possibile configurare un gestore di connessione client per l'endpoint ClientVPN. L'handler consente di eseguire una logica personalizzata che autorizza una nuova connessione, in base agli attributi del dispositivo, dell'utente e della connessione. Il gestore di connessione client viene eseguito dopo che il VPN servizio Client ha autenticato il dispositivo e l'utente.

Per configurare un gestore di connessione client per l'VPNendpoint Client, create una AWS Lambda funzione che prenda come input gli attributi di dispositivo, utente e connessione e restituisca al VPN servizio Client la decisione di consentire o negare una nuova connessione. Specificate la funzione Lambda nell'endpoint ClientVPN. Quando i dispositivi si connettono all'VPNendpoint Client, il VPN servizio Client richiama la funzione Lambda per conto dell'utente. Solo le connessioni autorizzate dalla funzione Lambda possono connettersi all'endpoint ClientVPN.

Requisiti e considerazioni

Di seguito sono riportati i requisiti e le considerazioni per l'handler delle connessioni client:

Interfaccia Lambda

La funzione Lambda accetta gli attributi del dispositivo, gli attributi utente e gli attributi di connessione come input dal servizio Client. VPN Deve quindi restituire al VPN servizio Client la decisione se consentire o negare la connessione.

Schema di richiesta

La funzione Lambda accetta come input un JSON blob contenente i seguenti campi.

{
    "connection-id": <connection ID>,
    "endpoint-id": <client VPN endpoint ID>,
    "common-name": <cert-common-name>,
    "username": <user identifier>,
    "platform": <OS platform>,
    "platform-version": <OS version>,
    "public-ip": <public IP address>,
    "client-openvpn-version": <client OpenVPN version>,
    "aws-client-version": <AWS client version>,
    "groups": <group identifier>,
    "schema-version": "v3"
}

Schema di risposta

La funzione Lambda deve restituire i seguenti campi.

{
    "allow": boolean,
    "error-msg-on-denied-connection": "",
    "posture-compliance-statuses": [],
    "schema-version": "v3"
}

È possibile utilizzare la stessa funzione Lambda per più VPN endpoint Client nella stessa regione.

Per ulteriori informazioni sulla creazione di una funzione Lambda, consulta Nozioni di base su AWS Lambda nella Guida per gli sviluppatori di AWS Lambda .

Utilizza il gestore Client Connect per la valutazione della postura

È possibile utilizzare il gestore di connessione client per integrare l'VPNendpoint Client con la soluzione di gestione dei dispositivi esistente per valutare la conformità posturale dei dispositivi di connessione. Affinché la funzione Lambda funzioni come gestore delle autorizzazioni del dispositivo, utilizza l'autenticazione reciproca per l'endpoint Client. VPN Crea un certificato e una chiave client univoci per ogni client (dispositivo) che si connetterà all'endpoint Client. VPN La funzione Lambda può utilizzare il nome comune univoco per il certificato client (trasmesso dal VPN servizio Client) per identificare il dispositivo e recuperarne lo stato di conformità alla postura dalla soluzione di gestione dei dispositivi. Puoi utilizzare l'autenticazione reciproca combinata con l'autenticazione basata sull'utente.

In alternativa, puoi eseguire una valutazione dell'assetto di base nella funzione Lambda stessa. Ad esempio, è possibile valutare i platform-version campi platform and che vengono passati alla funzione Lambda dal servizio ClientVPN.

Abilita il gestore della connessione del client

Per abilitare il gestore di connessione client, crea o modifica un VPN endpoint Client e specifica l'Amazon Resource Name (ARN) della funzione Lambda. Per ulteriori informazioni, consulta Creare un AWS Client VPN endpoint e Modificare un AWS Client VPN endpoint.

Ruolo collegato ai servizi

AWS Client VPN crea automaticamente un ruolo collegato al servizio nel tuo account chiamato. AWSServiceRoleForClientVPNConnections Il ruolo dispone delle autorizzazioni per richiamare la funzione Lambda quando viene effettuata una connessione all'endpoint Client. VPN Per ulteriori informazioni, consulta Utilizzo di ruoli collegati ai servizi per AWS Client VPN.

Monitora gli errori di autorizzazione della connessione

È possibile visualizzare lo stato di autorizzazione della connessione delle connessioni all'endpoint Client. VPN Per ulteriori informazioni, consulta Visualizza le connessioni AWS Client VPN dei client.

Quando il gestore Client Connect viene utilizzato per la valutazione della postura, è inoltre possibile visualizzare gli stati di conformità alla postura dei dispositivi che si connettono all'VPNendpoint Client nei log di connessione. Per ulteriori informazioni, consulta Registrazione della connessione per un endpoint AWS Client VPN.

Se un dispositivo non ottiene l'autorizzazione della connessione, il campo connection-attempt-failure-reason nei log delle connessioni restituisce uno dei seguenti motivi di errore: