More than 3 years have passed since last update.

【AWS】AWS Client VPN メモ　～OktaでSAML認証＋セルフサービスポータル機能使ってみる～

Last updated at 2021-02-22Posted at 2021-02-01

前回、AWS Client VPNでの環境構築したのですが、
認証方法として「SAMLによるユーザーフェデレーション認証」に対応しているのを把握しておりませんでした。
（2020/05のアップデートなのに、、）
ということで今回は、AWS Client VPN が公式対応している IDaaS (Identity as a Service) 「Okta」を使って、SAMLによるユーザーフェデレーション認証を試してみます。

また、せっかくユーザー認証を行うので、
実際の運用時に管理者的にメリットがありそうな、「セルフサービスポータル機能」についてもあわせて試してみます。

OktaでSAML認証

Oktaでの作業

1.Okta 初期登録

Oktaには、30 日間の無料トライアルがあるのでそれを利用します。
https://www.okta.com/free-trial/
ユーザー登録を行います。

※注意：Gmail (gmail.com) など、自組織を特定できないメールアドレスでは初期登録 (管理者登録) 出来ません。

登録を行ったメールアドレスに、登録確認のメールが来ます。
記載されたログイン用のURLと仮のパスワードで、ログインします。

本パスワードの設定と秘密のパスワードとユーザの画像を設定します。

（2021/02/01現在）、初期登録 (管理者登録) の際は MFAが必須です。
画面指示に沿って、 Okta の MFA 用ツールをダウンロードしてセットアップしてください。

2.Okta アプリ登録

アプリとして「AWS Client VPN」を登録します。
[Application]→ [Add Application]を選択します。検索欄に「AWS」と入力して、「AWS Client VPN」を選択します。
特に設定変更せずに、そのまま追加します。

3.Okta グループ登録

グループの追加をします。今回は「dev」というグループを作成しました。

4.Okta エンドユーザー登録

エンドユーザを作成します。[Directory] → [People] → [Add Person]で登録できます。
グループを指定することができるので先に作成したグループ「dev」を指定してます。
エンドユーザに関しては、Gmail などのメールアドレスでも登録可能です。

5.Okta アプリアサイン

「AWS Client VPN」を、先ほど作成したエンドユーザにアサインします。
[Applications] → [AWS Client VPN] → [Assignments]でアサイン可能です。

6.Okta SAML設定

AWS Client VPN 用の SAML 設定を行います。
「Applications」 → 「AWS Client VPN」 → 「SSO」を選択して、「Edit」ボタンを押します。
設定画面に移行するので、下記を設定します。
memberOf を「Matches .*」で設定する。

※同様の設定について、参考にさせていただいたページで、ADVANCED SIGN-ON SETTINGSのポートを「35001」に設定する必要があると記載があったのですが、2021/02/01現在、Port番号を設定する箇所がなくなっておりました。
明示的にポート番号を設定する必要なくなったようです。(特に設定しなくても、ちゃんと認証出来ました。)

設定が完了したら、AWS の IdP 登録で使用するため、メタデータの XMLファイルをダウンロードしておきます。
下図赤枠部分を右クリックして、「名前を付けてリンク先を保存」で保存できます。

AWSでの作業

1.AWS IdP登録

IAM から登録します。

[IAM] →[ID プロバイダー] → [プロバイダの作成]で作成します。

メタデータドキュメントでは、先ほどダウンロードしたメタデータを指定します。

2.AWS Client VPN Endpoint 作成

Client VPN Endpointについて、以下のように設定します。
- 「名前タグ」　任意
- 「クライアント IPv4 CIDR」任意　クライアントに割り当てられるIPアドレスです。
  
  割り当てるサブネットと被らない範囲で/22以上のものを指定してください。
- 「サーバー証明書 ARN」 ACMにアップロードしているサーバ用の証明書を指定
- 「認証オプション」ユーザーベースの認証を使用、統合認証を選択
- 「SAML プロバイダー ARN」 IDプロバイダーで設定したものを指定

他の項目はデフォルトで作成します。

3.AWS Client VPN Endpoint 設定

エンドポイント作成後、「関連付け」で接続するサブネットを追加します。
「認証」で、接続先サブネットや接続許可 CIDR を指定します。
Oktaで作成したdevグループを指定します。これで宛先「10.0.0.0/16」は「devグループに所属しているユーザーのみ」が接続できるようになります。

※詳しい手順に関しては、前回の手順を参照してください。

4.接続確認

ClientVPNクライアントを起動して、ダウンロードしたクライアント設定ファイルを読み込ませます。
接続をすると、ブラウザでOktaの認証画面が開かれます。devグループに所属しているユーザーでログインします。
以下の「受信した～」のメッセージが表示されれば接続OKです。

セルフサービスポータル機能

1.セルフサービスポータル機能とは

AWS Client VPN をエンドユーザーが使用する際には、以下2つをクライアントデバイスにダウンロードする必要があります。
- VPN クライアント
- クライアント VPN 設定ファイル
前者のクライアントは任意の場所からダウンロードできますが、後者の設定ファイルはマネジメントコンソールからダウンロードする必要があります。
セルフサービスポータル機能により、各エンドユーザーが専用ポータルから設定ファイルをダウンロードできるようになりました。管理者はセルフサービスポータル機能を有効化し、その URL を連携するだけで済みます。

AWS Client VPN が VPN プロファイルとデスクトップアプリケーションをダウンロードするためのセルフサービスポータルを発表