growing hard days.

AWS Client VPNのクライアント接続ハンドラを試してみました

2021/06/27 2021/07/07

AWS Client VPNを設定しましたで証明書とかせっかく作ったので、いろいろ試してみます。

まずはLambdaで接続ハンドラーを設定して独自ロジックで承認できるというのをやってみました。

Lambda関数はあらかじめ作成しておきますが、”AWSClientVPN-“から始まる関数名にする必要がありました。
そして、作成後に気づいたのですが、Lambdaにリソースベースのポリシーもできませんでした。
LambdaのIAMロールにも特別何かのポリシーも設定していません。
ということはプル型ではないですし、リソースベースのポリシーがないということはプッシュ型でもないというか、何かにプッシュはされてるのかもだけど、”AWSClientVPN-“という名前を設定しているということが実行の許可をしているということにしているのか、なんだか気持ち悪いですが、もうそういうことでいいとします。

AWSクライアントVPNの設定で、クライアント接続ハンドラARNにLambdaのARNを指定しました。

今回のコードはPython3.8でこちらにしました。

def lambda_handler(event, context):
    print(event)

    return {
        "allow": True,
        "error-msg-on-failed-posture-compliance": "",
        "posture-compliance-statuses": [],
        "schema-version": "v1"
    }

1

2

3

4

5

6

7

8

9

10

11

def lambda_handler(event, context):

print(event)

return {

"allow": True,

"error-msg-on-failed-posture-compliance": "",

"posture-compliance-statuses": [],

"schema-version": "v1"

}

ユーザーガイド接続承認に記載のレスポンススキーマにあわせました。

リクエストeventはこちらでした。

{
    'endpoint-id': 'cvpn-endpoint-0702364d39b4e5304', 
    'connection-id': 'cvpn-connection-0d03446a94bfa013d', 
    'common-name': 'client1.domain.tld', 
    'username': None, 
    'platform': 'mac', 
    'platform-version': None, 
    'public-ip': 'xxx.xxx.xxx.xxx', 
    'client-openvpn-version': '2.4.5', 
    'groups': [], 
    'schema-version': 'v2'
}

1

2

3

4

5

6

7

8

9

10

11

12

13

{

'endpoint-id': 'cvpn-endpoint-0702364d39b4e5304',

'connection-id': 'cvpn-connection-0d03446a94bfa013d',

'common-name': 'client1.domain.tld',

'username': None,

'platform': 'mac',

'platform-version': None,

'public-ip': 'xxx.xxx.xxx.xxx',

'client-openvpn-version': '2.4.5',

'groups': [],

'schema-version': 'v2'

}

実際に使用するときには、このevent情報を判定に使って、”allow”: Trueを返すか、”allow”: Falseを返すかのロジックを実装するということですね。

最後までお読みいただきましてありがとうございました！

「AWS認定資格試験テキスト＆問題集　AWS認定ソリューションアーキテクト - プロフェッショナル改訂第2版」という本を書きました。

「AWS認定資格試験テキスト AWS認定クラウドプラクティショナー改訂第3版」という本を書きました。

「ポケットスタディ AWS認定デベロッパーアソシエイト［DVA-C02対応］」という本を書きました。

「要点整理から攻略するAWS認定ソリューションアーキテクト-アソシエイト」という本を書きました。

「AWSではじめるLinux入門ガイド」という本を書きました。

開発ベンダー5年、ユーザ企業システム部門通算9年、ITインストラクター5年目でプロトタイプビルダーもやりだしたSoftware Engineerです。
質問はコメントかSNSなどからお気軽にどうぞ。
出来る限りなるべく答えます。

このブログの内容/発言の一切は個人の見解であり、所属する組織とは関係ありません。
このブログは経験したことなどの共有を目的としており、手順や結果などを保証するものではありません。
ご参考にされる際は、読者様自身のご判断にてご対応をお願いいたします。

また、勉強会やイベントのレポートは自分が気になったことをメモしたり、聞いて思ったことを書いていますので、登壇者の意見や発表内容ではありません。

- AWS AWS, clientvpn, lambda, vpn

Tweet

関連記事

: AlexaにAWSの最新Feedを読み上げてもらう(Lambda Python)

年末にAmazon Echo Dotを購入しましたので、練習がてらAlexaスキ …

: TuneCoreの売上データCSVをS3に格納してAthenaのクエリをRe:dashのデータソースにして可視化する

先日参加しましたAWS Summit Tokyo 2017で、 [JapanTa …

: Amazon Connectのパスワードどころかユーザー名も忘れたのでEmergency accessした

長い間放置していたAmazon Connect環境にアクセスしようとしたところ、 …

: Feedlyのフィードを自動でSlackへ投稿する(AWS Lambda , Amazon DynamoDB)

やりたいこと Feedlyで共有したいフィードに特定のタグを付けます。特定のタ …

: AWS CloudWatch LogsエージェントでAmazon EC2上のNginxのaccess.log , error.log , php-fpm error.log , Linuxのmessages , secureログを収集する

参考ページクイックスタート: 実行中の EC2 インスタンスに CloudWa …

: [事前準備] JAWS-UG 関西IoT専門支部「マクニカkibo + AWS IoTハンズオン」

来る12/19(土)の JAWS-UG 関西IoT専門支部第一回勉強会「マクニカ …

: CloudFrontのカスタムヘッダーがなければALBのルーティングで403レスポンスを返す

大阪リージョンにはWAFがまだないです(2021年４月現在) 今のこのブログの構 …

: Amazon Location Service入門ワークショップ-ルート計算

Amazon Location Service入門ワークショップのアプリで、ルー …

: AWS認定試験の自宅受験で壁のポスターを注意されちゃいました

AWS認定オンライン受験をしてみましたに書きましたとおり、自宅受験デビューしまし …

: Amazon Q Developer for CLIをmacOSにインストールしました

2025/3/26のAWS Expert Online for JAWSの「Am …

PREV: AWS Client VPNを設定しました
NEXT: AWS Client VPNの接続ログを確認しました