growing hard days.

AWS Client VPNのクライアント接続ハンドラを試してみました

2021/06/27 2021/07/07

AWS Client VPNを設定しましたで証明書とかせっかく作ったので、いろいろ試してみます。

まずはLambdaで接続ハンドラーを設定して独自ロジックで承認できるというのをやってみました。

Lambda関数はあらかじめ作成しておきますが、”AWSClientVPN-“から始まる関数名にする必要がありました。
そして、作成後に気づいたのですが、Lambdaにリソースベースのポリシーもできませんでした。
LambdaのIAMロールにも特別何かのポリシーも設定していません。
ということはプル型ではないですし、リソースベースのポリシーがないということはプッシュ型でもないというか、何かにプッシュはされてるのかもだけど、”AWSClientVPN-“という名前を設定しているということが実行の許可をしているということにしているのか、なんだか気持ち悪いですが、もうそういうことでいいとします。

AWSクライアントVPNの設定で、クライアント接続ハンドラARNにLambdaのARNを指定しました。

今回のコードはPython3.8でこちらにしました。

def lambda_handler(event, context):
    print(event)

    return {
        "allow": True,
        "error-msg-on-failed-posture-compliance": "",
        "posture-compliance-statuses": [],
        "schema-version": "v1"
    }

1

2

3

4

5

6

7

8

9

10

11

def lambda_handler(event, context):

print(event)

return {

"allow": True,

"error-msg-on-failed-posture-compliance": "",

"posture-compliance-statuses": [],

"schema-version": "v1"

}

ユーザーガイド接続承認に記載のレスポンススキーマにあわせました。

リクエストeventはこちらでした。

{
    'endpoint-id': 'cvpn-endpoint-0702364d39b4e5304', 
    'connection-id': 'cvpn-connection-0d03446a94bfa013d', 
    'common-name': 'client1.domain.tld', 
    'username': None, 
    'platform': 'mac', 
    'platform-version': None, 
    'public-ip': 'xxx.xxx.xxx.xxx', 
    'client-openvpn-version': '2.4.5', 
    'groups': [], 
    'schema-version': 'v2'
}

1

2

3

4

5

6

7

8

9

10

11

12

13

{

'endpoint-id': 'cvpn-endpoint-0702364d39b4e5304',

'connection-id': 'cvpn-connection-0d03446a94bfa013d',

'common-name': 'client1.domain.tld',

'username': None,

'platform': 'mac',

'platform-version': None,

'public-ip': 'xxx.xxx.xxx.xxx',

'client-openvpn-version': '2.4.5',

'groups': [],

'schema-version': 'v2'

}

実際に使用するときには、このevent情報を判定に使って、”allow”: Trueを返すか、”allow”: Falseを返すかのロジックを実装するということですね。

最後までお読みいただきましてありがとうございました！

「AWS認定資格試験テキスト＆問題集　AWS認定ソリューションアーキテクト - プロフェッショナル改訂第2版」という本を書きました。

「AWS認定資格試験テキスト AWS認定クラウドプラクティショナー改訂第3版」という本を書きました。

「ポケットスタディ AWS認定デベロッパーアソシエイト［DVA-C02対応］」という本を書きました。

「要点整理から攻略するAWS認定ソリューションアーキテクト-アソシエイト」という本を書きました。

「AWSではじめるLinux入門ガイド」という本を書きました。

開発ベンダー5年、ユーザ企業システム部門通算9年、ITインストラクター5年目でプロトタイプビルダーもやりだしたSoftware Engineerです。
質問はコメントかSNSなどからお気軽にどうぞ。
出来る限りなるべく答えます。

このブログの内容/発言の一切は個人の見解であり、所属する組織とは関係ありません。
このブログは経験したことなどの共有を目的としており、手順や結果などを保証するものではありません。
ご参考にされる際は、読者様自身のご判断にてご対応をお願いいたします。

また、勉強会やイベントのレポートは自分が気になったことをメモしたり、聞いて思ったことを書いていますので、登壇者の意見や発表内容ではありません。

- AWS AWS, clientvpn, lambda, vpn

Tweet

関連記事

: Amazon EC2のAMIイメージを自動取得して保持日数が過ぎたら削除

画像の保存をEC2に戻した事もあってEC2のバックアップの自動取得を勉強がてらや …

: Amazon Quantum Ledger Database(QLDB)でサンプル台帳の作成と検証

Quantum Ledger Database(QLDB)を触ったことなかったの …

: 2017年、このブログ(WordPress(Amazon EC2 + RDS))で対応してきたこと

Amazon Web Services Advent Calendar 2017 …

: AWS Transfer Family S3向けのSFTP対応サーバー

S3バケットは作成済です。 IAMロールの作成 [crayon-66e32f70 …

: RDSの拡張モニタリングを有効にしました

RDS for MySQLです。変更メニューで、[拡張モニタリングを有効にする …

: Amazon FSx for Lustreのユーザーガイド入門演習

ファイルシステムの作成 FSx for Lustreを選択しました。容量やスル …

: MySQL WorkbenchからRDSに接続する

MySQL WorkbenchからAWS RDSのMySQLに接続するために、「 …

: Amazon Auroraのスナップショットの暗号化とリージョン間コピーを改めて試しました

Amazon Auroraデータベースを暗号化して、スナップショットを作成、クロ …

: AWS DeepLensセットアップの儀

AWS DeepLensのセットアップを開始します。 AWS DeepLensを …

: 「X-Tech JAWS 【第2回】~9割のX-Techと1割の優しさで切り拓く未来~」に行ってきました

「X-Tech JAWS 【第2回】~9割のX-Techと1割の優しさで切り拓く …

PREV: AWS Client VPNを設定しました
NEXT: AWS Client VPNの接続ログを確認しました