Palo Alto Networks Management Access über TACACS

Sie brauchen keine Admins mehr vor Ort zu erstellen, sondern nur die admin-Rollen. Befolgen Sie die folgenden Schritte, um dieses Ziel zu erreichen.

STEP 1: Erstellen Sie ein TACACS Serverprofil und ein Authentifizierungsprofil. Fügen Sie dann dieses Profil in den Authentifizierungseinstellungen hinzu.






Rufen Sie das zuvor erstellte Authentifizierungsprofil in diesem Abschnitt


STEP 2 auf: Erstellen von Administratorrollen gemäß Ihren Anforderungen.

Benutzerdefinierte Rolle mit eingeschränktem Zugriff


Beispielberechtigungen für diese benutzerdefinierte Rolle


STEP 3: TACACS Server-Seitenkonfiguration ist die nächste.  I Cisco ACS in diesem Beispiel verwendet.


Zwei Beispielbenutzer haben eine ACS

NOTEerstellt: Kundenattribute für die firewall und unterscheiden Panorama sich. Im Folgenden finden Sie einige der Attribute, die Sie konfigurieren müssen.
Service: paloalto (erforderlich)
Protokoll: firewall (erforderlich)

Firewall : PaloAlto-Admin-Role
Panorama : PaloAlto- Panorama -Admin-Role

Referenz der folgende Link für weitere Details: https://docs.paloaltonetworks.com/
pan-os /9-0/ pan-os -admin/authentication/authentication-types/tacacs

Beispiel, das in den screenshots unten gezeigt wird, sind für Firewalls. 

Dieses Attribut gewährt einem PA erfolgreich authentifizierenden Administrator berechtigungen, wie es für den benutzerdefinierten Administrator definiert ist.


Dadurch erhält der Benutzer "Superuser"-Berechtigungen. Sie können jedoch den Wert ersetzen, um einer der vordefinierten Werte (oder sogar ein benutzerdefinierter Wert, wie oben dargestellt) zu sein.


Passen Sie die Regeln an die Benutzer an ihre jeweiligen Shellprofile an.



STEP4: Wenn alles richtig konfiguriert ist, sollten Sie erfolgreiche Anmeldungen sehen.

Superuser hat Zugriff auf alles


Beachten Sie deneingeschränkten Zugriff für diesen benutzerdefinierten Benutzer


Systemprotokolle mit Logins für beide Administratoren


Fehlerbehebung

admin@anuragFW> test authentication authentication-profile TACauth username TACsuperuser password
Enter password :

Target vsys is not specified, user "TACsuperuser" is assumed to be configured with a shared auth profile.

Do allow list check before sending out authentication request...
name "TACsuperuser" is in group "all"

Authentication to TACACS+ server at '10.21.56.103' for user 'TACsuperuser'
Server port: 49, timeout: 3, flag: 0
Egress: 10.21.56.125
Attempting PAP authentication ...
PAP authentication request is created
PAP authentication request is sent
Authorization request is created
Authorization request sent with priv_lvl=1 user=TACsuperuser service=PaloAlto protocol=firewall
Authorization succeeded
Number of VSA returned: 1
 VSA[0]: PaloAlto-Admin-Role=superuser
Authentication succeeded!

Authentication succeeded for user "TACsuperuser"

Manchmal ist das Problem auf der Serverseite, also überprüfen Sie die Protokolle auf dem TACACS Server auch. Wenn Sie die TACACS Pakete entschlüsseln müssen, um den Inhalt anzuzeigen, können Sie ihn auf Wireshark entschlüsseln.


Geben Sie das gemeinsame Geheimnis in das Feld ein.