パロアルトネットワーク管理アクセス TACACS

もはや管理者、ローカル管理者の役割だけを作成する必要があります。 以下、これを達成するためにステップの下。

STEP 1:サーバー TACACS プロファイルと認証プロファイルを作成します。 次に、このプロファイルを [認証] 設定に追加します。このセクションSTEP2:要件に従って管理者ロールを作成






するで、以前に作成した認証プロファイルを呼び出


します。

アクセスが制限されたカスタム ロール


このカスタム ロールのアクセス許可の例


STEP: TACACS サーバー側の構成が次になります。  I ACSこの例では、Cisco を使用します。


2 人の例のユーザーが作成した ACS .

NOTE:顧客属性 と の属性 firewall Panorama は異なります。 構成する必要がある属性の一部を次に示します。
サービス: paloalto (必須)
プロトコル firewall : (必須)

Firewall : パロアルト管理ロール
Panorama : PaloAlto- Panorama -Admin-Role

詳細については次のリンクを参照 https://docs.paloaltonetworks.com/ してください。
pan-os pan-os

 

この属性は、 で定義されたカスタム管理者に従って、 PA 管理者レベルの権限を、正常に認証された管理者ユーザーに与えます。


これにより、ユーザーに「スーパーユーザー」権限が与えられます。 ただし、事前定義された値 (または上記のカスタム値) の値を置き換えることができます。


それぞれのシェル・プロファイルを使用してユーザーを一致させる規則を調整します。



STEP4:すべてが正しく設定されていれば、ログインが成功したことがわかります。

スーパーユーザーは、両方


の管理者のログインを示すこのカスタムユーザー

のシステムログ


の制限されたアクセスに注意してください
すべてにアクセスできますトラブルシューティング

admin@anuragFW> test authentication authentication-profile TACauth username TACsuperuser password
Enter password :

Target vsys is not specified, user "TACsuperuser" is assumed to be configured with a shared auth profile.

Do allow list check before sending out authentication request...
name "TACsuperuser" is in group "all"

Authentication to TACACS+ server at '10.21.56.103' for user 'TACsuperuser'
Server port: 49, timeout: 3, flag: 0
Egress: 10.21.56.125
Attempting PAP authentication ...
PAP authentication request is created
PAP authentication request is sent
Authorization request is created
Authorization request sent with priv_lvl=1 user=TACsuperuser service=PaloAlto protocol=firewall
Authorization succeeded
Number of VSA returned: 1
 VSA[0]: PaloAlto-Admin-Role=superuser
Authentication succeeded!

Authentication succeeded for user "TACsuperuser"

サーバー側で問題が発生する場合もあるため、サーバーのログも確認してください TACACS 。 コンテンツを表示するためにパケットを復号化 TACACS する必要がある場合は、Wireshark で復号化できます。


ボックスに共有シークレットを入力します。