Los usuarios de TACACS no pueden ver la lista de administradores locales

4779

Created On 01/16/24 19:16 PM - Last Modified 02/02/24 05:43 AM

Symptom

El rol de administrador de clientes configurado para los usuarios de TACACS no puede ver a los administradores locales.
El atributo VSA "PaloAlto-Panorama-Admin-Role=Custom-Admin-Role" está configurado para los usuarios de TACACS (documentación de referencia).
Esto se puede confirmar en authd.logs (menos mp-log authd.log)

pan_authd_tacplus_authenticate(pan_authd_shared_tacplus.c:312): VSA from Tacacs+ server: attr[0] - PaloAlto-Panorama-Admin-Role=Custom-Admin-Role

GUI: Panorama > Roles de administrador > (Agregar)

Environment

Cualquier Panorama
PAN-OS 9.1 y superior
TACACS

Cause

Una vez que un administrador se asocia con un perfil de rol de administrador, es un administrador basado en roles y no un superusuario.
Por razones de seguridad, solo el superusuario y el administrador de seguridad pueden ver la lista de administradores en la interfaz de usuario.

Resolution

Para ver la lista de administradores locales a través de los usuarios de TACACS, configure el atributo VSA en "superusuario" en el servidor TACACS.

PaloAlto-Panorama-Admin-Role=superuser

Additional Information