explicación de la configuración ‘Coincidir con todos los usuarios en el servidor remoto’

Mila y César

Descripción
Este artículo describe la configuración del administrador «Hacer coincidir todos los usuarios en el servidor remoto» en FortiManager y FortiAnalyzer.

Solución
1) Dados los usuarios locales a.admin, b.admin y c.admin con RADUIS habilitado en FortiAuthenticator.

2) En FortiAnalyzer, se crea el servidor de autenticación remota ‘FAC’ y se crea un nuevo administrador ‘FAC’ con la habilitación ‘Coincidir con todos los usuarios en el servidor remoto’.

3) Notó que ‘a.admin’ y ‘b.admin’ podrán iniciar sesión en FortiAnalyzer y ser asignados a la plantilla de administrador ‘FAC’.

FAZVM64 # lista de sesiones de administración del sistema de diagnóstico
*** entrada 0 ***
session_id: 35411 (secuencia: 0)
nombre de usuario: a.admin
plantilla de administrador: FAC
de: GUI (192.168.244.169) (tipo 0)
perfil: Super_User (tipo 3)
adom: raíz
duración de la sesión: 170 (segundos)

*** entrada 1 ***
session_id: 10077 (secuencia: 0)
nombre de usuario: b.admin
plantilla de administrador: FAC
de: GUI (192.168.244.169) (tipo 1)
perfil: Super_User (tipo 3)
adom: raíz
duración de la sesión: 19 (segundos)
inactivo: 5 (segundos)

4) Si se crea un nuevo administrador, ‘a.admin’ con perfil Standard_User y especifique el acceso solo a ‘a_adom’.
Se selecciona ‘Hacer coincidir todos los usuarios en el servidor remoto’.

5) Cuando inicie sesión con ‘a.admin’, el perfil de administrador seguirá siendo ‘Super_User’ y podrá acceder a todos los ADOM.

*** entrada 1 ***
session_id: 541 (secuencia: 0)
nombre de usuario: a.admin
plantilla de administrador: FAC
de: GUI (192.168.244.169) (tipo 1)
perfil: Super_User (tipo 3)
adom: raíz
duración de la sesión: 152 (segundos)
inactivo: 39 (segundos)

6) Una vez que desmarquemos ‘Hacer coincidir todos los usuarios en el servidor remoto’ para ‘a.admin’.

‘a.admin’ ahora se asignará a la plantilla de administrador ‘a.admin’ y solo podrá acceder a ‘a_adom’.

*** entrada 1 ***
session_id: 17948 (secuencia: 0)
nombre de usuario: a.admin
plantilla de administración: a.admin
de: GUI (192.168.244.169) (tipo 1)
perfil: Standard_User (tipo 2)
adom: a_adom
duración de la sesión: 86 (segundos)
inactivo: 62 (segundos)

7) ‘b.admin’ y ‘c.admin’ aún pueden iniciar sesión y ser asignados con el perfil ‘Super_User’.

*** entrada 2 ***
session_id: 29427 (secuencia: 0)
nombre de usuario: b.admin
plantilla de administrador: FAC
de: GUI (192.168.244.169) (tipo 1)
perfil: Super_User (tipo 3)
adom: raíz
duración de la sesión: 59 (segundos)
inactivo: 37 (segundos)
*** entrada 3 ***
session_id: 47111 (secuencia: 0)
nombre de usuario: c.admin
plantilla de administrador: FAC
de: GUI (192.168.244.169) (tipo 1)
perfil: Super_User (tipo 3)
adom: raíz
duración de la sesión: 15 (segundos)
inactivo: 6 (segundos)

8) Ahora, cree un nuevo administrador ‘FAC_restricted’ con el perfil de administrador ‘Restricted_User’ y especifique el acceso solo a ADOM ‘raíz’.

9) Tenga en cuenta que ‘b.admin’ y ‘c.admin’ seguirán estando asignados a la plantilla de administrador ‘FAC’.

*** entrada 1 ***
session_id: 13225 (secuencia: 0)
nombre de usuario: b.admin
plantilla de administrador: FAC
de: GUI (192.168.244.169) (tipo 1)
perfil: Super_User (tipo 3)
adom: raíz
duración de la sesión: 48 (segundos)
inactivo: 36 (segundos)
*** entrada 2 ***
session_id: 47175 (secuencia: 0)
nombre de usuario: c.admin
plantilla de administrador: FAC
de: GUI (192.168.244.169) (tipo 1)
perfil: Super_User (tipo 3)
adom: raíz
duración de la sesión: 34 (segundos)
inactivo: 20 (segundos)

10) ‘FAC_restricted’ se mueve arriba de ‘FAC’.

11) Tenga en cuenta que ‘b.admin’ y ‘c.admin’ ahora se asignarán a la plantilla de administración ‘FAC_restricted’ y solo podrán acceder a adom ‘raíz’.

‘a.admin’ aún se asignará a la plantilla ‘a.admin’.

*** entrada 1 ***
session_id: 755 (secuencia: 0)
nombre de usuario: a.admin
plantilla de administración: a.admin
de: GUI (192.168.244.169) (tipo 1)
perfil: Standard_User (tipo 2)
adom: a_adom
duración de la sesión: 77 (segundos)
inactivo: 63 (segundos)
*** entrada 2 ***
session_id: 1727 (secuencia: 0)
nombre de usuario: b.admin
plantilla de administrador: FAC_restricted
de: GUI (192.168.244.169) (tipo 1)
perfil: Usuario_restringido (tipo 1)
adom: raíz
duración de la sesión: 63 (segundos)
inactivo: 4 (segundos)
*** entrada 3 ***
session_id: 16953 (secuencia: 0)
nombre de usuario: c.admin
plantilla de administrador: FAC_restricted
de: GUI (192.168.244.169) (tipo 1)
perfil: Usuario_restringido (tipo 1)
adom: raíz
duración de la sesión: 47 (segundos)
inactivo: 4 (segundos)

12) Conclusión, FortiManager / FortiAnalyzer primero coincidirá exactamente con el mismo nombre de usuario especificado en el servidor LDAP (si no se selecciona ‘Coincidir con todos los usuarios en el servidor remoto’).
Luego, coincidirá con todos los usuarios especificados en el nombre distinguido archivado en el servidor remoto de arriba a abajo (si se selecciona ‘Coincidir con todos los usuarios en el servidor remoto’).

Artículos relacionados autenticación de administrador SAML