Prise en charge des modèles

• Défense contre les menaces : Utilisateurs internes et externes

Domaines pris en charge

N’importe quel

Rôles utilisateur 

Configurer les utilisateurs externes : Super administrateur deou utilisateur Admin

Configurez les utilisateurs internes :Super administrateur ou Admin de la de configuration.

Noms des utilisateurs

• Vous ne pouvez pas ajouter le même nom d’utilisateur pour les utilisateurs internes et externes. Si le serveur externe utilise un nom d’utilisateur en double, le déploiement sur le périphérique échoue.

• Le nom d’utilisateur doit être valide pour Linux :

  • Au maximum, ils doivent comprendre 32 caractères alphanumériques (plus le tiret (-) et le trait de soulignement).

  • Tous les caractères doivent être en minuscules.

  • Il est impossible de commencer un nom d’utilisateur par un tiret (-). Un nom d’utilisateur ne peut pas se composer exclusivement de nombres. De plus, il ne peut pas inclure de point (.), de signe @ ou de barre oblique (/).

Valeurs par défaut

Tous les périphériques comprennent un utilisateur administrateur en tant que compte d’utilisateur local; vous ne pouvez pas supprimer l’utilisateur admin. Le mot de passe initial par défaut est Admin123; le système vous oblige à modifier ce dernier pendant le processus d’initialisation. Consultez le guide de démarrage correspondant à votre modèle pour plus d’informations sur l’initialisation du système.

Nombre de comptes d'utilisateurs

Vous pouvez créer un maximum de 43 comptes utilisateur pour les périphériques Firepower 1000 et 2100.

Si vous créez un objet d’authentification LDAP et qu’il ne parvient pas à se connecter au serveur que vous sélectionnez ou ne récupère pas la liste des utilisateurs souhaités, vous pouvez régler les paramètres dans l’objet.

Si la connexion échoue lorsque vous la testez, essayez les suggestions suivantes pour dépanner votre configuration :

• Utilisez les messages affichés en haut de l’écran de l’interface Web et dans la sortie du test pour déterminer quelles zones de l’objet sont à l’origine du problème.

• Vérifiez que le nom d’utilisateur et le mot de passe que vous avez utilisés pour l’objet sont valides :

  • Vérifiez que vous avez les droits pour accéder au répertoire indiqué dans votre nom distinctif de base en vous connectant au serveur LDAP à l’aide d’un navigateur LDAP tiers.

  • Vérifiez que le nom d’utilisateur est unique dans l’arborescence d’informations d’annuaire pour le serveur LDAP.

  • Si vous voyez une erreur de liaison LDAP 49 dans la sortie du test, la liaison d’utilisateur pour l’utilisateur a échoué. Essayez de vous authentifier sur le serveur à l’aide d’une application tierce pour voir si la liaison échoue également avec cette connexion.

• Vérifiez que vous avez correctement identifié le serveur :

  • Vérifiez que l’adresse IP du serveur ou le nom d’hôte est correct.

  • Vérifiez que vous avez un accès TCP/IP depuis votre appareil local au serveur d’authentification auquel vous souhaitez vous connecter.

  • Vérifiez que l’accès au serveur n’est pas bloqué par un pare-feu et que le port que vous avez configuré dans l’objet est ouvert.

  • Si vous utilisez un certificat pour vous connecter via TLS ou SSL, le nom d'hôte de ce dernier doit correspondre au nom d'hôte utilisé dans ce champ.

  • Vérifiez que vous n’avez pas utilisé d’adresse IPv6 pour la connexion au serveur si vous authentifiez l’accès de l’interface de ligne de commande.

  • Si vous avez utilisé les valeurs par défaut du type de serveur, vérifiez que vous utilisez le bon type de serveur et cliquez à nouveau sur Set Defaults (définir les valeurs par défaut) pour réinitialiser les valeurs par défaut.

• Si vous avez saisi votre nom distinctif de base, cliquez sur fetch DNs (Récupérer les DN) pour récupérer tous les noms distinctifs de base disponibles sur le serveur et sélectionnez le nom dans la liste.

• Si vous utilisez des filtres, des attributs d’accès ou des paramètres avancés, vérifiez qu’ils sont valides et saisis correctement.

• Si vous utilisez des filtres, des attributs d’accès ou des paramètres avancés, essayez de supprimer chaque paramètre et testez l’objet sans lui.

• Si vous utilisez un filtre de base ou un filtre d’accès au niveau de l’interface de ligne de commande, assurez-vous que le filtre est mis entre parenthèses et que vous utilisez un opérateur de comparaison valide (maximum de 450 caractères, parenthèses comprises).

• Pour tester un filtre de base plus restreint, essayez de lui définir le nom distinctif de base pour que l’utilisateur récupère uniquement cet utilisateur.

• Si vous utilisez une connexion chiffrée :

  • Vérifiez que le nom du serveur LDAP dans le certificat correspond au nom d’hôte que vous utilisez pour vous connecter.

  • Vérifiez que vous n’avez pas utilisé une adresse IPv6 avec une connexion au serveur chiffrée.

• Si vous utilisez un utilisateur de test, assurez-vous que le nom d’utilisateur et le mot de passe sont saisis correctement.

• Si vous utilisez un utilisateur de test, supprimez les informations d’authentification de l’utilisateur et testez l’objet.

• Testez la requête que vous utilisez en vous connectant au serveur LDAP et en utilisant la syntaxe :

  
  ldapsearch -x -b 'base_distinguished_name'
  -h LDAPserver_ip_address -p port -v -D
  'user_distinguished_name' -W 'base_filter'
  
  

  Par exemple, si vous essayez de vous connecter au domaine de sécurité sur myrte.exemple.com en utilisant l’utilisateur domaineadmin@myrte.exemple.com et un filtre de base de (cn=*), vous pouvez tester la connexion à l’aide de l’instruction suivante :

  
  ldapsearch -x -b 'CN=security,DC=myrtle,DC=example,DC=com'
  -h myrtle.example.com -p 389 -v -D
  'domainadmin@myrtle.example.com' -W '(cn=*)'
  
  

Si vous pouvez tester votre connexion avec succès, mais que l’authentification ne fonctionne pas après le déploiement d’une politique de paramètres de plateforme, vérifiez que l’authentification et l’objet que vous souhaitez utiliser sont tous deux activés dans la politique de paramètres de plateforme qui est appliquée au périphérique.

Si vous réussissez à vous connecter, mais que vous souhaitez ajuster la liste des utilisateurs récupérés par votre connexion, vous pouvez ajouter ou modifier un filtre de base ou un filtre d’accès au niveau de l’interface de ligne de commande, ou utiliser un DN de base plus ou moins restrictive.

Lors de l’authentification d’une connexion au serveur Active Directory (AD), le journal des événements de connexion indique rarement le trafic LDAP bloqué, bien que la connexion au serveur AD soit réussie. Ce journal de connexion incorrect se produit lorsque le serveur AD envoie un paquet de réinitialisation en double. L’appareil Défense contre les menaces identifie le deuxième paquet de réinitialisation dans le cadre d’une nouvelle demande de connexion et enregistre la connexion avec l’action Block (bloquer).