Firepower 4100/9300 TACACS 관리 액세스를 통한 로컬 사용자 비밀번호 복구

문제

firepower 4100/9300 어플라이언스의 FXOS에 대한 로컬 관리자 비밀번호를 알 수 없으므로 관리자 액세스 권한을 다시 얻으려면 재설정해야 합니다.

모든 기존 TACACS 사용자에게는 읽기 전용 역할만 할당되었으며, 이로 인해 FXOS 섀시에서 관리 작업을 수행할 수 없습니다.

참고: 원격으로 인증된 사용자 계정(LDAP, RADIUS, TACACS+, SSO)에는 기본적으로 읽기 전용 역할이 할당됩니다.

환경

• ASA/FTD를 실행하는 Cisco Firepower 4100/9300
• FXOS 기본 인증은 원격(Cisco ISE)으로 설정되며 로컬 인증은 대안으로 구성됩니다.

해결

관리 TACACS 사용자 생성

Cisco ISE(또는 TACACS 서버)에서 새 TACACS 사용자(예: fxosadmin)를 생성하고 Cisco 설명서에 설명된 대로 관리 권한을 할당합니다.

TACACS+를 사용하는 ISE를 사용한 원격 관리를 위한 FXOS 섀시 인증/권한 부여.

1. ID 그룹 및 사용자 생성
2. 각 사용자 역할에 대한 셸 프로필을 만듭니다('admin' 역할의 경우 cisco-av-pair=shell:roles="admin" 사용).
3. TACACS 권한 부여 정책 생성

새 TACACS 관리자 사용자를 사용하여 로그인

새로 생성된 fxosadmin 계정을 사용하여 FXOS GUI 및 CLI에 로그인합니다. 이제 이 계정에는 모든 관리 권한이 있습니다.

로컬 관리자 비밀번호 재설정

FXOS CLI에 액세스하여 다음 명령을 실행합니다.

     FP4100# scope security
     FP4100 /security # show local-user
     User Name       First Name      Last name
     --------------- --------------- ---------
     admin
     FP4100 /security # enter local-user admin
     FP4100 /security/local-user # set password
     Enter a password:
     Confirm the password:
     FP4100 /security/local-user* # commit-buffer
     FP4100 /security/local-user #

참고 사항 및 고려 사항

• 원격 인증(TACACS, RADIUS, LDAP, SSO)이 기본 방법인 경우, 원격 인증을 사용할 수 없는 경우가 아니면 로컬 사용자 계정으로 방화벽 섀시 관리자에 로그인할 수 없습니다.
• 원격 인증이 활성 상태일 때는 로컬 및 원격 사용자 계정을 번갈아 사용할 수 없습니다.
• 시나리오에서 콘솔 포트 인증 방법이 'LOCAL'로 설정된 경우 새 관리자 자격 증명을 확인할 수 있습니다. 그렇지 않으면 원격 인증 서버 연결을 종료하여 관리자 자격 증명을 테스트해야 합니다.

원인

• FXOS 섀시의 로컬 관리자 비밀번호가 손실되었거나 알 수 없어 로컬 계정을 사용하여 직접 관리자 액세스를 할 수 없습니다.
• 모든 기존 TACACS 사용자 계정은 읽기 전용 권한으로 구성되었으며, 이로 인해 원격 액세스에서 섀시 재부팅, 업그레이드, FXOS 백업과 같은 필요한 관리 작업을 수행할 수 있는 기능이 제한되었습니다.
• 이러한 상황으로 인해 추가 변경 또는 트러블슈팅이 필요한 경우 디바이스를 관리하거나 복구할 수 없는 위험이 발생했습니다.
• 이를 위해 계획된 유지 보수 작업을 진행하기 위해 관리자 비밀번호를 재설정해야 했습니다.

관련 콘텐츠

• FXOS 사용자 관리
• firepower 9300/4100 Series 어플라이언스의 비밀번호 복구 절차