Como gerar o token de autenticação para interações da API REST do FMC

Introdução

Este documento descreve como um administrador da Application programming interface (API) pode se autenticar no Firepower Management Center (FMC), gerar tokens e usá-los para qualquer outra interação de API.

Pré-requisitos

Requisitos

A Cisco recomenda que você tenha conhecimento destes tópicos:

• Recursos e configuração do Firepower Management Center (FMC). (Guia de configuração)
• Compreensão de várias chamadas da API REST. (O que são APIs REST?)
• Revisão do Guia de início rápido da API do FMC.

Componentes Utilizados

• Firepower Management Center que oferece suporte a APIs REST (versão 6.1 ou superior) com API REST habilitada.
• Clientes REST como Postman, scripts Python, CURL etc.

Informações de Apoio

As APIs REST são cada vez mais populares devido à abordagem programável leve que os gerentes de rede podem usar para configurar e gerenciar suas redes. O FMC oferece suporte à configuração e ao gerenciamento usando qualquer cliente REST e também o explorador de API integrado.

Configurar

Habilitação da API REST no FMC

Etapa 1. Navegue até System>Configuration>REST API Preferences>Enable REST API.

Etapa 2. Marque a caixa de seleção Enable REST API.

Etapa 3. Clique em Save, uma caixa de diálogo Save Successful será exibida quando a API REST estiver habilitada, como mostrado na imagem:

Criação de um usuário no FMC

Como prática recomendada para usar a infraestrutura de API no FMC, é manter os usuários de interface do usuário e os usuários de script separados. Consulte o Guia de Contas de Usuário do FMC para obter informações sobre várias funções de usuário e as diretrizes para criar um novo usuário.

Etapas para solicitar um token de autenticação

Etapa 1. Abra o cliente da API REST.

Etapa 2. Configurar o cliente para fazer um comando POST, URL: https://<management_center_IP_or_name>/api/fmc_platform/v1/auth/generatetoken.

Etapa 3. Inclua o nome de usuário e a senha como um cabeçalho básico de autenticação. O corpo do POST deve estar em branco.

Por exemplo, uma solicitação de autenticação usando Python:

import requests
url = "https://10.10.10.1//api/fmc_platform/v1/auth/generatetoken"

payload = {}
headers = {
'Authorization': 'Basic Y2lzY291c2VyOmNpc2NwYXBpdXNlcg=='
}

response = requests.request("POST", url, headers=headers, data = payload, verify=False)
print(response.headers)

Outro exemplo de uma solicitação de autenticação usando CURL:

$ curl --request POST 'https://10.10.10.1/api/fmc_platform/v1/auth/generatetoken' --header 'Authorization: Basic Y2lzY291c2VyOmNpc2NwYXBpdXNlcg==' -k -i
HTTP/1.1 204 204
Date: Tue, 11 Aug 2020 02:54:06 GMT
Server: Apache
Strict-Transport-Security: max-age=31536000; includeSubDomains
Cache-Control: no-store
Accept-Ranges: bytes
Vary: Accept-Charset,Accept-Encoding,Accept-Language,Accept
X-auth-access-token: aa6f8326-0a0c-4f48-9d85-7a920c0fdca5
X-auth-refresh-token: 674e87d1-1572-4cd1-b86d-3abec04ca59d
USER_UUID: fc47b914-8121-11ea-ac18-f0428d0155cd
DOMAIN_ID: 111
DOMAIN_UUID: e276abec-e0f2-11e3-8169-6d9ed49b625f
global: e276abec-e0f2-11e3-8169-6d9ed49b625f
DOMAINS: [{"name":"Global","uuid":"e276abec-e0f2-11e3-8169-6d9ed49b625f"}]
X-Frame-Options: SAMEORIGIN
X-UA-Compatible: IE=edge
X-Permitted-Cross-Domain-Policies: none
X-XSS-Protection: 1; mode=block
Referrer-Policy: same-origin
Content-Security-Policy: base-uri 'self'
X-Content-Type-Options: nosniff

Exemplo de um cliente baseado em GUI, como Postman, como mostrado na imagem:

Enviando solicitações de API subsequentes

Note: O que você vê na saída são os cabeçalhos de resposta e não o corpo da resposta. O corpo da resposta real está em branco.  As informações de cabeçalho importantes que precisam ser extraídas são X-auth-access-token, X-auth-refresh-token e DOMAIN_UUID.

Depois de autenticar-se com êxito no FMC e extrair os tokens, para mais solicitações de API você precisa aproveitar as informações abaixo:

• Adicione o cabeçalho X-auth-access-token <valor do token de autenticação> como parte da solicitação.
• Adicione os cabeçalhos X-auth-access-token <valor do token de autenticação> e X-auth-refresh-token <valor do token de atualização> em solicitações para atualizar o token.
• Use o Domain_UUID do token de autenticação em todas as solicitações REST para o servidor.

Com essas informações de cabeçalho, você pode interagir com êxito com o FMC usando APIs REST.

Solucionar problemas comuns

• O corpo da solicitação e da resposta do POST enviado para a autenticação está em branco. Você precisa passar os parâmetros básicos de autenticação no cabeçalho da solicitação. Todas as informações de token são retornadas através dos cabeçalhos de resposta.

• Ao usar o cliente REST, você pode ver erros relacionados ao problema de certificado SSL devido a um certificado autoassinado. Você pode desativar essa validação, dependendo do cliente que estiver usando.

• As credenciais do usuário não podem ser usadas para interfaces REST API e GUI simultaneamente, e o usuário será desconectado sem aviso se for usado para ambos.

• Os tokens de autenticação da API REST do FMC são válidos por 30 minutos e podem ser atualizados até três vezes.