Documentación de productos
ADC
14.1 - Current Release 13.1 13.0 12.1
Ver PDF

Gestión de cuentas de usuario y contraseñas

January 11, 2024
Contribución de: 
C

NetScaler le permite administrar las cuentas de usuario y la configuración de contraseñas. A continuación se muestran algunas de las actividades que puede realizar con una cuenta de usuario del sistema o nsrootuna cuenta de usuario administrativo.

  • Bloqueo de cuentas de usuario del sistema
  • Bloquear la cuenta de usuario del sistema para el acceso de administración
  • Desbloquee una cuenta de usuario del sistema bloqueada para acceder a ella como administrador
  • Inhabilitar el acceso de administración para la cuenta de usuario del sistema
  • Notificar a los usuarios el cambio de contraseña de nsroot
  • Forzar el cambio de contraseña para nsrootlos usuarios administrativos
  • Eliminar archivos confidenciales de una cuenta de usuario del sistema
  • Configuración de contraseña segura para los usuarios del sistema

Bloqueo de cuentas de usuario del sistema

Para evitar ataques de seguridad por fuerza bruta, puede configurar la configuración de bloqueo de usuarios. La configuración permite a un administrador de red impedir que un usuario del sistema inicie sesión en NetScaler. Además, desbloquee la cuenta de usuario antes de que expire el período de bloqueo.

Para obtener los detalles de los intentos fallidos de inicio de sesión de los usuarios tras los persistentLoginAttemptsreinicios, se puede habilitar el parámetro.

En la línea de comandos, escriba:

set aaa parameter -maxloginAttempts <value> -failedLoginTimeout <value> -persistentLoginAttempts (ENABLED | DISABLED)

Ejemplo:

set aaa parameter -maxloginAttempts 3 -failedLoginTimeout 10 -persistentLoginAttempts ENABLED

Nota:

Para que aaa.user.login_attemptsla expresión surta efecto, debes deshabilitar el parámetro «Intentos de inicio de sesión persistentes».

Ejecute el unset aaa parameter -persistentLoginAttemptscomando para deshabilitar (si está habilitado) los intentos de inicio de sesión persistentes.

Para obtener más información sobre la funcionalidad de intento de inicio de sesión, consulte Soporte para recuperar los intentos de inicio de sesión actuales de un usuario .

El siguiente resultado del comando show muestra el estado de configuración de los parámetros de autenticación, autorización y auditoría:

show aaaparameter

Configured AAA parameters

EnableStaticPageCaching: YES

EnableEnhancedAuthFeedback: NO

DefaultAuthType: LOCAL MaxAAAUsers: Unlimited

AAAD nat ip: None

EnableSessionStickiness : NO

aaaSessionLoglevel: INFORMATIONAL

AAAD Log Level: INFORMATIONAL

...

Persistent Login Attempts: DISABLED

<!--NeedCopy-->

Configure el bloqueo de las cuentas de usuario del sistema mediante la interfaz gráfica de usuario

  1. Vaya a Configuración > Seguridad > Tráfico de aplicaciones AAA > Configuración de autenticación > Cambiar la configuración AAA de autenticación.

  2. En la página Configurar parámetros AAA, defina los siguientes parámetros:

    1. Número máximo de intentos de inicio de sesión. El número máximo de intentos de inicio de sesión permitidos por el usuario.
    2. Error al iniciar sesión. El número máximo de intentos de inicio de sesión no válidos por parte del usuario.
    3. Intentos de inicio de sesión persistentes. Almacenamiento persistente de los intentos fallidos de inicio de sesión de los usuarios tras los reinicios.

  3. Haga clic en Aceptar.

    Configuración de la GUI para el bloqueo de cuentas de usuario del sistema

Al configurar los parámetros, la cuenta de usuario se bloquea durante 10 minutos durante tres o más intentos de inicio de sesión no válidos. Además, el usuario no puede iniciar sesión ni siquiera con credenciales válidas durante 10 minutos.

Nota

Si un usuario bloqueado intenta iniciar sesión en NetScaler, aparece un mensaje de RBA Authentication Failure: maxlogin attempt reached for test.error.

Bloquear la cuenta de usuario del sistema para el acceso de administración

NetScaler le permite bloquear a un usuario del sistema durante 24 horas y negarle el acceso.

NetScaler admite la configuración tanto para usuarios del sistema como para usuarios externos.

Nota

La función solo se admite si se desactiva la persistentLoginAttempts opción en el parámetro aaa.

En el símbolo del sistema, escriba:

set aaa parameter –persistentLoginAttempts DISABLED

Ahora, para bloquear una cuenta de usuario, en el símbolo del sistema, escriba:

lock aaa user test

Bloquear una cuenta de usuario del sistema mediante la interfaz gráfica

  1. Vaya a Configuración > Seguridad > Tráfico de aplicaciones AAA > Configuración de autenticación > Cambiar la configuración AAA de autenticación.
  2. En Configurar el parámetro AAA, en la lista de intentos de inicio de sesión persistentes, seleccione DESHABILITADO.
  3. Vaya a Sistema > Administración de usuarios > Usuarios.
  4. Selecciona un usuario.

  5. En la lista Seleccionar acción, selecciona Bloquear.

    Seleccione la opción de bloqueo

Nota

La GUI de NetScaler no tiene la opción de bloquear a los usuarios externos. Para bloquear a un usuario externo, el administrador del ADC debe usar la CLI. Cuando un usuario del sistema bloqueado (bloqueado con un comando de usuario de autenticación, autorización y auditoría de bloqueo) intenta iniciar sesión en NetScaler, aparece el mensaje de error «Fallo de autenticación de RBA: la prueba de usuario está bloqueada durante 24 horas».

Cuando un usuario no puede iniciar sesión en el acceso de administración, el acceso a la consola está exento. El usuario bloqueado puede iniciar sesión en la consola.

Desbloquee una cuenta de usuario del sistema bloqueada para acceder a ella como administrador

Los usuarios del sistema y los usuarios externos pueden bloquearse durante 24 horas mediante el comando bloquear la autenticación, la autorización y la auditoría del usuario.

Nota

NetScaler permite a los administradores desbloquear al usuario bloqueado y la función no requiere ninguna configuración en el comando «PersistentLoginAtempts».

En la línea de comandos, escriba:

unlock aaa user test

Configure el desbloqueo de usuarios del sistema mediante la interfaz gráfica de usuario

  1. Vaya a Sistema > Administración de usuarios > Usuarios.
  2. Selecciona un usuario.

  3. Haga clic en Desbloquear.

    Configurar el desbloqueo del usuario del sistema

La GUI de NetScaler solo muestra los usuarios del sistema creados en el ADC, por lo que no hay ninguna opción en la GUI para desbloquear a los usuarios externos. Para desbloquear un usuario externo, el nsroot administrador debe usar la CLI.

Inhabilitar el acceso de administración para la cuenta de usuario del sistema

Cuando se configura la autenticación externa en NetScaler y, como administrador, si prefiere denegar el acceso a los usuarios del sistema para iniciar sesión en el acceso de administración, debe deshabilitar la opción LocalAuth en el parámetro del sistema.

En el símbolo del sistema, escriba lo siguiente:

set system parameter localAuth <ENABLED|DISABLED>

Ejemplo:

set system parameter localAuth DISABLED

Inhabilite el acceso de administración al usuario del sistema mediante la interfaz gráfica de usuario

  1. Vaya a Configuración > Sistema > Configuración > Cambiar la configuración global del sistema.
  2. En la sección Interfaz de línea de comandos (CLI) , desactive la casilla Autenticación local .

Al inhabilitar la opción, los usuarios del sistema local no pueden iniciar sesión en el acceso de administración de ADC.

Nota

El servidor de autenticación externo debe estar configurado y accesible para no permitir la autenticación de usuarios del sistema local en el parámetro del sistema. Si no se puede acceder al servidor externo configurado en ADC para el acceso de administración, los usuarios del sistema local pueden iniciar sesión en NetScaler. El comportamiento está configurado para fines de recuperación.

Notificar a los usuarios el cambio de contraseña de nsroot

Para mejorar la seguridad, le recomendamos que cambie la nsrootcontraseña con frecuencia. Se le notifica el cambio de contraseña antes de que caduque.

Puede configurar la notificación para el cambio de contraseña de nsroot desde la CLI o la GUI.

En la línea de comandos, escriba:

set system parameter -daystoexpire 30 -warnpriorndays 30
<!--NeedCopy-->

Puede configurar los siguientes parámetros:

  • daystoexpire: el número de días que quedan para que caduque la contraseña
  • warnpriorndays: la cantidad de días antes de que caduque la contraseña para emitir una advertencia

Nota:

Debe establecer el daystoexpireparámetro si desea establecer el warnpriorndaysparámetro.

A continuación se muestra un ejemplo de mensaje de advertencia en una consola de la CLI de NetScaler:

Mensaje de Warnpriorndays

Notificar a los usuarios el cambio de contraseña de nsroot mediante la GUI

  1. Vaya a Configuración > Sistema > Configuración > Cambiar la configuración global del sistema.
  2. En la sección Otros ajustes , defina los siguientes parámetros:
    • Días que faltan para caducar
    • Avisar antes de N días

    Establecer la notificación en la GUI

  3. Haga clic en Aceptar.

Forzar el cambio de contraseña para los usuarios administrativos

Para nsrootuna autenticación segura, NetScaler solicita al usuario que cambie la contraseña predeterminada por una nueva si la forcePasswordChangeopción está habilitada en el parámetro del sistema. Puede cambiar su contraseña nsroot desde la CLI o la GUI, en su primer inicio de sesión con las credenciales predeterminadas.

En la línea de comandos, escriba:

set system parameter -forcePasswordChange ( ENABLED | DISABLED )

Ejemplo de sesión SSH para NSIP:

ssh nsroot@1.1.1.1
Connecting to 1.1.1.1:22...
Connection established.
To escape to local shell, press Ctrl+Alt+].
###############################################################################
WARNING: Access to this system is for authorized users only #
Disconnect IMMEDIATELY if you are not an authorized user! #

###############################################################################
Please change the default NSROOT password.
Enter new password:
Please re-enter your password:
Done
<!--NeedCopy-->

Eliminar archivos confidenciales de una cuenta de usuario del sistema

Para administrar datos confidenciales, como las claves autorizadas y las claves públicas de una cuenta de usuario del sistema, debe habilitar la removeSensitiveFiles opción. Los comandos que eliminan los archivos confidenciales cuando el parámetro del sistema está activado son:

  • instancia de clúster rm
  • nodo de clúster rm
  • nodo de alta disponibilidad rm
  • borrar configuración completa
  • unirse al clúster
  • agregar instancia de clúster

En la línea de comandos, escriba:

set system parameter removeSensitiveFiles ( ENABLED | DISABLED )

Ejemplo:

set system parameter -removeSensitiveFiles ENABLED

Configuración de contraseña segura para los usuarios del sistema

Para una autenticación segura, NetScaler pide a los usuarios y administradores del sistema que establezcan contraseñas seguras para iniciar sesión en la consola. La contraseña debe ser larga y debe ser una combinación de:

  • Un carácter en minúscula
  • Un carácter en mayúscula
  • Un carácter numérico
  • Un carácter especial

En la línea de comandos, escriba:

set system parameter -strongpassword <value> -minpasswordlen <value>

Donde:

Strongpassword. Después de habilitar la contraseña segura (enable all / enablelocal), todas las contraseñas o la información confidencial deben tener lo siguiente:

  • Al menos 1 minúscula
  • Al menos 1 carácter en mayúscula
  • Al menos 1 carácter numérico
  • Al menos 1 carácter especial

Excluya la lista en enablelocal is - NS_FIPS, NS_CRL, NS_RSAKEY, NS_PKCS12, NS_PKCS8, NS_LDAP, NS_TACACS, NS_TACACSACTION, NS_RADIUS, NS_RADIUSACTION, NS_ENCRYPTION_PARAMS. Por lo tanto, no se realiza ninguna comprobación de contraseña segura en estos comandos de ObjectType para el usuario del sistema.

Valores posibles: enableall, enablelocal, inhabilitado Valor predeterminado: desactivado

minpasswordlen. Longitud mínima de la contraseña del usuario del sistema. Cuando la contraseña segura está habilitada de forma predeterminada, la longitud mínima es 4. El valor introducido por el usuario puede ser mayor o igual a 4. El valor mínimo predeterminado es 1 cuando la contraseña segura está deshabilitada. El valor máximo es 127 en ambos casos.

Valor mínimo: 1 Valor máximo: 127

Ejemplo:

set system parameter -strongpassword enablelocal -minpasswordlen 6

Cuenta de usuario predeterminada

El nsrecoveradministrador utiliza la cuenta de usuario para recuperar el dispositivo NetScaler. Puede iniciar sesión en NetScaler si nsrecoverlos usuarios predeterminados del sistema (nsroot) no pueden iniciar sesión debido a algún problema imprevisto. El nsrecover inicio de sesión es independiente de la configuración del usuario y le permite acceder directamente a la línea de comandos. Siempre puede iniciar sesión a través densrecover, independientemente de si se ha alcanzado el límite máximo de configuración.

Gestión de cuentas de usuario y contraseñas
January 11, 2024
Contribución de: 
C
January 11, 2024
Contribución de: 
C

En este artículo

Comentarios sobre el sitio | Your privacy choices footer linkSus opciones de privacidad | Condiciones legales y de privacidad | Preferencias de cookies | Parámetros de consentimiento | docs.cloud.com
© 1999- Cloud Software Group, Inc. All rights reserved.