Implementación de RBAC y autenticación remota mediante la API REST de F5 BIG-IP iControl

La configuración de F5 BIG-IP para el uso de la autenticación remota es bastante sencilla y constituye un escenario habitual

Para que un usuario autenticado de forma remota pueda acceder a la API REST de iControl, también es necesario añadir dicho usuario al dispositivo F5, siguiendo un procedimiento similar al de añadir una cuenta local. Para crear esta cuenta, debe iniciar sesión en la interfaz de usuario web de BIG-IP, acceder a Sistema >> Usuarios >> Lista de usuarios y hacer clic en Crear. Observará que el dispositivo BIG-IP solo solicita el nombre de usuario y el rol de usuario; no solicita la contraseña de la cuenta. Esto se debe a que no estamos creando una cuenta local, sino que únicamente estamos especificando un rol para la cuenta que recibirá acceso a la API REST de iControl. Este usuario seguirá siendo autenticado a través del proveedor de autenticación remota.

Es importante tener en cuenta que, en las versiones 11.5.x del dispositivo BIG-IP, es necesario que el usuario tenga el rol de administrador. F5 introdujo un control de acceso basado en roles a partir de la versión 11.6.0, en el que el usuario también puede tener un rol de invitado. Trataremos este tema con más detalle en la siguiente sección. Si utiliza grupos de roles remotos para definir permisos para un grupo específico de cuentas, las cuentas con acceso de nivel de administrador seguirán sin tener acceso a la API REST de iControl. La cuenta que se utilice para acceder a la API REST de iControl no debe pertenecer a ningún grupo de roles remotos utilizado en el dispositivo BIG-IP. Para conceder acceso a la API REST de iControl, debe eliminarse al usuario de dichos grupos en el proveedor de autenticación remoto. Para comprobar si la cuenta que desea utilizar dispone de los derechos suficientes para acceder a la API REST de iControl, intente acceder a uno de los puntos finales e introduzca las credenciales de la cuenta que acabamos de configurar. Por ejemplo, puede intentar acceder al siguiente punto final: https:///mgmt/tm/cm/device?$select=version,managementIp. El dispositivo BIG-IP le solicitará las credenciales y deberá introducir las de la cuenta de autenticación remota que acaba de configurar. Si el resultado es similar a este:

entonces la cuenta se ha configurado correctamente. Si el BIG-IP le solicita de nuevo las credenciales, significa que la cuenta no se ha configurado correctamente.

Uso del control de acceso basado en roles (RBAC) con la API REST de iControl de F5 BIG-IP

Con la versión 11.6.0 de BIG-IP, F5 ha introducido el control de acceso basado en roles. En la versión 11.5.x, era necesario que el usuario dispusiera de derechos de administrador para poder acceder a la API REST de iControl. Estos pasos están muy bien documentados en la guía del usuario de la interfaz REST de iControl, en la sección «Acerca de iControl y RBAC para cuentas de usuario». Durante el desarrollo del paquete de gestión Comtrade SCOM para F5 BIG-IP, hemos identificado la API REST de iControl como una excelente interfaz que permite obtener una gran cantidad de datos. Tras mantener conversaciones con F5, hemos llegado a la conclusión de que la API REST de iControl es la interfaz de F5 BIG-IP que seguirán desarrollando y mejorando. Al resolver los problemas mencionados anteriormente, hemos permitido a nuestros usuarios supervisar sus dispositivos F5 BIG-IP y resolver cualquier incidencia antes de que afecte de forma significativa a su sistema.

Recursos adicionales

• Mejor supervisión de la preparación para la conmutación por error y detección de grupos asignados por políticas de LTM