F5 BIG-IP iControl REST API を使用した RBAC およびリモート認証の実装

F5 BIG-IP でリモート認証を使用するように設定するのは非常に簡単で、一般的なシナリオです

リモート認証されたユーザーに iControl REST API へのアクセス権を付与するには、ローカルアカウントを追加する場合と同様の手順で、そのユーザーを F5 デバイスに追加する必要があります。 このアカウントを作成するには、BIG-IPのWeb UIにログインし、「System」＞「Users」＞「User List」の順に移動して、「Create」をクリックします。 BIG-IP デバイスでは、ユーザー名とユーザーロールのみの入力が求められ、アカウントのパスワードは求められないことに気づかれるでしょう。これは、ローカルアカウントを作成するのではなく、iControl REST API へのアクセス権限を持つアカウントのロールを指定しているだけだからです。このユーザーは、引き続きリモート認証プロバイダーに対して認証されます。

BIG-IP デバイスのバージョン 11.5.x では、ユーザーに「Administrator」ロールが割り当てられている必要がある点に注意してください。F5 はバージョン 11.6.0 以降でロールベースのアクセス制御を導入しており、ユーザーには「ゲスト」ロールを割り当てることも可能です。 これについては、次のセクションでさらに詳しく説明します。特定のアカウントグループに対する権限を定義するためにリモートロールグループを使用している場合でも、管理者レベルのアクセス権を持つアカウントは、iControl REST API にアクセスできません。iControl REST API へのアクセスに使用するアカウントは、BIG-IP デバイスで使用されているいかなるリモートロールグループのメンバーであってはなりません。 iControl REST API へのアクセス権を付与するには、リモート認証プロバイダー上で、そのユーザーをこれらのグループから削除する必要があります。使用したいアカウントが iControl REST API にアクセスするための十分な権限を持っているかどうかを確認するには、エンドポイントのいずれかにアクセスし、先ほど設定したアカウントの認証情報を入力してみてください。 たとえば、次のエンドポイント https:///mgmt/tm/cm/device?$select=version,managementIp にアクセスを試みてください。BIG-IP デバイスから認証情報の入力を求められますので、先ほど設定したリモート認証アカウントの認証情報を入力してください。 出力結果が次のようなものであれば：

そのアカウントの設定は正常に完了しています。 BIG-IP から再度認証情報の入力を求められた場合は、アカウントが正しく設定されていません。

F5 BIG-IP iControl REST API でのロールベースのアクセス制御 (RBAC) の使用

BIG-IP バージョン 11.6.0 において、F5 はロールベースのアクセス制御を導入しました。 バージョン 11.5.x では、iControl REST API にアクセスするには、ユーザーに管理者権限が必要でした。これらの手順は、『iControl REST インターフェースのユーザーガイド』の「iControl およびユーザーアカウントの RBAC について」のセクションに詳しく記載されています。 F5 BIG-IP 向けの Comtrade SCOM 管理パックを開発する中で、iControl REST API は、そこから豊富なデータを取得できる優れたインターフェースであると確認いたしました。 F5社との協議の結果、iControl REST APIは、同社が今後も開発と改善を継続していくF5 BIG-IPのインターフェースであるという結論に至りました。上記の課題を解決したことで、ユーザーはF5 BIG-IPデバイスを監視し、システムに重大な影響が及ぶ前に問題を解決できるようになりました。

追加リソース

• フェイルオーバー準備状況の監視強化、LTMポリシーによって割り当てられたプールの検出