Palo Altoでは、パスワードプロファイルを使用して、管理ユーザーのパスワード有効期限や、パスワード失効後のログインに関する設定を行えます。
今回は、パスワードプロファイルをCLIから作成し、各パラメータの設定方法と各パラメータの詳細について確認してみました。
検証した環境は以下のとおりです。
- PAN-OS：12.1.4-h5
- Azure上の仮想アプライアンス
１．CLIでパスワードプロファイルを作成する
今回は password-profile-01という名前でパスワードプロファイルを作成し、以下の設定値を入れます。
- プロファイル名：password-profile-01
- パスワード有効期限：90日
- 失効の警告期間：30日
- 失効後の管理者ログイン回数：3回
- 失効後の猶予期間：30日
コマンドはコンフィグレーションモードで実行します。
# コンフィグレーションモードに変更
configure
# パスワードプロファイルの作成
set mgt-config password-profile password-profile-01
# パスワード有効期限の設定(日数：0~365)
set mgt-config password-profile password-profile-01 password-change expiration-period 90
# 失効の警告期間の設定(日数：0~30)
set mgt-config password-profile password-profile-01 password-change expiration-warning-period 30
# 失効後の管理者ログイン回数(0~3)
set mgt-config password-profile password-profile-01 password-change post-expiration-admin-login-count 3
# 失効後の猶予期間(日数：0~30)
set mgt-config password-profile password-profile-01 password-change post-expiration-grace-period 30
# コミットして設定を反映
commit1-1. パスワードプロファイル作成後の確認
以下のコマンドで作成したことを確認できます。
# パスワードプロファイルの作成後の確認
show mgt-config password-profile password-profile-01hogeuser@host1# show mgt-config password-profile password-profile-01
password-profile-01 {
password-change {
expiration-period 90;
expiration-warning-period 30;
post-expiration-admin-login-count 3;
post-expiration-grace-period 30;
}
}
[edit]
hogeuser@host1#２．各パラメータの説明
パスワードプロファイルでは、主に以下の4つのパラメータを設定できます。
それぞれのパラメータについて詳細に見ていきます。
| パラメータ | 内容 | 設定範囲 |
|---|---|---|
| expiration-period | パスワード有効期限 | 0～365日 |
| expiration-warning-period | 失効前の警告期間 | 0～30日 |
| post-expiration-admin-login-count | 失効後に許可する管理者ログイン回数 | 0～3回 |
| post-expiration-grace-period | 失効後の猶予期間 | 0～30日 |
2-1. パスワード有効期限
まずは、expiration-period で設定される「パスワード有効期限」です。
この有効期限が過ぎたユーザーはPWを入力しても、[ID/PWが間違っている] とみなされてログインできません。
なので、設定された設定値（日数）に基づき定期的にパスワードを変更する必要があります。
また、有効期限が過ぎてログインができなくなったユーザーは、「ロックされたユーザー」となります。
2-2. 失効の警告期間
次に、expiration-warning-period で設定される「失効の警告期間」です。
この設定を入れることで、パスワード有効期限を設定した場合に、パスワード期限日が近づくとユーザーがログインするたびに何日後に期限切れになるかの警告を出すことができます。
2-3 . 失効後の管理者ログイン回数
次に、post-expiration-admin-login-count で設定できる「失効後の管理者ログイン回数」です。
パスワード有効期限が過ぎた後にも、この設定値で指定した回数だけログインできます。
この設定がされた状態でパスワードの有効期限が切れるとパスワード変更を求める画面が表示されるのでそこでパスワードを変更すれば問題ありません。
この画面が出てきたらパスワードを変更しないとwebコンソールにはログインできませんし、CLIでのOS操作もできません。
また、この画面のセッションを切って再度ログインをしても再度このパスワード変更の画面が出てきます。
なのでこの設定値は1以上を設定すればパスワード期限が切れた場合にも、ユーザ側がパスワード変更できます。
2-4. 失効後の猶予期間
最後に、post-expiration-grace-period で設定できる「失効後の猶予期間」です。
パスワード有効期限が過ぎた後に、ここで指定した日数だけログインできます。
この設定値で設定した期限を過ぎるとユーザはログインすることができません。
また、webコンソール上では期限超過後もログインされるまでは「ロックされたユーザー」として認識されません。
ログイン行為が確認された後に「ロックされたユーザー」として認識されます。
この時点ではもちろんログイン自体はできません。
2-5. [参考] パラメータを設定しない場合の動作
CLIで作成する際に、パスワードプロファイルを作成するだけのコマンドを実行した場合には、デフォルト値としてすべての「0」となっています。
# パスワードプロファイルの作成
set mgt-config password-profile password-profile-02パスワードプロファイルでそれぞれの項目を「0」として設定した場合には、パスワードは無期限で許可される設定となります。
設定値の見え方としては、GUI上ではすべて「0」となっていることが確認でき、
CLI上では設定値が出てこない状態になっています。
hogeuser@paloalto# show mgt-config password-profile password-profile2
password-profile2;
[edit]
hogeuser@paloalto#３．パスワードプロファイルを削除する
パスワードプロファイルの削除は以下のコマンドで実行可能です。
# パスワードプロファイルの削除
delete mgt-config password-profile password-profile-01４．ユーザーにパスワードプロファイルを設定する
作成したパスワードプロファイルは、ユーザーに割り当てて使用します。
例えば、testuser01 に password-profile-01 を設定する場合は、以下のコマンドを使用します。
set mgt-config users testuser01 password-profile password-profile-01設定後のコミットも忘れずに。
ユーザーの作成方法については、以下の記事で紹介しています。
7．まとめ
パスワードプロファイルは、CLIから以下のように設定できます。
configure
set mgt-config password-profile password-profile-01
set mgt-config password-profile password-profile-01 password-change expiration-period 90
set mgt-config password-profile password-profile-01 password-change expiration-warning-period 30
set mgt-config password-profile password-profile-01 password-change post-expiration-admin-login-count 3
set mgt-config password-profile password-profile-01 password-change post-expiration-grace-period 30
commit設定内容を確認する場合は、以下のコマンドで確認できます。
show mgt-config password-profile password-profile-01パスワードプロファイルを使用すると、パスワードの有効期限・失効前の警告・失効後のログイン回数・失効後の猶予期間を定義できます。
また、作成しただけではユーザーに適用されないため、実際に利用する場合は対象ユーザーへパスワードプロファイルを割り当てて利用してください。