Fortinet FortiNAC

Identitet og fjernadgang

Fornyer certifikatet på ét FortiNAC-mål, Admin UI, portal, Persistent Agent, RADIUS (EAP) eller RadSec, gennem REST API'et.

Sådan forløber det

Appliancen forbinder til Fortinet FortiNAC gennem FortiNAC REST API v2 på port 8443.
Certifikat, RSA-nøgle og kæde uploades til det valgte mål. Andre mål og trust stores røres ikke.
Kun det valgte mål genstartes, når FortiNAC beder om det. FortiNAC genstartes aldrig som helhed. Hvis det fejler: Svarede målet før skiftet og svarer ikke længere, meldes installationen som fejlet. Når reglens fejlpolitik ruller tilbage, uploader rollback det forrige certifikat igen til det mål og genstarter kun det.
Kontrol: pakken henter certifikatet, målet viser, og kontrollerer certifikat, kæde og navn. RADIUS (EAP) kontrolleres i konfigurationen. Hvis det fejler: Viser målet stadig det gamle certifikat, meldes skiftet som ikke gennemført, og intet lægges tilbage.

Forbindelse: Pakken kører på appliancen, som forbinder over HTTPS til FortiNAC REST API v2, port 8443. Der installeres ingen agent.
Tjenestens porte: 8443
I skal bruge: Token for en REST API-administrator, hvis Allowed Subnets omfatter den adresse, pakken kommer fra: appliancen eller den server, der kører pakken, efter NAT. Discovery finder målene, så reglen vælger ét af dem.
Platform: FortiNAC-F 7.x og FortiNAC 9.x med REST API v2
Handlinger: Discovery, Installation, Kontrol, Rollback
Pakker: fortinac 1.0.0
Bemærk: Rollback lægger kun det forrige certifikat tilbage, når pakkens eget skift brød et mål, der svarede før. Et mål, der svarer, lades urørt, også når reglen ruller alle mål tilbage, og rollback meldes da som afvist.
Et Admin UI, der ikke længere svarer, kan rollback ikke lægge tilbage, fordi REST API'et bruger samme port. Det rettes i FortiNAC.
Er API-certifikatet pinnet med MANAGEMENT_TLS_PIN_SHA256, skifter en fornyelse af Admin UI det pinnede certifikat. Resultatet oplyser det nye fingeraftryk, som pinningen skal opdateres til.
FortiNAC-F 7.x og FortiNAC 9.x bruger REST API-administratorens token som Bearer-token.
Kun RSA-nøgler, som Fortinet dokumenterer. Remote API-mål og trust stores tilbydes ikke.
I HA dokumenterer Fortinet ikke, hvordan en ændring når et bestemt medlem. Findes et mål flere gange, advarer pakken.
Discovery finder målene, det certifikat hvert mål er sat op med, og certifikatet på API-porten.