Usuarios, roles y autenticación remota

Resumen

BIG-IP controla quién administra el equipo con usuarios locales o autenticación remota (Active Directory/LDAP, RADIUS, TACACS+). Cada usuario tiene un rol (qué puede hacer), una partición (sobre qué objetos) y un acceso a terminal (ninguno, tmsh o bash). Esta nota cubre usuarios locales, la política de contraseñas, la autenticación remota y los Remote Role Groups para asignar permisos por grupos.

Requisitos previos

• Lista de administradores y el rol de cada uno
• Para autenticación remota: IP del servidor AD/LDAP/RADIUS/TACACS+, base DN o secreto compartido, una cuenta de servicio (bind) si aplica
• Los grupos de AD que corresponderán a cada rol
• Una cuenta local de emergencia (break-glass) que siempre funcione

Conceptos clave

Concepto	Qué es
Administrator	Todo
Resource Administrator	Todo menos gestionar usuarios
Manager	Crear/modificar objetos de tráfico en su partición
Application Editor	Modificar nodos, pools, miembros y monitores
Operator	Habilitar/deshabilitar nodos y miembros
Auditor	Solo lectura de toda la configuración
Guest	Solo lectura
Terminal Access	Disabled, tmsh o Advanced shell (bash, solo roles de administrador)
Other External Users	Cuenta local que representa a todos los usuarios remotos; define su rol por defecto
Remote Role Groups	Asocia un grupo de AD/LDAP con un rol, partición y terminal

No te quedes fuera

Antes de cambiar la autenticación a remota, confirma que el servidor responde y conserva acceso por consola. Si el servidor remoto cae, entra por consola con root.

Configuración (Ejemplo, Lab CBT Nuggets)

1. Crear un usuario local

1. System > Users > User List > Create.
2. User Name, Password y confirmación, Role (ej. Operator), Partition Access, Terminal Access.
3. Finished.

tmsh create auth user andres password <clave> partition-access add { all-partitions { role operator } } shell none
tmsh create auth user admin2 password <clave> partition-access add { all-partitions { role admin } } shell tmsh
tmsh list auth user

2. Política de contraseñas (K15497)

System > Users > Authentication (sección Password Policy): Secure Password Enforcement, Minimum Length, caracteres requeridos, Password Memory, Maximum Duration (ej. 180 días), Expiration Warning, Maximum Login Failures > Update.

tmsh modify auth password-policy policy-enforcement enabled minimum-length 12 max-duration 180 max-login-failures 5
tmsh list auth password-policy

Maximum Login Failures = 0 significa que el bloqueo está desactivado.

3. Autenticación remota (Active Directory / LDAP)

1. System > Users > Authentication > Change.
2. User Directory: Active Directory (o LDAP, RADIUS, TACACS+).
3. Host: IP del controlador de dominio; Remote Directory Tree: dc=f5lab,dc=int; Bind Account DN y contraseña si el servidor lo exige.
4. External Users: Role por defecto (ej. Guest o No Access), partición y terminal.
5. Finished.

4. Remote Role Groups

1. System > Users > Remote Role Groups > Create.
2. Group Name, Line Order (prioridad), Attribute String (ej. memberOf=CN=F5-Admins,OU=Groups,DC=f5lab,DC=int).
3. Assigned Role (Administrator), Partition Access, Terminal Access > Finished.
4. Repite para otros grupos (ej. F5-Operators → Operator).

tmsh list auth remote-role
tmsh list auth remote-user

Verificación

Comando o lugar	Qué debes ver	Si no lo ves
tmsh list auth user	Tus usuarios con rol y shell	Paso 1
Iniciar sesión con el usuario nuevo	Solo las opciones de su rol	Revisa el rol y la partición
tail /var/log/secure (bash)	Logins exitosos y fallidos	Revisa credenciales y el servidor remoto
Login con un usuario de AD	Entra con el rol de su grupo	Revisa el Attribute String y el bind
tmsh list auth password-policy	Los valores de la política	Paso 2

Errores comunes

Un usuario de AD entra con el rol equivocado

• Causa: el Attribute String no coincide exactamente con su grupo, o otro grupo con mejor Line Order lo captura primero.
• Revisa: el memberOf real del usuario y el orden de los Remote Role Groups.
• Solución: corrige el DN exacto y el orden.

Ningún usuario remoto puede entrar

• Causa: el BIG-IP no alcanza el servidor (puerto 389/636, 1812, 49), bind DN o contraseña incorrectos, hora desfasada (Kerberos/certificados).
• Revisa: tail -f /var/log/secure mientras intentas entrar; conectividad al servidor.
• Solución: corrige red/credenciales; entra por consola con root si hace falta.

El usuario no puede abrir tmsh

• Causa: Terminal Access en Disabled.
• Solución: asigna tmsh (o Advanced shell si es administrador).

Una cuenta quedó bloqueada

• Causa: superó Maximum Login Failures.
• Solución: System > Users > User List > el usuario > Unlock (o espera el tiempo de desbloqueo si está configurado).