FortiGate: crear un administrador con permisos limitados

FortiGate permite crear cuentas de administración con distintos niveles de permiso. Así podés, por ejemplo, darle a la mesa de ayuda un usuario que solo gestione la autenticación de usuarios y dispositivos, sin acceso a políticas, VPN ni red.

El proceso tiene dos partes: primero se crea un perfil de administración y después un administrador al que se le asigna ese perfil.

1. Crear el perfil de administración

1. Ingresá a System › Admin Profiles y hacé clic en Create New.
2. Poné un nombre descriptivo, por ejemplo Gestion_Usuarios.
3. Definí el acceso de cada sección. En este ejemplo: Read/Write en User & Authentication (en versiones anteriores, User & Device) y None en el resto.
4. Hacé clic en OK.

2. Crear el administrador

1. Ingresá a System › Administrators y hacé clic en Create New › Administrator.
2. Completá nombre de usuario y una contraseña robusta.
3. En Administrator Profile elegí el perfil creado en el paso anterior.
4. Opcional, pero recomendado: restringí las direcciones IP desde las que puede conectarse (Restrict login to trusted hosts) y activá doble factor.
5. Hacé clic en OK.

Desde CLI, el mismo resultado se obtiene así:

config system accprofile
    edit "Gestion_Usuarios"
        set authgrp read-write
    next
end

config system admin
    edit "mesa.ayuda"
        set accprofile "Gestion_Usuarios"
        set password <contraseña>
        set trusthost1 192.168.1.0 255.255.255.0
    next
end

---