09사용자 관리 — 인증·역할·서버사용자 관리 — 인증·역할·서버

Gaia 사용자는 자신의 로그인 암호를 Gaia Portal 또는 Gaia Clish에서 바꿀 수 있습니다.

Gaia Portal에서 암호 바꾸기

   https://<Gaia 관리 인터페이스 IP 주소>
   

Gaia Portal의 기본 포트(443)를 바꿨다면 포트도 함께 넣습니다(https://<IP 주소>:<포트>). 2. 탐색 트리에서 User Management > Authentication 을 클릭하고 Change Password 섹션으로 갑니다. 3. Old Password 에 기존 암호를 입력합니다. 4. New Password 에 새 암호를 입력합니다. 5. Confirm New Password 에 새 암호를 한 번 더 입력합니다. 6. Apply 를 클릭합니다.

Gaia Clish에서 암호 바꾸기

대화식으로 자신의 로그인 암호를 바꿉니다.

set selfpasswd

2단계 인증(2FA) 은 시간 기반 인증 앱 을 써서 Gaia 로그인에 인증 요소를 하나 더 더합니다. 켜 두면 Gaia 운영체제로 들어오는 모든 로그인이 보호됩니다 — Gaia Portal, 원격(SSH·Telnet)·로컬(콘솔·LOM) CLI 셸 전부, RESTful API 접근까지 포함됩니다. 보호 대상 CLI 셸은 다음과 같습니다.

설정은 Gaia Portal, Gaia Clish, Gaia RESTful API 세 가지로 할 수 있습니다.

특정 사용자에게 2FA 강제하기 (1단계)

관리자는 특정 사용자에게 2FA를 강제할 수 있습니다. 각 사용자는 다음 로그인 때 인증 키를 생성 합니다(2단계 참조).

Gaia Portal

Gaia Clish

   set user <username> force-two-factor-authentication yes
   

   show user <username> force-two-factor-authentication
   show user <username> two-factor-authentication state
   

모든 사용자에게 한꺼번에 2FA 강제하기 (1단계)

관리자는 모든 관리자를 포함한 전체 사용자 에게 2FA를 동시에 강제할 수 있습니다.

Gaia Portal

   After performing this operation, you will be logged out
   and will need to log in again.
   Are you sure you want to proceed?
   

Gaia Clish

   set password-controls force-two-factor-authentication yes
   

   show password-controls force-two-factor-authentication
   

첫 로그인 경험 (2단계)

2FA가 강제됐는데 아직 키를 만들지 않았거나, 관리자가 새 키를 생성해 준 사용자가 다음 로그인 때 겪는 과정 입니다.

Gaia Portal에서

CLI에서 (기본 셸이 무엇이든 동일)

   Your security administrator requires you to use Two-
   Factor Authentication. Do you want to proceed? (y/n):
   

현재 사용자만 2FA 켜기

필요한 권한이 있는 사용자는 현재 세션에서 자기 계정에만 2FA를 켤 수 있습니다.

Gaia Portal

Gaia Clish

   set two-factor-authentication state on
   

   show user <username> force-two-factor-authentication
   show two-factor-authentication state
   

새 2FA 키 생성하기

관리자는 특정 사용자의 2FA 키를 새로 만들 수 있습니다. 키 구성은 그 사용자의 다음 로그인 때 일어납니다.

Gaia Portal (특정 사용자)

Gaia Clish (특정 사용자)

   set user <username> regenerate-two-factor-authentication
   

Gaia Portal (현재 사용자, 현재 로그인 중에 즉시) — 관리자가 자기 키를 새로 만들고 이번 로그인 중에 바로 구성하는 방식입니다. 위와 같은 잠금 경고가 적용됩니다.

2FA 끄기

특정 사용자의 강제 끄기 (1단계) — 관리자가 강제를 해제하면, 그 사용자가 직접 2FA를 꺼야 합니다(2단계).

  set user <username> force-two-factor-authentication no
  save config
  show user <username> force-two-factor-authentication
  show user <username> two-factor-authentication state
  

모든 사용자의 강제 끄기 (1단계) — 강제를 해제한 뒤, 각 사용자가 직접 꺼야 합니다.

  set password-controls force-two-factor-authentication no
  save config
  show users
  show user <username> two-factor-authentication state
  set user <username> force-two-factor-authentication no   # 켜져 있는 사용자마다
  save config
  

현재 사용자만 끄기 (2단계) — 강제가 전체 정책에도, 사용자 객체에도 걸려 있지 않을 때만 가능합니다.

  show user <your username> force-two-factor-authentication
  show two-factor-authentication state
  set two-factor-authentication state off
  save config
  

2FA 명령 정리

문제 해결 — 스마트폰을 잃고 백업 코드도 없을 때

Gaia Portal과 Gaia Clish로 사용자 계정을 관리합니다 — 사용자 추가, 홈 디렉터리·기본 셸 수정, 암호 부여, 권한 부여를 할 수 있습니다.

기본으로 만들어져 있고 삭제할 수 없는 두 사용자가 있습니다.

새 사용자는 기본적으로 Gaia Portal·Gaia Clish/gClish에 대해 읽기 전용 권한만 가지며, 로그인하려면 먼저 하나 이상의 역할을 할당 해야 합니다.

사용자를 만들 때 미리 정의된 역할(권한)을 함께 줄 수 있습니다.

Gaia Portal에서 사용자 계정 관리

전체 사용자 목록은 User Management > Users 에서 봅니다(내 사용자 이름은 Portal 오른쪽 위 모서리에도 표시됩니다).

새 사용자 추가

로그인 셸(Login Shells)

사용자 구성 변경 — User Management > Users → 사용자 선택 → Edit 에서 Real Name, Home Directory, Shell, 다음 로그인 시 암호 변경 여부, 역할(추가 Add > / 제거 Remove >)을 바꾸고 OK.

사용자 삭제 — 사용자 선택 → Delete → OK.

Gaia Clish에서 사용자 계정 관리

로컬 사용자 추가

add user <UserName> uid <User ID> homedir <Path>

RADIUS 사용자 계정 추가

add user <UserName> uid 0 homedir <Path>

사용자 편집

set user <UserName>
      force-password-change {yes | no}
      gid <System Group ID>
      homedir <Path>
      lock-out off
      newpass <Password>
      password
      password-hash <Password Hash>
      realname <Name>
      shell <Login Shell>
      uid <User ID>

조회·삭제

show users                                   # 모든 사용자 요약
show user <UserName> [force-password-change] [gid] [homedir] [lock-out] [realname] [shell] [uid]
delete user <User ID>                         # 사용자 삭제(admin·monitor 불가)

파라미터

해시 문자열 형식은 $<Hash Standard>$<Salt>$<Encrypted> 이며, 전체 길이는 128자 미만이어야 합니다.

역할 기반 관리(RBA) 는 사용자에게 줄 관리 역할을 만드는 기능입니다. 관리자는 기능들을 묶어 역할을 만들고 그 역할을 사용자에게 할당해, 사용자가 정해진 기능에만 접근 하게 합니다. 한 역할 안에서 어떤 기능은 읽기/쓰기, 어떤 기능은 읽기 전용, 나머지는 접근 없음으로 조합할 수 있고, 어떤 접근 메커니즘(Portal·Clish)을 쓸지도 지정합니다.

미리 정의된 역할 두 가지가 있습니다.

Gaia Portal에서 역할 구성

역할은 User Management > Roles 페이지에서 정의하며, 이 페이지에 기존 역할 목록도 나옵니다.

새 역할 추가

기능·명령 변경 — 역할 선택 → Edit → 위와 같은 방식으로 Features·Extended Commands를 조정 → OK.

역할 삭제 — 역할 선택 → Delete → OK.

역할에 사용자 배정 — 역할 선택 → Assign Members → Available Users 에서 사용자 선택(여러 명은 CTRL+좌클릭) → Add > 로 Users with Role 로 이동 → OK.

역할에서 사용자 제거 — 역할 선택 → Assign Members → Users with Role 에서 사용자 선택 → Remove > → OK.

역할을 Gaia Clish에서 구성

Gaia Clish에서는 역할 추가·변경·삭제, 역할에 사용자 추가·제거, 사용자별 접근 메커니즘 권한 추가·제거를 할 수 있습니다.

RBA 역할 추가

add rba role <New Role Name> domain-type System
all-features
readonly-features <List of RO Features>
readwrite-features <List of RW Features>}

이 역할이 접근할 VSX Virtual System 선택

add rba role <Existing Role Name>
virtual-system-access 0
virtual-system-access all
virtual-system-access VSID1,VSID2,...,VSIDn

사용자에게 접근 메커니즘 배정

add rba user <User Name>
access-mechanisms Web-UI
access-mechanisms CLI
access-mechanisms Web-UI,CLI
access-mechanisms Gaia-API

사용자에게 역할 배정 / 조회 / 삭제

add rba user <User Name> roles <Role1,Role2,...,RoleN>
show rba {all | role <Role Name> | roles | user <User Name> | users}
delete rba role <Role Name>                                    # 역할 전체 삭제
delete rba role <Role Name> readonly-features <...> readwrite-features <...>   # 기능만 삭제
delete rba user <User Name> access-mechanisms {Web-UI | CLI | Web-UI,CLI | Gaia-API}
delete rba user <User Name> roles <Role1,Role2,...,RoleN>

파라미터

예제

gaia> add rba role NewRole domain-type System readonly-features vpn,ospf,rba readwrite-features snmp
gaia> show rba role NewRole
Role
NewRole
domain-type System
read-write-feature snmp
read-only-feature vpn,ospf,rba
gaia>
gaia> add rba user John roles NewRole
gaia> add rba user John access-mechanisms Web-UI,CLI
gaia> show rba user John
User
John
access-mechanism CLI
access-mechanism Web-UI
role NewRole
gaia>
gaia> delete rba user John roles NewRole
gaia> delete rba role NewRole

역할에 넣을 수 있는 기능 전체 목록

아래 표는 각 기능의 Gaia Portal 이름·Gaia Clish 이름·설명·영향받는 Clish 명령 입니다.

역할에 넣을 수 있는 확장 명령 전체 목록

암호 정책은 강한 암호 생성을 강제하고, 이미 쓴 암호의 재사용을 막으며, 일정 주기로 암호를 바꾸게 하는 기능입니다. 강하고 고유한 암호와 주기적 변경은 사이버 보안의 핵심입니다.

정책의 구성 요소는 다음과 같습니다.

암호 설정·변경 자체는 위의 사용자 절을 참고하세요.

Gaia Portal에서 암호 정책 구성

User Management > Password Policy 페이지에서 아래 항목을 설정하고 Apply 를 클릭합니다.

Password Strength(암호 강도)

Password History(이력)

Mandatory Password Change(필수 변경)

Denying Access to Unused Accounts(미사용 계정)

Denying Access After Failed Login Attempts(실패 후 거부)

Password Hashing Algorithm(해시 알고리즘)

Gaia Clish에서 암호 정책 구성

모두 set password-controls ... 로 설정하고 show password-controls ... 또는 show password-controls all 로 확인합니다.

암호 강도

set password-controls
      complexity <1-4>
      min-password-length <6-128>
      palindrome-check {on |off}

암호 이력

set password-controls
      history-checking {on | off}
      history-length <1-1000>

필수 암호 변경

set password-controls
      expiration-lockout-days <1-1827 | never>
      expiration-warning-days <1-366>
      force-change-when {no | password}
      password-expiration <1-1827 | never>

미사용 계정 접근 거부

set password-controls deny-on-nonuse
      allowed-days <30-1827>
      enable {on | off}

로그인 실패 후 접근 거부

set password-controls deny-on-fail
      allow-after <60-604800>
      block-admin {on | off}
      enable {on | off}
      failures-allowed <2-1000>

해시 알고리즘

set password-controls password-hash-type {SHA256 | SHA512}

Gaia Clish에서 암호 정책 모니터링

show password-controls {all | complexity | deny-on-fail [allow-after | block-admin | enable | failures-allowed] | deny-on-nonuse [allowed-days | enable] | expiration-lockout-days | expiration-warning-days | force-change-when | history-checking | history-length | min-password-length | palindrome-check | password-expiration | password-hash-type}

예제 출력:

gaia> show password-controls all
Password Strength
Minimum Password Length 6
Password Complexity 2
Password Palindrome Check on
Password History
Password History Checking off
Password History Length 10
Mandatory Password Change
Password Expiration Lifetime 5
Password Expiration Warning Days 8
Password Expiration Lockout Days never
Force Password Change When no
Configuration Deny Access to Unused Accounts
Deny Access to Unused Accounts off
Days Nonuse Before Lockout 365
Configuration Password hash
Password hashing algorithm MD5
gaia>

RSA 키 파일로 SSH 인증 구성하기

암호 대신 SSH 키 쌍 으로 로그인하도록 구성하는 방법입니다.

사전 조건 — Gaia 서버에 콘솔·LOM 접근, 관리자(또는 동등 권한) 접근, R80.40 Take 83 이상 버전. 초기 설정은 각 단계를 한 번씩만 하면 되고, SSH 사용자를 더 추가할 때는 1~7단계만 반복합니다.

   MyGW> add user filecopy uid 103 homedir /home/filecopy
   WARNING Must set password and a role before user can login.
   - Use 'set user USER password' to set password.
   - Use 'add rba user USER roles ROLE' to set a role.
   MyGW> set user filecopy password
   New password:
   Verify new password:
   MyGW> add rba user filecopy roles adminRole
   MyGW> set user filecopy shell /bin/bash
   MyGW> save config
   

   mkdir -v .ssh
   chmod -v u=rwx,g=,o= ~/.ssh
   

   touch ~/.ssh/authorized_keys
   chmod -v u=rw,g=,o= ~/.ssh/authorized_keys
   vi ~/.ssh/authorized_keys
   

   cp -v /etc/ssh/templates/sshd_config.templ{,_BKP}
   vi /etc/ssh/templates/sshd_config.templ
   

   /usr/bin/sshd_template_xlate < /config/active
   

    login as: filecopy
    This system is for authorized use only.
    Authenticating with public key "rsa-key-20230207"
    Last login: Sun Jul  2 15:08:58 2023 from 172.20.213.71
    [Expert@MyGW:0]#
    

Gaia 사용자가 로컬에 정의돼 있지 않아도 인증 하도록 구성할 수 있습니다. 여러 Security Gateway의 자격증명을 중앙에서 관리 하는 좋은 방법입니다. 비로컬 사용자를 정의하려면 Gaia를 인증 서버의 클라이언트로 정의합니다. Gaia는 두 가지 인증 서버를 지원합니다.

Gaia가 여러 인증 방법을 쓰도록 구성하면 RADIUS → TACACS+ → Local 순서로 시도합니다. 사용자가 자격증명을 넣으면 (1) RADIUS 서버로 인증해 성공하면 로그인, 실패하면 (2) TACACS+ 서버로 인증, 실패하면 (3) 로컬 구성으로 인증, 모두 실패하면 로그인 거부 입니다.

RADIUS 서버 구성

Gaia Portal에서

편집 — 서버 선택 → Edit → Host·UDP Port·Shared secret·Timeout만 수정 가능 → OK. 삭제 — 서버 선택 → Delete → OK.

Gaia Clish에서 — aaa radius-servers 명령으로 추가·구성·삭제합니다.

add aaa radius-servers priority <Priority> host <Hostname, or IP Address of RADIUS Server> [port <1-65535>]
prompt-secret timeout <1-50>
secret <Shared Secret> timeout <1-50>

set aaa radius-servers priority <Priority>
host <Hostname, or IP Address of RADIUS Server>
new-priority <New Priority>
port <1-65535>
prompt-secret
secret <Shared Secret>
timeout <1-50>

set aaa radius-servers                  # 전체 서버에 적용
NAS-IP<SPACE><TAB>
default-shell<SPACE><TAB>
super-user-uid <0 | 96>

show aaa radius-servers list             # 전체 목록
show aaa radius-servers priority <Priority> {host | port | timeout}
show aaa radius-servers {NAS-IP | default-shell | super-user-uid}

delete aaa radius-servers priority <Priority>
delete aaa radius-servers NAS-IP

Gaia를 RADIUS 클라이언트로 구성

Gaia는 RADIUS 클라이언트로 동작합니다. 비로컬 사용자가 로그인하려면 기본 역할을 정의 해야 합니다.

   gaia> add rba role radius-group-any domain-type System readonly-features arp
   

비로컬 사용자를 위한 RADIUS 서버 구성

비로컬 사용자는 Gaia가 아닌 RADIUS 서버에 정의되며, 로그인하면 RADIUS 서버가 인증하고 권한을 부여 합니다.

     vendor-product = Check Point Gaia
     dictionary = nokiaipso
     ignore-ports = no
     port-number-usage = per-port-type
     help-id = 2000
     

   CP-Gaia-User-Role = "role1,role2,...
   

예: CP-Gaia-User-Role = "adminrole, backuprole, securityrole" 3. super user 접근이 필요한 사용자를 지정합니다 — 받지 않으면 CP-Gaia-SuperUser-Access = 0, 받으면 CP-Gaia-SuperUser-Access = 1.

super user로 로그인하기 — super user 권한이 있으면 파일 시스템 등 시스템 수준 작업을 할 수 있습니다. 권한은 Vendor-Specific Attribute로 정의되며, UID가 0인 사용자는 root와 같은 모든 명령 을 쓸 수 있고, UID가 96인 사용자는 sudo 를 실행해 권한을 얻어야 합니다. 비로컬 사용자의 UID는 /etc/passwd 에 정의됩니다.

UID가 96인 사용자가 super user 권한을 얻으려면 — Expert mode에서:

sudo /usr/bin/su -

TACACS+ 서버 구성

Gaia Portal에서

비활성화 — TACACS+ configuration 에서 Enable TACACS+ authentication 해제 → Apply. 삭제 — 서버 선택 → Delete → OK.

Gaia Clish에서

add aaa tacacs-servers priority <Priority> server <IPv4 Address of TACACS+ Server> key <Shared Secret> timeout <1-60>

set aaa tacacs-servers priority <Priority>
server <IPv4 Address of TACACS+ Server>
new-priority <New Priority>
key <Shared Secret>
timeout <1-60>

set aaa tacacs-servers           # 전체 서버 적용
state {on | off}
user-uid <0 | 96>

show aaa tacacs-servers list
show aaa tacacs-servers priority <Priority> {server | timeout}
show aaa tacacs-servers {state | user-uid}

delete aaa tacacs-servers priority <Priority>
delete aaa tacacs-servers NAS-IP

예제:

gaia> set aaa tacacs-servers priority 2 server 10.10.10.99 key MySharedSecretKey timeout 10

현재 사용자가 TACACS+로 인증됐는지 확인 — Gaia Clish(또는 gClish)에서:

show tacacs_enable

Gaia를 TACACS+ 클라이언트로 구성

Gaia는 TACACS+ 서버에 정의되고 로컬엔 없는 사용자를 위한 TACACS+ 클라이언트로 동작합니다. admin은 TACACS+ 사용자를 위한 TACP-0 역할 과 그 역할의 허용 기능을 정의해야 합니다.

권한 상승(Privilege Escalation) — admin은 사용자가 일시적으로 더 높은 권한 을 얻는 역할을 정의할 수 있습니다. 예를 들어 인터페이스 구성 권한이 없는 Fred는, admin이 준 암호를 사용자 이름과 함께 입력해 기본 역할을 인터페이스 구성이 가능한 역할로 바꿉니다. TACACS+에는 0~15까지 16개 권한 수준 이 있고, 각 수준을 다른 Gaia 역할에 매핑할 수 있습니다(예: 레벨 0 모니터 전용, 레벨 1 기본 네트워크 구성, 레벨 15 admin). 기본적으로 모든 비로컬 TACACS+ 사용자는 TACP-0 역할을 받고, admin은 TACP-N(N은 1~15) 역할을 정의해 서로 다른 권한을 줄 수 있습니다.

구성 — admin으로 로그인해 (1) TACP-0 역할을 정의하고, (2) 그 역할의 기능을 정의합니다. (3, 선택) TACP-N(N=1~15) 역할들을 만들고 각각의 기능을 정의합니다.

TACP 권한 올리기 (Gaia Portal)

TACP 권한 올리기 (Gaia Clish)

   tacacs_enable TACP-<N>
   

TACP-0 으로 돌아가려면 CTRL+D를 누르거나 exit 를 입력합니다 — 자동으로 현재 셸을 나와 TACP-0 으로 복귀합니다.

현재 로그인 사용자가 TACACS+로 인증됐는지는 Gaia Clish(또는 gClish)에서 show tacacs_enable 로 확인합니다.

비로컬 사용자를 위한 TACACS+ 서버 구성

Gaia 사용자를 Gaia가 아닌 TACACS 서버에 정의 할 수 있고, 이런 사용자를 비로컬 사용자라고 합니다. 가장 흔히 쓰는 TACACS+ 서버는 Cisco ACS 입니다(구성 도움말은 sk98733 — 공식 Cisco 문서를 대체하지 않는 모범 사례 예시). 비로컬 사용자가 로그인하면 TACACS 서버가 인증하고 권한을 부여하므로, 서버에서 올바른 인증·인가를 구성 해야 합니다.

인증 접근 순서 구성

기본 순서와 상태 는 다음과 같습니다.

Gaia Portal에서 — User Management > Authentication Servers → Authentication Access Order 에서 서버 종류를 골라 Edit → Priority 와 State(On/Off) 설정 → OK.

Gaia Clish에서 — 순서 확인:

show aaa order

예제 출력:

gaia> show aaa order
Priority
Server Type
State
1
TACACS
Off
2
RADIUS
On
3
Local
On
gaia>

순서 구성:

set aaa order {radius | tacacs | local} priority <1-3>
set aaa order {radius | tacacs | local} state {on | off}

Linux와 마찬가지로 Gaia에서도 그룹을 정의 할 수 있습니다. 고급 응용과 Linux 호환성을 위해 유지되는 기능으로, (1) Linux 파일 권한 지정, (2) SSH 로그인 허용 대상 제어에 씁니다. 그 밖에 그룹과 관련된 권한 기능은 역할 기반 관리(위 역할 절 참조)를 쓰세요.

모든 사용자는 기본적으로 users 그룹에 배정됩니다. (Gaia Clish로) 기본 그룹 ID를 다른 값으로 바꿔도 그 사용자를 users 그룹에 추가할 수 있습니다. 다만 users 그룹의 멤버 목록에는 명시적으로 추가된 사용자만 나오고, 기본으로 들어간 사용자는 보이지 않습니다.

Gaia Portal에서 구성

전체 그룹 목록은 User Management > System Groups 에서 봅니다.

그룹 추가

그룹에 사용자 추가 — 그룹 선택 → Edit → Available Members 에서 사용자 선택(여러 명 CTRL+좌클릭) → Add > 로 Members of Group 으로 이동 → OK.

그룹에서 사용자 제거 — 그룹 선택 → Edit → Members of Group 에서 사용자 선택 → Add > 로 Available Members 로 이동 → OK.

그룹 삭제 — 그룹 선택 → Delete → OK.

Gaia Clish에서 구성

add group <Group Name> gid <Group ID>            # 그룹 추가
add group <Group Name> member<SPACE><TAB>        # 사용자 추가
add group <Group Name> member <UserName>
set group <Group Name> gid <Group ID>            # Group ID 변경
show group <Group Name>                          # 그룹 내 사용자 보기
show groups                                      # 전체 그룹 보기
delete group <Group Name> member<SPACE><TAB>     # 사용자 제거
delete group <Group Name> member <UserName>
delete group <Group Name>                        # 그룹 삭제

이 시스템이 Security Management Server 라면, SmartConsole로 접속할 수 있는 컴퓨터를 지정할 수 있습니다.

Gaia Portal에서

명령줄에서