FortiAnalyzer
Importez dans OverView l'inventaire des équipements Fortinet gérés par FortiAnalyzer
Le connecteur FortiAnalyzer importe dans OverView l'inventaire des équipements Fortinet enregistrés dans le Device Manager de FortiAnalyzer. Il interroge l'API JSON-RPC de l'appliance en lecture seule, avec une clé API.
Prérequis
- FortiAnalyzer en version 7.2.2 ou supérieure, version à partir de laquelle l'authentification par clé API est disponible
- Un compte administrateur FortiAnalyzer disposant du profil
Super_User, pour créer l'administrateur REST API - Un OverView OutPost déployé dans votre réseau : FortiAnalyzer étant installé sur site, OverView joint son API au travers de l'OutPost
- Un flux HTTPS autorisé de la VM OutPost vers l'appliance FortiAnalyzer
Informations à fournir dans OverView
| Champ | Description |
|---|---|
| API URL | URL de base de l'appliance telle que la VM OutPost la joint, ex. https://faz.example.com, sans le chemin /jsonrpc |
| API Key | Clé API de l'administrateur REST API (voir la procédure ci-dessous) |
Paramètres
Ces paramètres sont facultatifs. Conservez leur valeur par défaut sauf besoin particulier.
| Paramètre | Description | Défaut |
|---|---|---|
| ADOMs | Liste des ADOMs à collecter. Laissé vide, le connecteur collecte tous les ADOMs visibles par la clé API | Tous |
| Verify SSL | Vérifier le certificat TLS de l'appliance. À désactiver pour un certificat auto-signé | Activé |
| Loadsub | Charger les VDOM et les membres de cluster avec chaque équipement | Activé |
Procédure
Créer l'administrateur REST API
- Connectez-vous à FortiAnalyzer avec un compte disposant du profil
Super_User. - Allez dans System Settings > Administrators, puis Create New > REST API Admin.
- Remplissez le formulaire :
- User Name : un nom explicite, par exemple
overview-api - Admin Profile : un profil en lecture seule (voir Permissions requises)
- JSON API Access : Read
- Administrative Domain : All ADOMs, ou uniquement les ADOMs à remonter dans OverView
- Trusted Hosts : l'adresse IP LAN de la VM OutPost
- User Name : un nom explicite, par exemple
- Cliquez sur OK.
Les trusted hosts sont obligatoires pour un administrateur REST API : FortiAnalyzer refuse les appels qui ne proviennent pas d'une adresse déclarée. Les appels d'OverView partent de la VM OutPost, dont l'adresse IP LAN s'affiche sur la bannière console de l'hyperviseur.
Générer la clé API
- Rouvrez l'administrateur créé à l'étape précédente.
- Cliquez sur Regenerate > Generate.
- Copiez la clé et conservez-la en lieu sûr : elle ne sera plus affichée.
La clé peut aussi être générée en CLI :
execute api-user generate-key overview-api
Configurer le connecteur dans OverView
- Dans OverView, allez dans Data Sources Settings > Sources.
- Sélectionnez FortiAnalyzer et cliquez sur Configure.
- Choisissez votre OutPost comme point de collecte.
- Renseignez l'API URL et l'API Key.
- Cliquez sur Save Configuration.
À l'enregistrement, OverView vérifie l'accès à la liste des ADOMs, puis aux équipements de chaque ADOM.
Permissions requises
Le connecteur effectue uniquement des lectures. L'administrateur REST API a besoin de :
- JSON API Access en Read (en CLI :
set rpc-permit read) - un profil d'administration en Read-Only sur le Device Manager, les autres droits à None
- l'accès aux ADOMs à collecter
Les droits FortiAnalyzer s'appliquent ADOM par ADOM. Chaque ADOM visible par l'administrateur doit autoriser la lecture de ses équipements, faute de quoi la vérification des accès échoue. Pour limiter la collecte à certains ADOMs, restreignez l'Administrative Domain de l'administrateur ou renseignez le paramètre ADOMs.
Les secrets stockés par FortiAnalyzer (mots de passe d'administration, clés privées, clés pré-partagées) ne sont jamais demandés par le connecteur.
Erreur « No permission for the resource »
FortiAnalyzer renvoie l'erreur -11 No permission for the resource dans deux cas :
- l'adresse IP LAN de la VM OutPost n'est pas déclarée dans les Trusted Hosts de l'administrateur ;
- l'administrateur n'a pas accès en lecture aux équipements d'un ADOM.
Lancées en CLI sur FortiAnalyzer, les commandes suivantes affichent l'adresse d'origine des appels API et indiquent si elle correspond à un administrateur :
diagnose debug application auth 8
diagnose debug enable
# … puis pour arrêter :
diagnose debug disable