FCP_Fortinet_FortiManager_05_Policy.pptx

Last Modified: June 8, 2025
© Copyright Fortinet Inc. All rights reserved. Last Modified: June 8, 2025
Policy and Objects
FortiManager
FortiManager 7.2

Lesson Overview
2
© Fortinet Inc. All Rights Reserved.
Policy and Objects Management
Import and Install Wizards
ADOM Revision and Database Versions
Policy Locking and Workflow Mode

3
Objectives
• Describe policy workflow
• Create policy packages and objects
• Create installation targets for policies and policy packages
• Configure dynamic objects
• Use the policy check feature
• Clone a policy package

4
Overview
• Você pode executar as seguintes tarefas em cada ADOM:
• Crie ou personalize pacotes ou pacotes de políticas para cada dispositivo ou
VDOM
• Crie pastas de políticas
• Apontar um pacote de políticas para um único dispositivo, vários dispositivos,
todos os dispositivos, um único VDOM, vários VDOMs ou todos os
dispositivos em um único ADOM
• Crie objetos que possam ser compartilhados entre pacotes de políticas em
um ADOM
• Copie ou clone pacotes de políticas existentes
• Configurar objetos dinâmicos
• Configurar opções de exibição
• Configurar revisões do ADOM

5
Policy Workflow
ADOM 1
Objects
Device
2
Device
1
Install on
Managed device
Import/retrieve
configuration
Install on
managed device
import/retrieve
configuration
ADOM 2
Device
4
Device
3
Device Manager
Layer
ADOM Layer
Policy Package
Objects
Policy Package
Configuration Revision
(per Device)
Configuration Revision
(per Device)

6
Policy Packages
• ADOM > Policy & Objects > Policy Packages
• Crie políticas de firewall em pacotes de políticas
• Exibe todos os pacotes de políticas para o ADOM
Mostrando políticas para o pacote de políticas de treinamento
Expanda o nome do pacote de políticas e clique
em Firewall Policy para visualizar as políticas
que ele contém

7
Object Configurations
• ADOM > Policy & Objects > Object Configuration
• As políticas de firewall em pacotes de políticas referem-se a objetos definidos no banco de dados ADOM

8
Display Options
• Policy & Objects > Display Options
• Você pode personalizar as opções de exibição para visualizar ou ocultar as guias
disponíveis no painel Policy & Objects no FortiManager

9
Policy Folders
• Gerencie e organize seus pacotes de políticas
• Permite ter subpastas nas pastas de políticas
Policy & Objects > Policy Packages
Policy folder
Nested policy folder
policy packages
Policy packages
Policy packages

10
Installation Target
• Policy Package > Installation Targets
• Segmente um ou mais dispositivos ou VDOMs
• O assistente de instalação fornece uma mensagem de aviso com o nome do pacote de políticas
anterior atribuído
Adicionar destinos de
instalação

11
Installation Target—Per Policy
• Os destinos de instalação por regra permitem exceções por dispositivo para um pacote de políticas
compartilhadas
• A coluna Install On permite que você direcione dispositivos para adicionar, remover ou definir como padrão
Segmentação de
dispositivos individuais
Segmentando todos os
dispositivos
Click Install On column to
select devices
Clique na coluna Install On para
selecionar dispositivos

12
Dynamic Objects
• Configurar mapeamentos dinâmicos de objetos no nível do dispositivo
Devices without mapping
are mapped to this
subnet
Mapeamento para Local-
FortiGate
Mapeamento para Remote-
FortiGate

13
Interface Mapping
• Define regras de mapeamento para interfaces
• As interfaces são mapeadas por dispositivo, por plataforma ou ambos
• Quando a interface normalizada é usada em uma política, os mapeamentos por
dispositivo têm prioridade mais alta do que os mapeamentos por plataforma
Object Configurations > Normalized Interface

14
Example—Firewall Policy
• Visualização de política de Interface e Zone no FortiManager
• Visualização de política de Interface e Zone no FortiGate gerenciado
Trusted Zone ver no
FortiGate gerenciado
Confiável (inclui
port6 e port7)
Inside está mapeado para a
porta3

15
Used Objects
• Você pode excluir um objeto usado
• Você pode ver onde o objeto é usado antes de excluí-lo
• No entanto, se você excluir um objeto referenciado em uma política de firewall, o
FortiManager o substituirá por um objeto none
• none object é igual a nulo, o que significa que qualquer tráfego que atenda a essa política de firewall
será bloqueado

16
Find Unused Objects
• A ferramenta GUI integrada pode ajudar os administradores a identificar objetos de firewall não utilizados
• Find Unused Objects ferramenta exibe todos os objetos de firewall que não estão sendo usados no
momento
• Exemplo: Endereço, serviço, IP virtual, IPPOOL e assim por diante
• Exclua objetos não utilizados diretamente na janela pop-up Objetos não utilizados

17
Duplicate Objects
• A ferramenta Encontrar Duplicate Objects pode ajudá-lo a localizar objetos duplicados
de firewall
• Você pode Merge objetos duplicados

18
Policy Check
• Procura consistência e conflitos no pacote de políticas
• Ajuda você a otimizar regras de firewall para reduzir potencialmente o tamanho do
banco de dados do pacote de políticas

Lesson Progress
19

20
Objectives
• Interpret the status of a device on FortiManager
• Use the Import Policy wizard
• Use the Install wizard
• Use the Re-install wizard

21
Policy Package Status
FMG-VM64 # diagnose dvm device list
--- There are currently 3 devices/vdoms managed ---
...
TYPE OID SN HA IP NAME ADOM IPS
fmgfaz-managed 252 FGVM010000065036 - 10.200.3.1 Remote-FortiGate root 6.00741
(regular) |- STATUS: dev-db: not modified; conf: in sync; cond: OK; dm: installed; conn: up
|- vdom:[3]root flags:0 adom:root pkg:[modified]Remote-FortiGate
...
--- End device list ---
Device Manager > Managed FortiGate

22
Status of Policy Package on FortiManager
Policy & Objects
ADOM level DB
Device Manager
Device level DB Revision history DB FortiGate
Policy package status
Imported
Synchronized
Never Installed
Modified
Out-of-sync
Conflict
Unknown
Install
Import Policy Retrieve
Auto Update
O administrador pode tomar
medidas com base no status
Install changes
Import policy changes

23
Import Configuration Wizard
• Device Manager > Managed FortiGate
• Selecione o dispositivo FortiGate e clique em Import Configuration
• Cria um novo pacote de políticas ou pode substituir um existente e importa objetos
• Os objetos importados são adicionados ao banco de dados de objetos ADOM
Use uma das duas maneiras de
abrir o assistente de Import
Configuration

24
Import Configuration Wizard—Interface Map and Policy
• Mapeia a interface do dispositivo para a
interface ADOM para criar uma
referência das interfaces no banco de
dados FortiManager
• Cria um pacote de políticas em Policy &
Objects > Policy Packages
Mapeamento de interface
Nota: Por padrão, a caixa de seleção Add
mappings for all unused device interfaces
não utilizadas está marcada e cria um
mapeamento automático para a nova interface.
O administrador do FortiManager não precisa
criar um mapeamento manual se esta opção
estiver habilitada. Esse recurso é muito útil em
implantações grandes.

25
Import Policy Wizard—Summary
• Importa objetos para o banco de dados ADOM, políticas para o pacote de políticas
• Você pode salvar o relatório de importação no formato .txt
Start to import config from device(Local-FortiGate) vdom(root) to adom(root),
package(Local-FortiGate)
"application list",SUCCESS,"(name=wifi-default, oid=2459, update previous object)"
...
"authentication setting",SUCCESS,"(name=, oid=3393, new object)"
...
"firewall address",SKIPPED,"(name=all, oid=2264, DUPLICATE)"
"firewall address",SKIPPED,"(name=none, oid=2265, DUPLICATE)"
"firewall address",SUCCESS,"(name=REMOTE_ETH1, oid=2266, new object)"
"firewall address",SUCCESS,"(name=REMOTE_SUBNET, oid=2267, new object)"

26
Install Wizard
• Várias maneiras de lançar
• No painel Device Manager
• No painel Policy & Objects
• Se você fizer alterações na configuração de um pacote de políticas, o status do pacote
de políticas será alterado para Modified
Duas maneiras de iniciar o
Install Wizard no
Gerenciador de Dispositivos
A configuração do pacote de políticas foi alterada
Instale para aplicar alterações ao dispositivo remoto

27
Install Wizard—What to Install
• Install Policy Package & Device Settings permite que os administradores instalem o
pacote de políticas e alterem as configurações do dispositivo
• Install Wizard também oferece opções para:
• Criar uma revisão de configuração
• Agendar push para dispositivo remoto
• Selecione o(s) dispositivo(s) para instalar as alterações
Selecione um pacote de
políticas

28
Install Wizard—Validation
• Verifica as configurações de política e dispositivo que serão instaladas e prepara uma visualização
• Indica em quais dispositivos as alterações foram instaladas e o status da instalação
Atualizando endereço de origem
Excluindo objetos
não utilizados

29
Re-Install
• Igual ao Install Wizard sem avisos, mas oferece uma opção para visualizar a instalação
No painel Policy & Objects
No painel Device Manager
Clicar em Next instalará o pacote de
políticas
Um administrador deve
executar a instalação da
política primeiro antes que a
opção Re-install Policy fique
disponível

Lesson Progress
30

31
Objectives
• Describe the purpose of ADOM revisions
• Identify the database version of an ADOM
• Understand how the database version of the ADOM affects the
policy and objects configurations

32
ADOM Revisions
• Policy & Objects > ADOM Revisions
• Crie um instantâneo de todas as configurações de políticas e objetos para
o ADOM
• Configurações fornece acesso à configuração de exclusão
automática
• Você pode bloquear revisões para evitar
a exclusão automática
Warning: As revisões do
ADOM podem aumentar
significativamente o tamanho
do backup de configuração

33
Version of the ADOM Database
• A versão do banco de dados refere-se à sintaxe válida para essa versão do FortiOS
Selecione a versão do ADOM para atualizar

34
Moving FortiGate From One ADOM to Another
• Considerações antes de mover dispositivos:
• Políticas e objetos não são movidos para o novo ADOM
• Se estiver usando um pacote de políticas compartilhadas, ele não será movido para o novo ADOM
• Objetos não utilizados não são movidos de um ADOM para outro
• Quando os dispositivos FortiGate são atualizados, é melhor mantê-los no mesmo ADOM e usar a
atualização do ADOM
• Depois de mover os dispositivos:
• Importar um pacote de políticas
• Pode usar CLI para importar objetos não utilizados, se necessário
• A configuração dos painéis do gerenciador, como o gerenciador VPN, não se move
• Reconfigurar toda a configuração
execute fmpolicy copy-adom-object

Lesson Progress
35

36
Objectives
• Describe the purpose of and when to use policy locking and
workflow mode

37
Policy Lock—Workspace Normal Mode
• Permite que os administradores bloqueiem um único pacote de políticas em vez de todo o
ADOM
• Funciona em conjunto com workspace-mode normal
• Bloqueia apenas um pacote de políticas, não todo o banco de dados de objetos
• Você pode editar o pacote de políticas bloqueado em um espaço de trabalho privado
• Vários administradores podem bloquear e trabalhar em pacotes de políticas separados ao mesmo
tempo
config system global
set workspace-mode normal
end
ADOM permanece
desbloqueado
O Policy package agora está
bloqueado

38
Per-Policy Lock—Workspace Normal Mode
• Permite que os administradores bloqueiem uma única política dentro do mesmo pacote
de políticas
• O bloqueio de política é liberado automaticamente no tempo limite do administrador ou
se a sessão for fechada normalmente sem desbloquear o pacote de política
Edite a política para ver o
ícone de cadeado

39
Workflow Mode
• As sessões só podem ser criadas no painel Policy & Objects
• Outro modo global que funciona em conjunto com o bloqueio ADOM
• Controla a criação, configuração e instalação de políticas e objetos de firewall
• A aprovação é necessária antes que as alterações possam ser instaladas em um dispositivo
• As modificações feitas durante uma sessão de fluxo de trabalho devem ser descartadas ou enviadas ao
administrador de aprovação do fluxo de trabalho no final de uma sessão de fluxo de trabalho
• Sessões rejeitadas podem ser reparadas e reenviadas como novas sessões para aprovação
• Esses painéis são inicialmente somente leitura até que um ADOM seja bloqueado:
config system global
set workspace-mode workflow
end
Enable workflow
mode from CLI or
GUI
Habilite o modo de
fluxo de trabalho da
CLI ou GUI
System Settings > Admin > Workspace

40
How to Use Workflow Mode
Admin A
ADOM
Admin B
Read/Write
O administrador A bloqueia o ADOM e obtém acesso de leitura e
gravação. Cria nova sessão, altera políticas e objetos.
Admin A
ADOM
Admin B
O administrador A altera a configuração e envia uma solicitação de
aprovação ao administrador B, que desbloqueia o ADOM.
Lock
Submit unlocks ADOM
1
2
Admin A
Admin B agora bloqueia o ADOM e tem acesso de leitura e
gravação.
Admin B abre a lista de sessões e pode :
• Approve
• Reject
• Discard
• View Diff
ADOM
Admin B
Lock
Read/Write
3

41
Workflow Permissions
• Um administrador deve fazer parte de um grupo de aprovação antes de poder aprovar uma
sessão
• Independentemente do perfil de administrador do qual uma conta de administrador faz parte
• O administrador também precisará ter acesso ao ADOM no qual a sessão foi criada para aprová-la
• Na GUI, a matriz de aprovação deve ser configurada antes que as sessões de fluxo de trabalho
sejam permitidas

42
Creating a New Workflow Session
• Para iniciar uma sessão no modo de fluxo de trabalho:
• Selecione e bloqueie ADOM
• Abra a lista de sessões no painel Policy & Objects
• Criar nova sessão
Lock ADOM
Abrir lista de sessões
Crie uma nova
sessão

43
Submitting Workflow Sessions
• Save sessão e, em seguida,
envie as alterações
• As alterações de sessão serão
descartadas se o administrador sair
sem salvá-las
• As sessões salvas podem ser
trabalhadas posteriormente
• O menu suspenso Sessions tem
três opções:
• View Diff
• Submit
• Discard
• Você pode ver uma diferença de
sessão
• Após enviar as alterações para
aprovação, o ADOM retorna ao
estado desbloqueado
Salve a sessão e envie as
alterações ou selecione
Submit para salvar e
enviar as alterações
automaticamente

44
Approving, Rejecting, or Repairing Workflow Sessions
• Para aprovar uma sessão:
• O administrador deve ter os direitos
apropriados necessários para aprovar uma
sessão
• Deve bloquear o ADOM no qual as
alterações foram feitas
• Abrir Session List
• Quatro opções para aprovação do
administrador :
• Approve
• Reject
• Discard
• View Diff
• Sessões rejeitadas podem ser reenviadas com
alterações propostas Student administrador
que enviou a
solicitação

45
Locked ADOMs
• Se uma sessão não for fechada normalmente (travamento do PC ou janela do
navegador fechada), o FortiManager não fechará a sessão de administração
• A sessão terá que ser excluída manualmente na GUI ou CLI
FMG-VM64 # diagnose sys admin-session list
*** entry 1 ***
session_id: 6671 (seq: 0)
username: admin
admin template: admin
from: GUI(10.0.1.10) (type 1)
profile: Super_User (type 3)
adom: My_ADOM
session length: 1308 (seconds)
idle: 284 (seconds)
...
FMG-VM64 # diagnose sys admin-session kill 6671
Click here
Use session_id
para encerrar a
sessão anterior
Selecione a sessão
anterior e clique em
Delete

Lesson Progress
46

Review
47
 Describe policy workflow
 Create policy packages and objects
 Create installation targets for policies and policy packages
 Configure dynamic objects
 Use the policy check feature and clone a policy package
 Interpret the status of a device on FortiManager
 Use the Import Policy wizard and the Install wizard
 Use the Re-install wizard
 Describe the purpose of ADOM revisions
 Identify the database version of an ADOM
 Understand how the database version of the ADOM affects the policy and objects
configurations
 Describe the purpose of and when to use policy locking and workflow mode

FCP_Fortinet_FortiManager_05_Policy.pptx

Mais conteúdo relacionado

Destaque

FCP_Fortinet_FortiManager_05_Policy.pptx

Notas do Editor