目录

简介

先决条件

要求

使用的组件

规则

配置

步骤1.将WCS添加到ACS AAA客户端。

步骤2.在WCS中将Cisco Secure ACS添加为TACACS+服务器。

步骤3.在ACS上配置正确的外壳配置文件。

步骤4.配置Cisco Secure ACS以返回属性。

验证

故障排除

相关信息

简介

本文档介绍如何使用思科安全访问控制服务器(ACS)5.x来配置思科无线控制系统(WCS)和思科Prime网络控制系统(NCS)管理。

先决条件

要求

Cisco 建议您了解以下主题：

- Cisco 无线控制系统

- 思科Prime网络控制系统

- 思科安全访问控制服务器

使用的组件

本文档中的信息基于以下软件和硬件版本：

- 思科无线控制系统7.0.172.0

- 思科安全ACS 5.x

本文档中的信息都是基于特定实验室环境中的设备编写的。本文档中使用的所有设备最初均采用原始（默认）配置。如果您使用的是真实网络，请确保您已经了解所有命令的潜在影响。

规则

有关文档约定的更多信息，请参考 Cisco 技术提示约定。

配置

此示例配置描述如何使用TACACS+对用户进行身份验证。

注意：虽然使用Cisco Secure ACS 5.x对WCS/NCS用户进行身份验证时存在各种选项和可能性，但本文档并未介绍所有组合。但是，本示例为您提供了必要的信息，以了解如何将示例修改为要实现的精确配置。

步骤1.将WCS添加到ACS AAA客户端。

1. 在Cisco Secure ACS上，选择Network Resources > Network Devices and AAA Clients。

2. 在 Name 字段中输入名称。

3. 在IP地址字段中输入WCS IP地址。

4. 在Authentication Options区域下，单击TACACS+复选框以启用TACACS+，然后输入要用作共享密钥的术语。

注意：本示例使用cisco作为共享密钥；但是，出于安全原因，您应使用一个不太明显的术语。

步骤2.在WCS中将Cisco Secure ACS添加为TACACS+服务器。

1. 登录到WCS，然后选择Administration > AAA。

2. 单击TACACS+。

3. 在共享密钥和确认共享密钥字段中输入共享密钥术语。

4. 从Local Interface IP字段选择Cisco ACS IP地址。

5. 在左侧导航区域，单击AAA Mode。

6. 单击“TACACS+”单选按钮。

注意：出于安全原因，思科建议您从“启用回退到本地”(Enable fallback to local)下拉列表中选择身份验证失败或无服务器响应。选择此选项可防止在出现问题时锁定您。一旦一切正常，您就可以更改选项。

步骤3.在ACS上配置正确的外壳配置文件。

此步骤介绍如何配置Cisco Secure ACS以返回正确的属性以确定WCS上的用户权限。

1. 在左侧导航区域中，单击组。

系统将显示用户类型列表。此示例对Lobby Ambassador用户类型中的用户进行身份验证。

2. 单击LobbyAmbassador组旁边的Task List链接。

注：必须配置用户角色（本例中为“大使厅”）及其可执行的任务和可访问菜单项的列表。如果使用WCS的最新版本，还必须配置用户将属于的虚拟域。

3. 选择管理>虚拟域。

4. 单击Export。

5. 选择Policy Elements > Authorization and Permissions > Device Administration > Shell Profiles以创建新的外壳配置文件。

6. 输入有意义的名称(如WCS)，然后单击“自定义属性”选项卡。

7. 在WCS上配置属性。

注意：在5.2补丁7版之前的ACS版本中，当输入包含“alert”一词的任务时，可能会遇到问题。 这在更高的ACS版本中已修复。在1.2之前的身份服务引擎(ISE)版本中也存在同样的问题。

以下是如何手动输入属性的示例：

-type “role0” in the “Attribute” field

-type “LobbyAmbassador” in the Value field

-click the “add” button.

Etc… for the other attributes.

注意：在ACS 4中，可以将属性列表从WCS GUI复制/粘贴到ACS 4 GUI。在ACS 5中，必须逐个输入。

在NCS和Prime基础设施中，必须按非常具体的顺序输入属性。顺序是虚拟域、角色和任务列表。如果以错误顺序输入，NCS/Prime拒绝身份验证。

NCS:virtual-domain0=ROOT-DOMAIN

NCS:role0=Super Users

NCS:task0=View Alerts and Events

步骤4.配置Cisco Secure ACS以返回属性。

1. 在ACS上将用户(本示例使用Lobbyad)配置为用户。

注意：为便于配置，本示例将Lobbyad用户添加到WCS用户组。（此步骤是可选的。）

2. 在访问策略中，在Default Device Admin > Authorization下，配置一个规则以匹配WCS身份验证。

3. 如果用户名属于WCS-users组，请返回wcs shell配置文件（包含组属性）。

4. 如果要配置其他类型的用户（如管理员），则必须配置另一个外壳配置文件以返回不同的属性。此后，您必须将管理员分组到不同的组中，以区分和了解要返回的外壳配置文件。

验证

当前没有可用于此配置的验证过程。

故障排除

目前没有针对此配置的故障排除信息。

相关信息

- 思科无线控制系统配置指南，版本7.0.172.0

- 思科安全访问控制系统5.2用户指南

- 技术支持和文档 - Cisco Systems