IOS および ASA/PIX/FWSM での ACS シェル コマンドの Authorization Sets の設定例

ダウンロード オプション

  • PDF     (577.7 KB)
    Adobe Reader を使ってさまざまなデバイスで表示
  • ePub     (369.1 KB)
    iPhone、iPad、Android、ソニーの Reader、または Windows Phone 上で、さまざまなアプリを使って表示
  • Mobi (Kindle)     (875.1 KB)
    Kindle デバイスで、または Kindle アプリを使って複数のデバイスで表示
Updated: 2007 年 10 月 12 日
Document ID:99361

偏向のない言語

この製品のドキュメントセットは、偏向のない言語を使用するように配慮されています。このドキュメントセットでの偏向のない言語とは、年齢、障害、性別、人種的アイデンティティ、民族的アイデンティティ、性的指向、社会経済的地位、およびインターセクショナリティに基づく差別を意味しない言語として定義されています。製品ソフトウェアのユーザインターフェイスにハードコードされている言語、RFP のドキュメントに基づいて使用されている言語、または参照されているサードパーティ製品で使用されている言語によりドキュメントに例外が存在する場合があります。シスコのインクルーシブ ランゲージの取り組みの詳細は、こちらをご覧ください。

翻訳について

シスコは世界中のユーザにそれぞれの言語でサポート コンテンツを提供するために、機械と人による翻訳を組み合わせて、本ドキュメントを翻訳しています。ただし、最高度の機械翻訳であっても、専門家による翻訳のような正確性は確保されません。シスコは、これら翻訳の正確性について法的責任を負いません。原典である英語版（リンクからアクセス可能）もあわせて参照することを推奨します。

概要

このドキュメントでは、Cisco IOS® ルータまたはスイッチや Cisco Security Appliances（ASA/PIX/FWSM）などの AAA クライアントの Cisco Secure Access Control Server（ACS）のシェル コマンド許可セットを、TACACS+ を承認プロトコルとして設定する方法について説明します。

注：ACS Expressはコマンド許可をサポートしていません。

前提条件

要件

このドキュメントでは、AAA クライアントと ACS の両方で基本設定が実行されていることを想定しています。

ACS で [Interface Configuration] > [Advanced Options] を選択し、[Per-user TACACS+/RADIUS Attributes] チェックボックスがオンになっていることを確認します。

使用するコンポーネント

このドキュメントの情報は、ソフトウェア バージョン 3.3 以降が稼働する Cisco Secure Access Control Server（ACS）に基づいています。

このドキュメントの情報は、特定のラボ環境にあるデバイスに基づいて作成されました。このドキュメントで使用するすべてのデバイスは、初期（デフォルト）設定の状態から起動しています。対象のネットワークが実稼働中である場合には、どのようなコマンドについても、その潜在的な影響について確実に理解しておく必要があります。

表記法

ドキュメント表記の詳細については、『シスコ テクニカル ティップスの表記法』を参照してください。

コマンド許可セット

コマンド許可セットは、任意のネットワーク デバイス上で発行された各コマンドの許可を制御する中心的なメカニズムとなります。この機能で、許可の制限を設定するために必要なスケーラビリティと管理性が大幅に向上します。

ACS では、デフォルトのコマンド許可セットとして、シェル コマンド許可セットと PIX コマンド許可セットがあります。CiscoWorks Management Center for Firewalls などのシスコ デバイス管理アプリケーションは、追加のコマンド許可セット タイプをサポートするように ACS に指示できます。

注：PIXコマンド許可セットでは、TACACS+コマンド許可要求がサービスをpixshellとして識別する必要があります。このサービスが、ファイアウォールで使用される PIX OS のバージョンに実装されていることを確認します。そうでない場合は、シェル コマンド許可セットを使用して、PIX デバイスのコマンド許可を実行します。詳細については、「ユーザ グループのシェル コマンド許可セットの設定」を参照してください。

注：PIX OSバージョン6.3では、pixshellサービスは実装されていません。

注：Ciscoセキュリティアプライアンス(ASA/PIX)では現在、ログイン時にユーザを直接イネーブルモードにすることはできません。ユーザは、手動でイネーブル モードにする必要があります。

デバイスがホストする管理 Telnet セッションをより詳細に制御するために、TACACS+ を使用するネットワーク デバイスは、各コマンド ラインの許可を、その実行前に要求できます。一連のコマンドを定義して、所定のデバイスでの特定のユーザによる実行が許可または拒否されるようにすることができます。ACS は、次の機能で、この能力をさらに強化しています。

  • Reusable Named Command Authorization Sets：ユーザもユーザ グループも直接引用せずに、コマンド許可の名前付きセットを作成できます。さまざまなアクセス プロファイルを表す複数のコマンド許可セットを定義できます。以下に、いくつかの例を示します。

    • コマンド許可セット [Help desk] は、show run などの上位レベルのブラウジング コマンドへのアクセスを許可しますが、コンフィギュレーション コマンドはすべて拒否します。

    • コマンド許可セット [All network engineers] には、企業のすべてのネットワーク技術者に許可するコマンドの限定リストを含めることができます。

    • [Local network engineers] コマンド許可セットでは、すべてのコマンドを許可できます（また、IP アドレス設定コマンドを含むことができます）。

  • Fine Configuration Granularity：名前付きコマンド許可セットとネットワーク デバイス グループ（NDG）の間の関連付けを作成できます。 したがって、ユーザがアクセスするネットワーク デバイスに応じて、ユーザに異なるアクセス プロファイルを定義できます。1 つの名前付きコマンド許可セットを複数の NDG に関連付け、複数のユーザ グループで使用できます。ACS では、データ整合性が強化されています。名前付きコマンド許可セットは、ACS 内部データベースに保持されます。ACS のバックアップ機能と復元機能を使用すると、バックアップや復元を実行できます。さらに、コマンド許可セットを他の設定データとともにセカンダリ ACS に複製することもできます。

シスコ デバイス管理アプリケーションをサポートするコマンド許可セット タイプでは、コマンド許可セット使用時に同様の利点があります。デバイス管理アプリケーションのユーザを含む ACS グループにコマンド許可セットを適用して、デバイス管理アプリケーションのさまざまな特権の許可を実行できます。この ACS グループは、デバイス管理アプリケーションにある各種のロールに対応できるため、必要に応じて、各グループに異なるコマンド許可セットを適用できます。

ACS には、コマンド許可フィルタリングに関する一連の 3 つの段階があります。各コマンド許可要求は、次のリストの順に評価されます。

  1. Command Match：ACS は、処理されたコマンドが、コマンド許可セットに含まれるコマンドに一致するかどうかを判断します。コマンドが一致しない場合は、[Unmatched Commands] 設定のpermit または deny でコマンド許可が決定されます。一致するコマンドが見つかった場合は、評価が続行されます。

  2. Argument Match：ACS は、提示されたコマンド引数が、コマンド許可セットに含まれるコマンド引数と一致するかどうかを判断します。

    • どの引数も一致しない場合は、[Permit Unmatched Args] オプションが有効かどうかでコマンド許可が決定されます。一致しない引数が許可されている場合は、コマンドが許可され、評価が終了します。それ以外の場合は、コマンドが許可されず、評価が終了します。

    • すべての引数が一致した場合は、評価が続行されます。

  3. Argument Policy：ACS は、コマンドの引数がコマンド許可セットの引数と一致すると判断した後は、各コマンド引数が明示的に許可されているかどうかを判断します。すべての引数が明示的に許可されている場合、ACS はコマンド許可を付与します。許可されない引数がある場合、ACS はコマンド許可を拒否します。

シェル コマンド許可セットの追加

このセクションには、コマンド許可セットの追加方法を説明する以下のシナリオが含まれます。

注：コマンド許可セットの作成方法の詳細については、『Cisco Secure Access Control Server 4.1ユーザガイド』の「コマンド許可セットの追加」セクションを参照してください。コマンド許可セットの編集方法と削除方法に関する情報については、「コマンド許可セットの編集」および「コマンド許可セットの削除」を参照してください。

シナリオ 1：読み取り/書き込みアクセスまたはフル アクセスの権限

このシナリオでは、ユーザに読み取り/書き込み（またはフル）アクセスが許可されています。

[Shared Profile Components] ウィンドウの [Shell Command Authorization Set] 領域で、次のように設定します。

  1. [Name] フィールドに、コマンド許可セット名として ReadWriteAccess と入力します。

  2. [Description] フィールドに、コマンド許可セットの説明を入力します。

  3. [Permit] オプション ボタンをクリックし、[Submit] をクリックします。

acs_shell_auth01.gif

シナリオ 2：読み取り専用アクセスの権限

このシナリオでは、ユーザは show コマンドだけを使用できます。

[Shared Profile Components] ウィンドウの [Shell Command Authorization Set] 領域で、次のように設定します。

  1. [Name] フィールドに、コマンド許可セット名として ReadOnlyAccess と入力します。

  2. [Description] フィールドに、コマンド許可セットの説明を入力します。

  3. [Deny] オプション ボタンをクリックします。

  4. [Add Command] ボタンの上のフィールドに show コマンドを入力し、[Add Command] をクリックします。

  5. [Permit Unmatched Args] チェックボックスをオンにし、[Submit] をクリックします。

acs_shell_auth02.gif

シナリオ 3：制限付きアクセスの権限

このシナリオでは、ユーザは選択コマンドを使用できます。

[Shared Profile Components] ウィンドウの [Shell Command Authorization Set] 領域で、次のように設定します。

  1. [Name] フィールドに、コマンド許可セット名として Restrict_access と入力します。

  2. [Deny] オプション ボタンをクリックします。

  3. AAA クライアントで許可するコマンドを入力します。

    1. [Add Command] ボタンの上にあるフィールドに show コマンドを入力し、[Add Command] をクリックします。

      acs_shell_auth11.gif

    2. configure コマンドを入力し、[Add Command] をクリックします。

    3. configure コマンドを選択し、右側のフィールドに permit terminal と入力します。

      acs_shell_auth12.gif

    4. interface コマンドを入力し、[Add Command] をクリックします。

    5. interface コマンドを選択し、右側のフィールドに permit Ethernet と入力します。

      acs_shell_auth13.gif

    6. ethernet コマンドを入力し、[Add Command] をクリックします。

    7. interface コマンドを選択し、右側のフィールドに permit timeout、permit bandwidth、および permit description と入力します。

      acs_shell_auth14.gif

    8. bandwidth コマンドを入力し、[Add Command] をクリックします。

      acs_shell_auth15.gif

    9. timeout コマンドを入力し、[Add Command] をクリックします。

      acs_shell_auth17.gif

    10. description コマンドを入力し、[Add Command] をクリックします。

      acs_shell_auth16.gif

  4. [Submit] をクリックします。

ユーザ グループへのシェル コマンド許可セットの関連付け

ユーザ グループのシェル コマンド許可セットの設定方法に関する情報については、『Cisco Secure Access Control Server 4.1 ユーザ ガイド』の「ユーザ グループのシェル コマンド許可セットの設定」セクションを参照してください。

ユーザ グループ（管理グループ）へのシェル コマンド許可セット（読み取り/書き込みアクセス）の関連付け

  1. [ACS] ウィンドウで [Group Setup] をクリックし、[Group] ドロップダウン リストから [Admin Group] を選択します。

    acs_shell_auth03.gif

  2. [Edit Settings] をクリックします。

  3. [Jump To] ドロップダウン リストで [Enable Options] を選択します。

  4. [Enable Options] 領域で [Max privilege for any AAA client] オプション ボタンをクリックし、ドロップダウン リストで [Level 15] を選択します。

    acs_shell_auth04.gif

  5. [Jump To] ドロップダウン リストで [TACACS+] を選択します。

  6. [TACACS+ Settings] 領域で [Shell (exec)] チェックボックスと [Privilege level] チェックボックスをオンにし、[Privilege level] フィールドに 15 と入力します。

    acs_shell_auth05.gif

  7. [Shell Command Authorization Set] 領域で [Assign a Shell Command Authorization Set for any network device] オプション ボタンをクリックし、ドロップダウン リストで [ReadWriteAccess] を選択します。

    acs_shell_auth06.gif

  8. [Submit] をクリックします。

ユーザ グループ（読み取り専用グループ）へのシェル コマンド許可セット（読み取り専用アクセス）の関連付け

  1. [ACS] ウィンドウで [Group Setup] をクリックし、[Group] ドロップダウン リストから [Read-Only Group] を選択します。

    acs_shell_auth07.gif

  2. [Edit Settings] をクリックします。

  3. [Jump To] ドロップダウン リストで [Enable Options] を選択します。

  4. [Enable Options] 領域で [Max privilege for any AAA client] オプション ボタンをクリックし、ドロップダウン リストで [Level 1] を選択します。

    acs_shell_auth08.gif

  5. [TACACS+ Settings] 領域で [Shell (exec)] チェックボックスと [Privilege level] チェックボックスをオンにし、[Privilege level] フィールドに 1 と入力します。

    acs_shell_auth09.gif

  6. [Shell Command Authorization Set] 領域で [Assign a Shell Command Authorization Set for any network device] オプション ボタンをクリックし、ドロップダウン リストで [ReadOnlyAccess] を選択します。

    acs_shell_auth10.gif

  7. [Submit] をクリックします。

ユーザへのシェル コマンド許可セット（制限付きアクセス）の関連付け

ユーザのシェル コマンド許可セットの設定方法に関する情報については、『Cisco Secure Access Control Server 4.1 ユーザ ガイド』の「ユーザのシェル コマンド許可セットの設定」セクションを参照してください。

注：ユーザレベルの設定は、ACSのグループレベルの設定よりも優先されます。つまり、ユーザがユーザレベルの設定でシェルコマンド許可を設定している場合は、グループレベルの設定よりも優先されます。

  1. [User Setup] > [Add/Edit] をクリックして、「Admin_user」という名前の新しいユーザを作成し、管理グループに加えます。

    acs_shell_auth18.gif

  2. ユーザが割り当てられているグループのドロップダウン リストで [Admin Group] を選択します。

    acs_shell_auth19.gif

  3. [Shell Command Authorization Set] 領域で [Assign a Shell Command Authorization Set for any network device] オプション ボタンをクリックし、ドロップダウン リストで [Restrict_access] を選択します。

    注：このシナリオでは、このユーザは管理グループの一部です。[Restrict_access] シェル許可セットは適用できますが、[ReadWrite Access] シェル許可セットは適用できません。

    acs_shell_auth20.gif

    注：[Interface Configuration]領域の[TACACS+ (Cisco)]セクションで、[User]列の[Shell (exec)] オプションが選択されていることを確認します。

IOS ルータの設定

プリセット設定に加えて、ACS サーバでコマンド許可を実装するために、次のコマンドが IOS ルータまたはスイッチで必要です。 

aaa new-model
aaa authorization config-commands
aaa authorization commands 0 default  group tacacs+ local
aaa authorization commands 1 default  group tacacs+ local
aaa authorization commands 15 default group tacacs+ local
tacacs-server host 10.1.1.1
tacacs-server key cisco123

ASA/PIX/FWSM 設定

プリセット設定に加えて、ACS サーバでコマンド許可を実装するために、次のコマンドが ASA/PIX/FWSM で必要です。

aaa-server authserver protocol tacacs+
aaa-server authserver host 10.1.1.1
aaa authorization command authserver

注：RADIUSプロトコルを使用して、ASDMへのユーザアクセスを読み取り専用に制限することはできません。RADIUSパケットには認証と許可が同時に含まれているため、RADIUSサーバで認証されるすべてのユーザの特権レベルは15になります。これは、TACACSを使用してコマンド許可セットを実装することで実現できます。

注：ACSがコマンド許可を実行できない場合でも、入力した各コマンドの実行に時間がかかります。ACS が使用不可で、ASA でコマンド許可が設定されている場合でも、ASA は各コマンドについてコマンド許可を要求します。

トラブルシュート

エラー:command authorization failed

問題

TACACS のロギングを介してファイアウォールにログインした後、コマンドが機能しません。コマンドを入力すると、エラー[command authorization failed] が表示されます。

解決方法

この問題を解決するには、次の手順を実行します。

  1. 正しいユーザ名が使用されていることと、必要な権限がすべてユーザに割り当てられていることを確認します。

  2. ユーザ名と特権が正しい場合は、ASA に ACS との接続性があり、ACS がアクティブであることを確認します。

注：このエラーは、管理者が誤ってローカルおよびTACACSユーザに対してコマンド許可を設定した場合にも発生する可能性があります。この場合は、パスワード回復を実行して問題を解決してください。

関連情報

更新履歴

改定 発行日 コメント
1.0
12-Oct-2007
初版

このドキュメントは役に立ちましたか?

Feedbackフィードバック

シスコに問い合わせ

このドキュメントは次の製品に対応しています