Cisco APIC リリース 6.0(1) から、パスの APIC GUI、 管理（Admin） > [AAA] が変更されました。  [認証（Authentication）]、 [セキュリティ（Security）]、および ユーザー [作業（Work）] ペインの機能が強化され、機能が向上し、使いやすくなりました。

GUI の機能拡張

  [認証（Authentication）] の [作業（Work）]ペインには、4 つのタブがあります：

• [認証のデフォルト設定（Authentication Default Settings）]：4 つのダッシュレット、つまり、デフォルト認証、リモート認証、コンソール認証、SAML 管理が含まれています。これらの構成のいずれかを変更する必要がある場合は、[編集（Edit）] アイコン、 をクリックします。

• [ログイン ドメイン（Login Domains）]：構成済みのログイン ドメインのリストを表示します。

• [プロバイダー（Providers）]：構成されたプロバイダーのリストを表示します。

• [LDAP グループ（LDAP Groups）]：[LDAP グループ マップ（LDAP Group Maps）] と [LDAP グループ マップ ルール（LDAP Group Map Rules）] の 2 つのサブタブが含まれています。各サブタブには、それぞれグループ マップとグループ マップ ルールのリストが表示されます。

リリース 6.0(1) より前では、認証/認可プロトコル（TACACS、SAML など）は個別にタブとして表示され、これらのプロトコルのプロバイダーを作成するには、それぞれの個別のタブに移動する必要がありました。[プロバイダー（Providers）] タブの [アクション（Actions）] ボタンをクリックし、必要なレルムを選択して、認証/承認プロトコルのプロバイダーを直接作成できるようになりました。詳細な手順については、 プロバイダーを作成するを参照してください。

  [セキュリティ（Security）] の [作業（Work）]ペインには、以下のタブがあります：

• [セキュリティのデフォルト設定（Security Default Settings）]：デフォルトのセキュリティ設定を表示します。表示された詳細を変更するには、「編集（Edit）」アイコン、 をクリックします。

• [セキュリティ ドメイン（Security Domains）]：構成済みのセキュリティ ドメインのリストを表示します。

• [役割（Roles）]：構成された役割のリストを表示します。

• [RBAC ルール（RBAC Rules）]：2 つのサブタブ、[RBAC ルール（RBAC Rules）] と、[ノード ルール（Node Rules）] が含まれています。各サブタブには、それぞれ RBAC ルールとノード ルールのリストが表示されます。

• [認証局（Certificate Authorities）]：構成済みの認証局のリストを表示します。

• [キー リング（Key Rings）]：構成されたキー リングのリストを表示します。

• [JWT キー（JWT Keys）]：構成された JWT キーのリストを表示します。

• [ユーザー アクティビティ（User Activity）]： セッションが記録するものと、ユーザーが情報を記録するものの、2 つのサブタブが含まれています。

  [ユーザー（Users）] の [作業（Work）]ペインには、以下のタブがあります：

• [ローカル（Local）]：ローカル ユーザーのリストを表示します。[アクション（Actions）] アイコン、をクリックして、以下のアクションを実行します：

  • SSH 承認の追加

  • ユーザー ドメインの追加

  • X.509 証明書の追加

  • パスワードの変更

  • パスワード履歴のクリア

• [リモート（Remote）]：リモート ユーザーのリストを表示します。

ペイン/画面全体に適用される顕著な変更の一部は次のとおりです：

• 要素を作成する： さまざまなタブが表示されているメインの [作業（Work）] ペインで、 [アクション（Actions）] ボタンをクリックして関連する要素を作成します。たとえば、[ログイン ドメイン（Login Domains）] タブを表示している場合は、 [アクション（Actions）] > [ログイン ドメインの作成（Create Login Domain）] を選択して、ログインドメインを作成します。

• 要素の詳細情報を表示するには：要素（ログイン ドメイン、プロバイダー、ユーザ、ロールなど）をクリックすると、要素の詳細を含む新しいペインが右側に表示されます。要素に関する詳細が必要な場合は、[詳細（Details）] アイコン、 をクリックして、要素に関する詳細情報を含む完全に新しい画面を表示します。

• 要素を編集するには：選択した要素（ログイン ドメイン、プロバイダー、ユーザ、ロールなど）の詳細を表示する画面で、[編集（Edit）] アイコン、 をクリックして、表示されているパラメータを変更/更新します。

• 要素のイベント分析を表示するには：要素の詳細を表示する画面で、 [イベント分析（Event Analytics）] タブをクリックして、障害、イベント、監査ログを表示します。デバッグやトラブルシューティングで使用できます。

• 要素（ログイン ドメイン、ユーザー、ロールなど）のオブジェクト ストアの詳細を表示するには： アクション（Actions） ボタン > [オブジェクト ストア ブラウザで開く（Open in Object Store Browser）]をクリックします。オブジェクト ストア内の要素のリストを含む新しい画面が表示されます。または、[アクション（Actions） ] アイコン、 をクリックし、要素の行で利用可能にして、 [オブジェクト ストア ブラウザで開く（Open in Object Store Browser）]を選択します。選択した要素のオブジェクト ストア画面が表示されます。

  

  （注）	[RBAC] タブと [プロバイダー（Providers）] タブでは、 アクション（Actions） ボタンをクリックしてオブジェクト ストアの詳細にアクセスすることはできません。

コア [Application Policy Infrastructure Controller] （[APIC]）の内部データ アクセス コントロール システムにより、マルチテナント分離が提供され、テナント間での個人情報の漏洩が防止されます。読み取り/書き込みの制約により、テナントによる他のテナントの設定、統計情報、障害、またはイベント データの参照が防止されます。管理者によって読み取り権限が割り当てられない限り、テナントはファブリックの設定、ポリシー、統計情報、障害、またはイベントの読み取りが制限されます。

  [APIC] では、ロールベース アクセス コントロール (RBAC) を介してユーザーのロールに従ってアクセスが提供されます。  [Cisco アプリケーション セントリック インフラストラクチャ（Cisco Application Centric Infrastructure）] （[ACI]）ファブリック ユーザーは以下に関連付けられています。

• 事前定義またはカスタム ロール。ユーザーに割り当てられた 1 つ以上の権限のセットです。

• 権限のセット。ユーザーがアクセスできる管理対象オブジェクト（MO）を決定します。

• ロールごとの権限タイプ：アクセスなし、読み取り専用、または読み取り/書き込み

• ユーザーがアクセスできる管理情報ツリー (MIT) の一部を識別する 1 つ以上のセキュリティ ドメイン タグ

ロールと権限

権限はシステム内の特定の機能に対するアクセス権を制御します。  [ACI] ファブリックは、管理対象オブジェクト（MO）レベルでアクセス権限を管理します。すべてのオブジェクトは、読み取り可能な権限のリストと、書き込み可能な権限のリストを保持しています。特定の機能に対応するすべてのオブジェクトには、その機能の読み取りまたは書き込みリストの権限が付与されます。オブジェクトは追加の機能に対応する場合があるため、そのリストには複数の権限が含まれている場合があります。権限を含むロールがユーザーに割り当てられると、そのユーザーには、読み取りリストが読み取りアクセスを指定する関連オブジェクトへの読み取りアクセス権が付与され、書き込みリストが書き込みアクセスを指定するオブジェクトへの書き込みアクセス権が付与されます。

たとえば、「fabric-equipment」は、物理ファブリック内の機器に対応するすべてのオブジェクトへのアクセスを制御する権限です。物理ファブリック内の機器に対応するオブジェクト（「eqptBoard」など）では、特権リストに「fabric-equipment」が含まれます。「eqptBoard」オブジェクトは、「fabric-equipment」権限の読み取り専用アクセスを許可します。「fabric-admin」などの権限「fabric-equipment」が割り当てられているユーザーには、「eqptBoard」オブジェクトへの読み取り専用アクセスなど、これらの機器オブジェクトへのアクセス権が付与されます。

（注）

一部のロールには他のロールが含まれています。たとえば、tenant-admin、fabric-admin、access-admin などの「-admin」ロールは、同じベース名を持つロールのグループです。たとえば、「access-admin」は「access-connectivity」、「access-equipment」、「access-protocol」、および「access-qos」のグループです。同様に、tenant-adminは「テナント」ベースのロールのグループで、fabric-adminは「ファブリック」ベースのロールのグループです。 「admin」ロールにはすべての権限が含まれます。管理ユーザーを APIC から削除することはできません

ロールと権限の詳細については、 APIC のロールと権限のマトリクスを参照してください。

セキュリティ ドメイン

セキュリティ ドメインは、 MIT オブジェクト階層の特定のサブツリーに関連付けられたタグです。 [ACI] MIT オブジェクト階層たとえば、デフォルトのテナント「common」にはドメイン タグ commonが付いています。同様に、特別なドメイン タグ all には、MIT オブジェクト ツリー全体が含まれます。管理者は、MIT オブジェクト階層にカスタム ドメイン タグを割り当てることができます。たとえば、管理者は「solar」という名前のテナントにドメイン タグ「solar」を割り当てることができます。MIT 内では、特定のオブジェクトだけがセキュリティ ドメインとしてタグ付けできます。たとえば、テナントにはセキュリティ ドメインとしてタグ付けすることができますが、テナント内のオブジェクトにはできません。

（注）	（R6.1.2 まで）パスワード強度のパラメータは、 カスタム条件 を作成するか、用意されている 任意の 3 つの条件 を選択することによって、設定できます。

（注）	（R6.1.3 以降）パスワード強度のパラメータは、 カスタム条件 を作成するか、小文字、数字、特殊文字を含めるという デフォルトの 3 条件 を選択することによって、設定できます。

ユーザーを作成してロールを割り当てても、アクセス権は有効になりません。1 つ以上のセキュリティ ドメインにそのユーザーを割り当てることも必要です。デフォルトでは、 [ACI] ファブリックには事前作成された次の特殊なドメインが含まれています。

• All：MIT 全体へのアクセスを許可

• Common：ファブリックの共通オブジェクト/サブツリーへのアクセスを許可

• Mgmt：ファブリックの管理オブジェクト/サブツリーへのアクセスを許可

（注）	ユーザーのクレデンシャルが許可しない管理対象オブジェクトの読み取り操作の場合、「DN/Class Unauthorized to read」ではなく「DN/Class Not Found」というエラーが返されます。ユーザーのクレデンシャルが許可しない管理対象オブジェクトへの書き込み操作の場合、「HTTP 401 Unauthorized」というエラーが返されます。GUI では、ユーザーのクレデンシャルが許可しないアクションの場合、表示されないか、またはグレー表示されます。

事前に定義された一連の管理対象オブジェクト クラスをドメインに関連付けることができます。これらのクラスがオーバーラップすることはできません。ドメインの関連付けをサポートするクラスの例：

• レイヤ 2 およびレイヤ 3 のネットワークで管理されたオブジェクト

• ネットワーク プロファイル (物理、レイヤ 2、レイヤ 3、管理など)

• Quality of Service（QoS）ポリシー

ドメインに関連付けることができるオブジェクトが作成されると、ユーザーは、ユーザーのアクセス権の範囲内でオブジェクトにドメインを割り当てる必要があります。ドメインの割り当てはいつでも変更できます。

仮想マシン管理 (VMM) ドメインがセキュリティ ドメインとしてタグ付けされている場合、セキュリティ ドメイン内のユーザーは、対応するタグ付き VMM ドメインにアクセスできます。たとえば、solar という名前のテナントに sun というセキュリティ ドメインのタグが付いており、VMM ドメインにも sun というセキュリティ ドメインのタグが付いている場合、solar テナント内のユーザーは各自のアクセス権限に従って VMM ドメインにアクセスできます。

4.2(4) リリース以降では、ユーザーが設定された回数のログイン試行に失敗した後、そのユーザーをログインできないようにすることができます。特定の期間内にユーザーが何回ログインに失敗可能かを指定できます。ユーザーが何度もログインに失敗すると、そのユーザーは指定された期間ログインできなくなります。

この機能は、 [Cisco アプリケーション セントリック インフラストラクチャ（Cisco Application Centric Infrastructure）] （[ACI]）データベース内のローカル ユーザーと、RADIUS、LDAP、TACACS+、DUO プロキシ、SAML、RSA などの外部認証サーバーで認証されたリモート ユーザーの両方について、失敗したログイン試行をカウントします。いずれかの外部認証サーバー タイプを使用して連続して認証に失敗したためにロックアウトされたリモート ユーザーは、すべての外部認証サーバー タイプからロックアウトされます。たとえば、RADIUS サーバーを使用してログインに失敗した後にロックアウトされたユーザーは、LDAP サーバーを使用してもロックアウトされます。AAA サーバーが到達不能またはダウンしたために失敗した認証、または不正な SSH キーが原因で失敗した認証は、ユーザーのロックアウトにはカウントされません。この機能は、間違ったパスワードの入力のみを考慮します。

クラスター内のいずれかの [Cisco Application Policy Infrastructure Controller] （[APIC]）ノードからロックアウトされたユーザーは、リーフ スイッチとスパイン スイッチを含む、クラスタ内のすべてのノードからロックアウトされます。  [Cisco ACI] データベースに存在しないローカル ユーザーをこの機能によりロックアウトすることはできません。

（注）	CLI を使用してこの機能を設定することはできません。

  [Application Policy Infrastructure Controller] （[APIC]）は、次の AAA ロールと権限を提供します。

（注）	[Cisco APIC] リリース 5.0(1) では、関連する多くのレガシー権限が統合されたため、権限の数は以前のリリースから削減されました。以前の権限は現在の権限に再マッピングされました。

（注）	[Cisco APIC]で定義された各ロールについて、 APIC のロールと権限のマトリクス は、書き込み可能な管理オブジェクト クラスと読み取り可能な管理オブジェクト クラスを示します。

• 表 1

• 表 2

• 表 3

• 表 4

• 表 5

• 表 6

• 表 7

• 表 8

• 表 9

• 表 10

• 表 11

カスタム ロールを作成し、ロールに権限を割り当てることができます。インターフェイスは、すべての管理対象オブジェクト クラスに 1 つ以上の権限を内部的に割り当てます。XML モデルで、権限はアクセス属性に割り当てられています。権限のビット数は、コンパイル時に割り当てられ、クラスのインスタンスまたはオブジェクトごとではなく、クラスごとに適用されます。

45 権限ビットだけでなく、「aaa」権限ビットはすべての AAA サブシステムの設定と読み取り操作に適用されます。次の表は、サポートされている権限の組み合わせの一覧を提供します。表の行は、 [Cisco アプリケーション セントリック インフラストラクチャ（Cisco Application Centric Infrastructure）] （[ACI]）モジュールを表し、列は特定のモジュールの機能を表します。セルの「〇」の値は、モジュールがアクセス可能な機能と、機能にアクセスするための権限ビットが存在することを示します。空のセルは、権限ビットでアクセスできないモジュールの特定の機能を示します。権限ビットについての詳細は、各ビットの機能について参照してください。

ファブリック全体の管理者は、RBAC 規則を使用して、異なるセキュリティ ドメインにあるため他の方法ではアクセス不可能なユーザに対し、物理リソースを選択的に公開します。

たとえば、ソーラーというテナントのユーザが仮想マシン管理（VMM）ドメインへのアクセスを必要とする場合、ファブリック全体の管理者によって、これを許可する RBAC 規則を作成することができます。RBAC 規則は、次の 2 つの部分から構成されます。アクセス対象オブジェクトを検索する識別名（DN）と、オブジェクトにアクセスするユーザを含むセキュリティ ドメインの名前です。したがって、この例では、ソーラーというセキュリティ ドメイン内の指定ユーザがログインすると、このルールにより、VMM ドメインおよびツリーの内の子オブジェクトすべてへのアクセスが許可されます。VMM ドメインへのアクセスを複数のセキュリティ ドメイン内のユーザに許可するには、ファブリック全体の管理者は、セキュリティ ドメインそれぞれについて、VMM ドメインの DN とセキュリティ ドメインを含む RBAC 規則を作成します。

（注）	管理情報ツリー内の異なる部分に存在するユーザに対し、RBAC 規則によりオブジェクトを公開することは可能ですが、CLI の使用によってツリーの構造を横断することでそのようなオブジェクトに移動することはできません。ただし、RBAC 規則に含まれるオブジェクトの DN をユーザが把握していれば、ユーザは MO 検索コマンドにより、CLI を使用してそれを見つけることができます。

ファブリック全体の管理者は、RBAC 規則を使用して、テナント間の共有サービスを可能にするトランステナント EPG 通信をプロビジョニングします。

管理者は、外部 AAA サーバを使用せずに、 [Cisco Application Policy Infrastructure Controller] （[APIC]）自体でユーザーを構成することを選択できます。これらのユーザーは、 [APIC]-local ユーザー

ユーザーがパスワードを設定する時点で、 [Cisco APIC] は、次の基準に基づいて検証します。

• パスワードの最小長は 8 文字です。

• パスワードの最大長は 64 文字です。

• 連続して繰り返される文字は 3 文字未満です。

• 小文字、大文字、数字、記号の文字種のうち少なくとも 3 種類の文字が含まれている必要があります。

• 簡単に推測できるパスワードは使用しません。

• ユーザー名やユーザー名を逆にしたものは使用できません。

• cisco、isco、またはこれらの文字列の並べ替えを変化させたものや、それらの文字の大文字化の変更により取得される変形語であってはなりません。

•   [Cisco アプリケーション セントリック インフラストラクチャ（Cisco Application Centric Infrastructure）] （[ACI]）では、最大 100 名までの管理者ユーザーがサポートされています。

（注）	6.0(2) リリース以降、 [Cisco APIC] のベース OS が更新され、簡単に推測できるパスワードを検出するためのディクショナリが追加されました。その結果、以前のリリースで強力と見なされたパスワードのうち、現在では強力とは見なされなくなったものがあります。

[Cisco ACI] では、パスワードの保存に SHA256 一方向ハッシュを使用した暗号化ライブラリが使用されます。保管中のハッシュされたパスワードは、暗号化されたファイルシステムに保存されます。暗号化されたファイルシステムのキーは、Trusted Platform Module（TPM）を使用して保護されます。

また、 [Cisco APIC] により、管理者は、外部で管理されている認証 Lightweight Directory Access Protocol（LDAP）、RADIUS、TACACS+、または SAML サーバで設定されたユーザーにアクセス権を付与できます。ユーザーは、異なる認証システムに属すること、 [Cisco APIC]に同時にログインすることができます。

次の図は、ローカル [Cisco APIC] 認証データベースの管理者ユーザー（ [Cisco ACI] ファブリック全体に対するフルアクセス権限を持つ）を構成するためにプロセスがどのように働くかを示しています。

（注）	セキュリティ ドメイン「all」は、管理情報ツリー（MIT）全体を表します。このドメインには、システム内のすべてのポリシーと [Cisco APIC]によって管理されるすべてのノードが含まれます。テナント ドメインには、テナントのすべてのユーザーおよび管理対象オブジェクトが含まれます。テナント管理者には、「all」ドメインへのアクセス権を付与しないでください。

次の図は、管理ユーザー Joe Stratus が持つシステムへのアクセス権を示します。

読み取り/書き込み「管理者」権限を持つユーザー Joe Stratus は、ドメイン「all」に割り当てられ、システム全体へのフル アクセス権が与えられます。

次の図は、テナント Solar へのフル アクセス権がある外部 RADIUS サーバー内の管理ユーザ－を設定するプロセスがどのように動作するかを示します。

次の図は、管理ユーザ－ Jane Cirrus が持つシステムへのアクセス権を示します。

この例では、Solar テナントの管理者には、Solar テナントに含まれるすべてのオブジェクトへのフル アクセス権と、テナント Common への読み取り専用アクセス権があります。テナント管理者 Jane Cirrus には、テナント Solar へのフル アクセス権があり、テナント Solar で新しいユーザ－を作成する機能などがあります。テナント ユーザ－は、自身が所有し制御する ACI ファブリックの設定パラメータを変更できます。また、エンドポイント、エンドポイント グループ（EPG）およびアプリケーション プロファイルなどの適用されるエンティティ（管理対象オブジェクト）の統計情報の読み取り、障害およびイベントのモニタもできます。

上記の例では、ユーザ－ Jane Cirrus は外部 RADIUS 認証サーバーで設定されました。外部認証サーバーで AV ペアを設定するには、既存のユーザ－ レコードに Cisco AV ペアを追加します。Cisco AV ペアは、 [APIC]上のユーザ－に対するロールベース アクセス コントロール（RBAC）のロールと権限を指定します。次に RADIUS サーバーは、ユーザ－権限を [APIC] コントローラに伝播します。

上記の例のオープン RADIUS サーバー（/etc/raddb/users）の設定は次のとおりです。

janecirrus Cleartext-Password := "<password>"
Cisco-avpair = "shell:domains = solar/admin/,common//read-all(16001)"

この例には、次の要素が含まれています：

• janecirrus はテナント管理者

• solar はテナントです

• admin admin は書き込み権限があるロール

• common テナント共通サブツリーで、すべてのユーザ－がそのサブツリーへのアクセス権を持っています

• read-all は、読み取り権限があるロールです

Cisco [APIC] は、管理者が外部認証サーバで Cisco AV ペアを設定し、1 個の AV ペアの文字列のみを検索することを要求します。これを行うには、管理者は既存のユーザ レコードに Cisco AV ペアを追加します。Cisco AV ペアは、 [APIC] が必要とするユーザーの RBAC ロールおよび権限を指定します。

AV ペア文字列を機能させるには、次の形式にする必要があります。

shell:domains = 
ACI_Security_Domain_1/ACI_Write_Role_1|ACI_Write_Role_2|ACI_Write_Role_3/ACI_Read_Role_1|ACI_Read_Role_2,
ACI_Security_Domain_2/ACI_Write_Role_1|ACI_Write_Role_2|ACI_Write_Role_3/ACI_Read_Role_1|ACI_Read_Role_2,
ACI_Security_Domain_3/ACI_Write_Role_1|ACI_Write_Role_2|ACI_Write_Role_3/ACI_Read_Role_1|ACI_Read_Role_2

• shell:domains= ：ACI が正常に文字列を読み取るために必要です。常に、シェル文字列の先頭に置く必要があります。

• ACI_Security_Domain_1//admin ：管理者にこのセキュリティ ドメインのテナントへの読み取り専用アクセス権を付与します。

• ACI_Security_Domain_2/admin ：管理者にこのセキュリティ ドメインのテナントへの書き込みアクセス権を付与します。

• ACI_Security_Domain_3/read-all ：このセキュリティ ドメインのテナントへの読み取り/書き込みすべてのアクセス権を付与します。

（注）	// は、文字列のセキュリティ ドメイン、書き込み、読み取りセクションを区切ります。 |同じセキュリティ ドメイン内で、複数の書き込みまたは読み取り権限を区切ります。

（注）	Cisco APIC リリース 2.1 より、AV ペアで UNIX ID が指定されていない場合は、APIC が一意の UNIX ユーザー ID を内部的に割り当てます。

  [APIC] は、次の正規表現をサポートしています。

shell:domains\\s*[=:]\\s*((\\S+?/\\S*?/\\S*?)(,\\S+?/\\S*?/\\S*?){0,31})(\\(\\d+\\))$
shell:domains\\s*[=:]\\s*((\\S+?/\\S*?/\\S*?)(,\\S+?/\\S*?/\\S*?){0,31})$

例：

• 例 1：writeRole のみを持つ単一のログイン ドメインを含む Cisco AV ペア

  
  
  shell:domains=ACI_Security_Domain_1/Write_Role_1|Write_Role_2/
  

• 例 2：readRole のみを持つ単一のログイン ドメインを含む Cisco AV ペア

  
  
  shell:domains=Security_Domain_1//Read_Role_1|Read_Role_2
  

（注）	文字「/」はログイン ドメインごとに writeRole と readRole の間を区切る記号で、使用するロールの種類が 1 つのみである場合も必要です。 Cisco AV ペアの文字列では、大文字と小文字が区別されます。使用する大文字と小文字がドメイン名またはロールに一致していない場合は、エラーが表示されなくても、予期しない権限が付与されることがあります。

ユーザー権限は「動的」に変更可能で、ユーザーがロール変更の要求を行うことが可能です。ローカルまたはリモートで保存されている情報に基づいて、要求ロールが許可または拒否されます。

ロール変更は Cisco ACS サーバー経由でのみサポートされており、明示的な「要求」に基づくロールの割り当てによって実行できます。

ACI ファブリックは、Radius、TACACS +、LDAP プロトコルを使用して外部認証をサポートします。上記の両方の方法で、リモート認証サーバにロール変更機能をサポートするコンポーネントが含まれていると仮定します。

Cisco Secure ACS サーバーは、TACACS+ プロトコルのリモート認証、認証、およびアカウンティングの機能を提供します。

ルールは、 デフォルトのデバイス管理 または デフォルトのネットワーク アクセス サービスにより照合されます。

認証では、別のルール設定が設定されています。

• AVPairOps：tacacs + ユーザー名および AVPair 値を照合します（cisco-av-pair*newrole）。ルールに一致すると、ACI_OPS シェル プロファイルが返されます

• NoAVPair：tacacs + ユーザー名のみを照合し、照合時には ACI_ADMIN シェル プロファイルを返します

• opsuser：プロトコルのみを照合し、ACI_OPS シェル プロファイルを返します

次の注意事項と制約事項に従ってください。

• ローカル ユーザはサポートされます。リモート AAA ユーザはサポートされません。

• APIC GUI は証明書認証方式をサポートしません。

• WebSocket と eventchannel は X.509 要求では動作しません。

• サード パーティにより署名された証明書はサポートされません。自己署名証明書を使用します。

  [Cisco Application Policy Infrastructure Controller] （[APIC]）は、共有サービスとして外部ネットワークへのルーテッド接続用に設定されたポートからバイト カウントおよびパケット カウント課金統計情報を収集するように設定できます。外部ネットワークは、 [Cisco アプリケーション セントリック インフラストラクチャ（Cisco Application Centric Infrastructure）] （[ACI]）内の外部 L3Out エンドポイント グループ（l3extInstP 管理対象オブジェクト）として表されます。。任意のテナントの任意の EPG は、外部ネットワークへのルーテッド接続のために外部 L3Out EPG を共有できます。課金統計情報は、共有サービスとして外部 L3Out EPG を使用するテナントの各 EPG について収集できます。外部 L3Out EPG がプロビジョニングされているリーフ スイッチは、課金統計情報を集約先である [Cisco APIC] に転送します。アカウンティング ポリシーは、これらの課金統計情報を定期的にサーバーにエクスポートするように設定できます。