TACACS+ を使用したデバイス管理の制御

デバイス管理

デバイス管理については 2 つのタイプの管理者がいます。

デバイス管理者
ISE 管理者

デバイス管理者は、管理対象デバイスの設定と保守を実行するために、（通常は SSH を介して）スイッチ、ワイヤレスアクセスポイント、ルータ、ゲートウェイなどのネットワークデバイスにログインするユーザです。ISE 管理者は、デバイス管理者がログインするデバイスの設定と調整のために ISE にログインします。

ISE にログインしてデバイス管理者の操作を制御する設定を行う ISE 管理者がこのドキュメントの対象読者です。ISE 管理者は、デバイス管理機能（[ワークセンター（Work centers）] > [デバイス管理（Device Administration）]）を使用して、ネットワークデバイスの設定を制御および監査します。デバイスは、Terminal Access Controller Access-Control System（TACACS）のセキュリティプロトコルを使用して ISE サーバにクエリを行うように設定できます。ISE モニタリングノードでは、デバイス管理に関する高度なレポートが提供されます。ISE 管理者は、次のタスクを実行できます。

TACACS+ の詳細（共有秘密）によるネットワークデバイスの設定。
内部ユーザとしてのデバイス管理者の追加、および必要に応じてイネーブルパスワードの設定。
コマンドセットやシェルプロファイルなどの TACACS 結果をデバイス管理アクセスサービスの許可ポリシールールで選択できるようにするポリシーセットの作成。
デバイス管理者がポリシーセットに基づいてデバイスにアクセスできるようにするための ISE での TACACS サーバの設定。

デバイス管理者は、ISE サーバと通信するためのデバイスの設定タスクを実行します。デバイス管理者がデバイスにログインすると、デバイスは ISE サーバにクエリを行い、次に内部または外部の ID ストアにクエリを行い、デバイス管理者の詳細を検証します。検証が ISE サーバによって行われると、デバイスは、アカウンティングと監査の目的で、各セッションまたはコマンド許可操作の最終結果を ISE サーバに通知します。

ISE 管理者は、TACACS および Cisco ISE 2.1 を使用してデバイスを管理できます。デバイス管理に関連する設定は、Cisco Secure Access Control System（ACS）サーバのバージョン 5.5、5.6、5.7 および 5.8 から移行することもできます。これ以前のバージョンの場合は、移行の前に 5.5 または 5.6 にアップグレードする必要があります。

（注）

[ワークセンター（Work Centers）] > [デバイス管理（Device Administration）] > [概要（Overview）] > [展開（Deployment）] ページのデバイス管理サービスを有効にする必要があります。

（注）

Cisco ISE では、既存の基本またはモビリティライセンスに加えて TACACS+ サービスを使用するには、デバイス管理ライセンスが必要です。デバイス管理ライセンスは永久ライセンスです。以前のリリースから Cisco ISE リリース 2.0 以降にアップグレードして、TACACS+ サービスを有効にするには、個別のアドオンライセンスとしてデバイス管理ライセンスを発注する必要があります。ISE 展開全体に対し、1 つのデバイス管理ライセンスが必要です。


ISE コミュニティリソースデバイス管理属性については、「ISE Device Administration Attributes」を参照してください。ワイヤレス LAN コントローラ、IOS ネットワークデバイス、Cisco NX-OS ネットワークデバイス、およびネットワークデバイスの TACACS+ 設定については、「ISE Device Administration (TACACS+)」を参照してください。

イネーブルパスワードを変更するためのコマンドラインインターフェイスへのアクセス

イネーブルパスワードを変更するには、次の手順を実行します。

始める前に

一部のコマンドは特権モードに割り当てられます。したがって、デバイスの管理者がこのモードに認証されているときしか実行できません。

そのデバイスの管理者が特権モードに入ろうとする際に、デバイスは特別なイネーブル認証タイプを送信します。Cisco ISE は、この特別なイネーブル認証タイプを検証するために別のイネーブルパスワードをサポートします。別のイネーブルパスワードはデバイスの管理者が内部 ID ストアに認証されているときに使用されます。外部 ID ストアとの認証では、同じパスワードが通常のログインに対して使用されます。

手順

ステップ 1

スイッチにログインします。

ステップ 2

Enter を押して次のプロンプトを表示します。

Switch>

ステップ 3

次のコマンドを実行して、イネーブルパスワードを設定します。

Switch> enable
Password: (Press Enter to leave the password blank.)
Enter Old Password: (Enter the old password.)
Enter New Password: (Enter the new password.)
Enter New Password Confirmation: (Confirm the new password.)

（注）

パスワードの有効期間がログインパスワードおよびイネーブルパスワードに設定されている場合、パスワードが指定された時間期間内に変更されないと、ユーザアカウントは無効になります。Cisco ISE が TACACS+ サーバとして構成され、ネットワークデバイスで [バイパスを有効にする（Enable Bypass）] オプションが設定されている場合、CLI から（telnet 経由で）イネーブルパスワードを変更できません。内部ユーザのイネーブルパスワードを変更するには、[管理（Administration）] > [IDの管理（Identity Management）] > [アイデンティティ（Identities）] > [ユーザ（Users）] を選択します。

デバイス管理ワークセンター

[ワークセンター（Work Center）] メニューには、すべてのデバイス管理ページが含まれており、ISE 管理者の単一の始点として機能します。ただし、ユーザ、ユーザ ID グループ、ネットワークデバイス、デフォルトネットワークデバイス、ネットワークデバイスグループ、認証および許可条件などのデバイス管理に固有ではないページは、[管理（Administration）] などの元のメニューオプションから、アクセスすることができます。[ワークセンター（Work Centers）] オプションは、正しい TACACS+ ライセンスが取得され、インストールされている場合にのみ使用できます。

[デバイス管理（Device Administration）] メニューには、次のメニューオプションが含まれています。[概要（Overview）]、[ID（Identities）]、[ユーザ ID グループ（User Identity Groups）]、[外部 ID ストア（Ext ID Stores）]、[ネットワークリソース（Network Resources）]、[ネットワークデバイスグループ（Network Device Groups）]、[ポリシー要素（Policy Elements）]、[デバイス管理ポリシーセット（Device Admin Policy Sets）]、[レポート（Reports）] および [設定（Settings）]。

Cisco Secure ACS から Cisco ISE へのデータ移行

移行ツールを使用して、ACS 5.5 以降からデータをインポートし、すべてのネットワークデバイスにデフォルトの TACACS+ 秘密を設定できます。[ワークセンター（Work Centers）] > [デバイス管理（Device Administration）] > [概要（Overview）] に移動して、[準備（Prepare）] セクションで、[ソフトウェアのダウンロード Web ページ（Download Software Webpage）] をクリックして移行ツールをダウンロードします。ツールを PC に保存し、[migTool] フォルダから migration.bat ファイルを実行し、移行プロセスを開始します。移行に関する詳細については、『Cisco ISE Migration Guide』を参照してください。

デバイス管理の展開設定

[デバイス管理の展開（Device Administration Deployment）] ページ（[ワークセンター（Work Centers）] > [デバイス管理（Device Administration）] > [概要（Overview）] > [展開（Deployment）]）では、ISE 管理者は [展開（deployment）] セクションで各ノードを参照する必要なく、デバイス管理システムを一元的に表示できます。

[デバイス管理の展開（Device Administration Deployment）] ページには、展開内の PSN が一覧表示されます。これにより、展開内の各 PSN でデバイス管理サービスを個別に有効にする作業が簡単になります。次のオプションを選択することで、多くの PSN に対するデバイス管理サービスを集合的にイネーブルにできます。


オプション	説明
なし（None）	デフォルトでは、デバイス管理サービスはすべてのノードで無効になっています。
すべてのポリシーサービスノード（All Policy Service Nodes）	すべての PSN でデバイス管理サービスを有効にします。このオプションを使用すると、新しい PSN はデバイス管理のために追加されるときに自動的に有効になります。
特定のノード（Specific Nodes）	展開内のすべての PSN をリストしている [ISEノード（ISE Nodes）] セクションが表示されます。デバイス管理サービスをイネーブルにする必要があるノードを選択できます。

（注）

展開に TACACS+ のライセンスがない場合、上記のオプションはディセーブルになります。

[TACACSポート（TACACS Ports）] フィールドでは、最大 4 つの TCP ポートをカンマ区切りで入力できます。ポート値の範囲は 1 ～ 65535 です。Cisco ISE ノードおよびそのインターフェイスは指定されたポートで TACACS+ 要求をリッスンします。指定されたポートが他のサービスで使用されないようにする必要があります。デフォルトの TACACS+ ポート値は 49 です。

[保存（Save）] をクリックすると、変更が [管理（Administration）] > [システム（System）] > [展開のリスト（Deployment Listing）] ページで指定されたノードと同期されます。

デバイス管理ポリシーセット

[デバイス管理ポリシーセット（Device Admin Policy Sets）] ページ（[ワークセンター（Work Centers）] > [デバイス管理（Device Administration）] > [デバイス管理ポリシーセット（Device Admin Policy Sets）]）には、ISE 管理者が TACACS+ デバイス管理者の認証と許可を制御するために管理するポリシーセットのリストが含まれています。各ポリシーでは、[通常（Regular）] および [プロキシシーケンス（Proxy Sequence）] の 2 つのモードのいずれかを使用できます。

通常のポリシーセットは認証ルールテーブルおよび許可ルールテーブルから成ります。認証ルールテーブルには、ネットワークデバイスの認証に必要なアクションを選択する一連のルールが含まれています。

許可ルールテーブルは、承認ビジネスモデルを実装するために必要な特定の承認結果を選択するための一連のルールが含まれています。各許可ルールは、連動するようにルールに一致する必要がある 1 つ以上の条件と、許可プロセスを制御するために選択される一連のコマンドセット、および/またはシェルプロファイルで構成されます。各ルールテーブルには、特定の状況のルールを上書きするために使用できる例外ポリシーがあり、多くの場合、例外テーブルは一時的な状況に使用されます。

プロキシシーケンスポリシーセットには、単一の選択されたプロキシシーケンスが含まれています。ポリシーセットがこのモードの場合、リモートプロキシサーバが要求の処理に使用されます（しかし、ローカルアカウンティングがプロキシシーケンスで設定されている場合があります）。

TACACS+ 認証設定と共有秘密

次の表では、ネットワークデバイスの TACACS+ 認証を設定するために使用できる [ネットワークデバイス（Network Devices）] ページのフィールドについて説明します。ナビゲーションパスは次のとおりです。

（ネットワークデバイスの場合）[ワークセンター（Work Centers）] > [デバイス管理（Device Administration）] > [ネットワークリソース（Network Resources）] > [ネットワークデバイス（Network Devices）] > [追加（Add）] > [TACACS認証設定（TACACS Authentication Settings）]。
（デフォルトのデバイスの場合）[ワークセンター（Work Centers）] > [デバイス管理（Device Administration）] > [ネットワークリソース（Network Resources）] > [デフォルトのデバイス（Default Devices）] > [TACACS認証設定（TACACS Authentication Settings）]。詳細については、「デフォルトのネットワークデバイス定義」の項を参照してください。


フィールド	使用上のガイドライン
共有秘密鍵（Shared Secret）	TACACS+ プロトコルがイネーブルのときにネットワークデバイスに割り当てられたテキストの文字列。ユーザは、ネットワークデバイスによってユーザ名およびパスワードが認証される前にテキストを入力する必要があります。ユーザが共有秘密情報を提示するまで、接続は拒否されます。これは必須フィールドではありません。
廃止された共有秘密がアクティブです（Retired Shared Secret is Active）	リタイアメント期間がアクティブな場合に表示されます。
廃止（Retire）	既存の共有秘密を終了する代わりに廃止します。[廃止（Retire）] をクリックすると、メッセージボックスが表示されます。[はい（Yes）] または [いいえ（No）] をクリックできます。
残りの廃止期間（Remaining Retired Period）	（上のメッセージボックスで [はい（Yes）] を選択した場合にのみ利用可能）次のナビゲーションパスで指定されたデフォルト値が表示されます。[ワークセンター（Work Centers）] > [デバイス管理（Device Administration）] > [設定（Settings）] > [接続設定（Connection Settings）] > [デフォルトの共有秘密リタイアメント期間（Default Shared Secret Retirement Period）]。デフォルト値は変更することができます。これにより、新しい共有秘密を入力でき、古い共有秘密は指定された日数にわたってアクティブなままになります。
終了（End）	（上のメッセージボックスで [はい（Yes）] を選択した場合にのみ利用可能）リタイアメント期間が終了し、古い共有秘密が終了します。
シングル接続モードを有効にする（Enable Single Connect Mode）	ネットワークデバイスとのすべての TACACS+ 通信に単一の TCP 接続を使用する場合にオンにします。次のいずれかを実行します。 [レガシーシスコデバイス（Legacy Cisco Devices）] または、[TACACS+ドラフトコンプライアンスシングル接続のサポート（TACACS+ Draft Compliance Single Connect Support）]。シングル接続モードをディセーブルにすると、ISE はすべての TACACS+ 要求に対して新しい TCP 接続を使用します。

サマリーでは、次の操作を実行できます。

廃止期間を日数として指定することで（範囲は 1 ～ 99 です）、古い共有秘密を廃止し、同時に新しい共有秘密を設定することができます。
廃止期間中は新旧の共有秘密を使用できます。
期限切れになる前に廃止期間を延長できます。
廃止期間の終了までは、古い共有秘密のみを使用できます。
期限切れになる前に廃止期間を終了できます（[終了（End）] をクリックしてから [送信（Submit）] をクリックします）。

（注）

[TACACS+認証設定（TACACS+ Authentication Settings）] オプションへは、[管理（Administration）] > [ネットワークリソース（Network Resources）] > [ネットワークデバイス（Network Devices）] > [追加（Add）] ページからアクセスすることもできます。

デバイス管理：許可ポリシーの結果

ISE 管理者は、TACACS+ コマンドセットおよび TACACS+ プロファイル（ポリシー結果）を使用して、デバイス管理者に付与される権限およびコマンドを制御することができます。ポリシーはネットワークデバイスと連動して動作するので、行われる可能性がある偶発的または悪意のある設定変更が回避されます。そのような変更が発生した場合は、デバイス管理の監査レポートを使用して、特定のコマンドを実行したデバイス管理者を追跡することができます。

TACACS+ デバイス管理を許可された FIPS および非 FIPS モードのプロトコル

ポリシーの結果を作成するための Cisco ISE が提供する多数の許可された認証プロトコルサービスがあります。ただし、TACACS+ プロトコルに適用できる PAP/ASCII、CHAP および MS-CHAPv1 などの認証プロトコルサービスは、RADIUS の FIPS 対応 Cisco ISE アプライアンスでディセーブルになっています。その結果、FIPS 対応（[管理（Administration）] > [システム設定（System Settings）] > [FIPSモード（FIPS Mode）]）Cisco ISE アプライアンスを使用している場合は、デバイスの管理のためにこれらのプロトコルを [ポリシー（Policy）] > [ポリシー要素（Policy Elements）] > [結果（Results）] > [許可されているプロトコル（Allowed Protocols）] ページで有効にすることはできません。

したがって、デバイス管理ポリシーの結果で PAP/ASCII、CHAP および MS-CHAPv1 プロトコルを設定するには、FIPS モードと非 FIPS モードのどちらの場合も、[ワークセンター（Work Centers）] > [デバイス管理（Device Administration）] > [ポリシー要素（Policy Elements）] > [結果（Results）] > [許可されているプロトコル（Allowed Protocols）] ページに移動する必要があります。FIPS モードを有効にすると、デフォルトデバイス管理で許可されたプロトコル設定のみが使用できます。このオプションは、RADIUS では使用できません。

TACACS+ コマンドセット

コマンドセットは、デバイス管理者が実行できるコマンドの指定されたリストを適用します。デバイス管理者がネットワークデバイスに対して操作コマンドを発行すると、その管理者がこれらのコマンドの発行を認可されているかどうかを判定する問い合わせが ISE に行われます。これは、コマンド認可とも呼ばれます。

コマンドセットのワイルドカードと正規表現

コマンドラインは、コマンドと 0 個以上の引数から成ります。Cisco ISE は、コマンドライン（要求）を受信すると、次のさまざまな方法でコマンドおよび引数を処理します。

ワイルドカード照合パラダイムを使用して、要求内のコマンドをコマンドセットのリストに指定されたコマンドと照合します。

例：Sh?? または S*
正規表現（regex）照合パラダイムを使用して、要求内の引数をコマンドセットのリストに指定された引数と照合します。

例：Show interface[1-4] port[1-9]:tty*

コマンドラインおよびコマンドセットのリストの一致

要求されたコマンドラインをワイルドカードおよび正規表現を含むコマンドセットのリストに一致させるには、次の手順を実行します。

コマンドセットのリストを反復し、一致するコマンドを検出します。

ワイルドカード照合では以下が許可されています。

大文字小文字の区別なし
コマンドセット内のコマンドの任意の文字を「?」にでき、要求されたコマンドに存在する必要がある個別の文字に一致させることができます。

コマンドセット内のコマンドの任意の文字を「*」にでき、要求されたコマンド内の 0 個以上の文字に一致させることができます。

次に、例を示します。


要求	コマンドセット	一致	説明
show	show	Y	—
show	SHOW	Y	大文字小文字の区別なし
show	Sh??	Y	任意の文字と一致します
show	Sho??	N	2 つ目の「?」は存在しない文字と交差します
show	S*	Y	「*」は任意の文字と一致します
show	S*w	Y	「*」は文字「ho」と一致します
show	S*p	N	文字「p」は対応しません

一致する各コマンドに対し、Cisco ISE は引数を検証します。

コマンドセットのリストには、各コマンドのスペースで区切られた一連の引数が含まれています。

例：Show interface[1-4] port[1-9]:tty.*

このコマンドには、2 つの引数があります。

1.引数 1：interface[1-4]

2.引数 2：port[1-9]:tty.*

要求内のコマンド引数は、パケットに表示される位置が重要な順序で実行されます。コマンド定義内のすべての引数が要求内の引数に一致すると、このコマンド/引数は一致していると見なされます。要求内の無関係な引数はすべて無視されることに注意してください。

（注）

引数には標準の Unix 正規表現を使用します。

複数のコマンドセットを持つルールの処理

コマンドセットにコマンドとその引数との一致が含まれる場合、その一致が Deny Always であると、ISE によってそのコマンドセットは Commandset-DenyAlways として指定されます。
コマンドセット内のコマンドの一致に Deny Always がない場合は、最初の一致が見つかるまで、コマンドセット内のすべてのコマンドが順番にチェックされます。
1. 最初の一致が Permit である場合、そのコマンドセットは Commandset-Permit として指定されます。
2. 最初の一致が Deny である場合、そのコマンドセットは Commandset-Deny として指定されます。
ISE は、すべてのコマンドセットを分析したあと、コマンドを次のように認可します。
1. コマンドセットが Commandset-DenyAlways として指定された場合、ISE によってそのコマンドは拒否されます。
2. Commandset-DenyAlways がない場合、コマンドセットが Commandset-Permit である場合はそのコマンドが許可されます。そうでない場合、そのコマンドは拒否されます。唯一の例外は、[不一致（Unmatched）] チェックボックスがオンになっている場合です。

TACACS+ プロファイル

TACACS+ プロファイルは、デバイス管理者の最初のログインセッションを制御します。セッションは、個々の認証、許可、またはアカウンティングの要求を参照します。ネットワークデバイスへのセッション許可要求により、ISE 応答が発生します。この応答には、ネットワークデバイスにより解釈されるトークンが含まれています。ネットワークデバイスにより、セッション期間中に実行できるコマンドが制限されます。デバイス管理アクセスサービス用の許可ポリシーでは、単一のシェルプロファイルおよび複数のコマンドセットを含めることができます。TACACS+ プロファイル定義は、次の 2 つのコンポーネントに分けられています。

共通タスク
カスタム属性

[TACACS+プロファイル（TACACS+ Profiles）] ページ（[ワークセンター（Work Centers）] > [デバイス管理（Device Administration）] > [ポリシー要素（Policy Elements）] > [結果（Results）] > [TACACS プロファイル（TACACS Profiles）]）には、[タスク属性（Task Attribute）] ビューと [未処理（Raw）] ビューの 2 つのビューがあります。共通タスクは [タスク属性（Task Attribute）] ビューを使用して入力でき、カスタム属性は [タスク属性（Task Attribute）] ビューおよび [未処理（Raw）] ビューで作成できます。

[共通タスク（Common Tasks）] セクションを使用すると、頻繁に使用されるプロファイル属性を選択および設定できます。ここに含まれる属性は、TACACS+ プロトコルドラフト仕様で定義された属性です。ただし、これらの値は、他のサービスからの要求の許可に使用される場合があります。[タスク属性（Task Attribute）] ビューでは、ISE 管理者はデバイス管理者に割り当てられる権限を設定できます。一般的なタスクのタイプは次のとおりです。

Shell
WLC
Nexus
汎用（Generic）

[カスタム属性（Custom Attributes）] セクションを使用すると、追加の属性を設定できます。[共通タスク（Common Tasks）] セクションで認識されていない属性のリストも提供されます。各定義は、属性名、属性が必須であるか任意であるかの指定、および属性の値で構成されています。[未処理（Raw）] ビューでは、属性名とその値の間に等号（=）を使用して必須属性を入力することができ、任意の属性は、属性名とその値の間にアスタリスク（*）を使用して入力できます。[未処理（Raw）] ビューで入力された属性は、[タスク属性（Task Attribute）] ビューの [カスタム属性（Custom Attributes）] セクションに反映され、その逆も同様です。[未処理（Raw）] ビューは、クリップボードから属性リスト（たとえば、別の製品の属性リスト）を ISE にコピーペーストするためにも使用されます。カスタム属性は、非シェルサービスに対して定義できます。

共通タスク設定

共通タスクの設定ページを表示するには、[ワークセンター（Work Centers）] > [デバイス管理（Device Administration）] > [ポリシー要素（Policy Elements）] > [結果（Results）] > [TACACS プロファイル（TACACS Profiles）] > [追加（Add）] に移動します。一般的なタスクタイプは、Shell、WLC、Nexus および Generic です。

Shell

次のオプションは、ISE の管理者がデバイスの管理者権限を設定するために使用できます。


オプション	説明
デフォルトの権限（Default Privilege）	シェル認可のデバイス管理者のデフォルトの（最初の）権限レベルをイネーブルにします。次のオプションのいずれかを選択します。 0 ～ 15 の範囲の値を選択します。必要な ID ストア属性を選択します。
最大権限（Maximum Privilege）	イネーブル認証の最大権限レベルを有効にします。0 ～ 15 の範囲の値を選択できます。
アクセスコントロールリスト（Access Control List）	ASCII 文字列（1-251*）または必要な ID ストア属性を選択します。
自動コマンド（Auto Command）	ASCII 文字列（1-248*）または必要な ID ストア属性を選択します。
エスケープなし（No Escape）	エスケープ文字に、次のいずれかのオプションを選択します。 [True]：エスケープ防止をイネーブルにすることを指定します。 [False]：エスケープ防止をイネーブルにしないことを指定します。必要な ID ストア属性を選択します。
Timeout	0 ～ 9999 の範囲の値または必要な ID ストア属性を選択します。
アイドル時間（Idle Time）	0 ～ 9999 の範囲の値または必要な ID ストア属性を選択します。

WLC

次のオプションは、ISE の管理者がデバイス管理者による WLC アプリケーションのタブへのアクセスを制御するために使用できます。WLC アプリケーションには次のタブが含まれます：[WLAN]、[コントローラ（Controller）]、[ワイヤレス（Wireless）]、[セキュリティ（Security）]、[管理（Management）] および [コマンド（Commands）]。


オプション	説明
すべて（All）	デバイスの管理者はすべての WLC アプリケーションのタブにアクセスできます。
モニタ（Monitor）	デバイス管理者は WLC アプリケーションのタブへの読み取り専用アクセス権を持ちます。
ロビー（Lobby）	デバイス管理者は限定された設定の権限のみを持ちます。
オン	デバイス管理者は次のチェックボックスから ISE 管理者がチェックしたタブにアクセスできます：[WLAN]、[コントローラ（Controller）]、[ワイヤレス（Wireless）]、[セキュリティ（Security）]、[管理（Management）] および [コマンド（Commands）]。

Nexus

次のオプションは、ISE の管理者がデバイス管理者による Cisco Nexus スイッチへのアクセスを制御するために使用できます。


オプション	説明
属性の設定	ISE の管理者は、任意または必須として一般的なタスクによって生成された Nexus 属性を指定できます。
[ネットワークロール（Network Role）]	Nexus が ISE を使用して認証するように設定されると、デバイス管理者は、デフォルトでは、読み取り専用アクセス権を持ちます。デバイス管理者は、これらのロールのいずれかに割り当てることができます。各ロールは許可された操作を定義します。なし（None）：権限はありません。オペレータ（Operator）（読み取り専用）：全 NX-OS デバイスへの完全な読み取りアクセス権を持ちます。管理者（Administrator）（読み取り/書き込み）：全 NX-OS デバイスへの完全な読み取り/書き込みアクセス権を持ちます。
仮想デバイスコンテキスト（VDC）	なし（None）：権限はありません。オペレータ（Operator）（読み取り専用）：VDC への限定された読み取りアクセス管理者（Administrator）（読み取り/書き込み）：VDC への限定された読み取り/書き込みアクセス

[汎用（Generic）]

ISE 管理者は、一般的なタスクでは使用できないカスタム属性を指定するオプションを使用します。

TACACS+ コマンドセットの作成

TACACS+ コマンドセットのポリシー結果を使用してポリシーセットを作成するには、次の手順を実行します。

手順

ステップ 1

[ワークセンター（Work Centers）] > [デバイス管理（Device Administration）] > [ポリシー要素（Policy Elements）] > [結果（Results）] > [TACACS コマンドセット（TACACS Command Sets）] の順に選択します。

[ワークセンター（Work Centers）] > [デバイス管理（Device Administration）] > [デバイス管理ポリシーセット（Device Admin Policy Sets）] ページで TACACS コマンドセットを設定することもできます。詳細については、「許可ポリシーの設定」の項を参照してください。

ステップ 2

[追加（Add）] をクリックします。

ステップ 3

名前と説明を入力します。

ステップ 4

[追加（Add）] をクリックして、権限の付与、コマンドおよび引数を指定します。

ステップ 5

[付与（Grant）] ドロップダウンで、以下のいずれかを選択できます。

[許可（Permit）]：指定したコマンドを許可する場合（たとえば、permit show、permit con* Argument terminal など）。
[拒否（Deny）]：指定したコマンドを拒否する場合（たとえば、deny mtrace）。
[常に拒否（Deny Always）]：他のコマンドセットで許可されているコマンドをオーバーライドする場合（たとえば、clear auditlogs）。

（注）

[付与（Grant）]、[コマンド（Command）] および [引数（Argument）] フィールドの列幅を増やしたり減らしたりするには、アクションアイコンをクリックします。

ステップ 6

[下にリストされていないコマンドを許可（Permit any command that is not listed below）] チェックボックスをオンにして、[付与（Grant）] 列で [許可（Permit）]、[拒否（Deny）] または [常に拒否（Deny Always）] として指定されていないコマンドおよび引数を許可します。

TACACS+ プロファイルの作成

TACACS+ プロファイルを作成するには、次の手順を実行します。

手順

ステップ 1	[ワークセンター（Work Centers）] > [デバイス管理（Device Administration）] > [ポリシー要素（Policy Elements）] > [結果（Results）] > [TACACS プロファイル（TACACS Profiles）] の順に選択します。 [ワークセンター（Work Centers）] > [デバイス管理（Device Administration）] > [デバイス管理ポリシーセット（Device Admin Policy Sets）] ページで TACACS コマンドセットを設定することもできます。詳細については、「許可ポリシーの設定」の項を参照してください。
ステップ 2	[追加（Add）] をクリックします。
ステップ 3	[TACACSプロファイル（TACACS Profile）] セクションで、名前と説明を入力します。
ステップ 4	[タスク属性ビュー（Task Attribute View）] タブで、必要な共通タスクを確認します。共通タスク設定ページを参照してください。
ステップ 5	[タスク属性ビュー（Task Attribute View）] タブの [カスタム属性（Custom Attributes）] セクションで、[追加（Add）] をクリックして必須属性を入力します。

デバイス管理ポリシーセットの作成

デバイス管理ポリシーセットを作成するには、次の手順を実行します。

始める前に

[ワークセンター（Work Centers）] > [デバイス管理（Device Administration）] > [概要（Overview）] > [展開（Deployment）] ページで、デバイス管理が TACACS+ 操作に対し有効になっていることを確認します。
ポリシーに必要なユーザ ID グループ（たとえば、System_Admin、Helpdesk）が作成されていることを確認します。（[ワークセンター（Work Centers）] > [デバイス管理（Device Administration）] > [ユーザ ID グループ（User Identity Groups）] > ページ）。メンバーユーザ（たとえば、ABC、XYZ）が対応するグループに割り当てられていることを確認します。（[ワークセンター（Work Centers）] > [デバイス管理（Device Administration）] > [ID（Identities）] > [ユーザ（Users）] ページ）。
管理が必要なデバイスで TACACS 設定を行います。（デバイスが ISE にクエリを行いやすいようにするために、[ワークセンター（Work Centers）] > [デバイス管理（Device Administration）] > [ネットワークリソース（Network Resources）] > [ネットワークデバイス（Network Devices）] > [追加（Add）] > [TACACS認証設定（TACACS Authentication Settings）] チェックボックスがイネーブルで、TACACS およびデバイスの共有秘密が同一になっています）
デバイスタイプとロケーションに基づいたネットワークデバイスグループが作成されていることを確認します。（[ワークセンター（Work Centers）] > [デバイス管理（Device Administration）] > [ネットワークデバイスグループ（Network Device Groups）] ページ）

手順

ステップ 1

[ワークセンター（Work Centers）] > [デバイス管理（Device Administration）] > [デバイス管理ポリシーセット（Device Admin Policy Sets）] の順に選択します。

[ポリシーセット（policy sets）] ページの要素の詳細については、[ポリシーセット（Policy Sets）] 領域の操作を参照してください。

ステップ 2

いずれかの行の [アクション（Actions）] 列から、歯車アイコンをクリックし、ドロップダウンメニューから、必要に応じて、挿入オプションまたは複製オプションのいずれかを選択して新しいポリシーセットを挿入します。

[ポリシーセット（Policy Sets）] テーブルに新しい行が表示されます。

ステップ 3

ポリシーセットの名前と説明を入力します。

ステップ 4

必要に応じて、[許可されているプロトコル/サーバ順序（Allowed Protocols/Server Sequence）] 列から、（+）記号をクリックし、次のいずれかを選択します。

新しい許可されているプロトコルを作成（Create a New Allowed Protocol）
TACACS サーバ順序を作成（Create a TACACS Server Sequence）

ステップ 5

[条件（Conditions）] 列から、（+）記号をクリックします。

ステップ 6

[条件スタジオ（Conditions Studio）] ページで必要な条件を作成します。[エディタ（Editor）] セクションで、[クリックして属性を追加する（Click To Add an Attribute）] テキストボックスをクリックし、必要なディクショナリと属性（たとえば、Device-Location Equals Europe）を選択します。

[ポリシーセット（policy sets）] ページの要素の詳細については、[条件スタジオ（Conditions Studio）] の操作を参照してください。

ライブラリ条件を [クリックして属性を追加する（Click To Add An Attribute）] テキストボックスにドラッグアンドドロップできます。

ステップ 7

[使用（Use）] をクリックします。

ステップ 8

[表示（View）] 列から、をクリックしてすべてのポリシーセットの詳細にアクセスし、認証および許可ポリシーとポリシー例外を作成します。

ステップ 9

必要な認証ポリシーを作成します（たとえば、Rule Name: ATN_Internal_Users、Conditions: DEVICE:Location EQUALS Location #All Locations#Europe：このポリシーは、ヨーロッパ内にあるデバイスにのみ一致します）。

ステップ 10

[保存（Save）] をクリックします。

ステップ 11

必要な許可ポリシーを作成します。

例 1：ルール名：Sys_Admin_rule、条件：if SysAdmin and TACACS User Equals ABC then cmd_Sys_Admin AND Profile_priv_8。この例で、ポリシーはユーザ名 ABC のシステム管理者を照合し、指定されたコマンドの実行を許可し、特権レベル 8 を割り当てます。

例 2：ルール名：HelpDesk AND TACACS User EQUALS XYZ then cmd_HDesk_show AND cmd_HDesk_ping AND Profile_priv_1。この例で、ポリシーはユーザ名 XYZ のシステム管理者を照合し、指定されたコマンドの実行を許可し、特権レベル 1 を割り当てます。

上記の例で、

コマンドセット cmd_Sys_Admin および cmd_HDesk は、[ワークセンター（Work Centers）] > [デバイス管理（Device Administration）] > [ポリシー要素（Policy Elements）] > [結果（Results）] > [TACACS コマンドセット（TACACS Command Sets）] > [追加（Add）] ページで作成されます。
TACACS プロファイル Profile_Priv_1 および Profile_priv_8 は、[ワークセンター（Work Centers）] > [デバイス管理（Device Administration）] > [ポリシー要素（Policy Elements）] > [結果（Results）] > [TACACS プロファイル（TACACS Profiles）] > [追加（Add）] ページで作成されます。

（注）

認証および許可ポリシーで使用される条件で、デバイス IP アドレス属性に IPv4 または IPv6 の単一アドレスを追加できます。

（注）

承認結果を作成する際に使用できるように、ポリシー結果はポリシーセットの作成前に作成することを推奨します。

ステップ 12

[保存（Save）] をクリックします。

デバイス管理アクティビティのモニタ

Cisco ISE では、TACACS+ で設定されたデバイスのアカウンティング、認証、許可、およびコマンドアカウンティングに関する情報を参照できる、さまざまなレポートおよびログが提供されます。オンデマンドまたはスケジュールベースでこれらのレポートを実行できます。

手順

ステップ 1	[ワークセンター（Work Centers）] > [デバイス管理（Device Administration）] > [レポート（Reports）] > [ISEレポート（ISE Reports）] の順に選択します。また、[操作（Operations）] > [レポート（Reports）] > [ISEレポート（ISE Reports）] ページでレポートを表示することもできます。
ステップ 2	[レポートセレクタ（Report Selector）] で、[デバイス管理（Device Administration）] を展開し、[認証概要（Authentication Summary）]、[TACACS アカウンティング（TACACS Accounting）]、[TACACS 認証（TACACS Authentication）]、[TACACS 許可（TACACS Authorization）] 、[TACACS コマンドアカウンティング（TACACS Command Accounting）]、[失敗の理由別上位 N の認証（Top N Authentication by Failure Reason）]、[ネットワークデバイス別上位 N の認証（Top N Authentication by Network Device）]、[ユーザ別上位 N の認証（Top N Authentication by User）] レポートを表示します。
ステップ 3	レポートを選択し、[フィルタ（Filters）] ドロップダウンリストを使用して、検索するデータを選択します。
ステップ 4	データを表示する [時間範囲（Time Range）] を選択します。
ステップ 5	[実行（Run）] をクリックします。

TACACS+ のグローバル設定

TACACS+ のグローバル設定を行うには、次の手順を実行します。

手順

ステップ 1	[ワークセンター（Work Centers）] > [デバイス管理（Device Administration）] > [設定（Settings）] の順に選択します。 [接続設定（Connection Settings）] タブで、必須フィールドのデフォルト値を変更できます。
ステップ 2	[パスワード変更制御（Password Change Control）] タブで、パスワードの更新を TACACS+ を介して許可するかどうかを制御するのに必要なフィールドを定義します。 [Telnetパスワード変更を有効にする（Enable Telnet Change Password）] セクションのプロンプトは、このオプションが選択されている場合にのみ有効です。選択されていない場合は、[Telnetパスワード変更を無効にする（Disable Telnet Change Password）] のプロンプトが有効になります。パスワードプロンプトはすべてカスタマイズ可能で、必要に応じて変更できます。 [パスワードポリシー違反メッセージ（Password Policy Violation Message）] フィールドに、新しいパスワードが指定された条件と一致しない場合に、内部ユーザが設定したパスワードに適したエラーメッセージを表示できます。
ステップ 3	[セッションキーの割り当て（Session Key Assignment）] タブで、セッションに TACACS+ 要求をリンクするために必要なフィールドを選択します。セッションキーは、クライアントからの AAA 要求をリンクするためにモニタリングノードによって使用されます。デフォルト設定では、[NASアドレス（NAS-Address）]、[ポート（Port）]、[リモートアドレス（Remote-Address）]、および [ユーザ（User）] フィールドが有効になっています。
ステップ 4	[保存（Save）] をクリックします。

Cisco Identity Services Engine リリース 2.3 管理者ガイド

偏向のない言語

翻訳について

検索結果

章のタイトル： TACACS+ を使用したデバイス管理の制御

TACACS+ を使用したデバイス管理の制御

デバイス管理

イネーブル パスワードを変更するためのコマンドライン インターフェイスへのアクセス

始める前に

手順

デバイス管理ワーク センター

Cisco Secure ACS から Cisco ISE へのデータ移行

デバイス管理の展開設定

デバイス管理ポリシー セット

TACACS+ 認証設定と共有秘密

デバイス管理：許可ポリシーの結果

TACACS+ デバイス管理を許可された FIPS および非 FIPS モードのプロトコル

TACACS+ コマンド セット

コマンド セットのワイルドカードと正規表現

コマンド ラインおよびコマンド セットのリストの一致

複数のコマンド セットを持つルールの処理

TACACS+ プロファイル

共通タスク設定

Shell

WLC

Nexus

[汎用（Generic）]

TACACS+ コマンド セットの作成

手順

TACACS+ プロファイルの作成

手順

デバイス管理ポリシー セットの作成

始める前に

手順

デバイス管理アクティビティのモニタ

手順

TACACS+ のグローバル設定

手順

このドキュメントは役に立ちましたか?

シスコに問い合わせ

イネーブルパスワードを変更するためのコマンドラインインターフェイスへのアクセス

デバイス管理ワークセンター

デバイス管理ポリシーセット

TACACS+ コマンドセット

コマンドセットのワイルドカードと正規表現

コマンドラインおよびコマンドセットのリストの一致

複数のコマンドセットを持つルールの処理

TACACS+ コマンドセットの作成

デバイス管理ポリシーセットの作成