Cisco Nexus 7000 シリーズ NX-OS セキュリティ コンフィギュレーション ガイド リリース 6.x

switch# configure terminal
switch(config)#

グローバル コンフィギュレーション モードを開始します。

switch(config)# feature tacacs+

TACACS+ をイネーブルにします。

switch(config)# exit
switch#

コンフィギュレーション モードを終了します。

switch# copy running-config startup-config

実行コンフィギュレーションを、スタートアップ コンフィギュレーションにコピーします。

switch# configure terminal
switch(config)#

グローバル コンフィギュレーション モードを開始します。

switch(config)# tacacs-server host 10.10.2.2

TACACS+ サーバの IP アドレス（IPv4 または IPv6）、またはホスト名を指定します。

単一の TACACS+ 接続を設定することでパフォーマンスを改善するには、single-connection オプションを使用します。 通信が必要になるたびに、デバイスを開き、デーモンへの TCP 接続を閉じるのではなく、このオプションによって、デバイスとデーモン間の単一のオープンな接続を保守します。

switch(config)# show tacacs+ pending

配布するために保留状態になっている TACACS+ 設定を表示します。

switch(config)# tacacs+ commit

CFS によるユーザ ロール設定の配布機能をイネーブルにしている場合は、一時データベース内にある TACACS+ の設定変更を実行コンフィギュレーションに適用して、TACACS+ 設定を他の NX-OS デバイスに配布します。

switch(config)# exit
switch#

コンフィギュレーション モードを終了します。

switch# show tacacs-server

TACACS+ サーバの設定を表示します。

switch# copy running-config startup-config

実行コンフィギュレーションを、スタートアップ コンフィギュレーションにコピーします。

switch# configure terminal
switch(config)#

グローバル コンフィギュレーション モードを開始します。

switch(config)# tacacs-server key 0 QsEfThUkO

すべての TACACS+ サーバ用の TACACS+ キーを指定します。 key-value がクリアテキスト（0）の形式か、タイプ 6 暗号化（6）形式か、タイプ 7 暗号化（7）形式かを指定できます。 Cisco NX-OS ソフトウェアでは、実行コンフィギュレーションに保存する前にクリア テキストのキーを暗号化します。 デフォルトの形式はクリア テキストです。 最大で 63 文字の長さまで指定可能です。

デフォルトでは、秘密キーは設定されていません。

switch(config)# exit
switch#

コンフィギュレーション モードを終了します。

switch# show tacacs-server

TACACS+ サーバの設定を表示します。

switch# copy running-config startup-config

実行コンフィギュレーションを、スタートアップ コンフィギュレーションにコピーします。

switch# configure terminal
switch(config)#

グローバル コンフィギュレーション モードを開始します。

switch(config)# tacacs-server host 10.10.1.1 key 0 PlIjUhYg

特定の TACACS+ サーバの秘密キーを指定します。 key-value がクリアテキスト（0）の形式か、タイプ 6 暗号化（6）形式か、タイプ 7 暗号化（7）形式かを指定できます。 Cisco NX-OS ソフトウェアでは、実行コンフィギュレーションに保存する前にクリア テキストのキーを暗号化します。 デフォルトの形式はクリア テキストです。 最大で 63 文字です。

グローバル秘密キーではなく、この秘密キーが使用されます。

switch(config)# exit
switch#

設定モードを終了します。

switch# show tacacs-server

TACACS+ サーバの設定を表示します。

switch# copy running-config startup-config

実行コンフィギュレーションを、スタートアップ コンフィギュレーションにコピーします。

switch# configure terminal
switch(config)#

グローバル コンフィギュレーション モードを開始します。

switch(config)# tacacs-server host 10.10.2.2
switch(config-tacacs+)#

TACACS+ サーバの IP アドレス（IPv4 または IPv6）、またはホスト名を指定します。

単一の TACACS+ 接続を設定することでパフォーマンスを改善するには、single-connection オプションを使用します。 通信が必要になるたびに、デバイスを開き、デーモンへの TCP 接続を閉じるのではなく、このオプションによって、デバイスとデーモン間の単一のオープンな接続を保守します。

switch(config)# aaa group server tacacs+ TacServer
switch(config-tacacs+)#

TACACS+ サーバ グループを作成し、そのグループの TACACS+ サーバ グループ コンフィギュレーション モードを開始します。

switch(config-tacacs+)# server 10.10.2.2

TACACS+ サーバを、TACACS+ サーバ グループのメンバーとして設定します。

指定した TACACS+ サーバが見つからない場合は、tacacs-server host コマンドを使用してサーバを設定し、このコマンドをもう一度実行します。

switch(config-tacacs+)# exit
switch(config)#

TACACS+ サーバ グループ コンフィギュレーション モードを終了します。

switch(config)# show tacacs-server groups

TACACS+ サーバ グループの設定を表示します。

switch(config)# copy running-config startup-config

実行コンフィギュレーションを、スタートアップ コンフィギュレーションにコピーします。

switch# configure terminal
switch(config)

グローバル コンフィギュレーション モードを開始します。

switch(config)# ip tacacs source-interface mgmt 0

このデバイスで設定されているすべての TACACS+ サーバ グループ用のグローバル発信元インターフェイスを設定します。

switch(config)# exit
switch#

コンフィギュレーション モードを終了します。

switch# show tacacs-server

TACACS+ サーバの設定情報を表示します。

switch# copy running-config startup-config

実行コンフィギュレーションを、スタートアップ コンフィギュレーションにコピーします。

switch# configure terminal
switch(config)#

グローバル コンフィギュレーション モードを開始します。

switch(config)# tacacs-server directed-request

ログイン時に、ユーザが認証要求の送信先となる TACACS+ サーバを指定できるようにします。 デフォルトではディセーブルになっています。

switch(config)# show tacacs+ pending

保留状態になっている TACACS+ 設定を表示します。

switch(config)# tacacs+ commit

CFS によるユーザ ロール設定の配布機能をイネーブルにしている場合は、一時データベース内にある TACACS+ の設定変更を実行コンフィギュレーションに適用して、TACACS+ 設定を他の NX-OS デバイスに配布します。

switch(config)# exit
switch#

設定モードを終了します。

switch# show tacacs-server directed-request

TACACS+ の directed request の設定を表示します。

switch# copy running-config startup-config

実行コンフィギュレーションを、スタートアップ コンフィギュレーションにコピーします。

switch# configure terminal
switch(config)#

グローバル コンフィギュレーション モードを開始します。

switch(config)# tacacs-server host server1 timeout 10

特定のサーバのタイムアウト間隔を指定します。 デフォルトはグローバル値です。

switch(config)# show tacacs+ pending

配布するために保留状態になっている TACACS+ 設定を表示します。

switch(config)# tacacs+ commit

CFS によるユーザ ロール設定の配布機能をイネーブルにしている場合は、一時データベース内にある TACACS+ の設定変更を実行コンフィギュレーションに適用して、TACACS+ 設定を他の Cisco NX-OS デバイスに配布します。

switch(config)# exit
switch#

設定モードを終了します。

switch# show tacacs-server

TACACS+ サーバの設定を表示します。

switch# copy running-config startup-config

実行コンフィギュレーションを、スタートアップ コンフィギュレーションにコピーします。

switch# configure terminal
switch(config)#

グローバル コンフィギュレーション モードを開始します。

switch(config)# tacacs-server host 10.10.1.1 port 2

サーバに送る TACACS+ メッセージに使用する TCP ポートを指定します。 デフォルトの TCP ポートは 49 です。 有効な範囲は 1 ～ 65535 です。

switch(config)# show tacacs+ distribution pending

配布するために保留状態になっている TACACS+ 設定を表示します。

switch(config)# tacacs+ commit

CFS によるユーザ ロール設定の配布機能をイネーブルにしている場合は、一時データベース内にある TACACS+ の設定変更を実行コンフィギュレーションに適用して、TACACS+ 設定を他の NX-OS デバイスに配布します。

switch(config)# exit
switch#

コンフィギュレーション モードを終了します。

switch# show tacacs-server

TACACS+ サーバの設定を表示します。

switch# copy running-config startup-config

実行コンフィギュレーションを、スタートアップ コンフィギュレーションにコピーします。

switch# configure terminal
switch(config)#

グローバル コンフィギュレーション モードを開始します。

switch(config)# tacacs-server test username user1 password Ur2Gd2BH idle-time 3

グローバルなサーバ モニタリング用のパラメータを指定します。 デフォルトのユーザ名は test、デフォルトのパスワードは test です。 アイドル タイマーのデフォルト値は 0 分です。有効な範囲は 0 ～ 1440 分です。

switch(config)# tacacs-server dead-time 5

以前に応答の遅かった TACACS+ サーバを Cisco NX-OS デバイスがチェックを始めるまでの分数を指定します。 デフォルト値は 0 分です。有効な範囲は 0 ～ 1440 分です。

switch(config)# exit
switch#

コンフィギュレーション モードを終了します。

switch# show tacacs-server

TACACS+ サーバの設定を表示します。

switch# copy running-config startup-config

実行コンフィギュレーションを、スタートアップ コンフィギュレーションにコピーします。

switch# configure terminal
switch(config)#

グローバル コンフィギュレーション モードを開始します。

switch(config)# tacacs-server host 10.10.1.1 test username user1 password Ur2Gd2BH idle-time 3

サーバ モニタリング用のパラメータを個別に指定します。 デフォルトのユーザ名は test、デフォルトのパスワードは test です。 アイドル タイマーのデフォルト値は 0 分です。有効な範囲は 0 ～ 1440 分です。

switch(config)# tacacs-server dead-time 5

以前に応答の遅かった TACACS+ サーバを Cisco NX-OS デバイスがチェックを始めるまでの分数を指定します。 デフォルト値は 0 分です。有効な範囲は 0 ～ 1440 分です。

switch(config)# exit
switch#

コンフィギュレーション モードを終了します。

switch# show tacacs-server

TACACS+ サーバの設定を表示します。

switch# copy running-config startup-config

実行コンフィギュレーションを、スタートアップ コンフィギュレーションにコピーします。

switch# configure terminal
switch(config)#

グローバル コンフィギュレーション モードを開始します。

switch(config)# tacacs-server deadtime 5

グローバルなデッド タイム間隔を設定します。 デフォルト値は 0 分です。 有効な範囲は 1 ～ 1440 分です。

switch(config)# show tacacs+ pending

保留状態になっている TACACS+ 設定を表示します。

switch(config)# tacacs+ commit

CFS によるユーザ ロール設定の配布機能をイネーブルにしている場合は、一時データベース内にある TACACS+ の設定変更を実行コンフィギュレーションに適用して、TACACS+ 設定を他の NX-OS デバイスに配布します。

switch(config)# exit
switch#

設定モードを終了します。

switch# show tacacs-server

TACACS+ サーバの設定を表示します。

switch# copy running-config startup-config

実行コンフィギュレーションを、スタートアップ コンフィギュレーションにコピーします。

switch# configure terminal
switch(config)#

グローバル コンフィギュレーション モードを開始します。

switch(config)# aaa authentication login ascii-authentication

ASCII 認証をイネーブルにします。 デフォルトはディセーブルです。

switch(config)# show tacacs+ pending

保留状態になっている TACACS+ 設定を表示します。

switch(config)# tacacs+ commit

CFS によるユーザ ロール設定の配布機能をイネーブルにしている場合は、一時データベース内にある TACACS+ の設定変更を実行コンフィギュレーションに適用して、TACACS+ 設定を他の Cisco NX-OS デバイスに配布します。

switch(config)# exit
switch#

コンフィギュレーション モードを終了します。

switch# show tacacs-server

TACACS+ サーバの設定を表示します。

switch# copy running-config startup-config

実行コンフィギュレーションを、スタートアップ コンフィギュレーションにコピーします。

switch# configure terminal
switch(config)#

グローバル コンフィギュレーション モードを開始します。

switch(config)# aaa authorization ssh-certificate 
default group TACACSServer1 TACACSServer2

TACACS+ サーバのデフォルトの AAA 許可方式を設定します。

ssh-certificate キーワードは、証明書認証を使用した TACACS+ 許可またはローカル許可を設定します。 デフォルトの許可は、ユーザに割り当てたロールに対して許可されたコマンドのリストであるローカル許可です。

group-list 引数には、TACACS+ サーバ グループの名前をスペースで区切ったリストを指定します。 このグループに属するサーバに対して、AAA 許可のためのアクセスが行われます。 local 方式では、ローカル データベースを認証に使用します。none 方式では、AAA 認証が使用されないように指定します。

switch(config)# exit
switch#

グローバル コンフィギュレーション モードを終了します。

switch# show aaa authorization

AAA 許可設定を表示します。 all キーワードは、デフォルト値を表示します。

switch# copy running-config 
startup-config

実行コンフィギュレーションを、スタートアップ コンフィギュレーションにコピーします。

switch# configure terminal
switch(config)#

グローバル コンフィギュレーション モードを開始します。

switch(config)# aaa authorization commands 
default group TacGroup
Per command authorization will disable RBAC for all 
users. Proceed (y/n)? 

TACACS+ サーバの特定の役割にコマンド許可方式を設定します。

commands キーワードは、すべての EXEC コマンドの許可ソースを設定し、config-commands キーワードは、すべてのコンフィギュレーション コマンドの許可ソースを設定します。

console キーワードは、コンソール セッションのコマンド許可を設定し、 default キーワードは、非コンソール セッションのコマンド許可を設定します。

group-list 引数には、TACACS+ サーバ グループの名前をスペースで区切ったリストを指定します。 このグループに属しているサーバに対して、コマンド許可のためのアクセスが行われます。 local 方式では、許可にローカル ロールベース データベースを使用します。

設定済みのすべてのサーバ グループで応答に失敗し、フォールバック方式として local を設定済みの場合、local 方式だけが使用されます。 デフォルトの方式は、local です。

TACACS+ サーバ グループの方式のあとにフォールバック方式を設定していないと、すべてのサーバ グループから応答が得られなかった場合は許可に失敗します。

確認プロンプトで Enter キーを押した場合のデフォルトのアクションは n です。

switch(config)# show tacacs+ pending

保留状態になっている TACACS+ 設定を表示します。

switch(config)# tacacs+ commit

CFS によるユーザ ロール設定の配布機能をイネーブルにしている場合は、一時データベース内にある TACACS+ の設定変更を実行コンフィギュレーションに適用して、TACACS+ 設定を他の Cisco NX-OS デバイスに配布します。

switch(config)# exit
switch#

グローバル コンフィギュレーション モードを終了します。

switch(config)# show aaa authorization

AAA 許可設定を表示します。 all キーワードは、デフォルト値を表示します。

switch(config)# copy running-config 
startup-config

実行コンフィギュレーションを、スタートアップ コンフィギュレーションにコピーします。

switch# test aaa authorization command-type commands 
user TestUser command reload

TACACS+ サーバで、コマンドに対するユーザの許可をテストします。

commands キーワードは、EXEC コマンドだけを指定し、config-commands キーワードはコンフィギュレーション コマンドだけを指定します。

switch# terminal verify-only

コマンド許可検証をイネーブルにします。 このコマンドを入力すると、入力したコマンドが許可されているかどうかが Cisco NX-OS ソフトウェアによって示されます。

switch# terminal no verify-only

コマンド許可検証をディセーブルにします。

switch# configure terminal
switch(config)#

グローバル コンフィギュレーション モードを開始します。

switch(config)# feature privilege

ロールの累積権限をイネーブルまたはディセーブルにします。 enable コマンドは、この機能をイネーブルにした場合しか表示されません。 デフォルトはディセーブルです。

switch(config)# enable secret 5 def456 priv-lvl 15

特定の特権レベルのシークレット パスワードをイネーブルまたはディセーブルにします。 特権レベルが上がるたびに、正しいパスワードを入力するようにユーザに要求します。 デフォルトはディセーブルです。

パスワードの形式としてクリア テキストを指定する場合は 0 を入力し、暗号化された形式を指定する場合は 5 を入力します。 password 引数に指定できる文字数は、最大 64 文字です。 priv-lvl 引数は、1 ～ 15 です。

switch(config)# username user2 priv-lvl 15
 

ユーザの許可に対する特権レベルの使用をイネーブルまたはディセーブルにします。 デフォルトはディセーブルです。

priv-lvl キーワードはユーザに割り当てる権限レベルを指定します。 デフォルトの特権レベルはありません。 特権レベル 0 ～ 15（priv-lvl 0 ～ priv-lvl 15）は、ユーザ ロール priv-0 ～ priv-15 にマッピングされます。

switch(config)# show privilege

ユーザ名、現在の特権レベル、および累積権限のサポートのステータスを表示します。

switch(config)# copy running-config 
startup-config

実行コンフィギュレーションを、スタートアップ コンフィギュレーションにコピーします。

switch(config)# exit
switch#

グローバル コンフィギュレーション モードを終了します。

switch# enable 15

上位の特権レベルへのユーザの昇格をイネーブルにします。 このコマンドの実行時にはシークレット パスワードが要求されます。 level 引数はユーザのアクセスを許可する特権レベルを指定します。 指定できるレベルは 15 だけです。

switch# configure terminal
switch(config)#

グローバル コンフィギュレーション モードを開始します。

switch(config)# role name priv-5
switch(config-role)# 

権限ロールをイネーブルまたはディセーブルにして、ロール コンフィギュレーション モードを開始します。 n 引数には、特権レベルを 0 ～ 13 の数値で指定します。

switch(config-role)# rule 2 permit command pwd

権限ロールのユーザ コマンド ルールを設定します。 これらのルールで、ユーザによる特定のコマンドの実行を許可または拒否します。 ロールごとに最大 256 のルールを設定できます。 ルール番号によって、ルールが適用される順序が決まります。 ルールは降順で適用されます。 たとえば、1 つのロールが 3 つの規則を持っている場合、規則 3 が規則 2 よりも前に適用され、規則 2 は規則 1 よりも前に適用されます。

command-string 引数には、空白スペースを含めることができます。

switch(config-role)# exit
switch(config)#

ロール コンフィギュレーション モードを終了します。

switch(config)# copy running-config 
startup-config

実行コンフィギュレーションを、スタートアップ コンフィギュレーションにコピーします。

switch# configure terminal
switch(config)#

グローバル コンフィギュレーション モードを開始します。

switch(config)# tacacs+ distribute

TACACS+ 設定の配布をイネーブルにします。 デフォルトはディセーブルです。

switch(config)# exit
switch#

コンフィギュレーション モードを終了します。

switch(config)# show tacacs+ status

TACACS+ の CFS による配布の設定を表示します。

switch# copy running-config startup-config

実行コンフィギュレーションを、スタートアップ コンフィギュレーションにコピーします。

switch# configure terminal
switch(config)#

グローバル コンフィギュレーション モードを開始します。

switch(config)# show tacacs+ pending

配布するために保留状態になっている TACACS+ 設定を表示します。

switch(config)# tacacs+ commit

CFS によるユーザ ロール設定の配布機能をイネーブルにしている場合は、一時データベース内にある TACACS+ の設定変更を実行コンフィギュレーションに適用して、TACACS+ 設定を他の Cisco NX-OS デバイスに配布します。

switch(config)# exit
switch#

コンフィギュレーション モードを終了します。

switch(config)# show tacacs+ distribution status

TACACS+ の配布の設定とステータスを表示します。

switch# copy running-config startup-config

実行コンフィギュレーションを、スタートアップ コンフィギュレーションに適用します。

switch# configure terminal
switch(config)#

グローバル コンフィギュレーション モードを開始します。

switch(config)# show tacacs+ pending

配布するために保留状態になっている TACACS+ 設定を表示します。

switch(config)# tacacs+ abort

一時ストレージにある TACACS+ 設定を廃棄して、セッションを終了します。

switch(config)# exit
switch#

コンフィギュレーション モードを終了します。

switch(config)# show tacacs+ distribution status

TACACS+ の配布の設定とステータスを表示します。

switch# clear tacacs+ session

TACACS+ のための CFS セッションをクリアして、ファブリックのロックを解除します。

switch(config)# show tacacs+ distribution status

TACACS+ の配布の設定とステータスを表示します。

switch# test aaa server tacacs+ 10.10.1.1 user1 Ur2Gd2BH

TACACS+ サーバにテスト メッセージを送信して可用性を確認します。

switch# test aaa group TacGroup user2 As3He3CI

TACACS+ サーバ グループにテスト メッセージを送信して可用性を確認します。

switch# configure terminal
switch(config)#

グローバル コンフィギュレーション モードを開始します。

switch(config)# no feature tacacs+

TACACS+ をディセーブルにします。

switch(config)# exit
switch#

コンフィギュレーション モードを終了します。

switch# copy running-config startup-config

実行コンフィギュレーションを、スタートアップ コンフィギュレーションにコピーします。