Cisco ワイヤレス LAN コントローラ コンフィギュレーション ガイド、リリース 7.6

Terminal Access Controller Access Control System Plus（TACACS+）は、コントローラへの管理アクセスを取得しようとするユーザに中央管理されたセキュリティを提供する、クライアント/サーバ プロトコルです。 このプロトコルは、ローカルおよび RADIUS に類似したバックエンドのデータベースとして機能します。 ただし、ローカルおよび RADIUS では、認証サポートと制限のある認可サポートしか提供されないのに対し、TACACS+ では、次の 3 つのサービスが提供されます。

• 認証：コントローラにログインしようとするユーザを検証するプロセス。

  コントローラで TACACS+ サーバに対してユーザが認証されるようにするには、ユーザは有効なユーザ名とパスワードを入力する必要があります。 認証サービスおよび認可サービスは、互いに密接に関連しています。 たとえば、ローカルまたは RADIUS データベースを使用して認証が実行された場合、認可ではそのローカルまたは RADIUS データベース内のユーザに関連したアクセス権（read-only、read-write、lobby-admin のいずれか）が使用され、TACACS+ は使用されません。 同様に、TACACS+ を使用して認証が実行されると、認可は TACACS+ に関連付けられます。

  （注）	複数のデータベースを設定する場合、コントローラ GUI または CLI を使用して、バックエンド データベースが試行される順序を指定できます。

• 認可：ユーザのアクセス レベルに基づいて、ユーザがコントローラで実行できる処理を決定するプロセス。

  TACACS+ の場合、認可は特定の処理ではなく、権限（またはロール）に基づいて実行されます。 利用可能なロールは、コントローラ GUI の 7 つのメニュー オプション（[MONITOR]、[WLAN]、[CONTROLLER]、[WIRELESS]、[SECURITY]、[MANAGEMENT]、および [COMMANDS]）に対応しています。 ロビー アンバサダー権限のみを必要とするユーザは、追加のロールである LOBBY を使用できます。 ユーザが割り当てられるロールは、TACACS+ サーバ上で設定されます。 ユーザは 1 つまたは複数のロールに対して認可されます。 最小の認可は MONITOR のみで、最大は ALL です。ALL では、ユーザは 7 つのメニュー オプションすべてに関連付けられた機能を実行できるよう認可されます。 たとえば、SECURITY のロールを割り当てられたユーザは、[Security] メニューに表示される（または CLI の場合はセキュリティ コマンドとして指定される）すべてのアイテムに対して変更を実行できます。 ユーザが特定のロール（WLAN など）に対して認可されていない場合でも、そのユーザは読み取り専用モード（または関連する CLI の show コマンド）で、そのメニュー オプションにアクセスできます。 TACACS+ 許可サーバが接続不能または認可不能になった場合、ユーザはコントローラにログインできません。

  （注）	ユーザが割り当てられたロールでは許可されていないコントローラ GUI のページに変更を加えようとすると、十分な権限がないことを示すメッセージが表示されます。 ユーザが割り当てられたロールでは許可されていないコントローラ CLI コマンドを入力すると、実際にはそのコマンドは実行されていないのに、正常に実行されたというメッセージが表示されます。 この場合、「Insufficient Privilege! Cannot execute command!」というメッセージがさらに表示され、コマンドを実行するための十分な権限がないことがユーザに通知されます。

• アカウンティング：ユーザによる処理と変更を記録するプロセス。

  ユーザによる処理が正常に実行される度に、TACACS+ アカウンティング サーバでは、変更された属性、変更を行ったユーザのユーザ ID、ユーザがログインしたリモート ホスト、コマンドが実行された日付と時刻、ユーザの認可レベル、および実行された処理と入力された値の説明がログに記録されます。 TACACS+ アカウンティング サーバが接続不能になった場合、ユーザはセッションを中断されずに続行できます。

RADIUS でユーザ データグラム プロトコル（UDP）を使用するのとは異なり、TACACS+ では、転送にトランスミッション コントロール プロトコル（TCP）を使用します。 1 つのデータベースを維持し、TCP ポート 49 で受信要求をリッスンします。 アクセス コントロールを要求するコントローラは、クライアントとして動作し、サーバから AAA サービスを要求します。 コントローラとサーバ間のトラフィックは、プロトコルで定義されるアルゴリズムと、両方のデバイスにおいて設定される共有秘密キーによって暗号化されます。

最大 3 台の TACACS+ 認証サーバ、認可サーバ、およびアカウンティング サーバをそれぞれ設定できます。 たとえば、1 台の TACACS+ 認証サーバを中央に配置し、複数の TACACS+ 許可サーバを異なる地域に配置できます。 同じタイプの複数のサーバを設定していると、最初のサーバで障害が発生したり、接続不能になっても、コントローラは自動的に 2 台目、および必要に応じて 3 台目のサーバを試行します。

（注）	複数の TACACS+ サーバが冗長性のために設定されている場合、バックアップが適切に機能するようにするには、すべてのサーバにおいてユーザ データベースを同一にする必要があります。

• 次のコマンドを入力して、TACACS+ 認証サーバを設定します。

  • config tacacs auth add index server_ip_address port# { ascii | hex} shared_secret：TACACS+ 認証サーバを追加します。

  • config tacacs auth delete index：以前に追加された TACACS+ 認証サーバを削除します。

  • config tacacs auth ( enable | disable} index：TACACS+ 認証サーバを有効または無効にします。

  • config tacacs auth server-timeout index timeout：TACACS+ 認証サーバの再送信のタイムアウト値を設定します。

• 次のコマンドを入力して、TACACS+ 許可サーバを設定します。

  • config tacacs athr add index server_ip_address port# { ascii | hex} shared_secret：TACACS+ 許可サーバを追加します。

  • config tacacs athr delete index：以前に追加された TACACS+ 許可サーバを削除します。

  • config tacacs athr ( enable | disable} index：TACACS+ 許可サーバを有効または無効にします。

  • config tacacs athr server-timeout index timeout：TACACS+ 許可サーバの再送信のタイムアウト値を設定します。

• 次のコマンドを入力して、TACACS+ アカウンティング サーバを設定します。

  • config tacacs acct add index server_ip_address port# { ascii | hex} shared_secret：TACACS+ アカウンティング サーバを追加します。

  • config tacacs acct delete index：以前に追加された TACACS+ アカウンティング サーバを削除します。

  • config tacacs acct ( enable | disable} index：TACACS+ アカウンティング サーバを有効または無効にします。

  • config tacacs acct server-timeout index timeout：TACACS+ アカウンティング サーバの再送信のタイムアウト値を設定します。

• 次のコマンドを入力して、TACACS+ の統計情報を表示します

  • show tacacs summary：TACACS+ サーバと統計情報の概要を表示します。

  • show tacacs auth stats：TACACS+ 認証サーバの統計情報を表示します。

  • show tacacs athr stats：TACACS+ 許可サーバの統計情報を表示します。

  • show tacacs acct stats：TACACS+ アカウンティング サーバの統計情報を表示します。

• 次のコマンドを入力して、1 台または複数の TACACS+ サーバの統計情報をクリアします。

  clear stats tacacs [ auth | athr | acct] { index | all}

• 次のコマンドを入力して、複数のデータベースを設定する際の認証の順序を設定します。 デフォルト設定では local、radius の順になっています。

  config aaa auth mgmt [ radius | tacacs]

  現在の管理認証サーバの順序を表示するには、 show aaa auth コマンドを入力します。

• 次のコマンドを入力して、コントローラが TACACS+ サーバに到達できることを確認します。

  ping server_ip_address

• 次のコマンドを入力して、 TACACS+ DNS パラメータを設定します。

  • config tacacs dns global port-num {ascii | hex} secret：TACACS+ DNS のグローバル ポート番号と秘密情報を追加します。

  • config tacacs dns query url timeout-in-days：TACACS+ サーバの FQDN、および DNS サーバから最新の更新を取得するためにリフレッシュが実行されるまでのタイムアウトを設定します。

  • config tacacs dns serverip ip-addr：DNSサーバの IP アドレスを設定します。

  • config tacacs dns {enable | disable}：DNS クエリーを有効または無効にします。

• 次のコマンドを入力して、TACACS+ のデバッグを有効または無効にします。

  debug aaa tacacs { enable | disable}

• 次のコマンドを入力して、変更を保存します。

  save config