O conjunto de documentação deste produto faz o possível para usar uma linguagem imparcial. Para os fins deste conjunto de documentação, a imparcialidade é definida como uma linguagem que não implica em discriminação baseada em idade, deficiência, gênero, identidade racial, identidade étnica, orientação sexual, status socioeconômico e interseccionalidade. Pode haver exceções na documentação devido à linguagem codificada nas interfaces de usuário do software do produto, linguagem usada com base na documentação de RFP ou linguagem usada por um produto de terceiros referenciado. Saiba mais sobre como a Cisco está usando a linguagem inclusiva.
A Cisco traduziu este documento com a ajuda de tecnologias de tradução automática e humana para oferecer conteúdo de suporte aos seus usuários no seu próprio idioma, independentemente da localização. Observe que mesmo a melhor tradução automática não será tão precisa quanto as realizadas por um tradutor profissional. A Cisco Systems, Inc. não se responsabiliza pela precisão destas traduções e recomenda que o documento original em inglês (link fornecido) seja sempre consultado.
Este documento descreve a configuração do roteador dos serviços da agregação do 9000 Series ASR (ASR) para autenticar e autorizar através do TACACS+ com o server 5.x do Serviço de controle de acesso Cisco Secure (ACS).
Este exemplos a aplicação do modelo administrativo da autorização tarefa-baseada usada para controlar o acesso de usuário no sistema do Software Cisco IOS XR. As tarefas principal exigidas para executar a autorização tarefa-baseada envolvem como configurar grupos de usuário e grupos de tarefa. Os grupos de usuário e os grupos de tarefa são configurados através do comando set do Software Cisco IOS XR usado para serviços da autenticação, da autorização e da contabilidade (AAA). Os comandos authentication são usados verificar a identidade de um usuário ou de um diretor. Os comandos authorization são usados verificar que um usuário autenticado (ou o diretor) estão concedidos a permissão executar uma tarefa específica. Os comandos de contabilidade são usados registrando das sessões e para criar uns circuitos de auditoria gravando determinadas ações do usuário ou sistema-gerada.
A Cisco recomenda que você tenha conhecimento destes tópicos:
As informações neste documento são baseadas nestas versões de software e hardware:
As informações apresentadas neste documento foram criadas a partir de dispositivos em um ambiente de laboratório específico. Todos os dispositivos utilizados neste documento foram iniciados com uma configuração (padrão) inicial. Se sua rede está viva, certifique-se de que você compreende o impacto potencial de toda a alteração de configuração.
Há uns grupos de usuário e uns grupos de tarefa predefinidos em IO XR. O administrador pode usar estes grupos predefinidos ou definir grupos feitos sob encomenda conforme a exigência.
Estes grupos de usuário são predefinidos em IO XR:
Grupo de usuário | Privilégios |
---|---|
Cisco-apoio | Debugar e pesquise defeitos características (geralmente, usado por pessoais de suporte técnico de Cisco). |
netadmin | Configurar protocolos de rede tais como o Open Shortest Path First (OSPF) (usado geralmente por administradores de rede). |
operador | Execute atividades de monitoração do dia a dia, e limitaram direitos da configuração. |
raiz-LR | Indique e execute comandos all dentro de um único RP. |
raiz-sistema | Indique e execute comandos all para todos os RP no sistema. |
sysadmin | Execute tarefas da administração do sistema para o roteador, tal como a manutenção de onde os dumps principais são armazenados ou estabelecendo o pulso de disparo do Network Time Protocol (NTP). |
serviceadmin | Execute tarefas da administração do serviço, tais como o controlador de limite de sessões (SBC). |
O grupo de usuário do raiz-sistema predefiniu a autorização; isto é, tem a responsabilidade completa para recursos USER-controlados raiz-sistema e determinadas responsabilidades nos outros serviços.
Use estes comandam para verificar os grupos de usuário predefinidos:
RP/0/RSP1/CPU0:ASR9k#show aaa usergroup ? | Output Modifiers root-lr Name of the usergroup netadmin Name of the usergroup operator Name of the usergroup sysadmin Name of the usergroup root-system Name of the usergroup serviceadmin Name of the usergroup cisco-support Name of the usergroup WORD Name of the usergroup <cr>
Estes grupos de tarefa predefinidos estão disponíveis para que os administradores usem-se, tipicamente para a configuração inicial:
Use estes comandam para verificar os grupos de tarefa predefinidos:
RP/0/RSP1/CPU0:ASR9k#show aaa taskgroup ? | Output Modifiers root-lr Name of the taskgroup netadmin Name of the taskgroup operator Name of the taskgroup sysadmin Name of the taskgroup root-system Name of the taskgroup serviceadmin Name of the taskgroup cisco-support Name of the taskgroup WORD Name of the taskgroup <cr>
Use este comando verificar as tarefas apoiadas:
RP/0/RSP1/CPU0:ASR9k#show aaa task supported
Está aqui a lista de tarefas apoiadas:
Aaa |
Acl |
Admin |
Ancp |
Atm |
serviços básicos |
Bcdl |
Bfd |
bgp |
Inicialização |
Pacote |
call-home |
Cdp |
Cef |
Cgn |
Cisco-apoio |
configuração-Mgmt |
configuração-serviços |
Cripto |
Diag |
Recusado |
Direcionadores |
Dwdm |
Eem |
Eigrp |
Ethernet-serviços |
ext-acesso |
Tela |
falha-mgr |
Sistema de arquivos |
Guarda-fogo |
Franco |
Hdlc |
serviços de host |
Hsrp |
relação |
Inventário |
Serviços IP |
IPv4 |
IPv6 |
Isis |
L2vpn |
Li |
Lisp |
registro |
Lpts |
Monitor |
mpls-LDP |
mpls-estático |
MPLS TE |
Transmissão múltipla |
Netflow |
Rede |
nps |
OSPF |
Ouni |
Pbr |
pacote-Mgmt |
POS-DPT |
Ppp |
Qos |
Rcmd |
RIB |
Rip |
raiz-LR |
raiz-sistema |
mapa de rotas |
rota-política |
Sbc |
Snmp: |
SONET-SDH |
estático |
Sysmgr |
Sistema |
Transporte |
TTY-acesso |
Túnel |
Universal |
Vlan |
Vpdn |
vrrp |
Cada um das tarefas acima mencionadas pode ser dada com qualqueras um ou todas as quatro permissões.
Lido |
Especifica uma designação que permita somente uma operação de leitura. |
Escreva |
Especifica uma designação que permita uma operação da mudança e permita implicitamente uma operação de leitura. |
Execute |
Especifica uma designação que permita uma operação do acesso; por exemplo, sibilo e telnet. |
Debug |
Especifica uma designação que permita uma operação debugar. |
O administrador pode configurar seus próprios grupos de usuário para encontrar necessidades particulares. Está aqui o exemplo de configuração:
RP/0/RSP1/CPU0:ASR9k(config)#usergroup TAC-Defined RP/0/RSP1/CPU0:ASR9k(config-ug)#taskgroup operator RP/0/RSP1/CPU0:ASR9k(config-ug)#commit
O administrador pode configurar seus próprios grupos de tarefa para encontrar necessidades particulares. Está aqui o exemplo de configuração:
RP/0/RSP1/CPU0:ASR9k(config)#taskgroup TAC-Defined-TASK RP/0/RSP1/CPU0:ASR9k(config-tg)#task ? debug Specify a debug-type task ID execute Specify a execute-type task ID read Specify a read-type task ID write Specify a read-write-type task ID RP/0/RSP1/CPU0:ASR9k(config-tg)#task read aaa RP/0/RSP1/CPU0:ASR9k(config-tg)#task write aaa RP/0/RSP1/CPU0:ASR9k(config-tg)#task execute aaa RP/0/RSP1/CPU0:ASR9k(config-tg)#task debug aaa RP/0/RSP1/CPU0:ASR9k(config-tg)#task read acl RP/0/RSP1/CPU0:ASR9k(config-tg)#task write acl RP/0/RSP1/CPU0:ASR9k(config-tg)#task execute acl RP/0/RSP1/CPU0:ASR9k(config-tg)#commit RP/0/RSP1/CPU0:ASR9k#show aaa taskgroup TAC-Defined-TASK Task group 'TAC-Defined-TASK' Task IDs included directly by this group: Task: aaa : READ WRITE EXECUTE DEBUG Task: acl : READ WRITE EXECUTE Task group 'TAC-Defined-TASK' has the following combined set of task IDs (including all inherited groups): Task: aaa : READ WRITE EXECUTE DEBUG Task: acl : READ WRITE EXECUTE
Se você não é certo como encontrar que grupo de tarefa e permissão é com certeza comando necessário, você pode usar-se descreve o comando encontrá-lo. Aqui está um exemplo:
Exemplo 1:
RP/0/RSP1/CPU0:ASR9k#describe show aaa usergroup Package: ..... User needs ALL of the following taskids: aaa (READ) RP/0/RSP1/CPU0:ASR9k#
A fim permitir que um usuário execute o grupo de utilizadores aaa do comando show, você precisa de permitir esta linha no grupo de tarefa:
a tarefa leu o aaa
Exemplo 2:
RP/0/RSP1/CPU0:ASR9k(config)#describe aaa authentication login default group tacacs+ Package: ..... User needs ALL of the following taskids: aaa (READ WRITE) RP/0/RSP1/CPU0:ASR9k(config)#
A fim permitir que um usuário dirija o grupo padrão tacacs+ do comando aaa authentication login do modo de configuração, você precisa de permitir esta linha no grupo de tarefa:
tarefa aaa de leitura/gravação
Você pode definir o grupo de usuário que pode importa diversos grupos de tarefa. Está aqui o exemplo de configuração:
RP/0/RSP1/CPU0:ASR9k#show aaa usergroup TAC-Defined Tue Feb 16 00:50:56.799 UTC User group 'TAC-Defined' Inherits from task group 'operator' User group 'TAC-Defined' has the following combined set of task IDs (including all inherited groups): Task: basic-services : READ WRITE EXECUTE DEBUG Task: cdp : READ Task: diag : READ Task: ext-access : READ EXECUTE Task: logging : READ RP/0/RSP1/CPU0:ASR9k#conf t RP/0/RSP1/CPU0:ASR9k(config)#usergroup TAC-Defined RP/0/RSP1/CPU0:ASR9k(config-ug)#taskgroup TAC-Defined-TASK RP/0/RSP1/CPU0:ASR9k(config-ug)#commit RP/0/RSP1/CPU0:ASR9k#show aaa usergroup TAC-Defined Tue Feb 16 00:51:31.494 UTC User group 'TAC-Defined' Inherits from task group 'operator' Inherits from task group 'TAC-Defined-TASK' User group 'TAC-Defined' has the following combined set of task IDs (including all inherited groups): Task: aaa : READ WRITE EXECUTE DEBUG Task: acl : READ WRITE EXECUTE Task: basic-services : READ WRITE EXECUTE DEBUG Task: cdp : READ Task: diag : READ Task: ext-access : READ EXECUTE Task: logging : READ
Defina um servidor de TACACS no roteador:
Aqui você define o endereço IP de Um ou Mais Servidores Cisco ICM NT do servidor ACS como o TACACS-server com Cisco chave
RP/0/RSP1/CPU0:ASR9k(config)#tacacs-server host 10.106.73.233 port 49 RP/0/RSP1/CPU0:ASR9k(config-tacacs-host)#key 0 cisco RP/0/RSP1/CPU0:ASR9k(config-tacacs-host)#commit ! tacacs-server host 10.106.73.233 port 49 key 7 14141B180F0B !
Aponte a autenticação e a autorização ao servidor de TACACS externo.
#aaa authentication login default group tacacs+ local #aaa authorization exec default group tacacs+ local
Authorisation(optional) do comando:
#aaa authorization commands default group tacacs+
Aponte a contabilidade ao servidor interno (opcional).
#aaa accounting commands default start-stop group tacacs+ #aaa accounting update newinfo
Etapa 1. A fim definir o roteador que o IP nos clientes de AAA alista no servidor ACS, navega aos recursos de rede > aos dispositivos de rede e aos clientes de AAA, segundo as indicações da imagem. Neste exemplo, você define Cisco como o segredo compartilhado como configurado no ASR.
Etapa 2. Defina os grupos de usuário conforme sua exigência, no exemplo, segundo as indicações desta imagem, você usam quatro grupos.
Etapa 3. Segundo as indicações da imagem, crie os usuários e trace-os ao grupo de usuário respectivo criado acima.
Note: Neste exemplo, os usuários internos ACS para a autenticação estão usados, se você quer usar os usuários criados na identidade externo o armazena pode os usar também. Neste exemplo, os usuários externos da fonte da identidade não são cobertos.
Etapa 4. Defina o perfil que do shell você quer incrementar os usuários respectivos.
No perfil já criado do shell, você configura para empurrar os grupos de tarefa respectivos segundo as indicações da imagem.
Etapa 5. Defina a política de acesso. A autenticação é feita contra os usuários internos.
Etapa 6. Configurar a autorização baseada na exigência usando os grupos previamente criados da identidade do usuário e trace os perfis respectivos do shell, segundo as indicações da imagem.
A fim entrar, o asrread username é usado. Estes são os comandos de verificação.
username: ASRread password: RP/0/RSP1/CPU0:ASR9k#show user ASRread RP/0/RSP1/CPU0:ASR9k#show user group operator RP/0/RSP1/CPU0:ASR9k#show user tasks Task: basic-services : READ WRITE EXECUTE DEBUG Task: cdp : READ Task: diag : READ Task: ext-access : READ EXECUTE Task: logging : READ
A fim entrar, o asraaa username é usado. Estes são os comandos de verificação.
Note: o asraaa é a tarefa do operador empurrada do servidor de TACACS junto com a tarefa aaa de leitura/gravação e executa permissões.
username: asraaa password: RP/0/RSP1/CPU0:ASR9k#sh user asraaa RP/0/RSP1/CPU0:ASR9k#sh user group operator RP/0/RSP1/CPU0:ASR9k#sh user tasks Task: aaa : READ WRITE EXECUTE Task: basic-services : READ WRITE EXECUTE DEBUG Task: cdp : READ Task: diag : READ Task: ext-access : READ EXECUTE Task: logging : READ
A fim entrar, o asrwrite username é usado. Estes são os comandos de verificação.
username: asrwrite password: RP/0/RSP1/CPU0:ASR9k#sh user asrwrite RP/0/RSP1/CPU0:ASR9k#sh user group sysadmin RP/0/RSP1/CPU0:ASR9k#sh user tasks Task: aaa : READ Task: acl : READ WRITE EXECUTE DEBUG Task: admin : READ Task: ancp : READ Task: atm : READ Task: basic-services : READ WRITE EXECUTE DEBUG Task: bcdl : READ Task: bfd : READ Task: bgp : READ Task: boot : READ WRITE EXECUTE DEBUG Task: bundle : READ Task: call-home : READ Task: cdp : READ WRITE EXECUTE DEBUG Task: cef : READ Task: cgn : READ Task: config-mgmt : READ WRITE EXECUTE DEBUG Task: config-services : READ WRITE EXECUTE DEBUG Task: crypto : READ WRITE EXECUTE DEBUG Task: diag : READ WRITE EXECUTE DEBUG Task: drivers : READ Task: dwdm : READ Task: eem : READ WRITE EXECUTE DEBUG Task: eigrp : READ Task: ethernet-services : READ --More-- (output omitted )
A fim entrar, o asrroot username é usado. Estes são os comandos de verificação.
username: asrroot password: RP/0/RSP1/CPU0:ASR9k#show user asrroot RP/0/RSP1/CPU0:ASR9k#show user group root-system RP/0/RSP1/CPU0:ios#show user tasks Task: aaa : READ WRITE EXECUTE DEBUG Task: acl : READ WRITE EXECUTE DEBUG Task: admin : READ WRITE EXECUTE DEBUG Task: ancp : READ WRITE EXECUTE DEBUG Task: atm : READ WRITE EXECUTE DEBUG Task: basic-services : READ WRITE EXECUTE DEBUG Task: bcdl : READ WRITE EXECUTE DEBUG Task: bfd : READ WRITE EXECUTE DEBUG Task: bgp : READ WRITE EXECUTE DEBUG Task: boot : READ WRITE EXECUTE DEBUG Task: bundle : READ WRITE EXECUTE DEBUG Task: call-home : READ WRITE EXECUTE DEBUG Task: cdp : READ WRITE EXECUTE DEBUG Task: cef : READ WRITE EXECUTE DEBUG Task: cgn : READ WRITE EXECUTE DEBUG Task: config-mgmt : READ WRITE EXECUTE DEBUG Task: config-services : READ WRITE EXECUTE DEBUG Task: crypto : READ WRITE EXECUTE DEBUG Task: diag : READ WRITE EXECUTE DEBUG Task: drivers : READ WRITE EXECUTE DEBUG Task: dwdm : READ WRITE EXECUTE DEBUG Task: eem : READ WRITE EXECUTE DEBUG Task: eigrp : READ WRITE EXECUTE DEBUG --More-- (output omitted )
Você pode verificar o relatório ACS da página da monitoração e do relatório. Segundo as indicações da imagem, você pode clicar sobre o sumbol da lupa para ver o relatório detalhado.
Estes são alguns comandos úteis pesquisar defeitos no ASR: