目录

简介

先决条件

要求

使用的组件

配置

配置 ACS

WAAS上的配置

验证

故障排除

简介

本文档介绍如何配置思科广域应用服务(WAAS)与思科访问控制服务器(ACS)版本5.x的集成。按照本文档中的步骤进行配置时，用户能够通过ACS使用TACACS+凭证对WAAS进行身份验证。

先决条件

要求

本文档没有任何特定的要求。

使用的组件

本文档中的信息基于以下软件和硬件版本：

- 思科安全ACS版本5.x

- Cisco WAAS

本文档中的信息都是基于特定实验室环境中的设备编写的。本文档中使用的所有设备最初均采用原始（默认）配置。如果您使用的是真实网络，请确保您已经了解所有命令的潜在影响。

配置

配置 ACS

1. 要在ACS版本5.x上定义AAA客户端，请导航到网络资源>网络设备和AAA客户端。为AAA客户端配置TACACS+的描述性名称、单个IP地址和共享密钥。

2. 要定义外壳配置文件，请导航到Policy Elements > Authorization and Permissions > Device Administration > Shell Profiles。在本示例中，配置了一个名为WAAS_Attribute的新外壳配置文件。此自定义属性将发送到WAAS，从而使其能够推断哪个用户组是管理员组。配置以下自定义属性：

- Attribute是waas_rbac_groups。

- Requirement为Optional，以便它不会干扰任何其他设备。

- Value是必须分配管理访问权限的组的名称（测试组）。

3. 要定义允许所有命令的命令集，请导航到Policy Elements > Authorization and Permissions > Device Administration > Command Sets。

- 编辑Permit_All命令集。

- 如果选中Permit any command that is not in the table below复选框，则会向用户授予完全权限。

注意：由于本示例使用TACACS，因此选择的默认服务是默认设备管理员。

4. 要将身份指向正确的身份源，请导航到Access Policies > Access Services > Default Device Admin > Identity。如果该用户存在于本地ACS数据库中，请选择Internal Users。如果该用户存在于Active Directory中，请选择配置的身份库(本示例中为AD1)。

5. 要创建授权规则，请导航到访问策略>访问服务>默认设备管理>授权。 创建名为WAAS Authorization的新授权策略。这将检查来自WAAS的请求。在本示例中，设备IP用作条件。但是，可根据部署要求进行更改。应用本节的步骤2和步骤3中配置的外壳配置文件和命令集。

WAAS上的配置

1. 要定义TACACS+服务器，请导航到Devices > <Central Manager System Name> > Configure > Security > AAA > TACACS+。配置ACS服务器IP地址和预共享密钥。

2. 要修改身份验证和授权方法，请导航到Devices > <Central Manager System Name> > Configure > Security > AAA > Authentication Methods。在此屏幕截图中，主要登录方法配置为local，辅助方法配置为TACACS+。

3. 导航到Home > Admin > AAA > User Groups，以便在WAAS中添加与自定义属性Value匹配的组名称(请参阅Configure ACS部分中的步骤2)。

4. 在Home > Admin > AAA > User Groups Role Management选项卡上分配此组(Test_Group)管理员级权限。已预配置中央管理器上的admin角色。

验证

尝试使用TACACS+凭证登录WAAS。如果所有配置都正确，则授予您访问权限。

故障排除

目前没有针对此配置的故障排除信息。