命令行包括命令和零个或多个参数。当Cisco ISE 收到命令行（请求）时，它可以以不同的方式处理命令及其参数：

• 使用通配符匹配模式将请求中的命令与命令集列表中指定的命令进行匹配。

  示例：Sh?? or S*

• 使用正则表达式 (regex) 匹配模式将请求中的参数与命令集列表中指定的参数进行匹配。

  示例：Show interface[1-4] port[1-9]:tty*

将请求的命令行与包含通配符和 Regrex 的命令集列表进行匹配：

1. 循环访问命令集列表以检测匹配的命令。

   通配符匹配允许：

   • 不区分大小写

   • 命令集的命令中的任意字符都可以为“?”，它与请求的命令中必须存在的任意单个字符匹配

   • 命令集的命令中的任意字符都可以为“*”，它与请求的命令中的 0 或多个字符匹配

     示例：

     请求	命令集	匹配	备注
     show	show	支持	—
     show	SHOW	支持	不区分大小写
     show	Sh??	支持	匹配任意字符
     show	Sho??	N	第二个“?”与不存在的字符相交
     show	S*	支持	“*”匹配任意字符
     show	S*w	支持	“*”匹配字符“ho”
     show	S*p	N	请求中没有字符与字符“p”对应

2. 对于每个匹配的命令，Cisco ISE 会验证参数。

   对于每个命令，命令集列表将包含一组以空格隔开的参数。

   示例：Show interface[1-4] port[1-9]:tty.*

   该命令含有两个参数。

   1. 参数 1：interface[1-4]

   2. 参数 2：port[1-9]:tty.*

   对于请求中的命令参数，按照它们在数据包中的位置重要性顺序进行匹配。如果命令定义中的所有参数与请求中的参数匹配，那么该命令/参数可认为是匹配的。注意：请求中的任何外来参数都会被忽略。

   注	在参数中使用标准 Unix 正则表达式。

1. 如果命令集包含命令及其参数的匹配项，并且匹配项具有“始终拒绝”(Deny Always)，则Cisco ISE 会指定该命令集为 Commandset-DenyAlways。

2. 如果命令集中的命令匹配项没有“始终拒绝”(Deny Always)，则Cisco ISE 会依次检查命令集中的所有命令直到找到第一个匹配项。

   1. 如果第一个匹配项具有“允许”(Permit)，则Cisco ISE 会指定命令集为 Commandset-Permit。

   2. 如果第一个匹配项具有“拒绝”(Deny)，则Cisco ISE 会指定命令集为 Commandset-Deny。

3. 在Cisco ISE 分析所有命令集后，它会授权以下命令：

   1. 如果Cisco ISE 指定任何命令集为 Commandset-DenyAlways，则Cisco ISE 拒绝该命令。

   2. 如果没有 Commandset-DenyAlways，且任意命令集为 Commandset-Permit，则Cisco ISE 允许该命令；否则，Cisco ISE 将拒绝该命令。唯一的例外情况是不匹配 (Unmatched) 复选框已选中。

在思科 ISE GUI 中，点击菜单 (Menu) 图标 ()，然后选择 工作中心 (Work Centers) > 设备管理 (Device Administration) > 策略元素 (Policy Elements) > 结果 (Results) > TACACS 配置文件 (TACACS Profiles) > 添加 (Add) 以查看常见任务设置窗口。常见任务类型为：外壳、WLC、Nexus 和通用。

Shell

Cisco ISE 管理员可使用以下选项设置设备管理员的权限。

WLC

Cisco ISE 管理员可使用以下选项控制设备管理员对 WLC 应用选项卡的访问权限。WLC 应用包含以下选项卡：WLAN、“控制器”(Controller)、“无线”(Wireless)、“安全”(Security)、“管理”(Management) 和“命令”(Commands)。

Nexus

Cisco ISE 管理员可使用以下选项控制设备管理员对Cisco Nexus 交换机的访问权限。

通用

Cisco ISE 管理员可使用此选项指定常见任务中不可用的自定义属性。