Nexus與ACS 5.2的整合配置示例

下載選項

PDF (388.1 KB)
在多種裝置上使用 Adobe Reader 檢視
ePub (145.2 KB)
在 iPhone、iPad、Android、Sony Reader 或 Windows Phone 上的各種應用程式中檢視
Mobi (Kindle) (140.0 KB)
在 Kindle 裝置或多部裝置的 Kindle 應用程式上檢視

已更新: 2013 年 3 月 15 日

文件 ID:115925

無偏見用語

本產品的文件集力求使用無偏見用語。針對本文件集的目的，無偏見係定義為未根據年齡、身心障礙、性別、種族身分、民族身分、性別傾向、社會經濟地位及交織性表示歧視的用語。由於本產品軟體使用者介面中硬式編碼的語言、根據 RFP 文件使用的語言，或引用第三方產品的語言，因此本文件中可能會出現例外狀況。深入瞭解思科如何使用包容性用語。

關於此翻譯

思科已使用電腦和人工技術翻譯本文件，讓全世界的使用者能夠以自己的語言理解支援內容。請注意，即使是最佳機器翻譯，也不如專業譯者翻譯的內容準確。Cisco Systems, Inc. 對這些翻譯的準確度概不負責，並建議一律查看原始英文文件（提供連結）。

將Nexus交換機定義為ACS中的客戶端。
在ACS和Nexus上定義IP地址和相同的共用金鑰。

注意：在進行任何更改之前，在Nexus上建立檢查點或備份。

採用元件

本文中的資訊係根據以下軟體和硬體版本：

ACS 5.2
Nexus 5000,5.2(1)N1(1)

本文中的資訊是根據特定實驗室環境內的裝置所建立。文中使用到的所有裝置皆從已清除（預設）的組態來啟動。如果您的網路正在作用，請確保您已瞭解任何指令可能造成的影響。

在Nexus交換機上建立具有完全回退許可權的本地使用者：
```
username admin privilege 15 password 0 cisco123!
```

啟用TACACS+，然後提供TACACS+伺服器(ACS)的IP地址：

feature tacacs+

tacacs-server host IP-ADDRESS key KEY

tacacs-server key KEY

tacacs-server directed-request

aaa group server tacacs+ ACS

server IP-ADDRESS

use-vrf management

source-interface mgmt0

注意：金鑰必須與ACS上為此Nexus裝置配置的共用金鑰匹配。

測試TACACS伺服器的可用性：
```
test aaa group group-name username password  
```
由於尚未配置伺服器，測試身份驗證應會失敗，並顯示來自伺服器的拒絕消息。此拒絕消息確認TACACS+伺服器可訪問。

配置登入身份驗證：

aaa authentication login default group ACS

aaa authentication login console group ACS

aaa accounting default group ACS

aaa authentication login error-enable

aaa authorization commands default local

aaa authorization config-commands default local

注意：如果身份驗證伺服器無法訪問，Nexus將使用本地身份驗證。

ACS 5.x配置

請完成以下步驟：

導航到Policy Elements > Authentication and Permissions > Device Administration > Shell Profiles以建立外殼配置檔案。
輸入配置檔案的名稱。
在自定義屬性頁籤下，輸入以下值：

屬性：cisco-av-pair

需求：必填

值：shell：角色*"network-admin vdc-admin"
提交更改，以便為Nexus交換機建立基於屬性的角色。
在正確的訪問策略中建立新的授權規則或編輯現有規則。預設情況下，TACACS+請求由預設裝置管理員訪問策略處理。
在條件區域中，選擇適當的條件。在結果區域中，選擇Nexus OS外殼配置檔案。
按一下「OK」（確定）。