Contenido

Introducción

prerrequisitos

Requisitos

Componentes Utilizados

Configuración

Componentes predefinidos en IOS XR

Grupos de usuarios predefinidos

Grupos de tareas predefinidos

Componentes definidos por el usario en IOS XR

Grupos de usuarios definidos por el usario

Grupos de tareas definidos por el usario

Configuración AAA en el router

Configuración de servidor ACS

Verificación

Operador

Operador con el AAA

Sysadmin

Raíz-sistema

Troubleshooting

Introducción

Este documento describe la configuración del router de los servicios de la agregación de las 9000 Series ASR (ASR) para autenticar y para autorizar vía el TACACS+ con el servidor 5.x del Cisco Secure Access Control Server (ACS).

Este ejemplos la implementación del modelo administrativo de la autorización basada en tareas usado para controlar el acceso del usuario en el sistema del Software Cisco IOS XR. Las tareas principales requeridas implementar la autorización basada en tareas implican cómo configurar los grupos de usuarios y a los Grupos de tareas. Configuran a los grupos de usuarios y a los Grupos de tareas a través del comando set del Software Cisco IOS XR usado para los servicios de la autenticación, de la autorización y de las estadísticas (AAA). Utilizan a los comandos authentication de verificar la identidad de un usuario o de un director. Utilizan a los comandos authorization de verificar que conceden un usuario autenticado (o el director) el permiso para realizar una tarea específica. Registrando utilizan a los comandos de contabilidad para registrar de las sesiones y crear un rastro de auditoría ciertas acciones del usuario o generadas del sistema.

Prerequisites

Requisitos

Cisco recomienda que tenga conocimiento sobre estos temas:

- Despliegue y configuración básica ASR 9000

- Despliegue y configuración ACS 5.x.

- Protocolo TACACS+

Componentes Utilizados

La información que contiene este documento se basa en las siguientes versiones de software y hardware.

- ASR 9000 con el Software Cisco IOS XR, versión 4.3.4

- Cisco Secure ACS 5.7

La información de este documento se originó a partir de dispositivos dentro de un ambiente de laboratorio específico. Todos los dispositivos que se utilizan en este documento se pusieron en funcionamiento con una configuración verificada (predeterminada). Si su red está viva, aseegurese que usted entiende el impacto potencial de cualquier cambio de configuración.

Configuración

Componentes predefinidos en IOS XR

Hay grupos de usuarios y Grupos de tareas predefinidos en IOS XR. El administrador puede utilizar a estos grupos predefinidos o definir a los grupos de encargo según el requisito.

Grupos de usuarios predefinidos

Predefinen a estos grupos de usuarios en IOS XR:

Grupo de usuarios

Privilegios

Cisco-soporte

Características del debug y del Troubleshooting (generalmente, utilizado por el personal de soporte técnico de Cisco).

netadmin

Network Protocol de la configuración tales como Open Shortest Path First (OSPF) (usado generalmente por los administradores de la red).

operador

Realice las actividades de supervisión cotidianas, y han limitado las derechas de la configuración.

raíz-LR

Visualice y ejecute los comandos all dentro de un solo RP.

raíz-sistema

Visualice y ejecute los comandos all para todos los RP en el sistema.

sysadmin

Realice las tareas de la administración del sistema para el router, tal como mantener donde están salvados o que configuran los vaciados de memoria el reloj del Network Time Protocol (NTP).

serviceadmin

Realice las tareas de la administración del servicio, tales como regulador de la frontera de la sesión (SBC).

El grupo de usuarios del raíz-sistema ha predefinido la autorización; es decir, tiene la responsabilidad completa de los recursos usuario-manejados raíz-sistema y de ciertas responsabilidades en los otros servicios.

Utilice éstos ordenan para marcar a los grupos de usuarios predefinidos:

RP/0/RSP1/CPU0:ASR9k#show aaa usergroup ?

|              Output Modifiers

root-lr        Name of the usergroup

netadmin       Name of the usergroup

operator       Name of the usergroup

sysadmin       Name of the usergroup

root-system    Name of the usergroup

serviceadmin   Name of the usergroup

cisco-support  Name of the usergroup

WORD           Name of the usergroup

<cr>

Grupos de tareas predefinidos

Estos Grupos de tareas predefinidos están disponibles para que los administradores utilicen, típicamente para la configuración inicial:

- Cisco-soporte: Tareas del personal de soporte de Cisco

- netadmin: Tareas del administrador de la red

- operador: Tareas cotidianas del operador (como demostración)

- raíz-LR: Tareas del administrador de router del dominio seguro

- raíz-sistema: Tareas del administrador de todo el sistema

- sysadmin: Tareas del administrador de sistema

- serviceadmin: Mantenga las tareas de la administración, por ejemplo, SBC

Utilice éstos ordenan para marcar a los Grupos de tareas predefinidos:

RP/0/RSP1/CPU0:ASR9k#show aaa taskgroup ?

|              Output Modifiers

root-lr        Name of the taskgroup

netadmin       Name of the taskgroup

operator       Name of the taskgroup

sysadmin       Name of the taskgroup

root-system    Name of the taskgroup

serviceadmin   Name of the taskgroup

cisco-support  Name of the taskgroup

WORD           Name of the taskgroup

<cr>

Utilice este comando de marcar las tareas soportadas:

RP/0/RSP1/CPU0:ASR9k#show aaa task supported

Aquí está la lista de tareas soportadas:

Aaa

Acl

Admin

Ancp

Atmósfera

servicios básicos

Bcdl

Bfd

bgp

Arranque

Conjunto

llamada casera

Cdp

Cef

Cgn

Cisco-soporte

config-mgmt

config-servicios

Crypto

Diag

Rechazado

Drivers

Dwdm

Eem

Eigrp

servicios Ethernet

extensión-acceso

Tela

incidente-mgr

Filesystem

Firewall

Franco

HDLC

Servicios de host

Hsrp

interfaz

Inventario

Servicios IP

Ipv4

IPv6

ISIS

L2vpn

Li

Lisp

registración

Lpts

Monitor

MPLS-LDP

MPLS-estático

MPLS-TE

Multicast (multidifusión)

Netflow

Red

nps

OSPF

Ouni

Pbr

paquete-mgmt

POS-DPT

Ppp

Qos

Rcmd

RIB

Rip

raíz-LR

raíz-sistema

route-map

ruta-directiva

Sbc

Snmp

SONET-SDH

estática

Sysmgr

Sistema

Transporte

TTY-acceso

Túnel

Universal

Vlan

Vpdn

vrrp

Cada uno de las tareas antedichas se puede dar con ninguno de estos o todos los cuatro permisos.

Leído

Especifica una designación que permita solamente una operación de lectura.

Escriba

Especifica una designación que permita una operación del cambio y permita implícito una operación de lectura.

Ejecute

Especifica una designación que permita una operación del acceso; por ejemplo, ping y Telnet.

Depurar

Especifica una designación que permita una operación del debug.

Componentes definidos por el usario en IOS XR

Grupos de usuarios definidos por el usario

El administrador puede configurar a sus propios grupos de usuarios para cubrir las necesidades determinadas. Aquí está el ejemplo de configuración:

RP/0/RSP1/CPU0:ASR9k(config)#usergroup TAC-Defined

RP/0/RSP1/CPU0:ASR9k(config-ug)#taskgroup operator

RP/0/RSP1/CPU0:ASR9k(config-ug)#commit

Grupos de tareas definidos por el usario

El administrador puede configurar a sus propios Grupos de tareas para cubrir las necesidades determinadas. Aquí está el ejemplo de configuración:

RP/0/RSP1/CPU0:ASR9k(config)#taskgroup TAC-Defined-TASK

RP/0/RSP1/CPU0:ASR9k(config-tg)#task ?

debug    Specify a debug-type task ID

execute  Specify a execute-type task ID

read     Specify a read-type task ID

write    Specify a read-write-type task ID

RP/0/RSP1/CPU0:ASR9k(config-tg)#task read aaa

RP/0/RSP1/CPU0:ASR9k(config-tg)#task write aaa

RP/0/RSP1/CPU0:ASR9k(config-tg)#task execute aaa

RP/0/RSP1/CPU0:ASR9k(config-tg)#task debug aaa

RP/0/RSP1/CPU0:ASR9k(config-tg)#task read acl

RP/0/RSP1/CPU0:ASR9k(config-tg)#task write acl

RP/0/RSP1/CPU0:ASR9k(config-tg)#task execute acl

RP/0/RSP1/CPU0:ASR9k(config-tg)#commit

RP/0/RSP1/CPU0:ASR9k#show aaa taskgroup TAC-Defined-TASK

Task group 'TAC-Defined-TASK'

Task IDs included directly by this group:

Task:                  aaa  : READ    WRITE    EXECUTE    DEBUG

Task:                  acl  : READ    WRITE    EXECUTE

Task group 'TAC-Defined-TASK' has the following combined set

of task IDs (including all inherited groups):

Task:                  aaa  : READ    WRITE    EXECUTE    DEBUG

Task:                  acl  : READ    WRITE    EXECUTE

Si usted no está seguro cómo encontrar qué Grupo de tareas y permiso es con certeza comando necesario, usted puede utilizar describe el comando de encontrarlo. Aquí tiene un ejemplo:

Ejemplo 1:

RP/0/RSP1/CPU0:ASR9k#describe show aaa usergroup

Package:

.....

User needs ALL of the following taskids:

aaa (READ)

RP/0/RSP1/CPU0:ASR9k#

Para permitir que un usuario ejecute al grupo de usuarios aaa del comando show, usted necesita permitir esta línea en el Grupo de tareas:

la tarea leyó el aaa

Ejemplo 2:

RP/0/RSP1/CPU0:ASR9k(config)#describe aaa authentication login default group tacacs+

Package:

.....

User needs ALL of the following taskids:

aaa (READ WRITE)

RP/0/RSP1/CPU0:ASR9k(config)#

Para permitir que un usuario dirija el grupo predeterminado tacacs+ del comando aaa authentication login del modo de configuración, usted necesita permitir esta línea en el Grupo de tareas:

tarea aaa de lectura/grabación

Usted puede definir al grupo de usuarios que puede importa varios Grupos de tareas. Aquí está el ejemplo de configuración:

RP/0/RSP1/CPU0:ASR9k#show aaa usergroup TAC-Defined

Tue Feb 16 00:50:56.799 UTC

User group 'TAC-Defined'

Inherits from task group 'operator'

User group 'TAC-Defined' has the following combined set

of task IDs (including all inherited groups):

Task:       basic-services  : READ    WRITE    EXECUTE    DEBUG

Task:                  cdp  : READ

Task:                 diag  : READ

Task:           ext-access  : READ             EXECUTE

Task:              logging  : READ

RP/0/RSP1/CPU0:ASR9k#conf t

RP/0/RSP1/CPU0:ASR9k(config)#usergroup TAC-Defined

RP/0/RSP1/CPU0:ASR9k(config-ug)#taskgroup TAC-Defined-TASK

RP/0/RSP1/CPU0:ASR9k(config-ug)#commit

RP/0/RSP1/CPU0:ASR9k#show aaa usergroup TAC-Defined

Tue Feb 16 00:51:31.494 UTC

User group 'TAC-Defined'

Inherits from task group 'operator'

Inherits from task group 'TAC-Defined-TASK'

User group 'TAC-Defined' has the following combined set

of task IDs (including all inherited groups):

Task:                  aaa  : READ    WRITE    EXECUTE    DEBUG

Task:                  acl  : READ    WRITE    EXECUTE

Task:       basic-services  : READ    WRITE    EXECUTE    DEBUG

Task:                  cdp  : READ

Task:                 diag  : READ

Task:           ext-access  : READ             EXECUTE

Task:              logging  : READ

Configuración AAA en el router

Defina a un servidor TACACS en el router:

Aquí usted define la dirección IP del servidor ACS como el TACACS-servidor con Cisco dominante

RP/0/RSP1/CPU0:ASR9k(config)#tacacs-server host 10.106.73.233 port 49

RP/0/RSP1/CPU0:ASR9k(config-tacacs-host)#key 0 cisco

RP/0/RSP1/CPU0:ASR9k(config-tacacs-host)#commit

!

tacacs-server host 10.106.73.233 port 49

key 7 14141B180F0B

!

Señale la autenticación y la autorización al servidor TACACS externo.

#aaa authentication login default group tacacs+ local

#aaa authorization exec default group tacacs+ local

Authorisation(optional) del comando:

#aaa authorization commands default group tacacs+

Señale las estadísticas al servidor externo (opcional).

#aaa accounting commands default start-stop group tacacs+

#aaa accounting update newinfo

Configuración de servidor ACS

Paso 1. Para definir al router que el IP en los clientes AAA enumera en el servidor ACS, que navegue a los recursos de red > a los dispositivos de red y a los clientes AAA, tal y como se muestra en de la imagen. En este ejemplo, usted define Cisco como secreto compartido como está configurado en el ASR.

Paso 2. Defina a los grupos de usuarios según su requisito, en el ejemplo, tal y como se muestra en de esta imagen, usted utilizan a cuatro grupos.

Paso 3. Tal y como se muestra en de la imagen, cree a los usuarios y asocíelos al grupo de usuarios respectivo creado arriba.

Note: En este ejemplo, utilizan a los usuarios internos ACS para la autenticación, si usted quiere utilizar a los usuarios creados en la identidad externa le salva puede utilizarlos también. En este ejemplo, no cubren a los usuarios externos de la fuente de la identidad.

Paso 4. Defina el perfil del shell que usted quiere avanzar para los usuarios respectivos.

En el perfil ya creado del shell, usted configura para avanzar los Grupos de tareas respectivos tal y como se muestra en de la imagen.

Paso 5. Defina la política de acceso. La autenticación se hace contra los usuarios internos.

Paso 6. Configure la autorización basada en el requisito usando los grupos previamente creados de la Identificación del usuario y asocie los perfiles respectivos del shell, tal y como se muestra en de la imagen.

Verificación

Operador

Para iniciar sesión, se utiliza el asrread del nombre de usuario. Éstos son los Comandos de verificación.

username: ASRread

password:

RP/0/RSP1/CPU0:ASR9k#show user

ASRread

RP/0/RSP1/CPU0:ASR9k#show user group

operator

RP/0/RSP1/CPU0:ASR9k#show user tasks

Task:       basic-services  : READ    WRITE    EXECUTE    DEBUG

Task:                  cdp  : READ

Task:                 diag  : READ

Task:           ext-access  : READ             EXECUTE

Task:              logging  : READ

Operador con el AAA

Para iniciar sesión, se utiliza el asraaa del nombre de usuario. Éstos son los Comandos de verificación.

Note: el asraaa es la tarea del operador avanzada del servidor TACACS junto con la tarea aaa de lectura/grabación y ejecuta los permisos.

username: asraaa

password:

RP/0/RSP1/CPU0:ASR9k#sh user

asraaa

RP/0/RSP1/CPU0:ASR9k#sh user group

operator

RP/0/RSP1/CPU0:ASR9k#sh user tasks

Task:                  aaa  : READ    WRITE    EXECUTE

Task:       basic-services  : READ    WRITE    EXECUTE    DEBUG

Task:                  cdp  : READ

Task:                 diag  : READ

Task:           ext-access  : READ             EXECUTE

Task:              logging  : READ

Sysadmin

Para iniciar sesión, se utiliza el asrwrite del nombre de usuario. Éstos son los Comandos de verificación.

username: asrwrite

password:

RP/0/RSP1/CPU0:ASR9k#sh user

asrwrite

RP/0/RSP1/CPU0:ASR9k#sh user group

sysadmin

RP/0/RSP1/CPU0:ASR9k#sh user tasks

Task:                  aaa  : READ

Task:                  acl  : READ    WRITE    EXECUTE    DEBUG

Task:                admin  : READ

Task:                 ancp  : READ

Task:                  atm  : READ

Task:       basic-services  : READ    WRITE    EXECUTE    DEBUG

Task:                 bcdl  : READ

Task:                  bfd  : READ

Task:                  bgp  : READ

Task:                 boot  : READ    WRITE    EXECUTE    DEBUG

Task:               bundle  : READ

Task:            call-home  : READ

Task:                  cdp  : READ    WRITE    EXECUTE    DEBUG

Task:                  cef  : READ

Task:                  cgn  : READ

Task:          config-mgmt  : READ    WRITE    EXECUTE    DEBUG

Task:      config-services  : READ    WRITE    EXECUTE    DEBUG

Task:               crypto  : READ    WRITE    EXECUTE    DEBUG

Task:                 diag  : READ    WRITE    EXECUTE    DEBUG

Task:              drivers  : READ

Task:                 dwdm  : READ

Task:                  eem  : READ    WRITE    EXECUTE    DEBUG

Task:                eigrp  : READ

Task:    ethernet-services  : READ

--More--

(output omitted )

Raíz-sistema

Para iniciar sesión, se utiliza el asrroot del nombre de usuario. Éstos son los Comandos de verificación.

username: asrroot

password:

RP/0/RSP1/CPU0:ASR9k#show user

asrroot

RP/0/RSP1/CPU0:ASR9k#show user group

root-system

RP/0/RSP1/CPU0:ios#show user tasks

Task:                  aaa  : READ    WRITE    EXECUTE    DEBUG

Task:                  acl  : READ    WRITE    EXECUTE    DEBUG

Task:                admin  : READ    WRITE    EXECUTE    DEBUG

Task:                 ancp  : READ    WRITE    EXECUTE    DEBUG

Task:                  atm  : READ    WRITE    EXECUTE    DEBUG

Task:       basic-services  : READ    WRITE    EXECUTE    DEBUG

Task:                 bcdl  : READ    WRITE    EXECUTE    DEBUG

Task:                  bfd  : READ    WRITE    EXECUTE    DEBUG

Task:                  bgp  : READ    WRITE    EXECUTE    DEBUG

Task:                 boot  : READ    WRITE    EXECUTE    DEBUG

Task:               bundle  : READ    WRITE    EXECUTE    DEBUG

Task:            call-home  : READ    WRITE    EXECUTE    DEBUG

Task:                  cdp  : READ    WRITE    EXECUTE    DEBUG

Task:                  cef  : READ    WRITE    EXECUTE    DEBUG

Task:                  cgn  : READ    WRITE    EXECUTE    DEBUG

Task:          config-mgmt  : READ    WRITE    EXECUTE    DEBUG

Task:      config-services  : READ    WRITE    EXECUTE    DEBUG

Task:               crypto  : READ    WRITE    EXECUTE    DEBUG

Task:                 diag  : READ    WRITE    EXECUTE    DEBUG

Task:              drivers  : READ    WRITE    EXECUTE    DEBUG

Task:                 dwdm  : READ    WRITE    EXECUTE    DEBUG

Task:                  eem  : READ    WRITE    EXECUTE    DEBUG

Task:                eigrp  : READ    WRITE    EXECUTE    DEBUG

--More--

(output omitted )

Troubleshooting

Usted puede verificar el informe ACS de la supervisión y de la página de la información. Tal y como se muestra en de la imagen, usted puede hacer clic en el sumbol de la lupa para ver el informe detallado.

Éstos son algunos comandos útiles de resolver problemas en el ASR:

- muestre al usuario

- muestre al grupo de usuarios

- muestre las tareas del usuario

- muestre al usuario todo