IOS の特権レベルで完全な実行コンフィギュレーションを表示できない

概要

このドキュメントでは、ユーザがルータで特定のコマンドを実行する際に特権レベルが与える影響について説明します。

前提条件

要件

このドキュメントに特有の要件はありません。

使用するコンポーネント

このドキュメントの内容は、特定のソフトウェアやハードウェアのバージョンに限定されるものではありません。

表記法

ドキュメント表記の詳細は、「シスコ テクニカル ティップスの表記法」を参照してください。

ルータ設定の確認

ルータへのアクセスが権限レベルで設定される場合、ユーザの権限レベルまたはそれ以下で show running または write terminal コマンドが設定されることが問題になります。ユーザがこれらのコマンドを実行すると、設定が空白になります。これは、次の理由により設計されたものです。

• write terminal または show running-config コマンドは、空の設定を表示します。このコマンドは、現在のユーザが変更できるすべてのコマンドを表示します（つまり、ユーザの現在の権限レベル以下のすべてのコマンドを表示します）。 このコマンドは、セキュリティ上の理由から、ユーザの現在の権限レベルを超えるコマンドは表示しません。このような場合、snmp-server community などのコマンドを使用して、ルータの現在の設定し、ルータへの完全なアクセス権を取得できます。

• show config または show start-up config コマンドは、完全な設定を表示しますが、実際の設定を正しくは表示しません。その代わり、コマンドは、NVRAM の内容を出力します。これは、ユーザが write memory を実行したときのルータ設定の場合があります。

権限レベル

権限ユーザがメモリの全体の設定を表示できるようにするには、ルータで設定されるすべてのコマンドの権限を変更する必要があります。以下に、いくつかの例を示します。

aaa new-model
aaa authentication login default local
aaa authorization exec default local

username john privilege 9 password 0 doe
username six privilege 6 password 0 six
username poweruser privilege 15 password poweruser
username inout password inout
username inout privilege 15 autocommand show running

privilege configure level 8 snmp-server community 
privilege exec level 6 show running 
privilege exec level 8 configure terminal

この例を理解するには、権限レベルについて理解する必要があります。デフォルトでは、ルータには次の 3 つのコマンド レベルがあります。

• 権限レベル 0：disable、enable、exit、help および logout コマンドを含みます。

• 権限レベル 1：Telnet の通常レベル。router> プロンプトのすべてのユーザレベル コマンドを含みます。

• 権限レベル 15：router# プロンプトのすべてのイネーブルレベル コマンドを含みます。

特定のルータの特定のレベルで使用できるコマンドを表示するには、ルータ プロンプトで ?と入力します。コマンドを権限レベルで移行するには、この例に示すように、privilege コマンドを使用します。この例ではローカル認証および認可を示していますが、このコマンドは、TACACS+ または RADIUS 認証および exec 認可でも同様に機能します（サーバで TACACS+ コマンド認可を実行すると、ルータをより細かく制御できます）。

次の例に、ユーザおよび権限レベルの詳細を示します。

• ユーザ six は、Telnet 接続し、show run コマンドを実行できます。ただし、設定は許可されていないので、空の設定が表示されます（configure terminal はレベル 8 で、レベル 6 ではありません）。 このユーザは、他のユーザのユーザ名とパスワードを参照したり、簡易ネットワーク管理プロトコル（SNMP）情報を表示したりすることはできません。

• ユーザ john は、Telnet 接続し、show run コマンドを実行できます。ただし、設定が許可されているコマンドだけが表示されます（このユーザはネットワーク管理者であるため、ルータ設定の snmp-server community 部分を設定できます）。 configure terminal はレベル 8（レベル 9 以下）で、snmp-server community はレベル 8 のコマンドであるため、このユーザは snmp-server community を設定できます。このユーザは、他のユーザのユーザ名およびパスワードを表示できませんが、SNMP 設定で信頼できます。

• ユーザ inout は、Telnet 接続し、autocommand show running で設定されているため、表示される設定を参照できますが、その後、切断されます。

• ユーザ poweruser は、Telnet 接続し、show run コマンドを実行できます。このユーザはレベル 15 であるため、すべてのコマンドを表示できます。すべてのコマンドは、レベル 15 以下です。このレベルのユーザは、ユーザ名およびパスワードを表示および制御できます。

関連情報

• Command Lookup Tool（登録ユーザ専用）
• TACACS+ および RADIUS の IOS ドキュメント
• TACACS/TACACS+ サポート ページ
• RADIUS に関するサポート ページ
• Requests for Comments (RFCs)
• テクニカルサポート - Cisco Systems