目次

はじめに

前提条件

要件

使用するコンポーネント

表記法

設定

ACS 5.2 認証の Nexus デバイスの設定

ACS 5.x の設定

確認

関連情報

はじめに

このドキュメントでは、Nexus スイッチでの TACACS+ 認証の設定例について説明します。 デフォルトでは、Access Control Server (ACS)で認証する Nexus スイッチを設定すると、読み取り専用アクセスが許可される network-operator または vdc-operator ロールが自動的に付与されます。 network-admin または vdc-admin ロールを取得するには、ACS 5.2 でシェルを作成する必要があります。 このドキュメントでは、この作成プロセスを説明します。

前提条件

要件

この設定を行う前に、次の要件が満たされていることを確認します。

- ACS で、Nexus スイッチをクライアントとして定義します。

- ACS と Nexus 上で、IP アドレスおよび同一の共有秘密キーを定義します。

注: 一切の変更の前に、Nexus にチェックポイントまたはバックアップを作成します。

使用するコンポーネント

このドキュメントの情報は、次のソフトウェアとハードウェアのバージョンに基づくものです。

- ACS 5.2

- Nexus 5000, 5.2(1)N1(1)

本書の情報は、特定のラボ環境にあるデバイスに基づいて作成されたものです。 このドキュメントで使用するすべてのデバイスは、初期（デフォルト）設定の状態から起動しています。 稼働中のネットワークで作業を行う場合、コマンドの影響について十分に理解したうえで作業してください。

表記法

ドキュメント表記の詳細は、『シスコ テクニカル ティップスの表記法』を参照してください。

設定

この項では、このドキュメントで説明する機能の設定に必要な情報を提供します。

注: このセクションで使用されているコマンドの詳細を調べるには、Command Lookup Tool（登録ユーザ専用）を使用してください。

ACS 5.2 認証の Nexus デバイスの設定

次の手順を実行します。

1. Nexus スイッチで、フォールバックのすべての権限を持つローカル ユーザを作成します。

username admin privilege 15 password 0 cisco123!

2. TACACS+ を有効にし、TACACS+ サーバ（ACS）の IP アドレスを提供します。

feature tacacs+

tacacs-server host IP-ADDRESS key KEY

tacacs-server key KEY

tacacs-server directed-request

aaa group server tacacs+ ACS

server IP-ADDRESS

use-vrf management

source-interface mgmt0

注: キーは、Nexus デバイスの ACS で設定されている共有秘密と一致する必要があります。

3. TACACS サーバの可用性をテストします。

test aaa group group-name username password

サーバは設定されていないため、テスト認証は失敗し、サーバから拒否のメッセージが送出されなければなりません。 この拒否メッセージにより、TACACS+ サーバに到達可能であることが確認できます。

4. ログイン認証を設定します。

aaa authentication login default group ACS

aaa authentication login console group ACS

aaa accounting default group ACS

aaa authentication login error-enable

aaa authorization commands default local

aaa authorization config-commands default local

注: 認証サーバに到達できない場合、Nexus はローカル認証を使用します。

ACS 5.x の設定

次の手順を実行します。

1. シェルプロファイルを作成するため、[Policy Elements] > [Authentication and Permissions] > [Device Administration] > [Shell Profiles] を開きます。

2. プロファイル名を入力します。

3. [Custom Attributes] タブで、次の値を入力してください:

[Attribute]： cisco-av-pair

要件： Mandatory

[Value]： シェル： roles*"network-admin vdc-admin"

4. Nexus スイッチの属性ベースのロールを作成するため、変更内容を送信します。

5. 新しい許可ルールを作成するか、または適切なアクセス ポリシーの既存のルールを編集します。 デフォルトでは、TACACS+ 要求は Default Device Admin のアクセス ポリシーによって処理されます。

6. [Conditions] 領域で、適切な状態を選択します。 [Results] 領域で、Nexus OS のシェル プロファイルを選択します。

7. [OK] をクリックします。

確認

ここでは、設定が正常に動作していることを確認します。

Output Interpreter Tool（OIT）（登録ユーザ専用）では、特定の show コマンドがサポートされています。 OIT を使用して、show コマンド出力の解析を表示できます。

- show tacacs+：TACACS+ の統計を表示します。

- show running-config tacacs+：実行コンフィギュレーションの TACACS+ の設定を表示します。

- show startup-config tacacs+：スタートアップ コンフィギュレーションの TACACS+ の設定を表示します。

- show tacacs-server：設定されているすべての TACACS+ サーバ パラメータを表示します。

関連情報

- テクニカル サポートとドキュメント – Cisco Systems