目次

概要

前提条件

要件

使用するコンポーネント

設定

IOS XR のあらかじめ定義されたコンポーネント

あらかじめ定義されたユーザグループ

あらかじめ定義されたタスクグループ

IOS XR のユーザが定義するコンポーネント

ユーザが定義するユーザグループ

ユーザが定義するタスクグループ

ルータの AAA設定

ACS サーバコンフィギュレーション

確認

Operator

AAA のオペレータ

Sysadmin

ルート システム

トラブルシューティング

概要

この資料は Cisco Secure Access Control Server （ACS） 5.x サーバの TACACS+ によって認証し、承認するために ASR 9000 シリーズ 集約 サービス ルータ（ASR）の設定を説明したものです。

この例 Cisco IOS XR ソフトウェア システムでコントロールのユーザー アクセスに使用されるタスク ベース 許可の管理モデルの実装。 タスク ベース 許可を設定するために必要な大 タスクがユーザグループおよびタスクグループを設定する方法を含みます。 ユーザグループおよびタスクグループは設定 される 認証、許可および会計（AAA）サービスに使用する Cisco IOS XR ソフトウェア コマンドによって設定されます。 認証コマンドがユーザまたはプリンシパルのアイデンティティを確認するのに使用されています。 Authorization コマンドが認証済みユーザ（かプリンシパル）特定のタスクを行う権限を与えられることを確認するのに使用されています。 アカウンティングコマンドはセッションの記録のためにある特定のユーザまたはシステムにより生成される操作の記録によって監査証跡を作成するために使用され。

前提条件

要件

次の項目に関する知識があることが推奨されます。

- ASR 9000 配備および基本設定

- ACS 5.x 配備および設定。

- TACACS+ プロトコル

使用するコンポーネント

このドキュメントの情報は、次のソフトウェアとハードウェアのバージョンに基づくものです。

- Cisco IOS XR ソフトウェアの ASR 9000、バージョン 4.3.4

- Cisco Secure ACS 5.7

このドキュメントの情報は、特定のラボ環境にあるデバイスに基づいて作成されたものです。 このドキュメントで使用するすべてのデバイスは、クリアな（デフォルト）設定で作業を開始しています。 ネットワークがライブである場合、あらゆるコンフィギュレーション変更の潜在的影響を理解することを確かめて下さい。

設定

IOS XR のあらかじめ定義されたコンポーネント

IOS XR にあらかじめ定義されたユーザグループおよびタスクグループがあります。 管理者はこれらの済みグループを使用するか、または要件によってカスタム グループを定義できます。

あらかじめ定義されたユーザグループ

これらのユーザグループは IOS XR であらかじめ定義されます:

ユーザグループ

特権

Cisco サポート

機能をデバッグしてトラブルシューティングを行って下さい（通常、Cisco テクニカルサポート担当者によって使用されて）。

netadmin

Open Shortest Path First （OSPF）のような設定 ネットワークプロトコル（通常ネットワーク管理者が使用する）。

オペレータ

日常の監視活動を行い、限られた設定権限を持って下さい。

ルート LR

単一 RP 内のすべてのコマンドを表示する、実行して下さい。

ルート システム

システムのすべての RP のためのすべてのコマンドを表示する、実行して下さい。

sysadmin

コアダンプがどこにのであるか管理のようなルータのためのシステム 管理タスクを、行いま保存されるか、または Network Time Protocol （NTP） クロックを設定します。

serviceadmin

セッション ボーダー コントローラ（SBC）のようなサービス管理タスクを、行って下さい。

ルート システム ユーザグループは許可をあらかじめ定義しました; すなわち、それにその他のサービスでルート システムによってユーザ管理されるリソースおよびある特定の責任に対する完全な責任があります。

あらかじめ定義されたユーザグループをチェックするのにこれらのコマンドを使用して下さい:

RP/0/RSP1/CPU0:ASR9k#show aaa usergroup ?

|              Output Modifiers

root-lr        Name of the usergroup

netadmin       Name of the usergroup

operator       Name of the usergroup

sysadmin       Name of the usergroup

root-system    Name of the usergroup

serviceadmin   Name of the usergroup

cisco-support  Name of the usergroup

WORD           Name of the usergroup

<cr>

あらかじめ定義されたタスクグループ

これらのあらかじめ定義されたタスクグループは管理者が初期設定のために、一般的に使用することができるように利用可能です:

- Cisco サポート: Ciscoサポート要員タスク

- netadmin: ネットワーク管理者タスク

- オペレータ: オペレータ日常のタスク（デモ ンストレーション目的で）

- ルート LR: セキュアドメイン ルータ 管理者タスク

- ルート システム: システム全体の管理者タスク

- sysadmin: システム アドミニストレータ タスク

- serviceadmin: 管理タスクを、たとえば、SBC 保守して下さい

あらかじめ定義されたタスクグループをチェックするのにこれらのコマンドを使用して下さい:

RP/0/RSP1/CPU0:ASR9k#show aaa taskgroup ?

|              Output Modifiers

root-lr        Name of the taskgroup

netadmin       Name of the taskgroup

operator       Name of the taskgroup

sysadmin       Name of the taskgroup

root-system    Name of the taskgroup

serviceadmin   Name of the taskgroup

cisco-support  Name of the taskgroup

WORD           Name of the taskgroup

<cr>

サポートされたタスクをチェックするのにこのコマンドを使用して下さい:

RP/0/RSP1/CPU0:ASR9k#show aaa task supported

サポートされたタスクのリストはここにあります:

AAA

Acl

Admin

Ancp

atm

基本サービス

Bcdl

Bfd

bgp

Boot

バンドル

call-home

CDP

Cef

Cgn

Cisco サポート

構成mgmt

構成サービス

Crypto

Diag

拒否される

ドライバ

Dwdm

Eem

eigrp

イーサネットサービス

ext アクセス

ファブリック

エラーmgr

ファイルシステム

ファイアウォール

Fr

HDLC

ホストサービス

HSRP

インターフェイス

インベントリ

IP サービス

Ipv4

IPv6

isis

L2vpn

李

Lisp

記録

Lpts

モニタ

MPLSldp

MPLS スタティック

MPLSte

マルチキャスト

NetFlow

ネットワーク

nps

ospf

Ouni

Pbr

pkg-mgmt

pos DPT

Ppp

QoS

Rcmd

rib

RIP

ルート LR

ルート システム

ルート マップ

ルート ポリシー

Sbc

SNMP

SONET SDH

スタティック

sysmgr

システム

トランスポート

tty アクセス

Tunnel（トンネル）

ユニバーサル

VLAN

VPDN

vrrp

前述のタスクのそれぞれはこれらまたはすべての 4 つの権限の何れかと与えることができます。

read

その指定を割り当て読込み操作だけ規定 します。

write

割り当てが変更オペレーション暗黙のうちに読込み操作に与える指定を規定 し。

実行して下さい

その指定を割り当てアクセス オペレーション 規定 します; たとえば、PING および Telnet。

デバッグ

その指定を割り当てデバッグ オペレーション 規定 します。

IOS XR のユーザが定義するコンポーネント

ユーザが定義するユーザグループ

管理者は彼自身のユーザグループを特定の必要を満たすために設定できます。 次に設定の例を示します。

RP/0/RSP1/CPU0:ASR9k(config)#usergroup TAC-Defined

RP/0/RSP1/CPU0:ASR9k(config-ug)#taskgroup operator

RP/0/RSP1/CPU0:ASR9k(config-ug)#commit

ユーザが定義するタスクグループ

管理者は自身のタスクグループを特定の必要を満たすために設定できます。 次に設定の例を示します。

RP/0/RSP1/CPU0:ASR9k(config)#taskgroup TAC-Defined-TASK

RP/0/RSP1/CPU0:ASR9k(config-tg)#task ?

debug    Specify a debug-type task ID

execute  Specify a execute-type task ID

read     Specify a read-type task ID

write    Specify a read-write-type task ID

RP/0/RSP1/CPU0:ASR9k(config-tg)#task read aaa

RP/0/RSP1/CPU0:ASR9k(config-tg)#task write aaa

RP/0/RSP1/CPU0:ASR9k(config-tg)#task execute aaa

RP/0/RSP1/CPU0:ASR9k(config-tg)#task debug aaa

RP/0/RSP1/CPU0:ASR9k(config-tg)#task read acl

RP/0/RSP1/CPU0:ASR9k(config-tg)#task write acl

RP/0/RSP1/CPU0:ASR9k(config-tg)#task execute acl

RP/0/RSP1/CPU0:ASR9k(config-tg)#commit

RP/0/RSP1/CPU0:ASR9k#show aaa taskgroup TAC-Defined-TASK

Task group 'TAC-Defined-TASK'

Task IDs included directly by this group:

Task:                  aaa  : READ    WRITE    EXECUTE    DEBUG

Task:                  acl  : READ    WRITE    EXECUTE

Task group 'TAC-Defined-TASK' has the following combined set

of task IDs (including all inherited groups):

Task:                  aaa  : READ    WRITE    EXECUTE    DEBUG

Task:                  acl  : READ    WRITE    EXECUTE

どんなタスクグループおよび権限ある特定のコマンドのために必要であるか見つける方法を確実ではない場合、説明しますそれを見つけるためにコマンドを使用できます。 次に例を示します。

例 1：

RP/0/RSP1/CPU0:ASR9k#describe show aaa usergroup

Package:

.....

User needs ALL of the following taskids:

aaa (READ)

RP/0/RSP1/CPU0:ASR9k#

ユーザをコマンドを実行することを許可するために AAA ユーザーグループを、タスクグループのこの行を許可する必要があります示して下さい:

読まれた AAA に任せて下さい

例 2：

RP/0/RSP1/CPU0:ASR9k(config)#describe aaa authentication login default group tacacs+

Package:

.....

User needs ALL of the following taskids:

aaa (READ WRITE)

RP/0/RSP1/CPU0:ASR9k(config)#

ユーザをコンフィギュレーションモードからコマンド AAA認証ログイン デフォルト グループ TACACS+ を経営することを許可するためにタスクグループのこの行を許可する必要があります:

タスク読み書き AAA

インポートする複数のタスクグループをできるユーザグループを定義できます。 次に設定の例を示します。

RP/0/RSP1/CPU0:ASR9k#show aaa usergroup TAC-Defined

Tue Feb 16 00:50:56.799 UTC

User group 'TAC-Defined'

Inherits from task group 'operator'

User group 'TAC-Defined' has the following combined set

of task IDs (including all inherited groups):

Task:       basic-services  : READ    WRITE    EXECUTE    DEBUG

Task:                  cdp  : READ

Task:                 diag  : READ

Task:           ext-access  : READ             EXECUTE

Task:              logging  : READ

RP/0/RSP1/CPU0:ASR9k#conf t

RP/0/RSP1/CPU0:ASR9k(config)#usergroup TAC-Defined

RP/0/RSP1/CPU0:ASR9k(config-ug)#taskgroup TAC-Defined-TASK

RP/0/RSP1/CPU0:ASR9k(config-ug)#commit

RP/0/RSP1/CPU0:ASR9k#show aaa usergroup TAC-Defined

Tue Feb 16 00:51:31.494 UTC

User group 'TAC-Defined'

Inherits from task group 'operator'

Inherits from task group 'TAC-Defined-TASK'

User group 'TAC-Defined' has the following combined set

of task IDs (including all inherited groups):

Task:                  aaa  : READ    WRITE    EXECUTE    DEBUG

Task:                  acl  : READ    WRITE    EXECUTE

Task:       basic-services  : READ    WRITE    EXECUTE    DEBUG

Task:                  cdp  : READ

Task:                 diag  : READ

Task:           ext-access  : READ             EXECUTE

Task:              logging  : READ

ルータの AAA設定

ルータの TACACSサーバを定義して下さい:

キー cisco との tacacs サーバと ACS サーバのIPアドレスを定義します

RP/0/RSP1/CPU0:ASR9k(config)#tacacs-server host 10.106.73.233 port 49

RP/0/RSP1/CPU0:ASR9k(config-tacacs-host)#key 0 cisco

RP/0/RSP1/CPU0:ASR9k(config-tacacs-host)#commit

!

tacacs-server host 10.106.73.233 port 49

key 7 14141B180F0B

!

外部 TACACSサーバを認証および許可を指して下さい。

#aaa authentication login default group tacacs+ local

#aaa authorization exec default group tacacs+ local

コマンド authorisation（optional）:

#aaa authorization commands default group tacacs+

外部サーバ（オプションの）を会計を指して下さい。

#aaa accounting commands default start-stop group tacacs+

#aaa accounting update newinfo

ACS サーバコンフィギュレーション

ステップ 1. AAA クライアントのルータ IP を定義するためにイメージに示すようにネットワークリソース > ネットワークデバイスおよび AAA クライアントに ACS サーバに、ナビゲート、リストして下さい。 この例では、ASR の設定によって共有秘密と cisco を定義します。

ステップ 2.、このイメージに示すように、要件によってユーザグループを、例で使用します 4 グループを定義して下さい。

ステップ 3.イメージに示すように、ユーザを作成し、上で作成されるそれぞれユーザグループにマッピング して下さい。

注: この例では、認証のための ACS 内部ユーザは保存すればそれらを同様に使用できれば作成される外部識別でユーザを使用したいと思う場合、使用されます。 この例では、外部識別出典 ユーザはカバーされません。

ステップ 4.それぞれユーザ向けに押したいと思うシェル プロファイルを定義して下さい。

既に作成されたシェル プロファイルではイメージに示すようにそれぞれタスクグループを押すために、設定します。

ステップ 5.アクセスポリシーを定義して下さい。 認証は内部ユーザに対して行われます。

ステップ 6.以前に作成されたユーザ識別グループを使用して要件に基づいて許可を設定し、イメージに示すようにそれぞれシェル プロファイルを、マッピング して下さい。

確認

Operator

ログインするために、ユーザ名 asrread は使用されます。 これらは確認コマンドです。

username: ASRread

password:

RP/0/RSP1/CPU0:ASR9k#show user

ASRread

RP/0/RSP1/CPU0:ASR9k#show user group

operator

RP/0/RSP1/CPU0:ASR9k#show user tasks

Task:       basic-services  : READ    WRITE    EXECUTE    DEBUG

Task:                  cdp  : READ

Task:                 diag  : READ

Task:           ext-access  : READ             EXECUTE

Task:              logging  : READ

AAA のオペレータ

ログインするために、ユーザ名 asraaa は使用されます。 これらは確認コマンドです。

注: asraaa は読み書き AAA タスクと共に TACACSサーバから押されるオペレータ タスクで、権限を実行します。

username: asraaa

password:

RP/0/RSP1/CPU0:ASR9k#sh user

asraaa

RP/0/RSP1/CPU0:ASR9k#sh user group

operator

RP/0/RSP1/CPU0:ASR9k#sh user tasks

Task:                  aaa  : READ    WRITE    EXECUTE

Task:       basic-services  : READ    WRITE    EXECUTE    DEBUG

Task:                  cdp  : READ

Task:                 diag  : READ

Task:           ext-access  : READ             EXECUTE

Task:              logging  : READ

Sysadmin

ログインするために、ユーザ名 asrwrite は使用されます。 これらは確認コマンドです。

username: asrwrite

password:

RP/0/RSP1/CPU0:ASR9k#sh user

asrwrite

RP/0/RSP1/CPU0:ASR9k#sh user group

sysadmin

RP/0/RSP1/CPU0:ASR9k#sh user tasks

Task:                  aaa  : READ

Task:                  acl  : READ    WRITE    EXECUTE    DEBUG

Task:                admin  : READ

Task:                 ancp  : READ

Task:                  atm  : READ

Task:       basic-services  : READ    WRITE    EXECUTE    DEBUG

Task:                 bcdl  : READ

Task:                  bfd  : READ

Task:                  bgp  : READ

Task:                 boot  : READ    WRITE    EXECUTE    DEBUG

Task:               bundle  : READ

Task:            call-home  : READ

Task:                  cdp  : READ    WRITE    EXECUTE    DEBUG

Task:                  cef  : READ

Task:                  cgn  : READ

Task:          config-mgmt  : READ    WRITE    EXECUTE    DEBUG

Task:      config-services  : READ    WRITE    EXECUTE    DEBUG

Task:               crypto  : READ    WRITE    EXECUTE    DEBUG

Task:                 diag  : READ    WRITE    EXECUTE    DEBUG

Task:              drivers  : READ

Task:                 dwdm  : READ

Task:                  eem  : READ    WRITE    EXECUTE    DEBUG

Task:                eigrp  : READ

Task:    ethernet-services  : READ

--More--

(output omitted )

ルート システム

ログインするために、ユーザ名 asrroot は使用されます。 これらは確認コマンドです。

username: asrroot

password:

RP/0/RSP1/CPU0:ASR9k#show user

asrroot

RP/0/RSP1/CPU0:ASR9k#show user group

root-system

RP/0/RSP1/CPU0:ios#show user tasks

Task:                  aaa  : READ    WRITE    EXECUTE    DEBUG

Task:                  acl  : READ    WRITE    EXECUTE    DEBUG

Task:                admin  : READ    WRITE    EXECUTE    DEBUG

Task:                 ancp  : READ    WRITE    EXECUTE    DEBUG

Task:                  atm  : READ    WRITE    EXECUTE    DEBUG

Task:       basic-services  : READ    WRITE    EXECUTE    DEBUG

Task:                 bcdl  : READ    WRITE    EXECUTE    DEBUG

Task:                  bfd  : READ    WRITE    EXECUTE    DEBUG

Task:                  bgp  : READ    WRITE    EXECUTE    DEBUG

Task:                 boot  : READ    WRITE    EXECUTE    DEBUG

Task:               bundle  : READ    WRITE    EXECUTE    DEBUG

Task:            call-home  : READ    WRITE    EXECUTE    DEBUG

Task:                  cdp  : READ    WRITE    EXECUTE    DEBUG

Task:                  cef  : READ    WRITE    EXECUTE    DEBUG

Task:                  cgn  : READ    WRITE    EXECUTE    DEBUG

Task:          config-mgmt  : READ    WRITE    EXECUTE    DEBUG

Task:      config-services  : READ    WRITE    EXECUTE    DEBUG

Task:               crypto  : READ    WRITE    EXECUTE    DEBUG

Task:                 diag  : READ    WRITE    EXECUTE    DEBUG

Task:              drivers  : READ    WRITE    EXECUTE    DEBUG

Task:                 dwdm  : READ    WRITE    EXECUTE    DEBUG

Task:                  eem  : READ    WRITE    EXECUTE    DEBUG

Task:                eigrp  : READ    WRITE    EXECUTE    DEBUG

--More--

(output omitted )

トラブルシューティング

モニタリングおよびレポート ページからの ACS レポートを確認できます。 イメージに示すように、Detailed レポートを見るために拡大鏡 sumbol をクリックすることができます。

これらは ASR で解決する少数の有用な コマンドです:

- show user

- show user グループ

- show user タスク

- show user すべて