Índice

Introdução

Pré-requisitos

Requisitos

Componentes Utilizados

Configuração

Componentes predefinidos em IO XR

Grupos de usuário predefinidos

Grupos de tarefa predefinidos

Componentes definidos pelo utilizador em IO XR

Grupos de usuário definidos pelo utilizador

Grupos de tarefa definidos pelo utilizador

Configuração de AAA no roteador

Configuração de servidor ACS

Verificar

Operador

Operador com AAA

Sysadmin

Raiz-sistema

Troubleshooting

Introdução

Este documento descreve a configuração do roteador dos serviços da agregação do 9000 Series ASR (ASR) para autenticar e autorizar através do TACACS+ com o server 5.x do Serviço de controle de acesso Cisco Secure (ACS).

Este exemplos a aplicação do modelo administrativo da autorização tarefa-baseada usada para controlar o acesso de usuário no sistema do Software Cisco IOS XR. As tarefas principal exigidas para executar a autorização tarefa-baseada envolvem como configurar grupos de usuário e grupos de tarefa. Os grupos de usuário e os grupos de tarefa são configurados através do comando set do Software Cisco IOS XR usado para serviços da autenticação, da autorização e da contabilidade (AAA). Os comandos authentication são usados verificar a identidade de um usuário ou de um diretor. Os comandos authorization são usados verificar que um usuário autenticado (ou o diretor) estão concedidos a permissão executar uma tarefa específica. Os comandos de contabilidade são usados registrando das sessões e para criar uns circuitos de auditoria gravando determinadas ações do usuário ou sistema-gerada.

Pré-requisitos

Requisitos

A Cisco recomenda que você tenha conhecimento destes tópicos:

- Desenvolvimento e configuração básica ASR 9000

- Desenvolvimento e configuração ACS 5.x.

- Protocolo TACACS+

Componentes Utilizados

As informações neste documento são baseadas nestas versões de software e hardware:

- ASR 9000 com Software Cisco IOS XR, versão 4.3.4

- Cisco Secure ACS 5.7

As informações apresentadas neste documento foram criadas a partir de dispositivos em um ambiente de laboratório específico. Todos os dispositivos utilizados neste documento foram iniciados com uma configuração (padrão) inicial. Se sua rede está viva, certifique-se de que você compreende o impacto potencial de toda a alteração de configuração.

Configuração

Componentes predefinidos em IO XR

Há uns grupos de usuário e uns grupos de tarefa predefinidos em IO XR. O administrador pode usar estes grupos predefinidos ou definir grupos feitos sob encomenda conforme a exigência.

Grupos de usuário predefinidos

Estes grupos de usuário são predefinidos em IO XR:

Grupo de usuário

Privilégios

Cisco-apoio

Debugar e pesquise defeitos características (geralmente, usado por pessoais de suporte técnico de Cisco).

netadmin

Configurar protocolos de rede tais como o Open Shortest Path First (OSPF) (usado geralmente por administradores de rede).

operador

Execute atividades de monitoração do dia a dia, e limitaram direitos da configuração.

raiz-LR

Indique e execute comandos all dentro de um único RP.

raiz-sistema

Indique e execute comandos all para todos os RP no sistema.

sysadmin

Execute tarefas da administração do sistema para o roteador, tal como a manutenção de onde os dumps principais são armazenados ou estabelecendo o pulso de disparo do Network Time Protocol (NTP).

serviceadmin

Execute tarefas da administração do serviço, tais como o controlador de limite de sessões (SBC).

O grupo de usuário do raiz-sistema predefiniu a autorização; isto é, tem a responsabilidade completa para recursos USER-controlados raiz-sistema e determinadas responsabilidades nos outros serviços.

Use estes comandam para verificar os grupos de usuário predefinidos:

RP/0/RSP1/CPU0:ASR9k#show aaa usergroup ?

|              Output Modifiers

root-lr        Name of the usergroup

netadmin       Name of the usergroup

operator       Name of the usergroup

sysadmin       Name of the usergroup

root-system    Name of the usergroup

serviceadmin   Name of the usergroup

cisco-support  Name of the usergroup

WORD           Name of the usergroup

<cr>

Grupos de tarefa predefinidos

Estes grupos de tarefa predefinidos estão disponíveis para que os administradores usem-se, tipicamente para a configuração inicial:

- Cisco-apoio: Tarefas dos pessoais de suporte Cisco

- netadmin: Tarefas do administrador de rede

- operador: Tarefas do dia a dia do operador (para propósitos de demonstração)

- raiz-LR: Tarefas do administrador de roteador do domínio seguro

- raiz-sistema: Tarefas do administrador de sistema amplo

- sysadmin: Tarefas do administrador de sistema

- serviceadmin: Preste serviços de manutenção a tarefas da administração, por exemplo, SBC

Use estes comandam para verificar os grupos de tarefa predefinidos:

RP/0/RSP1/CPU0:ASR9k#show aaa taskgroup ?

|              Output Modifiers

root-lr        Name of the taskgroup

netadmin       Name of the taskgroup

operator       Name of the taskgroup

sysadmin       Name of the taskgroup

root-system    Name of the taskgroup

serviceadmin   Name of the taskgroup

cisco-support  Name of the taskgroup

WORD           Name of the taskgroup

<cr>

Use este comando verificar as tarefas apoiadas:

RP/0/RSP1/CPU0:ASR9k#show aaa task supported

Está aqui a lista de tarefas apoiadas:

Aaa

Acl

Admin

Ancp

Atm

serviços básicos

Bcdl

Bfd

bgp

Inicialização

Pacote

call-home

Cdp

Cef

Cgn

Cisco-apoio

configuração-Mgmt

configuração-serviços

Cripto

Diag

Recusado

Direcionadores

Dwdm

Eem

Eigrp

Ethernet-serviços

ext-acesso

Tela

falha-mgr

Sistema de arquivos

Guarda-fogo

Franco

Hdlc

serviços de host

Hsrp

relação

Inventário

Serviços IP

IPv4

IPv6

Isis

L2vpn

Li

Lisp

registro

Lpts

Monitor

mpls-LDP

mpls-estático

MPLS TE

Transmissão múltipla

Netflow

Rede

nps

OSPF

Ouni

Pbr

pacote-Mgmt

POS-DPT

Ppp

Qos

Rcmd

RIB

Rip

raiz-LR

raiz-sistema

mapa de rotas

rota-política

Sbc

Snmp:

SONET-SDH

estático

Sysmgr

Sistema

Transporte

TTY-acesso

Túnel

Universal

Vlan

Vpdn

vrrp

Cada um das tarefas acima mencionadas pode ser dada com qualqueras um ou todas as quatro permissões.

Lido

Especifica uma designação que permita somente uma operação de leitura.

Escreva

Especifica uma designação que permita uma operação da mudança e permita implicitamente uma operação de leitura.

Execute

Especifica uma designação que permita uma operação do acesso; por exemplo, sibilo e telnet.

Debug

Especifica uma designação que permita uma operação debugar.

Componentes definidos pelo utilizador em IO XR

Grupos de usuário definidos pelo utilizador

O administrador pode configurar seus próprios grupos de usuário para encontrar necessidades particulares. Está aqui o exemplo de configuração:

RP/0/RSP1/CPU0:ASR9k(config)#usergroup TAC-Defined

RP/0/RSP1/CPU0:ASR9k(config-ug)#taskgroup operator

RP/0/RSP1/CPU0:ASR9k(config-ug)#commit

Grupos de tarefa definidos pelo utilizador

O administrador pode configurar seus próprios grupos de tarefa para encontrar necessidades particulares. Está aqui o exemplo de configuração:

RP/0/RSP1/CPU0:ASR9k(config)#taskgroup TAC-Defined-TASK

RP/0/RSP1/CPU0:ASR9k(config-tg)#task ?

debug    Specify a debug-type task ID

execute  Specify a execute-type task ID

read     Specify a read-type task ID

write    Specify a read-write-type task ID

RP/0/RSP1/CPU0:ASR9k(config-tg)#task read aaa

RP/0/RSP1/CPU0:ASR9k(config-tg)#task write aaa

RP/0/RSP1/CPU0:ASR9k(config-tg)#task execute aaa

RP/0/RSP1/CPU0:ASR9k(config-tg)#task debug aaa

RP/0/RSP1/CPU0:ASR9k(config-tg)#task read acl

RP/0/RSP1/CPU0:ASR9k(config-tg)#task write acl

RP/0/RSP1/CPU0:ASR9k(config-tg)#task execute acl

RP/0/RSP1/CPU0:ASR9k(config-tg)#commit

RP/0/RSP1/CPU0:ASR9k#show aaa taskgroup TAC-Defined-TASK

Task group 'TAC-Defined-TASK'

Task IDs included directly by this group:

Task:                  aaa  : READ    WRITE    EXECUTE    DEBUG

Task:                  acl  : READ    WRITE    EXECUTE

Task group 'TAC-Defined-TASK' has the following combined set

of task IDs (including all inherited groups):

Task:                  aaa  : READ    WRITE    EXECUTE    DEBUG

Task:                  acl  : READ    WRITE    EXECUTE

Se você não é certo como encontrar que grupo de tarefa e permissão é com certeza comando necessário, você pode usar-se descreve o comando encontrá-lo. Aqui está um exemplo:

Exemplo 1:

RP/0/RSP1/CPU0:ASR9k#describe show aaa usergroup

Package:

.....

User needs ALL of the following taskids:

aaa (READ)

RP/0/RSP1/CPU0:ASR9k#

A fim permitir que um usuário execute o grupo de utilizadores aaa do comando show, você precisa de permitir esta linha no grupo de tarefa:

a tarefa leu o aaa

Exemplo 2:

RP/0/RSP1/CPU0:ASR9k(config)#describe aaa authentication login default group tacacs+

Package:

.....

User needs ALL of the following taskids:

aaa (READ WRITE)

RP/0/RSP1/CPU0:ASR9k(config)#

A fim permitir que um usuário dirija o grupo padrão tacacs+ do comando aaa authentication login do modo de configuração, você precisa de permitir esta linha no grupo de tarefa:

tarefa aaa de leitura/gravação

Você pode definir o grupo de usuário que pode importa diversos grupos de tarefa. Está aqui o exemplo de configuração:

RP/0/RSP1/CPU0:ASR9k#show aaa usergroup TAC-Defined

Tue Feb 16 00:50:56.799 UTC

User group 'TAC-Defined'

Inherits from task group 'operator'

User group 'TAC-Defined' has the following combined set

of task IDs (including all inherited groups):

Task:       basic-services  : READ    WRITE    EXECUTE    DEBUG

Task:                  cdp  : READ

Task:                 diag  : READ

Task:           ext-access  : READ             EXECUTE

Task:              logging  : READ

RP/0/RSP1/CPU0:ASR9k#conf t

RP/0/RSP1/CPU0:ASR9k(config)#usergroup TAC-Defined

RP/0/RSP1/CPU0:ASR9k(config-ug)#taskgroup TAC-Defined-TASK

RP/0/RSP1/CPU0:ASR9k(config-ug)#commit

RP/0/RSP1/CPU0:ASR9k#show aaa usergroup TAC-Defined

Tue Feb 16 00:51:31.494 UTC

User group 'TAC-Defined'

Inherits from task group 'operator'

Inherits from task group 'TAC-Defined-TASK'

User group 'TAC-Defined' has the following combined set

of task IDs (including all inherited groups):

Task:                  aaa  : READ    WRITE    EXECUTE    DEBUG

Task:                  acl  : READ    WRITE    EXECUTE

Task:       basic-services  : READ    WRITE    EXECUTE    DEBUG

Task:                  cdp  : READ

Task:                 diag  : READ

Task:           ext-access  : READ             EXECUTE

Task:              logging  : READ

Configuração de AAA no roteador

Defina um servidor de TACACS no roteador:

Aqui você define o endereço IP de Um ou Mais Servidores Cisco ICM NT do servidor ACS como o TACACS-server com Cisco chave

RP/0/RSP1/CPU0:ASR9k(config)#tacacs-server host 10.106.73.233 port 49

RP/0/RSP1/CPU0:ASR9k(config-tacacs-host)#key 0 cisco

RP/0/RSP1/CPU0:ASR9k(config-tacacs-host)#commit

!

tacacs-server host 10.106.73.233 port 49

key 7 14141B180F0B

!

Aponte a autenticação e a autorização ao servidor de TACACS externo.

#aaa authentication login default group tacacs+ local

#aaa authorization exec default group tacacs+ local

Authorisation(optional) do comando:

#aaa authorization commands default group tacacs+

Aponte a contabilidade ao servidor interno (opcional).

#aaa accounting commands default start-stop group tacacs+

#aaa accounting update newinfo

Configuração de servidor ACS

Etapa 1. A fim definir o roteador que o IP nos clientes de AAA alista no servidor ACS, navega aos recursos de rede > aos dispositivos de rede e aos clientes de AAA, segundo as indicações da imagem. Neste exemplo, você define Cisco como o segredo compartilhado como configurado no ASR.

Etapa 2. Defina os grupos de usuário conforme sua exigência, no exemplo, segundo as indicações desta imagem, você usam quatro grupos.

Etapa 3. Segundo as indicações da imagem, crie os usuários e trace-os ao grupo de usuário respectivo criado acima.

Note: Neste exemplo, os usuários internos ACS para a autenticação estão usados, se você quer usar os usuários criados na identidade externo o armazena pode os usar também. Neste exemplo, os usuários externos da fonte da identidade não são cobertos.

Etapa 4. Defina o perfil que do shell você quer incrementar os usuários respectivos.

No perfil já criado do shell, você configura para empurrar os grupos de tarefa respectivos segundo as indicações da imagem.

Etapa 5. Defina a política de acesso. A autenticação é feita contra os usuários internos.

Etapa 6. Configurar a autorização baseada na exigência usando os grupos previamente criados da identidade do usuário e trace os perfis respectivos do shell, segundo as indicações da imagem.

Verificar

Operador

A fim entrar, o asrread username é usado. Estes são os comandos de verificação.

username: ASRread

password:

RP/0/RSP1/CPU0:ASR9k#show user

ASRread

RP/0/RSP1/CPU0:ASR9k#show user group

operator

RP/0/RSP1/CPU0:ASR9k#show user tasks

Task:       basic-services  : READ    WRITE    EXECUTE    DEBUG

Task:                  cdp  : READ

Task:                 diag  : READ

Task:           ext-access  : READ             EXECUTE

Task:              logging  : READ

Operador com AAA

A fim entrar, o asraaa username é usado. Estes são os comandos de verificação.

Note: o asraaa é a tarefa do operador empurrada do servidor de TACACS junto com a tarefa aaa de leitura/gravação e executa permissões.

username: asraaa

password:

RP/0/RSP1/CPU0:ASR9k#sh user

asraaa

RP/0/RSP1/CPU0:ASR9k#sh user group

operator

RP/0/RSP1/CPU0:ASR9k#sh user tasks

Task:                  aaa  : READ    WRITE    EXECUTE

Task:       basic-services  : READ    WRITE    EXECUTE    DEBUG

Task:                  cdp  : READ

Task:                 diag  : READ

Task:           ext-access  : READ             EXECUTE

Task:              logging  : READ

Sysadmin

A fim entrar, o asrwrite username é usado. Estes são os comandos de verificação.

username: asrwrite

password:

RP/0/RSP1/CPU0:ASR9k#sh user

asrwrite

RP/0/RSP1/CPU0:ASR9k#sh user group

sysadmin

RP/0/RSP1/CPU0:ASR9k#sh user tasks

Task:                  aaa  : READ

Task:                  acl  : READ    WRITE    EXECUTE    DEBUG

Task:                admin  : READ

Task:                 ancp  : READ

Task:                  atm  : READ

Task:       basic-services  : READ    WRITE    EXECUTE    DEBUG

Task:                 bcdl  : READ

Task:                  bfd  : READ

Task:                  bgp  : READ

Task:                 boot  : READ    WRITE    EXECUTE    DEBUG

Task:               bundle  : READ

Task:            call-home  : READ

Task:                  cdp  : READ    WRITE    EXECUTE    DEBUG

Task:                  cef  : READ

Task:                  cgn  : READ

Task:          config-mgmt  : READ    WRITE    EXECUTE    DEBUG

Task:      config-services  : READ    WRITE    EXECUTE    DEBUG

Task:               crypto  : READ    WRITE    EXECUTE    DEBUG

Task:                 diag  : READ    WRITE    EXECUTE    DEBUG

Task:              drivers  : READ

Task:                 dwdm  : READ

Task:                  eem  : READ    WRITE    EXECUTE    DEBUG

Task:                eigrp  : READ

Task:    ethernet-services  : READ

--More--

(output omitted )

Raiz-sistema

A fim entrar, o asrroot username é usado. Estes são os comandos de verificação.

username: asrroot

password:

RP/0/RSP1/CPU0:ASR9k#show user

asrroot

RP/0/RSP1/CPU0:ASR9k#show user group

root-system

RP/0/RSP1/CPU0:ios#show user tasks

Task:                  aaa  : READ    WRITE    EXECUTE    DEBUG

Task:                  acl  : READ    WRITE    EXECUTE    DEBUG

Task:                admin  : READ    WRITE    EXECUTE    DEBUG

Task:                 ancp  : READ    WRITE    EXECUTE    DEBUG

Task:                  atm  : READ    WRITE    EXECUTE    DEBUG

Task:       basic-services  : READ    WRITE    EXECUTE    DEBUG

Task:                 bcdl  : READ    WRITE    EXECUTE    DEBUG

Task:                  bfd  : READ    WRITE    EXECUTE    DEBUG

Task:                  bgp  : READ    WRITE    EXECUTE    DEBUG

Task:                 boot  : READ    WRITE    EXECUTE    DEBUG

Task:               bundle  : READ    WRITE    EXECUTE    DEBUG

Task:            call-home  : READ    WRITE    EXECUTE    DEBUG

Task:                  cdp  : READ    WRITE    EXECUTE    DEBUG

Task:                  cef  : READ    WRITE    EXECUTE    DEBUG

Task:                  cgn  : READ    WRITE    EXECUTE    DEBUG

Task:          config-mgmt  : READ    WRITE    EXECUTE    DEBUG

Task:      config-services  : READ    WRITE    EXECUTE    DEBUG

Task:               crypto  : READ    WRITE    EXECUTE    DEBUG

Task:                 diag  : READ    WRITE    EXECUTE    DEBUG

Task:              drivers  : READ    WRITE    EXECUTE    DEBUG

Task:                 dwdm  : READ    WRITE    EXECUTE    DEBUG

Task:                  eem  : READ    WRITE    EXECUTE    DEBUG

Task:                eigrp  : READ    WRITE    EXECUTE    DEBUG

--More--

(output omitted )

Troubleshooting

Você pode verificar o relatório ACS da página da monitoração e do relatório. Segundo as indicações da imagem, você pode clicar sobre o sumbol da lupa para ver o relatório detalhado.

Estes são alguns comandos úteis pesquisar defeitos no ASR:

- mostre o usuário

- mostre o grupo de usuário

- mostre tarefas do usuário

- mostre o usuário todo