目錄

簡介

必要條件

需求

採用元件

慣例

組態

配置ACS 5.x以進行身份驗證和授權

配置Cisco IOS裝置以進行身份驗證和授權

驗證

相關資訊

簡介

本文提供使用Cisco Secure Access Control System(ACS)5.x及更高版本根據使用者的AD群組成員身分設定TACACS+驗證和命令授權的範例。ACS使用Microsoft Active Directory(AD)作為外部身份庫來儲存資源，例如使用者、電腦、組和屬性。

必要條件

需求

嘗試此組態之前，請確保符合以下要求：

- ACS 5.x已完全整合到所需的AD域。如果ACS未與所需的AD域整合，請參閱ACS 5.x及更高版本：與Microsoft Active Directory整合配置示例以瞭解詳細資訊，以便執行整合任務。

採用元件

本文中的資訊係根據以下軟體和硬體版本：

- Cisco安全ACS 5.3

- Cisco IOS®軟體版本12.2(44)SE6。

注意：可以在所有Cisco IOS裝置上完成此配置。

- Microsoft Windows Server 2003域

本文中的資訊是根據特定實驗室環境內的裝置所建立。文中使用到的所有裝置皆從已清除（預設）的組態來啟動。如果您的網路正在作用，請確保您已瞭解任何指令可能造成的影響。

慣例

請參閱思科技術提示慣例以瞭解更多有關文件慣例的資訊。

組態

配置ACS 5.x以進行身份驗證和授權

在開始配置ACS 5.x進行身份驗證和授權之前，應該已經將ACS成功與Microsoft AD整合。如果ACS未與所需的AD域整合，請參閱ACS 5.x及更高版本：與Microsoft Active Directory整合配置示例以瞭解詳細資訊，以便執行整合任務。

在本節中，您將兩個AD組對映到兩個不同的命令集和兩個Shell配置檔案，一個在Cisco IOS裝置上具有完全訪問許可權，另一個具有有限訪問許可權。

1. 使用管理員憑據登入ACS GUI。

2. 選擇Users and Identity Stores > External Identity Stores > Active Directory，並驗證ACS是否已加入所需的域，以及連線狀態是否顯示為已連線。

按一下Directory Groups選項卡。

3. 按一下「Select」。

4. 選擇需要對映到配置後期的Shell配置檔案和命令集的組。按一下「OK」（確定）。

5. 按一下「Save Changes」。

6. 選擇Access Policies > Access Services > Service Selection Rules，並確定處理TACACS+身份驗證的接入服務。在本示例中，它是Default Device Admin。

7. 選擇Access Policies > Access Services > Default Device Admin > Identity，然後按一下Identity Source旁邊的Select。

8. 選擇AD1，然後按一下OK。

9. 按一下「Save Changes」。

10. 選擇Access Policies > Access Services > Default Device Admin > Authorization，然後按一下Customize。

11. 將AD1:ExternalGroups從「可用」(Available)複製到「自定義條件」(Customize Conditions)的「選定」(Selected)部分，然後將「殼輪廓」(Shell Profile)和「命令集」(Command Sets)從「可用」(Available)移動到「自定義結果」(Customize Results)的「選定」部分。現在按一下OK。

12. 按一下Create以建立新規則。

13. 在AD1:ExternalGroups條件中按一下Select。

14. 選擇要在Cisco IOS裝置上提供完全訪問許可權的組。按一下「OK」（確定）。

15. 在「外殼配置檔案」(Shell Profile)欄位中按一下選擇。

16. 按一下Create可為完全訪問使用者建立新的Shell Profile。

17. 在General索引標籤中提供Name和Description（可選），然後按一下Common Tasks索引標籤。

18. 將「預設許可權」和「最大許可權」更改為Static，並使值為15。按一下Submit。

19. 現在，選擇新建立的完全訪問外殼配置檔案（在本示例中為「完全許可權」），然後按一下OK。

20. 在「命令集」欄位中按一下選擇。

21. 按一下Create以為Full-Access使用者建立新的命令集。

22. 提供名稱，並確保選中Permit any command that is not in the table旁邊的覈取方塊。按一下「Submit」。

註：有關命令集的詳細資訊，請參閱建立、複製和編輯裝置管理的命令集。

23. 按一下「OK」（確定）。

24. 按一下「OK」（確定）。這樣就完成了Rule-1的配置。

25. 按一下Create可為受限訪問使用者創建新規則。

26. 選擇AD1:ExternalGroups，然後按一下Select。

27. 選擇要提供有限訪問許可權的組（或）組，然後按一下確定。

28. 在「外殼配置檔案」(Shell Profile)欄位中按一下選擇。

29. 按一下Create以建立新的Shell Profile以進行受限訪問。

30. 在General 索引標籤中提供Name和Description（可選），然後點選Common Tasks索引標籤。

31. 將Default Privilege和Maximum Privilege更改為Static，分別使用值1和15。按一下「Submit」。

32. 按一下「OK」（確定）。

33. 在「命令集」欄位中按一下選擇。

34. 按一下Create為受限訪問組建立新的命令集。

35. 提供名稱，並確保未選中Permit any command that is not in the table旁邊的覈取方塊。在命令部分提供的空白處鍵入show後，單擊Add，然後在Grant部分中選擇Permit，以便僅允許有限訪問組中的使用者使用show命令。

36. 類似地，使用Add為有限訪問組中的使用者新增任何其他允許使用的命令。按一下「Submit」。

註：有關命令集的詳細資訊，請參閱建立、複製和編輯裝置管理的命令集。

37. 按一下「OK」（確定）。

38. 按一下「OK」（確定）。

39. 按一下「Save Changes」。

40. 按一下「Create」以將Cisco IOS裝置新增為ACS上的AAA Client。

41. 提供TACACS+的名稱、IP地址、共用密碼，然後按一下Submit。

配置Cisco IOS裝置以進行身份驗證和授權

完成這些步驟，以設定Cisco IOS裝置和ACS以進行驗證和授權。

1. 使用username命令建立對回退具有完全許可權的本地使用者，如下所示：

username admin privilege 15 password 0 cisco123!

2. 提供ACS的IP地址以啟用AAA並新增ACS 5.x作為TACACS伺服器。

aaa new-model

tacacs-server host 192.168.26.51 key cisco123

注意：金鑰應與ACS上為此Cisco IOS裝置提供的共用金鑰匹配。

3. 使用test aaa命令測試TACACS伺服器的可達性，如下所示。

test aaa group tacacs+ user1 xxxxx legacy

Attempting authentication test to server-group tacacs+ using tacacs+

User was successfully authenticated.

上一個命令的輸出顯示TACACS伺服器可訪問且使用者已成功通過身份驗證。

注意：使用者1和密碼xxx屬於AD。如果測試失敗，請確保上一步中提供的共用金鑰正確。

4. 配置登入並啟用身份驗證，然後使用Exec和命令授權，如下所示：

aaa authentication login default group tacacs+ local

aaa authentication enable default group tacacs+ enable

aaa authorization exec default group tacacs+ local

aaa authorization commands 0 default group tacacs+ local

aaa authorization commands 1 default group tacacs+ local

aaa authorization commands 15 default group tacacs+ local

aaa authorization config-commands

注意：如果TACACS伺服器無法訪問，則Local和Enable關鍵字分別用於回退到Cisco IOS本地使用者和enable secret。

驗證

驗證透過Telnet登入Cisco IOS裝置的驗證和授權。

1. 以user1的身份通過Telnet連線到Cisco IOS裝置，該使用者屬於AD中的完全訪問組。Network Admins組是AD中對映到ACS上設定的完全特權外殼配置檔案和完全訪問命令的組。嘗試運行任何命令以確保您具有完全訪問許可權。

2. 以user2身份通過Telnet連線到Cisco IOS裝置，該使用者在AD中屬於受限訪問組。(Network Maintenance Team組是AD中對映到在ACS上設定Limited-Privilege Shell Profile和Show-Access Command的組)。 如果您嘗試運行除Show-Access命令集中提到的命令以外的任何命令，您應該會收到Command Authorization Failed錯誤，其中顯示user2具有有限的訪問許可權。

3. 登入到ACS GUI並啟動監控和報告檢視器。選擇AAA Protocol > TACACS+Authorization以驗證user1和user2執行的活動。

相關資訊

- 思科安全存取控制系統

- 技術支援與文件 - Cisco Systems