Cisco SD-WAN AAA ソフトウェアは、ロールベースのアクセスを実装して、Cisco IOS XE SD-WAN デバイス のユーザーの認可権限を制御します。ロールベースのアクセスは、次の 3 つのコンポーネントで構成されます。

• ユーザーは、Cisco IOS XE SD-WAN デバイス へのログインが許可されているユーザーです。

• ユーザーグループは、ユーザーのコレクションです。

• 権限は各グループに関連付けられています。これらは、グループのユーザーが発行を許可されているコマンドを定義します。

ユーザーとユーザーグループ

Cisco IOS XE SD-WAN デバイス での操作の実行が許可されているすべてのユーザーは、ログインアカウントを持っている必要があります。ログインアカウントについては、デバイス自体でユーザー名とパスワードを設定します。これらにより、ユーザーはそのデバイスにログインできます。ユーザーがアクセスを許可されている各デバイスで、ユーザー名とパスワードを設定する必要があります。

Cisco SD-WAN ソフトウェアは、UNIX スーパーユーザーと同様な、完全な管理者権限を持つユーザーである admin という 1 つの標準ユーザー名を提供します。デフォルトでは、admin ユーザー名のパスワードは admin です。このユーザー名を削除または変更することはできませんが、デフォルトのパスワードは変更できますし、変更する必要があります。

ユーザーグループは、Cisco IOS XE SD-WAN デバイス で共通のロールまたは権限を持つユーザーをプールします。ログインアカウント情報の構成の一環として、ユーザーがメンバーであるユーザーグループを指定します。admin ユーザーのグループを指定する必要はありません。このユーザーは自動的にユーザーグループ netadmin に属し、Cisco IOS XE SD-WAN デバイス でのすべての操作の実行が許可されるためです。

ユーザーグループ自体は、そのグループに関連付けられた権限を設定する場所です。これらの権限は、ユーザーが実行を許可されている特定のコマンドに対応し、Cisco SD-WAN ソフトウェア要素への役割ベースのアクセスを効果的に定義します。

Cisco SD-WAN ソフトウェアは、次の標準ユーザーグループを提供します。

• [basic]：[basic] グループは設定可能なグループであり、任意のユーザーおよび権限レベルに使用できます。このグループは、デバイス上の情報を表示および変更する権限を持つユーザーを含むように設計されています。

• [operator]：[operator] グループも設定可能なグループであり、任意のユーザーおよび権限レベルに使用できます。このグループは、情報を表示する権限のみを持つユーザーを含むように設計されています。

• [netadmin]：[netadmin] グループは設定不可能なグループです。デフォルトでは、このグループには admin ユーザーが含まれます。このグループに他のユーザーを追加できます。このグループのユーザーは、デバイスですべての操作を実行できます。

• サポート対象の最小リリース：Cisco vManage リリース 20.9.1

  [network_operations]：[network_operations] グループは設定不可能なグループです。このグループのユーザーは、デバイス上でセキュリティポリシー以外のすべての操作を実行でき、セキュリティポリシー情報は表示のみが可能です。たとえば、ユーザーはテンプレート設定を作成または変更し、災害復旧を管理し、アプリケーション対応ルーティングポリシーや CFlowD ポリシーなどの非セキュリティポリシーを作成できます。

• サポート対象の最小リリース：Cisco vManage リリース 20.9.1

  [security_operations]：[security_operations] グループは設定不可能なグループです。このグループのユーザーは、デバイス上ですべてのセキュリティ操作を実行でき、セキュリティポリシー以外の情報は表示のみが可能です。たとえば、ユーザーは Umbrella キー、ライセンス、IPS 署名の自動更新、TLS/SSL プロキシ設定などを管理できます。

[network_operations] グループのユーザーは、デバイスへのポリシーの適用、適用されたポリシーの取り消し、およびデバイステンプレートの編集を許可されています。[security_operations] グループのユーザーは、デバイスにセキュリティポリシーを展開するために、[network_operations] ユーザーによる 0 日目の介入と、展開されたセキュリティポリシーを削除するために、N 日目の介入が必要です。ただし、セキュリティポリシーがデバイスに展開された後は、[security_operations] ユーザーは、[network_operations] ユーザーの介入を必要とせずにセキュリティポリシーを変更できます。

（注）	実行中の設定およびローカル設定を表示できるのは管理ユーザーのみです。事前定義された [operator] ユーザーグループに関連付けられたユーザーは、実行中の設定およびローカル設定にアクセスできません。事前定義されたユーザーグループ [operator] には、テンプレート設定の読み取りアクセスのみがあります。管理者ユーザー権限のサブセットのみが必要な場合は、機能リストから選択した機能を使用して、読み取りと書き込みの両方のアクセス権を持つ新しいユーザーグループを作成し、そのグループをカスタムユーザーに関連付ける必要があります。

ロールベースのアクセス権限

ロールベースのアクセス権限は、タスクと呼ばれる 5 つのカテゴリに分類されます。

• インターフェイス：Cisco IOS XE SD-WAN デバイス 上のインターフェイスを制御するための権限。

• ポリシー：コントロール プレーン ポリシー、OMP、およびデータプレーンポリシーを制御するための権限。

• ルーティング：BFD、BGP、OMP、OSPF などのルーティングプロトコルを制御するための権限。

• セキュリティ：ソフトウェアや証明書のインストールなど、デバイスのセキュリティを制御するための権限。[netadmin] グループに属するユーザーのみがシステムにソフトウェアをインストールできます。

• システム：一般的なシステム全体の権限。

次のセクションの表は、ユーザーおよびユーザーグループの AAA 認証ルールの詳細を示しています。これらの認証ルールは、CLI から発行されたコマンドと Netconf から発行されたコマンドに適用されます。

操作コマンドのユーザー認証ルール

操作コマンドのユーザー認証ルールは、ユーザー名のみに基づいています。Cisco IOS XE SD-WAN デバイス にログインできるユーザーは、ほとんどの操作コマンドを実行できます。ただし、ソフトウェアのインストールとアップグレード、デバイスのシャットダウンなど、デバイスの基本的な操作に影響を与えるコマンドを発行できるのは admin ユーザーだけです。

どのユーザーも config コマンドを発行して設定モードに入ることができ、設定モードに入ると、一般的な設定コマンドを発行できることに注意してください。また、すべてのユーザーは、system aaa user self password password コマンドを発行して、その設定変更をコミットすることにより、自分のパスワードを設定することができます。デバイスの動作を設定する実際のコマンドでは、ユーザーグループのメンバーシップに従って承認が定義されます。「設定コマンドのユーザーグループの認証ルール」を参照してください。

次の表に、一般的な CLI コマンドの AAA 認証ルールを示します。注記があるものを除き、すべてのコマンドは操作コマンドです。また、「admin」ユーザーが使用できる一部のコマンドは、そのユーザーが「netadmin」ユーザーグループに属している場合にのみ使用できます。

操作コマンドのユーザーグループの認証ルール

操作コマンドのユーザーグループの認証ロールを次の表に示します。

設定コマンドのユーザーグループの認証ルール

次の表に、設定コマンドのユーザーグループの認証ルールを示します。

Global Admin

グローバルリソースグループのユーザーアカウントは、すべてのリソースにアクセスできます。グローバル管理者は、ネットワーク全体を監視する責任がありますが、毎日の個々のデバイスの操作には関与しません。グローバル管理者は、デバイスを対応する地域に割り当て、地域管理者アカウントを割り当て、コントローラを管理し、共有可能で一元化された構成を維持し、必要に応じて個々のデバイスを操作できます。

netadmin 権限を持ち、グローバルリソースグループの一部でもあるシングル テナント セットアップのユーザーは、グローバル管理者と見なされます。Cisco vManage のデフォルトの管理者ユーザーもグローバル管理者であり、そのユーザーはさらにグローバル管理者を割り当てることができます。グローバルリソースグループには、すべての WAN エッジ、単一ビューのコントローラが含まれます。

グローバル管理者は、特定のリソースグループのみを表示するように切り替え、テンプレートを作成できます。地域管理者とも呼ばれるローカルリソースグループ管理者は、グローバルテンプレートを複製して、リソースグループ内で再利用できます。

地域管理者

地域管理者は、対応する地域のデバイスの日常的な操作（構成、監視、オンボーディング、など）を担当します。地域外のデバイスにアクセスしたり、表示したりしてはなりません。次のユーザーグループを作成できます。

• リソースグループ管理者：対応するリソースグループ内のデバイスへの完全な読み取り/書き込みアクセス権。グループ内の WAN エッジのテンプレートのトラブルシューティング、監視、アタッチ、またはデタッチを行うことができます

• リソースグループオペレータ：リソースグループ内の WAN エッジへの読み取り専用アクセス

• リソースグループ基本：基本アクセス

リソースグループの管理者は、新しいテンプレートを作成し、グループ内の WAN エッジにアタッチまたはデタッチできます。また、グローバルテンプレートをコピーして再利用することもできます。

リソースグループは、ユーザーがアクセスできるリソースを決定します。ただし、アクセスレベルは既存のユーザーグループによって制御されます。

• ユーザーが resource_group_a およびユーザーグループ resource_group_admin に属している場合、resource_group_a のすべてのリソースへの完全な読み取り/書き込みアクセス権があります。

• ユーザーが resource_group_a およびユーザーグループ resource_group_operator に属している場合、resource_group_a のすべてのリソースへの読み取り専用アクセス権があります。

• ユーザーが resource_group_a およびユーザーグループ resource_group_basic に属している場合、resource_group_a のインターフェイスおよびシステムリソースへの読み取り専用アクセス権があります。

グローバルリソースグループ

グローバルグループは、異なるアクセス制御ルールを持つ特別なシステム定義済みリソースグループです。

• このグループ内のユーザーはグローバル管理者と見なされ、システム内のすべてのリソース（デバイス、テンプレート、ポリシー）に完全にアクセスでき、リソースグループを管理し、リソースとユーザーをグループに割り当てることができます。

• 他のすべてのユーザーは、このグループ内のリソースへの読み取り専用アクセス権を持っています。

• システムのデフォルトの管理者アカウント（またはマルチテナント設定の tenantadmin アカウント）は、常にこのグループに属します。この権限は変更できません。ただし、管理者アカウントは、他のユーザーアカウントをこのグループに追加したり、このグループから削除したりできます。

IdP（SSO）管理グループ

ID プロバイダー（IdP）は、ユーザー ID を保存して検証するサービスです。IdP は通常、シングルサインオン（SSO）プロバイダーと連携してユーザーを認証します。ユーザーが IdP の SSO サービスで認証されている場合、グループ情報も IDP によって提供および管理されます。IdP は、ユーザー名やユーザーが属するすべてのグループ名など、ユーザーに関する情報を渡します。Cisco vManage は、グループ名をデータベースに保存されているグループ名と照合して、IdP から渡された特定のグループ名がユーザーグループ、リソースグループ、または VPN グループのものであるかどうかをさらに区別します。

マルチテナントサポート

Cisco SD-WAN マルチテナント機能を使用すると、サービスプロバイダーは、Cisco vManage からテナントと呼ばれる複数の顧客を管理できます。テナントは、Cisco vManage インスタンス、Cisco vBond Orchestrator、および Cisco vSmart Controller を共有します。サービスプロバイダーのドメイン名には、テナントごとにサブドメインがあります。Cisco vManage は、サービスプロバイダーによって展開および設定されます。プロバイダーは、マルチテナント機能を有効にし、テナントにサービスを提供する Cisco vManage クラスタを作成します。SSH 端末を介して Cisco vManage インスタンスにアクセスできるのはプロバイダーのみです。

プロバイダーには次の機能があります。

• プロバイダーはコントローラのみを管理するため、リソースグループは適用されません。

• プロバイダーが新しいテナントをプロビジョニングする場合、テナントのデフォルトのユーザーアカウントは tenantadmin です。

• プロバイダーによって作成された他のユーザーアカウントは、既定のグローバルリソースグループに含まれます。

• プロバイダーがテナント用のテンプレートを作成すると、そのテンプレートはグローバルリソースグループに含まれます。

シングルテナントとマルチテナントのシナリオ

シングルテナントおよびマルチテナント Cisco vManage のシナリオでは、機能テンプレートに詳細な RBAC を使用できます。

ユーザーグループを作成して、テナントのさまざまなチームに特定の権限を割り当てることができます。これにより、チームは、デバイス CLI テンプレートを使用する権限がなくても、特定のネットワークサービスのみを管理できます。デバイス CLI テンプレートは他のテンプレートやデバイス設定を上書きする可能性があるため、テナントにデバイス CLI テンプレートを適用する権限を与えることは望ましくない場合があります。

たとえば、テナントのセキュリティ運用グループ用のユーザーグループを作成して、SIG テンプレートオプションへの読み取り/書き込みアクセスのみを許可することができます。これにより、セキュリティ運用グループはセキュリティ設定を使用できるようになります。

Cisco vManage のメニューで、[Administration] > [Manage Users] を選択し、ユーザーおよびユーザーグループを追加、編集、表示、または削除します。

次の点に注意してください。

• admin ユーザーとしてログインしているユーザー、または [Manage Users] 書き込み権限を持つユーザーだけが、Cisco vManage のユーザーおよびユーザーグループを追加、編集、または削除できます。

• 各ユーザーグループには、このセクションに示されている機能の読み取りまたは書き込み権限を付与できます。書き込み権限には読み取り権限が含まれます。

• すべてのユーザーグループが、選択された読み取りまたは書き込み権限に関係なく、Cisco vManage ダッシュボードに表示される情報を確認できます。

マルチテナント環境の RBAC ユーザーグループ

次の表に、マルチテナント環境でのロールベース アクセス コントロール（RBAC）のユーザーグループ権限のリストを示します。

• R は読み取り権限を表します。

• W は書き込み権限を表します。

Add User

1. Cisco vManage メニューから [Administration] > [Manage Users] を選択します。

2. デフォルトでは、[Users] が選択されています。テーブルに、デバイスで設定されているユーザーのリストが表示されます。

3. 既存のユーザーのパスワードを編集、削除、または変更するには、[...] をクリックして、[Edit]、[Delete]、または [Change Password] をそれぞれクリックします。

4. 新規ユーザを追加するには、[Add User] をクリックします。

5. [Full Name]、[Username]、[Password]、および [Confirm Password] の各詳細情報を追加します

6. [User Groups] ドロップダウンリストで、ユーザーを追加するユーザーグループを選択します。

7. [Resource Group] ドロップダウンリストで、リソースグループを選択します。

   （注）	このフィールドは Cisco IOS XE リリース 17.5.1a 以降で利用できます。

8. [Add] をクリックします。

ユーザーの削除

ユーザーがデバイスにアクセスする必要がなくなった場合は、そのユーザーを削除できます。ユーザーがログインしている場合、そのユーザーを削除してもログアウトされません。

ユーザーを削除するには、次の手順を実行します。

1. Cisco vManage メニューから [Administration] > [Manage Users] を選択します。

2. 削除するユーザーの [...] をクリックし、[Delete] をクリックします。

3. ユーザーの削除を確認するには、[OK] をクリックします。

ユーザーの詳細の編集

ユーザーのログイン情報を更新したり、ユーザーグループのユーザーを追加または削除することができます。ログインしているユーザーの詳細情報を編集した場合、変更はそのユーザーがログアウトした後に有効になります。

ユーザーの詳細情報を編集するには、次のようにします。

1. Cisco vManage メニューから [Administration] > [Manage Users] を選択します。

2. 編集するユーザーの [...] をクリックし、[Edit] をクリックします。

3. ユーザーの詳細を編集します。

   ユーザーグループのユーザーを追加または削除することもできます。

4. [Update] をクリックします。

ユーザー パスワードの変更

必要に応じて、ユーザーのパスワードを更新できます。強力なパスワードの使用を推奨します。

はじめる前に

管理者ユーザーのパスワードを変更する場合は、この手順を実行する前に、クラスタ内のすべての Cisco vManage インスタンスからデバイステンプレートをアタッチ解除してください。この手順を完了した後、デバイステンプレートを再アタッチできます。

ユーザーのパスワードを変更するには、次の手順に従います。

1. Cisco vManage メニューから [Administration] > [Manage Users] を選択します。

2. パスワードを変更するユーザーの [...] をクリックし、[Change Password] をクリックします。

3. 新しいパスワードを入力し、それを確認します。

   （注）	対象のユーザーがログインしている場合はログアウトされます。

4. [Done] をクリックします。

SSH セッションを使用してデバイスにログインしているユーザーの確認

1. Cisco vManage メニューから[Monitor] > [Devices]の順に選択します。

   Cisco vManage リリース 20.6.x 以前：Cisco vManage メニューから[Monitor] > [Network]の順に選択します。

2. [Hostname] 列で、使用するデバイスを選択します。

3. [Real Time] をクリックします。

4. [Device Options] で、[AAA users]（Cisco IOS XE SD-WAN デバイス の場合）を選択します。

   このデバイスにログインしているユーザーのリストが表示されます。

HTTP セッションを使用してデバイスにログインしているユーザーの確認

1. Cisco vManage メニューから [Administration] > [Manage Users] を選択します。

2. [User Sessions] をクリックします。

   Cisco vManage 内のすべてのアクティブな HTTP セッションのリスト（ユーザー名、ドメイン、送信元 IP アドレスなどを含む）が表示されます。

ユーザーはグループに配置されます。グループは、ユーザーが表示および変更を許可されている特定の構成および操作コマンドを定義します。1 人のユーザーが 1 つ以上のグループに属することができます。Cisco SD-WAN ソフトウェアには標準ユーザーグループが用意されており、必要に応じてカスタムユーザーグループを作成できます。

• [basic]：インターフェイスおよびシステム情報を表示する権限を持つユーザーが含まれます。

• [netadmin]：Cisco vManage ですべての操作を実行できる管理者ユーザーがデフォルトで含まれます。このグループに他のユーザーを追加できます。

• [operator]：情報を表示する権限のみを持つユーザーを含みます。

• サポート対象の最小リリース：Cisco vManage リリース 20.9.1

  [network_operations]：非セキュリティポリシーの表示と変更、デバイステンプレートのアタッチとデタッチ、非セキュリティデータの監視など、セキュリティ以外の操作を Cisco vManage で実行できるユーザーが含まれます。

• サポート対象の最小リリース：Cisco vManage リリース 20.9.1

  [security_operations]：セキュリティポリシーの表示と変更、セキュリティデータの監視など、セキュリティ操作を Cisco vManage で実行できるユーザーが含まれます。

注：すべてのユーザーグループが、選択された読み取りまたは書き込み権限に関係なく、Cisco vManage ダッシュボードに表示される情報を確認できます。

ユーザーグループの削除

不要になったユーザーグループは削除できます。たとえば、特定のプロジェクト用に作成したユーザーグループを、そのプロジェクトの終了時に削除する場合があります。

1. Cisco vManage メニューから [Administration] > [Manage Users] を選択します。

2. [User Groups]をクリックします。

3. 削除するユーザーグループの名前をクリックします。

   （注）	デフォルトのユーザーグループ（basic、netadmin、operator、network_operations、security_operations）は削除できません。

4. [Trash] アイコンをクリックします。

5. ユーザーグループの削除を確認するには、[OK] をクリックします。

ユーザーグループ権限の編集

既存のユーザーグループのグループ権限を編集できます。この手順では、必要なユーザーグループの構成済み機能の読み取りおよび書き込みアクセス許可を変更できます。

1. Cisco vManage メニューから [Administration] > [Manage Users] を選択します。

2. [User Groups]をクリックします。

3. 権限を編集するユーザーグループの名前を選択します。

   （注）	デフォルトのユーザーグループ（basic、netadmin、operator、network_operations、security_operations）の権限は編集できません。

4. [Edit] をクリックし、必要に応じて権限を編集します。

5. [Save] をクリックします。

adminユーザーがグループを変更することによってユーザーの権限を変更する場合、そのユーザーは、そのときにデバイスにログインしているとログアウトされ、再度ログインする必要があります。

ユーザーを追加するには、次の手順を実行します。

1. Cisco vManage メニューから [Administration] > [Manage Users] を選択します。[Manage Users] 画面が表示されます。

2. デフォルトでは、[Users] が選択されています。テーブルに、デバイスで設定されているユーザーのリストが表示されます。

3. 既存のユーザーのパスワードを編集、削除、または変更するには、[...] をクリックして、[Edit]、[Delete]、または [Change Password] をそれぞれクリックします。

4. 新規ユーザーを追加するには、[Add User] をクリックします。

5. [Full Name]、[Username]、[Password]、および [Confirm Password] の各詳細情報を追加します

6. [User Groups] ドロップダウンリストで、ユーザーを追加するユーザーグループを選択します。

7. [Resource Group] ドロップダウンリストで、リソースグループを選択します。

   （注）	このフィールドは Cisco IOS XE リリース 17.5.1a 以降で利用できます。

8. [Add] をクリックします。

各デバイスで CLI を使用してユーザーログイン情報を設定できます。この方法により、追加のユーザーを作成し、それらのユーザーに特定のデバイスへのアクセス権を付与することが可能です。CLI を使用してユーザーのための作成するログイン情報は、そのユーザーの Cisco vManage ログイン情報とは異なるものにすることができます。また、デバイスごとに同じユーザーの異なるログイン情報を作成できます。netadmin 権限を持つすべての Cisco IOS XE SD-WAN デバイス ユーザーが、新しいユーザーを作成できます。

ユーザーアカウントを作成するには、ユーザー名とパスワードを設定し、ユーザーをグループに追加します。

次の例は、既存のグループへのユーザー Bob の追加を示しています。

デバイス(config)# system aaa user bob group basic

次の例は、新しいグループ test-group へのユーザー Alice の追加を示しています。

デバイス(config)# system aaa user test-group
デバイス(config)# system aaa user alice group test-group

ユーザー名の長さは 1 〜 128 文字で、先頭は英字にする必要があります。名前に使用できるのは、英小文字、0 〜 9 の数字、ハイフン（-）、下線（_）、ピリオド（.）のみです。英大文字は使用できません。一部のユーザー名は、予約されているために設定できません。予約済みユーザー名のリストについては、『Cisco SD-WAN Command Reference Guide 』で aaa コンフィギュレーション コマンドを参照してください。

パスワードは、ユーザーのパスワードです。各ユーザー名にはパスワードが必要であり、ユーザーは自分のパスワードを変更できます。CLI では、文字列がすぐに暗号化され、パスワードは読み取り可能な形で表示されません。ユーザーには、 Cisco IOS XE SD-WAN デバイスにログインする際に、正しいパスワードの入力を 5 回試みることができます。5 回の試行で正しく入力できなかった場合、そのユーザーはデバイスからロックアウトされ、再度ログインを試みるまでに 15 分間待つ必要があります。

（注）	特殊文字 ! を含むユーザーパスワードは二重引用符（" "）で囲みます。パスワード全体を二重引用符で囲まない場合、構成データベース（?）はこの特殊文字をスペースとして扱い、パスワードの残りの部分を無視します。 たとえば、パスワードが C!sc0 の場合は、"C!sc0" を使用します。

グループ名は、Cisco SD-WAN の標準グループの名前（basic、netadmin、または operator）か、 usergroup コマンド（後述）で設定されたグループの名前です。管理者ユーザーがグループを変更することによってユーザーの権限を変更する場合、そのユーザーは、そのときにデバイスにログインしているとログアウトされ、再度ログインする必要があります。

admin ユーザー名の工場出荷時のデフォルトパスワードは、admin です。 Cisco IOS XE SD-WAN デバイスを最初に設定するときに、このパスワードを変更することを強く推奨します。

デバイス(config)# username admin password $9$3/IL3/UF2F2F3E$J9NKBeKlWrq9ExmHk6F5VAiDMOFQfD.QPAmMxDdxz.c

パスワードは、ASCII 文字列で設定します。次の例のように、CLI では、文字列がすぐに暗号化され、パスワードは読み取り可能な形で表示されません。

デバイス(config)# show run
...
aaa authentication login default local
aaa authentication login user1 group basic
aaa authentication login user2 group operator
aaa authentication login user3 group netadmin
aaa authorization exec default local

RADIUS を使用して AAA 認証を実行している場合は、パスワードを確認するように特定の RADIUS サーバーを設定できます。

デバイス(config)#  radius server tag

タグは、radius server tag コマンドで定義した文字列です（『Cisco SD-WAN Command Reference Guide』を参照）。

Cisco SD-WAN ソフトウェアには、デフォルトのユーザーグループ（basic、netadmin、operator、network_operations、security_operations）が用意されています。ユーザー名 admin は自動的に netadmin ユーザーグループに配置されます。

必要に応じて、追加のカスタムグループを作成し、グループメンバーが持つ権限ロールを設定できます。特定の権限を持つカスタムグループを作成するには、グループ名と権限を設定します。

デバイス(config)# aaa authentication login user1 group radius enable
デバイス(config)# aaa authentication login user2 group radius enable
デバイス(config)# aaa authentication login user3 group radius enable
デバイス(config)#

group-name の長さは 1 〜 128 文字で、先頭は英字にする必要があります。名前に使用できるのは、英小文字、0 〜 9 の数字、ハイフン（-）、下線（_）、ピリオド（.）のみです。名前に大文字は使用できません。一部のグループ名は予約されているため、設定できません。それらのリストについては、aaa 設定コマンドを参照してください。

リモート RADIUS または TACACS+ サーバーが認証を検証しても、ユーザーグループを指定しない場合、ユーザーはユーザーグループ basic に配置されます。リモートサーバーが認証を検証し、VSA Cisco SD-WAN-Group-Name を使用してユーザーグループ（X とします）を指定する場合、ユーザーはそのユーザーグループのみに配置されます。ただし、そのユーザーがローカルにも設定され、ユーザーグループ（Y とします）に属している場合、ユーザーは両方のグループ（X と Y）に配置されます。

task オプションでは、グループメンバーが持つ権限ロールを一覧表示します。ロールは、インターフェイス、ポリシー、ルーティング、セキュリティ、およびシステムの 1 つ以上にすることができます。