Privilégios de acesso ao usuário

Bandeiras de permissão de classe de login

Você usa bandeiras de permissão para conceder a um usuário acesso a comandos de modo operacional e níveis e declarações da hierarquia de configuração. Você configura bandeiras de permissão para a classe de login do usuário no nível de [edit system login class] hierarquia. Quando você especifica uma determinada bandeira de permissão, o usuário ganha acesso aos comandos e aos níveis de hierarquia de configuração e declarações que correspondem a essa bandeira. Para conceder acesso a todos os comandos e declarações de configuração, use a bandeira de all permissões.

A permissions declaração especifica uma ou mais das bandeiras de permissão listadas em Tabela 1. As bandeiras de permissão não são cumulativas. Para cada classe, você deve listar todas as bandeiras de permissão necessárias, inclusive view para exibir informações e configure entrar no modo de configuração. Duas formas de permissões controlam o acesso de um usuário às partes individuais da configuração:

• Formulário "simples" — fornece recursos somente de leitura para esse tipo de permissão. Um exemplo é interface.

• -control formulário — fornece recursos de leitura e gravação para esse tipo de permissão. Um exemplo é interface-control.

Para bandeiras de permissão que concedem acesso a níveis e declarações de hierarquia de configuração, as bandeiras de forma simples concedem privilégio somente de leitura a essa configuração. Por exemplo, a interface bandeira de permissão concede acesso somente de leitura ao nível de [edit interfaces] hierarquia. A -control forma da bandeira concede acesso read-write a essa configuração. Por exemplo, a interface-control bandeira concede acesso de leitura e gravação ao nível de [edit interfaces] hierarquia.

Tabela 1 lista as bandeiras de permissão de classe de login que você pode configurar, incluindo a permissions declaração no nível de [edit system login class class-name] hierarquia.

As bandeiras de permissão concedem um conjunto específico de privilégios de acesso. Cada bandeira de permissão é listada com os comandos de modo operacional ou de configuração e níveis de hierarquia de configuração e declarações para as quais essa bandeira concede acesso.

Permitir e negar comandos individuais e hierarquias de declaração para aulas de login

Por padrão, todos os comandos CLI de alto nível e os níveis de hierarquia de configuração associaram níveis de privilégio de acesso. Os usuários só podem executar esses comandos e visualizar e configurar apenas aquelas declarações para as quais eles têm privilégios de acesso. Para cada classe de login, você pode permitir e negar explicitamente o uso de comandos de modo operacional e de configuração e hierarquias de declaração que de outra forma seriam permitidas ou negadas por um nível de privilégio especificado na permissions declaração.

As bandeiras de permissão concedem a um usuário acesso a comandos de modo operacional e de configuração e a níveis e declarações da hierarquia de configuração. Ao especificar uma bandeira de permissão específica na classe de login do usuário no nível de [edit system login class] hierarquia, você concede ao usuário acesso aos níveis e declarações da hierarquia de configuração e comandos correspondentes. Para conceder acesso a todos os comandos e declarações de configuração, use a bandeira de all permissões.

Você pode permitir ou negar explicitamente o uso de comandos e declarações configurando asallow-commands, deny-commandse allow-configurationdeny-configuration as declarações para uma aula de login. Nas declarações, você usa expressões regulares estendidas para definir quais comandos e declarações permitir ou negar para usuários atribuídos à classe.

Entendendo as declarações de permitir e negar

Cada hierarquia de declaração de configuração e comando CLI de alto nível tem um nível de privilégio de acesso associado a ele. Cada classe de login pode permitir ou negar explicitamente o uso de comandos e declarações de modo de configuração e comandos de modo operacional e configuração que de outra forma seriam permitidas ou negadas por um nível de privilégio. Os usuários só podem executar esses comandos e visualizar e configurar apenas aquelas declarações para as quais eles têm privilégios de acesso.

Os privilégios de acesso para cada classe de login são definidos por uma ou mais bandeiras de permissão especificadas na permissions declaração no nível hierárquico [edit system login class class-name] . Além disso, você pode permitir ou negar o uso de comandos específicos e hierarquias de configuração definindo expressões regulares estendidas. Você pode especificar as expressões regulares configurando as seguintes declarações para uma aula de login:

• allow-commands e deny-commands— Permitir ou negar acesso a comandos de modo operacional e de configuração.

• allow-configuration e deny-configuration— Permitir ou negar acesso a hierarquias de configuração específicas.

  Nota:

  Essas declarações executam correspondências mais lentas, com mais flexibilidade, especialmente em correspondências curingas. No entanto, pode levar muito tempo para avaliar todas as declarações possíveis se um grande número de expressões regulares de caminho completo ou expressões curingas estiver configurado, possivelmente afetando negativamente o desempenho.

• allow-commands-regexps e deny-commands-regexps— Permitir ou negar acesso a comandos específicos usando strings de expressões regulares.

• allow-configuration-regexps e deny-configuration-regexps— Permitir ou negar acesso a hierarquias de configuração específicas usando strings de expressões regulares.

Permitir explicitamente hierarquias de comandos e declarações de configuração usando as allow/deny-* declarações adiciona às permissões que a permissions declaração já define. Da mesma forma, negar explicitamente as hierarquias de comandos e declarações de configuração usando as allow/deny-* declarações remove permissões que a permissions declaração já define.

Por exemplo, na configuração a seguir, a configure permissão permite que os usuários da classe de login entrem no modo de configuração. Além disso, a allow-configuration expressão permite que os usuários modifiquem a configuração no nível de hierarquia e a [edit system services] comprometam.

Da mesma forma, na configuração a seguir, o usuário da classe de login pode realizar todas as operações que a all bandeira de permissões permite, exceto que o usuário não pode visualizar ou modificar a configuração no [edit system services] nível de hierarquia:

Entendendo a sintaxe da declaração de permissão e negação

Você pode configurar uma declaração allow/deny-* apenas uma vez em cada aula de login. Quando você configura uma declaração:

• Você pode configurar quantas expressões regulares for necessário.

• Expressões regulares não são sensíveis ao caso

As allow/deny-commands declarações são mutuamente exclusivas com as allow/deny-commands-regexps declarações, e as allow/deny-configuration declarações são mutuamente exclusivas com as allow/deny-configuration-regexps declarações. Por exemplo, você não pode configurar ambos allow-configuration e allow-configuration-regexps na mesma classe de login.

Para definir privilégios de acesso aos comandos, especifique expressões regulares estendidas usando as declarações e deny-commands as allow-commands declarações. Coloque cada expressão independente completa em parênteses e use o símbolo do tubo para separar as expressões. Não use espaços entre expressões regulares conectadas com o símbolo do tubo. A expressão completa está cercada em duas cotações.

Por exemplo:

Você deve usar âncoras ao especificar expressões regulares complexas com a allow-commands declaração. Por exemplo:

Para definir privilégios de acesso a partes da hierarquia de configuração, especifique expressões regulares estendidas nas declarações e deny-configuration declaraçõesallow-configuration. Coloque os caminhos completos em parênteses e use o símbolo do tubo ( |) para separar as expressões. Não use espaços entre expressões regulares conectadas com o símbolo do tubo. A expressão completa está cercada em duas cotações.

Por exemplo:

Ao especificar expressões regulares estendidas usando as allow/deny-commands-regexps ou allow/deny-configuration-regexps declarações, coloque cada expressão dentro das cotações (" "), e separe as expressões usando um espaço. Inclua várias expressões em parênteses quadrados [ ]. Por exemplo:

Modificadores como set, loge count não são suportados dentro da string de expressão regular a ser combinado. Se você usa um modificador, então nada é compatível.

Configuração correta:

Configuração incorreta:

Entendendo a precedência e a correspondência da declaração de permissão e negação

Por padrão, as allow-commands expressões e allow-configuration regulares prevalecem deny-commands e deny-configuration expressões. Assim, se você configurar o mesmo comando para as declarações e deny-commands declaraçõesallow-commands, então a operação de permissão prevalecerá sobre a operação de negação. Da mesma forma, se você configurar a mesma declaração para as declarações e deny-configuration declaraçõesallow-configuration, a operação de permissão prevalecerá sobre a operação de negação.

Por exemplo, a configuração a seguir permite que um usuário na test classe de login instale software usando o request system software add comando, embora a deny-commands declaração inclua o mesmo comando:

Da mesma forma, a configuração a seguir permite que um usuário no teste de test classe de login visualize e modifique a hierarquia de [edit system services] configuração, embora a deny-configuration declaração inclua a mesma hierarquia:

Se as declarações e deny-commands as allow-commands declarações tiverem duas variantes diferentes de um comando, a correspondência mais longa sempre será executada. A configuração a seguir permite que um usuário na test classe de login execute o commit synchronize comando, mas não o commit comando. Isso porque commit synchronize é a combinação mais longa entre commit e commit synchronize, e é especificada para allow-commands.

A configuração a seguir permite que um usuário na test classe de login execute o commit comando, mas não o commit synchronize comando. Isso porque commit synchronize é a combinação mais longa entre commit e commit synchronize, e é especificada para deny-commands.

Em contraste com as outras declarações, o comportamento padrão para as *-regexps declarações é que as deny-configuration-regexpsdeny-commands-regexps expressões regulares prevalecem allow-commands-regexps e allow-configuration-regexps expressões. Você pode configurar a regex-additive-logic declaração no nível de [edit system] hierarquia para forçar as allow-configuration-regexps expressões regulares a prevalecerem sobre as deny-configuration-regexps declarações. A configuração da declaração permite que você negue hierarquias de configuração em um nível mais alto e, em seguida, apenas permita que o usuário tenha acesso a sub-hierarquias específicas.

Entendendo as regras de declaração de permissão e negação

A allow/deny-commands, allow/deny-configuratione allow/deny-commands-regexpsallow/deny-configuration-regexps as declarações têm precedência sobre as permissões de aula de login. Quando você configura essas declarações, as seguintes regras se aplicam:

• Expressões e declarações regulares allow-commands também podem incluir comandos loadstatuscommitrollbacksavee update comandos.deny-commands

• Os all bits de permissão da classe de login têm precedência sobre expressões regulares estendidas quando um usuário emite o rollback comando com a rollback bandeira de permissão habilitada.

• Os usuários não podem emitir o load override comando ao especificar uma expressão regular estendida. Os usuários só podem emitir os mergecomandos e replacepatch configuração.

• Você pode usar o caractere curinga * ao denotar expressões regulares. No entanto, você deve usá-lo como parte de uma expressão regular. Você não pode usar [ * ] ou [ .* ] como a única expressão. Além disso, você não pode configurar a allow-configuration declaração com uma expressão como (interfaces (description (|.*)), porque isso avalia allow-configuration .*.

Entendendo as diferenças para as declarações *-regexps

Esta seção descreve as diferenças entre as allow/deny-configuration declarações e as allow/deny-configuration-regexps declarações.

As allow/deny-configuration-regexps declarações dividem a expressão regular em símbolos e comparam cada peça com cada parte do caminho completo da configuração especificada, enquanto as allow/deny-configuration declarações se comparam com a corda completa. Para allow/deny-configuration-regexps declarações, você configura um conjunto de strings em que cada string é uma expressão regular, com espaços entre os termos da string. Essa sintaxe oferece correspondência muito rápida, mas oferece menos flexibilidade. Para especificar expressões curingas, você deve configurar curingas para cada símbolo da corda delimitada por espaço que você deseja combinar, o que torna mais difícil usar expressões curingas para essas declarações.

Por exemplo:

• Expressão regular que combina com um símbolo usando allow-configuration-regexps

  Este exemplo mostra que options é a única expressão combinada contra o primeiro símbolo da declaração.

  A configuração anterior corresponde às seguintes declarações:

  • definir opções de políticas condição condition dinâmica-db

  • definir opções de roteamento rota static-route estática next-hop next-hop

  • definir opções de eventos geram intervalo de tempo de evento eventseconds

  A configuração anterior não corresponde às seguintes declarações:

  • opções de host com nome de host do sistema

  • opções de descrição de interfaces interface-name

• Expressão regular que combina com três símbolos usando allow-configuration-regexps

  Este exemplo mostra que ssh é a única expressão combinada contra o terceiro símbolo da declaração.

  No exemplo anterior, os três símbolos incluem .*, .*e .*ssh, respectivamente.

  A configuração anterior corresponde às seguintes declarações:

  • nome do host-ssh do sistema

  • ssh de serviços de sistema

  • serviços de sistema de saída

  A configuração anterior não corresponde à seguinte declaração:

  • ssh interface-namedescrição de interfaces

É mais fácil usar a declaração para restringir o deny-configuration acesso à configuração do que usar a deny-configuration-regexps declaração. Tabela 2 Ilustra o uso das declarações e deny-configuration-regexps declarações deny-configuration em diferentes configurações para alcançar o mesmo resultado de restringir o acesso a uma configuração específica.

[edit system]
login {
    class test {
        permissions configure;
         allow-configuration .*;
        deny-configuration .*xnm-ssl;
    }
}

[edit system]
login {
    class test {
        permissions configure;
         allow-configuration .*;
        deny-configuration-regexps ".* .* .*-ssl"";
    }
}

[edit system]
login {
    class test {
        permissions configure;
        allow-configuration .*;
        deny-configuration ".*ssh";
    }
}

[edit system]
login {
    class test {
        permissions configure;
        allow-configuration .*;
        deny-configuration-regexps ".*ssh";
        deny-configuration-regexps ".* .*ssh";
        deny-configuration-regexps ".* .* .*ssh";
    }
}

Embora as allow/deny-configuration declarações também sejam úteis quando você deseja uma configuração simples, as allow/deny-configuration-regexps declarações fornecem melhor desempenho e superam a ambiguidade que existe ao combinar expressões nas allow/deny-configuration declarações.

Usando expressões regulares em servidores de autorização remota

Você pode usar expressões regulares estendidas para especificar quais comandos de modo operacional e de configuração e declarações de configuração e hierarquias são permitidos ou negados para determinados usuários. Você especifica essas expressões regulares localmente no nível de allow/deny-commands-regexpsallow/deny-commandsallow/deny-configurationhierarquia e allow/deny-configuration-regexps declarações.[edit system login class class-name] Você especifica essas expressões regulares remotamente especificando atributos TACACS+ ou RADIUS específicos do fornecedor da Juniper Networks na configuração do seu servidor de autorização. Quando você configura parâmetros de autorização local e remotamente, o dispositivo mescla as expressões regulares recebidas durante a autorização TACACS+ ou RADIUS com quaisquer expressões regulares definidas no dispositivo local.

Ao especificar várias expressões regulares em uma configuração local usando as allow-commands, deny-commands, allow-configurationou deny-configuration declarações, você configura expressões regulares dentro dos parênteses e as separa usando o símbolo do tubo. Você coloca a expressão completa em duas cotações. Por exemplo, você pode especificar vários allow-commands parâmetros com a seguinte sintaxe:

O servidor de autorização RADIUS usa os seguintes atributos e sintaxe:

O servidor de autorização TACACS+ usa os seguintes atributos e sintaxe:

Ao especificar várias expressões regulares em uma configuração local usando asallow-commands-regexps, , deny-commands-regexpsallow-configuration-regexpsou deny-configuration-regexps declarações, você configura expressões regulares dentro de duas cotações e as separa usando o operador de espaço. Você inclui a expressão completa em parênteses quadrados. Por exemplo, você pode especificar vários parâmetros de permitir comandos com a seguinte sintaxe:

O servidor de autorização RADIUS usa os seguintes atributos e sintaxe:

O servidor de autorização TACACS+ usa os seguintes atributos e sintaxe:

Os servidores RADIUS e TACACS+ também oferecem suporte a uma sintaxe simplificada na qual você especifica cada expressão individual em uma linha separada. Por exemplo, a sintaxe simplificada do servidor RADIUS é:

Da mesma forma, a sintaxe simplificada do servidor TACACS+ é:

Tabela 3 diferencia a configuração de autorização local e a configuração de autorização de servidor TACACS+ usando expressões regulares.

login {
    class local {
        permissions configure;
        allow-commands "(ping .*)|(traceroute .*)|(show .*)|(configure .*)|(edit)|(exit)|(commit)|(rollback .*)";
        deny-commands .*;
        allow-configuration "(interfaces .* unit 0 family ethernet-switching vlan mem.* .*)|(interfaces .* native.* .*)|(interfaces .* unit 0 family ethernet-switching interface-mo.* .*)|(interfaces .* unit .*)|(interfaces .* disable)|(interfaces .* description .*)|(vlans .* vlan-.* .*)"
        deny-configuration .*;
    }
}

user = remote {
    login = username
    service = junos-exec {
        allow-commands1 = "ping .*"
        allow-commands2 = "traceroute .*"
        allow-commands3 = "show .*"
        allow-commands4 = "configure"
        allow-commands5 = "edit"
        allow-commands6 = "exit"
        allow-commands7 = "commit"
        allow-commands8 = ".*xml-mode"
        allow-commands9 = ".*netconf.*"
        allow-commands10 = ".*need-trailer"
        allow-commands11 = "rollback.*"
        allow-commands12 = "junoscript"
        deny-commands1 = ".*"
        allow-configuration1 = "interfaces .* unit 0 family ethernet-switching vlan mem.* .*"
        allow-configuration2 = "interfaces .* native.* .*"
        allow-configuration3 = "interfaces .* unit 0 family ethernet-switching interface-mo.* .*"
        allow-configuration4 = "interfaces .* unit .*"
        allow-configuration5 = "interfaces .* disable"
        allow-configuration6 = "interfaces .* description .*"
        allow-configuration7 = "interfaces .*"
        allow-configuration8 = "vlans .* vlan-.* .*"
        deny-configuration1 = ".*"
        local-user-name = local-username
        user-permissions = "configure"
    }
}

Especifique expressões regulares

Você deve especificar expressões regulares para comandos e declarações de configuração da mesma maneira que executar o comando ou declaração completos. Tabela 4 lista as expressões regulares para configurar privilégios de acesso para as [edit interfaces] hierarquias e [edit vlans] declarações.

[edit]
user@host# set interfaces interface-name unit interface-unit-number

[edit system login class class-name]
user@host# set permissions configure
user@host# set deny-configuration "interfaces .* unit .*"

[edit]
user@host# set vlans vlan-name vlan-id vlan-id

[edit system login class class-name]
user@host# set permissions configure
user@host# set allow-configuration "vlans .* vlan-id .*"

Operadores de expressões regulares

Tabela 5 lista operadores de expressão regular comuns que você pode usar para permitir ou negar modos operacionais e de configuração.

Comando expressões regulares implementar as expressões regulares estendidas (modernas), conforme definido no POSIX 1003.2.

[edit system login class test]
user@host# set permissions configure
user@host# set allow-commands "(ping)|(traceroute)|(show system alarms)|(show system software)"
user@host# set deny-configuration "(access)|(access-profile)|(accounting-options)|(applications)|(apply-groups)|(bridge-domains)|(chassis)|(class-of-service)"

[edit system login class test]
user@host# set permissions interface
user@host# set permissions interface-control
user@host# set allow-commands "(^show) (log|interfaces|policer))|(^monitor)"

[edit system login class test]
user@host# set permissions interface
user@host# set allow-commands "(show interfaces$)"

[edit system login class test]
user@host# set permissions clear
user@host# set permissions configure
user@host# set permissions network
user@host# set permissions trace
user@host# set permissions view
user@host# set allow-configuration-regexps [ "interfaces [gx]e-.* unit [0-9]* description .*" ]

[edit system login class test]
user@host# set permissions all
user@host# set allow-commands "(clear)|(configure)"
user@host# deny-commands "(mtrace)|(start)|(delete)"

[edit system login class test]
user@host# set permissions configure
user@host# set deny-configuration "(system login class m*)"

[edit system login class test]
user@host# set permissions configure
user@host# set deny-configuration "(system login class m+)"

[edit system login class test]
user@host# set permissions configure
user@host# set deny-configuration "(system login class m.)"

[edit system login class test]
user@host# set permissions configure
user@host# set deny-configuration "(system login class m .*)"

Exemplos de expressão regulares

Tabela 6lista as expressões regulares usadas para permitir opções de configuração em duas hierarquias de configuração e[edit system ntp server][edit protocols rip], como exemplo, especificar expressões regulares.

[edit system login class test]
set permissions configure
set allow-configuration-regexps [ "system ntp server .*" "system ntp server .* key .*" ]
set deny-configuration-regexps [ "system ntp server .* version .*" "system ntp server .* prefer" ]

[edit system login class test]
set permissions configure
set allow-configuration-regexps [ "system ntp server .*" "system ntp server .* version .*" ]
set deny-configuration-regexps [ "system ntp server .* key .*" "system ntp server .* prefer" ]

[edit system login class test]
set permissions configure
set allow-configuration-regexps [ "system ntp server .*" "system ntp server .* prefer" ];
set deny-configuration-regexps [ "system ntp server .* key .*" "system ntp server .* version .*" ]

[edit system login class test]
set permissions configure
set allow-configuration-regexps "protocols rip message-size .*"
set deny-configuration-regexps [ "protocols rip metric-in .*" "protocols rip route-timeout .*" "protocols rip update-interval .*" ]

[edit system login class test]
set permissions configure
set  allow-configuration-regexps "protocols rip metric-in .*"
set  deny-configuration-regexps [ "protocols rip message-size .*" "protocols rip route-timeout .*" "protocols rip update-interval .*" ]

[edit system login class test]
set permissions configure
set allow-configuration-regexps "protocols rip route-timeout .*"
set deny-configuration-regexps [ "protocols rip metric-in .*" "protocols rip message-size .*" "protocols rip update-interval .*" ]

[edit system login class test]
set permissions configure
set allow-configuration-regexps "protocols rip update-interval .*"
set deny-configuration-regexps [ "protocols rip metric-in .*" "protocols rip route-timeout .*" "protocols rip message-size .*" ]