ユーザー認証の概要

ローカルユーザーテンプレートアカウントを使用して、異なるログインクラスを割り当て、リモート認証サーバーを介して認証されるユーザーに異なる権限を付与します。各テンプレートは、そのテンプレートに割り当てられたユーザーに適した異なる権限セットを定義できます。ルーターまたはスイッチでローカルにテンプレートを定義し、TACACS+ および RADIUS 認証サーバーがテンプレートを参照します。認証済みユーザーがテンプレートアカウントに割り当てられると、CLIユーザー名がログイン名になりますが、ユーザーはテンプレートアカウントから権限、ファイル所有権、および有効なユーザーIDを継承します。

ローカルユーザーテンプレートを設定し、ユーザーがログインすると、Junos OSは認証サーバーにユーザーのログイン名を認証するリクエストを発行します。ユーザーが認証されると、サーバーはローカル ユーザー名を Junos OS(TACACS+ の場合は local-user-name 、RADIUS の場合は Juniper-Local-User-Name )に返します。次に、Junos OSがそのログイン名にローカルユーザー名が指定されているかどうかを判断し、指定されている場合は、Junos OSがそのローカルユーザーテンプレートにユーザーを割り当てます。認証されたユーザのローカル ユーザ テンプレートが存在しない場合、ルータまたはスイッチは、設定されていれば、デフォルトで remote テンプレートを使用します。

ローカル ユーザー テンプレートを設定するには、 [edit system login] 階層レベルでテンプレートのユーザー名を定義します。クラスを割り当てて、テンプレートを適用するローカルユーザーに付与する権限を指定します。

[edit system login]
user local-username {
    full-name "Local user account";
    uid uid-value;
    class class-name;
}

ローカル ユーザ テンプレートにユーザを割り当てるには、適切なパラメータ(TACACS+ の場合は local-user-name 、RADIUS の場合は Juniper-Local-User-Name )を使用してリモート認証サーバーを設定し、ローカル ユーザ テンプレートに定義されたユーザ名を指定します。ローカルユーザーテンプレートアカウントを共有するユーザーに異なるアクセス権限を設定するには、認証サーバー構成ファイルでベンダー固有の属性を使用して、ユーザーに対して特定のコマンドと構成階層を許可または拒否できます。

この例では、ローカル デバイスで sales および engineering ユーザー テンプレートを設定します。次に、TACACS+ サーバー設定ファイルは、ユーザーを特定のテンプレートに割り当てます。

[edit]
system {
    login {
        user sales {
            uid 6003;
            class sales-class;
        }
        user engineering {
            uid 6004;
            class super-user;
        }
    }
}

ユーザー Simon と Rob が認証されると、ルーターまたはスイッチは sales ローカル ユーザー テンプレートを適用します。ログインユーザーのハロルドとジムが認証されると、ルーターまたはスイッチは engineering ローカルユーザーテンプレートを適用します。

user = simon {
    ...
    service = junos-exec {
        local-user-name = sales
        allow-commands = "configure"
        deny-commands = "shutdown"
    }
}
user = rob {
    ...
    service = junos-exec {
        local-user-name = sales
        allow-commands = "(request system) | (show rip neighbor)"
        deny-commands = "clear"
    }
}
user = harold {
    ...
    service = junos-exec {
        local-user-name = engineering
        allow-commands = "monitor | help | show | ping | traceroute"
        deny-commands = "configure"
    }
}
user = jim {
    ...
    service = junos-exec {
        local-user-name = engineering
        allow-commands = "show bgp neighbor"
        deny-commands = "telnet | ssh"
    }
}

ネットワーク デバイスにより、リモート認証されたユーザーをローカルで定義されたユーザー アカウントまたはユーザー テンプレート アカウントにマッピングでき、これにより認証が決定されます。remoteテンプレートアカウントは、特別なユーザーテンプレートです。既定では、 Junos OS は、次の場合にリモート認証されたユーザーを remote テンプレート アカウント (構成済みの場合) に割り当てます。

• 認証されたユーザーの場合、ローカルデバイスにユーザーアカウントは設定されていません。

• リモート認証サーバーは、ユーザーをローカルユーザーテンプレートに割り当てません。また、サーバーが割り当てるテンプレートはローカルデバイスでは設定されません。

remoteテンプレートアカウントを設定するには、[edit system login]階層レベルで user remote ステートメントを含め、remoteテンプレートに割り当てられたユーザーのログインクラスを指定します。

[edit system login]
user remote {
    full-name "remote users";
    uid uid-value;
    class class-name;
}

remoteテンプレートアカウントを共有するユーザーに異なるアクセス権限を設定するには、認証サーバー構成ファイルでベンダー固有の属性を使用して、ユーザーに対して特定のコマンドと構成階層を許可または拒否できます。