close

keyboard_arrow_left

Table of Contents Expand all

list Table of Contents

このページで

TACACS+ 認証の設定
TACACS+認証プロファイルの定期更新の構成
例：システム認証用のTACACS+サーバーの設定
ジュニパーネットワークスベンダー固有のTACACS+属性
RADIUSまたはTACACS+サーバーで正規表現を使用して、コマンドを許可または拒否する
TACACS+ システムアカウンティングの設定
変更履歴

keyboard_arrow_right

この機械翻訳はお役に立ちましたでしょうか?

Go to English page

免責事項:

このページは、サードパーティー製機械翻訳ソフトウェアを使用して翻訳されます。質の高い翻訳を提供するために合理的な対応はされていますが、ジュニパーネットワークスがその正確性を保証することはできかねます。この翻訳に含まれる情報の正確性について疑問が生じた場合は、英語版を参照してください. ダウンロード可能なPDF (英語版のみ).

TACACS+認証

date_range 19-Jan-25

arrow_backward

arrow_forward

Junos OSはTACACS+をサポートしており、ネットワークデバイス上のユーザーを一元的に認証できます。デバイス上でTACACS+認証を使用するには、ネットワーク管理者が、ネットワーク上の1台以上のTACACS+サーバーの情報を構成する必要があります。また、デバイス上でTACACS+アカウンティングを構成し、LANにログインまたはログアウトするユーザーに関する統計データを収集して、TACACS+アカウンティングサーバーにデータを送信することもできます。

TACACS+ 認証の設定

TACACS+ 認証は、ネットワークデバイスへのアクセスを試みるユーザーを認証する方法です。

TACACS+ を設定するには、以下のタスクを実行します。

TACACS+ サーバーの詳細を設定する
TACACS+ を設定して管理インスタンスを使用する
複数のTACACS+ サーバーに同じ認証サービスを設定する
ジュニパーネットワークスのベンダー固有のTACACS+ 属性を設定する

TACACS+ サーバーの詳細を設定する

デバイス上でTACACS+ 認証を使用するには、TACACS+ サーバーごとに[edit system]階層レベルに1つのtacplus-serverのステートメントをインクルードすることで、ネットワーク上の1つ以上のTACACS+ サーバーの情報を設定します。デバイスは、TACACS+ サーバーを設定する順序でクエリーを実行します。プライマリサーバー（最初に設定されたサーバー）が利用できない場合、デバイスは応答を受け取るまでリスト内の各サーバーへのコンタクトを試みます。

ネットワークデバイスにより、TACACS+ 認証されたユーザーをローカルで定義されたユーザーアカウントまたはユーザーテンプレートアカウントにマッピングでき、これにより、認証が決定されます。デフォルトでは、以下の場合、設定されていれば、Junos OSはユーザテンプレートアカウントremoteにTACACS+ 認証されたユーザーを割り当てます。

認証されたユーザーの場合、ローカルデバイスにユーザーアカウントは設定されていません。
TACACS+ サーバーは、ローカルユーザーテンプレートにユーザーを割り当てません。また、サーバーが割り当てるテンプレートはローカルデバイスでは設定されません。

TACACS+ サーバーは、認証済みユーザーを別のユーザーテンプレートに割り当て、そのユーザーに異なる管理権限を付与することができます。ユーザーはCLIに同じログイン名を持つことになりますが、割り当てられたテンプレートからログインクラス、アクセス権限、有効なユーザーIDを継承します。TACACS+ 認証されたユーザーがローカルで定義されたユーザーアカウントまたはユーザーテンプレートにマッピングされず、remoteのテンプレートが設定されていない場合、認証は失敗します。

注:

remoteのユーザー名はJunos OSの特別なケースで、常に小文字でなければなりません。これは、リモートサーバーで認証されていますが、デバイスにローカルで設定されたユーザーアカウントを持っていないユーザーのテンプレートとして機能します。Junos OSは、ローカルで定義されたアカウントがない認証済みのユーザーに、remoteのテンプレートの権限を適用します。remoteのテンプレートにマッピングされたすべてのユーザーは、同じログインクラスにいます。

複数のデバイスでリモート認証が設定されているため、通常は設定グループ内で設定されます。ここで示す手順は、globalと呼ばれる設定グループにあります。設定グループを使用するのは、オプションです。

TACACS+ サーバーによる認証を設定するには、以下を行います。

TACACS+ 認証サーバーのIPv4アドレスまたはIPv6アドレスを設定します。

content_copy zoom_out_map
[edit groups global system tacplus-server]
user@host# set server-address

たとえば、以下のように表示されます。

content_copy zoom_out_map
[edit groups global system tacplus-server]
user@host# set 192.168.17.28

content_copy zoom_out_map
[edit groups global system tacplus-server]
user@host# set 2001:db8:0:f101::8

（オプション）TACACS+ サーバーに送信されたリクエストのパケット送信元アドレスを設定します。
```
[edit groups global system tacplus-server server-address]
user@host# set source-address source-address
```
たとえば、以下のように表示されます。
```
[edit groups global system tacplus-server 192.168.17.28]
user@host# set source-address 192.168.17.1
```
```
[edit groups global system tacplus-server 2001:db8:0:f101::8]
user@host# set source-address 2001:db8:0:f101::1
```
送信元アドレスは、ルーターインターフェイスまたはスイッチインターフェイスの1つに設定された有効なIPv4アドレスまたはIPv6アドレスです。ネットワークデバイスに、TACACS+ サーバーに到達できる複数のインターフェイスがある場合、デバイスが、TACACS+ サーバーとのすべての通信に使用できるIPアドレスを割り当てます。これを行うと、ローカルで生成されるIPパケットの送信元アドレスとして固定アドレスが設定されます。
ネットワークデバイスがTACACS+ サーバーの認証に使用する共有の秘密のパスワードを設定します。
設定されたパスワードは、TACACS+ サーバーに設定されたパスワードに一致する必要があります。パスワートにスペースが含まれている場合、引用符で囲んでください。デバイスは、パスワードを暗号化された値として、設定データベースに保存します。
```
[edit groups global system tacplus-server server-address]
user@host# set secret password
```
たとえば、以下のように表示されます。
```
[edit groups global system tacplus-server 192.168.17.28]
user@host# set secret Tacplussecret1
```
（オプション）デフォルトのポート（49）と異なる場合、TACACS+ サーバーに接続するポートを指定します。
```
[edit groups global system tacplus-server server-address]
user@host# set port port-number
```
たとえば、以下のように表示されます。
```
[edit groups global system tacplus-server 192.168.17.28]
user@host# set port 50049
```
（オプション）デバイスが、TACACS+ サーバーから応答を受信する待機時間を設定します。
デフォルトでは、デバイスは3秒待ちます。1～90秒のtimeoutの値を設定できます。
```
[edit groups global system tacplus-server server-address]
user@host# set timeout seconds
```
たとえば、サーバーからの応答を待つ場合、15秒です。
```
[edit groups global system tacplus-server 192.168.17.28]
user@host# set timeout 15
```
（オプション）接続を試みるたびに個別の接続を開くのではなく、複数の要求に対してサーバーに1つのオープンTCP接続を維持するようデバイスを設定します。
```
[edit groups global system tacplus-server 192.168.17.28]
user@host# set single-connection
```
注:
TACACS+ サーバーの初期バージョンはsingle-connectionのオプションをサポートしていません。このオプションを指定し、サーバーがサポートしていない場合、デバイスはそのTACACS+ サーバーと通信できません。
（オプション）特定のルーティングインスタンスを介してTACACS+ パケットをルーティングするには、routing-instanceのステートメントを設定し、有効なルーティングインスタンスを指定します。
デフォルトでは、Junos OSは、デフォルトのルーティングインスタンスを介して、TACACS+ の認証、許可、アカウンティングパケットをルーティングします。
```
[edit groups global system tacplus-server server-address]
user@host# set routing-instance routing-instance
```
認証順序を指定し、tacplusのオプションを含めます。
```
[edit groups global system]
user@host# set authentication-order [ authentication-methods ]
```
以下の例では、ユーザーがログインしようとすると必ず、Junos OSまず、TACACS+ サーバーに認証のクエリーを実行します。それが失敗した場合、RADIUSサーバーにクエリーを実行します。それが失敗すると、ローカルで設定されたユーザーアカウントで認証を試みます。
```
[edit groups global system]
user@host# set authentication-order [ tacplus radius password ]
```
ローカルで定義されたユーザーアカウントを持たないTACACS+ 認証されたユーザーにログインクラスを割り当てます。
TACACS+ サーバーがユーザーを認証するため、ローカル認証パスワードが設定されない場合を除いて、ローカルユーザーアカウントと同じ方法でユーザーテンプレートアカウントを設定します。
- すべてのTACACS+ 認証されたユーザーに同じ権限を使用するには、remoteのユーザーテンプレートを設定します。
  [edit groups global system login] user@host# set user remote class class
  たとえば、以下のように表示されます。
  [edit groups global system login] user@host# set user remote class super-user
- 別のTACACS+ 認証されたユーザーに異なるログインクラスを使用するには、別の権限を付与します。
  1. Junos OSの設定で複数のユーザーテンプレートを作成します。たとえば、以下のように表示されます。
    [edit groups global system login] user@host# set user RO class read-only user@host# set user OP class operator user@host# set user SU class super-user user@host# set user remote full-name "default remote access user template" user@host# set user remote class read-only
  2. TACACS+ サーバーを設定して、認証済みユーザーを適切なユーザーテンプレートにマッピングします。
    
    例えば、デバイスに設定されたユーザーテンプレートの名前（前の例では RO、OP、SU）に、local-user-nameジュニパーのベンダー固有の属性（VSA）を設定します。デバイスがローカルユーザーアカウントまたはユーザーテンプレートにユーザーを割り当てることができず、remoteのユーザーテンプレートが設定されていない場合、認証は失敗します。

TACACS+ を設定して管理インスタンスを使用する

デフォルトでは、Junos OSは、デフォルトのルーティングインスタンスを介して、TACACS+ の認証、許可、アカウンティングパケットをルーティングします。また、デフォルト以外のVRFインスタンスで管理インターフェイスを介してTACACS+ パケットをルーティングすることもできます。

mgmt_junosの管理インスタンスを介してTACACS+ パケットをルーティングするには、以下を行います。

mgmt_junosの管理インスタンスを有効にします。
```
[edit system]
user@host# set management-instance
```
設定されている場合、TACACS+ 認証サーバーとTACACS+ アカウンティングサーバーにrouting-instance mgmt_junosのステートメントを設定します。
```
[edit system]
user@host# set tacplus-server server-address routing-instance mgmt_junos
user@host# set accounting destination tacplus server server-address routing-instance mgmt_junos
```

複数のTACACS+ サーバーに同じ認証サービスを設定する

[edit system tacplus-server]および[edit system tacplus-options]階層レベルでステートメントをインクルードすることで、複数のTACACS+ サーバーに同じ認証サービスを設定することができます。

複数のTACACS+ サーバーに同じ認証サービスを割り当てるには、以下を行います。

TACACS+ 認証の設定で説明している通りにTACACS+ サーバーを設定します。
[edit system tacplus-options]階層レベルでservice-nameのステートメントを設定します。
service-nameは、認証サービスの名前で、デフォルトではjunos-execです。
```
[edit system tacplus-options] 
user@host set service-name service-name
```
たとえば、以下のように表示されます。
```
[edit system tacplus-options] 
service-name bob;
```

以下の例は、複数のTACACS+ サーバーに同じ認証サービスを設定する方法を示しています。

content_copy zoom_out_map
[edit system]
tacplus-server {
    10.2.2.2 secret "$ABC123"; ## SECRET-DATA
    10.3.3.3 secret "$ABC123"; ## SECRET-DATA
}
tacplus-options {
    service-name bob;
}

ジュニパーネットワークスのベンダー固有のTACACS+ 属性を設定する

Junos OSにより、TACACS+ 認証されたユーザーをローカルで定義されたユーザーアカウントまたはユーザーテンプレートアカウントにマッピングでき、これにより、認証が決定されます。また、TACACS+ サーバーでジュニパーネットワークスのベンダー固有のTACACS+ 属性を定義することで、ユーザーのアクセス権限をオプションで設定することもできます。TACACS+ サーバー設定ファイルの属性をユーザーごとに定義します。ネットワークデバイスは、ユーザーを認証した後、TACACS+ サーバーの認証要求を通して、これらの属性を取得します。

これらの属性を指定するには、TACACS+ サーバー設定ファイルに以下のフォームのserviceのステートメントをインクルードします。

content_copy zoom_out_map
service = junos-exec {
    local-user-name = <username-local-to-router>
    allow-commands = "<allow-commands-regex>"
    allow-configuration-regexps = "<allow-configuration-regex>"
    deny-commands = "<deny-commands-regex>"
    deny-configuration-regexps = "<deny-configuration-regex>"
}

userのステートメントまたはgroupのステートメントで、serviceのステートメントを定義することができます。

TACACS+認証プロファイルの定期更新の構成

実行中のデバイスに、Junos OS認証をTACACS+サーバーに使用するように構成すると、ユーザーにログイン情報を入力するよう求めるプロンプトが表示されます。これはTACACS+サーバーによって検証されます。ユーザーの認証が正常に完了すると、ネットワークデバイスからTACACS+サーバーに認証要求が送信され、ユーザーの認証プロファイルが取得されます。認証プロファイルは、認証されたユーザーまたはデバイスのアクセス許可を指定します。

TACACS+サーバーは、認証REPLYメッセージの一部として認証プロファイルを送信します。TACACS+サーバーに構成されたリモートユーザーは、Junos OS を実行中のデバイスで設定されたローカルユーザーまたはユーザーテンプレートにマッピングされます。Junos OS が、ユーザーのリモート認証プロファイルとローカル設定済みの認証プロファイルを組み合わせ、認証プロファイルは、[edit system login class]階層レベルで設定されます。

デフォルトでは、認証が成功すると認証要求と応答メッセージの交換は1回だけ行われます。デバイスを構成して、Junos OSがTACACS+サーバーからリモート認証プロファイルを定期的に取得し、ローカルに保存された認証プロファイルを更新するようにすることができます。この定期的なリフレッシュにより、認証パラメーターの変更がローカルデバイスに反映され、ユーザーが認証プロセスを再起動する必要がなくなります。

認証プロファイルの定期的な更新を有効にするには、ローカルデバイスがTACACS+サーバーでリモートに設定された認証プロファイルを確認する間隔を設定する必要があります。リモート認証プロファイルが変更された場合、デバイスは、TACACS+サーバーおよびログインクラス階層の下で構成された認証プロファイルから認証プロファイルを取得します。デバイスは、リモートおよびローカルに設定された認証プロファイルを組み合わせて、ローカルに保存されている認証プロファイルを更新します。

更新時間の間隔は、実行中のデバイス上でローカル、Junos OSまたはTACACS+サーバー上で直接構成することができます。時間間隔は15分から1440分までの範囲で設定できます。

ローカルデバイスで認証プロファイルの定期的な更新を構成するには、以下のように authorization-time-interval ステートメントを [edit system tacplus-options] 階層レベルに含めます。
```
[edit system tacplus-options]
user@host# set authorization-time-interval minutes
```
TACACS+サーバーで定期的な更新を構成するには、以下の構文を使用して認証プロファイルに refresh-time-interval パラメーターを追加します。
```
refresh-time-interval=minutes
```

以下のガイドラインを使用して、構成が優先される時間間隔を決定します。

更新時間の間隔がTACACS+サーバーのみ、またはJunos OSを実行中のデバイスでのみ構成されている場合、設定された値が優先されます。
更新時間の間隔がTACACS+サーバーと実行中のデバイスの両方で構成されている場合Junos OS、TACACS+サーバーに設定された値が優先されます。
TACACS+サーバーまたは実行中のデバイスに更新時間の間隔が構成されていない場合Junos OS、定期的な更新は行われません。
TACACS+サーバーに設定された更新時間の間隔が範囲外または無効な場合、ローカルで設定された更新間隔が有効になります。ローカルに更新時間の間隔が設定されていない場合、定期的な更新は行われません。

定期的な更新時間の間隔が設定された後、ユーザーがローカルデバイスから認証要求を送信する前に更新時間の間隔を変更した場合、更新された更新時間の間隔は次回の定期的な更新の後に有効になります。

例：システム認証用のTACACS+サーバーの設定

この例では、TACACS+を介したシステム認証を設定します。

要件
概要
設定
検証

要件

開始する前に、以下を実行します。

デバイスの初期設定を行います。お使いのデバイスの『スタートアップガイド』をご覧ください。
ネットワーク上に少なくとも1つのTACACS+サーバーをセットアップします。

概要

この例では、IPアドレスが172.16.98.1である新しいTACACS+サーバーを追加します。TACACS+サーバーの共有秘密パスワードをTacacssecret1として指定します。デバイスはこの秘密を暗号化した値にして設定データベースに保存します。最後に、デバイスがTACACS+サーバーの要求に使用する送信元アドレスを指定します。ほとんどの場合、デバイスのループバックアドレス（この例では10.0.0.1）を使用することができます。

ネットワークデバイスでは、ローカルパスワード認証、TACACS+、RADIUSなど、複数のユーザー認証方法のサポートを設定できます。複数の認証方法を設定する際に、デバイスが試す異なる認証方法に対して優先順位を付けることができます。この例では、まずTACACS+認証サービスを使用し、それが失敗した場合はローカルパスワード認証を試みるようにデバイスを設定します。

TACACS+が認証したユーザーは、ネットワークデバイス上のローカルユーザーアカウントまたはローカルユーザーテンプレートアカウントとしてマッピングされる必要があり、これが認証を決定します。デフォルトでは、TACACS+が認証したユーザーにローカルユーザーアカウントまたは特定のユーザーテンプレートがマッピングされておらず、remoteユーザーテンプレーが設定されていれば、これが割り当てられます。この例では、remoteユーザーテンプレートを設定します。

設定

CLIクイック構成

この例を手早く設定するには、以下のコマンドをコピーして、テキストファイルに貼り付けます。改行を削除し、ネットワーク設定に合わせて必要な変更を加え、コマンドを[edit]階層レベルのCLIにコピー、貼り付けしてから、設定モードでcommitを入力します。

content_copy zoom_out_map
set system tacplus-server 172.16.98.1 
set system tacplus-server 172.16.98.1 secret Tacacssecret1 
set system tacplus-server 172.16.98.1 source-address 10.0.0.1 
set system authentication-order [tacplus password]
set system login user remote class operator

ステップバイステップでの手順

システム認証用のTACACS+サーバーの設定手順

TACACS+サーバーを追加して、そのIPアドレスを設定します。
```
[edit system]
user@host# set tacplus-server 172.16.98.1
```
TACACS+サーバーの共有秘密（パスワード）を指定します。
```
[edit system]
user@host# set tacplus-server 172.16.98.1 secret Tacacssecret1
```
送信元アドレスとして、デバイスのループバックアドレスを指定します。
```
[edit system]
user@host# set tacplus-server 172.16.98.1 source-address 10.0.0.1
```
デバイスの認証順序を指定し、tacplusオプションを含めます。
```
[edit system]
user@host# set authentication-order [tacplus password]
```
remoteユーザーテンプレートとそのログインクラスを設定します。
```
[edit system]
user@host# set login user remote class operator
```

結果

設定モードで、show systemコマンドを入力して設定を確認します。出力結果に意図した設定内容が表示されない場合は、この例の設定手順を繰り返して設定を修正します。

以下の出力には、この例に関連する設定階層部分だけを含んでいます。

content_copy zoom_out_map
[edit]
user@host# show system
login {
    user remote {
        class operator;
    }
}
authentication-order [ tacplus password ];
tacplus-server {
    172.16.98.1 {
        secret "$9$ABC123"; ## SECRET-DATA
        source-address 10.0.0.1;
    }
}

デバイスの設定後、コンフィギュレーションモードでcommitを入力します。

検証

設定が正常に機能していることを確認します。

TACACS+サーバーの設定の確認

目的
アクション

目的

TACACS+サーバーがユーザーを認証していることを確認します。

アクション

ネットワークデバイスにログインし、ログインに成功したことを確認します。設定で、ローカル認証パスワードが定義されていないアカウントを使用してログインを試すことで、デバイスの認証にTACACS+サーバーが使われていることを確認できます。

ジュニパーネットワークスベンダー固有のTACACS+属性

Junos OSでは、TACACS+サーバーにおけるジュニパーネットワークスのTACACS+のベンダー固有属性（VSA）の設定に対応しています。表 1は、サポートされるジュジュニパーネットワークスのVSAの一覧を示します。

属性の一部では、POSIX 1003.2で定義された拡張正規表現を利用できます。正規表現にスペース、オペレーターまたはワイルドカード文字が含まれる場合は引用符で囲みます。詳細については、次を参照してください。

表 1: ジュニパーネットワークスベンダー固有のTACACS+属性
お名前	説明	長さ	文字列
`local-user-name`	デバイスにユーザーがログインする際にこのユーザーに割り当てられるユーザーテンプレート名を示します。	≥3	印刷可能なASCII文字を含む、1つまたは複数のオクテット。
`allow-commands`	ユーザーのログインクラスのパーミッションビットで承認されたコマンドに加え、ユーザーがコマンドを実行できるようにする拡張正規表現を含みます。	≥3	拡張正規表現の形式で印刷可能なASCII文字を含む、1つまたは複数のオクテット。
`allow-commands-regexps`	ユーザーのログインクラスのパーミッションビットで承認されたコマンドに加え、ユーザーがコマンドを実行できるようにする拡張正規表現を含みます。	≥3	拡張正規表現の形式で印刷可能なASCII文字を含む、1つまたは複数のオクテット。
`allow-configuration`	ユーザーのログインクラスのパーミッションビットで承認されたステートメントに加えて、ユーザーによる設定ステートメントの表示および変更を可能にする拡張正規表現を含みます。	≥3	拡張正規表現の形式で印刷可能なASCII文字を含む、1つまたは複数のオクテット。
`allow-configuration-regexps`	ユーザーのログインクラスのパーミッションビットで承認されたステートメントに加えて、ユーザーによる設定ステートメントの表示および変更を可能にする拡張正規表現を含みます。	≥3	拡張正規表現の形式で印刷可能なASCII文字を含む、1つまたは複数のオクテット。
`deny-commands`	ユーザーのログインクラスのパーミッションビットで承認されたコマンドを実行するユーザーパーミッションを拒否する拡張正規表現を含みます。	≥3	拡張正規表現の形式で印刷可能なASCII文字を含む、1つまたは複数のオクテット。
`deny-commands-regexps`	ユーザーのログインクラスのパーミッションビットで承認されたコマンドを実行するユーザーパーミッションを拒否する拡張正規表現を含みます。	≥3	拡張正規表現の形式で印刷可能なASCII文字を含む、1つまたは複数のオクテット。
`deny-configuration`	ユーザーのログインクラスのパーミッションビットで承認された設定ステートメントを表示または変更するユーザーパーミッションを拒否する拡張正規表現を含みます。	≥3	拡張正規表現の形式で印刷可能なASCII文字を含む、1つまたは複数のオクテット。
`deny-configuration-regexps`	ユーザーのログインクラスのパーミッションビットで承認された設定ステートメントを表示または変更するユーザーパーミッションを拒否する拡張正規表現を含みます。	≥3	拡張正規表現の形式で印刷可能なASCII文字を含む、1つまたは複数のオクテット。
`user-permissions`	ユーザーパーミッションを指定するのにサーバーが使用する情報を含みます。注: TACACS+サーバーが`maintenance`パーミッションまたは`all`パーミッションをユーザーに許可する`user-permissions`属性を定義する際、Unixホイールグループはユーザーのグループメンバーシップのリストに自動的には含まれません。`su root`コマンドの実行などローカルシェルからの一部の操作にはホイールグループメンバーシップのパーミッションが必要です。ただし、ネットワークデバイスが`maintenance`または`all`のパーミッションでローカルユーザーアカウントを定義する際は、UNIXホイールグループへのメンバーシップが自動的にユーザーに付与されます。このため、必要なパーミッションを持つユーザーテンプレートアカウントを作成し、このユーザーテンプレートアカウントを各ユーザーアカウントに関連付けることをお勧めします。	≥3	印刷可能なASCII文字を含む、1つまたは複数のオクテット。「アクセス権限レベルの概要」を参照してください。
`authentication-type`	ユーザーの認証に使用される認証方法（ローカルデータベースまたはTACACS+サーバー）を示します。ローカルデータベースを使用してユーザーが認証される場合、属性の値には「local」が表示されます。TACACS+サーバーを使用してユーザーが認証される場合、属性の値には「remote」が表示されます。	≥5	印刷可能なASCII文字を含む、1つまたは複数のオクテット。
`session-port`	確立されたセッションの送信元ポート番号を示します。	整数のサイズ	整数

RADIUSまたはTACACS+サーバーで正規表現を使用して、コマンドを許可または拒否する

Junos OSは、RADIUS-およびTACACS+認証ユーザーを、ローカルで定義したユーザーアカウントまたはユーザーテンプレートアカウントにマッピングできます。これは、ユーザーのアクセス権限を定義します。また、ジュニパーネットワークスRADIUSおよびTACACS+ベンダー固有属性（VSA）をそれぞれの認証サーバーで定義することで、ユーザーのアクセス権限を構成することもできます。

ユーザーのログインクラスは、ユーザーが許可されている操作モードおよび構成モードコマンドと、ユーザーが構成のどのエリアを表示および変更できるかを決定するパーミッションのセットを定義します。また、ログインクラスは、パーミッションフラグの許可に加えて、ユーザー特定のコマンドを実行したり、構成の特定エリアを表示および変更する機能をユーザーに許可または拒否する正規表現を定義することもできます。ログインクラスは、以下のステートメントを含めることで、ユーザー許可を定義します。

permissions
allow-commands
allow-commands-regexps
allow-configuration
allow-configuration-regexps
deny-commands
deny-commands-regexps
deny-configuration
deny-configuration-regexps

同様に、RADIUSまたはTACACS+サーバー構成では、ジュニパーネットワークスVSAを使用して、ユーザーのアクセス権限を決定する特定のパーミッションまたは正規表現を定義します。対応しているRADIUSおよびTACACS+ VSAのリストについては、以下を参照してください。

RADIUSまたはTACACS+サーバーでユーザーパーミッションを、スペース区切りの値のリストとして定義します。

RADIUSサーバーは、以下の属性と構文を使用します。
```
Juniper-User-Permissions += "flag1 flag2 flag3",
```
たとえば、以下のように表示されます。
```
Juniper-User-Permissions += "interface interface-control configure",
```
TACACS+サーバーは、以下の属性と構文を使用します。
```
user-permissions = "flag1 flag2 flag3"
```
たとえば、以下のように表示されます。
```
user-permissions = "interface interface-control configure"
```

RADIUSまたはTACACS+サーバーはまた、単一の拡張正規表現（POSIX 1003.2で定義）を使用するジュニパーネットワークスVSAを定義して、ユーザーに特定のコマンドを実行したり、設定エリアを表示・変更する機能を許可または拒否することもできます。複数のコマンドまたは構成階層を括弧で囲み、パイプ記号を使用して区切ります。正規表現にスペース、オペレーターまたはワイルドカード文字が含まれる場合は引用符で囲みます。ローカルとリモートの両方で認証パラメータを設定する場合、デバイスは、TACACS+RADIUS認証時に受け取った正規表現と、ローカルデバイスで定義された正規表現をマージします。

RADIUS認証サーバーは、以下の属性と構文を使用します。

content_copy zoom_out_map
Juniper-Allow-Commands += "(cmd1)|(cmd2)|(cmdn)",
Juniper-Deny-Commands += "(cmd1)|(cmd2)|(cmdn)",
Juniper-Allow-Configuration += "(config1)|(config2)|(confign)",
Juniper-Deny-Configuration += "(config1)|(config2)|(confign)",

たとえば、以下のように表示されます。

content_copy zoom_out_map
Juniper-Allow-Commands += "(test)|(ping)|(quit)",
Juniper-Deny-Commands += "(request)|(restart)",
Juniper-Allow-Configuration += "(groups re0)|(system radius-server)",
Juniper-Deny-Configuration += "(system radius-options)|(system accounting)",

TACACS+ 認証サーバーは、以下の属性と構文を使用します。

content_copy zoom_out_map
allow-commands = "(cmd1)|(cmd2)|(cmdn)"
deny-commands = "(cmd1)|(cmd2)|(cmdn)"
allow-configuration = "(config1)|(config2)|(confign)"
deny-configuration = "(config1)|(config2)|(confign)"

たとえば、以下のように表示されます。

content_copy zoom_out_map
allow-commands = "(test)|(ping)|(quit)"
deny-commands = "(request)|(restart)"
allow-configuration = "(groups re0)|(system tacplus-server)"
deny-configuration = "(system tacplus-options)|(system accounting)"

RADIUSおよびTACACS+サーバーは、ローカルデバイスで構成できる同じ*-regexpsステートメントに対応する属性を設定します。*-regexpsTACACS+属性と*-RegexpsRADIUS 属性は、以前の属性と同じ正規表現構文を使用しますが、変数で正規表現を構成することができます。

RADIUS認証サーバーは、以下の属性と構文を使用します。

content_copy zoom_out_map
Juniper-Allow-Configuration-Regexps += "(config1)|(config2)|(confign)",
Juniper-Deny-Configuration-Regexps += "(config1)|(config2)|(confign)",

TACACS+ 認証サーバーは、以下の属性と構文を使用します。

content_copy zoom_out_map
allow-commands-regexps = "(cmd1)|(cmd2)|(cmdn)"
deny-commands-regexps = "(cmd1)|(cmd2)|(cmdn)"
allow-configuration-regexps = "(config1)|(config2)|(confign)"
deny-configuration-regexps = "(config1)|(config2)|(confign)"

例えば、TACACS+サーバー構成は、以下の属性を定義する場合があります。

content_copy zoom_out_map
allow-commands-regexps = "(show cli .*)|(ping 10.1.1..*)"
deny-commands-regexps = "(configure .*)|(edit)|(commit)|(rollback .*)"

RADIUSまたはTACACS+サーバーでは、単一行で個別の表現を指定する簡略化された構文で属性を定義できます。

RADIUSサーバーでは、以下の構文を使用して個別の正規表現を指定します。

content_copy zoom_out_map
Juniper-User-Permissions += "permission-flag1",
Juniper-User-Permissions += "permission-flag2",
Juniper-User-Permissions += "permission-flagn",
Juniper-Allow-Commands += "cmd1",
Juniper-Allow-Commands += "cmd2",
Juniper-Allow-Commands += "cmdn",
Juniper-Deny-Commands += "cmd1",
Juniper-Deny-Commands += "cmd2",
Juniper-Deny-Commands += "cmdn",
Juniper-Allow-Configuration += "config1",
Juniper-Allow-Configuration += "config2",
Juniper-Allow-Configuration += "confign",
Juniper-Deny-Configuration += "config1",
Juniper-Deny-Configuration += "config2",
Juniper-Deny-Configuration += "confign",

TACACSサーバーでは、以下の構文を使用して個別の正規表現を指定します。

content_copy zoom_out_map
user-permissions1 = "permission-flag1"
user-permissions2 = "permission-flag2"
user-permissionsn = "permission-flagn"
allow-commands1 = "cmd1"
allow-commands2 = "cmd2"
allow-commandsn = "cmdn"
deny-commands1 = "cmd1"
deny-commands2 = "cmd2"
deny-commandsn = "cmdn"
allow-configuration1 = "config1"
allow-configuration2 = "config2"
allow-configurationn = "confign"
deny-configuration1 = "config1"
deny-configuration2 = "config2"
deny-configurationn = "confign"

注:

TACACS+サーバー構文では、数値1～nは固有でなければなりませんが、順番になっている必要はありません。例えば、以下の構文が有効です。
```
allow-commands1="cmd1"
allow-commands3="cmd3"
allow-commands2="cmd2"
deny-commands3="cmd3"
deny-commands2="cmd2"
deny-commands1="cmd1"
```
RADIUSまたはTACACS+サーバーは、個別の正規表現ラインの数に制限を付けます。
show cli authorizationコマンドを発行すると、コマンドの出力は、個別の行で個別表現を指定した場合でも、1行で正規表現を表示します。

ユーザーは、 show cli authorization操作モードコマンドを発行することで、クラス、パーミッション、コマンドおよび構成認証を確認できます。

content_copy zoom_out_map
user@host> show cli authorization

注:

認証パラメーターをネットワークデバイス上でローカルに設定し、RADIUSまたはTACACS+サーバー上でもリモートで設定すると、デバイスは、TACACS+RADIUS認証時に受け取った正規表現とローカルで構成された正規表現をマージします。最終表現に構文エラーが含まれる場合、全体的な結果は無効な正規表現となります。

TACACS+ システムアカウンティングの設定

デバイスにTACACS+アカウンティングを設定し、LANにログインまたはログアウトするユーザーの統計データを収集し、TACACS+アカウンティングサーバーにデータを送信することができます。統計データは、一般的なネットワーク監視、使用パターンの分析および追跡、またはセッションの期間やアクセスしたサービスの種類に基づくユーザーへの課金に使用することができます。

TACACACS +アカウンティングを設定するには、以下のようにします。

デバイスから統計データを受信するための1つ以上のTACACS+アカウンティングサーバー
収集するアカウンティングデータの種類

TACACS+ アカウンティングと認証の両方に同じサーバーを使用したり、個別のサーバーを使用することができます。TACACS+ アカウンティングサーバーのリストを指定できます。デバイスは、設定された順序でサーバーにを検索をします。プライマリサーバー（最初に設定されたサーバー）が利用できない場合、デバイスは応答を受け取るまでリスト内の各サーバーへのコンタクトを試みます。

TACACS+ アカウンティングを有効にすると、TACACS+ クライアントとして機能する Juniper Networks デバイスは、ソフトウェアのログイン、設定変更、対話型コマンドなどのユーザーアクティビティを TACACS+ サーバーに通知することができるようになります。

TACACS+サーバーアカウンティングを設定します。

TACACS+ サーバーアカウントを設定するには、

を監査するイベントを設定します。
```
[edit system accounting]
user@host# set events [ events ]
```
たとえば、以下のように表示されます。
```
[edit system accounting]
user@host# set events [ login change-log interactive-commands ]
```
events は一つ以上に以下のものを含むことができます：
- login監査ログイン
- change-log構成の変更
- interactive-commandsインタラクティブ・コマンドを検査する（任意のコマンドラインを入力する）
TACACS+ アカウンティングを有効化します。
```
[edit]
user@host# set system accounting destination tacplus
```
1 つかそれ以上の以上の TACACS+ アカウンティングサーバーのアドレスを設定します。
```
[edit system accounting destination tacplus]
user@host# set server server-address
```
たとえば、以下のように表示されます。
```
[edit system accounting destination tacplus]
user@host# set server 192.168.17.28
```
注:
[edit system accounting destination tacplus]階層レベルで TACACS+ サーバーを　に設定しない場合、デバイスは[edit system tacplus-server]階層レベルでに設定されたTACACS+サーバーを使用します。
（オプション）TACACS+ アカウンティングの求めに応じて、送信元アドレスを設定します。
```
[edit system accounting destination tacplus server server-address]
user@host# set source-address source-address
```
たとえば、以下のように表示されます。
```
[edit system accounting destination tacplus server 192.168.17.28]
user@host# set source-address 192.168.17.1
```
送信元アドレスは、ルーターインターフェイスまたはスイッチインターフェイスの1つに設定された有効なIPv4アドレスまたはIPv6アドレスです。ネットワークデバイスに、TACACS+ サーバーに到達できる複数のインターフェイスがある場合、デバイスが、TACACS+ サーバーとのすべての通信に使用できるIPアドレスを割り当てます。これを行うと、ローカルで生成されるIPパケットの送信元アドレスとして固定アドレスが設定されます。
ネットワークデバイスがTACACS+ アカウンティングサーバーの認証に使用する共有の秘密のパスワードを設定します。
設定されたパスワードは、TACACS+ サーバーに設定されたパスワードに一致する必要があります。パスワートにスペースが含まれている場合、引用符で囲んでください。デバイスは、パスワードを暗号化された値として、設定データベースに保存します。
```
[edit system accounting destination tacplus server server-address]
user@host# set secret password
```
たとえば、以下のように表示されます。
```
[edit system accounting destination tacplus server 192.168.17.28]
user@host# set secret Tacplussecret1
```
(オプション) 必要に応じて、アカウンティングパケットを送信するTACACS+アカウンティングサーバーポートを、デフォルト(49)と異なる場合に指定します。
```
[edit system accounting destination tacplus server server-address]
user@host# set port port-number
```
（オプション）デバイスが、TACACS+ アカウンティングサーバーから応答を受信する時間を設定します。
デフォルトでは、デバイスは 3 秒待ちます。1～90秒のtimeoutの値を設定できます。
```
[edit system accounting destination tacplus server server-address]
user@host# set timeout seconds
```
たとえば、サーバーからの応答を待つ場合、15秒です。
```
[edit system accounting destination tacplus server 192.168.17.28]
user@host# set timeout 15
```
（オプション）接続を試みるたびに個別の接続を開くのではなく、複数の要求に対してサーバーに1つのオープンTCP接続を維持するようデバイスを設定します。
```
[edit system accounting destination tacplus server server-address]
user@host# set single-connection
```
注:
TACACS+ サーバーの初期バージョンはsingle-connectionのオプションをサポートしていません。このオプションを指定し、サーバーがサポートしていない場合、デバイスはそのTACACS+ サーバーと通信できません。
(オプション) TACACS+のアカウンティング・パケットをデフォルトのルーティングインスタンスではなく，デフォルト以外の管理インスタンスまたは別のルーティング・インスタンスでルーティングするには，routing-instance状態を構成してルーティング・インスタンスを指定します。
```
[edit system accounting destination tacplus server server-address]
user@host# set routing-instance routing-instance
```
たとえば、以下のように表示されます。
```
[edit system accounting destination tacplus server 192.168.17.28]
user@host# set routing-instance mgmt_junos
```
ログインイベントの開始および停止要求は、管理ログファイルの代わりに TACACS+ サーバーアカウンティングログファイルに正しくログインされるようにするには、[edit system tacplus-options]階層レベルでステートメントno-cmd-attribute-valueまたはexclude-cmd-attributeステートメントを含めます。
```
[edit system tacplus-options]
user@host# set (no-cmd-attribute-value | exclude-cmd-attribute)
```
注:
どちらの記述も、アカウンティング要求を管理ファイルではなく、アカウンティング・ファイルに正しく記録することをサポートしています。no-cmd-attribute-valueステートメントを設定した場合、cmd属性の値が開始およびリクエストの NULL 文字列に設定されます。exclude-cmd-attributeステートメントを設定した場合、cmd属性は、開始と停止の要求から完全に除外されます。

変更履歴

サポートされる機能は、使用しているプラットフォームとリリースによって決まります。特定の機能がお使いのプラットフォームでサポートされているかどうかを確認するには、 Feature Explorer をご利用ください。

リリース

説明

18.2R1

Junos OSリリース18.2R1以降、認証で設定するルーティングインスタンスを介してTACACS+ トラフィックをルーティングできます。

17.4R1

Junos OSリリース17.4R1以降、既存のTACACS+ の動作は、mgmt_junosという名前が付いたデフォルト以外のVRFインスタンスで、管理インターフェイスを介してTACACACS+ パケットのルーティングをサポートするように強化されています。

arrow_backward PREVIOUS RADIUS Authentication

NEXT arrow_forward ルーティングプロトコルの認証

Junos OS 向けユーザーアクセスおよび認証管理ガイド

このページで

この機械翻訳はお役に立ちましたでしょうか?

免責事項:

TACACS+認証

TACACS+ 認証の設定

TACACS+ サーバーの詳細を設定する

TACACS+ を設定して管理インスタンスを使用する

複数のTACACS+ サーバーに同じ認証サービスを設定する

ジュニパーネットワークスのベンダー固有のTACACS+ 属性を設定する

TACACS+認証プロファイルの定期更新の構成

例：システム認証用のTACACS+サーバーの設定

要件

概要

設定

手順

CLIクイック構成

ステップバイステップでの手順

結果

検証

TACACS+サーバーの設定の確認

目的

アクション

ジュニパーネットワークスベンダー固有のTACACS+属性

RADIUSまたはTACACS+サーバーで正規表現を使用して、コマンドを許可または拒否する

TACACS+ システムアカウンティングの設定

TACACS+サーバーアカウンティングを設定します。

変更履歴

Stay in touch

Helped me install or use the product
Accelerated my deployment

Discuss the product with a co-worker
Make a purchase inquiry

Junos OS 向けユーザー アクセスおよび認証管理ガイド

このページで

この機械翻訳はお役に立ちましたでしょうか?

免責事項:

TACACS+認証

TACACS+ 認証の設定

TACACS+ サーバーの詳細を設定する

TACACS+ を設定して管理インスタンスを使用する

複数のTACACS+ サーバーに同じ認証サービスを設定する

ジュニパーネットワークスのベンダー固有のTACACS+ 属性を設定する

TACACS+認証プロファイルの定期更新の構成

例：システム認証用のTACACS+サーバーの設定

要件

概要

設定

手順

CLIクイック構成

ステップバイステップでの手順

結果

検証

TACACS+サーバーの設定の確認

目的

アクション

ジュニパーネットワークスベンダー固有のTACACS+属性

RADIUSまたはTACACS+サーバーで正規表現を使用して、コマンドを許可または拒否する

TACACS+ システム アカウンティングの設定

TACACS+サーバーアカウンティングを設定します。

変更履歴

Stay in touch

Junos OS 向けユーザーアクセスおよび認証管理ガイド

TACACS+ システムアカウンティングの設定