사용자 액세스 권한

로그인 클래스 권한 플래그

권한 플래그를 사용하여 사용자에게 운영 모드 명령 및 구성 계층 수준과 문에 대한 액세스 권한을 부여할 수 있습니다. 계층 수준에서 사용자의 로그인 클래스에 대한 권한 플래그를 [edit system login class] 구성합니다. 특정 권한 플래그를 지정할 때, 사용자는 명령과 구성 계층 수준 및 해당 플래그에 해당하는 문에 대한 액세스 권한을 얻습니다. 모든 명령 및 구성 문에 대한 액세스 권한을 부여하려면 권한 플래그를 all 사용합니다.

문은 permissions 표 1에 나열된 권한 플래그 중 하나 이상을 지정합니다. 권한 플래그는 누적되지 않습니다. 각 클래스에 대해 정보를 configure 표시하고 구성 모드를 입력하는 것을 포함하여 view 필요한 모든 권한 플래그를 나열해야 합니다. 두 가지 형태의 권한이 구성의 개별 부분에 대한 사용자의 액세스를 제어합니다.

• "일반" 형태 - 해당 권한 유형에 대한 읽기 전용 기능을 제공합니다. 예를 들면 interface입니다.

• -control form - 해당 권한 유형에 대한 읽기 및 쓰기 기능을 제공합니다. 예를 들면 interface-control입니다.

구성 계층 수준과 문에 대한 액세스를 부여하는 권한 플래그의 경우, 일반 형태 플래그는 해당 구성에 대한 읽기 전용 권한을 부여합니다. 예를 들어, 권한 플래그는 interface 계층 수준에 대한 읽기 전용 액세스 권한을 [edit interfaces] 부여합니다. -control 플래그 형식은 해당 구성에 대한 읽기-쓰기 액세스 권한을 부여합니다. 예를 들어, 플래그는 interface-control 계층 수준에 대한 [edit interfaces] 읽기-쓰기 액세스 권한을 부여합니다.

표 1 에는 계층 수준에서 문을 포함하여 permissions 구성할 수 있는 로그인 클래스 권한 플래그가 [edit system login class class-name] 나열되어 있습니다.

권한 플래그는 특정 액세스 권한 집합을 부여합니다. 각 권한 플래그는 운영 모드 또는 구성 모드 명령 및 플래그가 액세스 권한을 부여하는 구성 계층 수준과 문과 함께 나열됩니다.

로그인 클래스에 대한 개별 명령과 문 계층 허용 및 거부

기본적으로 모든 최상위 CLI 명령 및 구성 계층 수준에는 관련 액세스 권한 수준이 있습니다. 사용자는 이러한 명령만 실행할 수 있으며 액세스 권한이 있는 명령문만 보고 구성할 수 있습니다. 각 로그인 클래스에 대해 운영 모드 및 구성 모드 명령과 문에 지정된 권한 수준에 의해 허용되거나 거부될 수 있는 문 계층의 permissions 사용을 명시적으로 허용하거나 거부할 수 있습니다.

권한 플래그는 사용자에게 운영 모드 및 구성 모드 명령과 구성 계층 수준 및 문에 대한 액세스 권한을 부여합니다. 계층 수준에서 사용자의 로그인 클래스에 [edit system login class] 대한 특정 권한 플래그를 지정함으로써 해당 명령과 구성 계층 수준 및 문에 대한 사용자 액세스 권한을 부여할 수 있습니다. 모든 명령 및 구성 문에 대한 액세스 권한을 부여하려면 권한 플래그를 all 사용합니다.

로그인 클래스에 대해 , deny-commands, allow-configuration및 deny-configuration 문을 구성allow-commands하여 명령과 문의 사용을 명시적으로 허용하거나 거부할 수 있습니다. 명령문에서는 확장 정규 표현식을 사용하여 클래스에 할당된 사용자에 대해 허용하거나 거부할 명령과 명령문을 정의합니다.

허용 및 거부 문 이해

각 최상위 CLI 명령 및 구성 명령문 계층 구조는 이와 관련된 액세스 권한 수준을 갖습니다. 각 로그인 클래스는 운영 모드 및 구성 모드 명령과 구성 계층 및 명령문의 사용을 명시적으로 허용하거나 거부할 수 있습니다. 사용자는 이러한 명령만 실행할 수 있으며 액세스 권한이 있는 명령문만 보고 구성할 수 있습니다.

각 로그인 클래스에 대한 액세스 권한은 계층 수준에서 명령문에 permissions 지정된 하나 이상의 권한 플래그로 [edit system login class class-name] 정의됩니다. 또한 확장 정규 표현식을 정의하여 특정 명령 및 구성 계층 구조의 사용을 허용하거나 거부할 수 있습니다. 로그인 클래스에 대해 다음 명령문을 구성하여 정규 표현식을 지정할 수 있습니다.

• allow-commands 및 deny-commands- 작동 모드 및 구성 모드 명령에 대한 액세스를 허용하거나 거부합니다.

• allow-configuration 및 deny-configuration- 특정 구성 계층에 대한 액세스를 허용하거나 거부합니다.

  메모:

  이러한 문은 특히 와일드카드 일치에서 더 유연하고 더 느린 일치를 수행합니다. 그러나 많은 수의 전체 경로 정규 표현식 또는 와일드카드 표현식이 구성된 경우 가능한 모든 명령문을 평가하는 데 매우 오랜 시간이 소요되어 성능에 부정적인 영향을 미칠 수 있습니다.

• allow-commands-regexps 및 deny-commands-regexps- 정규 표현식 문자열을 사용하여 특정 명령에 대한 액세스를 허용하거나 거부합니다.

• allow-configuration-regexps 및 deny-configuration-regexps- 정규 표현식 문자열을 사용하여 특정 구성 계층에 대한 액세스를 허용하거나 거부합니다.

명령문을 사용하여 명령 및 구성 명령문 계층을 allow/deny-* 명시적으로 허용하면 명령문이 이미 정의한 permissions 권한에 추가됩니다. 마찬가지로, 명령문을 사용하여 명령 및 구성 명령문 계층을 allow/deny-* 명시적으로 거부하면 명령문이 이미 정의한 permissions 권한이 제거됩니다.

예를 들어, 다음 구성 configure 에서 권한을 통해 로그인 클래스의 사용자가 구성 모드로 전환할 수 있습니다. 또한 표현식을 allow-configuration 통해 사용자는 계층 수준에서 구성을 [edit system services] 수정하고 커밋할 수 있습니다.

마찬가지로, 다음 구성에서 로그인 클래스 사용자는 권한 플래그가 all 허용하는 모든 작업을 수행할 수 있습니다. 단, 사용자가 계층 수준에서 구성을 보거나 수정할 수 없다는 점은 예외입니다.[edit system services]

Allow 및 Deny 문 구문 이해

각 로그인 클래스에서 한 번만 명령문을 구성할 allow/deny-* 수 있습니다. 명령문을 구성할 때:

• 필요한 만큼 정규 표현식을 구성할 수 있습니다.

• 정규 표현식은 대소문자를 구분하지 않습니다

명령문은 allow/deny-commands 명령문과 allow/deny-commands-regexps 상호 배타적이며allow/deny-configuration, 명령문은 명령문과 allow/deny-configuration-regexps 상호 배타적입니다. 예를 들어, 동일한 로그인 클래스에서 와(과) 를 allow-configuration-regexps 둘 다 allow-configuration 구성할 수 없습니다.

명령에 대한 액세스 권한을 정의하려면 및 deny-commands 명령문을 사용하여 확장 정규 표현식을 allow-commands 지정합니다. 각각의 완전한 독립형 식을 괄호( )로 묶고 파이프( | ) 기호를 사용하여 식을 구분합니다. 파이프 기호로 연결된 정규 표현식 사이에는 공백을 사용하지 마십시오. 완전한 표현식은 큰따옴표로 묶입니다.

예를 들어:

명령문으로 복잡한 정규 표현식을 지정할 때는 앵커를 allow-commands 사용해야 합니다. 예를 들어:

구성 계층의 일부에 대한 액세스 권한을 정의하려면, 및 deny-configuration 문에 allow-configuration 확장 정규 표현식을 지정합니다. 전체 경로를 괄호( )로 묶고 파이프( | ) 기호를 사용하여 식을 구분합니다. 파이프 기호로 연결된 정규 표현식 사이에는 공백을 사용하지 마십시오. 완전한 표현식은 큰따옴표로 묶입니다.

예를 들어:

또는 allow/deny-configuration-regexps 명령문을 사용하여 확장 정규 표현식을 allow/deny-commands-regexps 지정하는 경우 각 식을 따옴표(" ")로 묶고 공백을 사용하여 식을 구분합니다. 여러 식은 대괄호 [ ]로 묶습니다. 예를 들어:

, log, 등의 count 수정자는 set일치시킬 정규 표현식 문자열 내에서 지원되지 않습니다. 수정자를 사용하면 아무 것도 일치하지 않습니다.

올바른 구성:

잘못된 구성:

허용 및 거부 명령문 우선 순위 및 일치 이해

기본적으로 및 allow-configuration 정규 표현식은 allow-commands 및 deny-configuration 표현식보다 deny-commands 우선합니다. 따라서 및 deny-commands 명령문 모두에 allow-commands 대해 동일한 명령을 구성하면 허용 작업이 거부 작업보다 우선합니다. 마찬가지로 및 deny-configuration 명령문 모두에 allow-configuration 대해 동일한 명령문을 구성하는 경우 허용 작업이 거부 작업보다 우선합니다.

예를 들어, 다음 구성을 사용하면 명령문에 test 동일한 명령이 포함되어 있어 deny-commands 도 로그인 클래스의 사용자가 명령을 사용하여 request system software add 소프트웨어를 설치할 수 있습니다.

마찬가지로, 다음 구성을 사용하면 로그인 클래스 테스트의 test 사용자가 명령문에 동일한 계층이 포함되어 있어 deny-configuration 도 구성 계층을 [edit system services] 보고 수정할 수 있습니다.

및 deny-commands 문에 allow-commands 명령의 두 가지 변형이 있는 경우 가장 긴 일치 항목이 항상 실행됩니다. 다음 구성에서는 로그인 클래스의 사용자가 test 명령을 실행할 수 있지만 명령은 실행할 commit synchronize 수 없습니다commit. 이는 가 와(과) 간의 commit synchronize가장 긴 일치 항목 commit 이고 에 대해 allow-commands지정되기 때문입니다commit synchronize.

다음 구성에서는 로그인 클래스의 사용자가 test 명령을 실행할 수 있지만 명령은 실행할 commit 수 없습니다commit synchronize. 이는 가 와(과) 간의 commit synchronize가장 긴 일치 항목 commit 이고 에 대해 deny-commands지정되기 때문입니다commit synchronize.

다른 명령문과 달리, 명령문의 기본 동작 *-regexps 은 deny-commands-regexps 및 deny-configuration-regexps 정규 표현식이 및 allow-configuration-regexps 표현식보다 allow-commands-regexps 우선한다는 것입니다. 계층 수준에서 [edit system] 문을 구성 regex-additive-logic 하여 정규 표현식이 allow-configuration-regexps 명령문보다 deny-configuration-regexps 우선하도록 할 수 있습니다. 명령문을 구성하면 더 높은 수준의 구성 계층을 거부한 다음 특정 하위 계층에 대한 사용자 액세스만 허용할 수 있습니다.

허용 및 거부 명령문 규칙 이해

, allow/deny-configuration, allow/deny-commands-regexps및 allow/deny-configuration-regexps 명령allow/deny-commands문은 로그인 클래스 권한보다 우선합니다. 이러한 명령문을 구성할 때 다음 규칙이 적용됩니다.

• 및 deny-commands 명령문의 정규 표현식에는 allow-commands , load, rollback, statussave, 및 update 명령도 포함될 commit수 있습니다.

• 사용자가 권한 플래그가 all 활성화된 명령을 실행할 rollback 때 로그인 클래스 권한 비트는 확장 정규 표현보다 rollback 우선합니다.

• 사용자는 확장 정규 표현식을 load override 지정할 때 명령을 실행할 수 없습니다. 사용자는, replace및 구성 명령만 실행할 merge수 있습니다patch.

• 정규 표현식을 나타낼 때 * 와일드카드 문자를 사용할 수 있습니다. 그러나 정규식의 일부로 사용해야 합니다. 또는 을[ .* ](를) 유일한 표현으로 사용할 [ * ] 수 없습니다. 또한 로 평가되므로 와 같은 (interfaces (description (|.*))표현식을 allow-configuration .*사용하여 문을 구성할 allow-configuration 수 없습니다.

*-regexps 명령문의 차이점 이해

이 섹션에서는 명령문과 명령문 간의 allow/deny-configuration 차이점을 간략하게 allow/deny-configuration-regexps 설명합니다.

문은 allow/deny-configuration-regexps 정규식을 토큰으로 분할하고 각 조각을 지정된 구성의 전체 경로의 각 부분과 일치시키는 반면, 문은 allow/deny-configuration 전체 문자열과 일치시킵니다. 명령문의 경우 allow/deny-configuration-regexps , 각 문자열이 문자열 용어 사이에 공백이 있는 정규 표현식인 문자열 세트를 구성합니다. 이 구문은 매우 빠른 일치를 제공하지만 유연성이 떨어집니다. 와일드카드 표현식을 지정하려면 매치시키려는 공백으로 구분된 문자열의 각 토큰에 대해 와일드카드를 설정해야 합니다. 그러면 이러한 명령문에 와일드카드 표현식을 사용하기가 더 어려워집니다.

예를 들어:

• allow-configuration-regexps를 사용하여 하나의 토큰과 일치하는 정규 표현식

  이 예는 이(가 options ) 명령문의 첫 번째 토큰과 일치하는 유일한 표현식임을 보여줍니다.

  앞의 구성은 다음 명령문과 일치합니다.

  • 정책 옵션 조건 condition dynamic-db 설정

  • routing-options 고정 경로 static-route 다음 홉 설정next-hop

  • 이벤트 옵션 생성 이벤트 event 시간 간격 설정 seconds

  앞의 구성은 다음 명령문과 일치하지 않습니다.

  • 시스템 호스트 이름 호스트 옵션

  • 인터페이스 interface-name 설명 옵션

• allow-configuration-regexps를 사용하여 3개의 토큰과 일치하는 정규 표현식

  이 예는 이(가 ssh ) 명령문의 세 번째 토큰과 일치하는 유일한 표현식임을 보여줍니다.

  앞의 예에서 세 개의 토큰에는 각각 , .*, 이.*ssh(가) 포함됩니다.*.

  앞의 구성은 다음 명령문과 일치합니다.

  • 시스템 호스트 이름 호스트 이름-ssh

  • 시스템 서비스 ssh

  • 시스템 서비스 아웃바운드-SSH

  앞의 구성은 다음 명령문과 일치하지 않습니다.

  • 인터페이스 interface-name 설명 ssh

명령문을 사용하는 것보다 명령문을 사용하여 deny-configuration 구성 액세스를 제한하는 것이 deny-configuration-regexps 더 쉽습니다. 표 2 는 특정 구성에 대한 액세스를 제한하는 동일한 결과를 얻기 위해 서로 다른 구성에서 및 deny-configuration-regexps 문을 모두 deny-configuration 사용하는 것을 보여줍니다.

[edit system]
login {
    class test {
        permissions configure;
         allow-configuration .*;
        deny-configuration .*xnm-ssl;
    }
}

[edit system]
login {
    class test {
        permissions configure;
         allow-configuration .*;
        deny-configuration-regexps ".* .* .*-ssl"";
    }
}

[edit system]
login {
    class test {
        permissions configure;
        allow-configuration .*;
        deny-configuration ".*ssh";
    }
}

[edit system]
login {
    class test {
        permissions configure;
        allow-configuration .*;
        deny-configuration-regexps ".*ssh";
        deny-configuration-regexps ".* .*ssh";
        deny-configuration-regexps ".* .* .*ssh";
    }
}

allow/deny-configuration 간단한 구성을 원할 때도 명령문이 유용하지만, 명령문은 allow/deny-configuration-regexps 더 나은 성능을 제공하고 명령문에서 표현식을 결합할 때 존재하는 모호성을 극복합니다allow/deny-configuration.

원격 인증 서버에서 정규 표현식 사용

확장 정규 표현식을 사용하여 특정 사용자에 대해 허용되거나 거부되는 작동 모드 및 구성 모드 명령과 구성 명령문 및 계층을 지정할 수 있습니다. 계층 수준에서 , , 및 명령문에 allow/deny-commands이러한 정규 표현식을 [edit system login class class-name] 로컬로 지정합니다.allow/deny-configuration-regexps allow/deny-commands-regexps allow/deny-configuration 인증 서버 구성에서 주니퍼 네트웍스 벤더별 TACACS+ 또는 RADIUS 속성을 지정하여 이러한 정규식을 원격으로 지정합니다. 로컬 및 원격으로 권한 부여 매개 변수를 구성하면 디바이스는 TACACS+ 또는 RADIUS 권한 부여 중에 수신된 정규식을 로컬 디바이스에 정의된 정규식과 병합합니다.

, deny-commands, allow-configuration또는 deny-configuration 문을 사용하여 allow-commands로컬 구성에서 여러 정규 표현식을 지정하는 경우 괄호 안에 정규 표현식을 구성하고 파이프 기호를 사용하여 구분합니다. 완전한 식은 큰따옴표로 묶습니다. 예를 들어, 다음 구문을 사용하여 여러 allow-commands 매개 변수를 지정할 수 있습니다.

RADIUS 인증 서버는 다음 속성과 구문을 사용합니다.

TACACS+ 인증 서버는 다음 속성과 구문을 사용합니다.

, deny-commands-regexps, allow-configuration-regexps또는 deny-configuration-regexps 를 사용하여 allow-commands-regexps로컬 구성에서 여러 정규 표현식을 지정하는 경우 큰따옴표 안에 정규 표현식을 구성하고 공백 연산자를 사용하여 구분합니다. 완전한 표현식을 대괄호로 묶습니다. 예를 들어, 다음 구문을 사용하여 여러 allow-commands 매개 변수를 지정할 수 있습니다.

RADIUS 인증 서버는 다음 속성과 구문을 사용합니다.

TACACS+ 인증 서버는 다음 속성과 구문을 사용합니다.

RADIUS 및 TACACS+ 서버는 별도의 줄에 각 개별 표현식을 지정하는 단순화된 구문도 지원합니다. 예를 들어, RADIUS 서버의 간소화된 구문은 다음과 같습니다.

마찬가지로 TACACS+ 서버 Simplified 구문은 다음과 같습니다.

표 3 은 정규식을 사용하여 로컬 인증 구성과 TACACS+ 서버 인증 구성을 구분합니다.

login {
    class local {
        permissions configure;
        allow-commands "(ping .*)|(traceroute .*)|(show .*)|(configure .*)|(edit)|(exit)|(commit)|(rollback .*)";
        deny-commands .*;
        allow-configuration "(interfaces .* unit 0 family ethernet-switching vlan mem.* .*)|(interfaces .* native.* .*)|(interfaces .* unit 0 family ethernet-switching interface-mo.* .*)|(interfaces .* unit .*)|(interfaces .* disable)|(interfaces .* description .*)|(vlans .* vlan-.* .*)"
        deny-configuration .*;
    }
}

user = remote {
    login = username
    service = junos-exec {
        allow-commands1 = "ping .*"
        allow-commands2 = "traceroute .*"
        allow-commands3 = "show .*"
        allow-commands4 = "configure"
        allow-commands5 = "edit"
        allow-commands6 = "exit"
        allow-commands7 = "commit"
        allow-commands8 = ".*xml-mode"
        allow-commands9 = ".*netconf.*"
        allow-commands10 = ".*need-trailer"
        allow-commands11 = "rollback.*"
        allow-commands12 = "junoscript"
        deny-commands1 = ".*"
        allow-configuration1 = "interfaces .* unit 0 family ethernet-switching vlan mem.* .*"
        allow-configuration2 = "interfaces .* native.* .*"
        allow-configuration3 = "interfaces .* unit 0 family ethernet-switching interface-mo.* .*"
        allow-configuration4 = "interfaces .* unit .*"
        allow-configuration5 = "interfaces .* disable"
        allow-configuration6 = "interfaces .* description .*"
        allow-configuration7 = "interfaces .*"
        allow-configuration8 = "vlans .* vlan-.* .*"
        deny-configuration1 = ".*"
        local-user-name = local-username
        user-permissions = "configure"
    }
}

정규 표현식 지정

전체 명령 또는 명령문을 실행하는 것과 동일한 방식으로 명령 및 구성 명령문에 대한 정규 표현식을 지정해야 합니다. 표 4 에는 및 [edit vlans] 명령문 계층에 [edit interfaces] 대한 액세스 권한을 구성하기 위한 정규식이 나열되어 있습니다.

[edit]
user@host# set interfaces interface-name unit interface-unit-number

[edit system login class class-name]
user@host# set permissions configure
user@host# set deny-configuration "interfaces .* unit .*"

[edit]
user@host# set vlans vlan-name vlan-id vlan-id

[edit system login class class-name]
user@host# set permissions configure
user@host# set allow-configuration "vlans .* vlan-id .*"

정규 표현식 연산자

표 5 에는 운영 및 구성 모드를 허용하거나 거부하는 데 사용할 수 있는 일반적인 정규식 연산자가 나와 있습니다.

명령 정규 표현식은 POSIX 1003.2에 정의된 대로 확장된(최신) 정규 표현식을 구현합니다.

[edit system login class test]
user@host# set permissions configure
user@host# set allow-commands "(ping)|(traceroute)|(show system alarms)|(show system software)"
user@host# set deny-configuration "(access)|(access-profile)|(accounting-options)|(applications)|(apply-groups)|(bridge-domains)|(chassis)|(class-of-service)"

[edit system login class test]
user@host# set permissions interface
user@host# set permissions interface-control
user@host# set allow-commands "(^show) (log|interfaces|policer))|(^monitor)"

[edit system login class test]
user@host# set permissions interface
user@host# set allow-commands "(show interfaces$)"

[edit system login class test]
user@host# set permissions clear
user@host# set permissions configure
user@host# set permissions network
user@host# set permissions trace
user@host# set permissions view
user@host# set allow-configuration-regexps [ "interfaces [gx]e-.* unit [0-9]* description .*" ]

[edit system login class test]
user@host# set permissions all
user@host# set allow-commands "(clear)|(configure)"
user@host# deny-commands "(mtrace)|(start)|(delete)"

[edit system login class test]
user@host# set permissions configure
user@host# set deny-configuration "(system login class m*)"

[edit system login class test]
user@host# set permissions configure
user@host# set deny-configuration "(system login class m+)"

[edit system login class test]
user@host# set permissions configure
user@host# set deny-configuration "(system login class m.)"

[edit system login class test]
user@host# set permissions configure
user@host# set deny-configuration "(system login class m .*)"

정규 표현식 예

표 6 에는 정규 표현식을 지정하기 위한 예로,[edit system ntp server] [edit protocols rip]와 의 두 구성 계층에서 구성 옵션을 허용하는 데 사용되는 정규 표현식이 나열되어 있습니다.

[edit system login class test]
set permissions configure
set allow-configuration-regexps [ "system ntp server .*" "system ntp server .* key .*" ]
set deny-configuration-regexps [ "system ntp server .* version .*" "system ntp server .* prefer" ]

[edit system login class test]
set permissions configure
set allow-configuration-regexps [ "system ntp server .*" "system ntp server .* version .*" ]
set deny-configuration-regexps [ "system ntp server .* key .*" "system ntp server .* prefer" ]

[edit system login class test]
set permissions configure
set allow-configuration-regexps [ "system ntp server .*" "system ntp server .* prefer" ];
set deny-configuration-regexps [ "system ntp server .* key .*" "system ntp server .* version .*" ]

[edit system login class test]
set permissions configure
set allow-configuration-regexps "protocols rip message-size .*"
set deny-configuration-regexps [ "protocols rip metric-in .*" "protocols rip route-timeout .*" "protocols rip update-interval .*" ]

[edit system login class test]
set permissions configure
set  allow-configuration-regexps "protocols rip metric-in .*"
set  deny-configuration-regexps [ "protocols rip message-size .*" "protocols rip route-timeout .*" "protocols rip update-interval .*" ]

[edit system login class test]
set permissions configure
set allow-configuration-regexps "protocols rip route-timeout .*"
set deny-configuration-regexps [ "protocols rip metric-in .*" "protocols rip message-size .*" "protocols rip update-interval .*" ]

[edit system login class test]
set permissions configure
set allow-configuration-regexps "protocols rip update-interval .*"
set deny-configuration-regexps [ "protocols rip metric-in .*" "protocols rip route-timeout .*" "protocols rip message-size .*" ]