Privilégios de acesso ao usuário

Bandeiras de permissão de classe de login

Você usa bandeiras de permissão para conceder a um usuário acesso a comandos de modo operacional e níveis e declarações da hierarquia de configuração. Você configura bandeiras de permissão para a classe de login do usuário no nível de hierarquia.[edit system login class] Quando você especifica uma determinada bandeira de permissão, o usuário ganha acesso aos comandos e aos níveis de hierarquia de configuração e declarações que correspondem a essa bandeira. Para conceder acesso a todos os comandos e declarações de configuração, use a bandeira de permissões.all

A declaração especifica uma ou mais das bandeiras de permissão listadas em .permissionsTabela 1 As bandeiras de permissão não são cumulativas. Para cada classe, você deve listar todas as bandeiras de permissão necessárias, inclusive para exibir informações e entrar no modo de configuração.viewconfigure Duas formas de permissões controlam o acesso de um usuário às partes individuais da configuração:

• Formulário "simples" — fornece recursos somente de leitura para esse tipo de permissão. Um exemplo é .interface

• -control formulário — fornece recursos de leitura e gravação para esse tipo de permissão. Um exemplo é .interface-control

Para bandeiras de permissão que concedem acesso a níveis e declarações de hierarquia de configuração, as bandeiras de forma simples concedem privilégio somente de leitura a essa configuração. Por exemplo, a bandeira de permissão concede acesso somente de leitura ao nível de hierarquia.interface[edit interfaces] A forma da bandeira concede acesso read-write a essa configuração.-control Por exemplo, a bandeira concede acesso de leitura e gravação ao nível de hierarquia.interface-control[edit interfaces]

lista as bandeiras de permissão de classe de login que você pode configurar, incluindo a declaração no nível de hierarquia.Tabela 1permissions[edit system login class class-name]

As bandeiras de permissão concedem um conjunto específico de privilégios de acesso. Cada bandeira de permissão é listada com os comandos de modo operacional ou de configuração e níveis de hierarquia de configuração e declarações para as quais essa bandeira concede acesso.

Permitir e negar comandos individuais e hierarquias de declaração para aulas de login

Por padrão, todos os comandos CLI de alto nível e os níveis de hierarquia de configuração associaram níveis de privilégio de acesso. Os usuários só podem executar esses comandos e visualizar e configurar apenas aquelas declarações para as quais eles têm privilégios de acesso. Para cada classe de login, você pode permitir e negar explicitamente o uso de comandos de modo operacional e de configuração e hierarquias de declaração que de outra forma seriam permitidas ou negadas por um nível de privilégio especificado na declaração.permissions

As bandeiras de permissão concedem a um usuário acesso a comandos de modo operacional e de configuração e a níveis e declarações da hierarquia de configuração. Ao especificar uma bandeira de permissão específica na classe de login do usuário no nível de hierarquia, você concede ao usuário acesso aos níveis e declarações da hierarquia de configuração e comandos correspondentes.[edit system login class] Para conceder acesso a todos os comandos e declarações de configuração, use a bandeira de permissões.all

Você pode permitir ou negar explicitamente o uso de comandos e declarações configurando as, e as declarações para uma aula de login.allow-commandsdeny-commandsallow-configurationdeny-configuration Nas declarações, você usa expressões regulares estendidas para definir quais comandos e declarações permitir ou negar para usuários atribuídos à classe.

Entendendo as declarações de permitir e negar

Cada hierarquia de declaração de configuração e comando CLI de alto nível tem um nível de privilégio de acesso associado a ele. Cada classe de login pode permitir ou negar explicitamente o uso de comandos e declarações de modo de configuração e comandos de modo operacional e configuração que de outra forma seriam permitidas ou negadas por um nível de privilégio. Os usuários só podem executar esses comandos e visualizar e configurar apenas aquelas declarações para as quais eles têm privilégios de acesso.

Os privilégios de acesso para cada classe de login são definidos por uma ou mais bandeiras de permissão especificadas na declaração no nível hierárquico .permissions[edit system login class class-name] Além disso, você pode permitir ou negar o uso de comandos específicos e hierarquias de configuração definindo expressões regulares estendidas. Você pode especificar as expressões regulares configurando as seguintes declarações para uma aula de login:

• e — Permitir ou negar acesso a comandos de modo operacional e de configuração.allow-commandsdeny-commands

• e — Permitir ou negar acesso a hierarquias de configuração específicas.allow-configurationdeny-configuration

  Nota:

  Essas declarações executam correspondências mais lentas, com mais flexibilidade, especialmente em correspondências curingas. No entanto, pode levar muito tempo para avaliar todas as declarações possíveis se um grande número de expressões regulares de caminho completo ou expressões curingas estiver configurado, possivelmente afetando negativamente o desempenho.

• e — Permitir ou negar acesso a comandos específicos usando strings de expressões regulares.allow-commands-regexpsdeny-commands-regexps

• e — Permitir ou negar acesso a hierarquias de configuração específicas usando strings de expressões regulares.allow-configuration-regexpsdeny-configuration-regexps

Permitir explicitamente hierarquias de comandos e declarações de configuração usando as declarações adiciona às permissões que a declaração já define.allow/deny-*permissions Da mesma forma, negar explicitamente as hierarquias de comandos e declarações de configuração usando as declarações remove permissões que a declaração já define.allow/deny-*permissions

Por exemplo, na configuração a seguir, a permissão permite que os usuários da classe de login entrem no modo de configuração.configure Além disso, a expressão permite que os usuários modifiquem a configuração no nível de hierarquia e a comprometam.allow-configuration[edit system services]

Da mesma forma, na configuração a seguir, o usuário da classe de login pode realizar todas as operações que a bandeira de permissões permite, exceto que o usuário não pode visualizar ou modificar a configuração no nível de hierarquia:all[edit system services]

Entendendo a sintaxe da declaração de permissão e negação

Você pode configurar uma declaração apenas uma vez em cada aula de login.allow/deny-* Quando você configura uma declaração:

• Você pode configurar quantas expressões regulares for necessário.

• Expressões regulares não são sensíveis ao caso

As declarações são mutuamente exclusivas com as declarações, e as declarações são mutuamente exclusivas com as declarações.allow/deny-commandsallow/deny-commands-regexpsallow/deny-configurationallow/deny-configuration-regexps Por exemplo, você não pode configurar ambos e na mesma classe de login.allow-configurationallow-configuration-regexps

Para definir privilégios de acesso aos comandos, especifique expressões regulares estendidas usando as declarações e as declarações.allow-commandsdeny-commands Coloque cada expressão independente completa em parênteses e use o símbolo do tubo para separar as expressões. Não use espaços entre expressões regulares conectadas com o símbolo do tubo. A expressão completa está cercada em duas cotações.

Por exemplo:

Você deve usar âncoras ao especificar expressões regulares complexas com a declaração.allow-commands Por exemplo:

Para definir privilégios de acesso a partes da hierarquia de configuração, especifique expressões regulares estendidas nas declarações e declarações.allow-configurationdeny-configuration Coloque os caminhos completos em parênteses e use o símbolo do tubo ( |) para separar as expressões. Não use espaços entre expressões regulares conectadas com o símbolo do tubo. A expressão completa está cercada em duas cotações.

Por exemplo:

Ao especificar expressões regulares estendidas usando as ou declarações, coloque cada expressão dentro das cotações (" "), e separe as expressões usando um espaço.allow/deny-commands-regexpsallow/deny-configuration-regexps Inclua várias expressões em parênteses quadrados [ ]. Por exemplo:

Modificadores como , e não são suportados dentro da string de expressão regular a ser combinado.setlogcount Se você usa um modificador, então nada é compatível.

Configuração correta:

Configuração incorreta:

Entendendo a precedência e a correspondência da declaração de permissão e negação

Por padrão, as expressões e regulares prevalecem e expressões.allow-commandsallow-configurationdeny-commandsdeny-configuration Assim, se você configurar o mesmo comando para as declarações e declarações, então a operação de permissão prevalecerá sobre a operação de negação.allow-commandsdeny-commands Da mesma forma, se você configurar a mesma declaração para as declarações e declarações, a operação de permissão prevalecerá sobre a operação de negação.allow-configurationdeny-configuration

Por exemplo, a configuração a seguir permite que um usuário na classe de login instale software usando o comando, embora a declaração inclua o mesmo comando:testrequest system software adddeny-commands

Da mesma forma, a configuração a seguir permite que um usuário no teste de classe de login visualize e modifique a hierarquia de configuração, embora a declaração inclua a mesma hierarquia:test[edit system services]deny-configuration

Se as declarações e as declarações tiverem duas variantes diferentes de um comando, a correspondência mais longa sempre será executada.allow-commandsdeny-commands A configuração a seguir permite que um usuário na classe de login execute o comando, mas não o comando.testcommit synchronizecommit Isso porque é a combinação mais longa entre e , e é especificada para .commit synchronizecommitcommit synchronizeallow-commands

A configuração a seguir permite que um usuário na classe de login execute o comando, mas não o comando.testcommitcommit synchronize Isso porque é a combinação mais longa entre e , e é especificada para .commit synchronizecommitcommit synchronizedeny-commands

Em contraste com as outras declarações, o comportamento padrão para as declarações é que as expressões regulares prevalecem e expressões.*-regexpsdeny-commands-regexpsdeny-configuration-regexpsallow-commands-regexpsallow-configuration-regexps Você pode configurar a declaração no nível de hierarquia para forçar as expressões regulares a prevalecerem sobre as declarações.regex-additive-logic[edit system]allow-configuration-regexpsdeny-configuration-regexps A configuração da declaração permite que você negue hierarquias de configuração em um nível mais alto e, em seguida, apenas permita que o usuário tenha acesso a sub-hierarquias específicas.

Entendendo as regras de declaração de permissão e negação

A , e as declarações têm precedência sobre as permissões de aula de login.allow/deny-commandsallow/deny-configurationallow/deny-commands-regexpsallow/deny-configuration-regexps Quando você configura essas declarações, as seguintes regras se aplicam:

• Expressões e declarações regulares também podem incluir comandos e comandos.allow-commandsdeny-commandscommitloadrollbacksavestatusupdate

• Os bits de permissão da classe de login têm precedência sobre expressões regulares estendidas quando um usuário emite o comando com a bandeira de permissão habilitada.allrollbackrollback

• Os usuários não podem emitir o comando ao especificar uma expressão regular estendida.load override Os usuários só podem emitir os comandos e configuração.mergereplacepatch

• Você pode usar o caractere curinga * ao denotar expressões regulares. No entanto, você deve usá-lo como parte de uma expressão regular. Você não pode usar ou como a única expressão.[ * ][ .* ] Além disso, você não pode configurar a declaração com uma expressão como , porque isso avalia .allow-configuration(interfaces (description (|.*))allow-configuration .*

Entendendo as diferenças para as declarações *-regexps

Esta seção descreve as diferenças entre as declarações e as declarações.allow/deny-configurationallow/deny-configuration-regexps

As declarações dividem a expressão regular em símbolos e comparam cada peça com cada parte do caminho completo da configuração especificada, enquanto as declarações se comparam com a corda completa.allow/deny-configuration-regexpsallow/deny-configuration Para declarações, você configura um conjunto de strings em que cada string é uma expressão regular, com espaços entre os termos da string.allow/deny-configuration-regexps Essa sintaxe oferece correspondência muito rápida, mas oferece menos flexibilidade. Para especificar expressões curingas, você deve configurar curingas para cada símbolo da corda delimitada por espaço que você deseja combinar, o que torna mais difícil usar expressões curingas para essas declarações.

Por exemplo:

• Expressão regular que combina com um símbolo usando allow-configuration-regexps

  Este exemplo mostra que é a única expressão combinada contra o primeiro símbolo da declaração.options

  A configuração anterior corresponde às seguintes declarações:

  • definir opções de políticas condição dinâmica-dbcondition

  • definir opções de roteamento rota estática next-hop static-routenext-hop

  • definir opções de eventos geram intervalo de tempo de evento eventseconds

  A configuração anterior não corresponde às seguintes declarações:

  • opções de host com nome de host do sistema

  • opções de descrição de interfaces interface-name

• Expressão regular que combina com três símbolos usando allow-configuration-regexps

  Este exemplo mostra que é a única expressão combinada contra o terceiro símbolo da declaração.ssh

  No exemplo anterior, os três símbolos incluem , e , respectivamente..*.*.*ssh

  A configuração anterior corresponde às seguintes declarações:

  • nome do host-ssh do sistema

  • ssh de serviços de sistema

  • serviços de sistema de saída

  A configuração anterior não corresponde à seguinte declaração:

  • ssh descrição de interfacesinterface-name

É mais fácil usar a declaração para restringir o acesso à configuração do que usar a declaração. Ilustra o uso das declarações e declarações em diferentes configurações para alcançar o mesmo resultado de restringir o acesso a uma configuração específica.deny-configurationdeny-configuration-regexpsTabela 2deny-configurationdeny-configuration-regexps

[edit system]
login {
    class test {
        permissions configure;
         allow-configuration .*;
        deny-configuration .*xnm-ssl;
    }
}

[edit system]
login {
    class test {
        permissions configure;
         allow-configuration .*;
        deny-configuration-regexps ".* .* .*-ssl"";
    }
}

[edit system]
login {
    class test {
        permissions configure;
        allow-configuration .*;
        deny-configuration ".*ssh";
    }
}

[edit system]
login {
    class test {
        permissions configure;
        allow-configuration .*;
        deny-configuration-regexps ".*ssh";
        deny-configuration-regexps ".* .*ssh";
        deny-configuration-regexps ".* .* .*ssh";
    }
}

Embora as declarações também sejam úteis quando você deseja uma configuração simples, as declarações fornecem melhor desempenho e superam a ambiguidade que existe ao combinar expressões nas declarações.allow/deny-configurationallow/deny-configuration-regexpsallow/deny-configuration

Usando expressões regulares em servidores de autorização remota

Você pode usar expressões regulares estendidas para especificar quais comandos de modo operacional e de configuração e declarações de configuração e hierarquias são permitidos ou negados para determinados usuários. Você especifica essas expressões regulares localmente no nível de hierarquia e declarações.allow/deny-commandsallow/deny-configurationallow/deny-commands-regexpsallow/deny-configuration-regexps[edit system login class class-name] Você especifica essas expressões regulares remotamente especificando atributos TACACS+ ou RADIUS específicos do fornecedor da Juniper Networks na configuração do seu servidor de autorização. Quando você configura parâmetros de autorização local e remotamente, o dispositivo mescla as expressões regulares recebidas durante a autorização TACACS+ ou RADIUS com quaisquer expressões regulares definidas no dispositivo local.

Ao especificar várias expressões regulares em uma configuração local usando as , , ou declarações, você configura expressões regulares dentro dos parênteses e as separa usando o símbolo do tubo.allow-commandsdeny-commandsallow-configurationdeny-configuration Você coloca a expressão completa em duas cotações. Por exemplo, você pode especificar vários parâmetros com a seguinte sintaxe:allow-commands

O servidor de autorização RADIUS usa os seguintes atributos e sintaxe:

O servidor de autorização TACACS+ usa os seguintes atributos e sintaxe:

Ao especificar várias expressões regulares em uma configuração local usando as, , ou declarações, você configura expressões regulares dentro de duas cotações e as separa usando o operador de espaço.allow-commands-regexpsdeny-commands-regexpsallow-configuration-regexpsdeny-configuration-regexps Você inclui a expressão completa em parênteses quadrados. Por exemplo, você pode especificar vários parâmetros de permitir comandos com a seguinte sintaxe:

O servidor de autorização RADIUS usa os seguintes atributos e sintaxe:

O servidor de autorização TACACS+ usa os seguintes atributos e sintaxe:

Os servidores RADIUS e TACACS+ também oferecem suporte a uma sintaxe simplificada na qual você especifica cada expressão individual em uma linha separada. Por exemplo, a sintaxe simplificada do servidor RADIUS é:

Da mesma forma, a sintaxe simplificada do servidor TACACS+ é:

Tabela 3 diferencia a configuração de autorização local e a configuração de autorização de servidor TACACS+ usando expressões regulares.

login {
    class local {
        permissions configure;
        allow-commands "(ping .*)|(traceroute .*)|(show .*)|(configure .*)|(edit)|(exit)|(commit)|(rollback .*)";
        deny-commands .*;
        allow-configuration "(interfaces .* unit 0 family ethernet-switching vlan mem.* .*)|(interfaces .* native.* .*)|(interfaces .* unit 0 family ethernet-switching interface-mo.* .*)|(interfaces .* unit .*)|(interfaces .* disable)|(interfaces .* description .*)|(vlans .* vlan-.* .*)"
        deny-configuration .*;
    }
}

user = remote {
    login = username
    service = junos-exec {
        allow-commands1 = "ping .*"
        allow-commands2 = "traceroute .*"
        allow-commands3 = "show .*"
        allow-commands4 = "configure"
        allow-commands5 = "edit"
        allow-commands6 = "exit"
        allow-commands7 = "commit"
        allow-commands8 = ".*xml-mode"
        allow-commands9 = ".*netconf.*"
        allow-commands10 = ".*need-trailer"
        allow-commands11 = "rollback.*"
        allow-commands12 = "junoscript"
        deny-commands1 = ".*"
        allow-configuration1 = "interfaces .* unit 0 family ethernet-switching vlan mem.* .*"
        allow-configuration2 = "interfaces .* native.* .*"
        allow-configuration3 = "interfaces .* unit 0 family ethernet-switching interface-mo.* .*"
        allow-configuration4 = "interfaces .* unit .*"
        allow-configuration5 = "interfaces .* disable"
        allow-configuration6 = "interfaces .* description .*"
        allow-configuration7 = "interfaces .*"
        allow-configuration8 = "vlans .* vlan-.* .*"
        deny-configuration1 = ".*"
        local-user-name = local-username
        user-permissions = "configure"
    }
}

Especifique expressões regulares

Você deve especificar expressões regulares para comandos e declarações de configuração da mesma maneira que executar o comando ou declaração completos. lista as expressões regulares para configurar privilégios de acesso para as hierarquias e declarações.Tabela 4[edit interfaces][edit vlans]

[edit]
user@host# set interfaces interface-name unit interface-unit-number

[edit system login class class-name]
user@host# set permissions configure
user@host# set deny-configuration "interfaces .* unit .*"

[edit]
user@host# set vlans vlan-name vlan-id vlan-id

[edit system login class class-name]
user@host# set permissions configure
user@host# set allow-configuration "vlans .* vlan-id .*"

Operadores de expressões regulares

Tabela 5 lista operadores de expressão regular comuns que você pode usar para permitir ou negar modos operacionais e de configuração.

Comando expressões regulares implementar as expressões regulares estendidas (modernas), conforme definido no POSIX 1003.2.

[edit system login class test]
user@host# set permissions configure
user@host# set allow-commands "(ping)|(traceroute)|(show system alarms)|(show system software)"
user@host# set deny-configuration "(access)|(access-profile)|(accounting-options)|(applications)|(apply-groups)|(bridge-domains)|(chassis)|(class-of-service)"

[edit system login class test]
user@host# set permissions interface
user@host# set permissions interface-control
user@host# set allow-commands "(^show) (log|interfaces|policer))|(^monitor)"

[edit system login class test]
user@host# set permissions interface
user@host# set allow-commands "(show interfaces$)"

[edit system login class test]
user@host# set permissions clear
user@host# set permissions configure
user@host# set permissions network
user@host# set permissions trace
user@host# set permissions view
user@host# set allow-configuration-regexps [ "interfaces [gx]e-.* unit [0-9]* description .*" ]

[edit system login class test]
user@host# set permissions all
user@host# set allow-commands "(clear)|(configure)"
user@host# deny-commands "(mtrace)|(start)|(delete)"

[edit system login class test]
user@host# set permissions configure
user@host# set deny-configuration "(system login class m*)"

[edit system login class test]
user@host# set permissions configure
user@host# set deny-configuration "(system login class m+)"

[edit system login class test]
user@host# set permissions configure
user@host# set deny-configuration "(system login class m.)"

[edit system login class test]
user@host# set permissions configure
user@host# set deny-configuration "(system login class m .*)"

Exemplos de expressão regulares

lista as expressões regulares usadas para permitir opções de configuração em duas hierarquias de configuração e, como exemplo, especificar expressões regulares.Tabela 6[edit system ntp server][edit protocols rip]

[edit system login class test]
set permissions configure
set allow-configuration-regexps [ "system ntp server .*" "system ntp server .* key .*" ]
set deny-configuration-regexps [ "system ntp server .* version .*" "system ntp server .* prefer" ]

[edit system login class test]
set permissions configure
set allow-configuration-regexps [ "system ntp server .*" "system ntp server .* version .*" ]
set deny-configuration-regexps [ "system ntp server .* key .*" "system ntp server .* prefer" ]

[edit system login class test]
set permissions configure
set allow-configuration-regexps [ "system ntp server .*" "system ntp server .* prefer" ];
set deny-configuration-regexps [ "system ntp server .* key .*" "system ntp server .* version .*" ]

[edit system login class test]
set permissions configure
set allow-configuration-regexps "protocols rip message-size .*"
set deny-configuration-regexps [ "protocols rip metric-in .*" "protocols rip route-timeout .*" "protocols rip update-interval .*" ]

[edit system login class test]
set permissions configure
set  allow-configuration-regexps "protocols rip metric-in .*"
set  deny-configuration-regexps [ "protocols rip message-size .*" "protocols rip route-timeout .*" "protocols rip update-interval .*" ]

[edit system login class test]
set permissions configure
set allow-configuration-regexps "protocols rip route-timeout .*"
set deny-configuration-regexps [ "protocols rip metric-in .*" "protocols rip message-size .*" "protocols rip update-interval .*" ]

[edit system login class test]
set permissions configure
set allow-configuration-regexps "protocols rip update-interval .*"
set deny-configuration-regexps [ "protocols rip metric-in .*" "protocols rip route-timeout .*" "protocols rip message-size .*" ]