Help us improve your experience.

Let us know what you think.

Do you have time for a two-minute survey?

 
 

将 OpenConfig AAA 命令映射到 Junos 操作

注意：

请参阅 OpenConfig 数据模型版本主题 ，了解瞻博网络 ACX 系列、EX 系列、MX 系列、PTX 系列和 QFX 系列支持的数据模型版本及其 Junos OS 版本。

下表显示了 OpenConfig AAA 配置与 Junos OS 中相关配置的映射。

  • 表 1：全局 AAA 配置
  • 表 2：RADIUS 服务器配置
  • 表 3：记帐事件配置
  • 表 4：核算方法配置
  • 表 5：授权角色配置
  • 表 6：授权权限配置：授权权限配置
  • 表 7：授权权限配置
  • 表 8：授权策略和请求正则表达式配置
  • 表 9表 9：TACACS 服务器配置
  • 表 10：AAA 管理员和用户配置
表 1：全局 AAA 配置

命令名称

OpenConfig 命令路径

Junos 配置

命令路径前缀：

/system/aaa

配置名称

/server-groups/server-group/config/name

不支持

注意：

Junos OS 中没有此路径的等效配置。配置的服务器组名称用于 RADIUS/TACACS 属性配置。

服务器配置地址

/server-groups/server-group/servers/server/config/address

不支持

注意：

Junos OS 中没有此路径的等效配置。配置的服务器地址用于 RADIUS/TACACS 属性配置。

服务器配置名称

/server-groups/server-group/servers/server/config/name

不支持

注意：

Junos OS 中没有此路径的等效配置。您可以配置服务器名称来标识服务器。

配置超时

/server-groups/server-group/servers/server/config/timeout

不支持

注意：

Junos OS 中没有此路径的等效配置。但是，配置的超时派生自 timeout Junos OS edit radius-server 或 edit tacplus-server 层次结构级别的参数。
表 2：RADIUS 服务器配置

命令名称

OpenConfig 命令路径

Junos 配置

命令路径前缀：

/system/aaa

身份验证端口

/server-groups/server-group/servers/server/radius/config/auth-port

set system radius-server address port port

注意：

该 address 值派生自在 之后 server配置的值。该 port 值与 auth-port.

重新传输-尝试

/server-groups/server-group/servers/server/radius/config/retransmit-attempts

set system radius-server address retryretry

注意：

该 address 值派生自在 之后 server配置的值。该 retry 值与为 指定的 retransmit-attempts值相同。

密钥

/server-groups/server-group/servers/server/radius/config/secret-key

set system radius-server address secret secret

注意：

该 address 值派生自在 之后 server配置的值。该 secret 值与为 指定的 secret-key值相同。

源地址

/server-groups/server-group/servers/server/radius/config/source-address

set system radius-server address source-address source-address

注意：

该 address 值派生自之后 server. 配置的值 该 source-address 值与为 指定的 source-address值相同。
表 3：记帐事件配置

命令名称

OpenConfig 配置

Junos 配置

事件

 
openconfig-system:system {
    aaa {
        accounting {
            events {
                event <event-type>{
                    config {
                        event-type <value>
                    }
                }
            }
        }
    }
}

system {
    accounting {
        events [ … ];
    }
}

OpenConfig 配置有两个值 event-type：

  • 映射到 Junos OS 事件类型的AAA_ACCOUNTING_EVENT interactive-commands
  • AAA_ACCOUNTING_EVENT_LOGIN哪个映射到 Junos OS 甚至键入 login
表 4：核算方法配置

命令名称

OpenConfig 配置

Junos 配置

会计方法

 
openconfig-system:system {
    aaa {
        accounting {
            config {
                accounting-method [ … ];
            }
        }
    }
}

system {
    accounting {
       destination {
            radius / tacplus {
                server {
                    <name> secret <>;
                    <name> secret <>;
                }
            }
        }
    }
}

的 accounting-method TACACS_ALLOpenConfig 值是 、 RADIUS_ALL、 abd LOCAL。OpenConfig accounting-method 配置与配置相结合将 server-groups 生成 Junos 层次结构 /system/accounting/destination。
表 5：授权角色配置

命令名称

OpenConfig 配置

Junos 配置

角色

 
openconfig-system:system {
    aaa {
        authorization {
            roles {
                role <rolename> {
                         ………
                         ……….
                    }
                }
        }
    }
}

system {
    login {
        class <name> {
            …..
            …..
        }
    }
}

OpenConfig 用户定义 role 映射到 Junos login classes 参数。
表 6：授权权限配置

命令名称

OpenConfig 配置

Junos 配置

权限

 
openconfig-system:system {
    aaa {
        authorization {
            roles {
                role <rolename> {
                  permissions [ …  ]; 
                }
        }
    

system {
    login {
        class <name> {
             permissions [ …  ];
        }
    }
}

OpenConfig 用户定义 permissions 是一个叶列表，并映射到 Junos 叶列表 permissions 参数。

可能的 permissions OpenConfig 值及其对应的 Junos 值为：

    
OpenConfig                               Junos
ADMIN                                    admin
ADMIN CONTROL                            admin-control
ALL                                      all
MAINTENANCE                              maintenance
VIEW                                     view
VIEW_CONFIG                              view-configuration
表 7：授权权限配置

命令名称

OpenConfig 配置

Junos 配置

权限

 
openconfig-system:system {
    aaa {
        authorization {
            roles {
                role foo {
                    config {
                        policies {
                               policy PERMIT REQUEST_RPC {
                                    request-regex /gnmi.gNMI/Set;
                               }
                            }
                        }
                    }
                }
        }
    }
}

system {
    login {
        class foo {
            allow-grpc-rpc-regexps /gnmi.gNMI/Set;
        }
    }
}
表 8：授权策略和请求正则表达式配置

命令名称

OpenConfig 配置

Junos 配置

政策

 
openconfig-system:system {
    aaa {
        authorization {
            roles {
                role foo {
                    config {
                        policies {
                            policy <action> <request-type> {
                                request-regex [ … ];
                            }
                        }
                    }
                }
        }
    }
}

system {
    login {
        class foo {
            deny-commands-regexps [ … ];
                    OR
            allow-commands-regexps [ … ];
                   OR
            deny-configuration-regexps [ … ];
                   OR
            allow-configuration-regexps [ … ];
                   OR
            deny-grpc-rpc-regexps [ … ];
                   OR
            allow-grpc-rpc-regexps [ … ];
        }
    }
}

OpenConfig policies 配置被转换为不同的允许和拒绝 （*regexps） 参数。、 request-type的action可能 OpenConfig 值，并request-regex转换为以下 Junos 配置比率参数：

    
action          request-type            OpenConfig request-regex translates to:
 
PERMIT          REQUEST_CONFIG          allow-configuration-regexps
DENY            REQUEST_CONFIG          deny-configuration-regexps

PERMIT          REQUEST_RPC             allow-grpc-rpc-regexps
DENY            REQUEST_RPC             deny-grpc-rpc-regexps

PERMIT          REQUEST_COMMAND         allow-commands-regexps 
DENY            REQUEST_COMMAND         deny-commands-regexps

例子

 
openconfig-system:system {
    aaa {
        authorization {
          roles {
              role foo {
                  config {
                      rolename foo;
                      policies {
                          policy DENY REQUEST_COMMAND {
                          request-regex [ "clear interfaces" "show interfaces" ];
                          }
                      }
                  }
              }
          }
      }
   }
}

system {
    login {
        class foo {
            deny-commands-regexps [ "clear interfaces" "show interfaces" ];
        }
    }
}

例子

 
openconfig-system:system {
    aaa {
        authorization {
            roles {
                role foo {
                    config {
                        policies {
                               policy PERMIT REQUEST_RPC {
                                    request-regex /gnmi.gNMI/Set;
                               }
                            }
                        }
                    }
                }
        }
    }
}

system {
    login {
        class foo {
            allow-grpc-rpc-regexps /gnmi.gNMI/Set;
        }
    }
}
表 9：TACACS 服务器配置

命令名称

OpenConfig 命令路径

Junos 配置

命令路径前缀：

/system/aaa

配置端口

/server-groups/server-group/servers/server/tacacs/config/port

set system tacplus-server address port port

注意：

该 address 值派生自之后 server. 配置的值 该 port 值与为 指定的 port值相同。

密钥

/server-groups/server-group/servers/server/tacacs/config/secret-key

set system tacplus-server address secret secret

注意：

该 address 值派生自在 之后 server配置的值。该 secret 值与为 指定的 secret-key值相同。

源地址

/server-groups/server-group/servers/server/tacacs/config/source-address

set system tacplus-server address source-address source-address

注意：

该 address 值派生自在 之后 server配置的值。该 source-address 值与为 指定的 source-address值相同。
表 10：AAA 管理员和用户配置

命令名称

OpenConfig 命令路径

Junos 配置

命令路径前缀：

/system/aaa

管理员密码

/authentication/admin-user/config/admin-password

set system root-authentication plain-text-password

注意：

该 plain-text-password-authentication 值派生自为 配置 admin-password的值。

管理员密码哈希

/authentication/admin-user/config/admin-password-hashed

set system root-authentication encrypted-password encrypted-password

注意：

该 encrypted-password 值派生自为 配置 admin-password-hashed的值。

身份验证方法

/authentication/config/authentication-method

set system authentication-order

注意：

该 authentication-order 值派生自为 配置 authentication-method的值。

密码

/authentication/users/user/config/password

set system login user user-name authentication plain-text-password plain-text-password

注意：

该 user-name 值派生自为 配置 user的值。该 plain-text-password 值派生自为 配置 password的值。

密码散列

/authentication/users/user/config/password-hashed

set system login user user-name authentication encrypted-password encrypted-password

注意：

该 user-name 值派生自为 配置 user的值。该 encrypted-password 值派生自为 配置 password-hashed的值。

作用

/authentication/users/user/config/role

set system login user user-name class class

注意：

该 user-name 值派生自为 配置 user的值。该 class 值派生自为 配置 role的值。

用户

/authentication/users/user/config/username

不支持

注意：

Junos OS 中没有等效的配置。