Privilèges d’accès utilisateur

Indicateurs d’autorisation de classe de connexion

Vous utilisez des indicateurs d’autorisation pour accorder à un utilisateur l’accès aux commandes du mode opérationnel et aux niveaux et déclarations de la hiérarchie de configuration. Vous configurez les indicateurs d’autorisation pour la classe de connexion de l’utilisateur au niveau de la [edit system login class] hiérarchie. Lorsque vous spécifiez un certain indicateur d’autorisation, l’utilisateur accède aux commandes et aux niveaux de la hiérarchie de configuration et aux déclarations correspondant à cet indicateur. Pour accorder l’accès à toutes les commandes et déclarations de configuration, utilisez l’indicateur d’autorisation all .

L’instruction permissions spécifie un ou plusieurs des indicateurs d’autorisation répertoriés dans Tableau 1. Les indicateurs d’autorisation ne sont pas cumulables. Pour chaque classe, vous devez lister tous les indicateurs d’autorisation nécessaires, y compris view pour afficher les informations et configure accéder au mode de configuration. Deux formes d’autorisations contrôlent l’accès d’un utilisateur aux différentes parties de la configuration :

• Formulaire « simple » : offre une fonctionnalité en lecture seule pour ce type d’autorisation. Par exemple interface, .

• -control form : permet de lire et d’écrire ce type d’autorisation. Par exemple interface-control, .

Pour les indicateurs d’autorisation qui accordent l’accès aux niveaux et aux instructions de la hiérarchie de configuration, les indicateurs de forme simple accordent le privilège de lecture seule à cette configuration. Par exemple, l’indicateur d’autorisation interface accorde un accès en lecture seule au [edit interfaces] niveau hiérarchique. Le -control formulaire de l’indicateur donne un accès en lecture-écriture à cette configuration. Par exemple, l’indicateur interface-control accorde un accès en lecture-écriture au niveau de la [edit interfaces] hiérarchie.

Tableau 1 répertorie les indicateurs d’autorisation des classes de connexion que vous pouvez configurer en incluant l’instruction permissions au niveau de la [edit system login class class-name] hiérarchie.

Les indicateurs d’autorisation accordent un ensemble spécifique de privilèges d’accès. Chaque indicateur d’autorisation est répertorié avec les commandes du mode opérationnel ou du mode de configuration, ainsi que les niveaux et les déclarations de hiérarchie de configuration pour lesquels cet indicateur accorde l’accès.

Autoriser et refuser les commandes individuelles et les hiérarchies d’instruction pour les classes d’identification

Par défaut, toutes les commandes CLI de niveau supérieur et les niveaux de hiérarchie de configuration ont des niveaux de privilèges d’accès associés. Les utilisateurs peuvent exécuter uniquement les commandes et afficher et configurer uniquement les instructions pour lesquelles ils disposent de privilèges d’accès. Pour chaque classe de connexion, vous pouvez autoriser et refuser explicitement l’utilisation de commandes de mode opérationnel et de mode de configuration et de hiérarchies d’instruction qui seraient autrement autorisées ou refusées par un niveau de privilège spécifié dans l’instruction permissions .

Les indicateurs d’autorisation donnent à l’utilisateur l’accès aux commandes du mode opérationnel et du mode de configuration, ainsi qu’aux niveaux et déclarations de la hiérarchie de configuration. En spécifiant un indicateur d’autorisation spécifique sur la classe de connexion de l’utilisateur au niveau hiérarchique, vous donnez à l’utilisateur l’accès [edit system login class] aux commandes et aux niveaux et déclarations de hiérarchie de configuration correspondants. Pour accorder l’accès à toutes les commandes et déclarations de configuration, utilisez l’indicateur d’autorisation all .

Vous pouvez explicitement autoriser ou refuser l’utilisation de commandes et d’instructions en configurant le allow-commands, deny-commandsallow-configurationet deny-configuration les instructions pour une classe de connexion. Dans les instructions, vous utilisez des expressions régulières étendues pour définir les commandes et les instructions à autoriser ou refuser pour les utilisateurs assignés à la classe.

Comprendre les déclarations d’autorisation et de refus

Chaque hiérarchie de commandes cli et d’énoncés de configuration de niveau supérieur a un niveau de privilège d’accès associé. Chaque classe de connexion peut explicitement autoriser ou refuser l’utilisation de commandes de mode opérationnel et de mode de configuration, ainsi que de hiérarchies et d’instructions de configuration qui seraient autrement autorisées ou refusées par un niveau de privilège. Les utilisateurs peuvent exécuter uniquement les commandes et afficher et configurer uniquement les instructions pour lesquelles ils disposent de privilèges d’accès.

Les privilèges d’accès pour chaque classe de connexion sont définis par un ou plusieurs indicateurs d’autorisation spécifiés dans l’instruction permissions au niveau de la [edit system login class class-name] hiérarchie. En outre, vous pouvez autoriser ou refuser l’utilisation de commandes et de hiérarchies de configuration spécifiques en définissant des expressions régulières étendues. Vous pouvez spécifier les expressions régulières en configurant les instructions suivantes pour une classe de connexion :

• allow-commands et deny-commands: autorisez ou refusez l’accès aux commandes du mode opérationnel et du mode de configuration.

• allow-configuration et deny-configuration— Autoriser ou refuser l’accès à des hiérarchies de configuration spécifiques.

  REMARQUE :

  Ces instructions effectuent des correspondances plus lentes, avec plus de flexibilité, en particulier dans la correspondance de caractères génériques. Cependant, il peut être très long d’évaluer toutes les déclarations possibles si un grand nombre d’expressions régulières ou génériques de chemin complet sont configurés, ce qui peut affecter négativement les performances.

• allow-commands-regexps et deny-commands-regexps: autorisez ou refusez l’accès à des commandes particulières à l’aide de chaînes d’expressions régulières.

• allow-configuration-regexps et deny-configuration-regexps: autorisez ou refusez l’accès à des hiérarchies de configuration spécifiques à l’aide de chaînes d’expressions régulières.

L’autorisation explicite des commandes et des hiérarchies d’instructions de configuration à l’aide allow/deny-* des instructions ajoute aux autorisations que l’instruction permissions définit déjà. De même, le refus explicite des commandes et des hiérarchies d’instructions de configuration à l’aide allow/deny-* des instructions supprime les autorisations que l’instruction permissions définit déjà.

Par exemple, dans la configuration suivante, l’autorisation configure permet aux utilisateurs de la classe de connexion d’entrer en mode de configuration. En outre, l’expression allow-configuration permet aux utilisateurs de modifier la configuration au niveau de la hiérarchie et de la [edit system services] valider.

De même, dans la configuration suivante, l’utilisateur de la classe de connexion peut effectuer toutes les opérations que l’indicateur all d’autorisation permet, sauf que l’utilisateur ne peut pas afficher ou modifier la configuration au niveau de la [edit system services] hiérarchie :

Comprendre la syntaxe de l’instruction Autoriser et refuser

Vous ne pouvez configurer une instruction qu’une allow/deny-* seule fois dans chaque classe de connexion. Lorsque vous configurez une déclaration :

• Vous pouvez configurer autant d’expressions régulières que nécessaire.

• Les expressions régulières ne sont pas sensibles à la casse

Les allow/deny-commands déclarations sont mutuellement exclusives avec les allow/deny-commands-regexps déclarations, et les allow/deny-configuration déclarations sont mutuellement exclusives avec les allow/deny-configuration-regexps déclarations. Par exemple, vous ne pouvez pas configurer les deux allow-configuration et allow-configuration-regexps dans la même classe de connexion.

Pour définir des droits d’accès aux commandes, spécifiez des expressions régulières étendues à l’aide des allow-commands instructions et deny-commands . Enfermez chaque expression autonome complète entre parenthèses ( ) et utilisez le symbole de tuyau (| ) pour séparer les expressions. N’utilisez pas d’espaces entre les expressions régulières connectées au symbole du tuyau. L’expression complète est jointe entre deux guillemets.

Par exemple :

Vous devez utiliser des ancres pour spécifier des expressions régulières complexes avec l’instruction allow-commands . Par exemple :

Pour définir des droits d’accès à certaines parties de la hiérarchie de configuration, spécifiez des expressions régulières étendues dans les allow-configuration instructions et deny-configuration . Enfermez l’ensemble des chemins entre parenthèses ( ) et utilisez le symbole du tuyau (|) pour séparer les expressions. N’utilisez pas d’espaces entre les expressions régulières connectées au symbole du tuyau. L’expression complète est jointe entre deux guillemets.

Par exemple :

Lorsque vous spécifiez des expressions régulières étendues à l’aide de allow/deny-commands-regexpsallow/deny-configuration-regexps ou d’instructions, enfermez chaque expression entre guillemets (« »), puis séparez les expressions à l’aide d’un espace. Enfermer plusieurs expressions entre crochets [ ]. Par exemple :

Les modificateurs tels que set, loget count ne sont pas pris en charge dans la chaîne d’expression régulière à correspondre. Si vous utilisez un modificateur, rien n’est assorti.

Configuration correcte :

Configuration incorrecte :

Compréhension de la priorité et de la correspondance de l’instruction Autoriser et refuser

Par défaut, les expressions et allow-configuration les allow-commands expressions régulières ont priorité sur deny-commands et deny-configuration les expresssions. Ainsi, si vous configurez la même commande pour les allow-commands instructions et deny-commands , alors l’opération d’autorisation prend la priorité sur l’opération de refus. De même, si vous configurez la même instruction pour les allow-configuration instructions et deny-configuration , alors l’opération d’autorisation a priorité sur l’opération de refus.

Par exemple, la configuration suivante permet à un utilisateur de la test classe de connexion d’installer un logiciel à l’aide de la request system software add commande, même si l’instruction deny-commands comprend la même commande :

De même, la configuration suivante permet à un utilisateur participant au test de classe test de connexion d’afficher et de modifier la [edit system services] hiérarchie de configuration, même si l’instruction deny-configuration comprend la même hiérarchie :

Si les allow-commands instructions et deny-commands ont deux variantes différentes d’une commande, la correspondance la plus longue est toujours exécutée. La configuration suivante permet à un utilisateur de la test classe login d’exécuter la commit synchronize commande, mais pas la commit commande. C’est parce que commit synchronize c’est la correspondance la plus longue entre commit et commit synchronize, et elle est spécifiée pour allow-commands.

La configuration suivante permet à un utilisateur de la test classe login d’exécuter la commit commande, mais pas la commit synchronize commande. C’est parce que commit synchronize c’est la correspondance la plus longue entre commit et commit synchronize, et elle est spécifiée pour deny-commands.

Contrairement aux autres déclarations, le comportement par défaut des déclarations est que les *-regexps expressions et deny-configuration-regexps les deny-commands-regexps expressions régulières ont priorité sur allow-commands-regexps et les allow-configuration-regexps expressions. Vous pouvez configurer l’instruction regex-additive-logic au niveau de la [edit system] hiérarchie pour forcer les allow-configuration-regexps expressions régulières à prendre la priorité sur les deny-configuration-regexps déclarations. La configuration de l’instruction vous permet de refuser les hiérarchies de configuration à un niveau supérieur, puis d’autoriser l’utilisateur à accéder uniquement à des sous-hiérarchies spécifiques.

Comprendre les règles d’instruction d’autorisation et de refus

Les allow/deny-commands, allow/deny-configuration, , allow/deny-commands-regexpset allow/deny-configuration-regexps les instructions ont priorité sur les autorisations de classe de connexion. Lorsque vous configurez ces instructions, les règles suivantes s’appliquent :

• Les expressions allow-commands et deny-commands les instructions régulières peuvent également inclure le commit, load, rollback, save, statuset les update commandes.

• Les all bits d’autorisation de classe de connexion ont priorité sur les expressions régulières étendues lorsqu’un utilisateur émet la rollback commande avec l’indicateur d’autorisation rollback activé.

• Les utilisateurs ne peuvent pas émettre la load override commande lorsqu’ils spécifient une expression régulière étendue. Les utilisateurs ne peuvent émettre que les mergecommandes , replaceet patch de configuration.

• Vous pouvez utiliser le caractère générique * pour dénoter des expressions régulières. Cependant, vous devez l’utiliser dans le cadre d’une expression régulière. Vous ne pouvez pas utiliser [ * ] ou [ .* ] comme seule expression. En outre, vous ne pouvez pas configurer l’instruction allow-configuration avec une expression telle que (interfaces (description (|.*)), car cela évalue à allow-configuration .*.

Comprendre les différences pour les déclarations *-regexps

Cette section présente les différences entre les allow/deny-configuration déclarations et les allow/deny-configuration-regexps déclarations.

Les allow/deny-configuration-regexps déclarations divisent l’expression régulière en jetons et font correspondre chaque élément à chaque partie du chemin complet de la configuration spécifiée, tandis que les allow/deny-configuration déclarations correspondent à la chaîne complète. Pour allow/deny-configuration-regexps les instructions, vous configurez un ensemble de chaînes dans laquelle chaque chaîne est une expression régulière, avec des espaces entre les termes de la chaîne. Cette syntaxe offre une correspondance très rapide, mais offre moins de flexibilité. Pour spécifier des expressions génériques, vous devez configurer des caractères génériques pour chaque jeton de la chaîne délimitée par l’espace que vous souhaitez faire correspondre, ce qui rend plus difficile l’utilisation d’expressions génériques pour ces déclarations.

Par exemple :

• Correspondance d’expression régulière avec un jeton à l’aide de regexps de configuration autorisée

  Cet exemple montre que options c’est la seule expression correspondant au premier jeton de l’instruction.

  La configuration précédente correspond aux déclarations suivantes :

  • définir la condition condition de stratégie-options dynamic-db

  • définir les options de routage route static-route statique saut suivant next-hop

  • définir les options d’événements générer un intervalle de temps d’événement eventseconds

  La configuration précédente ne correspond pas aux déclarations suivantes :

  • options d’hôte du nom d’hôte système

  • options de description des interfacesinterface-name

• Correspondance d’expression régulière avec trois jetons à l’aide de regexps de configuration autorisée

  Cet exemple montre qu’il ssh s’agit de la seule expression correspondant au troisième jeton de l’instruction.

  Dans l’exemple précédent, les trois jetons comprennent .*, .*et .*ssh, respectivement.

  La configuration précédente correspond aux déclarations suivantes :

  • nom d’hôte système hostname-ssh

  • services système ssh

  • services système outbound-ssh

  La configuration précédente ne correspond pas à l’énoncé suivant :

  • description des interfaces interface-namessh

Il est plus facile d’utiliser l’instruction pour restreindre l’accès deny-configuration à la configuration que pour utiliser l’instruction deny-configuration-regexps . Tableau 2 Illustre l’utilisation des deny-configurationdeny-configuration-regexps et des déclarations dans différentes configurations pour obtenir le même résultat de restreindre l’accès à une configuration particulière.

[edit system]
login {
    class test {
        permissions configure;
         allow-configuration .*;
        deny-configuration .*xnm-ssl;
    }
}

[edit system]
login {
    class test {
        permissions configure;
         allow-configuration .*;
        deny-configuration-regexps ".* .* .*-ssl"";
    }
}

[edit system]
login {
    class test {
        permissions configure;
        allow-configuration .*;
        deny-configuration ".*ssh";
    }
}

[edit system]
login {
    class test {
        permissions configure;
        allow-configuration .*;
        deny-configuration-regexps ".*ssh";
        deny-configuration-regexps ".* .*ssh";
        deny-configuration-regexps ".* .* .*ssh";
    }
}

Bien que les allow/deny-configuration instructions soient également utiles lorsque vous souhaitez une configuration simple, elles allow/deny-configuration-regexps offrent de meilleures performances et surmontent l’ambiguïté qui existait lors de la combinaison d’expressions dans les allow/deny-configuration instructions.

Utilisation d’expressions régulières sur les serveurs d’autorisation à distance

Vous pouvez utiliser des expressions régulières étendues pour spécifier les commandes du mode opérationnel et du mode de configuration, ainsi que les instructions de configuration et les hiérarchies autorisées ou refusées pour certains utilisateurs. Vous spécifiez ces expressions régulières localement dans le allow/deny-commands, allow/deny-commands-regexpsallow/deny-configurationet allow/deny-configuration-regexps les instructions au niveau de la [edit system login class class-name] hiérarchie. Vous spécifiez ces expressions régulières à distance en spécifiant les attributs TACACS+ ou RADIUS spécifiques aux fournisseurs Juniper Networks dans la configuration de votre serveur d’autorisation. Lorsque vous configurez les paramètres d’autorisation à la fois localement et à distance, l’équipement fusionne les expressions régulières reçues lors de l’autorisation TACACS+ ou RADIUS avec toutes les expressions régulières définies sur l’équipement local.

Lorsque vous spécifiez plusieurs expressions régulières dans une configuration locale à l’aide de allow-commands, deny-commandsallow-configurationou deny-configuration d’instructions, vous configurez les expressions régulières entre parenthèses et séparez-les à l’aide du symbole de tuyau. Vous joignez l’expression complète entre guillemets. Par exemple, vous pouvez spécifier plusieurs allow-commands paramètres avec la syntaxe suivante :

Le serveur d’autorisation RADIUS utilise les attributs et la syntaxe suivants :

Le serveur d’autorisation TACACS+ utilise les attributs et la syntaxe suivants :

Lorsque vous spécifiez plusieurs expressions régulières dans une configuration locale à l’aide de allow-commands-regexps, deny-commands-regexpsallow-configuration-regexpsou deny-configuration-regexps d’instructions, vous configurez des expressions régulières dans des guillemets doubles et séparez-les à l’aide de l’opérateur d’espace. Vous joignez l’expression complète entre crochets. Par exemple, vous pouvez spécifier plusieurs paramètres allow-commands avec la syntaxe suivante :

Le serveur d’autorisation RADIUS utilise les attributs et la syntaxe suivants :

Le serveur d’autorisation TACACS+ utilise les attributs et la syntaxe suivants :

Les serveurs RADIUS et TACACS+ prennent également en charge une syntaxe simplifiée dans laquelle vous spécifiez chaque expression individuelle sur une ligne distincte. Par exemple, la syntaxe simplifiée du serveur RADIUS est :

De même, la syntaxe simplifiée du serveur TACACS+ est :

Tableau 3 différencie la configuration d’autorisation locale et la configuration d’autorisation serveur TACACS+ à l’aide d’expressions régulières.

login {
    class local {
        permissions configure;
        allow-commands "(ping .*)|(traceroute .*)|(show .*)|(configure .*)|(edit)|(exit)|(commit)|(rollback .*)";
        deny-commands .*;
        allow-configuration "(interfaces .* unit 0 family ethernet-switching vlan mem.* .*)|(interfaces .* native.* .*)|(interfaces .* unit 0 family ethernet-switching interface-mo.* .*)|(interfaces .* unit .*)|(interfaces .* disable)|(interfaces .* description .*)|(vlans .* vlan-.* .*)"
        deny-configuration .*;
    }
}

user = remote {
    login = username
    service = junos-exec {
        allow-commands1 = "ping .*"
        allow-commands2 = "traceroute .*"
        allow-commands3 = "show .*"
        allow-commands4 = "configure"
        allow-commands5 = "edit"
        allow-commands6 = "exit"
        allow-commands7 = "commit"
        allow-commands8 = ".*xml-mode"
        allow-commands9 = ".*netconf.*"
        allow-commands10 = ".*need-trailer"
        allow-commands11 = "rollback.*"
        allow-commands12 = "junoscript"
        deny-commands1 = ".*"
        allow-configuration1 = "interfaces .* unit 0 family ethernet-switching vlan mem.* .*"
        allow-configuration2 = "interfaces .* native.* .*"
        allow-configuration3 = "interfaces .* unit 0 family ethernet-switching interface-mo.* .*"
        allow-configuration4 = "interfaces .* unit .*"
        allow-configuration5 = "interfaces .* disable"
        allow-configuration6 = "interfaces .* description .*"
        allow-configuration7 = "interfaces .*"
        allow-configuration8 = "vlans .* vlan-.* .*"
        deny-configuration1 = ".*"
        local-user-name = local-username
        user-permissions = "configure"
    }
}

Spécifier des expressions régulières

Vous devez spécifier des expressions régulières pour les commandes et les instructions de configuration de la même manière que l’exécution de la commande ou de l’instruction complète. Tableau 4 répertorie les expressions régulières pour configurer les privilèges d’accès pour les [edit interfaces] hiérarchies et [edit vlans] d’instruction.

[edit]
user@host# set interfaces interface-name unit interface-unit-number

[edit system login class class-name]
user@host# set permissions configure
user@host# set deny-configuration "interfaces .* unit .*"

[edit]
user@host# set vlans vlan-name vlan-id vlan-id

[edit system login class class-name]
user@host# set permissions configure
user@host# set allow-configuration "vlans .* vlan-id .*"

Opérateurs d’expressions régulières

Tableau 5 répertorie les opérateurs d’expression régulière courants que vous pouvez utiliser pour autoriser ou refuser les modes opérationnels et de configuration.

Les expressions régulières de commande implémentent les expressions régulières étendues (modernes), telles que définies dans POSIX 1003.2.

[edit system login class test]
user@host# set permissions configure
user@host# set allow-commands "(ping)|(traceroute)|(show system alarms)|(show system software)"
user@host# set deny-configuration "(access)|(access-profile)|(accounting-options)|(applications)|(apply-groups)|(bridge-domains)|(chassis)|(class-of-service)"

[edit system login class test]
user@host# set permissions interface
user@host# set permissions interface-control
user@host# set allow-commands "(^show) (log|interfaces|policer))|(^monitor)"

[edit system login class test]
user@host# set permissions interface
user@host# set allow-commands "(show interfaces$)"

[edit system login class test]
user@host# set permissions clear
user@host# set permissions configure
user@host# set permissions network
user@host# set permissions trace
user@host# set permissions view
user@host# set allow-configuration-regexps [ "interfaces [gx]e-.* unit [0-9]* description .*" ]

[edit system login class test]
user@host# set permissions all
user@host# set allow-commands "(clear)|(configure)"
user@host# deny-commands "(mtrace)|(start)|(delete)"

[edit system login class test]
user@host# set permissions configure
user@host# set deny-configuration "(system login class m*)"

[edit system login class test]
user@host# set permissions configure
user@host# set deny-configuration "(system login class m+)"

[edit system login class test]
user@host# set permissions configure
user@host# set deny-configuration "(system login class m.)"

[edit system login class test]
user@host# set permissions configure
user@host# set deny-configuration "(system login class m .*)"

Exemples d’expression régulière

Tableau 6 répertorie les expressions régulières utilisées pour autoriser les options de configuration dans deux hiérarchies de configuration,[edit system ntp server] et [edit protocols rip]par exemple pour spécifier des expressions régulières.

[edit system login class test]
set permissions configure
set allow-configuration-regexps [ "system ntp server .*" "system ntp server .* key .*" ]
set deny-configuration-regexps [ "system ntp server .* version .*" "system ntp server .* prefer" ]

[edit system login class test]
set permissions configure
set allow-configuration-regexps [ "system ntp server .*" "system ntp server .* version .*" ]
set deny-configuration-regexps [ "system ntp server .* key .*" "system ntp server .* prefer" ]

[edit system login class test]
set permissions configure
set allow-configuration-regexps [ "system ntp server .*" "system ntp server .* prefer" ];
set deny-configuration-regexps [ "system ntp server .* key .*" "system ntp server .* version .*" ]

[edit system login class test]
set permissions configure
set allow-configuration-regexps "protocols rip message-size .*"
set deny-configuration-regexps [ "protocols rip metric-in .*" "protocols rip route-timeout .*" "protocols rip update-interval .*" ]

[edit system login class test]
set permissions configure
set  allow-configuration-regexps "protocols rip metric-in .*"
set  deny-configuration-regexps [ "protocols rip message-size .*" "protocols rip route-timeout .*" "protocols rip update-interval .*" ]

[edit system login class test]
set permissions configure
set allow-configuration-regexps "protocols rip route-timeout .*"
set deny-configuration-regexps [ "protocols rip metric-in .*" "protocols rip message-size .*" "protocols rip update-interval .*" ]

[edit system login class test]
set permissions configure
set allow-configuration-regexps "protocols rip update-interval .*"
set deny-configuration-regexps [ "protocols rip metric-in .*" "protocols rip route-timeout .*" "protocols rip message-size .*" ]