Privilèges d’accès des utilisateurs

Indicateurs d’autorisation de classe de connexion

Vous utilisez des indicateurs d’autorisation pour autoriser l’accès d’un utilisateur aux commandes et instructions du mode de configuration. Vous configurez les indicateurs d’autorisation pour la classe de connexion de l’utilisateur au niveau [edit system login class] hiérarchique. Lorsque vous spécifiez un indicateur d’autorisation donné, l’utilisateur accède aux commandes et aux niveaux et instructions de la hiérarchie de configuration correspondant à cet indicateur. Pour accorder l’accès à toutes les commandes et instructions de configuration, utilisez all l’indicateur des autorisations.

permissionsL’instruction spécifie un ou plusieurs des indicateurs d’autorisation répertoriés dans Tableau 1 . Les indicateurs d’autorisation ne sont pas cumulés. Pour chaque classe, vous devez énumérer tous les indicateurs d’autorisation nécessaires, y compris pour afficher les informations et view entrer dans le mode de configure configuration. Deux formes de permissions contrôlent l’accès de l’utilisateur aux parties individuelles de la configuration:

• Formulaire « clair »: fournit une fonctionnalité en lecture seule pour ce type d’autorisation. Nous en avons interface un exemple.

• -control formulaire: fournit une fonctionnalité de lecture et d’écriture pour ce type de permission. Nous en avons interface-control un exemple.

Pour les indicateurs d’autorisation qui accordent l’accès aux niveaux et instructions de la hiérarchie de configuration, les indicateurs en clair accordent un privilège en lecture seule à cette configuration. Par exemple, interface l’indicateur d’autorisation autorise un accès en lecture seule au niveau [edit interfaces] hiérarchique. Le -control formulaire d’indicateur accorde un accès en lecture-écriture à cette configuration. Par exemple, interface-control l’indicateur accorde un accès en lecture-écriture au niveau [edit interfaces] hiérarchique.

Tableau 1 répertorie les indicateurs d’autorisation de classe de connexion que vous pouvez configurer en incluant permissions l’instruction au niveau de la [edit system login class class-name] hiérarchie.

Les indicateurs d’autorisation accordent un ensemble spécifique de privilèges d’accès. Chaque indicateur d’autorisation est répertorié avec les commandes du mode opérationnel ou du mode de configuration, ainsi que les niveaux et instructions de la hiérarchie de configuration pour lesquels cet indicateur autorise l’accès.

Autoriser et refuser les hiérarchies de commandes et d’instructions individuelles pour les classes de connexion

Par défaut, toutes les commandes de CLI de haut niveau et les niveaux hiérarchiques de configuration ont les niveaux de privilège d’accès associés. Les utilisateurs peuvent exécuter uniquement les commandes et afficher et configurer uniquement les instructions pour lesquelles ils ont des droits d’accès. Pour chaque classe de connexion, vous pouvez autoriser et refuser explicitement l’utilisation de commandes de mode opérationnel et de mode de configuration et de hiérarchies d’instruction qui seraient autrement autorisées ou refusées par un niveau de privilège spécifié dans permissions l’énoncé.

Les indicateurs d’autorisation accordent à l’utilisateur un accès au mode opérationnel et aux commandes du mode de configuration, ainsi qu’à la configuration des niveaux et des instructions hiérarchiques. En spécifiant un indicateur d’autorisation spécifique sur la classe de connexion de l’utilisateur au niveau de la hiérarchie, vous lui accordez l’accès aux commandes correspondantes et aux niveaux et instructions de la hiérarchie de [edit system login class] configuration. Pour accorder l’accès à toutes les commandes et instructions de configuration, utilisez all l’indicateur des autorisations.

Vous pouvez autoriser ou refuser l’utilisation de commandes et d’instructions en configurant le , et les instructions pour une classe allow-commandsdeny-commands de allow-configurationdeny-configuration connexion. Dans les instructions, vous utilisez des expressions régulières étendues pour définir les commandes et les instructions permettant d’autoriser ou de refuser les utilisateurs assignés à la classe.

Compréhension des énoncés autoriser et refuser

La hiérarchie de l’CLI de commande et de configuration de haut niveau dispose d’un niveau de privilège d’accès associé. Chaque classe de connexion peut autoriser ou refuser l’utilisation de commandes et instructions du mode de configuration et du mode de configuration, ainsi que des instructions qui seraient autrement autorisées ou interdites par un niveau de privilège. Les utilisateurs peuvent exécuter uniquement les commandes et afficher et configurer uniquement les instructions pour lesquelles ils ont des droits d’accès.

Les privilèges d’accès pour chaque classe de connexion sont définis par un ou plusieurs indicateurs d’autorisation spécifiés dans l’instruction au niveau permissions[edit system login class class-name] de la hiérarchie. En outre, vous pouvez autoriser ou refuser l’utilisation de commandes spécifiques et de hiérarchies de configuration en définissant des expressions régulières étendues. Vous pouvez spécifier les expressions régulières en configurant les instructions suivantes pour une classe de connexion:

• allow-commands et deny-commands —Autoriser ou refuser l’accès au mode opérationnel et aux commandes du mode de configuration.

• allow-configuration et deny-configuration —Autoriser ou refuser l’accès à des hiérarchies de configuration spécifiques.

  Remarque :

  Ces instructions offrent un temps de correspondance plus lent, avec davantage de flexibilité, en particulier dans le cas de la correspondance par cartes génériques. Toutefois, il peut être très long de prendre du temps à évaluer toutes les déclarations possibles si un grand nombre d’expressions régulières full-path ou d’expressions génériques sont configurées, ce qui peut avoir un impact négatif sur les performances.

• allow-commands-regexps et deny-commands-regexps —Autoriser ou refuser l’accès à des commandes spécifiques à l’aide de chaînes d’expressions régulières.

• allow-configuration-regexps et —Autoriser ou refuser l’accès à des hiérarchies de deny-configuration-regexps configuration spécifiques à l’aide de chaînes d’expressions régulières.

L’autorisation explicite des hiérarchies d’instructions de configuration et de commandes à l’aide des instructions s’ajoute aux autorisations déjà allow/deny-*permissions définies par l’énoncé. De même, le rejet explicite des hiérarchies des instructions et des instructions de configuration à l’aide des instructions supprime les autorisations déjà allow/deny-*permissions définies par l’énoncé.

Par exemple, dans la configuration suivante, cette autorisation permet aux utilisateurs de la classe de connexion de configure saisir le mode de configuration. En outre, l’expression permet aux utilisateurs de modifier la configuration au niveau de la hiérarchie et de allow-configuration[edit system services] la valider.

De même, dans la configuration suivante, l’utilisateur de la classe de connexion peut effectuer toutes les opérations autorisées par l’indicateur des autorisations, sauf si l’utilisateur ne peut pas afficher ou modifier la configuration au niveau de la all[edit system services] hiérarchie:

Compréhension de la syntaxe de la déclaration Autoriser et Refuser

Vous pouvez configurer une allow/deny-* instruction qu’une seule fois dans chaque classe de connexion. Lorsque vous configurez une instruction:

• Vous pouvez configurer autant d’expressions régulières que nécessaire.

• Les expressions régulières ne sont pas sensibles à la cas

Ces déclarations sont mutuellement exclusives et ces déclarations sont mutuellement exclusives avec allow/deny-commandsallow/deny-commands-regexps ces allow/deny-configurationallow/deny-configuration-regexps déclarations. Par exemple, vous ne pouvez pas configurer les deux dans la même classe allow-configurationallow-configuration-regexps de connexion.

Pour définir les privilèges d’accès aux commandes, spécifiez des expressions régulières étendues à l’aide allow-commands des deny-commands instructions et des. Joint chaque expression autonome complète dans des parenthèses ( ) et utilisez le symbole de la pipe ( |) pour séparer les expressions. N’utilisez pas d’espaces entre les expressions régulières qui sont connectées par le symbole de la pipe. L’expression complète est jointe à des guillemets doubles.

Par exemple :

Vous devez utiliser des ancrages pour spécifier des expressions régulières complexes avec allow-commands l’énoncé. Par exemple :

Pour définir les privilèges d’accès à des parties de la hiérarchie de configuration, indiquez les expressions régulières étendues dans allow-configuration les deny-configuration instructions et les. Enfermez les chemins complets dans des parenthèses ( ) et utilisez le symbole de la pipe ( | ) pour séparer les expressions. N’utilisez pas d’espaces entre les expressions régulières qui sont connectées par le symbole de la pipe. L’expression complète est jointe à des guillemets doubles.

Par exemple :

Lorsque vous spécifiez des expressions régulières étendues à l’aide des ou des instructions, enfermez chaque expression dans des guillemets (« ») et séparez les allow/deny-commands-regexpsallow/deny-configuration-regexps expressions à l’aide d’un espace. Joint plusieurs expressions en supports carrés [ ]. Par exemple :

modifiers tels que , et ne sont pas pris en charge dans la chaîne d’expressions régulière setlog pour être count assortis. Si vous utilisez un modifier, alors rien n’est assorti.

Configuration correcte:

Configuration incorrecte:

Compréhension de la préséance et de la correspondance de l’énoncé Autoriser et Refuser

Par défaut, les expressions régulières et les expressions ont priorité sur allow-commandsallow-configuration les deny-commandsdeny-configuration expressions et les priorités. Ainsi, si vous configurez la même commande à la fois pour les instructions et pour les instructions, l’opération autorise priorité sur allow-commandsdeny-commands l’opération refus. De même, si vous configurez la même instruction à la fois pour les instructions et pour les instructions, l’opération autorise priorité sur allow-configurationdeny-configuration l’opération refus.

Par exemple, la configuration suivante permet à un utilisateur de la classe de connexion d’installer le logiciel à l’aide de la commande, même si l’énoncé inclut testrequest system software add la même deny-commands commande:

De même, la configuration suivante permet à un utilisateur du test de classe de connexion d’afficher et de modifier la hiérarchie de configuration, même si l’énoncé inclut la test[edit system services] même deny-configuration hiérarchie:

Si les allow-commandsdeny-commands instructions et les instructions ont deux variantes différentes d’une commande, la correspondance la plus longue est toujours exécutée. La configuration suivante permet à un utilisateur de la classe de connexion d’exécuter test la commit synchronize commande, mais pas la commit commande. Cela est dû au fait qu’il s’agit de la correspondance la plus longue entre et, et il commit synchronizecommit est spécifié pour commit synchronizeallow-commands .

La configuration suivante permet à un utilisateur de la classe de connexion d’exécuter test la commit commande, mais pas la commit synchronize commande. Cela est dû au fait qu’il s’agit de la correspondance la plus longue entre et, et il commit synchronizecommit est spécifié pour commit synchronizedeny-commands .

Contrairement aux autres énoncés, le comportement par défaut des énoncés est que les expressions régulières ont priorité sur les expressions et les *-regexpsdeny-commands-regexpsdeny-configuration-regexpsallow-commands-regexpsallow-configuration-regexps expressions. Vous pouvez configurer l’énoncé au niveau de la hiérarchie pour forcer les expressions régulières à prendre l’priorité regex-additive-logic[edit system] sur les allow-configuration-regexpsdeny-configuration-regexps instructions. La configuration de l’énoncé vous permet de refuser les hiérarchies de configuration à un niveau plus élevé, et autorise uniquement l’accès de l’utilisateur à des sous-hiérarchies spécifiques.

Comprendre les règles d’accord et de refus de la déclaration

Les instructions et les , et les instructions ont priorité allow/deny-commandsallow/deny-configuration sur les allow/deny-commands-regexpsallow/deny-configuration-regexps autorisations de classe de connexion. Lorsque vous configurez ces instructions, les règles suivantes s’appliquent:

• Les expressions régulières allow-commands et deny-commands les instructions peuvent également inclure les commit , , , et les loadrollbacksavestatusupdate commandes.

• Les bits d’autorisation de classe de connexion ont priorité sur les expressions régulières étendues lorsqu’un utilisateur problèmes la commande avec le indicateur allrollbackrollback d’autorisation activé.

• Les utilisateurs ne peuvent pas load override émettre la commande lors de la spécification d’une expression régulière étendue. Seules les commandes de configuration et les questions de mergereplace configuration sont patch émises par les utilisateurs.

• Vous pouvez utiliser le caractère * générique lors de la dés expressions régulières. Toutefois, vous devez l’utiliser comme une partie de l’expression régulière. Vous ne pouvez pas [ * ] utiliser ou comme seule [ .* ] expression. En outre, vous ne pouvez pas configurer l’énoncé avec une expression telle que , car allow-configuration elle est évaluée sur (interfaces (description (|.*))allow-configuration .* .

Compréhension des différences des déclarations *-regexps

Cette section présente les différences entre les allow/deny-configuration énoncés et allow/deny-configuration-regexps les énoncés.

Les instructions divisent l’expression régulière en jetons et font correspondre chaque pièce à chaque partie du chemin complet de la configuration spécifiée, alors que les instructions s’matchent avec la allow/deny-configuration-regexpsallow/deny-configuration chaîne complète. Pour les instructions, vous configurez un ensemble de chaînes dans lesquelles chaque chaîne est une expression régulière, avec des espaces entre les allow/deny-configuration-regexps termes de la chaîne. Cette syntaxe permet une correspondance très rapide, mais offre moins de flexibilité. Pour spécifier les expressions génériques, vous devez définir des caractères génériques pour chaque jeton de la chaîne à espace que vous souhaitez assortir, ce qui complique l’utilisation d’expressions génériques pour ces instructions.

Par exemple :

• Expression régulière correspondant à un jeton en utilisant allow-configuration-regexps

  Cet exemple montre qu’il s’agit de la seule expression correspondance options contre le premier jeton de la déclaration.

  La configuration qui précède correspond aux déclarations suivantes:

  • définir des conditionsd’options de stratégie condition de dynamique-db

  • définir le routage-Options de routage statique route statique route next-hop next-hop

  • définir desoptions d’événements et d’événements, puis générer des secondes d’intervalle de l’événement

  La configuration qui précède ne correspond pas aux déclarations suivantes:

  • options de nom d’hôte-hôte dusystème

  • interfaces options de description du nom de l’interface

• Expression régulière correspondant à trois jetons à l’aide de allow-configuration-regexps

  Cet exemple montre qu’il s’agit de la seule expression correspondance ssh contre le troisième jeton de la déclaration.

  Dans l’exemple précédent, les trois jetons incluent .*.* , et , .*ssh respectivement.

  La configuration qui précède correspond aux déclarations suivantes:

  • système host-name hostname-ssh

  • services système ssh

  • services systèmesortants ssh

  La configuration qui précède ne correspond pas à l’énoncé suivant:

  • interfaces interface-name description ssh

Il est plus facile d’utiliser l’énoncé pour limiter l’accès à la configuration que pour l’utiliser. Illustre l’utilisation des énoncés dans des configurations différentes afin d’obtenir le même résultat que la restriction de l’accès à une deny-configurationdeny-configuration-regexps configuration Tableau 2deny-configurationdeny-configuration-regexps particulière.

[edit system]
login {
    class test {
        permissions configure;
         allow-configuration .*;
        deny-configuration .*xnm-ssl;
    }
}

[edit system]
login {
    class test {
        permissions configure;
         allow-configuration .*;
        deny-configuration-regexps ".* .* .*-ssl"";
    }
}

[edit system]
login {
    class test {
        permissions configure;
        allow-configuration .*;
        deny-configuration ".*ssh";
    }
}

[edit system]
login {
    class test {
        permissions configure;
        allow-configuration .*;
        deny-configuration-regexps ".*ssh";
        deny-configuration-regexps ".* .*ssh";
        deny-configuration-regexps ".* .* .*ssh";
    }
}

Bien que ces déclarations soient également utiles pour une configuration simple, ces déclarations offrent de meilleures performances et surmontent la conjuguant les expressions des allow/deny-configurationallow/deny-configuration-regexpsallow/deny-configuration énoncés.

Utilisation d’expressions régulières sur les serveurs d’autorisation à distance

Vous pouvez utiliser des expressions régulières étendues pour spécifier les commandes du mode de fonctionnement et du mode de configuration, ainsi que les instructions et hiérarchies de configuration autorisées ou interdites pour certains utilisateurs. Vous spécifiez ces expressions régulières localement dans le allow/deny-commandsallow/deny-configuration , et les allow/deny-commands-regexpsallow/deny-configuration-regexps instructions au niveau de [edit system login class class-name] la hiérarchie. Vous spécifiez ces expressions régulières à distance en Juniper Networks attributs TACACS+ ou RADIUS propres à chaque fournisseur dans la configuration de votre serveur d’autorisations. Lorsque vous configurez les paramètres d’autorisation à la fois localement et à distance, l’équipement fusionnera les expressions régulières reçues lors des contrôles TACACS+ ou RADIUS avec toutes les expressions régulières définies sur l’équipement local.

Lorsque vous spécifiez plusieurs expressions régulières dans une configuration locale à l’aide du , ou des instructions, vous configurez les expressions régulières au sein des allow-commandsdeny-commandsallow-configuration parenthèses et vous les séparez à l’aide du deny-configuration symbole de la pipe. Vous joint l’expression complète dans des guillemets doubles. Par exemple, vous pouvez spécifier plusieurs allow-commands paramètres avec la syntaxe suivante:

Le serveur RADIUS d’autorisations utilise les attributs et la syntaxe suivants:

Le serveur d’autorisation TACACS+ utilise les attributs et la syntaxe suivants:

Lorsque vous spécifiez plusieurs expressions régulières dans une configuration locale à l’aide du , ou des instructions, vous configurez les expressions régulières dans des guillemets doubles et séparez-les à l’aide de allow-commands-regexpsdeny-commands-regexpsallow-configuration-regexpsdeny-configuration-regexps l’opérateur de l’espace. Vous enfermez l’expression complète dans des supports carrés. Par exemple, vous pouvez spécifier plusieurs paramètres de commandes d’utilisation avec la syntaxe suivante:

Le serveur RADIUS d’autorisations utilise les attributs et la syntaxe suivants:

Le serveur d’autorisation TACACS+ utilise les attributs et la syntaxe suivants:

RADIUS et les serveurs TACACS+ offrent également une syntaxe simplifiée, dans laquelle vous spécifiez chaque expression individuelle sur une ligne distincte. Par exemple, la syntaxe RADIUS serveur simplifiée est la suivante:

De même, la syntaxe simplifiée du serveur TACACS+ est la suivante:

Tableau 3 différencie la configuration d’autorisation locale et la configuration d’autorisation de serveur TACACS+ à l’aide d’expressions régulières.

login {
    class local {
        permissions configure;
        allow-commands "(ping .*)|(traceroute .*)|(show .*)|(configure .*)|(edit)|(exit)|(commit)|(rollback .*)";
        deny-commands .*;
        allow-configuration "(interfaces .* unit 0 family ethernet-switching vlan mem.* .*)|(interfaces .* native.* .*)|(interfaces .* unit 0 family ethernet-switching interface-mo.* .*)|(interfaces .* unit .*)|(interfaces .* disable)|(interfaces .* description .*)|(vlans .* vlan-.* .*)"
        deny-configuration .*;
    }
}

user = remote {
    login = username
    service = junos-exec {
        allow-commands1 = "ping .*"
        allow-commands2 = "traceroute .*"
        allow-commands3 = "show .*"
        allow-commands4 = "configure"
        allow-commands5 = "edit"
        allow-commands6 = "exit"
        allow-commands7 = "commit"
        allow-commands8 = ".*xml-mode"
        allow-commands9 = ".*netconf"
        allow-commands10 = ".*need-trailer"
        allow-commands11 = "rollback.*"
        deny-commands1 = ".*"
        allow-configuration1 = "interfaces .* unit 0 family ethernet-switching vlan mem.* .*"
        allow-configuration2 = "interfaces .* native.* .*"
        allow-configuration3 = "interfaces .* unit 0 family ethernet-switching interface-mo.* .*"
        allow-configuration4 = "interfaces .* unit .*"
        allow-configuration5 = "interfaces .* disable"
        allow-configuration6 = "interfaces .* description .*"
        allow-configuration7 = "interfaces .*"
        allow-configuration8 = "vlans .* vlan-.* .*"
        deny-configuration1 = ".*"
        local-user-name = local-username
        user-permissions = "configure"
    }
}

Spécifier les expressions régulières

Vous devez spécifier les expressions régulières des commandes et des instructions de configuration de la même manière que l’exécution de la commande ou de l’instruction complète. Tableau 4 répertorie les expressions régulières pour la configuration des privilèges d’accès pour les hiérarchies des instructions et [edit interfaces][edit vlans] pour la delete interfaces commande.

[edit]
user@host# set interfaces interface-name unit interface-unit-number

[edit system login class class-name]
user@host# set permissions configure
user@host# set deny-configuration "interfaces .* unit .*"

[edit]
user@host# delete interfaces interface-name

[edit system login class class-name]
user@host# set permissions configure
user@host# set allow-configuration "interfaces .*"
user@host# set deny-configuration "interfaces .*"

[edit]
user@host# set vlans vlan-name vlan-id vlan-id

[edit system login class class-name]
user@host# set permissions configure
user@host# set allow-configuration "vlans .* vlan-id .*"

Opérateurs expressions régulières

Tableau 5 répertorie les opérateurs d’expressions régulières que vous pouvez utiliser pour autoriser ou refuser les modes opérationnels et de configuration.

Les expressions régulières de commande implémentent les expressions régulières étendues (modernes), telles que définies dans POSIX 1003.2.

[edit system login class test]
user@host# set permissions configure
user@host# set allow-commands "(ping)|(traceroute)|(show system alarms)|(show system software)"
user@host# set deny-configuration "(access)|(access-profile)|(accounting-options)|(applications)|(apply-groups)|(bridge-domains)|(chassis)|(class-of-service)"

[edit system login class test]
user@host# set permissions interface
user@host# set permissions interface-control
user@host# set allow-commands "(^show) (log|interfaces|policer))|(^monitor)"

[edit system login class test]
user@host# set permissions interface
user@host# set allow-commands "(show interfaces$)"

[edit system login class test]
user@host# set permissions clear
user@host# set permissions configure
user@host# set permissions network
user@host# set permissions trace
user@host# set permissions view
user@host# set allow-configuration-regexps [ "interfaces [gx]e-.* unit [0-9]* description .*" ]

[edit system login class test]
user@host# set permissions all
user@host# set allow-commands "(clear)|(configure)"
user@host# deny-commands "(mtrace)|(start)|(delete)"

[edit system login class test]
user@host# set permissions configure
user@host# set deny-configuration "(system login class m*)"

[edit system login class test]
user@host# set permissions configure
user@host# set deny-configuration "(system login class m+)"

[edit system login class test]
user@host# set permissions configure
user@host# set deny-configuration "(system login class m.)"

[edit system login class test]
user@host# set permissions configure
user@host# set deny-configuration "(system login class m .*)"

Exemples d’expressions régulières

Tableau 6 répertorie les expressions régulières utilisées pour autoriser les options de configuration dans deux hiérarchies de configuration et, par exemple, pour [edit system ntp server][edit protocols rip] spécifier les expressions régulières.

[edit system login class test]
set permissions configure
set allow-configuration-regexps [ "system ntp server .*" "system ntp server .* key .*" ]
set deny-configuration-regexps [ "system ntp server .* version .*" "system ntp server .* prefer" ]

[edit system login class test]
set permissions configure
set allow-configuration-regexps [ "system ntp server .*" "system ntp server .* version .*" ]
set deny-configuration-regexps [ "system ntp server .* key .*" "system ntp server .* prefer" ]

[edit system login class test]
set permissions configure
set allow-configuration-regexps [ "system ntp server .*" "system ntp server .* prefer" ];
set deny-configuration-regexps [ "system ntp server .* key .*" "system ntp server .* version .*" ]

[edit system login class test]
set permissions configure
set allow-configuration-regexps "protocols rip message-size .*"
set deny-configuration-regexps [ "protocols rip metric-in .*" "protocols rip route-timeout .*" "protocols rip update-interval .*" ]

[edit system login class test]
set permissions configure
set  allow-configuration-regexps "protocols rip metric-in .*"
set  deny-configuration-regexps [ "protocols rip message-size .*" "protocols rip route-timeout .*" "protocols rip update-interval .*" ]

[edit system login class test]
set permissions configure
set allow-configuration-regexps "protocols rip route-timeout .*"
set deny-configuration-regexps [ "protocols rip metric-in .*" "protocols rip message-size .*" "protocols rip update-interval .*" ]

[edit system login class test]
set permissions configure
set allow-configuration-regexps "protocols rip update-interval .*"
set deny-configuration-regexps [ "protocols rip metric-in .*" "protocols rip route-timeout .*" "protocols rip message-size .*" ]