Help us improve your experience.

Let us know what you think.

Do you have time for a two-minute survey?

 
このページの内容
 

デバイスAAA

概要

RADIUSおよびTACACS+デバイスのAAA(認証、許可、アカウンティング)フレームワークは、ジュニパー、Cisco、Aristaのデバイスでサポートされています。デバイスAAAはオプションであり、正しい実装はエンドユーザーの責任です。以下に、Apstra AAAを正しく実装するための最小要件について説明します。

注意:

AAAフレームワークを使用する場合は、ローカルApstraユーザーをデバイスに追加することをお勧めします。Apstraがフル設定プッシュを実行した際にAAA認証または認可に失敗した場合は、手動でのリカバリー(設定プッシュ)が必要です。

AAA設定は、以下の2つの方法のいずれかで適用できます。

コンフィグレット(推奨)

コンフィグレットに設定を追加してから、ブループリントにインポートします。デバイスを追加してコンフィグレットを適用できるように、Apstra環境からローカル認証情報を利用できる必要があります。

注意:

Apstraサーバー、デバイスエージェント、またはNOSをアップグレードする前に、ブループリントからデバイスAAA/TACACSコンフィグレットを削除 する必要があります 。アップグレードが完了したら、再度適用できます。

ユーザー必須

コンフィグレットを使用する代わりに、デバイスを確認する前に設定を追加できるため、デバイスは Pristine Config の一部になります。詳細については、「 デバイス構成ライフサイクル」を参照してください。

ジュニパー Junos

注意:

Junosオフボックスシステムエージェントユーザーの認証情報は、常に有効で利用可能である必要があります。AAAフレームワークを使用する場合は、デバイスにローカルユーザーを追加し、Apstraオフボックスシステムエージェントに使用することをお勧めします。次のように、認証順序のJunos設定で常に「password」を先頭にしてください。

Cisco NX-OS

注意:

リモートユーザーがNX-OSデバイスから不規則に削除され、認証や許可に失敗する恐れがあります。デバイスを管理するためには、ユーザー(ロール「ネットワーク管理者」)がデバイス上に存在する必要があります。そうでない場合、エージェントのインストール、テレメトリ収集、デバイス設定などのApstra機能が失敗する可能性があります。唯一の既知の回避策は、ローカル認証を使用することです。

以下のNX-OS設定例は、Apstraソフトウェアで正しく動作することがテストされています。これは、認証と承認の両方を使用します。

Arista EOS

注意:

EOSデバイスにTACACS+ AAAが設定されている場合、Apstraサーバーからデバイスにファイルがコピーされている間、デバイスエージェントのアップグレードに失敗することがあります。これは、TACACS+がカスタムパスワードプロンプトを使用している場合によく発生します。このような障害を防止するには、アップグレードを含むデバイスエージェント操作に対してデバイス認証で管理者レベルのユーザー名とパスワードを使用するすべてのTACACS+ AAAを一時的に無効にします。

関連ドキュメント