ユーザーアクセス権限

ログインクラスのパーミッションフラグ

パーミッション フラグを使用して、動作モードのコマンドや、構成階層レベルおよび構成ステートメントへのアクセス権限をユーザーに付与します。ユーザーのログイン クラスのパーミッション フラグは、 [edit system login class] 階層レベルで設定します。特定のパーミッション フラグを指定すると、ユーザーはそのフラグに対応するコマンドと、構成階層レベルおよび構成ステートメントへのアクセス権限を取得します。すべてのコマンドと構成ステートメントへのアクセス権限を付与するには、 all パーミッション フラグを使用します。

permissions ステートメントは、表 1 にリストされているパーミッション フラグを 1 つ以上指定します。パーミッション フラグは累積されません。情報を表示するviewや構成モードに移行するconfigureなど、必要なすべてのパーミッション フラグをクラスごとに記述する必要があります。2 種類のパーミッション フォームが、構成の個別部分に対するユーザー アクセスを制御します。

• 「プレーン」フォーム—アクセス許可タイプに読み取り専用機能のみ提供します。たとえば、 interfaceです。

• -control フォーム - パーミッション タイプに読み取りと書き込み機能を提供します。たとえば、 interface-controlです。

構成階層レベルと構成ステートメントへの権限を許可するパーミッション フラグの場合、プレーン フォーム フラグはその構成への読み取り専用権限を付与します。たとえば、 interface パーミッションフラグは、 [edit interfaces] 階層レベルでの読み取り専用権限を付与します。 -control 形式の フラグは、その構成への読み取りおよび書き込みアクセスを許可します。たとえば、 interface-control フラグは、 [edit interfaces] 階層レベルでの読み取りおよび書き込みアクセスを許可します。

表1は、[edit system login class class-name]階層レベルでpermissionsステートメントを含めることで設定可能なログインクラスのパーミッションフラグを示しています。

パーミッション フラグによって、特定のアクセス権限セットが付与されます。各パーミッション フラグと、動作モードや設定モードのコマンド、およびそのフラグがアクセスを許可する構成階層レベルや構成ステートメントを併記します。

ログイン クラスに対する個々のコマンドとステートメント階層の許可および拒否

デフォルトでは、最上位の CLI コマンドおよび構成階層レベルは、関連するアクセス権限レベルを有しています。ユーザーは、アクセス権限のあるコマンドのみを実行し、アクセス権限のあるステートメントのみを表示および設定できます。ログイン クラスごとに、 permissions ステートメントで指定した権限レベルによって許可または拒否される動作モードおよび設定モードのコマンドおよびステートメント階層の使用を明示的に許可または拒否できます。

パーミッション フラグは、動作モードおよび設定モードのコマンドと、構成階層レベルおよびステートメントへのアクセス権限をユーザーに付与します。 [edit system login class] 階層レベルでユーザーのログイン クラスに特定のパーミッションフラグを指定することで、対応するコマンドや、構成階層レベルおよび構成ステートメントへのアクセス権限をユーザーに付与します。すべてのコマンドと構成ステートメントへのアクセス権限を付与するには、 all パーミッションフラグを使用します。

ログイン クラスに allow-commands、 deny-commands、 allow-configuration、 deny-configuration ステートメントを設定することで、コマンドおよびステートメントの使用を明示的に許可または拒否できます。ステートメントでは、拡張正規表現を使用して、クラスに割り当てられたユーザーに対して許可または拒否するコマンドとステートメントを定義します。

許可と拒否のステートメントを理解する。

トップレベルのCLIコマンドおよび設定ステートメントの各階層には、関連するアクセス権限レベルがあります。各ログインクラスでは、操作モードや設定モードのコマンド、および階層設定やステートメントの使用を、特権レベルによって明示的に許可または拒否することができます。ユーザーは、アクセス権限のあるコマンドのみを実行し、アクセス権限のあるステートメントのみを表示および設定できます。

各ログインクラスのアクセス権限は、[edit system login class class-name]階層レベルのpermissionsステートメントで指定された1つ以上のパーミッションフラグによって定義されます。さらに、拡張正規表現を定義することによって、特定のコマンドと設定階層の使用を許可または拒否することができます。ログインクラスの以下のステートメントを設定することで、正規表現の指定ができます。

• allow-commands および deny-commands—動作モードおよび設定モードコマンドへのアクセスを許可または拒否します。

• allow-configuration および deny-configuration—特定の設定階層へのアクセスを許可または拒否します。

  手記：

  これらのステートメントは、ゆっくりマッチングを行いますが、特にワイルドカードマッチングにおいては、より柔軟性があります。しかし、フルパスの正規表現やワイルドカードの表現が多数設定されていると、可能性のあるすべての文を評価することに非常に時間がかかり、パフォーマンスに悪影響を及ぼす可能性があります。

• allow-commands-regexps および deny-commands-regexps—正規表現の文字列を使用して、特定のコマンドへのアクセスを許可または拒否します。

• allow-configuration-regexps および deny-configuration-regexps—正規表現の文字列を使用して、特定の設定階層へのアクセスを許可または拒否します。

allow/deny-*ステートメントを使用してコマンドや設定ステートメントの階層を明示的に許可すると、permissionsステートメントで既に定義されている権限が追加されます。同様に、allow/deny-* ステートメントを使用してコマンドや設定ステートメントの階層を明示的に拒否すると、permissionsステートメントで既に定義されている権限が削除されます。

例えば、以下の設定では、 configure パーミッションにより、ログインクラスのユーザーが設定モードに入ることができます。さらに、 allow-configuration 式では、ユーザーが [edit system services] 階層レベルで設定を変更し、コミットすることができます。

同様に、以下の構成では、ログインクラスのユーザーは、 all 権限フラグが許可するすべての操作を実行できますが、 [edit system services] 階層レベルの構成を表示または変更できないことを除いています。

許可と拒否ステートメントのシンタックスを理解する。

allow/deny-*ステートメントは、各ログインクラスで1回のみ設定できます。ステートメントを設定する場合:

• 必要な数の正規表現を設定することができます。

• 正規表現は大文字と小文字を区別しません。

allow/deny-commands ステートメントは allow/deny-commands-regexps ステートメントと相互に排他的であり、allow/deny-configuration ステートメントは allow/deny-configuration-regexps ステートメントと相互に排他的です。例えば、同じログインクラスにallow-configurationとallow-configuration-regexpsの両方を設定することはできません。

コマンドへのアクセス権を定義するには、 allow-commands および deny-commands ステートメントを使用して拡張正規表現を指定します。独立した完全な式をそれぞれ括弧( )で囲み、パイプ( | )記号で式を区切ります。パイプ記号で結ばれた正規表現の間には、スペースを使用しないでください。完全な式は、二重引用符で囲まれています。

例えば：

allow-commands ステートメントで複雑な正規表現を指定する場合は、アンカーを使用する必要があります。例えば：

設定階層の一部にアクセス権限を定義するには、 allow-configuration および deny-configuration ステートメントで拡張正規表現を指定します。フルパスを括弧( )で囲み、パイプ( | )記号を使用して式を区切ります。パイプ記号で結ばれた正規表現の間には、スペースを使用しないでください。完全な式は、二重引用符で囲まれています。

例えば：

allow/deny-commands-regexps または allow/deny-configuration-regexps ステートメントを使用して拡張正規表現を指定する場合、それぞれの式を引用符(" ")で囲み、スペースで区切ってください。複数の式を亀甲括弧[ ]で囲みます。例えば：

set、log、countなどの修飾子は、マッチさせる正規表現文字列内ではサポートされていません。修飾子を使用した場合は、何もマッチしません。

正しい設定:

誤った設定:

許可と拒否ステートメントの優先とマッチングを理解する。

デフォルトでは、 allow-commands と allow-configuration の正規表現が deny-commands や deny-configuration の表現よりも優先されます。そのため、 allow-commands ステートメントと deny-commands ステートメントの両方に同じコマンドを設定すると、許可の操作が拒否の操作よりも優先されます。同様に、 allow-configuration と deny-configuration の両方のステートメントに同じステートメントを設定すると、許可の操作が拒否の操作よりも優先されます。

例えば、以下の設定では、testログインクラスのユーザーが、deny-commandsステートメントに同じコマンドが含まれていても、request system software addコマンドを使用してソフトウェアをインストールすることができます。

同様に、以下の設定では、testログインクラステストのユーザーは、deny-configurationステートメントに同じ設定階層が含まれていても、[edit system services]の設定階層を閲覧および変更することができます。

allow-commands文とdeny-commands文に2つの異なるバリエーションのコマンドがある場合は、最も長くマッチしたものが常に実行されます。以下の設定では、testログインクラスのユーザーは commit synchronize コマンドを実行できますが、commit コマンドは実行できません。これは、commit synchronizeがcommitとcommit synchronize間の最長一致であり、allow-commandsに指定されているためです。

以下の設定では、 test ログインクラスのユーザーが commit コマンドを実行できますが、 commit synchronize コマンドは実行できません。これは、 commit synchronize が commit と commit synchronizeの間で最も長くマッチし、 deny-commandsに指定されているためです。

他のステートメントとは対照的に、*-regexpsステートメントのデフォルト動作は、deny-commands-regexpsおよびdeny-configuration-regexps正規表現がallow-commands-regexpsおよびallow-configuration-regexps表現よりも優先されます。[edit system]階層レベルでregex-additive-logicステートメントを設定すると、allow-configuration-regexps正規表現がdeny-configuration-regexpsステートメントよりも優先されるようになります。ステートメントを設定することで、上位の設定階層を拒否した上で、特定のサブ階層へのアクセスのみをユーザーに許可することができます。

許可と拒否ステートメントルールを理解する。

allow/deny-commands、allow/deny-configuration、allow/deny-commands-regexps、およびallow/deny-configuration-regexpsステートメントは、ログインクラスのパーミッションよりも優先されます。これらのステートメントを設定する場合、以下のルールが適用されます。

• allow-commandsおよびdeny-commandsステートメントの正規表現には、commit、load、rollback、save、status、およびupdateコマンドを含めることもできます。

• ユーザーがrollbackパーミッションフラグを有効にしてrollbackコマンドを発行すると、allログインクラスのパーミッションビットが拡張正規表現よりも優先されます。

• 拡張正規表現を指定した場合、ユーザーは load override コマンドを発行できません。ユーザーが発行できるのは、 merge、 replace、および patch 設定コマンドのみです。

• 正規表現を表す際には、ワイルドカード文字*を使用することができます。ただし、正規表現の一部として使用する必要があります。 [ * ] や [ .* ] を唯一の式として使用することはできません。また、 allow-configuration ステートメントを (interfaces (description (|.*)) などの式で設定することはできません。これは allow-configuration .* と評価されるためです。

*-正規表現ステートメントの違いを理解する。

このセクションでは、 allow/deny-configuration ステートメントと allow/deny-configuration-regexps ステートメントの違いについて説明します。

allow/deny-configuration-regexps ステートメントは正規表現をトークンに分割し、それぞれを指定された設定のフルパスの各部分にマッチさせますが、allow/deny-configurationステートメントは完全な文字列とマッチさせます。allow/deny-configuration-regexpsステートメントでは、各文字列が正規表現である一連の文字列を設定し、文字列の用語の間にはスペースが入ります。このシンタックスは、非常に高速なマッチングを実現しますが、柔軟性に欠けます。ワイルドカード式を指定するには、マッチさせたいスペース区切りの文字列の各トークンに対してワイルドカードを設定する必要があります。そのため、これらのステートメントにワイルドカード式を使用するのが難しくなります。

例えば：

• allow-configuration-regexpsで1つのトークンにマッチする正規表現

  この例では、 options がステートメントの最初のトークンに対して唯一マッチする式であることを示しています。

  前述の設定は、以下のステートメントと一致します。

  • ポリシーオプション 条件をdynamic-db condition 設定します

  • ルーティングオプション をネクストホップ static-route 静的ルート設定します next-hop

  • セットイベントオプション 生成イベント event 時間間隔 seconds

  前述の設定は、以下のステートメントと一致しません。

  • システム ホスト-ネーム ホスト オプション

  • インターフェイス interface-name 説明 オプション

• allow-configuration-regexpsで3つのトークンにマッチする正規表現

  この例では、 ssh がステートメントの 3 番目のトークンに対して唯一マッチする式であることを示しています。

  前の例では、3 つのトークンにそれぞれ .*、 .*、 .*ssh が含まれています。

  前述の設定は、以下のステートメントと一致します。

  • システム ホスト-ネーム ホスト-ネームssh

  • システムサービス ssh

  • システムサービス アウトバウンド-ssh

  前述の設定は、以下のステートメントと一致しません。

  • インターフェイス interface-name 説明 ssh

deny-configuration-regexps ステートメントを使用するよりも、deny-configuration ステートメントを使用して設定アクセスを制限する方が簡単です。表 2 は、deny-configuration ステートメントと deny-configuration-regexps ステートメントの両方を異なる設定で使用して、特定の設定へのアクセスを制限するという同じ結果を得る方法を示しています。

[edit system]
login {
    class test {
        permissions configure;
         allow-configuration .*;
        deny-configuration .*xnm-ssl;
    }
}

[edit system]
login {
    class test {
        permissions configure;
         allow-configuration .*;
        deny-configuration-regexps ".* .* .*-ssl"";
    }
}

[edit system]
login {
    class test {
        permissions configure;
        allow-configuration .*;
        deny-configuration ".*ssh";
    }
}

[edit system]
login {
    class test {
        permissions configure;
        allow-configuration .*;
        deny-configuration-regexps ".*ssh";
        deny-configuration-regexps ".* .*ssh";
        deny-configuration-regexps ".* .* .*ssh";
    }
}

シンプルな設定を必要とする場合、 allow/deny-configuration ステートメントも有効ですが、 allow/deny-configuration-regexps ステートメントの方がパフォーマンスが高く、 allow/deny-configuration ステートメントで式を組み合わせる際にあった曖昧さを解消しています。

リモート認証サーバー上の正規表現を使用する。

拡張正規表現を使って、特定のユーザーに許可または拒否される運用モードや設定モードのコマンドや設定文、階層を指定することができます。これらの正規表現は、[edit system login class class-name]階層レベルのallow/deny-commands、allow/deny-configuration、allow/deny-commands-regexps、allow/deny-configuration-regexps ステートメントでローカルで指定します。認証サーバーの設定でジュニパーネットワークスのベンダー固有のTACACS+またはRADIUS属性を指定することで、これらの正規表現をリモートで指定します。ローカルとリモートの両方で認証パラメータを設定する場合、デバイスは、TACACS+RADIUS認証時に受け取った正規表現と、ローカルデバイスで定義された正規表現をマージします。

allow-commands、deny-commands、allow-configuration、または deny-configuration ステートメントを使用してローカル設定で複数の正規表現を指定する場合、正規表現を括弧内に設定し、パイプ記号で区切ります。完全な式を二重引用符で囲みます。例えば、以下のシンタックスで複数のallow-commandsパラメータを指定することができます。

RADIUS認証サーバーは、以下の属性とシンタックスを使用します。

TACACS+ 認証サーバーは、以下の属性とシンタックスを使用します。

allow-commands-regexps、deny-commands-regexps、allow-configuration-regexps、または deny-configuration-regexps ステートメントを使用してローカル設定で複数の正規表現を指定する場合は、正規表現を二重引用符で囲み、スペース演算子で区切って設定します。完全な式を角括弧で囲みます。例えば、以下のシンタックスで複数の許可コマンドパラメーターを指定することができます。

RADIUS認証サーバーは、以下の属性とシンタックスを使用します。

TACACS+ 認証サーバーは、以下の属性とシンタックスを使用します。

RADIUSやTACACS+サーバーは、個々の表現を別の行で指定する簡略化されたシンタックスをサポートしています。例えば、RADIUSサーバーのシンプルなシンタックスは次のとおりです。

同様に、TACACS+ サーバーのシンプルなシンタックスは次の通りです。

表 3 では、ローカル認証設定と TACACS+ サーバー認証設定を正規表現を使用して区別しています。

login {
    class local {
        permissions configure;
        allow-commands "(ping .*)|(traceroute .*)|(show .*)|(configure .*)|(edit)|(exit)|(commit)|(rollback .*)";
        deny-commands .*;
        allow-configuration "(interfaces .* unit 0 family ethernet-switching vlan mem.* .*)|(interfaces .* native.* .*)|(interfaces .* unit 0 family ethernet-switching interface-mo.* .*)|(interfaces .* unit .*)|(interfaces .* disable)|(interfaces .* description .*)|(vlans .* vlan-.* .*)"
        deny-configuration .*;
    }
}

user = remote {
    login = username
    service = junos-exec {
        allow-commands1 = "ping .*"
        allow-commands2 = "traceroute .*"
        allow-commands3 = "show .*"
        allow-commands4 = "configure"
        allow-commands5 = "edit"
        allow-commands6 = "exit"
        allow-commands7 = "commit"
        allow-commands8 = ".*xml-mode"
        allow-commands9 = ".*netconf.*"
        allow-commands10 = ".*need-trailer"
        allow-commands11 = "rollback.*"
        allow-commands12 = "junoscript"
        deny-commands1 = ".*"
        allow-configuration1 = "interfaces .* unit 0 family ethernet-switching vlan mem.* .*"
        allow-configuration2 = "interfaces .* native.* .*"
        allow-configuration3 = "interfaces .* unit 0 family ethernet-switching interface-mo.* .*"
        allow-configuration4 = "interfaces .* unit .*"
        allow-configuration5 = "interfaces .* disable"
        allow-configuration6 = "interfaces .* description .*"
        allow-configuration7 = "interfaces .*"
        allow-configuration8 = "vlans .* vlan-.* .*"
        deny-configuration1 = ".*"
        local-user-name = local-username
        user-permissions = "configure"
    }
}

正規表現の指定

コマンドおよび設定ステートメントの正規表現を、完全なコマンドまたはステートメントを実行するのと同じ方法で指定する必要があります。 表4 は、 [edit interfaces] および [edit vlans] ステートメント階層のアクセス権限を設定する正規表現の一覧です。

[edit]
user@host# set interfaces interface-name unit interface-unit-number

[edit system login class class-name]
user@host# set permissions configure
user@host# set deny-configuration "interfaces .* unit .*"

[edit]
user@host# set vlans vlan-name vlan-id vlan-id

[edit system login class class-name]
user@host# set permissions configure
user@host# set allow-configuration "vlans .* vlan-id .*"

正規表現演算子

表 5 は、運用モードと設定モードの許可または拒否に使用できる一般的な正規表現演算子の一覧です。

コマンド正規表現はPOSIX 1003.2で定義された拡張(最新)正規表現を実装します。

[edit system login class test]
user@host# set permissions configure
user@host# set allow-commands "(ping)|(traceroute)|(show system alarms)|(show system software)"
user@host# set deny-configuration "(access)|(access-profile)|(accounting-options)|(applications)|(apply-groups)|(bridge-domains)|(chassis)|(class-of-service)"

[edit system login class test]
user@host# set permissions interface
user@host# set permissions interface-control
user@host# set allow-commands "(^show) (log|interfaces|policer))|(^monitor)"

[edit system login class test]
user@host# set permissions interface
user@host# set allow-commands "(show interfaces$)"

[edit system login class test]
user@host# set permissions clear
user@host# set permissions configure
user@host# set permissions network
user@host# set permissions trace
user@host# set permissions view
user@host# set allow-configuration-regexps [ "interfaces [gx]e-.* unit [0-9]* description .*" ]

[edit system login class test]
user@host# set permissions all
user@host# set allow-commands "(clear)|(configure)"
user@host# deny-commands "(mtrace)|(start)|(delete)"

[edit system login class test]
user@host# set permissions configure
user@host# set deny-configuration "(system login class m*)"

[edit system login class test]
user@host# set permissions configure
user@host# set deny-configuration "(system login class m+)"

[edit system login class test]
user@host# set permissions configure
user@host# set deny-configuration "(system login class m.)"

[edit system login class test]
user@host# set permissions configure
user@host# set deny-configuration "(system login class m .*)"

正規表現の例

表 6 は、正規表現を指定する例として、[edit system ntp server] と [edit protocols rip] の 2 つの設定階層で設定オプションを許可するために使用される正規表現を示しています。

[edit system login class test]
set permissions configure
set allow-configuration-regexps [ "system ntp server .*" "system ntp server .* key .*" ]
set deny-configuration-regexps [ "system ntp server .* version .*" "system ntp server .* prefer" ]

[edit system login class test]
set permissions configure
set allow-configuration-regexps [ "system ntp server .*" "system ntp server .* version .*" ]
set deny-configuration-regexps [ "system ntp server .* key .*" "system ntp server .* prefer" ]

[edit system login class test]
set permissions configure
set allow-configuration-regexps [ "system ntp server .*" "system ntp server .* prefer" ];
set deny-configuration-regexps [ "system ntp server .* key .*" "system ntp server .* version .*" ]

[edit system login class test]
set permissions configure
set allow-configuration-regexps "protocols rip message-size .*"
set deny-configuration-regexps [ "protocols rip metric-in .*" "protocols rip route-timeout .*" "protocols rip update-interval .*" ]

[edit system login class test]
set permissions configure
set  allow-configuration-regexps "protocols rip metric-in .*"
set  deny-configuration-regexps [ "protocols rip message-size .*" "protocols rip route-timeout .*" "protocols rip update-interval .*" ]

[edit system login class test]
set permissions configure
set allow-configuration-regexps "protocols rip route-timeout .*"
set deny-configuration-regexps [ "protocols rip metric-in .*" "protocols rip message-size .*" "protocols rip update-interval .*" ]

[edit system login class test]
set permissions configure
set allow-configuration-regexps "protocols rip update-interval .*"
set deny-configuration-regexps [ "protocols rip metric-in .*" "protocols rip route-timeout .*" "protocols rip message-size .*" ]