ユーザーアクセス権限

ログインクラスのパーミッション フラグ

パーミッション フラグを使用して、動作モードのコマンドや、構成階層レベルおよび構成ステートメントへのアクセス権限をユーザーに付与します。ユーザーのログイン クラスのパーミッション フラグは、 [edit system login class] 階層レベルで設定します。特定のパーミッション フラグを指定すると、ユーザーはそのフラグに対応するコマンドと、構成階層レベルおよび構成ステートメントへのアクセス権限を取得します。すべてのコマンドと構成ステートメントへのアクセス権限を付与するには、 all パーミッション フラグを使用します。

permissions ステートメントでは、表 1 に示すパーミッション フラグを 1 つ以上指定します。パーミッション フラグは累積されません。情報を表示するviewや設定モードに入るconfigureなど、必要なすべてのパーミッションフラグをクラスごとにリストする必要があります。2 種類のパーミッション フォームが、構成の個別部分に対するユーザー アクセスを制御します。

• 「プレーン」フォーム - パーミッション タイプに読み取り専用機能のみ提供します。例は interfaceです。

• -control フォーム - パーミッション タイプに読み取りと書き込み機能を提供します。例は interface-controlです。

構成階層レベルと構成ステートメントへの権限を許可するパーミッション フラグの場合、プレーン フォーム フラグはその構成への読み取り専用権限を付与します。たとえば、 interface パーミッション フラグは、 [edit interfaces] 階層レベルへの読み取り専用権限を付与します。 -control 形式の フラグは、その構成への読み取りおよび書き込み権限を付与します。たとえば、 interface-control フラグは、 [edit interfaces] 階層レベルでの読み取りおよび書き込み権限を付与します。

表 1 は、[edit system login class class-name] 階層レベルに permissions ステートメントを含めることで設定できるログイン クラスのパーミッション フラグを示しています。

このパーミッション フラグによって、特定のアクセス権限セットが付与されます。各パーミッション フラグと、動作モードや設定モードのコマンド、およびそのフラグがアクセスを許可する構成階層レベルや構成ステートメントを併記します。

ログイン クラスに対する個々のコマンドとステートメント階層の許可および拒否

デフォルトでは、最上位の CLI コマンドおよび構成階層レベルは、関連するアクセス権限レベルを有しています。ユーザーは、アクセス権限のあるコマンドのみを実行し、アクセス権限のあるステートメントのみを表示および設定できます。ログイン クラスごとに、 permissions ステートメントで指定した権限レベルによって許可または拒否される動作モードおよび設定モードのコマンドおよびステートメント階層の使用を明示的に許可または拒否できます。

パーミッション フラグは、動作モードおよび設定モードのコマンドと、構成階層レベルおよびステートメントへのアクセス権限をユーザーに付与します。 [edit system login class] 階層レベルでユーザーのログイン クラスに特定のパーミッションフラグを指定することで、対応するコマンドや、構成階層レベルおよび構成ステートメントへのアクセス権限をユーザーに付与します。すべてのコマンドと構成ステートメントへのアクセス権限を付与するには、 all パーミッション フラグを使用します。

ログイン クラスに allow-commands、 deny-commands、 allow-configuration、および deny-configuration ステートメントを設定することで、コマンドおよびステートメントの使用を明示的に許可または拒否できます。ステートメントでは、拡張正規表現を使用して、クラスに割り当てられたユーザーに対して許可または拒否するコマンドとステートメントを定義します。

許可と拒否のステートメントを理解する。

最上位のCLIコマンドおよび設定ステートメントの各階層には、それぞれに関連付けられたアクセス権限レベルがあります。各ログインクラスでは、操作モードや設定モードのコマンド、および階層設定やステートメントの使用を、特権レベルによって明示的に許可または拒否することができます。ユーザーは、アクセス権限のあるコマンドのみを実行し、アクセス権限のあるステートメントのみを表示および設定できます。

各ログインクラスのアクセス権限は、[edit system login class class-name]階層レベルの permissions ステートメントで指定された1つ以上のパーミッションフラグによって定義されます。さらに、拡張正規表現を定義することによって、特定のコマンドと設定階層の使用を許可または拒否することができます。ログインクラスの以下のステートメントを設定することで、正規表現を指定できます。

• allow-commands および deny-commands:動作モードおよび設定モードのコマンドへのアクセスを許可または拒否します。

• allow-configuration および deny-configuration - 特定の設定階層へのアクセスを許可または拒否します。

  手記：

  これらのステートメントは、ゆっくりマッチングを行いますが、特にワイルドカードマッチングにおいては、より柔軟性があります。しかし、フルパスの正規表現やワイルドカードの表現が多数設定されていると、可能性のあるすべての文を評価することに非常に時間がかかり、パフォーマンスに悪影響を及ぼす可能性があります。

• allow-commands-regexps および deny-commands-regexps - 正規表現の文字列を使って、特定のコマンドへのアクセスを許可または拒否することができます。

• allow-configuration-regexps および deny-configuration-regexps - 正規表現の文字列を使用して、特定の設定階層へのアクセスを許可または拒否できます。

allow/deny-*ステートメントを使用してコマンドや設定ステートメントの階層を明示的に許可すると、permissionsステートメントですでに定義されている権限が追加されます。同様に、allow/deny-*ステートメントを用いてコマンドや設定ステートメントの階層を明示的に拒否すると、permissionsステートメントで既に定義されている権限が削除されます。

例えば、以下の設定では、 configure 権限により、ログインクラスのユーザーが設定モードに入ることができます。さらに、 allow-configuration 式を使用すると、ユーザーは [edit system services] 階層レベルで設定を変更し、コミットすることができます。

同様に、以下の構成では、ログインクラスのユーザーは、[edit system services]階層レベルの構成を表示または変更できないことを除いて、all パーミッションフラグで許可されるすべての操作を実行できます。

許可と拒否ステートメントのシンタックスを理解する。

allow/deny-*ステートメントの設定は、各ログインクラスで1回のみ可能です。ステートメントを設定する場合:

• 必要な数の正規表現を設定することができます。

• 正規表現では大文字と小文字は区別されません

allow/deny-commands ステートメントは、allow/deny-commands-regexps ステートメントと相互に排他的であり、allow/deny-configurationステートメントは、allow/deny-configuration-regexpsステートメントと相互に排他的です。例えば、同じログインクラスにallow-configurationとallow-configuration-regexpsの両方を設定することはできません。

コマンドへのアクセス権を定義するには、 allow-commands および deny-commands ステートメントを使用して拡張正規表現を指定します。独立した完全な式をそれぞれ括弧( )で囲み、パイプ( | )記号で式を区切ります。パイプ記号で結ばれた正規表現の間には、スペースを使用しないでください。完全な式は、二重引用符で囲まれています。

例えば：

allow-commands ステートメントで複雑な正規表現を指定する際に、アンカーを使用してください。例えば：

設定階層の一部にアクセス権限を定義するには、 allow-configuration および deny-configuration ステートメントで拡張正規表現を指定します。フルパスを括弧( )で囲み、パイプ( | )記号を使用して式を区切ります。パイプ記号で結ばれた正規表現の間には、スペースを使用しないでください。完全な式は、二重引用符で囲まれています。

例えば：

allow/deny-commands-regexpsまたはallow/deny-configuration-regexpsステートメントを使用して拡張正規表現を指定する場合、それぞれの式を引用符(" ")で囲み、スペースで区切ってください。複数の式を亀甲括弧[ ]で囲みます。例えば：

set、log、count などの修飾子は、マッチさせる正規表現文字列内ではサポートされていません。修飾子を使用した場合は、何もマッチしません。

正しい設定:

誤った設定:

許可と拒否ステートメントの優先とマッチングを理解する

デフォルトでは、 allow-commands および allow-configuration 正規表現が、 deny-commands および deny-configuration 表現よりも優先されます。そのため、 allow-commands ステートメントと deny-commands ステートメントの両方に同じコマンドを設定すると、許可の操作が拒否の操作よりも優先されます。同様に、 allow-configuration ステートメントと deny-configuration ステートメントの両方に同じステートメントを設定すると、許可の操作が拒否の操作よりも優先されます。

例えば、以下の設定では、deny-commands ステートメントに同じコマンドが含まれていても、test ログインクラスのユーザーが request system software add コマンドを使用してソフトウェアをインストールすることができます。

同様に、以下の設定では、deny-configuration ステートメントに同じ設定階層が含まれていても、test ログインクラステストのユーザーが、[edit system services]設定階層を表示および変更することができます。

allow-commands ステートメントと deny-commands ステートメントに 2 つの異なるバリエーションのコマンドがある場合は、最も長くマッチしたものが常に実行されます。以下の設定では、test ログインクラスのユーザーが commit synchronize コマンドを実行できますが、commit コマンドは実行できません。これは、commit synchronize が commit と commit synchronize の最長一致であり、allow-commands に指定されているためです。

以下の設定では、 test ログインクラスのユーザーが commit コマンドを実行できますが、 commit synchronize コマンドは実行できません。これは、 commit synchronize が commit と commit synchronize の最長一致であり、 deny-commands に指定されているためです。

他のステートメントとは対照的に、*-regexps ステートメントのデフォルト動作は、deny-commands-regexps正規表現とdeny-configuration-regexps正規表現がallow-commands-regexps表現とallow-configuration-regexps表現よりも優先されます。[edit system]階層レベルで regex-additive-logic ステートメントを設定すると、allow-configuration-regexps正規表現が deny-configuration-regexps ステートメントよりも優先されるようになります。ステートメントを設定することで、上位の設定階層を拒否した上で、特定のサブ階層へのアクセスのみをユーザーに許可することができます。

許可と拒否ステートメントルールを理解する。

allow/deny-commands、allow/deny-configuration、allow/deny-commands-regexps、および allow/deny-configuration-regexps ステートメントは、ログインクラスのパーミッションよりも優先されます。これらのステートメントを設定する場合、以下のルールが適用されます。

• allow-commands および deny-commands ステートメントの正規表現には、commit、load、rollback、save、status、update コマンドを含めることもできます。

• ユーザーがrollbackパーミッションフラグを有効にしてrollbackコマンドを発行すると、allログインクラスのパーッションビットが、拡張された正規表現よりも優先されます。

• 拡張正規表現を指定した場合、ユーザーは load override コマンドを発行できません。ユーザーが発行できるのは、 merge、 replace、および patch 設定コマンドのみです。

• 正規表現を表す際には、ワイルドカード文字*を使用することができます。ただし、正規表現の一部として使用する必要があります。[ * ] または [ .* ] を唯一の式として使用することはできません。また、allow-configuration ステートメントに allow-configuration .* と評価されるため、(interfaces (description (|.*)) などの式を設定することはできません。

*-正規表現ステートメントの違いを理解する。

このセクションでは、 allow/deny-configuration ステートメントと allow/deny-configuration-regexps ステートメントの違いについて説明します。

allow/deny-configuration-regexps ステートメントは、正規表現をトークンに分割し、それぞれを指定された設定のフルパスの各部分にマッチさせますが、allow/deny-configuration ステートメントは完全な文字列とマッチさせます。allow/deny-configuration-regexps ステートメントでは、各文字列が正規表現である一連の文字列を設定し、文字列の用語の間にはスペースが入ります。このシンタックスは、非常に高速なマッチングを実現しますが、柔軟性に欠けます。ワイルドカード式を指定するには、マッチさせたいスペース区切りの文字列の各トークンに対してワイルドカードを設定する必要があります。そのため、これらのステートメントにワイルドカード式を使用が難しくなります。

例えば：

• allow-configuration-regexpsで1つのトークンにマッチする正規表現

  この例では、ステートメントの最初のトークンに対して options が唯一マッチする式であることを示しています。

  前述の設定は、以下のステートメントとマッチします。

  • ポリシーオプション 条件の設定 condition dynamic-db

  • ルーティングオプション 静的ルート static-route ネクストホップの設定 next-hop

  • セットイベントオプション イベントを生成 event 時間間隔 seconds

  前述の設定は、以下のステートメントと一致しません。

  • システム ホスト-ネーム ホストオプション

  • インターフェイス interface-name 記述 オプション

• allow-configuration-regexpsで3つのトークンにマッチする正規表現

  この例では、ステートメントの 3 つ目のトークンに対して、 ssh が唯一マッチする式であることを示しています。

  前の例では、3 つのトークンにそれぞれ .*、 .*、および .*ssh が含まれています。

  前述の設定は、以下のステートメントとマッチします。

  • システム ホスト-ネーム ホスト-ネームssh

  • システムサービス ssh

  • システムサービス アウトバウンド-ssh

  前述の設定は、以下のステートメントと一致しません。

  • インターフェイス interface-name 説明 SSH

設定アクセスを制限するために deny-configuration ステートメントを使用する方が、 deny-configuration-regexps ステートメントを使用するよりも簡単です。 表 2 は、異なる設定で deny-configuration ステートメントと deny-configuration-regexps ステートメントの両方を使用して、特定の設定へのアクセスを制限するという同じ結果を達成する方法を示しています。

[edit system]
login {
    class test {
        permissions configure;
         allow-configuration .*;
        deny-configuration .*xnm-ssl;
    }
}

[edit system]
login {
    class test {
        permissions configure;
         allow-configuration .*;
        deny-configuration-regexps ".* .* .*-ssl"";
    }
}

[edit system]
login {
    class test {
        permissions configure;
        allow-configuration .*;
        deny-configuration ".*ssh";
    }
}

[edit system]
login {
    class test {
        permissions configure;
        allow-configuration .*;
        deny-configuration-regexps ".*ssh";
        deny-configuration-regexps ".* .*ssh";
        deny-configuration-regexps ".* .* .*ssh";
    }
}

シンプルな設定を必要とする場合、 allow/deny-configuration ステートメントも有効ですが、 allow/deny-configuration-regexps ステートメントの方がパフォーマンスが高く、 allow/deny-configuration ステートメントで式を組み合わせる際にあった曖昧さを解消できます。

リモート認証サーバーでの正規表現の使用

拡張正規表現を使って、特定のユーザーに許可または拒否される運用モードや設定モードのコマンドや設定文、階層を指定することができます。これらの正規表現は、[edit system login class class-name]階層レベルの allow/deny-commands、allow/deny-configuration、allow/deny-commands-regexps、および allow/deny-configuration-regexps ステートメントでローカルで指定します。認証サーバーの設定でジュニパーネットワークスベンダー固有のTACACS+またはRADIUS属性を指定することで、これらの正規表現をリモートで指定します。ローカルとリモートの両方で認証パラメータを設定する場合、デバイスは、TACACS+RADIUS認証時に受け取った正規表現と、ローカルデバイスで定義された正規表現をマージします。

allow-commands、deny-commands、allow-configuration、または deny-configuration ステートメントを使用してローカル設定で複数の正規表現を指定する場合、正規表現を括弧内に設定し、パイプ記号で区切ります。完全な式を二重引用符で囲みます。例えば、以下のシンタックスで複数の allow-commands パラメーターを指定できます。

RADIUS認証サーバーは、以下の属性とシンタックスを使用します。

TACACS+ 認証サーバーは、以下の属性とシンタックスを使用します。

allow-commands-regexps、deny-commands-regexps、allow-configuration-regexps、または deny-configuration-regexps ステートメントを使用してローカル構成で複数の正規表現を指定する場合は、正規表現を二重引用符で囲み、スペース演算子で区切って設定します。完全な式を正方形で囲みます。例えば、以下のシンタックスで複数の許可コマンドパラメーターを指定することができます。

RADIUS認証サーバーは、以下の属性とシンタックスを使用します。

TACACS+ 認証サーバーは、以下の属性とシンタックスを使用します。

RADIUSおよびTACACS+サーバーは、個々の表現を別の行で指定する簡略化されたシンタックスもサポートしています。例えば、RADIUSサーバーのシンプルなシンタックスは次のとおりです。

同様に、TACACS+ サーバーのシンプルなシンタックスは次のとおりです。

表 3 は、ローカル認証設定と TACACS+ サーバー認証設定を正規表現を使用して区別しています。

login {
    class local {
        permissions configure;
        allow-commands "(ping .*)|(traceroute .*)|(show .*)|(configure .*)|(edit)|(exit)|(commit)|(rollback .*)";
        deny-commands .*;
        allow-configuration "(interfaces .* unit 0 family ethernet-switching vlan mem.* .*)|(interfaces .* native.* .*)|(interfaces .* unit 0 family ethernet-switching interface-mo.* .*)|(interfaces .* unit .*)|(interfaces .* disable)|(interfaces .* description .*)|(vlans .* vlan-.* .*)"
        deny-configuration .*;
    }
}

user = remote {
    login = username
    service = junos-exec {
        allow-commands1 = "ping .*"
        allow-commands2 = "traceroute .*"
        allow-commands3 = "show .*"
        allow-commands4 = "configure"
        allow-commands5 = "edit"
        allow-commands6 = "exit"
        allow-commands7 = "commit"
        allow-commands8 = ".*xml-mode"
        allow-commands9 = ".*netconf.*"
        allow-commands10 = ".*need-trailer"
        allow-commands11 = "rollback.*"
        allow-commands12 = "junoscript"
        deny-commands1 = ".*"
        allow-configuration1 = "interfaces .* unit 0 family ethernet-switching vlan mem.* .*"
        allow-configuration2 = "interfaces .* native.* .*"
        allow-configuration3 = "interfaces .* unit 0 family ethernet-switching interface-mo.* .*"
        allow-configuration4 = "interfaces .* unit .*"
        allow-configuration5 = "interfaces .* disable"
        allow-configuration6 = "interfaces .* description .*"
        allow-configuration7 = "interfaces .*"
        allow-configuration8 = "vlans .* vlan-.* .*"
        deny-configuration1 = ".*"
        local-user-name = local-username
        user-permissions = "configure"
    }
}

正規表現の指定

コマンドおよび設定ステートメントの正規表現を、完全なコマンドまたはステートメントを実行するのと同じ方法で指定する必要があります。 表 4 に、 [edit interfaces] および [edit vlans] ステートメント階層のアクセス権限を設定する正規表現を示します。

[edit]
user@host# set interfaces interface-name unit interface-unit-number

[edit system login class class-name]
user@host# set permissions configure
user@host# set deny-configuration "interfaces .* unit .*"

[edit]
user@host# set vlans vlan-name vlan-id vlan-id

[edit system login class class-name]
user@host# set permissions configure
user@host# set allow-configuration "vlans .* vlan-id .*"

正規表現演算子

表 5 に、運用モードと設定モードの許可または拒否に使用できる一般的な正規表現演算子を示します。

コマンド正規表現はPOSIX 1003.2で定義された拡張(最新)正規表現を実装します。

[edit system login class test]
user@host# set permissions configure
user@host# set allow-commands "(ping)|(traceroute)|(show system alarms)|(show system software)"
user@host# set deny-configuration "(access)|(access-profile)|(accounting-options)|(applications)|(apply-groups)|(bridge-domains)|(chassis)|(class-of-service)"

[edit system login class test]
user@host# set permissions interface
user@host# set permissions interface-control
user@host# set allow-commands "(^show) (log|interfaces|policer))|(^monitor)"

[edit system login class test]
user@host# set permissions interface
user@host# set allow-commands "(show interfaces$)"

[edit system login class test]
user@host# set permissions clear
user@host# set permissions configure
user@host# set permissions network
user@host# set permissions trace
user@host# set permissions view
user@host# set allow-configuration-regexps [ "interfaces [gx]e-.* unit [0-9]* description .*" ]

[edit system login class test]
user@host# set permissions all
user@host# set allow-commands "(clear)|(configure)"
user@host# deny-commands "(mtrace)|(start)|(delete)"

[edit system login class test]
user@host# set permissions configure
user@host# set deny-configuration "(system login class m*)"

[edit system login class test]
user@host# set permissions configure
user@host# set deny-configuration "(system login class m+)"

[edit system login class test]
user@host# set permissions configure
user@host# set deny-configuration "(system login class m.)"

[edit system login class test]
user@host# set permissions configure
user@host# set deny-configuration "(system login class m .*)"

正規表現の例

表 6 に、正規表現を指定する例として、2 つの設定階層([edit system ntp server] と [edit protocols rip])の設定オプションを許可するために使用される正規表現を示します。

[edit system login class test]
set permissions configure
set allow-configuration-regexps [ "system ntp server .*" "system ntp server .* key .*" ]
set deny-configuration-regexps [ "system ntp server .* version .*" "system ntp server .* prefer" ]

[edit system login class test]
set permissions configure
set allow-configuration-regexps [ "system ntp server .*" "system ntp server .* version .*" ]
set deny-configuration-regexps [ "system ntp server .* key .*" "system ntp server .* prefer" ]

[edit system login class test]
set permissions configure
set allow-configuration-regexps [ "system ntp server .*" "system ntp server .* prefer" ];
set deny-configuration-regexps [ "system ntp server .* key .*" "system ntp server .* version .*" ]

[edit system login class test]
set permissions configure
set allow-configuration-regexps "protocols rip message-size .*"
set deny-configuration-regexps [ "protocols rip metric-in .*" "protocols rip route-timeout .*" "protocols rip update-interval .*" ]

[edit system login class test]
set permissions configure
set  allow-configuration-regexps "protocols rip metric-in .*"
set  deny-configuration-regexps [ "protocols rip message-size .*" "protocols rip route-timeout .*" "protocols rip update-interval .*" ]

[edit system login class test]
set permissions configure
set allow-configuration-regexps "protocols rip route-timeout .*"
set deny-configuration-regexps [ "protocols rip metric-in .*" "protocols rip message-size .*" "protocols rip update-interval .*" ]

[edit system login class test]
set permissions configure
set allow-configuration-regexps "protocols rip update-interval .*"
set deny-configuration-regexps [ "protocols rip metric-in .*" "protocols rip route-timeout .*" "protocols rip message-size .*" ]