TACACS+認証
Junos OS Evolved は、ネットワークデバイス上のユーザーの一元的な認証のためにTACACS+をサポートしています。デバイス上でTACACS+認証を使用するには、ネットワーク管理者が、ネットワーク上の1台以上のTACACS+サーバーの情報を設定する必要があります。また、デバイス上でTACACS+アカウンティングを設定し、LANにログインまたはログアウトするユーザーに関する統計データを収集し、TACACS+アカウンティングサーバーにデータを送信することもできます。
TACACS+ 認証の設定
TACACS+ 認証は、ネットワークデバイスへのアクセスを試みるユーザーを認証する方法です。
TACACS+ を設定するには、以下のタスクを実行します。
- TACACS+ サーバーの詳細を設定する
- TACACS+ を設定して管理インスタンスを使用する
- 複数のTACACS+ サーバーに同じ認証サービスを設定する
- ジュニパーネットワークスのベンダー固有のTACACS+ 属性を設定する
TACACS+ サーバーの詳細を設定する
デバイス上でTACACS+ 認証を使用するには、各TACACS+ サーバーの[edit system]階層レベルに1つのtacplus-serverステートメントを含めて、ネットワーク上の1つ以上のTACACS+ サーバーの情報を構成します。デバイスは、設定された順序でTACACS+サーバーにクエリーを実行します。プライマリサーバー(設定された最初のサーバー)が使用できない場合、デバイスは応答を受信するまで、リスト内の各サーバーに接続しようとします。
ネットワークデバイスは、TACACS+ 認証されたユーザーをローカルで定義されたユーザーアカウントまたはユーザーテンプレートアカウントにマッピングでき、これにより認証が決定されます。デフォルトでは、 Junos OS Evolved は、以下の場合に、TACACS+ 認証されたユーザーをユーザーテンプレートアカウント remoteに割り当てます(設定されている場合)。
-
認証されたユーザーは、ローカルデバイスにユーザーアカウントを設定していません。
-
TACACS+ サーバーは、ローカルユーザーテンプレートにユーザーを割り当てません。また、サーバーが割り当てるテンプレートはローカルデバイスでは設定されません。
TACACS+ サーバーは、認証済みユーザーを別のユーザーテンプレートに割り当て、そのユーザーに異なる管理権限を付与できます。ユーザーはCLIに同じログイン名を保持しますが、割り当てられたテンプレートからログインクラス、アクセス権限、有効なユーザーIDを継承します。TACACS+ 認証されたユーザーがローカルで定義されたユーザーアカウントまたはユーザーテンプレートにマッピングされておらず、 remote テンプレートが設定されていない場合、認証失敗します。
remoteユーザー名はJunos OS Evolvedでは特別なケースで、常に小文字にする必要があります。これは、リモートサーバーで認証されているが、デバイスにローカルで設定されたユーザーアカウントを持っていないユーザーのテンプレートとして機能します。Junos OS Evolvedは、ローカルで定義されたアカウントがない認証済みユーザーにremoteテンプレートの権限を適用します。remoteテンプレートにマッピングされたすべてのユーザーは、同じログインクラスにいます。
リモート認証は複数のデバイスで設定されるため、通常は設定グループ内で設定されます。ここで示す手順は、 globalと呼ばれる設定グループにあります。設定グループの使用はオプションです。
TACACS+ サーバーによる認証を設定するには:
TACACS+ を設定して管理インスタンスを使用する
デフォルトでは、 Junos OS Evolved は、デフォルトのルーティングインスタンスを介してTACACS+の認証、許可、アカウンティングパケットをルーティングします。また、デフォルト以外のVRFインスタンスの管理インターフェイスを介してTACACS+ パケットをルーティングすることもできます。
mgmt_junos管理インスタンスを介してTACACS+ パケットをルーティングするには:
-
mgmt_junos管理インスタンスを有効にします。[edit system] user@host# set management-instance
-
設定されている場合、TACACS+ 認証サーバーとTACACS+ アカウンティングサーバーに
routing-instance mgmt_junosステートメントを設定します。[edit system] user@host# set tacplus-server server-address routing-instance mgmt_junos user@host# set accounting destination tacplus server server-address routing-instance mgmt_junos
複数のTACACS+ サーバーに同じ認証サービスを設定する
[edit system tacplus-server]および[edit system tacplus-options]階層レベルでステートメントを含めることで、複数のTACACS+ サーバーに同じ認証サービスを設定できます。
複数のTACACS+サーバーに同じ認証サービスを割り当てるには:
以下の例は、複数のTACACS+ サーバーに同じ認証サービスを設定する方法を示しています。
[edit system]
tacplus-server {
10.2.2.2 secret "$ABC123"; ## SECRET-DATA
10.3.3.3 secret "$ABC123"; ## SECRET-DATA
}
tacplus-options {
service-name bob;
}
ジュニパーネットワークスのベンダー固有のTACACS+ 属性を設定する
Junos OS Evolved では、TACACS+ 認証されたユーザーをローカルで定義されたユーザーアカウントまたはユーザーテンプレートアカウントにマッピングでき、これにより認証が決定されます。また、TACACS+ サーバーでジュニパーネットワークス ベンダー固有の TACACS+ 属性を定義することで、ユーザーのアクセス権限をオプションで設定することもできます。TACACS+ サーバー設定ファイルの属性をユーザーごとに定義します。ネットワークデバイスは、ユーザーを認証した後、TACACS+ サーバーの認証要求を通じてこれらの属性を取得します。
これらの属性を指定するには、TACACS+ サーバー設定ファイルに以下のフォームの service ステートメントを含めます。
service = junos-exec {
local-user-name = <username-local-to-router>
allow-commands = "<allow-commands-regex>"
allow-configuration-regexps = "<allow-configuration-regex>"
deny-commands = "<deny-commands-regex>"
deny-configuration-regexps = "<deny-configuration-regex>"
}
serviceステートメントは、userステートメントまたはgroupステートメントで定義できます。
TACACS+認証プロファイルの定期更新の設定
認証にTACACS+サーバーを使用するように Junos OS Evolved を実行しているデバイスを設定すると、デバイスはユーザーにログイン情報を入力するよう求め、これはTACACS+サーバーによって検証されます。ユーザーの認証が正常に完了すると、ネットワークデバイスからTACACS+サーバーに認証要求が送信され、ユーザーの認証プロファイルが取得されます。認証プロファイルは、認証されたユーザーまたはデバイスのアクセス許可を指定します。
TACACS+サーバーは、認証REPLYメッセージの一部として認証プロファイルを送信します。TACACS+サーバーに設定されたリモートユーザーは、 Junos OS Evolvedを実行しているデバイスで設定されたローカルユーザーまたはユーザーテンプレートにマッピングされます。 Junos OS Evolved は、ユーザーのリモート認証プロファイルとローカルに設定された認証プロファイルを組み合わせ、認証プロファイルは[edit system login class]階層レベルで設定されます。
デフォルトでは、認証要求と応答メッセージの交換は、認証が成功した後に1回だけ行われます。 Junos OS Evolved がTACACS+サーバーからリモート認証プロファイルを定期的に取得し、ローカルに保存された認証プロファイルを更新するように、デバイスを設定できます。この定期的なリフレッシュにより、ユーザーが認証プロセスを再起動しなくても、認証パラメーターの変更がローカルデバイスに反映されます。
認証プロファイルの定期的な更新を有効にするには、ローカルデバイスがTACACS+サーバーでリモートに設定された認証プロファイルを確認する間隔を設定する必要があります。リモート認証プロファイルが変更された場合、デバイスはTACACS+サーバーおよびログインクラス階層の下で設定された認証プロファイルから認証プロファイルを取得します。デバイスは、リモートおよびローカルに設定された認証プロファイルを組み合わせて、ローカルに保存されている認証プロファイルを更新します。
更新時間の間隔は、 Junos OS Evolved を実行しているデバイス上でローカル、またはTACACS+サーバー上で直接設定できます。時間間隔は15分から1440分の範囲です。
以下のガイドラインを使用して、構成が優先される時間間隔を決定します。
- 更新時間の間隔がTACACS+サーバーのみ、または Junos OS Evolvedを実行しているデバイスでのみ構成されている場合、設定された値が有効になります。
-
更新時間の間隔がTACACS+サーバーと Junos OS Evolvedを実行しているデバイスの両方で構成されている場合、TACACS+サーバーに設定された値が優先されます。
-
TACACS+サーバーまたは Junos OS Evolvedを実行しているデバイスに更新時間の間隔が設定されていない場合、定期的な更新は行われません。
-
TACACS+サーバーに設定された更新時間の間隔が範囲外または無効な場合、ローカルで設定された更新時間間隔が有効になります。ローカルに更新時間の間隔が設定されていない場合、定期的な更新は行われません。
定期的な更新時間の間隔が設定された後、ユーザーがローカルデバイスから認証要求を送信する前に更新時間の間隔を変更した場合、更新された更新時間の間隔は次回の定期的な更新の後に有効になります。
例:システム認証用のTACACS+サーバーの設定
この例では、TACACS+サーバーを介したシステム認証を設定します。
要件
始める前に:
-
デバイスの初期設定を行います。お使いのデバイスの『スタートアップガイド』を参照してください。
-
ネットワーク上に少なくとも1つのTACACS+サーバーをセットアップします。
概要
この例では、IP アドレスが 172.16.98.1 の新しい TACACS+ サーバーを追加します。TACACS+サーバーの共有秘密パスワードをTacacssecret1として指定します。デバイスは、この秘密を暗号化された値として設定データベースに保存します。最後に、デバイスがTACACS+サーバーの要求で使用する送信元アドレスを指定します。ほとんどの場合、デバイスのループバックアドレス(この例では10.0.0.1)を使用することができます。
ネットワークデバイスでは、ローカルパスワード認証、TACACS+、RADIUSなど、複数のユーザー認証方法のサポートを設定できます。複数の認証方法を設定する際に、デバイスが異なる方法を試す順序に優先順位を付けることができます。この例では、まずTACACS+認証サービスを使用し、それが失敗した場合はローカルパスワード認証を試みるようにデバイスを設定します。
TACACS+が認証したユーザーは、ネットワークデバイス上のローカルユーザーアカウントまたはローカルユーザーテンプレートアカウントにマッピングする必要があり、これが認証を決定します。デフォルトでは、TACACS+ 認証されたユーザーがローカルユーザーアカウントまたは特定のユーザーテンプレートにマッピングされない場合、設定されていれば、ユーザーは remote ユーザーテンプレートに割り当てられます。この例では、 remote ユーザーテンプレートを設定します。
設定
手順
CLIクイックコンフィグレーション
この例を迅速に設定するには、以下のコマンドをコピーしてテキストファイルに貼り付け、改行を削除し、ネットワーク設定に一致させる必要がある詳細情報を変更し、コマンドを [edit] 階層レベルでCLIにコピーアンドペーストして、設定モードで commit を入力します。
set system tacplus-server 172.16.98.1 set system tacplus-server 172.16.98.1 secret Tacacssecret1 set system tacplus-server 172.16.98.1 source-address 10.0.0.1 set system authentication-order [tacplus password] set system login user remote class operator
ステップバイステップの手順
システム認証用にTACACS+サーバーを設定するには:
-
TACACS+サーバーを追加し、そのIPアドレスを設定します。
[edit system] user@host# set tacplus-server 172.16.98.1
-
TACACS+ サーバーの共有シークレット(パスワード)を指定します。
[edit system] user@host# set tacplus-server 172.16.98.1 secret Tacacssecret1
-
送信元アドレスとしてデバイスのループバックアドレスを指定します。
[edit system] user@host# set tacplus-server 172.16.98.1 source-address 10.0.0.1
-
デバイスの認証順序を指定し、
tacplusオプションを含めます。[edit system] user@host# set authentication-order [tacplus password]
remoteユーザーテンプレートとそのログインクラスを設定します。[edit system] user@host# set login user remote class operator
結果
設定モードで、 show system コマンドを入力して設定を確認します。出力に意図した設定が表示されない場合は、この例の設定手順を繰り返して修正します。
以下の出力には、この例に関連する設定階層の部分のみが含まれています。
[edit]
user@host# show system
login {
user remote {
class operator;
}
}
authentication-order [ tacplus password ];
tacplus-server {
172.16.98.1 {
secret "$9$ABC123"; ## SECRET-DATA
source-address 10.0.0.1;
}
}
デバイスの設定後、設定モードで commit を入力します。
ジュニパーネットワークスのベンダー固有のTACACS+属性
Junos OS Evolved は、TACACS+サーバー上のジュニパーネットワークスTACACS+のVSA(ベンダー固有属性)の設定に対応しています。 表1 は、サポートされているジュニパーネットワークスVSAの一覧です。
属性の一部は、POSIX 1003.2で定義されている拡張正規表現を受け入れます。正規表現にスペース、演算子、またはワイルドカード文字が含まれる場合は引用符で囲みます。詳細については、次を参照してください。
| 名前 |
説明 |
長さ |
文字列 |
|---|---|---|---|
|
|
デバイスにユーザーがログインする際にこのユーザーに割り当てられるユーザーテンプレート名を示します。 |
≥3 |
印刷可能なASCII文字を含む1つまたは複数のオクテット。 |
|
|
ユーザーのログインクラスのパーミッションビットで承認されたコマンドに加えて、ユーザーがコマンドを実行できるようにする拡張正規表現を含みます。 |
≥3 |
拡張正規表現の形式で印刷可能なASCII文字を含む、1つまたは複数のオクテット。 |
allow-commands-regexps |
ユーザーのログインクラスのパーミッションビットで承認されたコマンドに加えて、ユーザーがコマンドを実行できるようにする拡張正規表現を含みます。 |
≥3 |
拡張正規表現の形式で印刷可能なASCII文字を含む、1つまたは複数のオクテット。 |
|
|
ユーザーのログインクラスのパーミッションビットで承認されたステートメントに加えて、ユーザーが設定ステートメントを表示および変更できるようにする拡張正規表現を含みます。 |
≥3 |
拡張正規表現の形式で印刷可能なASCII文字を含む、1つまたは複数のオクテット。 |
allow-configuration-regexps |
ユーザーのログインクラスのパーミッションビットで承認されたステートメントに加えて、ユーザーが設定ステートメントを表示および変更できるようにする拡張正規表現を含みます。 |
≥3 |
拡張正規表現の形式で印刷可能なASCII文字を含む、1つまたは複数のオクテット。 |
|
|
ユーザーのログインクラスのパーミッションビットで承認されたコマンドを実行するユーザーパーミッションを拒否する拡張正規表現を含みます。 |
≥3 |
拡張正規表現の形式で印刷可能なASCII文字を含む、1つまたは複数のオクテット。 |
deny-commands-regexps |
ユーザーのログインクラスのパーミッションビットで承認されたコマンドを実行するユーザーパーミッションを拒否する拡張正規表現を含みます。 |
≥3 |
拡張正規表現の形式で印刷可能なASCII文字を含む、1つまたは複数のオクテット。 |
|
|
ユーザーのログインクラスのパーミッションビットで承認された設定ステートメントを表示または変更するユーザーパーミッションを拒否する拡張正規表現を含みます。 |
≥3 |
拡張正規表現の形式で印刷可能なASCII文字を含む、1つまたは複数のオクテット。 |
deny-configuration-regexps |
ユーザーのログインクラスのパーミッションビットで承認された設定ステートメントを表示または変更するユーザーパーミッションを拒否する拡張正規表現を含みます。 |
≥3 |
拡張正規表現の形式で印刷可能なASCII文字を含む、1つまたは複数のオクテット。 |
|
|
ユーザーパーミッションを指定するためにサーバーが使用する情報を含みます。
注:
TACACS+サーバーが |
≥3 |
印刷可能なASCII文字を含む1つまたは複数のオクテット。 アクセス権限レベルの概要を参照してください。 |
|
|
ユーザーの認証に使用される認証方法(ローカルデータベースまたはTACACS+サーバー)を示します。ローカルデータベースを使用してユーザーが認証される場合、属性の値には「local」が表示されます。TACACS+サーバーを使用してユーザーが認証される場合、属性の値には「remote」が表示されます。 |
≥5 |
印刷可能なASCII文字を含む1つまたは複数のオクテット。 |
|
|
確立されたセッションの送信元ポート番号を示します。 |
整数のサイズ |
整数 |
RADIUSまたはTACACS+サーバーで正規表現を使用してコマンドを許可または拒否する
Junos OS Evolved は、RADIUSおよびTACACS+認証ユーザーを、ローカルで定義されたユーザーアカウントまたはユーザーテンプレートアカウントにマッピングできます。これは、ユーザーのアクセス権限を定義します。また、オプションで、ジュニパーネットワークスのRADIUSおよびTACACS+ベンダー固有属性(VSA)をそれぞれの認証サーバーで定義することで、ユーザーの認証権限を設定することもできます。
ユーザーのログインクラスは、ユーザーが許可されている操作モードおよび設定モードコマンドと、ユーザーが設定のどのエリアを表示および変更できるかを決定する一連のパーミッションを定義します。また、ログインクラスは、パーミッションフラグが許可する機能に加えて、ユーザーに特定のコマンドを実行したり、設定の特定の領域を表示および変更する機能を許可または拒否する正規表現を定義することもできます。ログインクラスには、以下のステートメントを含めることで、ユーザー許可を定義できます。
-
permissions -
allow-commands -
allow-commands-regexps -
allow-configuration -
allow-configuration-regexps -
deny-commands -
deny-commands-regexps -
deny-configuration -
deny-configuration-regexps
同様に、RADIUSまたはTACACS+サーバー構成では、ジュニパーネットワークスVSAを使用して、ユーザーのアクセス権限を決定する特定のパーミッションまたは正規表現を定義できます。サポートされているRADIUSおよびTACACS+ VSAのリストについては、以下を参照してください。
RADIUSまたはTACACS+サーバーのユーザーパーミッションを、スペース区切りの値のリストとして定義できます。
-
RADIUSサーバーは、以下の属性と構文を使用します。
Juniper-User-Permissions += "flag1 flag2 flag3",
次に例を示します。
Juniper-User-Permissions += "interface interface-control configure",
-
TACACS+ サーバーは、以下の属性と構文を使用します。
user-permissions = "flag1 flag2 flag3"
次に例を示します。
user-permissions = "interface interface-control configure"
RADIUSまたはTACACS+サーバーは、単一の拡張正規表現(POSIX 1003.2で定義)を使用するジュニパーネットワークスVSAを定義して、ユーザーに特定のコマンドを実行したり、設定エリアを表示および変更する機能を許可または拒否することもできます。複数のコマンドまたは設定階層を括弧で囲み、パイプ記号を使用して区切ります。正規表現にスペース、演算子、またはワイルドカード文字が含まれる場合は引用符で囲みます。ローカルとリモートの両方で認証パラメータを設定する場合、デバイスは、TACACS+またはRADIUS認証時に受け取った正規表現を、ローカルデバイスで定義された正規表現とマージします。
-
RADIUSサーバーは、以下の属性と構文を使用します。
Juniper-Allow-Commands += "(cmd1)|(cmd2)|(cmdn)", Juniper-Deny-Commands += "(cmd1)|(cmd2)|(cmdn)", Juniper-Allow-Configuration += "(config1)|(config2)|(confign)", Juniper-Deny-Configuration += "(config1)|(config2)|(confign)",
次に例を示します。
Juniper-Allow-Commands += "(test)|(ping)|(quit)", Juniper-Deny-Commands += "(request)|(restart)", Juniper-Allow-Configuration += "(groups re0)|(system radius-server)", Juniper-Deny-Configuration += "(system radius-options)|(system accounting)",
-
TACACS+ サーバーは、以下の属性と構文を使用します。
allow-commands = "(cmd1)|(cmd2)|(cmdn)" deny-commands = "(cmd1)|(cmd2)|(cmdn)" allow-configuration = "(config1)|(config2)|(confign)" deny-configuration = "(config1)|(config2)|(confign)"
次に例を示します。
allow-commands = "(test)|(ping)|(quit)" deny-commands = "(request)|(restart)" allow-configuration = "(groups re0)|(system tacplus-server)" deny-configuration = "(system tacplus-options)|(system accounting)"
RADIUSおよびTACACS+サーバーは、ローカルデバイスで設定できる同じ *-regexps ステートメントに対応する属性の設定もサポートしています。 *-regexps TACACS+ 属性と *-Regexps RADIUS 属性は、以前の属性と同じ正規表現構文を使用しますが、変数で正規表現を設定できます。
-
RADIUSサーバーは、以下の属性と構文を使用します。
Juniper-Allow-Configuration-Regexps += "(config1)|(config2)|(confign)", Juniper-Deny-Configuration-Regexps += "(config1)|(config2)|(confign)",
-
TACACS+ サーバーは、以下の属性と構文を使用します。
allow-commands-regexps = "(cmd1)|(cmd2)|(cmdn)" deny-commands-regexps = "(cmd1)|(cmd2)|(cmdn)" allow-configuration-regexps = "(config1)|(config2)|(confign)" deny-configuration-regexps = "(config1)|(config2)|(confign)"
例えば、TACACS+サーバー構成では、以下の属性が定義されている場合があります。
allow-commands-regexps = "(show cli .*)|(ping 10.1.1..*)" deny-commands-regexps = "(configure .*)|(edit)|(commit)|(rollback .*)"
RADIUS または TACACS+ サーバーでは、個々の式を別の行で指定する簡略化された構文を使用して属性を定義することもできます。
RADIUSサーバーでは、以下の構文を使用して個々の正規表現を指定します。
Juniper-User-Permissions += "permission-flag1", Juniper-User-Permissions += "permission-flag2", Juniper-User-Permissions += "permission-flagn", Juniper-Allow-Commands += "cmd1", Juniper-Allow-Commands += "cmd2", Juniper-Allow-Commands += "cmdn", Juniper-Deny-Commands += "cmd1", Juniper-Deny-Commands += "cmd2", Juniper-Deny-Commands += "cmdn", Juniper-Allow-Configuration += "config1", Juniper-Allow-Configuration += "config2", Juniper-Allow-Configuration += "confign", Juniper-Deny-Configuration += "config1", Juniper-Deny-Configuration += "config2", Juniper-Deny-Configuration += "confign",
TACACS+ サーバーの場合、以下の構文を使用して個々の正規表現を指定します。
user-permissions1 = "permission-flag1" user-permissions2 = "permission-flag2" user-permissionsn = "permission-flagn" allow-commands1 = "cmd1" allow-commands2 = "cmd2" allow-commandsn = "cmdn" deny-commands1 = "cmd1" deny-commands2 = "cmd2" deny-commandsn = "cmdn" allow-configuration1 = "config1" allow-configuration2 = "config2" allow-configurationn = "confign" deny-configuration1 = "config1" deny-configuration2 = "config2" deny-configurationn = "confign"
-
TACACS+ サーバー構文では、数値 1 から n は一意である必要がありますが、連続している必要はありません。例えば、以下の構文が有効です。
allow-commands1="cmd1" allow-commands3="cmd3" allow-commands2="cmd2" deny-commands3="cmd3" deny-commands2="cmd2" deny-commands1="cmd1"
-
RADIUSまたはTACACS+サーバーは、個々の正規表現ラインの数に制限を課します。
-
show cli authorizationコマンドを発行すると、コマンド出力は、個別の行で個別表現を指定した場合でも、1行で正規表現を表示します。
ユーザーは、 show cli authorization 動作モードコマンドを発行することで、クラス、パーミッション、コマンドおよび構成認証を確認できます。
user@host> show cli authorization
認証パラメーターをネットワークデバイス上でローカルに設定し、RADIUSまたはTACACS+サーバー上でリモートで設定すると、デバイスは、TACACS+またはRADIUS認証時に受信した正規表現とローカルに設定された正規表現をマージします。最終表現に構文エラーが含まれている場合、全体的な結果は無効な正規表現になります。
TACACS+ システム アカウンティングの設定
デバイス上でTACACS+アカウンティングを設定し、LANにログインまたはログアウトするユーザーの統計データを収集し、そのデータをTACACS+アカウンティングサーバーに送信することができます。統計データは、一般的なネットワーク監視、使用パターンの分析と追跡、またはセッションの期間やアクセスしたサービスの種類に基づくユーザーへの課金に使用できます。
TACACS+ アカウンティングを設定するには、以下を指定します。
-
デバイスから統計データを受信するための1つ以上のTACACS+アカウンティングサーバー
-
収集するアカウンティング データの種類
TACACS+ アカウンティングと認証の両方に同じサーバーを使用することも、別々のサーバーを使用することも可能です。TACACS+ アカウンティング サーバーのリストを指定できます。デバイスは、設定された順序でサーバーにクエリーを実行します。プライマリサーバー(設定された最初のサーバー)が使用できない場合、デバイスは応答を受信するまで、リスト内の各サーバーに接続しようとします。
TACACS+ アカウンティングを有効にすると、TACACS+ クライアントとして機能するジュニパーネットワークスデバイスは、ソフトウェアログイン、設定変更、対話型コマンドなどのユーザーアクティビティについて TACACS+ サーバーに通知できるようになります。
TACACS+サーバーアカウンティングの設定
TACACS+ サーバー アカウンティングを設定するには: