사용자 액세스 권한

로그인 클래스 권한 플래그

권한 플래그를 사용하여 사용자에게 운영 모드 명령 및 구성 계층 수준과 문에 대한 액세스 권한을 부여할 수 있습니다. 계층 수준에서 사용자의 로그인 클래스에 대한 권한 플래그를 구성합니다. [edit system login class] 특정 권한 플래그를 지정할 때, 사용자는 명령과 해당 플래그에 해당하는 구성 계층 수준 및 문에 대한 액세스 권한을 갖습니다. 모든 명령 및 구성 문에 대한 액세스 권한을 부여하려면 권한 플래그를 all 사용합니다.

명령문은 permissions 표 1에 나열된 하나 이상의 권한 플래그를 지정합니다. 권한 플래그는 누적되지 않습니다. 각 클래스의 경우, 정보 표시 및 configure 구성 모드 진입을 포함하여 view 필요한 모든 권한 플래그를 나열해야 합니다. 두 가지 형태의 권한이 구성의 개별 부분에 대한 사용자의 액세스를 제어합니다.

• "일반" 형태 - 해당 권한 유형에 대한 읽기 전용 기능을 제공합니다. 예를 들면 입니다 interface.

• -control form - 해당 권한 유형에 대한 읽기 및 쓰기 기능을 제공합니다. 예를 들면 입니다 interface-control.

구성 계층 수준 및 문에 대한 액세스를 부여하는 권한 플래그의 경우, 일반 형태 플래그가 해당 구성에 대한 읽기 전용 권한을 부여합니다. 예를 들어, interface 권한 플래그는 계층 수준에 대한 읽기 전용 액세스 권한을 부여합니다.[edit interfaces] 플래그의 형태는 -control 해당 구성에 대한 읽기 쓰기 액세스 권한을 부여합니다. 예를 들어, interface-control 플래그는 계층 수준에 대한 읽기-쓰기 액세스 권한을 부여합니다.[edit interfaces]

표 1 에는 계층 수준에서 문을 포함하여 permissions 구성할 수 있는 로그인 클래스 권한 플래그가 나와 있습니다.[edit system login class class-name]

권한 플래그는 특정 세트의 액세스 권한을 부여합니다. 각 권한 플래그는 운영 모드 또는 구성 모드 명령 및 플래그가 액세스 권한을 부여하는 구성 계층 수준과 문과 함께 나열됩니다.

로그인 클래스에 대한 개별 명령과 문 계층 허용 및 거부

기본적으로 모든 최상위 CLI 명령 및 구성 계층 수준은 관련 액세스 권한 수준을 갖습니다. 사용자는 이러한 명령만 실행할 수 있으며, 액세스 권한이 있는 명령문만 보고 구성할 수 있습니다. 각 로그인 클래스에 대해 운영 모드 및 구성 모드 명령과 문 계층의 사용을 명시적으로 허용하고 거부할 수 있으며, 그렇지 않으면 문에 permissions 지정된 권한 수준에 의해 허용되거나 거부될 수 있습니다.

권한 플래그는 운영 모드 및 구성 모드 명령과 구성 계층 수준 및 문에 대한 사용자 액세스 권한을 부여합니다. 계층 수준에서 [edit system login class] 사용자의 로그인 클래스에 대한 특정 권한 플래그를 지정함으로써, 해당 명령 및 구성 계층 수준 및 문에 대한 사용자 액세스 권한을 부여할 수 있습니다. 모든 명령 및 구성 문에 대한 액세스 권한을 부여하려면 권한 플래그를 all 사용합니다.

로그인 클래스에 대해 , deny-commands, allow-configuration및 deny-configuration 문을 구성allow-commands하여 명령과 문의 사용을 명시적으로 허용하거나 거부할 수 있습니다. 문에서 확장 정규 표현을 사용하여 클래스에 할당된 사용자를 위해 어떤 명령과 문을 허용하거나 거부할지 여부를 정의합니다.

허용 및 거부 명령문에 대한 이해

각 최상위 수준 CLI 명령 및 구성 명령문 계층 구조에는 이와 관련된 액세스 권한 수준이 있습니다. 각 로그인 클래스는 운영 모드 및 구성 모드 명령과 구성 계층 및 명령문의 사용을 명시적으로 허용하거나 거부할 수 있습니다. 사용자는 이러한 명령만 실행할 수 있으며, 액세스 권한이 있는 명령문만 보고 구성할 수 있습니다.

각 로그인 클래스에 대한 액세스 권한은 계층 수준에서 문에 permissions 지정된 하나 이상의 권한 플래그로 정의됩니다. [edit system login class class-name] 또한 확장된 정규 표현식을 정의하여 특정 명령 및 구성 계층의 사용을 허용하거나 거부할 수 있습니다. 로그인 클래스에 대해 다음 문을 구성하여 정규 표현식을 지정할 수 있습니다.

• allow-commands 그리고 deny-commands—운영 모드 및 구성 모드 명령에 대한 액세스를 허용하거나 거부합니다.

• allow-configuration 및 deny-configuration—특정 구성 계층에 대한 액세스를 허용하거나 거부합니다.

  참고:

  이러한 명령문은 특히 와일드카드 매치에서 더 유연하고 더 느린 매치를 수행합니다. 그러나 다수의 전체 경로 정규 표현식 또는 와일드카드 표현식이 구성된 경우 가능한 모든 명령문을 평가하는 데 매우 오랜 시간이 소요되어 성능에 부정적인 영향을 미칠 수 있습니다.

• allow-commands-regexps 및 deny-commands-regexps—정규 표현식 문자열을 사용하여 특정 명령에 대한 액세스를 허용하거나 거부합니다.

• allow-configuration-regexps 및 deny-configuration-regexps—정규 표현식 문자열을 사용하여 특정 구성 계층에 대한 액세스를 허용하거나 거부합니다.

명령문을 사용하여 allow/deny-* 명령 및 구성 문 계층 구조를 명시적으로 허용하면 명령문이 이미 정의한 권한 permissions 에 추가됩니다. 마찬가지로, 명령문을 사용하여 명령 및 구성 문 계층 구조를 allow/deny-* 명시적으로 거부하면 문이 permissions 이미 정의한 권한이 제거됩니다.

예를 들어, 다음 구성에서 권한을 configure 사용하면 로그인 클래스의 사용자가 구성 모드로 들어갈 수 있습니다. 또한 allow-configuration 이 식을 통해 사용자는 계층 수준에서 [edit system services] 구성을 수정하고 커밋할 수 있습니다.

마찬가지로, 다음 구성에서 로그인 클래스 사용자는 계층 수준에서 구성을 보거나 수정할 수 없다는 점을 제외하고 권한 플래그가 all 허용하는 모든 작업을 수행할 수 있습니다.[edit system services]

허용 및 거부 문 구문에 대한 이해

각 로그인 클래스에서 한 번만 문을 구성할 allow/deny-* 수 있습니다. 명령문을 구성할 때:

• 필요한 만큼 정규 표현식을 구성할 수 있습니다.

• 정규 표현식은 대소문자를 구분하지 않음

문은 allow/deny-commands 문과 allow/deny-commands-regexps 상호 배타적이며, 문은 allow/deny-configuration 문과 allow/deny-configuration-regexps 상호 배타적입니다. 예를 들어, 동일한 로그인 클래스에서 및 모두 allow-configuration-regexps 를 구성할 allow-configuration 수 없습니다.

명령에 대한 액세스 권한을 정의하려면, and deny-commands 문을 사용하여 확장된 allow-commands 정규 표현식을 지정합니다. 각각의 완전한 독립형 식을 괄호( )로 묶고 파이프( | ) 기호를 사용하여 식을 구분합니다. 파이프 기호로 연결된 정규 표현식 사이에는 공백을 사용하지 마십시오. 완전한 표현식은 큰따옴표로 묶입니다.

예를 들면 다음과 같습니다.

명령문으로 복잡한 정규 표현식을 지정할 때는 allow-commands 앵커를 사용해야 합니다. 예를 들면 다음과 같습니다.

구성 계층의 일부에 대한 액세스 권한을 정의하려면, and deny-configuration 문에 확장 정규 표현식을 allow-configuration 지정합니다. 전체 경로를 괄호( )로 묶고 파이프( | ) 기호를 사용하여 식을 구분합니다. 파이프 기호로 연결된 정규 표현식 사이에는 공백을 사용하지 마십시오. 완전한 표현식은 큰따옴표로 묶입니다.

예를 들면 다음과 같습니다.

or allow/deny-configuration-regexps 문을 사용하여 allow/deny-commands-regexps 확장 정규 표현식을 지정하는 경우 각 식을 따옴표(" ")로 묶고 공백을 사용하여 식을 구분합니다. 여러 식은 대괄호 [ ]로 묶습니다. 예를 들면 다음과 같습니다.

, log등과 count 같은 set수정자는 일치시킬 정규 표현식 문자열 내에서 지원되지 않습니다. 수정자를 사용하면 아무 것도 일치하지 않습니다.

올바른 구성:

잘못된 구성:

허용 및 거부 명령문 우선 순위 및 매치에 대한 이해

기본적으로 allow-commands 및 정 allow-configuration 규식은 및 deny-configuration 표현식보다 deny-commands 우선합니다. 따라서, and deny-commands 문 모두 allow-commands 에 대해 동일한 명령을 구성하면 허용 작업이 거부 작업보다 우선합니다. 마찬가지로 and deny-configuration 명령문 모두 allow-configuration 에 대해 동일한 명령문을 구성하는 경우, 허용 작업이 거부 작업보다 우선합니다.

예를 들어, 다음 구성을 사용하면 명령문에 deny-commands 동일한 명령이 포함되어 있어도 로그인 클래스의 test 사용자가 명령을 사용하여 request system software add 소프트웨어를 설치할 수 있습니다.

마찬가지로 다음 구성을 사용하면 로그인 클래스 테스트의 test 사용자가 문에 deny-configuration 동일한 계층이 포함되어 있어도 구성 계층을 보고 수정 [edit system services] 할 수 있습니다.

명령 deny-commands 문에 allow-commands 명령의 두 가지 변형이 있는 경우, 가장 긴 일치가 항상 실행됩니다. 다음 구성에서는 로그인 클래스의 test 사용자가 명령을 실행할 수 있지만 명령은 실행할 commit synchronize 수 없습니다.commit 이는 와 commit synchronize사이의 commit 가장 긴 일치 항목이고 에 대해 지정되기 때문입니다commit synchronize.allow-commands

다음 구성에서는 로그인 클래스의 test 사용자가 명령을 실행할 수 있지만 명령은 실행할 commit 수 없습니다.commit synchronize 이는 와 commit synchronize사이의 commit 가장 긴 일치 항목이고 에 대해 지정되기 때문입니다commit synchronize.deny-commands

다른 명령문과 달리, 명령문의 기본 동작 *-regexps 은 및 deny-commands-regexps deny-configuration-regexps 정규식이 및 allow-configuration-regexps 표현식보다 allow-commands-regexps 우선한다는 것입니다. 정규식이 문보다 우선하도록 계층 allow-configuration-regexps 수준에서 [edit system] 문을 구성할 regex-additive-logic 수 있습니다.deny-configuration-regexps 명령문을 구성하면 더 높은 수준의 구성 계층을 거부한 다음 특정 하위 계층에 대한 사용자 액세스만 허용할 수 있습니다.

허용 및 거부 명령문의 규칙에 대한 이해

, allow/deny-configuration, allow/deny-commands-regexps및 allow/deny-configuration-regexps 명령문은 allow/deny-commands로그인 클래스 권한보다 우선합니다. 이러한 명령문을 구성할 때 다음 규칙이 적용됩니다.

• and 문의 정 allow-commands 규 표현식에는 , load, rollback, statussave, 및 update 명령도 포함될 commit수 있습니다.deny-commands

• 로그인 클래스 권한 비트는 all 사용자가 권한 플래그가 활성화된 명령을 rollback 실행할 rollback 때 확장 정규 표현보다 우선합니다.

• 사용자는 확장 정규 표현식을 지정할 때 명령을 실행할 load override 수 없습니다. 사용자는 , replace및 patch 구성 명령만 실행할 merge수 있습니다.

• 정규 표현식을 나타낼 때 * 와일드카드 문자를 사용할 수 있습니다. 그러나 이는 정규 표현식의 일부로 사용해야 합니다. or [ .* ] 를 유일한 표현식으로 사용할 [ * ] 수 없습니다. 또한 로 평가되기 allow-configuration .*때문에 와 같은 (interfaces (description (|.*))표현식으로 문을 구성할 allow-configuration 수 없습니다.

*-regexps 명령문의 차이점 이해

이 섹션에서는 문과 문 간의 allow/deny-configuration 차이점을 간략하게 설명합니다.allow/deny-configuration-regexps

문은 allow/deny-configuration-regexps 정규 표현식을 토큰으로 분할하고 각 조각을 지정된 구성의 전체 경로의 각 부분과 일치시키는 반면, 문은 allow/deny-configuration 전체 문자열과 일치합니다. 문의 경우 allow/deny-configuration-regexps , 각 문자열이 문자열 용어 사이에 공백이 있는 정규 표현식인 일련의 문자열을 구성합니다. 이 구문은 매우 빠른 매치를 제공하지만 유연성이 떨어집니다. 와일드카드 표현식을 지정하려면 일치시키려는 공백으로 구분된 문자열의 각 토큰에 대해 와일드카드를 설정해야 합니다. 그러면 이러한 명령문에 와일드카드 표현식을 사용하기가 더 어려워집니다.

예를 들면 다음과 같습니다.

• allow-configuration-regexps를 사용하여 하나의 토큰과 일치하는 정규 표현식

  이 예는 명령 options 문의 첫 번째 토큰과 일치하는 유일한 표현식임을 보여줍니다.

  앞의 구성은 다음 명령문과 일치합니다.

  • 정책 옵션 조건 condition 동적 db 설정

  • set routing-options 정적 경로 static-route 다음 홉next-hop

  • 이벤트 옵션 생성 event 이벤트 시간 간격 설정 seconds

  앞의 구성은 다음 명령문과 일치하지 않습니다.

  • 시스템 호스트 이름 호스트 옵션

  • 인터페이스 interface-name 설명 옵션

• allow-configuration-regexps를 사용하여 3개의 토큰과 일치하는 정규 표현식

  이 예는 명령 ssh 문의 세 번째 토큰과 매치되는 유일한 표현식임을 보여줍니다.

  앞의 예에서 세 개의 토큰에는 각각 , .*, 및 .*ssh, 가 포함됩니다.*.

  앞의 구성은 다음 명령문과 일치합니다.

  • 시스템 호스트 이름 호스트 이름 SSH

  • 시스템 서비스 SSH

  • 시스템 서비스 outbound-ssh

  앞의 구성은 다음 명령문과 일치하지 않습니다.

  • 인터페이스 interface-name 설명 SSH

문을 사용하는 deny-configuration-regexps 것보다 명령문을 사용하여 deny-configuration 구성 액세스를 제한하는 것이 더 쉽습니다. 표 2 는 특정 구성에 대한 액세스를 제한하는 동일한 결과를 얻기 위해 서로 다른 구성에서 and deny-configuration-regexps 문을 모두 deny-configuration 사용하는 것을 보여줍니다.

[edit system]
login {
    class test {
        permissions configure;
         allow-configuration .*;
        deny-configuration .*xnm-ssl;
    }
}

[edit system]
login {
    class test {
        permissions configure;
         allow-configuration .*;
        deny-configuration-regexps ".* .* .*-ssl"";
    }
}

[edit system]
login {
    class test {
        permissions configure;
        allow-configuration .*;
        deny-configuration ".*ssh";
    }
}

[edit system]
login {
    class test {
        permissions configure;
        allow-configuration .*;
        deny-configuration-regexps ".*ssh";
        deny-configuration-regexps ".* .*ssh";
        deny-configuration-regexps ".* .* .*ssh";
    }
}

allow/deny-configuration 간단한 구성을 원할 때도 문이 유용하지만, 문은 allow/deny-configuration-regexps 더 나은 성능을 제공하고 문에서 allow/deny-configuration 식을 결합할 때 존재하는 모호성을 극복합니다.

원격 인증 서버에서 정규 표현식 사용

확장 정규 표현식을 사용하여 특정 사용자에 대해 허용되거나 거부되는 운영 모드 및 구성 모드 명령과 구성 문 및 계층을 지정할 수 있습니다. 이러한 정규 표현식은 계층 수준의 , allow/deny-configuration및 allow/deny-commands-regexps allow/deny-configuration-regexps 명령문 [edit system login class class-name] 에서 allow/deny-commands로컬로 지정합니다. 인증 서버 구성에서 주니퍼 네트웍스 벤더별 TACACS+ 또는 RADIUS 속성을 지정하여 이러한 정규 표현식을 원격으로 지정합니다. 로컬 및 원격으로 권한 부여 매개 변수를 구성하면 디바이스는 TACACS+ 또는 RADIUS 권한 부여 중에 수신된 정규식을 로컬 디바이스에 정의된 정규식과 병합합니다.

, deny-commands, allow-configuration또는 deny-configuration 문을 사용하여 allow-commands로컬 구성에서 여러 정규 표현식을 지정할 때 괄호 안에 정규 표현식을 구성하고 파이프 기호를 사용하여 구분합니다. 완전한 식은 큰따옴표로 묶습니다. 예를 들어, 다음 구문을 사용하여 여러 allow-commands 매개 변수를 지정할 수 있습니다.

RADIUS 인증 서버는 다음 속성과 구문을 사용합니다.

TACACS+ 인증 서버는 다음 속성과 구문을 사용합니다.

, deny-commands-regexps, allow-configuration-regexps또는 deny-configuration-regexps 문을 사용하여 allow-commands-regexps로컬 구성에서 여러 정규 표현식을 지정할 때, 큰따옴표 안에 정규 표현식을 구성하고 공백 연산자를 사용하여 구분합니다. 완전한 표현식을 대괄호로 묶습니다. 예를 들어, 다음 구문을 사용하여 여러 allow-commands 매개 변수를 지정할 수 있습니다.

RADIUS 인증 서버는 다음 속성과 구문을 사용합니다.

TACACS+ 인증 서버는 다음 속성과 구문을 사용합니다.

RADIUS 및 TACACS+ 서버는 별도의 줄에 각 개별 표현식을 지정하는 단순화된 구문도 지원합니다. 예를 들어, RADIUS 서버의 단순화된 구문은 다음과 같습니다.

마찬가지로 TACACS+ 서버 Simplified 구문은 다음과 같습니다.

표 3은 정규 표현식을 사용하여 로컬 권한 부여 구성과 TACACS+ 서버 권한 부여 구성을 구분합니다.

login {
    class local {
        permissions configure;
        allow-commands "(ping .*)|(traceroute .*)|(show .*)|(configure .*)|(edit)|(exit)|(commit)|(rollback .*)";
        deny-commands .*;
        allow-configuration "(interfaces .* unit 0 family ethernet-switching vlan mem.* .*)|(interfaces .* native.* .*)|(interfaces .* unit 0 family ethernet-switching interface-mo.* .*)|(interfaces .* unit .*)|(interfaces .* disable)|(interfaces .* description .*)|(vlans .* vlan-.* .*)"
        deny-configuration .*;
    }
}

user = remote {
    login = username
    service = junos-exec {
        allow-commands1 = "ping .*"
        allow-commands2 = "traceroute .*"
        allow-commands3 = "show .*"
        allow-commands4 = "configure"
        allow-commands5 = "edit"
        allow-commands6 = "exit"
        allow-commands7 = "commit"
        allow-commands8 = ".*xml-mode"
        allow-commands9 = ".*netconf.*"
        allow-commands10 = ".*need-trailer"
        allow-commands11 = "rollback.*"
        allow-commands12 = "junoscript"
        deny-commands1 = ".*"
        allow-configuration1 = "interfaces .* unit 0 family ethernet-switching vlan mem.* .*"
        allow-configuration2 = "interfaces .* native.* .*"
        allow-configuration3 = "interfaces .* unit 0 family ethernet-switching interface-mo.* .*"
        allow-configuration4 = "interfaces .* unit .*"
        allow-configuration5 = "interfaces .* disable"
        allow-configuration6 = "interfaces .* description .*"
        allow-configuration7 = "interfaces .*"
        allow-configuration8 = "vlans .* vlan-.* .*"
        deny-configuration1 = ".*"
        local-user-name = local-username
        user-permissions = "configure"
    }
}

정규 표현식 지정

전체 명령 또는 명령문을 실행하는 것과 동일한 방식으로 명령 및 구성 명령문에 대한 정규 표현식을 지정해야 합니다. 표 4 에는 및 [edit vlans] 문 계층에 대한 액세스 권한을 구성하기 위한 정규 표현식이 [edit interfaces] 나와 있습니다.

[edit]
user@host# set interfaces interface-name unit interface-unit-number

[edit system login class class-name]
user@host# set permissions configure
user@host# set deny-configuration "interfaces .* unit .*"

[edit]
user@host# set vlans vlan-name vlan-id vlan-id

[edit system login class class-name]
user@host# set permissions configure
user@host# set allow-configuration "vlans .* vlan-id .*"

정규 표현식 연산자

표 5 에는 운영 및 구성 모드를 허용하거나 거부하는 데 사용할 수 있는 일반적인 정규 표현식 연산자가 나와 있습니다.

명령 정규 표현식은 POSIX 1003.2에 정의된 대로 확장된(최신) 정규 표현식을 구현합니다.

[edit system login class test]
user@host# set permissions configure
user@host# set allow-commands "(ping)|(traceroute)|(show system alarms)|(show system software)"
user@host# set deny-configuration "(access)|(access-profile)|(accounting-options)|(applications)|(apply-groups)|(bridge-domains)|(chassis)|(class-of-service)"

[edit system login class test]
user@host# set permissions interface
user@host# set permissions interface-control
user@host# set allow-commands "(^show) (log|interfaces|policer))|(^monitor)"

[edit system login class test]
user@host# set permissions interface
user@host# set allow-commands "(show interfaces$)"

[edit system login class test]
user@host# set permissions clear
user@host# set permissions configure
user@host# set permissions network
user@host# set permissions trace
user@host# set permissions view
user@host# set allow-configuration-regexps [ "interfaces [gx]e-.* unit [0-9]* description .*" ]

[edit system login class test]
user@host# set permissions all
user@host# set allow-commands "(clear)|(configure)"
user@host# deny-commands "(mtrace)|(start)|(delete)"

[edit system login class test]
user@host# set permissions configure
user@host# set deny-configuration "(system login class m*)"

[edit system login class test]
user@host# set permissions configure
user@host# set deny-configuration "(system login class m+)"

[edit system login class test]
user@host# set permissions configure
user@host# set deny-configuration "(system login class m.)"

[edit system login class test]
user@host# set permissions configure
user@host# set deny-configuration "(system login class m .*)"

정규 표현식 예

표 6 은 정규 표현식을 지정하기 위한 예로, 두 개의 구성 계층([edit system ntp server] 및 [edit protocols rip])에서 구성 옵션을 허용하는 데 사용되는 정규 표현식을 나열합니다.

[edit system login class test]
set permissions configure
set allow-configuration-regexps [ "system ntp server .*" "system ntp server .* key .*" ]
set deny-configuration-regexps [ "system ntp server .* version .*" "system ntp server .* prefer" ]

[edit system login class test]
set permissions configure
set allow-configuration-regexps [ "system ntp server .*" "system ntp server .* version .*" ]
set deny-configuration-regexps [ "system ntp server .* key .*" "system ntp server .* prefer" ]

[edit system login class test]
set permissions configure
set allow-configuration-regexps [ "system ntp server .*" "system ntp server .* prefer" ];
set deny-configuration-regexps [ "system ntp server .* key .*" "system ntp server .* version .*" ]

[edit system login class test]
set permissions configure
set allow-configuration-regexps "protocols rip message-size .*"
set deny-configuration-regexps [ "protocols rip metric-in .*" "protocols rip route-timeout .*" "protocols rip update-interval .*" ]

[edit system login class test]
set permissions configure
set  allow-configuration-regexps "protocols rip metric-in .*"
set  deny-configuration-regexps [ "protocols rip message-size .*" "protocols rip route-timeout .*" "protocols rip update-interval .*" ]

[edit system login class test]
set permissions configure
set allow-configuration-regexps "protocols rip route-timeout .*"
set deny-configuration-regexps [ "protocols rip metric-in .*" "protocols rip message-size .*" "protocols rip update-interval .*" ]

[edit system login class test]
set permissions configure
set allow-configuration-regexps "protocols rip update-interval .*"
set deny-configuration-regexps [ "protocols rip metric-in .*" "protocols rip route-timeout .*" "protocols rip message-size .*" ]