ユーザーアクセス権限

ログインクラスのパーミッションフラグ

パーミッション フラグを使用して、動作モードのコマンドや、構成階層レベルおよびステートメントへのアクセス権限をユーザーに付与します。ユーザーのログイン クラスのパーミッション フラグは、 [edit system login class] 階層レベルで設定します。特定のパーミッション フラグを指定すると、ユーザーはそのフラグに対応するコマンドと、構成階層レベルおよびステートメントへのアクセス権限を取得します。すべてのコマンドと設定ステートメントへのアクセスを許可するには、 all 権限フラグを使用します。

permissionsステートメントは、表1に示すパーミッションフラグを1つ以上指定します。パーミッションフラグは累積されません。情報を表示するviewや設定モードに移行するconfigureなど、クラスごとに必要なすべてのパーミッションフラグをリストする必要があります。2 種類のパーミッション フォームが、構成の個々の部分に対するユーザー アクセスを制御します。

• 「プレーン」フォーム—そのパーミッションタイプに読み取り専用機能を提供します。 interfaceがその一例です。

• -control form—そのパーミッションタイプに読み取りと書き込み機能を提供します。 interface-controlがその一例です。

設定階層レベルとステートメントへのアクセスを許可するパーミッションフラグの場合、プレーンフォームフラグはその設定への読み取り専用権限を付与します。たとえば、 interface パーミッション フラグは、 [edit interfaces] 階層レベルへの読み取り専用アクセスを許可します。 -control 形式のフラグは、その構成への読み取りおよび書き込みアクセスを許可します。たとえば、 interface-control フラグは、 [edit interfaces] 階層レベルへの読み取りおよび書き込み権限を付与します。

表 1 は、[edit system login class class-name]階層レベルで permissions ステートメントを含めることで設定できるログイン クラスのパーミッション フラグを示しています。

このパーミッションフラグは、特定のアクセス権限セットを付与します。各パーミッション フラグと、動作モードまたは設定モードのコマンド、およびそのフラグがアクセスを許可する構成階層レベルとステートメントを併記します。

ログインクラスに対する個々のコマンドとステートメント階層の許可および拒否

デフォルトでは、最上位のすべてのCLIコマンドおよび構成階層レベルには、関連するアクセス権限レベルがあります。ユーザーは、アクセス権限のあるコマンドのみを実行し、アクセス権限のあるステートメントのみを表示および設定できます。ログイン クラスごとに、 permissions ステートメントで指定した権限レベルによって許可または拒否される動作モードおよび設定モードのコマンドおよびステートメント階層の使用を明示的に許可または拒否できます。

パーミッションフラグは、動作モードおよび設定モードのコマンドと、設定階層レベルおよびステートメントへのアクセス権限をユーザーに付与します。 [edit system login class] 階層レベルでユーザーのログインクラスに特定のパーミッションフラグを指定することで、対応するコマンドや設定階層レベルおよびステートメントへのアクセス権限をユーザーに付与します。すべてのコマンドと設定ステートメントへのアクセス権限を付与するには、 all 権限フラグを使用します。

ログインクラスに allow-commands、 deny-commands、 allow-configuration、および deny-configuration ステートメントを設定することで、コマンドとステートメントの使用を明示的に許可または拒否できます。ステートメントでは、拡張正規表現を使用して、クラスに割り当てられたユーザーに対して許可または拒否するコマンドとステートメントを定義します。

許可ステートメントと拒否ステートメントを理解する

トップレベルのCLIコマンドおよび設定ステートメントの各階層には、関連するアクセス権限レベルがあります。各ログインクラスは、操作モードおよび設定モードのコマンドおよび設定階層およびステートメントの使用を明示的に許可または拒否できます。そうでなければ、権限レベルによって許可または拒否されます。ユーザーは、アクセス権限のあるコマンドのみを実行し、アクセス権限のあるステートメントのみを表示および設定できます。

各ログインクラスのアクセス権限は、[edit system login class class-name]階層レベルのpermissionsステートメントで指定された1つ以上のパーミッションフラグによって定義されます。さらに、拡張正規表現を定義することで、特定のコマンドや設定階層の使用を許可または拒否することができます。ログインクラスに以下のステートメントを設定することで、正規表現を指定できます。

• allow-commands および deny-commands-動作モードおよび設定モードのコマンドへのアクセスを許可または拒否します。

• allow-configuration および deny-configuration—特定の設定階層へのアクセスを許可または拒否します。

  注:

  これらのステートメントは、ゆっくりマッチングを実行しますが、特にワイルドカードマッチングにおいては、より柔軟性があります。しかし、フルパスの正規表現やワイルドカードの表現が多数設定されていると、可能性のあるすべての文を評価するのに非常に時間がかかり、パフォーマンスに悪影響を及ぼす可能性があります。

• allow-commands-regexps および deny-commands-regexps-正規表現の文字列を使用して、特定のコマンドへのアクセスを許可または拒否します。

• allow-configuration-regexpsdeny-configuration-regexps-正規表現の文字列を使用して、特定の設定階層へのアクセスを許可または拒否します。

allow/deny-*ステートメントを使用してコマンドや設定ステートメントの階層を明示的に許可すると、permissionsステートメントですでに定義されている権限が追加されます。同様に、allow/deny-*ステートメントを使用してコマンドや設定ステートメントの階層を明示的に拒否すると、permissionsステートメントで既に定義されている権限が削除されます。

例えば、以下の設定では、 configure パーミッションにより、ログインクラスのユーザーが設定モードに入ることができます。さらに、 allow-configuration 式を使用すると、ユーザーは [edit system services] 階層レベルで設定を変更し、コミットすることができます。

同様に、以下の設定では、ログインクラスのユーザーは、 all 権限フラグが許可するすべての操作を実行できますが、 [edit system services] 階層レベルでの設定を表示または変更できないことを除きます。

許可と拒否ステートメントの構文を理解する

allow/deny-*ステートメントの設定は、各ログインクラスで1回のみ可能です。ステートメントを設定する場合:

• 必要な数の正規表現を設定することができます。

• 正規表現は大文字と小文字を区別しません

allow/deny-commandsステートメントはallow/deny-commands-regexpsステートメントと相互に排他的であり、allow/deny-configurationステートメントはallow/deny-configuration-regexpsステートメントと相互に排他的です。例えば、同じログインクラスにallow-configurationとallow-configuration-regexpsの両方を設定することはできません。

コマンドへのアクセス権を定義するには、 allow-commands および deny-commands ステートメントを使用して拡張正規表現を指定します。独立した完全な式をそれぞれ括弧( ) で囲み、パイプ( | )記号を使用して式を区切ります。パイプ記号で結ばれた正規表現の間にはスペースを使用しないでください。完全な式は、二重引用符で囲まれています。

次に例を示します。

allow-commandsステートメントで複雑な正規表現を指定する場合は、アンカーを使用する必要があります。次に例を示します。

設定階層の一部へのアクセス権限を定義するには、 allow-configuration および deny-configuration ステートメントで拡張正規表現を指定します。フルパスを括弧( )で囲み、パイプ( | )記号を使用して表現を区切ります。パイプ記号で結ばれた正規表現の間にはスペースを使用しないでください。完全な式は、二重引用符で囲まれています。

次に例を示します。

allow/deny-commands-regexpsまたはallow/deny-configuration-regexpsステートメントを使用して拡張正規表現を指定する場合は、それぞれの式を引用符(" ")で囲み、スペースで区切ってください。複数の式を角括弧[ ]で囲みます。次に例を示します。

set、log、count などの修飾子は、一致させる正規表現文字列内ではサポートされていません。修飾子を使用した場合は、何も一致しません。

正しい設定:

誤った設定:

許可と拒否ステートメントの優先とマッチングを理解する

デフォルトでは、 allow-commands および allow-configuration 正規表現が deny-commands および deny-configuration 表現よりも優先されます。そのため、 allow-commands ステートメントと deny-commands ステートメントの両方に同じコマンドを設定すると、許可の操作が拒否の操作よりも優先されます。同様に、 allow-configuration ステートメントと deny-configuration ステートメントの両方に同じステートメントを設定すると、許可操作が拒否操作よりも優先されます。

例えば、以下の設定では、deny-commandsステートメントに同じコマンドが含まれていても、testログインクラスのユーザーがrequest system software addコマンドを使用してソフトウェアをインストールすることができます。

同様に、以下の設定では、deny-configurationステートメントに同じ階層が含まれていても、testログインクラステストのユーザーが[edit system services]の設定階層を表示および変更することができます。

allow-commandsステートメントとdeny-commandsステートメントに2つの異なるバリエーションのコマンドがある場合は、常に最も長く一致するものが実行されます。以下の設定では、testログインクラスのユーザーがcommit synchronizeコマンドを実行できますが、commitコマンドは実行できません。これは、commit synchronizeがcommitとcommit synchronizeの間で最も長く一致し、allow-commandsに指定されているためです。

以下の設定では、 test ログインクラスのユーザーが commit コマンドを実行できますが、 commit synchronize コマンドは実行できません。これは、 commit synchronize が commit と commit synchronizeの間で最も長く一致し、 deny-commandsに指定されているためです。

他のステートメントとは対照的に、*-regexpsステートメントのデフォルトの動作は、deny-commands-regexpsおよびdeny-configuration-regexps正規表現がallow-commands-regexpsおよびallow-configuration-regexps表現よりも優先されます。[edit system]階層レベルでregex-additive-logicステートメントを設定すると、allow-configuration-regexps正規表現がdeny-configuration-regexpsステートメントよりも優先されるようになります。ステートメントを設定することで、上位の設定階層を拒否した上で、特定のサブ階層へのアクセスのみをユーザーに許可することができます。

許可と拒否ステートメントのルールを理解する

allow/deny-commands、allow/deny-configuration、allow/deny-commands-regexps、およびallow/deny-configuration-regexpsステートメントは、ログインクラスのパーミッションよりも優先されます。これらのステートメントを設定する場合、以下のルールが適用されます。

• allow-commandsおよびdeny-commandsステートメントの正規表現には、commit、load、rollback、save、status、およびupdateコマンドを含めることもできます。

• allログインクラスのパーミッションビットは、ユーザーがrollbackパーミッションフラグを有効にしてrollbackコマンドを発行すると、拡張された正規表現よりも優先されます。

• 拡張正規表現を指定した場合、ユーザーは load override コマンドを発行できません。ユーザーは、 merge、 replace、 patch 設定コマンドのみを発行できます。

• 正規表現を表す際には、ワイルドカード文字*を使用できます。ただし、正規表現の一部として使用する必要があります。 [ * ] または [ .* ] だけの式を使用することはできません。また、 allow-configuration ステートメントに (interfaces (description (|.*))などの式を設定することはできません。これは allow-configuration .*と評価されるためです。

*-正規表現ステートメントの違いを理解する

このセクションでは、 allow/deny-configuration ステートメントと allow/deny-configuration-regexps ステートメントの違いについて説明します。

allow/deny-configuration-regexpsステートメントは正規表現をトークンに分割し、それぞれを指定された設定のフルパスの各部分にマッチさせますが、allow/deny-configurationステートメントは完全な文字列とマッチさせます。allow/deny-configuration-regexpsステートメントでは、各文字列が正規表現である一連の文字列を設定し、文字列の用語の間にはスペースが入ります。この構文は、非常に高速なマッチングを実現しますが、柔軟性に欠けます。ワイルドカード式を指定するには、マッチさせたいスペース区切りの文字列の各トークンに対してワイルドカードを設定する必要があります。そのため、これらのステートメントにワイルドカード式を使用することが難しくなります。

次に例を示します。

• allow-configuration-regexpsを使用して1つのトークンに一致する正規表現

  この例では、ステートメントの最初のトークンに対して options が唯一マッチする式であることを示しています。

  前述の設定は、以下のステートメントと一致します。

  • set policy-options condition condition dynamic-db

  • ネクストホップstatic-routeルーティングオプション静的ルートの設定next-hop

  • set event-options generate-event event time-interval seconds

  前述の設定は、以下のステートメントと一致しません。

  • システム ホスト-ネーム ホストオプション

  • インターフェイス interface-name 説明 オプション

• allow-configuration-regexpsを使用して3つのトークンにマッチする正規表現

  この例では、ステートメントの3つ目のトークンに対して ssh が唯一マッチする式であることを示しています。

  前の例では、3 つのトークンにそれぞれ .*、 .*、 .*ssh が含まれます。

  前述の設定は、以下のステートメントと一致します。

  • システム ホスト-ネーム ホスト-ネームssh

  • システムサービス ssh

  • システムサービス アウトバウンド-ssh

  前述の設定は、以下のステートメントと一致しません。

  • インターフェイスinterface-name説明SSH

設定アクセスを制限するために deny-configuration ステートメントを使用する方が、 deny-configuration-regexps ステートメントを使用するよりも簡単です。 表2は 、特定の設定へのアクセスを制限するという同じ結果を得るために、異なる設定で deny-configuration ステートメントと deny-configuration-regexps ステートメントの両方を使用する方法を示しています。

[edit system]
login {
    class test {
        permissions configure;
         allow-configuration .*;
        deny-configuration .*xnm-ssl;
    }
}

[edit system]
login {
    class test {
        permissions configure;
         allow-configuration .*;
        deny-configuration-regexps ".* .* .*-ssl"";
    }
}

[edit system]
login {
    class test {
        permissions configure;
        allow-configuration .*;
        deny-configuration ".*ssh";
    }
}

[edit system]
login {
    class test {
        permissions configure;
        allow-configuration .*;
        deny-configuration-regexps ".*ssh";
        deny-configuration-regexps ".* .*ssh";
        deny-configuration-regexps ".* .* .*ssh";
    }
}

シンプルな設定が必要な場合、 allow/deny-configuration ステートメントも有効ですが、 allow/deny-configuration-regexps ステートメントの方がパフォーマンスが高く、 allow/deny-configuration ステートメントで式を組み合わせる際にあった曖昧さを解消しています。

リモート認証サーバーでの正規表現の使用

拡張正規表現を使用して、特定のユーザーに許可または拒否される動作モードおよび設定モードのコマンドや設定ステートメント、階層を指定できます。これらの正規表現は、[edit system login class class-name]階層レベルのallow/deny-commands、allow/deny-configuration、allow/deny-commands-regexps、およびallow/deny-configuration-regexpsステートメントでローカルで指定します。認証サーバーの設定でジュニパーネットワークスベンダー固有のTACACS+またはRADIUS属性を指定することで、これらの正規表現をリモートで指定します。ローカルとリモートの両方で認証パラメータを設定する場合、デバイスは、TACACS+またはRADIUS認証時に受け取った正規表現を、ローカルデバイスで定義された正規表現とマージします。

allow-commands、deny-commands、allow-configuration、またはdeny-configurationステートメントを使用してローカル設定で複数の正規表現を指定する場合、正規表現を括弧内に設定し、パイプ記号で区切ります。完全な式を二重引用符で囲みます。例えば、以下の構文で複数のallow-commandsパラメーターを指定することができます。

RADIUS認証サーバーは、以下の属性と構文を使用します。

TACACS+ 認証サーバーは、以下の属性と構文を使用します。

allow-commands-regexps、deny-commands-regexps、allow-configuration-regexps、またはdeny-configuration-regexpsステートメントを使用してローカル設定で複数の正規表現を指定する場合は、正規表現を二重引用符で囲み、スペース運用担当者で区切ります。完全な式を角括弧で囲みます。例えば、以下のシンタックスで複数の許可コマンドパラメーターを指定することができます。

RADIUS認証サーバーは、以下の属性と構文を使用します。

TACACS+ 認証サーバーは、以下の属性と構文を使用します。

RADIUSおよびTACACS+サーバーは、個々の式を別の行で指定する簡略化された構文もサポートしています。例えば、RADIUSサーバーの簡略化された構文は次のとおりです。

同様に、TACACS+ サーバーの簡略化されたシンタックスは次のとおりです。

表3は 、ローカル認証設定とTACACS+サーバー認証設定を正規表現で区別しています。

login {
    class local {
        permissions configure;
        allow-commands "(ping .*)|(traceroute .*)|(show .*)|(configure .*)|(edit)|(exit)|(commit)|(rollback .*)";
        deny-commands .*;
        allow-configuration "(interfaces .* unit 0 family ethernet-switching vlan mem.* .*)|(interfaces .* native.* .*)|(interfaces .* unit 0 family ethernet-switching interface-mo.* .*)|(interfaces .* unit .*)|(interfaces .* disable)|(interfaces .* description .*)|(vlans .* vlan-.* .*)"
        deny-configuration .*;
    }
}

user = remote {
    login = username
    service = junos-exec {
        allow-commands1 = "ping .*"
        allow-commands2 = "traceroute .*"
        allow-commands3 = "show .*"
        allow-commands4 = "configure"
        allow-commands5 = "edit"
        allow-commands6 = "exit"
        allow-commands7 = "commit"
        allow-commands8 = ".*xml-mode"
        allow-commands9 = ".*netconf.*"
        allow-commands10 = ".*need-trailer"
        allow-commands11 = "rollback.*"
        allow-commands12 = "junoscript"
        deny-commands1 = ".*"
        allow-configuration1 = "interfaces .* unit 0 family ethernet-switching vlan mem.* .*"
        allow-configuration2 = "interfaces .* native.* .*"
        allow-configuration3 = "interfaces .* unit 0 family ethernet-switching interface-mo.* .*"
        allow-configuration4 = "interfaces .* unit .*"
        allow-configuration5 = "interfaces .* disable"
        allow-configuration6 = "interfaces .* description .*"
        allow-configuration7 = "interfaces .*"
        allow-configuration8 = "vlans .* vlan-.* .*"
        deny-configuration1 = ".*"
        local-user-name = local-username
        user-permissions = "configure"
    }
}

正規表現の指定

コマンドおよび設定ステートメントの正規表現は、完全なコマンドまたはステートメントを実行するのと同じ方法で指定する必要があります。 表4 は、 [edit interfaces] および [edit vlans] ステートメント階層のアクセス権限を設定する正規表現を示しています。

[edit]
user@host# set interfaces interface-name unit interface-unit-number

[edit system login class class-name]
user@host# set permissions configure
user@host# set deny-configuration "interfaces .* unit .*"

[edit]
user@host# set vlans vlan-name vlan-id vlan-id

[edit system login class class-name]
user@host# set permissions configure
user@host# set allow-configuration "vlans .* vlan-id .*"

正規表現演算子

表5 に、運用モードと設定モードの許可または拒否に使用できる一般的な正規表現演算子を示します。

コマンド正規表現は、POSIX 1003.2で定義されている拡張(最新)正規表現を実装します。

[edit system login class test]
user@host# set permissions configure
user@host# set allow-commands "(ping)|(traceroute)|(show system alarms)|(show system software)"
user@host# set deny-configuration "(access)|(access-profile)|(accounting-options)|(applications)|(apply-groups)|(bridge-domains)|(chassis)|(class-of-service)"

[edit system login class test]
user@host# set permissions interface
user@host# set permissions interface-control
user@host# set allow-commands "(^show) (log|interfaces|policer))|(^monitor)"

[edit system login class test]
user@host# set permissions interface
user@host# set allow-commands "(show interfaces$)"

[edit system login class test]
user@host# set permissions clear
user@host# set permissions configure
user@host# set permissions network
user@host# set permissions trace
user@host# set permissions view
user@host# set allow-configuration-regexps [ "interfaces [gx]e-.* unit [0-9]* description .*" ]

[edit system login class test]
user@host# set permissions all
user@host# set allow-commands "(clear)|(configure)"
user@host# deny-commands "(mtrace)|(start)|(delete)"

[edit system login class test]
user@host# set permissions configure
user@host# set deny-configuration "(system login class m*)"

[edit system login class test]
user@host# set permissions configure
user@host# set deny-configuration "(system login class m+)"

[edit system login class test]
user@host# set permissions configure
user@host# set deny-configuration "(system login class m.)"

[edit system login class test]
user@host# set permissions configure
user@host# set deny-configuration "(system login class m .*)"

正規表現の例

表6 は、正規表現を指定する例として、[edit system ntp server] と [edit protocols rip]という2つの設定階層で設定オプションを許可するために使用される正規表現を示しています。

[edit system login class test]
set permissions configure
set allow-configuration-regexps [ "system ntp server .*" "system ntp server .* key .*" ]
set deny-configuration-regexps [ "system ntp server .* version .*" "system ntp server .* prefer" ]

[edit system login class test]
set permissions configure
set allow-configuration-regexps [ "system ntp server .*" "system ntp server .* version .*" ]
set deny-configuration-regexps [ "system ntp server .* key .*" "system ntp server .* prefer" ]

[edit system login class test]
set permissions configure
set allow-configuration-regexps [ "system ntp server .*" "system ntp server .* prefer" ];
set deny-configuration-regexps [ "system ntp server .* key .*" "system ntp server .* version .*" ]

[edit system login class test]
set permissions configure
set allow-configuration-regexps "protocols rip message-size .*"
set deny-configuration-regexps [ "protocols rip metric-in .*" "protocols rip route-timeout .*" "protocols rip update-interval .*" ]

[edit system login class test]
set permissions configure
set  allow-configuration-regexps "protocols rip metric-in .*"
set  deny-configuration-regexps [ "protocols rip message-size .*" "protocols rip route-timeout .*" "protocols rip update-interval .*" ]

[edit system login class test]
set permissions configure
set allow-configuration-regexps "protocols rip route-timeout .*"
set deny-configuration-regexps [ "protocols rip metric-in .*" "protocols rip message-size .*" "protocols rip update-interval .*" ]

[edit system login class test]
set permissions configure
set allow-configuration-regexps "protocols rip update-interval .*"
set deny-configuration-regexps [ "protocols rip metric-in .*" "protocols rip route-timeout .*" "protocols rip message-size .*" ]