8.2.3　RADIUS/TACACS+を使用した認証

(a)　end-by-reject未設定時

end-by-reject未設定時の認証サービスの選択について説明します。end-by-reject未設定時は，先に指定された方式で認証に失敗した場合に，その失敗の理由に関係なく，次に指定された方式で認証できます。

例として，コンフィグレーションで認証方式にRADIUS，TACACS+，単体でのログインセキュリティの順番で指定し，それぞれの認証結果がRADIUSサーバ通信不可，TACACS+サーバ認証否認，ログインセキュリティ機能認証成功となる場合の認証方式シーケンスを次の図に示します。

この図で端末からユーザが本装置にtelnetを実行すると，RADIUSサーバに対し本装置からRADIUS認証を要求します。RADIUSサーバとの通信不可によってRADIUSサーバでの認証に失敗すると，次にTACACS+サーバに対し本装置からTACACS+認証を要求します。TACACS+認証否認によってTACACS+サーバでの認証に失敗すると，次に本装置のログインセキュリティ機能での認証を実行します。ここで認証に成功し，ユーザは本装置へのログインに成功します。

(b)　end-by-reject設定時

end-by-reject設定時の認証サービスの選択について説明します。end-by-reject設定時は，先に指定された方式で認証否認された場合に，次に指定された方式で認証を行いません。否認された時点で認証を終了し，一連の認証が失敗となります。通信不可などの異常によって認証が失敗した場合だけ，次に指定された方式で認証できます。

例として，コンフィグレーションで認証方式にRADIUS，TACACS+，単体でのログインセキュリティの順番で指定し，それぞれの認証結果がRADIUSサーバ通信不可，TACACS+サーバ認証否認となる場合の認証方式シーケンスを次の図に示します。

この図で端末からユーザが本装置にtelnetを実行すると，RADIUSサーバに対し本装置からRADIUS認証を要求します。RADIUSサーバとの通信不可によってRADIUSサーバでの認証に失敗すると，次にTACACS+サーバに対し本装置からTACACS+認証を要求します。TACACS+認証否認によってTACACS+サーバでの認証に失敗すると，この時点で一連の認証が失敗となり，認証を終了します。次に指定されている本装置のログインセキュリティ機能での認証を実行しません。その結果，ユーザは本装置へのログインに失敗します。

(a)　ログイン認証を使用する場合

RADIUS/TACACS+サーバにユーザ名およびパスワードを登録します。RADIUS/TACACS+サーバへ登録するユーザ名には次に示す2種類があります。

• 本装置にコンフィグレーションコマンドusernameを使用して登録済みのユーザ名

  本装置に登録されたユーザ情報を使用してログイン処理を行います。

• 本装置に未登録のユーザ名

  次に示す共通のユーザ情報でログイン処理を行います。

  • ユーザ名：remote_user

  • ホームディレクトリ：/usr/home/share

本装置に未登録のユーザ名でログインした場合の注意点を示します。

• ファイルの管理

  ファイルを作成した場合，すべてremote_user管理となって，別のユーザでも作成したファイルの読み込みおよび書き込みができます。重要なファイルはftpなどで外部に保管するなど，ファイルの管理に注意してください。

(b)　装置管理者モードへの変更（enableコマンド）時の認証を使用する場合

装置管理者モードへの変更（enableコマンド）用に，次のユーザ情報を登録してください。

• ユーザ名

  本装置ではユーザ名属性として，次の表に示すユーザ名をサーバに送信します。送信するユーザ名はコンフィグレーションコマンドで変更できます。対応するユーザ名をサーバに登録してください。

  表8‒10　設定するユーザ名属性

  コマンド名	ユーザ名
  	RADIUS認証	TACACS+認証
  設定なし	admin	admin
  aaa authentication enable attribute-user-per-method	$enab15$	ログインユーザ名

• 特権レベル

  特権レベルは15で固定です。

ただし，使用するサーバによっては，送信したユーザ名属性に関係なく特定のユーザ名（例えば，$enab15$）を使用する場合や，特権レベルの登録が不要な場合などがあります。詳細は，使用するサーバのマニュアルを確認してください。