Řízení přístupu na základě rolí uživatele Dell Networking SONiC

Summary: Tento článek vysvětluje řízení přístupu na základě rolí v nástroji Dell Networking SONiC.

This article applies to This article does not apply to This article is not tied to any specific product. Not all product versions are identified in this article.
Check out other resources

Instructions

Co je řízení přístupu na základě rolí?

Řízení přístupu na základě rolí (RBAC) poskytuje kontrolu přístupu a autorizace. Uživatelům je přiděleno oprávnění na základě definovaných rolí. Správce může vytvářet role uživatelů, které jsou založeny na funkcích úloh, a umožnit tak uživatelům přístup k příslušným systémům.

Funkce RBAC omezuje oprávnění každé role, aby vám umožnila vytváření oddílů úloh.
Role uživatele ověřuje a autorizuje uživatele při přihlášení a umístí uživatele do režimu EXEC.
Každá role uživatele přiřazuje oprávnění, která určují příkazy, které může uživatel zadat, a akce, které může uživatel provádět. RBAC poskytuje efektivní způsob, jak spravovat uživatelská práva.


Uživatelské role dostupné v nástroji Dell Networking SONiC

Roles Permission
Admin Uživatel s oprávněním správce má plný přístup ke čtení/zápisu do systému. To znamená, že má plný přístup ke všem příkazům show, prostředí Linux a konfiguraci. 
Operátor Operátor má pouze omezený přístup ke čtení systému. To znamená, že má přístup k některým příkazům show, ale v přepínači nemůže provádět žádnou konfiguraci.

POZNÁMKA: Od verze Dell SONiC 4.1 jsou zavedeny dvě nové uživatelské role a stejný uživatel může mít více rolí.
 
Roles Permission
Příkaz Secadmin Uživatel secadmin má přístup ke všem příkazům souvisejícím se zabezpečením v systému.
Nástroj Netadmin Uživatel netadmin má přístup k funkcím konfigurace, které spravují provoz procházející přepínačem.


Syntaxe konfigurace:

Konfigurace Vysvětlení
admin@DELLSONiC:~$ sonic-cli Spusťte rozhraní příkazového řádku Dell SONiC.
Konfigurace terminálu pomocí nástroje DELLSONiC# Konfigurační režim.
Uživatelské jméno DELLSONiC(config)# heslo role Konfigurace uživatelského jména, hesla a role. 

K ověření role nakonfigurovaného uživatele použijte příkaz show users configured. Tento příkaz zobrazí místně nakonfigurované uživatele a role.
 
Ukázkový výstup: 
DELLSONiC # show users configured
----------------------------------------------------------------------
User                              Role(s)
----------------------------------------------------------------------
admin1                            admin
oper                              operator
Z verze Dell SONiC 4.1 můžeme nakonfigurovat více rolí pro jednoho uživatele. Níže je uveden příklad konfigurace více rolí pro jednoho uživatele: 
DELLSONiC (config)# username testuser password testuser role operator,netadmin,secadmin
DELLSONiC(config)# exit

DELLSONiC # show users configured
----------------------------------------------------------------------
User                              Role(s)
----------------------------------------------------------------------
testuser                          netadmin,operator,secadmin

Příklad:
Chcete-li vysvětlit uživatelské role, vytváříme dva uživatele s různými rolemi:

  • Uživateli oper je přiřazena role operátora.
  • Uživateli admin1 je přiřazena role správce.


Přihlaste se pomocí operátora oper , který představuje roli operátora .

POZNÁMKA: Při přihlašování jako uživatel "operator" (operátor), secadmin nebo netadmin se nacházíme v rozhraní příkazového řádku nástroje Dell Management Framework.

Přihlasme se k přepínači jako uživatel oper, který má roli operátora. Můžeme použít "? " a zobrazí se příkazy podporované v roli uživatele v konkrétním režimu. 
sonic login: oper
Password:
Linux sonic 5.10.0-8-2-amd64 #1 SMP Debian 5.10.46-5 (2021-09-23) x86_64
You are on
  ____   ___  _   _ _  ____
/ ___| / _ \| \ | (_)/ ___|
\___ \| | | |  \| | | |
  ___) | |_| | |\  | | |___
|____/ \___/|_| \_|_|\____|

-- Software for Open Networking in the Cloud --

Unauthorized access and/or use are prohibited.
All access and/or use are subject to monitoring.

Help:    http://azure.github.io/SONiC/

sonic# ?
  copy         Perform file operations
  delete       Delete the file from local filesystem
  dir          Show folder contents
  exit         Exit from the CLI
  ls           Show folder contents
  ping         Send ICMP ECHO_REQUEST to network hosts
  ping6        Send ICMPv6 ECHO_REQUEST to network hosts
  show         Display running system information
  terminal     Set terminal settings
  traceroute   Print the route packets take to the host
  traceroute6  Print the route packets take to the IPv6 host
Uživatel oper má roli operátora. Operátor má přístup pouze ke čtení systému. proto uživatel oper nemůže provádět žádnou konfiguraci. Operátor také nemůže spustit všechny příkazy, jako je uživatel s oprávněním správce.
 
POZNÁMKA: U softwaru Dell Networking SONiC 4.0.5 a starších verzích může uživatel s rolí Operator přejít do režimu konfigurace. Všechny příkazy provedené v režimu konfigurace se však zamítnou.

Ukázkový výstup: 
DELLSONiC# show version | grep Soft
Software Version  : 4.0.5-Enterprise_Base

DELLSONiC(config)# interface-naming standard 
% Error: Client is not authorized to perform this operation
DELLSONiC(config)# hostname DeLLSoNiC
% Error: Client is not authorized to perform this operation
DELLSONiC(config)# exit
DELLSONiC# clear logging 
DELLSONiC# show logging count
DELLSONiC# show audit-log 
%Error: Client is not authorized to perform this operation

DELLSONiC# show users
oper     ttyS0        2023-08-02 21:03
To je také vidět v protokolech auditu, ke kterým má uživatel s rolí správce přístup.


Přihlaste se pomocí správce1 , který má roli správce.

POZNÁMKA: Při přihlašování jako uživatel s oprávněním správce jsme umístěni do prostředí systému Linux. Výzva je admin@sonic:~$. K přístupu k rozhraní Příkazového řádku nástroje Dell Management Framework je nutné použít příkaz sonic-cli . 
Debian GNU/Linux 10 DELLSONiC ttyS0

DELLSONiC login: admin1
Password: 
admin1@DELLSONiC:~$ sonic-cli
DELLSONiC# show version | grep Soft
Software Version  : 4.0.5-Enterprise_Base

DELLSONiC# show audit-log
Aug 02 21:06:01.052692+00:00 2023 DELLSONiC INFO mgmt-framework#clish[146]: User "admin1" command "startup" status - success
Aug 02 21:05:53.366544+00:00 2023 DELLSONiC INFO login[27960]: pam_unix(login:session): session opened for user admin1 by LOGIN(uid=0)
Aug 02 21:05:46.787657+00:00 2023 DELLSONiC INFO systemd[1]: Stopped Serial Getty on ttyS0.
Aug 02 21:05:46.203662+00:00 2023 DELLSONiC INFO login[4203]: pam_unix(login:session): session closed for user oper
Aug 02 21:05:45.855977+00:00 2023 DELLSONiC INFO mgmt-framework#clish[134]: User "oper" command "exit" status - success
Aug 02 21:05:09.966551+00:00 2023 DELLSONiC INFO mgmt-framework#clish[134]: User "oper" command "show users" status - success
Aug 02 21:04:52.730615+00:00 2023 DELLSONiC INFO mgmt-framework#clish[134]: User "oper" command "show audit-log" status - failure
Aug 02 21:04:46.843617+00:00 2023 DELLSONiC INFO mgmt-framework#clish[134]: User "oper" command "show logging count" status - success
Aug 02 21:04:43.031486+00:00 2023 DELLSONiC INFO mgmt-framework#clish[134]: User "oper" command "clear logging" status - success
Aug 02 21:04:39.074016+00:00 2023 DELLSONiC INFO mgmt-framework#clish[134]: User "oper" command "exit" status - success
Aug 02 21:04:26.504755+00:00 2023 DELLSONiC INFO mgmt-framework#clish[134]: User "oper" command "hostname DeLLSoNiC" status - failure
Aug 02 21:04:11.674915+00:00 2023 DELLSONiC INFO mgmt-framework#clish[134]: User "oper" command "interface-naming standard" status - failure


Přihlaste se pomocí nesprávných přihlašovacích údajů:

Nyní se přihlásíme pomocí nesprávných přihlašovacích údajů pro uživatele admin1 , který má roli správce.
 
POZNÁMKA: K protokolům auditu má přístup pouze uživatel správce.  
DELLSONiC login: admin1
Password:                            ==========>Wrong password is given

Login incorrect
DELLSONiC login: admin1
Password: 
Last login: Wed Aug  2 21:05:53 UTC 2023 on ttyS0
Linux DELLSONiC 4.19.0-9-2-amd64 #1 SMP Debian 4.19.118-2+deb10u1 (2020-06-07) x86_64
You are on
  ____   ___  _   _ _  ____
/ ___| / _ \| \ | (_)/ ___|
\___ \| | | |  \| | | |
  ___) | |_| | |\  | | |___
|____/ \___/|_| \_|_|\____|

-- Software for Open Networking in the Cloud --

Unauthorized access and/or use are prohibited.
All access and/or use are subject to monitoring.

Help:    http://azure.github.io/SONiC/
**Note the login failure for admin1
admin1@DELLSONiC:~$ sonic-cli

DELLSONiC# show audit-log
Aug 02 21:07:28.896480+00:00 2023 DELLSONiC INFO mgmt-framework#clish[155]: User "admin1" command "startup" status - success
Aug 02 21:07:20.219496+00:00 2023 DELLSONiC INFO login[7169]: pam_unix(login:session): session opened for user admin1 by LOGIN(uid=0)
Aug 02 21:07:12.635575+00:00 2023 DELLSONiC NOTICE login[7169]: FAILED LOGIN (1) on '/dev/ttyS0' FOR 'admin1', Authentication failure
Aug 02 21:07:08.763918+00:00 2023 DELLSONiC NOTICE login[7169]: pam_unix(login:auth): authentication failure; logname=LOGIN uid=0 euid=0 tty=/dev/ttyS0 ruser= rhost=  user=admin1

Affected Products

Enterprise SONiC Distribution, PowerSwitch E3200-ON Series, Dell EMC Networking N3200-ON, PowerSwitch S5212F-ON, PowerSwitch S5224F-ON, PowerSwitch S5232F-ON, PowerSwitch S5248F-ON, PowerSwitch S5296F-ON, PowerSwitch Z9100-ON, PowerSwitch Z9264F-ON , PowerSwitch Z9332F-ON, PowerSwitch Z9432F-ON ...
Article Properties
Article Number: 000216535
Article Type: How To
Last Modified: 19 Sep 2023
Version:  8
Find answers to your questions from other Dell users
Support Services
Check if your device is covered by Support Services.