Управление доступом на основе ролей пользователей Dell Networking SONiC

Summary: В этой статье описывается управление доступом на основе ролей в Dell Networking SONiC.

This article applies to This article does not apply to This article is not tied to any specific product. Not all product versions are identified in this article.
Check out other resources

Instructions

Что такое контроль доступа на основе ролей?

Контроль доступа на основе ролей (RBAC) обеспечивает контроль доступа и авторизации. Пользователям предоставляется разрешение на основе определенных ролей. Администратор может создавать роли пользователей на основе функций заданий, чтобы обеспечить пользователям соответствующий доступ к системе.

RBAC накладывает ограничения на разрешения каждой роли, чтобы разрешить вам разделять задачи.
Роль пользователя аутентифицирует и авторизирует пользователя при входе в систему и переводит пользователя в режим EXEC.
Каждая роль пользователя назначает разрешения, которые определяют команды, которые может вводить пользователь, и действия, которые может выполнить пользователь. RBAC предоставляет эффективный способ администрирования прав пользователей.


Роли пользователей, доступные в Dell Networking SONiC

Roles Разрешение
Admin Пользователь с правами администратора имеет полный доступ для чтения и записи к системе. Это означает, что он имеет полный доступ ко всем командам show, оболочке Linux и конфигурации. 
Оператор Оператор имеет только ограниченный доступ для чтения к системе. Это означает, что он имеет доступ к некоторым командам show, однако не может выполнять какие-либо настройки на коммутаторе.

ПРИМЕЧАНИЕ. В Dell SONiC 4.1 вводится две новые роли пользователя, и один и тот же пользователь может иметь несколько ролей.
 
Roles Разрешение
Администратор секадмин Пользователь secadmin имеет доступ ко всем командам, связанным с безопасностью, в системе.
Администратор сети Пользователь netadmin имеет доступ к функциям конфигурации, которые управляют трафиком, который потокится через коммутатор.


Синтаксис конфигурации:

Настройка Пояснение
admin@DELLSONiC:~$ sonic-cli Вход в интерфейс командной строки Dell SONiC
DellSONiC# — настройка терминала Вход в режим конфигурирования.
DellSONiC(config)# username password role Настройте имя пользователя, пароль и роль. 

Чтобы проверить роль настроенного пользователя, используйте команду show users configured. Эта команда отображает пользователя и роли, настроенные локально.
 
Пример вывода: 
DELLSONiC # show users configured
----------------------------------------------------------------------
User                              Role(s)
----------------------------------------------------------------------
admin1                            admin
oper                              operator
В Dell SONiC 4.1 можно настроить несколько ролей для одного пользователя. Ниже приведен пример настройки нескольких ролей для одного пользователя. 
DELLSONiC (config)# username testuser password testuser role operator,netadmin,secadmin
DELLSONiC(config)# exit

DELLSONiC # show users configured
----------------------------------------------------------------------
User                              Role(s)
----------------------------------------------------------------------
testuser                          netadmin,operator,secadmin

Примере:
Чтобы объяснить роли пользователей, мы создаем двух пользователей с разными ролями:

  • Пользователю назначается роль оператора
  • Пользователю admin1 назначается роль администратора


Войдите в систему с ролью оператора .

ПРИМЕЧАНИЕ. При входе в систему в качестве оператора, secadmin или netadmin пользователя мы помещаем в интерфейс командной строки Dell Management Framework.

Давайте войдите в коммутатор в качестве пользователя с ролью оператора. Мы можем использовать ? для просмотра команд, поддерживаемых ролью пользователя в определенном режиме. 
sonic login: oper
Password:
Linux sonic 5.10.0-8-2-amd64 #1 SMP Debian 5.10.46-5 (2021-09-23) x86_64
You are on
  ____   ___  _   _ _  ____
/ ___| / _ \| \ | (_)/ ___|
\___ \| | | |  \| | | |
  ___) | |_| | |\  | | |___
|____/ \___/|_| \_|_|\____|

-- Software for Open Networking in the Cloud --

Unauthorized access and/or use are prohibited.
All access and/or use are subject to monitoring.

Help:    http://azure.github.io/SONiC/

sonic# ?
  copy         Perform file operations
  delete       Delete the file from local filesystem
  dir          Show folder contents
  exit         Exit from the CLI
  ls           Show folder contents
  ping         Send ICMP ECHO_REQUEST to network hosts
  ping6        Send ICMPv6 ECHO_REQUEST to network hosts
  show         Display running system information
  terminal     Set terminal settings
  traceroute   Print the route packets take to the host
  traceroute6  Print the route packets take to the IPv6 host
Пользователь oper имеет роль оператора. Оператор имеет доступ только для чтения к системе. поэтому пользователь не может выполнить какие-либо настройки. Кроме того, оператор не может выполнять все команды show, как пользователь с правами администратора.
 
ПРИМЕЧАНИЕ. В Dell Networking SONiC 4.0.5 и более ранних версиях пользователь с ролью оператора может перейти в режим конфигурации. Но любая команда, выполненная в режиме настройки, отклоняется.

Пример вывода: 
DELLSONiC# show version | grep Soft
Software Version  : 4.0.5-Enterprise_Base

DELLSONiC(config)# interface-naming standard 
% Error: Client is not authorized to perform this operation
DELLSONiC(config)# hostname DeLLSoNiC
% Error: Client is not authorized to perform this operation
DELLSONiC(config)# exit
DELLSONiC# clear logging 
DELLSONiC# show logging count
DELLSONiC# show audit-log 
%Error: Client is not authorized to perform this operation

DELLSONiC# show users
oper     ttyS0        2023-08-02 21:03
Это также можно увидеть в журналах аудита, к которым может получить доступ пользователь с ролью администратора.


Войдите в систему с ролью администратора admin1 .

ПРИМЕЧАНИЕ. При входе в систему в качестве пользователя admin мы помещаемся в оболочку Linux. Запрос отображается admin@sonic :~$. Для доступа к интерфейсу командной строки Dell Management Framework необходимо использовать команду sonic-cli . 
Debian GNU/Linux 10 DELLSONiC ttyS0

DELLSONiC login: admin1
Password: 
admin1@DELLSONiC:~$ sonic-cli
DELLSONiC# show version | grep Soft
Software Version  : 4.0.5-Enterprise_Base

DELLSONiC# show audit-log
Aug 02 21:06:01.052692+00:00 2023 DELLSONiC INFO mgmt-framework#clish[146]: User "admin1" command "startup" status - success
Aug 02 21:05:53.366544+00:00 2023 DELLSONiC INFO login[27960]: pam_unix(login:session): session opened for user admin1 by LOGIN(uid=0)
Aug 02 21:05:46.787657+00:00 2023 DELLSONiC INFO systemd[1]: Stopped Serial Getty on ttyS0.
Aug 02 21:05:46.203662+00:00 2023 DELLSONiC INFO login[4203]: pam_unix(login:session): session closed for user oper
Aug 02 21:05:45.855977+00:00 2023 DELLSONiC INFO mgmt-framework#clish[134]: User "oper" command "exit" status - success
Aug 02 21:05:09.966551+00:00 2023 DELLSONiC INFO mgmt-framework#clish[134]: User "oper" command "show users" status - success
Aug 02 21:04:52.730615+00:00 2023 DELLSONiC INFO mgmt-framework#clish[134]: User "oper" command "show audit-log" status - failure
Aug 02 21:04:46.843617+00:00 2023 DELLSONiC INFO mgmt-framework#clish[134]: User "oper" command "show logging count" status - success
Aug 02 21:04:43.031486+00:00 2023 DELLSONiC INFO mgmt-framework#clish[134]: User "oper" command "clear logging" status - success
Aug 02 21:04:39.074016+00:00 2023 DELLSONiC INFO mgmt-framework#clish[134]: User "oper" command "exit" status - success
Aug 02 21:04:26.504755+00:00 2023 DELLSONiC INFO mgmt-framework#clish[134]: User "oper" command "hostname DeLLSoNiC" status - failure
Aug 02 21:04:11.674915+00:00 2023 DELLSONiC INFO mgmt-framework#clish[134]: User "oper" command "interface-naming standard" status - failure


Войдите в систему с неверными учетными данными:

Теперь давайте войдите в систему с неверными учетными данными для пользователя admin1 с ролью администратора.
 
ПРИМЕЧАНИЕ. Доступ к журналам аудита может иметь только пользователь с правами администратора.  
DELLSONiC login: admin1
Password:                            ==========>Wrong password is given

Login incorrect
DELLSONiC login: admin1
Password: 
Last login: Wed Aug  2 21:05:53 UTC 2023 on ttyS0
Linux DELLSONiC 4.19.0-9-2-amd64 #1 SMP Debian 4.19.118-2+deb10u1 (2020-06-07) x86_64
You are on
  ____   ___  _   _ _  ____
/ ___| / _ \| \ | (_)/ ___|
\___ \| | | |  \| | | |
  ___) | |_| | |\  | | |___
|____/ \___/|_| \_|_|\____|

-- Software for Open Networking in the Cloud --

Unauthorized access and/or use are prohibited.
All access and/or use are subject to monitoring.

Help:    http://azure.github.io/SONiC/
**Note the login failure for admin1
admin1@DELLSONiC:~$ sonic-cli

DELLSONiC# show audit-log
Aug 02 21:07:28.896480+00:00 2023 DELLSONiC INFO mgmt-framework#clish[155]: User "admin1" command "startup" status - success
Aug 02 21:07:20.219496+00:00 2023 DELLSONiC INFO login[7169]: pam_unix(login:session): session opened for user admin1 by LOGIN(uid=0)
Aug 02 21:07:12.635575+00:00 2023 DELLSONiC NOTICE login[7169]: FAILED LOGIN (1) on '/dev/ttyS0' FOR 'admin1', Authentication failure
Aug 02 21:07:08.763918+00:00 2023 DELLSONiC NOTICE login[7169]: pam_unix(login:auth): authentication failure; logname=LOGIN uid=0 euid=0 tty=/dev/ttyS0 ruser= rhost=  user=admin1

Affected Products

Enterprise SONiC Distribution, PowerSwitch E3200-ON Series, Dell EMC Networking N3200-ON, PowerSwitch S5212F-ON, PowerSwitch S5224F-ON, PowerSwitch S5232F-ON, PowerSwitch S5248F-ON, PowerSwitch S5296F-ON, PowerSwitch Z9100-ON, PowerSwitch Z9264F-ON , PowerSwitch Z9332F-ON, PowerSwitch Z9432F-ON ...
Article Properties
Article Number: 000216535
Article Type: How To
Last Modified: 19 Sep 2023
Version:  8
Find answers to your questions from other Dell users
Support Services
Check if your device is covered by Support Services.