Dell Networking SONiC Керування доступом на основі ролей користувачів

Summary: У цій статті пояснюється керування доступом на основі ролей у Dell Networking SONiC.

This article applies to This article does not apply to This article is not tied to any specific product. Not all product versions are identified in this article.
Check out other resources

Instructions

Що таке керування доступом на основі ролей?

Управління доступом на основі ролей (RBAC) забезпечує контроль доступу та авторизації. Користувачам надається дозвіл на основі визначених ролей. Адміністратор може створювати ролі користувачів на основі функцій завдання, щоб надати користувачам відповідний доступ до системи.
RBAC накладає обмеження на дозволи кожної ролі, щоб дозволити розділяти завдання.
Роль користувача автентифікує та авторизує користувача під час входу та переводить його в режим EXEC.
Кожній ролі користувача призначаються дозволи, які визначають команди, які користувач може вводити, і дії, які він може виконувати. RBAC забезпечує ефективний спосіб адміністрування прав користувачів.

 

Ролі користувачів, доступні в Dell Networking SONiC

 
Ролі Дозволу
Адміністратора Користувач адміністратора має повний доступ до читання/запису в системі. Це означає, що він має повний доступ до всіх команд шоу, оболонки Linux та конфігурації. 
Оператор Оператор має лише обмежений доступ до читання системи. Це означає, що він має доступ до деяких команд показу, але не може виконувати будь-яку конфігурацію в комутаторі.
 
ПРИМІТКА: З Dell SONiC 4.1 було введено дві нові ролі користувача, і один і той же користувач може мати кілька ролей.
 
Ролі Дозволу
Секадмін Користувач Secadmin має доступ до всіх команд, пов'язаних з безпекою в системі.
netadmin Користувач Netadmin має доступ до функцій конфігурації, які керують трафіком, що проходить через комутатор.



Синтаксис конфігурації

Конфігурації Пояснення
admin@DELLSONiC:~$ sonic-cli Введіть Dell Sonic CLI
DELLSONiC# налаштувати термінал Увійдіть у режим конфігурації.
DELLSONiC(config)# ім'я користувача пароль роль  Налаштуйте ім'я користувача, пароль і роль. 


Щоб перевірити роль настроєних користувачів, скористайтеся командою показати користувачів настроєними. Ця команда показує локально налаштованих користувачів і ролі.
 
Приклад виводу
  
DELLSONiC # show users configured
----------------------------------------------------------------------
User                              Role(s)
----------------------------------------------------------------------
admin1                            admin
oper                              operator
 
З Dell SONiC 4.1 ми можемо налаштувати кілька ролей для одного користувача. Нижче наведено приклад того, як налаштувати кілька ролей для одного користувача. 
DELLSONiC (config)# username testuser password testuser role operator,netadmin,secadmin
DELLSONiC(config)# exit

DELLSONiC # show users configured
----------------------------------------------------------------------
User                              Role(s)
----------------------------------------------------------------------
testuser                          netadmin,operator,secadmin



Приклад

Щоб пояснити ролі користувачів, давайте створимо двох користувачів з різними ролями.

  • Користувачеві буде призначена роль оператора
  • Користувачеві admin1 буде призначено роль адміністратора



Вхід за допомогою ролі оператора

ПРИМІТКА: При вході в систему в якості оператора, secadmin, netadmin користувача ми поміщаємося в Dell Management Framework CLI.

Спробуємо увійти в комутатор як користувач опера, який має роль оператора. Ми можемо використовувати? Щоб переглянути команди, які підтримуються n ролі користувача в певному режимі.
  
sonic login: oper
Password:
Linux sonic 5.10.0-8-2-amd64 #1 SMP Debian 5.10.46-5 (2021-09-23) x86_64
You are on
  ____   ___  _   _ _  ____
/ ___| / _ \| \ | (_)/ ___|
\___ \| | | |  \| | | |
  ___) | |_| | |\  | | |___
|____/ \___/|_| \_|_|\____|

-- Software for Open Networking in the Cloud --

Unauthorized access and/or use are prohibited.
All access and/or use are subject to monitoring.

Help:    http://azure.github.io/SONiC/

sonic# ?
  copy         Perform file operations
  delete       Delete the file from local filesystem
  dir          Show folder contents
  exit         Exit from the CLI
  ls           Show folder contents
  ping         Send ICMP ECHO_REQUEST to network hosts
  ping6        Send ICMPv6 ECHO_REQUEST to network hosts
  show         Display running system information
  terminal     Set terminal settings
  traceroute   Print the route packets take to the host
  traceroute6  Print the route packets take to the IPv6 host
User oper має роль оператора. Оператор має доступ лише для зчитування системи; Отже, User Oper не може виконати жодної конфігурації. Крім того, оператор не може виконувати всі команди показу, як користувач адміністратора.

 
ПРИМІТКА: У Dell Networking SONiC 4.0.5 і старіших версіях користувач із роллю оператора може ввійти в режим конфігурації. Але будь-яка команда, виконана в режимі налаштування, буде відхилена.

Вибірковий висновок 
DELLSONiC# show version | grep Soft
Software Version  : 4.0.5-Enterprise_Base

DELLSONiC(config)# interface-naming standard 
% Error: Client is not authorized to perform this operation
DELLSONiC(config)# hostname DeLLSoNiC
% Error: Client is not authorized to perform this operation
DELLSONiC(config)# exit
DELLSONiC# clear logging 
DELLSONiC# show logging count
DELLSONiC# show audit-log 
%Error: Client is not authorized to perform this operation

DELLSONiC# show users
oper     ttyS0        2023-08-02 21:03

Це також можна побачити в журналах аудиту, до яких має доступ користувач із роллю адміністратора.

 

Увійдіть за допомогою ролі адміністратора

Давайте увійдемо як користувач admin1, який має весь доступ.

ПРИМІТКА: При вході в систему як користувач адміністратора ми поміщаємося в оболонку Linux. Підказка admin@sonic:~$. Ми повинні використовувати команду sonic-cli для доступу до Dell Management Framework CLI. 
Debian GNU/Linux 10 DELLSONiC ttyS0

DELLSONiC login: admin1
Password: 
admin1@DELLSONiC:~$ sonic-cli
DELLSONiC# show version | grep Soft
Software Version  : 4.0.5-Enterprise_Base

DELLSONiC# show audit-log
Aug 02 21:06:01.052692+00:00 2023 DELLSONiC INFO mgmt-framework#clish[146]: User "admin1" command "startup" status - success
Aug 02 21:05:53.366544+00:00 2023 DELLSONiC INFO login[27960]: pam_unix(login:session): session opened for user admin1 by LOGIN(uid=0)
Aug 02 21:05:46.787657+00:00 2023 DELLSONiC INFO systemd[1]: Stopped Serial Getty on ttyS0.
Aug 02 21:05:46.203662+00:00 2023 DELLSONiC INFO login[4203]: pam_unix(login:session): session closed for user oper
Aug 02 21:05:45.855977+00:00 2023 DELLSONiC INFO mgmt-framework#clish[134]: User "oper" command "exit" status - success
Aug 02 21:05:09.966551+00:00 2023 DELLSONiC INFO mgmt-framework#clish[134]: User "oper" command "show users" status - success
Aug 02 21:04:52.730615+00:00 2023 DELLSONiC INFO mgmt-framework#clish[134]: User "oper" command "show audit-log" status - failure
Aug 02 21:04:46.843617+00:00 2023 DELLSONiC INFO mgmt-framework#clish[134]: User "oper" command "show logging count" status - success
Aug 02 21:04:43.031486+00:00 2023 DELLSONiC INFO mgmt-framework#clish[134]: User "oper" command "clear logging" status - success
Aug 02 21:04:39.074016+00:00 2023 DELLSONiC INFO mgmt-framework#clish[134]: User "oper" command "exit" status - success
Aug 02 21:04:26.504755+00:00 2023 DELLSONiC INFO mgmt-framework#clish[134]: User "oper" command "hostname DeLLSoNiC" status - failure
Aug 02 21:04:11.674915+00:00 2023 DELLSONiC INFO mgmt-framework#clish[134]: User "oper" command "interface-naming standard" status - failure
 

Увійдіть із неправильними обліковими даними

Тепер давайте увійдемо з неправильними обліковими даними для користувача admin1, який має роль адміністратора.
 
ПРИМІТКА: Лише користувач із правами адміністратора може отримати доступ до журналів аудиту. 
DELLSONiC login: admin1
Password:                            ==========>Wrong password is given

Login incorrect
DELLSONiC login: admin1
Password: 
Last login: Wed Aug  2 21:05:53 UTC 2023 on ttyS0
Linux DELLSONiC 4.19.0-9-2-amd64 #1 SMP Debian 4.19.118-2+deb10u1 (2020-06-07) x86_64
You are on
  ____   ___  _   _ _  ____
/ ___| / _ \| \ | (_)/ ___|
\___ \| | | |  \| | | |
  ___) | |_| | |\  | | |___
|____/ \___/|_| \_|_|\____|

-- Software for Open Networking in the Cloud --

Unauthorized access and/or use are prohibited.
All access and/or use are subject to monitoring.

Help:    http://azure.github.io/SONiC/
**Note the login failure for admin1
admin1@DELLSONiC:~$ sonic-cli

DELLSONiC# show audit-log
Aug 02 21:07:28.896480+00:00 2023 DELLSONiC INFO mgmt-framework#clish[155]: User "admin1" command "startup" status - success
Aug 02 21:07:20.219496+00:00 2023 DELLSONiC INFO login[7169]: pam_unix(login:session): session opened for user admin1 by LOGIN(uid=0)
Aug 02 21:07:12.635575+00:00 2023 DELLSONiC NOTICE login[7169]: FAILED LOGIN (1) on '/dev/ttyS0' FOR 'admin1', Authentication failure
Aug 02 21:07:08.763918+00:00 2023 DELLSONiC NOTICE login[7169]: pam_unix(login:auth): authentication failure; logname=LOGIN uid=0 euid=0 tty=/dev/ttyS0 ruser= rhost=  user=admin1




 

Affected Products

Enterprise SONiC Distribution, PowerSwitch E3200-ON Series, Dell EMC Networking N3200-ON, PowerSwitch S5212F-ON, PowerSwitch S5224F-ON, PowerSwitch S5232F-ON, PowerSwitch S5248F-ON, PowerSwitch S5296F-ON, PowerSwitch Z9100-ON, PowerSwitch Z9264F-ON , PowerSwitch Z9332F-ON, PowerSwitch Z9432F-ON ...
Article Properties
Article Number: 000216535
Article Type: How To
Last Modified: 19 Sep 2023
Version:  8
Find answers to your questions from other Dell users
Support Services
Check if your device is covered by Support Services.