ACS安装配置实验手册

ACS5.3配置文档v1.0（个人随笔）

ACS 5.3配置文档

文档修订记录文档编号：

目录

第一章 ACS5.3介绍 (4)

1.1AAA基本理论 (4)

1.1.1 A UTHENTICATION (4)

1.1.2 A UTHORIZATION (4) 1.1.3 A CCOUNTING (4) 1.2AAA应用场景 (5)

1.3AAA两大通讯协议 (5)

1.4传统4.X基于组的策略模型 (6)

1.5ACS5.3的最新特性 (6)

1.6ACS5.3基于规则的策略模型 (7)

第二章 ACS安装 (8)

2.1平台准备 (8)

2.1.1 软件版本 (8)

2.1.2 虚拟硬件环境要求 (8)

2.2安装步骤 (8)

2.2.1 虚拟环境搭建 (8)

2.2.2 运行虚拟机 (9)

2.2.3 登陆 (12)

2.2.4 L ICENSE注册 (12)

第三章 ACS基本认证 (13)

3.1配置主备同步 (13)

3.1.1 备设备注册 (13)

3.1.2 主设备查看状态 (13)

3.2创建用户、用户组 (14)

3.2.1 主设备创建用户组 (14)

3.2.2 主设备创建用户 (14)

3.3纳管AAA CLIENTS (14)

第四章 ACS高级策略应用 (15)

4.1配置网络资源（NDG） (15)

4.1.1 编辑网络资源位置 (15)

4.1.2 编辑网络设备类型 (15)

4.1.3 编辑网络设备所属 (16)

4.2配置策略元素 (16)

4.2.1 定义设备FILTER（定义一个设备过滤组以便以后调用） (16)

4.2.2 定义授权级别 (17) 4.2.3 定义精细化授权 (18)

4.3配置访问策略 (18)

4.3.1 编辑默认的设备管理策略 (18)

4.3.2 自定义设备管理策略 (21)

第五章 AAA审计 (22)

5.1选择LOG数据存储位置 (22)

ACS4.1基本配置手册 第1页 共17页 Cisco ACS4.1基本配置手册 1、 ACS的基本设置 在ACS服务器或远程PC上，IE浏览器URL中输入：http://acs服务器ip：2002可以进去ACS的配置界面，总的ACS界面如下图所示: 图1-1 1.1 ACS软件基本选项设置 1.1.1设置ACS4.1管理员帐号 为了防止未经授权的人员配置ACS服务器，我们首先建立管理ACS的人员的帐号和密码，建立方式如下： UnRegisteredACS4.1基本配置手册 第2页 共17页 （1） 进入ACS管理控制栏目中，并点击右边ADD Administrator选项： 图1-2 （2） 输入管理员帐号密码，并点击Grant all选项授予所有权限，最后Submit提交一下： 图1-3 UnRegisteredACS4.1基本配置手册 第3页 共17页 这样ACS管理员帐号和密码就设置好了，下次通过远程登入ACS界面系统就会提示需要提供管理员帐号和密码。 为了安全起见，可以考虑把ACS网页超时时间设置的短一些，设置方法如下： (1) 点击图中的Seeeion Policy选项， 图1-4 (2) 修改默认的idle timeout时间，改成15min 图1-5 UnRegisteredACS4.1基本配置手册 第4页 共17页 1.1.2 Log信息的设置 我们可以对ACS对log记录的默认设置进行一些修改，修改的步骤如下所示： （1） 进入ACS的system configuration栏目，并点击Service Contorl选项： 图1-6 （2） 对默认的LOG记录选项按下图方式进行修改完后，点击Restart： 图1-7 UnRegisteredACS4.1基本配置手册 第5页 共17页 1.1.3 高级用户选项设置 为了ACS用户属性等后续的设置需求，需要先把一些ACS的高级用户选项开启一下： （1） 点击ACS的Interface Configuration栏目，可以看到右边有User Data Configuration和Advanced Options这两个选项，如下图： 图1-8 （2） 需要首先添加一个TACACS＋属性的设备，这样上图中才会增加出另外一个TACACS+ (Cisco IOS)的选项。 图1-9 添加一个TACACS＋属性的设备的方法是在Network Configuration栏目中添加，步骤如下，如我们先添加一个临时测试的被管理网络设备： UnRegisteredACS4.1基本配置手册 第6页 共17页 图1-10 填写被网管设备的名称，ip地址，和ACS之间的共享密码等，选择TACACS+ (Cisco IOS)选项，最后Submit+Apply一下就可以了。 图1-11 UnRegisteredACS4.1基本配置手册 第7页 共17页 （3） 现在我们可以对一些高级选项进行启用了，进入Interface configuration栏目，点击右边的Advance Option选项，启用其中的Per-user TACACS+/RADIUS Attributes选项并提交。如下图所示： 图1-12 （4）进入Interface configuration栏目，点击右边的TACACS+(Cisco IOS)选项，启用其中的Advanced TACACS+ Features功能并提交。 图1-13 UnRegisteredACS4.1基本配置手册 第8页 共17页 1.2 ACS用户及其属性的设置 1.2.1 Shell命令权限设置 这里主要是对权限的定义，这里我们定义两种权限，一种是只读的受限权限，一种是读写都有的完全权限。 设置两个命令shell组，一个为只读组，一个为读写组（见下表） 表1-1 Shell名称 Unmatched Command 命令列表 描述 Read-only Deny permit telnet、enable、ping、traceroute、show、session、dir、exit、quit、disconnect、disable、help、more、terminal 只有匹配以上命令才被ACS服务器执行 Read-Write Permit 空 无命令权限限制 配置的具体步骤如下： （1） 先进入Shared Profile Components栏目，点击右边的Shell Command Authorization Sets选项，进入下一页后通过ADD键设置Shell命令集 图1-14 UnRegisteredACS4.1基本配置手册 第9页 共17页 图1-15 （2） 设置一个只读权限的Shell命令集 图1-16 UnRegisteredACS4.1基本配置手册 第10页 共17

ACS安装及使用

ACS的安装

1） 硬件需求

 Pentium III处理器，550 MHz或更快

 256 MB内存

 至少250MB硬盘空间，如果在本机上运行数据库，则需要更大的磁盘空间。

 显示器：256色，800×600分辨率。

 Windows 2000 Server，Service Pack 1或Service Pack 2（英文版操作系统）

 Windows NT Server 4.0，Service Pack 6a。

2） 安装步骤

第一步 以管理员身份登录

第二步 插入Cisco ACS光盘

第三步 如果出现Cisco Secure ACS for Windows 2000/NT对话框，按Install。

否则运行光盘根目录下的setup.exe。

第四步 接受软件许可协议，按ACCEPT。

第五步 按Next。

第六步 选择相应的选项，按Next。

第七步 选择安装位置，按Next。

第八步 如果仅通过ACS用户数据库验证用户，选择Check the CiscoSecure ACS

database only。

第九步 如果还需要通过Windows 2000/NT Security Access Manager(SAM)用户

数据库或Windows 2000活动目录用户数据库验证用户，按下面的步骤进

行：

 选择Also check the Windows 2000/NT User Database选项。

 如果需要对windows拨入用户进行验证，选择Yes, refer to "Grant

dialin permission to user。

第十步 按Next。

第十一步 完成下面的选项：

 Authenticate Users Using

 Access Server Name

 Access Server IP Address

 Windows Server IP Address

. 1 / 36.. .. 全码科技---技术部全码科技 技术部 雪寒

第1章章

目录

第1章

目录

1.1

1.1.1

1.1.2

1.1.3

1.1.4

1.1.5

1.1.6

1.1.7

1.1.8

1.1.9

1.1.10

1.1.11

1.1.12

1.1.13 ACS 的配置

ACS 的配置 1

1

AAA 的配置

超级用户的配置

定义管理策略

配置使用外部 Windows 数据库

接口（Interface）的配置

系统备份

日志的配置

创建网络设备组（Network Device Group）

配置冗余服务器（Backup Server）

配置命令授权

创建用户

外数据库映射

数据库的映射

匿名用户策略(Unknown User Policy) 2

2

4

11

12

14

15

17

21

25

31

33

35

36

TEL: . 2 / 36.. .. 全码科技---技术部全码科技 技术部 雪寒

1.1 AAA 的配置

1.1.1 超级用户的配置

在 Cisco ACS Engine 上首先进行管理员（administrator user）或

超级用户（super user）的设置。此用户拥有使用 ACS 所有功能的权

限，因此此账户消息必须进行，它是管理所有 ACS 应用资源的

关键。请参考如下的配置步骤进行管理员用户的创建：

第 一 步 ： 在 Aministration Control 菜 单 下 ， 点 击 Add

Administrator 按钮添加管理员。

插图 0-1 ACS 添加管理员

TEL: . 3 / 36.. .. 全码科技---技术部全码科技 技术部 雪寒