ACS中文配置手册

第1章ACS的配置目录第1章ACS的配置1目录11.1AAA的配置11.1.1超级用户的配置11.1.2定义管理策略31.1.3配置使用外部Windows数据库101.1.4接口（Interface）的配置111.1.5系统备份131.1.6日志的配置141.1.7创建网络设备组（Network Device Group）161.1.8配置冗余服务器（Backup Server）201.1.9配置命令授权241.1.10创建用户301.1.11内外数据库映射321.1.12数据库的映射341.1.13匿名用户策略(Unknown User Policy) 351.1 AAA的配置1.1.1 超级用户的配置在Cisco ACS Engine 上首先进行管理员（administrator user）或超级用户（super user）的设置。

此用户拥有使用ACS所有功能的权限，因此此账户消息必须进行保密，它是管理所有ACS应用资源的关键。

请参考如下的配置步骤进行管理员用户的创建：第一步：在Aministration Control 菜单下，点击Add Administrator 按钮添加管理员。

插图 0-1 ACS添加管理员第二步：键入管理员的名字及密码并点击Grant All按钮，然后点击Submit。

插图 0-2 ACS添加管理员（续）1.1.2 定义管理策略起初Cisco ACS Engine只能通过Console来进行本地访问，一旦管理策略建立好后，Cisco ACS Engine可以通过配置的管理策略进行远程访问。

管理策略包括访问策略（Access Policy），会话策略（Session Policy），和审计策略（Audit Policy）。

首先进行访问策略的配置，使其只允许用HTTPS进行远程访问，并且限制访问端口范围为2000-2999从而制定相应的防火墙策略。

HTTPS需要证书进行认证，因此用Cisco ACS Engine来提供自签署证书，下面是自签署证书的配置方法。

在System Control 菜单下，点击ACS Certificate Setup然后点击Generate Self-Signed Certificate。

插图 0-3提供自签署证书当系统完成自签署证书后，ACS服务需要进行重启。

插图 0-4 ACS自签署证书在System Control菜单下，点击Service Control，重启ACS服务，服务重启后，确认其状态为running。

插图 0-5 ACS服务重启当系统重启后，点击Administration Control菜单，然后点击Access Policy。

插图 0-6 ACS管理员界面在IP Address Filtering 中选择允许所有IP Address to access，然后在HTTP Configuration中选择限制端口范围为2000-2999，最后选择使用HTTPS并点击Submit。

在完成如下配置后，可以通过https://ip address:2002进行远程访问。

插图 0-7 ACS管理员界面（续）在Administration Control 菜单下，选择Session Policy配置会话策略使其当会话空闲10分钟以上时，自动退出，同时迫使进行本地认证。

插图 0-8会话策略的设置在Administration Control 菜单下，选择Audit Policy审计策略使其删除老于七天的日志。

插图 0-9 日志的配置1.1.3 配置使用外部Windows数据库使用Windows AD系统上的已有用户账户消息进行用户认证。

在External User Database菜单下选择Database Configuration然后点击Windows Database。

插图 0-10 ACS使用外部数据库1.1.4 接口（Interface）的配置配置用户定义域的接口配置，在Internafce Configuration下，选择Configure user defined fields:插图 0-11 Interface的设置配置用户定义域的接口配置，在Internafce Configuration下，选择Advanced Options，确认如下的用户接口已经被enable。

插图 0-12 Interface的Advanced Options1.1.5 系统备份配置系统每个工作日进行一次备份，周五进行两次备份。

在System Configuration下，选择ACS Backup，进行如下配置。

插图 0-13 ACS系统备份设置1.1.6 日志的配置在System Control下，选择logging确认如下日志服务是开启的。

插图 0-14日志的设置插图 0-15日志的设置（续）1.1.7 创建网络设备组（Network Device Group）在Network Configuration菜单下，选择添加Network Device Group。

插图 0-16创建网络设备组插图 0-17创建网络设备组（续）增加AAA Clients到Network Device Group中去。

点击相应的Network Device Group然后点击Add AAA Clients。

插图 0-18增加网络设备组的设备键入AAA Client的IP 地址（可使用网段来简化配置）及密钥并选择适当的Network Device Group。

插图 0-19增加网络设备组的设备（续）1.1.8 配置冗余服务器（Backup Server）从Network Configuration 菜单中，点击Not Assigned Network Device Group，选择添加AAA Server。

（本AAA Server应当已经在列表中）插图 0-20配置冗余服务器插图 0-21配置冗余服务器（续）配置服务器间的数据库复制：在System Configuration中，选择ACS Internal Database Replication。

在主服务器上选择发送数据库，在备份服务器上选择接收数据库。

选择复制时间为备份时间后一小时。

插图 0-22配置冗余服务器备份选项在备份ACS上进行相同的配置，但是选择Receive。

注意：不要把主服务器加入Replication Partner列表中。

插图 0-23备份服务器列表设置1.1.9 配置命令授权在Shared Profile Components 菜单下，选择Shell Authorization Command Sets；然后点击Add。

插图 0-24配置Shared Profile在Add command中键入show并选择Permit Unmatched Args 同时deny config;deny start;deny config插图 0-25配置shared profile命令集创建用户组：在Group Setup菜单下，选择Group1然后点击Rename Group进行相应的命名。

插图 0-26工作组命名配置用户组：点击Edit Settings对相应的用户组进行编辑。

在TACACS+ Settings中，点中Shell(exec)，点中Privilege level并填入15。

在Shell Authorization Command Sets中，选择相应的NetworkAccess Group 与Command Set。

在IETF RADIUS Attributes 中，选择［006］Service-type下选择Login。

插图 0-27工作组配置插图 0-28工作组配置（续）插图 0-29工作组配置（续）1.1.10 创建用户在User Setup菜单下，增加用户。

插图 0-30创建用户在Password Authentication下选择Windows Database然后并选择适当的用户组。

插图 0-31创建用户（续）1.1.11 内外数据库映射的账户信息存放在Microsoft AD上，因此要进行与Microsoft AD上数据库关联的配置。

在External User Database下，点击Database Configuration，然后选择WindowsDatabase点击Configure。

选择Windows Domain。

选择Database Mapping，然后选择相应的Windows用户组映射为ACS用户组。

1.1.13 匿名用户策略(Unknown User Policy)ACS的系统缺省设置为查询本地ACS数据库，如未找到则返回认证失败。

的账户信息存放在Microsoft AD上，因此Unknown User Policy需设为Windows Database.在External User Database下，选择Unknow User Policy。

设置Windows Database 为Unknown User Policy。