При управлении устройством через Web-интерфейс для выполнения покомандной авторизации необходимо дополнительно выполнить следующие настройки:

• На устройстве (клиенте TACACS+) в свойствах встроенного Web-сервера включить аутентификацию согласно политике http-server. Значение login (по умолчанию) соответствует прежнему поведению, для совместимости с имеющимися конфигурациями у заказчиков.
• На устройстве определить отдельную политику аутентификации http-server. Пример конфигурации:

services
: http
: : enable = true
: : aaa-policy = "http-server"
system
: aaa
: : http-server
: : : 1
: : : : type = "local"
: : : 2
: : : : type = "tacacs"
: : : : per-command-auth = true
: : : : secret = …
: : : : server = …

• Здесь первым способом для политики является локальная аутентификация. Если этого не сделать, то локальные администраторы не будут иметь доступ через Web-интерфейс.

ПРИМЕЧАНИЕ. Настоятельно рекомендуется не использовать одни и те же имена для администраторов, настроенных локально на устройстве, и пользователей, аутентфицирующихся через TACACS+.

• В конфигурации сервера TACACS+ разрешить считывание конфигурации (команду get), поскольку Web-интерфейс в начале работы считывает всю конфигурацию для отображения в виде дерева. Пример для пользователя usr2 из вышеприведённой конфигурации сервера:

    # Разрешить работу только с асинхронными портами (узлы port.a*)
    user = usr2 {
        debug = ALL
        pap = clear psw2
        service = shell {
            script = {
                if (cmd =~ /^get/) permit  	# Разрешить читать конфигурацию
                if (cmd =~ / port\.a/) permit
            }
            cmd = write {    	# Разрешить сохранять конфигурацию
                permit .*
            }
        }
    }