Was ist AAA?

Authentifizierung, Autorisierung und Abrechnung (AAA) ist ein Sicherheitskonzept, das überprüft, wer ein Benutzer oder ein Gerät ist, festlegt, was dieser bzw. dieses tun darf, und aufzeichnet, was er bzw. es getan hat. Netzwerkbetriebssysteme und Verwaltungsplattformen setzen AAA über Protokolle wie RADIUS und TACACS+ oder über eine lokale Benutzerdatenbank um.

Die wichtigsten Erkenntnisse

• Bei der Authentifizierung wird die Identität überprüft; bei der Autorisierung werden Berechtigungen festgelegt; bei der Abrechnung wird die Nutzung protokolliert.
• RADIUS und TACACS+ sind die beiden vorherrschenden Protokolle, die zur Zentralisierung von AAA verwendet werden.
• AAA kann lokal auf einem Gerät oder zentral über einen Verzeichnisserver ausgeführt werden.
• Ein zentralisiertes AAA-System regelt die administrative Zugriffskontrolle über große Geräteflotten hinweg.
• Versa Sowohl der Director als auch die VOS-Geräte unterstützen RADIUS, TACACS+ und lokales AAA.

Auf dieser Seite: Warum das wichtig ist · So funktioniert es · Arten · AAA & Versa · Häufig gestellte Fragen

Warum ist AAA wichtig?

Jedes Netzwerk muss bei jeder Anmeldung und jeder Aktion drei Fragen beantworten: Wer ist das? Was darf diese Person tun? Und was hat sie tatsächlich getan? AAA beantwortet alle drei Fragen innerhalb eines einzigen Rahmens, weshalb es die Grundlage für nahezu jede Infrastruktur bildet, die einen kontrollierten Zugriff erfordert – seien es Router, Firewalls, VPN-Konzentratoren oder Verwaltungskonsolen.

Durch die Zentralisierung von AAA wird zudem eine echte Risikoquelle beseitigt: ausschließlich lokal gültige Anmeldedaten, die über Hunderte von Geräten verstreut sind und für die jeweils ein eigenes Passwort erforderlich ist, das nach einem Sicherheitsvorfall geändert, deaktiviert oder überprüft werden muss. Ein zentraler RADIUS- oder TACACS+-Server ermöglicht es einem Administrator, ein Konto zu sperren und den Zugriff überall gleichzeitig zu entziehen, und bietet Prüfern einen einheitlichen Nachweispfad – was in regulierten Branchen häufig eine Compliance-Anforderung ist.

Was ist AAA?

AAA unterteilt die Zugriffskontrolle in drei unabhängige Schritte. Bei der Authentifizierung wird die Identität überprüft – ein Benutzername und ein Passwort, ein Zertifikat oder ein Token, die anhand einer lokalen Datenbank oder eines externen Servers wie Active Directory, LDAP, RADIUS oder TACACS+ abgeglichen werden. Die Autorisierung erfolgt nach erfolgreicher Authentifizierung: Das System ermittelt, wozu der Benutzer berechtigt ist, indem es Rollen- oder Gruppenattribute mit einer Richtliniendatenbank abgleicht. Die Protokollierung läuft danach kontinuierlich weiter und zeichnet Sitzungsdaten auf – Anmelde- und Abmeldezeiten, ausgeführte Befehle, übertragene Bytes – für Abrechnungszwecke, Audits oder forensische Untersuchungen.

Die Schritte sind konzeptionell voneinander unabhängig: Ein System kann die Authentifizierung lokal durchführen, die Autorisierung und Abrechnung jedoch remote vornehmen, oder sich bei einem Server authentifizieren, während die Abrechnung bei einem anderen Server erfolgt. RADIUS und TACACS+ sind die gängigen Protokolle, über die AAA-Anfragen zwischen einem Gerät und einem zentralen Server übertragen werden, doch das dreistufige Modell gilt unabhängig davon.

Arten von AAA

AAA-Implementierungen lassen sich im Allgemeinen in einige wenige Muster einordnen. Bei der lokalen AAA wird die Benutzerdatenbank auf dem Gerät selbst gespeichert – dies ist am einfachsten einzurichten, lässt sich jedoch nicht über eine Handvoll Geräte hinaus skalieren und hinterlässt keinen zentralisierten Prüfpfad. Die RADIUS-basierte AAA zentralisiert die drei Funktionen auf einem RADIUS-Server, wobei nur das Passwort verschlüsselt wird, und wird häufig für die Netzwerkzugangskontrolle wie VPN- und WLAN-Anmeldungen verwendet. TACACS+-basiertes AAA verschlüsselt die gesamte Sitzung und trennt die drei Funktionen detaillierter voneinander, was es zur üblichen Wahl für den administrativen Zugriff auf die Netzwerkinfrastruktur macht. Verzeichnisbasiertes AAA authentifiziert über Active Directory oder LDAP, oft in Kombination mit Single Sign-On und Zwei-Faktor-Authentifizierung, und überträgt die Autorisierung an die Gruppenmitgliedschaft.

AAA & Versa

Versa Versa t AAA auf zwei Ebenen. Bei Director erfolgt die Authentifizierung von Administratoren und Mandanten über eine lokale Benutzerdatenbank oder einen externen Active Directory-, LDAP-, RADIUS- oder TACACS+-Server, wobei eine optionale Zwei-Faktor-Authentifizierung und Single Sign-On über einen Anbieter wie Okta oder Azure AD möglich sind. Bei Multi-Director-Bereitstellungen kann ein Knoten als zentraler Authentifizierungsknoten festgelegt werden, der jede Anmeldung in der gesamten Topologie an einer Stelle validiert.

Auf VOS-Geräten – Branches, Controllern und Hubs – regelt AAA den Zugriff auf die CLI und die Shell. Die lokale Authentifizierung nutzt vordefinierte Rollen wie „admin“, „operator“, „tenant-admin“ und „security-admin“; die externe Authentifizierung erfolgt über RADIUS oder TACACS+, wobei Attribut-Wert-Paare wie „ versa-user-group“ verwendet werden, um ein Remote-Konto einer Rolle zuzuordnen. Die Anleitung zur manuellen Absicherung unter Versaempfiehlt eine zentralisierte RADIUS- oder TACACS+-Authentifizierung auf jeder Zweigstelle, jedem Controller und jedem Hub, da dadurch das Risiko der Verwaltung lokaler Passwörter in großem Maßstab beseitigt wird.

Häufig gestellte Fragen

Was ist der Unterschied zwischen Authentifizierung und Autorisierung?

Bei der Authentifizierung wird überprüft, wer ein Benutzer ist, in der Regel anhand eines Passworts, eines Zertifikats oder eines Tokens. Die Autorisierung erfolgt nach erfolgreicher Authentifizierung und legt fest, was dieser Benutzer tun darf, basierend auf der ihm zugewiesenen Rolle oder Gruppe. Ein Benutzer kann authentifiziert sein, aber dennoch nur sehr begrenzte Berechtigungen haben.

Was ist der Unterschied zwischen RADIUS und TACACS+?

RADIUS verschlüsselt bei einer Authentifizierungsanfrage lediglich das Passwort und vereint Authentifizierung und Autorisierung in einem einzigen Datenaustausch; es wird vor allem bei Netzwerkzugriffsszenarien wie VPN und WLAN eingesetzt. TACACS+ verschlüsselt die gesamte Sitzung und trennt die drei Funktionen voneinander, weshalb es häufiger für den administrativen Zugriff auf Netzwerkgeräte verwendet wird.

Warum ist eine zentralisierte AAA-Lösung besser als lokale Gerätekontos?

Ein zentralisiertes AAA-System ermöglicht es einem Administrator, über RADIUS, TACACS+ oder einen Verzeichnisserver Anmeldedaten und Berechtigungen an einem zentralen Ort zu verwalten, anstatt dies auf jedem Gerät einzeln tun zu müssen. Der Entzug von Zugriffsrechten erfordert nur eine einzige Änderung statt Hunderter, und die Protokollierung erfolgt in einem einzigen System, anstatt über alle Geräte verstreut zu sein.

Benötigt AAA RADIUS oder TACACS+?

Nein. AAA ist ein Framework und kein Protokoll – ein Gerät kann die Authentifizierung, Autorisierung und Protokollierung vollständig anhand einer lokalen Benutzerdatenbank durchführen, ohne dass ein externer Server beteiligt ist. RADIUS und TACACS+ sind lediglich die gängigsten Protokolle, die zur Zentralisierung von AAA über viele Geräte hinweg verwendet werden.

Was wird im Buchhaltungsbereich von AAA eigentlich erfasst?

Die Protokollierung erfasst Daten auf Sitzungsebene: wer sich angemeldet hat, wann die Sitzung begonnen und beendet wurde, welche Befehle ausgeführt wurden und wie viel Datenverkehr – in Paketen oder Bytes – die Sitzung erzeugt hat. Diese Daten dienen der Abrechnung, der Sicherheitsüberprüfung und der forensischen Untersuchung nach einem Vorfall.

Mehr über AAA

Wenn Sie mehr erfahren möchten, finden Sie hier Quellen, denen wir vertrauen.

Verwandte Begriffe

Wenn Sie sich gerade über AAA informieren, sollten Sie sich als Nächstes diese Artikel ansehen.