通过Cisco (TACACS+)认证ssh密钥

Question

我可以将路由器设置为通过ssh公钥进行身份验证：

ip ssh pubkey-chain
 username admin
  key-string
   <ssh-pub-key>
  exit
 exit

是否有可能对Cisco进行类似的操作，以便在一组已经为TACACS+配置的设备上为ssh信任公钥？

Answer 1

看起来像是“不”。TACACS+中没有任何特定的内容可以传输证书交换，但是ASCII数据有效负载就足够了。( RFC有十年历史了)真正的问题是ACS是否有任何方法来处理它？这似乎也是“不”。我能找到的唯一提到PKI或基于证书的身份验证是EAP-TLS，这不是您想要的。

更新

我在IOS-XR文件中找到了一个引用：

注意，首选的身份验证方法将如SSH RFC中所述。基于RSA的身份验证支持仅用于本地身份验证，而不支持TACACS/RADIUS服务器。