ISE : 一部事象解決のための Root 権限を得る rootaccess コマンドと事例の紹介

sisozumi · ‎2025-11-05

はじめに

本ページでは主にシスコ TAC から依頼をされた際に使用する "permit rootaccess" コマンドと、そのコマンドを使用した事象・不具合例が記載されたコミュニティ記事の紹介します。

コマンド概要

当コマンドは ISE を root 権限で操作する際に使用が必要となり、その操作はシスコ TAC との一時トークンの交換でのみ可能となります。

当コマンドはシスコ TAC より使用が必要である判断が必要です。
一部のコミュニティサイト記事に回避策として記載されているものを確認し起票された場合や、Bug Search Tool の Workaround 等に "Contact TAC" といった記載があった場合に使用されることもあります。

当コマンドは CLI ガイドでは以下のように紹介されています。

permit rootaccess

Cisco ISE CLI のルートにアクセスするには、EXEC モードで permit rootaccess コマンドを使用します。

permit rootaccess

（注）

チャレンジ/レスポンスを取得するには、TAC ケースの一部としてチャレンジトークン要求を送信する必要があります。この TAC ケースは 15 分間のみ有効です。15 分以内にチャレンジ/レスポンスを受信しなかった場合は、要求を再度送信する必要があります。TAC から受け取ったルートアクセスは、ルートレベルのアクセスを終了すると、チャレンジ/レスポンスプロセスによってロックされます。

https://www.cisco.com/c/ja_jp/td/docs/security/ise/3-4/cli_guide/b_ise_CLI_Reference_Guide_34/b_ise_CLIReferenceGuide_chapter_01.html#wp1170930601

以下のようなプロセスで TAC とのやりとりが必要になります。

1. 当コマンド実行によりチャレンジトークンリクエストを作成
2. webex チャットやメールを通してトークンを TAC へ共有
3. TAC はチャレンジトークンリクエストを元にチャレンジレスポンスを生成
4. webex チャットやメールを通してレスポンスを操作者へ共有
5. レスポンスを入力

この 1. - 5. のプロセスは 15 分以内に完了する必要があるため、基本的にはリアルタイムでテキスト交換が実施できる webex での対応が望まれます。

Japan TAC での対応を希望されている・実施している場合は、原則シスコ標準営業時間内である 9:00 - 17:00 （土日祝日、シスコが定めた休日を除きます。）での対応をします。

しかしながら、本記事執筆時点(2025/11/05)では、メンテナンス時間を設ける必要があるような操作の場合は担当エンジニアへ相談の上、特別に時間外対応を受け入れることができる場合があります。

コマンド使用例

操作開始時

ise/admin##
ise/admin# permit rootaccess <<< コマンド実行
1. Generate Challenge Token Request
2. Enter Challenge Response for Root Access
3. Show History
4. Exit
Enter CLI Option:
1 <<< コードを発行。
Generating Challenge.....................................
Challenge String (Please copy everything between the asterisk lines exclusively):
*****************************************************************************************
GLOX7gAAAQEBAAQAAAABAgAEAAAAAAMACLmJxgub0hitBAAQiUwv+XeD3pnJ4HLnJy30YQUABAAADhAGAANJU0UHAAZJU0VfQ1QIAANJU0UJACcJIDU2NGQ5NjgwLTFmZmEtOWI0ZS0wZjY1LTdlZDllMGQ1M2UzNQo=
*****************************************************************************************
Starting background timer of 15mins <<< 発行と同時に 15 分タイマー開始
1. Generate Challenge Token Request
2. Enter Challenge Response for Root Access
3. Show History
4. Exit
Enter CLI Option:
2 <<< レスポンス入力状態へ移動。忘れずに
Please input the response when you are ready .........................<<< ここでレスポンスを入力、Enter までが期限
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
Response Signature Verified successfully !
Granting shell access
sh-4.2#

操作終了時

sh-4.2# exit
exit
Root shell exited 
1.  Generate Challenge Token Request
2.  Enter Challenge Response for Root Access
3.  Show History
4.  Exit
Enter CLI Option: 
4
Exiting.............. 
ise/admin#