Cisco Systems CSACS3415K9 Manual De Usuario

You can define multiple authorization profiles as a network access policy result. In this way, you 
maintain a smaller number of authorization profiles, because you can use the authorization profiles in 
combination as rule results, rather than maintaining all the combinations themselves in individual 
profiles.

A session authorization policy can contain rules with multiple authorization profiles. The authorization 
profile contains general information (name and description) and RADIUS attributes only. When you use 
multiple authorization profiles, ACS merges these profiles into a single set of attributes. If a specific 
attribute appears:

In only one of the resulting authorization profiles, it is included in the authorization result. 

Multiple times in the result profiles, ACS determines the attribute value for the authorization result 
based on the attribute value in the profile that appears first in the result set.

For example, if a VLAN appears in the first profile, that takes precedence over a VLAN that appears 
in a 2nd or 3rd profile in the list.

If you are using multiple authorization profiles, make sure you order them in priority order.

The RADIUS attribute definitions in the protocol dictionary specify whether the attribute can appear 
only once in the response, or multiple times. In either case, ACS takes the values for any attribute from 
only one profile, irrespective of the number of times the values appear in the response. The only 
exception is the Cisco attribute value (AV) pair, which ACS takes from all profiles included in the result.

The identity stores contain identity attributes that you can use as part of policy conditions and in 
authorization results. When you create a policy, you can reference the identity attributes and user 
attributes. 

This gives you more flexibility in mapping groups directly to permissions in authorization rules. When 
ACS processes a request for a user or host, the identity attributes are retrieved and can then be used in 
authorization policy conditions. 

For example, if you are using the ACS internal users identity store, you can reference the identity group 
of the internal user or you can reference attributes of the internal user. (Note that ACS allows you to 
create additional custom attributes for the internal identity store records.)

If you are using an external Active Directory (AD), you can reference AD groups directly in 
authorization rules, and you can also reference AD user attributes directly in authorization rules. User 
attributes might include a user’s department or manager attribute.