怎样用脚本批量删除TACACS用户？

wen 实用脚本 2026-07-21 3

如何用脚本批量删除TACACS用户？高效运维指南

目录导读

为什么需要批量删除TACACS用户？
批量删除前必须做的准备工作
基于文本配置的批量删除脚本（适用于自建TACACS+）
基于API或Expect的自动化删除（适用于商业TACACS平台）
常见问题与安全提醒
脚本执行的最佳实践

为什么需要批量删除TACACS用户？

在企业网络运维中,TACACS+（终端访问控制器访问控制系统）常用于管理网络设备的AAA（认证、授权、审计）服务，当员工离职、权限变更或系统迁移时，管理员可能需要批量清理过期或无效的TACACS用户，手动逐条删除不仅效率低下，而且容易遗漏或出错。用脚本批量删除TACACS用户成为运维人员的高效选择。

怎样用脚本批量删除TACACS用户？

问答：
问：TACACS用户批量删除适用于哪些场景？
答：通常适用于以下情况：

季度/年度安全审计后，需要清理长期不活跃账户。
项目结束,撤销所有临时外包人员的访问权限。
更换认证服务器（如从TACACS迁移到LDAP），需要清空原数据库。

批量删除前必须做的准备工作

在运行任何删除脚本前,请严格执行以下步骤，避免误删或服务中断：

备份当前TACACS配置文件：例如备份 /etc/tacacs+/tac_plus.conf 或 /data/tacacs/users。
确认用户列表：生成待删除用户的CSV或文本文件（如 delete_users.txt），每行一个用户名。
测试环境验证：先在测试服务器上运行脚本，确认脚本不会影响正在使用的认证会话。
权限与日志：确保脚本以root或tacacs服务运行账户执行，并开启详细日志记录。

问答：
问：如果没有备份，误删后如何恢复？
答：若配置未及时备份，可尝试从系统日志 /var/log/tac_plus.log 中提取最近活跃用户，但无法完全恢复已被删除的静态配置，生产环境务必先备份。

方案一：基于文本配置的批量删除脚本（适用于自建TACACS+）

大多数开源TACACS+（如 tac_plus）使用纯文本配置文件，删除用户本质是移除配置文件中对应的 user = xxx 块，以下提供两个实用脚本：

1 使用Shell + sed 删除特定用户（推荐）

#!/bin/bash
# 脚本名称：tacacs_batch_delete.sh
# 功能：从 tac_plus.conf 中批量删除指定用户
BACKUP_FILE="/etc/tacacs+/tac_plus.conf.bak.$(date +%Y%m%d_%H%M%S)"
CONFIG_FILE="/etc/tacacs+/tac_plus.conf"
DELETE_LIST="delete_users.txt"
# 步骤1：备份
cp "$CONFIG_FILE" "$BACKUP_FILE"
echo "备份完成：$BACKUP_FILE"
# 步骤2：循环删除
while IFS= read -r user; do
    if [[ -n "$user" ]]; then
        # 删除从 "user = username" 开始到下一个 "}" 的区域
        sed -i "/^user = $user\$/,/^}/d" "$CONFIG_FILE"
        echo "已删除用户：$user"
    fi
done < "$DELETE_LIST"
# 步骤3：重启TACACS服务
systemctl restart tac_plus  # 或 service tac_plus restart
echo "服务已重启，删除完成。"

注意：此脚本假设 tac_plus.conf 中的用户定义符合标准格式（user = xxx { ... }），若格式有嵌套，需调整正则。

2 使用Python脚本处理多用户（更灵活）

当用户定义包含多行属性时,Python能更精准地解析配置：

import re
def delete_users(config_path, user_list, output_path):
    with open(config_path, 'r') as f:
        content = f.read()
    # 使用正则匹配用户块
    for user in user_list:
        pattern = re.compile(r'user\s*=\s*' + re.escape(user) + r'\s*\{[^}]*\}', re.DOTALL)
        content = pattern.sub('', content)
        print(f"已删除用户：{user}")
    with open(output_path, 'w') as f:
        f.write(content)
# 使用示例
delete_users('/etc/tacacs+/tac_plus.conf', ['admin_temp', 'guest_002'], '/etc/tacacs+/tac_plus.conf.new')

问答：
问：脚本删除后，如何验证用户已完全清除？
答：运行 grep -c "^user =" /etc/tacacs+/tac_plus.conf 统计剩余用户数，或使用 tac_plus -P < 用户名> 测试认证。

方案二：基于API或Expect的自动化删除（适用于商业TACACS平台）

如果你的环境使用商业TACACS服务器（如Cisco ACS、Aruba ClearPass、RADIUS/TACACS设备），通常提供REST API或CLI接口，以下以模拟CLI交互的Expect脚本为例：

#!/usr/bin/expect
# 脚本名称：delete_tacacs_user.exp
# 功能：通过SSH登录ACS，批量删除用户（需预先准备用户名列表）
set timeout 10
set host "192.168.1.100"
set username "admin"
set password "admin123"
# 读取要删除的用户
set f [open "delete_users.txt" r]
set users [split [read $f] "\n"]
close $f
spawn ssh $username@$host
expect "password:"
send "$password\r"
expect "#"
foreach user $users {
    if {$user ne ""} {
        send "delete user $user\r"
        expect "#"
        puts "已删除用户：$user"
    }
}
send "exit\r"
expect eof

注意：商业平台接口差异大，请根据实际手册调整命令（例如Cisco ISE使用 ise user delete）。

问答：
问：API方式比文本脚本更可靠吗？
答：是的，商业平台的API通常支持事务回滚和权限校验，且不会破坏配置文件结构，如果你的TACACS系统提供REST API，优先使用API。

常见问题与安全提醒

1 删除后用户仍在认证？

缓存问题：部分TACACS服务有内存缓存，需重启服务（如 systemctl restart tac_plus）。
多节点同步：如果使用集群，需在所有节点执行删除或通过主控同步。

2 如何安全测试脚本？

在非生产环境使用 --dry-run 模式（如脚本中加入 echo "将要删除：$user" 而非真正删除）。
备份配置文件后,先删除一个测试用户，确保网络设备认证不受影响。

3 权限与日志

所有删除操作应记录到日志文件,便于事后审计。
建议在脚本中加入 set -e 参数，遇到错误立即终止。

问答：
问：批量删除时，能否只保留最近30天活动的用户？
答：可以，先用脚本提取 /var/log/tac_plus.log 中30天内登录过的用户，生成保留列表；再通过脚本删除不在列表中的用户。

脚本执行的最佳实践

三步走策略：
- 备份（必须）
- 测试（在隔离环境）
- 执行（并监控日志）
升级建议：
- 将删除脚本加入Cron定时任务,配合用户审计报告自动执行。
- 考虑使用Ansible或SaltStack等配置管理工具,统一管理多台TACACS服务器。
安全红线：
- 永远不要在生产服务器上直接运行未经测试的脚本。
- 脚本中的密码/密钥应通过变量或专用密钥管理服务传递，禁止硬编码。

通过本文的脚本示例,你可以快速实现“怎样用脚本批量删除TACACS用户”的目标，无论是自建开源平台还是商业设备，核心原则都是：保证备份、逐步验证、日志追踪，下次遇到大量用户清理任务，再也不用逐行手工操作了。