ЦИска хитрая: через стандартный атрибут передает

Правда, догадаться об этом невозможно - этот атрибут в классическом IETF RADIUS совсем за другое отвечает

Ну собсно, разницы-то никакой, через что передать роль.
Единственно, это для версии аж 3.2 и для контроллера 2600 (старенького) со старой ОС. Но вполне может сработать