02-RBAC配置
本章节下载： 02-RBAC配置 (514.62 KB)
1.10.2 Telnet用户的RADIUS用户角色授权配置举例
1.10.3 Telnet用户的HWTACACS用户角色切换认证配置
1.10.4 Telnet用户的RADIUS用户角色切换认证配置
1.11.2 使用远程认证服务器进行身份认证的用户登录设备失败
RBAC（Role Based Access Control，基于角色的访问控制）通过建立“权限<->角色”的关联实现将权限赋予给角色，并通过建立“角色<->用户”的关联实现为用户指定角色，从而使用户获得相应角色所具有的权限。RBAC的基本思想就是给用户指定角色，这些角色中定义了允许用户操作哪些系统功能以及资源对象。RBAC采用权限与用户分离的思想，提高用户权限分配的灵活性，减小用户授权管理的复杂度，降低管理开销。
为一个用户角色赋予权限的具体实现包括以下两个方面：
· 定义用户角色规则：实现对系统功能的操作权限的控制。例如，定义用户角色规则允许用户配置A功能，或禁止用户配置B功能。
· 定义资源控制策略：实现对系统资源的操作权限的控制。例如，定义资源控制策略允许用户操作VLAN 10。
资源控制策略需要与用户角色规则相配合才能生效。在用户执行命令的过程中，系统对该命令涉及的系统资源使用权限进行动态检测，因此只有用户同时拥有执行该命令的权限和使用该资源的权限时，才能执行该命令。例如，若管理员为某用户角色定义了一条规则允许用户执行创建VLAN的命令vlan，且同时定义了一条VLAN策略允许用户操作VLAN 10，则当用户被授权此用户角色并试图创建VLAN 10时，操作会被允许，但试图创建其它VLAN时，操作会被禁止。若管理员并没有为该用户角色定义规则允许用户执行创建VLAN命令，则用户即便拥有该VLAN资源的操作权限，也无法执行相关的命令。
用户角色规则定义了允许/禁止用户操作某些功能的权限。一个用户角色中可以包含多条用户角色规则，每条规则定义了是允许还是禁止用户对某命令、特性、特性组、Web菜单、XML元素或者OID进行操作。
· 基于命令的规则：用来控制一条命令或者与指定命令关键字相匹配的一类命令是否允许被执行。
· 基于特性的规则：用来控制特性包含的命令是否允许被执行。
· 基于特性组的规则：用来同时对多个特性包含的命令进行控制。
· 基于Web菜单的规则：用来控制指定的Web菜单选项是否允许被操作。
· 基于XML元素的规则：用来控制指定的XML元素是否允许被执行。
· 基于OID的规则：用来控制指定的OID是否允许被SNMP访问。
RBAC对命令、特性、特性组、Web菜单、XML元素或者OID进行的操作，又包括三种类型：
· 读类型：用于显示系统配置信息和维护信息。如显示命令display、显示文件信息的命令dir为读类型的命令。
· 写类型：用于对系统进行配置。如开启信息中心功能的命令info-center enable、配置调试信息开关的命令debugging为写类型的命令。
· 执行类型：用于执行特定的功能。如ping命令、与FTP服务器建立连接的命令ftp为执行类型的命令。
一个用户角色中可以定义多条规则，各规则以创建时指定的编号为唯一标识，被授权该角色的用户可以执行的命令为这些规则中定义的可执行命令的并集。若这些规则定义的权限内容有冲突，则规则编号大的有效。例如，规则1允许执行命令A，规则2允许执行命令B，规则3禁止执行命令A，则最终规则2和规则3生效，即禁止执行命令A，允许执行命令B。
资源控制策略规定了用户对系统资源的操作权限。在用户角色中可定义如下类型的资源控制策略：
· 接口策略：定义用户允许操作的接口，包括创建并进入接口策略视图、删除接口。
· VLAN策略：定义用户允许操作的VLAN，包括创建并进入VLAN策略视图、删除VLAN。
在display命令中指定接口/VLAN参数并不属于应用接口/VLAN。
系统预定义了多种用户角色，用户角色名和对应的权限如表1-1所示。这些用户角色缺省均具有操作所有系统资源的权限，但具有不同的系统功能操作权限。如果系统预定义的用户角色无法满足权限管理需求，管理员还可以自定义用户角色来对用户权限做进一步控制。
在所有系统预定义的用户角色当中，仅network-admin或者level-15角色的用户具有执行创建/修改/删除本地用户和本地用户组的权限。其它角色的用户，即使被授权对本地用户和本地用户组的操作权限，也仅仅具有修改自身密码的权限，没有除此之外的对本地用户和本地用户组的任何操作权限。
用户以任意角色登录设备，在某视图下输入<?>会显示该视图下系统定义的缺省别名帮助信息，但用户对帮助信息中的命令行别名未必具有实际操作权限，命令行别名的实际操作权限以原命令行的操作权限为准。有关命令行别名的详细介绍请参见“基础配置指导”中的“CLI”。
用户以任意角色登录设备，均具有执行system-view、quit和exit命令的权限。
系统预定义的用户角色中，仅level-0～level-14可以通过自定义规则和资源控制策略调整自身的权限，但这种修改对于display history-command all命令不生效，即不能通过添加对应的规则来更改它的缺省执行权限。
|
用户角色名 |
权限 |
|
network-admin |
可操作系统所有功能和资源（除安全日志文件管理相关命令display security-logfile summary、info-center security-logfile directory、security-logfile save之外） |
|
network-operator |
· 可执行系统所有功能和资源的相关display命令（除display history-command all、display security-logfile summary等命令，具体请通过display role命令查看） · 如果用户采用本地认证方式登录系统并被授予该角色，则可以修改自己的密码 · 可执行进入XML视图的命令 · 可允许用户操作所有读类型的Web菜单选项 · 可允许用户操作所有读类型的XML元素 · 可允许用户操作所有读类型的OID |
|
level-n (n = 0～15) |
· level-0：可执行命令ping、tracert、ssh2、telnet和super，且管理员可以为其配置权限 · level-1：具有level-0用户角色的权限，并且可执行系统所有功能和资源的相关display命令（除display history-command all之外），以及管理员可以为其配置权限 · level-2～level-8和level-10～level-14：无缺省权限，需要管理员为其配置权限 · level-9：可操作系统中绝大多数的功能和所有的资源，且管理员可以为其配置权限，但不能操作display history-command all命令、RBAC的命令（Debug命令除外）、文件管理、设备管理以及本地用户特性。对于本地用户，若用户登录系统并被授予该角色，可以修改自己的密码 · level-15：具有与network-admin角色相同的权限 |
|
security-audit |
安全日志管理员，仅具有安全日志文件的读、写、执行权限，具体如下： · 可执行安全日志文件管理相关的命令（display security-logfile summary、info-center security-logfile directory、security-logfile save）。安全日志文件管理相关命令的介绍，请参见“设备管理命令参考”中的“信息中心” · 可执行安全日志文件操作相关的命令，例如more显示安全日志文件内容；dir、mkdir操作安全日志文件目录等，具体命令的介绍请参见“基础配置命令参考”中的“文件系统管理” 以上权限，仅安全日志管理员角色独有，其它任何角色均不具备 该角色不能被授权给从当前用户线登录系统的用户 |
|
guest-manager |
支持