03-RBAC命令
本章节下载: 03-RBAC命令 (184.36 KB)
目 录
1.1.4 display role feature-group
1.1.11 role default-role enable
1.1.15 vpn-instance policy deny
description命令用来配置用户角色描述信息。
undo description用来删除用户角色的描述信息。
【命令】
description text
undo description
【缺省情况】
未定义用户角色描述信息。
【视图】
用户角色视图
【缺省用户角色】
network-admin
【参数】
text:用户角色描述信息,为1~128个字符的字符串,区分大小写。
【使用指导】
描述信息用来方便管理员对用户角色进行管理。
【举例】
# 为用户角色role1配置描述信息为“labVIP”。
<Sysname> system-view
[Sysname] role name role1
[Sysname-role-role1] description labVIP
【相关命令】
· role
· display role
display role命令用来显示用户角色信息。
【命令】
display role [ name role-name ]
【视图】
任意视图
【缺省用户角色】
network-admin
network-operator
【参数】
name role-name:用户角色名称,为1~63个字符的字符串,区分大小写。
【使用指导】
如果不指定用户角色名称,则表示显示所有用户角色的信息,包括系统缺省存在的用户角色的信息。
【举例】
# 显示用户角色123的信息。
<Sysname> display role name 123
Role: 123
Description: new role
VLAN policy: deny
Permitted VLANs: 1 to 5, 7 to 8
Interface policy: deny
Permitted interfaces: Ten-GigabitEthernet1/0/1 to Ten-GigabitEthernet1/0/3, Vlan-interface1 to Vlan-interface20
VPN instance policy: deny
Permitted VPN instances: vpn, vpn1, vpn2
-------------------------------------------------------------------
Rule Perm Type Scope Entity
-------------------------------------------------------------------
1 permit RWX feature-group abc
2 deny -W- feature ldap
3 permit command system ; radius sc *
R:Read W:Write X:Execute
# 显示所有用户角色的信息。
<Sysname> display role
Role: network-admin
Description: Predefined network admin role has access to all commands on the device
VLAN policy: permit (default)
Interface policy: permit (default)
VPN instance policy: permit (default)
-------------------------------------------------------------------
Rule Perm Type Scope Entity
-------------------------------------------------------------------
sys-1 permit command *
R:Read W:Write X:Execute
Role: network-operator
Description: Predefined network operator role has access to all read commands on the device
VLAN policy: permit (default)
Interface policy: permit (default)
VPN instance policy: permit (default)
-------------------------------------------------------------------
Rule Perm Type Scope Entity
-------------------------------------------------------------------
sys-1 permit command display *
sys-2 permit command system-view ; local-user *
sys-3 permit command system-view ; switchto vd *
R:Read W:Write X:Execute
Role: level-0
Description: Predefined level-0 role
VLAN policy: permit (default)
Interface policy: permit (default)
VPN instance policy: permit (default)
-------------------------------------------------------------------
Rule Perm Type Scope Entity
-------------------------------------------------------------------
sys-1 permit command tracert *
sys-2 permit command telnet *
sys-3 permit command ping *
sys-4 permit command ssh2 *
R:Read W:Write X:Execute
Role: level-1
Description: Predefined level-1 role
VLAN policy: permit (default)
Interface policy: permit (default)
VPN instance policy: permit (default)
-------------------------------------------------------------------
Rule Perm Type Scope Entity
-------------------------------------------------------------------
sys-1 permit command tracert *
sys-2 permit command telnet *
sys-3 permit command ping *
sys-4 permit command ssh2 *
sys-5 permit command display *
R:Read W:Write X:Execute
Role: level-2
Description: Predefined level-2 role
VLAN policy: permit (default)
Interface policy: permit (default)
VPN instance policy: permit (default)
Role: level-3
Description: Predefined level-3 role
VLAN policy: permit (default)
Interface policy: permit (default)
VPN instance policy: permit (default)
Role: level-4
Description: Predefined level-4 role
VLAN policy: permit (default)
Interface policy: permit (default)
VPN instance policy: permit (default)
Role: level-5
Description: Predefined level-5 role
VLAN policy: permit (default)
Interface policy: permit (default)
VPN instance policy: permit (default)
Role: level-6
Description: Predefined level-6 role
VLAN policy: permit (default)
Interface policy: permit (default)
VPN instance policy: permit (default)
Role: level-7
Description: Predefined level-7 role
VLAN policy: permit (default)
Interface policy: permit (default)
VPN instance policy: permit (default)
Role: level-8
Description: Predefined level-8 role
VLAN policy: permit (default)
Interface policy: permit (default)
VPN instance policy: permit (default)
Role: level-9
Description: Predefined level-9 role
VLAN policy: permit (default)
Interface policy: permit (default)
VPN instance policy: permit (default)
-------------------------------------------------------------------
Rule Perm Type Scope Entity
-------------------------------------------------------------------
sys-1 permit RWX feature -
sys-2 deny RWX feature device
sys-3 deny RWX feature filesystem
sys-4 permit command display *
R:Read W:Write X:Execute
Role: level-10
Description: Predefined level-10 role
VLAN policy: permit (default)
Interface policy: permit (default)
VPN instance policy: permit (default)
Role: level-11
Description: Predefined level-11 role
VLAN policy: permit (default)
Interface policy: permit (default)
VPN instance policy: permit (default)
Role: level-12
Description: Predefined level-12 role
VLAN policy: permit (default)
Interface policy: permit (default)
VPN instance policy: permit (default)
Role: level-13
Description: Predefined level-13 role
VLAN policy: permit (default)
Interface policy: permit (default)
VPN instance policy: permit (default)
Role: level-14
Description: Predefined level-14 role
VLAN policy: permit (default)
Interface policy: permit (default)
VPN instance policy: permit (default)
Role: level-15
Description: Predefined level-15 role
VLAN policy: permit (default)
Interface policy: permit (default)
VPN instance policy: permit (default)
-------------------------------------------------------------------
Rule Perm Type Scope Entity
-------------------------------------------------------------------
sys-1 permit command *
R:Read W:Write X:Execute
表1-1 display role命令显示信息描述表
字段 |
描述 |
Role |
用户角色名称,其中系统预定义的18个用户角色名称分别为network-admin、network-operator、level-n(n为0~15) |
Description |
用户角色描述信息 |
VLAN policy |
配置的VLAN策略: · deny:表示除允许操作指定的VLAN外,其它VLAN均不能被用户操作 · permit (default):表示系统缺省允许用户操作任何VLAN |
Permitted VLANs |
允许用户操作的VLAN |
Interface policy: |
配置的接口策略: · deny:表示除允许操作指定的接口外,其它接口均不能被用户操作 · permit (default):表示系统缺省允许用户操作任何接口 |
Permitted interfaces: |
允许用户操作的接口 |
VPN-instance policy |
配置的VPN策略: · deny:表示除允许操作指定的VPN实例外,其它VPN实例均不能被用户操作 · permit (default):表示系统缺省允许用户操作任何VPN实例 |
Permitted VPN instances |
允许用户操作的VPN实例 |
Rule |
用户角色规则编号(系统预定义的权限规则通过sys-n标识) |
Perm |
对命令行的操作许可: · permit:允许操作 · deny:禁止操作 |
Type |
命令行类型: · R:读类型 · W:写类型 · X:执行类型 |
Scope |
用户角色规则的类型: · command:基于命令行的规则 · feature:基于特性的规则 · feature-group:基于特性组规则 |
Entity |
用户角色规则中定义的具体内容(命令特征字符串、特性名称或者特性组名称) · “-”表示所有特性 · “*”为通配符,表示0个或多个任意字符 |
【相关命令】
· role
display role feature命令用来显示特性相关信息。
【命令】
display role feature [ name feature-name | verbose ]
【视图】
任意视图
【缺省用户角色】
network-admin
netword-operator
【参数】
name feature-name:显示指定特性的详细信息,feature-name表示系统中的特性名称,且所有特性名称中的字母均为小写。
verbose:显示所有特性的详细信息,即显示特性内包含的所有命令行列表。
【使用指导】
如果不指定任何关键字,则显示系统中所有特性的名称列表。
【举例】
以下内容中涉及的特性、命令行均为示例,具体的显示信息与设备的实际情况有关,请以设备的实际情况为准。
# 显示系统中所有特性的名称列表。
<Sysname> display role feature
Feature: device (Device configuration related commands)
Feature: interface (Interface related commands)
Feature: syslog (Syslog related commands)
Feature: process (Process related commands)
……(略)
# 显示所有特性的详细信息。
<Sysname> display role feature verbose
Feature: device (Device configuration related commands)
display clock (R)
debugging dev (W)
display debugging dev (R)
display device * (R)
display diagnostic-information (R)
display environment * (R)
display fan * (R)
display power * (R)
display rps * (R)
display current-configuration * (R)
display saved-configuration * (R)
display startup (R)
display this * (R)
display version (R)
clock datetime * (W)
reboot * (W)
save * (W)
startup saved-configuration * (W)
system-view ; temperature-limit * (W)
system-view ; sysname * (W)
system-view ; clock timezone * (W)
system-view ; configuration replace file * (W)
system-view ; user-interface * ; idle-timeout * (W)
Feature: interface (Interface related commands)
reset counters interface * (W)
debugging ifnet * (W)
display debugging ifnet (R)
display interface * (R)
……(略)
# 显示特性aaa的详细信息。
<Sysname> display role feature name aaa
Feature: aaa (AAA related commands)
system-view ; domain * (W)
system-view ; header * (W)
display domain * (R)
system-view ; user-group * (W)
system-view ; local-user * (W)
display local-user * (R)
display user-group * (R)
display debugging local-server (R)
debugging local-server * (W)
表1-2 display role feature命令显示信息描述表(仅以display role feature name aaa的显示字段为例)
字段 |
描述 |
Feature |
特性名称以及功能简介 |
system-view ; domain * |
系统视图下以domain开头的所有命令,以及ISP域视图下的所有命令 |
system-view ; header * |
系统视图下以header开头的所有命令 |
display domain * |
用户视图下以display domain开头的所有命令 |
system-view ; user-group * |
系统视图下以user-group开头的所有命令,以及用户组视图下的所有命令 |
system-view ; local-user * |
系统视图下以local-user开头的所有命令,以及本地用户视图下的所有命令 |
display user-group * |
用户视图下以display user-group开头的所有命令 |
display debugging local-server |
用户视图下以命令display debugging local-server开头的所有命令 |
debugging local-server * |
用户视图下以debugging local-server开头的所有命令 |
(W) |
命令行的类型为写命令 |
(R) |
命令行的类型为读命令 |
(X) |
命令行的类型为执行命令 |
【相关命令】
· feature
display role feature-group命令用来显示特性组信息。
【命令】
display role feature-group [ name feature-group-name ] [ verbose ]
【视图】
任意视图
【缺省用户角色】
network-admin
netword-operator
【参数】
name feature-group-name:显示指定特性组包含的特性名称列表。feature-group-name表示特性组名称,为1~31个字符的字符串,区分大小写。如果不指定本参数,则表示显示所有特性组的相关信息。
verbose:显示特性组的详细信息,即显示特性组内的特性所包含的命令行列表。如果不指定本参数,则表示显示特性组中的特性名称列表。
【举例】
以下内容中涉及的特性、命令行均为示例,具体的显示信息与设备的实际情况有关,请以设备的实际情况为准。
# 显示所有特性组内的特性名称列表。
<Sysname> display role feature-group
Feature group: L2
Feature group: L3
Feature: route (Route management related commands)
Feature: ospf (Open Shortest Path First protocol related commands)
Feature: rip (Routing Information Protocol related commands)
Feature: bgp (Border Gateway Protocol related commands)
Feature: l3vpn (Layer 3 Virtual Private Network related commands)
# 显示所有特性组的详细信息。
<Sysname> display role feature-group verbose
Feature group: L2
Feature group: L3
Feature: route (Route management related commands)
display ip routing-table * (R)
display ipv6 routing-table * (R)
display router id * (R)
reset ip routing-table statistics * (W)
reset ipv6 routing-table statistics * (W)
debugging rm * (W)
system-view ; ip route-static * (W)
system-view ; ipv6 route-static * (W)
system-view ; router id * (W)
system-view ; delete static-routes * (W)
system-view ; delete ipv6 static-routes * (W)
Feature: ospf (Open Shortest Path First protocol related commands)
display ospf * (R)
display ospfv3 * (R)
reset ospf * (W)
debugging ospf * (W)
debugging ospfv3 * (W)
system-view ; ospf * (W)
system-view ; interface * ; ospf * (W)
system-view ; ospfv3 * (W)
system-view ; interface * ; ospfv3 * (W)
Feature: rip (Routing Information Protocol related commands)
display rip * (R)
debugging rip * (W)
system-view ; rip * (W)
system-view ; interface * ; rip * (W)
Feature: bgp (Border Gateway Protocol related commands)
display bgp * (R)
reset bgp * (W)
refresh bgp * (W)
debugging bgp * (W)
system-view ; bgp * (W)
Feature: l3vpn (Layer 3 Virtual Private Network related commands)
display ip vpn-instance * (R)
system-view ; ip vpn-instance * (W)
system-view ; interface * ; ip binding vpn-instance * (W)
# 显示特性组L3的特性名称列表。
<Sysname> display role feature-group name L3
Feature group: L3
Feature: route (Route management related commands)
Feature: ospf (Open Shortest Path First protocol related commands)
Feature: rip (Routing Information Protocol related commands)
Feature: bgp (Border Gateway Protocol related commands)
Feature: l3vpn (Layer 3 Virtual Private Network related commands)
表1-3 display role feature-group命令显示信息描述表
字段 |
描述 |
Feature group: |
特性组名称,其中L2和L3为系统预定义的两个特性组 |
Feature: |
特性名称以及功能简介 关于特性内具体命令的详细介绍请参考表1-2 |
【相关命令】
· feature
· role feature-group
feature命令用来向特性组中添加一个特性。
undo feature命令用来删除特性组中的某个特性。
【命令】
feature feature-name
undo feature feature-name
【缺省情况】
自定义特性组中不包括任何特性。
【视图】
特性组视图
【缺省用户角色】
network-admin
【参数】
feature-name:系统支持的特性名称,所有特性名称中的字母均为小写。
【使用指导】
可通过多次执行本命令,向特性组中添加多个特性。
【举例】
# 向特性组security-features中添加特性AAA和ACL。
<Sysname> system-view
[Sysname] role feature-group name security-features
[Sysname-featuregrp-security-features] feature aaa
[Sysname-featuregrp-security-features] feature acl
【相关命令】
· role feature-group
· display role feature
· display role feature-group
interface policy deny命令用来并进入接口策略视图。
undo interface policy deny命令用来恢复缺省情况。
【命令】
interface policy deny
undo interface policy deny
【缺省情况】
用户具有操作任何接口的权限。
【视图】
用户角色视图
【用户角色】
network-admin
【使用指导】
进入接口策略视图后,如果不配置允许操作的接口列表,则用户将没有操作任何接口的权限;如果需要限制或区分用户对接口资源的使用权限,则还应该通过permit interface命令配置允许用户操作的接口列表。若接口策略视图中未配置允许操作的接口列表,则表示不允许用户操作所有的接口。对接口的操作指的是创建接口并进入接口视图、删除和应用接口。其中,创建和删除接口,仅针对逻辑接口。
允许修改用户角色的接口策略,但修改后的策略只在被授权该角色的用户重新登录时才会生效。
【举例】
# 在用户角色role1中,创建并进入一个接口策略视图,并禁止角色为role1的用户操作任何接口。
<Sysname> system-view
[Sysname] role name role1
[Sysname-role-role1] interface policy deny
[Sysname-role-role1-ifpolicy] quit
# 在用户角色role1中,进入接口策略视图,允许角色为role1的用户操作接口Ten-GigabitEthernet1/0/1到Ten-GigabitEthernet1/0/5。
<Sysname> system-view
[Sysname] role name role1
[Sysname-role-role1] interface policy deny
[Sysname-role-role1-ifpolicy] permit interface ten-gigabitethernet 1/0/1 to ten-gigabitethernet 1/0/5
【相关命令】
· role
· display role
· permit interface
permit interface命令用来配置允许用户操作的接口列表。
undo permit interface命令用来禁止用户操作指定的或所有的接口。
【命令】
permit interface interface-list
undo permit interface [ interface-list ]
【缺省情况】
接口策略视图下未定义允许操作的接口列表,用户没有操作任何接口的权限。
【视图】
接口策略视图
【缺省用户角色】
network-admin
【参数】
interface interface-list:允许用户操作的接口列表,表示多个接口,表示方式为interface-list = { interface-type interface-number [ to interface-type interface-number ] }&<1-10>。其中,interface-type为接口类型,interface-number为接口编号。&<1-10>表示前面的参数最多可以输入10次。起始接口类型必须和终止接口类型一致,并且终止接口编号必须大于起始接口编号。如果不指定本参数,则表示指定所有接口。
【使用指导】
对接口的操作指的是创建并进入接口视图、删除和应用接口。其中,创建和删除接口,只针对逻辑接口。
可通过多次执行此命令向接口列表中添加允许用户操作的接口。
【举例】
# 创建用户角色role1并进入其视图。
<Sysname> system-view
[Sysname] role name role1
# 配置用户角色规则1,允许用户执行进入接口视图以及接口视图下的相关命令。
[Sysname-role-role1] rule 1 permit command system-view ; interface *
# 配置用户角色规则2,允许用户执行创建VLAN以及进入VLAN视图后的相关命令。
[Sysname-role-role1] rule 2 permit command system-view ; vlan *
# 配置用户角色role1仅可以对接口 Ten-GigabitEthernet1/0/1以及Ten-GigabitEthernet1/0/5~Ten-GigabitEthernet1/0/7进行操作。
[Sysname-role-role1] interface policy deny
[Sysname-role-role1-ifpolicy] permit interface ten-gigabitethernet 1/0/1 ten-gigabitethernet 1/0/5 to ten-gigabitethernet 1/0/7
当拥有用户角色role1的用户登录设备后,可以操作接口Ten-GigabitEthernet1/0/1以及Ten-GigabitEthernet1/0/5~Ten-GigabitEthernet1/0/7,但不能操作其它接口。
配置结果验证如下:
· 进入接口Ten-GigabitEthernet1/0/1视图。
<Sysname> system-view
[Sysname] interface ten-gigabitethernet 1/0/1
[Sysname-Ten-GigabitEthernet1/0/1]
· 将接口Ten-GigabitEthernet1/0/5加入到VLAN 10。
<Sysname> system-view
[Sysname] vlan 10
[Sysname-vlan10] port ten-gigabitEthernet1/0/5
· 无法进入接口Ten-GigabitEthernet1/0/2视图。
<Sysname> system-view
[Sysname] interface ten-gigabitethernet 1/0/2
Permission denied.
【相关命令】
· role
· display role
· interface policy deny
permit vlan命令用来配置允许用户操作的VLAN列表。
undo permit vlan命令用来禁止用户操作指定的或所有的VLAN。
【命令】
permit vlan vlan-id-list
undo permit vlan [ vlan-id-list ]
【缺省情况】
VLAN接口视图下未定义允许操作的VLAN列表,用户没有操作任何VLAN的权限。
【视图】
VLAN策略视图
【缺省用户角色】
network-admin
【参数】
vlan-id-list:允许用户操作的VLAN列表,表示方式为vlan-id-list = { vlan-id1 [ to vlan-id2 ] }&<1-10>,vlan-id取值范围为1~4094,&<1-10>表示前面的参数最多可以重复输入10次。终止VLAN编号必须大于起始VLAN编号。如果不指定本参数,则表示指定所有VLAN。
【使用指导】
对VLAN的操作指的是创建VLAN并进入VLAN视图、删除和应用VLAN。
可通过多次执行此命令向VLAN列表中添加允许用户操作的VLAN。
【举例】
#创建用户角色role1并进入其视图。
<Sysname> system-view
[Sysname] role name role1
# 配置用户角色规则1,允许用户执行进入接口视图以及接口视图下的相关命令。
[Sysname-role-role1] rule 1 permit command system-view ; interface *
# 配置用户角色规则2,允许用户执行创建VLAN以及进入VLAN视图后的相关命令。
[Sysname-role-role1] rule 2 permit command system-view ; vlan *
# 配置用户角色role1仅可以操作VLAN 2、VLAN 4、VLAN 50~VLAN 100。
[Sysname-role-role1] vlan policy deny
[Sysname-role-role1-vlanpolicy] permit vlan 2 4 50 to 100
当拥有用户角色role1的用户登录设备后,可以操作VLAN 2、VLAN 4、VLAN 50~VLAN 100,但不能操作其它VLAN。
配置结果验证如下:
· 创建并进入VLAN 100视图。
<Sysname> system-view
[Sysname] vlan 100
[Sysname-vlan100]
· 向VLAN 100中添加Access类型的端口Ten-GigabitEthernet1/0/1。
<Sysname> system-view
[Sysname] interface ten-gigabitethernet1/0/1
[Sysname-Ten-GigabitEthernet1/0/1] port access vlan 100
· 无法创建VLAN 101并进入其视图。
<Sysname> system-view
[Sysname] vlan 101
Permission denied.
【相关命令】
· role
· display role
· vlan policy deny
permit vpn-instance命令用来配置允许用户操作的VPN列表。
undo permit vpn-instance命令用来禁止用户操作指定的或所有的VPN实例。
【命令】
permit vpn-instance vpn-instance-name&<1-10>
undo permit vpn-instance [ vpn-instance-name&<1-10> ]
【缺省情况】
VPN策略视图下未定义允许操作的VPN列表,用户没有操作任何VPN的权限。
【视图】
VPN策略视图
【缺省用户角色】
network-admin
【参数】
vpn-instance-name&<1-10>:表示允许用户操作的MPLS L3VPN实例的名称,为1~31个字符的字符串,区分大小写。&<1-10>表示前面的参数最多可以输入10次。如果不指定本参数,则表示指定所有MPLS L3VPN实例。
【使用指导】
对VPN实例的“操作”指的是创建MPLS L3VPN实例并进入其视图、删除和应用VPN实例。
可通过多次执行此命令向接口列表中添加允许用户操作的VPN实例。
【举例】
# 创建用户角色role1并进入其视图。
<Sysname> system-view
[Sysname] role name role1
# 配置用户角色规则1,允许用户执行系统视图下的所有命令以及所有子视图下的命令。
[Sysname-role-role1] rule 1 permit command system-view ; *
# 配置用户角色role1仅可以对VPN实例vpn1进行操作。
[Sysname-role-role1] vpn policy deny
[Sysname-role-role1-vpnpolicy] permit vpn-instance vpn1
拥有用户角色role1的用户登录设备后,可以操作VPN实例vpn1,但不能操作其它VPN实例。
配置结果验证如下:
· 进入名称为vpn1的VPN实例视图。
<Sysname> system-view
[Sysname] ip vpn-instance vpn1
[Sysname-vpn-instance-vpn1]
· 设置RADIUS方案radius1的主计费服务器的IP地址为10.110.1.2,且属于VPN实例vpn1。
<Sysname> system-view
[Sysname] radius scheme radius1
[Sysname-radius-radius1] primary accounting 10.110.1.2 vpn-instance vpn1
· 无法创建名称为vpn2的VPN实例并进入其视图。
<Sysname> system-view
[Sysname] ip vpn-instance vpn2
Permission denied.
【相关命令】
· role
· display role
· vpn-instance policy deny
role命令用来创建用户角色,并进入用户角色视图。
undo role命令用来删除指定的用户角色。
【命令】
role name role-name
undo role name role-name
【缺省情况】
系统预定义了18个用户角色,用户角色名称分别为network-admin、network-operator和level-n(n为0~15的整数)。
【视图】
系统视图
【缺省用户角色】
network-admin
【参数】
name role-name:用户角色名称,role-name为1~63个字符的字符串,区分大小写。
【使用指导】
除系统预定义的缺省用户角色之外,系统中最多允许创建64个用户角色。
缺省的用户角色不能被删除,而且其中的network-admin、network-operator和level-15这三个用户角色内定义的所有权限均不能被修改,但是,对于network-operator,如果用户采用本地认证方式登录系统并被授予该角色,则用户可以修改自己的密码。
【举例】
# 创建用户角色role1,并进入用户角色视图。
<Sysname> system-view
[Sysname] role name role1
[Sysname-role-role1]
【相关命令】
· display role
· rule
· interface policy deny
· vlan policy deny
· vpn-instance policy deny
role default-role enable命令用来使能缺省用户角色授权功能。
undo role default-role enable命令用来恢复缺省情况。
【命令】
role default-role enable
undo role default-role enable
【缺省情况】
缺省用户角色授权功能处于关闭状态,没有被AAA授权用户角色的用户不能登录设备。
【视图】
系统视图
【缺省用户角色】
network-admin
【使用指导】
对于通过远程AAA认证登录设备的用户,由AAA服务器为其授权对应的用户角色。如果用户没有被授权任何用户角色,将无法成功登录设备。使能该功能后,用户在AAA服务器没有为其授权角色的情况下,具有一个缺省的用户角色network-operator。
若用户通过AAA认证且被AAA服务器授予了具体的用户角色,则用户不具有以上缺省的用户角色。
【举例】
# 使能缺省用户角色授权功能。
<Sysname> system-view
[Sysname] role default-role enable
【相关命令】
· role
role feature-group命令用来创建特性组并进入特性组视图。
undo role feature-group命令用来删除指定的特性组。
【命令】
role feature-group name feature-group-name
undo role feature-group name feature-group-name
【缺省情况】
存在两个特性组,名称分别为L2和L3。
【视图】
系统视图
【缺省用户角色】
network-admin
【参数】
name feature-group-name:特性组名称,feature-group-name为1~31个字符的字符串,区分大小写。
【使用指导】
除系统预定义的特性组L2和L3之外,系统中最多允许创建64个特性组。
不能修改和删除系统预定义的特性组L2和L3。L2中包含了所有的二层功能的命令,L3中包含了所有三层功能的命令。
【举例】
# 创建特性组security-features。
<Sysname> system-view
[Sysname] role feature-group name security-features
[Sysname-featuregrp-security-features]
【相关命令】
· display role feature-group
· display role feature
· feature
rule命令用来为用户角色创建一条规则。
undo rule命令用来为用户角色删除一条规则。
【命令】
rule number { deny | permit } { command command-string | { execute | read | write } * { feature [ feature-name ] | feature-group feature-group-name } }
undo rule { number | all }
【缺省情况】
新创建的用户角色中未定义规则,即当前用户角色无任何权限。
【视图】
用户角色视图
【缺省用户角色】
network-admin
【参数】
number:权限规则编号,取值范围为1~256。
deny:禁止执行指定的命令。
permit:允许执行指定的命令。
command command-string:配置基于命令的规则。command-string表示命令特征字符串,为1~128个字符的字符串,不区分大小写,可以是特定的一条命令行,也可以是用星号(*)通配符表示的一批命令,可包含空格、Tab(它们用于分隔关键字、参数以及输入的字符),以及所有可打印字符。
execute:表示执行类型的命令,即用于执行特定的程序或功能的一类命令,如ping命令。
read:表示读类型的命令,即显示系统配置和维护信息的一类命令,如display、dir、more和pwd命令。
write:表示写类型的命令,即用于对系统进行配置的一类命令,如ssh server enable命令。
feature [ feature-name ]:配置基于特性的规则。feature-name表示系统预定义的特性名称,区分大小写。若不指定特性名称,则表示所有特性。
feature-group feature-group-name:配置基于特性组的规则。feature-group-name表示特性组名称,为1~31个字符的字符串,区分大小写。
all:指定所有权限规则。
【使用指导】
可为一个用户角色定义以下三种类型的规则:
· 禁止或允许执行特定的命令行。
· 禁止或允许执行指定或所有特性的某一类或某几类命令。
· 禁止或允许执行某个特性组中所有特性的某一类或某几类命令。
需要注意的是:
· 执行本命令时,如果指定编号的规则不存在,则表示创建一条新的规则;如果指定编号的规则已存在,则表示对已有的规则进行修改。修改后的规则对于当前已经在线的用户不生效,对于之后使用该角色登录设备的用户生效。
· 一个用户角色中允许创建多条规则,各规则以创建时指定的编号为唯一标识,被授权该角色的用户可以执行的命令为这些规则定义的可执行命令的并集。若这些规则定义的权限内容有冲突,则规则编号大的有效。例如,规则1允许执行命令A,规则2允许执行命令B,规则3禁止执行命令A,则最终规则2和规则3生效,即禁止执行命令A,允许执行命令B。
· 每个用户角色中最多可以配置256条规则,系统中的用户角色规则总数不能超过1024。
输入命令特征字符串时,需要遵循以下规则:
(1) 段(segment)的划分
· 若要描述多级视图下的命令,则需要使用分号(;)将命令特征字符串分成多个段,每一个段代表一个或一系列命令,后一个段中的命令是执行前一个段中命令所进入视图下的命令。一个段中可以包含多个星号(*),每个星号(*)代表了0个或多个任意字符。例如:命令特征字符串“system ; interface * ; ip * ;” 代表从系统视图进入到任意接口视图后,以ip开头的所有命令。
· 除最后一个段外,其余段中的命令应为描述如何进入子视图的命令特征字符串。
· 一个段中必须至少出现一个可打印字符,不能全部为空格或Tab。
(2) 分号的使用
· 在输入命令特征字符串时必须指定该命令所在的视图,进入各视图的命令特征字符串由分号分隔。但是,对于能在任意视图下执行的命令(例如display命令)以及用户视图下的命令(例如dir命令),在配置包含此类命令的规则时,不需要在规则的命令匹配字符串中指定其所在的视图。
· 当最后一个段中的最后一个可见字符为分号时,表示所指的命令范围不再扩展,否则将向子视图中的命令扩展。例如:命令特征字符串“system ; radius scheme * ;”代表系统视图下以radius scheme开头的所有命令;命令特征字符串“system ; radius scheme * ”代表系统视图下以radius scheme开头的所有命令,以及进入子视图(RADIUS方案视图)下的所有命令。
(3) 星号的使用
· 当星号(*)出现在一个段的首部时,其后面不能再出现其它可打印字符,且该段必须是命令特征字符串的最后一个段。例如:命令特征字符串“system ; *”就代表了系统视图下的所有命令,以及所有子视图下的命令。
· 当星号(*)出现在一个段的中间时,该段必须是命令特征字符串的最后一个段。例如:命令特征字符串“debugging * event”就代表了用户视图下所有模块的事件调试信息开关命令。
(4) 前缀匹配
· 命令关键字与命令特征字符串是采用前缀匹配算法进行匹配的,即只要命令行中关键字的首部若干连续字符或全部字符与规则中定义的关键字相匹配,就认为该命令行与此规则匹配。因此,命令特征字符串中可以包括完整的或部分的命令关键字。例如,若规则“rule 1 deny command dis mpls lsp protocol static asbr”生效,则命令display mpls lsp protocol static asbr和命令display mpls lsp protocol static-cr asbr都会被禁止执行。
对于基于命令的规则,有以下使用注意事项:
· 基于命令的规则只对指定视图下的命令生效。若用户输入的命令在当前视图下不存在而在其父视图下被查找到时,用于控制当前视图下的命令的规则不会对其父视图下的命令执行权限进行控制。例如,定义一条规则“rule 1 deny command system ; interface * ; *”禁止用户执行接口视图下的任何命令。当用户在接口视图下输入命令acl number 3000时,该命令仍然可以成功执行,因为系统在接口视图下搜索不到指定的acl命令时,会回溯到系统视图(父视图)下执行,此时该规则对此命令不生效。
· display命令中的重定向符(“|”、“>”、“>>”)及其后面的关键字不被作为命令行关键字参与规则的匹配。例如,若规则“rule 1 permit command display debugging”生效,则命令display debugging > log是被允许执行的,其中的关键字> log将被忽略,RBAC只对重定向符前面的命令行display debugging进行匹配。但是,如果在规则中配置了重定向符,则RBAC会将其作为普通字符处理。例如,若规则“rule 1 permit command display debugging > log”生效,则命令display debugging > log将会匹配失败,因为其中的关键字> log被RBAC忽略了,最终是命令display debugging与规则进行匹配。因此,配置规则时不要使用重定向符。
【举例】
# 为用户角色role1创建一条规则,允许用户执行命令display acl。
<Sysname> system-view
[Sysname] role name role1
[Sysname-role-role1] rule 1 permit command display acl
# 为用户角色role1添加一条权限规则,允许用户执行所有以display开头的命令。
[Sysname-role-role1] rule 2 permit command display *
# 为用户角色role1添加一条权限规则,允许用户执行系统视图下的radius scheme aaa命令,以及使用该命令进入子视图后的所有命令。
[Sysname-role-role1] rule 3 permit command system ; radius scheme aaa
# 为用户角色role1添加一条权限规则,禁止用户执行所有特性中读类型和写类型的命令。
[Sysname-role-role1] rule 4 deny read write feature
# 为用户角色role1添加一条权限规则,禁止用户执行特性aaa中所有读类型的命令。
[Sysname-role-role1] rule 5 deny read feature aaa
# 为用户角色role1添加一条权限规则,允许执行特性组security-features中所有特性的读类型、写类型以及执行类型的命令。
[Sysname-role-role1] rule 6 permit read write execute feature-group security-features
【相关命令】
· role
· display role
· display role feature
· display role feature-group
vlan policy deny命令用来进入VLAN策略视图。
undo vlan policy deny命令用来恢复缺省情况。
【命令】
vlan policy deny
undo vlan policy deny
【缺省情况】
用户具有操作任何VLAN的权限。
【视图】
用户角色视图
【缺省用户角色】
network-admin
【使用指导】
进入VLAN策略视图后,如果不配置允许操作的VLAN列表,则用户将没有操作任何VLAN的权限;如果需要限制或区分用户对VLAN资源的使用权限,则还应该通过permit vlan命令配置允许用户操作的VLAN列表。若VLAN策略视图中未配置允许操作的VLAN列表,则表示不允许用户操作所有的VLAN。对VLAN的“操作”指的是创建并进入VLAN视图、删除和应用VLAN。
允许修改用户角色的VLAN策略,但修改后的策略只对被授权该角色的用户重新登录时才会生效。
【举例】
# 在用户角色role1中,进入一个VLAN策略视图,禁止角色为role1的用户操作任意VLAN。
<Sysname> system-view
[Sysname] role name role1
[Sysname-role-role1] vlan policy deny
[Sysname-role-role1-vlanpolicy] quit
# 在用户角色role1中,进入一个VLAN策略视图,允许角色为role1的用户操作VLAN 50~VLAN 100。
<Sysname> system-view
[Sysname] role name role1
[Sysname-role-role1] vlan policy deny
[Sysname-role-role1-vlanpolicy] permit vlan 50 to 100
【相关命令】
· role
· display role
· permit vlan
vpn-instance policy deny命令用来进入VPN策略视图。
undo vpn-instance policy deny命令用来恢复缺省情况。
【命令】
vpn-instance policy deny
undo vpn-instance policy deny
【缺省情况】
用户具有操作任何VPN实例的权限。
【视图】
用户角色视图
【缺省用户角色】
network-admin
【使用指导】
进入VPN策略视图后,如果不配置允许操作的VPN列表,则用户将没有操作任何VPN实例的权限;如果需要限制或区分用户对VPN资源的使用权限,则还应该通过permit vpn-instance命令配置允许用户操作的VPN列表。若VPN策略视图中未配置允许操作的VPN列表,则表示不允许用户操作所有的VPN实例。对VPN实例的“操作”指的是创建并进入MPLS L3VPN视图、删除和应用VPN实例。
允许修改用户角色的VPN策略,但修改后的策略只对被授权该角色的用户重新登录时才会生效。
【举例】
# 在用户角色role1中,创建并进入一个VPN策略视图,并禁止角色为role1的用户操作任意VPN实例。
<Sysname> system-view
[Sysname] role name role1
[Sysname-role-role1] vpn-instance policy deny
[Sysname-role-role1-vpnpolicy] quit
# 在用户角色role1中,创建并进入一个VPN策略视图,允许角色为role1的用户操作VPN实例vpn2。
<Sysname> system-view
[Sysname] role name role1
[Sysname-role-role1] vpn-instance policy deny
[Sysname-role-role1-vpnpolicy] permit vpn-instance vpn2
【相关命令】
· role
· display role
· permit vpn-instance
不同款型规格的资料略有差异, 详细信息请向具体销售和400咨询。H3C保留在没有任何通知或提示的情况下对资料内容进行修改的权利!