目  录

1 RBAC

1.1 RBAC简介

1.1.1 权限与角色的关联

1.1.2 角色与用户的关联

1.2 RBAC配置任务简介

1.3 创建用户角色

1.4 为用户角色赋予权限

1.4.1 配置用户角色规则

1.4.2 配置资源控制策略

1.5 为用户授权角色

1.5.1 为远程AAA认证用户授权角色

1.5.2 为本地AAA认证用户授权角色

1.5.3 为非AAA认证用户授权角色

1.6 RBAC显示和维护

1.7 RBAC典型配置举例

1.7.1 Telnet用户的本地用户角色授权配置举例

1.7.2 Telnet用户的RADIUS用户角色授权配置举例

1.8 常见配置错误举例

1.8.1 被授权的用户角色与本地用户实际拥有的权限不符

1.8.2 使用远程认证服务器进行身份认证的用户登录设备失败

1 RBAC

1.1  RBAC简介

RBAC（Role Based Access Control，基于角色的访问控制）通过建立“权限<->角色”的关联实现将权限赋予给角色，并通过建立“角色<->用户”的关联实现为用户指定角色，从而使用户获得相应角色所具有的权限。RBAC的基本思想就是给用户指定角色，这些角色中定义了允许用户操作哪些系统功能以及资源对象。

由于权限与用户的分离，RBAC具有以下优势：

·              管理员不需要针对用户去逐一指定权限，只需要预先定义具有相应权限的角色，再将角色赋予用户即可。因此RBAC更能适应用户的变化，提高了用户权限分配的灵活性。

·              由于角色与用户的关系常常会发生变化，但是角色和权限的关系相对稳定，因此利用这种稳定的关联可减小用户授权管理的复杂性，降低管理开销。

1.1.1  权限与角色的关联

权限与角色的关联是通过为角色赋予权限建立的，具体实现包括以下两个方面：

·              通过用户角色规则实现对系统功能的操作权限的控制。例如，定义用户角色规则允许用户配置A功能，或禁止用户配置B功能。

·              通过资源控制策略实现对系统资源（接口、VLAN、VPN实例）的操作权限的控制。例如，定义资源控制策略允许用户操作VLAN 10，禁止用户操作接口Ten-GigabitEthernet1/0/1。

1. 用户角色规则

用户角色规则定义了允许/禁止用户操作某些功能的权限。一个用户角色中可以包含多条用户角色规则，每条规则定义了是允许还是禁止用户对某命令、特性或特性组进行操作。

(1)      命令：控制用户权限的最小单元。RBAC根据命令的作用，将命令分成以下三类：

·              读类型：本类型的命令仅能显示系统配置信息和维护信息，如显示命令display、显示文件信息的命令dir。

·              写类型：本类型的命令用于对系统进行配置，如使能信息中心功能的命令info-center enable、配置调试信息开关的命令debugging。

·              执行类型：本类型的命令用于执行特定的功能，如ping命令、与FTP服务器建立连接的命令ftp。

(2)      特性：与一个功能相关的所有命令的集合，例如OSPF特性包含了所有OSPF的配置、显示及调试命令。系统中的所有特性及其包含的命令都是系统预定义的，不允许用户自定义。

(3)      特性组：一个或者多个特性的集合。其主要目的是为了方便管理员对用户权限进行配置。系统预定义了两个特性组L2和L3。L2中包含了所有的二层功能的命令，L3中包含了所有三层功能的命令。管理员可以根据需要自定义特性组。各个特性组之间包含的特性允许重叠。

根据权限控制粒度的不同，可以将用户角色规则分为如下三类：

(1)      基于命令的规则：用来控制一条命令或者与指定命令关键字相匹配的一类命令是否允许被执行。关于匹配的具体涵义，请参见RBAC配置命令。

(2)      基于特性的规则：用来控制特性包含的命令是否允许被执行。因为特性中的每条命令都属于读类型、写类型或执行类型，所以在定义基于特性的规则时，可以精细地控制特性所包含的读、写或执行类型的命令能否被执行。

(3)      基于特性组的规则：此规则和基于特性的规则类似，区别是一条基于特性组的规则中可同时对多个特性包含的命令进行控制。

一个用户角色中可以定义多条规则，各规则以创建时指定的编号为唯一标识，被授权该角色的用户可以执行的命令为这些规则中定义的可执行命令的并集。若这些规则定义的权限内容有冲突，则规则编号大的有效。例如，规则1允许执行命令A，规则2允许执行命令B，规则3禁止执行命令A，则最终规则2和规则3生效，即禁止执行命令A，允许执行命令B。

2. 资源控制策略

资源控制策略规定了用户对系统资源的操作权限。在用户角色中可定义三种类型的资源控制策略：接口策略、VLAN策略以及VPN策略，它们分别定义了用户允许操作的接口、VLAN或者VPN实例。对接口/VLAN/VPN实例的操作是指创建并进入接口视图/VLAN视图/VPN实例视图、删除和应用接口/VLAN/VPN实例（在display命令中指定接口/VLAN/VPN实例参数并不属于应用接口/VLAN/VPN实例）。

资源控制策略需要与用户角色规则相配合才能生效。在用户执行命令的过程中，系统对该命令涉及的系统资源使用权限进行动态检测，因此只有用户同时拥有执行该命令的权限和使用该资源的权限时，才能执行该命令。例如，若管理员为某用户角色定义了一条规则允许用户执行创建VLAN的命令vlan，且同时定义了一条VLAN策略允许用户操作VLAN 10，则当用户被授权此用户角色并试图创建VLAN 10时，操作会被允许，但试图创建其它VLAN时，操作会被禁止。若管理员并没有为该用户角色定义规则允许用户执行创建VLAN命令，则用户即便拥有该VLAN资源的操作权限，也无法执行相关的命令。

3. 缺省用户角色

系统预定义了18种用户角色，用户角色名和对应的权限如表1-1所示。这些用户角色缺省均具有操作所有系统资源的权限，但具有不同的系统功能操作权限。如果系统预定义的用户角色无法满足权限管理需求，管理员还可以自定义用户角色来对用户权限做进一步控制。

表1-1 系统预定义的用户角色名和对应的权限

1.1.2  角色与用户的关联

角色与用户的关联是通过为用户赋予角色建立的。将有效的用户角色成功授权给用户后，登录设备的用户才能以各角色所具有的权限来配置、管理或者监控设备。根据用户登录设备时采用的不同认证方式，可以将为用户授权角色分为AAA（Authentication、Authorization、Accounting，认证、授权、计费）方式和非AAA方式。

(1)      AAA方式：用户登录时使用的认证方式为scheme，用户登录设备后所拥有的用户角色由AAA功能进行授权。

·              若用户通过了本地授权，则由设备为其授权用户角色，授权的用户角色是在本地用户中设置的。

·              若用户通过了远程授权，则由远程AAA服务器为其授权用户角色，授权的用户角色是在远程AAA服务器上设置的。目前仅支持通过RADIUS（Remote Authentication Dial-In User Service，远程认证拨号用户服务）服务器进行用户角色授权。

(2)      非AAA方式：用户登录时使用的认证方式为none或者password，用户登录后所拥有的用户角色是用户界面下配置的用户角色。

以上两种方式均支持对一个用户同时授权多个用户角色。拥有多个角色的用户可获得这些角色中被允许执行的功能以及被允许操作的资源的集合。例如，某用户拥有角色A，它禁止用户执行qos apply policy命令，且仅允许操作接口 2。同时，该用户拥有角色B，它允许用户执行qos apply policy命令，且允许用户操作所有接口。这种情况下该用户将能够在所有接口下执行qos apply policy命令，以及可以操作所有的接口资源。

1.2  RBAC配置任务简介

表1-2 RBAC配置任务简介

1.3  创建用户角色

如果系统预定义角色无法满足用户的权限管理需求，可以自定义用户角色来对用户权限做更精细和灵活的控制。

表1-3 创建用户角色

1.4  为用户角色赋予权限

1.4.1  配置用户角色规则

用户角色规则分为以下三类，可根据权限控制需要配置一条或多条规则：

·              基于命令的规则：由允许/禁止（permit/deny）关键字及命令匹配字符串（command-string）定义是否允许执行一条命令或者与指定命令关键字相匹配的一组命令。

·              基于特性的规则：由允许/禁止（permit/deny）关键字、特性名称（feature-name）以及该特性中命令的类型（读/写/执行）定义是否允许执行一个或所有特性中包含的指定类型的命令。

·              基于特性组的规则：由允许/禁止（permit/deny）关键字、特性组名称（feature-group-name）以及该特性组中命令的类型（读/写/执行）定义是否允许执行一个特性组中的特性包含的指定类型的命令。

表1-4 配置用户角色规则

1.4.2  配置资源控制策略

资源控制策略分为接口策略、VLAN策略和VPN策略三类。自定义的用户角色以及名称为level-n的用户角色具有缺省的资源控制策略，允许用户具有操作任何系统资源（接口/VLAN/VPN实例）的权限。若要限制或区分用户对这些资源的使用权限，则应该配置资源控制策略并在指定类型的策略中配置允许操作的资源列表。

表1-5 配置接口资源控制策略

表1-6 配置VLAN资源控制策略

表1-7 配置VPN资源控制策略

1.5  为用户授权角色

1.5.1  为远程AAA认证用户授权角色

对于通过远程AAA认证登录设备的用户，由AAA服务器的配置决定为其授权的用户角色。如果用户没有被授权任何用户角色，将无法成功登录设备。为此，系统提供了一个缺省用户角色授权功能。使能该功能后，用户在AAA服务器没有为其授权角色的情况下如果登录设备，则具有用户角色network-operator。

表1-8 使能缺省用户角色授权功能

1.5.2  为本地AAA认证用户授权角色

对于通过本地AAA认证登录设备的用户，由本地用户配置决定为其授权的用户角色。

表1-9 为本地用户授权用户角色

1.5.3  为非AAA认证用户授权角色

对于不使用AAA认证登录设备的用户，由用户界面配置决定为其授权的用户角色。

表1-10 为非AAA认证用户授权用户角色

1.6  RBAC显示和维护

完成上述配置后，在任意视图下执行display命令可以显示配置后RBAC的运行情况，通过查看显示信息验证配置的效果。

表1-11 RBAC显示和维护

1.7  RBAC典型配置举例

1.7.1  Telnet用户的本地用户角色授权配置举例

1. 组网需求

如图1-1所示，Telnet用户主机与Switch相连，需要实现Switch对Telnet用户进行本地认证并授权用户角色。Telnet用户的登录用户名为user1@bbb，认证通过后被授权的用户角色为role1。

role1具有如下用户权限：

·              允许用户执行所有特性中读类型的命令；

·              限制用户对VLAN资源的操作权限，仅允许操作VLAN 10～VLAN 20。

2. 组网图

图1-1 Telnet用户本地认证/授权配置组网图

3. 配置步骤

# 配置VLAN接口2的IP地址，Telnet用户将通过该地址连接Switch。

<Switch> system-view

[Switch] interface vlan-interface 2

[Switch-Vlan-interface2] ip address 192.168.1.70 255.255.255.0

[Switch-Vlan-interface2] quit

# 开启Switch的Telnet服务器功能。

[Switch] telnet server enable

# 配置Telnet用户登录采用AAA认证方式。

[Switch] user-interface vty 0 15

[Switch-ui-vty0-15] authentication-mode scheme

[Switch-ui-vty0-15] quit

# 配置ISP域bbb的AAA方法为本地认证和本地授权。

[Switch] domain bbb

[Switch-isp-bbb] authentication login local

[Switch-isp-bbb] authorization login local

[Switch-isp-bbb] quit

# 创建用户角色role1。

[Switch] role name role1

# 配置用户角色规则1，允许用户执行所有特性中读类型的命令。

[Switch-role-role1] rule 1 permit read feature

# 配置用户角色规则2，允许用户执行创建VLAN以及进入VLAN视图后的相关命令。

[Switch-role-role1] rule 2 permit command system-view ; vlan *

# 进入VLAN策略视图，允许用户具有操作VLAN 10～VLAN 20的权限。

[Switch-role-role1] vlan policy deny

[Switch-role-role1-vlanpolicy] permit vlan 10 to 20

[Switch-role-role1-vlanpolicy] quit

[Switch-role-role1] quit

# 创建本地用户user1。

[Switch] local-user user1

# 配置用户的密码是明文的aabbcc。

[Switch-luser-user1] password simple aabbcc

# 指定用户的服务类型是Telnet。

[Switch-luser-user1] service-type telnet

# 指定用户user1的授权角色为role1。

[Switch-luser-user1] authorization-attribute user-role role1

# 为保证用户仅使用授权的用户角色role1，删除用户user1具有的缺省用户角色network-operator。

[Switch-luser-user1] undo authorization-attribute user-role network-operator

[Switch-luser-user1] quit

4. 验证配置

用户向Switch发起Telnet连接，在Telnet客户端按照提示输入用户名user1@bbb及正确的密码后，可成功进入Switch的用户界面，并被授予用户角色role1，具有相应的命令行执行权限。

可通过如下步骤验证用户的权限：

·              可操作VLAN 10～VLAN 20。（以创建VLAN 10为例）

<Switch> system-view

[Switch] vlan 10

[Switch-vlan10] quit

·              不能操作其它VLAN。（以创建VLAN 30为例）

[Switch] vlan 30

Permission denied.

·              可执行所有特性中读类型的命令。（以display clock为例）

[Switch] display clock

09:31:56 UTC Sat 01/01/2011

[Switch] quit

·              不能执行特性中写类型和执行类型的命令。

<Switch> debugging role all

Permission denied.

<Switch> ping 192.168.1.58

Permission denied.

1.7.2  Telnet用户的RADIUS用户角色授权配置举例

1. 组网需求

如图1-2所示，Telnet用户主机与Switch相连，Switch与一台RADIUS服务器相连，需要实现RADIUS服务器对登录Switch的Telnet用户进行认证和授权。

·              由一台FreeRadius服务器（IP地址为10.1.1.1/24）担当认证/授权RADIUS服务器的职责；

·              Switch与RADIUS服务器交互报文时使用的共享密钥为expert，认证端口号为1812；

·              Switch向RADIUS服务器发送的用户名携带域名；

·              Telnet用户登录Switch时使用RADIUS服务器上配置的用户名hello@bbb以及密码进行认证，认证通过后被授权的用户角色为role2。

role2具有如下用户权限：

·              允许用户执行ISP视图下的所有命令；

·              允许用户执行ARP和RADIUS特性中读和写类型的命令；

·              禁止用户执行ACL特性中读类型的命令；

·              允许用户具有操作VLAN 1～VLAN 20以及接口Ten-GigabitEthernet1/0/1～Ten-GigabitEthernet1/0/24的权限。

2. 组网图

图1-2 Telnet用户RADIUS认证/授权配置组网图

3. 配置步骤

(1)      Switch上的配置

# 配置接口VLAN接口2的IP地址，Telnet用户将通过该地址连接Switch。

<Switch> system-view

[Switch] interface vlan-interface 2

[Switch-Vlan-interface2] ip address 192.168.1.70 255.255.255.0

[Switch-Vlan-interface2] quit

# 配置接口VLAN接口3的IP地址，Switch将通过该地址与服务器通信。

[Switch] interface vlan-interface 3

[Switch-Vlan-interface3] ip address 10.1.1.2 255.255.255.0

[Switch-Vlan-interface3] quit

# 开启Switch的Telnet服务器功能。

[Switch] telnet server enable

# 配置Telnet用户登录采用AAA认证方式。

[Switch] user-interface vty 0 15

[Switch-ui-vty0-15] authentication-mode scheme

[Switch-ui-vty0-15] quit

# 创建RADIUS方案rad。

[Switch] radius scheme rad

# 配置主认证/授权服务器的IP地址为10.1.1.1，认证端口号为1812。

[Switch-radius-rad] primary authentication 10.1.1.1 1812

# 配置与认证/授权服务器交互报文时的共享密钥为明文expert。

[Switch-radius-rad] key authentication simple expert

[Switch-radius-rad] quit

# 配置ISP域bbb的AAA方法。由于RADIUS服务器的授权信息是随认证应答报文发给RADIUS客户端的，所以必须保证认证和授权方法相同。

[Switch] domain bbb

[Switch-isp-bbb] authentication login radius-scheme rad

[Switch-isp-bbb] authorization login radius-scheme rad

[Switch-isp-bbb] quit

# 创建特性组fgroup1。

[Switch] role feature-group name fgroup1

# 配置特性组fgroup1中包含特性ARP和RADIUS。

[Switch-featuregrp-fgroup1] feature arp

[Switch-featuregrp-fgroup1] feature radius

[Switch-featuregrp-fgroup1] quit

# 创建用户角色role2。

[Switch] role name role2

# 配置用户角色规则1，允许用户执行ISP视图下的所有命令。

[Switch-role-role2] rule 1 permit command system-view ; domain *

# 配置用户角色规则2，允许用户执行特性组fgroup1中所有特性的读和写类型的命令。

[Switch-role-role2] rule 2 permit read write feature-group fgroup1

# 配置用户角色规则3，禁止用户执行ACL特性中读类型的命令。

[Switch-role-role2] rule 3 deny read feature acl

# 配置用户角色规则4，允许用户执行创建VLAN以及进入VLAN视图后的相关命令。

[Switch-role-role2] rule 4 permit command system-view ; vlan *

# 配置用户角色规则5，允许用户执行进入接口视图以及接口视图下的相关命令。

[Switch-role-role2] rule 5 permit command system-view ; interface *

# 进入VLAN策略视图，允许用户具有操作VLAN 1～VLAN 20的权限。

[Switch-role-role2] vlan policy deny

[Switch-role-role2-vlanpolicy] permit vlan 1 to 20

[Switch-role-role2-vlanpolicy] quit

#进入接口策略视图，允许用户具有操作接口Ten-GigabitEthernet1/0/1～Ten-GigabitEthernet1/0/24的权限。

[Switch-role-role2] interface policy deny

[Switch-role-role2-ifpolicy] permit interface ten-gigabitethernet1/0/1 to ten-gigabit ethernet1/0/24

[Switch-role-role2-ifpolicy] quit

[Switch-role-role2] quit

(2)      RADIUS服务器的配置

需要在FreeRadius服务器的字典文件中增加如下配置文本之一：

Cisco-AVPair = "shell:roles=\"role2\""

Cisco-AVPair = "shell:roles*\"role2\""

关于FreeRadius的其它配置请参见服务器的相关手册，本文不进行详细介绍。

4. 验证配置

用户向Switch发起Telnet连接，在Telnet客户端按照提示输入用户名hello@bbb及正确的密码后，可成功进入Switch的用户界面，并被授予用户角色role2，具有相应的命令行执行权限。

可通过如下步骤验证用户的权限：

·              可执行ISP视图下所有的命令。

<Switch> system-view

[Switch] domain abc

[Switch-isp-abc] authentication login radius-scheme abc

[Switch-isp-abc] quit

·              可执行RADIUS特性中读和写类型的命令。（ARP特性同，此处不再举例）

[Switch] radius scheme rad

[Switch-radius-rad] primary authentication 2.2.2.2

[Switch-radius-rad] quit

·              可操作VLAN 1～VLAN 20。（以创建VLAN 10、VLAN 30为例）

[Switch] vlan 10

[Switch-vlan10] quit

[Switch] vlan 30

Permission denied.

·              可操作接口Ten-GigabitEthernet1/0/1～Ten-GigabitEthernet1/0/24。（以接口Ten-GigabitEthernet1/0/2、Ten-GigabitEthernet1/0/25为例）

[Switch] vlan 10

# 将接口Ten-GigabitEthernet1/0/2加入到VLAN 10。

[Switch-vlan10] port ten-gigabitethernet1/0/2

# 将接口Ten-GigabitEthernet1/0/25加入到VLAN 10。

[Switch-vlan10] port ten-gigabitethernet1/0/25

Permission denied.

1.8  常见配置错误举例

1.8.1  被授权的用户角色与本地用户实际拥有的权限不符

1. 故障现象

用户通过本地认证并被授权指定的用户角色后，发现登录设备后实际具有的权限与被授权的用户角色权限不符。

2. 故障分析

可能是该本地用户被授权了其它用户角色，例如该本地用户还具有缺省的用户角色。

3. 处理过程

通过display local-user命令查看该用户实际拥有的用户权限，并删除授予用户的多余用户角色。

1.8.2  使用远程认证服务器进行身份认证的用户登录设备失败

1. 故障现象

在AAA配置正确及设备与服务器通信无故障的情况下，使用RADIUS服务器进行远程身份认证的用户登录设备失败。

2. 故障分析

RBAC要求登录设备的用户必须至少拥有一个用户角色，如果用户没有被服务器授权任何用户角色，则登录失败。

3. 处理过程

通过执行role default-role enable命令允许用户使用系统预定义的缺省用户角色登录设备，或根据需要在服务器上为该用户添加要授权的用户角色。