- 产品与解决方案
- 行业解决方案
- 服务
- 支持
- 合作伙伴
- 新华三人才研学中心
- 关于我们
02-RBAC配置
本章节下载： 02-RBAC配置 (241.30 KB)
RBAC（Role Based Access Control，基于角色的访问控制）通过建立“权限<->角色”的关联实现将权限赋予给角色，并通过建立“角色<->用户”的关联实现为用户指定角色，从而使用户获得相应角色所具有的权限。RBAC的基本思想就是给用户指定角色，这些角色中定义了允许用户操作哪些系统功能以及资源对象。
由于权限与用户的分离，RBAC具有以下优势：
· 管理员不需要针对用户去逐一指定权限，只需要预先定义具有相应权限的角色，再将角色赋予用户即可。因此RBAC更能适应用户的变化，提高了用户权限分配的灵活性。
· 由于角色与用户的关系常常会发生变化，但是角色和权限的关系相对稳定，因此利用这种稳定的关联可减小用户授权管理的复杂性，降低管理开销。
权限与角色的关联是通过为角色赋予权限建立的，具体实现包括以下两个方面：
· 通过用户角色规则实现对系统功能的操作权限的控制。例如，定义用户角色规则允许用户配置A功能，或禁止用户配置B功能。
· 通过资源控制策略实现对系统资源（接口、VLAN）的操作权限的控制。例如，定义资源控制策略允许用户操作VLAN 10，禁止用户操作接口GigabitEthernet0/1。
用户角色规则定义了允许/禁止用户操作某些功能的权限。一个用户角色中可以包含多条用户角色规则，每条规则定义了是允许还是禁止用户对某命令、特性、特性组、Web菜单、XML元素或者OID进行操作。
(1) 命令：控制用户权限的最小单元。RBAC根据命令的作用，将命令分成以下三类：
· 读类型：本类型的命令仅能显示系统配置信息和维护信息，如显示命令display、显示文件信息的命令dir。
· 写类型：本类型的命令用于对系统进行配置，如使能信息中心功能的命令info-center enable、配置调试信息开关的命令debugging。
· 执行类型：本类型的命令用于执行特定的功能，如ping命令、与FTP服务器建立连接的命令ftp。
(2) 特性：与一个功能相关的所有命令的集合。系统中的所有特性及其包含的命令都是系统预定义的，不允许用户自定义。
(3) 特性组：一个或者多个特性的集合。其主要目的是为了方便管理员对用户权限进行配置。系统预定义了两个特性组L2和L3。L2中包含了所有的二层协议相关功能的命令，L3中包含了所有三层协议相关功能的命令。管理员可以根据需要自定义特性组，但不能修改和删除系统预定义的特性组L2和L3。各个特性组之间包含的特性允许重叠。
(4) Web菜单：通过Web对设备进行配置时，各配置页面以Web菜单的形式组织，按照层次关系，形成多级菜单的树形结构。
(5) XML元素：与Web菜单类似，XML对于配置对象的组织也呈现树状结构，每一个XML元素代表XML配置中的一个XML节点。
(6) OID：Object Identifier，对象标识符，SNMP协议通过OID唯一标识一个被管理对象。
(1) 基于命令的规则：用来控制一条命令或者与指定命令关键字相匹配的一类命令是否允许被执行。关于匹配的具体涵义，请参见RBAC配置命令。
(3) 基于特性组的规则：此规则和基于特性的规则类似，区别是一条基于特性组的规则中可同时对多个特性包含的命令进行控制。
(4) 基于Web菜单的规则：用来控制指定的Web菜单选项是否允许被操作。因为菜单项中的操作控件具有相应的读，写或执行属性，所以定义基于Web菜单的规则时，可以精细地控制菜单项中读、写或执行控件的操作。
(5) 基于XML元素的规则：用来控制指定的XML元素是否允许被执行。XML元素也具有读，写或执行属性。
(6) 基于OID的规则：用来控制指定的OID是否允许被SNMP访问。OID具有读，写和执行属性。
一个用户角色中可以定义多条规则，各规则以创建时指定的编号为唯一标识，被授权该角色的用户可以执行的命令为这些规则中定义的可执行命令的并集。若这些规则定义的权限内容有冲突，则规则编号大的有效。例如，规则1允许执行命令A，规则2允许执行命令B，规则3禁止执行命令A，则最终规则2和规则3生效，即禁止执行命令A，允许执行命令B。
资源控制策略规定了用户对系统资源的操作权限。在用户角色中可定义四种类型的资源控制策略：接口策略、VLAN策略，它们分别定义了用户允许操作的接口、VLAN。对接口/VLAN的操作是指创建并进入接口视图/VLAN视图、删除和应用接口/VLAN（在display命令中指定接口/VLAN参数并不属于应用接口/VLAN）。
资源控制策略需要与用户角色规则相配合才能生效。在用户执行命令的过程中，系统对该命令涉及的系统资源使用权限进行动态检测，因此只有用户同时拥有执行该命令的权限和使用该资源的权限时，才能执行该命令。例如，若管理员为某用户角色定义了一条规则允许用户执行创建VLAN的命令vlan，且同时定义了一条VLAN策略允许用户操作VLAN 10，则当用户被授权此用户角色并试图创建VLAN 10时，操作会被允许，但试图创建其它VLAN时，操作会被禁止。若管理员并没有为该用户角色定义规则允许用户执行创建VLAN命令，则用户即便拥有该VLAN资源的操作权限，也无法执行相关的命令。
系统预定义了多种用户角色，用户角色名和对应的权限如表1-1所示。这些用户角色缺省均具有操作所有系统资源的权限，但具有不同的系统功能操作权限。如果系统预定义的用户角色无法满足权限管理需求，管理员还可以自定义用户角色来对用户权限做进一步控制。
|
可操作系统所有功能和资源（除安全日志文件管理相关命令display security-logfile summary、info-center security-logfile directory、security-logfile save之外） |
|
|
· 可执行系统所有功能和资源的相关display命令（除display history-command all、display security-logfile summary等命令，具体请通过display role命令查看） · 如果用户采用本地认证方式登录系统并被授予该角色，则可以修改自己的密码 · 可执行进入XML视图的命令 · 可允许用户操作所有读类型的Web菜单选项 · 可允许用户操作所有读类型的XML元素 |
|
|
level-n (n = 0～15) |
· level-0：可执行命令ping、tracert、ssh2、telnet和super，且管理员可以为其配置权限 · level-1：具有level-0用户角色的权限，并且可执行系统所有功能和资源的相关display命令（除display history-command all之外），以及管理员可以为其配置权限 · level-2～level-8和level-10～level-14：无缺省权限，需要管理员为其配置权限 · level-9：可操作系统中绝大多数的功能和所有的资源，且管理员可以为其配置权限，但不能操作display history-command all命令、RBAC的命令（Debug命令除外）、文件管理、设备管理以及本地用户特性。对于本地用户，若用户登录系统并被授予该角色，可以修改自己的密码 · level-15：具有与network-admin角色相同的权限 |
|
安全日志管理员，仅具有安全日志文件的读、写、执行权限，具体如下： · 可执行安全日志文件管理相关的命令（display security-logfile summary、info-center security-logfile directory、security-logfile save）。安全日志文件管理相关命令的介绍，请参见“网络管理与监控”中的“信息中心” · 可执行安全日志文件操作相关的命令，例如more显示安全日志文件内容；dir、mkdir操作安全日志文件目录等，具体命令的介绍请参见“基础配置命令参考”中的“文件系统管理” |
· 只有具有network-admin或者level-15用户角色的用户登录设备后才可以执行RBAC特性的所有命令、修改用户线视图下的相关配置（包括user-role、authentication-mode、protocol inbound和set authentication password）以及执行创建/修改/删除本地用户和本地用户组；其它角色的用户，即使被授权对本地用户和本地用户组的操作权限，也仅仅具有修改自身密码的权限，没有除此之外的对本地用户和本地用户组的任何操作权限。
· 预定义的用户角色中，仅用户角色level-0～level-14可以通过自定义规则和资源控制策略调整自身的权限。需要注意的是，这种修改对于display history-command all命令不生效，即不能通过添加对应的规则来更改它的缺省执行权限。
角色与用户的关联是通过为用户赋予角色建立的。将有效的用户角色成功授权给用户后，登录设备的用户才能以各角色所具有的权限来配置、管理或者监控设备。根据用户登录设备时采用的不同认证方式，可以将为用户授权角色分为AAA（Authentication、Authorization、Accounting，认证、授权、计费）方式和非AAA方式。
(1) AAA方式：用户登录时使用的认证方式为scheme，用户登录设备后所拥有的用户角色由AAA功能进行授权。
· 若用户通过了本地授权，则由设备为其授权用户角色，授权的用户角色是在本地用户中设置的。
· 若用户通过了远程授权，则由远程AAA服务器为其授权用户角色，授权的用户角色是在远程AAA服务器（RADIUS或HWTACACS服务器）上设置的。
(2) 非AAA方式：用户登录时使用的认证方式为none或者password，用户登录后所拥有的用户角色是用户线下配置的用户角色。
以上两种方式均支持对一个用户同时授权多个用户角色。拥有多个角色的用户可获得这些角色中被允许执行的功能以及被允许操作的资源的集合。例如，某用户拥有角色A，它禁止用户执行qos apply policy命令，且仅允许操作接口2。同时，该用户拥有角色B，它允许用户执行qos apply policy命令，且允许用户操作所有接口。则，这种情况下该用户将能够在所有接口下执行qos apply policy命令，以及可以操作所有的接口资源。
· AAA相关内容的介绍请参见“安全配置指导”中的“AAA”。
· 用户线相关内容的介绍请参见“基础配置指导”中的“登录设备”。
· 通过publickey或password-publickey认证登录服务器的SSH用户将被授予同名的设备管理类本地用户视图下配置的授权用户角色。SSH用户相关的介绍请参见“安全配置指导”中的“SSH”。
表1-2 RBAC配置任务简介
如果系统预定义角色无法满足用户的权限管理需求，可以自定义用户角色来对用户权限做更精细和灵活的控制。除系统预定义的用户角色外，系统中最多允许同时创建64个用户角色。
|
缺省情况下，系统预定义的用户角色为network-admin、network-operator、level-n（n为0～15的整数）、security-audit。其中，仅用户角色level-0～level-14可以自定义规则、资源控制策略以及配置描述信息 |
||
用户角色规则分为以下几类，可根据权限控制需要配置一条或多条规则：
· 基于命令的规则：由允许/禁止（permit/deny）关键字及命令匹配字符串（command-string）定义是否允许执行一条命令或者与指定命令关键字相匹配的一组命令。
· 基于特性的规则：由允许/禁止（permit/deny）关键字、特性名称（feature-name）以及该特性中命令的类型（读/写/执行）定义是否允许执行一个或所有特性中包含的指定类型的命令。
· 基于特性组的规则：由允许/禁止（permit/deny）关键字、特性组名称（feature-group-name）以及该特性组中命令的类型（读/写/执行）定义是否允许执行一个特性组中的特性包含的指定类型的命令。
· 基于XML元素的规则：由允许/禁止（permit/deny）关键字、XML元素名称（xml-element）以及该XML元素的类型（读/写/执行）定义是否允许执行一个或所有指定类型的XML元素。
· 基于OID的规则：由允许/禁止（permit/deny）关键字、OID（oid-string）以及对该OID的操作类型（读/写/执行）定义是否允许执行一个或所有指定类型的OID。
· 每个用户角色中最多可以配置256条规则，系统中的用户角色规则总数不能超过1024。
· 修改后的规则对于当前已经在线的用户不生效，对于之后使用该角色登录设备的用户生效。
资源控制策略分为接口策略、VLAN策略。所有用户角色均具有缺省的资源控制策略，允许用户具有操作任何系统资源（接口/VLAN）的权限。若要限制或区分用户对这些资源的使用权限，则应该配置资源控制策略并在指定类型的策略中配置允许操作的资源列表。
需要注意的是，修改后的资源控制策略对于当前已经在线的用户不生效，对于之后使用该角色登录设备的用户生效。
表1-6 配置VLAN资源控制策略
|
并进入VLAN策略视图 |
进入VLAN策略视图后，如果不配置允许操作的VLAN列表，则用户将没有操作任何VLAN的权限 |
|
|
缺省情况下，未定义允许操作的VLAN列表，用户没有操作任何VLAN的权限 可以多次执行此命令向VLAN列表中添加允许操作的VLAN |
对于通过AAA认证登录设备的用户，由AAA服务器（远程认证）或设备（本地认证）为其授权用户角色。如果用户没有被授权任何用户角色，将无法成功登录设备。为此，系统提供了一个缺省用户角色授权功能。使能该功能后，用户在没有被授权任何角色的情况下，将具有一个缺省的用户角色，如果用户登录设备，则具有用户角色network-operator。
|
若本地用户的授权方案为none（即不授权），则必须使能缺省用户角色授权功能 |
对于通过AAA远程认证登录设备的用户，由AAA服务器的配置决定为其授权的用户角色。有关AAA以及远程AAA认证相关配置的详细介绍请参见“安全配置指导”中的“AAA”。
RADIUS服务器上的授权角色配置与服务器的具体情况有关，请参考服务器的配置指导进行；HWTACACS服务器上的授权角色配置必须满足格式：roles="name1 name2 namen"，其中name1、name2、namen为要授权下发给用户的用户角色，可为多个，并使用空格分隔。
需要注意的是，若AAA服务器同时为用户授权了包括安全日志管理员在内的多个用户角色，则仅安全日志管理员角色生效。
对于通过本地AAA认证登录设备的用户，由本地用户配置决定为其授权的用户角色。有关AAA以及本地用户相关配置的详细介绍请参见“安全配置指导”中的“AAA”。
· 由于本地用户缺省就拥有一个用户角色，如果要赋予本地用户新的用户角色，请确认是否需要保留这个缺省的用户角色，若不需要，请删除。
· 系统中的最后一个安全日志管理员角色的本地用户不可被删除。
安全日志管理员与其它用户角色互斥，因此在为本地用户授权用户角色时，有以下内容需要关注：
· 为一个本地用户授权安全日志管理员角色时，经过界面的交互式确认后，系统会自动删除当前用户的所有其它他用户角色。
· 如果已经为当前本地用户授权了安全日志管理员角色，再授权其它的用户角色时，经过界面的交互确认后，系统会自动删除当前用户的安全日志管理员角色。
|
缺省情况下，由用户角色为network-admin或level-15的用户创建的本地用户将被授权用户角色network-operator |
对于不使用AAA认证登录设备的非SSH用户，由用户线配置决定为其授权的用户角色。有关用户线相关配置的详细介绍请参见“基础配置指导”中的“登录设备”；通过publickey或password-publickey认证登录设备的SSH用户，由同名的设备管理类本地用户配置决定为其授权的用户角色。SSH用户相关的介绍请参见“安全配置指导”中的“SSH”。
表1-10 为非AAA认证用户授权用户角色
|
line { first-num1 [ last-num1 ] | { console | vty } first-num2 [ last-num2 ] } |
||
|
缺省情况下，使用Console用户线登录系统的用户将被授权用户角色network-admin；通过其它用户线登录系统的用户将被授权用户角色network-operator |
切换用户角色是指在不退出当前登录、不断开当前连接的前提下修改用户的用户角色，改变用户所拥有的命令行权限。切换后的用户角色只对当前登录生效，用户重新登录后，又会恢复到原有角色。
· 为了防止对设备的误操作，通常情况下建议管理员使用较低权限的用户角色登录设备、查看设备运行参数，当需要对设备进行维护时，再临时切换到较高权限的用户角色。
· 当管理员需要暂时离开设备或者将设备暂时交给其它人代为管理时，为了安全起见，可以临时切换到较低权限的用户角色，来限制其他人员的操作。
为了保证切换操作的安全性，执行用户角色切换时，需要进行身份认证。设备支持如表1-11所示的四种用户角色切换认证方式。
|
使用该方式时，需要在设备上使用super password命令设置用户角色切换密码 对于Console用户，在设备仅采用本地密码切换认证方式且未配置切换密码的情况下，设备不关心用户是否输入切换密码以及输入切换密码的内容，可允许用户成功切换用户角色 |
||
|
通过HWTACACS或RADIUS进行远程AAA认证 |
设备将用户角色切换使用的用户名和密码发送给HWTACACS/RADIUS服务器进行远程验证 · 在设备上配置HWTACACS/RADIUS方案，并在ISP域中引用已创建的HWTACACS/RADIUS方案，详细介绍请参见“安全配置指导”中的“AAA” · 在HWTACACS/RADIUS服务器上创建相应的用户并配置密码 |
|
|
先进行本地密码认证，若设备上没有设置本地用户角色切换密码，使用Console或VTY用户线登录的用户则转为远程AAA认证 |
||
|
先远程AAA认证，后本地密码认证 |
先进行远程AAA认证，远程HWTACACS/RADIUS服务器无响应或设备上的AAA远程认证配置无效时，转为本地密码认证 |
· 当使用HWTACACS方案进行用户角色切换认证时，系统使用用户输入的用户角色切换用户名进行角色切换认证，HWTACACS服务器上也必须存在相应的用户。
¡ 当用户要切换到level-n的用户角色时，要求HWTACACS服务器上存在能提供切换到level-n角色的用户。在HWTACACS服务器上，支持切换到用户角色level-n的用户也能够支持切换到level-0到level-n之间任意的用户角色。
¡ 当用户要切换到非level-n的用户角色时，要求HWTACACS服务器上存在至少能提供切换到level-0角色的用户，且该用户配置了取值为allowed-roles=”role”的自定义属性（其中role为要切换的目的用户角色名称）。
· 当使用RADIUS方案进行用户角色切换认证时，系统使用“$enabn$”形式的用户名进行用户角色切换认证，其中n为用户希望切换到的用户角色level-n中的n，RADIUS服务器上也必须存在该形式用户名的用户。与HWTACACS不同的是，用户进行角色切换时可输入任意用户名，该名称在认证过程中无实际意义。
¡ 当用户要切换到level-n的用户角色时，要求RADIUS服务器上存在用户名为“$enabn$”的用户。例如，用户希望切换到用户角色level-3，输入任意用户名，系统忽略用户输入的用户名，使用“$enab3$”形式的用户名进行用户角色切换认证。
¡ 当用户要切换到非level-n的用户角色时，要求RADIUS服务器上存在用户名为“$enab0$”的用户，且该用户配置了取值为allowed-roles=”role”的自定义属性（其中role为要切换的目的用户角色名称）。
· 用户进行用户角色切换认证时，系统发送给RADIUS服务器的认证请求报文中的用户名中不会携带域名，系统发送给HWTACACS服务器的认证请求报文中的用户名是否携带域名由配置决定（user-name-format），系统采用的切换认证方案由用户输入的用户名中指定的域名决定，若该用户名中未携带域名，则使用缺省域。
· 当用户从用户角色a切换到用户角色b后，若输入quit命令，将退出当前登录的用户线。
|
缺省情况下，采用local认证方式 |
||
|
super password [ role rolename ] [ { hash | simple } password ] |
如果采用local认证方式，则该步骤必选 |
|
|
若不指定用户角色，则切换到当前缺省目的用户角色。缺省的目的用户角色由super default role命令指定 |
完成上述配置后，在任意视图下执行display命令可以显示配置后RBAC的运行情况，通过查看显示信息验证配置的效果。
表1-14 RBAC显示和维护
|
display role feature-group [ name feature-group-name ] [ verbose ] |
用户通过本地认证并被授权指定的用户角色后，发现登录设备后实际具有的权限与被授权的用户角色权限不符。
可能是该本地用户被授权了其它用户角色，例如该本地用户还具有缺省的用户角色。
通过display local-user命令查看该用户实际拥有的用户权限，并删除授予用户的多余用户角色。
在AAA配置正确及设备与服务器通信无故障的情况下，使用RADIUS服务器进行远程身份认证的用户登录设备失败。
RBAC要求登录设备的用户必须至少拥有一个用户角色，如果用户没有被服务器授权任何用户角色，则登录失败。
通过执行role default-role enable命令允许用户使用系统预定义的缺省用户角色登录设备，或根据需要在服务器上为该用户添加要授权的用户角色。
不同款型规格的资料略有差异, 详细信息请向具体销售和400咨询。H3C保留在没有任何通知或提示的情况下对资料内容进行修改的权利!
支持
售前咨询
售后咨询
人工在线咨询
