1 简介

命令权限允许配置管理员设置规则，对用户通过ssh和telnet访问时执行的命令进行匹配，并对匹配到的操作采取拒绝、切换或者告警动作。实现命令行级别的权限控制。

2 配置前提

要使用命令权限需要先了解基本的配置规则和方法

2.1 设定规则的使用范围

通过关联用户、设备和系统帐号可以设定规则的适用范围，如下图：

图1 设定规则的适用范围

(1) 如果不关联任何用户帐号、设备和系统帐号该规则对所有用户、设备和系统帐号均有效。

(2) 如果关联了用户、设备和系统帐号规则仅对已关联的用户、设备和系统帐号有效。

2.2 使规则生效

新建或者修改规则后规则的变更不会立即生效，如下图：

图2 使规则生效

只要有“当前策略未部署”的标记存在就说明变更未生效，要使变更生效必须点击“部署”，部署后规则将在1分种后生效，生效后对已经存在的和新建的字符会话均有效。

2.3 命令权限的优先级

对于多条命令权限：

(1) 运维审计系统进行逐条规则匹配，执行第一条符合条件的结果，不再考虑之后的规则。

(2) 如果所有规则均不满足，按照缺省策略进行。

2.4 命令基本语法

(1) 如果不包含空格，表示只对命令部分进行匹配。

(2) 如果包含空格，第一个空格以前的部分是对命令的可执行文件部分进行匹配，与上面的规则相同；后面的部分（包括其它空格）对命令的参数部分进行匹配：就是把命令行去掉命令本身之外的所有参数部分作为一个整体，与进行匹配。

(3) 如果以"^"开头，或者包含"/"字符，表示严格匹配，即命令部分必须完全匹配正则表达式。比如"^passwd$"只匹配"passwd"本身，前面加上任何字符都认为不匹配。比如"/usr/bin/passwd$"只匹配"/usr/bin/passwd"，任何其它路径或不写路径都不接受。否则将把命令的最后一个"/"字符后的部分拿来做匹配。比如"passwd$"匹配"passwd"、"/usr/bin/passwd"、"asdf/passwd"等。

2.5 正则表达式

所有的匹配都基于正则表达式。下表为正则表达式通配符的介绍：

符号	含义
.	匹配任意字符：代表1位
^	匹配字符串的开头
$	匹配字符串的结尾
*	表示之前的模式可重复0-N次
+	表示之前的模式可重复1-N次
？	表示之前的模式可重复0-1次
{m}	表示之前的模式可重复m次
{m,n}	表示之前的模式可重复m-n次
{,n}	表示之前的模式可重复不超过n次
[...]	表示可匹配方括号内出现的任意字符，可用"-"表示范围，如a-z、0-9等
[^...]	表示可匹配方括号内未出现的任意字符，可用"-"表示范围，如a-z、0-9等
\|	表示可匹配A或B，这里A和B都可以是正则表达式
\	转义符，表示取消后面字符的特殊含义，仅表示该字符本身
\d	表示可匹配任意数字字符；"\D"表示可匹配任意非数字字符
\s	表示可匹配任意空白字符；"\S"表示可匹配任意非空白字符
\w	表示可匹配任意字母、数字或下划线；"\W"表示可匹配任意非字母、数字或下划线
\r	表示回车
\n	表示换行
\t	表示制表符