本地用户与权限分级
本地用户是设备自身的账号库，不依赖外部认证服务器。它的核心价值是兜底：远程认证服务器不可达、链路中断或策略配置错误时，还有一个本地账号能登进设备处理问题。除此之外，本地用户还承担权限分级的职责：管理员级别可以改配置，监控级别只能查看。三厂的权限模型差异明显——华为用数字级别，思科用特权级别，H3C 用角色，配置前要先确认对应关系，否则会出现账号能登录但什么都做不了的情况。
基本信息
| 适用场景 | 本地兜底账号与权限分级 |
|---|---|
| 华为模型 | privilege level 数字级别（0 到 15） |
| 思科模型 | privilege 1 到 15 级 |
| H3C 模型 | 角色（network-admin、network-operator） |
| 必备配置 | 除账号口令外还要指定服务类型（service-type）与权限 |
典型使用场景
- 应急兜底：外部认证服务器故障时用本地账号登录设备
- 权限分离：为监控系统与值班人员创建只读账号，避免误操作
- 设备开局：新设备还没有对接认证系统，先用本地账号完成初始配置
- 临时授权：为厂商工程师开设限期账号，工作完成后立即删除
- 合规要求：账号必须实名可追溯，禁止多人共用一个管理员账号
华为 VRP
华为 VRP
[Huawei] aaa
[Huawei-aaa] local-user admin password irreversible-cipher Admin@123
[Huawei-aaa] local-user admin privilege level 15
[Huawei-aaa] local-user admin service-type ssh terminal
[Huawei-aaa] local-user ops privilege level 1
<Huawei> display local-user ! 确认账号、级别与服务类型思科 IOS 与 H3C
思科 IOS 与 H3C
! 思科 IOS
SW-CORE-01(config)# username admin privilege 15 secret Admin@123
SW-CORE-01(config)# username ops privilege 1 secret Ops@123
SW-CORE-01# show running-config | include username
! H3C Comware
[H3C] local-user admin class manage
[H3C-luser-manage-admin] password simple Admin@123
[H3C-luser-manage-admin] service-type ssh terminal
[H3C-luser-manage-admin] authorization-attribute user-role network-admin三厂权限模型对照
| 项目 | 华为 VRP | 思科 IOS | H3C Comware |
|---|---|---|---|
| 权限表达 | privilege level 0-15 | privilege 1-15 | 角色（network-admin 等） |
| 管理员 | level 15 | privilege 15 | network-admin |
| 只读用户 | 较低级别（如 level 1） | privilege 1 | network-operator |
| 口令写法 | password irreversible-cipher | secret | password（按版本支持 hash） |
| 服务类型 | service-type ssh terminal | 由 line 与 AAA 配置决定 | service-type ssh terminal |
只建账号不指定服务类型与权限，是最常见的本地用户配置错误。结果通常是登录时被拒绝，或者登录成功后没有任何可执行命令，容易误判为设备异常。
本地账号是最后一道入口，口令强度要按管理员标准要求，并且与外部认证账号分开。共用同一个本地账号会让事后审计无法区分操作者。