两级口令模型
特权口令是分级运维的基础。思科 IOS 用 enable secret 从用户模式进入特权模式，口令直接对应能够进入的权限级别；华为 VRP 与 H3C Comware 用 super password 为低级别用户提供提权入口，用户自身带级别，提权只是临时提升。理解这层模型差异，才能在改密、审计和权限复核时把两处都覆盖到。
基本信息
| 适用平台 | 思科 IOS / 华为 VRP / H3C Comware |
|---|---|
| 思科命令 | enable secret（可配级别，如 enable secret level 15） |
| 华为与 H3C | super password level 级别 cipher 口令 |
| 存储差异 | 思科强散列存储；华为与 H3C 支持加密方式存储 |
典型使用场景
- 分级运维：普通账号日常查看，需要变更时临时提权
- 把历史上的明文 enable password 替换为强散列的 enable secret
- 第三方代维账号按需提权，避免长期持有高权限
- 安全审计时核对是否残留旧口令配置
- 权限复核：确认哪些账号可以进入特权模式
华为 VRP
华为 VRP
<Huawei> super password level 3 cipher Sup3r@2026 # 用户视图执行，低级别用户提权
[Huawei] aaa
[Huawei-aaa] local-user ops privilege level 1 password irreversible-cipher Ops@2026
<Huawei> display current-configuration | include super思科 IOS
思科 IOS
SW-CORE-01(config)# enable secret Cisco@2026
SW-CORE-01(config)# service password-encryption # 加密其余明文口令
SW-CORE-01> show privilege
Current privilege level is 1 # 当前级别
SW-CORE-01# enable
Password: # 输入特权口令提权H3C Comware
H3C Comware
<H3C> super password level 3 cipher Sup3r@2026
[H3C] local-user ops class manage
[H3C-luser-manage-ops] authorization-attribute user-role level-1
<H3C> display current-configuration | include super三厂模型差异
| 对比项 | 思科 enable secret | 华为与 H3C super password |
|---|---|---|
| 作用对象 | 从用户模式进入特权模式的口令 | 低级别用户临时提权的口令 |
| 存储方式 | 强散列存储 | 支持加密方式存储 |
| 与用户级别关系 | 口令决定可进入的特权级别 | 用户自身带级别，提权仅为临时 |
| 改密覆盖范围 | 同时清理旧的 enable password 配置 | 登录口令与提权口令两处都要改 |
思科的 enable secret 使用强散列存储，功能上会覆盖 enable password，但旧的 enable password 配置行可能仍留在配置中，安全审计时会被判定为不合规，应显式删除。
华为与 H3C 的提权口令与登录口令是两套独立配置，改密流程必须覆盖两处。只改登录口令会导致运维人员提权失败，进而无法执行高等级命令，这类问题常在割接现场才暴露。