权限级别与角色
三厂的权限模型差异明显：华为是数字级别 0-15，思科是 privilege 0-15 配合 enable 提权机制，H3C Comware 7 推荐角色模型（network-admin 全权、network-operator 只读，也可自定义角色）。做账号分级与安全审计对标时，先把这套映射关系理清，再谈谁能改什么。
基本信息
| 适用设备 | 全部设备（华为 VRP / H3C Comware / 思科 IOS） |
|---|---|
| 华为 | aaa 视图 local-user ... privilege level 0-15 |
| 思科 | username ... privilege 0-15；line 下可配 privilege level |
| H3C | local-user class manage + authorization-attribute user-role |
| 只读账号 | H3C network-operator；思科低 privilege；华为低级别 |
| 审计要点 | 第三方与监控账号必须单独建低权限账号 |
典型使用场景
- 给运维、审计、第三方分别分配适合的权限层级
- 只读监控账号：网管平台对接时避免写权限
- 安全审计对标：账号分级、最小权限、可追溯
- 临时账号管理：按需授权、到期即回收
- 事故复盘：确认操作账号的权限范围与可用命令集
华为 VRP
华为 VRP
[Huawei-aaa] local-user netadmin privilege level 15
[Huawei-aaa] local-user readonly privilege level 1
! 0 最低，15 最高；也可在 user-interface 下配 user privilege level
[Huawei-aaa] local-user netadmin password irreversible-cipher ******
display local-user思科 IOS
思科 IOS
SW-CORE-01(config)# username netadmin privilege 15 secret Admin@2026
SW-CORE-01(config)# username audit privilege 1 secret Audit@2026
SW-CORE-01(config-line)# privilege level 15
! line 下配置 = 登录即进 15 级，跳过 enable 提权，谨慎使用
show running-config | include usernameH3C Comware
H3C Comware
[H3C] local-user netadmin class manage
[H3C-luser-manage-netadmin] authorization-attribute user-role network-admin
[H3C-luser-manage-netadmin] quit
# 只读账号用 network-operator；也可自定义 user-role 模板下发权限
[H3C-luser-manage-netadmin] display this三厂权限模型对照
| 项目 | 华为 VRP | H3C Comware | 思科 IOS |
|---|---|---|---|
| 模型 | 数字级别 0-15 | RBAC 角色（Comware 7） | privilege 0-15 |
| 只读 | 低数字级别 | network-operator | 低 privilege（如 1） |
| 全权 | level 15 | network-admin | privilege 15 |
| 账号配置位置 | aaa 视图的 local-user | local-user class manage | 全局 username |
| 提权机制 | 无 enable 概念 | 无 enable 概念 | enable secret 二次提权 |
给运维账号 level 15 或 network-admin 等于完全控制权：第三方与只读监控账号必须单独建低权限账号，不要共用高权限账号，否则无法追溯操作来源。
思科 line 下配置 privilege level 15 会让登录即进入特权模式，绕过 enable secret 的二次验证，等价于一把永不落锁的钥匙；确需如此必须有其它补偿控制（如 TACACS 认证与命令授权）。
账号分层的落地三件套：账号名体现用途（如 ops、monitor、audit）、权限与用途严格对应、授权与回收都留记录。这三条做好，审计时基本不需要临时补材料。