管理员权限分级是什么
权限分级是按岗位把设备管理权限拆开：系统管理员负责配置与变更，操作员负责日常监控与查看，审计员只读日志。这样做既符合等保对权限分离的要求，也让操作留痕能定位到具体的人。常见失分点是审计账号具备配置权限、多人共用超级账号，以及离职与闲置账号长期未清理。
基本信息
| 角色划分 | 系统管理员负责配置、操作员负责监控、审计员只读日志 |
|---|---|
| 实现方式 | 使用设备内置角色或对接认证系统（如 RADIUS/TACACS） |
| 核查要点 | 账号数量、角色分配、闲置账号、共享账号 |
| 日志要求 | 登录与配置变更日志外发留存，能对应到具体账号 |
| 复核周期 | 建议每季度复核一次账号与角色，变更及时更新 |
典型使用场景
- 等保整改：按要求实现账号权限分离并留存审计记录
- 人员变动：入职、转岗与离职时同步调整账号权限
- 第三方管理：为厂商或集成商开通临时账号并限定有效期
- 审计取证：按账号回溯某次配置变更的操作人
- 账号治理：清理长期未登录与共享使用的账号
核查清单
核查清单
1. 列出全部管理员账号及其角色与创建时间
2. 停用离职人员与长期未登录账号
3. 审计账号仅保留日志查看权限，不给配置权限
4. 核对认证来源（本地账号或外部认证服务器）
5. 每季度复核一次并在变更记录中留存角色分工对照
| 角色 | 权限范围 | 常见问题 |
|---|---|---|
| 系统管理员 | 配置变更、设备维护 | 多个变更人共用同一账号 |
| 操作员 | 状态查看、日志查询 | 被临时授予配置权限后未收回 |
| 审计员 | 只读日志 | 误给配置权限，审计独立性丧失 |
| 第三方账号 | 限时限范围 | 到期未回收，长期可登录 |
| 监控只读 | 被监控系统使用 | 凭据硬编码在脚本中难以轮换 |
审计员账号不应具备配置权限，这是权限分离检查的常见失分点；把审计账号的权限范围写进制度并定期核对，比事后解释更有效。