华为交换机1～15权限划分标准是什么？

华为交换机的1～15级权限划分并非线性递进的通用功能表，而是基于AAA认证体系构建的精细化命令控制机制。其中0级为参观级，仅开放基础网络诊断与远程访问类命令；1级扩展支持全部display类查看指令（不含history-command all）；2～8级及10～14级无出厂默认权限，须由管理员按需授权具体命令；9级具备高度业务操作能力，覆盖绝大多数配置与维护功能，但受限于历史命令审计、RBAC策略、文件系统及设备管理等关键模块；15级则完全等同于network-admin角色，拥有全量系统控制权。该分级严格遵循华为官方文档定义，已在S系列、CE系列等主流交换机型号中稳定实现，并通过IEC 62443-3-3等工业安全标准验证。

一、权限等级映射与模式切换逻辑

华为交换机的1～15级权限仅在启用command-privilege level rearrange命令后生效，该功能将传统0～3级默认权限模型扩展为0～15级精细化控制体系。启用前，所有配置级命令（如interface、vlan batch）归属2级，系统级命令（如save、reboot、startup）归属3级；启用后，原2级命令自动映射至10级，原3级命令升至15级，而0级和1级保持不变。此映射非静态绑定，每次执行enable command-privilege level rearrange或undo操作时，系统会实时重载命令级别数据库，并同步调整已存在用户的实际可执行范围，因此建议在维护窗口期执行切换。

二、各等级关键能力边界详解

level-9是业务运维的核心权限节点，可执行除安全敏感类外的全部配置命令，包括VLAN创建、路由协议启用、QoS策略部署及ACL规则下发，但明确禁止调用display history-command all（防命令追溯泄露）、debug acl、debug radius等调试指令，且无法执行ftp、tftp、copy startup.cfg flash:等文件操作，亦不可修改本地用户数据库或重启设备。level-15用户则不受上述限制，可完整使用network-admin角色全部能力，包括RBAC策略配置、AAA服务器模板管理、证书导入导出及设备固件升级等高危操作，其权限由aaa视图下level 15参数强制绑定，不可降级覆盖。

三、权限配置实操流程

首先进入系统视图执行aaa命令进入认证域；其次使用local-user username创建用户并设置cipher密码；接着通过service-type指定接入方式（如telnet、ssh、terminal）；最后必须显式配置level N（N为0～15整数），未配置则默认继承0级。验证时需退出当前会话，以新用户重新登录，并执行display local-user确认level字段值；若需批量授权，可结合RADIUS服务器下发privilege-level属性，但本地用户配置始终优先于远程属性。

四、权限审计与风险防控要点

日常运维中应定期执行display local-user筛选level≥9的账户，核查其创建时间、最后一次登录时间及服务类型；对长期未使用的高权限账户执行lock或undo local-user禁用操作；严禁将level-15账户密码明文记录或共享使用，建议启用双因子认证（如SSH密钥+动态口令）。所有权限变更须留存配置日志，可通过info-center enable配合logbuffer查看操作轨迹。

综上，华为交换机1～15级权限体系是面向企业级网络治理设计的强约束机制，其价值在于精准匹配人员职责与操作边界。