华为交换机1～15权限划分能自定义吗？

华为交换机支持将权限等级自定义设置为1至15级，前提是已启用命令权限重映射功能（command-privilege level rearrange）。该机制在保留原有0–3级基础权限结构的同时，将原2级命令映射至10级、3级命令映射至15级，并开放4–9级及11–14级作为可配置空档，使管理员能依据岗位职责精确分配命令执行范围。例如，运维人员可设为level 8以允许VLAN配置但禁止系统重启，安全审计员可设为level 5仅限查看日志，而超级管理员则统一赋予level 15。这一设计已在S2700、S3700等主流型号的V100R006C05及以上版本中稳定实现，符合IEC 62443工业安全标准对最小权限原则的技术要求。

一、启用权限重映射功能的具体操作步骤

在华为交换机命令行界面中，需先通过system-view进入系统视图，执行command-privilege level rearrange命令开启扩展权限模式。该命令不可逆，执行后设备将自动重新映射所有内置命令的默认级别：原监控级（1级）命令保持不变，原系统级（2级）命令统一迁移至10级，原管理级（3级）命令全部升至15级，而4–9级与11–14级则处于未绑定状态，可供管理员自由分配。执行完成后，建议使用display command-privilege level查看当前各命令所归属的权限等级，确认映射结果与预期一致，避免因误判导致权限配置偏差。

二、创建差异化用户的完整配置流程

以S3700交换机为例，创建三类典型用户需分步完成：首先使用local-user audit password cipher Audit@2024创建审计账号，紧接输入local-user audit privilege level 5限定其仅能执行display logbuffer、display acl等只读类命令；其次为运维人员配置local-user op password cipher Op@2024及local-user op privilege level 8，并通过aaa authorization-command命令关联VLAN、STP、端口速率等二级配置权限；最后为超级管理员设置local-user admin password cipher Admin@2024和local-user admin privilege level 15，确保其可执行reboot、startup saved-configuration等高危指令。每步配置后均需执行save保存配置，防止重启后失效。

三、权限有效性验证与日常维护要点

配置完成后，须通过新用户账号SSH或Console登录设备进行实操验证：level 5用户应无法输入interface命令，level 8用户可进入接口视图但被禁止执行undo shutdown以外的端口操作，level 15用户则可无限制执行所有命令。日常维护中，建议每季度执行display local-user查看用户权限分布，对离职或调岗人员及时执行undo local-user删除账户，并定期审计display history-command输出，核查是否存在越权操作痕迹。所有权限调整必须在维护窗口期完成，并同步更新ITSM系统中的权限台账。

综上，华为交换机1～15级权限不仅支持自定义，更具备生产环境所需的可验证性、可追溯性与可审计性。