华为交换机的1～15级权限怎么设置？

华为交换机的1～15级权限并非简单数字递增，而是一套严格遵循最小权限原则、深度耦合命令粒度与角色语义的分层管控体系。其中，0级仅允许ping、telnet等基础连通性操作；1级开放全部display类查看命令，支撑日常监控；2～8级及10～14级为可编程空白区间，需管理员依据岗位职责（如网络巡检、ACL策略配置、QoS调优）手动映射具体命令集；9级已覆盖绝大多数业务配置能力，但主动规避reboot、save、firmware upgrade等高危动作；15级则完全等同于network-admin角色，经AAA认证后可执行全量系统管理指令。该机制已在华为S系列、CE系列主流企业级设备中全面落地，其设计逻辑与实现路径均符合IEC 62443及《网络安全等级保护基本要求》的技术规范。

一、启用15级权限体系前必须激活扩展模式

华为交换机出厂默认仅启用0～3级基础权限模型，若未执行command-privilege level rearrange命令，即便将用户设为privilege level 15，其实际可执行命令仍受限于原3级边界，无法调用interface vlan、ospf、ip route-static等关键配置指令。该命令需在system-view视图下一次性输入并确认，执行后不可回退，系统自动完成映射重构：原2级命令（如shutdown、undo shutdown）升至10级，原3级命令（如save、reboot）全部归入15级，而0级与1级保持不变。此后所有display command-privilege输出均以0～15为基准，建议立即保存配置并重启终端会话，避免缓存导致权限误判。

二、15级用户的创建与绑定须遵循四步闭环流程

首先进入AAA视图执行aaa命令；其次使用local-user admin password irreversible-cipher设定强密码，密文必须含大小写字母、数字及特殊字符且不少于8位；第三步键入local-user admin privilege level 15明确授予最高权限；最后通过local-user admin service-type ssh http https terminal完成多协议接入授权，并以local-user admin state active启用账户。四个步骤缺一不可，任一遗漏都将导致登录后权限降级或服务类型不可用。

三、权限验证必须覆盖命令层级与操作场景双维度

新账号登录后，先在用户视图执行display users确认显示“Privilege level: 15”；再依次尝试display current-configuration（1级）、interface GigabitEthernet 0/0/1（10级）、save（15级）三级命令，观察返回结果是否符合预期；特别注意，若save提示“Permission denied”，说明扩展模式未启用或privilege level参数未生效，需退回AAA视图逐条核查拼写与顺序。

四、安全加固是权限落地的必要支撑环节

必须同步配置lock-threshold 3 lock-timeout 600防暴力破解；启用info-center enable及info-center loghost指向合规日志服务器，确保所有15级操作留痕；每月执行display local-user定期审计，删除闲置高权账号。这些措施共同构成符合等保2.0三级要求的最小权限实施闭环。

综上，华为交换机的15级权限体系是命令控制精度、角色语义表达与安全治理能力的有机统一。