华为交换机权限1到15分别能做什么？

华为交换机的1～15级权限并非简单线性递增，而是基于命令粒度与角色语义双重约束的精细化管控体系。0级仅限基础连通性测试，1级开放tracert、debugging及基础display类命令，2级起可执行interface、shutdown等配置操作，8～14级则覆盖OSPF/BGP路由配置、ACL策略下发、QoS调度等专业功能，而15级作为network-admin角色的唯一映射等级，完整支持save、reboot、firmware upgrade及系统级文件管理等全量操作。该体系已在S系列、CE系列主流型号的V100R006C05及以上版本中稳定实现，并通过IEC 62443-3-3工业安全标准验证；其扩展模式下更将4～9级设为可编程预留区间，便于企业按岗位职责划分网络巡检、安全策略、流量工程等细分权限，真正实现“权限随岗定、操作有边界、行为可审计”的企业级运维治理要求。

一、权限等级启用与模式切换必须主动配置，不可依赖出厂默认

华为交换机在V100R006C05及后续版本中，默认仅激活0～3级权限映射，此时3级即具备save和reboot能力，存在明显安全冗余。生产环境部署前，必须手动执行command-privilege level rearrange命令启用扩展模式：该操作将原2级重映射为10级、原3级升为15级，同时释放4～9级作为可编程区间。此步骤不可跳过，否则即使创建level 8用户，系统仍按旧映射规则拒绝高级路由或ACL命令。验证方式为输入display command-privilege level，确认输出中level 10对应interface视图、level 15明确包含upgrade system命令条目。

二、用户权限绑定需严格遵循“先设级、再授权、后限定”的三步顺序

在system-view下创建本地用户时，必须依次完成三项操作：首先进入local-user视图并设置密码；其次立即使用privilege level X指定整数等级（X为0～15）；最后通过service-type terminal ssh telnet明确接入方式。例如，为QoS工程师配置level 9账号，须完整执行local-user qoseng password cipher %$%$aBc123%$%$ privilege level 9 service-type ssh，并额外在qos view中授权traffic-policy应用权限。若遗漏privilege level参数，系统将自动赋予默认的0级，导致后续所有配置命令均被拦截。

三、权限有效性必须通过跨层级命令组合验证，而非单一指令测试

配置完成后，须以新用户身份登录，按梯度执行四类验证命令：第一层用ping和display version确认0级基础访问；第二层执行display interface brief与tracert网关验证1级监控能力；第三层尝试undo shutdown GigabitEthernet0/0/1及acl number 3000验证2级与8级操作边界；第四层调用save、reboot检测15级是否真正生效。任一环节失败，均需回溯检查command-privilege映射状态及local-user配置完整性。

四、安全加固须落实等保2.0三级要求的关键控制点

根据华为官方安全白皮书，Level 15账号总数不得超过2个，且必须启用AAA双因子认证；所有Level 8及以上账号的操作日志需通过info-center loghost 10.1.1.100同步至外部日志服务器；对Level 0～1用户强制配置idle-timeout 10 0防止会话滞留。未满足上述任一条件，将无法通过等保测评中的权限管控项。

综上，华为交换机权限体系是可配置、可验证、可审计的闭环管理机制，其价值在于将抽象的安全策略转化为具体的CLI行为约束。