外包和自家人不同权：交换机AAA本地账号分级管理

多个人管网络设备的单位，常犯一个错：所有人共用一个管理员账号密码。谁改过配置查不到，外包人员也拿着最高权限，出了事无从追责。华为交换机基于 AAA 的本地账号体系可以给每个运维人员单独开账号，并按职责分配不同命令级别——自家人管全局，外包与值班只给够用的权限。下面按官方配置思路走一遍。

第一步，创建分级本地账号。

aaa
 local-user admin password irreversible-cipher <管理员密码>
 local-user admin privilege level 15
 local-user admin service-type ssh
 local-user monitor password irreversible-cipher <只读密码>
 local-user monitor privilege level 0
 local-user monitor service-type ssh

privilege level 15 是管理级，可以执行全部配置命令；privilege level 0 是参观级，只能执行 ping、display 等基础查看类命令。中间还有 1、3 等级别可按需细分，比如给值班人员只开接口状态查看与重启之外的日常命令。

第二步，把命令级别和登录方式绑定。 VTY 登录视图下配置 user privilege level 与认证模式为 AAA，使登录账号必须走本地账号体系；再配合 SSH（STelnet）登录，密码与密钥双要素按单位安全要求启用。

第三步，验证。 分别用两个账号登录：monitor 账号执行 display 正常，执行 system-view 会被权限拒绝；admin 账号一切正常。这样"谁登录、能干什么"就一一对应了。

三点提醒：一是账号密码按人不按岗，人员离职当天禁用账号，公共口令一律废掉；二是命令级别的划分先在小范围试运行，避免把值班人员日常要用的命令挡在外面；三是设备多了以后本地账号逐台维护很吃力，可按官方指南过渡到 RADIUS/域集中认证，账号和权限一处管理。权限分得清，责任才追得明。贵州诚鑫致达科技在为本地单位做网络运维时，账号分级与操作留痕是交接给客户的标配，有需要的单位可以搜索"诚鑫致达 网络运维"了解我们的做法。

（约 870 字）

企业存储选型参考｜贵州诚鑫致达

做核心业务 SAN 存储与高可靠应用，群晖机型参考：UC3400 · UC3200 · SA3600。需要选型建议或上门评估，搜「诚鑫致达」即可找到我们。

服务区域｜贵州诚鑫致达

贵州群晖NAS、贵阳存储、数据备份、信创云盘或 IT 集成服务，可联系贵州诚鑫致达科技，服务范围覆盖贵州全省各市州。重庆企业 NAS 存储、服务器运维与容灾备份方案。