管理角色

系统用户可以是允许用户充当系统特定类型的管理员的类的成员。要求特定角色来查看或修改项目会限制用户可以从系统获取的信息范围。它还限制了系统可供用户修改或观察的程度。在设计管理角色时，您（系统管理员）应使用以下准则：

• 不允许任何用户以 的身份 root登录系统。

• 将每个用户限制为执行用户职责所需的最小权限集。

• 不允许任何用户属于包含权限标志的 shell 登录类。 shell 权限标志允许用户从 CLI 运行 start shell 命令。

• 允许用户具有回滚权限。回滚权限允许用户撤消管理员执行的操作，但不允许他们提交更改。

您可以通过将登录类配置为具有该角色所需的权限来为用户分配管理角色。您可以对每个类进行配置，按名称允许或拒绝访问配置语句和命令。这些限制将覆盖并优先于类中也配置的任何权限标志。您可以将以下角色属性之一分配给管理用户：

• Crypto-administrator— 允许用户配置和监控加密数据。

• Security-administrator— 允许用户配置和监控安全数据。

• Audit-administrator— 允许用户配置和监控审计数据。

• IDS-administrator— 允许用户监控和清除入侵检测服务 （IDS） 安全日志。

每个角色都可以执行以下特定管理功能：

• Cryptographic Administrator

  • 配置加密自检。

  • 修改加密安全数据参数。

• Audit Administrator

  • 配置和删除审计审查搜索和排序功能。

  • 搜索和排序审计记录。

  • 配置搜索和排序参数。

  • 手动删除审计日志。

• Security Administrator

  • 调用、确定和修改加密自检行为。

  • 启用、禁用、确定和修改审计分析和审计选择功能，配置设备为自动删除审计日志。

  • 启用或禁用安全报警。

  • 指定传输层连接上的配额限制。

  • 指定面向连接的受控资源上的配额限制、网络标识符和时间段。

  • 指定允许使用互联网控制消息协议 （ICMP） 或地址解析协议 （ARP） 的网络地址。

  • 配置时间戳中使用的时间和日期。

  • 查询、修改、删除和创建未经过身份验证的信息流安全功能策略 （SFP）、经过身份验证的信息流安全功能策略、未经身份验证的设备服务和任意访问控制策略的信息流或访问控制规则和属性。

  • 指定在未经身份验证的信息流 SFP、经过身份验证的信息流 SFP、未经身份验证的评估目标 （TOE） 服务和任意访问控制策略下创建对象信息时覆盖默认值的初始值。

  • 创建、删除或修改控制可从中建立管理会话的地址的规则。

  • 指定和撤销与用户、主题和对象关联的安全属性。

  • 指定设备向管理员发出警报的审核存储容量百分比。

  • 处理身份验证故障，并修改通过 SSH 或通过 CLI 尝试失败的身份验证尝试次数，这些尝试在强制执行渐进式限制以进行进一步的身份验证尝试之前以及断开连接之前可能发生的次数。

  • 管理设备的基本网络配置。

• IDS Administrator— 指定 IDS 安全报警、入侵报警、审计选择和审计数据。

您必须在为这些管理角色创建的类中设置 security-role 属性。此属性限制哪些用户可以显示和清除安全日志，这些操作不能仅通过配置来执行。

例如，如果要将清除和显示 IDS 日志限制为 IDS 管理员角色，则必须在为 IDS 管理员角色创建的类中 ids-admin 设置 security-role 属性。同样，您必须将 security-role 设置为其他 admin 值之一，以限制该类只能清除和显示非 IDS 日志。

注意：

当用户删除现有配置时，已删除配置层次结构级别下的配置语句（用户无权修改的子对象）将保留在设备中。

此示例说明如何为一组独特的唯一权限配置单个管理角色，与所有其他管理角色不同。

超级用户权限允许用户在路由器上使用任何命令，通常保留给少数用户，例如系统管理员。您（系统管理员）需要使用密码保护本地管理员帐户，以防止未经授权的用户访问超级用户命令。这些超级用户命令可用于更改系统配置。具有 RADIUS 身份验证的用户还应配置本地密码。如果 RADIUS 服务器没有响应，登录过程将恢复为本地管理员帐户上的本地密码身份验证。

以下示例说明如何配置具有超级用户权限的 admin 受密码保护的本地管理帐户：