管理角色

系统用户可以是允许用户充当系统特定类型的管理员的类的成员。要求特定角色才能查看或修改项目会限制用户可以从系统获取的信息范围。它还限制了用户对修改或观察的系统开放程度。您（系统管理员）在设计管理角色时应使用以下准则：

• 不允许任何用户以 身份 root登录系统。

• 将每个用户限制为执行用户职责所需的最小权限集。

• 不允许任何用户属于包含权限标志的 shell 登录类。权限标志允许用户 shell 从 CLI 运行 start shell 命令。

• 允许用户具有回滚权限。回滚权限允许用户撤消管理员执行的操作，但不允许用户提交更改。

通过将登录类配置为具有该角色所需的特权，可以将管理角色分配给用户。可以将每个类配置为按名称允许或拒绝对配置语句和命令的访问。这些限制将覆盖并在类中也配置的任何权限标志之上。可以将以下角色属性之一分配给管理用户：

• Crypto-administrator- 允许用户配置和监视加密数据。

• Security-administrator- 允许用户配置和监控安全数据。

• Audit-administrator- 允许用户配置和监视审计数据。

• IDS-administrator- 允许用户监视和清除入侵检测服务 （IDS） 安全日志。

每个角色都可以执行以下特定的管理功能：

• Cryptographic Administrator

  • 配置加密自检。

  • 修改加密安全数据参数。

• Audit Administrator

  • 配置和删除审核审阅搜索和排序功能。

  • 搜索和排序审核记录。

  • 配置搜索和排序参数。

  • 手动删除审核日志。

• Security Administrator

  • 调用、确定和修改加密自检行为。

  • 启用、禁用、确定和修改审计分析和审计选择功能，并配置设备自动删除审计日志。

  • 启用或禁用安全警报。

  • 指定传输层连接的配额限制。

  • 指定受控面向连接的资源的配额限制、网络标识符和时间段。

  • 指定允许使用互联网控制消息协议 （ICMP） 或地址解析协议 （ARP） 的网络地址。

  • 配置时间戳中使用的时间和日期。

  • 查询、修改、删除和创建未经身份验证的信息流安全功能策略 （SFP）、经过身份验证的信息流安全功能策略、未经身份验证的设备服务和自由访问控制策略的信息流或访问控制规则和属性。

  • 指定在未经身份验证的信息流 SFP、经过身份验证的信息流 SFP、未经身份验证的评估目标 （TOE） 服务和自由访问控制策略下创建对象信息时覆盖默认值的初始值。

  • 创建、删除或修改控制可从中建立管理会话的地址的规则。

  • 指定和撤销与用户、主体和对象关联的安全属性。

  • 指定设备向管理员发出警报的审核存储容量百分比。

  • 处理身份验证失败，并修改在对进一步的身份验证尝试实施渐进限制之前和断开连接之前通过 SSH 或 CLI 进行的失败身份验证尝试次数。

  • 管理设备的基本网络配置。

• IDS Administrator— 指定 IDS 安全警报、入侵警报、审核选择和审核数据。

必须在为这些管理角色创建的类中设置安全角色属性。此属性限制哪些用户可以显示和清除安全日志，这些操作无法仅通过配置执行。

例如，如果要限制清除 IDS 日志并将其显示给 IDS 管理员角色，则必须在为 IDS 管理员角色创建的类中 ids-admin 设置安全角色属性。同样，您必须将安全角色设置为其他管理员值之一，以限制该类只能清除和显示非 IDS 日志。

此示例说明如何为一组不同的、唯一的特权配置各个管理角色，而不是所有其他管理角色。

超级用户权限授予用户在路由器上使用任何命令的权限，并且通常保留给少数用户，例如系统管理员。您（系统管理员）需要使用密码保护本地管理员帐户，以防止未经授权的用户访问超级用户命令。这些超级用户命令可用于更改系统配置。使用 RADIUS 身份验证的用户还应配置本地密码。如果 RADIUS 服务器没有响应，登录过程将恢复为本地管理员帐户上的本地密码身份验证。

以下示例说明如何配置使用超级用户权限调用 admin 的受密码保护的本地管理帐户：