W jaki sposób można przypisać uprawnienia do wykonywania komend dla konkretnych poziomów pracy na urządzeniach Cisco tak, żeby część poleceń była dostępna z poziomu 15, który włączamy poleceniem "enable"? Co zrobić w przypadku, gdy część komend chcielibyśmy udostępnić np. na 8 czy 9 poziomie?
W przypadku urządzeń Cisco dostępne są dwa modele przydzielania uprawnień:
a) Privilege level (stary).
b) RBAC (Role-Based CLI Access) - nowy i zalecany do użycia.
Z treści pytania wynika, że chodzi o pierwszy z wymienionych sposób. Przypisanie poleceń do konkretnego poziomu jest realizowane w tym modelu przy użyciu polecenia privilege w trybie konfiguracji globalnej. Składnia polecenia jest pokazana poniżej:
privilege mode { level level | reset } command
Gdzie:
- mode oznacza tryb, dla którego będzie stosowane polecenie. W przypadku gdy ma to być polecenie wydawane w trybie konfiguracji urządzenia, stosujemy słowo kluczowe exec,
- level oznacza poziom, dla którego polecenie będzie dodane,
- command oznacza konkretne polecenie systemu Cisco IOS.
I tak jak np. chcielibyśmy dodać użytkownikowi na poziomie 8 uprawnienie do wydawania polecenia reload, użylibyśmy następującego polecenia:
Router(config)# privilege exec level 8 reload
Przed wprowadzeniem autoryzacji na urządzeniach Cisco zalecam zapoznanie się z drugim modelem i zastosowanie go w istniejącej infrastrukturze. Jednym z argumentów jest chociażby to, że w przypadku modelu "Privilege level" polecenia przypisane do niższych poziomów są automatycznie dziedziczone dla poziomów wyższych. Uniemożliwia to utworzenie niezależnych zbiorów poleceń dla użytkowników. Po więcej informacji odsyłam tutaj:
https://www.cisco.com/c/en/us/td/docs/ios/12_0s/feature/guide/csprienh.html
https://www.cisco.com/en/US/docs/ios/12_3t/12_3t7/feature/guide/gtclivws.html
