Users Guide

userrole inherit
重新配置 OS10 默认分配给具有未知用户角色或权限级别的 RADIUS 或 TACACS+ 认证用户的默认 netoperator 角色和权
限。您还可以配置未知的 RADIUS 或 TACACS+ 用户角色，以继承现有 OS10 角色的权限。
语法
userrole {default | name} inherit existing-role-name
参数
● default inherit — 重新配置分配给已认证用户（具有丢失或未知角色或权限级别）的默认权
限。
● name inherit — 输入从 OS10 用户角色继承权限的 RADIUS 或 TACACS+ 用户角色的名称；最多
32 个字符。
● existing-role-name — 分配与 OS10 用户角色关联的权限：
○ sysadmin — 对系统中所有命令的完全访问权限、对操作文件系统的命令的独占访问权限，以及
对系统 shell 的访问权限。系统管理员可以创建用户 ID 和用户角色。
○ secadmin — 对设置安全策略和系统访问权限的配置命令的完全访问权限，如密码强度、AAA 授
权和加密密钥。安全管理员可以显示安全信息，如加密密钥、登录统计信息和日志信息。
○ netadmin — 对管理流经交换机（如路由、接口和 ACL）的流量的配置命令的完全访问权限。网
络管理员无法访问安全功能的配置命令或查看安全信息。
○ netoperator — 仅访问 EXEC 模式以查看当前配置。网络操作员无法修改交换机上的任何配置
设置。
默认
OS10 将 netoperator 角色分配给由 RADIUS 或 TACACS+ 服务器（具有丢失或未知角色或权限级别）
认证的用户。
命令模式 CONFIGURATION
使用情况信息
当 RADIUS 或 TACACS+ 服务器对用户进行认证，并且未返回角色或权限级别，或者返回未知角色或权限
级别时，OS10 默认将 netoperator 角色分配给用户。使用此命令可重新配置默认的 netoperator 权
限。
要将 OS10 用户角色权限分配给未知用户角色，请输入 RADIUS 或 TACACS+ name 及 inherit
existing-role-name 值。无命令版本将角色重置为 netoperator。
从版本 10.4.0E(R3S) 开始，在全交换模式下的 MX9116n 和 MX5108n 交换机上受支持。从版本 10.5.0.1
开始，在 SmartFabric 模式下也受支持。
示例
OS10(config)# userrole default inherit sysadmin
支持的版本 10.4.0E(R3P3) 或更高版本
X.509v3 证书
OS10 支持 X.509v3 证书，以保护交换机与主机（如 RADIUS 服务器）之间的通信安全。交换机和服务器均交换由证书颁发机构
(CA) 颁发的已签名的 X.509v3 证书中的公钥，以便彼此进行身份验证。证书颁发机构使用其私钥来签署交换机和主机证书。
证书中的信息允许两个设备证明所有权和公钥的有效性。假设 CA 受信任，则交换机和身份验证服务器会验证对方的身份并设置
安全的加密通信通道。
虽然可以同时使用两种方式，但通常优先使用具有公钥证书的用户身份验证，而不是基于密码的身份验证：
● 避免使用低强度密码的安全风险，并对强力攻击提供更大的阻力。
● 提供受信任并且可证实的标识（使用受信任的 CA 数字签名的证书时）的保证。
● 除了用户身份验证以外，在交换机服务器通信中提供安全保护和机密性。
例如，您可以下载并安装 X.509v3 证书以启用 RADIUS over TLS 身份验证的公钥验证（也称为 RadSec）。OS10 支持公钥基础
设施 (PKI)，其中包括：
● 生成自签名证书和证书签名请求 (CSR) 及其相应的私钥
● 安装和删除自签名证书和 CA 签名的证书
● 安全删除相应的私钥
● 在系统“trust store”中安装和删除 CA 证书
● 显示证书信息
安全性
939