1. 项目背景与核心价值：为什么需要“三权分立”

在任何一个稍具规模的企业网络里，网络设备的管理权限都是一个敏感且关键的话题。想象一下，如果一台核心交换机的管理员账号密码被一个实习生或者一个即将离职的员工掌握，会发生什么？误操作导致业务中断、恶意配置引发安全漏洞，甚至直接清空配置让整个网络瘫痪。这种“超级管理员”一手遮天的模式，在追求精细化管理和安全合规的今天，已经显得非常粗放和危险。

“三权分立”账号体系，正是为了解决这个问题而生。它不是一个华三交换机独有的功能，而是一种源于信息安全等级保护要求的通用管理思想。其核心是将传统“网管”的至高无上权力，拆分成三个相互独立、相互制约的角色：系统管理员、安全管理员和审计管理员。

• 系统管理员：可以理解为“操作工”或“实施者”。他负责日常的网络配置变更、故障处理、软件升级等具体操作。但他不能创建新的管理账号，也不能查看别人的操作记录。
• 安全管理员：可以理解为“钥匙保管员”或“权限分配者”。他负责管理所有账号（包括系统管理员和审计管理员）的创建、删除、密码修改和权限分配。但他自己不能去执行具体的网络配置命令。
• 审计管理员：可以理解为“监工”或“审计员”。他专门负责查看、导出所有用户（包括系统管理员和安全管理员）的操作日志、登录日志、配置变更记录。但他既不能操作设备，也不能管理账号。

这样一来，就形成了一个完美的制衡闭环：安全管理员给系统管理员发“操作许可证”（账号权限），系统管理员凭“证”干活，审计管理员全程录像监督。任何一个人的单点失误或恶意行为，都无法对系统造成毁灭性打击，并且所有操作都有迹可查。这对于满足等保测评、ISO27001等安全审计要求，以及实现企业内控管理，具有不可替代的价值。

华三交换机的V7版本Comware系统，完整地内置了这套“三权分立”模型。接下来，我将以一台全新的H3C S6850交换机（Comware V7）为例，带你从零开始，手把手完成这套账号体系的配置，并深入讲解每一步背后的逻辑和可能遇到的坑。

2. 前期准备与环境确认：磨刀不误砍柴工

在开始敲命令之前，充分的准备能避免你掉进80%的坑。很多人配置失败，问题往往出在最开始的环节。

2.1 确认你的设备与软件版本

首先，你必须确认你的交换机运行的是Comware V7操作系统。因为V5和V7的命令体系有巨大差异，本文的方法仅适用于V7。

登录设备，使用display version命令查看。在输出信息中，寻找类似以下的字段：

H3C Comware Software, Version 7.1.070, Release 6828P01

只要版本号以“7”开头，就没问题。如果你的设备是V5版本，那么三权分立的配置方法和命令完全不同，需要另寻资料。

2.2 理解默认的权限模型

在配置三权分立前，你需要知道华三V7系统默认的权限模型是什么。默认情况下，设备使用基于用户角色的访问控制（RBAC）。系统预定义了几个角色，比如：

• network-admin：网络管理员，拥有所有权限（相当于以前的超级用户）。
• network-operator：网络操作员，只有查看权限，无配置权限。

当你用默认的admin账号（密码通常为admin）登录时，你自动拥有network-admin角色。我们的目标，就是打破这个“全能”的network-admin，创建三个新的、权限受限的角色和对应的账号。

2.3 规划你的账号与IP地址

在纸上或脑子里先做好规划，这很重要。混乱的配置后期维护起来是噩梦。假设我们为一个小型办公网规划如下：

• 设备管理VLAN：VLAN 100， IP网段 192.168.100.0/24。
• 系统管理员账号：sysadmin
  • 角色：system-admin(需要创建)
  • 用途：日常配置，接入交换机。
• 安全管理员账号：secadmin
  • 角色：security-admin(需要创建)
  • 用途：管理所有账号权限。
• 审计管理员账号：auditadmin
  • 角色：audit-admin(需要创建)
  • 用途：查看所有日志。
• 本地用户数据库：我们就使用设备本地认证，简单可靠。对于大规模网络，可以结合TACACS+/RADIUS服务器。

做好这些准备后，我们就可以通过Console线或SSH，以admin身份登录交换机，进入系统视图开始配置。

3. 核心配置步骤详解：从角色创建到账号绑定

现在，我们进入实操核心环节。请跟随步骤，并理解每一条命令的意图。

3.1 创建三个核心管理角色

这是实现三权分立的基础。我们需要创建三个角色，并为他们分配精确的命令行权限。

# 进入系统视图 <H3C> system-view [H3C] # 注意，提示符变成了 [H3C]，表示已在系统视图下 # 1. 创建系统管理员角色：system-admin [H3C] role name system-admin [H3C-role-system-admin] description For daily network operation and maintenance # 为该系统管理员角色授权。这里是最关键的一步：允许他执行几乎所有网络配置命令，但禁止用户管理命令。 # rule命令的格式是：rule number permit/deny command “命令模式::命令正则表达式” [H3C-role-system-admin] rule 1 permit command system-view [H3C-role-system-admin] rule 2 permit command interface * [H3C-role-system-admin] rule 3 permit command vlan * [H3C-role-system-admin] rule 4 permit command ip route * [H3C-role-system-admin] rule 5 permit command ospf * [H3C-role-system-admin] rule 6 permit command display * # 重点：显式拒绝用户管理相关的命令，防止越权 [H3C-role-system-admin] rule 10 deny command local-user * [H3C-role-system-admin] rule 11 deny command role * [H3C-role-system-admin] rule 12 deny command super * [H3C-role-system-admin] quit # 2. 创建安全管理员角色：security-admin [H3C] role name security-admin [H3C-role-security-admin] description For user account and privilege management # 安全管理员只能操作用户和角色，不能进行网络配置 [H3C-role-security-admin] rule 1 permit command local-user * [H3C-role-security-admin] rule 2 permit command role * [H3C-role-security-admin] rule 3 permit command super * [H3C-role-security-admin] rule 4 permit command display local-user [H3C-role-security-admin] rule 5 permit command display role # 显式拒绝网络配置命令 [H3C-role-security-admin] rule 10 deny command interface * [H3C-role-security-admin] rule 11 deny command vlan * [H3C-role-security-admin] rule 12 deny command ip route * [H3C-role-security-admin] quit # 3. 创建审计管理员角色：audit-admin [H3C] role name audit-admin [H3C-role-audit-admin] description For viewing all logs and operation records # 审计管理员只有“读”权限，主要是查看日志和配置 [H3C-role-audit-admin] rule 1 permit command display logbuffer * [H3C-role-audit-admin] rule 2 permit command display history-command all [H3C-role-audit-admin] rule 3 permit command display current-configuration [H3C-role-audit-admin] rule 4 permit command display this [H3C-role-audit-admin] rule 5 permit command display diagnostic-information # 显式拒绝任何修改性命令 [H3C-role-audit-admin] rule 10 deny command system-view [H3C-role-audit-admin] quit

注意：上面的rule授权只是示例。在实际生产环境中，你需要根据你的网络管理范围，仔细规划每个角色能执行的命令集。*是通配符，但使用要谨慎。一个更稳妥的做法是，先给角色较少的权限，在实际使用中根据报错再逐步添加，遵循最小权限原则。

3.2 创建本地用户并绑定角色

角色创建好了，现在需要创建使用这些角色的账号。

# 创建系统管理员用户 sysadmin， 密码设置为明文 `SysAdmin@123` (生产环境建议用cipher加密方式) [H3C] local-user sysadmin class manage [H3C-luser-manage-sysadmin] password simple SysAdmin@123 # 关键：将该用户的服务类型设置为SSH和Terminal（控制台），这样他才能登录 [H3C-luser-manage-sysadmin] service-type ssh terminal # 关键：绑定之前创建的角色 `system-admin` [H3C-luser-manage-sysadmin] authorization-attribute user-role system-admin [H3C-luser-manage-sysadmin] quit # 创建安全管理员用户 secadmin [H3C] local-user secadmin class manage [H3C-luser-manage-secadmin] password simple SecAdmin@123 [H3C-luser-manage-secadmin] service-type ssh terminal [H3C-luser-manage-secadmin] authorization-attribute user-role security-admin [H3C-luser-manage-secadmin] quit # 创建审计管理员用户 auditadmin [H3C] local-user auditadmin class manage [H3C-luser-manage-auditadmin] password simple AuditAdmin@123 [H3C-luser-manage-auditadmin] service-type ssh terminal [H3C-luser-manage-auditadmin] authorization-attribute user-role audit-admin [H3C-luser-manage-auditadmin] quit

3.3 配置管理接口与SSH服务（可选但重要）

为了让管理员能通过网络远程登录（而不是必须接Console线），我们需要配置管理VLAN和开启SSH。

# 创建管理VLAN 100 [H3C] vlan 100 [H3C-vlan100] quit # 为VLAN 100配置IP地址，作为管理地址 [H3C] interface vlan-interface 100 [H3C-Vlan-interface100] ip address 192.168.100.1 24 [H3C-Vlan-interface100] quit # 将连接管理员PC的端口（例如G1/0/1）划入管理VLAN [H3C] interface gigabitethernet 1/0/1 [H3C-GigabitEthernet1/0/1] port link-type access [H3C-GigabitEthernet1/0/1] port access vlan 100 [H3C-GigabitEthernet1/0/1] quit # 生成RSA密钥对，这是SSH登录的基础 [H3C] public-key local create rsa # 开启SSH服务器功能，并指定认证方式为本地密码认证 [H3C] ssh server enable [H3C] line vty 0 63 [H3C-line-vty0-63] authentication-mode scheme [H3C-line-vty0-63] protocol inbound ssh [H3C-line-vty0-63] quit

3.4 验证配置与功能测试

配置完成后，千万不要直接保存重启。必须进行严格的验证。

# 1. 保存当前配置 [H3C] save force # 2. 查看创建的用户和角色 [H3C] display local-user [H3C] display role all # 3. 退出当前admin登录，用新账号测试 [H3C] quit <H3C> quit

现在，打开你的SSH客户端（如SecureCRT、Xshell），使用sysadmin账号登录192.168.100.1。

测试1：系统管理员 (sysadmin)

# 尝试进行网络配置，应该成功 <H3C> system-view [H3C] vlan 200 [H3C-vlan200] quit [H3C] interface gigabitethernet 1/0/2 [H3C-GigabitEthernet1/0/2] port link-type trunk [H3C-GigabitEthernet1/0/2] port trunk permit vlan all [H3C-GigabitEthernet1/0/2] quit # 尝试创建用户，应该被拒绝 [H3C] local-user test Permission denied.

这说明sysadmin的网络配置权限正常，用户管理权限已被限制。

测试2：安全管理员 (secadmin)用secadmin重新登录。

# 尝试创建用户，应该成功 <H3C> system-view [H3C] local-user test class manage [H3C-luser-manage-test] password simple Test123 [H3C-luser-manage-test] service-type ssh [H3C-luser-manage-test] quit # 尝试配置VLAN，应该被拒绝 [H3C] vlan 300 Permission denied.

这说明secadmin的用户管理权限正常，网络配置权限已被限制。

测试3：审计管理员 (auditadmin)用auditadmin重新登录。

# 尝试查看日志和配置，应该成功 <H3C> display logbuffer <H3C> display current-configuration | include local-user # 尝试进入系统视图或做任何修改，应该被拒绝 <H3C> system-view Permission denied. [H3C] vlan 400 Permission denied.

这说明auditadmin的只读审计权限正常。

4. 高级配置与深度避坑指南

如果你认为上面配置完就万事大吉，那可能很快就会遇到麻烦。下面这些高级细节和“坑”，是我在多次项目实施中总结出来的。

4.1 权限规则的精细化控制与“黑洞”问题

上面我们用rule deny显式拒绝了一些命令。但这里有个大坑：华三V7的权限规则是“白名单”机制，默认拒绝所有。你配置的permit规则是允许的例外，deny规则是拒绝的例外。但命令的匹配顺序和范围需要特别注意。

例如，你为system-admin授权了rule 1 permit command system-view和rule 10 deny command local-user *。看起来没问题。但如果一个命令既匹配permit又匹配deny呢？实际上，deny的优先级更高。更常见的问题是权限不足。

假设system-admin需要用到display ip interface brief这个命令来查看接口IP。如果你只授权了rule 6 permit command display *，那么他执行display ip interface brief时可能会失败。因为display *这个规则太宽泛，系统可能不会精确匹配到子命令。更安全的做法是授权到命令模式层级：

[H3C-role-system-admin] rule 6 permit read

permit read是一个特殊的规则，允许该角色执行所有display和dir等只读命令。对于系统管理员，给他permit read权限通常是安全和方便的。

另一个坑是权限“黑洞”：你创建了一个角色，并精心配置了几十条permit规则，但用户登录后连system-view都进不去。为什么？因为你可能漏了授权command system-view。进入系统视图本身就是一个需要授权的高级命令。请务必把rule 1 permit command system-view作为每个可配置角色的第一条规则。

4.2 密码策略与账号安全加固

使用simple明文密码只是在演示。生产环境必须使用cipher加密，并启用密码策略。

# 设置密码加密方式为cipher（默认就是，但确认一下） [H3C] password-control enable # 创建密码策略 [H3C] password-control length 10 # 最小长度10位 [H3C] password-control composition type-number 3 type-length 3 # 至少包含3种字符（数字、字母、特殊符号），每种至少3个 [H3C] password-control aging 90 # 密码有效期90天 [H3C] password-control history 5 # 记住最近5次密码，不能重复 [H3C] password-control login-attempt 5 exceed lock-time 10 # 密码错误5次，锁定账号10分钟 # 更新用户密码为加密方式 [H3C] local-user sysadmin class manage [H3C-luser-manage-sysadmin] password cipher SysAdmin@2024!Complex [H3C-luser-manage-sysadmin] quit # 同样修改 secadmin 和 auditadmin 的密码

4.3 审计功能的强化：让操作无所遁形

三权分立中，审计员的角色至关重要。除了基础的display logbuffer，我们还需要开启更详细的命令记录和日志输出。

# 开启终端日志监视功能，实时在屏幕显示日志 [H3C] info-center enable [H3C] info-center source default logbuffer level informational [H3C] info-center source default console level informational # 在控制台显示 [H3C] info-center source default monitor level informational # 在终端显示 # 开启命令审计功能（非常重要！） [H3C] audit command enable # 设置审计员角色可以查看所有命令日志 [H3C] role audit-admin [H3C-role-audit-admin] rule 1 permit read # 这条规则让审计员能查看所有display命令，包括 `display history-command all`（查看历史命令） [H3C-role-audit-admin] quit # 配置日志主机，将日志发送到专门的Syslog服务器进行集中存储和分析（强烈推荐） [H3C] info-center loghost 192.168.100.100 facility local7

配置完成后，审计员auditadmin登录后，执行display history-command all，就能看到所有用户（包括sysadmin和secadmin）在设备上执行过的所有命令，这对于事故回溯和合规审计是黄金证据。

4.4 关于“超级密码”（Super Password）的迷思

很多人在配置三权分立时会问：那原来的admin账号怎么办？如果三个管理员都忘了密码，设备是不是就“砖”了？

华三设备提供了一个最后的“逃生通道”——超级密码（Super Password）。这不是一个普通的用户密码，而是一个特殊的特权密码，允许用户在登录后通过super命令临时提升到network-admin权限。

# 设置超级密码（同样建议用cipher） [H3C] super password level 3 cipher SuperReset@2024

这个密码应该由最高管理者（如IT总监）密封保管，不到万不得已绝不使用。它的存在，是为了防止三权分立机制把自己“锁死”，但它本身也破坏了分权制衡，所以必须严格管控。

当sysadmin用户登录后，如果他需要执行一个超出其角色权限的命令（比如某些高级诊断命令），他可以输入：

<H3C> super 3 Password: # 这里输入超级密码 SuperReset@2024 User privilege level is 3, and only those commands whose level is equal to or less than 3 can be used.

输入正确的超级密码后，他的权限会临时提升。所有通过super提升权限执行的操作，都会被详细记录在审计日志中，审计员可以清楚地看到谁、在什么时候、使用了超级权限。这就在应急和审计之间取得了平衡。

5. 日常运维场景与故障排查

配置不是终点，日常用起来顺不顺手才是关键。下面分享几个典型场景和对应的处理方法。

5.1 场景一：新员工入职，需要开通网络配置权限

1. 安全管理员 (secadmin)登录设备。
2. 评估新员工需要的权限范围。如果和现有sysadmin类似，则直接创建一个新用户，绑定system-admin角色即可。
3. 如果权限需求不同，例如只需要配置接入层交换机，不需要碰核心路由。那么安全管理员需要创建一个新的角色，比如access-admin，并为其精细授权（只允许vlan,interface相关命令，禁止ospf,bgp等）。

   [H3C] role name access-admin [H3C-role-access-admin] rule 1 permit command system-view [H3C-role-access-admin] rule 2 permit command interface * [H3C-role-access-admin] rule 3 permit command vlan * [H3C-role-access-admin] rule 4 permit read [H3C-role-access-admin] quit [H3C] local-user newstaff class manage [H3C-luser-manage-newstaff] password cipher NewStaffPass123 [H3C-luser-manage-newstaff] service-type ssh terminal [H3C-luser-manage-newstaff] authorization-attribute user-role access-admin

4. 将账号密码发给新员工。
5. 审计管理员 (auditadmin)可以定期查看newstaff的操作日志，确保其操作规范。

5.2 场景二：排查一个网络故障，系统管理员权限不足

sysadmin在排查一个复杂的OSPF邻居问题时，发现需要查看一些调试信息 (debugging ospf event)，但执行时提示Permission denied。

1. 分析：debugging命令的权限级别通常较高，可能没有包含在system-admin角色的默认权限里。
2. 解决：有两种方式。
   • 方式A（临时）：sysadmin申请使用超级密码 (super)，临时提升权限执行调试命令。完成后立即退出超级权限。审计日志会记录此次提权。
   • 方式B（永久）：sysadmin向secadmin提出权限变更申请。经审批后，secadmin为system-admin角色添加一条规则：rule 20 permit command debugging ospf *。这种方式更合规，但流程稍长。
3. 教训：在初次规划角色权限时，应尽可能与运维团队沟通，将常用的故障排查命令（如debugging,ping,tracert,reset等）考虑进去，避免频繁申请临时权限。

5.3 常见故障排查

• 问题1：用户登录成功，但一输入system-view就提示Permission denied。

  • 原因：该用户绑定的角色没有被授权command system-view。
  • 解决：用secadmin账号登录，检查并修改该角色的规则，添加rule 1 permit command system-view。

• 问题2：用户可以在系统视图下配置VLAN，但无法配置IP地址。

  • 原因：角色权限未细化到interface vlan-interface或ip address命令。
  • 解决：为角色添加更具体的命令规则，例如rule X permit command interface vlan-interface *和rule Y permit command ip address *。或者，如果确定该角色需要所有接口和IP相关权限，可以使用更宽泛但精确的规则，如rule X permit command interface *和rule Y permit command ip *。使用*通配符时要明确其范围。

• 问题3：审计员看不到某些用户的操作记录。

  • 原因1：命令审计功能未全局开启 (audit command enable)。
  • 原因2：日志缓冲区太小，旧记录被覆盖。
  • 原因3：用户使用了super提权，但其基础角色下的操作可能记录不完整。
  • 解决：检查audit command enable配置；使用display logbuffer summary查看日志缓冲区设置，必要时用info-center logbuffer size调大；并配置日志外发到服务器，确保记录不丢失。

6. 配置备份、恢复与自动化管理思考

一套好的权限体系，必须有配套的维护流程。

6.1 配置备份

定期备份配置是生命线。我们可以让sysadmin或auditadmin执行备份。

<H3C> tftp 192.168.100.200 put flash:/startup.cfg backup_20240701.cfg

或者更简单地，用display current-configuration将配置复制出来保存。注意：备份文件里包含了所有用户的密码cipher文本。虽然这是加密的，但仍需妥善保管备份文件，将其视为敏感数据。

6.2 配置恢复与灾难恢复

如果设备配置丢失，需要恢复。

1. 用Console线直连，如果本地认证未损坏，仍可用admin或已知的本地账号登录。
2. 如果所有本地账号都无法登录，则需要进入BootROM菜单进行密码恢复（此操作会清空当前配置，请谨慎）。重启设备，按Ctrl+B进入BootROM，选择跳过当前配置启动，然后重置密码。
3. 恢复配置后，第一件事就是重新配置三权分立账号，因为恢复的配置里包含了旧的密码。

6.3 向自动化运维演进：Ansible与API

手动配置和管理几十上百台交换机是低效的。结合热搜词里的“ansible配置华三交换机”，我们可以向自动化迈进。

华三V7设备支持通过NETCONF/YANG模型进行API管理，也兼容Ansible的部分网络模块。你可以编写Ansible Playbook，来自动化完成“三权分立”的初始配置。

一个简化的思路是：

1. 在Ansible控制机上，为每台设备定义好三个角色的权限规则（YAML格式）。
2. 通过Ansiblenetconf_config模块，使用初始超级密码（需提前统一并安全存储）登录设备。
3. Playbook依次推送角色定义、创建本地用户、绑定角色、配置SSH等任务。
4. 任务完成后，Playbook可以自动修改设备的超级密码，并将新密码存入加密的保险库（如Ansible Vault）。

这样，新交换机上线时，只需录入IP和初始密码，一个Playbook就能完成包括三权分立在内的基础安全配置，极大提升效率和规范性。当然，这需要一定的脚本开发能力，但长期来看，收益巨大。

走到这一步，你已经不是简单地配置了几个交换机账号，而是为企业构建了一套可审计、可追溯、权责清晰的网络设备安全管理基座。这套体系的价值，会在每一次安全审计、每一次故障复盘、每一次人员变动中清晰地体现出来。配置的过程虽有细节需要打磨，但一旦稳定运行，它带来的安全感和秩序感，会让所有的前期投入都显得无比值得。