问
M9K如何给vSystem用户划分权限
2026-05-15提问
- 0关注
- 0收藏，189浏览
一、M9K 权限模型（RBAC + VSAN Policy + vSystem）
M9K 用三层控制：
- Role（角色）：控制 “能执行哪些命令”（全局 / 配置 /show/zone 等）
- VSAN Policy：控制 “能操作哪些 VSAN”（默认 permit all，要隔离先 deny 再 permit 指定 VSAN）
- vSystem（VDC）：控制 “属于哪个虚拟交换机实例”，用户只能进自己的 vSystem
默认内置角色（最常用）：
network-admin：完全读写（最高权限）network-operator：只读（所有 show，不能改配置）vdc-admin：本 vSystem 内 adminvdc-operator：本 vSystem 内 operator
二、目标场景（你大概率要的）
- 有多个 vSystem（VDC）
- 每个 vSystem 给不同用户
- 用户只能管理自己 vSystem + 指定 VSAN
- 不能看 / 改其他 vSystem/VSAN
三、完整配置步骤（逐行可复制）
1）先创建自定义 Role（例如：vsan-admin、vsan-read）
bash
运行
# 进入全局配置
config t
# 1.1 自定义角色：VSAN 管理员（只能配置 zone/vsan，不能改全局）
role name vsan-admin
# 默认 deny 所有命令，再逐条 permit
rule 1 permit config feature zone
rule 2 permit config feature vsan
rule 3 permit config feature fcp
rule 4 permit exec show *
rule 5 deny config feature * # 禁止其他全局配置
# VSAN 策略：先 deny 所有，再允许指定 VSAN（例如 10,20）
vsan policy deny
permit vsan 10
permit vsan 20
exit
# 1.2 自定义角色：VSAN 只读
role name vsan-read
rule 1 permit exec show *
rule 2 deny config *
vsan policy deny
permit vsan 10
permit vsan 20
exit
2）创建 vSystem（VDC）并绑定资源
bash
运行
# 创建 vSystem 1（名字随便）
vSystem name VSYS1
# 分配 VSAN 范围
vsan 10-20
# 分配端口（示例）
interface fc1/1-8
exit
# 创建 vSystem 2
vSystem name VSYS2
vsan 30-40
interface fc1/9-16
exit
3）创建用户 → 绑定 Role → 绑定 vSystem
bash
运行
# 3.1 用户 A：VSYS1 的 vsan-admin
username userA password Cisco123 role vsan-admin
# 绑定到 vSystem（关键！）
username userA vSystem VSYS1
# 3.2 用户 B：VSYS1 的只读
username userB password Cisco123 role vsan-read
username userB vSystem VSYS1
# 3.3 用户 C：VSYS2 的 admin（用内置 vdc-admin）
username userC password Cisco123 role vdc-admin
username userC vSystem VSYS2
4）vSystem 切换与验证
bash
运行
# 管理员切到 vSystem
switch# switchto vSystem VSYS1
# 查看当前 vSystem 内用户
switch(VSYS1)# show user-account
# 查看角色权限
switch# show role name vsan-admin
# 查看 VSAN 策略
switch# show role vsan-policy
四、关键要点（避坑）
- vSystem 隔离强于 VSAN Policy：用户绑定 vSystem 后，默认看不到其他 vSystem 的 VSAN。
- VSAN Policy 必须先 deny 再 permit：plaintext
vsan policy deny permit vsan 10 - role 规则顺序 descending：rule 号越大越优先。
- vdc-admin ≠ network-admin：vdc-admin 只能管自己 vSystem，不能全局。
五、常用 “最小权限” 模板（直接套用）
✅ 仅管理特定 VSAN（无全局权限）
plaintext
role name vsan10-admin
rule 1 permit config feature zone
rule 2 permit exec show *
vsan policy deny
permit vsan 10
✅ 只能看本 vSystem，不能改
plaintext
role name vsys-read
rule 1 permit exec show *
rule 2 deny config *- 2026-05-16回答
- 评论(0)
- 举报
-
(0)
暂无评论
编辑答案
➤
✖
亲~登录后才可以操作哦!
确定
✖
✖
你的邮箱还未认证，请认证邮箱或绑定手机后进行当前操作
✖
举报
×
侵犯我的权益
>
对根叔社区有害的内容
>
辱骂、歧视、挑衅等（不友善）
侵犯我的权益
×
侵犯了我企业的权益
>
抄袭了我的内容
>
诽谤我
>
辱骂、歧视、挑衅等（不友善）
骚扰我
侵犯了我企业的权益
×
您好，当您发现根叔知了上有关于您企业的造谣与诽谤、商业侵权等内容时，您可以向根叔知了进行举报。 请您把以下内容通过邮件发送到 pub.zhiliao@h3c.com 邮箱，我们会在审核后尽快给您答复。
- 1. 您举报的内容是什么？（请在邮件中列出您举报的内容和链接地址）
- 2. 您是谁？（身份证明材料，可以是身份证或护照等证件）
- 3. 是哪家企业？（营业执照，单位登记证明等证件）
- 4. 您与该企业的关系是？（您是企业法人或被授权人，需提供企业委托授权书）
我们认为知名企业应该坦然接受公众讨论，对于答案中不准确的部分，我们欢迎您以正式或非正式身份在根叔知了上进行澄清。
抄袭了我的内容
×
原文链接或出处
诽谤我
×
您好，当您发现根叔知了上有诽谤您的内容时，您可以向根叔知了进行举报。 请您把以下内容通过邮件发送到pub.zhiliao@h3c.com 邮箱，我们会尽快处理。
- 1. 您举报的内容以及侵犯了您什么权益？（请在邮件中列出您举报的内容、链接地址，并给出简短的说明）
- 2. 您是谁？（身份证明材料，可以是身份证或护照等证件）
我们认为知名企业应该坦然接受公众讨论，对于答案中不准确的部分，我们欢迎您以正式或非正式身份在根叔知了上进行澄清。
对根叔社区有害的内容
×
垃圾广告信息
色情、暴力、血腥等违反法律法规的内容
政治敏感
不规范转载
>
辱骂、歧视、挑衅等（不友善）
骚扰我
诱导投票
不规范转载
×
举报说明
暂无评论