ARM架构IMCv9账号权限位置

在不配置 authorization-cmd 进行命令行授权的情况下，要仅通过 iMC 让 level-1 账号能自动执行 save 和 display current-configuration，根本原因在于这两条命令的默认级别较高。核心的解决方案，就是在交换机本地开启“允许非系统管理员保存配置”的功能。

下面针对你提到的华为交换机与 H3C 5800 两种情况，详细说明一下。

🔧 华为交换机的完整解决方案

📝 交换机侧关键配置：non-system-admin save enable

华为 VRP 平台出于安全考虑，save 命令在系统视图下的默认级别为 3 级，且缺省时非系统管理员（即 level < 3 的用户）无法执行。因此，想要 level-1 账号也能保存配置，必须在系统视图下全局开启这项能力：

完成全局开启后，你需要确保 iMC 的授权能顺利下发，一套基础的 AAA 与域配置范例如下：

最后，在 iMC 侧通过授权命令模板来定义账号权限。这是实现 不依赖 authorization-cmd 的最关键步骤：

1. 创建命令集：登录 iMC 管理平台，依次进入 业务 > TACACS 管理 > 命令集，新建一个命令集，在 “允许的命令” 列表中精准添加 display current-configuration、save 这两条命令。

2. 关联用户：为该 level-1 账号关联此命令集，确保 iMC 在用户登录时，直接通过授权回复下发命令权限，无需交换机执行 authorization-cmd 检查。

📌 补充说明

• 命令级别差异与安全考量：save 命令默认级别较高，而 display current-configuration 在华为设备上属于管理级命令（默认3级），这意味着默认情况下 level-1 的用户无法直接使用。华为的 non-system-admin save enable 本质上就是通过全局开关绕过了对命令级别的检查，这虽然解决了权限问题，但也意味着任何 level < 3 的用户都可能保存配置，你需要评估这一策略是否符合你内网的管控要求。

• Comware V5 平台（H3C 5800）的特殊性：H3C 5800 由于采用 Comware V5 平台，可能无法通过以上方法实现同样的效果。你需要检查 Comware V5 平台是否有类似 non-system-admin save enable 的全局开关。如果没有，可能需要通过 command-privilege level 命令手动降低 save 与 display current-configuration 的命令级别，但这通常是出于严格的审计与安全隔离考虑，非系统管理员默认不应具有保存权限。

一、原理（为什么你现在不行）

• 本地 level-1：默认只有 display 部分权限，没有 save
• TACACS/HWTACACS 认证：
  • 若没开 命令授权（authorization-cmd），设备会沿用本地级别权限（level-1 无 save）
  • 只有开启命令授权，才会完全信任 IMC 下发的命令权限

二、IMCv9 (ARM) 配置路径（命令授权模板）

1. 进入 EIA/TAM 命令授权配置

2. 新建命令集（允许 level-1 执行 save/dis cur）

• 命令集名称：Level-1-Save-DisCur
• 设备类型：Huawei Switch
• 命令行匹配规则（精确 / 前缀）：
  plaintext

  # 允许查看当前配置 display current-configuration # 允许保存配置（含所有save变种） save save force
• 权限：允许（Permit）
• 级别：1（与账号 level-1 对应）

3. 接入策略绑定命令集

• 进入你的 接入策略（如：level-1-acl-strategy）
• 命令授权 → 选择上面创建的 Level-1-Save-DisCur
• 用户级别 / 优先级：1
• 关联到 账号 / 账号组

4. 确认 TACACS（HWTACACS）方案

• iMC → 用户 → 接入策略管理 → TACACS 方案
• 确认你的 HWTACACS 方案已开启 命令授权（默认开启）

三、华为交换机关键配置（替代 authorization-cmd）

1. 核心：让命令授权跟随认证方案

2. HWTACACS 授权方案（自动继承级别）

3. VTY 绑定 AAA（必须）

4. 本地级别仅作兜底（可保留）

四、为什么这样可行（原理）

• 域级授权（domain）：
  只要域下配置 authorization-scheme hwtacacs，所有级别（1～15）的命令授权自动走服务器
• 无需 authorization-cmd 1：
  authorization-cmd level 是旧版 / 单独指定级别，域级授权是全局覆盖，更简洁
• IMC 命令集优先级最高：
  IMC 下发 save/dis cur 允许 → 覆盖本地 level-1 限制

五、华三 S5800 V5 (Version 5.20, 1810P13) 不生效原因

• H3C V5 对 TACACS 命令授权支持弱
• level-1 默认 无 save 权限，且服务器下发无法覆盖本地级别限制
• 解决（V5 必配）：
  plaintext

  # 设备本地强制放开level-1的save/dis cur command-privilege level 1 view shell save command-privilege level 1 view shell display current-configuration

六、最终验证（IMC + 华为）

1. 用 level-1 账号 SSH 登录华为交换机
2. 执行：
   plaintext

   display current-configuration save save force
3. 均成功 → 生效

七、一句话总结