TACACS认证设置Shell Profile权限为15，认证后日志显示权限0

你遇到的“授权级别15，日志权限0”问题，根源在于TACACS+的两次授权机制。简单来说，你看到的“权限为0”是用户登录时获得的初始访问权限，而配置的“级别15”则是在登录后尝试进入特权模式（如执行system-view）时才会被激活的权限。

 权限级别含义解析

TACACS+的授权级别（0-15）决定了用户在设备上的操作能力。

• 级别0：最低权限（通常仅允许ping, tracert, ssh2, telnet, super等基本命令），有时也被定义为“禁止访问”。

• 级别1-14：分级权限，其中级别1通常为只读权限，级别越高可执行的管理命令越多。

• 级别15：最高权限，通常对设备拥有完全控制权。

你遇到的问题，就是因为TACACS+将“登录”和“提权”作为两个独立步骤处理。

 一次登录，两次授权

TACACS+认证流程会将“登录”和“提权”分开处理，经历两次独立的授权过程。

1. 登录授权 (Login Authorization)：验证成功后，服务器会返回初始权限级别，这个级别通常是0。这就是你在认证日志中看到“权限为0”的直接原因。

2. 提权授权 (Enable Authorization)：当你需要更高权限来执行管理命令时，设备会向TACACS+服务器发起一个“提权请求”，启用级别切换到更高的级别（如你配置的级别15）。

因此，当你在iMC的Shell Profile中配置“授权级别为15”时，实际上定义的是用户在提权阶段获得的权限，而不是登录后立即获得的权限。

故障排查指引

要确保用户能正常使用级别15的权限，请按以下步骤排查：

1. 核对Shell Profile配置：仔细检查iMC TAM中的授权规则（Shell Profile），确保该服务默认启用了“Shell”服务，且默认的授权级别(Privilege Level)正确配置为“15”。

2. 检查设备端AAA配置：登录设备，检查domain下的authorization login配置，确保其正确引用了接收授权的hwtacacs-scheme。同时检查VTY或Console接口下是否启用了命令行授权(command authorization)。

3. 验证命令授权配置：对于合法操作的只读用户，务必在其domain下配置authorization command hwtacacs-scheme <方案名>。若只需登录后有级别15权限，可避免配置authorization command。

4. 检查服务器日志：在iMC TAM中调取该用户的认证、授权和计费（Audit）日志，重点关注授权请求(Authorization)，查看服务器在登录和提权两个阶段分别返回的具体属性和状态。

5. 检查设备授权映射：检查设备上是否配置了role default-role enable等角色映射命令，确保授权级别被正确映射到本地用户角色。

6. 验证命令集配置：确认TACACS+服务器上针对该用户组的命令集（Command Set）配置无误，并确保默认命令权限设为“允许”(Permit)。

• 你在 iMC 里给 Shell Profile 设的授权级别 15，是 TACACS 下发给设备的最大特权级别（max-priv）。
• 日志里看到的权限 0，是用户登录时的初始权限级别（current-priv）。
• 这两个不是一回事，0 是正常现象，不代表没拿到 15 的权限。

一、权限 0 是干嘛的？

• level 0：最低权限，只能执行极少量命令（ping、traceroute 等），不能看配置、不能改配置。
• level 1：普通用户，能执行 show 类查看命令，不能配置。
• ...
• level 15：最高权限，所有查看 + 所有配置 + 所有系统命令。

1. 用户 SSH/Console 登录 → 初始权限默认 0 级（设备本地行为）。
2. TACACS 授权返回 max-priv=15 → 用户可以用 enable 命令，直接进入 15 级特权模式，不需要再输 enable 密码。

• 日志里的 权限 0 = 登录那一刻的初始级别。
• 真正生效的是 授权级别 15 = 允许你升到最高级。

二、为什么日志显示 0，而不是 15？

• “权限” 字段记录的是 用户登录时设备分配的当前级别，默认都是 0。
• “Shell Profile 授权级别 15” 记录的是 TACACS 下发的最大特权级别。

• 日志字段：权限 = 0 → current-priv=0
• 日志字段：Shell Profile 授权级别 = 15 → max-priv=15

三、怎么验证确实拿到了 15 权限？

四、常见配置漏配（导致 enable 仍要密码 / 进不去 15）

1. iMC 侧
   • 设备用户分组 → 授权策略 → Shell Profile 选对（绑定你做的那个 15 级 Shell Profile）。
   • 不要选 “使用设备缺省配置”。
2. 设备侧（H3C 为例）
   bash

   运行

   # 开启 HWTACACS 授权 aaa authorization shell hwtacacs-scheme 你的hwtac方案 local # 开启 enable 授权（关键） aaa authorization enable hwtacacs-scheme 你的hwtac方案 local

五、一句话总结

• 权限 0：登录初始级别，正常显示。
• 授权级别 15：TACACS 下发的最大特权，真正控制权限。
• 只要能 enable 直接到 15、能配置，就是正常的，不用管日志里的 0。