有个需求,在目前的网络上调整用户权限,部分用户只有" > "权限而没有" # "权限.通常可以使用level加priviledge命令组合,限制用户可以使用的命令范围,然后在ACS上设置一下,但我觉得这实在麻烦,而且设备有几十台,每台都添加一段命令的话,操作不方便,一旦配置错误还有进不了设备的风险(这点据说JUNOS做的不错,如果命令添加后不commit,过段时间就会自动回滚).
所以我换了另一个方法,使用aaa authentication enable default group tacacs+ enable,就是说把用户的enable密码都设置在ACS上,每个用户的enable密码不同,然后那些没有enable权限的用户,就不给他们设置enable密码了,这样他们就进不了'#'.虽然这么做没有level加priviledge控制严格,但操作和管理方便.