CN101110702A - 一种命令行接口权限分级的方法及其系统 - Google Patents

Abstract

本发明公开了一种命令行接口权限分级的方法，其步骤包括有：将用户操作命令行接口设备的权限分为不同的等级；根据不同的权限等级为用户提供其权限对应的命令树视图。相应地，本发明还提供一种命令行接口权限分级的系统。本发明解决了现有命令行接口权限管理中权限等级不够细和配置不够灵活的问题，而且所见即所得，用户使用起来很方便。与此同时，本发明满足了基于命令行配置的安全性应用需求，防止未经授权的用户查看或更改超过其权限范围的设备配置信息，保证设备的安全和正常运行。

Description

一种命令行接口权限分级的方法及其系统

技术领域

本发明涉及命令行接口管理领域，尤其涉及一种命令行接口权限分级的方 法及其系统。

背景技术

随着IP网络数据产品，例如路由器、交换机等的广泛应用，对网络管理

的安全性要求逐步提高，特别是采用CLI (Command-Line Interface,命令行接 口）管理方式的网络设备，其安全性问题日益凸现。如果初级维护人员由于误 操作破坏设备的配置信息，或者非法入侵者通过设备的物理接口恶意接入观察 设备的配置信息，甚至重新配置设备并获得对它的控制，都会对网络设备的安 全运行造成危害。因此，在目前IP网络的数据产品中，不可避免的涉及到针 对合法配置管理员的可操作命令进行权限等级控制的问题。

在登录数据设备进行命令操作时，为实现上述的权限控制要求，通常采用 的控制方法： 一是简单的两级权限控制。所有接入设备的用户，在登录认证通 过后，都使用一个基本命令集。该命令集中可以进行一些基本的命令操作，包 括Ping， Telnet，査看版本、路由信息等，普通用户只能执行该命令集中的命 令，而对于拥有更高权限的设备维护员或系统管理员，需要再次输入权限等级 密码进行认证， 一旦通过，即跳转进入完整的命令集，从而完全获得对设备的 访问控制权。显然，上述权限控制方法的控制精度过于粗糙，其实质就是简单 的两级权限控制，而且登录认证通过后的初始用户权限都一样，不能直接体现 登录用户的等级。由于权限固定，不允许在线配置，因此不可能满足多级权限 管理及灵活配置的要求。

作为对上述简单二级权限控制方法的改进，第二种权限分级方法将登录用 户区分为不同的角色，每种角色预先固定分配其对应的可执行命令操作。用户 成功登录后，只能执行该角色许可的相应命令，从而实现用户的分级管理。由 于这种基于角色的权限管理方法控制精度有了较大提高，同时具备易理解、易

实现等特性，目前在很多系统或设备中都得到了广泛应用。但由于角色个数一 般有限，并且每种角色所允许的命令操作相对固定，同时考虑到网络数据产品 完全基于CLI命令行的操作、配置方式， 一般来说命令集巨大，命令数量很多， 所以传统的基于角色的权限控制方法仍然不够灵活，需要进一步改进。

综上可知，现有的命令行接口权限分级的技术在实际使用上，显然存在不 便与缺陷，所以有必要加以改进。

发明内容

针对上述的缺陷，本发明的目的在于提供一种命令行接口权限分级的方法 及其系统，以实现控制精度更高、配置更灵活的命令接口权限分级管理。

为了实现上述目的，本发明提供一种命令行接口权限分级的方法，包括：

A. 将用户操作命令行接口设备的权限分为不同的等级；

B. 根据不同的权限等级为用户提供其权限对应的命令树视图。 根据本发明的方法，所述步骤B包括：

Bl.设置不同等级的权限与用户的对应关系，以及不同等级的权限所对应 的命令树视图；

B2.用户登录命令行接口设备之后，根据用户的权限等级査找到该权限对 应的命令树视图。

根据本发明的方法，所述步骤B2包括：

B21.用户通过操作终端登录命令行接口设备并通过认证之后，根据用户 帐号获取该用户的权限等级，并査找到该权限等级对应的命令视图配置；

B22.将所述命令树视图在线展开，形成当前操作终端的用户可视以及可 操作的命令集。

根据本发明的方法，所述步骤B1中定义两种默认的命令树视图， 一个是 默认命令集视图，其对应于默认等级权限；另一个是全命令集视图，其对应最 高等级权限；而且所述步骤B1中定义若干自定义命令集视图，其对应于自定 义的等级权限；和/或

所述步骤B2中支持在线修改某个权限等级对应的命令树视图，所修改的 命令树视图待其对应的用户重新登录后生效。

根据本发明的方法，所述步骤B之后还包括：C.接收用户的操作命令并将之与命令树视图匹配，匹配成功后则执行该 操作命令。

根据本发明的方法，所述命令树视图的根节点 定义为命令集中的一个命令关键字，该命令关键字下面的子节点默认属于该 命令树视图；以及所述命令树视图的根节点下面的某个子节点通过排除命令排 除出该命令树视图。

根据本发明的方法，所述每个权限等级对应一个命令树视图，而每个命令 树视图对应至少一个的权限等级。

本发明还提供一种命令行接口权限分级的系统，包括：

权限分级模块，用于将用户操作命令行接口设备的权限分为不同的等级； 命令树视图模块，用于根据不同的权限等级为用户提供其权限对应的命令 树视图。

根据本发明的系统，所述命令树视图模块包括：

权限设置子模块，用于设置不同等级的权限与用户的对应关系，以及不同

等级的权限所对应的命令树视图；

査找子模块，用于用户登录命令行接口设备之后，根据用户的权限等级査 找到该权限对应的命令树视图。

根据本发明的系统，所述系统还包括：

用户命令执行模块，用于接收用户的操作命令并将之与命令树视图匹配， 匹配成功后执行该用户命令。

本发明通过采用命令树视图的方式实现CLI权限分级技术，为用户提供了

更高的控制精度和灵活性的命令行接口权限分级管理方案。本发明解决了现有 命令行接口权限管理中权限等级不够细和配置不够灵活的问题，而且所见即所 得，用户使用起来很方便。与此同时，本发明满足了基于命令行配置的安全性 应用需求，防止未经授权的用户査看或更改超过其权限范围的设备配置信息， 保证设备的安全和正常运行。

附图说明

图1是本发明提供的命令行接口权限分级系统的结构示意图；

图2是本发明一实施例中提供的命令行接口权限分级系统的结构示意图；

图3是本发明提供的命令行接口权限分级的方法流程图； 图4是本发明的一实施例中用户登录命令行接口设备的流程图； 图5是本发明一实施例中提供的命令树视图权限等级设置和执行用户命 令流程图。

具体实施方式

为了使本发明的目的、技术方案及优点更加清楚明白，以下结合附图及实 施例，对本发明进行进一步详细说明。应当理解，此处所描述的具体实施例仅 仅用以解释本发明，并不用于限定本发明。

本发明的基本思想是：将用户操作命令行接口设备的权限分为不同的等 级；根据不同的权限等级为用户提供其权限对应的命令树视图，以实现多级别 的登录用户权限控制和操作终端权限控制，方便灵活地实现命令权限管理。

图1是本发明提供的命令行接口权限分级系统结构示意图，该命令行接口 权限分级系统1包括：

权限分级模块10，用于将用户操作命令行接口设备的权限分为不同的等 级。这里权限的等级数量没有限制，可以根据实际需要和条件自行设置，如 16级或256级等。这里的命令行接口设备是指具有命令行接口功能的设备， 例如路由器、交换机等。

命令树视图模块20，根据不同的权限等级为用户提供其权限对应的命令 树视图。所谓命令树视图就是将命令集看成一个树状结构，命令集中的每一个 关键字看成树状结构中的一个节点。这样命令集形象地可以表现为树形数据结 构，并且各命令之间的层次关系比较清晰。

图2是本发明一个实施例中提供的命令行接口权限分级系统结构示意图， 在本发明的另一实施例中，命令行接口权限分级系统1还包括用户命令执行模 块30，用于接收用户的操作命令并将之与命令树视图匹配，若匹配成功则执 行该用户命令；如果匹配不成功，则认为用户没有处理该操作命令的相应权限， 进而拒绝处理该命令，以防止未经授权的用户查看或更改超过其权限范围的设 备配置信息，从而保证设备的安全和正常运行。

而命令树视图模块20包括了：权限设置子模块201，用于设置不同等级 的权限与用户的对应关系，以及不同等级的权限所对应的命令树视图；查找子

模块202，用于用户登录命令行接口设备并且认证成功之后，根据用户的权限 等级査找到该权限对应的命令树视图。

图3是本发明提供的命令行接口权限分级的方法流程图，该方法通过上述 命令行接口权限分级系统来实现，包括如下步骤：

步骤S301中，将用户操作命令行接口设备的权限分为不同的等级。本发 明通过权限分级模块10将用户操作命令行接口设备的权限分为不同的等级；

将用户使用CLI命令操作和控制设备的权限划分为不同的等级，其具体等级数

量可以在实现本发明时自行设置。

步骤S302中，根据不同的权限等级为用户提供其权限对应的命令树视图。 命令树视图模块20根据不同的权限等级为用户提供其权限对应的命令树视

图。该歩骤中包括：权限设置子模块201设置不同等级的权限与用户的对应关

系，以及不同等级的权限所对应的命令树视图；用户登录命令行接口设备之后， 查找子模块202根据用户的权限等级査找到该权限对应的命令树视图。

在该步骤中定义两种默认的命令树视图， 一个是默认命令集视图，其对应 于默认等级权限；另一个是全命令集视图，其对应最高等级权限；而且该步骤 中定义若干自定义命令集视图，其对应于自定义的等级权限；和/或该歩骤中 支持在线修改某个权限等级对应的命令树视图，所修改的命令树视图待其对应 的用户重新登录后生效。

而所谓视图就是将命令集看成一个树状结构，命令集的每一个关键字看成 树状结构中的一个节点。在本实施例中，每个视图可以定义一个视图名称，视 图的根节点可以定义为命令集中的一个节点（命令关键字），该关键字下面的 子节点（子树）默认都属于该视图。所述命令树视图的根节点定义为命令集中 的一个命令关键字，该命令关键字下面的子节点默认属于该命令树视图；以及 所述命令树视图的根节点下面的某个子节点通过排除命令排除出该命令树视 图。这样命令集形象地可以表现为树形数据结构。通过使用排除命令将其中某 个子节点（包含其子树）排除出该视图，可以高度灵活地裁减视图所包含的命

令子树来精确控制某级用户权限的命令使用。 例如配置命令：

Router(config)#command view view 13 Router(config-comandview)# mode config router included

Router(config-comandview)# mode config isis excluded Router(config-comandview)# mode config bgp excluded Router(config)#AZ

Router(config)# privilege 13 command view viewl3

这样定义了一个命令树视图名称为viewl3，与权限13绑定。具有该权限 的用户可以执行配置模式下以router开头，除了 router isis， router bgp这两个

命令子集外的所有命令。

在上述方法所描述的关系中，首先建立登录用户和权限等级之间的对应关 系。用户通过操作终端登录命令行接口设备并通过认证之后，根据用户帐号获 取该用户的权限等级，并查找到该权限等级对应的命令视图配置；从而确定目 前用户登录所使用的操作终端的权限等级，并找到给定用户权限等级对应的命 令树视图。

本发明在用户登录命令行接口设备且通过认证后，系统根据预先配置获取 该用户对应的权限等级，以及该等级对应的命令树视图。将该用户的权限等级 作为当前操作终端的权限等级，同时根据命令树视图生成该用户对应的命令 集。这样，不同权限的用户看到的命令集只是命令全集的不同子集，用户看到 的命令都是有权限可以执行的命令，用户无权限执行的命令是看不到。这对于 用户来说使用方便，因为其所见到的命令都是可执行的，不存在其他命令权限 分级方案中出现用户可以看到的整个命令集中，但是却因为权限等级不够，而 无法执行其中的一些命令。当用户登录进入设备且通过认^E之后，用户对命令 树视图进行操作时，用户命令执行模块30接收用户的操作命令并将之与命令 树视图匹配，匹配成功后则执行该操作命令。

图4是本发明的一个实施例中，用户登录命令行接口设备的流程图。 步骤S401中，设备维护管理人员通过串口协议、Telnet (远程登录）协议，

或者SSH (Secure Shell, —种取代Telnet (远程登录）的安全登录协议）协议 等登录命令行接口设备。

步骤S402中，设备维护管理人员输入用户名和密码后，等待返回认证结 果。在本发明中，可采用的认证方式包括本地模块认证、RADIUS (Remote Authentication Dial In User Service,远程用户拨号认证系统）服务器认证、 TACACS+ (Terminal Access Controller Access Control System,终端访问控制

器访问控制系统）服务器认证等。

如果认证失败，则退出登录，结束流程；如果认证成功，确认为合法的登 录用户，返回该用户的权限等级。

歩骤S403中，获取用户的权限等级，当用户通过操作终端登录命令行接

口设备之后，该用户的权限等级作为当前操作终端的权限等级。这样当重新登 录该操作终端的用户发生变化时，或需要在线动态变更权限等级时，当前操作 终端的权限等级也能够发生相应的变化。

图5是本发明一个实施例中提供的命令树视图权限等级设置和执行用户

命令流程图，描述如下；

步骤S501中，査找子模块202根据用户权限级别査找该权限对应的命令

树视图配置。

步骤S502中，针对每个用户登录的终端的权限等级，将所述命令树视图 在线展开，形成当前操作终端的用户可视以及可操作的命令集。

步骤S503中，用户命令执行模块30接收用户对命令树视图的操作，与所 述侖令树视图匹配。当用户命令执行模块30接收用户输入的操作命令，将该 操作命令与所述命令集匹配。用户可视的命令集即为有权限使用的命令，用户 输入的命令通过命令树视图匹配。

步骤S504中，判断是否匹配成功，若匹配成功，则即可执行步骤S505; 若匹配失败，则结束流程。

步骤S505中，用户命令执行模块30来执行用户输入的操作命令。

为了实现配置的灵活性和完善的权限分级功能，管理员都可以在线更改某

个权限对应的命令树视图，如果已经有该权限的用户登录，并正在使用对应的

命令树视图展开的命令集，必须等待该用户退出，重新登录才可以生效。管理

员可以通过命令将在线的用户终止，这样用户重新登录后，看到就是更新后的

命令树视图展开的命令集。

综上所述，本发明通过采用命令树视图的方式实现CLI权限分级技术，为

用户提供了更高的控制精度和灵活性的命令行接口权限分级管理方案。本发明

解决了现有命令行接口权限管理中权限等级不够细和配置不够灵活的问题，而

且所见即所得，用户使用起来很方便。与此同时，本发明满足了基于命令行配

置的安全性应用需求，防止未经授权的用户査看或更改超过其权限范围的设备

配置信息，保证设备的安全和正常运行。例如，实习设备维护员和管理员通过 不同的PC在同一时间登录同一台机架设备，由于他们的权限等级不同，可操 作的命令集也不同，产生了协作与隔离并存的效果。

当然，本发明还可有其它多种实施例，在不背离本发明精神及其实质的情 况下，熟悉本领域的技术人员当可根据本发明作出各种相应的改变和变形，但 这些相应的改变和变形都应属于本发明所附的权利要求的保护范围。

Claims (10)

1、一种命令行接口权限分级的方法，其特征在于，包括： A.将用户操作命令行接口设备的权限分为不同的等级； B.根据不同的权限等级为用户提供其权限对应的命令树视图。

2、 根据权利要求1所述的方法，其特征在于，所述步骤B包括：Bl.设置不同等级的权限与用户的对应关系，以及不同等级的权限所对应 的命令树视图；B2.用户登录命令行接口设备之后，根据用户的权限等级查找到该权限对 应的命令树视图。

3、 根据权利要求2所述的方法，其特征在于，所述步骤B2包括：B21.用户通过操作终端登录命令行接口设备并通过认证之后，根据用户 帐号获取该用户的权限等级，并査找到该权限等级对应的命令视图配置；B22.将所述命令树视图在线展开，形成当前操作终端的用户可视以及可 操作的命令集。

4、 根据权利要求2所述的方法，其特征在于，所述步骤Bl中定义两种 默认的命令树视图， 一个是默认命令集视图，其对应于默认等级权限；另一个 是全命令集视图，其对应最高等级权限；而且所述步骤B1中定义若干自定义 命令集视图，其对应于自定义的等级权限；和/或所述步骤B2中支持在线修改某个权限等级对应的命令树视图，所修改的 命令树视图待其对应的用户重新登录后生效。

5、 根据权利要求1所述的方法，其特征在于，所述步骤B之后还包括：C. 接收用户的操作命令并将之与命令树视图匹配，匹配成功后则执行该 操作命令。

6、 根据权利要求1所述的方法，其特征在于，所述命令树视图的根节点 定义为命令集中的一个命令关键字，该命令关键字下面的子节点默认属于该 命令树视图；以及所述命令树视图的根节点下面的某个子节点通过排除命令排 除出该命令树视图。

7、 根据权利要求1所述的方法，其特征在于，所述每个权限等级对应一 个命令树视图，而每个命令树视图对应至少一个的权限等级。

8、 一种实现权利要求1〜7任一项所述方法的系统，其特征在于，包括： 权限分级模块，用于将用户操作命令行接口设备的权限分为不同的等级； 命令树视图模块，用于根据不同的权限等级为用户提供其权限对应的命令树视图。

9、 根据权利要求8所述的系统，其特征在于，所述命令树视图模块包括： 权限设置子模块，用于设置不同等级的权限与用户的对应关系，以及不同等级的权限所对应的命令树视图；査找子模块，用于用户登录命令行接口设备之后，根据用户的权限等级查 找到该权限对应的命令树视图。

10、 根据权利要求8所述的系统，其特征在于，所述系统还包括：用户命令执行模块，用于接收用户的操作命令并将之与命令树视图匹配， 匹配成功后执行该用户命令。