三權(quán)分立簡(jiǎn)單理解復(fù)習(xí)課程

1、三權(quán)分立簡(jiǎn)單理解三權(quán)分立功能：1. 存在兩種權(quán)限模式：普通模式、三權(quán)模式普通模式：默認(rèn)只有超級(jí)管理員賬號(hào)(admi n/ngfw2012)三權(quán)模式：默認(rèn)有系統(tǒng)管理員(admin/ngfw2012)、審計(jì)管理員(auditadmin/ngfw2012)、策略管理員(securityadmin/ngfw2012)三個(gè)賬號(hào)2. 普通模式超級(jí)管理員具有所有權(quán)限超級(jí)管理員可以創(chuàng)建管理員、審計(jì)員、策略員三種角色分配權(quán)限：超級(jí)管理員可以給管理員分配所有權(quán)限； -普通模式下管理員權(quán)限不受限超級(jí)管理員可以給審計(jì)員分配的權(quán)限如下：系統(tǒng)監(jiān)控、應(yīng)用分析、權(quán)限配置、權(quán)限模式(1.不顯示保存、生效、配置向?qū)У臋?quán)限；2.不

2、能進(jìn)入系統(tǒng)升級(jí)頁(yè)面；-普通模式下審計(jì)員權(quán)限受限超級(jí)管理員可以給策略員分配的權(quán)限如下：系統(tǒng)監(jiān)控、應(yīng)用分析、數(shù)據(jù)中心(除配置日志、系統(tǒng)日志)、策略配置、網(wǎng)絡(luò)配置、用戶管理、系統(tǒng)管理(基本配置、權(quán)限配置、告警配置、網(wǎng)頁(yè)命令行、證書(shū)管理)-普通模式下策略員權(quán)限受限3. 三權(quán)模式:系統(tǒng)管理員權(quán)限：具有系統(tǒng)監(jiān)控、網(wǎng)絡(luò)配置、系統(tǒng)管理權(quán)限-也就是說(shuō)從普通模式下切換到三權(quán)模式下，admin賬號(hào)不再是超級(jí)管理員，變?yōu)橄到y(tǒng)管 理員審計(jì)管理員權(quán)限：具有系統(tǒng)監(jiān)控、應(yīng)用分析、權(quán)限配置、權(quán)限模式（1.不顯示保存、生效、配置向?qū)У臋?quán)限；2.不能進(jìn)入系統(tǒng)升級(jí)頁(yè)面；）策略管理員權(quán)限：具有系統(tǒng)監(jiān)控、應(yīng)用分析、數(shù)據(jù)中心（除配置日志、

3、系 統(tǒng)日志）、策略配置、網(wǎng)絡(luò)配置、用戶管理、系統(tǒng)管理（基本配置、權(quán)限配 置、告警配置、網(wǎng)頁(yè)命令行、證書(shū)管理）創(chuàng)建子管理員：系統(tǒng)管理員只能創(chuàng)建管理員角色，可分配的權(quán)限：系統(tǒng)監(jiān)控、網(wǎng)絡(luò)配置、 系統(tǒng)管理權(quán)限-但不包括創(chuàng)建子級(jí)管理員權(quán)限、不包括切換權(quán)限模式的權(quán)限審計(jì)管理員只能創(chuàng)建審計(jì)員角色，可分配的權(quán)限：系統(tǒng)監(jiān)控、應(yīng)用分析、 權(quán)限配置、權(quán)限模式（1.不顯示保存、生效、配置向?qū)У臋?quán)限；2.不能進(jìn)入系 統(tǒng)升級(jí)頁(yè)面）-但不包括創(chuàng)建子級(jí)管理員權(quán)限、不包括審核權(quán)限模式切換的 權(quán)限策略管理員只能創(chuàng)建策略員角色，可分配的權(quán)限：具有系統(tǒng)監(jiān)控、應(yīng)用分析、 數(shù)據(jù)中心（除配置日志、系統(tǒng)日志）、策略配置、網(wǎng)絡(luò)配置、用戶管理、

4、系統(tǒng) 管理（基本配置、權(quán)限配置、告警配置、網(wǎng)頁(yè)命令行、證書(shū)管理-但不包括創(chuàng)建子級(jí)管理員權(quán)限4. 普通模式切換到三權(quán)模式：超級(jí)管理員直接切換，不需要審核，直接切換完5. 三權(quán)模式切換到普通模式：系統(tǒng)管理員切換權(quán)限模式（只有該賬號(hào)擁有切換 權(quán)限模式的權(quán)利），審計(jì)管理員審核通過(guò)/拒絕（只有該賬號(hào)擁有審核切換權(quán)限 模式的權(quán)利）6. 切換模式在系統(tǒng)管理-高級(jí)配置中進(jìn)行，不具備切換權(quán)限或?qū)徍藱?quán)限的賬號(hào) 此部分功能按鈕不可用7. 三權(quán)模式受限的體現(xiàn)先談一下保密局測(cè)試安全產(chǎn)品的需求：要求配置系統(tǒng)的日志，不能讓配置 的賬號(hào)看到，只能讓審計(jì)員看到當(dāng)前實(shí)現(xiàn)：超級(jí)管理員具有所有權(quán)限，肯定不符合上面的需求；三權(quán)模式下，只有審計(jì)管理員