Что это такое?

Это ролевые игры ролевая модель пользователей.

Зачем это нужно?

Чтобы создавать группы однотипных пользователей с одинаковыми правами доступа и областью видимости дерева конфигурации.

Как это настроить?

Создать список типовых ролей, выполняемых пользователями: "похотливая медсестричка", "строгая учительница" "дежурный оператор", "помощник младшего администратора" и т.п. Для добавления используйте команды +, _new или _insert. Данный список является именованным и не упорядочивается автоматически. Для удаления используйте команду - или _remove. Создаваемые роли могут иметь любые имена, кроме перечисленных ниже.

Для каждой вновь созданной роли определить дерево конфигурации, исключения из него и права доступа так же, как это делается для одиночного пользователя.

Далее, при создании новых локальных пользователей, назначать им готовую роль вместо того, чтобы строить индивидуальное дерево конфигурации для каждого из них.

В системе изначально определены следующие фиксированные роли, которые не могут быть переименованы или удалены:

admin

Администратор — имеет полный доступ ко всем настройкам устройства. Не может быть изменена. По умолчанию, назначена пользователям nsg и root.

user

Нестандартный пользователь, который не относится ни к одной из типовых ролей и настраивается индивидуально. Не может быть изменена. В частности, данная роль назначается всем новым пользователям по умолчанию, чтобы обеспечить совместимость конфигурации с версиями NSG Linux 2.1.4.x и ранее.

lvl-0 … lvl-14

Роли, соответствующие уровням привилегий от 0 до 14, соответственно, в терминологии Cisco. Содержимое этих ролей необходимо настраивать, так же как и содержимое ролей, созданных выше. Уровень 15 равносилен роли admin.
По умолчанию, данные роли, как и все вновь созданные роли — пустые, т.е. не содержат никакого дерева конфигурации и имеют права только read-only. Это совместимо с предыдущими конфигурациями и с требованиями безопасности.

Для пользователей, не определённых локально, роль либо уровень привилегий может назначаться при аутентификации на сервере TACACS+. Говоря точнее, таким пользователям должна назначаться либо роль/уровень (при per-command-auth = false, либо режим покомандной авторизации (per-command-auth = true).

В противном случае пользователь не сможет войти в систему.

Что делать, если это не работает?

Для начала, попрактиковаться с созданием и настройкой одиночных пользователей.

p.s. Какую бы роль вы себе ни выбрали в этом похабном сценарии, финал для вас будет всегда одинаковым. Различаться могут только позиции и их последовательность…