A A A典型配置举例用户的RADIUS认证和授权配置1.组网需求如所示，SSH用户主机与Router直接相连，Router与一台RADIUS服务器相连，需要实现使用RADIUS服务器对登录Router的SSH用户进行认证和授权。
由一台iMC服务器（IP地址为）担当认证/授权RADIUS服务器的职责；Router与RADIUS服务器交互报文时使用的共享密钥为expert，认证/授权、计费的端口号分别为1812和1813；Router向RADIUS服务器发送的用户名携带域名；SSH用户登录Router时使用RADIUS服务器上配置的用户名hello@bbb以及密码进行认证，认证通过后具有缺省的用户角色network-operator。
2.组网图图1-12SSH用户RADIUS认证/授权配置组网图3.配置步骤(1)配置RADIUS服务器（iMC PLAT ）下面以iMC为例（使用iMC版本为：iMC PLAT (E0101)、iMC UAM (E0101)），说明RADIUS 服务器的基本配置。
#增加接入设备。
登录进入iMC管理平台，选择“业务”页签，单击导航树中的[接入业务/接入设备管理/接入设备配置]菜单项，进入接入设备配置页面，在该页面中单击“增加”按钮，进入增加接入设备页面。
设置与Router交互报文时使用的认证、计费共享密钥为“expert”；设置认证及计费的端口号分别为“1812”和“1813”；选择业务类型为“设备管理业务”；选择接入设备类型为“H3C”；选择或手工增加接入设备，添加IP地址为的接入设备；其它参数采用缺省值，并单击<确定>按钮完成操作。
添加的接入设备IP地址要与Router发送RADIUS报文的源地址保持一致。
缺省情况下，设备发送RADIUS报文的源地址是发送RADIUS报文的接口IP地址。
若设备上通过命令nas-ip或者radius nas-ip指定了发送RADIUS报文的源地址，则此处的接入设备IP地址就需要修改并与指定源地址保持一致。
若设备使用缺省的发送RADIUS报文的源地址，例如，本例中为接口GigabitEthernet1/0/2的IP地址，则此处接入设备IP地址就选择。
图1-13增加接入设备#增加设备管理用户。
选择“用户”页签，单击导航树中的[接入用户视图/设备管理用户]菜单项，进入设备管理用户列表页面，在该页面中单击<增加>按钮，进入增加设备管理用户页面。
输入用户名“hello@bbb”和密码；选择服务类型为“SSH”；添加所管理设备的IP地址，IP地址范围为“～”；单击<确定>按钮完成操作。
添加的所管理设备的IP地址范围要包含添加的接入设备的IP地址。
图1-14增加设备管理用户(2)配置Router#配置接口GigabitEthernet2/0/1的IP地址，SSH用户将通过该地址连接Router。
<Router> system-view[Router] interface gigabitethernet 2/0/1[Router-GigabitEthernet2/0/1] quit#配置接口GigabitEthernet2/0/2的IP地址，Router将通过该地址与服务器通信。
[Router] interface gigabitethernet 2/0/2[Router-GigabitEthernet2/0/2] quit#创建本地RSA及DSA密钥对。
[Router] public-key local create rsa[Router] public-key local create dsa#使能SSH服务器功能。
[Router] ssh server enable#设置SSH用户登录用户线的认证方式为AAA认证。
[Router] line vty 0 63[Router-line-vty0-63] authentication-mode scheme[Router-line-vty0-63] quit#使能缺省用户角色授权功能，使得认证通过后的SSH用户具有缺省的用户角色network-operator。
[Router] role default-role enable#创建RADIUS方案rad。
[Router] radius scheme rad#配置主认证服务器的IP地址为，认证端口号为1812。
#配置与认证服务器交互报文时的共享密钥为明文expert。
[Router-radius-rad] key authentication simple expert#配置向RADIUS服务器发送的用户名要携带域名。
[Router-radius-rad] user-name-format with-domain[Router-radius-rad] quit#创建ISP域bbb，为login用户配置AAA认证方法为RADIUS认证/授权、不计费。
由于RADIUS服务器的授权信息是随认证应答报文发给RADIUS客户端的，所以必须保证认证和授权方案相同。
[Router] domain bbb[Router-isp-bbb] authentication login radius-scheme rad[Router-isp-bbb] authorization login radius-scheme rad[Router-isp-bbb] accounting login none[Router-isp-bbb] quit4.验证配置用户向Router发起SSH连接，按照提示输入用户名hello@bbb及正确的密码后，可成功登录Router，并具有用户角色network-operator所拥有的命令行执行权限。
用户的本地认证和授权配置1.组网需求如所示，配置Router实现对登录Router的SSH用户进行本地认证和授权，并授权该用户具有用户角色network-admin。
2.组网图图1-15SSH用户本地认证/授权配置组网图3.配置步骤#配置接口GigabitEthernet2/0/1的IP地址，SSH用户将通过该地址连接Router。
<Router> system-view[Router] interface gigabitethernet 2/0/1[Router-GigabitEthernet2/0/1] quit#创建本地RSA及DSA密钥对。
[Router] public-key local create rsa[Router] public-key local create dsa#使能SSH服务器功能。
[Router] ssh server enable#设置SSH用户登录用户线的认证方式为AAA认证。
[Router] line vty 0 63[Router-line-vty0-63] authentication-mode scheme[Router-line-vty0-63] quit#创建设备管理类本地用户ssh。
[Router] local-user ssh class manage#配置该本地用户的服务类型为SSH。
[Router-luser-manage-ssh] service-type ssh#配置该本地用户密码为明文123456TESTplat&!。
（若是FIPS模式下，只能使用交互式方式设置）[Router-luser-manage-ssh] password simple 123456TESTplat&!#配置该本地用户的授权用户角色为network-admin[Router-luser-manage-ssh] authorization-attribute user-role network-admin [Router-luser-manage-ssh] quit#创建ISP域bbb，为login用户配置AAA认证方法为本地认证和本地授权。
[Router] domain bbb[Router-isp-bbb] authentication login local[Router-isp-bbb] authorization login local[Router-isp-bbb] quit4.验证配置用户向Router发起SSH连接，按照提示输入用户名ssh@bbb及正确的密码后，可成功登录Router，并具有用户角色network-admin所拥有的命令行执行权限。
用户的HWTACACS认证、授权、计费配置1.组网需求如所示，配置Router实现使用HWTACACS服务器对登录Router的SSH用户进行认证、授权、计费。
由一台HWTACACS服务器担当认证、授权、计费服务器的职责，服务器IP地址为。
Router与认证、授权、计费HWTACACS服务器交互报文时的共享密钥均为expert，向HWTACACS服务器发送的用户名不带域名。
认证通过后的SSH用户具有缺省的用户角色network-operator。
2.组网图图1-16SSH用户HWTACACS认证、授权和计费配置组网图3.配置步骤(1)配置HWTACACS服务器#在HWTACACS服务器上设置与Router交互报文时的共享密钥为expert；添加SSH 用户名及密码。
（略）(2)配置Router#创建HWTACACS方案hwtac。
<Router> system-view[Router] hwtacacs scheme hwtac#配置主认证服务器的IP地址为，认证端口号为49。
#配置主授权服务器的IP地址为，授权端口号为49。
#配置主计费服务器的IP地址为，计费端口号为49。
#配置与认证、授权、计费服务器交互报文时的共享密钥均为明文expert。
[Router-hwtacacs-hwtac] key authentication simple expert[Router-hwtacacs-hwtac] key authorization simple expert[Router-hwtacacs-hwtac] key accounting simple expert#配置向HWTACACS服务器发送的用户名不携带域名。
[Router-hwtacacs-hwtac] user-name-format without-domain[Router-hwtacacs-hwtac] quit#创建ISP域bbb，为login用户配置AAA认证方法为HWTACACS认证/授权/计费。
[Router] domain bbb[Router-isp-bbb] authentication login hwtacacs-scheme hwtac[Router-isp-bbb] authorization login hwtacacs-scheme hwtac[Router-isp-bbb] accounting login hwtacacs-scheme hwtac[Router-isp-bbb] quit#创建本地RSA及DSA密钥对。