初始配置

背景信息

租户管理员帐号，可以使用浏览器登录iMaster NCE-Campus，在图形化界面中执行系统管理和运维操作。支持的浏览器包括：

• Google Chrome 57及以上

操作步骤

1. 打开浏览器。
2. 在地址栏输入https://iMaster NCE-Campus服务器IP地址:端口号，按“Enter”键。
   • iMaster NCE-Campus服务器IP地址为“北向管理IP”，在安装iMaster NCE-Campus时指定。
   • 端口号为“18008”，登录时端口号必须跟安装时配置的端口号保持一致。
   • 登录认证组件和登录iMaster NCE-Campus方法一致。

3. 忽略安全证书问题，进入登录界面。

   使用浏览器登录iMaster NCE-Campus时，浏览器会通过ER证书对iMaster NCE-Campus进行单向认证。安装iMaster NCE-Campus时已预置华为的ER证书，此证书仅用作临时通信，不作商用。申请的新ER证书更新预置的ER证书，以提高iMaster NCE-Campus的通信安全性。为了避免证书过期导致系统存在安全风险，建议定期更新。更新ER证书之后，则不会出现如下提示信息。

   • Chrome：依次单击“高级 > 继续前往...（不安全）”

4. 输入管理员名称和缺省密码，单击“登录”。
5. （可选）首次登录时，按提示修改密码并绑定邮箱。非首次登录无此步骤。
   • 为了安全起见，建议不要设置浏览器记住密码。
   • 如果系统管理员已配置邮箱服务器，且MSP管理员创建租户管理员时未配置邮箱，则租户管理员首次登录时需要绑定邮箱。
   • 如果系统管理员未配置邮箱服务器，租户管理员首次登录时无绑定邮箱操作。

     租户管理员创建的子管理员帐号首次登录时，无绑定邮箱操作。

6. （可选）进行双因素认证，如果已配置手机号码，单击获取验证码并填写，验证通过之后方可登录iMaster NCE-Campus。如果MSP创建租户管理员时选择的帐号/密码认证，则不会有此步骤。
7. （可选）签署隐私声明。

   MSP管理员创建根管理员时，如果选择了隐私声明，根租户管理员第一次登录iMaster NCE-Campus时，需要签署隐私声明。

   如果根租户管理员已签署隐私声明，创建的子租户管理员第一次登录iMaster NCE-Campus时，也需要签署隐私声明。

   如果不签署隐私声明，则无法登录。

8. （可选）设置设备管理员密码和设备BootROM密码，只有首次登录时才会出现此步骤。

   租户新建站点设备上线后，会自动将设备的admin管理员密码和BootROM密码设置为此密码，保证设备的安全性。

   如果系统管理员关闭“支持配置设备BootROM密码”功能，租户则无法设置设备BootRom密码，关闭“支持配置设备BootROM密码”操作请参见配置设备BootROM密码策略。

背景信息

系统管理员已经设置了帐号策略以及密码策略，租户管理员可以配置两种策略。

操作步骤

1. 设置帐号策略。

   通过帐号策略，可以合理设置帐号名的长度等与帐号登录相关的策略，提高iMaster NCE-Campus帐号的安全性。iMaster NCE-Campus默认已经设置了帐号策略，可以根据具体情况进行修改。

   在主菜单中选择“系统 > 用户管理 > 管理员”，单击“帐号策略”。

2. 设置密码策略。

   通过密码策略，可以合理设置iMaster NCE-Campus管理员密码的复杂度，更新周期和字符限制等策略，避免设置的管理员密码过于简单而容易被盗用。iMaster NCE-Campus默认已经设置了密码策略，可以根据具体情况进行修改。

   在主菜单中选择“系统 > 用户管理 > 管理员”，单击“密码策略”。

   为提高安全性，建议启用iMaster NCE-Campus提供的所有密码安全策略。

   如果需要PCI认证，帐号策略和密码策略请按照如下要求进行调整：

   • 启用帐号停用策略，帐号连续未登录（天）设置为90天，如果帐号超过90天未登录，则停用此帐号。
   • 帐号锁定策略，限定时间段长度（分钟）设置为30分钟，30分钟以内连续登录5次失败，则锁定此帐号，锁定时长设置为30分钟。
   • 密码不能与历史密码重复次数（不能与最近几次历史密码重复）设置为4。

背景信息

将具备相同操作权限的用户以角色的方式进行管理，帐号只需加入角色便拥有该角色赋予的所有权限。

操作步骤

1. 在主菜单中选择“系统 > 用户管理 > 管理员”，选择“角色”页签。
2. 单击“创建”，输入角色名称并选择角色的功能权限。

   系统预置如下租户角色。预置角色不可删除或修改。

   • Monitor：监控员角色，拥有租户业务和相关配置的查看权限。

   • Open Api Operator：开放接口操作员角色，拥有开放接口业务和相关配置的使用权限。

   • Tenant Administrator：租户管理员角色，操作租户业务和相关配置。
   • Operator：操作员角色，管理系统业务运行。

     如果是V300R019C00之前版本注册的租户管理员，没有Operator角色。

   • CLI Operator：如果为租户配置此角色，则租户具有通过命令行模板导入设备命令权限，详细操作请参见CLI下发配置。

     只有WAN网络支持CLI下发配置，将隧道模式切换为EVPN模式，方可查看CLI Operator角色。

   角色功能权限树中的各节点名称固定，但是节点顺序在不同的iMaster NCE-Campus版本中存在差异，手册截图仅供参考。

3. 建议按照下表进行角色划分并设置对应的角色功能，也可根据需要自行划分角色。

   角色类型	角色权限
   管理	全局管理人员，拥有全部权限。
   监控	全局监控人员，拥有全部监控类权限。
   配置	网络配置人员，拥有网络配置、流量策略和安全策略相关配置权限。
   维护	运维人员，拥有设备维护、文件及日志管理权限。

   • “管理”角色：勾选全部功能。

   • “监控”角色：勾选“监控”及下面的全部功能。

   • “配置”角色：勾选“设计”、“配置”、“系统”、“准入”、“策略”、“业务一致性”节点下的所有功能。

   • “维护”角色：勾选“维护”、“告警”及下面的全部功能。

4. 单击“确定”。

背景信息

MSP管理员创建的租户管理员具有租户的所有权限，我们称之为根租户。

为了保证系统的安全性，根租户可以创建多个子租户帐号，并通过角色为每个子租户帐号分配不同的权限，即分权。

管理员可以设置用户的最大并发数，取值为0~999，0表示不限制最大并发在线用户数。出于对系统性能的考虑，系统最大并发在线用户数限制为5000。

操作步骤

1. 在主菜单中选择“系统 > 用户管理 > 管理员”。
2. 单击“创建”，在“创建用户”页面中填写参数。

   为了保证安全，请勿将密码透漏给别人， 并且定期修改密码。

   • 手动创建密码。

     “密码创建模式”选择“手动创建”。创建帐号时直接配置密码，如果“首次登录修改密码”选择是，帐号首次登录iMaster NCE-Campus时，会提示用户先修改密码，密码修改成功后方可登录。

   • 邮箱创建密码。

     “密码创建模式”选择“邮箱创建”。完成帐号创建之后，系统会发送一个链接到用户邮箱，登录邮箱，点开链接配置帐号密码。

     • 如果选择邮箱创建密码，请提前配置邮箱服务器，否则系统无法发送链接到邮箱，详细配置过程请参见配置邮件服务器。
     • 通过邮箱创建密码之后，首次登录时iMaster NCE-Campus无需修改密码。

     关键参数	参数说明
     帐号	新建管理员的登录帐号。
     用户类型	本地：本地用户只能从iMaster NCE-Campus界面登录。 三方系统接入：三方系统接入用户使用北向api接口“/controller/v2/tokens”登录。 说明： 当用户类型为“三方系统接入”时，用户只能通过调用接口登录iMaster NCE-Campus。 当用户类型为“本地”时，用户只能通过登录页面登录iMaster NCE-Campus。 升级场景下，“本地”和“三方系统接入”两种类型的用户均修改为“全部”类型的用户。当用户类型为“全部”时，用户通过调用接口和登录页面均可登录iMaster NCE-Campus。
     密码创建模式	密码创建模式可以选择手动创建和邮箱创建。
     密码	新建管理员的初始登录密码。 说明： 该参数仅在“用户类型”选择“本地”时显示。 “密码创建模式”如果是“邮箱创建”，必须填写有效的邮箱地址，完成帐号创建之后，系统会发送一个链接到用户邮箱，登录邮箱，点开链接配置帐号密码。 通过邮箱创建密码，首次登录iMaster NCE-Campus时，用户无需修改密码。
     确认密码
     首次登录修改密码	首次使用该帐号登录时，是否强制修改密码。
     手机	系统管理员邮箱，方便该系统管理员下的MSP能快速联系上本系统管理员。
     邮箱	系统管理员电话，方便该系统管理员下的MSP能快速联系上本系统管理员。
     角色	从下拉列表中选取角色。

3. 进入选择“管理对象”页面，选择此管理员可以管理的站点，单击“下一步”。

   如果选择部分站点进行分域管理，由于此帐号无管理所有资源的权限，使用此帐号登录iMaster NCE-Campus之后，则无法查看以下菜单：

   • “监控 > 健康度 > 概览”。

   • “监控 > 健康度 > 站点间”。
   • “监控 > 健康度 > 站点”。
   • “监控 > 监控设置 > 终端隐私设置”。

4. （可选）配置访问控制。

   在“访问控制”界面中，单击“创建”，配置可登录的IP地址区间后，单击“下一步”。

5. 单击“确定”，创建帐户成功。

后续处理

• 修改帐户信息、重置密码、停用/启用帐户。
  1. 在主菜单中选择“系统 > 用户管理 > 管理员”。
  2. 在“操作”列单击图标，修改帐号帐息；单击图标重置密码，单击图标停用帐户，如果账户已停用，单击图标启用帐户。

• 删除帐户。
  1. 在主菜单中选择“系统 > 用户管理 > 管理员”。
  2. 选中帐户，单击“删除”。

• 移交工作组管理员帐号权限。

  如果工作组管理员更换，可以通过工作组上级管理员将其移交给其他管理员。工作组管理员帐号只能将权限移交给自己创建的管理员帐号，在执行移交之前，请确保工作组管理员已完成新帐号创建。

  • 移交工作组管理员权限只能对当前用户所在工作组的一级子工作组用户进行操作，无法对二级及以上的工作组进行操作。
  • 工作组管理员权限被移交之后，被移交的工作组管理员如果在线，则会被强制退出，且再无任何权限。
  1. 在主菜单中选择“系统 > 用户管理 > 管理员”。单击“用户”页签。
  2. 单击“选择”按钮，选择管理组，单击“确定”。

     选择新帐号，单击“移交”，将此管理组管理员帐号移交给新帐号，移交后新帐号即拥有此管理组的管理员权限。

     新帐号必须为旧工作组管理员帐号创建的管理员帐号。

     如果图标移到新帐号后边，则说明移交成功。

• 设置用户组。

  用户组用于对接第三方服务使用，例如对接AD FS、Net IQ、LADP服务器和AD服务器。

  在主菜单中选择“系统 > 用户管理 > 管理员”，单击“用户组”页签，单击“创建”，创建用户组。

  单击“下一步”，如果关闭“选择所有资源”，选择管理组管理对象。

• 个人设置。

  通过个人设置，可提高iMaster NCE-Campus的访问安全性。该功能只对当前用户生效。

  • 设置同时在线数。
    1. 在主菜单中选择“系统 > 用户管理 > 帐户信息”。
    2. 在“基本信息”页面中单击图标，修改“最大同时在线数”，单击“应用”。缺省值0表示不限制。

  • 修改密码。
    1. 在主菜单中选择“系统 > 用户管理 > 帐户信息”。
    2. 在“基本信息”页面中单击密码后边的图标，在弹出窗口中设置新密码。

  • 调整允许使用当前帐号登录到iMaster NCE-Campus的IP地址区间。
    1. 在主菜单中选择“系统 > 用户管理 > 帐户信息”。
    2. 在“访问控制”页面中设置IP地址区间（列表为空表示不限制），单击“确定”。

• 设置闲置超时时间。

  为了防止其他人员在管理员离开时进行非法操作，iMaster NCE-Campus提供管理员闲置超时设置功能。如果管理员在指定时间内不做任何操作，管理员将被自动注销。管理员自动注销后，管理员需重新登录iMaster NCE-Campus。

  在主菜单中选择“系统 > 用户管理 > 管理员”，单击“闲置超时设置”，设置闲置时间，单击“确定”。

• 查看在线用户管理。

  在主菜单中选择“系统 > 用户管理 > 管理员”，单击“在线用户”页签。

• 查看个人隐私声明
  1. 在主菜单中选择“系统 > 用户管理 > 帐户信息”。
  2. 在“基本信息”页面中，查看用户是否签署隐私声明。
     • 如果“隐私声明签署”为“未签署”，表示该用户还未签署隐私声明。
     • 如果“隐私声明签署”为“已签署”，表示该用户已签署隐私声明。
• 撤销个人隐私声明
  如果用户想撤销隐私声明签署，可单击“隐私声明签署”后的“撤销”，在弹出的“警告”提示框中单击“确定”。

  撤销隐私声明会注销当前用户的会话，并清除该用户绑定的手机和邮箱，手机和邮箱被清除后，可能会影响用户下次登录或找回密码等功能，请谨慎操作。

操作步骤

1. 选择“设计 > 基础网络设计 > 网络设置 > 隧道模式”。
2. 选择隧道模式，“EVPN”或者“IPSecVPN”。

3. 单击“应用”，完成配置。