我有一个 cisco ASA，我想连接到 TACACS 服务器以进行命令级授权（写入和只读访问）。这实际上效果很好。此外，我有一个配置了权限级别 15 的本地回退用户。我可以使用此用户登录，但我不能发出任何命令，ASA 将请求发送到肯定不知道用户名的 TACACS 服务器。

ASA 配置：

aaa-server TACACS protocol tacacs+
aaa-server TACACS (interface-oob) host xx.xx.xx.xx
 timeout 5
 key *****
aaa-server TACACS (interface-oob) host xx.xx.xx.xx
 timeout 5
 key *****
!
aaa authentication serial console LOCAL 
aaa authentication enable console LOCAL 
aaa authentication ssh console TACACS LOCAL
aaa authentication http console TACACS LOCAL
aaa authorization command TACACS LOCAL
aaa authorization exec authentication-server auto-enable
!
username fallbackadm password xxxxxxxxx encrypted privilege 15
username fallbackadm attributes
 group-lock value NOACCESS
 service-type admin

在 Cisco IOS 中，我只需交换 aaa 授权命令行的两个参数，但这在 ASA 上不起作用，LOCAL 必须是最后一个。

如何实现本地回退用户，即使 TACACS 服务器可访问，也可用于登录和在 CLI 上工作？