> For the complete documentation index, see [llms.txt](https://handbook.bsdcn.org/llms.txt). Markdown versions of documentation pages are available by appending `.md` to page URLs; this page is available as [Markdown](https://handbook.bsdcn.org/di-19-zhang-qiang-zhi-fang-wen-kong-zhi/19.4.-gui-hua-an-quan-pei-zhi.md). # 19.4.规划安全配置 在实施任何 MAC 策略之前，建议先规划。在规划阶段，管理员应考虑实施要求和目标，例如： * 如何对目标系统上的信息和资源分类。 * 哪些信息或资源需要限制访问，以及需要应用哪些类型的限制。 * 为实现该目标需要哪些 MAC 模块。 在将 MAC 实施应用于生产系统之前，应该对受信系统及其配置进行试运行。由于不同的环境有不同的需求和要求，因此建立完整的安全配置文件将减少系统上线后需要的更改。 考虑 MAC 框架如何增强整个系统的安全性。MAC 框架提供的各种安全策略模块可用于保护网络和文件系统，或阻止用户访问某些端口和套接字。可能最好的策略模块使用方式是一次加载多个安全策略模块，以提供 MLS 环境。这种方法与加固策略不同，后者通常只加固用于特定目的的系统元素。MLS 的缺点是增加了管理开销。 与框架（提供按需选择策略并保持低性能开销的能力）的长期效益相比，开销是最小的。减少对不必要策略的支持可提高系统的整体性能，同时提供选择的灵活性。好的实施方案应考虑整体安全需求，并有效地实施框架提供的各种安全策略模块。 使用 MAC 的系统保证用户不能随意更改安全属性。所有的用户工具、程序和脚本都必须在所选安全策略模块提供的访问规则约束下工作，MAC 访问规则的控制权在系统管理员手中。 系统管理员的责任是仔细选择正确的安全策略模块。对于需要限制网络访问控制的环境，[mac\_portacl(4)](https://man.freebsd.org/cgi/man.cgi?query=mac_portacl\&sektion=4\&format=html)、[mac\_ifoff(4)](https://man.freebsd.org/cgi/man.cgi?query=mac_ifoff\&sektion=4\&format=html) 和 [mac\_biba(4)](https://man.freebsd.org/cgi/man.cgi?query=mac_biba\&sektion=4\&format=html) 策略模块是不错的起点。对于需要严格保密文件系统对象的环境，可考虑使用 [mac\_bsdextended(4)](https://man.freebsd.org/cgi/man.cgi?query=mac_bsdextended\&sektion=4\&format=html) 和 [mac\_mls(4)](https://man.freebsd.org/cgi/man.cgi?query=mac_mls\&sektion=4\&format=html) 策略模块。 策略决策可基于网络配置。如果只有某些用户应该能访问 [ssh(1)](https://man.freebsd.org/cgi/man.cgi?query=ssh\&sektion=1\&format=html)，则可选择 [mac\_portacl(4)](https://man.freebsd.org/cgi/man.cgi?query=mac_portacl\&sektion=4\&format=html) 策略模块。在文件系统方面，对对象的访问可能对某些用户是机密的，而对其他用户则不是。例如，大型开发团队可能被分成多个小项目，其中项目 A 的开发人员可能不能访问项目 B 开发人员写的对象。然而，这两个项目可能需要访问项目 C 开发人员创建的对象。使用 MAC 框架提供的不同安全策略模块，用户可划分到这些组中，然后授予访问适当对象的权限。 每个安全策略模块都有其独特的方式来处理系统的整体安全性。模块选择应基于经过深思熟虑的安全策略，这可能需要修订和重新实施。了解 MAC 框架提供的不同安全策略模块将帮助管理员为其情况选择最佳策略。 本章的其余部分将介绍可用的模块，说明它们的使用和配置，并在某些情况下，提供有关适用情况的见解。 > **当心** > > 实施 MAC 就像实施防火墙一样，因为必须小心防止被完全锁在系统之外。应考虑恢复到先前配置的能力，并且通过远程连接实施 MAC 应格外谨慎。