FreeBSD 5.X 在 POSIX®.1e 草案的基础上引入了 TrustedBSD 项目提供的新的安全性扩展。 新安全机制中最重要的两个， 是文件系统访问控制列表 (ACL) 和集权式访问控制 (MAC) 机制。 集权式访问控制允许加载新的访问控制模块， 并借此实施新的安全策略， 其中一部分为一个很小的系统子集提供保护并加强特定的服务， 其他的则对所有的主体和对象提供全面的标签式安全保护。 定义中有关集权的部分源于如下事实， 控制的实现由管理员和系统作出， 而不像全权式访问控制 (DAC, FreeBSD 中的标准文件以及 System V IPC 权限) 那样是按照用户意愿进行的。
本章将集中讲述集权式访问控制框架 (MAC 框架) 以及一套用以实施多种安全策略的插件式的安全策略模块。
阅读本章之后， 您将了解：
目前 FreeBSD 中具有哪些 MAC 安全策略模块， 以及与之相关的机制。
MAC 安全策略模块将实施何种策略， 以及标签式与非标签式策略之间的差异。
如何高效地配置系统令使其使用 MAC 框架。
如何配置 MAC 框架所提供的不同的安全策略模块。
如何用 MAC 框架构建更为安全的环境， 并举例说明。
如何测试 MAC 配置以确保正确构建了框架。
阅读本章之前， 您应该：
警告: 对本章信息的不当使用可能导致丧失系统访问权， 激怒用户， 或者无法访问 X11 提供的特性。 更重要的是， MAC 不能用于彻底保护一个系统。 MAC 框架仅用于增强现有安全策略； 如果没有健全的安全条例以及定期的安全检查， 系统将永远不会绝对安全。
此外还需要注意的是， 本章中所包含的例子仅仅是例子。 我们并不建议在一个生产用系统上进行这些特别的设置。 实施各种安全策略模块需要谨慎的考虑与测试， 因为那些并不完全理解所有机制如何工作的人， 可能会发现需要对整个系统中很多的文件或目录进行重新配置。
本章涵盖了与 MAC 框架有关的诸多方面的安全问题； 而新的 MAC 安全策略模块的开发成果则不会涉及。 MAC 框架中所包含的一部分安全策略模块， 具有一些用于测试及新模块开发的特定属性， 其中包括 mac_test(4)、 mac_stub(4) 以及 mac_none(4)。 关于这些安全策略模块及其提供的众多机制的详细信息，请参阅联机手册中的内容。
本文档和其它文档可从这里下载：ftp://ftp.FreeBSD.org/pub/FreeBSD/doc/.
如果对于FreeBSD有问题，请先阅读文档，如不能解决再联系<[email protected]>.
关于本文档的问题请发信联系 <[email protected]>.