统信uos桌面版默认未启用selinux，强制访问控制由dac为主，辅以主机勒索防护、pam登录策略和apparmor应用策略实现。一、通过安全中心开启主机勒索防护并配置受保护目录与可信进程；二、修改pam配置结合time.conf限制用户会话级访问；三、利用apparmor为应用程序定义文件、网络等白名单策略。

统信UOS桌面版默认未启用SELinux，其系统强制访问控制机制由自主访问控制（DAC）为主，辅以基于策略的主机勒索防护模块与安全中心内置的访问控制策略。SELinux在统信UOS中不作为默认内核安全模块启用，亦未提供官方支持的配置接口或图形化设置路径。以下是适配统信UOS实际环境的三种替代性强制访问控制配置方法：

一、通过安全中心启用主机勒索防护访问控制

主机勒索防护模块提供基于文件路径、进程行为和用户权限的细粒度访问拦截能力，可实现近似强制访问控制的效果，适用于终端用户及系统管理员日常防护需求。

1、单击任务栏启动器图标，进入启动器界面。

2、在搜索框中输入安全中心，单击图标运行应用程序。

3、在左侧导航栏中选择病毒查杀，再点击顶部标签页中的主机勒索防护。

4、开启防护开关，系统将自动加载默认防护策略。

5、点击高级设置，在“受保护目录”区域单击添加目录，指定需强制限制写入/执行权限的关键路径（如/etc、/boot）。

6、在“可信进程”列表中，仅保留系统关键服务进程，其余第三方程序默认处于拦截状态。

二、配置PAM模块实现登录级强制访问策略

利用Pluggable Authentication Modules（PAM）机制，在用户身份认证阶段嵌入访问约束逻辑，可对特定用户或组施加会话级资源访问限制，属于内核空间外的强制策略落地方式。

1、按Ctrl+Alt+F4切换至TTY终端，使用具有sudo权限的账户登录。

2、执行命令：sudo nano /etc/pam.d/common-auth，打开PAM认证配置文件。

3、在文件末尾新增一行：auth [default=bad success=ok] pam_time.so。

4、保存退出后，执行：sudo nano /etc/security/time.conf，创建时间与用户访问规则文件。

5、添加示例策略行：*;Al0000-2400;Al0000-2400;tty1&&tty2;and;/bin/bash;，表示仅允许所有用户在tty1和tty2终端于全天时段启动bash shell。

6、重启图形界面或重新登录，策略即刻生效。

三、通过AppArmor配置应用程序级强制访问策略

统信UOS 2022及后续版本已集成AppArmor框架，支持为特定应用程序定义文件路径、网络端口、DBus接口等访问白名单，具备强制访问控制语义，且无需修改内核或重启系统。

1、确认AppArmor运行状态：执行sudo aa-status，验证输出中包含“apparmor module is loaded”及“0 profiles are loaded”以外的活跃配置项。

2、为浏览器应用生成基础策略：执行sudo aa-genprof /usr/bin/deepin-browser，按提示完成交互式策略采集。

3、在策略编辑界面中，将/home/*/Downloads/**路径设为rw，将/etc/shadow设为deny。

4、保存策略后执行：sudo systemctl restart apparmor重载全部配置。

5、验证策略生效：尝试在浏览器中执行文件系统读写操作，观察日志中是否出现AppArmor拒绝记录（可通过dmesg | grep -i apparmor查看）。