macOS虽无图形化组策略编辑器，但可通过dscl管理用户组、chmod+ACL控制目录权限、launchd实现登录策略自动生效，并支持对接OpenDirectory/AD进行集中策略管理。
用 dscl 管理本地用户与组策略
macOS 使用 OpenDirectory 服务管理身份信息，dscl 是核心命令行工具，用于创建、修改用户/组及设置策略属性。
- 新建组：
sudo dscl . -create /Groups/dev-team - 添加用户到组：
sudo dscl . -append /Groups/dev-team GroupMembership alice - 禁止某用户交互式登录（设为非登录 shell）：
sudo dscl . -create /Users/bob UserShell /usr/bin/false - 限制密码有效期或最小长度等策略，可通过
dscl . -create /Users/alice dsAttrTypeNative:passwordPolicyOptions ...设置（需配合 PAM 或 MDM 工具生效）
用 chmod + ACL 控制特定目录访问权限
标准 Unix 权限（owner/group/others）粒度粗，而 ACL（Access Control Lists） 支持为指定用户或组单独授权，是控制“特定目录”的关键手段。
macOS Automator Services
下载
部署和使用军舰的 macOS Automator 自动化服务集合。包含 5 个实用工作流：PDF转JPG、PNG重命名并转JPG、图像拼接、解压RAR、顺序命名图像文件。一键安装所有服务到 ~/Library/Services/ 目录。使用场景：(1) "安装我的自动化服务"，(2) "部署所有 Automato...
- 先确认目标目录已启用 ACL：
sudo fsaclctl -p /shared/project --enable - 赋予组读写执行权限：
chmod -R +a "group:dev-team:allow read,write,execute" /shared/project - 拒绝某个用户访问：
chmod +a "bob:deny read,write,execute" /shared/confidential - 查看当前 ACL 设置：
ls -le /shared/project
用 launchd 实现登录时策略自动生效
macOS 不会自动“刷新组策略”，但可借助 launchd 在用户登录时触发脚本，完成权限校验、挂载、环境初始化等动作。
- 在
~/Library/LaunchAgents/下新建 plist 文件（如com.example.dirlock.plist） - 脚本中可检查用户所属组，自动执行：
chmod o-rx /restricted或mount -u -o ro,noexec /Applications/Tools - 脚本需具备可执行权限：
chmod +x ~/bin/dirlock.sh，且 plist 中正确声明ProgramArguments
企业级：对接 OpenDirectory 或 Active Directory
在域环境中，macOS 可绑定至 OD 或 AD，此时用户/组策略由服务器集中下发，本地仅作补充。
- 通过“系统设置 > 用户与群组 > 登录选项 > 网络账户服务器”加入目录服务
- AD 用户登录后，其组成员身份自动同步，ACL 中可直接使用
DOMAIN\Developers - 配合 Profile Manager、JAMF 或 Apple Configurator 等 MDM 工具，推送自定义脚本、挂载配置或权限模板
