必须创建sys、anquan、userlog三类独立账号，并通过ACL、sudoers、KYSEC模块及目录权限四层机制实现三权分立与MAC控制。
您需要在麒麟OS中落实等保三级要求的强制访问控制（MAC）与三权分立机制，必须分别创建系统管理员、安全管理员、审计管理员三类独立账号，并通过ACL、sudoers策略、KYSEC模块及目录权限四层手段实现角色隔离与权限制衡，缺一不可。
创建三类独立管理账号
第一步：以root身份打开终端，执行sudo -i切换至超级用户。
第二步：创建系统管理员账号sys——执行useradd -m -s /bin/bash sys并立即设置强密码：passwd sys（密码需含大小写字母、数字、特殊字符，长度≥8位）。
第三步：创建安全管理员账号anquan——执行useradd -m -d /etc/anquan -s /bin/bash anquan，该账号主目录强制设为/etc/anquan，避免其访问用户家目录；随后执行passwd anquan设密。
第四步：创建审计管理员账号userlog——执行useradd -m -s /bin/bash userlog，再执行passwd userlog设密。此账号后续将仅授予日志查看权限，【严禁赋予任何文件写入或进程操作权限】。
配置审计管理员最小权限策略
方法一：限制sudo可执行命令范围
执行visudo编辑sudoers文件，在末尾新增一行：userlog ALL = (root) NOPASSWD: /usr/bin/cat, /usr/bin/less, /usr/bin/more, /usr/bin/tail, /usr/bin/head。该行明确限定userlog仅能免密调用5个只读命令，其他所有sudo操作均被拒绝。
方法二：锁定/var/log目录访问边界
执行chown -R userlog:userlog /var/log确保该目录归属审计账号；再执行chmod 700 /var/log——【此操作将彻底禁止其他所有用户（包括root）直接读取/var/log内容，仅userlog可进入】；最后执行setfacl -m u:userlog:rx /var/log补全ACL读取权限，确保兼容性。
启用KYSEC强制访问控制模块
KYSEC是麒麟OS内生安全核心组件，其Mandatory Access Control（MAC）子系统可覆盖传统DAC权限模型，实现进程级标签管控与跨域访问拦截。
第一步：确认KYSEC服务已启用——执行systemctl is-active kysec，输出active方可继续；若为inactive，则执行sudo systemctl enable --now kysec启动并设为开机自启。
第二步：为三类管理员账号分配安全级别标签——执行sudo kysec-mac-setlabel -u sys -l system_admin（系统管理员）、sudo kysec-mac-setlabel -u anquan -l security_admin（安全管理员）、sudo kysec-mac-setlabel -u userlog -l audit_admin（审计管理员）。
第三步：定义跨域访问规则——执行sudo kysec-mac-addrule -s system_admin -t security_admin -a read,write允许系统管理员向安全管理员写入策略配置；执行sudo kysec-mac-addrule -s security_admin -t audit_admin -a read允许安全管理员向审计管理员下发日志路径白名单；执行sudo kysec-mac-addrule -s audit_admin -t * -a none强制审计管理员无法向任何其他主体发起写或执行操作。
第四步：激活MAC策略引擎——执行sudo kysec-mac-enable。此时所有新启动进程将按标签强制校验，违反规则的访问请求会被内核直接拦截并记录到/var/log/kysec/mac_audit.log。
验证三权分立生效状态
切换至userlog账号，执行sudo cat /var/log/syslog | head -n 5——应正常输出日志片段；执行sudo rm /var/log/syslog——应提示Operation not permitted；执行ps aux | grep anquan——应返回空结果（审计账号无权查看其他管理员进程信息）。
切换至anquan账号，执行kysec-mac-listlabels——应显示全部三类标签及其关联用户；执行kysec-mac-listrules——应列出前述三条规则且状态为enabled；执行touch /etc/anquan/test.conf——应成功创建（安全管理员对其主目录拥有完全控制权）。
切换至sys账号，执行kysec-mac-setlabel -u userlog -l system_admin——应报错Permission denied（系统管理员无权篡改审计管理员标签，体现权限不可越界）。
