银河麒麟系统须在SSH、本地终端、图形界面三处同步显示法定警告语方可通过等保2.0审计；SSH需配置/etc/issue.net与sshd_config中Banner路径并重启sshd；tty终端需修改/etc/issue权限为644；GDM3登录框须通过PAM或dconf启用banner-message且重启gdm3。
银河麒麟系统需在SSH登录前、本地终端登录前、图形界面登录框底部三处同时显示含权属声明、授权限定、责任提示的法定警告语，才能通过等保2.0合规性审计。
配置SSH登录前警告标语
这一步必须生效，否则远程登录环节直接判定不合规。编辑SSH服务读取的Banner文件，内容将出现在输入用户名后、密码提示前。
执行命令：sudo nano /etc/issue.net
清空原内容，粘贴合规三要素警告语，例如：
【本系统属于XX市大数据中心所有，受《网络安全法》《数据安全法》保护】
【未经授权访问、使用、修改、传播本系统及其中数据均属违法行为】
【您的所有操作将被完整记录并纳入安全审计范围】
保存退出后，编辑SSH配置文件：sudo nano /etc/ssh/sshd_config
找到#Banner none这一行，删掉#号，并将none改为/etc/issue.net，整行变为：Banner /etc/issue.net
【必须重启sshd服务，否则新Banner永不生效】执行：sudo systemctl restart sshd
设置本地字符终端（tty）登录前提示
Ctrl+Alt+F1～F6打开的黑屏终端也必须显示相同警告，否则审计时会被扣分。该提示由getty进程读取，路径固定为/etc/issue。
运行：sudo nano /etc/issue
删除全部原有内容，粘贴与/etc/issue.net完全一致的三行警告语（不可增减字、不可换行错位）
按Ctrl+O回车保存，Ctrl+X退出。无需重启服务，切换tty或重新连接即可看到效果。
执行命令验证权限：ls -l /etc/issue，输出中应显示-rw-r--r-- 1 root root——若出现w在第二组或第三组，立即执行：sudo chmod 644 /etc/issue
注入图形登录界面底部文字
GDM3登录框底部是唯一能在图形界面登录前稳定展示警告的位置，必须通过PAM模块实现，其他方式（如修改greeter配置）在麒麟U系上不可靠。
方法一：直接写入PAM配置
执行：sudo nano /etc/pam.d/gdm3
在文件末尾新增一行：auth [default=ignore] pam_echo.so "【内部系统 · 仅限授权人员访问】"
引号内文字须控制在30字以内，且必须与前述两处警告语核心意思一致，不能简化为“仅限授权”而省略法律依据。
方法二：启用GDM3原生banner机制（推荐用于等保正式环境）
执行：sudo nano /etc/gdm3/greeter.dconf-defaults
在[org/gnome/login-screen]段落下添加两行：
banner-message-enable=truebanner-message-text='【本系统属于XX市大数据中心所有……】'
注意：第二行单引号内必须为纯文本，不可含换行符；若原文含单引号，需用反斜杠转义。
保存后执行：sudo DCONF_PROFILE=gdm gsettings set org.gnome.login-screen banner-message-enable true
【必须重启gdm3服务，否则登录界面无任何变化】运行：sudo systemctl restart gdm3
