必须将银河麒麟V10设为KYSEC strict模式以满足等保三级等高安全要求，该模式启用三员分立、MAC和白名单机制；通过kysec_get -s查看状态，mode: strict表示已启用；推荐用security-switch --setstrict重启启用，或手动写入kysec.strict=1至GRUB配置并更新后重启；生效后需验证mode、三员账户及未签名程序执行被拒。
当你在银河麒麟V10系统中需满足等保三级、涉密信息系统或高安全等级业务场景要求时，必须将系统安全级别设为强安全模式（即KYSEC strict模式），该模式启用三员分立、强制访问控制（MAC）、执行白名单等核心机制，关闭后普通用户无法绕过策略执行高危操作。
确认当前安全模式状态
打开终端，执行以下命令查看当前KYSEC运行状态：
kysec_get -s
若输出中显示mode: Normal 或 mode: Warning，说明尚未启用强安全模式；若已显示strict，则无需继续操作。注意：【执行此命令必须使用root权限，普通用户会提示Permission denied】。
启用strict强安全模式
方法一：使用security-switch工具（推荐，适用于V10 SP3及以上）
在root终端中依次执行：
security-switch --setstrict
reboot
该命令会自动配置KYSEC内核模块参数、启用三员账户体系、禁用非白名单进程加载，并重置审计日志路径。重启后系统将强制启用MAC策略，所有未签名或未授权的二进制文件默认拒绝执行。
方法二：手动写入内核安全参数（兼容SP1/SP2）
执行：
echo "kysec.strict=1" > /etc/default/grub.d/kysec.cfg
update-grub
reboot
这一步直接向GRUB传递内核启动参数，绕过用户空间服务依赖。但注意：若系统已启用Secure Boot且未导入自定义密钥，该参数可能被固件拦截，此时需先在UEFI中临时禁用Secure Boot再执行。
验证strict模式是否生效
第一步：重启进入系统后，以root身份运行：
kysec_get -s | grep -E "mode|strict"
第二步：检查三员账户是否存在：
getent passwd sysadm secadm auditadm
第三步：尝试运行一个未签名的Shell脚本（如touch /tmp/test.sh && chmod +x /tmp/test.sh && /tmp/test.sh），若返回“Operation not permitted”且dmesg中出现“kysec: exec denied”日志，则strict模式已真实生效。
