一、實驗目的
1. 熟悉安勝安全操作系統的運行環境
2. 熟悉安勝安全操作系統基本安全機制的工作原理
二、實驗內容
1．參考用戶手冊，熟悉常用的安全管理命令
2．自己設計測試案例，以展現以下安全機制的工作原理：
（1）自主訪問控制機制
（2）強制訪問控制機制
（3）基於角色訪問控制
（4）可信路徑機制
（5）審計機制（可選）
三、實驗過程、結果
（1）自主訪問控制機制
創建三個用戶：
useradd user1
useradd user2
useradd user3在user1下創建一個文件並設置其權限：
touch/tmp/user1_file
echo aaa >/tmp/user1_file
chmod 700 /tmp/user1_file在user1下讀取/tmp/user1_file，成功，如下圖所示：
vi/tmp/user1_file
在user2下讀取/tmp/user1_file，失敗，如下圖所示：
vi /tmp/user1_file
分析
這是由於文件user1_file設置的是700權限，即只有文件屬主user1具有讀、寫、執行權限，其他普通用戶都沒有權限，因此user1讀取文件成功，而user2讀取文件失敗。
（2）強制訪問控制機制
首先DAC機制設爲允許全部用戶訪問
chmod 777 /tmp/user1_file設置user1_file文件安全級爲USER_LOGIN
setlevel USER_LOGIN/tmp/user1_file
設置user1的安全級爲USER_LOGIN
usermod –h USER_LOGINuser1
設置user2的安全級爲USER_PUBLIC
usermod –hUSER_PUBLIC user2
在user1下（安全級爲USER_LOGIN）讀取/tmp/user1_file，成功，如下圖所示：
vi/tmp/user1_file
在user2下（安全級爲USER_PUBLIC）讀取/tmp/user1_file，失敗，如下圖所示：
vi /tmp/user1_file
分析
這是由於文件user1_file設置安全級是USER_LOGIN，用戶user1登錄的安全級是USER_LOGIN，與文件安全級一致，而用戶user2登錄的安全級是USER_PUBLIC，低於文件的安全級，因此user1讀取文件成功，而user2讀取文件失敗。
（3）基於角色訪問控制
爲用戶user1設置角色SSO，user2的默認角色爲AUDIT
roleadmin -muser1:SSO在user1下讀取/tmp/user1_file的安全級，成功，如下圖所示：
/sbin/getlevel/tmp/user1_file
在user2下讀取/tmp/user1_file的安全級，失敗，如下圖所示：
/sbin/getlevel/tmp/user1_file
分析
這是由於，用戶user1的角色爲SSO，SSO角色可以執行getlevel命令，而用戶user2的角色爲AUDIT，AUDIT角色不可以執行getlevel命令，因此user1執行getlevel查看安全級成功，而user2執行getlevel查看安全級失敗。
（4）可信路徑機制
按下（CTRL+PAUSE）鍵，會打開登錄界面，這個登錄界面爲其同TCB間的通信提供了一個可信的通路。一旦有鍵盤出入，系統將陷入核心予以解釋，並將結果送給等待鍵盤輸入的用戶進程。比如，（CTRL+PAUSE）鍵被點擊，核心進程首先將其截獲，解釋後激活可信通路。即殺死當前終端的所有用戶進程，重新激活登錄界面。由此我們可以放心的輸入合法的用戶名及password，絕不可能有什麼特洛伊木馬了。即使在點擊（CTRL+PAUSE）鍵之前真的是一個僞造的很好的特洛伊，那麼點擊後它也會被核心所殺死。
（5）審計機制（可選）
輸入命令adtview，打開日誌查看工具。
用戶可以順序瀏覽審計記錄，或者指定查詢條件查詢審計文件。在查詢或瀏覽之前，用戶需要指定審計文件，缺省的審計文件存放在/var/audit下，並且以“pnode”或者“anode”結尾的文件。
選擇文件之後，用戶將看到匹配的審計記錄列表，並附有此審計文件的版本信息以及記錄摘要：
當選擇指定的記錄並按回車鍵，用戶將看到此記錄的詳細描述：
用戶還可以將審計查詢結果作爲文本文件輸出，輸出的文件已經作爲格式化的文件方便用戶查看。
四、實驗總結
實驗收穫
學到了很多訪問控制方面的只是，也進一步熟悉了安勝操作系統的命令用法。
總結實驗過程中遇到的問題及解決方法
安全級設置那部分命令較多，不知道是否執行成功，這時候可以用以下命令查看user1的安全級信息
ia_userinfouser1遇到錯誤的話需要先運行授權命令
user_auth user1再用以下命令驗證是否正確
ia_verify –uuser1總結實驗的不足之處，以及進一步的改進措施
對安勝操作系統的命令還不夠熟練，需要進一步操作。
