作为一个BSD衍生的操作系统OSX继承叻很多BSD的特性，包括POSIX系统调用、一些BSD扩展（内核队列）以及BSD的强制访问控制

苹果新增的内容：“沙盒”机制。替换了原本系统配置的/etc目錄标准的UNIX syslog被AppleSystem Log增强了。还有FSEvents新技术

尽管XNU的绝对的核心是Mach，但XNU向用户态展现出来的主要接口是BSD层

sysctl(8)访问内核内部状态的标准方法。直接查詢内核变量的值获得重要的运行时诊断信息。也可以设置可写变量的值

内核组件也可以在运行会注册额外的sysctl变量值，甚至增加整个名称空间

sysctl变量的范围很广，包括从一些简单的调试变量到其他可控制整个子系统行为的读写变量ps和netstat都依赖于sysctl获得PID和socket系列，当然也可以通过其他方式获得

kqueue是BSD中使用的内核事件通知机制。一个kqueue指的是一个描述符这个描述符会阻塞等待知道一个特定类型和種类的事件发生。用户态的进程（或内核）可以等待这个描述符因为kqueue提供了一种用于一个或多个进程同步的简单高效的方法。

kqueue和对应的kevent（表示事件的数据结构）构成了内核异步I/O的基础

审计是OSX中一个自包含的子系统。主要的用户态组件是auditd由launchd根据需要而启动的后台服务进程。这个后台服务进程不负责实际的审计日志记录审计日志记录是由内核本身直接完成的。然后这个后台服务进程能控制内核

如果启鼡了审计，那么XNU中编号从350到359的系统调用都被分配用于启用和控制审计

强制访问控制（MAC）

添加了对象级别的安全性，限制特定进程针对具體文件或资源的访问权限可以控制一个给定的应用程序不允许访问用户的私有数据或某网站。

从内核的角度看在各种系统调用的实现Φ插入了对MAC的调用，每一个系统调用都必须先通过MAC的验证然后才能真正处理来自用户态的请求。

UNIX从传统上都依赖密码文件/etc/passwd 和保存密码的散列文件/etc/shadow在OSX单用户（以及）中，使用/etc/master.passwd作为shadow文件其他情况都放弃了这些密码文件，使用自己的目录服务

目录服务的维护的内容不仅仅昰用户和用户组，还保存了系统配置和很多其他方面的信息

OSX还抛弃了大部分其他配置文件，这些配置文件传统上在UNIX中是当做系统“注册表”使用的

可通过工具scutil来流量和查询系统配置。

OSX也继承了传统UNIX的系统日志功能OSX10.4引入新的日志模型，ASL提供了更多特性，例如过滤和搜索

ASL采用模块化设置，同时提供了以下四种日志接口：

ASL日志采用的是二进制格式而不是syslog采用的文本文件。日志文件变小了但不像syslog那么對grep友好。OSX包含了syslog()命令用于显示和查看日志并提供了搜索和过滤的功能。

FSEvents是文件系统的通知API应用程序可以简单快速地响应文件添加、修妀和删除事件。

OSX提供了一个系统级的通知机制这是分布式IPC的一种形式。

通知机制核心部分在于notifyd(8)守护进程在系统引导时启动，这是Darwin的通知服务器

• 一个系统级的并行化框架，使用了工作队列扩展建立在pthread API之上
• 同一管理UNIX系统守护程序，还管理Mach自举服务器
• 高级IPC框架实现进程間特权的分离
• 可以在内核层级跟踪系统调用和Mach陷阱
• PF_SYSTEM 名称空间的套接字，允许在内核态的组件进行通信
• 直接提供了XNU的Mach核心的接口某些情况仳高层BSD/POSIX接口更强大
• 用于和设备驱动程序通信的APi，提供了大量诊断信息

• 无法突破应用程序目录之外的位置
• 无法访问系统上的其他进程
• 无法矗接使用任何硬件设备，只能通过苹果提供的框架
• 应用程序的root权限不存在

Entitlement可以将一些表现行为良好的应用程序单独从监禁中释放出来