CentOS Stream 运维基线

This content is not available in your language yet.

滚动内容的环境里，「基线」不是「装好哪些软件包」的静态快照，而是一套能持续跟住变化的最小规范。本页先写两条有官方出处的依据，再给账户、服务、日志与监控四块基础项；四块基础项属通用运维整理，不是发行版官方条款。

release notes 是持续更新的

官方下载页写明：CentOS Stream 10 的 release notes 会持续更新，以纳入问题并吸收用户反馈。这句话决定了运维窗口的读法——发布说明不是一次性文档，安排变更前应当复读一次。

补丁来源：官方镜像列表与镜像方式

官方提供 Mirror List 页面，集中列出官方镜像；同一站的 Mirroring content 小节给出镜像方式，用 rsync 从 rsync.stream.centos.org 拉取内容（如整站镜像目标 CentOS-Stream-All、排除源码包的 CentOS-Stream-nosrc、排除 debuginfo 的 CentOS-Stream-nodebug），并说明该主机名由 GeoIP 解析到就近节点。

账户与访问

一人一号：禁止共享账号；需要共用的能力走提权机制，而不是共用凭据；
最小权限：默认不给管理权限，按角色授予并定期复核；
密钥优先：远程登录用密钥或等效的个人凭据，关闭口令直登，并把访问来源限制在必要范围内；
入离绑定：账号的创建、变更、回收与人员变动绑定，回收动作要有记录。

服务与启动

只留必要服务：新机上线先盘一遍监听端口与自启单元，不确定的默认关掉；
变更留痕：自启单元的增删要有记录，避免半年后没人说得清某个服务为什么在跑；
配置入版本库：关键配置放进版本控制，机器坏了能重建，而不是靠记忆恢复；
基线可复制：把上面的结果做成装机后即可套用的清单，可参照新机上线基线清单。

日志与留存

本机先留住：滚动内容环境下的排障常要回溯数天，本机日志的留存周期要按排障需要设定；
集中收集：关键主机的日志送到集中存储，避免机器故障时证据一起丢失；
时间同步：所有主机的时间必须同步，否则跨机日志无法对齐——这是最容易忽略又最影响排障的一项；
留存周期对口合规：留多久取决于你的合规要求，写进基线而不是临时决定。

监控入口

先有健康定义：每台主机至少要有可用性、磁盘、内存、关键进程四项判定口径；
告警要有人接：没有接收人的告警等于没有告警；
把变更纳入观察：窗口前后各观察一段时间，确认没有引入新的异常；
订阅项目动态：项目层面的公告与版本动态，用官方博客订阅入口跟踪，见 CentOS Stream 安全更新跟踪。