装完先做的十分钟

适用：CentOS Stream 9 / 10 新装机 · 核对日：2026-11-01 · 实测边界：仓库与配置类动作在容器实测；systemctl 相关命令为标准用法，实机首启核对见对应深度页。

装完系统别急着装软件。前十分钟做五件事：确认版本线 → 拉齐更新 → 定仓库策略 → 换上密钥登录 → 确认时间同步。每件事本站都有独立深度页，本页给顺序和判断标准。

1. 确认装在哪条线上、仓库长什么样

确认版本与仓库

$ cat /etc/centos-release
$ dnf repolist

预期输出（实测摘录）：

CentOS Stream release 9
...
baseos               CentOS Stream 9 - BaseOS
appstream            CentOS Stream 9 - AppStream

看两件事：发布线（9 还是 10，决定 EOL 与后续升级路径，对照版本与支持）与仓库数量（新机默认两条；如果装机时用了国内镜像或 ks 预配置，这里会不同）。

2. 拉齐更新

$ sudo dnf -y update && sudo systemctl reboot

重启回来后 uname -r 确认内核已更新。ISO 的构建日期（镜像站上可见，如 20261023.1）到装机当天之间仓库一直在滚动，这一步把系统拉到当前状态——后续排障时「系统是否最新」是排查前提。更新的仓库层细节见滚动更新排障。

3. 定仓库策略（要不要 EPEL）

• 只用系统包：什么都不做，保持 baseos + appstream；
• 需要第三方常用包（htop、更多 CLI 工具）：按顺序启用 CRB 与 EPEL——dnf config-manager --set-enabled crb && dnf install epel-release，顺序不能反；
• 在意与 RHEL 一致性：装完 EPEL 后把 epel-next 关掉（Stream 特有仓库，针对下一个点版本构建）。

完整流程与 EPEL Next 的取舍见EPEL 与 EPEL Next；国内下载慢先做镜像切换。

4. 换上密钥登录

第一优先级的安全动作：部署公钥 → 验证密钥登录 → 关闭口令登录 → 用「密码被拒」对照验证。完整六步流程（含权限与 drop-in 优先级的坑）见SSH 密钥登录。装机时若用了 Kickstart 且 rootpw --lock，root 口令本就不可用，此步是给普通管理账号补密钥。

5. 确认时间同步

$ timedatectl        # NTP service 应为 active
$ grep ^pool /etc/chrony.conf

预期：pool 2.centos.pool.ntp.org iburst（默认池，两代一致）。云环境通常有更近的内网 NTP（用镜像提供方或云厂商的源替换）；完全离线的环境需要指定一台内网时钟源，否则漂移会陆续破坏 TLS 校验与日志时序。

十分钟之后

• 逐日：关注更新节奏，Stream 的滚动特性决定了「攒很久不更新」比固定版本发行版更危险，见安全更新跟踪；
• 本周：把常用服务装齐并用容器/快照验证过备份路径；
• 长期：Stream 9 的 EOL 跟随 RHEL 9 全支持期（2027-05），提前规划升级路径见大版本升级。

注意

实验性注意：Stream 是 RHEL 的上游开发线，把生产系统直接放在 Stream 上意味着接受「点版本内容会提前变化」这一特性。对稳定性要求高的负载，认真评估Stream 是什么里的定位说明。

常见问题

现象	原因	处理
dnf update 报仓库错误	装机时写入的镜像不可达	按镜像切换页核对 baseurl；回滚到官方 metalink
重启后起不来	更新引入的驱动/引导问题	救援介质进旧内核，查启动排障
chrony 一直不同步	默认池不可达（内网/离线）	换内网 NTP 源或允许出网 123/UDP
EPEL 装不上	没先启用 CRB	先 --set-enabled crb

相关页

• 安装 CentOS Stream — 装机流程
• 仓库与滚动内容 — 仓库体系全景
• 运维基线 — 十分钟之后的系统性清单
• 大版本升级 — 9 → 10 的路径