跳至主要內容

RHEL 10 中文文档核心速记

大约 18 分钟

RHEL 10 中文文档核心速记

面向复习与选型的高密度摘要。每条都来自对应文档笔记，细节与版本差异请回到独立笔记和官方来源复核。

必记基线

  • 发布基线：RHEL 10 初始内核为 6.12；支持 x86-64-v3、ARMv8.0-A、POWER9 和 IBM Z z14 及以上架构。
  • 软件交付：RHEL 10 不再使用传统模块化内容提供 Application Streams；数据库、语言和工具链主要以带版本名的 RPM 软件包交付。
  • 重大迁移：升级前要重点检查容器网络与运行时、编译器默认行为、存储/文件系统、加密策略、IdM、HA 集群和第三方内核模块。
  • 安全与自动化：SELinux、firewalld/nftables、系统角色、镜像模式和 Red Hat Lightspeed 是贯穿系统管理、网络、安全和部署的重要能力。
  • 使用原则：生产变更前验证应用兼容性等级、生命周期和硬件/驱动支持；已弃用项不要作为新部署基础。

跨文档关键点

  • 规划身份管理：对于所有新的 RHEL 10 IdM 安装，或者拓扑中的另一个 CA 配置了 RSNv3，身份管理(IdM)默认使用 Random Serial Numbers 版本 3 (RSNv3)。因为 RHEL 10 不支持顺序序列号，因此无法禁用它。 笔记
  • 从 RHEL 9 升级到 RHEL 10：根据从合适的数据流所选的配置文件来修复系统： # oscap xccdf eval --profile <profile_ID> --remediate /usr/share/xml/scap/ssg/content/ssg-rhel10-ds.xml 根据您要强化系统哪一部分，将 <profile_ID> 替换为配置文件的 ID。有关 RHEL 10 中支持的配置文件的完整列表，请参阅 RHEL 10 中支持的 SCAP 安全指南配置文件。 警告 如果没有谨慎使用，在启用 --remediate 选项的情况下运行系统评估可能会导致系统无法正常工作。红帽不提供任何自动的方法来恢复由强化安全的… 笔记
  • 迁移到 RHEL 10 上的身份管理：警告 不支持 RHEL 9 IdM 服务器和 IdM 服务器节点到 RHEL 10 的原位升级。 在将 IdM 环境迁移到 RHEL 10 之前，红帽建议首先运行 ipa-healthcheck 来防止问题。 有关在 FIPS 模式下将 RHEL 10 IdM 副本添加到 FIPS 模式的 RHEL 9 IdM 部署的更多信息，请参阅使用 RHEL 10 一节中的身份管理部分。 不支持直接从 RHEL 8 或更早版本迁移到 RHEL 10。要正确更新 IdM 数据，您必须执行增量迁移。 例如，要将 RHEL 8 IdM 环境迁移到 RHEL 10： 从 RHEL 8 服务器迁移到 RHEL … 笔记
  • 安装身份管理：您必须从紧挨着目标版本的 IdM for RHEL 次要版本升级。例如，要升级到 RHEL 10.1 的 IdM,您必须运行 RHEL 10.0 的 IdM。不支持跳过次要版本，可能会导致问题。 另外，如果您使用 RHEL 延长更新支持 (EUS) 订阅，您必须升级到下一个 EUS 版本。例如，如果您在 RHEL 10.0 EUS 上运行 IdM，则可以升级到的下一个支持版本是 RHEL 10.2 EUS。要查找下一个支持的版本，请查看 Red Hat Enterprise Linux 生命周期页。 笔记
  • 自定义 Anaconda：如果您对需要一个位置来在同一磁盘上加载文件的选项使用 LABEL= 指令，请确保 -V 选项的值与镜像的引导装载程序配置匹配。如果您的引导装载程序配置（用于 BIOS 的boot/grub2/grub.cfg 和用于 UEFI 的 EFI/BOOT/grub.cfg ）使用 inst.stage2=LABEL=disk_label 节来从同一磁盘加载安装程序的第二阶段，则磁盘标签必须匹配。 重要 在引导装载程序配置文件中，将磁盘标签中的所有空格替换为 \x20。例如，如果您创建了一个带有 RHEL 10.0 标签的 ISO 镜像，则引导装载程序配置应使用 RHEL\x2010.0。 笔记
  • 安装和使用动态编程语言：在 Red Hat Enterprise Linux 10 中，您可以使用 Apache HTTP 服务器将 PHP 作为 FastCGI 进程服务器运行。作为替代 PHP FastCGI 守护进程，您可以使用 FastCGI Process Manager (FPM)来管理高网站负载。PHP 默认在 RHEL 10 中使用 FastCGI 进程管理器。 笔记
  • 以交互方式从安装介质安装 RHEL：重要 在 RHEL 10 中，国防信息系统局(DISA)安全技术实施指南(STIG)和其他安全配置文件不会在第一次引导时自动启用联邦信息处理标准(FIPS)模式。要保持 FIPS 兼容，您必须在安装前手动启用 1FIPS 模式。您可以通过添加 fips=1 内核引导选项，也可以使用明确启用 FIPS 的 Kickstart 配置来实现它。如果在安装开始前没有启用 FIPS，使用这些安全配置集构建的系统可能不兼容，用户可能会意外部署不合规的系统。为了避免合规问题，请确保在引导阶段启用了 FIPS，然后再启动图形或基于文本的安装程序。如需更多信息，请参阅 将 RHEL 切换到 FIPS 模式。 笔记
  • 10.0 发行注记：runc 容器运行时已删除。默认容器运行时是 crun。如果您从以前的 RHEL 版本升级到 RHEL 10.0，您必须运行 podman system migrate --new-runtime=crun 命令，来为所有容器设置新的 OCI 运行时。 笔记
  • 配置和使用网络文件服务：必须在可信 AD 域中禁用 Kerberos 的数据加密标准(DES)和 RC4 加密类型。为了安全起见，RHEL 10 不支持这些弱加密类型。 笔记
  • 准备安装和管理 RHEL for Edge 镜像：从 RHEL 10 及更高版本开始，RHEL 镜像构建器不再支持为 Edge 优化的自定义 RHEL rpm-ostree 镜像。要作为 RHEL 10 的一部分为 Edge 环境创建新的 RHEL 镜像，您必须使用 RHEL 的镜像模式。 笔记
  • 10.1 发行注记：如果您使用 cloud-init 默认配置部署 RHEL 9.6，并使用 sysconfig 作为默认网络配置目录，则 sysconfig 配置文件不支持 RHEL 10.0 的 ifcfg 传统格式。因此，当从 RHEL 9.6 升级到 RHEL 10.0 时，对于旧的网络配置文件（如 ifcfg- <enp1s0>）, leapp 升级失败。 笔记
  • 10.0 发行注记：在 RHEL 9 中弃用的 kexec_load 系统调用已删除。在 RHEL 10 中，kexec_file_load 系统调用替换了 kexec_load，且是所有构架上的默认系统调用。另外，安全引导需要 kexec_file_load。 笔记
  • 在身份管理中使用外部的红帽实用程序：在可信 AD 域中必须禁用 Kerberos 的 DES 和 RC4 加密类型。为了安全起见，RHEL 10 不支持这些弱加密类型。 笔记
  • 管理监控和更新内核：重要 默认情况下，RHEL 10 挂载并使用 cgroups-v2。 笔记
  • 从 RHEL 9 升级到 RHEL 10：重要 您可以只执行一个从主 RHEL 版本到下一个连续版本的原位升级，例如：从 RHEL 8 升级到 RHEL 9，或从 RHEL 9 升级到 RHEL 10。如果要跨多个版本（如从 RHEL 8 升级到 RHEL 10）升级系统，您必须执行多个原位升级，才能达到您的目标版本。 笔记
  • 迁移到 RHEL 10 上的身份管理：重要 如果您的环境与 Active Directory (AD)信任，并使用公钥加密 Initial Authentication (PKINIT)，请注意 RHEL 10 默认禁用 SHA-1。较旧版本的 AD 需要用于 PKINIT 的 SHA-1。 如果您要与 Windows Server 2025 旧的 AD 环境集成，您必须在 RHEL 10 服务器上设置 LEGACY 加密策略，以允许 PKINIT 正常工作： # update-crypto-policies --set LEGACY Windows Server 2025 及更新的版本支持 SHA-2，因此不需要 LEGACY… 笔记
  • 配置和管理 Linux 虚拟机：重要 在 RHEL 10 中，pc-i440fx-rhel7.6.0 和更早的机器类型（其在以前的 RHEL 主版本中是默认的）不再被支持。因此，在 RHEL 10 主机上尝试启动此类机器类型的虚拟机会失败，并显示 unsupported configuration 错误。如果您在将主机升级到 RHEL 10 后遇到这个问题，请参阅红帽知识库解决方案 以前可以与 RHEL 9 及更新版本的 hypervisor 一起工作的无效的虚拟机。 笔记
  • 配置和管理 Windows 虚拟机：重要 在 RHEL 10 中，pc-i440fx-rhel7.6.0 和更早的机器类型（在以前的 RHEL 主版本中是默认的）不再被支持。因此，在 RHEL 10 主机上尝试启动此类机器类型的虚拟机会失败，并显示 不被支持的配置错误。如果您在将主机升级到 RHEL 10 后遇到这个问题，请参阅红帽知识库解决方案 Invalid 用于 RHEL 9 及更新版本的 hypervisor 的虚拟机。 笔记
  • 管理监控和更新内核：注意 cgroups-v1 支持被 systemd 弃用，因此 cgroup-v1 将从以后的 Red Hat Enterprise Linux 10 版本中删除。在以后的 RHEL 10 版本中必须使用 cgroups-v2。 笔记
  • 10.1 发行注记：64 位 ARM 架构(ARMv8.0-A) 重要 对于 64 位 ARM 架构，只有运行 4k 页大小内核的系统上才支持原位升级。如果系统使用 64k 页大小内核引导，Leapp 不支持原位升级。 笔记
  • 配置和管理 Windows 虚拟机：操作系统（OS）安装源可存在于本地或者网络中。可以是以下格式之一： 安装介质的 ISO 镜像 现有虚拟机安装的磁盘镜像 警告 在 RHEL 10 中无法从主机 CD-ROM 或者 DVD-ROM 设备安装。如果您在使用 RHEL 10 中的任何虚拟机安装方法时选择了 CD-ROM 或者 DVD-ROM 作为安装源，则安装将失败。如需更多信息，请参阅红帽知识库解决方案 RHEL 7 或更高版本无法从 CD/DVD-ROM 安装客户机操作系统。 笔记
  • 配置和管理 Linux 虚拟机：操作系统（OS）安装源可存在于本地或者网络中。可以是以下之一： 安装介质的 ISO 镜像 现有虚拟机的磁盘镜像。此类磁盘镜像也可以从 bootc 容器创建。具体步骤请参阅 使用 bootc-image-builder 创建 QEMU 磁盘镜像。 警告 无法在 RHEL 10 中从主机 CD-ROM 或者 DVD-ROM 设备安装。如果您在使用 RHEL 10 中的任何虚拟机安装方法时选择了 CD-ROM 或者 DVD-ROM 作为安装源，则安装会失败。如需更多信息，请参阅 RHEL 7 或更高版本无法从 CD/DVD-ROM （红帽知识库）安装客户机操作系统。 另请注意，红帽只对 一组有限的… 笔记
  • 配置防火墙和数据包过滤器：创建一个空集。以下示例为 IPv4 地址创建了一个集合： 要创建可存储多个独立 IPv4 地址的集合： # nft add set inet example_table example_set { type ipv4_addr ; } 要创建可存储 IPv4 地址范围的集合： # nft add set inet example_table example_set { type ipv4_addr ; flags interval ; } 重要 要防止 shell 将分号解释为命令结尾，您必须使用反斜杠转义分号。 笔记
  • 以交互方式从安装介质安装 RHEL：单击 Add iSCSI target。此时会打开 Add iSCSI Storage Target 窗口。 重要 您不能将/boot 分区放置在通过此方法手动添加的 iSCSI 目标上。必须配置一个包含 /boot 分区的 iSCSI 目标，才能与 iBFT 一起使用。但如果已安装的系统需要从 iSCSI 启动，而其 iBFT 配置并非由固件 iBFT 提供，则无此限制。例如，通过使用 iPXE，您可以使用 inst.nonibftiscsiboot 安装程序引导选项删除 /boot 分区限制。 在 Target IP Address 字段中输入 iSCSI 目标的 IP 地址。 在 iS… 笔记
  • 通过网络以互动方式安装 RHEL：单击 Add iSCSI target。此时会打开 Add iSCSI Storage Target 窗口。 重要 您不能使用此方法将 /boot 分区放在已手动添加的 iSCSI 目标上。必须配置一个包含 /boot 分区的 iSCSI 目标，才能与 iBFT 一起使用。但是，如果安装的系统应该从由固件 iBFT 以外的方法提供的 iBFT 配置的 iSCSI 启动。例如，通过使用 iPXE，您可以使用 inst.nonibftiscsiboot 安装程序引导选项删除 /boot 分区限制。 笔记
  • 安全强化：对于 HTTPS 协议形式的安全通信，Apache HTTP 服务器(httpd)使用 OpenSSL 库。OpenSSL 本身不支持 PKCS #11 。要使用 HSM，您必须安装 pkcs11-provider 软件包，该软件包提供对 PKCS #11 模块的访问。您可以使用 PKCS #11 URI 而不是常规文件名在 /etc/httpd/conf.d/ssl.conf 配置文件中指定服务器密钥和证书，例如： 笔记
  • 安装身份管理：该脚本提示输入一些必需的设置，并在括号中提供推荐的默认值。 要接受默认值，请按 Enter 键。 要提供自定义值，请输入所需的值。 Server host name [server.idm.example.com]: Please confirm the domain name [idm.example.com]: Please provide a realm name [IDM.EXAMPLE.COM]: 警告 仔细规划这些名称。安装完成后您将无法更改它们。 笔记
  • 配置防火墙和数据包过滤器：加载 xdp-filter 来处理特定接口上传入的数据包，如 enp1s0 ： # xdp-filter load enp1s0 默认情况下，xdp-filter 使用 allow 策略，并且工具只丢弃与任何规则匹配的流量。 可选： 使用 -f <feature& gt; 选项来只启用特定的功能，如 tcp、ipv4 或 ethernet。仅加载所需的功能而不是全部功能，可以提高数据包处理的速度。要启用多个功能，使用逗号分隔它们。 如果该命令出错，则网络驱动程序不支持 XDP 程序。 笔记
  • 管理 IdM 中的证书：将 CA 配置添加到 certmonger ： [root@client.idm.example.com ~]# getcert add-scep-ca -c SCEP_example -u SCEP_URL -c: CA 配置的强制别名。稍后可以将相同的值用于其他 getcert 命令。 -u:服务器的 SCEP 接口的 URL。 重要 使用 HTTPS URL 时，还必须使用 -R 选项指定 SCEP 服务器 CA 证书的 PEM 格式的副本的位置。 笔记
  • 与命令行助手进行交互：警告 当前已知的问题和限制： 您可能会遇到获得在容器中工作的 SSH 身份验证问题，特别是 Docker，因为它不支持用户命名空间映射。要解决这个问题，SSH 密钥文件必须由容器主机上的 UID 1001 所有。 当您在容器中为 RHEL 运行 MCP 服务器时，它因为容器隔离而无法检查本地系统。 笔记
  • 配置和管理逻辑卷：警告 定期监控快照的存储使用情况非常重要。如果快照达到其分配空间的 100%，则它将无效。 必须在完全填满快照之前扩展快照。这可以通过使用 lvextend 命令手动完成，也可以使用 /etc/lvm/lvm.conf 文件自动完成。 笔记
  • 安全强化：警告 默认配置的 RHEL 系统支持自动安全补救功能。修复安装后更改的系统可能会导致系统无法使用所需的安全配置集运行或不合规。红帽不提供任何自动的方法来恢复由安全强制补救所做的更改。 在对生产环境系统应用之前，测试补救的影响。 笔记
  • 规划身份管理：警告 如果您丢失了具有 CA 的所有服务器，则将丢失所有 CA 配置，而没有恢复的可能。在这种情况下，您必须配置一个新的 CA，并发布和安装新证书。 笔记
  • 通过网络以互动方式安装 RHEL：警告 如果选择不安装引导装载程序，则不能直接引导系统，而且必须使用另外一种引导方法，如独立的商业引导装载程序应用程序。只有在您有其它引导系统的方法时才使用这个选项。 笔记
  • 配置和管理网络：可选：将密码存储在配置中： # nmcli connection modify wlp1s0 802-1x.password <password> 重要 默认情况下，NetworkManager 在 /etc/sysconfig/network-scripts/keys-connection_name 文件中以纯文本形式存储密码，该文件只对 root 用户可读。但是，配置文件中的纯文本密码可能会造成安全风险。 要提高安全性，请将 802-1x.password-flags 参数设置为 agent-owned。使用这个设置，在具有 GNOME 桌面环境或运行 nm-applet 的服务器上，N… 笔记
  • 自动安装 RHEL：可选：要将 Kickstart 文件存储在 HTTPS 上，请安装 httpd 和 mod_ssl 软件包： # dnf install httpd mod_ssl 重要 如果您使用带有自签名证书的 HTTPS 服务器，则必须使用 inst.noverifyssl 选项引导安装程序。 笔记
  • 使用 SELinux：确保在下次重启时重新标记文件： # fixfiles -F onboot 这会创建包含 -F 选项的 /.autorelabel 文件。 警告 进入 fixfiles -F onboot 命令前，始终切换到 permissive 模式。 默认情况下，autorelabel 尽可能并行使用与系统可用 CPU 核数一样多的线程。要在自动重新标记过程中只使用单个线程，请使用 fixfiles -T 1 onboot 命令。 笔记
  • 管理文件系统：如果设备是常规分区、LVM 卷、MD 卷、磁盘或者类似的设备，请使用以下命令： # mkfs.xfs block-device 注意 最小 XFS 文件系统大小为 300 MB。mkfs.xfs 不支持创建较小的文件系统，以防止性能和冗余问题。 使用到块设备的路径替换 block-device。例如：/dev/sdb1、/dev/disk/by-uuid/05e99ec8-def1-4a5e-8a9d-5945339ceb2a 或 /dev/my-volgroup/my-lv。 一般情况下，默认选项是常见用途的最佳选择。 当在包含现有文件系统的块设备上使用 mkfs.xfs 时，请添加 -f… 笔记
  • 使用 systemd 单元文件自定义和优化您的系统：如果修改后的单元文件属于一个正在运行的服务，重启该服务： # systemctl restart <name>.service 重要 要修改由 SysV initscript 处理的服务属性，如依赖项或超时，请不要修改 initscript。反之，为服务创建一个 systemd 置入配置文件。详情请参阅扩展默认单元配置 和 覆盖默认单元配置。 要像普通 systemd 服务一样管理服务，请创建一个新目录 /etc/systemd/system/network.service.d/ 和 systemd 置入文件 /etc/systemd/system/network.service.d/<ex… 笔记
  • 配置和使用 CUPS 打印服务器：使用 lpadmin 工具 或 Web 界面 将打印队列添加到所有 CUPS 实例中。如果使用 Web 界面，请确保在添加打印机时选择 Share this printer 选项。lpadmin 工具默认启用此设置。 重要 对于高可用性场景，一个打印服务器上的每个队列都需要一个在其他服务器上具有完全相同的队列名称的队列。您可以使用 lpstat -e 命令显示每个服务器上的队列名称。 可选：您可以在每台服务器上配置队列，来引用不同的打印机。 笔记
  • 构建、运行和管理容器：使用 podman 时，您不能使用 docker 命令中提供的一些选项，包括 network、node、secret、service、stack 和 swarm。您也不能使用 plugin 选项，因为 Podman 不支持插件。如果要使用 Podman 重命名容器，则必须使用 rm，然后使用 create 而不是 rename 选项。您直接在 Podman 中运行子命令，而不是使用容器和镜像选项。 笔记
  • 自动安装 RHEL：文本模式安装中不支持某些语言（比如中文、日语、韩文和印度的语言）。如果您使用 lang 命令指定这些语言中的一种，安装过程将继续使用英语，但安装的系统会使用您选择的语言作为其默认语言。 笔记

主题导航

主题建议先读
新版本变化与升级评估10.2/10.1/10.0 发行注记、采用 RHEL 10 时的注意事项、从 RHEL 9 升级到 RHEL 10
安装与自动部署交互安装、网络安装、自动安装、自定义 Anaconda、镜像构建、Edge 镜像
日常系统管理DNF、systemd、内核、时间同步、性能监控、Web 控制台、GNOME、打印、数据库和基础服务
安全与网络安全强化、SELinux、防火墙/包过滤、安全网络、备份恢复、网络配置与排障
身份管理IdM 规划/安装/证书/信任/DNS/复制/灾难恢复、AD 集成、认证授权、智能卡、Vault
存储与集群文件系统、NFS、块存储、LVM、Multipath、VDO、Pacemaker 高可用集群
容器与虚拟化Podman/Buildah/Skopeo、RHEL 镜像模式、Linux/Windows KVM 虚拟机
云与应用开发cloud-init、AWS/GCP/Azure、C/C++、Python/PHP、RPM 打包