管理、监控和更新内核

流程

1. 列出软件包的可用版本：

   $ dnf repoquery <package_name>

   Copy to Clipboard Toggle word wrap

2. 显示软件包中的文件列表：

   $ dnf repoquery -l <package_name>

   Copy to Clipboard Toggle word wrap

流程

1. 要更新内核，请输入以下命令：

   # dnf upgrade kernel

   Copy to Clipboard Toggle word wrap

   此命令将内核以及所有依赖项更新至最新可用版本。

2. 重启您的系统以使更改生效。

   如需更多信息，请参阅您系统上的 dnf (8) 手册页。

流程

1. 确定系统架构：

   # uname -r
   6.12.0-55.9.1.el10_0.x86_64

   Copy to Clipboard Toggle word wrap

   在这个输出中，x86_64 表示 64 位 Intel 或 AMD 架构。

2. 检查默认页面大小：

   # getconf PAGE_SIZE
   4096

   Copy to Clipboard Toggle word wrap

   在 x86_64 系统上，输出为 4096 B，这意味着默认的页面大小为 4 KB。

   在 ppc64le 系统中，输出为 65536 B，这意味着默认的页面大小为 64 KB。

流程

1. 选择您要载入的内核模块。

   模块位于 /lib/modules/$(uname -r)/kernel/<SUBSYSTEM>/ 目录中。

2. 载入相关内核模块：

   # modprobe <MODULE_NAME>

   Copy to Clipboard Toggle word wrap
   注意

   在输入内核模块的名称时，不要将 .ko.xz 扩展附加到名称的末尾。内核模块名称没有扩展名，它们对应的文件有。

流程

1. 列出所有载入的内核模块：

   # lsmod

   Copy to Clipboard Toggle word wrap

2. 选择要卸载的内核模块。

   如果内核模块有依赖项，请在卸载内核模块前卸载它们。有关识别使用依赖项的模块的详情，请参阅列出当前载入的内核模块和内核模块依赖项。

3. 卸载相关内核模块：

   # modprobe -r <MODULE_NAME>

   Copy to Clipboard Toggle word wrap

   在输入内核模块的名称时，不要将 .ko.xz 扩展附加到名称的末尾。内核模块名称没有扩展名，它们对应的文件有。

流程

1. 将系统启动到引导装载程序中。
2. 使用光标键突出显示相关的引导装载程序条目。
3. 按 e 键编辑条目。
4. 使用光标键导航到以 linux 开头的行。

5. 将 modprobe.blacklist=module_name 附加到行尾。

   serio_raw 内核模块演示了一个要在引导过程早期卸载的恶意模块。

6. 按 Ctrl+X 使用修改后的配置启动。

步骤

1. 选择您要在引导过程中载入的内核模块。

   模块位于 /lib/modules/$(uname -r)/kernel/<SUBSYSTEM>/ 目录中。

2. 为模块创建配置文件：

   # echo <MODULE_NAME> > /etc/modules-load.d/<MODULE_NAME>.conf

   Copy to Clipboard Toggle word wrap
   注意

   在输入内核模块的名称时，不要将 .ko.xz 扩展附加到名称的末尾。内核模块名称没有扩展名，它们对应的文件有。

验证

1. 重启后，验证相关模块是否已载入：

   $ lsmod | grep <MODULE_NAME>

   Copy to Clipboard Toggle word wrap
   重要

   重启系统后，这个过程中描述的更改将会保留。

   详情请查看您系统上的 modules-load.d (5) 手册页。

流程

1. 使用 lsmod 命令列出载入到当前运行的内核的模块：

   $ lsmod
   Module                  Size  Used by
   tls                   131072  0
   uinput                 20480  1
   snd_seq_dummy          16384  0
   snd_hrtimer            16384  1
   …

   Copy to Clipboard Toggle word wrap

   在输出中，识别您要防止加载的模块。

   • 或者，识别您要防止在 /lib/modules/<KERNEL-VERSION>/kernel/<SUBSYSTEM>/ 目录中加载的而未加载的内核模块，例如：

     $ ls /lib/modules/6.12.0-55.9.1.el10_0.x86_64/kernel/crypto/
     ansi_cprng.ko.xz        chacha20poly1305.ko.xz  md4.ko.xz               serpent_generic.ko.xz
     anubis.ko.xz            cmac.ko.xz…

     Copy to Clipboard Toggle word wrap

2. 创建一个配置文件作为 denylist ：

   # touch /etc/modprobe.d/denylist.conf

   Copy to Clipboard Toggle word wrap

3. 在您选择的文本编辑器中，使用 blacklist 配置命令将您要从自动加载到内核中排除的模块的名称组合在一起，例如：

   # Prevents <KERNEL-MODULE-1> from being loaded
   blacklist <MODULE-NAME-1>
   install <MODULE-NAME-1> /bin/false
   
   # Prevents <KERNEL-MODULE-2> from being loaded
   blacklist <MODULE-NAME-2>
   install <MODULE-NAME-2> /bin/false
   …

   Copy to Clipboard Toggle word wrap

   因为 blacklist 命令不会阻止模块作为不在 denylist 中的另一个内核模块的依赖项加载，所以您还必须定义 install 行。在这种情况下，系统运行 /bin/false，而不是安装模块。以哈希符号开头的行是注释，您可以用来使文件更易读。

   注意

   在输入内核模块的名称时，不要将 .ko.xz 扩展附加到名称的末尾。内核模块名称没有扩展名，它们对应的文件有。

4. 在重建前，创建当前初始 RAM 磁盘镜像的一个备份副本：

   # cp /boot/initramfs-$(uname -r).img /boot/initramfs-$(uname -r).bak.$(date +%m-%d-%H%M%S).img

   Copy to Clipboard Toggle word wrap

   • 或者，创建与您要阻止内核模块自动载入的内核版本对应的初始 RAM 磁盘镜像的一个备份副本：

     # cp /boot/initramfs-<VERSION>.img /boot/initramfs-<VERSION>.img.bak.$(date +%m-%d-%H%M%S)

     Copy to Clipboard Toggle word wrap

5. 生成一个新的初始 RAM 磁盘镜像以应用更改：

   # dracut -f -v

   Copy to Clipboard Toggle word wrap

   • 如果您为与您系统当前使用的内核版本不同的系统构建初始 RAM 磁盘镜像，请指定目标 initramfs 和内核版本：

     # dracut -f -v /boot/initramfs-<TARGET-VERSION>.img <CORRESPONDING-TARGET-KERNEL-VERSION>

     Copy to Clipboard Toggle word wrap

6. 重启系统：

   $ reboot

   Copy to Clipboard Toggle word wrap
   重要

   此流程中描述的更改将在重启后生效并保留。如果您在 denylist 中错误地列出了关键内核模块，您可以将系统切换到不稳定或无法正常工作的状态。

步骤

1. 创建包含以下内容的 /root/testmodule/test.c 文件：

   #include <linux/module.h>
   #include <linux/kernel.h>
   
   int init_module(void)
       { printk("Hello World\n This is a test\n"); return 0; }
   
   void cleanup_module(void)
       { printk("Good Bye World"); }
   
   MODULE_LICENSE("GPL");

   Copy to Clipboard Toggle word wrap

   test.c 文件是一个源文件，其向内核模块提供主要功能。出于组织需要，该文件已创建在专用的 /root/testmodule/ 目录中。在模块编译后，/root/testmodule/ 目录将包含多个文件。

   test.c 文件包含来自系统库的文件：

   • 示例代码中的 printk（） 函数需要 linux/kernel.h 头文件。
   • linux/module.h 文件包含函数声明和用 C 编程语言编写的在多个源文件之间共享的宏定义。
2. 按照 init_module （） 和 cleanup_module （） 函数启动和结束内核日志记录函数 printk （），后者会打印文本。

3. 使用以下内容创建 /root/testmodule/Makefile 文件。

   obj-m := test.o

   Copy to Clipboard Toggle word wrap

   Makefile 包含编译器的说明，以生成名为 test.o 的对象文件。obj-m 指令指定生成的 test.ko 文件将编译为可加载的内核模块。或者，obj-y 指令可指示将 test.ko 作为内置内核模块构建。

4. 编译内核模块：

   # make -C /lib/modules/$(uname -r)/build M=/root/testmodule modules
   make: Entering directory '/usr/src/kernels/6.12.0-55.9.1.el10_0.x86_64'
     CC [M]  /root/testmodule/test.o
     MODPOST /root/testmodule/Module.symvers
     CC [M]  /root/testmodule/test.mod.o
     LD [M]  /root/testmodule/test.ko
     BTF [M] /root/testmodule/test.ko
   Skipping BTF generation for /root/testmodule/test.ko due to unavailability of vmlinux
   make: Leaving directory '/usr/src/kernels/6.12.0-55.9.1.el10_0.x86_64'

   Copy to Clipboard Toggle word wrap

   编译器将它们链接成最终内核模块(test.ko)之前，会为每个源文件(test.c)创建一个对象文件(test.c)来作为中间步骤。

   成功编译后，/root/testmodule/ 包含与编译的自定义内核模块相关的其他文件。已编译的模块本身由 test.ko 文件表示。

验证

1. 可选：检查 /root/testmodule/ 目录的内容：

   # ls -l /root/testmodule/
   total 152
   -rw-r—​r--. 1 root root    16 Jul 26 08:19 Makefile
   -rw-r—​r--. 1 root root    25 Jul 26 08:20 modules.order
   -rw-r—​r--. 1 root root     0 Jul 26 08:20 Module.symvers
   -rw-r—​r--. 1 root root   224 Jul 26 08:18 test.c
   -rw-r—​r--. 1 root root 62176 Jul 26 08:20 test.ko
   -rw-r—​r--. 1 root root    25 Jul 26 08:20 test.mod
   -rw-r—​r--. 1 root root   849 Jul 26 08:20 test.mod.c
   -rw-r—​r--. 1 root root 50936 Jul 26 08:20 test.mod.o
   -rw-r—​r--. 1 root root 12912 Jul 26 08:20 test.o

   Copy to Clipboard Toggle word wrap

2. 将内核模块复制到 /lib/modules/$(uname -r)/ 目录中：

   # cp /root/testmodule/test.ko /lib/modules/$(uname -r)/

   Copy to Clipboard Toggle word wrap

3. 更新模块依赖项列表：

   # depmod -a

   Copy to Clipboard Toggle word wrap

4. 载入内核模块：

   # modprobe -v test
   insmod /lib/modules/6.12.0-55.9.1.el10_0.x86_64/test.ko

   Copy to Clipboard Toggle word wrap

5. 验证内核模块是否成功载入：

   # lsmod | grep test
   test                   16384  0

   Copy to Clipboard Toggle word wrap

6. 从内核环缓冲中读取最新的消息：

   # dmesg
   [74422.545004] Hello World
                   This is a test

   Copy to Clipboard Toggle word wrap

流程

1. 引导到 GRUB 引导菜单。
2. 选择您要启动的内核。
3. 按 e 键编辑内核参数。
4. 通过移动光标来找到内核命令行。
5. 将光标移至行末。

6. 根据需要编辑内核参数。例如，要在紧急模式下运行系统，请在 linux 行末尾添加 emergency 参数：

   linux   ($root)/vmlinuz-6.12.0-0.el10_0.x86_64 root=/dev/mapper/rhel-root ro crashkernel=2G-64G:256M,64G-:512M resume=/dev/mapper/rhel-swap rd.lvm.lv=rhel/root rd.lvm.lv=rhel/swap rhgb quiet emergency

   Copy to Clipboard Toggle word wrap

   要启用系统消息，请删除 rhgb 和 quiet 参数。

7. 按 Ctrl+x 使用所选内核以及修改的命令行参数进行引导。

   重要

   如果按 Esc 键离开命令行编辑，它将丢弃用户做的所有更改。

流程

1. 将下面两行添加到 /etc/default/grub 文件中：

   GRUB_TERMINAL="serial"
   GRUB_SERIAL_COMMAND="serial --speed=9600 --unit=0 --word=8 --parity=no --stop=1"

   Copy to Clipboard Toggle word wrap

   第一行将禁用图形终端。GRUB_TERMINAL 键覆盖 GRUB_TERMINAL_INPUT 和 GRUB_TERMINAL_OUTPUT 键的值。

   第二行调整了波特率(--speed)，奇偶校验和其他值以适合您的环境和硬件。请注意，对于以下日志文件等任务，最好使用更高的波特率，如 115200。

2. 更新 GRUB 配置文件：

   # grub2-mkconfig -o /boot/grub2/grub.cfg

   Copy to Clipboard Toggle word wrap

   这适用于基于 BIOS 和 UEFI 的机器。

3. 重启系统以使更改生效。

流程

1. 使用 grubby 在安装后脚本中为各个内核添加或删除内核参数：

   # grubby --update-kernel <PATH_TO_KERNEL> --args "<NEW_ARGUMENTS>"

   Copy to Clipboard Toggle word wrap

   例如，在所选内核中添加 noapic 参数：

   # grubby --update-kernel /boot/vmlinuz-6.12.0-0.el10_0.x86_64 --args "noapic"

   Copy to Clipboard Toggle word wrap

   参数传播到 BLS 代码片段，但不传播到 /etc/default/grub 文件中。

2. 使用 /etc/default/grub 文件中 GRUB_CMDLINE_LINUX 值的内容覆盖 BLS 片断：

   # grub2-mkconfig -o /boot/grub2/grub.cfg --update-bls-cmdline
   Generating grub configuration file …​
   Adding boot menu entry for UEFI Firmware Settings …​
   done

   Copy to Clipboard Toggle word wrap
   注意

   其他更改，如对 GRUB_TIMEOUT 键的更改（也包含在 /etc/default/grub GRUB 配置文件中），通过执行 grub2-mkconfig 命令被传播到新的 grub.cfg 文件中。

验证

1. 重启您的系统。

2. 验证参数是否包含在 /proc/cmdline 文件中。

   例如，如果您添加了 noapic ：

   BOOT_IMAGE=(hd0,gpt2)/vmlinuz-6.12.0-0.el10_0.x86_64 root=/dev/mapper/RHELCSB-Root ro vconsole.keymap=us crashkernel=2G-64G:256M,64G-:512M rd.lvm.lv=RHELCSB/Root rd.luks.uuid=luks-d8a28c4c-96aa-4319-be26-96896272151d rhgb quiet noapic rd.luks.key=d8a28c4c-96aa-4319-be26-96896272151d=/keyfile:UUID=c47d962e-4be8-41d6-8216-8cf7a0d3b911 ipv6.disable=1

   Copy to Clipboard Toggle word wrap

流程

1. 列出所有参数及其值。

   # sysctl -a

   Copy to Clipboard Toggle word wrap
   注意

   sysctl -a 命令显示内核参数，这些参数可在运行时和引导时调整。

2. 要临时配置一个参数，请输入：

   # sysctl <TUNABLE_CLASS>.<PARAMETER>=<TARGET_VALUE>

   Copy to Clipboard Toggle word wrap

   这个示例在系统运行时更改参数值。更改会立即生效，不需要系统重启。

   注意

   在系统重启后，所在的改变会返回到默认状态。

流程

1. 列出所有参数：

   # sysctl -a# sysctl -a

   Copy to Clipboard Toggle word wrap

   该命令显示所有可在运行时配置的内核参数。

2. 永久配置一个参数：

   # sysctl -w <TUNABLE_CLASS>.<PARAMETER>=<TARGET_VALUE> >> /etc/sysctl.conf

   Copy to Clipboard Toggle word wrap

   示例命令会更改可调值，并将其写入 /etc/sysctl.conf 文件，该文件会覆盖内核参数的默认值。更改会立即并永久生效，无需重启。

   注意

   要永久修改内核参数，您还可以手动更改 /etc/sysctl.d/ 目录中的配置文件。

流程

1. 在 /etc/sysctl.d/ 中创建新配置文件：

   # vim /etc/sysctl.d/<some_file.conf>

   Copy to Clipboard Toggle word wrap

2. 包括内核参数，一行一个：

   <TUNABLE_CLASS>.<PARAMETER>=<TARGET_VALUE>
   <TUNABLE_CLASS>.<PARAMETER>=<TARGET_VALUE>

   Copy to Clipboard Toggle word wrap
3. 保存配置文件。

4. 重启机器以使更改生效。

   • 或者，在不重启的情况下应用更改：

     # sysctl -p /etc/sysctl.d/<some_file.conf>

     Copy to Clipboard Toggle word wrap

     使用此命令，您可以从之前创建的配置文件中读取值。

     如需更多信息，请参阅系统中的 sysctl (8) 和 sysctl.d (5) man page。

流程

1. 识别您要配置的内核参数：

   # ls -l /proc/sys/<TUNABLE_CLASS>/

   Copy to Clipboard Toggle word wrap

   命令返回的可写入文件可以用来配置内核。具有只读权限的文件提供了对当前设置的反馈。

2. 为 kernel 参数分配目标值：

   # echo <TARGET_VALUE> > /proc/sys/<TUNABLE_CLASS>/<PARAMETER>

   Copy to Clipboard Toggle word wrap

   使用命令应用的配置更改不是永久的，系统重启后会消失。

验证

1. 验证新设置的内核参数的值：

   # cat /proc/sys/<TUNABLE_CLASS>/<PARAMETER>

   Copy to Clipboard Toggle word wrap

流程

1. 创建一个包含以下内容的 playbook 文件，如 ~/playbook.yml ：

   ---
   - name: Configuring kernel settings
     hosts: managed-node-01.example.com
     tasks:
       - name: Configure hugepages, packet size for loopback device, and limits on simultaneously open files.
         ansible.builtin.include_role:
           name: redhat.rhel_system_roles.kernel_settings
         vars:
           kernel_settings_sysctl:
             - name: fs.file-max
               value: 400000
             - name: kernel.threads-max
               value: 65536
           kernel_settings_sysfs:
             - name: /sys/class/net/lo/mtu
               value: 65000
           kernel_settings_transparent_hugepages: madvise
           kernel_settings_reboot_ok: true

   Copy to Clipboard Toggle word wrap

   示例 playbook 中指定的设置包括以下内容：

   kernel_settings_sysfs: <list_of_sysctl_settings>

   sysctl 设置的 YAML 列表以及您要分配给这些设置的值。

   kernel_settings_transparent_hugepages: <value>

   控制内存子系统透明巨页(THP)设置。您可以禁用 THP 支持(never)、在系统范围内启用(always)或在 MAD_HUGEPAGE 区域内启用(madvise)。

   kernel_settings_reboot_ok: <true|false>

   默认值为 false。如果设置为 true，则系统角色将确定是否需要重启受管主机，以使请求的更改生效，并重启它。如果设置为 false，则角色将返回值为 true 的变量 kernel_settings_reboot_required ，表示需要重启。在这种情况下，用户必须手动重启受管节点。

   有关 playbook 中使用的所有变量的详情，请查看控制节点上的 /usr/share/ansible/roles/rhel-system-roles.kdump/README.md 文件。

2. 验证 playbook 语法：

   $ ansible-playbook --syntax-check ~/playbook.yml

   Copy to Clipboard Toggle word wrap

   请注意，这个命令只验证语法，不会防止错误但有效的配置。

3. 运行 playbook：

   $ ansible-playbook ~/playbook.yml

   Copy to Clipboard Toggle word wrap

流程

1. 创建一个包含以下内容的 playbook 文件，如 ~/playbook.yml ：

   ---
   - name: Configuration and management of GRUB2 boot loader
     hosts: managed-node-01.example.com
     tasks:
       - name: Update existing boot loader entries
         ansible.builtin.include_role:
           name: redhat.rhel_system_roles.bootloader
         vars:
           bootloader_settings:
             - kernel:
                 path: /boot/vmlinuz-6.12.0-0.el10_0.aarch64
               options:
                 - name: quiet
                   state: present
           bootloader_reboot_ok: true

   Copy to Clipboard Toggle word wrap

   示例 playbook 中指定的设置包括以下内容：

   kernel

   指定与您要更新的引导装载程序条目连接的内核。

   options

   指定要更新您所选的引导装载程序条目（内核）的内核命令行参数。

   bootloader_reboot_ok: true

   角色检测到需要重启才能使更改生效，并执行受管节点的重启。

   有关 playbook 中使用的所有变量的详情，请查看控制节点上的 /usr/share/ansible/roles/rhel-system-roles.bootloader/README.md 文件。

2. 验证 playbook 语法：

   $ ansible-playbook --syntax-check ~/playbook.yml

   Copy to Clipboard Toggle word wrap

   请注意，这个命令只验证语法，不会防止错误但有效的配置。

3. 运行 playbook：

   $ ansible-playbook ~/playbook.yml

   Copy to Clipboard Toggle word wrap

步骤

1. 将您的敏感变量存储在一个加密文件中：

   1. 创建 vault ：

      $ ansible-vault create ~/vault.yml
      New Vault password: <vault_password>
      Confirm New Vault password: <vault_password>

      Copy to Clipboard Toggle word wrap

   2. 在 ansible-vault create 命令打开编辑器后，以 <key>: <value> 格式输入敏感数据：

      pwd: <password>

      Copy to Clipboard Toggle word wrap
   3. 保存更改，并关闭编辑器。Ansible 加密 vault 中的数据。

2. 创建一个包含以下内容的 playbook 文件，如 ~/playbook.yml ：

   ---
   - name: Configuration and management of GRUB2 boot loader
     hosts: managed-node-01.example.com
     vars_files:
       - ~/vault.yml
     tasks:
       - name: Set the bootloader password
         ansible.builtin.include_role:
           name: redhat.rhel_system_roles.bootloader
         vars:
           bootloader_password: "{{ pwd }}"
           bootloader_reboot_ok: true

   Copy to Clipboard Toggle word wrap

   示例 playbook 中指定的设置包括以下内容：

   bootloader_password: "{{ pwd }}"

   变量确保使用密码保护引导参数。

   bootloader_reboot_ok: true

   角色检测到需要重启才能使更改生效，并执行受管节点的重启。

   重要

   更改引导装载程序密码不是幂等事务。这意味着，如果您再次应用同样的 Ansible playbook，则结果将不一样，并且受管节点的状态将改变。

   有关 playbook 中使用的所有变量的详情，请查看控制节点上的 /usr/share/ansible/roles/rhel-system-roles.bootloader/README.md 文件。

3. 验证 playbook 语法：

   $ ansible-playbook --syntax-check --ask-vault-pass ~/playbook.yml

   Copy to Clipboard Toggle word wrap

   请注意，这个命令只验证语法，不会防止错误但有效的配置。

4. 运行 playbook：

   $ ansible-playbook --ask-vault-pass ~/playbook.yml

   Copy to Clipboard Toggle word wrap

验证

1. 在 GRUB2 引导菜单屏幕期间，在受管节点上按 e 键进行编辑。

   

   View larger image

   

2. 系统将提示您输入用户名和密码：

   

   View larger image

   

   输入 username: root

   引导装载程序用户名始终是 root，您不需要在 Ansible playbook 中指定它。

   输入 password: <password>

   引导装载程序密码对应于您在 vault.yml 文件中定义的 pwd 变量。

3. 您可以查看或编辑特定引导装载程序条目的配置：

   

   View larger image

   

流程

1. 创建一个包含以下内容的 playbook 文件，如 ~/playbook.yml ：

   ---
   - name: Configuration and management of GRUB2 boot loader
     hosts: managed-node-01.example.com
     tasks:
       - name: Update the boot loader timeout
         ansible.builtin.include_role:
           name: redhat.rhel_system_roles.bootloader
         vars:
           bootloader_timeout: 10

   Copy to Clipboard Toggle word wrap

   示例 playbook 中指定的设置包括以下内容：

   bootloader_timeout: 10

   输入一个整数，以控制在引导默认条目之前 GRUB2 引导装载程序菜单显示多长时间。

   有关 playbook 中使用的所有变量的详情，请查看控制节点上的 /usr/share/ansible/roles/rhel-system-roles.bootloader/README.md 文件。

2. 验证 playbook 语法：

   $ ansible-playbook --syntax-check ~/playbook.yml

   Copy to Clipboard Toggle word wrap

   请注意，这个命令只验证语法，不会防止错误但有效的配置。

3. 运行 playbook：

   $ ansible-playbook ~/playbook.yml

   Copy to Clipboard Toggle word wrap

验证

1. 远程重启受管节点：

   # ansible managed-node-01.example.com -m ansible.builtin.reboot
   managed-node-01.example.com | CHANGED => {
       "changed": true,
       "elapsed": 21,
       "rebooted": true
   }

   Copy to Clipboard Toggle word wrap

2. 在受管节点上，观察 GRUB2 引导菜单屏幕。

   

   View larger image

   

   突出显示的将在 10s 后自动执行的条目

   在 GRUB2 自动使用默认条目之前，此引导菜单显示多长时间。

   • 替代方案：您可以远程查询受管节点的 /boot/grub2/grub.cfg 文件中的"timeout"设置：

     # ansible managed-node-01.example.com -m ansible.builtin.command -a "grep 'timeout' /boot/grub2/grub.cfg"
     managed-node-01.example.com | CHANGED | rc=0 >>
     if [ x$feature_timeout_style = xy ] ; then
       set timeout_style=menu
       set timeout=10
     # Fallback normal timeout code in case the timeout_style feature is
       set timeout=10
     if [ x$feature_timeout_style = xy ] ; then
         set timeout_style=menu
         set timeout=10
         set orig_timeout_style=${timeout_style}
         set orig_timeout=${timeout}
           # timeout_style=menu + timeout=0 avoids the countdown code keypress check
           set timeout_style=menu
           set timeout=10
           set timeout_style=hidden
           set timeout=10
     if [ x$feature_timeout_style = xy ]; then
       if [ "${menu_show_once_timeout}" ]; then
         set timeout_style=menu
         set timeout=10
         unset menu_show_once_timeout
         save_env menu_show_once_timeout

     Copy to Clipboard Toggle word wrap

流程

1. 创建一个包含以下内容的 playbook 文件，如 ~/playbook.yml ：

   ---
   - name: Configuration and management of GRUB2 boot loader
     hosts: managed-node-01.example.com
     tasks:
       - name: Gather information about the boot loader configuration
         ansible.builtin.include_role:
           name: redhat.rhel_system_roles.bootloader
         vars:
           bootloader_gather_facts: true
   
       - name: Display the collected boot loader configuration information
         debug:
           var: bootloader_facts

   Copy to Clipboard Toggle word wrap

   有关 playbook 中使用的所有变量的详情，请查看控制节点上的 /usr/share/ansible/roles/rhel-system-roles.bootloader/README.md 文件。

2. 验证 playbook 语法：

   $ ansible-playbook --syntax-check ~/playbook.yml

   Copy to Clipboard Toggle word wrap

   请注意，这个命令只验证语法，不会防止错误但有效的配置。

3. 运行 playbook：

   $ ansible-playbook ~/playbook.yml

   Copy to Clipboard Toggle word wrap

1. 内核补丁模块复制到 /var/lib/kpatch/ 目录中，并在下次引导时由 systemd 注册以重新应用到内核。
2. kpatch 模块加载到运行的内核中，新的功能使用指向新代码在内存中的位置的指针被注册到 ftrace 机制中。

流程

1. 可选：检查您的内核版本：

   # uname -r
   6.12.0-55.9.1.el10_0.x86_64

   Copy to Clipboard Toggle word wrap

2. 搜索与内核版本对应的实时补丁软件包：

   # dnf search $(uname -r)

   Copy to Clipboard Toggle word wrap

3. 安装实时补丁（live patching）软件包：

   # dnf install kpatch

   Copy to Clipboard Toggle word wrap

   这个命令只为特定的内核安装并应用最新累积的实时补丁。

   如果实时补丁软件包的版本是 1-1 或更高版本，则软件包将包含补丁模块。在这种情况下，内核会在安装 live patching 软件包期间自动修补。

   内核补丁模块也安装到 /var/lib/kpatch/ 目录中，供 systemd 系统和服务管理器以后重启时载入。

   注意

   当给定内核没有可用的实时补丁时，将安装空的实时补丁软件包。一个空的实时打补丁软件包会有一个 0-0 的 kpatch_version-kpatch_release，如 kpatch-patch-6_12_0-1-0-0.x86_64.rpm。空 RPM 安装会将系统订阅到以后为给定内核提供的所有实时补丁。

流程

1. 可选：检查所有安装的内核和您当前运行的内核：

   # dnf list installed | grep kernel
   Updating Subscription Management repositories.
   Installed Packages
   ...
   kernel-core.x86_64            6.12.0-55.9.1.el10              @beaker-BaseOS
   kernel-core.x86_64            6.12.0-55.9.1.el10              @@commandline
   ...
   
   # uname -r
   6.12.0-55.9.1.el10_0.x86_64

   Copy to Clipboard Toggle word wrap

2. 安装 kpatch-dnf 插件：

   # dnf install kpatch-dnf

   Copy to Clipboard Toggle word wrap

3. 启用自动订阅内核实时补丁：

   # dnf kpatch auto
   Updating Subscription Management repositories.
   Last metadata expiration check: 1:38:21 ago on Fri 17 Sep 2021 07:29:53 AM EDT.
   Dependencies resolved.
   ==================================================
    Package                             Architecture
   ==================================================
   Installing:
    kpatch-patch-6_12_0-1               x86_64
    kpatch-patch-6_12_0-2               x86_64
   
   Transaction Summary
   ===================================================
   Install  2 Packages
   …​

   Copy to Clipboard Toggle word wrap

   这个命令订阅所有当前安装的内核，以接收内核实时补丁。命令还会为所有安装的内核安装并应用最新的累积实时补丁（如果有）。

   当您更新内核时，会在新的内核安装过程中自动安装实时补丁。

   内核补丁模块也安装到 /var/lib/kpatch/ 目录中，它由 systemd 系统和服务管理器以后重启时载入。

   注意

   当给定内核没有可用的实时补丁时，将安装空的实时补丁软件包。一个空的实时打补丁软件包会有一个 0-0 的 kpatch_version-kpatch_release，如 kpatch-patch-6_12_0-1-0-0.el10.x86_64.rpm。

   空 RPM 安装会将系统订阅到以后为给定内核提供的所有实时补丁。

流程

1. 可选：检查所有安装的内核和您当前运行的内核：

   # dnf list installed | grep kernel
   Updating Subscription Management repositories.
   Installed Packages
   ...
   kernel-core.x86_64            6.12.0-0.el10              @beaker-BaseOS
   kernel-core.x86_64            6.12.0-0.el10              @@commandline
   ...
   
   # uname -r
   6.12.0-0.el10_0.x86_64

   Copy to Clipboard Toggle word wrap

2. 禁用向内核实时补丁的自动订阅：

   # dnf kpatch manual
   Updating Subscription Management repositories.

   Copy to Clipboard Toggle word wrap

   如需更多信息，请参阅 kpatch (1) 和 dnf-kpatch (8) 手册页。

流程

1. 选择 live patching 软件包：

   # dnf list installed | grep kpatch-patch
   kpatch-patch-6.12.0-0.el10_0.x86_64        0-0.el10        @@commandline
   …​

   Copy to Clipboard Toggle word wrap

   示例输出列出了您安装的实时补丁软件包。

2. 删除 live patching 软件包：

   # dnf remove kpatch-patch-6.12.0-0.el10_0.x86_64

   Copy to Clipboard Toggle word wrap

   删除实时补丁软件包后，内核将保持补丁，直到下次重启为止，但内核补丁模块会从磁盘中删除。将来重启时，对应的内核将不再被修补。

3. 重启您的系统。

4. 验证实时打补丁软件包是否已删除：

   # dnf list installed | grep kpatch-patch

   Copy to Clipboard Toggle word wrap

   如果软件包已被成功删除，命令不会显示任何输出。

验证

1. 验证内核实时打补丁解决方案是否已禁用：

   # kpatch list
   Loaded patch modules:

   Copy to Clipboard Toggle word wrap

   示例输出显示内核没有补丁，实时补丁解决方案没有激活，因为目前没有加载补丁模块。

流程

1. 选择内核补丁模块：

   # kpatch list
   Loaded patch modules:
   kpatch_6_12_0_1_0_1 [enabled]
   
   Installed patch modules:
   kpatch_6_12_0_1_0_1 (6.12.0.el10_0.x86_64)
   …​

   Copy to Clipboard Toggle word wrap

2. 卸载所选的内核补丁模块。

   # kpatch uninstall kpatch_6_12_0_1_0_1
   uninstalling kpatch_6_12_0_1_0_1 (6.12.0.el10_0.x86_64)

   Copy to Clipboard Toggle word wrap

   • 请注意，卸载的内核补丁模块仍然被加载：

     # kpatch list
     Loaded patch modules:
     kpatch_6_12_0_1_0_1 [enabled]
     
     Installed patch modules:
     <NO_RESULT>

     Copy to Clipboard Toggle word wrap

     卸载所选模块后，内核将保持补丁，直到下次重启为止，但已从磁盘中删除内核补丁模块。

3. 重启您的系统。

验证

1. 验证内核补丁模块是否已卸载：

   # kpatch list
   Loaded patch modules:
   …​

   Copy to Clipboard Toggle word wrap

   这个示例输出显示没有加载或安装的内核补丁模块，因此内核没有被打补丁，且内核实时打补丁解决方案没有激活。

流程

1. 验证 kpatch.service 是否已启用。

   # systemctl is-enabled kpatch.service
   enabled

   Copy to Clipboard Toggle word wrap

2. 禁用 kpatch.service ：

   # systemctl disable kpatch.service
   Removed /etc/systemd/system/multi-user.target.wants/kpatch.service.

   Copy to Clipboard Toggle word wrap

   • 请注意，应用的内核补丁模块仍然被载入：

     # kpatch list
     Loaded patch modules:
     kpatch_6_12_0_1_0_1 [enabled]
     
     Installed patch modules:
     kpatch_6_12_0_1_0_1 (6.12.0.el10_0.x86_64)

     Copy to Clipboard Toggle word wrap
3. 重启您的系统。

4. 可选：验证 kpatch.service 的状态。

   # systemctl status kpatch.service
   ● kpatch.service - "Apply kpatch kernel patches"
      Loaded: loaded (/usr/lib/systemd/system/kpatch.service; disabled; vendor preset: disabled)
      Active: inactive (dead)

   Copy to Clipboard Toggle word wrap

   示例输出测试 kpatch.service 是否已禁用。因此，内核实时修补解决方案不活跃。

5. 验证内核补丁模块是否已卸载。

   # kpatch list
   Loaded patch modules:
   
   Installed patch modules:
   kpatch_6_12_0_1_0_1 (6.12.0.el10_0.x86_64)

   Copy to Clipboard Toggle word wrap

   示例输出显示内核补丁模块已安装，但内核没有打补丁。

   重要

   目前，红帽不支持在不重启系统的情况下将实时补丁恢复原样。如有任何问题，请联系我们的支持团队。

流程

1. 显示内存统计信息：

   # numastat -cm | egrep 'Node|Huge'
                    Node 0 Node 1 Node 2 Node 3  Total add
   AnonHugePages         0      2      0      8     10
   HugePages_Total       0      0      0      0      0
   HugePages_Free        0      0      0      0      0
   HugePages_Surp        0      0      0      0      0

   Copy to Clipboard Toggle word wrap

2. 将指定大小的巨页数量添加到节点：

   # echo 20 > /sys/devices/system/node/node2/hugepages/hugepages-2048kB/nr_hugepages

   Copy to Clipboard Toggle word wrap