从 RHEL 9 升级到 RHEL 10

流程

1. 可选：卸载升级不需要的非系统操作系统文件系统，并从 /etc/fstab 文件中注释掉它们。例如，这包括只包含与系统本身不相关的数据文件的文件系统。这可减少升级过程所需的时间，并防止与自定义或第三方参与者在升级过程中未正确迁移的第三方应用程序相关的潜在问题。

2. 如果使用 RHSM 进行升级，请验证系统是否已注册到启用了 简单内容访问 (SCA)的帐户：

   # subscription-manager status
   +-------------------------------------------+
      System Status Details
   +-------------------------------------------+
   Overall Status: Disabled
   Content Access Mode is set to Simple Content Access. This host has access to content, regardless of subscription status.
   System Purpose Status: Disabled

3. 确定启用了适当的存储库。以下命令为 64 位 Intel 和 AMD 架构启用 Base 和 AppStream 软件仓库 ; 对于其他架构，请参阅 RHEL 9 软件仓库。

   # subscription-manager repos --enable rhel-9-for-x86_64-baseos-rpms --enable rhel-9-for-x86_64-appstream-rpms

   注意

   可选：启用 CodeReady Linux Builder （也称为可选的）或补充存储库。有关这些存储库的内容的更多信息，请参阅 软件包清单。

4. 将系统发行版本设置为源操作系统版本，例如：

   # subscription-manager release --set <source_os_version>

   将 <source_os_version> 替换为源操作系统版本，如 9.6。

   1. 如果您要在公有云上使用 Red Hat Update Infrastructure (RHUI)升级，请手动设置期望的系统发行版本：

      # rhui-set-release --set 9.7

      重要

      如果系统上没有提供 rhui-set-release 命令，您可以通过更新 /etc/dnf/vars/release 文件来设置期望的系统发行版本：

      # echo "9.7" > /etc/dnf/vars/releasever

5. 如果您使用 dnf versionlock 插件将软件包锁定为特定版本，请运行以下命令清除锁：

   # dnf versionlock clear

6. 如果您要在公有云上使用 Red Hat Update Infrastructure (RHUI)升级，请启用所需的 RHUI 存储库，并安装所需的 RHUI 软件包，以确保您的系统已准备好升级：

   1. 对于 AWS：

      # dnf config-manager --set-enabled rhui-client-config-server-9
      # dnf -y install leapp-rhui-aws

   2. 对于 Microsoft Azure：

      # dnf config-manager --set-enabled rhui-microsoft-azure-rhel9
      # dnf -y install rhui-azure-rhel8 leapp-rhui-azure

   3. 对于 Google Cloud，请遵循 Google Cloud 的 Leapp RHUI 软件包 知识库文章。

7. 确定您有最新的 leapp 和 leapp-repository 软件包：

   1. RHEL 9.6: leapp 软件包的版本 0.19.0 和 leapp-repository 软件包的版本 0.22.0。

   2. RHEL 9.6: leapp 软件包和版本 0.23.0 的版本 0.20.0。

      leapp-repository 软件包包含 leapp-upgrade-el9toel10 RPM 软件包。

      注意

      仅对断开连接的系统：从 红帽客户门户网站 下载以下软件包 ：

      • leapp
      • leapp-deps
      • python3-leapp
      • leapp-upgrade-el9toel10
      • leapp-upgrade-el9toel10-deps

      • leapp-upgrade-el9toel10-fapolicyd

        • 仅在系统上安装 fapolicyd RPM 软件包时包括。

8. 安装 Leapp 工具：

   # dnf install leapp-upgrade

9. 将所有软件包更新到最新的 RHEL 9 版本，并重启：

   # dnf update
   # reboot

10. 可选：查看、修复，然后删除 rpmnew 和 rpmsave 文件。

11. 如果您使用配置管理系统，请确定它不会影响原位升级进程：

    • 如果您的配置管理系统有客户端-服务器架构，如 Puppet、Salt 或 Chef，请在运行 leapp preupgrade 命令前禁用该系统。在升级完成前，请不要启用配置管理系统，以防止升级过程中出现问题。

    • 如果您的配置管理系统有无代理架构，请不要执行配置和部署文件。例如，如果您的系统有 Ansible，请在升级过程中不要执行 Ansible playbook。

      警告

      红帽不支持使用配置管理系统进行预升级和升级过程的自动化。如需更多信息，请参阅 使用配置管理系统在 Red Hat Enterprise Linux 上自动化部分 Leapp 预升级和升级过程。

12. 如果您使用 ISO 镜像进行升级，请验证 ISO 镜像是否包含目标操作系统版本，如 RHEL 10.0，并保存到持久本地挂载点，以确保 Leapp 工具在整个升级过程中可以访问镜像。

流程

1. 将带有 RHEL 9 存储库的订阅清单导入到 Satellite 服务器。如需更多信息，请参阅特定版本的 Red Hat Satellite 的管理内容指南中的管理红帽订阅一章。

2. 使用源和目标操作系统版本的最新更新在 Satellite 服务器上启用并同步所有所需的 RHEL 9 和 RHEL 10 存储库。所需的存储库必须在内容视图中可用，并在关联的激活密钥中启用。

   注意

   对于 RHEL 10 存储库，启用每个存储库的目标操作系统版本，如 RHEL 10.0。如果您只启用存储库的 RHEL 10 版本，则会禁止原位升级。

   例如，对于没有延长更新支持（EUS）订阅的 Intel 构架，至少启用以下软件仓库：

   • Red Hat Enterprise Linux 9 for x86_64 - AppStream (RPMs)

     rhel-9-for-x86_64-appstream-rpms

     x86_64 <source_os_version>

   • Red Hat Enterprise Linux 9 for x86_64 - BaseOS (RPMs)

     rhel-9-for-x86_64-baseos-rpms

     x86_64 <source_os_version>

   • Red Hat Enterprise Linux 10 for x86_64 - AppStream (RPMs)

     rhel-10-for-x86_64-appstream-rpms

     x86_64 <target_os_version>

   • Red Hat Enterprise Linux 10 for x86_64 - BaseOS (RPMs)

     rhel-10-for-x86_64-baseos-rpms

     x86_64 <target_os_version>

     将 <source_os_version> 和 <target_os_version> 分别替换为源操作系统版本和目标操作系统版本，如 9.6 和 10.0。

     对于其他构架，请参阅 RHEL 9 存储库 和 RHEL 10 存储库。

     如需更多信息，请参阅特定版本的 Red Hat Satellite 的 管理内容指南 中的 导入内容 一章。

3. 将内容主机附加到包含所需 RHEL 9 和 RHEL 10 软件仓库的内容视图。

   如需更多信息，请参阅特定版本的 Red Hat Satellite 的 管理内容指南 中的 管理内容视图 一章。

验证

1. 验证正确的 RHEL 9 和 RHEL 10 软件仓库是否已添加到 Satellite 服务器上的正确的内容视图中。

   1. 在 Satellite Web UI 中，进入到 Content > Lifecycle > Content Views，然后点内容视图的名称。

   2. 单击 Repositories 选项卡，验证存储库是否如预期显示。

      注意

      您还可以使用以下命令验证仓库是否已添加到内容视图中：

      # hammer repository list --search 'content_label ~ rhel-9' --content-view <content_view_name> --organization <organization> --lifecycle-environment <lifecycle_environment>
      # hammer repository list --search 'content_label ~ rhel-10' --content-view <content_view_name> --organization <organization> --lifecycle-environment <lifecycle_environment>

      将 <content_view_name > 替换为内容视图的名称，& lt;organization > 替换为机构，< lifecycle_environement > 替换为生命周期环境的名称。

2. 验证与内容视图关联的激活码中是否启用了正确的 RHEL 10 软件仓库：

   1. 在 Satellite Web UI 中，导航到 Content > Lifecycle > Activation Keys，然后点击激活码的名称。
   2. 单击 Repository Sets 选项卡，验证所需存储库的状态是否为 Enabled。

3. 验证所有预期的 RHEL 9 存储库是否已在主机中启用了。例如：

   # subscription-manager repos --list-enabled | grep "^Repo ID"
   Repo ID:   rhel-9-for-x86_64-baseos-rpms
   Repo ID:   rhel-9-for-x86_64-appstream-rpms

流程

1. 如果要修改 LiveMode 的默认规格，请在 /etc/leapp/actor_conf.d/ 文件中创建一个 YAML 文件，如 livemode.yaml。

2. 在 YAML 文件中输入所需的 LiveMode 配置。

   Expand

   表 3.1. LiveMode 配置

   配置字段	值类型	default	描述
   additional_packages	List[str]	[]	要安装到升级镜像中的其他软件包。
   autostart_upgrade_after_reboot	bool	True	如果设置为 True，则升级重启后会自动启动。否则，需要手动触发器。
   capture_strace_info_into	str	''	如果设置为非空字符串，则 leapp 会在 strace 下执行，结果存储在提供的文件路径中。
   dracut_network	str	''	dracut 网络参数。如果 'url_to_load_squashfs_'from 选项设置为非空字符串，则需要此项。
   setup_network_manager	bool	False	如果设置为 False，Leapp 工具会在升级镜像中启用 Network Manager。
   setup_opensshd_using_auth_keys	str	''	如果设置为非空字符串，则使用提供的授权密钥文件在升级镜像中设置 openssh 守护进程。
   setup_passwordless_root	bool	False	如果设置为 True，则升级镜像的 root 帐户具有空密码。请谨慎使用。
   squashfs_image_path	str	/var/lib/leapp/live-upgrade.img	最小目标系统的升级镜像所需的位置。
   url_to_load_squashfs_image_from	str	''	所需升级镜像的 URL。

   Show more

   以下是 /etc/leapp/actor_conf.d/livemode.yaml 文件示例：

   livemode:
     additional_packages : [ vim ]
     autostart_upgrade_after_reboot : false
     setup_network_manager : true
     setup_opensshd_using_auth_keys : /root/.ssh/authorized_keys

   示例文件会产生以下操作：

   • Leapp 实用程序将 vim 软件包安装到升级环境中。
   • 升级不会在重启后自动启动。您必须手动重启它。这可让您手动检查系统，并验证升级是否如预期完成，并在启动前系统已准备好使用。
   • Leapp 工具尝试使用源系统的网络配置集在升级环境中启用 NetworkManager。
   • Leapp 工具启用 opensshd 服务。如果系统成功建立网络访问，您可以使用 SSH 使用 root 帐户登录到升级环境，并与系统交互。

流程

1. 在 RHEL 9 系统上，执行预升级阶段：

   # leapp preupgrade --target <_target_os_version_>

   将 target_os_version 替换为目标操作系统版本，如 10.0。如果没有定义目标操作系统版本，Leapp 将使用 支持的升级路径 中表 1.1 中指定的默认目标操作系统版本。

   • 如果您使用 /etc/yum.repos.d/ 目录中的 自定义存储库 进行升级，请启用所选的存储库，如下所示：

     # leapp preupgrade --enablerepo <repository_id1> --enablerepo <repository_id2> ...

     使用存储库 ID 替换 repository_id。

   • 如果您要 不使用 RHSM 进行升级，或使用 RHUI 进行升级，请添加 --no-rhsm 选项。
   • 如果您有 延长升级支持(EUS) 或高级升级支持(AUS)订阅，请添加 --channel <channel> 选项。将 <channel> 替换为渠道名称，如 eus 或 aus。

   • 如果您在 Red Hat OpenStack Platform 中使用 RHEL for Real Time 或 Real Time for Network Functions Virtualization (NFV)，请使用 --enablerepo 选项启用部署。例如：

     # leapp preupgrade --enablerepo rhel-10-for-x86_64-rt-rpms

     如需更多信息，请参阅 配置实时计算。

2. 检查 /var/log/leapp/leapp-report.txt 文件中的报告，并手动解决所有报告的问题。有些报告的问题包含补救建议。抑制因素 问题阻止您升级，直到您解决了它们。

   报告包含以下风险因素级别：

   • 高 - 很可能会导致系统状态恶化。
   • 中 - 可能会影响系统和应用程序。
   • 低 - 应该不会影响系统，但可能会影响应用程序。
   • Info - 对系统或应用程序没有预期影响的信息。

3. 在某些系统配置中，Leapp 工具会产生您必须手动回答的 true 或 false 问题。如果预升级报告包含 Missing required answers in the answer file 消息，请完成以下步骤：

   1. 打开 /var/log/leapp/answerfile 文件，并查看 true 或 false 问题。

   2. 手动编辑 /var/log/leapp/answerfile 文件，通过删除 # 符号取消对文件的确认行的注释，并确认您的回答为 True 或 False。如需更多信息，请参阅 故障排除提示。

      注意

      另外，您可以通过运行以下命令来回答 true 或 false 问题：

      # leapp answer --section <question_section>.<field_name>=<answer>

4. 重复前面的步骤来重新运行预升级报告，以验证您是否解决了所有关键问题。

流程

1. 安装 cockpit-leapp 插件：

   # dnf install cockpit-leapp

2. 以 root 或有权使用 sudo 输入管理命令的用户身份登录到 web 控制台。

3. 在 RHEL 9 系统上，从命令行或从 web 控制台终端执行预升级阶段：

   # leapp preupgrade --target <target_os_version>

   将 target_os_version 替换为目标操作系统版本，如 10.0。如果没有定义目标操作系统版本，Leapp 将使用 支持的升级路径 中表 1.1 中指定的默认目标操作系统版本。

   • 如果您使用 /etc/yum.repos.d/ 目录中的 自定义存储库 进行升级，请启用所选的存储库，如下所示：

     # leapp preupgrade --enablerepo <repository_id1> --enablerepo <repository_id2> ...

   • 如果您要 不使用 RHSM 进行升级，或使用 RHUI 进行升级，请添加 --no-rhsm 选项。
   • 如果您有 延长升级支持(EUS) 或高级升级支持(AUS)订阅，请添加 --channel <channel> 选项。将 <channel> 替换为渠道名称，如 eus 或'aus'。

   • 如果您在 Red Hat OpenStack Platform 中使用 RHEL for Real Time 或 Real Time for Network Functions Virtualization (NFV)，请使用 --enablerepo 选项启用部署。例如：

     # leapp preupgrade --enablerepo rhel-10-for-x86_64-rt-rpms

     如需更多信息，请参阅 配置实时计算。

4. 在 web 控制台中，从导航菜单中选择 Upgrade Report 来查看所有报告的问题。抑制因素 问题阻止您升级，直到您解决了它们。要详细查看问题，请选择行来打开详情面板。

   图 4.1. Web 控制台中的原位升级报告

   

   报告包含以下风险因素级别：

   • 高 - 很可能会导致系统状态恶化。
   • 中 - 可能会影响系统和应用程序。
   • 低 - 应该不会影响系统，但可能会影响应用程序。
   • Info - 对系统或应用程序没有预期影响的信息。

5. 在某些配置中，Leapp 工具会生成您必须手动回答的 true 或 false 问题。如果升级报告包含 Missing required answers in the answer file 行，请完成以下步骤：

   1. 选择 Missing required answers in the answer file 行，来打开 Details 面板。默认回答在补救命令的末尾说明。
   2. 要确认默认答案，请选择 Add to Remediation Plan 以在以后启动补救或 Run Remediation 来立即启动补救。

   3. 要选择非默认答案，请在终端中运行 leapp answer 命令，指定您要响应的问题以及您确认的回答。

      # leapp answer --section <question_section>.<field_name>=<answer>

      注意

      您还可以手动编辑 /var/log/leapp/answerfile 文件，通过删除 # 符号取消对文件的确认行的注释，并确认您的回答为 True 或 False。如需更多信息，请参阅 故障排除提示。

6. 有些问题有您可以运行的修复命令来自动解决问题。您可以在补救命令中单独或一起运行补救命令。

   1. 要运行单个补救命令，请打开此问题的 Detail 面板，然后点 Run Remediation。

   2. 要在补救计划中添加补救命令，请打开此问题的Detail 面板，然后点击 Add to Remediation Plan。

      图 4.2. 详细信息面板

      
   3. 要运行包含所有添加了补救命令的补救计划，请点击报告右上角的 Remediation plan 链接。点击 Execute Remediation Plan 运行所有列出的命令。
7. 审核报告并解决所有报告的问题后，重复第 3-7 步来重新运行报告，以验证您是否解决了所有关键问题。

流程

1. 确定您有一个完整的系统备份或虚拟机快照。您可以使用以下备份选项：

   • 使用 Relax-and-Recover (ReaR)工具创建一个系统的完整备份。如需更多信息，请参阅 ReaR 文档 以及 什么是 Relax and Recover (ReaR)以及如何将其用于灾难恢复？

   • 使用 LVM 快照 或 RAID 分割 来创建系统的快照。如果升级虚拟机，您可以创建整个虚拟机的快照。您还可以使用 Boom 工具管理快照和回滚引导条目。如需更多信息，请参阅 什么是 BOOM 以及如何安装它？ 以及 使用快照管理系统升级。

     注意

     因为 LVM 快照不创建系统的完整备份，所以您可能无法在某些升级失败后恢复您的系统。因此，使用 ReaR 工具创建完整备份是安全的。

2. 在 RHEL 9 系统上，启动升级进程：

   # leapp upgrade --target <_target_os_version_>

   将 target_os_version 替换为目标操作系统版本，如 10.0。如果没有定义目标操作系统版本，Leapp 将使用 支持的升级路径 中表 1.1 中指定的默认目标操作系统版本。

   • 如果您使用 /etc/yum.repos.d/ 目录中的 自定义存储库 进行升级，请启用所选的存储库，如下所示：

     # leapp upgrade --enablerepo <repository_id1> --enablerepo <repository_id2> ...

   • 如果您要 不使用 RHSM 进行升级，或使用 RHUI 进行升级，请添加 --no-rhsm 选项。
   • 如果您使用 ISO 镜像升级，请添加 --no-rhsm 和 --iso <file_path> 选项。将 <file_path > 替换为保存的 ISO 镜像的文件路径，例如 /home/rhel9.iso。
   • 如果您有 扩展升级支持(EUS) 或高级更新支持(AUS)订阅，请添加 --channel channel 选项。使用 leapp preupgrade 命令使用的值替换 channel，如 eus 或 aus。请注意，您必须在 leapp preupgrade 和 leapp upgrade 命令中对 --channel 选项使用同样的值。

   • 如果您在 Red Hat OpenStack Platform 中使用 RHEL for Real Time 或 Real Time for Network Functions Virtualization (NFV)，请使用 --enablerepo 选项启用部署。例如：

     # leapp upgrade --enablerepo rhel-10-for-x86_64-rt-rpms

     如需更多信息，请参阅 配置实时计算。

   • 如果您使用 LiveMode 升级，请设置 LEAPP_UNSUPPORTED=1 环境变量，并将 --enable-experimental-feature 选项与 livemode 值一起使用。例如：

     # LEAPP_UNSUPPORTED=1 leapp upgrade --enable-experimental-feature livemode

     如需更多信息，请参阅使用 LiveMode 配置从 RHEL 9.7 升级到 RHEL 10.1。

     重要

     LiveMode 只是一个技术预览功能。技术预览功能不受红帽产品服务等级协议（SLA）支持，且功能可能并不完整。红帽不推荐在生产环境中使用它们。这些技术预览功能可以使用户提早试用新的功能，并有机会在开发阶段提供反馈意见。

     有关红帽技术预览功能支持范围的更多信息，请参阅技术预览功能支持范围。

3. 在升级过程开始时，Leapp 会重复预升级阶段，如 检查预升级报告 中所述：

   • 如果系统是可升级的，则 Leapp 会下载必要的数据，并为升级准备一个 RPM 事务。
   • 如果您的系统没有满足可靠升级的参数，Leapp 会终止升级进程，并在 /var/log/leapp/leapp-report.txt 文件中提供一个描述问题和推荐的解决方案的记录。如需更多信息，请参阅 故障排除。

4. 手动重启系统：

   # reboot

   系统引导至基于 RHEL 10 的初始 RAM 磁盘镜像 initramfs。Leapp 升级所有软件包，并自动重启到 RHEL 10 系统。

   另外，您可以使用 --reboot 选项运行 leapp upgrade 命令并跳过这个手动步骤。

   如果发生故障，请调查日志和已知问题，如 故障排除 中所述。

5. 登录到 RHEL 10 系统，并验证其状态，如 验证升级后状态 中所述。
6. 执行升级报告和 执行升级后的任务 中描述的所有升级后任务。

流程

1. 确定您有一个完整的系统备份或虚拟机快照。您可以使用以下备份选项：

   • 使用 Relax-and-Recover (ReaR)工具创建一个系统的完整备份。如需更多信息，请参阅 ReaR 文档 以及 什么是 Relax and Recover (ReaR)以及如何将其用于灾难恢复？

   • 使用 LVM 快照 或 RAID 分割 来创建系统的快照。如果升级虚拟机，您可以创建整个虚拟机的快照。您还可以使用 Boom 工具管理快照和回滚引导条目。如需更多信息，请参阅 什么是 BOOM 以及如何安装它？ 以及 使用快照管理系统升级。

     注意

     因为 LVM 快照不创建系统的完整备份，所以您可能无法在某些升级失败后恢复您的系统。因此，使用 ReaR 工具创建完整备份是安全的。

2. 在 RHEL 9 系统上，启动升级进程：

   # leapp upgrade --target <_target_os_version_>

   将 target_os_version 替换为目标操作系统版本，如 10.0。如果没有定义目标操作系统版本，Leapp 将使用 支持的升级路径 中表 1.1 中指定的默认目标操作系统版本。

   • 如果您使用 /etc/yum.repos.d/ 目录中的 自定义存储库 进行升级，请启用所选的存储库，如下所示：

     # leapp upgrade --enablerepo <repository_id1> --enablerepo <repository_id2> ...

   • 如果您要在没有 RHSM 的情况下升级，请添加 the -no-rhsm 选项。
   • 如果您使用 ISO 镜像升级，请添加 --no-rhsm 和 --iso <file_path> 选项。将 <file_path > 替换为保存的 ISO 镜像的文件路径，例如 /home/rhel9.iso。
   • 如果您有 扩展升级支持(EUS) 或高级更新支持(AUS)订阅，请添加 --channel channel 选项。使用 leapp preupgrade 命令使用的值替换 channel，如 eus 或 aus。请注意，您必须在 leapp preupgrade 和 leapp upgrade 命令中对 --channel 选项使用同样的值。

   • 如果您在 Red Hat OpenStack Platform 中使用 RHEL for Real Time 或 Real Time for Network Functions Virtualization (NFV)，请使用 --enablerepo 选项启用部署。例如：

     # leapp upgrade --enablerepo rhel-10-for-x86_64-rt-rpms

     如需更多信息，请参阅 配置实时计算。

3. 在升级进程开始时，Leapp 会重复 检查预升级报告 中所述的预升级阶段。

   • 如果系统是可升级的，则 Leapp 会下载必要的数据，并为升级准备一个 RPM 事务。
   • 如果您的系统没有满足可靠升级的参数，Leapp 会终止升级进程，并在 /var/log/leapp/leapp-report.txt 文件中提供一个描述问题和推荐的解决方案的记录。如需更多信息，请参阅 故障排除。

4. 手动重启系统：

   # reboot

   在这个阶段，系统引导到基于 RHEL 10 的初始 RAM 磁盘镜像 initramfs。Leapp 升级所有软件包，并自动重启到 RHEL 10 系统。

   另外，您可以使用 --reboot 选项运行 leapp upgrade 命令并跳过这个手动步骤。

   如果发生故障，请调查日志和已知问题，如 故障排除 中所述。

5. 登录到 RHEL 10 系统，并验证其状态，如 验证升级后状态 中所述。
6. 执行升级报告和 执行升级后的任务 中描述的所有升级后任务。

流程

1. 从 /etc/dnf/dnf.conf 配置文件中的 exclude 列表中删除剩余的 Leapp 软件包，其中包括 snactor 软件包，这是升级扩展开发的工具。在原位升级过程中，使用 Leapp 工具安装的Leapp 软件包会自动添加到 排除列表中，以防止删除或更新重要的文件。在原位升级后，在从系统中删除 Leapp 软件包之前，必须将它们从排除列表中删除。

   • 要从 exclude 列表中手动删除软件包，请编辑 /etc/dnf/dnf.conf 配置文件并从 exclude 列表中删除所需的 Leapp 软件包。

   • 从 exclude 列表中删除所有软件包：

     # dnf config-manager --save --setopt exclude=''

2. 删除剩余的 RHEL 9 软件包，包括剩余的 Leapp 软件包。

   1. 找到剩余的 RHEL 9 软件包：

      # rpm -qa | grep -e '\.el[789]' | grep -vE '^(gpg-pubkey|libmodulemd|katello-ca-consumer)' | sort

   2. 从 RHEL 10 系统中删除剩余的 RHEL 9 软件包。要确保 RPM 依赖项被维护，请使用 dnf remove 命令。

      例如：

      # dnf remove $(rpm -qa | grep \.el[789] | grep -vE 'gpg-pubkey|libmodulemd|katello-ca-consumer')

      重要

      此步骤也可以删除第三方软件包。在接受之前检查交易，以确保没有任何软件包被意外删除。

   3. 删除剩余的 Leapp 依赖软件包：

      # dnf remove leapp-deps-el10 leapp-repository-deps-el10

3. 可选：从系统中删除所有剩余的与升级相关的数据：

   # rm -rf /var/log/leapp /root/tmp_leapp_py3 /var/lib/leapp

   重要

   删除这些数据可能会限制红帽支持调查并故障排除升级后问题的能力。

4. 禁用其软件包与 RHEL 10 不兼容的 DNF 存储库。由 RHSM 管理的存储库被自动处理。禁用这些存储库：

   # dnf config-manager --set-disabled <repository_id>

   使用存储库 ID 替换 repository_id。

5. 将旧的救援内核和初始 RAM 磁盘替换为当前的内核和磁盘：

   1. 删除现有救援内核和初始 RAM 磁盘：

      # rm /boot/vmlinuz-*rescue* /boot/initramfs-*rescue* 

   2. 重新安装救援内核和相关的初始 RAM 磁盘：

      # /usr/lib/kernel/install.d/51-dracut-rescue.install add "$(uname -r)" /boot "/boot/vmlinuz-$(uname -r)"

   3. 如果您的系统在 IBM Z 构架上，请更新 zipl 引导装载程序：

      # zipl

6. 检查现有配置文件：

   • 检查、修复，然后删除 rpmnew、rpmsave 和 leappsave 文件。请注意，rpmsave 和 leappsave 是等效的，可以用类似的方式处理。如需更多信息，请参阅 什么是 rpmnew 和 rpmsave 文件？
   • 从 /etc/dnf/modules.d/ 目录中删除不再有效的 RHEL 9 DNF 模块的配置文件。请注意，当相关的 DNF 模块不存在时，这些文件对系统没有影响。
7. 重新检查并重新应用您的安全策略。特别是，需要将 SELinux 模式改为 enforcing。详情请参阅 应用安全策略。

验证

1. 验证之前删除的救援内核和救援初始 RAM 磁盘文件是否已为当前内核创建：

   # ls /boot/vmlinuz-*rescue* /boot/initramfs-*rescue* 
   # lsinitrd /boot/initramfs-*rescue*.img | grep -qm1 "$(uname -r)/kernel/" && echo "OK" || echo "FAIL"

2. 验证救援引导条目是否指向现有救援文件。查看 grubby 输出：

   # grubby --info /boot/vmlinuz-*rescue*

3. 查看 grubby 输出，并验证没有配置 RHEL 9 引导条目：

   # grubby --info ALL

4. 验证 /boot/loader/entries 文件中没有与之前 RHEL 相关的文件：

   # grep -r ".el9" "/boot/loader/entries/" || echo "Everything seems ok."

流程

1. 确保没有 SELinux denials，例如，使用 ausearch 工具程序：

   # ausearch -m AVC,USER_AVC -ts boot

   请注意，上一步只涵盖最常见的情况。要检查所有可能的 SELinux 拒绝，请参阅使用 SELinux 标题中的 识别 SELinux 拒绝 部分，它提供了一个完整的流程。

2. 在您选择的文本编辑器中打开 /etc/selinux/config 文件，例如：

   # vi /etc/selinux/config

3. 配置 SELINUX=enforcing 选项：

   # This file controls the state of SELinux on the system.
   # SELINUX= can take one of these three values:
   #       enforcing - SELinux security policy is enforced.
   #       permissive - SELinux prints warnings instead of enforcing.
   #       disabled - No SELinux policy is loaded.
   SELINUX=enforcing
   # SELINUXTYPE= can take one of these two values:
   #       targeted - Targeted processes are protected,
   #       mls - Multi Level Security protection.
   SELINUXTYPE=targeted

4. 保存更改，重启系统：

   # reboot

验证

1. 系统重启后，确认 getenforce 命令返回 Enforcing:

   $ getenforce
   Enforcing

流程

1. 查找合适的安全合规数据流 .xml 文件：

   $ ls /usr/share/xml/scap/ssg/content/
   …
   ssg-rhel10-ds.xml
   …

   如需更多信息，请参阅 查看配置合规性的配置文件 部分。

2. 根据从合适的数据流所选的配置文件来修复系统：

   # oscap xccdf eval --profile <profile_ID> --remediate /usr/share/xml/scap/ssg/content/ssg-rhel10-ds.xml

   根据您要强化系统哪一部分，将 <profile_ID> 替换为配置文件的 ID。有关 RHEL 10 中支持的配置文件的完整列表，请参阅 RHEL 10 中支持的 SCAP 安全指南配置文件。

   警告

   如果没有谨慎使用，在启用 --remediate 选项的情况下运行系统评估可能会导致系统无法正常工作。红帽不提供任何自动的方法来恢复由强化安全的修复所做的更改。默认配置的 RHEL 系统支持自动安全补救功能。如果在安装后更改了您的系统，运行修复可能无法使其遵守所需的安全配置文件。

3. 重启您的系统：

   # reboot

验证

1. 验证系统是否遵从配置文件，并将结果保存到 HTML 文件中：

   $ oscap xccdf eval --report pcidss_report.html --profile pci-dss /usr/share/xml/scap/ssg/content/ssg-rhel10-ds.xml