从 RHEL 8 升级至 RHEL 9

流程

1. 可选：查看 使用 Leapp 执行 RHEL 升级的最佳实践和建议知识库文章中的最佳实践。
2. 使用 Red Hat Subscription Manager 确保您的系统已被成功注册到 Red Hat Content Delivery Network (CDN)或 Red Hat Satellite。

3. 如果您已将您的系统注册到 Satellite 服务器，请完成 为升级准备一个注册了 Satellite 的系统 中的步骤，以确保您的系统满足升级要求。

   重要

   如果您的系统已注册到 Satellite 服务器，则您必须完成 为升级准备一个注册了 Satellite 的系统 中的步骤，然后才能继续此流程中的步骤，以防止问题发生。

4. 可选：卸载升级不需要的非系统操作系统文件系统（例如，仅包含与系统本身不相关的数据文件的文件系统），并从 /etc/fstab 文件中注释掉它们。这可减少升级过程所需的时间，并防止与自定义或第三方参与者在升级期间未正确迁移的第三方应用程序相关的潜在问题。

5. 使用 subscription-manager 验证系统是否已订阅：

   1. 如果您的系统是使用启用了 Simple Content Access (SCA)的帐户注册的，请验证 Content Access Mode is set to Simple Content Access 消息是否出现：

      # subscription-manager status
      +-------------------------------------------+
         System Status Details
      +-------------------------------------------+
      Overall Status: Disabled
      Content Access Mode is set to Simple Content Access. This host has access to content, regardless of subscription status.
      System Purpose Status: Disabled

      Copy to Clipboard Toggle word wrap

   2. 如果您的系统是使用禁用了 SCA 的帐户注册的，请验证是否已附加了 Red Hat Linux Server 订阅，产品名称为 Server，其状态为 Subscribed。例如：

      # subscription-manager list --installed
      +-------------------------------------------+
          	  Installed Product Status
      +-------------------------------------------+
      Product Name:   Red Hat Enterprise Linux for x86_64
      Product ID:     479
      Version:        8.10
      Arch:           x86_64
      Status:         Subscribed

      Copy to Clipboard Toggle word wrap

6. 确定启用了适当的存储库。以下命令为 64 位 Intel 架构启用 Base 和 AppStream 软件存储库 ; 对于其他架构，请参阅 RHEL 8 存储库。

   # subscription-manager repos --enable rhel-8-for-x86_64-baseos-rpms --enable rhel-8-for-x86_64-appstream-rpms

   Copy to Clipboard Toggle word wrap
   注意

   另外，您可以启用 CodeReady Linux Builder （也称为 Optional）或 Supplementary 存储库。有关存储库 ID 的更多信息，请参阅 RHEL 8 存储库。有关这些存储库内容的更多信息，请参阅 软件包清单。

7. 设置系统发行版本：

   1. 对于使用 RHSM 订阅的系统，请将系统锁定到源操作系统版本：

      # subscription-manager release --set 8.10

      Copy to Clipboard Toggle word wrap

   2. 如果您要在公有云上使用 Red Hat Update Infrastructure (RHUI)升级，请手动设置期望的系统发行版本：

      # rhui-set-release --set 8.10

      Copy to Clipboard Toggle word wrap
      重要

      如果系统上没有提供 rhui-set-release 命令，您可以通过更新 /etc/dnf/vars/release 文件来设置期望的系统发行版本：

      # echo "8.10" > /etc/dnf/vars/releasever

      Copy to Clipboard Toggle word wrap
8. 可选：要使用自定义存储库，请参阅 配置自定义存储库 知识库文章。

9. 如果您使用 dnf versionlock 插件将软件包锁定为特定版本，请运行以下命令清除锁：

   # dnf versionlock clear

   Copy to Clipboard Toggle word wrap

   如需更多信息，请参阅红帽知识库解决方案 如何限制 dnf 来将软件包安装或升级到一个固定的特定软件包版本？

10. 如果您执行从 RHEL 7 原位升级到 RHEL 8，请确保在开始安装 leapp-upgrade 软件包前没有与升级相关的文件：

    # rm -rf /usr/share/leapp-repository/repositories

    Copy to Clipboard Toggle word wrap

11. 如果您要在公有云上使用 Red Hat Update Infrastructure (RHUI)升级，请启用所需的 RHUI 存储库，并安装所需的 RHUI 软件包，以确保您的系统已准备好升级：

    1. 对于 AWS：

       # dnf config-manager --set-enabled rhui-client-config-server-8
       # dnf -y install leapp-rhui-aws

       Copy to Clipboard Toggle word wrap

    2. 对于 Microsoft Azure：

       # dnf config-manager --set-enabled rhui-microsoft-azure-rhel8
       # dnf -y install rhui-azure-rhel8 leapp-rhui-azure

       Copy to Clipboard Toggle word wrap
    3. 对于 Google Cloud Platform，请遵循 Google Cloud Platform (GCP) 知识库文章。

12. 安装 Leapp：

    # dnf install leapp-upgrade

    Copy to Clipboard Toggle word wrap

    请注意，您需要最新的 leapp 和 leapp-repository 软件包，即 leapp 软件包和 leapp -repository 软件包的版本 0.22.0 的 leapp 版本 0.19.0。

    注意

    leapp-repository 软件包包含 leapp-upgrade-el8toel9 RPM 软件包。

    注意

    如果您的系统无法访问互联网，请从红帽客户门户网站下载以下软件包 ：

    • leapp
    • leapp-deps
    • python3-leapp
    • leapp-upgrade-el8toel9
    • leapp-upgrade-el8toel9-deps

13. 将所有软件包更新到最新的 RHEL 8 版本，并重启：

    # dnf update
    # reboot

    Copy to Clipboard Toggle word wrap
14. leapp-upgrade-el8toel9 软件包的最新版本包含所有所需的数据文件。如果您使用旧版本替换了这些数据文件，请删除 /etc/leapp/files 目录中的所有 JSON 文件，并重新安装 leapp-upgrade-el8toel9 软件包，以确保您的数据文件是最新的。
15. 可选：查看、修复并删除 rpmnew 和 rpmsave 文件。如需更多信息，请参阅 什么是 rpmnew 和 rpmsave 文件？
16. 临时禁用防病毒软件以防止升级失败。

17. 确保任何配置管理系统都不会干扰原位升级过程：

    • 如果您使用客户端-服务器架构的配置管理系统（如 Puppet、Salt 或 Chef ），请在运行 leapp preupgrade 命令前禁用系统。在升级完成前，请不要启用配置管理系统，以防止升级过程中出现问题。

    • 如果您使用无代理架构的配置管理系统（如 Ansible ），在原位升级过程中不要执行配置和部署文件（如 Ansible playbook），如 执行升级 中所述。

      红帽不支持使用配置管理系统进行预升级和升级过程的自动化。如需更多信息，请参阅 使用配置管理系统在 Red Hat Enterprise Linux 上自动化部分 Leapp 预升级和升级过程。

1. 如果在 RHEL 7 或更早版本中创建您的 NSS 数据库，请验证数据库已从 DBM 数据库格式转换为 SQLite。如需更多信息，请参阅将 NSS 数据库从 DBM 更新到 SQLite。
2. RHEL 9 不支持旧的 network-scripts 软件包，该软件包在 RHEL 8 中已弃用。在升级前，移动自定义网络脚本，并编写执行现有自定义脚本的 NetworkManager 分配程序脚本。如需更多信息，请参阅红帽知识库解决方案 将自定义网络脚本迁移到 NetworkManager 分配程序脚本。
3. 如果您要使用 ISO 镜像进行升级，请验证 ISO 镜像是否包含目标操作系统版本，如 RHEL 9.4，并保存到持久本地挂载点，以确保 Leapp 工具可以在升级过程中访问镜像。

4. 确定您有一个完整的系统备份或虚拟机快照。请确定您可以按照您的环境中的标准灾难恢复步骤，把系统恢复到升级前的状态。您可以使用以下备份选项：

   • 使用 Relax-and-Recover (ReaR)工具创建一个系统的完整备份。如需更多信息，请参阅 ReaR 文档 和红帽知识库解决方案 什么是 Relax 和 Recover (ReaR)，以及如何使用它进行灾难恢复？

   • 使用 LVM 快照 或 RAID 拆分 来创建系统的快照。如果升级虚拟机，您可以创建整个虚拟机的快照。您还可以使用 Boom 工具管理快照和回滚引导条目。如需更多信息，请参阅红帽知识库解决方案 什么是 BOOM 以及如何安装它？ 以及如何使用 快照指南管理系统升级。

     注意

     因为 LVM 快照不创建系统的完整备份，所以您可能无法在某些升级失败后恢复您的系统。因此，使用 ReaR 工具创建一个完整备份是安全的。

流程

1. 验证 Satellite 是否是完全支持或维护支持的版本。如需更多信息，请参阅 Red Hat Satellite 产品生命周期。
2. 将带有 RHEL 9 存储库的订阅清单导入到 Satellite 服务器。如需更多信息，请参阅特定 Red Hat Satellite 版本（例如 6.17） 的管理内容指南中的管理红帽订阅章节。

3. 启用并将 Satellite 服务器上所有所需的 RHEL 8 和 RHEL 9 存储库与源和目标操作系统版本的最新更新同步。所需的存储库必须在内容视图中提供，并在关联的激活码中启用。

   注意

   对于 RHEL 9 存储库，启用每个存储库的目标 OS 版本，如 RHEL 9.4。如果您只启用存储库的 RHEL 9 版本，则会禁止原位升级。

   例如，对于没有延长更新支持（EUS）订阅的 Intel 构架，至少启用以下软件仓库：

   • Red Hat Enterprise Linux 8 for x86_64 - AppStream (RPMs)

     rhel-8-for-x86_64-appstream-rpms

     x86_64 <source_os_version>

   • Red Hat Enterprise Linux 8 for x86_64 - BaseOS (RPMs)

     rhel-8-for-x86_64-baseos-rpms

     x86_64 <source_os_version>

   • Red Hat Enterprise Linux 9 for x86_64 - AppStream (RPMs)

     rhel-9-for-x86_64-appstream-rpms

     x86_64 <target_os_version>

   • Red Hat Enterprise Linux 9 for x86_64 - BaseOS (RPMs)

     rhel-9-for-x86_64-baseos-rpms

     x86_64 <target_os_version>

     将 <source_os_version> 和 <target_os_version> 分别替换为源 OS 版本和目标 OS 版本，如 8.10 和 9.4。

     有关其他架构，请参阅 RHEL 8 软件仓库和 RHEL 9 软件仓库。

     如需更多信息，请参阅特定 Red Hat Satellite 版本（例如 6.17） 的管理 内容指南中的 导入内容章节。

4. 将内容主机附加到包含所需的 RHEL 8 和 RHEL 9 软件仓库的内容视图。

   如需更多信息，请参阅特定 Red Hat Satellite 版本（例如 6.17） 的管理 内容指南中的管理 内容视图 一章。

验证

1. 验证是否 Satellite 服务器上正确的 RHEL 8 和 RHEL 9 存储库已添加到正确的内容视图中。

   1. 在 Satellite Web UI 中，进入到 Content > Lifecycle > Content Views，点 Content View 的名称。

   2. 单击 Repositories 选项卡，验证存储库是否如预期显示。

      注意

      您还可以使用以下命令验证仓库是否已添加到内容视图中：

      # hammer repository list --search 'content_label ~ rhel-8' --content-view <content_view_name> --organization <organization> --lifecycle-environment <lifecycle_environment>
      # hammer repository list --search 'content_label ~ rhel-9' --content-view <content_view_name> --organization <organization> --lifecycle-environment <lifecycle_environment>

      Copy to Clipboard Toggle word wrap

      将 <content_view_name> 替换为 Content View 的名称，将 <organization> 替换为机构，将 <lifecycle_environement> 替换为生命周期环境的名称。

2. 验证与内容视图关联的激活码中是否已启用了正确的 RHEL 9 存储库：

   1. 在 Satellite Web UI 中，进入到 Content > Lifecycle > Activation Keys ，并点激活码的名称。
   2. 单击 Repository Sets 选项卡，再验证所需存储库的状态是否为 Enabled。

3. .验证主机上是否启用了所有期望的 RHEL 8 存储库。例如：

   # subscription-manager repos --list-enabled | grep "^Repo ID"
   Repo ID:   rhel-8-for-x86_64-baseos-rpms
   Repo ID:   rhel-8-for-x86_64-appstream-rpms

   Copy to Clipboard Toggle word wrap

流程

1. 在 RHEL 8 系统中，执行预升级阶段：

   # leapp preupgrade --target <_target_os_version_>

   Copy to Clipboard Toggle word wrap

   将 target_os_version 替换为目标操作系统版本，如 9.6。如果没有定义目标操作系统版本，Leapp 将使用在 支持的升级路径 中的表 1.1 中指定的默认目标操作系统版本。

   • 如果您使用 /etc/yum.repos.d/ 目录中的 自定义存储库 进行升级，请启用所选的存储库，如下所示：

     # leapp preupgrade --enablerepo <repository_id1> --enablerepo <repository_id2> ...

     Copy to Clipboard Toggle word wrap
   • 如果您要在 没有 RHSM 的情况下升级 或使用RHUI 升级，请添加 --no-rhsm 选项。
   • 如果您有一个 扩展升级支持(EUS)、高级更新支持(AUS) 或 SAP 解决方案的更新服务(E4S)（红帽知识库）订阅，请添加 --channel <channel> 选项。将 <channel> 替换为渠道名称，如 eus、aus 或 e4s。请注意，SAP HANA 客户必须使用 将 SAP 环境从 RHEL 8 升级到 RHEL 9 指南来执行原位升级。

   • 如果您在 Red Hat OpenStack Platform 中使用 RHEL for Real Time 或 Real Time for Network Functions Virtualization (NFV)，请使用 --enablerepo 选项启用部署。例如：

     # leapp preupgrade --enablerepo rhel-9-for-x86_64-rt-rpms

     Copy to Clipboard Toggle word wrap

     如需更多信息，请参阅 配置实时计算。

2. 检查 /var/log/leapp/leapp-report.txt 文件中的报告，并手动解决所有报告的问题。有些报告的问题包含补救建议。阻碍 问题会阻止您升级，直到解决了它们为止。

   报告包含以下风险因素级别：

   High

   很有可能造成严重的系统状态。

   Medium

   可能会影响系统和应用程序。

   Low

   不应影响系统，但可能会对应用程序有影响。

   info

   信息性，对系统或应用程序没有预期的影响。

3. 在某些系统配置中，Leapp 工具会生成您必须手动回答的 true 或 false 问题。如果预升级报告包含 Missing required answers in the answer file 消息，请完成以下步骤：

   1. 打开 /var/log/leapp/answerfile 文件，查看 true 或 false 问题。

   2. 手动编辑 /var/log/leapp/answerfile 文件，通过删除 # 符号取消对文件的确认行的注释，并确认您的回答为 True 或 False。如需更多信息，请参阅 Leapp answerfile。

      注意

      或者，您可以通过运行以下命令回答 true 或 false 问题：

      # leapp answer --section <question_section>.<field_name>=<answer>

      Copy to Clipboard Toggle word wrap

      例如，要对问题 Are all VDO devices, if any, successfully converted to LVM management? 确认一个 True 的响应，请执行以下命令：

      # leapp answer --section check_vdo.confirm=True

      Copy to Clipboard Toggle word wrap
4. 重复前面的步骤，重新运行预升级报告，以验证您已解决了所有关键问题。

流程

1. 安装 cockpit-leapp 插件：

   # dnf install cockpit-leapp

   Copy to Clipboard Toggle word wrap
2. 以 root 或有使用 sudo 权限进入管理命令的用户身份登录到 Web 控制台。如需有关 Web 控制台的更多信息，请参阅使用 RHEL 8 Web 控制台管理系统 。

3. 在 RHEL 8 系统中，从命令行或 web 控制台终端执行预升级：

   # leapp preupgrade --target <target_os_version>

   Copy to Clipboard Toggle word wrap

   将 target_os_version 替换为目标操作系统版本，如 9.6。如果没有定义目标操作系统版本，Leapp 将使用在 支持的升级路径 中的表 1.1 中指定的默认目标操作系统版本。

   • 如果您使用 /etc/yum.repos.d/ 目录中的 自定义存储库 进行升级，请启用所选的存储库，如下所示：

     # leapp preupgrade --enablerepo <repository_id1> --enablerepo <repository_id2> ...

     Copy to Clipboard Toggle word wrap
   • 如果您要在 没有 RHSM 的情况下升级 或使用RHUI 升级，请添加 --no-rhsm 选项。
   • 如果您有 扩展升级支持(EUS)、高级更新支持(AUS)或 SAP 解决方案(E4S)的更新服务 订阅，请添加 --channel <channel> 选项。将 <channel> 替换为渠道名称，如 eus、aus 或 e4s。请注意，SAP HANA 客户应该使用 将 SAP 环境从 RHEL 8 升级到 RHEL 9 指南来执行原位升级。

   • 如果您在 Red Hat OpenStack Platform 中使用 RHEL for Real Time 或 Real Time for Network Functions Virtualization (NFV)，请使用 --enablerepo 选项启用部署。例如：

     # leapp preupgrade --enablerepo rhel-9-for-x86_64-rt-rpms

     Copy to Clipboard Toggle word wrap

     如需更多信息，请参阅 配置实时计算。

4. 在 web 控制台中，从导航菜单中选择 Upgrade Report，以查看所有报告的问题。阻碍 问题会阻止您升级，直到解决了它们为止。要查看问题的详情，请选择行以打开 Details 窗格。

   图 4.1. Web 控制台中的原位升级报告

   

   View larger image

   

   报告包含以下风险因素级别：

   High

   很有可能造成严重的系统状态。

   Medium

   可能会影响系统和应用程序。

   Low

   不应影响系统，但可能会对应用程序有影响。

   info

   信息性，对系统或应用程序没有预期的影响。

5. 在某些配置中，Leapp 会生成您必须手动回答的 true 或 false 问题。如果升级报告包含 Missing required answers in the answer file 行，请完成以下步骤：

   1. 选择 Missing required answers in the answer file 行，来打开 Details 窗格。默认回答在修复命令的末尾说明。
   2. 要确认默认回答，请选择 Add to Remediation Plan 以稍后执行补救或 Run Remediation 来立即执行补救。

   3. 要改为选择非默认回答，请在终端中执行 leapp answer 命令，指定您要响应的问题以及您确认的回答。

      # leapp answer --section <question_section>.<field_name>=<answer>

      Copy to Clipboard Toggle word wrap

      例如，要对问题 Are all VDO devices, if any, successfully converted to LVM management? 确认一个 True 的响应，请执行以下命令：

      # leapp answer --section check_vdo.confirm=True

      Copy to Clipboard Toggle word wrap
      注意

      您还可以手动编辑 /var/log/leapp/answerfile 文件，删除 # 符号以取消对文件确认行的注释，并确认您的回答为 True 或 False。如需更多信息，请参阅 Leapp answerfile 示例。

6. 有些问题有修复命令，您可以运行来自动解决问题。您可以单独运行补救命令，或者在补救命令中一起运行补救命令。

   1. 要运行单个补救命令，请打开问题的 Detail 窗格，并点 Run Remediation。

   2. 要在修复计划中添加修复命令，请打开问题的 Details 窗格，并点 Add to Remediation Plan。

      图 4.2. 详细信息面板

      

      View larger image

      
   3. 要运行包含所有添加的补救命令的补救计划，请点击报告右上角的 Remediation plan 链接。点 Execute Remediation Plan 执行所有列出的命令。
7. 检查报告并解决所有报告的问题后，重复步骤 3-7 重新运行报告，以验证您是否解决了所有关键问题。

流程

1. 在 RHEL 8 系统中，启动升级过程：

   # leapp upgrade --target <_target_os_version_>

   Copy to Clipboard Toggle word wrap

   将 target_os_version 替换为目标操作系统版本，如 9.6。如果没有定义目标操作系统版本，Leapp 将使用在 支持的升级路径 中的表 1.1 中指定的默认目标操作系统版本。

   • 如果您使用 /etc/yum.repos.d/ 目录中的 自定义存储库 进行升级，请启用所选的存储库，如下所示：

     # leapp upgrade --enablerepo <repository_id1> --enablerepo <repository_id2> ...

     Copy to Clipboard Toggle word wrap
   • 如果您要 在没有 RHSM 的情况下升级 或使用 RHUI，请添加 --no-rhsm 选项。
   • 如果您使用 ISO 镜像升级，请添加 --no-rhsm 和 --iso <file_path> 选项。将 <file_path > 替换为保存的 ISO 镜像的文件路径，例如 /home/rhel9.iso。
   • 如果您有 扩展升级支持(EUS)、高级更新支持(AUS) 或 SAP 解决方案的更新服务 (E4S)（红帽知识库）订阅，请添加 --channel channel 选项。使用 leapp preupgrade 命令使用的值替换 channel，如 eus、aus 或 e4s。请注意，您必须在 leapp preupgrade 和 leapp upgrade 命令中对 --channel 选项使用同样的值。

   • 如果您在 Red Hat OpenStack Platform 中使用 RHEL for Real Time 或 Real Time for Network Functions Virtualization (NFV)，请使用 --enablerepo 选项启用部署。例如：

     # leapp upgrade --enablerepo rhel-9-for-x86_64-rt-rpms

     Copy to Clipboard Toggle word wrap

     如需更多信息，请参阅 配置实时计算。

2. 在升级过程开始时，Leapp 会执行预升级阶段，如检查预升级报告中所述。

   • 如果系统是可升级的，Leapp 会下载必要的数据，并为升级准备 RPM 事务。
   • 如果您的系统没有达到可靠的条件，Leapp 会终止升级进程，并在 /var/log/leapp/leapp-report.txt 文件中提供描述这个问题和推荐解决方案的记录。如需更多信息，请参阅故障排除。

3. 手动重启系统：

   # reboot

   Copy to Clipboard Toggle word wrap

   在这个阶段，系统会引导进入基于 RHEL 9 的初始 RAM 磁盘镜像 initramfs。Leapp 升级所有软件包，然后自动重启到 RHEL 9 系统。

   另外，您可以使用 --reboot 选项运行 leapp upgrade 命令并跳过这个手动步骤。

   如果发生故障，请调查日志和已知问题，如故障排除中所述。

4. 登录到 RHEL 9 系统，并验证其状态，如 验证升级后状态 中所述。
5. 执行升级报告及 执行升级后任务 中所描述的所有升级后任务。

1. 从 /etc/dnf/dnf.conf 配置文件中的 exclude 列表中删除剩余的 Leapp 软件包，其中包括 snactor 软件包，这是升级扩展开发的工具。在原位升级过程中，使用 Leapp 工具安装的Leapp 软件包会自动添加到 排除列表中，以防止删除或更新重要的文件。在原位升级后，在从系统中删除 Leapp 软件包之前，必须将它们从排除列表中删除。

   • 要从 exclude 列表中手动删除软件包，请编辑 /etc/dnf/dnf.conf 配置文件并从 exclude 列表中删除所需的 Leapp 软件包。

   • 从 exclude 列表中删除所有软件包：

     # dnf config-manager --save --setopt exclude=''

     Copy to Clipboard Toggle word wrap

2. 删除剩余的 RHEL 8 软件包，包括剩余的 Leapp 软件包。

   1. 从 RHEL 9 系统中删除旧的内核软件包。有关删除内核软件包的更多信息，请参阅红帽知识库解决方案 从 Red Hat Enterprise Linux 系统中删除旧内核的合适的方法是什么？

   2. 找到剩余的 RHEL 8 软件包：

      # rpm -qa | grep -e '\.el[78]' | grep -vE '^(gpg-pubkey|libmodulemd|katello-ca-consumer)' | sort

      Copy to Clipboard Toggle word wrap

   3. 从 RHEL 9 系统中删除剩余的 RHEL 8 软件包。要确保保留 RPM 依赖项，请在执行此操作时使用 DNF。在接受之前检查交易，以确保没有任何软件包被意外删除。

      例如：

      # dnf remove $(rpm -qa | grep \.el[78] | grep -vE 'gpg-pubkey|libmodulemd|katello-ca-consumer')

      Copy to Clipboard Toggle word wrap

   4. 删除剩余的 Leapp 依赖软件包：

      # dnf remove leapp-deps-el9 leapp-repository-deps-el9

      Copy to Clipboard Toggle word wrap

3. 可选：从系统中删除所有剩余的与升级相关的数据：

   # rm -rf /var/log/leapp /root/tmp_leapp_py3 /var/lib/leapp

   Copy to Clipboard Toggle word wrap
   重要

   删除这些数据可能会限制红帽调查和故障排除升级后问题的支持能力。

4. 禁用 DNF 存储库，其软件包与 RHEL 9 不兼容。由 RHSM 管理的存储库被自动处理。禁用这些存储库：

   # dnf config-manager --set-disabled <repository_id>

   Copy to Clipboard Toggle word wrap

   使用存储库 ID 替换 repository_id。

5. 将旧的救援内核和初始 RAM 磁盘替换为当前的内核和磁盘：

   1. 删除现有的救援内核和初始 RAM 磁盘：

      # rm /boot/vmlinuz-*rescue* /boot/initramfs-*rescue* 

      Copy to Clipboard Toggle word wrap

   2. 重新安装救援内核和相关的初始 RAM 磁盘：

      # /usr/lib/kernel/install.d/51-dracut-rescue.install add "$(uname -r)" /boot "/boot/vmlinuz-$(uname -r)"

      Copy to Clipboard Toggle word wrap

   3. 如果您的系统在 IBM Z 构架上，请更新 zipl 引导装载程序：

      # zipl

      Copy to Clipboard Toggle word wrap

6. .可选：检查现有的配置文件：

   • 检查、修复，然后删除 rpmnew、rpmsave 和 leappsave 文件。请注意，rpmsave 和 leappsave 是等效的，可以用类似的方式处理。如需更多信息，请参阅 什么是 rpmnew 和 rpmsave 文件？
   • 从 /etc/dnf/modules.d/ 目录中删除不再有效的 RHEL 8 DNF 模块的配置文件。请注意，当相关的 DNF 模块不存在时，这些文件对系统没有影响。
7. 重新检查并重新应用您的安全策略。特别是，需要将 SELinux 模式改为 enforcing。详情请参阅应用安全策略。

验证

1. 验证之前删除的救援内核和救援初始 RAM 磁盘文件是否已为当前内核创建：

   # ls /boot/vmlinuz-*rescue* /boot/initramfs-*rescue* 
   # lsinitrd /boot/initramfs-*rescue*.img | grep -qm1 "$(uname -r)/kernel/" && echo "OK" || echo "FAIL"

   Copy to Clipboard Toggle word wrap

2. 验证救援引导条目是否指向现有的救援文件。请参阅 grubby 输出：

   # grubby --info /boot/vmlinuz-*rescue*

   Copy to Clipboard Toggle word wrap

3. 查看 grubby 输出，并验证没有配置 RHEL 8 引导条目：

   # grubby --info ALL

   Copy to Clipboard Toggle word wrap

4. 验证 /boot/loader/entries 文件中没有与之前的 RHEL 相关的文件：

   # grep -r ".el8" "/boot/loader/entries/" || echo "Everything seems ok."

   Copy to Clipboard Toggle word wrap

流程

1. 确保没有 SELinux denials，例如，使用 ausearch 工具程序：

   # ausearch -m AVC,USER_AVC -ts boot

   Copy to Clipboard Toggle word wrap

   请注意，上一步只涵盖最常见的情况。要检查所有可能的 SELinux denials，请查看使用 SELinux 中的 识别 SELinux denials 部分。

2. 在您选择的文本编辑器中打开 /etc/selinux/config 文件，例如：

   # vi /etc/selinux/config

   Copy to Clipboard Toggle word wrap

3. 配置 SELINUX=enforcing 选项：

   # This file controls the state of SELinux on the system.
   # SELINUX= can take one of these three values:
   #       enforcing - SELinux security policy is enforced.
   #       permissive - SELinux prints warnings instead of enforcing.
   #       disabled - No SELinux policy is loaded.
   SELINUX=enforcing
   # SELINUXTYPE= can take one of these two values:
   #       targeted - Targeted processes are protected,
   #       mls - Multi Level Security protection.
   SELINUXTYPE=targeted

   Copy to Clipboard Toggle word wrap

4. 保存更改，重启系统：

   # reboot

   Copy to Clipboard Toggle word wrap

验证

1. 系统重启后，确认 getenforce 命令返回 Enforcing:

   $ getenforce
   Enforcing

   Copy to Clipboard Toggle word wrap

流程

1. 查找合适的安全合规数据流 .xml 文件：

   $ ls /usr/share/xml/scap/ssg/content/
   ...
   ssg-rhel9-ds.xml
   ...

   Copy to Clipboard Toggle word wrap

   如需更多信息，请参阅 Viewing compliance profiles 部分。

2. 根据从合适的数据流所选的配置文件来修复系统：

   # oscap xccdf eval --profile pci-dss --remediate /usr/share/xml/scap/ssg/content/ssg-rhel9-ds.xml

   Copy to Clipboard Toggle word wrap

   您可以根据您要强化系统的配置集 ID 替换 --profile 参数中的 pci-dss 值。有关 RHEL 9 支持的配置集的完整列表，请参阅 RHEL 支持的 SCAP 安全配置集。

   警告

   如果没有谨慎使用，在启用 --remediate 选项的情况下运行系统评估可能会导致系统无法正常工作。红帽不提供任何自动的方法来恢复由强化安全的修复所做的更改。默认配置的 RHEL 系统支持自动安全补救功能。如果在安装后更改了您的系统，运行修复可能无法使其遵守所需的安全配置文件。

3. 重启您的系统：

   # reboot

   Copy to Clipboard Toggle word wrap

验证

1. 验证系统是否遵从配置文件，并将结果保存到 HTML 文件中：

   $ oscap xccdf eval --report pcidss_report.html --profile pci-dss /usr/share/xml/scap/ssg/content/ssg-rhel9-ds.xml

   Copy to Clipboard Toggle word wrap

流程

1. 备份 /etc/usbguard/ 目录中存储的 *.conf 文件。
2. 使用 usbguard generate-policy 生成新的策略文件。请注意，命令只为当前可用的 USB 设备生成规则。

3. 将新生成的规则与前面策略中的规则进行比较：

   1. 如果您在为同一设备生成新策略和预升级规则时识别规则中的不同，请针对以后插入的设备相应地修改原始规则。
   2. 如果新生成的和预升级规则之间没有区别，您可以在不修改的情况下使用在 RHEL 8 中创建的策略文件。

1. 停止该服务：

   # systemctl stop fapolicyd

   Copy to Clipboard Toggle word wrap

2. 删除数据库：

   # fapolicyd-cli --delete-db

   Copy to Clipboard Toggle word wrap

3. 启动服务：

   # systemctl start fapolicyd

   Copy to Clipboard Toggle word wrap

流程

1. 将系统上的 NSS_DEFAULT_DB_TYPE 设置为 sql ：

   # export NSS_DEFAULT_DB_TYPE=sql

   Copy to Clipboard Toggle word wrap

2. 在每个目录中使用转换命令^[1] 其中包括 DBM 格式的 NSS 数据库文件，例如：

   # certutil -K -X -d /etc/ipsec.d/

   Copy to Clipboard Toggle word wrap

   请注意，如果您的数据库文件受密码保护，则必须提供密码或密码文件的路径作为 -f 选项的值，例如：

   # certutil -K -X -f /etc/ipsec.d/nsspassword -d /etc/ipsec.d/

   Copy to Clipboard Toggle word wrap