从 RHEL 7 升级至 RHEL 8

流程

1. 可选： 使用 Leapp 知识库文章查看执行 RHEL 升级的最佳实践和建议。
2. 使用 Red Hat Subscription Manager 确保您的系统已被成功注册到 Red Hat Content Delivery Network (CDN)或 Red Hat Satellite。

3. 如果您的系统已注册到 Satellite 服务器，请完成 为升级准备 Satellite 注册系统 中的步骤，以确保您的系统满足升级要求。

   重要

   如果您的系统已注册到 Satellite 服务器，则您必须为升级完成 为升级准备一个注册了 Satellite 的系统 中的步骤，然后才能继续此流程中的步骤，以防止问题的发生。

4. 可选：卸载升级不需要的非系统操作系统文件系统，例如，仅包含与系统本身不相关的数据文件的文件系统，并从 /etc/fstab 文件中注释掉它们。这可减少升级过程所需的时间，并防止与升级期间未正确迁移的第三方应用程序相关的潜在问题。

5. 使用 subscription-manager 验证系统是否已订阅：

   1. 如果您的系统使用启用了 Simple Content Access (SCA)的帐户注册了，请验证 Content Access Mode is set to Simple Content Access 消息是否出现：

      # subscription-manager status
      +-------------------------------------------+
         System Status Details
      +-------------------------------------------+
      Overall Status: Disabled
      Content Access Mode is set to Simple Content Access. This host has access to content, regardless of subscription status.
      System Purpose Status: Disabled

   2. 如果您的系统使用禁用了 SCA 的帐户注册了，请验证是否已附加了 Red Hat Linux Server 订阅，产品名称是否为 Server，其状态是否为 Subscribed ：

      # subscription-manager list --installed
      +-------------------------------------------+
          	  Installed Product Status
      +-------------------------------------------+
      Product Name:  	Red Hat Enterprise Linux Server
      Product ID:     69
      Version:        7.9
      Arch:           x86_64
      Status:         Subscribed

6. 确定启用了适当的软件仓库。以下命令列出 64 位 Intel 架构的软件仓库 ; 有关其他架构请参阅 RHEL 7 软件仓库。

   1. 启用 Base 软件仓库：

      # subscription-manager repos --enable rhel-7-server-rpms

   2. 启用提供 Leapp 及其依赖软件包的 Extras 软件仓库：

      # subscription-manager repos --enable rhel-7-server-extras-rpms

      注意

      另外，您还可以启用 Optional （也称为 CodeReady Linux Builder）或 Supplementary 存储库。有关存储库 ID 的更多信息，请参阅 RHEL 7 软件仓库中的 Optional 和 Supplementary 软件仓库 列表。有关这些软件仓库的内容的更多信息，请参阅 CodeReady Linux Builder 存储库 和 Supplementary 存储库。

7. 设置 Red Hat Subscription Manager ，以使用最新的 RHEL 7 内容：

   # subscription-manager release --unset

8. 可选：要使用自定义软件仓库，请参阅 配置自定义存储库 知识库文章。

9. 如果您使用 yum-plugin-versionlock 插件把软件包锁定到特定版本，请运行以下命令来清除锁：

   # yum versionlock clear

   详情请查看 How to restrict yum to install or upgrade a package to a fixed specific package version？。

10. 如果您要在公有云上使用 Red Hat Update Infrastructure (RHUI) 升级，请启用所需的 RHUI 软件仓库并安装所需的 RHUI 软件包，以确保您的系统已准备好升级。

    1. 对于 AWS：

       # yum-config-manager --enable rhui-client-config-server-7
       # yum-config-manager --enable rhel-7-server-rhui-extras-rpms
       # yum -y install rh-amazon-rhui-client leapp-rhui-aws

    2. 对于 Microsoft Azure：

       # yum-config-manager --enable rhui-microsoft-azure-rhel7
       # yum -y install rhui-azure-rhel7
       # yum-config-manager --enable rhui-rhel-7-server-rhui-extras-rpms
       # yum -y install leapp-rhui-azure

       注意

       如果您将 Azure 虚拟机 (VM) 锁定到一个次发行版本，请删除版本锁定。如需更多信息，请参阅将 RHEL 7.x 虚拟机切回到非 EUS。

    3. 对于 Google Cloud Platform，请遵循 Google Cloud Platform (GCP) 知识库文章。
11. 如果您在 Docker 中管理容器，请通过 Podman 使用合适的容器镜像重新创建这些容器，然后附加任何使用的卷。如需更多信息，请参阅如何在从 Red Hat Enterprise Linux 7 迁移到 Red Hat Enterprise Linux 8 之前将 Docker 容器迁移到 Podman？

12. 安装 Leapp：

    # yum install leapp-upgrade

    请注意，您目前需要版本 0.17.0 或更高版本的 leapp 软件包，版本 0.20.0 或更高版本的 leapp-repository 软件包，其中包含 leapp-upgrade-el7toel8 RPM 软件包。

    注意

    如果您的系统无法访问互联网，请从红帽客户门户网站下载以下软件包 ：

    • leapp
    • Leapp-deps
    • python2-leapp
    • leapp-upgrade-el7toel8
    • leapp-upgrade-el7toel8-deps 请查看 如何在离线系统上为 RHEL 7.9 到 RHEL 8.X 的升级安装 leapp 软件包？如需更多信息，知识库文章。

13. 将所有软件包更新到最新的 RHEL 7 版本并重启：

    # yum update
    # reboot

14. leapp-upgrade-el7toel8 软件包的最新版本包含所有所需的数据文件。如果您使用旧版本替换了这些数据文件，请删除 /etc/leapp/files 目录中的所有 JSON 文件，并重新安装 leapp-upgrade-el7toel8 软件包，以确保您的数据文件是最新的。
15. 临时禁用防病毒软件以防止升级失败。

16. 确保任何配置管理系统都不会干扰原位升级过程：

    • 如果您使用客户端-服务器架构的配置管理系统（如 Puppet、Salt 或 Chef ），请在运行 leapp preupgrade 命令前禁用系统。在升级完成前，请不要启用配置管理系统，以防止升级过程中出现问题。

    • 如果您使用无代理架构的配置管理系统（如 Ansible ），在原位升级过程中不要执行配置和部署文件（如 Ansible playbook），如 执行从 RHEL 7 到 RHEL 8 的升级 中所述。

      红帽不支持使用配置管理系统进行预升级和升级过程的自动化。如需更多信息，请参阅 使用配置管理系统在 Red Hat Enterprise Linux 上自动化部分 Leapp 预升级和升级过程。

17. 请确定您的系统没有使用多于一个的、名称基于内核使用的前缀（eth）的网络接口卡（NIC）。如需了解如何在原位升级到 RHEL 8 前迁移到另外一个命名模式的更多信息，请参阅 How to perform an in-place upgrade to RHEL 8 when using kernel NIC names on RHEL 7。
18. 如果您要使用 ISO 镜像升级，请验证 ISO 镜像是否包含目标操作系统版本，如 RHEL 8.8，是否被保存到一个持久本地挂载点，以确保 Leapp 工具可以在升级过程中访问镜像。

19. 确定您有完整的系统备份或虚拟机快照。请确定您可以按照您的环境中的标准灾难恢复步骤，把系统恢复到升级前的状态。您可以使用以下备份选项：

    • 使用 Relax-and-Recover (ReaR)程序创建系统的完整备份。如需更多信息，请参阅 ReaR 文档以及 Relax and Recover (ReaR) 是什么以及如何使用它进行灾难恢复？

    • 使用 LVM 快照 或 RAID 分割 创建系统的快照。如果升级虚拟机，您可以创建整个虚拟机的快照。您还可以使用 Boom 实用程序管理快照和回滚引导条目。如需更多信息，请参阅 BOOM 是什么以及如何安装它？以及使用 快照管理系统升级。

      注意

      因为 LVM 快照没有创建系统的完整备份，所以您可能无法在某些升级失败后恢复您的系统。因此，使用 ReaR 工具创建完整备份是安全的。

流程

1. 验证 Satellite 是否是完全支持或维护支持的版本。如需更多信息，请参阅 Red Hat Satellite 产品生命周期。
2. 将带有 RHEL 8 存储库的订阅清单导入到 Satellite 服务器。如需更多信息，请参阅 Red Hat Satellite 特定版本（例如 6.12 版本）的管理内容指南中的管理红帽订阅一章。

3. 在 Satellite 服务器上启用并同步所有所需的 RHEL 7 和 RHEL 8 软件仓库与 RHEL 7.9 和目标操作系统版本的最新更新，如 RHEL 8.10。所需的软件仓库必须在内容视图中提供，并在关联的激活码中启用。

   注意

   对于 RHEL 8 软件仓库，启用每个软件仓库的目标操作系统版本，例如 8.10。如果您只启用了存储库的 RHEL 8 版本，则原位升级被禁止。

   例如，对于没有延长更新支持（EUS）订阅的 Intel 构架，至少启用以下软件仓库：

   • Red Hat Enterprise Linux 7 Server (RPMs)

     rhel-7-server-rpms

     x86_64 7Server

   • Red Hat Enterprise Linux 7 Server - Extras (RPMs)

     rhel-7-server-extras-rpms

     x86_64

   • Red Hat Enterprise Linux 8 for x86_64 - AppStream (RPMs)

     rhel-8-for-x86_64-appstream-rpms

     x86_64 <target_os_version>

   • Red Hat Enterprise Linux 8 for x86_64 - BaseOS (RPMs)

     rhel-8-for-x86_64-baseos-rpms

     x86_64 <target_os_version>

     将 target_os_version 替换为目标操作系统版本，如 8.10。

     有关其他构架，请参阅 RHEL 7 软件仓库 和 RHEL 8 软件仓库。

     如需更多信息，请参阅 Red Hat Satellite 特定版本（例如 版本 6.12）的 管理内容指南 中的 导入内容 一章。

4. 将内容主机附加到包含所需的 RHEL 7 和 RHEL 8 软件仓库的内容视图。

   如需更多信息，请参阅 Red Hat Satellite 特定版本（例如 6.12 版本）的 管理内容指南 中的 管理内容视图 一章。

验证

1. 验证正确的 RHEL 7 和 RHEL 8 存储库是否已添加到 Satellite 服务器上正确的内容视图中。

   1. 在 Satellite Web UI 中，导航到 Content > Lifecycle > Content Views，然后点击内容视图的名称。

   2. 点 Repositories 选项卡，并验证存储库是否正确出现。

      注意

      您还可以使用以下命令验证存储库是否已添加到内容视图中：

      # hammer repository list --search 'content_label ~ rhel-7' --content-view <content_view_name> --organization <organization> --lifecycle-environment <lifecycle_environment>
      # hammer repository list --search 'content_label ~ rhel-8' --content-view <content_view_name> --organization <organization> --lifecycle-environment <lifecycle_environment>

      将 <content_view_name> 替换为内容视图的名称，将 <organization> 替换为机构，将 <lifecycle_environement> 替换为生命周期环境的名称。

2. 验证与内容视图关联的激活码中是否启用了正确的 RHEL 8 存储库：

   1. 在 Satellite Web UI 中，导航到 Content > Lifecycle > Activation Keys，然后点击激活码的名称。
   2. 单击 Repository Sets 选项卡，验证所需存储库的状态是否为 Enabled。

3. 验证所有期望的 RHEL 7 存储库是否已在主机上启用。例如：

   # subscription-manager repos --list-enabled | grep "^Repo ID"
   Repo ID:   rhel-7-server-extras-rpms
   Repo ID:   rhel-7-server-rpm

流程

1. 在 RHEL 7 系统中，执行预升级阶段：

   # leapp preupgrade --target <target_os_version>

   将 <target_os_version > 替换为目标操作系统版本，如 8.10。如果没有定义目标操作系统版本，Leapp 将使用在 支持的升级路径 中的表 1.1 中所指定的默认目标操作系统版本。

   • 如果您使用 /etc/yum.repos.d/ 目录中的 自定义存储库 进行升级，请启用所选的存储库，如下所示：

     # leapp preupgrade --enablerepo <repository_id1> --enablerepo <repository_id2> ...

   • 如果您要进行 没有 RHSM 的升级 或使用RHUI，请添加 --no-rhsm 选项。

   • 如果您有 扩展升级支持(EUS)、高级 更新支持(AUS)或 SAP Solutions Update Services (E4S) 订阅，请添加 --channel < channel> 选项：

     • 如果要升级到 RHEL 8.8，请将 channel 替换为频道名称，如 eus、aus 或 e4s。请注意，SAP HANA 客户应该使用 如何将 SAP 环境从 RHEL 7 原位升级到 RHEL 8 指南 来执行原位升级。
     • 如果您要升级到 RHEL 8.10，请将 channel 替换为 ga。

2. 检查 /var/log/leapp/leapp-report.txt 文件中的报告，并手动解决所有报告的问题。有些报告的问题包含补救建议。抑制因素 问题阻止您升级，直到您解决了它们。有关报告中可能出现的不同问题的更多信息，请参阅 如何从 Red Hat Enterprise Linux 7 升级到 Red Hat Enterprise Linux 8 中的 Pre Upgrade 步骤？

   报告包含以下风险因素级别：

   High

   很有可能导致系统状态恶化。

   Medium

   可能会影响系统和应用程序。

   Low

   不应影响系统，但可能会影响应用程序。

   info

   对系统或应用程序没有预期影响的信息。

   注意

   根据发现问题的严重性和影响以及解决问题所需的工作量，可能需要执行干净的 RHEL 8 安装，而不是继续原位升级。

3. 在某些系统配置中，Leapp 工具会产生您必须手动回答的 true 或 false 问题。如果预升级报告包含 Missing required answers in the answer file 消息，请完成以下步骤：

   1. 打开 /var/log/leapp/answerfile 文件，并查看 true 或 false 问题。

   2. 手动编辑 /var/log/leapp/answerfile 文件，删除 # 符号来取消文件的确认行的注释，并确认您的回答为 True 或 False。如需更多信息，请参阅 Leapp answerfile。

      注意

      另外，您可以通过运行以下命令来回答 true 或 false 问题：

      # leapp answer --section <question_section>.<field_name>=<answer>

      例如，要确认对 Disable pam_pkcs11 module in PAM configuration? 问题的 False 回答，请执行以下命令：

      # leapp answer --section remove_pam_pkcs11_module_check.confirm=False

4. 重复前面的步骤来重新运行预升级报告，以验证您是否解决了所有关键问题。

流程

1. 安装 cockpit-leapp 插件：

   # dnf install cockpit-leapp

   以 root 或有权使用 sudo 输入管理命令的用户身份登录到 web 控制台。如需有关 web 控制台的更多信息，请参阅 使用 RHEL web 控制台管理系统。

2. 在 RHEL 7 系统中，从命令行界面或 web 控制台终端执行预升级：

   # leapp preupgrade --target <target_os_version>

   将 <target_os_version > 替换为目标操作系统版本，如 8.10。如果没有定义目标操作系统版本，Leapp 将使用在 支持的升级路径 中的表 1.1 中所指定的默认目标操作系统版本。

   • 如果您使用 /etc/yum.repos.d/ 目录中的 自定义存储库 进行升级，请启用所选的存储库，如下所示：

     # leapp preupgrade --enablerepo <repository_id1> --enablerepo <repository_id2> ...

   • 如果您要进行 没有 RHSM 的升级 或使用RHUI，请添加 --no-rhsm 选项。

   • 如果您有 扩展升级支持(EUS)、高级 更新支持(AUS)或 SAP Solutions Update Services (E4S) 订阅，请添加 --channel < channel> 选项：

     • 如果要升级到 RHEL 8.8，请将 channel 替换为频道名称，如 eus、aus 或 e4s。请注意，SAP HANA 客户应该使用 如何将 SAP 环境从 RHEL 7 原位升级到 RHEL 8 指南 来执行原位升级。
     • 如果您要升级到 RHEL 8.10，请将 channel 替换为 ga。

3. 在 web 控制台中，从导航菜单中选择 Upgrade Report 来查看所有报告的问题。抑制因素 问题阻止您升级，直到您解决了它们。有关报告中可能出现的不同问题的更多信息，请参阅 如何从 Red Hat Enterprise Linux 7 升级到 Red Hat Enterprise Linux 8 中的 Pre Upgrade 步骤？

   要详细查看问题，请选择行来打开详情面板。

   图 5.1. Web 控制台中的原位升级报告

   

   报告包含以下风险因素级别：

   High

   很有可能导致系统状态恶化。

   Medium

   可能会影响系统和应用程序。

   Low

   不应影响系统，但可能会影响应用程序。

   info

   对系统或应用程序没有预期影响的信息。

   注意

   根据发现问题的严重性和影响以及解决问题所需的工作量，可能需要执行干净的 RHEL 8 安装，而不是继续原位升级。

4. 在某些配置中，Leapp 工具会生成您必须手动回答的 true 或 false 问题。如果升级报告包含 Missing required answers in the answer file 行，请完成以下步骤：

   1. 选择 Missing required answers in the answer file 行，来打开 Details 面板。默认回答在补救命令的末尾说明。
   2. 要确认默认回答，请选择 Add to Remediation Plan 来稍后执行补救或 Run Remediation 来立即执行补救。

   3. 要选择非默认回答，请在终端中执行 leapp answer 命令，指定您要回答的问题以及您确认的回答。

      # leapp answer --section <question_section>.<field_name>=<answer>

      例如，要对问题 Disable pam_pkcs11 module in PAM configuration? 确认 False 响应，请执行以下命令

      # leapp answer --section remove_pam_pkcs11_module_check.confirm=False

      注意

      您还可以手动编辑 /var/log/leapp/answerfile 文件，通过删除 # 符号取消对文件的确认行的注释，并确认您的回答为 True 或 False。如需更多信息，请参阅 Leapp answerfile 示例。

5. 有些问题有您可以运行的修复命令来自动解决问题。您可以在补救命令中单独或一起运行补救命令。

   1. 要运行单个补救命令，请打开此问题的 Detail 面板，然后点 Run Remediation。

   2. 要在补救计划中添加补救命令，请打开此问题的Detail 面板，然后点击 Add to Remediation Plan。

      图 5.2. 详细信息面板

      
   3. 要运行包含所有添加了补救命令的补救计划，请点击报告右上角的 Remediation plan 链接。点 Execute Remediation Plan 执行所有列出的命令。
6. 审核报告并解决所有报告的问题后，重复第 3-7 步来重新运行报告，以验证您是否解决了所有关键问题。

流程

1. 确保没有 SELinux denials，例如，使用 ausearch 工具程序：

   # ausearch -m AVC,USER_AVC -ts boot

   请注意，上一步只涵盖最常见的情况。要检查所有可能的 SELinux denials，请查看使用 SELinux 中的 识别 SELinux denials 部分。

2. 在您选择的文本编辑器中打开 /etc/selinux/config 文件，例如：

   # vi /etc/selinux/config

3. 配置 SELINUX=enforcing 选项：

   # This file controls the state of SELinux on the system.
   # SELINUX= can take one of these three values:
   #       enforcing - SELinux security policy is enforced.
   #       permissive - SELinux prints warnings instead of enforcing.
   #       disabled - No SELinux policy is loaded.
   SELINUX=enforcing
   # SELINUXTYPE= can take one of these two values:
   #       targeted - Targeted processes are protected,
   #       mls - Multi Level Security protection.
   SELINUXTYPE=targeted

4. 保存更改，重启系统：

   # reboot

验证

1. 系统重启后，确认 getenforce 命令返回 Enforcing:

   $ getenforce
   Enforcing

流程

1. 查找合适的安全合规数据流 .xml 文件：

   $ ls /usr/share/xml/scap/ssg/content/
   ssg-firefox-cpe-dictionary.xml  ssg-rhel6-ocil.xml
   ssg-firefox-cpe-oval.xml        ssg-rhel6-oval.xml
   ...
   ssg-rhel6-ds-1.2.xml          ssg-rhel8-oval.xml
   ssg-rhel8-ds.xml              ssg-rhel8-xccdf.xml
   ...

   如需更多信息，请参阅 查看合规性配置文件 章节。

2. 根据从合适的数据流所选的配置文件来修复系统：

   # oscap xccdf eval --profile pci-dss --remediate /usr/share/xml/scap/ssg/content/ssg-rhel8-ds.xml

   您可以根据您要强化系统的配置文件的 ID 来替换 --profile 参数中的 pci-dss 值。有关 RHEL 8 中所支持的配置文件的完整列表，请参阅 RHEL 中所支持的 SCAP 安全配置文件。

   警告

   如果没有谨慎使用，在启用 Remediate 选项的情况下运行系统评估可能会导致系统无法正常工作。红帽不提供任何自动的方法来恢复由强化安全的修复所做的更改。在 RHEL 系统上的默认配置中支持修复。如果在安装后更改了您的系统，运行修复可能无法使其遵守所需的安全配置文件。

3. 重启您的系统：

   # reboot

验证

1. 验证系统是否遵从配置文件，并将结果保存到 HTML 文件中：

   $ oscap xccdf eval --report pcidss_report.html --profile pci-dss /usr/share/xml/scap/ssg/content/ssg-rhel8-ds.xml