CentOS Stream 运维基线
This content is not available in your language yet.
滚动内容的环境里，「基线」不是「装好哪些软件包」的静态快照，而是一套能持续跟住变化的最小规范。本页先写两条有官方出处的依据，再给账户、服务、日志与监控四块基础项；四块基础项属通用运维整理，不是发行版官方条款。
release notes 是持续更新的
Section titled “release notes 是持续更新的”官方下载页写明：CentOS Stream 10 的 release notes 会持续更新，以纳入问题并吸收用户反馈。这句话决定了运维窗口的读法——发布说明不是一次性文档，安排变更前应当复读一次。
补丁来源：官方镜像列表与镜像方式
Section titled “补丁来源：官方镜像列表与镜像方式”官方提供 Mirror List 页面，集中列出官方镜像；同一站的 Mirroring content 小节给出镜像方式，用 rsync 从 rsync.stream.centos.org 拉取内容（如整站镜像目标 CentOS-Stream-All、排除源码包的 CentOS-Stream-nosrc、排除 debuginfo 的 CentOS-Stream-nodebug），并说明该主机名由 GeoIP 解析到就近节点。
- 一人一号：禁止共享账号；需要共用的能力走提权机制，而不是共用凭据；
- 最小权限：默认不给管理权限，按角色授予并定期复核；
- 密钥优先：远程登录用密钥或等效的个人凭据，关闭口令直登，并把访问来源限制在必要范围内；
- 入离绑定：账号的创建、变更、回收与人员变动绑定，回收动作要有记录。
- 只留必要服务：新机上线先盘一遍监听端口与自启单元，不确定的默认关掉；
- 变更留痕：自启单元的增删要有记录，避免半年后没人说得清某个服务为什么在跑；
- 配置入版本库：关键配置放进版本控制，机器坏了能重建，而不是靠记忆恢复；
- 基线可复制：把上面的结果做成装机后即可套用的清单，可参照 新机上线基线清单。
- 本机先留住：滚动内容环境下的排障常要回溯数天，本机日志的留存周期要按排障需要设定；
- 集中收集：关键主机的日志送到集中存储，避免机器故障时证据一起丢失；
- 时间同步：所有主机的时间必须同步，否则跨机日志无法对齐——这是最容易忽略又最影响排障的一项；
- 留存周期对口合规：留多久取决于你的合规要求，写进基线而不是临时决定。
- 先有健康定义：每台主机至少要有可用性、磁盘、内存、关键进程四项判定口径；
- 告警要有人接：没有接收人的告警等于没有告警；
- 把变更纳入观察：窗口前后各观察一段时间，确认没有引入新的异常；
- 订阅项目动态：项目层面的公告与版本动态，用官方博客订阅入口跟踪，见 CentOS Stream 安全更新跟踪。
- 新机上线基线清单 — 通用主机的加固与检查项
- 包管理基础 — 仓库与软件包操作的通用说明
- CentOS Stream 仓库与滚动内容 — 滚动内容的取舍
- CentOS Stream 安全更新跟踪 — 公告与更新来源
- CentOS Stream 常见问题 — 定位相关的常见疑问
- 官方：CentOS Stream 下载页（release notes 说明出处）、Mirror List（镜像入口）