最可靠方式是将 umask 写入 /etc/login.defs 并配置 pam：kickstart 用 %post 追加 umask 0027，preseed/autoinstall 在 late-command 或 bootcmd 中写入；同时向 /etc/pam.d/system-auth（rhel）或 common-session（debian/ubuntu）添加 session optional pam_umask.so umask=0027，并确保 libpam-umask 已安装。
在 Linux 系统初始安装阶段，通过自动化应答文件（如 Kickstart、Debian Preseed、Ubuntu Autoinstall）预设 umask，关键在于**避开运行时 shell 配置，直接写入底层系统初始化机制**——因为此时用户环境尚未建立，/etc/profile 或 ~/.bashrc 还不存在或未生效。
核心原则：写进 /etc/login.defs 是最可靠且被所有发行版 installer 原生支持的方式
/etc/login.defs 是 shadow-utils 的标准配置文件，被 useradd、adduser 和多数安装器直接读取，用于定义新用户的默认行为。几乎所有主流安装流程（RHEL/CentOS/Fedora Kickstart、Debian/Ubuntu Preseed/Autoinstall）都允许你在安装后第一时间写入该文件，且它对后续创建的所有用户（包括 root 和第一个普通用户）立即生效。
- 在 Kickstart 文件中，用
%post脚本追加或替换：
%post<br>echo "UMASK 0027" >> /etc/login.defs<br>%end
- 在 Debian Preseed 中，用
d-i preseed/early-command或preseed/late-command执行：
d-i preseed/late-command string in-target sh -c "echo 'UMASK 0027' >> /etc/login.defs"
- 在 Ubuntu 20.04+ Autoinstall 的
storage或bootcmd阶段（推荐用bootcmd，确保文件系统已挂载）：
bootcmd:<br> - echo "UMASK 0027" >> /etc/login.defs
必须同步配置 PAM，否则 su/sudo/cron 场景会失效
仅改 /etc/login.defs 不足以覆盖非登录会话（如 sudo -i、su -、systemd user services、crond 启动的脚本）。这些路径依赖 PAM，而安装器通常不自动启用 pam_umask.so。因此需在自动化脚本中一并写入 PAM 配置：
Linux 性能分析与调优专家，覆盖 CPU、内存、磁盘 I/O、网络、内核参数、编译优化、容器/K8s。适用场景：系统卡顿/高负载、内存不足/OOM/Swap 高、CPU 异常/iowait 高。
- RHEL/CentOS/Fedora：向
/etc/pam.d/system-auth添加一行（放在 session 段末尾）：
session optional pam_umask.so umask=0027
- Debian/Ubuntu：向
/etc/pam.d/common-session添加相同行（注意不是common-session-noninteractive，后者不用于交互式登录）：
session optional pam_umask.so umask=0027
- 确保模块存在：RHEL 默认自带；Ubuntu 需提前安装
libpam-umask（可在 Kickstart 的%packages或 Preseed 的d-i pkgsel/include中声明）
避免写入 shell 初始化文件的陷阱
不要在自动化脚本中往 /etc/profile 或 /etc/bash.bashrc 写 umask 命令——这不是安装阶段的正确位置：
- 这些文件在首次登录前可能不存在（尤其最小化安装）
- 即使存在，它们只影响读取了该文件的 shell，且会被 PAM 的
pam_umask.so覆盖（PAM 优先级更高） - Autoinstall 的
user-data若用bootcmd写入/etc/profile，会导致首次登录时权限计算混乱，验证失败
验证策略是否真正落地
安装完成后，应在全新登录会话中验证，而非仅看 umask 命令输出：
- SSH 登录新用户后执行：
umask && touch f && mkdir d && ls -ld f d - 期望结果：
f权限为-rw-r-----（640），d为drwxr-x---（750） - 再测试
sudo -u root sh -c 'umask && touch /tmp/test'，确认非登录场景也受控
不复杂但容易忽略：umask 的自动化预设不是“写个命令就行”，而是要匹配系统初始化层级——/etc/login.defs 定用户基线，PAM 定会话行为，两者缺一不可。
