规范linux安装与交付的核心是钉死“谁在什么环节做什么、输出什么、怎么验证”，聚焦可执行、可审计、可回滚：申请方提标准化单，审核方查资源配置与安全基线，执行方仅运签名脚本并自动留痕，验证方按清单逐项核验；强制控制点嵌入流程——镜像sha256校验、分区模板约束、最小软件包原则、首登即审计；交付物含install.log.json、baseline.yaml、inventory.yml三份机器可读文件；建立72小时闭环机制，自动健康检查、备份推送及负责人登记提醒。
要规范团队的 Linux 操作系统安装与交付，核心不是写厚文档，而是把“谁在什么环节做什么、输出什么、怎么验证”钉死。重点落在可执行、可审计、可回滚三个维度上。
明确分角色的安装责任矩阵
避免“谁有空谁装”或“开发自己配环境”。按交付阶段拆解责任：
- 申请方（通常是开发/产品）：提交标准化申请单，明确用途（如“Oracle DB 生产实例”）、SLA等级、预期负载、是否需高可用组件
- 审核方（运维架构组）：检查资源配置合理性（CPU/内存/磁盘类型/网络分区）、安全基线匹配度（如是否禁用 root SSH）、是否符合 CMDB 命名规范
- 执行方（SRE 或自动化平台）：仅运行经签名的部署脚本，不接受手工修改；所有操作自动记录到工单系统并关联变更号
- 验证方（QA 或独立运维）：按《交付检查清单》逐项验证，包括基础连通性、服务端口监听、SELinux 状态、关键日志路径可写、时钟同步状态等
固化安装过程中的强制控制点
不是“建议配置”，而是“不满足则安装中断”。这些点必须嵌入自动化流程中：
- 镜像来源校验：安装前自动比对 ISO 的 SHA256 值与官方发布页一致，不一致直接退出
- 分区模板强约束：Web 服务器、DB 服务器、中间件服务器分别对应预设 LVM 卷组策略，不允许手动调整 /var、/u01、/opt 等关键挂载点大小
- 最小软件包原则：默认只安装 @base-environment + 安全补丁，禁用图形界面、蓝牙、打印服务等无关组件；额外包须在申请单中注明理由
- 首登即审计：首次 root 登录后 5 分钟内，自动采集系统指纹（内核版本、硬件序列号、网卡 MAC）、生成交付报告并归档至 SIEM
交付物必须结构化、可追溯
每台交付主机需附带三份机器可读文件，存于 CMDB 对应资产页并自动同步至 Git：
- install.log.json：含时间戳、安装源 URL、分区命令输出、rpm -qa --last 结果、systemctl list-unit-files --state=enabled 输出
- baseline.yaml：声明式定义该主机应满足的安全基线（如密码策略、SSH 配置、auditd 规则），用于后续自动比对
- inventory.yml：CMDB 字段映射（如 env: prod, role: app-nginx, owner: team-finance），禁止人工填写，由部署脚本从工单元数据注入
建立交付后 72 小时闭环机制
安装完成不等于交付结束。设置自动触发节点：
- 安装后 1 小时：自动运行健康检查脚本，验证 NTP 同步、磁盘空间阈值、关键服务存活、无高危 CVE 包（如 log4j）
- 安装后 24 小时：自动推送首次备份任务（/etc、/boot、LVM 元数据），备份结果写入 CMDB “backup_status” 字段
- 安装后 72 小时：若未在 CMDB 中登记业务负责人和监控告警联系人，自动邮件提醒申请人及直属主管，并冻结该主机外网访问权限
