银河麒麟系统离线批量部署安全补丁需分三阶段：联网机生成精准依赖签名并下载补丁包；离线机用apt-offline install自动安装或dpkg分批覆盖；最后统一验证版本与日志，并备份grub.cfg以支持内核回滚。
银河麒麟系统在完全断网的政务、电力或军工内网中，需一次性为200台同版本服务器部署已发布的安全补丁，避免逐台手工处理导致版本不一致或漏打关键CVE修复。
准备离线补丁仓库（联网机操作）
第一步：确认目标集群统一为Kylin V10 SP1 2403（x86_64），在一台同版本联网麒麟桌面机上执行：cat /etc/os-release | grep -E "(VERSION_ID|ARCH)"，输出必须含VERSION_ID="V10"与ARCH=x86_64；若不符，后续所有补丁将安装失败。
第二步：启用apt-offline工具生成精准依赖签名。先安装该工具：sudo apt-get install apt-offline -y；若提示未找到包，则从https://archive.kylinos.cn/kylin/KYLIN-ALL/pool/main/a/apt-offline/手动下载对应架构的.deb包，用sudo apt install ./apt-offline_*.deb安装。
第三步：生成安全补丁安装签名文件。执行命令：apt-offline set kylin-security-install --install-packages linux-image-amd64 linux-headers-amd64 openssh-server krb5-user --upgrade --security。这一步会自动识别所有需升级的安全相关包及其完整依赖树，包括内核模块、SSH加固组件和Kerberos认证库——【跳过--security参数会导致仅拉取常规更新，漏掉CVE-2026-XXXX等紧急补丁】。
第四步：下载补丁包及依赖。将上步生成的kylin-security-install.sig文件拷贝到另一台能访问公网的Linux机器（无需是麒麟系统），执行：apt-offline get kylin-security-install.sig --bundle kylin-security-bundle.zip。该命令会下载全部补丁RPM/DEB及校验文件，压缩为单个zip包。
分发与批量安装（离线机群操作）
方法一：使用apt-offline install指令（推荐，自动修复依赖）
将kylin-security-bundle.zip拷贝至首台离线服务器的/root/offline-patch/目录；解压后执行：sudo apt-offline install kylin-security-bundle.zip。该命令会静默完成dpkg安装→触发apt --fix-broken →重启必要服务三阶段动作，无需人工干预。
方法二：纯dpkg批量覆盖（适用于已禁用apt服务的硬隔离环境）
解压zip包，进入packages/子目录；执行：sudo dpkg -i *.deb；若报错“dependency problems”，立即运行：sudo dpkg --configure -a && sudo apt-get install -f -y。注意：此方式要求离线机此前已预装过基础系统，否则libgcc1等底层包缺失将导致内核模块安装中断。
方法三：按补丁紧急程度分批安装
从zip包中提取文件名含security或CVE-的deb包（如linux-image-5.15.0-123-generic_5.15.0-123.134_amd64.deb），单独创建critical-patches/目录；对这批高危补丁执行sudo dpkg -i critical-patches/*.deb，安装完成后立刻重启；其余常规补丁延后统一处理。
验证与回滚准备
在任意一台已安装补丁的机器上，执行：sudo apt list --installed | grep -E "(linux-image|openssh|krb5)"，核对版本号是否匹配麒麟官网公布的2026年9月安全公告中的修订版本（例如linux-image应≥5.15.0-123.134）。
执行：sudo journalctl -u systemd-boot-check --since "2026-09-28" | grep -i "security\|cve"，确认日志中出现“Applied security hardening for CVE-2026-7890”类条目。
备份当前内核启动项：sudo cp /boot/grub/grub.cfg /boot/grub/grub.cfg.pre-patch-20260930。这一步不可跳过——【若新内核启动失败，可通过GRUB菜单选择旧内核临时回退】。
对全部200台机器执行完补丁安装并确认首台验证通过后，运行sudo reboot。
