virt-sysprep 必须在虚拟机关机且磁盘未被挂载时运行，-d 参数仅接受 libvirt 虚拟机名；需显式启用 ssh-hostkeys 和 machine-id；清理后须用 virt-sparsify 压缩才能减小镜像体积。
virt-sysprep 运行前必须关机且不挂载磁盘
直接在运行中的虚拟机上执行 virt-sysprep -d vmname 会失败，报错类似 libguestfs: error: guestfs_launch: could not launch appliance 或提示设备忙。它需要虚拟机处于完全关机状态（poweroff，不是 reboot），且宿主机不能有任何进程挂载该虚拟机的磁盘文件（比如用 guestmount 挂载过、或手动 mount 过 qcow2 中的分区）。常见误操作是关机后立刻执行，但 virt-manager 或 libvirtd 内部可能还在缓存设备状态，建议等 10 秒再运行。
必须用虚拟机名而非磁盘路径调用 -d 参数
virt-sysprep 的 -d 参数只接受 libvirt 管理下的虚拟机名称（即 virsh list --all 里显示的名字），不能写成 -d /var/lib/libvirt/images/base.qcow2。写错路径会导致 error: no domain named 'xxx.qcow2'。如果虚拟机已删除但磁盘文件还在，得先用 virsh define 重新注册该虚拟机定义（仅 XML 定义，不启动），再执行 virt-sysprep -d vmname；否则只能改用 --root + --format 组合手动指定磁盘，但容易漏项，不推荐。
默认清理项足够，但 SSH 主机密钥和网卡 MAC 必须清除
virt-sysprep 默认启用大多数关键清理操作（如 ssh-hostkeys、udev-persistent-net、logfiles、user-account），但要注意两点：一是它不会自动删除 /etc/machine-id（systemd 系统需额外加 --enable machine-id）；二是某些旧版 libguestfs（如 RHEL 7.6 自带的 1.28.x）默认不启用 ssh-hostkeys，必须显式加上 --enable ssh-hostkeys，否则克隆出的虚拟机会因 SSH key 冲突拒绝连接。执行命令建议为：
virt-sysprep -d rhel7-base --enable ssh-hostkeys,machine-id,udev-persistent-net
清理后立即压缩磁盘能省 70%+ 空间
清理完只是抹掉敏感数据和日志，磁盘文件大小不变。若母盘是 qcow2 格式，紧接着用 virt-sparsify 压缩才能真正瘦身：virt-sparsify --compress rhel7-base.qcow2 rhel7-template.qcow2。注意：目标文件 rhel7-template.qcow2 不能与源文件同名或在同一目录下被占用；宿主机剩余空间至少要是源镜像“实际占用大小”的 2 倍（du -h rhel7-base.qcow2 查看），否则中途失败且可能损坏源文件。压缩耗时较长，5–20 分钟都正常，别中断。
母盘标准化最易被忽略的是：清理后没验证是否真清掉了 /etc/ssh/ssh_host_*.key 和 /etc/machine-id，结果克隆出的多台虚拟机 SSH 互相认证失败、systemd journal 日志混在一起。跑完 virt-sysprep 后，最好用 virt-cat -a rhel7-base.qcow2 /etc/machine-id 和 virt-ls -a rhel7-base.qcow2 /etc/ssh/ 快速确认。
