1
# 安装模式（Stage 1 确定安装类型）
2
install
3
# url 指定网络安装源，cdrom 指定本地安装源
4
# 产品 ISO 通常用 cdrom，因为离线部署
5
cdrom
6

7
# 文本模式安装（Stage 1 决定安装界面类型）
8
# 产品镜像不需要图形界面，text 模式更快更可靠
9
text

1
# 键盘和语言
2
keyboard us
3
lang zh_CN.UTF-8
4

5
# 网络配置
6
# --bootproto=dhcp 适合大多数场景
7
# 如果产品需要固定 IP，用 --bootproto=static --ip=10.0.0.100 --netmask=255.255.255.0
8
# 配置错误：网络不通会导致包安装失败（url 模式）或 %post 脚本中网络操作失败
9
network --bootproto=dhcp --device=eth0 --activate
10
network --hostname=product-server
11

12
# 时区
13
timezone Asia/Shanghai --utc
14

15
# 认证
16
# --enableshadow 使用 shadow 密码，--passalgo=sha512 使用 SHA-512 哈希
17
# rootpw --iscrypted 后面跟的是密码哈希，不是明文
18
# 生成哈希：python3 -c "import crypt; print(crypt.crypt('YourPassword', crypt.mksalt(crypt.METHOD_SHA512)))"
19
auth --enableshadow --passalgo=sha512
20
rootpw --iscrypted $6$rounds=4096$salt$hash
21

22
# 分区配置
23
# zerombr: 初始化所有磁盘的 MBR（会清除现有分区表，确认目标机器无重要数据）
24
# clearpart --all: 清除所有分区
25
# 配置错误：分区太小会导致安装失败或运行时磁盘满
26
zerombr
27
clearpart --all --initlabel
28
part /boot --fstype=xfs --size=500
29
part pv.01 --size=1 --grow
30
volgroup vg_main pv.01
31
logvol / --vgname=vg_main --size=1 --grow --name=lv_root
32
logvol swap --vgname=vg_main --size=4096 --name=lv_swap
33

34
# 引导装载程序
35
# --location 省略时默认 mbr（BIOS 把 GRUB 装到 MBR）
36
# UEFI 安装时 GRUB2-EFI 装到 ESP，该选项对 UEFI 路径无意义
37
# 不需要显式处理两种固件：Anaconda 在安装时按目标系统的启动模式分流
38
bootloader --append="rhgb quiet"
39

40
# 安全配置
41
firewall --enabled --service=ssh
42
selinux --enforcing

1
%packages
2
@core                    # 核心安装组（CentOS 7）
3
# RHEL 8+ 使用 @^minimal-environment 环境组语法
4
chrony                   # NTP 时间同步
5
curl
6
wget
7
vim
8
bash-completion
9
# 产品专属包
10
product-agent
11
product-dashboard
12
%end

1
%post --log=/root/ks-post.log
2
# 在已安装的系统中执行
3
# 这里可以：创建用户、配置服务、写入产品配置
4
echo "Installation completed" >> /root/completed
5
systemctl enable chronyd
6
systemctl enable product-agent
7
# 如果 systemctl 不可用，Anaconda 的 %post 在目标系统 chroot 中执行
8
# 可改用：ln -s /usr/lib/systemd/system/product-agent.service /etc/systemd/system/multi-user.target.wants/
9
%end

1
%pre
2
# 在 Anaconda 读取 kickstart 之前执行
3
# 用途：动态检测硬件、生成分区方案
4
# 例如：检测磁盘大小，动态生成分区配置
5
# 注意：/dev/sda 按目标硬件调整，NVMe 盘是 /dev/nvme0n1
6
DISK_SIZE=$(lsblk -bndo SIZE /dev/sda)
7
if [ "$DISK_SIZE" -gt 107374182400 ]; then
8
    # 磁盘大于 100GB，给根分区更多空间
9
    echo "logvol / --vgname=vg_main --size=50000 --name=lv_root" > /tmp/part-include
10
else
11
    echo "logvol / --vgname=vg_main --size=1 --grow --name=lv_root" > /tmp/part-include
12
fi
13
%end

1
# 1. 在联网环境中同步仓库（这一步需要外网）
2
mkdir -p /mnt/local-repo/{baseos,appstream,extras}
3
reposync --repoid=baseos -p /mnt/local-repo/
4
reposync --repoid=appstream -p /mnt/local-repo/
5

6
# 2. 生成 repodata（这一步不需要外网）
7
createrepo_c /mnt/local-repo/baseos/
8
createrepo_c /mnt/local-repo/appstream/
9

10
# 3. 添加自定义 RPM 包
11
mkdir -p /mnt/local-repo/extras/Packages/
12
cp /path/to/product-1.0.0.el7.x86_64.rpm /mnt/local-repo/extras/Packages/
13
createrepo_c --update /mnt/local-repo/extras/
14

15
# 4. 验证仓库可用性（在离线环境中）
16
# baseurl 指向本地路径，不是远程 URL
17
cat > /etc/yum.repos.d/local.repo <<EOF
18
[local-baseos]
19
name=Local BaseOS
20
baseurl=file:///mnt/local-repo/baseos/
21
enabled=1
22
gpgcheck=0
23

24
[local-appstream]
25
name=Local AppStream
26
baseurl=file:///mnt/local-repo/appstream/
27
enabled=1
28
gpgcheck=0
29

30
[local-extras]
31
name=Local Extras
32
baseurl=file:///mnt/local-repo/extras/
33
enabled=1
34
gpgcheck=0
35
EOF
36

37
# 验证：只启用本地仓库，检查包列表是否完整
38
yum --disablerepo="*" --enablerepo="local-*" list available

1
repoclosure --repo=local-baseos --repo=local-appstream --repo=local-extras

1
# 1. 挂载原版 ISO
2
mount -o loop CentOS-7-x86_64-DVD-2009.iso /mnt/orig-iso/
3

4
# 2. 复制 ISO 全部内容到工作目录（后续修改都在工作目录中进行）
5
rsync -a /mnt/orig-iso/ /tmp/iso-root/
6

7
# 3. 挂载 squashfs（CentOS 7 路径）
8
mount -o loop /mnt/orig-iso/LiveOS/squashfs.img /mnt/squashfs/
9

10
# 4. 挂载 rootfs.img（squashfs 内部包含 rootfs 镜像）
11
mount -o loop /mnt/squashfs/LiveOS/rootfs.img /mnt/rootfs/
12

13
# 5. 复制 rootfs 到工作目录
14
rsync -a /mnt/rootfs/ /tmp/rootfs/

1
# 1. 挂载虚拟文件系统（chroot 内的程序需要这些）
2
mount --bind /dev /tmp/rootfs/dev
3
mount --bind /proc /tmp/rootfs/proc
4
mount --bind /sys /tmp/rootfs/sys
5
# systemd 的 systemctl enable 需要读取 cgroup
6
mount --bind /sys/fs/cgroup /tmp/rootfs/sys/fs/cgroup
7

8
# 2. 配置仓库（chroot 内的 yum/dnf 需要知道从哪里装包）
9
# 将前面准备的离线仓库 bind mount 到 chroot 内
10
mount --bind /mnt/local-repo /tmp/rootfs/mnt/local-repo
11

12
# 在 chroot 内创建仓库配置
13
cat > /tmp/rootfs/etc/yum.repos.d/local.repo <<EOF
14
[local-baseos]
15
name=Local BaseOS
16
baseurl=file:///mnt/local-repo/baseos/
17
enabled=1
18
gpgcheck=0
19
EOF
20

21
# 3. 注入产品文件（bind mount 产品目录到 chroot 内）
22
mkdir -p /tmp/rootfs/opt/product/
23
mount --bind /path/to/product-files/ /tmp/rootfs/opt/product/

1
# 进入 chroot
2
chroot /tmp/rootfs /bin/bash
3

4
# 在 chroot 内安装产品包
5
yum install -y product-agent product-dashboard
6

7
# 复制产品配置
8
cp /opt/product/product.conf /etc/product.conf
9
cp /opt/product/startup.sh /usr/local/bin/
10
chmod +x /usr/local/bin/startup.sh
11

12
# 创建 systemd 服务
13
cp /opt/product/product-agent.service /etc/systemd/system/
14
systemctl enable product-agent
15

16
# 如果 cgroup 挂载有问题导致 systemctl 报错，可以手动创建符号链接：
17
# ln -s /etc/systemd/system/product-agent.service /etc/systemd/system/multi-user.target.wants/
18

19
# 退出 chroot
20
exit

1
umount /tmp/rootfs/opt/product/
2
umount /tmp/rootfs/mnt/local-repo/
3
umount /tmp/rootfs/sys/fs/cgroup
4
umount /tmp/rootfs/{dev,proc,sys}

1
# 基础清理（减小镜像体积）
2
chroot /tmp/rootfs /bin/bash -c "
3
    yum clean all
4
    rm -rf /var/cache/yum/
5
    rm -rf /tmp/*
6
    rm -rf /var/log/anaconda/*
7
    rm -f /root/.bash_history
8
"

1
# 1. 创建 ext4 镜像并填充定制后的 rootfs
2
# 估算 rootfs 大小，留出 30% 余量
3
ROOTFS_SIZE=$(du -sm /tmp/rootfs | awk '{print int($1 * 1.3)}')
4
dd if=/dev/zero of=/tmp/new-rootfs.img bs=1M count=$ROOTFS_SIZE
5
mkfs.ext4 -F /tmp/new-rootfs.img
6

7
# 2. 挂载 ext4 镜像并复制内容
8
mkdir -p /tmp/rootfs_mnt
9
mount -o loop /tmp/new-rootfs.img /tmp/rootfs_mnt
10
cp -a /tmp/rootfs/. /tmp/rootfs_mnt/
11
umount /tmp/rootfs_mnt
12

13
# 3. 将 ext4 镜像放入 LiveOS 目录结构，再打包外层 squashfs
14
mkdir -p /tmp/new-squashfs/LiveOS/
15
cp /tmp/new-rootfs.img /tmp/new-squashfs/LiveOS/rootfs.img
16
mksquashfs /tmp/new-squashfs/ /tmp/new-squashfs.img -comp xz -no-progress
17
cp /tmp/new-squashfs.img /tmp/iso-root/LiveOS/squashfs.img

1
xorriso -as mkisofs \
2
    -o /tmp/product.iso \
3
    -V "PRODUCT-ISO" \
4
    # --- BIOS 启动路径 ---
5
    -isohybrid-mbr /usr/share/syslinux/isohdpfx.bin \    # 写入 MBR 引导代码
6
    -c isolinux/boot.cat \                                 # El Torito 启动目录
7
    -b isolinux/isolinux.bin \                             # 第一启动镜像（BIOS）
8
    -no-emul-boot \                                        # 不模拟软盘/硬盘
9
    -boot-load-size 4 \                                    # 加载 4 个 512 字节扇区（2KB），El Torito 规范要求的模拟引导大小
10
    -boot-info-table \                                     # 写入引导信息表
11
    # --- UEFI 启动路径 ---
12
    -eltorito-alt-boot \                                   # 声明第二启动项
13
    -e images/efiboot.img \                                # 第二启动镜像（UEFI）
14
    -no-emul-boot \                                        # 不模拟软盘/硬盘
15
    -isohybrid-gpt-basdat \                                # 追加 GPT 分区表
16
    -iso_mbr_part_type C12A7328-F81F-11D2-BA4B-00A0C93EC93B \  # 设置分区类型为 EFI System Partition
17
    # --- 文件系统扩展 ---
18
    -rock \                                                # Rock Ridge 扩展（保留 Unix 权限）
19
    -joliet \                                              # Joliet 扩展（长文件名支持）
20
    -joliet-long \                                         # 更长的 Joliet 文件名
21
    -output-charset utf-8 \                                # 字符编码
22
    /tmp/iso-root/                                         # ISO 根目录

1
# 1. 挂载 ISO 检查内容完整性
2
mount -o loop /tmp/product.iso /mnt/iso
3
ls -la /mnt/iso/
4

5
# 检查关键文件是否存在
6
test -f /mnt/iso/isolinux/isolinux.bin && echo "BIOS 引导: OK" || echo "BIOS 引导: MISSING"
7
test -f /mnt/iso/EFI/BOOT/grubx64.efi && echo "UEFI 引导: OK" || echo "UEFI 引导: MISSING"
8
test -f /mnt/iso/ks.cfg && echo "Kickstart: OK" || echo "Kickstart: MISSING"
9
test -d /mnt/iso/Packages && echo "软件包目录: OK" || echo "软件包目录: MISSING"
10
test -d /mnt/iso/repodata && echo "仓库元数据: OK" || echo "仓库元数据: MISSING"
11

12
# 2. 检查 kickstart 语法
13
ksvalidator /mnt/iso/ks.cfg
14

15
# 3. 检查 ISO 结构信息
16
isoinfo -d -i /tmp/product.iso | grep -E "Volume id|El Torito|Joliet"
17

18
# 4. 计算校验和
19
sha256sum /tmp/product.iso > product.iso.sha256
20

21
umount /mnt/iso

1
# BIOS 模式测试
2
virt-install \
3
    --name test-bios \
4
    --ram 2048 \
5
    --vcpus 2 \
6
    --disk size=20 \
7
    --cdrom /tmp/product.iso \
8
    --os-variant centos7 \
9
    --noautoconsole
10

11
# UEFI 模式测试（需要 OVMF 固件）
12
virt-install \
13
    --name test-uefi \
14
    --ram 2048 \
15
    --vcpus 2 \
16
    --disk size=20 \
17
    --cdrom /tmp/product.iso \
18
    --os-variant centos7 \
19
    --boot uefi \
20
    --noautoconsole
21

22
# 查看安装过程
23
virsh console test-bios

1
# 在 chroot 清理阶段执行
2
chroot /tmp/rootfs /bin/bash -c "
3
    # SSH 主机密钥（必须删除，首次启动时重新生成）
4
    rm -f /etc/ssh/ssh_host_*
5

6
    # bash 历史
7
    rm -f /root/.bash_history
8
    cat /dev/null > /root/.bash_history 2>/dev/null
9

10
    # 私钥和证书
11
    rm -f /etc/pki/tls/private/*.key
12
    rm -f /root/*.pem /root/*.key
13

14
    # 日志
15
    rm -rf /var/log/anaconda/*
16
    rm -f /var/log/yum.log
17
    find /var/log -name '*.log' -exec truncate -s 0 {} \;
18
"

1
chroot /tmp/rootfs /bin/bash -c "
2
    # 包管理器缓存
3
    yum clean all
4
    rm -rf /var/cache/yum/
5
    rm -rf /var/cache/dnf/
6

7
    # 临时文件
8
    rm -rf /tmp/*
9
    rm -rf /var/tmp/*
10

11
    # 仓库配置中的内部 URL
12
    # 仅删除包含内部服务器信息的 repo 文件
13
    # 若产品需要从内网仓库更新，保留经过处理的、无内部 URL 的 repo 文件
14
    # rm -f /etc/yum.repos.d/internal-*.repo
15
"

1
# 在 chroot 中创建首次启动服务
2
cat > /tmp/rootfs/etc/systemd/system/ssh-keygen.service <<EOF
3
[Unit]
4
Description=Generate SSH host keys on first boot
5
ConditionPathExistsGlob=!/etc/ssh/ssh_host_*_key
6
Before=sshd.service
7

8
[Service]
9
Type=oneshot
10
ExecStart=/usr/bin/ssh-keygen -A
11
RemainAfterExit=yes
12

13
[Install]
14
WantedBy=multi-user.target
15
EOF
16

17
chroot /tmp/rootfs systemctl enable ssh-keygen.service

1
# kickstart 中仍只放预定义服务
2
firewall --enabled --service=ssh
3

4
# %post 中开放产品自定义端口
5
%post
6
firewall-offline-cmd --add-port=8080/tcp
7
firewall-offline-cmd --add-port=8443/tcp
8
%end

1
# 通用安全参数
2
net.ipv4.ip_forward = 0              # 禁止 IP 转发
3
net.ipv4.conf.all.send_redirects = 0  # 禁止发送 ICMP 重定向
4
net.ipv4.conf.default.accept_redirects = 0  # 禁止接受 ICMP 重定向
5
net.ipv4.icmp_echo_ignore_broadcasts = 1    # 忽略广播 ping
6
net.ipv4.conf.all.log_martians = 1   # 记录异常包

1
# 地址空间随机化，关闭会大幅放大本地提权和 RCE 利用面
2
kernel.randomize_va_space = 2
3
# 内核指针不暴露给非特权用户，阻碍内核漏洞利用
4
kernel.kptr_restrict = 2
5
# 普通用户不能读 dmesg，避免泄露内核地址布局
6
kernel.dmesg_restrict = 1
7
kernel.perf_event_paranoid = 2

1
# /tmp 与 /dev/shm 加 nosuid,nodev,noexec
2
tmpfs /dev/shm tmpfs defaults,nosuid,nodev,noexec 0 0
3
tmpfs /tmp     tmpfs defaults,nosuid,nodev,noexec 0 0

1
#!/bin/bash
2
# security-check.sh - 安装后安全验证脚本
3

4
PASS=0
5
FAIL=0
6

7
# SELinux 模式
8
if [ "$(getenforce)" = "Enforcing" ]; then
9
    echo "[PASS] SELinux: Enforcing"
10
    ((PASS++))
11
else
12
    echo "[FAIL] SELinux: $(getenforce)"
13
    ((FAIL++))
14
fi
15

16
# 防火墙状态
17
if systemctl is-active firewalld >/dev/null 2>&1; then
18
    echo "[PASS] Firewall: Active"
19
    ((PASS++))
20
else
21
    echo "[FAIL] Firewall: Inactive"
22
    ((FAIL++))
23
fi
24

25
# 开放端口
26
echo "[INFO] Open ports:"
27
ss -tlnp | grep LISTEN
28

29
# SSH 密钥唯一性
30
if [ -f /etc/ssh/ssh_host_rsa_key ]; then
31
    KEY_MD5=$(md5sum /etc/ssh/ssh_host_rsa_key | awk '{print $1}')
32
    echo "[INFO] SSH RSA key MD5: $KEY_MD5"
33
    echo "[INFO] Verify this differs from other deployed machines"
34
fi
35

36
# 敏感文件检查
37
for f in /root/.bash_history /root/*.pem /root/*.key; do
38
    if [ -f "$f" ]; then
39
        echo "[FAIL] Sensitive file found: $f"
40
        ((FAIL++))
41
    fi
42
done
43

44
# 挂载选项：/tmp 和 /dev/shm 必须 noexec,nosuid,nodev
45
for m in /tmp /dev/shm; do
46
    opts=$(findmnt -no OPTIONS "$m" 2>/dev/null)
47
    for need in noexec nosuid nodev; do
48
        if ! echo "$opts" | grep -qw "$need"; then
49
            echo "[FAIL] $m missing mount option: $need"
50
            ((FAIL++))
51
        fi
52
    done
53
done
54

55
# 内核硬化参数
56
check_sysctl() {
57
    val=$(sysctl -n "$1" 2>/dev/null)
58
    if [ "$val" != "$2" ]; then
59
        echo "[FAIL] sysctl $1 = ${val:-unset}, expected $2"
60
        ((FAIL++))
61
    fi
62
}
63
check_sysctl kernel.randomize_va_space 2
64
check_sysctl kernel.kptr_restrict 2
65
check_sysctl kernel.dmesg_restrict 1
66

67
# 不必要的服务
68
UNNECESSARY="avahi-daemon cups bluetooth"
69
for svc in $UNNECESSARY; do
70
    if systemctl is-enabled "$svc" >/dev/null 2>&1; then
71
        echo "[FAIL] Unnecessary service enabled: $svc"
72
        ((FAIL++))
73
    fi
74
done
75

76
echo ""
77
echo "Results: $PASS passed, $FAIL failed"

1
# 扫描 rootfs 目录中的已知漏洞
2
trivy fs /tmp/rootfs/
3

4
# 只显示高危和严重漏洞
5
trivy fs --severity HIGH,CRITICAL /tmp/rootfs/

1
# xorriso 固定时间戳
2
xorriso -as mkisofs \
3
    -o /tmp/product.iso \
4
    --modification-date=2026010100000000 \
5
    ... 其他参数 ...
6

7
# mksquashfs 固定压缩参数
8
mksquashfs /tmp/rootfs/ /tmp/new-rootfs.img \
9
    -comp xz \
10
    -Xbcj x86 \
11
    -b 1M \
12
    -no-progress \
13
    -all-root \
14
    -no-xattrs