SUSE Linux操作系統(tǒng)集成規(guī)范

1、 第 PAGE 155 頁(yè) 共 NUMPAGES 156 頁(yè) SUSE Linux操作系統(tǒng)集成規(guī)范 目錄 TOC o 1-3 h z u HYPERLINK l _Toc372724638 1.文檔說明 PAGEREF _Toc372724638 h 6 HYPERLINK l _Toc372724639 1.1.編寫目的與適用范圍 PAGEREF _Toc372724639 h 6 HYPERLINK l _Toc372724640 2.服務(wù)器操作系統(tǒng)安裝 PAGEREF _Toc372724640 h 6 HYPERLINK l _Toc372724641 2.1.前提條件 PAGEREF

2、 _Toc372724641 h 6 HYPERLINK l _Toc372724642 2.1.1.軟件需求 PAGEREF _Toc372724642 h 6 HYPERLINK l _Toc372724643 2.1.2.硬件需求（最低系統(tǒng)要求） PAGEREF _Toc372724643 h 6 HYPERLINK l _Toc372724644 2.2.SLES操作系統(tǒng)安裝 PAGEREF _Toc372724644 h 7 HYPERLINK l _Toc372724645 2.2.1.基本配置 PAGEREF _Toc372724645 h 7 HYPERLINK l _Toc3

3、72724646 2.2.2.時(shí)區(qū)配置 PAGEREF _Toc372724646 h 12 HYPERLINK l _Toc372724647 2.2.3.分區(qū)配置 PAGEREF _Toc372724647 h 13 HYPERLINK l _Toc372724648 2.2.4.軟件配置 PAGEREF _Toc372724648 h 23 HYPERLINK l _Toc372724649 2.2.5.語(yǔ)言配置 PAGEREF _Toc372724649 h 28 HYPERLINK l _Toc372724650 2.2.6.網(wǎng)絡(luò)配置 PAGEREF _Toc372724650 h

4、33 HYPERLINK l _Toc372724651 2.2.7.用戶配置 PAGEREF _Toc372724651 h 38 HYPERLINK l _Toc372724652 3.時(shí)鐘同步 PAGEREF _Toc372724652 h 43 HYPERLINK l _Toc372724653 4.DNS配置 PAGEREF _Toc372724653 h 44 HYPERLINK l _Toc372724654 5.系統(tǒng)服務(wù) PAGEREF _Toc372724654 h 45 HYPERLINK l _Toc372724655 6.系統(tǒng)參數(shù) PAGEREF _Toc3727246

5、55 h 46 HYPERLINK l _Toc372724656 6.1.環(huán)境變量 PAGEREF _Toc372724656 h 46 HYPERLINK l _Toc372724657 6.2.內(nèi)核參數(shù) PAGEREF _Toc372724657 h 46 HYPERLINK l _Toc372724658 6.3.配置hosts PAGEREF _Toc372724658 h 47 HYPERLINK l _Toc372724659 7.安全配置 PAGEREF _Toc372724659 h 47 HYPERLINK l _Toc372724660 8.審計(jì)策略（可選配置） PAGE

6、REF _Toc372724660 h 51 HYPERLINK l _Toc372724661 9.網(wǎng)絡(luò)訪問策略以及雙網(wǎng)卡綁定 PAGEREF _Toc372724661 h 52 HYPERLINK l _Toc372724662 9.1 網(wǎng)絡(luò)訪問策略 PAGEREF _Toc372724662 h 52 HYPERLINK l _Toc372724663 9.2 雙網(wǎng)卡綁定 PAGEREF _Toc372724663 h 52 HYPERLINK l _Toc372724664 9.3 靜態(tài)路由配置 PAGEREF _Toc372724664 h 54 HYPERLINK l _Toc3

7、72724665 10.ssh2配置策略 PAGEREF _Toc372724665 h 57 HYPERLINK l _Toc372724666 10.1 下載軟件包 PAGEREF _Toc372724666 h 57 HYPERLINK l _Toc372724667 10.2安裝 ssh軟件包 PAGEREF _Toc372724667 h 57 HYPERLINK l _Toc372724668 10.3修改ssh服務(wù)配置 PAGEREF _Toc372724668 h 57 HYPERLINK l _Toc372724669 10.4 運(yùn)行ssh服務(wù) PAGEREF _Toc372

8、724669 h 58 HYPERLINK l _Toc372724670 10.5設(shè)置開機(jī)自動(dòng)啟動(dòng)ssh服務(wù) PAGEREF _Toc372724670 h 59 HYPERLINK l _Toc372724671 10.6關(guān)閉telnet和ftp服務(wù) PAGEREF _Toc372724671 h 59 HYPERLINK l _Toc372724672 11.HP管理工具包安裝以及HP驅(qū)動(dòng)程序更新 PAGEREF _Toc372724672 h 59 HYPERLINK l _Toc372724673 11.1 準(zhǔn)備工作 PAGEREF _Toc372724673 h 59 HYPERL

9、INK l _Toc372724674 11.2安裝HP管理包更新HP驅(qū)動(dòng)程序 PAGEREF _Toc372724674 h 61 HYPERLINK l _Toc372724675 11.3 HP管理包使用方法 PAGEREF _Toc372724675 h 68 HYPERLINK l _Toc372724676 12.SLES HA安裝及配置 PAGEREF _Toc372724676 h 70 HYPERLINK l _Toc372724677 13.操作系統(tǒng)備份方法 PAGEREF _Toc372724677 h 70 HYPERLINK l _Toc372724678 14.附錄

10、一 PAGEREF _Toc372724678 h 78 HYPERLINK l _Toc372724679 15.附錄二 VMWare虛擬機(jī)clone后的系統(tǒng)配置修改手冊(cè) PAGEREF _Toc372724679 h 79 HYPERLINK l _Toc372724680 15.1 修改主機(jī)名 PAGEREF _Toc372724680 h 79 HYPERLINK l _Toc372724681 15.2 修改網(wǎng)絡(luò)相關(guān)配置 PAGEREF _Toc372724681 h 80 HYPERLINK l _Toc372724682 15.3 修改時(shí)鐘服務(wù)器NTP的配置 PAGEREF _T

11、oc372724682 h 82 HYPERLINK l _Toc372724683 15.4、刪除NBU軟件安裝的文件系統(tǒng)（可選，如果不需要安裝nbu備份軟件，建議執(zhí)行此操作） PAGEREF _Toc372724683 h 83 HYPERLINK l _Toc372724684 15.5、擴(kuò)容SWAP分區(qū)(視具體情況而定) PAGEREF _Toc372724684 h 83 HYPERLINK l _Toc372724685 15.6、擴(kuò)容文件系統(tǒng)(視具體情況而定) PAGEREF _Toc372724685 h 84 HYPERLINK l _Toc372724686 15.7、設(shè)置

12、網(wǎng)絡(luò)訪問策略(視具體情況而定) PAGEREF _Toc372724686 h 89 HYPERLINK l _Toc372724687 16.附錄三 SuSE Linux High Availability Extension安裝和配置規(guī)范 PAGEREF _Toc372724687 h 90 HYPERLINK l _Toc372724688 16.1. 引言 PAGEREF _Toc372724688 h 90 HYPERLINK l _Toc372724689 16.1.1.編寫目的與適用范圍 PAGEREF _Toc372724689 h 90 HYPERLINK l _Toc372

13、724690 16.2.系統(tǒng)要求 PAGEREF _Toc372724690 h 90 HYPERLINK l _Toc372724691 16.2.1.軟件要求 PAGEREF _Toc372724691 h 90 HYPERLINK l _Toc372724692 16.2.2.硬件要求 PAGEREF _Toc372724692 h 90 HYPERLINK l _Toc372724693 16.2.3.共享存儲(chǔ)系統(tǒng)需求 PAGEREF _Toc372724693 h 91 HYPERLINK l _Toc372724694 16.2.4.其它需求 PAGEREF _Toc3727246

14、94 h 91 HYPERLINK l _Toc372724695 16.3.安裝SLE_HA PAGEREF _Toc372724695 h 92 HYPERLINK l _Toc372724696 16.3.1.安裝方式 PAGEREF _Toc372724696 h 92 HYPERLINK l _Toc372724697 16.3.2.使用外接式軟件安裝 PAGEREF _Toc372724697 h 93 HYPERLINK l _Toc372724698 16.4.初始化配置 PAGEREF _Toc372724698 h 98 HYPERLINK l _Toc372724699

15、16.4.1.YaST群集模塊 PAGEREF _Toc372724699 h 98 HYPERLINK l _Toc372724700 16.4.2.定義通訊通道 PAGEREF _Toc372724700 h 98 HYPERLINK l _Toc372724701 16.4.3.定義身份驗(yàn)證設(shè)置 PAGEREF _Toc372724701 h 99 HYPERLINK l _Toc372724702 16.4.4.配置Cluster服務(wù) PAGEREF _Toc372724702 h 100 HYPERLINK l _Toc372724703 16.4.5.配置Csync2 PAGERE

16、F _Toc372724703 h 101 HYPERLINK l _Toc372724704 16.4.6.同步群集節(jié)點(diǎn)間的連接狀態(tài) PAGEREF _Toc372724704 h 103 HYPERLINK l _Toc372724705 16.4.7.手動(dòng)同步配置文件 PAGEREF _Toc372724705 h 104 HYPERLINK l _Toc372724706 16.4.8.初始化SBD PAGEREF _Toc372724706 h 105 HYPERLINK l _Toc372724707 16.5.服務(wù)資源配置 PAGEREF _Toc372724707 h 106

17、HYPERLINK l _Toc372724708 16.5.1.添加STONITH資源 PAGEREF _Toc372724708 h 110 HYPERLINK l _Toc372724709 16.5.2.添加服務(wù)資源組 PAGEREF _Toc372724709 h 115 HYPERLINK l _Toc372724710 16.6.HA附錄 PAGEREF _Toc372724710 h 126 HYPERLINK l _Toc372724711 17.附錄四：HP G8 服務(wù)器Firmware升級(jí) PAGEREF _Toc372724711 h 127 HYPERLINK l _

18、Toc372724712 18.附錄五：HP G8 服務(wù)器陣列卡檢查和配置 PAGEREF _Toc372724712 h 132 HYPERLINK l _Toc372724713 18.1.陣列卡狀態(tài)檢查 PAGEREF _Toc372724713 h 133 HYPERLINK l _Toc372724714 18.2. 陣列卡配置 PAGEREF _Toc372724714 h 134 HYPERLINK l _Toc372724715 19.附錄六：SLES系統(tǒng)NTP配置調(diào)整步驟 PAGEREF _Toc372724715 h 137 HYPERLINK l _Toc37272471

19、6 20.附錄七：SLES健康檢查列表 PAGEREF _Toc372724716 h 141服務(wù)器操作系統(tǒng)安裝2.1.前提條件2.1.1.軟件需求SuSE Linux Enterprise Server 11 SP2 x64安裝介質(zhì)（DVD光盤）2.1.2.硬件需求（最低系統(tǒng)要求）Pentium* III 500 MHz 或更高版本處理器 (建議使用Pentium 4 2.4 GHz 或更高版本，或是任一 AMD64/Intel*EM64T 處理器)512 MB 物理 RAM (建議 1 GB)2 GB 可用磁盤空間 (建議更大)800 x 600 顯示器分辨率 (建議 1024 x 768

20、 或更高)2.2.SLES操作系統(tǒng)安裝2.2.1.基本配置在安裝SLES操作系統(tǒng)之前，需先對(duì)服務(wù)器進(jìn)行Firmware升級(jí)，參見附錄五：HP G8服務(wù)器Firmware升級(jí)。對(duì)于HP G8機(jī)器，開機(jī) 按F10，智能安裝加載引導(dǎo)HP驅(qū)動(dòng)此處請(qǐng)先進(jìn)入Perform Maintenance中的ACU確認(rèn)陣列卡配置的raid類型為raid1，參見附錄五：HP G8服務(wù)器陣列卡檢查和配置點(diǎn)擊 Configure and install點(diǎn)擊Next選擇suse linux ，并掛載安裝介質(zhì)，后選擇next點(diǎn)擊next系統(tǒng)自動(dòng)重啟后，選擇從光盤引導(dǎo)的啟動(dòng)方式。在開機(jī)畫面中選擇Installation進(jìn)入安裝

21、界面，并注意選擇分辨率，如果顯示器分辯率較低，請(qǐng)選擇800*600，液晶顯示器通常使用1024*768，請(qǐng)參考相關(guān)顯示器的性能指標(biāo)。選擇安裝期間以及所安裝系統(tǒng)要使用的語(yǔ)言。閱讀授權(quán)合約，然后選擇“我接受許可證條款”。選擇“全新安裝”，點(diǎn)“下一步”繼續(xù)2.2.2.時(shí)區(qū)配置設(shè)置時(shí)區(qū)后， 點(diǎn)“下一步”進(jìn)入安裝設(shè)置界面2.2.3.分區(qū)配置如上圖，點(diǎn)“分區(qū)”，進(jìn)行系統(tǒng)分區(qū)設(shè)置, 系統(tǒng)分區(qū)建議按如下分區(qū)表建立：分區(qū)加載點(diǎn)LVM建議大小文件系統(tǒng)格式備注主分區(qū)1/boot204Mext3引導(dǎo)分區(qū)LVM（剩余空間）/dev/vg00/lvroot50Gext3根分區(qū)swap/dev/vg00/lvswapswa

22、p交換分區(qū)/usr/openv/dev/vg00/lvopenv5Gext3軟件安裝目錄說明：/boot分區(qū)不能采用LVM，否則系統(tǒng)無法啟動(dòng)上述分區(qū)方案對(duì)于一般來說沒有將所有磁盤容量完全用完，可以根據(jù)應(yīng)用在余下的容量中建立相應(yīng)的邏輯卷。 swap的大小按照如下規(guī)則：1、內(nèi)存小于8G，swap為內(nèi)存的2倍2、內(nèi)存大于8G，swap大小為16G3、如果有應(yīng)用對(duì)于swap有特殊要求，按照應(yīng)用的要求劃分。默認(rèn)文件系統(tǒng)格式為ext3，對(duì)于特殊情況可以選擇其他文件系統(tǒng)（比如磁盤大小超過16T，可以使用xfs或者btrfs文件系統(tǒng)）；如上圖，選擇“自定義分區(qū)(僅限專家)”,點(diǎn)“下一步”，進(jìn)入專家分區(qū)工具界面

23、：如上圖，點(diǎn)“添加”，進(jìn)入如下畫面：選擇“主分區(qū)”，點(diǎn)“下一步”，進(jìn)入如下界面：選擇“自定義大小”，輸入“204M”，點(diǎn)擊“下一步”進(jìn)入如下界面；建立boot分區(qū)，文件類型為Ext3，點(diǎn)“完成”接著用剩余空間創(chuàng)建LVM分區(qū), 點(diǎn)“添加”，選擇“主分區(qū)”, 點(diǎn)“確定”選擇“最大大小”，點(diǎn)擊“下一步”如下圖，文件系統(tǒng)選擇“0 x8E Linux LVM”, 選擇“不裝入分區(qū)”，點(diǎn)“完成”；選擇“卷管理”，如下圖；點(diǎn)“添加卷組”進(jìn)入物理卷設(shè)置界面卷組（VG）命名規(guī)范外置卷組即指操作系統(tǒng)中本地硬盤以外的共享存儲(chǔ)空間。外置卷組必須采用 vg“主機(jī)名”“用途簡(jiǎn)稱”的命名方法，主機(jī)名的第一個(gè)字母應(yīng)大寫。用途

24、簡(jiǎn)稱指具體的數(shù)據(jù)庫(kù)類型或應(yīng)用類型，包括：informix - I，sybase ASE - S，weblogic - W，tuxedo - T，備份 - B，應(yīng)用 - A等，根卷保持“vg00”命名不變。按照上述規(guī)范，若主機(jī)名稱為abcdef，則該主機(jī)根卷名稱為vg00，該主機(jī)上為Weblogic配置的共享卷名稱為“vgAbcdefW”，為sybase配置的共享卷為“vgAbcdefS”，為備份配置的共享卷名稱為“vgAbcdefB”，為應(yīng)用配置的共享卷為vgAbcdefA。邏輯卷（LV）用于操作系統(tǒng)的邏輯卷命名采用如下表所示方案(Weblogic和Tuxedo可參照此命名方法，需注意掛載點(diǎn)的

25、第一個(gè)字母應(yīng)大寫)：邏輯卷用途命名方法(匈牙利表示法)舉例用于文件系統(tǒng)lv + 掛載點(diǎn)名稱lvMountname用于保留交換區(qū)的文件系統(tǒng)lvsw + 掛載點(diǎn)名稱lvswMountname說明：用于數(shù)據(jù)庫(kù)的邏輯卷命名方法，請(qǐng)參見浦發(fā)銀行數(shù)據(jù)庫(kù)標(biāo)準(zhǔn)化配置規(guī)范；劃分的邏輯卷必須由特定的用途，嚴(yán)禁系統(tǒng)中存在未使用的邏輯卷。外置卷具體需求，請(qǐng)參見第14節(jié)附錄一。選中“vg00”，點(diǎn)擊“邏輯卷”進(jìn)入邏輯卷設(shè)置界面點(diǎn)“添加”依次創(chuàng)建swap、root邏輯卷接著輸入分區(qū)大??；如上圖，點(diǎn)“下一步”，選擇文件系統(tǒng)類型“swap”，選擇裝入點(diǎn)“swap”，點(diǎn)“完成”；點(diǎn)“添加”依次創(chuàng)建root邏輯卷全部創(chuàng)建完后點(diǎn)擊

26、“接受”完成分區(qū)配置。2.2.4.軟件配置點(diǎn)擊“專家”標(biāo)簽頁(yè)，出現(xiàn)如下界面：如上圖，點(diǎn)“軟件”，進(jìn)入軟件管理界面：如上圖，在左邊窗口中取消“打印服務(wù)器”，“Novell AppAmor”,點(diǎn)“細(xì)節(jié)”進(jìn)入如下界面然后在過濾器下拉框中選擇“搜索”；說明：根據(jù)項(xiàng)目需求不同，所需軟件不同，請(qǐng)參見第14節(jié)附錄一，這里以vsftpd為例； 如上圖，在左邊窗口查找框輸入“vsftpd“搜索”，在右邊的窗口軟件列表方框內(nèi)打勾。點(diǎn)“接受”，出現(xiàn)如下界面；如上圖，點(diǎn)擊“接受”，完成軟件選擇，出現(xiàn)如下界面：如上圖，點(diǎn)擊“繼續(xù)”，完成軟件依賴包選擇，出現(xiàn)如下界面：2.2.5.語(yǔ)言配置點(diǎn)擊“語(yǔ)言”，會(huì)出現(xiàn)如下界面：選擇

27、所需要的語(yǔ)言（具體需求請(qǐng)參見第14節(jié)附錄一），點(diǎn)擊“接受”，會(huì)出現(xiàn)如下界面：點(diǎn)擊“安裝”，會(huì)出現(xiàn)如下界面： 點(diǎn)擊“安裝”，確認(rèn)安裝后開始執(zhí)行安裝，如下圖：系統(tǒng)基本安裝完成后，重新啟動(dòng)系統(tǒng)，出現(xiàn)如下界面：重啟完系統(tǒng)之后，會(huì)進(jìn)行系統(tǒng)配置，出現(xiàn)如下界面：如上圖，輸入root用戶口令root123，點(diǎn)“下一步”，進(jìn)入主機(jī)名和域名設(shè)置界面如上圖，輸入主機(jī)名和域名，不選擇“通過 DHCP 更改主機(jī)名”，點(diǎn)擊“下一步”，進(jìn)入網(wǎng)絡(luò)配置界面：主機(jī)命名規(guī)則：主機(jī)名要求采用拼音簡(jiǎn)稱或英文簡(jiǎn)稱的方式，對(duì)于應(yīng)用服務(wù)器可在系統(tǒng)名稱拼音首字母后加ap，對(duì)于數(shù)據(jù)庫(kù)服務(wù)器則在系統(tǒng)名稱拼音首字母后加上db，統(tǒng)一小寫，長(zhǎng)度在4 8

28、個(gè)字符之間。舉例說明：若文件傳輸系統(tǒng)采用ftc作為應(yīng)用簡(jiǎn)稱，則其應(yīng)用服務(wù)器應(yīng)命名為ftcap，其數(shù)據(jù)庫(kù)服務(wù)器主機(jī)名應(yīng)命名為ftcdb；若主機(jī)名不帶數(shù)字，則表明為單機(jī)系統(tǒng)；若主機(jī)名包含數(shù)字則表明為群集成員，通常：1代表主機(jī)，2代表備機(jī)。舉例說明：以上述文件傳輸系統(tǒng)應(yīng)用服務(wù)器為例，若其應(yīng)用服務(wù)器作雙機(jī)，則主、備機(jī)應(yīng)分別命名為：ftcap1和ftcap2；災(zāi)備機(jī)則在主機(jī)名前加上zb。舉例說明：以上述文件傳輸系統(tǒng)應(yīng)用服務(wù)器為例，其應(yīng)用服務(wù)器的災(zāi)備主、備機(jī)應(yīng)分別命名為：zbftcap1和zbftcap2。說明：為保證主機(jī)名不沖突，編制集成方案時(shí)需和數(shù)據(jù)中心商討、確認(rèn)主機(jī)名稱。若數(shù)據(jù)中心發(fā)布命名規(guī)范，則按

29、規(guī)范執(zhí)行。2.2.6.網(wǎng)絡(luò)配置點(diǎn)擊“禁用IPV6”按鈕。點(diǎn)擊“防火墻禁用”按鈕。點(diǎn)擊“網(wǎng)絡(luò)接口”，進(jìn)入網(wǎng)絡(luò)設(shè)置界面：點(diǎn)擊“編輯”，進(jìn)入網(wǎng)卡設(shè)置界面，配置靜態(tài)IP地址和子網(wǎng)掩碼，點(diǎn)擊“下一步”說明：網(wǎng)絡(luò)配置需求，請(qǐng)參見第14節(jié)附錄一。點(diǎn)“下一步”, 然后選擇“路由選擇”，如下圖：如上圖，輸入網(wǎng)關(guān)地址，點(diǎn)擊“確定”，回到網(wǎng)絡(luò)配置界面。點(diǎn)擊“下一步”，保存網(wǎng)絡(luò)配置。保存網(wǎng)絡(luò)配置后，出現(xiàn)測(cè)試因特網(wǎng)連接的界面，如下圖：如上圖，選擇“否，跳過此測(cè)試”，點(diǎn)“下一步”，進(jìn)入安裝設(shè)置界面：如上圖，選擇“跳過配置”，點(diǎn)“下一步”，進(jìn)入選擇用戶認(rèn)證方式界面：2.2.7.用戶配置如上圖，接受系統(tǒng)默認(rèn)的“本地（/etc

30、/passwd）”，點(diǎn)“下一步”，出現(xiàn)增加用戶界面：如上圖，新增的組和用戶，具體需求請(qǐng)參見第14節(jié)附錄一。說明：系統(tǒng)帳號(hào)要求在系統(tǒng)集成和應(yīng)用規(guī)劃時(shí)，必須達(dá)到如下要求：系統(tǒng)不存在無用的賬號(hào)；除root以外，所有系統(tǒng)的賬號(hào)均可更改；一般情況不允許將各類賬號(hào)/口令的明文存儲(chǔ)在文件中，除非受到技術(shù)限制（如只能通過文件存放明文）；某些賬號(hào)僅供分行或者業(yè)務(wù)人員FTP使用，對(duì)于此類賬號(hào)，必須進(jìn)行配置以限制此類賬號(hào)，應(yīng)滿足如下要求：該類賬號(hào)僅能通過FTP連接至主機(jī)，但不能遠(yuǎn)程登陸(telnet/rlogin)至相關(guān)主機(jī)；并且該類賬號(hào)FTP至主機(jī)后，僅能訪問固定目錄；若分行/業(yè)務(wù)人員需要登陸至主機(jī)以做某些操作，

31、必須提供固定的使用界面，當(dāng)用戶登錄后直接進(jìn)入應(yīng)用程序環(huán)境，若退出應(yīng)用程序，則直接斷開本次連接；必須對(duì)密碼限制，包括時(shí)效限制(口令每6個(gè)月修改一次，或按系統(tǒng)重要程度，根據(jù)總行、分行關(guān)于賬戶密碼管理的相關(guān)規(guī)定執(zhí)行)、復(fù)雜程度限制(長(zhǎng)度最少8位，管理員口令長(zhǎng)度16位)、非空限制、重復(fù)使用次數(shù)限制(不得使用3次之內(nèi)重復(fù)的密碼)。帳戶口令的設(shè)置應(yīng)遵照上海浦東發(fā)展銀行信息系統(tǒng)運(yùn)維帳號(hào)管理辦法及上海浦東發(fā)展銀行總行信息科技總部數(shù)據(jù)中心生產(chǎn)系統(tǒng)運(yùn)維安全管理規(guī)程執(zhí)行。用戶組名、組號(hào)、用戶名、用戶號(hào)規(guī)范如下：用戶名用戶ID所屬組組ID備注weblogic131weblogic131為weblogic中間件創(chuàng)建tu

32、xedo141tuxedo141為tuxedo中間件創(chuàng)建vlog300vlog300為日常檢查創(chuàng)建ovuser110opcgrp110為OpenView創(chuàng)建其他 1100其他 1100其他用戶和組的ID需要大于1100Db2400 - 499Db2400 - 499為db2數(shù)據(jù)庫(kù)創(chuàng)建oracle201oinstall201為Oracle數(shù)據(jù)庫(kù)創(chuàng)建，oracle用戶主組dba202為oracle數(shù)據(jù)庫(kù)創(chuàng)建oper203用于管理Oracle數(shù)據(jù)庫(kù)。（必建）asmadmin204用于安裝ASM軟件。（如果使用ASM，需要?jiǎng)?chuàng)建）asmdba205用于管理ASM實(shí)例。（如果使用ASM，需要?jiǎng)?chuàng)建）asmo

33、per206用于操作ASM實(shí)例。（如果使用ASM，需要?jiǎng)?chuàng)建）grid（Oracle使用ASM時(shí)需創(chuàng)建）202asmadmin204用于安裝ASM軟件。（如果使用ASM，需要?jiǎng)?chuàng)建）asmdba205用于管理ASM實(shí)例。（如果使用ASM，需要?jiǎng)?chuàng)建）點(diǎn)“下一步”，進(jìn)入發(fā)行說明界面：如上圖，點(diǎn)“下一步”，進(jìn)入硬件配置界面如上圖，確認(rèn)顯示器可以支持相應(yīng)的分辨率(推薦：1024*768)，確認(rèn)或修改后，點(diǎn)擊“下一步”按鈕，選中“為Autoyast復(fù)制此系統(tǒng)”完成系統(tǒng)安裝。時(shí)鐘同步以root用戶登陸服務(wù)器，運(yùn)行yast2 ntp-client, 出現(xiàn)NTP配置界面如上圖，選擇“New and On Boot

34、”, 選擇“Add”填入時(shí)間服務(wù)器的IP地址x.x.x.x（具體需求請(qǐng)參見第14節(jié)附錄一), 點(diǎn)“OK”結(jié)束時(shí)間同步的配置.NTP 服務(wù)器信息請(qǐng)與時(shí)鐘服務(wù)器管理員確認(rèn)：我行總行新建的NTP服務(wù)器地址如下：生產(chǎn)9 管理 00 辦公 00 業(yè)務(wù) 災(zāi)備58 管理 1辦公 1 業(yè)務(wù) NTP配置方法詳見附錄六浦發(fā)銀行NTP客戶端SUSE Linux系統(tǒng)配置步驟，請(qǐng)?jiān)谂渲猛闚TP服務(wù)器后確認(rèn)硬件時(shí)鐘和軟件時(shí)鐘是否一致.hwclock -r /查看當(dāng)前硬件時(shí)間hwclock -s /將系統(tǒng)時(shí)間設(shè)置成和硬件時(shí)間一樣hwclock -w /將硬件時(shí)間設(shè)置成和系統(tǒng)時(shí)間一樣DNS配置SuSE Enterprise

35、Linux作為DNS客戶端的配置方法如下 ：修改/etc/resolv.conf文件，添加如下內(nèi)容 nameserver xx.xx.xx.xx (xx為DNS服務(wù)器地址，詳細(xì)信息請(qǐng)參見第14節(jié)附錄一)需要注意： 1、“如果在/etc/hosts文件中加入了地址解析的配置，該配置比resolv.conf指向的DNS服務(wù)器權(quán)限高”。 2、每次修改網(wǎng)卡配置中的DNS并重啟該網(wǎng)卡，會(huì)刷新resolv.conf中的nameserver。3、SuSE中有nscd緩存服務(wù)，在修改DNS、hostname、用戶帳戶后，需要重啟該服務(wù)。 rcnscd restart系統(tǒng)服務(wù)為提高系統(tǒng)的穩(wěn)定性，減少系統(tǒng)網(wǎng)絡(luò)配置

36、上的漏洞，SUSE Enterprise Linux系統(tǒng)必須關(guān)閉如下表所示的網(wǎng)絡(luò)服務(wù):服務(wù)名稱服務(wù)描述cups打印服務(wù)postfix郵件服務(wù)pcscdsmart卡登錄服務(wù)smartd磁盤監(jiān)控服務(wù)，對(duì)于做過RAID的磁盤無效vsftpdFTP文件傳輸服務(wù)以root用戶登陸操作系統(tǒng)進(jìn)行如下操作：關(guān)閉cups、postfix、pcscd、smartd、vsftpd服務(wù)chkconfig -level 35 cups offchkconfig -level 35 postfix offchkconfig -level 35 pcscd offchkconfig -level 35 smartd off

37、chkconfig -level 35 vsftpd off提示為修復(fù)suse linux 11 sp2 的procps 軟件版本bug, 檢查rpm -qa |grep procps 軟件版本，若procps版本為3.2.7-151.20.1,解決方式：則將procps版本升級(jí)到3.2.7-151.26.1，升級(jí)方法執(zhí)行如下命令：rpm Uvh procps-3.2.7-151.26.1.x86_64.rpm系統(tǒng)參數(shù)6.1.環(huán)境變量編輯/etc/profile文件，加入set -o vi （啟用命令行vi模式）TMOUT=300 （終端超時(shí)設(shè)置）umask 002 （創(chuàng)建文件權(quán)限設(shè)置）ali

38、as rm=rm -ialias cp=cp -ialias mv=mv -iexport HISTSIZE=1000 (用戶歷史命令最大條數(shù))export HISTTIMEFORMAT=%Y-%m-%d %H:%M:%S ulimit -c 25000 （當(dāng)前用戶生成core文件的最大大?。┚庉?etc/inittab文件：id:5:initdefault:將5修改為3（3表示字符界面網(wǎng)絡(luò)多用戶模式）6.2.內(nèi)核參數(shù)編輯/etc/sysctl.conf具體需求，請(qǐng)參見第14節(jié)附錄一。編輯完成后使用sysctl -p使配置參數(shù)生效2） 如系統(tǒng)使用netapp存儲(chǔ)，請(qǐng)檢查： more /sys/

39、block/sda/device/timeout 的值已從默認(rèn)的30修改為180， 如非180則執(zhí)行l(wèi)inux_gos_timeout-install.sh腳本。 /*如果有多個(gè)磁盤,需要檢查磁盤相對(duì)應(yīng)的timeout值，本例中只有sda*/6.3.配置hosts編輯/etc/hosts文件：#IP地址主機(jī)名 /此行屬于注釋說明，無需添加到hosts表中41sles11sp2a說明：如果有多個(gè)IP地址，請(qǐng)?zhí)砑佣鄺l記錄；如果是群集，需要將群集中所有節(jié)點(diǎn)的IP地址和主機(jī)名都添加到hosts表中，并在群集所有節(jié)點(diǎn)中保持一致。安全配置以root用戶登陸服務(wù)器，運(yùn)行yast2 security, 出現(xiàn)本

40、地安全性配置界面如下圖，選擇“密碼設(shè)置”，進(jìn)入密碼設(shè)置界面如上圖，選擇“測(cè)試復(fù)雜密碼”，要記憶的密碼數(shù)目選擇“3”，密碼加密方法選擇“MD5”, 密碼的最小接受長(zhǎng)度改為“8”, 密碼有效期的最大值改為“99999”,密碼失效期多少天發(fā)出警告選擇“7”天，點(diǎn)左邊“引導(dǎo)設(shè)置”進(jìn)入引導(dǎo)設(shè)置界面如上圖，對(duì)Ctrl+Alt+Del的解釋選擇“忽略”,點(diǎn)“登錄設(shè)置”進(jìn)入登錄設(shè)置界面如上圖，“不正確登陸嘗試前的延遲”設(shè)置為3，選擇“允許遠(yuǎn)程圖形登錄”,點(diǎn)“用戶添加”進(jìn)入用戶和組ID設(shè)置界面如上圖，用戶ID最大值選擇“3000”, 組ID最大值選擇“3000”，點(diǎn)“雜項(xiàng)設(shè)置”進(jìn)入雜項(xiàng)界面如上圖，文件權(quán)限選擇“

41、安全”, 點(diǎn)“確定”結(jié)束系統(tǒng)的安全性設(shè)置。滿足監(jiān)管要求密碼長(zhǎng)度至少8位，至少包含小寫字母和數(shù)字需求的設(shè)置方法如下：將 /etc/pam.d/common-password 文件內(nèi)容改為如下：password required pam_cracklib.so retry=3 minlen=8 dcredit=-1 lcredit=-1password required pam_unix2.so use_authtok nullok審計(jì)策略（可選配置）系統(tǒng)缺省已經(jīng)開啟syslog服務(wù)。系統(tǒng)syslog服務(wù)會(huì)將所有登錄自動(dòng)記錄到/var/log/messages文件中。開啟audit審計(jì)功能，可以監(jiān)

42、控指定用戶或目錄，缺省會(huì)監(jiān)控root的所有登錄和操作。如果需要監(jiān)控某些用戶、進(jìn)程、目錄或文件需要添加規(guī)則到 /etc/audit.rules 文件中audit日志文件自動(dòng)保存在/var/log/audit/目錄中。啟動(dòng)audit服務(wù) service auditd start添加auidt服務(wù)到系統(tǒng)啟動(dòng)項(xiàng)進(jìn)程 chkconfig auditd on備注：audit日志文件自動(dòng)保存在/var/log/audit/目錄中，每個(gè)log文件超過5M時(shí)進(jìn)行輪換，保持最后4個(gè)log。可以通過/etc/audit/auditd.conf進(jìn)行配置。網(wǎng)絡(luò)訪問策略以及雙網(wǎng)卡綁定9.1 網(wǎng)絡(luò)訪問策略例如：設(shè)置192.

43、168.253.x網(wǎng)段無法使用主機(jī)的ssh和telnet服務(wù)# vi /etc/hosts.denysshd : /24 或sshd: 192.168.253.in.telnetd : /24 或 in.telnetd : 192.168.253.建議寫法，使用拒絕所有，僅允許訪問的IP地址或地址段。例：sshd: ALL EXCEPT 00,009.2 雙網(wǎng)卡綁定1. 配置加在網(wǎng)卡驅(qū)動(dòng)注意：大多數(shù)情況下不需要配置這一步驟，只有某些網(wǎng)卡不能在啟動(dòng)過程中驅(qū)動(dòng)初始較慢沒有識(shí)別導(dǎo)致綁定不成功，也就是有的slave設(shè)備沒有加入綁定，才需要配置。在 /etc/sysconfig/kernel 文件中的

44、MODULES_LOADED_ON_BOOT 參數(shù)加上網(wǎng)卡的驅(qū)動(dòng)ex.MODULES_LOADED_ON_BOOT=”tg3 e1000”2. 創(chuàng)建要綁定的網(wǎng)卡配置文件編輯 /etc/sysconfig/network/ifcfg-eth*，其中*為數(shù)字，例如ifcfg-eth0 , ifcfg-eth1等等。每個(gè)文件注釋所有內(nèi)容并添加如下內(nèi)容：BOOTPROTO=noneSTARTMODE=off# cat /etc/sysconfig/network/ifcfg-eth0和ifcfg-eth1=#USERCONTROL=no#BROADCAST=#ETHTOOL_OPTIONS=#IPAD

45、DR=#MTU=#NAME=79c970 PCnet32 LANCE#NETWORK=#REMOTE_IPADDR=BOOTPROTO=noneSTARTMODE=off=3. 創(chuàng)建bond0的配置文件# vi /etc/sysconfig/network/ifcfg-bond0=BOOTPROTO=staticIPADDR=NETMASK=STARTMODE=onbootBONDING_MASTER=yesBONDING_MODULE_OPTS=mode=1 miimon=100 use_carrier=0 primary=eth0BONDING_SLAVE0=eth0BONDING_SLA

46、VE1=eth1=BONDING_MODULE_OPTS 參數(shù): mode=1 為 active-backup 模式，mode=0 為 balance_rr 模式。4. 對(duì)于 active-backup 模式，需要在 BONDING_MODULE_OPTS 參數(shù)中加上制定主設(shè)備的參數(shù)，例如：BONDING_MODULE_OPTS=mode=1 miimon=100 use_carrier=0 primary=eth05. 重新啟動(dòng)network服務(wù)# rcnetwork restart6. 注意事項(xiàng)a. 在某些情況下網(wǎng)卡驅(qū)動(dòng)的初始化的時(shí)間可能會(huì)比較長(zhǎng)，從而導(dǎo)致 bonding 不成功，那么可以

47、修改 /etc/sysconfig/network/config 配置文件的 WAIT_FOR_INTERFACES 參數(shù)，將其值改成30。b. 配置完bonding之后，可以通過在客戶端ping,然后在服務(wù)器端拔插網(wǎng)線來驗(yàn)證是否已經(jīng)正常工作。c. cat /proc/net/bonding/bond0 可以查看bonding的狀態(tài)。9.3 靜態(tài)路由配置 在SUSE系統(tǒng)中使用route命令可以查看當(dāng)前路由表信息，并可以進(jìn)行添加、刪除路由信息。以下操作模擬進(jìn)行添加、刪除、備份、恢復(fù)路由。1、添加路由添加臨時(shí)路由方式：本機(jī)網(wǎng)段172.16.232.X/24，添加靜態(tài)路由，往172.16.220.X

48、/24網(wǎng)段經(jīng)由20網(wǎng)關(guān)：route add -net netmask gw 20注：如果失敗，可以指定網(wǎng)絡(luò)端口：(具體網(wǎng)卡設(shè)備根據(jù)要添加的路由地址，查找和本機(jī)配置了同網(wǎng)段IP的網(wǎng)卡設(shè)備)route add -net netmask gw 20 dev eth0本機(jī)網(wǎng)段172.16.232.X/24，添加靜態(tài)路由，往4/24主機(jī)經(jīng)由14網(wǎng)關(guān)：route add -host 4 gw 14上述命令是都是添加即時(shí)生效的路由方式，但重啟網(wǎng)絡(luò)或者重啟服務(wù)器后將會(huì)丟失。如果需要添加永久有效的路由，還需要使用如下方式：添加永久路由方式：(1) 先備份路由文件/etc/sysconfig/network/ro

49、utes，請(qǐng)執(zhí)行 cp /etc/sysconfig/network/routes /etc/sysconfig/network/routes.bak (2)編輯/etc/sysconfig/network/routes文件，添加： 20 4 14 55(3)重啟網(wǎng)絡(luò)生效rcnetwork restart注：如果在不能重啟網(wǎng)絡(luò)的情況下，可以兩種方式結(jié)合使用，先用添加臨時(shí)路由的方式讓路由即時(shí)生效，然后在配置文件添加相對(duì)應(yīng)的路由條目，在下次重啟時(shí)臨時(shí)添加的丟失了，但是配置文件里的路由條目就生效了。2、刪除路由刪除上述往172.16.232.X/24網(wǎng)段的路由。route del -net netm

50、ask gw 20刪除上述往4主機(jī)的路由。route del -host 4 gw 14命令執(zhí)行后，使用route命令查看當(dāng)前路由表信息，確認(rèn)已刪除。編輯/etc/sysconfig/network/routes文件，刪除相對(duì)應(yīng)的路由條目。注：同添加路由的方式一樣，在不允許重啟網(wǎng)絡(luò)的情況下，先用命令刪除路由條目，然后再修改路由配置文件。3、備份路由路由配置文件都保存在/etc/sysconfig/network/routes文件中，在每次路由變更前先備份此文件，以便能夠及時(shí)回退。注：如系統(tǒng)前期的路由添加非本文檔方法，此類路由備份方法需酌情分析。cp /etc/sysconfig/network

51、/routes /etc/sysconfig/network/routes.bak4、恢復(fù)路由將/etc/sysconfig/network/route文件恢復(fù)，重啟系統(tǒng)網(wǎng)絡(luò)服務(wù)，即可恢復(fù)靜態(tài)路由。cp /etc/sysconfig/network/routes.bak /etc/sysconfig/network/routesssh2配置策略10.1 下載軟件包Suse Linux和Redhat Linux操作系統(tǒng)安裝盤中，存在ssh軟件包，無須單獨(dú)再下載。10.2安裝 ssh軟件包 說明：Linux安裝一般會(huì)安裝ssh軟件包，無須安裝。# mount /dev/cdrom /media#

52、cd /media/suse/x86_64# rpm -Uvh openssh-*.x86_64.rpm10.3修改ssh服務(wù)配置# vi /etc/ssh/sshd_config確認(rèn)或修改如下配置項(xiàng)：#Protocol 2 修改為Protocol 2ServerKeyBits 1024修改為ServerKeyBits 204810.4 運(yùn)行ssh服務(wù)默認(rèn)安裝好后系統(tǒng)自動(dòng)啟用ssh服務(wù)。確認(rèn)ssh服務(wù)是否啟動(dòng)，如下命令：# service sshd statusChecking for service sshd running如果有對(duì)應(yīng)進(jìn)程，可通過以下命令重啟ssh服務(wù)：# service s

53、shd restart如果沒有對(duì)應(yīng)進(jìn)程，可通過以下命令啟動(dòng)ssh服務(wù)：# service sshd start若要停止ssh服務(wù)，可輸入：# service sshd stop10.5設(shè)置開機(jī)自動(dòng)啟動(dòng)ssh服務(wù)# chkconfig -level 35 sshd on# chkconfig -list sshdsshd 0:off 1:off 2:off 3:on 4:off 5:on 6:off10.6關(guān)閉telnet和ftp服務(wù)1、關(guān)閉telnet服務(wù)自啟chkconfig level 35 telnet off 執(zhí)行/etc/init.d/xinetd restart使更改生效2、停止f

54、tp服務(wù)service vsftpd stop關(guān)閉ftp服務(wù)自啟chkconfig -level 35 vsftpd offHP管理工具包安裝以及HP驅(qū)動(dòng)程序更新11.1 準(zhǔn)備工作對(duì)于HP G8機(jī)器，更新HP驅(qū)動(dòng)程序以及HP管理工具包需要做以下準(zhǔn)備工作對(duì)于 SLES 11 AMD64/EM64T 服務(wù)器： glib-1.2.10-15.i386 或更高版本 compat-libstdc+-296-2.96-132.7.2.i386 或更高版本 libstdc+33-32bit-3.3.3-11.9 或更高版本 perl-SNMP-6.3.x86_64 或更高版本 （如下圖所示）net-snmp

55、-6.3.x86_64 或更高版本 libnl（需要 QLogic 和 Emulex 驅(qū)動(dòng)程序） 如要構(gòu)建 NIC 源 RPM，在運(yùn)行 HP SUM 的本地 Linux 系統(tǒng)上需要使用以下 RPM： gcc-2.96-108.1 或更高版本 （如下圖所示）kernel-default-devel（通過源建立 RPM 時(shí)需要。尤其是 Red Hat Enterprise Server 5.3 和更高版本。確保除了 kernel-xen-devel 或 kernel-PAE-devel 等內(nèi)核專用軟件包，還安裝了 kernel-default-devel） kernel-syms （如下圖所示勾選

56、kernel-default-devel和kernel-syms ）RPM 構(gòu)建工具 11.2安裝HP管理包更新HP驅(qū)動(dòng)程序通過SUSE系統(tǒng)掛載SPP光盤 mount /dev/cdrom /mnt執(zhí)行hp/swpackage/hpsum打開hpsum點(diǎn)擊下一步next選擇default源點(diǎn)擊下一步選中l(wèi)ocalhost，并點(diǎn)擊Enter Credentials輸入主機(jī)的用戶名和密碼，（此時(shí)如果是刀片服務(wù)器，會(huì)提示OA的升級(jí)，請(qǐng)務(wù)必不要選中oa的地址）輸入用戶名和密碼后，next會(huì)變成可選狀態(tài)，點(diǎn)擊下一步選擇select components選擇要安裝的驅(qū)動(dòng)或其他組件如果僅為了安裝sim服務(wù)包

57、，建議按照如下方式選擇如果安裝驅(qū)動(dòng)和sim服務(wù)包，建議按照如下方式選擇 （其中驅(qū)動(dòng)程序可根據(jù)實(shí)際需求選擇更新）點(diǎn)擊install開始進(jìn)行安裝安裝完畢之后顯示可以點(diǎn)擊view log查看詳細(xì)的安裝記錄，查看是否都已安裝成功。點(diǎn)擊reboot now重啟系統(tǒng)至此，spp安裝全部完畢11.3 HP管理包使用方法1: 登陸HP homepage方法在ecc操作機(jī)中訪問https:/IP:2381/ 或 http:/IP:2301/2: 登陸HP ACU方法先在命令行中啟用ACU訪問命令： cpqacuxe -R在HP homepage的Storage中點(diǎn)擊Array Configuration Uti

58、lity選項(xiàng) 使用完成后在命令行中禁用ACU訪問命令：cpqacuxe stop3: 登陸HP Insight Diagnostics方法在HP homepage的Webapps選項(xiàng)下點(diǎn)擊HP Insight DiagnosticsSLES HA安裝及配置請(qǐng)參見附錄三：SuSE Linux High Availability Extension安裝和配置規(guī)范文檔操作系統(tǒng)備份方法SUSE Enterprise Linux 操作系統(tǒng)備份可以通過下列方式進(jìn)行：通過數(shù)據(jù)中心已經(jīng)部署的支持SUSE Linux的商業(yè)備份軟件進(jìn)行備份，例如NBU、BESR等；若部署在虛擬機(jī)上則可以通過虛擬化平臺(tái)進(jìn)行備份恢復(fù)

59、；通過直接備份重要的系統(tǒng)配置文件實(shí)現(xiàn)。方法是定期將配置文件備份至共享存儲(chǔ)，恢復(fù)時(shí)先重裝操作系統(tǒng)，再恢復(fù)這些文件。操作系統(tǒng)備份參考步驟和命令如下：support -A命令完成后會(huì)在/var/log/目錄下生成名為nts開頭的文件，該文件中有當(dāng)前系統(tǒng)中系統(tǒng)配置相關(guān)的信息。 tar zcvf /mnt/backup.tar.gz / -exclude=/tmp -exclude=/proc -exclude=/media -exclude=/mnt -exclude=/sys四：通過suse Linux 操作系統(tǒng)自帶的備份還原工具(一) suse Linux 操作系統(tǒng)備份1:運(yùn)行 yast2 bac

60、kup 2:點(diǎn)擊 backp up manually3:選擇將操作系統(tǒng)備份到指定目錄和文件，并勾選Local File(備份到本地服務(wù)器)或者NFS(備份到遠(yuǎn)程服務(wù)器) 4 如圖對(duì)File Selection內(nèi)的選項(xiàng)全部勾選 其中Back Up Files Not Belonging to Any Package: 搜索備份不屬于RPM包的文件，如果啟用這個(gè)選項(xiàng)，將需要更多備份時(shí)間，并備份不屬于RPM包的文件。Back Up Content of All Packages: 備份所有RPM包的文件。Display List of Files Before Creating Archive: 創(chuàng)