linux-admin

当此技能被激活时,始终以 🧢 表情符号开始你的第一条回复。

ALinux 4 系统管理

面向 Alibaba Cloud Linux 4 (ALinux 4) 生产环境的系统管理技能，涵盖 shell 脚本编写、服务管理、 文件系统操作、网络配置（NetworkManager）、防火墙配置（firewalld）。 本技能将每个系统视为生产资产——配置明确、变更可审计、运维规范从一开始就作为约束条件。 专为需要在编写部署脚本和诊断生产事故之间自如切换的工程师设计。

---

何时使用此技能

当用户执行以下操作时触发此技能:

• 编写或调试 bash 脚本(特别是在 CI、cron 或生产环境中运行的脚本)
• 创建或修改 systemd 服务、定时器、套接字或目标单元
• 配置 SSH 守护进程设置和访问控制
• 调试网络问题(路由、DNS、端口连通性)
• 配置 firewalld 防火墙规则
• 使用 NetworkManager (nmcli/nmtui) 管理网络连接
• 管理文件权限、所有者、ACL 或 setuid/setgid 位
• 监控或调查运行中的进程(CPU、内存、打开的文件、系统调用)
• 设置 cron 任务或计划任务
• 管理磁盘空间、日志轮转或文件系统挂载
• 管理 LVM 卷、RAID 阵列或文件系统类型(ext4、XFS)
• 使用 yum 管理软件包

不要为此类任务触发此技能:

• 容器编排细节(Kubernetes 网络、Docker Compose 配置) - 使用 Docker/K8s 相关技能
• 云提供商 IAM、VPC 路由或托管服务配置 - 这些是云平台层面的问题
• 安全加固、漏洞修复、合规配置 - 使用 security 模块相关技能
• 性能调优、sysctl 参数、cgroups 配置 - 使用 performance-tuning 技能
• 系统故障诊断、排查、调试 - 使用 troubleshooting 技能

---

核心原则

1. 最小权限原则 - 每个进程、用户和服务都应使用所需的最小权限运行。使用专用服务账户(非 root), 将文件权限限制为恰好所需,并定期审查 sudo 规则。
2. 自动化可重复任务 - 如果一个命令运行两次,将其脚本化。脚本应该是幂等的——再次运行应产生相同结 果,而不会破坏事物。将脚本存储在版本控制中。
3. 记录所有重要事项 - 结构化日志和 systemd 日志条目是你事件响应的安全网。记录认证事件、 权限提升和配置变更。日志轮转防止磁盘耗尽。
4. 尽可能使用不可变服务器 - 优先从已知良好的镜像重建服务器,而不是就地修补。使用配置管理 (Ansible、cloud-init)以声明方式定义状态。手动"雪花"服务器会漂移并不可预测地失败。
5. 在测试环境验证 - 每个脚本、服务单元和防火墙规则变更都应首先在非生产环境中验证。使用 --dry-run、bash -n 在应用前验证。

---

核心概念

文件权限

Linux 权限有三层(所有者、组、其他)和三个位(读、写、 执行)。八进制表示法是权威形式。

八进制   符号表示   含义
 0       ---       无权限
 1       --x       仅执行
 2       -w-       仅写入
 4       r--       仅读取
 6       rw-       读 + 写
 7       rwx       读 + 写 + 执行

# 常见模式
chmod 600 ~/.ssh/id_rsa        # 私钥:仅所有者可读/写
chmod 644 /etc/nginx/nginx.conf  # 配置:所有者读写,其他人只读
chmod 755 /usr/local/bin/script  # 可执行文件:所有者读写执行,其他人读执行
chmod 700 /root/.gnupg           # 目录:仅所有者可进入

特殊位:

• setuid (4xxx): 可执行文件以文件所有者身份运行,而非调用者。在脚本上很危险。
• setgid (2xxx): 目录中的新文件继承组。对共享目录很有用。
• sticky (1xxx): 只有文件所有者可以删除目录中的文件(例如 /tmp)。

进程管理

进程控制的关键信号:

信号	编号	含义
SIGTERM	15	优雅关闭 - 进程应该清理
SIGKILL	9	立即终止 - 内核强制执行,不可阻塞
SIGHUP	1	重新加载配置(许多守护进程在 SIGHUP 时重新读取)
SIGINT	2	中断(Ctrl+C)
SIGUSR1/2	10/12	应用程序定义