服务器操作系统安装规范

服务器操作系统安装规范是保障服务器稳定性、安全性与可维护性的基础性技术文档，适用于物理服务器、虚拟化平台及云主机环境。本规范旨在统一操作系统安装流程，明确安装前规划、安装过程配置及安装后验证的关键要求，降低因系统部署不当引发的运行风险。

安装前准备是确保安装过程顺利的首要环节。首先应确认服务器硬件型号、固件版本（如BIOS/UEFI）及驱动兼容性，并查阅硬件厂商官方支持列表，确保所选操作系统版本与硬件平台完全兼容。其次，需根据业务需求确定操作系统类型与版本，例如主流Linux发行版（如RHEL、CentOS、Ubuntu Server、openEuler）或Windows Server，并明确系统架构（x86_64、ARM64等）。同时，应准备合法授权或订阅源，下载官方安装介质（ISO镜像），并校验其SHA256校验和，防止介质损坏或被篡改。

安装方式与引导环境需遵循规范。推荐使用网络安装（PXE/Kickstart或AutoYaST）进行批量部署，单台服务器可使用光盘或USB启动盘安装。在UEFI环境下，应启用UEFI启动模式并确保引导分区为ESP（EFI System Partition）；在传统BIOS环境下，应正确设置启动顺序。对于支持安全启动的服务器，需根据操作系统要求启用或关闭Secure Boot，并配置相应的签名驱动。安装介质启动后，应进入安装界面，选择“Install”而非“Rescue”或“Test Memory”等非安装模式。

磁盘规划与RAID配置是安装规范中的核心步骤。对于物理服务器，应先配置硬件RAID控制器。系统盘建议采用RAID 1或RAID 10以保障冗余和性能，数据盘可根据业务需求选择RAID 5、RAID 6或RAID 10。配置RAID时，应设置合理的条带大小与写缓存策略（如Write Back with Battery），并创建热备盘（Hot Spare）以提升可用性。对于虚拟化环境，应使用虚拟磁盘并合理规划存储池。在分区阶段，推荐使用LVM（逻辑卷管理）以支持后续扩容，但引导分区（/boot或ESP）必须独立于LVM之外。服务器操作系统磁盘分区建议至少包含：根分区（/）、/boot分区（或EFI分区）、swap分区（或swap文件），并可根据业务划分/home、/var、/opt等独立分区以隔离日志和应用程序数据。

文件系统类型的选择应依据数据特点与性能要求。Linux环境推荐使用XFS或ext4作为默认文件系统，其中XFS适合大文件与大分区场景，ext4兼容性更广。对于高并发小文件场景，可考虑使用ext4或调整挂载参数。Windows Server应使用NTFS文件系统。所有数据分区在安装时应指定明确的挂载点，并配置合适的挂载选项，例如开启noatime、nodiratime以减少不必要的磁盘IO。对于数据库服务器，建议使用独立的数据盘并关闭文件系统访问时间记录，以提升读写性能。

系统安装参数与软件包选择必须精心配置。安装过程中应设置正确的主机名（FQDN格式），遵循企业命名规范，如“区域-角色-环境-编号”。时区应设置为业务所在地时区（如Asia/Shanghai），并启用NTP（网络时间协议）同步。语言环境建议使用en_US.UTF-8，以避免中文环境下的编码兼容问题。键盘布局选择标准US布局。软件包安装应遵循最小化原则，仅安装系统运行所必需的组件，避免安装图形界面、开发工具、编译器等非必要软件，以减少攻击面并降低维护成本。对于Linux，建议使用Minimal或Server模式安装，并额外选择标准系统工具与SSH服务。Windows Server则应选择Server Core或带桌面体验的版本，根据实际需要启用作业。安装过程中应设置强密码策略，root密码或Administrator密码必须符合复杂度要求（大小写字母、数字、特殊字符，长度不少于12位），并避免使用默认或常见弱口令。

网络配置是安装后必须立即执行的规范流程。服务器应配置静态IP地址，禁止默认使用DHCP获取地址（虚拟化环境中需保留DHCP保留地址）。需要根据网络规划正确设置IP地址、子网掩码、默认网关和DNS服务器。对于双网卡或多网卡服务器，应配置网卡绑定（Bond）或团队（Teaming），并选择适合的模式，如Linux的mode 1（active-backup）用于冗余，mode 4（LACP）用于链路聚合。建议将管理网口与业务网口分离，通过不同VLAN或物理接口实现隔离。安装完成后，应通过SSH或远程桌面远程登录验证网络连通性，并确保网络服务（如NetworkManager或systemd-networkd）已设置为开机自启动。

安全加固与基线配置属于安装规范的重要组成部分。系统安装完成后，应立刻更新安全补丁，执行系统级更新（如yum update或apt upgrade），但需注意在更新前备份重要配置。应禁用不必要的系统服务，关闭未使用的端口，并启动防火墙（如firewalld、iptables或Windows Defender Firewall），仅放行业务所需端口。对于Linux，应配置SSH安全策略：禁用root直接登录（PermitRootLogin no），使用密钥对认证，设置登录失败锁定策略，并修改默认SSH端口（非必须但可减少扫描）。应配置SELinux或AppArmor为 enforcing 模式（除非业务明确不兼容），并正确设置用户与文件权限。对于Windows，应启用Windows Update自动更新，配置用户账户控制，并启用远程桌面受限管理员模式。建议安装主机入侵检测系统（HIDS）或安全代理，并统一接入堡垒机管理。

系统日志与审计配置必须符合运维要求。应确保系统日志服务（如rsyslog或journald）正常运行，并配置日志持久化存储，建议将/var/log独立分区以防止日志写满根分区。根据企业规范配置日志轮转（logrotate），设置合理的日志保留周期（如180天）。对于关键服务器，应配置远程日志服务器，将系统认证日志（secure、auth.log）、内核日志（dmesg）、应用日志等实时转发，以便集中审计。同时，应启用系统审计框架（如Linux auditd或Windows 审核策略），记录关键文件访问、用户权限变更、服务启停等安全敏感事件。

系统初始化与验证是安装规范的收尾环节。安装完成后，应重启服务器并确认系统正常引导，无异常报错。检查硬件设备是否被正确识别，执行lspci、lsblk、dmesg（Linux）或设备管理器（Windows）确认驱动安装正确。验证内存、CPU、磁盘容量与实际配置一致。运行uptime或systemctl检查系统状态，确保所有关键服务（network、sshd、crond等）均为运行状态。最后，应记录安装配置信息：操作系统版本、内核版本、分区表、网络参数、软件包列表、RAID配置等，并纳入配置管理数据库（CMDB）。同时，对系统进行性能基准快照，为后续运维提供对比参考。

变更与生命周期管理要求安装规范应持续更新。每当操作系统发布新版本、硬件厂商更新驱动或企业安全策略调整时，需评审并修订本规范。所有服务器安装操作应由受权运维人员执行，并留存安装日志与审批记录。对于生产环境，建议使用标准化镜像或自动化安装脚本（如Packer、Ansible、Kickstart）以保证每次部署的结果一致性。禁止在未遵循规范的情况下，随意在服务器上安装与业务无关的软件或修改基础配置。规范中应明确违规处理流程与紧急回滚措施，确保系统安装维护工作始终处于可控、可追溯、可验证的状态。