第二次作业发下来那天我其实挺有底气的——第一次作业已经把文件系统、用户增删、日志这些基本操作从头到尾滚了一遍觉得自己离RHCSA认证又近了一步。可真正坐到虚拟机前面把题目逐条跑完才发现红帽这种纯实操型认证最折磨人的根本不是“不会”而是“看着全会一跑就错”。尤其是SELinux那道题我卡了一个多小时最后发现只是布尔值少开了一个。这篇就把我的RHCSA第二次作业完整复盘一遍题目长什么样、每道题怎么解的、哪些地方差点扣分全部写出来给同样在备考红帽认证的读者当一份参考。文章里用的都是RHEL系虚拟机环境命令可以直接抄但更建议你先自己想一遍再动手。1. 作业题目全景这次训练到底在练什么先交代一下背景。我是在虚拟机里的RHEL 9上做的这套作业模拟的是RHCSA考试中占比最重的基础管理部分。老师给的卷子一共五道题难度从入门到中高循序渐进做完之后我才理解为什么它叫“第二次作业”——它正好卡在“会用命令”和“理解系统”之间要求你不光敲得出来还得知道为什么这么敲。题面大概是这个样子的题号题目内容考察模块1创建用户和组完成密码、有效期、附加组等配置用户与组管理2创建目录并设置权限使用ACL给指定用户授权文件权限与ACL3修改Web服务文档根目录后网页无法访问完成SELinux配置SELinux4为网卡配置静态IP、网关、DNS修改主机名网络配置5安装httpd服务并开机自启编写定时备份任务service与定时任务这五道题其实对应了RHCSA考试里最核心的几个操作域。第一题考察的是用户体系第二题是权限体系第三题是SELinux标签与布尔值的理解第四题是网络配置第五题则是服务封装。没有一道是让你写脚本或者搞复杂自动化考的全是“系统管理员日常维护时一定会碰到的操作”。这也是我后来真正走上工作岗位后体会最深的一点RHCSA不是考你懂多少理论而是考你手里有没有干活的本事。这套二次作业模拟得相当准做完它等于把RHCSA的骨架摸了一遍。2. 用户与组管理一道看似简单但藏雷最多的题目2.1 题面与我的完整操作第一题原题大致是创建用户alice和bob密码均设置为Rhtlab2025创建组developers并将alice的附加组设为developers设置alice的密码90天后过期账户在2026年1月1日失效要求完成后使用id命令确认。限用系统管理员掌握的命令差不多是这些groupadd、useradd、usermod、passwd、chage。我当时提交的操作记录是这样的groupadd developers useradd alice useradd bob echo Rhtlab2025 | passwd --stdin alice echo Rhtlab2025 | passwd --stdin bob usermod -aG developers alice chage -M 90 alice chage -E 2026-01-01 alice这串命令看起来简单但我写这篇复盘时想特别提醒一句第一行groupadd developers和第四行echo | passwd --stdin这两步恰恰是很多新手最容易漏的。组都没建就直接用-aG developers回头一查getent group developers报错找半天才发现组不存在密码不设置用户创建出来默认锁定状态用su - alice永远登录不进去。这两个低级错误在练习时犯一次基本就记住了。2.2 附加组与主要组的区别这个坑我替你们踩过了usermod -aG developers alice里面那个-a是append的缩写意思是“追加到附加组”而不是替换。这点一定要刻在脑子里因为usermod -G developers alice不带-a的话会把用户原来所有的附加组全部清掉重来。举个例子假设alice之前已经在wheel这个组里wheel组在RHEL里代表可以sudo提权你为了完成作业跑了一条usermod -G developers alice那么alice立刻就从wheel组掉出去了变成只能登录不能提权的普通用户。RHCSA评分系统重启后一检查发现alice的提权能力没了扣分都是小事关键是这种错误在生产环境里会导致同事的权限莫名其妙丢失。所以我的习惯是涉及附加组修改永远先看一眼id alice确认当前组成员再决定要不要加-a。2.3 密码策略与账户有效期容易被忽略的检查点chage -M 90 alice表示密码最长使用90天第91天必须改密码如果只做这道命令行完成就算完首次放着不管考试里这道题基本要扣分。因为RHCSA评分经常在重启后进行你设了有效期但没验证过期后用户登录会提示Your password has expired直接被拒在门外。正确验证方法是chage -l alice输出里会有一行Maximum number of days between password change : 90和Account expires : Jan 01, 2026看到这两行跟题面一致才算完事。另外-E的参数格式是YYYY-MM-DD别写成2026-1-1虽然有些版本的chage也能解析但考试环境里规范写法能少踩不少坑。我在实际操作中最深的体会是用户管理题在RHCSA里属于“送分题”但送分的前提是你把验证步骤也做了。命令敲完不等于题做完评分系统按最终状态算分不是按你敲了哪条命令算分的。3. 文件权限与ACL从权限位到访问控制列表的完整操作3.1 目录权限的设计思路setgid并不是炫技第二题的题面是创建目录/ops属主root属组developers要求组内用户可以在目录中创建文件且新建文件自动属于developers组其他用户不可访问。很多新手第一反应是chmod 770 /ops这其实只完成了一半。组内用户能创建文件确实做到了但新文件的所有组是谁取决于创建者当前的primary group而不是目录的属组。假设bob的primary group是bob他在/ops下创建一个文件文件的属组就是bob其他组员根本读不了。所以必须给目录加setgid位也就是权限值中百位的2。完整命令mkdir /ops chown root:developers /ops chmod 2770 /ops2770拆开看最高位的2是setgid中间的770是rwxrwx---。之后任何成员在这个目录里新建文件文件的属组都会被强制设为developers。用ls -ld /ops会看到权限位显示drwxrws---那个s就是setgid生效的标志。有同学问过为什么不顺便加sticky bit粘滞位考试里确实常出现两者混合的题目。sticky bit的作用是只允许文件属主删除自己的文件像我后来在生产环境配共享目录经常用1777或3777。如果题目明确说“组员可以互相删除文件”就不能加sticky如果要说“只能删除自己创建的”就得在2770基础上再加1000。做题前一定把题目这句读清楚。3.2 普通权限与ACL授权当chmod不够用的时候第二题还有一问创建文件/ops/readme.txt要求alice对该文件拥有读写权限而文件原本的属主是root、属组developers。developers组有读权限但alice需要写这时候再用chmod去改组权限会造成其他成员权限过大。正确解法是用ACLtouch /ops/readme.txt chown root:developers /ops/readme.txt chmod 640 /ops/readme.txt setfacl -m u:alice:rw /ops/readme.txtsetfacl -m u:alice:rw的意思是给用户alice单独附加一条读写规则命令执行后原权限不受到影响。查看时用getfacl /ops/readme.txt输出会多一行user:alice:rw-ACL在RHCSA中是个高频考点因为它在传统Linux权限模型之上加了一层更细粒度的控制考试特别喜欢考“某个特定用户需要特殊权限”这种场景。3.3 ACL掩码位我掉过一次才记住的规则ACL最大的陷阱在掩码mask。当你给某个用户设置了ACL项之后ACL会生成一个mask值它决定“命名用户”和“命名组”的最大权限上限。如果之后你手动执行了chmod 600 /ops/readme.txt你以为只是清掉了其他权限实际上可能把mask也改掉了导致alice那条ACL的rw权限直接失效。我那次就犯了这么个错配置完ACL后觉得权限不够收紧顺手敲了chmod o-r再一查getfaclalice那行还在但mask变成了r--alice的写权限实际不生效了。排查了半天最后是看文档回忆起来ACL mask和传统权限位的联动规则。所以这里记一条硬经验设置ACL之后如果还需要调整传统权限优先考虑用setfacl -m m::rx去设置mask而不是直接chmod否则很容易留下“配置看着对、实际权限没有”的严重隐患。4. SELinux专题配置“正确”却访问失败时该信谁4.1 问题的表象与真相页面打不开未必是httpd的错第三题是整套作业里最典型的SELinux题把httpd的文档根目录从/var/www/html改到/opt/webroot然后在/opt/webroot下创建一个index.html重启httpd服务后访问本机IP发现浏览器/curl一直403 Forbidden。我当时第一反应是去看httpd配置有没有写错systemctl status httpd一看runningss -tlnp也显示80端口在监听curl http://127.0.0.1/依然403。折腾了十几分钟才想到用ls -ldZ /opt/webroot看一眼SELinux上下文结果类型是default_t而不是Web内容应该有的httpd_sys_content_t。这个表象和真相之间的落差正是SELinux题最核心的考点。RHCSA不会直接跟你说“把SELinux关了”它默认SELinux是Enforcing强制模式要求你用正确的方式让服务跑起来。4.2 恢复文件上下文的完整链路修复过程其实不难难的是理解为什么要这样做。第一步用restorecon临时恢复目录及其下文件的上下文restorecon -Rv /opt/webroot-R表示递归-v是显示详细信息执行后会看到类似restorecon: reset /opt/webroot context的输出。但这个命令有个局限它恢复的是系统默认策略里已经定义的标签。如果/opt/webroot事先不在SELinux策略中restorecon也未必会把它恢复成httpd_sys_content_t所以更稳妥的做法是两步走先用semanage fcontext定义规则再restorecon生效semanage fcontext -a -t httpd_sys_content_t /opt/webroot(/.*)? restorecon -Rv /opt/webroot这里的(/.*)?是正则写法匹配目录本身以及下面所有文件和子目录。重要的是semanage fcontext -a写的是持久化规则重启后依然有效而直接用chcon改标签只对当次有效考试评分往往重启检查因此强烈建议用semanage。重新验证ls -ldZ /opt/webroot类型显示为httpd_sys_content_t之后再用curl http://127.0.0.1/就正常返回页面内容了。4.3 端口号改动时的SELinux配合又一个必考分支作业里藏着个变种题目如果httpd监听的不是80端口而是8080那么做完上下文修复还不够SELinux默认只放行标准端口。启动服务时会直接失败journalctl日志里会给出类似SELinux is preventing httpd from binding to port 8080的提示。解法是给SELinux加一条端口类型规则semanage port -a -t http_port_t -p tcp 8080然后重启httpd再用ss -tlnp | grep 8080确认端口已经监听。执行semanage需要安装policycoreutils-python-utilsRHEL 9上默认可能没带先用dnf install -y policycoreutils-python-utils装一下。很多人在这一小步上栽跟头因为命令工具都没找到。4.4 布尔值开关SELinux的另一半世界最后一道小问是配置httpd服务允许访问网络这就需要SELinux布尔值放行。布尔值可以理解为SELinux的“功能开关”默认很多服务的外部通信能力是被禁止的。查看当前状态getsebool httpd_can_network_connect通常返回HTTPD_Can_Network_Connect -- off使用setsebool -P httpd_can_network_connect 1永久打开。那个-P参数代表持久化不加的话重启后配置丢失。这一类布尔值在RHCSA考试里考得不少httpd相关的还有httpd_can_user_zones、httpd_enable_homedirs等每个都对应一个具体场景备考时按场景记比死背名字高效得多。我只想说一句SELinux考察的是你面对运行“意外失败”时的排查思路。不要一上来就setenforce 0那是考试里的大忌讳正确做法是看日志、找类型、改标签、验证。5. 静态网络配置nmtui之后的验收细节5.1 用nmcli完成静态IP配置第四题的题面把网卡enp0s3的IP地址改为192.168.56.20/24网关192.168.56.1DNS为192.168.56.1同时把主机名改成rhcsa-lab.example.com。RHEL 9里网络配置的主流工具是nmcli考试操作基本都是围绕着NetworkManager来的。我的操作如下nmcli con mod enp0s3 ipv4.addresses 192.168.56.20/24 nmcli con mod enp0s3 ipv4.gateway 192.168.56.1 nmcli con mod enp0s3 ipv4.dns 192.168.56.1 nmcli con mod enp0s3 ipv4.method manual nmcli con up enp0s3前几条命令修改配置ipv4.method manual决定这块网卡不使用DHCP而是使用静态地址最后一条con up让修改立即生效。这里最容易忽略的是ipv4.method那一步。如果你只设置了地址不把方法改为manualNetworkManager会继续按DHCP方式处理重启网络甚至重启系统后静态IP会被DHCP分配的地址顶掉。这个坑在我身上发生过一次原因就是漏了最后一行实在是太容易翻车了。5.2 配置文件里到底发生了什么用nmcli做完修改本质上是改写/etc/NetworkManager/system-connections/enp0s3.nmconnection这个文件。手工改配置文件当然也可以但考试时用nmcli更不容易出错因为它会自动处理格式。如果用cat查看配置文件关键段落长这样[ipv4] address1192.168.56.20/24,192.168.56.1 dns192.168.56.1; methodmanual注意address1那一行网关跟在掩码后面用逗号隔开。理解配置文件的结构很重要因为假如考试环境中NetworkManager被禁用而改用/etc/sysconfig/network-scripts/传统脚本你也需要有能力直接编辑那些文件来达到同样效果。不过RHEL 9已经彻底移除传统网络脚本考试时放心用nmcli就好。5.3 重启后的验收到底验什么网络配置题的验收不能只看ip addr。我的标准流程是三步先ping 192.168.56.1测网关连通再cat /etc/resolv.conf确认DNS生效最后用hostnamectl status查看完整主机名。DNS那个字段有个坑nmcli con mod设置的DNS会被NetworkManager写入resolv.conf但如果你手动改过resolv.conf重启后有可能被覆盖回去所以尽量统一用nmcli管理。另外主机名修改hostnamectl set-hostname rhcsa-lab.example.com执行后立刻用hostname验证。完整的FQDN时间通常需要重新登录终端才能正确显示在提示符里如果出现这种现象不要慌属正常。我建议在做网络题之间先确认自己是通过什么方式连接的。如果是用SSH连到远程虚拟机上操作改IP前要确保新地址和你当前连接方式兼容否则命令刚执行完立刻断连到时候只能去物理控制台救回来。自己练习时倒无所谓考试环境里断连意味着白白浪费时间。6. 复盘与备考那些我踩过却在考试中救命的坑6.1 一次完整的事故排查SELinux加端口问题的现场还原第五题除了安装httpd并设置开机自启之外还附加了一个定时任务。但真正让我印象深刻的是在一次加练中把SELinux、防火墙、服务配置三样混在一起出错的情形。把完整链路写出来以后遇到类似问题可以直接照方抓药。事故现场是这样的我按要求把httpd改成了监听8080并且使用semanage port -a放行了端口重启了服务。结果curl http://127.0.0.1:8080/提示连接失败ss -tlnp里看不到8080监听。我当时没有急着改配置而是按照下面顺序一步步排查先看服务状态systemctl status httpd发现服务activating后又自动退出日志里出现端口绑定失败用journalctl -xe查看详细日志发现提示Permission denied而不是普通端口占用意识到又是SELinux拦截执行sesearch --allow | grep httpd_port_t想确认放行状态但这条命令输出庞杂实际效率不高转向最直接的检查semanage port -l | grep http_port_t发现只有80、81、443、488等默认端口我加的那条8080不见了回头查原因原来是之前setsebool -P httpd_can_network_connect 1时误执行了semanage port -d -t http_port_t -p tcp 8080把允许端口删掉了重新执行semanage port -a -t http_port_t -p tcp 8080重启httpdcurl立即通。这一类事故最大的教训是遇到“配置明明改了却没效果”先去查系统日志日志里基本会直接告诉你是什么阻止了操作。SELinux不是玄学它每条拦截都有明确的审计记录只是需要你知道去哪里找。6.2 从失分题到得分题我给自己的检查清单做完这套作业之后我做了一版“最终验证清单”每道题做完挨个过一遍。别小看这个动作RHCSA是机考自动判分的评分系统重启后检查最终状态你中间怎么操作不重要只看结果对不对。我的清单大概长这样题目最终验证命令期望结果用户组id alice、chage -l alice附加组包含developers有效期2026-01-01权限ACLls -ld /ops、getfacl /ops/readme.txtsetgid位存在alice有rw权限SELinuxls -Zd /opt/webroot/index.html、curl -I类型httpd_sys_content_tHTTP 200网络ip addr show enp0s3、ping 192.168.56.1静态IP正确网关通服务定时systemctl is-enabled httpd、crontab -lenabled任务行存在这套检查清单后来成为了我每次模拟练习的标配考试中间做一题验一题比全部做完再回头统一验证稳妥得多。关于定时任务那道题也顺带说一句crontab -e编辑当前用户的定时任务表比如每周三14:30执行备份命令30 14 * * 3 tar -cjf /backup/logs-$(date \%Y\%m\%d).tar.bz2 /var/log/messages 2/dev/null我提醒两点一是date命令里的%在cron环境中需要转义成\%否则执行会报错二是目标目录必须存在且写权限可用。另外要确认crond服务已启动并设为开机自启systemctl enable --now crond不然任务永远不会触发这道题的坑基本全在这些细节里了。6.3 RHCSA认证备考中最值钱的习惯说句掏心窝的话做这套二次作业的过程比结果重要得多。RHCSA认证考试和很多IT认证不一样它没有选择题全是实际操作评分系统就盯着你系统里最终的状态。这意味着你平时练习养成的每一个习惯都会直接变成考场上的表现。我自己总结下来备考期间最值钱的习惯有三个第一个是“命令即探索”的思维。考试的时候涉及的命令工具就那些遇到不确定的服务尝试启动别怕报错报错本身就是信息。比如systemctl status会问你是不是需要systemctl daemon-reload跟着提示做就行了。第二个是“重启验证”的执念。RHCSA评分系统会在考试后重启虚拟机再检查如果你的配置依赖某个手动启动的进程重启后没自动起来这道题就是零分。所以每次练习完我习惯主动reboot一次再回来跑一遍检查清单。这个习惯看起来笨实际非常管用。第三个是“题目条件逐词读”的谨慎。很多失分是因为理解偏差比如“附加组”和“主要组”差一个字操作就完全不同“只能删除自己创建的文件”对应sticky bit“允许组内互相删除”就是普通2770。把题目当成合同一样逐词核对比多刷十道题还有用。备考RHCSA没有什么捷径但也不需要什么天赋。环境准备好题目一套一套过坑一个一个填等到把类似第二次作业这样的模拟卷做到几乎没有失误的时候离通过考试就不远了。我后来进入真实环境管理Linux服务器用得最多的还是这些基础操作这也是我建议每个想考红帽认证的人都认真对待这套作业的原因。