1. RHCSA第二次作业从命令熟练到系统管理思维的转变RHCSARed Hat Certified System Administrator红帽认证系统管理员是很多Linux从业者考的第一张认证它不考背诵、不考选择题全是上机实操。我拿到“RHCSA第二次作业”这个任务时第一反应是终于不再是练单个命令了。第一次作业还停留在给网卡配IP、装个httpd、建几个文件这种“点状操作”第二次作业直接把这些东西串成了一个完整场景——磁盘不够了要扩服务起不来了要排查权限不对了要调SELinux。这套东西做完你对“系统管理员”这四个字的理解会完全不一样。这篇内容适合两类人一类是正在备考RHCSA想找一套综合练习来模拟真实考试节奏的另一类是刚入行Linux运维想知道企业里“给用户开权限、扩容磁盘、让服务正常对外提供”到底是怎么一整套流程的。我会把第二次作业的完整任务拆解、每一步的实操命令、以及我当时踩过的坑全都写出来你可以直接照着练。先说明一下我做这套练习用的环境是Red Hat Enterprise Linux 9RHEL 9考试官方用的也是RHELCentOS Stream在绝大多数命令上完全通用。虚拟化用的KVM考试要求操作全在终端里完成没有图形界面可用所以下面所有步骤都是纯命令行操作这一点也完全对应RHCSA的真实考场环境。2. 第二次作业到底在考什么核心任务全拆解2.1 任务清单与考点分布我拿到的第二次作业包含六个独立任务每个都对应RHCSA考试的一道典型题型磁盘与LVM给一个新加的虚拟磁盘做分区、创建物理卷、卷组、逻辑卷格式化并挂载还要写入fstab实现开机自动挂载。用户与组管理创建指定用户、指定组批量修改附属组设置sudo权限。文件系统权限与ACL针对一个共享目录配置属组权限再用ACL给特定用户单独授权。SELinux让HTTP服务能读取非默认目录下的网页文件修改文件上下文并验证。firewalld永久放行HTTP和HTTPS服务端口重新加载并验证。定时任务与日志给指定用户配置周期执行的定时任务能查看到执行日志。这还不算完作业要求每完成一项就要做一次验证最后统一交一份截图报告。这其实比RHCSA真正考试还要严格一点考试里你做完题点“提交”就行没人看过程但平时作业把“验证”这一步变成强制要求反而帮我养成了好习惯——考试时做完题我会主动复查一遍这个习惯直接决定了我最后能不能过。2.2 为什么LVM和SELinux是必然考点RHCSA考纲里LVM和SELinux几乎每次必出原因很简单企业真实环境里这两块是Linux运维日常最常碰到的。新机器磁盘满了加块盘要把空间分给现有目录这就是LVM的典型场景网站在/var/www/html下跑得好好的运维把网站目录挪到了/data/web结果网站打不开了重启服务也报错最后定位到是SELinux的文件上下文不对这是Linux系统管理员的“必修课”。LVM最大的价值是“可以在线扩容”——逻辑卷在文件系统挂载状态下就能扩大不需要停机、不需要重新分区这对在线服务来说太重要了。SELinux则是RHEL和CentOS默认强制开启的安全机制它限制的不是“谁能登录系统”而是“哪个进程能访问哪个文件、哪个端口”相当于给系统上了一个细粒度的权限锁。RHCSA不要求你深入理解SELinux内部策略的编写但要求你会用restorecon、semanage、setsebool这几个命令解决实际问题。2.3 做作业前必须搞懂的几个底层概念动手之前有几个概念不弄明白后面命令敲得再顺也是照猫画虎PV/PG/LV的关系物理卷PV是底层磁盘的抽象卷组VG是把多个PV合并成一个大池子逻辑卷LV才是在池子里切出来的“虚拟分区”。最核心的一句话VG给你的是灵活性LV才是你真正格式化、挂载、存放文件的地方。fstab与UUID/etc/fstab是系统开机时自动挂载文件系统的配置表。生产环境里强烈建议用UUID而不是/dev/vdX这样的设备名挂载因为设备名在系统启动过程中可能因为内核识别顺序不同而改变UUID是文件系统创建时生成的唯一标识不会变。ACL与普通权限的区别传统权限只有owner、group、other三组企业内部经常出现“这个目录属于开发组但测试组的张三也要能读写”的需求用ACL可以直接给张三这个人单独加一条访问规则不用把张三硬塞进开发组。SEP类型决策我把“SELinux阻止了服务访问”判断成一个“上下文标签不匹配”的问题解决方式不是关SELinux而是把文件的标签改成目标进程期望的标签这是RHCSA答题的核心思维。3. 完整实操从环境准备到全流程实现3.1 环境准备与初始检查我习惯在动手前先摸清楚机器现状这套检查动作在考试里也适用# 查看当前系统版本 cat /etc/redhat-release # 查看磁盘和分区现状 lsblk # 查看卷组和逻辑卷现状 vgs lvs # 查看SELinux当前状态 getenforce # 查看防火墙状态 systemctl status firewalld我这次的测试机原始状态是一块20G系统盘sda另外加了一块10G的空盘vdb系统自带httpd已经安装但还没启动SELinux处于Enforcing强制模式firewalld运行中。环境干净但又不完全干净——httpd装好没配这其实就是故意模拟企业里“服务装了但没起来”的中间状态。初始化检查还有个容易忽略的点确认hostname和时区。RHCSA考试有一些任务会要求修改hostname时区影响定时任务的执行时间我在这台机器上把时区固定成了Asia/Shanghaitimedatectl set-timezone Asia/Shanghai hostnamectl set-hostname server01.example.com3.2 LVM创建与扩容完整流程第一个任务是把/dev/vdb划分出一个逻辑卷vg01-lvdata大小8G格式化为xfs文件系统挂载到/data写入fstab实现开机自动挂载。另外预留2G空间不分配模拟“以后要扩容”的场景。第一步给磁盘分区。考试环境里可以用fdisk也可以用parted我习惯用fdisk交互式更直观fdisk /dev/vdb # 依次输入 n新建分区→ p主分区→ 1分区号→ 回车起始扇区默认→ 回车结束扇区默认 # 输入 t → 8e把分区类型设为Linux LVM # 输入 w保存写入这里有个细节fdisk创建的分区要从磁盘头开始起始扇区默认就行不要手动改成2048以外的数字否则可能对齐出错。分区类型改成8eLinux LVM是个好习惯虽然RHEL9里pvcreate不检查分区类型也能创建成功但你在考试里多写这步总没错能少一个纠结点。第二步创建物理卷、卷组、逻辑卷# 通知内核重新读取分区表 partprobe /dev/vdb # 创建物理卷 pvcreate /dev/vdb1 # 确认物理卷状态 pvs # 创建卷组vg01把vdb1放进去 vgcreate vg01 /dev/vdb1 # 创建逻辑卷指定大小8G lvcreate -L 8G -n lvdata vg01 # 查看结果 lvs lsblk执行完你会在/dev/mapper/下看到一个vg01-lvdata的设备文件这就是你后面要格式化和挂载的东西。/dev/mapper/vg01-lvdata是逻辑卷的标准路径也可以简写为/dev/vg01/lvdata两者指向同一个设备。第三步格式化并挂载# 格式化为xfs文件系统 mkfs.xfs /dev/vg01/lvdata # 创建挂载点 mkdir -p /data # 临时挂载 mount /dev/vg01/lvdata /data # 查看挂载结果 df -hT再扩展一点RHCSA真实考试里必有一个LVM扩容题通常是“给现有逻辑卷扩容到指定大小且不丢数据”所以我当时额外多练了一步扩容。如果题目要求把vg01/lvdata扩到9G就在挂载状态下执行# 扩大逻辑卷到9G lvextend -L 9G /dev/vg01/lvdata # 关键让文件系统感知大小的变化 xfs_growfs /data # 或者用此命令指定挂载点目录 xfs_growfs /data很多初学者做完lvextend后直接df -h发现大小没变就以为扩容失败。其实逻辑卷是“块设备层”的事情文件系统是“文件层”的事情lvextend改的是块设备的大小文件系统不知道这个变化必须用xfs_growfs通知它“你的地盘变大了”。xfs文件系统的扩容只能扩大不能缩小这是设计如此所以生产力场景基本是无脑用xfs。第四步写入fstab。这一步我把它放在最后做因为挂载测试通过之后再写开机自启才不会给自己挖坑# 使用UUID写入fstab blkid /dev/vg01/lvdata # 假设输出 UUIDxxxx-xxxx echo UUIDxxxx-xxxx /data xfs defaults 0 0 /etc/fstab # 验证fstab语法是否正常 mount -a df -hmount -a这条命令相当于“把fstab里所有还没挂载的条目都挂上”如果你fstab写错了这条命令会直接报错正好可以在关机重启之前发现。我见过太多人在考试里fstab写错导致系统开不了机然后慌了神不知道怎么进紧急模式修复与其事后后悔不如写完立即验证。3.3 用户、组、sudo与ACL权限配置第二个任务是创建用户zhangsan、lisi、wangwu这三个用户都要求能通过SSH登录创建小组developers把zhangsan和lisi加进去给wangwu配置sudo权限让他能执行所有管理命令最后在/data目录下创建一个team共享目录要求developers组成员可以读写其他人不能访问并且额外给wangwu开一个rw权限。用户和组的创建不难但有几个命令参数值得记牢# 批量创建用户-m自动创建家目录-s指定shell useradd -m -s /bin/bash zhangsan useradd -m -s /bin/bash lisi useradd -m -s /bin/bash wangwu # 设置密码-d选项可以直接在一条命令里完成 echo Pssw0rd | passwd --stdin zhangsan # 创建组 groupadd developers # 把用户加入组-aG参数是追加附属组 usermod -aG developers zhangsan usermod -aG developers lisi # 验证 id zhangsan grep developers /etc/groupsudo权限我给wangwu用了sudoers.d目录下的独立文件这样更规范万一出问题删掉一个文件就行不影响系统自带的sudoers# 在/etc/sudoers.d/下创建配置文件 echo wangwu ALL(ALL) ALL /etc/sudoers.d/wangwu # 设置权限必须是0440或0444 chmod 440 /etc/sudoers.d/wangwu # 用visudo -c验证语法 visudo -c用visudo验证这步可以直接决定你的sudo配置文件能不能被正常加载我见过同学直接把/etc/sudoers.d的文件权限写成0777系统直接忽略sudo报错半天查不出来。规定很严格/etc/sudoers.d下的文件权限必须对owner和group只读不能有write权限。然后配置共享目录权限和ACL# 创建目录 mkdir -p /data/team # 修改属组让developers组拥有目录 chown :developers /data/team # 设置传统权限owner读写执行、group读写执行、other无任何权限 chmod 770 /data/team # 给wangwu单独加ACL授权 setfacl -m u:wangwu:rwx /data/team # 查看ACL规则 getfacl /data/team这里有个很重要的点ACL的优先级比传统权限高。意思是即使wangwu不在owner和group这两个位置上系统也会先看ACL条目不匹配匹配到wangwu这个人时就按ACL权限执行。所以即使传统权限里other是0wangwu依然能正常读写。在实际企业场景里这种“组权限打底 个别用户ACL提权”的组合非常常见因为进项目组的人会变但你对某个临时合作的人只想授权一段时间改ACL比改组成员更安全可控。3.4 SELinux调整与HTTP服务配置第三个任务是我觉得最有意思的把网站页面放到/opt/web_content目录下但是要让httpd服务能读出来给用户访问。如果你直接新建目录把网页放进去然后用systemctl start httpd启动服务浏览器访问一定会403 Forbidden原因是SELinux给/opt目录下的文件贴的标签是default_t而httpd进程期望读取的标签是httpd_sys_content_t标签不匹配即使文件权限是644也没用。操作过程如下# 创建目录并放入测试页 mkdir -p /opt/web_content echo htmlbodyh1RHCSA test page/h1/body/html /opt/web_content/index.html chmod 644 /opt/web_content/index.html chown root:root /opt/web_content/index.html # 启动httpd systemctl start httpd # 尝试访问——大概率403 curl http://localhost/访问结果验证了我的判断。解决办法有两种我两个都练了一遍因为考试时用哪个取决于你对命令的熟练度方法一restorecon恢复默认上下文。但前提是你把web_content目录放到了标准位置比如/var/www/html或者手动指定了映射关系。我这里目录在/opt下不是标准位置所以需要第二种方法。方法二用semanage定义目录的SELinux类型映射# 安装semanage工具RHCSA环境一般预装policycoreutils-python-utils dnf install -y policycoreutils-python-utils # 为/opt/web_content目录及子目录定义httpd_sys_content_t类型 semanage fcontext -a -t httpd_sys_content_t /opt/web_content(/.*)? # 把新规则应用到目录restorecon被semanage映射后使用 restorecon -Rv /opt/web_content # 再次尝试访问 curl http://localhost/这次curl正常返回了页面内容。restorecon的作用是“根据当前系统的文件上下文映射表重新给目录打标签”它不是随便标一个类型而是按semanage fcontext里定义好的规则来。所以流程是先用semanage定义规则再用restorecon应用规则缺一不可。还有一个额外考点有时候网站程序要写文件进目录这时候光有httpd_sys_content_t还不够还得把httpd的布尔值打开。比如PHP上传功能# 允许httpd读写用户主目录下的文件 setsebool -P httpd_read_user_content 1 # 允许httpd访问NFS/用户家目录 setsebool -P httpd_use_nfs 1 # 检查布尔值状态 getsebool -a | grep httpd-P参数会把改动永久保存重启后依然生效。考试时布尔值题目考得不多但题目中的服务可能涉及目录权限读写和网络服务联动比如提供文件下载的Apache服务就必须结合这个来理解。常用的HTTP服务相关布尔值就这么几个全部记下来也就4~5条性价比很高。做作业时把这些常见布尔值的含义和默认值列个表抄在笔记本上比死记不强太多。3.5 firewalld防火墙端口的永久放行第四个任务是把HTTP和HTTPS在firewalld里永久放行并且立刻生效。RHCSA里防火墙考点相对固定就是永久配置立即生效这个节奏不能乱# 先看默认区域 firewall-cmd --get-default-zone # 查看当前区域所有规则 firewall-cmd --list-all # 永久放行http服务默认端口80 firewall-cmd --permanent --add-servicehttp # 永久放行https服务默认端口443 firewall-cmd --permanent --add-servicehttps # 重新加载防火墙规则让永久变更生效 firewall-cmd --reload # 验证规则 firewall-cmd --list-all firewall-cmd --list-services如果你要放行的是自定义端口比如8989就要用port而不是servicefirewall-cmd --permanent --add-port8989/tcp firewall-cmd --reload这里有三个常见坑。第一个坑只add了--permanent忘了reload结果任务里的“立即生效”没达成。第二个坑只add了临时规则没加--permanent系统一重启防火墙规则就丢了拷问时就扣分。第三个坑HERADME。考试时一定要双击检查firewall-cmd --list-all的端口是否生效。还有一个容易忽略的细节firewalld的富规则rich rule虽然不常考但如果你在练习时遇到“只允许特定IP访问某个服务”的题目要用rich rule写。例如“允许192.168.1.0/24网段访问http服务”考试里出现过变种建议基础firewall-cmd命令熟练后把rich rule语法也过一遍firewall-cmd --permanent --add-rich-rulerule familyipv4 source address192.168.1.0/24 service namehttp accept firewall-cmd --reload3.6 定时任务、日志与内核参数验证第五个任务是给zhangsan配置一个每天凌晨2点执行的定时任务任务内容是“清理/tmp/test_cache目录下7天前的临时文件”。做这个任务你需要把定时任务的效率和日志机制一起理解# 创建要清理的目录 mkdir -p /tmp/test_cache # 用crontab -e编辑zhangsan的crontab crontab -e -u zhangsan # 内容如下 # 0 2 * * * find /tmp/test_cache -type f -mtime 7 -exec rm -f {} \; # 编辑保存后验证 crontab -l -u zhangsan # 查看定时任务执行情况如果执行了 journalctl -u crond -f | grep zhangsan grep zhangsan /var/log/cron这里特别强调一个经验写crontab命令时find后面的-exec rm -f {}要小心。在crontab环境里%字符有特殊含义你如果写%Y%m%d这样的日期格式必须转义成%。我见过不少人在crontab里写日期逻辑因为忘记转义导致任务根本没跑。另外crontab里最好不要用相对路径所有命令写绝对路径/usr/bin/find这样可以避免PATH缺失导致命令找不到。日志方面/var/log/cron是cron任务执行的详细记录journalctl -u crond也能查到。考试里考日志最常见的两个场景一是查某一个服务为什么失败二是查定时任务是否执行。日志服务在RHEL9上默认就是journald只需要会用journalctl的几个基础参数# 查看所有日志 journalctl # 查看某个服务最近的日志 journalctl -u httpd --since 5 minutes ago # 查看当前启动周期的日志 journalctl -b # 跟踪日志输出实时刷新 journalctl -f第六个任务是内核参数调整。RHCSA里面偶偶会考到VM内核参数比如给sysctl设置vm.swappiness降低交换分区使用倾向。这个任务看起来不起眼但在完整作业里做一遍印象特别深因为涉及修改文件并让参数立即生效# 查看当前值 sysctl vm.swappiness # 永久修改配置 echo vm.swappiness10 /etc/sysctl.d/99-swappiness.conf # 立即生效 sysctl -p /etc/sysctl.d/99-swappiness.conf # 验证 sysctl vm.swappiness放到/etc/sysctl.d/下面而不是直接改/etc/sysctl.conf是因为systemd的systemd-sysctl服务启动时会读取/etc/sysctl.d/下的所有.conf文件这样管理更清晰、更利于版本控制。这是我在生产环境学来的习惯考试里多能“加分”。虽然RHCSA不直接考这个但真实项目中这个习惯很受欢迎。3.7 远程连接与重启验证作业的最后一步我把机器重启了一次验证所有配置在重启后都不会失效。这一步看起来简单但很多人考完试心里没底就是因为没有做“重启后验证”这个动作。我一般重启后检查以下几条# 1. 检查/data和/opt挂载是否正常 df -h # 2. 检查httpd是否开机自启并且正常运行 systemctl status httpd # 3. 检查防火墙规则是否还在 firewall-cmd --list-all # 4. 检查SELinux状态 getenforce getsebool -a | grep httpd # 5. 检查crontab还在不在 crontab -l -u zhangsan重启后我发现一个问题httpd没起来。原因是我一开始用systemctl start httpd启动的服务这个操作不会设置开机自启。用systemctl enable httpd把服务标记为开机自启才是正确做法systemctl enable httpd # 同时可以使用enable --now一步到位启动并设置自启 systemctl enable --now httpdenable --now是个极其常用的组合参数表示“开机自启立即启动”。命令敲一遍既能满足当前需求又能照顾到重启后的状态是RHCSA必会的加分命令。4. 我踩过的坑排查思路与避坑清单4.1 问题一LVM扩容后df没变化到底动不动文件系统这个我在前面提到过一次但我还是想单独拿出来再说一遍因为它在考试中出现的频率太高了。症状很简单lvextend之后df -h显示大小没变很多人当场就慌了。我的排查思路是# 确认逻辑卷本身已经扩大 lvs # 输出里lvdata在VG vg01下size应该是9G # 确认文件系统类型 blkid /dev/vg01/lvdata # 看到TYPExfs就知道要用xfs_growfs如果文件系统是xfs方向只有一个跑xfs_growfs /data。如果是ext4要用resize2fs /dev/vg01/lvdata。分清楚这一点你就不会被卡住。最后一个提醒xfs_growfs扩大的不是物理空间而是文件系统可以使用的逻辑空间。它只管文件系统那层底层的LV的大小早就被lvextend处理过了。所以顺序绝对不能反先扩LV再扩文件系统。4.2 问题二SELinux上下文标错了代码里写typeerrorRHEL9的SELinux报错信息其实已经很友好了但你在终端里看到的只是“Permission denied”不会告诉你“这是因为SELinux”。有一次我做完SELinux题目后用curl访问httpd页面成功但重启后发现依然403检查了一下发现问题出在我写错了semanage的路径正则表达式# 错误写法只匹配目录本身不含子目录 semanage fcontext -a -t httpd_sys_content_t /opt/web_content # 正确写法用(/.*)?匹配目录下所有内容 semanage fcontext -a -t httpd_sys_content_t /opt/web_content(/.*)?正则表达式这个细节能决定题目成败。restorecon -Rv执行后我用ls -Z /opt/web_content/index.html查看文件标签发现还是default_t而不是httpd_sys_content_t才意识到是semanage规则没覆盖到文件。4.3 问题三firewall-cmd的永久配置总是在重启后消失这个问题不是firewall-cmd本身的问题而是我写作业时忘了区分runtime和permanent两个概念。firewall-cmd默认改的是runtime配置重启后恢复你要写--permanent才会把配置持久化。如果你两个参数顺序写反了比如firewall-cmd --add-servicehttp --permanent其实也能执行成功但整个命令看着就别扭而且很容易漏掉reload。正确操作流程一定是三步--permanent加规则 → reload → 验证。reload这步我不能略它把permanent配置加载到runtime里。没有reload当前会话的规则集里没有这条服务照样不通。4.4 常见问题速查表症状可能原因排查/解决命令扩容后df没变化忘了xfs_growfs/resize2fslvs查看LV大小xfs_growfs /datahttpd访问403SELinux上下文不对ls -Z查看标签restorecon -Rv放行防火墙后仍不通规则没reload或者规则没加对firewall-cmd --list-all检查sudo命令报错sudoers.d权限不对或语法错误visudo -cchmod 440crontab没执行%没转义、路径没写绝对路径crontab -l、grep用户名 /var/log/cronfstab写错导致开机故障UUID错误或挂载选项错误mount -a测试恢复后修改服务未开机自启只用start没用enablesystemctl enable --now 服务名重启后主机名不对hostnamectl没生效或没永久设置hostnamectl set-hostname --static4.5 考试现场的节奏把控做了两次模拟作业之后我总结出RHCSA考场上的一个关键节奏先易后难、先做验证、别恋战。考试时间很紧张遇到卡壳的题先跳过把稳的题全做完、验证完再回来啃难题。实践经验是LVM、用户、权限、防火墙这些题是稳的选在考试一开始做SELinux和网络方面的题容易出意外留足够时间。另外建议考试前把所有重要配置文件提前背一遍位置/etc/fstab、/etc/sysconfig/network-scripts/ifcfg-*、/etc/sudoers.d/、/etc/sysctl.d/、/etc/selinux/config、/var/log/cron。RHCSA是开卷操作但开的是“系统操作”的卷不是你笔记的卷所以这些文件在哪、格式长什么样最好形成肌肉记忆。5. 二次作业之外的延展RHCSA只是起点做完第二次作业你基本上把RHCSA的核心考点摸过一遍了。这个时候你会发现自己已经从“会敲命令”变成了“会解决问题的人”——当你看到一个403页面第一反应不再是怀疑服务器坏了而是去看SELinux看权限看防火墙当你看到df满了第一反应是看VG还有没有空间、能不能在线扩。这就是系统管理员的核心能力也是RHCSA真正要考核的东西。我个人的建议是把第二次作业当成一次模拟考。做完之后不要立刻看答案先对照RHCSA考纲自己检查一遍哪些没做出来哪些做的时候犹豫了这些就是你下一步要重点补的。我做了两遍第一遍用时近两个小时第二遍压缩到50分钟左右到最后考试的时候我做类似题目基本30分钟能完成速度和准确率都上来了。RHCSA这张认证的含金量不在证书本身而在准备它的过程中逼你把Linux系统管理的基础技能学扎实。第二次作业是这段旅程的中段加油站搞定它RHCSA对你来说就是时间问题。