流程

1. 使用 Red Hat Subscription Manager 确保您的系统已被成功注册到 Red Hat Content Delivery Network (CDN)或 Red Hat Satellite。

2. 如果您的系统已注册到 Satellite 服务器，请完成 为升级准备 Satellite 注册系统 中的步骤，以确保您的系统满足升级要求。

   重要

   如果您的系统已注册到 Satellite 服务器，则必须完成 为升级准备注册了 Satellite 的系统 的步骤，然后才能继续这个过程中的步骤以防止问题的发生。

3. 使用 subscription-manager 验证系统是否已订阅：

   1. 如果您的系统使用启用了 Simple Content Access (SCA)的帐户注册，请验证 Content Access Mode 是否已设置为 Simple Content Access 信息：

      # subscription-manager status
      +-------------------------------------------+
         System Status Details
      +-------------------------------------------+
      Overall Status: Disabled
      Content Access Mode is set to Simple Content Access. This host has access to content, regardless of subscription status.
      System Purpose Status: Disabled

   2. 如果您的系统使用禁用 SCA 的帐户注册，请验证是否已附加 Red Hat Linux Server 订阅，产品名称为 Server，其状态为 Subscribed ：

      # subscription-manager list --installed
      +-------------------------------------------+
          	  Installed Product Status
      +-------------------------------------------+
      Product Name:  	Red Hat Enterprise Linux Server
      Product ID:     69
      Version:        7.9
      Arch:           x86_64
      Status:         Subscribed

4. 确定启用了适当的软件仓库。以下命令列出 64 位 Intel 架构的软件仓库 ; 有关其他架构请参阅 RHEL 7 软件仓库。

   1. 启用 Base 软件仓库：

      # subscription-manager repos --enable rhel-7-server-rpms

   2. 启用提供 Leapp 及其依赖软件包的 Extras 软件仓库：

      # subscription-manager repos --enable rhel-7-server-extras-rpms

      注意

      另外，您还可以启用 Optional （也称为 CodeReady Linux Builder）或 Supplementary 存储库。有关存储库 ID 的更多信息，请参阅 RHEL 7 软件仓库中的 Optional 和 Supplementary 软件仓库 列表。有关这些软件仓库的内容的更多信息，请参阅 CodeReady Linux Builder 存储库 和 Supplementary 存储库。

5. 设置 Red Hat Subscription Manager ，以使用最新的 RHEL 7 内容：

   # subscription-manager release --unset

6. 可选： 要使用自定义软件仓库，请参阅配置自定义软件仓库 知识库文章。

7. 如果您使用 yum-plugin-versionlock 插件把软件包锁定到特定版本，请运行以下命令来清除锁：

   # yum versionlock clear

   详情请查看 How to restrict yum to install or upgrade a package to a fixed specific package version？。

8. 如果您要在公有云上使用 Red Hat Update Infrastructure (RHUI) 升级，请启用所需的 RHUI 软件仓库并安装所需的 RHUI 软件包，以确保您的系统已准备好升级。

   1. 对于 AWS：

      # yum-config-manager --enable rhui-client-config-server-7
      # yum-config-manager --enable rhel-7-server-rhui-extras-rpms
      # yum -y install rh-amazon-rhui-client leapp-rhui-aws

   2. 对于 Microsoft Azure：

      # yum-config-manager --enable rhui-microsoft-azure-rhel7
      # yum -y install rhui-azure-rhel7
      # yum-config-manager --enable rhui-rhel-7-server-rhui-extras-rpms
      # yum -y install leapp-rhui-azure

      注意

      如果您将 Azure 虚拟机 (VM) 锁定到一个次发行版本，请删除版本锁定。如需更多信息，请参阅将 RHEL 7.x 虚拟机切回到非 EUS。

   3. 对于 Google Cloud Platform，请遵循 Google Cloud Platform (GCP) 知识库文章。
9. 如果您在 Docker 中管理容器，请通过 Podman 使用合适的容器镜像重新创建这些容器，然后附加任何使用的卷。如需更多信息，请参阅如何在从 Red Hat Enterprise Linux 7 迁移到 Red Hat Enterprise Linux 8 之前将 Docker 容器迁移到 Podman？

10. 将所有软件包更新到最新的 RHEL 7 版本：

    # yum update

11. 重启系统：

    # reboot

12. 安装 Leapp：

    # yum install leapp-upgrade

    请注意，您目前需要版本 0.16.0 或更高版本的 leapp 软件包，版本 0.19.0 或更高版本的 leapp-repository 软件包，其中包含 leapp-upgrade-el7toel8 RPM 软件包。

    注意

    如果您的系统无法访问互联网，请从红帽客户门户网站下载以下软件包 ：

    • leapp
    • Leapp-deps
    • python2-leapp
    • leapp-upgrade-el7toel8
    • leapp-upgrade-el7toel8-deps 了解如何在离线系统中为 RHEL 7.9 升级到 RHEL 8.X 的 leapp 软件包？如需更多信息，知识库文章。
13. leapp-upgrade-el7toel8 软件包的最新版本包含所有所需的数据文件。如果您使用旧版本替换了这些数据文件，请删除 /etc/leapp/files 目录中的所有 JSON 文件，并重新安装 leapp-upgrade-el7toel8 软件包，以确保您的数据文件是最新的。
14. 临时禁用防病毒软件以防止升级失败。

15. 确保任何配置管理系统都不会干扰原位升级过程：

    • 如果您使用客户端-服务器架构的配置管理系统（如 Puppet、Salt 或 Chef ），请在运行 leapp preupgrade 命令前禁用系统。在升级完成前，请不要启用配置管理系统，以防止升级过程中出现问题。

    • 如果您使用无代理架构的配置管理系统（如 Ansible ），在原位升级过程中不要执行配置和部署文件（如 Ansible playbook），如 执行从 RHEL 7 到 RHEL 8 的升级 中所述。

      红帽不支持使用配置管理系统进行预升级和升级过程的自动化。如需更多信息，请参阅 使用配置管理系统在 Red Hat Enterprise Linux 上自动化部分 Leapp 预升级和升级过程。

16. 请确定您的系统没有使用多于一个的、名称基于内核使用的前缀（eth）的网络接口卡（NIC）。如需了解如何在原位升级到 RHEL 8 前迁移到另外一个命名模式的更多信息，请参阅 How to perform an in-place upgrade to RHEL 8 when using kernel NIC names on RHEL 7。
17. 如果您要使用 ISO 镜像升级，请验证 ISO 镜像是否包含目标操作系统版本，如 RHEL 8.8，并被保存到持久本地挂载点，以确保 Leapp 实用程序可以在升级过程中访问镜像。
18. 确定您有完整的系统备份或者虚拟机快照。请确定您可以按照您的环境中的标准灾难恢复步骤，把系统恢复到升级前的状态。例如，使用 Relax-and-Recover (ReaR) 程序进行备份。如需更多信息，请参阅 ReaR 文档以及 Relax and Recover (ReaR) 是什么以及如何使用它进行灾难恢复？或者，您可以使用 LVM 快照 或 RAID splitting。如果升级虚拟机，您可以创建整个虚拟机的快照。

流程

1. 验证 Satellite 是否是完全支持或维护支持的版本。如需更多信息，请参阅 Red Hat Satellite 产品生命周期。
2. 将带有 RHEL 8 存储库的订阅清单导入到 Satellite 服务器。如需更多信息，请参阅 Red Hat Satellite 特定版本的 管理内容指南中的管理红帽订阅一章，例如 6.12 版本。

3. 在 Satellite 服务器上启用并同步所有所需的 RHEL 7 和 RHEL 8 软件仓库与 RHEL 7.9 和目标操作系统版本的最新更新，如 RHEL 8.6。所需的软件仓库必须在内容视图中找到，并在关联的激活码中启用。

   注意

   对于 RHEL 8 软件仓库，启用每个软件仓库的目标操作系统版本，如 8.6。如果您只启用 RHEL 8 版本的软件仓库，则禁止原位升级。

   例如，对于没有延长更新支持（EUS）订阅的 Intel 构架，至少启用以下软件仓库：

   • Red Hat Enterprise Linux 7 Server (RPMs)

     rhel-7-server-rpms

     x86_64 7Server

   • Red Hat Enterprise Linux 7 Server - Extras (RPMs)

     rhel-7-server-extras-rpms

     x86_64

   • Red Hat Enterprise Linux 8 for x86_64 - AppStream (RPMs)

     rhel-8-for-x86_64-appstream-rpms

     x86_64 <target_os_version>

   • Red Hat Enterprise Linux 8 for x86_64 - BaseOS (RPMs)

     rhel-8-for-x86_64-baseos-rpms

     x86_64 <target_os_version>

     将 target_os_version 替换为目标操作系统版本，如 8.6。

     有关其他构架，请参阅 RHEL 7 软件仓库 和 RHEL 8 软件仓库。

     如需更多信息，请参阅 Red Hat Satellite 特定版本的 管理内容指南中的 导入内容章节，例如 版本 6.12。

4. 将内容主机附加到包含所需的 RHEL 7 和 RHEL 8 软件仓库的内容视图。

   如需更多信息，请参阅特定版本的 Red Hat Satellite 的 管理内容视图一章，例如 6.12 版本。

验证

1. 验证 Satellite 服务器上正确的 RHEL 7 和 RHEL 8 软件仓库是否已添加到正确的内容视图中。

   1. 在 Satellite Web UI 中，导航到 Content > Lifecycle > Content Views，然后点击内容视图的名称。

   2. 点 Repositories 选项卡，并验证存储库是否正确出现。

      注意

      您还可以使用以下命令验证存储库是否已添加到内容视图中：

      # hammer repository list --search 'content_label ~ rhel-7' --content-view <content_view_name> --organization <organization> --lifecycle-environment <lifecycle_environment>
      # hammer repository list --search 'content_label ~ rhel-8' --content-view <content_view_name> --organization <organization> --lifecycle-environment <lifecycle_environment>

      将 <content_view_name > 替换为内容视图的名称，& lt;organization > 替换为机构，< lifecycle_environement> 替换为生命周期阶段的名称。

2. 验证与内容视图关联的激活码中是否启用了正确的 RHEL 8 软件仓库：

   1. 在 Satellite Web UI 中，导航到 Content > Lifecycle > Activation Keys，然后点击激活码的名称。
   2. 单击 Repository Sets 选项卡，再验证所需存储库的状态 是否已启用。

3. 验证主机上是否启用了所有预期的 RHEL 7 软件仓库。例如：

   # subscription-manager repos --list-enabled | grep "^Repo ID"
   Repo ID:   rhel-7-server-extras-rpms
   Repo ID:   rhel-7-server-rpm

流程

1. 在 RHEL 7 系统中，执行预升级阶段：

   # leapp preupgrade --target <target_os_version>

   将 <target_os_version > 替换为目标操作系统版本，如 8.6。如果没有定义目标操作系统版本，Leapp 将使用在 支持的升级路径 中的表 1.1 中所指定的默认目标操作系统版本。

   • 如果您使用 /etc/yum.repos.d/ 目录中的 自定义软件仓库 进行升级，请启用所选软件仓库，如下所示：

     # leapp preupgrade --enablerepo <repository_id1> --enablerepo <repository_id2> ...

   • 如果您要在没有 RHSM 的情况下升级或使用 RHUI，请添加 --no-rhsm 选项。
   • 如果您有 扩展升级支持(EUS)、高级更新支持(AUS) 或 Update Services for SAP Solutions (E4S) 订阅，请添加 --channel < channel> 选项。将 < channel> 替换为频道名称，如 eus、aus 或 e4s。请注意，SAP HANA 客户应该使用 如何将 SAP 环境从 RHEL 7 原位升级到 RHEL 8 指南来 执行原位升级。

2. 检查 /var/log/leapp/leapp-report.txt 文件中的报告，并手动解决问题。有些报告的问题包含补救建议。禁止问题 阻止您升级，直到您解决了它们。

   这个报告包含以下风险因素级别：

   高

   很有可能导致系统状态。

   Medium

   可能会影响系统和应用程序。

   低

   不应影响系统，但可能会影响应用程序。

   info

   对系统或应用程序没有预期的影响。

3. 在某些系统配置中，Leapp 工具会生成 true 或 false 问题，您必须手动回答。如果预升级报告 在回答文件消息中包含 Missing required answers，请完成以下步骤：

   1. 打开 /var/log/leapp/answerfile 文件，并查看 true 或 false 问题。

   2. 手动编辑 /var/log/leapp/answerfile 文件，通过删除 sVirt 符号取消对文件的 confirm 行的注释，并确认您的回答为 True 或 False。如需更多信息，请参阅 Leapp answerfile。

      注意

      另外，您可以通过运行以下命令来回答 true 或 false 问题：

      # leapp answer --section <question_section>.<field_name>=<answer>

      例如，要确认对 Disable pam_pkcs11 module in PAM configuration? 问题的 False 回答，请执行以下命令：

      # leapp answer --section remove_pam_pkcs11_module_check.confirm=False

4. 重复前面的步骤重新运行预升级报告，以验证您是否解决了所有关键问题。

流程

1. 安装 cockpit-leapp 插件：

   # dnf install cockpit-leapp

   以 root 或具有 sudo 输入管理命令权限的用户登录到 web 控制台。如需有关 web 控制台的更多信息，请参阅使用 RHEL web 控制台管理系统。

2. 在 RHEL 7 系统中，从命令行界面或 web 控制台终端执行预升级：

   # leapp preupgrade --target <target_os_version>

   将 <target_os_version > 替换为目标操作系统版本，如 8.6。如果没有定义目标操作系统版本，Leapp 将使用在 支持的升级路径 中的表 1.1 中所指定的默认目标操作系统版本。

   • 如果您使用 /etc/yum.repos.d/ 目录中的 自定义软件仓库 进行升级，请启用所选软件仓库，如下所示：

     # leapp preupgrade --enablerepo <repository_id1> --enablerepo <repository_id2> ...

   • 如果您要在没有 RHSM 的情况下升级或使用 RHUI，请添加 --no-rhsm 选项。
   • 如果您有 扩展升级支持(EUS)、高级更新支持(AUS) 或 Update Services for SAP Solutions (E4S) 订阅，请添加 --channel < channel> 选项。将 < channel> 替换为频道名称，如 eus、aus 或 e4s。请注意，SAP HANA 客户应该使用 如何将 SAP 环境从 RHEL 7 原位升级到 RHEL 8 知识库文章来执行原位升级。

3. 在 Web 控制台中，从导航菜单中选择 Upgrade Report 来查看所有报告的问题。禁止问题 阻止您升级，直到您解决了它们。要详细查看问题，请选择行以打开详情面板。

   图 4.1. Web 控制台中的原位升级报告

   

   这个报告包含以下风险因素级别：

   高

   很有可能导致系统状态。

   Medium

   可能会影响系统和应用程序。

   低

   不应影响系统，但可能会影响应用程序。

   info

   对系统或应用程序没有预期的影响。

4. 在某些配置中，Leapp 工具会生成 true 或 false 问题，您必须手动回答。如果升级报告 在回答文件行中包含 Missing required answers，请完成以下步骤：

   1. 在回答文件行中选择 Missing required answers 以打开 Details 窗格。默认回答在补救命令的末尾声明。
   2. 要确认默认回答，请选择 Add to Remediation Plan 以稍后执行补救或 Run Remediation 来立即执行补救。

   3. 要选择非默认回答，请在终端中执行 leapp answer 命令，指定您要回答的问题以及您已确认的回答。

      # leapp answer --section <question_section>.<field_name>=<answer>

      例如，要确认对 Disable pam_pkcs11 module in PAM configuration? 问题的 False 响应？

      # leapp answer --section remove_pam_pkcs11_module_check.confirm=False

      注意

      您还可以手动编辑 /var/log/leapp/answerfile 文件，通过删除 sVirt 符号取消对文件的 confirm 行的注释，并确认您的回答为 True 或 False。如需更多信息，请参阅 Leapp answerfile 示例。

5. 有些问题会运行修复命令来自动解决问题。您可以在补救命令中单独或全部运行补救命令。

   1. 要运行单个补救命令，请打开 此问题的 详情面板，然后点 Run Remediation。

   2. 要在补救计划中添加补救命令，请打开此问题的详情面板，然后点击 Add to Remediation Plan。

      图 4.2. 详细信息面板

      
   3. 要运行包含所有添加的补救命令的补救计划，请点击报告右上角的 Remediation plan 链接。点 Execute Remediation Plan 执行所有列出的命令。
6. 检查报告并解决所有报告的问题后，重复第 3-7 步重新运行报告，以验证您是否解决了所有关键问题。

流程

1. 确保没有 SELinux denials，例如，使用 ausearch 工具程序：

   # ausearch -m AVC,USER_AVC -ts boot

   请注意，上一步只涵盖最常见的情况。要检查所有可能的 SELinux denials，请查看使用 SELinux 中的 识别 SELinux denials 部分。

2. 在您选择的文本编辑器中打开 /etc/selinux/config 文件，例如：

   # vi /etc/selinux/config

3. 配置 SELINUX=enforcing 选项：

   # This file controls the state of SELinux on the system.
   # SELINUX= can take one of these three values:
   #       enforcing - SELinux security policy is enforced.
   #       permissive - SELinux prints warnings instead of enforcing.
   #       disabled - No SELinux policy is loaded.
   SELINUX=enforcing
   # SELINUXTYPE= can take one of these two values:
   #       targeted - Targeted processes are protected,
   #       mls - Multi Level Security protection.
   SELINUXTYPE=targeted

4. 保存更改，重启系统：

   # reboot

验证

1. 系统重启后，确认 getenforce 命令返回 Enforcing:

   $ getenforce
   Enforcing

流程

1. 查找合适的安全合规数据流 .xml 文件：

   $ ls /usr/share/xml/scap/ssg/content/
   ssg-firefox-cpe-dictionary.xml  ssg-rhel6-ocil.xml
   ssg-firefox-cpe-oval.xml        ssg-rhel6-oval.xml
   ...
   ssg-rhel6-ds-1.2.xml          ssg-rhel8-oval.xml
   ssg-rhel8-ds.xml              ssg-rhel8-xccdf.xml
   ...

   如需更多信息，请参阅 查看合规性配置文件 章节。

2. 根据从合适的数据流所选的配置文件来修复系统：

   # oscap xccdf eval --profile pci-dss --remediate /usr/share/xml/scap/ssg/content/ssg-rhel8-ds.xml

   您可以根据您要强化系统的配置文件的 ID 来替换 --profile 参数中的 pci-dss 值。有关 RHEL 8 中所支持的配置文件的完整列表，请参阅 RHEL 中所支持的 SCAP 安全配置文件。

   警告

   如果没有谨慎使用，在启用 Remediate 选项的情况下运行系统评估可能会导致系统无法正常工作。红帽不提供任何自动的方法来恢复由强化安全的修复所做的更改。在 RHEL 系统上的默认配置中支持修复。如果在安装后更改了您的系统，运行修复可能无法使其遵守所需的安全配置文件。

3. 重启您的系统：

   # reboot

验证

1. 验证系统是否遵从配置文件，并将结果保存到 HTML 文件中：

   $ oscap xccdf eval --report pcidss_report.html --profile pci-dss /usr/share/xml/scap/ssg/content/ssg-rhel8-ds.xml