AlmaLinux 9：新装系统的 7 项核对

验证范围

在 almalinux:9 容器（AlmaLinux 9.8，aarch64）中实际执行：cat /etc/almalinux-release、dnf repolist --enabled、ls -l /etc/localtime、cat /etc/hostname、安装 firewalld 后 firewall-offline-cmd、安装 yum-utils 后 needs-restarting -r。日志：plans/content-expansion/evidence/logs/alma-first-steps.log。

timedatectl、getenforce、hostnamectl 依赖 systemd / SELinux 运行态，容器不可用，未在本环境实测。

1. 版本与默认仓库

cat /etc/almalinux-release
dnf repolist --enabled

AlmaLinux release 9.8 (Olive Jaguar)
repo id     repo name
appstream   AlmaLinux 9 - AppStream
baseos      AlmaLinux 9 - BaseOS
extras      AlmaLinux 9 - Extras

默认只有这三个源，CRB 未启用。需要 glibc-static、*-devel 时用 --enablerepo=crb 临时开，不必永久启用。

2. 时区与时间同步

ls -l /etc/localtime

lrwxrwxrwx ... /etc/localtime -> ../usr/share/zoneinfo/UTC

容器默认 UTC。真实系统上用 timedatectl set-timezone Asia/Shanghai，并确认 systemctl status chronyd 为 active（需真实系统）。

3. 主机名

cat /etc/hostname

容器里是随机容器 ID；真实系统用 hostnamectl set-hostname app01.example.com，hostname -f 应返回 FQDN（需真实系统）。

4. SELinux

getenforce
sestatus | head -5

需真实系统：容器没有 SELinux 运行态。AlmaLinux 9 安装后默认为 enforcing；排查用 ausearch -m avc 与 sealert，不要用 setenforce 0 掩盖。

5. 防火墙默认值

firewall-offline-cmd --get-default-zone
firewall-offline-cmd --zone=public --list-services

public
cockpit dhcpv6-client ssh

默认 zone 是 public，只放行 cockpit、dhcpv6-client、ssh。开新服务记得放行端口：/firewalld-zones/。

6. 更新与重启需求

sudo dnf -y install yum-utils
sudo dnf -y update
sudo needs-restarting -r

No core libraries or services have been updated since boot-up.
Reboot should not be necessary.

退出码 0 表示不用重启，1 表示需要。命令来自 yum-utils，不是 dnf-plugins-core。

7. 最小化安装的包基线

dnf list installed | wc -l
rpm -q firewalld chrony

需真实系统：容器是精简 rootfs，包数不可比。真实最小化安装通常 400–600 个包，且不一定预装 firewalld 与 chrony；用 rpm -q 确认，缺了用 dnf install -y firewalld chrony 再 systemctl enable --now。