银河麒麟V10需通过启用稳定版安全通道、禁用自动安装、配置YUM安全白名单及部署内网签名验证机制，确保仅安装经等保三级认证且经120天全链路验证的安全补丁，杜绝误装测试包与非计划重启。

银河麒麟V10系统需在保障业务连续性前提下，精准推送并安装经等保三级认证的安全补丁，避免误装测试版功能包或触发非计划重启。手动点击“检查更新”易漏掉关键补丁，且无法设定安装窗口与来源可信度验证。

启用稳定版安全通道并锁定更新源

该操作确保系统只接收经过120天全链路验证的安全补丁，屏蔽所有功能更新与测试源干扰。

第一步：打开“控制中心→更新”，确认右上角显示“稳定版（已启用）”标识；若未启用，点击右侧“切换至稳定版”并输入管理员密码完成切换。

第二步：点击页面右上角“更新设置”，将“自动检查更新”设为开启，但必须关闭“自动下载更新”和“自动安装更新”——【安全补丁必须人工审核后触发安装】，否则可能绕过风险评估流程。

第三步：进入“设置→网络→代理设置”，确认未启用全局HTTP/HTTPS代理；如企业使用内部更新服务器，此处需填写内网镜像地址（如http://192.168.10.5:8080），否则系统仍将回退至外网源校验签名。

配置YUM安全更新白名单机制

仅允许安装标记为security的RPM包，彻底阻断常规更新、语言包、文档等非安全类变更。

方法一：终端执行安全更新检查命令

sudo yum list updates --security

方法二：强制启用安全更新过滤策略

编辑配置文件：sudo nano /etc/yum.conf，在[main]段末尾新增一行：installonly_limit=0 → 然后添加：exclude=*.i686 *.x86_64 → 最后追加：plugins=1 → 保存退出。

方法三：创建专用安全更新脚本

执行sudo tee /usr/local/bin/sec-update.sh #!/bin/bash
export LANG=en_US.UTF-8
sudo yum -y update --security --setopt=assumeyes=true --setopt=exclude=kernel* > /var/log/sec-update.log 2>&1
EOF
赋予执行权限：sudo chmod +x /usr/local/bin/sec-update.sh

部署内网签名验证与离线补丁安装

适用于政务、金融等严禁直连外网的环境，所有补丁须经本地安全团队二次签名后方可部署。

1、从麒麟官网下载对应版本SP3的离线安全补丁ISO镜像（如Kylin-Desktop-V10-SP3-Security-202606.iso）。

2、挂载镜像并导入GPG密钥：sudo mount -o loop Kylin-Desktop-V10-SP3-Security-202606.iso /mnt → sudo rpm --import /mnt/RPM-GPG-KEY-KYLIN

3、建立本地仓库配置：sudo tee /etc/yum.repos.d/local-security.repo [local-security]
name=Local Security Updates
baseurl=file:///mnt
enabled=1
gpgcheck=1
gpgkey=file:///mnt/RPM-GPG-KEY-KYLIN
EOF

4、刷新缓存并安装：sudo yum clean all → sudo yum makecache → sudo yum --disablerepo="*" --enablerepo="local-security" install -y --security

禁用非安全类更新服务与进程

防止应用商店、图形界面更新管理器等组件绕过安全策略发起非授权更新。

执行以下三条命令依次终止干扰源：

sudo systemctl stop kylin-appstore-updater.service && sudo systemctl disable kylin-appstore-updater.service

sudo systemctl stop unattended-upgrades && sudo systemctl disable unattended-upgrades

sudo pkill -f "kylin-update-manager --auto"