virt-sysprep 必须在虚拟机关机且磁盘未被占用时运行，核心操作包括 filesystem-uuids、swap-uuids、logfiles 等显式启用模块，并需 --selinux-relabel 和 --firstboot-command 重置 machine-id 与 SELinux 上下文。
virt-sysprep 必须在关机状态下操作
直接对正在运行的虚拟机磁盘执行 virt-sysprep 会失败，报错类似 libguestfs: error: guestfs_launch: could not launch guestfs 或设备忙（Device or resource busy）。它不是运行时工具，而是通过 libguestfs 挂载磁盘镜像为只读/可写文件系统来操作，必须确保虚拟机已完全关机（virsh shutdown 后确认状态为 shut off），且磁盘未被任何进程占用（如未卸载的 /dev/loop*、未释放的 qemu-nbd 连接）。
- 检查状态：
virsh list --all | grep your-vm-name，确认显示shut off - 避免误操作：不要在宿主机上挂载该镜像的分区（例如
mount /var/lib/libvirt/images/vm.img /mnt），否则virt-sysprep会因设备被占用而拒绝启动后端 - 若用
qemu-nbd手动挂载过，请先执行sudo qemu-nbd -d /dev/nbd0并sudo modprobe -r nbd
清理 UUID 的核心参数是 --operations
virt-sysprep 不默认清除所有 UUID，它按“操作模块”分组控制行为。真正影响克隆后启动失败的 UUID 主要来自三处：文件系统 UUID（/etc/fstab 和 GRUB 引用）、swap 分区 UUID、以及网卡绑定的 MAC 地址（虽非 UUID，但常被误认为需处理）。必须显式启用对应操作：
- 清除文件系统 UUID：使用
--operations filesystem-uuids—— 它会重生成/etc/fstab中所有UUID=...条目，并更新内核命令行（/boot/grub2/grub.cfg或/boot/efi/EFI/*/grub.cfg）里的root=UUID=... - 清除 swap UUID：加上
--operations swap-uuids，否则克隆机启动时可能因swapon -a失败而卡在初始化阶段 - 不建议加
udev-persistent-net（已弃用）或盲目用--operations all：后者会清空 SSH host keys、用户密码、日志等，可能破坏你预装的服务信任链
日志清理不是靠排除，而是靠 --operations logfiles
很多人误以为“排除 /var/log”就能减小镜像体积，但 virt-sysprep 的设计逻辑不同：它不跳过路径，而是在挂载后主动清理日志内容。关键点在于：
-
--operations logfiles会清空/var/log下绝大多数日志文件（如messages、secure、journal），但保留目录结构和权限，不影响服务启动 - 它不会碰
/var/log/journal的二进制索引（除非加--operations journal），因为 journal 日志由systemd-journald管理，清空目录本身可能导致下次启动 journal 重建失败；稳妥做法是配合--operations journal或手动在镜像中运行journalctl --vacuum-size=50M - 若你已在母机上用
logrotate -f轮转过日志，virt-sysprep再执行logfiles就只是删空当前 active 文件，体积收益有限；真正省空间的是后续压缩（如用qemu-img convert -c启用压缩）
一条安全可用的完整命令示例
假设你的镜像路径是 /var/lib/libvirt/images/centos8-template.qcow2，目标是生成一份可重复克隆的干净模板：
sudo virt-sysprep \ -a /var/lib/libvirt/images/centos8-template.qcow2 \ --operations filesystem-uuids,swap-uuids,logfiles,ssh-hostkeys,udev-persistent-net \ --selinux-relabel \ --firstboot-command 'rm -f /etc/machine-id && systemd-machine-id-setup'
-
--selinux-relabel：强制重打 SELinux 标签，避免克隆后因上下文不一致导致服务拒绝启动（如httpd、sshd） -
--firstboot-command：在首次启动时重置/etc/machine-id，这是 systemd 识别“同一台机器”的关键，不重置会导致systemd-journal、dbus等服务异常 - 注意：不要加
--enable或--disable单个操作模块以外的参数，virt-sysprep对参数顺序敏感，错误组合会导致静默跳过某些清理步骤
最易被忽略的是 /etc/machine-id 和 SELinux 上下文——它们不体现在 UUID 或日志里，但足以让克隆机启动后网络不通、服务起不来、日志全丢。别只盯着 visible 的东西。
