政务内网300台麒麟V10 SP1 x86_64终端需批量补丁升级与版本跃迁，须严格按四步离线流程操作：第一步确认联网机版本（VERSION_ID="V10"、PLATFORM_ID="platform:kylinv10sp1"、ARCH=x86_64）；第二步安装apt-offline工具；第三步执行apt-offline set生成含--security参数的签名文件，确保CVE修复包及SSH加固、UKUI微调补丁全部拉取；第四步导出kylin-desktop-bundle.zip压缩包，再通过apt-offline install自动部署、Ansible推送或iVentoy U盘PXE方式静默安装，全程无需人工干预。
在政务内网或国企办公网络中，需一次性对300台同型号麒麟V10 SP1桌面终端（x86_64）完成安全补丁升级与系统版本跃迁，避免人工逐台操作导致补丁漏装、版本不一致或服务中断。
准备离线补丁仓库（联网机操作）
第一步：确认联网机与目标集群版本完全一致。执行cat /etc/os-release | grep -E "(VERSION_ID|PLATFORM_ID|ARCH)"，输出必须同时含VERSION_ID="V10"、PLATFORM_ID="platform:kylinv10sp1"和ARCH=x86_64；【任意一项不符，后续生成的补丁包将无法在目标机安装】。
第二步：安装apt-offline工具。运行sudo apt-get install apt-offline -y；若提示包不可用，从https://archive.kylinos.cn/kylin/KYLIN-ALL/pool/main/a/apt-offline/手动下载对应架构的.deb包，再执行sudo apt install ./apt-offline_*.deb。
第三步：生成含安全补丁的精准签名文件。执行命令：apt-offline set kylin-desktop-upgrade --install-packages linux-image-amd64 linux-headers-amd64 openssh-server kylin-system-patch-2403-sec --upgrade --security。这一步会拉取全部CVE修复包及依赖链，包括SSH加固组件与UKUI 4.20微调补丁——【漏掉--security参数将跳过所有紧急安全更新，如CVE-2026-XXXX】。
第四步：导出完整补丁包。将生成的kylin-desktop-upgrade.sig拷贝至能联网的Linux机器，执行apt-offline get kylin-desktop-upgrade.sig --bundle kylin-desktop-bundle.zip，生成单个压缩包，内含全部DEB、校验文件及元数据。
分发与批量静默安装（离线终端群操作）
方法一：使用apt-offline install自动部署（推荐，全程无交互）
将kylin-desktop-bundle.zip拷贝至首台离线终端的/root/offline-patch/目录；解压后执行cd /root/offline-patch && sudo apt-offline install kylin-desktop-bundle.zip。该命令自动完成dpkg安装→触发apt --fix-broken→重启ssh/nxserver等关键服务三阶段动作，无需人工干预。
方法二：Ansible批量推送+本地执行（适用于已部署Ansible控制节点的环境）
① 在控制机编写playbook：copy模块推送zip包至所有目标机/tmp/patch/；② shell模块执行unzip -o /tmp/patch/kylin-desktop-bundle.zip -d /tmp/patch/ && cd /tmp/patch && sudo apt-offline install kylin-desktop-bundle.zip；③ reboot模块设置延迟重启，确保所有终端在凌晨2点统一重启生效。
方法三：制作可启动U盘+PXE一键触发（适合无预装管理工具的裸机环境）
用iVentoy将kylin-desktop-bundle.zip与openkylin-2.0-sp2-desktop-amd64.iso一同写入U盘；在目标机PXE菜单中选择iVentoy启动项→进入Web界面→点击“执行离线补丁安装脚本”按钮，该脚本自动挂载U盘、解压、执行apt-offline install并重启——这一步操作起来很简单，直接把U盘插上按F12选中就行。
验证与回滚保障
第一步：批量验证补丁安装结果。在任意一台终端执行dpkg -l | grep -E "(linux-image|kylin-system-patch)"，确认输出中linux-image-5.4.18-142-generic版本号末尾含-2403-sec标识；同时检查/var/log/apt/history.log中是否有apt-offline install成功记录。
第二步：统一备份GRUB配置以防内核升级失败。在全部终端上执行sudo cp /boot/grub/grub.cfg /boot/grub/grub.cfg.bak-$(date +%Y%m%d)，确保每台机器都保留可回退的启动菜单快照。
第三步：执行强制版本一致性校验。运行for ip in $(cat ip_list.txt); do ssh root@$ip "dpkg -l | grep kylin-system-patch | awk '{print \$3}'"; done | sort | uniq -c，输出应仅有一行且计数为300——若出现多行，说明部分终端未完成升级，需定位IP重推。
