RHEL 支持流程与 sos report 取证

开支持工单时，红帽要的第一件东西通常不是你的猜测，而是 sos report。它把系统状态、日志、配置和命令输出打成一个归档；本页讲怎么生成、怎么核对、怎么脱敏，以及哪份文件绝对不能外发。

验证范围

在 PVE 390 rhel10-lab（RHEL 10.2 x86_64，已注册）上实际执行：

rpm -q sos
sos --version
sudo sos report --batch --case-id 87654321 --tmp-dir /var/tmp
sudo tar -tf /var/tmp/sosreport-*87654321*.tar.xz | head
sudo sos clean /var/tmp/sosreport-*87654321*.tar.xz --batch

E3 记录：plans/content-expansion/evidence/rhel/rhel-support-sos/run.json（5 步，含退出码与输出 sha256）。

先给结论：sos 是取证，不是修复

sos report 只采集、不改变系统。它的价值是让支持工程师在不登机的前提下看到同一份事实；因此：

先复现问题，再生成报告，时间点越接近故障越好；
报告里包含大量配置与日志，默认不要直接贴到公开渠道；
工单里写清“期望行为 / 实际行为 / 发生时间 / 最近变更”，比堆十个命令有用。

生成报告

sudo sos report --batch --case-id 87654321 --tmp-dir /var/tmp

实测输出：

Your sos report has been generated and saved in:
  /var/tmp/sosreport-rhel10-lab-12345678-2026-11-04-qkwflqu.tar.xz

 Size  10.49MiB
 Owner root
 sha256 7bb734b6…

归档结构（tar -tf 前几项）：

sosreport-rhel10-lab-…/version.txt
sosreport-rhel10-lab-…/sos_reports/manifest.json
sosreport-rhel10-lab-…/sos_reports/sos.html
sosreport-rhel10-lab-…/sos_reports/sos.json
sosreport-rhel10-lab-…/sos_reports/sos.txt
sosreport-rhel10-lab-…/sos_logs/sos.log

常用参数：

参数	用途
`--batch`	非交互，适合脚本/远程
`--case-id`	把工单号写进归档名，方便对应
`--tmp-dir`	指定临时目录（默认 `/var/tmp`）
`-z xz\|gzip\|none`	压缩格式
`--encrypt` / `--encrypt-key`	加密归档（需 GPG 或密码）

脱敏：`sos clean` 与 private_map

sudo sos clean /var/tmp/sosreport-rhel10-lab-…-qkwflqu.tar.xz --batch

实测输出要点：

The obfuscated archive is available at
  /var/tmp/sosreport-host0-12345678-2026-11-04-qkwflqu-obfuscated.tar.xz
...
Please send the obfuscated archive to your support
representative and keep the mapping file private.

同时生成 sosreport-host0-…-private_map。这个映射文件是“化名 → 真实主机名/IP”的对照表，只能留在内部；把它一起上传等于没脱敏。