麒麟系统如何实现系统级完整备份与恢复？

Question

在麒麟系统（如Kylin V10）上实施系统级完整备份与恢复时，常见技术问题是：**使用dd或tar等传统工具备份后，恢复至新硬件或不同分区布局时出现GRUB启动失败、根文件系统无法挂载或网络/驱动模块丢失**。根本原因在于麒麟系统深度集成国产固件（UEFI+海光/鲲鹏引导）、定制initramfs、以及依赖特定内核模块（如ko文件）和硬件抽象层（HAL）。若备份未包含EFI系统分区、/boot/grub2配置、/etc/default/grub中针对国产CPU的启动参数（如`quiet splash rd.driver.pre=hisilicon`），或恢复时未重新生成initramfs并重装GRUB到目标磁盘MBR/ESP，将导致系统无法正常启动。此外，麒麟V10默认启用Secure Boot与IMA/EVM完整性度量，未经签名的恢复镜像可能被内核拒绝加载。该问题在政务云迁移、等保灾备演练中高频发生，需结合kylin-backup工具链或定制化Clonezilla方案解决。

Answer 1

```html

一、现象层：典型故障表征与现场诊断信号

• 恢复后系统卡在UEFI Shell或黑屏，无GRUB菜单输出（efibootmgr -v 显示启动项缺失）
• GRUB加载后报错：error: unknown filesystem 或 error: no suitable mode found
• 内核启动阶段失败：dracut: FATAL: No root device "UUID=..." found，或 Failed to mount /sysroot
• 网络不可用、PCIe设备识别异常（如海光DCU、鲲鹏Hi1620网卡显示device not found）
• dmesg中高频出现：ima: policy failed for file /lib/modules/.../hisilicon/hisi_sas_v3_hw.ko

二、结构层：麒麟V10系统启动栈与国产化组件依赖拓扑

graph LR A[UEFI固件
(海光/鲲鹏定制)] --> B[ESP分区
/boot/efi/EFI/kylin/] B --> C[GRUB2引导程序
/boot/efi/EFI/kylin/grubx64.efi] C --> D[内核镜像
/boot/vmlinuz-$(uname -r)] D --> E[定制initramfs
/boot/initramfs-$(uname -r).img
含hisilicon/phytium模块、IMA策略校验钩子] E --> F[根文件系统挂载
依赖rd.driver.pre=hisilicon
及/etc/crypttab中国密LUKS配置] F --> G[HAL硬件抽象层
/usr/libexec/kylin-hal-daemon
动态加载ko并注册sysfs接口]

三、根因层：传统备份工具失效的四大技术断点

断点维度	dd/tar默认行为	麒麟V10强约束	后果
EFI分区处理	忽略/dev/sda1（ESP）或仅备份其文件内容	需保留GPT头、ESP分区标志、EFI签名证书链	Secure Boot拒绝加载未签名grubx64.efi
initramfs生成逻辑	直接复制/boot/initramfs-*.img	必须通过dracut -f --regenerate-all --force重编译，注入CPU微码+HAL驱动	缺少hisilicon_sas.ko导致RAID阵列无法识别
GRUB配置泛化性	备份/etc/default/grub但未适配新硬件	需动态注入rd.driver.pre=hisilicon rd.md.uuid=...及IMA策略路径	内核跳过关键驱动加载，挂载根分区失败
完整性度量锚点	未备份/var/lib/ima/和/etc/ima/策略文件	EVM密钥绑定TPM2.0 PCR值，恢复后PCR不匹配触发integrity: unable to load x509 certificate	systemd进程被IMA阻止执行，服务批量退出

四、方案层：政务级灾备合规的双轨实施路径

1. 官方工具链路径（等保三级推荐）：使用kylin-backup-server v3.2+，启用--secure-boot-rebind与--hal-aware参数，自动完成ESP签名重签、initramfs HAL模块注入、IMA策略重哈希
2. 开源增强路径（混合云场景）：定制Clonezilla Live镜像，集成麒麟内核模块包（kylin-kernel-modules-hygon_5.10.0-1087-kylin）、efitools签名套件、及kylin-hal-gen硬件指纹生成器
3. 恢复后强制执行三步验证：
   1. kylin-secureboot-check --renew-keys
2. dracut -f --regenerate-all --force --kmoddir /lib/modules/$(uname -r)/extra/kylin
3. grub2-mkconfig -o /boot/grub2/grub.cfg && grub2-install --target=x86_64-efi --efi-directory=/boot/efi --bootloader-id=kylin

五、演进层：面向信创全栈的备份范式升级方向

下一代方案需突破单机镜像边界，构建“固件-内核-策略-应用”四层快照一致性模型：

• 将UEFI变量（efivar -l | grep kylin）纳入原子备份单元
• 支持TPM2.0 PCR状态快照与迁移重绑定（tss2_policyauthorize）
• 实现HAL驱动热插拔拓扑感知——备份时记录lshw -class bus -class cpu -class storage硬件指纹，恢复时触发kylin-hal-sync --fingerprint=xxx
• 对接等保2.0测评平台，自动生成《备份恢复完整性审计报告》PDF，含SHA256/SM3双哈希比对结果

```