Trilha Administração de Sistemas Linux: tudo o que estudar, tópico por tópico

Arquitetura do Linux, famílias de distribuições, Filesystem Hierarchy Standard, sequência de boot (firmware, bootloader, kernel, init), módulos do kernel, descoberta de hardware e ambiente do shell

Navegação e gerenciamento de arquivos e diretórios, links físicos e simbólicos, find, arquivamento e compressão, redirecionamento e pipes, grep, sed, awk e edição com vi/vim e nano

Instalação, atualização e remoção de software com rpm/dnf/yum e dpkg/apt, repositórios e verificação de assinatura GPG, bibliotecas compartilhadas e compilação a partir do código-fonte com configure/make

Gerenciamento de configuração em /etc, parâmetros do kernel com sysctl, sincronização de horário com chrony, locale e fuso horário, logs com rsyslog e journald, rotação de logs e configuração de ambiente e alternatives

Essenciais do RHCSA no shell: sintaxe de comandos, redirecionamento e pipes, grep com expressões regulares, tar com gzip e bzip2, links físicos e simbólicos, permissões ugo/rwx, shells de login com su e sudo, e como achar respostas offline com man, info e /usr/share/doc

Registro do RHEL, repositórios BaseOS e AppStream, criação de arquivos .repo, dnf install/remove/provides/history, importação de chave GPG, consultas e verificação com rpm, e remotos e aplicativos Flatpak

Alvos do systemd (default, isolate, rescue, emergency), interrupção do GRUB2 para editar a linha do kernel, redefinição da senha de root com rd.break e relabeling do SELinux, argumentos persistentes do kernel com grubby e grub2-mkconfig, e desligamento e reinicialização controlados

Detalhes de inspeção e transferência de arquivos: saída do stat com horários de acesso (atime), modificação (mtime) e mudança (ctime) e qual operação atualiza cada um, acompanhar logs em crescimento com tail -f versus tail -F ao longo da rotação, modo de arquivamento do rsync com --delete para espelhar um diretório (semântica da barra final, --dry-run, -z, -e ssh) e verificação de integridade com sha256sum, md5sum e sha256sum -c contra um arquivo de checksum publicado

Receitas de texto na linha de comando para logs e arquivos de configuração: substituição em massa e no local em vários arquivos com sed -i.bak e find ou xargs, soma de uma coluna delimitada com awk -F, '{s+=$3} END{print s}', contagem de valores distintos com cut -d' ' -f1 | sort -u | wc -l ou sort | uniq -c | sort -rn, e por que uniq exige entrada ordenada

Particionamento com fdisk/parted, GPT vs MBR, ext4 e XFS, LVM (PV, VG, LV) com redimensionamento e snapshots, RAID por software com mdadm, swap, fstab e montagens, quotas e armazenamento em rede com NFS e iSCSI

Estados de processos e sinais, prioridades com nice/renice, ps/top, unidades systemd, targets e dependências, escrita de unit files, overrides drop-in, cron, at e timers do systemd e journalctl

Configuração de interfaces e endereços com NetworkManager (nmcli), netplan ou ifcfg, o comando ip, roteamento, resolução DNS e resolv.conf, hostname, bonding e VLANs, e ferramentas como ss, dig, curl e tcpdump

Localização e encerramento de processos que consomem CPU ou memória, sinais, nice e renice, perfis tuned e tuned-adm, leitura do journalctl e de /var/log, journal persistente e limite do tamanho do journal

systemctl enable --now, mask e dependências, cron e crontab, jobs com at, timers do systemd com OnCalendar e Persistent, clientes de tempo chrony e transferências com scp, sftp e rsync

Criação de partições GPT com parted ou fdisk, volumes físicos, grupos de volumes e volumes lógicos, mkfs para XFS, ext4 e VFAT, montagem por UUID ou rótulo no /etc/fstab, extensão de volumes lógicos online, adição de swap e volumes Stratis e LVM-VDO

Montagem de exportações NFS manualmente e no /etc/fstab, _netdev e nofail, arquivos master e de mapa do autofs com mapas diretos, indiretos e curinga, tempos limite de ociosidade, e verificações de firewall, SELinux e exportação para NFS

Ajuste e recuperação de sistemas de arquivos: cotas de disco por usuário e grupo (opções de montagem usrquota,grpquota, quotacheck, quotaon, limites soft e hard com edquota e período de carência, repquota e xfs_quota para XFS), redução do percentual de blocos reservados do ext4 com tune2fs -m em volumes de dados, e montagem de um volume XFS clonado ou de snapshot cujo UUID duplica o de um já montado com -o nouuid ou regenerando-o com xfs_admin -U generate

Ferramentas de administração de rotina: evitar execuções sobrepostas do cron com flock -n em um arquivo de lock, rotacionar logs com logrotate (regras semanais ou por tamanho, quantidade de rotações, compress, copytruncate versus recarga em postrotate, /etc/logrotate.d), gerenciar várias versões de um comando com o sistema de alternativas (update-alternatives ou alternatives --config, links em /etc/alternatives) e retomar trabalho longo após uma queda da conexão SSH com tmux (new, detach, attach, listar sessões)

Administração de virtualização em Linux: confirmar extensões de virtualização por hardware (flags vmx/svm em /proc/cpuinfo, lscpu, kvm-ok), instalar e usar KVM com libvirt (virsh list, start, shutdown, autostart, define, dumpxml), criar convidados com virt-install, drivers paravirtualizados virtio de disco e rede no lugar de dispositivos emulados IDE e e1000 para desempenho de E/S, e snapshots pontuais de convidados com virsh snapshot-create-as e snapshot-revert

Projeto e ferramentas de backup: esquemas completo, incremental e diferencial e quais conjuntos uma restauração exige, arquivos incrementais do GNU tar com --listed-incremental, preservação de ACLs, atributos estendidos e contextos SELinux com --acls --xattrs --selinux, imagem bit a bit de disco com dd (if, of, bs, status=progress, conv=fsync) e o risco de trocar if e of

Modelos de conta e sessões longas: arquivos colocados em /etc/skel copiados para novos diretórios home por useradd -m (.bashrc, README.txt) sem afetar usuários existentes, e manter um job em primeiro plano como rsync vivo após o logout SSH suspendendo com Ctrl+Z, bg e disown -h, ou iniciando com nohup, setsid ou dentro de tmux ou screen

Defesa em profundidade no Linux: cadência de correções, minimização de serviços e pacotes, criptografia de disco com LUKS, GPG, certificados TLS e PKI, auditoria com auditd, hardening baseado em benchmarks (CIS) e padrões seguros

Contas e grupos locais (/etc/passwd, /etc/shadow), useradd e usermod, envelhecimento de senhas, sudoers, módulos PAM, identidade centralizada com LDAP, SSSD e Kerberos e autenticação multifator

Conceitos de firewall de host (filtragem stateful, zonas, chains), zonas/serviços/rich rules do firewalld, avaliação de regras do nftables e iptables, ufw, NAT e redirecionamento de portas e persistência das regras

Configuração de cliente e servidor OpenSSH, autenticação por chave, ssh-agent, hardening do sshd_config, redirecionamento de portas e jump hosts, scp/sftp/rsync, tmux e alternativas de desktop remoto

Permissões discricionárias (rwx, umask), bits especiais (setuid, setgid, sticky), atributos de arquivo, ACLs POSIX, controle de acesso obrigatório com SELinux (contextos, booleans, modos) e perfis do AppArmor

Opções do useradd e usermod, grupos e diretórios compartilhados com setgid, envelhecimento de senha com chage e login.defs, bloqueio de contas, sudoers.d e visudo, ACLs POSIX com máscara e padrões, umask e diagnóstico de problemas de permissão com namei e getfacl

Endereçamento IPv4 e IPv6 persistente com nmcli, hostnamectl, /etc/hosts e nsswitch.conf, autoconnect na inicialização, zonas, serviços, portas e origens do firewall-cmd com regras de runtime versus permanentes, e SSH com chaves usando ssh-copy-id

getenforce, setenforce e /etc/selinux/config, leitura de contextos de arquivos e processos com ls -Z e ps -Z, semanage fcontext com restorecon, semanage port, setsebool -P e diagnóstico de negações AVC com ausearch e sealert

Hardening na prática: capabilities de arquivo do Linux definidas com setcap e lidas com getcap (cap_net_bind_service+ep para usar portas privilegiadas sem root, em vez de setuid), varredura de conformidade com OpenSCAP (oscap xccdf eval com um perfil, relatório HTML, remediação), bloqueio de origens de força bruta no SSH com fail2ban (jails, maxretry, findtime, bantime, fail2ban-client status), e restauração dos rótulos do SELinux após redefinir a senha de root no rd.break (touch /.autorelabel e restorecon) para que o login volte a funcionar

Detectar e limitar adulteração: monitoramento de integridade de arquivos com AIDE ou Tripwire (inicializar banco de linha de base com aide --init, guardá-lo somente leitura fora do host, comparar com aide --check, atualizar após mudanças autorizadas), proteger logs contra um atacante que compromete o servidor encaminhando-os a um coletor remoto com rsyslog ou journal remote e chattr +a somente anexação, e revisar falhas de autenticação com lastb, faillog, journalctl e /var/log/secure ou auth.log

Escrita de scripts Bash confiáveis: shebang, variáveis e aspas, condicionais, laços, funções, argumentos, códigos de saída, tratamento de erros com set -euo pipefail, traps, here-documents e automação com cron

Contêineres como processos Linux (namespaces, cgroups, capabilities), ciclo de vida de imagens e contêineres com Podman ou Docker, volumes e publicação de portas, contêineres rootless, contêineres gerenciados pelo systemd e conceitos básicos de orquestração e nuvem

Infraestrutura como código para frotas Linux: inventários Ansible, comandos ad hoc, playbooks, módulos e idempotência, user data do cloud-init, templates, fluxo baseado em Git para configuração e detecção de desvios

Obtenção de imagens UBI e de registros, execução de contêineres rootless em segundo plano com portas publicadas, bind mounts com rotulagem :Z, builds com Containerfile, unidades Quadlet .container executadas pelo systemd, loginctl enable-linger e solução de problemas de contêineres

Operações cotidianas de recuperação do Git usadas por administradores que mantêm repositórios de configuração: git reset --soft, --mixed e --hard e o que cada um faz com HEAD, índice e árvore de trabalho, git stash push, list, pop e apply para guardar alterações não commitadas, e remoção de um arquivo já commitado do rastreamento com git rm --cached junto com .gitignore mantendo o arquivo em disco (com reescrita de histórico necessária para eliminar segredos)

Liberar mudanças com segurança e tratar credenciais em ambientes orquestrados: atualizações rolling, implantações blue-green com retorno instantâneo, releases canary que direcionam um pequeno percentual do tráfego para a nova versão e promovem com métricas saudáveis, e Secrets do Kubernetes (criados com kubectl create secret generic, base64 não é criptografia, montados como volumes ou variáveis de ambiente, criptografia em repouso, limites de RBAC, cofres externos de segredos)

Python 3 em scripts de administração: leitura de argumentos com sys.argv e argparse (conversão para int de sys.argv[1]), execução segura de comandos com subprocess.run usando lista de argumentos, capture_output=True, text=True e check=True sem shell=True para evitar injeção, carga de JSON com json.load, isolamento de dependências com python3 -m venv e source venv/bin/activate mais pip install, try/except FileNotFoundError para falhar com mensagem clara, e dict.get(chave, padrão) para configurações opcionais

Desfazer e inspecionar o histórico em repositórios de configuração: git revert abc1234 criando um novo commit que desfaz um commit já publicado sem reescrever o histórico (versus reset e force push), git revert -m para commits de merge, git blame -L para mostrar autor e commit de cada linha de um arquivo como sshd_config, git log -p e git log --follow para um arquivo, e git bisect para localizar um commit que quebrou algo

Operação de gerenciamento de configuração em escala: criptografar arquivos de variáveis com ansible-vault encrypt, edit, view e --vault-id para que segredos de playbooks possam ser commitados no Git, fornecer a senha com --ask-vault-pass ou arquivo de senha do vault, e escolher entre push (Ansible via SSH a partir de um controlador) e pull (ansible-pull, agente Puppet, cliente Chef) quando centenas de hosts estão atrás de NAT e não aceitam conexões de entrada

Uso seguro de IA generativa na administração Linux: informar ao assistente a distribuição e a versão (Ubuntu 24.04 versus Rocky Linux 8) para que comandos correspondam ao gerenciador de pacotes e aos caminhos, tratar a saída como não verificada (pacotes, flags ou módulos alucinados), conferir nomes de pacotes nos repositórios oficiais, revisar e testar scripts gerados com dry run, shellcheck e um host fora de produção antes da produção, nunca colar senhas, chaves de API ou dados de clientes em serviços públicos de IA, e tratar licenciamento e procedência de código gerado semelhante a projetos GPL

Diagnóstico de sistemas de arquivos cheios e esgotamento de inodes, df/du/lsof, falhas de montagem e fstab, reparo com fsck e xfs_repair, degradação de LVM e RAID, gargalos de E/S com iostat/iotop e discos em falha com SMART

Diagnóstico em camadas da conectividade: link, IP, rota, DNS e porta; ping, traceroute, mtr, ss, dig, curl, tcpdump; erros de firewall e roteamento, problemas de MTU e IP duplicado e análise de largura de banda e latência

Interpretação de load average, top/htop, vmstat, free, sar e pidstat; saturação de CPU vs espera de E/S, pressão de memória, swapping, comportamento do OOM killer, vazamentos de memória, processos descontrolados e limites de cgroup

Resolução de falhas de login, contas bloqueadas, negações do sudo, 'Permission denied' em arquivos e diretórios, problemas de propriedade e participação em grupos, negações de ACL e SELinux, limites de quota e ulimit

Diagnóstico de unidades com falha com systemctl status e journalctl, ciclos de dependência e ordenação, systemd-analyze blame, targets rescue e emergency, reparo de GRUB e initramfs e recuperação de fstab incorreto ou senha de root perdida

Diagnóstico de falhas de armazenamento: uma desmontagem com 'target is busy' resolvida encontrando processos com fuser -vm ou lsof +f e então encerrando-os ou usando desmontagem lazy com cuidado, saúde da unidade a partir de smartctl -H e -a (setores realocados, pendentes e incorrigíveis, temperatura) e alertas do smartd, e 'permission denied' ao executar um script em um sistema de arquivos montado com noexec, encontrado com findmnt ou mount e resolvido com remontagem ou execução por meio de um interpretador

Ferramentas de diagnóstico aprofundado: o OOM killer do kernel (evidências no dmesg e journalctl 'Out of memory: Killed process', oom_score e oom_score_adj de -1000 a 1000 para proteger ou sacrificar processos, vm.overcommit_memory, limites de memória em cgroups), rastreamento de chamadas de sistema com strace (-p, -f, -e trace=file ou network, -c resumo, -tt timestamps) para ver por que um processo trava ou não abre um arquivo, e dados históricos de desempenho com sysstat (sar -u CPU, -r memória, -d disco, -n DEV rede, -q carga, coleta pelo sadc e arquivos sa)

Duas falhas de rede: conectividade intermitente causada por endereços IP duplicados em um segmento, detectada com arping -D (status de saída da detecção de endereço duplicado) ou arping -I e inspecionando mudanças de MAC no cache ARP (ip neigh), e falhas de conexões de saída por esgotamento de portas efêmeras com muitos sockets em TIME-WAIT, visto com ss -s, ajustado com net.ipv4.ip_local_port_range, reutilização de conexões e keep-alive, e net.ipv4.tcp_tw_reuse

Diagnóstico passo a passo de falhas de acesso remoto: ssh -v/-vv/-vvv para ver as chaves e os métodos de autenticação que o cliente tenta, testar se uma porta TCP como 5432 está acessível sem enviar dados de aplicação com nc -zv host porta (ou bash /dev/tcp), erro Kerberos 'Clock skew too great' causado por desvio de horário e corrigido sincronizando o relógio com chrony ou NTP, e exibir servidores DNS e domínios de busca por interface em hosts com systemd-resolved usando resolvectl status

Recuperar um sistema que cai no shell de emergência porque o initramfs não tem o driver de armazenamento: inicializar mídia de resgate, montar o sistema de arquivos raiz e fazer bind mount de /dev, /proc e /sys, entrar com chroot, regenerar a imagem com dracut -f --kver na família RHEL, update-initramfs -u -k na família Debian ou mkinitcpio -P no Arch, e verificar o conteúdo com lsinitrd ou lsinitramfs