服务器入坑指北：克隆之后先改身份

从快照或镜像派生出来一台机器，开机、联网、把服务起起来，一切看着正常。过几天才发现有点不对：管理侧把两台机器当成同一台；客户端第一次连接就提示"主机密钥变了"；地址分配也怪，两台机器像是在抢同一个地址。
原因是这类机器带着同一份主机身份与主机密钥上场，而且身份并不是"主机名"一个东西——机器标识、主机密钥、主机名与静态解析条目、网络层标识、服务与集群身份，全都跟着镜像走。少改一处，旧身份就留在机器上；顺序再搞反，重复身份就直接进了生产。
这篇给一条有顺序的动作清单（最后才接入网络）、一份要逐项核对的"身份清单"、两处取舍（密钥重建还是保留、先通用化还是派生后逐台改），以及逐项复核的方法。示例一律用占位符，不贴真实主机名、标识或指纹。

顺序：先重置身份，再接入网络

先看机制：从同一镜像或快照派生出来的机器，带着同一份主机身份与主机密钥。如果先联网，就会有两套相同身份同时在线，彼此冲突——同密钥多机上线、管理侧无法区分、依赖身份的缓存与映射跟着错乱。等发现时，两台机器可能都在对外服务了。
所以顺序是硬性的：身份没改完、没复核完，就先别接入生产网络。
有序清单：

1. 断开 / 不与生产网络直连；
2. 改主机名；
3. 重置机器标识；
4. 重建主机密钥；
5. 清理静态解析条目；
6. 重置网络层标识（接口硬件地址与地址分配客户端标识）——云主机上接口硬件地址往往由平台侧管理、机器内改不动，改不动就记录现状，把它当作"由平台保证唯一"，不要在这里卡住；
7. 核对服务 / 集群身份（账户密钥、成员标识、访问令牌）；
8. 最后才接入网络；
9. 逐项复核现取值。
   还有一条容易犯的错：在派生出来的那台上做，不要在源机器上做——否则你把"母本"的身份也改了，之后所有派生都会受影响。

身份清单：不止主机名

• 它应被视为机密，尤其不得暴露在网络上——所以"复制出来贴到工单里""打印到公开日志里"这类事都不该做；
• 需要稳定标识的应用不应直接使用它，而应经过带密钥的哈希派生出应用自己的标识。这样即使标识本身不外传，应用也能拿到稳定的值。

取舍一：主机密钥是重建还是保留

重建：身份干净、每台机器各自独立。代价是客户端侧的已知主机记录会失效——下次连接会提示密钥变更，需要更新记录。
保留（成对或成组镜像的场景）：客户端没有感知，不用改记录。代价是这些机器在信任层面仍然是同一台——批量派生场景必须重建，否则同一批机器身份相同，之后没法区分谁是谁。
重建的动作形态：让系统重新生成全套主机密钥，而不是只生成"缺失的那一种"。这是很常见的漏项——只补了缺的，旧的那几种没动，指纹依旧一样。
判据：指纹与旧值不同（把新旧指纹各自读出来对比）；影响面要提前说清：客户端记录需要更新——这是重建后的预期现象，不是故障，别把它当成问题去回滚。

取舍二：先通用化再派生，还是派生后逐台手改

• 先通用化再派生：在镜像阶段就把身份清空，让新机器首次启动时自己生成——一次做对；
• 派生后逐台手改：每派生一台改一次，每次都可能漏项，而且漏了不一定马上暴露。
  机制要点在这里：为多机复用的镜像里，机器标识应当是"空的"或者"缺席的"，由系统在首次启动时生成并写回。而且要注意，"文件不存在"与"文件为空"在首次启动语义上并不是同一种状态——所以"留空"这件事本身也有讲究，不能想当然。
  那"清空之后它从哪来"？这个标识的生成有多条来源与优先级：运行期已有的值、系统总线标识、通过凭据注入、虚拟机的 UUID、容器的 UUID，最后才是随机生成，初始化工具按序尝试。所以镜像里留空之后，新机器会自己找到一条可用的来源。

改完要现读复核，不是"命令成功就算完"

有的工具只在文件不存在时才生成。你运行了命令、它没报错，但也没有生成——因为它认为已经有了。密钥类动作尤其容易踩这个点。
所以判据是读回现取值：主机名、机器标识、主机密钥指纹、静态解析条目、接口标识，逐项对照你期望的。命令成功不等于身份已经换了。

# 只读查看（值一律用占位符；不要把真实标识或指纹贴到任何地方）
hostname                          # 当前主机名
cat /etc/machine-id               # 机器标识（属机密：别外传、别写进公开日志）
# 主机密钥指纹：用密钥工具读取公钥并打印指纹，用于与旧值对比
# 静态解析条目：查看本机的静态映射文件
# 网络层标识：查看接口的硬件地址与地址分配客户端标识
# 服务 / 集群身份：按你的服务类型查看它的账户密钥与成员标识（位置因服务而异）

判据：读出来的值要能对应到上一节清单里的每一项；对不上的项，就是"改漏了"的直接线索。

现象到动作的判定表

验证清单：每项一条判据

• 机器标识与源机器不同：两边分别读出来对比，而不是凭印象。
• 主机密钥指纹全部更新：注意是"全部"，不是"更新了一部分"。
• 主机名与解析条目一致：本地静态条目指向自己。
• 网络层标识不再是源机器的。
• 重启一次后身份仍然保持：不会被派生源带回去。
• 回滚路径：改动前记录现值，出现异常时能回到已知状态。
• 验证方式固定成一句话：逐项现读并与源机器对比，全部不同、且重启后仍保持，才算通过。

这篇不解决什么

• 不重复首次登录与加固：讲"从连上到跑通"的那篇讲的是首次登录与加固；本篇讲派生之后的身份重置，不重复登录与密钥对的使用方法。
• 不处理对外信任链的续期：讲证书续期与 reload 顺序的那篇，处理的是对外信任链的续期与生效；本篇处理的是本机身份的重复与重置。
• 不写平台侧的派生操作：讲磁盘空间那篇把快照当作"先留副本"的动作；本篇把快照 / 克隆当作派生动作，讲派生之后该做什么。至于在平台上怎么派生，那一步不在本篇范围内——本篇写的是派生之后、联网之前的那一段。

踩坑清单

• 先联网再改身份：重复身份直接进了生产，两台机器同时在线。
• 只改主机名就当身份重置完了：机器标识、密钥、网络层标识都还在。
• 机器标识留着不动：管理侧仍把两台当成同一台。
• 只重建"缺失的那一种"主机密钥：旧的几种没动，指纹照旧。
• 把客户端提示的密钥变更当成故障去回滚：那是重建后的预期现象。
• 网络层标识沿用源机器：地址分配出现冲突或异常。
• 批量派生时选择"保留密钥"：同批机器互不认识，却共享同一身份。
• 改完不复核现取值：有的工具只在文件缺失时才生成，命令成功也可能是空转。
• 忘了服务账户与集群成员身份也在镜像里：服务侧把两台当成同一个成员。
• 在源机器上做重置：把母本也改了，之后所有派生都受影响。
• 把机器标识复制出去排查：它属于机密，不该出现在网络或公开日志里。
• 镜像里把标识"留空"当成"删掉就行"：留空与不存在在首次启动语义上不是同一种状态。