华为云 ECS 装完 Agent 后必做的 8 项检查（Linux 实操清单）

   装完 Agent 不等于“就绪”。版本对不对、端口有没有意外暴露、凭据文件权限、云侧到底有没有把主机认进来，这些都要逐项确认
 。下面 8 项在 CentOS 8 和 Ubuntu 22.04 都适用，命令全部只读，不改任何配置。

   ## 1. 进程与版本

   ```bash
   ps -eo uid,pid,comm,args | grep -E 'hostguard|hostwatch|uniagentd|icagent|telescope' | grep -v grep
   /usr/local/hostguard/bin/hostwatch -v 2>/dev/null
   /usr/local/uniagentd/bin/uniagentd -v 2>/dev/null
   /usr/local/uniagent/extension/install/telescope/bin/telescope -v

和云侧主机列表里的 agent_version 对一下，两边不一致时以云侧为准判断要不要升级。

2. 监听面是不是只在本机

  ss -lntp | grep -E '29338|29339|28002|8091'

AOM UniAgent 的 29338/29339、ICAgent 的 28002、CBR 的 8091 正常都应该是 127.0.0.1。出现 0.0.0.0 就值得单独确认。

3. 配置文件权限

  stat -c '%a %U:%G %n' /usr/local/uniagentd/conf/uniagentd.conf

含 Access Code、密钥的配置建议 600、所在目录 700。不用全盘扫，按产品树查就够。

4. 云侧是否真的认到了主机

在控制台主机列表或 OpenAPI 里确认三件事：agent_version、protect_status、upgradable。主机在列表里但
protect_status=closed，通常是配额没绑，而不是 Agent 没装好。

5. 日志与轮转

  ls -l /usr/local/hostguard/log /opt/oss/servicemgr/ICAgent/logs 2>/dev/null

确认目录是 root-only，确认有轮转。日志把根分区写满是线上最常见的“Agent 导致业务异常”。

6. 出站连通性

  ss -tnp | grep -E ':443|:10180' | head

Agent 都是主动外连。连不上先看安全组和 DNS，别先怀疑 Agent 本身。

7. 开机自启

  systemctl is-enabled hostguard uniagentd icagent 2>/dev/null
  systemctl is-active  hostguard uniagentd icagent 2>/dev/null

enabled 和 active 是两个维度，只查一个的话，重启之后才会暴露问题。

8. 留好回滚入口

升级前记下当前包版本和哈希（rpm -qa | grep hostguard 或 dpkg -l | grep hostguard），并确认升级包来源与 hash。出问题时
能立刻退回，比事后救火省事得多。

小结

八项里最容易被跳过的是第 4 项（云侧认没认到）和第 8 项（回滚）。把这两项做成安装脚本的收尾动作，后面的排查会轻松很多。