解决Ubuntu服务器/tmp和/var设为noexec、nosuid后apt安装失败的配置方案咨询

嘿，我之前在做DISA基线合规配置的时候刚好碰到过这个问题，给你几个实用的解决方案：

• 修改APT的临时工作目录
  APT默认依赖/tmp来解压安装包、运行脚本，当/tmp被设为noexec后自然会报错。我们可以给APT指定一个不受限制的专属临时目录：

  1. 先创建新目录并设置正确权限：

     sudo mkdir -p /opt/apt-tmp
     sudo chmod 755 /opt/apt-tmp
     sudo chown root:root /opt/apt-tmp
     

  2. 新建APT配置文件/etc/apt/apt.conf.d/99custom-tmp，写入以下内容：

     Dir::State::tmp "/opt/apt-tmp";
     Dir::Cache::tmp "/opt/apt-tmp";
     

  这样APT的所有临时操作都会转到/opt/apt-tmp执行，完全避开noexec的限制。

• 优化/var的挂载策略
  如果是把整个/var挂载成noexec导致的问题，其实更合规的做法是单独挂载/var/tmp，而不是限制整个/var分区。毕竟/var下很多子目录（比如/var/lib、/var/run）需要执行权限才能正常工作。
  编辑/etc/fstab，添加一行挂载规则（替换/dev/sdXn为实际分区）：

  /dev/sdXn /var/tmp ext4 defaults,nosuid,noexec,nodev 0 0
  

  然后执行sudo mount -a生效，这样既满足DISA对临时目录的安全要求，又不影响系统服务和APT的正常运行。

• 验证配置有效性
  改完之后跑个apt update && apt upgrade -y测试下，如果没有权限拒绝的报错就说明配置生效了。也可以用apt-config dump | grep Dir::State::tmp命令，确认APT的临时目录已经改成你设置的/opt/apt-tmp。

另外提个小细节：少数软件包可能会硬编码调用/tmp，这种极端情况可以用绑定挂载临时绕开（sudo mount --bind /opt/apt-tmp /tmp），但不建议长期这么用，优先还是用修改APT配置的方法更合规。

备注：内容来源于stack exchange，提问作者ZappedC64