关于IBM QRadar 7.5跨系统导出重装应用及扩展结构的问询

背景 #

在QRadar 7.5.0系统上，通过以下命令导出已安装的应用：

/opt/qradar/bin/contentManagement.pl -a export -c installed_application -i <app_id>

导出后生成的content.xml包含大量系统特定元素，示例如下：

2021.6.13.20250718011446
/store/qapp/1202/1202.zip
<zip_source_file_path>/store/qapp/1202/1202.zip</zip_source_file_path>
<image_repo>qapp/1202:1.0.6-20251006123711</image_repo>
1202

针对导出包的跨环境使用问题，以下是明确解答：

问题1：该导出包能否安装到同版本（7.5.0）的其他QRadar系统？还是仅用于同一控制台的备份/恢复？ #

这种方式导出的包仅适用于原控制台的备份与恢复，无法直接安装到其他同版本QRadar系统。原因是导出文件中包含的路径、Docker镜像标识、应用ID均为原系统的本地专属资源，其他QRadar实例不存在这些依赖，跨环境安装时会因无法定位资源而失败。

问题2：可分发扩展的content.xml是否应包含<installed_application>节点？ #

可分发的应用扩展包的content.xml不应包含<installed_application>节点。该节点是应用在原系统完成安装后生成的，所有字段都绑定原系统的本地状态（如本地存储路径、已部署的镜像ID），这些内容对其他QRadar实例无效，会导致跨环境安装失败。

正确的跨环境应用分发流程 #

• 获取原始安装包：如果是官方应用，保留从QRadar App Store下载的原始zip包；如果是自定义应用，使用开发工具打包生成标准可分发包。
• 目标系统安装：
  • 图形化操作：进入Admin > Extensions Management，点击Add上传原始安装包完成安装。
  • 命令行操作：使用extension_management.sh命令执行安装，示例：

    /opt/qradar/bin/extension_management.sh install -f /path/to/original_app.zip
    

• 安装验证：安装完成后检查应用状态，确认功能正常运行。

内容的提问来源于stack exchange，提问作者Waseem Sarwar