CentOS Stream 下载与校验
拿到 CentOS Stream 的安装介质之后，多数事故都发生在动手之前：版本线选错、校验被跳过、写盘工具用错。这一页只解决这三件事，每一步都给到官方入口，命令与参数以官方页当前内容为准。
从官方下载页进入，按版本线与架构两层选择需要的产物：
- 先确认版本线还在支持窗口内（见版本与支持与CentOS Stream 常见问题），再下载；
- 同一页把安装介质、软件包目录、云镜像与容器镜像分开列出，按用途取用，不要用安装介质代替云镜像；
- 架构要与目标机器一致：不同架构的产物不能混用，选错架构的表现通常是「写盘成功但起不来」。
官方下载页给出「如何校验你的 ISO」的说明，并在同一页提示：如果你打算制作 USB 启动介质，请先读相关注意事项以避免损坏系统。
这一步要分开处理两件事：文件在传输过程中是否损坏，以及你用来比对的基准值是否真的来自官方。CentOS 的下载页把校验说明与签名信息放在同一处，就是为了让第二件事有据可依；repomd.xml.asc 这类签名文件同样是校验链条的一环。
GPG 密钥与包签名
Section titled “GPG 密钥与包签名”官方 GPG 密钥页说明：CentOS 项目发布的每个稳定软件包都带 GPG 签名，dnf 默认会校验这些签名，并拒绝安装未签名或签名错误的包；密钥随 centos-gpg-keys 提供，通常位于 /etc/pki/rpm-gpg，且已在仓库配置中启用。
因此，签名这一层的实践要点是：
- 默认不要关闭签名校验：为了让某个第三方包「装得上」而关掉校验，是把整条供应链的信任一起关掉；
- 核对指纹，而不是只看密钥名：密钥文件同名不代表同一把密钥，按官方页面给出的指纹逐位比对；
- 多来源仓库要分清归属：同一目录下可能同时存在第三方仓库的密钥，出问题时先确认这个仓库是谁维护的。
制作 USB 启动盘之前，先把下面几条当成硬约束：
- 写入会清空目标 U 盘上的全部数据，动手前确认里面没有需要的东西；
- 选对设备：插着多块移动存储时，写错设备就是直接覆盖另一块盘的数据；
- 写入完成后不要急着格式化：如果系统只认出一个很小的分区，先确认安装是否可用，再决定是否复用这块盘；
- 介质要留一份：批量装机或现场排障时，一块可用的安装介质同时也是救援介质的来源（见CentOS Stream 启动排障）。
镜像站与就近下载
Section titled “镜像站与就近下载”官方镜像列表页给出当前 CentOS Stream 镜像的查询入口，并说明注册与维护镜像站的流程。
用法上有三点：
- 就近取用：地理上更近的镜像通常更快、更少中断，官方镜像列表页就是用来做这个选择的；
- 镜像会变动：镜像站可能暂停同步或下线，长期脚本里不要写死某一个镜像站，改用官方给出的入口；
- 需要自建时按官方流程走：如果打算自己维护一个镜像站，注册与维护流程以官方镜像列表页的说明为准，不要自创路径。
- 安装 CentOS Stream — 装机流程与安装后基线
- CentOS Stream 版本与支持 — 版本线与支持终点明细
- CentOS Stream 自动化 — 批量环境的镜像来源与同步
- CentOS Stream 启动排障 — 起不来时的排查顺序
- 官方：CentOS 下载页、镜像列表、GPG 密钥页