ky0

Можно делать по-разному, но задумайтесь сразу, как эти сертификаты будут обновляться (очевидно, нужен отдельный контейнер с certbot'ом) и как nginx будет узнавать, что ему нужно сделать релоад после обновления.

Раздел со свопом удалите и никогда так больше в 21 веке не делайте. Тогда получится скукожить все разделы в один.

Имхо, вы преоцениваете вероятность, что за условные несколько дней какие-то пакеты обновятся настолько, что всё поломают. Их всё-таки не по воле левой пятки релизят и перед этим тестируют - а внеочерёдно и того реже, только в ответ на какую-то действительно опасную уязвимость или лютый баг.

Где не отображаются, в lsblk, в /dev? Или всё-таки у вас в DE - тогда ставьте соответствующий тэг и уточняйте.

Надо лезть не в GPT, а в код - смотреть, что там происходит и дебажить. Если вы этого не можете - очевидно, LFS для вас рановат. Ковыряться в тестах непонятно какого окружения тут за вас никто не будет.

Удалить хост из домена и перезапустить процесс ввода.

Запускать через systemd-юнит, и уже этому юниту выставлять OOMScoreAdjust. Крон выкинуть и не вспоминать про него.

Ansible с параллельным mitogen даже на таком количестве хостов нормален.

Нужен не бинарник, а скрипт, который установит Докер, создаст конфиг и запустит. Мультиплатформенно и универсально сделать это - большой геморрой, даже через подходящее ПО вроде Ansible. Имхо, вы не в ту сторону воюете.

Видимо, прав на просмотр каталогов не хватает. Положите в менее огороженное место, например /tmp.

Ничего не предвещало беды, просто Astra Linux. В поддержку, в поддержку.

Локальные учётные записи не делаются, всё рулится централизованно через AD/LDAP. Если каким-то внешним подрядчикам нужен админский доступ к определённым хостам - им выдаётся сетевой доступ только к этим хостам и они добавляются в группу, дающую sudo только на этой группе хостов.

Локальные зеркала не делаются "определённых версий", и не выкачиваются целиком - это бессмысленно, т. к. PCI DSS, например, требует регулярного обновления пакетов. В каком-нибудь Нексусе настраивается проксирование официальных репозиториев с кэшированием пакетов - и вы получаете сразу все поддерживаемые версии и храните только те пакеты, которые используются.

Всё уже придумано за вас:
https://self-service-password.readthedocs.io/en/stable/

Установите atop в режиме хранения истории. С помощью него найдёте виновника - и можно будет диагностировать дальше более узко.