在 Arch 上安装 Omarchy：脚本与无 USB 方案

了解何时能用干净 Arch 引导脚本、虚拟 ISO 或 cidata 在没有实体 USB 的环境安装 Omarchy，并安全审查官方安装脚本。

用脚本在 Arch 上安装 Omarchy、给虚拟机挂载 ISO，以及提供 cidata，都是普通 USB 安装之外的高级路径。这些模式会改变凭据、加密或自动分区边界。先在可丢弃 VM 验证，再用于真实硬件；配置文件和当前命令以官方手册为准。

为另一位所有者准备机器

在 ISO 安装器的第一个键盘选择屏幕按 Ctrl + C，选择为另一位所有者准备。系统会先安装，键盘、用户名和密码延迟到最终用户首次启动时设置；对方设置的密码也会成为磁盘加密密码。

交付前只确认机器进入首次设置界面，不要代建临时账户。已有个人数据的旧机器应使用官方 Security/Reset 流程，不能用“新建用户”代替擦除。

cidata 无人值守安装

安装器会查找第二个卷标为 cidata 的驱动器。存在有效配置时，它复制配置、跳过向导并自动重启；没有该驱动器时仍走普通安装器。

1. 生成起始配置

最可靠的方式是在隔离 VM 中完成一次交互安装，然后从安装环境的 /root 复制当前安装器实际写出的文件：

文件	必需	内容
`user_configuration.json`	是	磁盘、主机名、时区、键盘
`user_credentials.json`	是*	用户名与密码哈希
`user_full_name.txt`	否	Git 姓名
`user_email_address.txt`	否	Git 邮箱
`user_encrypt_installation.txt`	否	有 `disk_encryption` 块时为 `true`
`authorized_keys`	否	SSH 公钥，每行一个
`tailscale_authkey`	否	首次启动加入 tailnet 的密钥

* 若使用延迟设置，可用空的 defer-provisioning 代替 user_credentials.json。

生成 SHA-512 密码哈希：

openssl passwd -6 "your-password"

不要把真实密码直接写进 Shell 历史；更安全的做法是运行 openssl passwd -6 后按提示输入。检查 JSON 语法：

jq empty user_configuration.json user_credentials.json

延迟最终用户配置：

rm -f user_credentials.json
touch defer-provisioning

2. 构建 cidata.iso

把需要的文件放进独立目录，再用官方示例构建：

mkdir -p cidata
cp user_configuration.json user_credentials.json authorized_keys cidata/
genisoimage -output cidata.iso -volid cidata -joliet -rock cidata/

只复制实际存在的可选文件。使用 defer-provisioning 时，把它放入 cidata/，不要复制 user_credentials.json。构建后检查卷内容：

isoinfo -d -i cidata.iso | rg 'Volume id'
isoinfo -f -i cidata.iso

3. 附加并启动

在虚拟化平台中把 omarchy.iso 和 cidata.iso 作为两个 CD-ROM 附加。官方 Proxmox 示例的核心命令如下；先替换 VM ID、存储池、网桥和 ISO 路径：

qm create 101 --name my-omarchy \
  --bios ovmf --machine q35 --cpu host --cores 4 --memory 8192 \
  --ostype l26 --scsihw virtio-scsi-single \
  --efidisk0 local-lvm:0,efitype=4m,pre-enrolled-keys=0 \
  --scsi0 local-lvm:40,discard=on,iothread=1 \
  --net0 virtio,bridge=vmbr0 --vga virtio --serial0 socket \
  --ide2 local:iso/omarchy.iso,media=cdrom \
  --ide3 local:iso/cidata.iso,media=cdrom \
  --boot order='scsi0;ide2'
qm start 101

先用测试 VM 验证目标盘选择，避免把生产 VM ID 或存储写错。

cidata 是敏感介质

加密安装的 disk_encryption 会携带明文口令，Tailscale auth key 也能授予网络访问。限制权限、设置密钥有效期、不要提交 Git，并在安装后撤下和销毁介质。加密无人值守安装首次启动仍需人工输入 LUKS 密码。

提供 authorized_keys 时，安装器会启用 sshd 并开放防火墙；这是新增远程入口。安装后验证密钥登录并确认密码认证策略没有被意外放宽。

无加密安装

在磁盘格式化确认页按 Ctrl + C，安装器会提供无加密替代。仅用于受物理保护的远程机器或可丢弃、无敏感数据的环境。物理接触者能直接读取未加密数据；移动电脑和日常主力机应保留默认 LUKS。

不使用 USB 安装 Omarchy

“无 USB 安装”可能指三种不同环境：

虚拟机：把官方 ISO 挂载成虚拟 CD-ROM，再走普通安装器；
干净 Arch 测试系统：仅在没有现有桌面环境和不可替代数据时审查并运行官方引导脚本；
无人值守 VM 或批量镜像：同时附加官方 ISO 与独立 cidata 镜像。

对空白实体 PC，当前官方路径仍是从 USB 启动 ISO。本站不建议从 Windows 或 Linux 内部分区链式启动 ISO；错误的引导器或分区操作可能让原系统无法启动。除非明确属于上述隔离环境，否则使用ISO 与 USB 安装指南。

在 Arch 上用官方脚本安装 Omarchy

飞书教程给出的 wget -qO- https://omarchy.org/install | bash 入口目前仍能返回官方引导脚本，但当前官方手册的主路径是 ISO。该脚本会继续从 basecamp/omarchy 的 master 分支获取代码，因此它不是固定版本安装。

只在干净、无桌面环境的 Arch 测试机/VM研究，先查看重定向脚本，不要直接管道执行：

curl -fsSL https://omarchy.org/install
curl -fsSL https://raw.githubusercontent.com/basecamp/omarchy/refs/heads/master/boot.sh -o /tmp/omarchy-boot.sh
less /tmp/omarchy-boot.sh
bash /tmp/omarchy-boot.sh

最后一条才会修改系统；执行前建立 VM 快照并确认脚本来源。不要把飞书中已被转义破坏的 /dev/{DEV}... 分区示例用于真实磁盘，也不要在已有 GNOME/KDE 或主力 Arch 上试跑。

完成后验收

目标用户完成个人设置并能正常解锁；
SSH/Tailscale 仅从预期网络可达；
cidata 已卸载，密钥已撤销或安全保管；
omarchy debug 能正常生成诊断信息；
UEFI/Limine 和更新前快照入口可用；
/home 有独立备份。

安装阶段停止或结果不完整时，先保存完整信息并按安装停止与失败排查指南定位，不要立即重跑脚本或安装器。

来源：Omarchy Unattended Installs、Getting Started。

在 Arch 上安装 Omarchy：脚本与无 USB 方案

On this page