15.3. Creació d'un repositori de paquets per a APT

Falcot Corp gradually started maintaining a number of Debian packages, either locally modified from existing packages or created from scratch to distribute internal data and programs.

Per facilitar-ne la distribució, es vol integrar aquests paquets en un arxiu de paquets que pugui ser utilitzat directament per APT. Per raons de manteniment òbvies, es volen separar els paquets interns dels paquets refets localment. L'objectiu és que les entrades corresponents en un fitxer /etc/apt/sources.list.d/falcot.list siguin les següents:

deb http://packages.falcot.com/ updates/
deb http://packages.falcot.com/ internal/

Per tant, els administradors configuren un servidor virtual al seu servidor HTTP intern, amb /srv/vhosts/packages/ com l'arrel de l'espai web associat. La gestió del mateix arxiu es delega a l'ordre mini-dinstall (al paquet amb el mateix nom). Aquesta eina manté un ull al directori incoming/ (en el nostre cas, /srv/vhosts/packages/mini-dinstall/incoming/) i espera nous paquets allà; quan s'hi envia un paquet, s'instal·la en un arxiu Debian a /srv/vhosts/packages/. L'ordre mini-dinstall llegeix el fitxer *.changes creat quan es genera el paquet Debian. Aquests fitxers contenen una llista de tots els altres fitxers associats amb la versió del paquet (*.deb,*.dsc,*.diff.gz/*.debian.tar.gz,*.orig.tar.gz, o els seus equivalents amb altres eines de compressió), i aquests permeten a mini-dinstall saber quins fitxers cal instal·lar. Els fitxers *.changes també contenen el nom de la distribució de destinació (sovint unstable) mencionada a l'última entrada de debian/changelog, i mini-dinstall utilitza aquesta informació per decidir on s'ha d'instal·lar el paquet. Per això els administradors sempre han de canviar aquest camp abans de construir un paquet, i establir-lo a internal o updates, depenent de la ubicació de destinació. mini-dinstall després genera els fitxers requerits per APT, com ara Packages.gz.

ALTERNATIVA apt-ftparchive, aptly i reprepro

Si mini-dinstall sembla massa complex per a les vostres necessitats d'arxiu Debian, també podeu utilitzar l'ordre apt-ftparchive. Aquesta eina escaneja el contingut d'un directori i mostra (en la seva sortida estàndard) un fitxer Packages corresponent. En el cas de Falcot Corp, els administradors podrien pujar els paquets directament a /srv/vhosts/packages/updates/ o /srv/vhosts/packages/internal/, per després executar les ordres següents per crear els fitxers Packages.gz:

$ cd /srv/vhosts/packages
$ apt-ftparchive packages updates >updates/Packages
$ gzip updates/Packages
$ apt-ftparchive packages internal >internal/Packages
$ gzip internal/Packages

L'ordre apt-ftparchive sources permet crear fitxers Sources.gz d'una manera similar.

reprepro i aptly són eines més avançades per al mateix propòsit. Poden produir, gestionar i sincronitzar repositoris de paquets, replicar altres repositoris, fins i tot seleccionar paquets des de repositoris oficials i proporcionar-los localment, crear signatures dels índexs de paquet generats i, per tant, proporcionar dipòsits signats. repreprepro emmagatzema paquets i sumes de verificació en un fitxer de base de dades de Berkeley DB, de manera que no es necessita cap servidor de base de dades. aptly proporciona la mateixa funcionalitat, però pot ser més fàcil de manejar. Per desgràcia, ambdós projectes, encara que probablement són les solucions amb més funcionalitats, no s'estan desenvolupant activament en aquests moments.

reprepro ve amb molta documentació i exemples a /usr/share/doc/reprepro/, mentre que aptly té una vasta documentació en línia.

→ https://www.aptly.info/

La configuració de mini-dinstall requereix configurar un fitxer ~/.mini-dinstall.conf; en el cas Falcot Corp, el contingut és el següent:

[DEFAULT]
archive_style = flat
archivedir = /srv/vhosts/packages

verify_sigs = 0
mail_to = admin@falcot.com

generate_release = 1
release_origin = Falcot Corp
release_codename = stable

[updates]
release_label = Recompiled Debian Packages

[internal]
release_label = Internal Packages

Una decisió que val la pena assenyalar és la generació de fitxers Release per a cada arxiu. Això pot ajudar a gestionar les prioritats d'instal·lació de paquets utilitzant el fitxer de configuració /etc/apt/preferences (vegeu Secció 6.2.5, «Gestió de les prioritats dels paquets» per als detalls).

SEGURETAT mini-dinstall i els permisos

Atès que mini-dinstall ha estat dissenyat per funcionar com un usuari normal, no hi ha necessitat d'executar-lo com a «root». La manera més senzilla és configurar-ho tot dins del compte d'usuari que pertanyi a l'administrador encarregat de crear els paquets Debian. Com que només aquest administrador té els permisos necessaris per posar fitxers al directori incoming/, podem deduir que l'administrador haurà autenticat l'origen de cada paquet abans d'incloure'l i mini-dinstall no necessita tornar-ho a fer. Això explica el paràmetre verify_sigs = 0 (el qual significa que les signatures no han de ser verificades). No obstant això, si el contingut dels paquets és sensible, podem revertir aquesta configuració i triar autenticar-se amb un anell de claus públic que contingui les claus públiques de les persones permeses per crear paquets (configurat amb el paràmetre extra_keyrings); mini-dinstall comprovarà l'origen de cada paquet entrant analitzant la signatura integrada al fitxer *.changes.

Invocar mini-dinstall en realitat inicia un dimoni en segon pla. Mentre s'executi aquest dimoni, comprovarà si hi ha paquets nous al directori incoming/ cada mitja hora; quan arriba un paquet nou, es mourà a l'arxiu i es regeneraran els fitxers Packages.gz i Sources.gz. Si l'execució d'un dimoni és un problema, mini-dinstall també es pot invocar manualment en mode per lots o «batch» (amb l'opció -b) cada vegada que es puja un paquet al directori incoming/. Altres possibilitats proporcionades per mini-dinstall estan documentades a la seva pàgina de manual mini-dinstall(1).

EXTRA Generació d'un arxiu signat

La suite APT comprova una cadena de signatures criptogràfiques als paquets que gestiona abans d'instal·lar-los per tal d'assegurar la seva autenticitat (vegeu Secció 6.6, «Comprovació de l'autenticitat d'un paquet»). Els arxius d'APT privats poden ser un problema, ja que les màquines que els utilitzen mostraran contínuament avisos sobre els paquets sense signar. Per tant, un administrador diligent integrarà arxius privats amb el mecanisme d'APT segur.

Per ajudar amb aquest procés, mini-dinstall inclou una opció de configuració release_signscript que permet especificar un script a utilitzar per generar la signatura. Un bon punt de partida és l'script sign-release.sh proporcionat pel paquet mini-dinstall a /usr/share/doc/mini-dinstall/examples/; pot ser rellevants adaptar-lo localment.

As mentioned earlier, tools like aptly and reprepro come with built-in support for creating a signed archive and are often the better choice for larger or more complex archive setups.