15.3. Ein Paket-Depot für APT erstellen

Falcot Corp gradually started maintaining a number of Debian packages, either locally modified from existing packages or created from scratch to distribute internal data and programs.

Um ihren Einsatz zu erleichtern, möchten sie diese Pakete in ein Paketarchiv integrieren, das direkt von APT benutzt werden kann. Aus offensichtlichen verwaltungstechnischen Gründen möchten sie dabei interne Pakete von lokal neu erstellten Paketen trennen. Am Ende sollen die entsprechenden Einträge in der Datei /etc/apt/sources.list.d/falcot.list wie folgt aussehen:

deb http://packages.falcot.com/ updates/
deb http://packages.falcot.com/ internal/

Die Administratoren konfigurieren daher auf ihrem internen HTTP-Server einen virtuellen Host, bei dem /srv/vhosts/packages/ das Wurzelverzeichnis des dazugehörigen Speicherplatzes ist. Die Verwaltung des Archivs selbst wird dem Befehl mini-dinstall (im ähnlich genannten Paket) übertragen. Dieses Hilfsprogramm behält ein Verzeichnis namens incoming/ im Auge (in unserem Fall /srv/vhosts/packages/mini-dinstall/incoming/) und wartet dort auf neue Pakete; wenn ein neues Paket hochgeladen wird, wird es unter /srv/vhosts/packages/ in ein Debian-Archiv installiert. Der Befehl mini-dinstall liest die Datei *.changes, die erstellt wird, wenn das Debian-Paket erzeugt wird. Diese Dateien enthalten eine Liste aller übrigen Dateien, die dieser Version des Pakets zugeordnet sind (*.deb, *.dsc, *.diff.gz/*.debian.tar.gz, *.orig.tar.gz oder ihre Entsprechungen bei anderen Komprimierungsprogrammen), und diese lassen mini-dinstall wissen, welche Dateien installiert werden sollen. Die Dateien des Typs *.changes enthalten im jüngsten debian/changelog-Eintrag auch den Namen der Zieldistribution (häufig unstable), und mini-dinstall verwendet diese Information, um zu entscheiden, wo das Paket installiert werden soll. Deshalb müssen Administratoren dieses Feld immer ändern, bevor sie ein Paket erstellen und es in Abhängigkeit vom Zielort auf internal oder updates einstellen. mini-dinstall erzeugt dann die von APT benötigten Dateien, wie zum Beispiel Packages.gz.

ALTERNATIVE apt-ftparchive, aptly, and reprepro

Falls Ihnen mini-dinstall für Ihre Ansprüche an ein Debian-Archiv als zu kompliziert erscheint, können sie stattdessen auch den Befehl apt-ftparchive verwenden. Dieses Hilfsprogramm durchsucht den Inhalt eines Verzeichnisses und zeigt (in seiner Standardausgabe) eine entsprechende Packages-Datei an. Im Falle von Falcot Corp. könnten die Administratoren die Pakete direkt nach /srv/vhosts/packages/updates/ oder /srv/vhosts/packages/internal/ hochladen und dann die folgenden Befehle ausführen, um die Packages.gz-Dateien zu erstellen:

$ cd /srv/vhosts/packages
$ apt-ftparchive packages updates >updates/Packages
$ gzip updates/Packages
$ apt-ftparchive packages internal >internal/Packages
$ gzip internal/Packages

Der Befehl apt-ftparchive sources ermöglicht es, in ähnlicher Weise Sources.gz-Dateien zu erstellen.

reprepro and aptly are more advanced tools for the same purpose. They can produce, manage and synchronize a number of package repositories, mirror other repositories, even cherry-pick packages from official repositories and provide them locally, create signatures of the generated package indices and thus provide signed repositories. reprepro stores packages and checksums in a Berkeley DB database file, so no database server is needed. aptly provides the same functionality, but it can be easier in handling. Unfortunately, both projects, although probably the most feature-rich solutions, are not actively developed at the moment.

reprepro comes with a lot of documentation and examples in /usr/share/doc/reprepro/, while aptly has a vast online documentation.

→ https://www.aptly.info/

Zur Konfigurierung von mini-dinstall muss eine Datei namens ~/.mini-dinstall.conf eingerichtet werden; im Falle von Falcot Corp. sieht ihr Inhalt folgendermaßen aus:

[DEFAULT]
archive_style = flat
archivedir = /srv/vhosts/packages

verify_sigs = 0
mail_to = admin@falcot.com

generate_release = 1
release_origin = Falcot Corp
release_codename = stable

[updates]
release_label = Recompiled Debian Packages

[internal]
release_label = Internal Packages

Eine beachtenswerte Entscheidung betrifft die Erzeugung der Release-Dateien für jedes Archiv. Dies ist für die Verwaltung der Prioritäten bei der Paketinstallation unter Verwendung der Konfigurationsdatei /etc/apt/preferences hilfreich (zu Einzelheiten siehe das Kapitel über die APT-Konfigurierung unter Abschnitt 6.2.5, „Paketprioritäten verwalten“).

SICHERHEIT mini-dinstall und Berechtigungen

Da mini-dinstall so konzipiert ist, dass es als normaler Benutzer läuft, besteht keine Notwendigkeit, es als Root auszuführen. Am einfachsten ist es, alles im Benutzerkonto des Administrators zu konfigurieren, der für die Erstellung der Debian-Pakete zuständig ist. Da nur dieser Administrator die erforderlichen Berechtigungen zur Speicherung von Dateien im Verzeichnis incoming/ hat, können wir daraus schließen, dass der Administrator den Ursprung jedes Pakets vor seiner Verwendung autorisiert hat, und dass mini-dinstall dies daher nicht noch einmal tun muss. Hieraus erklärt sich der Parameter verify_sigs = 0 (der bedeutet, dass Signaturen nicht verifiziert zu werden brauchen). Jedoch können wir bei sensiblen Paketinhalten die Einstellung ändern und bestimmen, dass mit einem Schlüsselring authentifiziert wird, der die öffentlichen Schlüssel der Personen enthält, die Pakete erstellen dürfen (konfiguriert mit dem Parameter extra_keyrings); mini-dinstall überprüft dann den Ursprung jedes ankommenden Pakets, indem es die in den *.changes-Dateien integrierte Signatur analysiert.

Der Aufruf des Befehls mini-dinstall startet genau genommen den Daemon im Hintergrund. Solange dieser Daemon läuft, wird er jede halbe Stunde im Verzeichnis incoming/ nach neuen Paketen sehen; wenn ein neues Paket eintrifft, wird es ins Archiv verschoben, und die entsprechenden Dateien Packages.gz und Sources.gz werden erneuert. Falls es problematisch sein sollte, einen Daemon auszuführen, kann mini-dinstall auch jedes Mal, wenn ein Paket in das Verzeichnis incoming/ hochgeladen wird, manuell im Stapelverarbeitungsmodus (mit der Option -b) aufgerufen werden. Weitere von mini-dinstall angebotene Möglichkeiten sind auf seiner Handbuchseite mini-dinstall(1) dokumentiert.

EXTRA Ein signiertes Archiv erzeugen

APT überprüft bei den Paketen, die es handhabt, vor ihrer Installation eine Reihe kryptographischer Signaturen um ihre Authentizität zu gewährleisten (siehe Abschnitt 6.6, „Die Echtheit eines Paketes prüfen“). Private APT-Archive können daher ein Problem darstellen, da die Rechner, die sie verwenden, fortlaufend Warnungen vor nicht signierten Paketen anzeigen. Ein sorgfältiger Administrator wird daher private Archive mit dem sicheren APT-Mechanismus integrieren.

Um diesen Vorgang zu erleichtern, enthält mini-dinstall die Konfigurationsoption release_signscript, mit der es möglich ist, ein Skript zur Erzeugung der Signatur zu spezifizieren. Ein guter Ausgangspunkt ist das Skript sign-release.sh, das vom Paket mini-dinstall im Verzeichnis /usr/share/doc/mini-dinstall/examples/ bereitgestellt wird; lokale Änderungen könnten angebracht sein.

As mentioned earlier, tools like aptly and reprepro come with built-in support for creating a signed archive and are often the better choice for larger or more complex archive setups.