15.3. Creazione di un repository di pacchetti per APT

Falcot Corp gradually started maintaining a number of Debian packages, either locally modified from existing packages or created from scratch to distribute internal data and programs.

Per rendere la distribuzione dei pacchetti più facile, si vuole integrare questi pacchetti in un pacchetto archivio che può essere utilizzato direttamente da APT. Per ovvi motivi di manutenzione, si vuole separare i pacchetti interni da quelli rigenerati localmente. L'obiettivo è che le voci corrispondenti nel file /etc/apt/sources.list.d/falcot.list siano le seguenti:

deb http://packages.falcot.com/ updates/
deb http://packages.falcot.com/ internal/

Gli amministratori quindi devono configurare un virtual host nel server HTTP interno, utilizzando la directory /srv/vhosts/packages/ come radice dello spazio web associato. La gestione dell'archivio stesso è delegata al comando mini-dinstall (presente nel pacchetto dal nome simile). Questo strumento controlla la directory incoming/ (in questo caso, /srv/vhosts/packages/mini-dinstall/incoming/) e aspetta che vi siano inseriti dei nuovi pacchetti, quando un pacchetto viene caricato, viene installato in un archivio Debian in /srv/vhosts/packages/. Il comando mini-dinstall legge i file *.changes creati quando il pacchetto viene generato. Questi file contengono un elenco di tutti gli altri file associati alla versione del pacchetto (*.deb, *.dsc, *.diff.gz/*.debian.tar.gz, *.orig.tar.gz, o i loro equivalenti con altri strumenti di compressione), e permettono a mini-dinstall di sapere quali file installare. I file *.changes contengono anche il nome della distribuzione di destinazione (spesso unstable) citata nell'ultima voce del file debian/changelog, mini-dinstall usa questa informazione per decidere dove installare il pacchetto. È per questo che gli amministratori devono sempre cambiare questo campo prima di costruire un pacchetto, e impostarlo a internal o updates, a seconda del luogo di destinazione. mini-dinstall quindi genera i file necessari per APT, come ad esempio Packages.gz.

ALTERNATIVA apt-ftparchive, aptly e reprepro

Se sembra troppo macchinoso far avviare mini-dinstall per un determinato archivio Debian, si può utilizzare al suo posto il comando apt-ftparchive. Questo strumento scansiona il contenuto di una directory e mostra (nello standard output) il corrispondente file Packages. Nel caso della Falcot Corp, gli amministratori possono caricare i pacchetti direttamente in /srv/vhosts/packages/updates/ o /srv/vhosts/packages/internal/, quindi eseguire i seguenti comandi per creare i file Packages.gz:

$ cd /srv/vhosts/packages
$ apt-ftparchive packages updates >updates/Packages
$ gzip updates/Packages
$ apt-ftparchive packages internal >internal/Packages
$ gzip internal/Packages

Il comando apt-ftparchive sources permette di creare i file Sources.gz in modo simile.

reprepro e aptly sono strumenti più avanzati per lo stesso scopo. Possono produrre, gestire e sincronizzare un numero di repository di pacchetti, fare il mirror di altri repository, persino prelevare pacchetti dai repository ufficiali e fornirli localmente, creare firme degli indici dei pacchetti generati e così mettere a disposizione repository firmati. reprepro registra i pacchetti e il checksums in un file di database Berkeley DB, in modo che non sia necessario un server per il database. aptly fornisce le stesse funzionalità, ma può essere gestito più facilmente. Sfortunatamente entrambi i progetti, sebbene siano probabilmente le soluzioni più complete a livello di funzionalità, non sono attualmente sviluppati in modo attivo.

reprepro è fornito con un'ampia documentazione ed esempi in /usr/share/doc/reprepro/, mentre aptly ha una vasta documentazione in-linea.

→ https://www.aptly.info/

Per la configurazione di mini-dinstall è necessario impostare il file ~/.mini-dinstall.conf; nel caso della Falcot Corp, i contenuti sono i seguenti:

[DEFAULT]
archive_style = flat
archivedir = /srv/vhosts/packages

verify_sigs = 0
mail_to = admin@falcot.com

generate_release = 1
release_origin = Falcot Corp
release_codename = stable

[updates]
release_label = Recompiled Debian Packages

[internal]
release_label = Internal Packages

Una decisione degna di nota è la generazione del file Release per ogni archivio. Questo può aiutare a gestire le priorità del pacchetto d'installazione utilizzando il file di configurazione /etc/apt/preferences (si veda la Sezione 6.2.5, «Gestire le priorità dei pacchetti» per maggiori informazioni).

SICUREZZA mini-dinstall ed i permessi

Poichè mini-dinstall è stato progettato per essere eseguito come un normale utente, non è necessario eseguirlo come root. Il modo più semplice è quello di configurare tutto all'interno di un account utente, appartenente all'amministratore, che ha il compito di creare i pacchetti Debian. Poiché solo quest'amministratore dispone dei permessi necessari per mettere i file nella directory incoming/, si può dedurre che l'amministratore abbia verificato l'origine di ogni pacchetto prima di distribuirlo e non è necessario farlo rifare a mini-dinstall. Questo spiega il parametro verify_sigs = 0 (che indica che le firme non devono essere verificate). Tuttavia, se il contenuto dei pacchetti è sensibile, si può cambiare l'impostazione e scegliere di autenticare con un portachiavi contenente le chiavi pubbliche delle persone autorizzate a creare pacchetti (utilizzando il parametro extra_keyrings); poi mini-dinstall verificherà l'origine di ogni pacchetto in arrivo, analizzando la firma inclusa nel file *.changes.

Quando viene eseguito mini-dinstall in realtà viene avviato un demone sullo sfondo. Finché questo demone rimane attivo, verifica ogni mezz'ora se ci sono nuovi pacchetti nella directory incoming/. Quando viene inserito un nuovo pacchetto, viene spostato nell'archivio e vengono rigenerati, in maniera appropriata, i file Packages.gz e Sources.gz. Se risulta problematico eseguire un demone, mini-dinstall può essere avviato manualmente in modalità batch (con l'opzione -b) ogni volta che viene caricato un pacchetto nella directory incoming/. I metodi alternativi messi a disposizione da mini-dinstall sono documentati nella sua pagina di manuale mini-dinstall(1).

EXTRA Creazione di un archivio firmato

La suite APT controlla una serie di firme crittografiche sui pacchetti che gestisce prima di installarli, per garantire la loro autenticità (si veda Sezione 6.6, «Controllare l'autenticità dei pacchetti»). Gli archivi APT privati possono poi essere un problema, poichè le macchine che li utilizzano continueranno a visualizzare degli avvertimenti sui pacchetti non firmati. Un amministratore diligente integrerà pertanto gli archivi privati con la modalità sicura di APT.

Per facilitare questo processo, mini-dinstall include l'opzione di configurazione release_signscript che permette di specificare uno script da utilizzare per generare la firma. Un buon punto di partenza è lo script sign-release.sh fornito dal pacchetto mini-dinstall nella directory /usr/share/doc/mini-dinstall/examples/; le modifiche locali possono essere rilevanti.

As mentioned earlier, tools like aptly and reprepro come with built-in support for creating a signed archive and are often the better choice for larger or more complex archive setups.