Product SiteDocumentation Site

15.3. 创建用于 APT 的软件包仓库

Falcot Corp gradually started maintaining a number of Debian packages, either locally modified from existing packages or created from scratch to distribute internal data and programs.
为了更容易部署，他们想要将这些软件包集成在能够由 APT 直接使用的软件包档案中。明显为了维护的原因，他们希望将内部软件包从本地重建的软件包中分出来。目标是使 /etc/apt/sources.list.d/falcot.list 文件中的匹配入口如后面这样： 
deb http://packages.falcot.com/ updates/
deb http://packages.falcot.com/ internal/
这样管理员在他们的内部 HTTP 服务器上配置虚拟主机，以 /srv/vhosts/packages/ 作为相关 web 空间的根。档案本身的管理委托给 mini-dinstall 命令（在相似命名的软件包中）。这个工具照看 incoming/ 目录（在我们的情况下是 /srv/vhosts/packages/mini-dinstall/incoming/），并在那里等待新的软件包；软件包当上传时，就安装在 /srv/vhosts/packages/ 的 Debian 档案中。mini-dinstall 命令读取 Debian 软件包生成时创建的 *.changes 文件。这些文件包含与软件包的版本相关的所有其它文件的列表（*.deb、*.dsc、*.diff.gz/*.debian.tar.gz、*.orig.tar.gz，或使用其它压缩工具生成的它们的相应文件），并且这些允许 mini-dinstall 知道安装哪些文件。*.changes 文件还包含目标发布版本（通常是 unstable）的名称，这些目标发布版本在最新的 debian/changelog 入口被提到，并且 mini-dinstall 使用这个信息来确定软件包应该安装在哪里。这就是为什么管理员在构建软件包前必须总是更改这个字段，并依赖于目标位置，将它设置为 internal 或 updates。然后 mini-dinstall 生成 APT 所需的文件，如 Packages.gz。

ALTERNATIVE apt-ftparchive, aptly, and reprepro

如果 mini-dinstall 对您的 Debian 档案需求看起来太复杂，那么还可以使用 apt-ftparchive 命令。这个工具扫描目录的内容，并（在其标准输出上）显示匹配的 Packages 文件。在 Falcot Corp 公司的情况下，管理员应该将软件包直接上传到 /srv/vhosts/packages/updates/ 或 /srv/vhosts/packages/internal/，然后运行后面的命令来创建 Packages.gz 文件： 
$ cd /srv/vhosts/packages
$ apt-ftparchive packages updates >updates/Packages
$ gzip updates/Packages
$ apt-ftparchive packages internal >internal/Packages
$ gzip internal/Packages
apt-ftparchive sources 命令允许以相似的方式创建 Sources.gz 文件。
reprepro and aptly are more advanced tools for the same purpose. They can produce, manage and synchronize a number of package repositories, mirror other repositories, even cherry-pick packages from official repositories and provide them locally, create signatures of the generated package indices and thus provide signed repositories. reprepro stores packages and checksums in a Berkeley DB database file, so no database server is needed. aptly provides the same functionality, but it can be easier in handling. Unfortunately, both projects, although probably the most feature-rich solutions, are not actively developed at the moment.
reprepro comes with a lot of documentation and examples in /usr/share/doc/reprepro/, while aptly has a vast online documentation.
→ https://www.aptly.info/
配置 mini-dinstall 需要设置 ~/.mini-dinstall.conf 文件；在 Falcot Corp 公司的情况下，内容如下： 
[DEFAULT]
archive_style = flat
archivedir = /srv/vhosts/packages

verify_sigs = 0
mail_to = admin@falcot.com

generate_release = 1
release_origin = Falcot Corp
release_codename = stable

[updates]
release_label = Recompiled Debian Packages

[internal]
release_label = Internal Packages
值得注意的一个决定是为每个档案生成 Release 文件。这可以使用 /etc/apt/preferences 配置文件来帮助管理软件包安装的优先性（细节请参见 第 6.2.5 节 “软件包优先级管理” ）。

安全 mini-dinstall 与权限

由于 mini-dinstall 设计来作为常规用户运行，因此不需要作为根来运行它。最简单的方式是，在属于负责创建 Debian 软件包的管理员的用户账户内，配置所有内容。由于只有这位管理员具有所需的权限将文件放置在 incoming/ 目录中，我们可以推断，管理员在部署前认证每个软件包的来源，而 mini-dinstall 不需要再做一次。这解释了 verify_sigs = 0 参数（它意味着不需要核实签名）。然而，如果软件包的内容是敏感的，那么我们可以相反地设置，并通过包含允许公钥的钥匙环来允许创建软件包，这个公钥属于创建软件包的人员（以 extra_keyrings 参数来配置）；mini-dinstall 然后通过分析集成到 *.changes 文件中的签名，来检查每个到来的软件包的来源。
调用 mini-dinstall 实际上在后端启动了守护程序。只要这个守护程序运行，它就将每半个小时检查一次 incoming/ 目录中的新软件包；新软件包当到达时，将被移动到档案中，并生成适当的 Packages.gz 和 Sources.gz 文件。如果运行守护程序是个问题，那么软件包每次上传到 incoming/ 目录中时， mini-dinstall 也能够以批处理模式手动调用（通过 -b 选项）。由 mini-dinstall 提供的其它可能性归档在其 mini-dinstall(1) 手册页面中。

补充 生成签名的档案

APT 套件在安装它处理的软件包之前，检查它们的加密签名链，从而确保它们的真实性（请参见 第 6.6 节 “检查软件包真实性”）。然后私有 APT 档案会有问题，因为使用它们的机器会一直显示未签名软件包的警告。这样勤奋的管理员将私有档案集成带有安全 APT 机制。
为了帮助这个过程，mini-dinstall 包括 release_signscript 配置选项，允许指定脚本来产生签名。好的起点是 sign-release.sh 脚本，由 /usr/share/doc/mini-dinstall/examples/ 中的 mini-dinstall 软件包来提供； 本地更改会是相关的。
As mentioned earlier, tools like aptly and reprepro come with built-in support for creating a signed archive and are often the better choice for larger or more complex archive setups.