15.3. Creació d'un repositori de paquets per a APT

Falcot Corp va començar a mantenir gradualment una sèrie de paquets Debian modificats localment a partir de paquets existents o creats des de zero per distribuir dades i programes interns.

Per facilitar-ne la distribució, es vol integrar aquests paquets en un arxiu de paquets que pugui ser utilitzat directament per APT. Per raons de manteniment òbvies, es volen separar els paquets interns dels paquets refets localment. L'objectiu és que les entrades corresponents en un fitxer /etc/apt/sources.list.d/falcot.list siguin les següents:

deb http://packages.falcot.com/ updates/
deb http://packages.falcot.com/ internal/

Per tant, els administradors configuren un servidor virtual al seu servidor HTTP intern, amb /srv/vhosts/packages/ com l'arrel de l'espai web associat. La gestió del mateix arxiu es delega a l'ordre mini-dinstall (al paquet amb el mateix nom). Aquesta eina manté un ull al directori incoming/ (en el nostre cas, /srv/vhosts/packages/mini-dinstall/incoming/) i espera nous paquets allà; quan s'hi envia un paquet, s'instal·la en un arxiu Debian a /srv/vhosts/packages/. L'ordre mini-dinstall llegeix el fitxer *.changes creat quan es genera el paquet Debian. Aquests fitxers contenen una llista de tots els altres fitxers associats amb la versió del paquet (*.deb,*.dsc,*.diff.gz/*.debian.tar.gz,*.orig.tar.gz, o els seus equivalents amb altres eines de compressió), i aquests permeten a mini-dinstall saber quins fitxers cal instal·lar. Els fitxers *.changes també contenen el nom de la distribució de destinació (sovint unstable) mencionada a l'última entrada de debian/changelog, i mini-dinstall utilitza aquesta informació per decidir on s'ha d'instal·lar el paquet. Per això els administradors sempre han de canviar aquest camp abans de construir un paquet, i establir-lo a internal o updates, depenent de la ubicació de destinació. mini-dinstall després genera els fitxers requerits per APT, com ara Packages.gz.

ALTERNATIVE apt-ftparchive, aptly, and reprepro

Si mini-dinstall sembla massa complex per a les vostres necessitats d'arxiu Debian, també podeu utilitzar l'ordre apt-ftparchive. Aquesta eina escaneja el contingut d'un directori i mostra (en la seva sortida estàndard) un fitxer Packages corresponent. En el cas de Falcot Corp, els administradors podrien pujar els paquets directament a /srv/vhosts/packages/updates/ o /srv/vhosts/packages/internal/, per després executar les ordres següents per crear els fitxers Packages.gz:

$ cd /srv/vhosts/packages
$ apt-ftparchive packages updates >updates/Packages
$ gzip updates/Packages
$ apt-ftparchive packages internal >internal/Packages
$ gzip internal/Packages

L'ordre apt-ftparchive sources permet crear fitxers Sources.gz d'una manera similar.

reprepro and aptly are more advanced tools for the same purpose. They can produce, manage and synchronize a number of package repositories, mirror other repositories, even cherry-pick packages from official repositories and provide them locally, create signatures of the generated package indices and thus provide signed repositories. reprepro stores packages and checksums in a Berkeley DB database file, so no database server is needed. aptly provides the same functionality, but it can be easier in handling. Unfortunately, both projects, although probably the most feature-rich solutions, are not actively developed at the moment.

reprepro comes with a lot of documentation and examples in /usr/share/doc/reprepro/, while aptly has a vast online documentation.

→ https://www.aptly.info/

La configuració de mini-dinstall requereix configurar un fitxer ~/.mini-dinstall.conf; en el cas Falcot Corp, el contingut és el següent:

[DEFAULT]
archive_style = flat
archivedir = /srv/vhosts/packages

verify_sigs = 0
mail_to = admin@falcot.com

generate_release = 1
release_origin = Falcot Corp
release_codename = stable

[updates]
release_label = Recompiled Debian Packages

[internal]
release_label = Internal Packages

Una decisió que val la pena assenyalar és la generació de fitxers Release per a cada arxiu. Això pot ajudar a gestionar les prioritats d'instal·lació de paquets utilitzant el fitxer de configuració /etc/apt/preferences (vegeu Secció 6.2.5, «Gestió de les prioritats dels paquets» per als detalls).

SEGURETAT mini-dinstall i els permisos

Atès que mini-dinstall ha estat dissenyat per funcionar com un usuari normal, no hi ha necessitat d'executar-lo com a «root». La manera més senzilla és configurar-ho tot dins del compte d'usuari que pertanyi a l'administrador encarregat de crear els paquets Debian. Com que només aquest administrador té els permisos necessaris per posar fitxers al directori incoming/, podem deduir que l'administrador haurà autenticat l'origen de cada paquet abans d'incloure'l i mini-dinstall no necessita tornar-ho a fer. Això explica el paràmetre verify_sigs = 0 (el qual significa que les signatures no han de ser verificades). No obstant això, si el contingut dels paquets és sensible, podem revertir aquesta configuració i triar autenticar-se amb un anell de claus públic que contingui les claus públiques de les persones permeses per crear paquets (configurat amb el paràmetre extra_keyrings); mini-dinstall comprovarà l'origen de cada paquet entrant analitzant la signatura integrada al fitxer *.changes.

Invocar mini-dinstall en realitat inicia un dimoni en segon pla. Mentre s'executi aquest dimoni, comprovarà si hi ha paquets nous al directori incoming/ cada mitja hora; quan arriba un paquet nou, es mourà a l'arxiu i es regeneraran els fitxers Packages.gz i Sources.gz. Si l'execució d'un dimoni és un problema, mini-dinstall també es pot invocar manualment en mode per lots o «batch» (amb l'opció -b) cada vegada que es puja un paquet al directori incoming/. Altres possibilitats proporcionades per mini-dinstall estan documentades a la seva pàgina de manual mini-dinstall(1).

EXTRA Generació d'un arxiu signat

La suite APT comprova una cadena de signatures criptogràfiques als paquets que gestiona abans d'instal·lar-los per tal d'assegurar la seva autenticitat (vegeu Secció 6.6, «Comprovació de l'autenticitat d'un paquet»). Els arxius d'APT privats poden ser un problema, ja que les màquines que els utilitzen mostraran contínuament avisos sobre els paquets sense signar. Per tant, un administrador diligent integrarà arxius privats amb el mecanisme d'APT segur.

Per ajudar amb aquest procés, mini-dinstall inclou una opció de configuració release_signscript que permet especificar un script a utilitzar per generar la signatura. Un bon punt de partida és l'script sign-release.sh proporcionat pel paquet mini-dinstall a /usr/share/doc/mini-dinstall/examples/; pot ser rellevants adaptar-lo localment.