15.3. Creazione di un repository di pacchetti per APT

Falcot Corp ha cominciato gradualmente a mantenere un certo numero di pacchetti Debian, sia modificandoli localmente da pacchetti esistenti che creandoli da zero per distribuire dati interni e programmi.

Per rendere la distribuzione dei pacchetti più facile, si vuole integrare questi pacchetti in un pacchetto archivio che può essere utilizzato direttamente da APT. Per ovvi motivi di manutenzione, si vuole separare i pacchetti interni da quelli rigenerati localmente. L'obiettivo è che le voci corrispondenti nel file /etc/apt/sources.list.d/falcot.list siano le seguenti:

deb http://packages.falcot.com/ updates/
deb http://packages.falcot.com/ internal/

Gli amministratori quindi devono configurare un virtual host nel server HTTP interno, utilizzando la directory /srv/vhosts/packages/ come radice dello spazio web associato. La gestione dell'archivio stesso è delegata al comando mini-dinstall (presente nel pacchetto dal nome simile). Questo strumento controlla la directory incoming/ (in questo caso, /srv/vhosts/packages/mini-dinstall/incoming/) e aspetta che vi siano inseriti dei nuovi pacchetti, quando un pacchetto viene caricato, viene installato in un archivio Debian in /srv/vhosts/packages/. Il comando mini-dinstall legge i file *.changes creati quando il pacchetto viene generato. Questi file contengono un elenco di tutti gli altri file associati alla versione del pacchetto (*.deb, *.dsc, *.diff.gz/*.debian.tar.gz, *.orig.tar.gz, o i loro equivalenti con altri strumenti di compressione), e permettono a mini-dinstall di sapere quali file installare. I file *.changes contengono anche il nome della distribuzione di destinazione (spesso unstable) citata nell'ultima voce del file debian/changelog, mini-dinstall usa questa informazione per decidere dove installare il pacchetto. È per questo che gli amministratori devono sempre cambiare questo campo prima di costruire un pacchetto, e impostarlo a internal o updates, a seconda del luogo di destinazione. mini-dinstall quindi genera i file necessari per APT, come ad esempio Packages.gz.

ALTERNATIVE apt-ftparchive, aptly, and reprepro

Se sembra troppo macchinoso far avviare mini-dinstall per un determinato archivio Debian, si può utilizzare al suo posto il comando apt-ftparchive. Questo strumento scansiona il contenuto di una directory e mostra (nello standard output) il corrispondente file Packages. Nel caso della Falcot Corp, gli amministratori possono caricare i pacchetti direttamente in /srv/vhosts/packages/updates/ o /srv/vhosts/packages/internal/, quindi eseguire i seguenti comandi per creare i file Packages.gz:

$ cd /srv/vhosts/packages
$ apt-ftparchive packages updates >updates/Packages
$ gzip updates/Packages
$ apt-ftparchive packages internal >internal/Packages
$ gzip internal/Packages

Il comando apt-ftparchive sources permette di creare i file Sources.gz in modo simile.

reprepro and aptly are more advanced tools for the same purpose. They can produce, manage and synchronize a number of package repositories, mirror other repositories, even cherry-pick packages from official repositories and provide them locally, create signatures of the generated package indices and thus provide signed repositories. reprepro stores packages and checksums in a Berkeley DB database file, so no database server is needed. aptly provides the same functionality, but it can be easier in handling. Unfortunately, both projects, although probably the most feature-rich solutions, are not actively developed at the moment.

reprepro comes with a lot of documentation and examples in /usr/share/doc/reprepro/, while aptly has a vast online documentation.

→ https://www.aptly.info/

Per la configurazione di mini-dinstall è necessario impostare il file ~/.mini-dinstall.conf; nel caso della Falcot Corp, i contenuti sono i seguenti:

[DEFAULT]
archive_style = flat
archivedir = /srv/vhosts/packages

verify_sigs = 0
mail_to = [email protected]

generate_release = 1
release_origin = Falcot Corp
release_codename = stable

[updates]
release_label = Recompiled Debian Packages

[internal]
release_label = Internal Packages

Una decisione degna di nota è la generazione del file Release per ogni archivio. Questo può aiutare a gestire le priorità del pacchetto d'installazione utilizzando il file di configurazione /etc/apt/preferences (si veda la Sezione 6.2.5, «Gestire le priorità dei pacchetti» per maggiori informazioni).

SICUREZZA mini-dinstall ed i permessi

Poichè mini-dinstall è stato progettato per essere eseguito come un normale utente, non è necessario eseguirlo come root. Il modo più semplice è quello di configurare tutto all'interno di un account utente, appartenente all'amministratore, che ha il compito di creare i pacchetti Debian. Poiché solo quest'amministratore dispone dei permessi necessari per mettere i file nella directory incoming/, si può dedurre che l'amministratore abbia verificato l'origine di ogni pacchetto prima di distribuirlo e non è necessario farlo rifare a mini-dinstall. Questo spiega il parametro verify_sigs = 0 (che indica che le firme non devono essere verificate). Tuttavia, se il contenuto dei pacchetti è sensibile, si può cambiare l'impostazione e scegliere di autenticare con un portachiavi contenente le chiavi pubbliche delle persone autorizzate a creare pacchetti (utilizzando il parametro extra_keyrings); poi mini-dinstall verificherà l'origine di ogni pacchetto in arrivo, analizzando la firma inclusa nel file *.changes.

Quando viene eseguito mini-dinstall in realtà viene avviato un demone sullo sfondo. Finché questo demone rimane attivo, verifica ogni mezz'ora se ci sono nuovi pacchetti nella directory incoming/. Quando viene inserito un nuovo pacchetto, viene spostato nell'archivio e vengono rigenerati, in maniera appropriata, i file Packages.gz e Sources.gz. Se risulta problematico eseguire un demone, mini-dinstall può essere avviato manualmente in modalità batch (con l'opzione -b) ogni volta che viene caricato un pacchetto nella directory incoming/. I metodi alternativi messi a disposizione da mini-dinstall sono documentati nella sua pagina di manuale mini-dinstall(1).

EXTRA Creazione di un archivio firmato

La suite APT controlla una serie di firme crittografiche sui pacchetti che gestisce prima di installarli, per garantire la loro autenticità (si veda Sezione 6.6, «Controllare l'autenticità dei pacchetti»). Gli archivi APT privati possono poi essere un problema, poichè le macchine che li utilizzano continueranno a visualizzare degli avvertimenti sui pacchetti non firmati. Un amministratore diligente integrerà pertanto gli archivi privati con la modalità sicura di APT.

Per facilitare questo processo, mini-dinstall include l'opzione di configurazione release_signscript che permette di specificare uno script da utilizzare per generare la firma. Un buon punto di partenza è lo script sign-release.sh fornito dal pacchetto mini-dinstall nella directory /usr/share/doc/mini-dinstall/examples/; le modifiche locali possono essere rilevanti.