15.3. Creación de un repositorio de paquetes para APT

Falcot Corp gradualmente comenzó a mantener una cantidad de paquetes Debian con modificaciones locales de paquetes existentes o creados desde cero para distribuir datos y programas internos.

Para facilitar su despliegue, desean integrarlos en un repositorio de paquetes que APT pueda utilizar directamente. Por razones de mantenimiento obvias, desean separar los paquetes internos de aquellos recompilados localmente. El objetivo es que los elementos correspondientes del archivo /etc/apt/sources.list.d/falcot.list sean los siguientes:

deb http://packages.falcot.com/ updates/
deb http://packages.falcot.com/ internal/

Por lo tanto, los administradores configuraron un servidor virtual en su servidor HTTP interno, con /srv/vhosts/packages/ como raíz del espacio web asociado. Delegaron la gestión del repositorio en sí al programa mini-dinstall (en el paquete del mismo nombre). Esta herramienta revisa el directorio incoming/ (en nuestro caso: /srv/vhosts/packages/mini-dinstall/incoming) y espera allí a los nuevos paquetes; cuando se sube un paquete, lo instala en un repositorio en /srv/hosts/packages/. El programa mini-dinstall lee el archivo *.changes creado cuando se genera el paquete Debian. Estos archivos contienen una lista de todos los otros archivos asociados con la versión del paquete (*.deb, *.dsc, *.diff.gz/*.debian.tar.gz, *.orig.tar.gz o sus equivalentes con otras herramientas de compresión) que le permiten a mini-dinstall saber qué archivos instalar. Los archivos *.changes también contienen el nombre de la distribución objetivo (generalmente unstable) mencionada en el último campo de la entrada en debian/changelog y mini-dinstall utiliza esta información para decidir dónde instalar el paquete. Es por esto que los administradores siempre deben cambiar este campo antes de compilar un paquete y definirlo como internal o updates, dependiendo de la ubicación objetivo. mini-dinstall generará luego los archivos necesarios para APT, como Packages.gz.

ALTERNATIVE apt-ftparchive, aptly, and reprepro

Si mini-dinstall le parece demasiado complejo para sus necesidades de repositorios Debian, también puede utilizar el programa apt-ftparchive. Esta herramienta explora el contenido de un directorio y muestra (por su salida estándar) el archivo Packages correspondiente. En el caso de Falcot Corp, los administradores pueden subir sus paquetes directamente a /srv/vhosts/packages/updates/ o /srv/vhosts/packages/internal/ y luego ejecutar lo siguiente para crear los archivos Pacakges.gz:

$ cd /srv/vhosts/packages
$ apt-ftparchive packages updates >updates/Packages
$ gzip updates/Packages
$ apt-ftparchive packages internal >internal/Packages
$ gzip internal/Packages

Ejecutar apt-ftparchive sources permite crear archivos Sources.gz de forma similar.

reprepro and aptly are more advanced tools for the same purpose. They can produce, manage and synchronize a number of package repositories, mirror other repositories, even cherry-pick packages from official repositories and provide them locally, create signatures of the generated package indices and thus provide signed repositories. reprepro stores packages and checksums in a Berkeley DB database file, so no database server is needed. aptly provides the same functionality, but it can be easier in handling. Unfortunately, both projects, although probably the most feature-rich solutions, are not actively developed at the moment.

reprepro comes with a lot of documentation and examples in /usr/share/doc/reprepro/, while aptly has a vast online documentation.

→ https://www.aptly.info/

La configuración de mini-dinstall necesita definir un archivo ~/.mini-dinstall.conf; en el caso de Falcot Corp, su contenido es el siguiente:

[DEFAULT]
archive_style = flat
archivedir = /srv/vhosts/packages

verify_sigs = 0
mail_to = admin@falcot.com

generate_release = 1
release_origin = Falcot Corp
release_codename = stable

[updates]
release_label = Paquetes Debian Recompilados

[internal]
release_label = Paquetes Internos

Una decisión importante es la generación de archivos Release para cada repositorio. Esto puede ayudar a gestionar las prioridades de instalación utilizando el archivo de configuración /etc/apt/preferences (revise el Sección 6.2.5, “Gestión de prioridades de los paquetes” para más detalles).

SEGURIDAD mini-dinstall y permisos

Debido a que se diseñó a mini-dinstall para ejecutar como un usuario normal, no es necesario ejecutarlo como root. La forma más sencilla es configurar todo en la cuenta de usuario que pertenezca al administrador encargado de crear los paquetes Debian. Debido a que sólo este administrador tiene los permisos necesarios para guardar archivos en el directorio incoming/ podemos deducir que éste autenticó el origen de cada paquetes antes de desplegarlo y mini-dinstall no necesita hacerlo nuevamente. Esto explica el parámetros verify_sigs = 0 (que significa que no se necesita verificar firmas). Sin embargo, si el contenido del paquete es sensible, podemos revertir esta configuración y seleccionar autenticar con un conjunto de llaves que contenga aquellas de las personas que tienen permitido crear paquetes (configurado con el parámetro extra_keyrings); mini-dinstall luego verificará el origen de cada paquete entrante analizando la firma integrada en el archivo *.changes.

Ejecutar mini-dinstall en realidad inicia un demonio en segundo plano. Mientras ejecute el demonio, revisará el directorio incoming/ por nuevos paquetes cada media hora; cuando detecte un nuevo paquete lo moverá al repositorio y generará los archivos Packages.gz y Sources.gz. Si ejecutar un demonio es un problema, también puede invocar manualmente mini-dinstall en modo de lote (con la opción -b) cada vez que suba un paquete al directorio incoming/. mini-dinstall permite otras posibilidades documentadas en su página de manual mini-dinstall(1).

EXTRA Generación de un repositorio firmado

La suite APT verifica una cadena de firmas criptográficas en los paquetes que gestiona antes de instalarlos para asegurar su autenticidad (ver Sección 6.6, “Comprobación de la autenticidad de un paquete”). Por lo tanto, los repositorios APT privados pueden ser un problema, ya que los equipos que los utilicen mostrarán advertencias sobre paquetes sin firmar. Por lo tanto, un administrador diligente integrará los archivos privados con el mecanismo de seguridad de APT.

Para ayudar con este proceso, mini-dinstall incluye la opción de configuración release_signscript que permite especificar un script a utilizar para generar la firma. Un buen punto de partida es el script sign-release.sh, provisto por el paquete mini-dinstall, en el directorio /usr/share/doc/mini-dinstall/examples/; puede necesitar cambios locales.