15.3. Criando um Repositório de Pacotes para o APT

A Falcot Corp gradualmente começou a manter alguns pacotes Debian modificados localmente a partir de pacotes existentes ou criados do zero para distribuir dados e programas internos.

Para facilitar a instalação, eles querem integrar estes pacotes em um repositório que possa ser acessado diretamente usando a ferramenta APT. Por motivos de manutenção óbvios, eles querem separar os pacotes internos dos pacotes reconstruídos localmente. O objetivo é ter as entradas correspondentes no arquivo /etc/apt/sources.list.d/falcot.list como segue:

deb http://packages.falcot.com/ updates/
deb http://packages.falcot.com/ internal/

Os administradores, portanto, configuram uma máquina virtual em seu servidor HTTP interno, com /srv/vhosts/packages/ como a raiz do espaço web associado. A gestão do repositório é delegada ao comando mini-dinstall (no pacote de mesmo nome). Esta ferramenta mantém um olho em um diretório incoming/ (no nosso caso, /srv/vhosts/packages/mini-dinstall/incoming/) e espera por novos pacotes lá; quando um pacote for carregado, ele é instalado em um repositório Debian em /srv/vhosts/packages/. O comando mini-dinstall lê o arquivo *.changes criado quando o pacote Debian é gerado. Esses arquivos contêm uma lista de todos os outros arquivos associados com a versão do pacote (*.deb, *.dsc, *.diff.gz/*.debian.tar.gz, *.orig.tar.gz, ou seus equivalentes com outras ferramentas de compressão), e que permitem mini-dinstall saber quais arquivos instalar. Arquivos *.changes também contêm o nome da distribuição alvo (muitas vezes unstable) mencionado na última entrada debian/changelog, e mini-dinstall usa essas informações para decidir onde o pacote deve ser instalado. É por isso que os administradores devem sempre alterar este campo antes de construir um pacote, e configurá-lo para internal ou updates, dependendo da localização do alvo. O mini-dinstall gera, então, os arquivos necessários para o APT, como o Packages.gz.

ALTERNATIVE apt-ftparchive, aptly, and reprepro

Se mini-dinstall parece demasiado complexo para as suas necessidades de empacotamento Debian, você também pode usar o comando apt-ftparchive. Esta ferramenta verifica o conteúdo de um diretório e exibe (em sua saída padrão) um arquivo Packages correspondente. No caso da Falcot Corp, os administradores podem carregar os pacotes diretamente em /srv/vhosts/packages/updates/ ou /srv/vhosts/packages/internal/, em seguida, executar os seguintes comandos para criar os arquivos Packages.gz:

$ cd /srv/vhosts/packages
$ apt-ftparchive packages updates >updates/Packages
$ gzip updates/Packages
$ apt-ftparchive packages internal >internal/Packages
$ gzip internal/Packages

O comando apt-ftparchive sources permite criar arquivos Sources.gz de maneira similar.

reprepro and aptly are more advanced tools for the same purpose. They can produce, manage and synchronize a number of package repositories, mirror other repositories, even cherry-pick packages from official repositories and provide them locally, create signatures of the generated package indices and thus provide signed repositories. reprepro stores packages and checksums in a Berkeley DB database file, so no database server is needed. aptly provides the same functionality, but it can be easier in handling. Unfortunately, both projects, although probably the most feature-rich solutions, are not actively developed at the moment.

reprepro comes with a lot of documentation and examples in /usr/share/doc/reprepro/, while aptly has a vast online documentation.

→ https://www.aptly.info/

Para configurar o mini-dinstall é necessário a configuração do arquivo ~/.mini-dinstall.conf; no caso da Falcot Corp, o conteúdo é o seguinte:

[DEFAULT]
archive_style = flat
archivedir = /srv/vhosts/packages

verify_sigs = 0
mail_to = admin@falcot.com

generate_release = 1
release_origin = Falcot Corp
release_codename = stable

[updates]
release_label = Recompiled Debian Packages

[internal]
release_label = Internal Packages

Uma decisão que merece atenção é a geração de arquivos Release para cada pacote. Isso pode ajudar a gerenciar as prioridades de instalação de pacotes usando o arquivo de configuração /etc/apt/preferences (veja em Seção 6.2.5, “Gerenciar prioridades de pacote” para detalhes).

SEGURANÇA mini-dinstall e permissões

Como o mini-dinstall foi projetado para ser executado como um usuário normal, não há necessidade de executá-lo como root. A maneira mais fácil é configurar tudo dentro da conta de usuário que pertence ao administrador encarregado de criar os pacotes Debian. Uma vez que apenas este administrador tem as permissões necessárias para colocar os arquivos no diretório incoming/, podemos deduzir que o administrador autenticou a origem de cada pacote antes da publicação e o mini-dinstall não precisam fazê-lo novamente. Isto explica o parâmetro verify_sigs = 0 (o que significa que as assinaturas não precisam ser verificadas). No entanto, se o conteúdo dos pacotes é sensível, podemos reverter o cenário a configuração e optar por autenticar com um chaveiro contendo as chaves públicas de pessoas com autorização para criar pacotes (configurados com o parâmetro extra_keyrings); mini-dinstall irá então verificar a origem de cada pacote de entrada, analisando a assinatura integrada para o arquivo *.changes.

Executar mini-dinstall começa, na verdade, um daemon em segundo plano. Enquanto este daemon é executado, ele irá verificar se há novos pacotes no diretório incoming/ a cada meia hora; quando um novo pacote chegar, ele será movido para o repositório e os arquivos Packages.gz e Sources.gz serão restaurados. Se executar um daemon é um problema, mini-dinstall também pode ser chamado manualmente no modo batch (com a opção -b) cada vez que um pacote for enviado para o diretório incoming/. Outras possibilidades oferecidas pelo mini-dinstall estão documentadas na sua página de manual mini-dinstall(1).

EXTRA Gerando um arquivo assinado

A suíte APT verifica uma cadeia de assinaturas criptográficas nos pacotes que ela trata, antes de instalá-los, para que se garantam suas autenticidades (veja Seção 6.6, “Verificando Autenticidade do Pacote”). Repositórios APT privados podem ser um problema, uma vez que as máquinas que os usam irão ficar exibindo alertas de pacotes não assinados. Um administrador zeloso, portanto, integrará arquivos privados com o mecanismo de APT seguro.

Para ajudar nesse processo, o mini-dinstall inclui uma opção de configuração release_signscript que permite especificar um script que será usado para gerar a assinatura. Um bom ponto de partida é o script sign-release.sh fornecido pelo pacote mini-dinstall em /usr/share/doc/mini-dinstall/examples/; pode ser relevante fazer mudanças específicas.