Связаться с экспертомПопробовать бесплатно
Создавайте контент и получайте гранты!Готовы написать своё руководство? Участвуйте в контент-программе и получайте гранты на работу с облачными сервисами!
Подробнее о программе
Проект Яндекса
© 2026 ООО «Яндекс.Облако»

Настроить менеджер пакетов APT

Статья создана
Обновлена 16 июля 2026 г.
Открыть в Markdown

Инструкция описывает, как настроить менеджер пакетов APT (Advanced Package Tool) для работы с Debian-реестром в Yandex Cloud Registry.

Подготовка GPG-ключа

GPG-ключ требуется для реестра с подписью метаданных. Подпись позволяет клиентам проверять подлинность пакетов с помощью GPG-ключа.

  1. Сгенерируйте GPG-ключ с помощью утилиты GnuPG:

    gpg --full-generate-key

    При запросе passphrase оставьте поле пустым.

  2. Найдите идентификатор созданного GPG-ключа:

    gpg --list-secret-keys --keyid-format=long

    Результат:

    /home/user/.gnupg/secring.gpg
------------------------------
sec   4096R/<идентификатор_GPG-ключа> 2024-01-01 [expires: 2026-01-01]
uid                          User Name <user@example.com>
ssb   4096R/XXXXXXXXXXXXXXXX 2024-01-01

  3. Экспортируйте секретную часть GPG-ключа:

    gpg --armor --export-secret-keys <идентификатор_GPG-ключа>

  4. Сохраните секретную часть GPG-ключа в секрет Yandex Lockbox по ключу gpg_secret_key_value:

    yc lockbox secret create \
  --name <имя_секрета> \
  --payload "[{'key': 'gpg_secret_key_value', 'text_value': '$(gpg --armor --export-secret-keys <идентификатор_GPG-ключа>)'}]"

  5. Предоставьте сервисному агенту сервиса Cloud Registry доступ к содержимому секрета, назначив ему на этот секрет роль lockbox.payloadViewer:

    yc lockbox secret add-access-binding \
  --id <идентификатор_секрета> \
  --role lockbox.payloadViewer \
  --agent cloud-registry:control-plane \
  --cloud-id <идентификатор_облака>

  6. Сохраните публичную часть GPG-ключа — она понадобится пользователям реестра:

    gpg --armor --export <идентификатор_GPG-ключа> > public-key.asc

Настройка APT

Чтобы настроить APT, добавьте:

  • реестр в список источников APT;
  • данные для аутентификации в файл /etc/apt/auth.conf.

Способ добавления реестра в список источников APT отличается в зависимости от формата реестра и типа источника.

Добавление реестра в список источников APT

Локальный реестр

  1. Скопируйте публичный GPG-ключ в директорию доверенных ключей APT:

    cp /path/to/public-key.asc /usr/share/keyrings/ycr-pub.asc

    Где /path/to/public-key.asc — путь к файлу с публичным GPG-ключом.

  2. Добавьте реестр в список источников APT:

    echo "deb [signed-by=/usr/share/keyrings/ycr-pub.asc] https://registry.yandexcloud.net/debian/<идентификатор_реестра> <дистрибутив> <компонент>" \
  >> /etc/apt/sources.list

Добавьте реестр с параметром trusted=yes:

echo "deb [trusted=yes] https://registry.yandexcloud.net/debian/<идентификатор_реестра> <дистрибутив> <компонент>" \
  >> /etc/apt/sources.list

Удаленный реестр

  1. Установите пакет с публичными ключами дистрибутива:

    • для Debian:

      sudo apt install debian-archive-keyring

      Ключ будет доступен по пути /usr/share/keyrings/debian-archive-keyring.gpg.

    • для Ubuntu:

      sudo apt install ubuntu-keyring

      Ключ будет доступен по пути /usr/share/keyrings/ubuntu-archive-keyring.gpg.

  2. Добавьте реестр в список источников APT:

    echo "deb [signed-by=<путь_к_ключу>] https://registry.yandexcloud.net/debian/<идентификатор_реестра> <дистрибутив> <компонент>" \
  >> /etc/apt/sources.list

    Где:

    • <путь_к_ключу> — путь к файлу с ключом дистрибутива, например /usr/share/keyrings/debian-archive-keyring.gpg или /usr/share/keyrings/ubuntu-archive-keyring.gpg.
    • <идентификатор_реестра> — идентификатор реестра.
    • <дистрибутив> — дистрибутив, например bookworm, bullseye или focal.
    • <компонент> — компонент репозитория, например main.

  1. Сохраните GPG-ключ в директорию доверенных ключей:

    cp /path/to/upstream-public-key.asc /usr/share/keyrings/upstream-pub.asc

    Где /path/to/upstream-public-key.asc — путь к файлу с публичным ключом исходного репозитория (upstream).

  2. Добавьте реестр в список источников APT:

    echo "deb [signed-by=/usr/share/keyrings/upstream-pub.asc] https://registry.yandexcloud.net/debian/<идентификатор_реестра> <дистрибутив> <компонент>" \
  >> /etc/apt/sources.list

Укажите параметр trusted=yes, чтобы APT принимал пакеты без проверки подлинности:

echo "deb [trusted=yes] https://registry.yandexcloud.net/debian/<идентификатор_реестра> <дистрибутив> <компонент>" \
  >> /etc/apt/sources.list

Добавление данных для аутентификации

Важно

Менеджер пакетов APT не подставляет переменные окружения в файлы конфигурации. Чтобы защитить учетные данные, ограничьте доступ к файлу /etc/apt/auth.conf на уровне ОС.

  1. Выберите способ аутентификации:

    Получите IAM-токен для аккаунта на Яндексе или сервисного аккаунта, от имени которого вы будете выполнять аутентификацию.

    Примечание

    Время жизни IAM-токена — не больше 12 часов.

    Создайте API-ключ для сервисного аккаунта, от имени которого вы будете выполнять аутентификацию.

    Примечание

    Время жизни API-ключа ограничивается вручную при создании.

  2. Добавьте данные для аутентификации в файл /etc/apt/auth.conf:

    machine https://registry.yandexcloud.net/debian/<идентификатор_реестра>
login iam
password <IAM-токен>

    machine https://registry.yandexcloud.net/debian/<идентификатор_реестра>
login api_key
password <API-ключ>

Полезные ссылки

Предыдущая
Скачать Go-модуль из реестра
Следующая
Загрузить Debian-пакет в реестр