Настроить менеджер пакетов APT

Инструкция описывает, как настроить менеджер пакетов APT (Advanced Package Tool) для работы с Debian-реестром в Yandex Cloud Registry.

Подготовка GPG-ключаПодготовка GPG-ключа

GPG-ключ требуется для реестра с подписью метаданных. Подпись позволяет клиентам проверять подлинность пакетов с помощью GPG-ключа.

1. Сгенерируйте GPG-ключ с помощью утилиты GnuPG:

   gpg --full-generate-key
   

   При запросе passphrase оставьте поле пустым.

2. Найдите идентификатор созданного GPG-ключа:

   gpg --list-secret-keys --keyid-format=long
   

   Результат:

   /home/user/.gnupg/secring.gpg
   ------------------------------
   sec   4096R/<идентификатор_GPG-ключа> 2024-01-01 [expires: 2026-01-01]
   uid                          User Name <user@example.com>
   ssb   4096R/XXXXXXXXXXXXXXXX 2024-01-01
   

3. Экспортируйте секретную часть GPG-ключа:

   gpg --armor --export-secret-keys <идентификатор_GPG-ключа>
   

4. Сохраните секретную часть GPG-ключа в секрет Yandex Lockbox по ключу gpg_secret_key_value:

   yc lockbox secret create \
     --name <имя_секрета> \
     --payload "[{'key': 'gpg_secret_key_value', 'text_value': '$(gpg --armor --export-secret-keys <идентификатор_GPG-ключа>)'}]"
   

5. Предоставьте сервисному агенту сервиса Cloud Registry доступ к содержимому секрета, назначив ему на этот секрет роль lockbox.payloadViewer:

   yc lockbox secret add-access-binding \
     --id <идентификатор_секрета> \
     --role lockbox.payloadViewer \
     --agent cloud-registry:control-plane \
     --cloud-id <идентификатор_облака>
   

6. Сохраните публичную часть GPG-ключа — она понадобится пользователям реестра:

   gpg --armor --export <идентификатор_GPG-ключа> > public-key.asc
   

Настройка APTНастройка APT

Локальный реестрЛокальный реестр

1. Добавьте реестр в список источников APT:

   Реестр с подписью метаданных

   Реестр без подписи метаданных

   1. Скопируйте публичный GPG-ключ в директорию доверенных ключей APT:

      cp /path/to/public-key.asc /usr/share/keyrings/ycr-pub.asc
      

      Где /path/to/public-key.asc — путь к файлу с публичным GPG-ключом.

   2. Добавьте реестр в список источников APT:

      echo "deb [signed-by=/usr/share/keyrings/ycr-pub.asc] https://registry.yandexcloud.net/debian/<идентификатор_реестра> <дистрибутив> <компонент>" \
        >> /etc/apt/sources.list
      

   Добавьте реестр с параметром trusted=yes:

   echo "deb [trusted=yes] https://registry.yandexcloud.net/debian/<идентификатор_реестра> <дистрибутив> <компонент>" \
     >> /etc/apt/sources.list
   

2. Добавьте данные для аутентификации в файл /etc/apt/auth.conf:

   IAM-токен

   API-ключ

   machine https://registry.yandexcloud.net/debian/<идентификатор_реестра>
   login iam
   password <IAM-токен>
   

   machine https://registry.yandexcloud.net/debian/<идентификатор_реестра>
   login api_key
   password <API-ключ>
   

Удаленный реестрУдаленный реестр

Публичный источникПубличный источник

1. Установите пакет с публичными ключами дистрибутива:

   Debian

   Ubuntu

   Выполните команду:

   sudo apt install debian-archive-keyring
   

   Ключ будет доступен по пути /usr/share/keyrings/debian-archive-keyring.gpg.

   Выполните команду:

   sudo apt install ubuntu-keyring
   

   Ключ будет доступен по пути /usr/share/keyrings/ubuntu-archive-keyring.gpg.

2. Добавьте реестр в список источников APT:

   echo "deb [signed-by=<путь_к_ключу>] https://registry.yandexcloud.net/debian/<идентификатор_реестра> <дистрибутив> <компонент>" \
     >> /etc/apt/sources.list
   

   Где:

   • <путь_к_ключу> — путь к файлу с ключом дистрибутива, например /usr/share/keyrings/debian-archive-keyring.gpg или /usr/share/keyrings/ubuntu-archive-keyring.gpg.
   • <идентификатор_реестра> — идентификатор реестра.
   • <дистрибутив> — дистрибутив, например bookworm, bullseye или focal.
   • <компонент> — компонент репозитория, например main.

3. Добавьте данные для аутентификации в файл /etc/apt/auth.conf:

   IAM-токен

   API-ключ

   machine https://registry.yandexcloud.net/debian/<идентификатор_реестра>
   login iam
   password <IAM-токен>
   

   machine https://registry.yandexcloud.net/debian/<идентификатор_реестра>
   login api_key
   password <API-ключ>
   

Пользовательский источникПользовательский источник

1. Добавьте реестр в список источников APT:

   Источник подписан GPG-ключом

   Источник не подписан GPG-ключом

   1. Сохраните его в директорию доверенных ключей:

      cp /path/to/upstream-public-key.asc /usr/share/keyrings/upstream-pub.asc
      

      Где /path/to/upstream-public-key.asc — путь к файлу с публичным ключом исходного репозитория (upstream).

   2. Добавьте реестр в список источников APT:

      echo "deb [signed-by=/usr/share/keyrings/upstream-pub.asc] https://registry.yandexcloud.net/debian/<идентификатор_реестра> <дистрибутив> <компонент>" \
        >> /etc/apt/sources.list
      

   Укажите параметр trusted=yes, чтобы APT принимал пакеты без проверки подлинности:

   echo "deb [trusted=yes] https://registry.yandexcloud.net/debian/<идентификатор_реестра> <дистрибутив> <компонент>" \
     >> /etc/apt/sources.list
   

2. Добавьте данные для аутентификации в файл /etc/apt/auth.conf:

   IAM-токен

   API-ключ

   machine https://registry.yandexcloud.net/debian/<идентификатор_реестра>
   login iam
   password <IAM-токен>
   

   machine https://registry.yandexcloud.net/debian/<идентификатор_реестра>
   login api_key
   password <API-ключ>
   

Полезные ссылкиПолезные ссылки

• Загрузить Debian-пакет в реестр
• Скачать Debian-пакет из реестра