key import com apt-add-repository e próprio repositório possível?

Question

É possível usar o recurso de importação public-gpg-key do apt-add-repository com meu próprio repositório reprepro? Existe por exemplo algo como um servidor de chaves padrão onde o apt-add-repository espera encontrar as chaves ou um caminho dentro do repositório (http) onde procurará?

    

Answer 1

Tanto o apt-add-repository quanto o add-apt-repository têm uma opção -k que você pode usar para especificar seu próprio repositório de chaves públicas. apt-key pode adicionar a impressão digital da chave que você controla e confia. É claro que você pode simplesmente adicionar uma chave pública ao servidor de chaves.ubuntu.com ou outro servidor de chaves, em vez de usar seu próprio servidor de chaves, mas o apt ainda deve ser informado de que as principais impressões digitais. Veja a resposta útil de Saji89 sobre apt-key no link (e vote nele se for útil para você).

Você também pode usar a abordagem do medibuntu como automação se muitos computadores estiverem envolvidos. Veja como medibuntu.org faz isso:

sudo -E wget --output-document=/etc/apt/sources.list.d/medibuntu.list  http://www.medibuntu.org/sources.list.d/$(lsb_release -cs).list && sudo apt-get --quiet update && sudo apt-get --yes --quiet --allow-unauthenticated install medibuntu-keyring && sudo apt-get --quiet update '

Isso é seguido pela instalação de mais alguns pacotes depois que o repositório foi adicionado.

Como explicação:

sudo -E wget --output-document=/etc/apt/sources.list.d/medibuntu.list http://www.medibuntu.org/sources.list.d/$(lsb_release -cs).list'

adiciona o repositório à sua configuração.

sudo apt-get --quiet update

Atualiza as informações do apt-get do novo (e todos os outros repos).

sudo apt-get --yes --quiet --allow-unauthenticated install medibuntu-keyring

Instala a chave pública do repositório. O --allow-unauthenticated é como você evita o problema do ovo e da galinha.

sudo apt-get --quiet update

Atualiza o apt novamente.

Em seguida, os pacotes de ganchos de dados e depuração de aplicativos são adicionados para seus aplicativos.

Você pode navegar pelo repo link para ver como seus pacotes fazem o trabalho.

    

Answer 2

Se você estiver perguntando se o add-apt-repository funcionará com o seu próprio repositório que você hospedou em vez de no Launchpad, a resposta é "Não" e com boas razões.

A ferramenta add-apt-repository fornece uma relação de confiança criptograficamente strong para PPAs válidos do Launchpad. O que não podemos garantir é que você deve confiar nos usuários do Launchpad que têm acesso de upload a um determinado PPA, mas ainda fornece uma boa trilha de auditoria e uma garantia de que os pacotes pelo menos vêm do PPA reivindicado.

Se o que você estava pedindo fosse possível, ele não teria nenhuma garantia confiável e seria mais ou menos equivalente a usuários do Windows baixando coisas aleatórias de sites aleatórios em momentos aleatórios no tempo.

Existe uma boa razão pela qual você precisa usar seu próprio repositório, por que você não pode usar um PPA?