Offline depot

Een offline depot is de map kyvernon-<version>/ met de pakketten en de index depot.json. Daarmee installeert en upgradet u servers zonder internettoegang. Controleer het depot met de openbare releasesleutel van Kyvernon, die u van Kyvernon krijgt en niet uit het depot haalt. De installer neemt de sleutel niet over van het depot zelf (de kopie onder keys/ staat er alleen ter vergelijking): de handtekening heeft als doel dat het depot niet voor zichzelf kan instaan.

Wat het depot bevat

De rollen selecteren pakketten. controller installeert de controller en de opdrachtregelclient, agent installeert de hostagent, de VMM en de pakketten in deps/, cli installeert alleen de opdrachtregelclient. all installeert alles.

Voordat u begint

• De depotmap en, apart daarvan, de openbare releasesleutel.
• Voor de opdrachten met kyvernon depot is het pakket kyvernon-cli geïnstalleerd. Het script kyvernon-install in het depot werkt zonder.
• Rootrechten voor het installeren. Voor het controleren zijn geen bijzondere rechten nodig.

Het depot controleren

Kopieer het depot naar de server en controleer het daarna als gewone gebruiker.

Met de CLI

cd kyvernon-0.1.0
./kyvernon-install --verify-only --pubkey /path/to/release-signing.minisign.pub

of, met de opdrachtregelclient:

kyvernon depot verify kyvernon-0.1.0 --pubkey /path/to/release-signing.minisign.pub

Beide controleren de handtekening over de index, daarna de grootte en de controlesom van elk bestand, en weigeren een map met bestanden die de index niet vermeldt of met symbolische koppelingen. Het script toont depot ok bij succes; stop bij elke andere uitvoer en neem contact op met uw leverancier. Wilt u liever het standaardgereedschap gebruiken, dan controleert minisign -Vm depot.json -p release-signing.minisign.pub dezelfde handtekening.

De opdrachtregelclient zoekt de sleutel in deze volgorde: --pubkey, de omgevingsvariabele KYVERNON_DEPOT_PUBKEY, /etc/kyvernon/release-signing.minisign.pub, /usr/share/kyvernon/keys/release-signing.minisign.pub en de sleutel die in het binaire bestand is ingebouwd. Het script gebruikt de eerste drie. Een --pubkey die in de depotmap staat, wordt geweigerd.

Vanaf het depot installeren

Installeer per rol. De controle gaat eerst, en dpkg ontvangt alleen gecontroleerde kopieën van de pakketten, zodat niets wordt geïnstalleerd dat na de controle in de map is gewijzigd.

Met de CLI

sudo ./kyvernon-install --role controller --pubkey /path/to/release-signing.minisign.pub
sudo ./kyvernon-install --role agent --pubkey /path/to/release-signing.minisign.pub

Met de opdrachtregelclient doet kyvernon depot install hetzelfde; --dry-run toont de dpkg-opdracht en voert niets uit:

sudo kyvernon depot install kyvernon-0.1.0 --role agent \
  --pubkey /path/to/release-signing.minisign.pub --dry-run

Een host zonder de distributiepakketten ovmf of swtpm laat dpkg mislukken met een lijst van wat ontbreekt. Installeer ze vanaf uw mirror, of gebruik een depot dat ze in deps/ meelevert, en voer de opdracht opnieuw uit. De eerste installatie staat beschreven in Installeren vanuit een offline depot; een nieuwe versie in Upgrade.

Een depot ondertekenen

Een depot wordt ondertekend op een machine die offline is. De privésleutel is een OpenSSL PKCS#8 Ed25519-sleutel en verlaat die machine nooit.

Met de CLI

kyvernon depot sign kyvernon-0.1.0 --key /path/to/release-signing.pem
kyvernon depot pubkey --key /path/to/release-signing.pem

depot sign schrijft depot.json.minisig naast de index. De handtekening dekt standaard een vertrouwde opmerking die de versie noemt; met --comment stelt u een andere in. depot pubkey toont de openbare sleutel in minisign-formaat en het sleutel-id, dat bestaat uit de eerste 8 bytes van de SHA-256 van de openbare sleutel. Met --pubkey in plaats van --key toont het de sleutel-id van een bestand met een openbare sleutel, zodat u de sleutel die u hebt kunt vergelijken met het sleutel-id dat de leverancier publiceert.

Resultaat

Een gecontroleerd depot eindigt met depot ok. Na een installatie staan de pakketten klaar en is nog geen enkele service gestart.

Zie ook

• Upgrade
• Installeren vanuit een offline depot
• Verwijderen