GPGキー

クライアントは、ソフトウェアパッケージがインストールされる前に、その真正性を確認するためにGPGキーを使用します。信頼できるソフトウェアのみがクライアントにインストールできます。

ほとんどの場合、クライアントにソフトウェアをインストールできるようにGPG設定を調整する必要はありません。

RPMパッケージは直接署名できますが、Debianベースのシステムはメタデータのみを署名し、パッケージを保護するためにチェックサムのチェーンを使用します。ほとんどのRPMベースのシステムは、署名されたパッケージに加えて署名されたメタデータも使用します。

オペレーティングシステムは、自分のGPGキーを直接信頼するか、少なくとも最小システムにインストールして出荷します。しかし、異なるGPGキーで署名されたサードパーティパッケージは手動で処理する必要があります。クライアントは、GPGキーが信頼されていなくても正常に起動できます。ただし、キーが信頼されるまで、新しいクライアントツールパッケージをインストールしたり、更新したりすることはできません。

クライアントは、ソフトウェアチャネルのために入力されたGPGキー情報を使用して、信頼されたキーを管理します。 GPGキー情報を持つソフトウェアチャネルがクライアントに割り当てられると、チャネルが更新されるか、このチャネルから最初のパッケージがインストールされると、キーが信頼されます。

ソフトウェアチャネルページのGPGキーURLパラメータには、「空白」で区切られた複数のキーURLを含めることができます。ファイルURLの場合、ソフトウェアチャネルを使用する前に、GPGキーファイルをクライアントにデプロイする必要があります。

Red Hatベースのクライアントのクライアントツールチャネル用GPGキーは、クライアントの`/etc/pki/rpm-gpg/`にデプロイされ、ファイルURLで参照できます。

SUSE Liberty LinuxクライアントのGPGキーの場合も同様です。

ソフトウェアチャンネルがクライアントに割り当てられている場合にのみ、システムによってインポートされて信頼されます。

Debianベースのシステムはメタデータのみを署名するため、単一のチャネルに対して追加のキーを指定する必要はありません。ユーザーがリポジトリメタデータの「独自のGPGキーを使用する」に記載されているように、メタデータに署名するために独自のGPGキーを設定すると、そのキーのデプロイメントと信頼が自動的に行われます。

1. ユーザ定義のGPGキー

ユーザは、クライアントに配備するカスタムのGPGキーを定義できます。

いくつかのpillarデータを提供し、SaltファイルシステムにGPGキーファイルを提供することで、自動的にクライアントにデプロイされます。

これらのキーは、RPMベースのオペレーティングシステムでは`/etc/pki/rpm-gpg/に、Debianシステムでは/usr/share/keyrings/`にデプロイされます。

キーをデプロイする対象のクライアントのpillarキー[literal`custom_gpgkeys`]を定義し、キーファイルの名前を一覧にします。

cat /srv/pillar/mypillar.sls
custom_gpgkeys:
  - my_first_gpg.key
  - my_second_gpgkey.gpg

さらに、Saltファイルシステム上で、`gpg`という名前のディレクトリを作成し、`custom_gpgkeys`のpillarデータで指定された名前のGPGキーファイルを保存します。

ls -la /srv/salt/gpg/
/srv/salt/gpg/my_first_gpg.key
/srv/salt/gpg/my_second_gpgkey.gpg

キーは、クライアントの`/etc/pki/rpm-gpg/my_first_gpg.key`および`/etc/pki/rpm-gpg/my_second_gpgkey.gpg`にデプロイされます。

最後のステップは、ソフトウェアチャネルのGPGキーURLフィールドにURLを追加することです。 ソフトウェア 管理 チャネルに移動し、変更したいチャネルを選択します。 `GPG key URL`に値`file:///etc/pki/rpm-gpg/my_first_gpg.key`を追加します。

2. ブートストラップスクリプトのGPGキー

プロシージャ:ブートストラップスクリプトを使用してクライアントでGPGキーを信頼する

SUSE Multi-Linux Managerサーバーのコマンドプロンプトで、`/srv/www/htdocs/pub/`ディレクトリの内容を確認します。このディレクトリには、すべての利用可能な公開鍵が含まれています。登録しているクライアントに割り当てられたチャネルに適用されるキーをメモしておきます。
関連する起動スクリプトを開き、`ORG_GPG_KEY=`パラメータを見つけて、必要なキーを追加します。例:
```
uyuni-gpg-pubkey-0d20833e.key
```
以前保存したキーを削除する必要はありません。

GPGキーを信頼することは、クライアントのセキュリティにとって重要です。どのキーが必要で信頼できるかを決定するのは管理者の仕事です。 GPGキーが信頼されていない場合、ソフトウェアチャネルはクライアントに割り当てることができません。