主页 / ubuntu / 问题 / 1412905
Accepted
gavenkoa
Asked: 2022-06-09 02:17:06 +0800 CST

是否可以通过 HTTPS URL 指定 PGP 密钥？

  • 772

对于 YUM (RHEL)，我可以使用指向密钥文件的 HTTPS 链接指定存储库，例如/etc/yum.repo.d/elastic-7.x.repo：

[elastic-7.x]
baseurl = https://artifacts.elastic.co/packages/7.x/yum
gpgcheck = 1
gpgkey = https://artifacts.elastic.co/GPG-KEY-elasticsearch
name = Elasticsearch repository for 7.x packages

如果是 Debian，我必须先下载一个密钥文件：

sudo curl -o /usr/share/keyrings/elastic.asc https://artifacts.elastic.co/GPG-KEY-elasticsearch

而不是通过属性注册该文件signed-by：

deb [signed-by=/usr/share/keyrings/elastic.asc arch=amd64] https://artifacts.elastic.co/packages/7.x/apt stable main

我可以通过 HTTPS URL 指定签名密钥吗？

这样我可以避免在它们腐烂时更新密钥。

apt

1 个回答

  1. Best Answer

    这是不可能的。密钥必须以一种或另一种方式位于文件系统中。服务器只能指定要使用的密钥的指纹，而不能自己提供密钥。Signed-by请参阅以下选项的文档man sources.list：

    Signed-By (signed-by) 是一个选项，它要求存储库通过apt-secure(8)验证，使用一组特定的密钥，而不是 apt 配置的所有受信任的密钥。它被指定为密钥环文件的绝对路径列表（对于 _apt 系统用户必须是可访问和可读的，因此确保每个人都对该文件具有读取权限）和从这些密钥环中选择的密钥指纹。[...] 如果在此存储库的先前获取的发布文件中设置，则该选项默认为具有相同名称的选项的值（只能通过那里指定指纹）。否则，可信密钥环中的所有密钥都被视为此存储库的有效签名者。该选项也可以直接设置为嵌入式 GPG 公钥块。

    • 1

相关问题