GMO NIKKOのT.Kです。

AlmaLinuxのブログ記事によると、GPG keyが更新されており、新しいGPG keyをインポートする必要がありました。先日Ansibleで下記のタスクを追加したものの、インポートが適切に行われない問題が発生しました。

問題の原因としては、AlmaLinuxのGPG keyファイルに新旧のGPG keyが混在しており、rpm_keyモジュールのインポート済みチェックが最初のGPG keyのみに対して行われているからです。
2023年10月16日以降のパッケージに関しては新しいGPG keyが取り込まれていますので、追加でインポートする必要はありません。

Dockerで再現環境を構築

• ファイル構成
  
  ファイル構成

  . ├── ansible │   ├── hosts │   └── setup.yml ├── controller │   └── Dockerfile ├── target │   └── Dockerfile └── docker-compose.yml

  1 2 3 4 5 6 7 8 9

  . ├── ansible │   ├── hosts │   └── setup.yml ├── controller │   └── Dockerfile ├── target │   └── Dockerfile └── docker-compose.yml

• ansible
  • hosts
    
    hosts

    [servers] target

    1 2	[servers] target

  • setup.yml
    
    setup.yml

    YAML

    --- - name: Test hosts: servers user: root tasks: - name: import RPM-GPG-KEY-AlmaLinux rpm_key: key: https://repo.almalinux.org/almalinux/RPM-GPG-KEY-AlmaLinux state: present

    1 2 3 4 5 6 7 8 9 10

    --- - name: Test   hosts: servers   user: root     tasks:     - name: import RPM-GPG-KEY-AlmaLinux       rpm_key:         key: https://repo.almalinux.org/almalinux/RPM-GPG-KEY-AlmaLinux         state: present

• controller
  • Dockerfile
    
    FROM almalinux:8.9 # sshクライアントをインストール RUN yum -y install openssh-clients # ansibleをインストール RUN yum -y install python3.11 RUN yum -y install python3.11-pip RUN python3.11 -m pip install ansible CMD /sbin/init

    1 2 3 4 5 6 7 8 9 10 11

    FROM almalinux:8.9   # sshクライアントをインストール RUN yum -y install openssh-clients   # ansibleをインストール RUN yum -y install python3.11 RUN yum -y install python3.11-pip RUN python3.11 -m pip install ansible   CMD /sbin/init

• target
  • Dockerfile
    
    Dockerfile

    FROM almalinux:8.9 # 公開鍵なし/パスワードなしでSSHログインする設定 RUN yum -y install openssh-server RUN sed -ri 's/^#PermitEmptyPasswords no/PermitEmptyPasswords yes/' /etc/ssh/sshd_config RUN sed -ri 's/^#PermitRootLogin yes/PermitRootLogin yes/' /etc/ssh/sshd_config RUN sed -ri 's/^UsePAM yes/UsePAM no/' /etc/ssh/sshd_config RUN yum install -y passwd RUN passwd -d root # sshdの起動 RUN /bin/systemctl enable sshd EXPOSE 22 # 環境を再現するため、AlmaLinux 8の新しいGPG keyを削除します RUN rpm -e gpg-pubkey-ced7258b-6525146f CMD /sbin/init

    1 2 3 4 5 6 7 8 9 10 11 12 13 14 15 16 17 18 19

    FROM almalinux:8.9   # 公開鍵なし/パスワードなしでSSHログインする設定 RUN yum -y install openssh-server RUN sed -ri 's/^#PermitEmptyPasswords no/PermitEmptyPasswords yes/' /etc/ssh/sshd_config RUN sed -ri 's/^#PermitRootLogin yes/PermitRootLogin yes/' /etc/ssh/sshd_config RUN sed -ri 's/^UsePAM yes/UsePAM no/' /etc/ssh/sshd_config   RUN yum install -y passwd RUN passwd -d root   # sshdの起動 RUN /bin/systemctl enable sshd EXPOSE 22   # 環境を再現するため、AlmaLinux 8の新しいGPG keyを削除します RUN rpm -e gpg-pubkey-ced7258b-6525146f   CMD /sbin/init

• docker-compose.yml
  
  docker-compose.yml

  YAML

  version: '3' services: controller: build: ./controller/ privileged: true volumes: - "./ansible:/ansible" target: build: ./target/ privileged: true

  1 2 3 4 5 6 7 8 9 10 11

  version: '3'   services:   controller:     build: ./controller/     privileged: true     volumes:       - "./ansible:/ansible"   target:     build: ./target/     privileged: true

Dockerコンテナを起動して動作確認

• コンテナ起動
  
  Shell

  $ docker-compose up -d --build

  1	$ docker-compose up -d --build

• Ansibleの実行
  changedがfalseでGPG keyが更新されませんでした
  
  $ cd ansible $ ansible-playbook -i ./hosts ./setup.yml -k -v 〜 中略 〜 TASK [import RPM-GPG-KEY-AlmaLinux] ************************************************************************************************************ ok: [target] => {"changed": false} PLAY RECAP ************************************************************************************************************************************* target : ok=2 changed=0 unreachable=0 failed=0 skipped=0 rescued=0 ignored=0

  1 2 3 4 5 6 7 8

  $ cd ansible $ ansible-playbook -i ./hosts ./setup.yml -k -v 〜 中略 〜 TASK [import RPM-GPG-KEY-AlmaLinux] ************************************************************************************************************ ok: [target] => {"changed": false}   PLAY RECAP ************************************************************************************************************************************* target                     : ok=2    changed=0    unreachable=0    failed=0    skipped=0    rescued=0    ignored=0

• targetで確認してもインポートされていないことが分かります
  
  $ rpm -q gpg-pubkey-ced7258b-6525146f package gpg-pubkey-ced7258b-6525146f is not installed

  1 2	$ rpm -q gpg-pubkey-ced7258b-6525146f package gpg-pubkey-ced7258b-6525146f is not installed

対策

• 案1
  
  • 一旦削除してからインポートします
    ただし、毎回changedになるため、あまりおすすめできません
    
    YAML

    - name: delete RPM-GPG-KEY-AlmaLinux rpm_key: key: https://repo.almalinux.org/almalinux/RPM-GPG-KEY-AlmaLinux state: absent - name: import RPM-GPG-KEY-AlmaLinux rpm_key: key: https://repo.almalinux.org/almalinux/RPM-GPG-KEY-AlmaLinux state: present

    1 2 3 4 5 6 7 8 9

    - name: delete RPM-GPG-KEY-AlmaLinux       rpm_key:         key: https://repo.almalinux.org/almalinux/RPM-GPG-KEY-AlmaLinux         state: absent          - name: import RPM-GPG-KEY-AlmaLinux       rpm_key:         key: https://repo.almalinux.org/almalinux/RPM-GPG-KEY-AlmaLinux         state: present

• 案2
  • GPG keyファイルを分割し、個別にインポートします
    
    YAML

    - name: copy RPM-GPG-KEY-AlmaLinux copy: src: "almalinux/{{ item }}" dest: /etc/rpm-gpg/ with_items: - RPM-GPG-KEY-AlmaLinux-3abb34f8 - RPM-GPG-KEY-AlmaLinux-ced7258b - name: import RPM-GPG-KEY-AlmaLinux rpm_key: key: '/etc/rpm-gpg/{{ item }}' state: present with_items: - RPM-GPG-KEY-AlmaLinux-3abb34f8 - RPM-GPG-KEY-AlmaLinux-ced7258b

    1 2 3 4 5 6 7 8 9 10 11 12 13 14 15

    - name: copy RPM-GPG-KEY-AlmaLinux       copy:         src: "almalinux/{{ item }}"         dest: /etc/rpm-gpg/       with_items:         - RPM-GPG-KEY-AlmaLinux-3abb34f8         - RPM-GPG-KEY-AlmaLinux-ced7258b       - name: import RPM-GPG-KEY-AlmaLinux       rpm_key:         key: '/etc/rpm-gpg/{{ item }}'         state: present       with_items:         - RPM-GPG-KEY-AlmaLinux-3abb34f8         - RPM-GPG-KEY-AlmaLinux-ced7258b

  • GPG keyファイルの分割
    テキストファイルなので手動でも問題ありませんが、コマンドを作成しました
    
    wget https://repo.almalinux.org/almalinux/RPM-GPG-KEY-AlmaLinux gpg --no-default-keyring --keyring ./tempkeyring.gpg --import RPM-GPG-KEY-AlmaLinux gpg --no-default-keyring --keyring ./tempkeyring.gpg --list-keys --with-colons | awk -F: '/^pub:/ { print tolower($5) }' | while read keyid; do gpg --no-default-keyring --keyring ./tempkeyring.gpg --armor --export $keyid > RPM-GPG-KEY-AlmaLinux-${keyid: -8}; done

    1 2 3 4 5 6 7

    wget https://repo.almalinux.org/almalinux/RPM-GPG-KEY-AlmaLinux   gpg --no-default-keyring --keyring ./tempkeyring.gpg --import RPM-GPG-KEY-AlmaLinux   gpg --no-default-keyring --keyring ./tempkeyring.gpg --list-keys --with-colons | awk -F: '/^pub:/ { print tolower($5) }' | while read keyid; do   gpg --no-default-keyring --keyring ./tempkeyring.gpg --armor --export $keyid > RPM-GPG-KEY-AlmaLinux-${keyid: -8}; done

  • 生成したファイルをansible/files/almalinuxに配置します
    
    . ├── ansible │   ├── files │   │   └── almalinux │   │   ├── RPM-GPG-KEY-AlmaLinux-3abb34f8 │   │   └── RPM-GPG-KEY-AlmaLinux-ced7258b

    1 2 3 4 5 6

    . ├── ansible │   ├── files │   │   └── almalinux │   │       ├── RPM-GPG-KEY-AlmaLinux-3abb34f8 │   │       └── RPM-GPG-KEY-AlmaLinux-ced7258b

まとめ

とある事情でAlmaLinuxの古いバージョンを使用する必要があり、今回の問題に遭遇しました。
ミドルウェアなどでも古いバージョンに起因する問題により、調査と対策に時間が取られることが多いため、バージョンアップを計画的に行っていきたいと考えております。

T.K