Koji/SigulUsing - Historique des versions

Didier : /* FAQ */

2015-04-23T08:53:42Z

FAQ

← Version précédente		Version du 23 avril 2015 à 08:53
Ligne 98 :		Ligne 98 :
	* S'assurer que les daemons sigul_bridge et sigul_server sont démarrés<pre>service sigul_server status && service sigul_bridge status</pre>		* S'assurer que les daemons sigul_bridge et sigul_server sont démarrés<pre>service sigul_server status && service sigul_bridge status</pre>
	* S'assurer que le pont peut se connecter au serveur ( [[Koji/SigulInstall#Firewall\| Configure firewall]] )}}		* S'assurer que le pont peut se connecter au serveur ( [[Koji/SigulInstall#Firewall\| Configure firewall]] )}}

			{{Admon/faq\|Error: Unknown error\|
			Vérifier les journaux du serveur, l'erreur est surement plus explicite
			* <pre>/usr/bin/rpmsign: No such file or directory</pre>Il suffit d'installer le paquet <package>rpm-sign</package> qui n'est pas installé par défaut sur centos 7. Un simple <code>yum provides /usr/bin/rpmsign</code> donne le paquet à installer.}}

	{{Admon/faq\|Unknown error on creating key process\|		{{Admon/faq\|Unknown error on creating key process\|

Didier : /* FAQ */

2015-04-22T07:48:04Z

FAQ

← Version précédente		Version du 22 avril 2015 à 07:48
Ligne 90 :		Ligne 90 :

	{{Admon/faq\|ERROR: I/O error: Unexpected EOF in NSPR\|		{{Admon/faq\|ERROR: I/O error: Unexpected EOF in NSPR\|
	* S'assurer que le répertoire des clés existe ~~et a les bons propriétaires et droits ( owner et group: '''sigul''' )<br>~~Ce chemin est déclaré dans le fichier <path>/etc/sigul/server.conf</path><pre>gnupg-home: /var/lib/sigul/server/gnupg</pre>		* S'assurer que le répertoire des clés existe. Ce chemin est déclaré dans le fichier <path>/etc/sigul/server.conf</path><pre>gnupg-home: /var/lib/sigul/server/gnupg</pre>
			** Propriétaire: '''sigul'''
			** Groupe: '''sigul'''
			** Droits: 0700 '''rwx------'''
			** Lien symbolique '''/var/lib/sigul/gnupg''' pointant sur <path>/var/lib/sigul/server/gnupg</path>
	* S'assurer qu'il y a suffisamment d'espace disque ( en gros deux fois la taille du plus gros paquet RPM )		* S'assurer qu'il y a suffisamment d'espace disque ( en gros deux fois la taille du plus gros paquet RPM )
	* S'assurer que les daemons sigul_bridge et sigul_server sont démarrés<pre>service sigul_server status && service sigul_bridge status</pre>		* S'assurer que les daemons sigul_bridge et sigul_server sont démarrés<pre>service sigul_server status && service sigul_bridge status</pre>

Didier : /* Script sigulsign_unsigned.py */

2015-04-22T07:42:20Z

Script sigulsign_unsigned.py

@@ Ligne 102 : / Ligne 102 : @@
 {{Admon/faq|Certificats client expirés|
 Une fois le certificat client expiré, il faut le désactiver localement<pre>certutil -d ~/.sigul -D -n sigul-client-cert</pre> et refaire une génération de certificat client.}}
 == Script sigulsign_unsigned.py ==

Didier : /* Scripts */

2014-02-06T15:19:51Z

Scripts

← Version précédente		Version du 6 février 2014 à 15:19
Ligne 103 :		Ligne 103 :
	Une fois le certificat client expiré, il faut le désactiver localement<pre>certutil -d ~/.sigul -D -n sigul-client-cert</pre> et refaire une génération de certificat client.}}		Une fois le certificat client expiré, il faut le désactiver localement<pre>certutil -d ~/.sigul -D -n sigul-client-cert</pre> et refaire une génération de certificat client.}}

	== ~~Scripts ==~~		== Script sigulsign_unsigned.py ==

	~~===~~ sigulsign_unsigned.py ===

	Le script est à récupérer depuis un depôt releng de Fedora via git (git://git.fedorahosted.org/git/releng) ou directement depuis https://git.fedorahosted.org/cgit/releng/tree/scripts/sigulsign_unsigned.py		Le script est à récupérer depuis un depôt releng de Fedora via git (git://git.fedorahosted.org/git/releng) ou directement depuis https://git.fedorahosted.org/cgit/releng/tree/scripts/sigulsign_unsigned.py

	Avant de pouvoir utiliser ce script magique qui va signer tous les RPM non-signés construit dans le Koji, il est nécessaire de modifier quelques variables:		Avant de pouvoir utiliser ce script magique qui va signer tous les RPM non-signés (derniers m-v-r) construit dans le Koji, il est nécessaire de modifier quelques variables:
	* Changer l'URL du HUB Koji (2 fois): KOJIHUB		* Changer l'URL du HUB Koji (2 fois): KOJIHUB
	* Spécifier nos propres fichiers de certificats: SERVERCA, CLIENTCA, CLIENTCERT		* Spécifier nos propres fichiers de certificats: SERVERCA, CLIENTCA, CLIENTCERT
Ligne 168 :		Ligne 166 :
	logging.info('Setting up koji session')		logging.info('Setting up koji session')
	kojisession = koji.ClientSession(KOJIHUB)		kojisession = koji.ClientSession(KOJIHUB)
			</syntaxhighlight>

			=== Signature d'un ou plusieurs paquets ===

			C'est utile afin de signer des paquets qui ne sont pas les derniers construits (dernier N-V-R)
			<syntaxhighlight lang="bash">
			sigulsign_unsigned.py -v --password="motdepasse" --inherit centos-6-key <N-V-R>
			</syntaxhighlight>

			exemple:

			<syntaxhighlight lang="bash">
			sigulsign_unsigned.py -v --password="$(cat /root/.sigul/centos-6-key)" --inherit centos-6-key appliance-tools-007.0-1.el6
	</syntaxhighlight>		</syntaxhighlight>

Didier le 22 août 2013 à 06:59

2013-08-22T06:59:36Z

← Version précédente		Version du 22 août 2013 à 06:59
Ligne 113 :		Ligne 113 :
	* Spécifier nos propres fichiers de certificats: SERVERCA, CLIENTCA, CLIENTCERT		* Spécifier nos propres fichiers de certificats: SERVERCA, CLIENTCA, CLIENTCERT
	* Ajout de nos clés de signature: KEYS		* Ajout de nos clés de signature: KEYS
	{{Admon/warning\|~~Case~~ de l'ID dans le script sigulsign_unsigned.py\|GPG rapporte un ID écrit en majuscule mais dans le script, celui-ci doit être renseigné en minuscule pour que le processus fonctionne.}}		{{Admon/warning\|Casse de l'ID dans le script sigulsign_unsigned.py\|GPG rapporte un ID écrit en majuscule mais dans le script, celui-ci doit être renseigné en minuscule pour que le processus fonctionne.}}

	Pour obtenir l'ID de nos clés:		Pour obtenir l'ID de nos clés:

Didier le 21 août 2013 à 13:31

2013-08-21T13:31:31Z

← Version précédente		Version du 21 août 2013 à 13:31
Ligne 90 :		Ligne 90 :

	{{Admon/faq\|ERROR: I/O error: Unexpected EOF in NSPR\|		{{Admon/faq\|ERROR: I/O error: Unexpected EOF in NSPR\|
	* ~~Ensure the key directory exists and have good permissions~~ ( owner ~~and~~ group: '''sigul''' )<br>~~This path is declared on~~ <path>/etc/sigul/server.conf</path><pre>gnupg-home: /var/lib/sigul/server/gnupg</pre>		* S'assurer que le répertoire des clés existe et a les bons propriétaires et droits ( owner et group: '''sigul''' )<br>Ce chemin est déclaré dans le fichier <path>/etc/sigul/server.conf</path><pre>gnupg-home: /var/lib/sigul/server/gnupg</pre>
	* ~~Ensure~~ sigul_bridge ~~and~~ sigul_server ~~daemons are running~~<pre>~~systemctl~~ status ~~sigul_server.service~~ && ~~systemctl~~ status ~~sigul_bridge.service~~</pre>		* S'assurer qu'il y a suffisamment d'espace disque ( en gros deux fois la taille du plus gros paquet RPM )
	* ~~Ensure sigul_bridge can connect to sigul_server~~ ( [[Koji/SigulInstall#Firewall\| Configure firewall]] )}}		* S'assurer que les daemons sigul_bridge et sigul_server sont démarrés<pre>service sigul_server status && service sigul_bridge status</pre>
			* S'assurer que le pont peut se connecter au serveur ( [[Koji/SigulInstall#Firewall\| Configure firewall]] )}}

	{{Admon/faq\|Unknown error on creating key process\|		{{Admon/faq\|Unknown error on creating key process\|
	* ~~Install~~ <package>gnupg1</package> ~~from~~ [ http://people.redhat.com/mitr/rpmsigner/rhel6 ] or [ http://infrastructure.stg.fedoraproject.org/repo/builder-rpms/6Server/SRPMS/ ]		* Installer le paquet <package>gnupg1</package> depuis [ http://people.redhat.com/mitr/rpmsigner/rhel6 ] ou de [ http://infrastructure.stg.fedoraproject.org/repo/builder-rpms/6Server/SRPMS/ ]
	* ~~Make sure you~~'~~re using a patched version of sigul~~<pre>sed -i -e '/gnupg_bin/s,^.*$,gnupg_bin = "/usr/bin/gpg1",' /usr/share/sigul/settings.py</pre>		* S'assurer que Sigul est configurer pour utiliser <package>gnupg1</package><pre>sed -i -e '/gnupg_bin/s,^.*$,gnupg_bin = "/usr/bin/gpg1",' /usr/share/sigul/settings.py</pre>
	* ~~Ensure~~ <package>python-sqlalchemy</package> ~~is installed~~}}		* S'assurer que le paquet <package>python-sqlalchemy</package> soit installé}}

	~~When your sigul cert expires~~, ~~you will need to run: '~~certutil -d ~/.sigul -D -n sigul-client-cert~~' to remove the old cert, then 'sigul-~~client~~-setup' to add a new one~~.		{{Admon/faq\|Certificats client expirés\|
			Une fois le certificat client expiré, il faut le désactiver localement<pre>certutil -d ~/.sigul -D -n sigul-client-cert</pre> et refaire une génération de certificat client.}}

	== Scripts ==		== Scripts ==

Didier le 21 août 2013 à 13:19

2013-08-21T13:19:30Z

← Version précédente		Version du 21 août 2013 à 13:19
Ligne 111 :		Ligne 111 :
	* Spécifier nos propres fichiers de certificats: SERVERCA, CLIENTCA, CLIENTCERT		* Spécifier nos propres fichiers de certificats: SERVERCA, CLIENTCA, CLIENTCERT
	* Ajout de nos clés de signature: KEYS		* Ajout de nos clés de signature: KEYS
			{{Admon/warning\|Case de l'ID dans le script sigulsign_unsigned.py\|GPG rapporte un ID écrit en majuscule mais dans le script, celui-ci doit être renseigné en minuscule pour que le processus fonctionne.}}

	Pour obtenir l'ID de nos clés:		Pour obtenir l'ID de nos clés:

Didier le 21 août 2013 à 12:44

2013-08-21T12:44:46Z

Voir les modifications

Didier : /* Koji */

2012-09-04T09:37:01Z

Koji

← Version précédente		Version du 4 septembre 2012 à 09:37
Ligne 267 :		Ligne 267 :

	[[Category:Release Engineering SOPs]]		[[Category:Release Engineering SOPs]]

			== CDOT Sigul Signing SOP ==

			The following documents the process to be taken in order to correctly sign packages for Fedora-ARM. Please be sure to follow these steps to the letter, if you have any complications direct your questions to aeboccia on IRC.

			== Creating A Key ==
			If a new key is to be created for the signing process the following step must be taken to do so in compliance with primary arch key generation SOP.

			From ireland issue the following commands:

			For example if we wanted to create the Fedora 13 signing key, we would do the following:
			<ol>
			<li>Create the key using a strong passphrase when prompted
			<pre>
			$ sigul new-key --key-admin aeboccia --name-real Fedora-ARM \
			--name-comment 14 \
			--name-email fedora@fedoraproject.org fedora-14-arm
			</pre></li>
			<li>Wait a while for entropy. This can take several minutes.</li>
			<li>Grant key access to any users who will be using it to sign packages
			<pre>
			$ sigul grant-key-access fedora-14-arm aeboccia
			</pre>

			One the key has been created you can continue on to prep for signing.

			== Signing prep ==

			For signing, the script sigulsign_unsigned is used. In order to use the new key with the script it's ID must be added.

			To obtain the ID issue the following on Ireland
			<pre>
			$ sigul get-public-key > keyblock
			$ gpg keyblock
			</pre>
			From that output on the PUB line copy the Code after the / usually this code starts with a letter for example B207AABC <br />

			The next step is to add it to the sigulsign_unsigned script.

			<pre>
			$ vi sigulsign_unsigned

			Under the KEYS section add your new key and name to the line following the previous entries.

			KEYS = { 'fedora-14-arm': {'id': 'b207aabc', 'v3': True}, <-- Your Entry
			'fedora-13-sparc': {'id': '5bf71b5e', 'v3': True},
			'fedora-12': {'id': '57bbccba', 'v3': True},
			'fedora-13': {'id': 'e8e40fde', 'v3': True},
			'fedora-11': {'id': 'd22e77f2', 'v3': True},
			'fedora-10': {'id': '4ebfc273', 'v3': False},
			'fedora-10-testing': {'id': '0b86274e', 'v3': False},
			'epel-6': {'id': '0608b895', 'v3': True}}
			</pre>

			Close and Save the Script

			== Signing ==

			Signing is rather straight forward, be sure to do so in a screen so you can freely leave and come back to check on the progress as it can take much time.

			<pre>

			$ screen -t SigulSigning
			$ ./sigulsign_unsigned.py -v -v --write-all --inherit --arch=arm --tag=dist-f14 --password=<keypassphrase> fedora-14-arm

			* The tag option is set to the tag within koji under which all the packages to be signed currently reside.

			</pre>

Didier : /* Description */

2012-09-04T09:17:58Z

Description

← Version précédente		Version du 4 septembre 2012 à 09:17
Ligne 1 :		Ligne 1 :
	= Description =		= Description =
	At the beginning of each release under development a new package signing key is created for it. This key is used to prove the authenticity of packages built by Fedora and distributed by Fedora. This key will be used to sign all packages for the public test and final releases.		At the beginning of each release under development a new package signing key is created for it. This key is used to prove the authenticity of packages built by Fedora and distributed by Fedora. This key will be used to sign all packages for the public test and final releases. This article follows [[Koji/SigulInstall\|Install a Sigul Signing server]]

	= Action =		= Action =

Koji/SigulUsing - Historique des versions

Didier : /* FAQ */

Didier : /* FAQ */

Didier : /* Script sigulsign_unsigned.py */

Didier : /* Scripts */

Didier le 22 août 2013 à 06:59

Didier le 21 août 2013 à 13:31

Didier le 21 août 2013 à 13:19

Didier le 21 août 2013 à 12:44

Didier : /* Koji */

Didier : /* Description */

Didier : /* FAQ */

Didier : /* FAQ */

Didier : /* Script sigulsign_unsigned.py */

Didier : /* Scripts */

Didier : /* Koji */

Didier : /* Description */