Gestione dei repository software

Quando installa software su Linux, il sistema non lo scarica semplicemente da una fonte casuale. Utilizza i repository software.

Un repository (o «repo») è una posizione centralizzata in cui i pacchetti software vengono archiviati e mantenuti. È come un app store per il server Linux!

• Affidabilità: i pacchetti vengono generalmente testati per funzionare con la distribuzione Linux specifica.
• Aggiornamenti: i repository semplificano il mantenimento del software aggiornato.
• Dipendenze: gestiscono l'installazione di tutto il software di supporto necessario (le dipendenze).

I repository rientrano generalmente in due categorie:

• Repository ufficiali: sono gestiti dalla distribuzione Linux (ad esempio Ubuntu o CentOS). Contengono software stabile e ampiamente testato. La maggior parte degli strumenti comuni proviene da qui.
• Repository di terze parti: sono gestiti da singoli sviluppatori o organizzazioni, non dalla distribuzione. Possono offrire versioni più recenti del software, strumenti specializzati o versioni beta.

Sebbene i repository di terze parti possano essere utili, presti sempre attenzione. Aggiunga solo repository provenienti da fonti affidabili per evitare rischi per la sicurezza.

Nei sistemi basati su Debian e Ubuntu, l'Advanced Package Tool (APT) gestisce il software. I repository sono elencati nei file presenti in /etc/apt/, principalmente /etc/apt/sources.list e nei file di /etc/apt/sources.list.d/.

Per i repository di terze parti, si utilizza spesso il comando add-apt-repository, in particolare per i Personal Package Archives (PPA).

Dopo aver aggiunto un nuovo repository, esegua sempre sudo apt update per recuperare da esso le informazioni più recenti sui pacchetti.

Vediamo come aggiungere un PPA comune. Questo esempio aggiunge un PPA che fornisce una versione più recente di Neovim, un editor di testo. Aggiorneremo quindi l'elenco dei pacchetti.

Nei sistemi Red Hat, CentOS o Fedora, yum (o il suo successore dnf) gestisce i pacchetti. Questi sistemi utilizzano file .repo per definire i repository.

Questi file si trovano generalmente nella directory /etc/yum.repos.d/. Ogni file .repo definisce uno o più repository con dettagli quali nome, URL di base e informazioni sulla chiave GPG.

Dopo aver creato o modificato un file .repo, potrebbe essere necessario eseguire sudo dnf clean all (o yum clean all) e poi sudo dnf update (o yum update) per aggiornare i metadati dei pacchetti.

Ecco un esempio di creazione di un file .repo per Google Chrome, che non è incluso nei repository ufficiali RHEL/CentOS. Si utilizza tee per scrivere nel file con i privilegi sudo.

Quando aggiunge repository di terze parti, è fondamentale importare anche le relative chiavi GPG (GNU Privacy Guard). Queste chiavi vengono utilizzate per verificare crittograficamente l'autenticità dei pacchetti.

In questo modo si garantisce che i pacchetti scaricati non siano stati manomessi e provengano realmente dalla fonte dichiarata, proteggendo il sistema dal software dannoso.

• APT: le chiavi vengono spesso gestite da add-apt-repository oppure importate manualmente con apt-key add.
• YUM/DNF: le chiavi sono specificate nel file .repo con gpgkey= e importate con rpm --import.

A volte repository diversi possono offrire versioni differenti dello stesso pacchetto o pacchetti con dipendenze in conflitto. Questo può causare conflitti tra dipendenze.

Il gestore di pacchetti generalmente avvisa di questi conflitti e potrebbe suggerire delle soluzioni. Tra gli strumenti comuni per la diagnosi vi sono:

• APT: apt policy <package-name> mostra le versioni disponibili nei diversi repository.
• YUM/DNF: dnf deplist <package-name> elenca le dipendenze e i provider.

È preferibile attenersi ai repository ufficiali, a meno che non si abbia una necessità specifica di utilizzare una versione di terze parti e se ne comprendano i potenziali rischi.

Se più repository forniscono lo stesso pacchetto, è possibile indicare al gestore di pacchetti quale preferire. Questa operazione è chiamata definizione delle priorità dei repository.

• APT: utilizzi il «pinning» creando file in /etc/apt/preferences.d/. Assegni un «Pin-Priority» ai pacchetti provenienti da fonti specifiche. Numeri di priorità più elevati (superiori a 500) indicano una preferenza.
• YUM/DNF: yum-plugin-priorities (o la funzionalità integrata di DNF) consente di impostare un valore priority= nei file .repo (un numero più basso indica una priorità maggiore).

In questo modo è possibile utilizzare in sicurezza una combinazione di repository stabili e più recenti.

Verifichiamo la sua comprensione della gestione dei repository software.

Congratulazioni! Ha imparato a gestire i repository software, una competenza fondamentale per qualsiasi amministratore Linux.

• Ora comprende la differenza tra repository ufficiali e di terze parti.
• Sa aggiungere repository usando add-apt-repository (Debian/Ubuntu) e creando file .repo (RHEL/CentOS).
• Conosce l'importanza delle chiavi GPG per verificare l'autenticità dei pacchetti.
• Ha acquisito le nozioni di base per gestire i conflitti tra dipendenze e definire le priorità dei repository.

Ricordi sempre di dare la priorità alla sicurezza e di aggiungere solo repository provenienti da fonti affidabili!