创建自定义 RHEL 系统镜像

流程

1. 安装 RHEL 镜像构建器和其他必要的软件包：

   # yum install osbuild-composer composer-cli cockpit-composer

   Copy to Clipboard Toggle word wrap
   • osbuild-composer - 一个构建自定义 RHEL 操作系统镜像的服务。
   • composer-cli- 这个软件包提供对 CLI 界面的访问。
   • cockpit-composer - 这个软件包提供对 Web UI 界面的访问。Web 控制台作为 cockpit-composer 软件包的依赖项安装。

2. 启用并启动 RHEL 镜像构建器套接字：

   # systemctl enable --now osbuild-composer.socket

   Copy to Clipboard Toggle word wrap

3. 如果要在 web 控制台中使用 RHEL 镜像构建器，请启用并启动它。

   # systemctl enable --now cockpit.socket

   Copy to Clipboard Toggle word wrap

   osbuild-composer 和 cockpit 服务在第一次访问时自动启动。

4. 加载 shell 配置脚本，以便 composer-cli 命令的自动完成功能立即开始工作，而无需退出，然后再次登录：

   $ source /etc/bash_completion.d/composer-cli

   Copy to Clipboard Toggle word wrap

流程

1. 删除 osbuild-composer 后端。

   # yum remove osbuild-composer
   # yum remove weldr-client

   Copy to Clipboard Toggle word wrap

2. 在 /etc/yum.conf 文件中 ，为 osbuild-composer 软件包添加一个排除项。

   # cat /etc/yum.conf
   [main]
   gpgcheck=1
   installonly_limit=3
   clean_requirements_on_remove=True
   best=True
   skip_if_unavailable=False
   exclude=osbuild-composer weldr-client

   Copy to Clipboard Toggle word wrap

3. 安装 lorax-composer 软件包。

   # yum install lorax-composer composer-cli

   Copy to Clipboard Toggle word wrap

4. 启用并启动 lorax-composer 服务，以便在每次重启后启动。

   # systemctl enable --now lorax-composer.socket
   # systemctl start lorax-composer

   Copy to Clipboard Toggle word wrap

步骤

1. 创建一个存储库源文件，如 /root/repo.toml。例如：

   id = "k8s"
   name = "Kubernetes"
   type = "yum-baseurl"
   url = "https://server.example.com/repos/company_internal_packages/"
   check_gpg = false
   check_ssl = false
   system = false

   Copy to Clipboard Toggle word wrap

   type 字段接受以下有效值 yum-baseurl、yum-mirrorlist 和 yum-metalink。

2. 以 TOML 格式保存文件。

3. 将新的第三方源添加到 RHEL 镜像构建器中：

   $ composer-cli sources add <file-name>.toml

   Copy to Clipboard Toggle word wrap

验证

1. 检查新源是否已成功添加：

   $ composer-cli sources list

   Copy to Clipboard Toggle word wrap

2. 检查新源内容：

   $ composer-cli sources info <source_id>

   Copy to Clipboard Toggle word wrap

步骤

1. 创建一个存储库源文件，如 /root/repo.toml。例如，要指定发行版：

   check_gpg = true
   check_ssl = true
   distros = ["rhel-8"]
   id = "rh9-local"
   name = "packages for RHEL"
   system = false
   type = "yum-baseurl"
   url = "https://local/repos/rhel8/projectrepo/"

   Copy to Clipboard Toggle word wrap
2. 以 TOML 格式保存文件。

3. 将新的第三方源添加到 RHEL 镜像构建器中：

   $ composer-cli sources add <file-name>.toml

   Copy to Clipboard Toggle word wrap

验证

1. 检查新源是否已成功添加：

   $ composer-cli sources list

   Copy to Clipboard Toggle word wrap

2. 检查新源内容：

   $ composer-cli sources info <source_id>

   Copy to Clipboard Toggle word wrap

步骤

1. 访问您要创建存储库的文件夹：

   $ cd repo/

   Copy to Clipboard Toggle word wrap

2. 运行 createrepo_c 来从 RPM 软件包创建存储库：

   $ createrepo_c .

   Copy to Clipboard Toggle word wrap

3. 访问 repodata 的目录：

   $ cd repodata/

   Copy to Clipboard Toggle word wrap

4. 为 repomd.xml 文件签名：

   $ gpg -u <_gpg-key-email_> --yes --detach-sign --armor /srv/repo/example/repomd.xml

   Copy to Clipboard Toggle word wrap

5. 要在存储库中启用 GPG 签名检查：

   1. 在存储库源中设置 check_repogpg = true。

   2. 输入您要进行检查的 gpgkey。如果您的密钥可以通过 https 使用，请使用密钥的密钥 URL 设置 gpgkeys 字段。您可以根据需要添加任意数量的 URL 密钥。

      以下是一个示例：

      check_gpg = true
      check_ssl = true
      id = "signed local packages"
      name = "repository_name"
      type = "yum-baseurl"
      url = "https://local/repos/projectrepo/"
      check_repogpg = true
      gpgkeys=["https://local/keys/repokey.pub"]

      Copy to Clipboard Toggle word wrap

      作为替代方案，直接在 gpgkeys 字段中添加 GPG 密钥，例如：

      check_gpg = true
      check_ssl = true
      check_repogpg
      id = "custom-local"
      name = "signed local packages"
      type = "yum-baseurl"
      url = "https://local/repos/projectrepo/"
      gpgkeys=["https://remote/keys/other-repokey.pub",
      '''-----BEGIN PGP PUBLIC KEY BLOCK-----
      …​
      -----END PGP PUBLIC KEY BLOCK-----''']

      Copy to Clipboard Toggle word wrap

      • 如果测试没有找到签名，GPG 工具会显示一个类似如下的错误：

        $ GPG verification is enabled, but GPG signature is not available.
        This may be an error or the repository does not support GPG verification:
        Status code: 404 for http://repo-server/rhel/repodata/repomd.xml.asc (IP: 192.168.1.3)

        Copy to Clipboard Toggle word wrap

      • 如果签名无效，GPG 工具会显示一个类似如下的错误：

        repomd.xml GPG signature verification error: Bad GPG signature

        Copy to Clipboard Toggle word wrap

步骤

1. 创建 /etc/osbuild-composer/repositories/ 目录来存储存储库覆盖：

   $ sudo mkdir -p /etc/osbuild-composer/repositories

   Copy to Clipboard Toggle word wrap

2. 使用与 RHEL 版本对应的名称，创建一个 JSON 文件。或者，您还可以从 /usr/share/osbuild-composer/ 中复制用于分发的文件，并修改其内容。

   对于 RHEL 8.9，请使用 /etc/osbuild-composer/repositories/rhel-89.json。

3. 将以下结构添加到 JSON 文件中。仅以字符串格式指定以下属性之一：

   • baseurl - 存储库的基本 URL。
   • metalink - 包含有效镜像存储库列表的 metalink 文件的 URL。

   • mirrorlist - 包含有效镜像存储库列表的 mirrorlist 文件的 URL。其余的字段（如 gpgkey ）和 metadata_expire 是可选的。

     例如：

     {
          "x86_64": [
             {
                 "name": "baseos",
                 "baseurl": "http://mirror.example.com/composes/released/RHEL-8/8.0/BaseOS/x86_64/os/",
                 "gpgkey": "-----BEGIN PGP PUBLIC KEY BLOCK-----\n\n (…​)",
                 "check_gpg": true
             }
         ]
     }

     Copy to Clipboard Toggle word wrap

     或者，您可以通过将 rhel-version.json 替换为 RHEL 版本（例如：rhel-8.json）来复制用于分发的 JSON 文件。

     $  cp /usr/share/osbuild-composer/repositories/rhel-version.json /etc/osbuild-composer/repositories/

     Copy to Clipboard Toggle word wrap

4. 可选：验证 JSON 文件：

   $ json_verify < /etc/osbuild-composer/repositories/rhel-version.json

   Copy to Clipboard Toggle word wrap

5. 编辑 rhel-8.json 文件中的 baseurl 路径，并保存。例如：

   $ /etc/osbuild-composer/repositories/rhel-version.json

   Copy to Clipboard Toggle word wrap

6. 重启 osbuild-composer.service ：

   $ sudo systemctl restart osbuild-composer.service

   Copy to Clipboard Toggle word wrap

步骤

1. 从 /etc/yum.repos.d/redhat.repo 文件中获取 baseurl ：

   # cat /etc/yum.repos.d/redhat.repo
   [AppStream]
   name = AppStream mirror example
   baseurl = https://mirror.example.com/RHEL-8/8.0/AppStream/x86_64/os/
   enabled = 1
   gpgcheck = 0
   sslverify = 1
   sslcacert = /etc/pki/ca1/ca.crt
   sslclientkey = /etc/pki/ca1/client.key
   sslclientcert = /etc/pki/ca1/client.crt
   metadata_expire = 86400
   enabled_metadata = 0

   Copy to Clipboard Toggle word wrap

2. 配置存储库覆盖以使用相同的 baseurl，并将 rhsm 设为 true：

   {
       "x86_64": [
           {
               "name": "AppStream mirror example",
               "baseurl": "https://mirror.example.com/RHEL-8/8.0/AppStream/x86_64/os/",
               "gpgkey": "-----BEGIN PGP PUBLIC KEY BLOCK-----\n\n (…​)",
               "check_gpg": true,
               "rhsm": true
           }
       ]
   }

   Copy to Clipboard Toggle word wrap

3. 重启 osbuild-composer.service ：

   $ sudo systemctl restart osbuild-composer.service

   Copy to Clipboard Toggle word wrap

流程

1. 从您当前配置的存储库中找到存储库 URL：

   $ sudo yum -v repolist "-baseos-rpms" | grep -i repo-baseurl
     Repo-baseurl :

   Copy to Clipboard Toggle word wrap

   以下输出是一个示例：

   https://satellite6.example.com/pulp/content/YourOrg/YourEnv/YourCV/content/dist/rhel8/8/x86_64/baseos/os

   Copy to Clipboard Toggle word wrap

2. 将硬编码的存储库修改为 Satellite 服务器。

   1. 创建具有 0755 权限的存储库目录：

      $ sudo mkdir -pvm 0755 /etc/osbuild-composer/repositories

      Copy to Clipboard Toggle word wrap

   2. 将 /usr/share/osbuild-composer/repositories/*.json 中的内容复制到您创建的目录中：

      $ sudo cp /usr/share/osbuild-composer/repositories/*.json /etc/osbuild-composer/repositories/

      Copy to Clipboard Toggle word wrap

   3. 通过 /content/dist/* 行更新 Satellite URL 和文件内容：

      $ sudo sed -i -e 's|cdn.redhat.com|satellite6.example.com/pulp/content/YourOrg/YourEnv/YourCV|' /etc/osbuild-composer/repositories/*.json

      Copy to Clipboard Toggle word wrap

   4. 验证配置是否已被正确替换：

      $ sudo vi /etc/osbuild-composer/repositories/rhel-8.json

      Copy to Clipboard Toggle word wrap

3. 重启服务：

   $ sudo systemctl restart osbuild-worker@1.service osbuild-composer.service

   Copy to Clipboard Toggle word wrap
4. 覆盖红帽镜像构建器配置中所需的系统存储库，并使用 Satellite 存储库的 URL 作为 baseurl。请参阅 覆盖系统存储库。

流程

1. 在 Satellite Web UI 中，导航到 Content > Products，选择您的 Product 并点击您要使用的存储库。
2. 在 Published 字段中搜索安全 URL (HTTPS)，并复制它。
3. 使用您复制的 URL 作为红帽镜像构建器存储库的 baseurl。请参阅 在 RHEL 镜像构建器中添加自定义第三方存储库。

1. 创建蓝图或将现有蓝图定义导出(保存)到纯文本文件中
2. 在文本编辑器中编辑这个文件
3. 将蓝图文本文件重新导回到镜像构建器中
4. 运行 compose 来从蓝图构建镜像
5. 导出镜像文件以下载它

流程

1. 创建一个包含以下内容的纯文本文件：

   name = "BLUEPRINT-NAME"
   description = "LONG FORM DESCRIPTION TEXT"
   version = "0.0.1"
   modules = []
   groups = []

   Copy to Clipboard Toggle word wrap

   用您的蓝图的名称和描述替换 BLUEPRINT-NAME 和 LONG FORM DESCRIPTION TEXT。

   根据 Semantic Versioning 方案，将 0.0.1 替换为版本号。

2. 对于您要包含在蓝图中的每个软件包，请在文件中添加以下行：

   [[packages]]
   name = "package-name"
   version = "package-version"

   Copy to Clipboard Toggle word wrap

   使用软件包名称替换 package-name，如 httpd、gdb-doc 或 coreutils。

   可选，将 package-version 替换为要使用的版本。此字段支持 dnf 版本规范：

   • 对于特定版本，请使用确切的版本号，如 8.7.0。
   • 对于最新可用版本，请使用星号 *。
   • 对于最新的次版本，请使用以下格式，如 8.*。

3. 自定义蓝图以满足您的需要。例如，禁用 Simultaneous Multi Threading (SMT)，在蓝图文件中添加以下行：

   [customizations.kernel]
   append = "nosmt=force"

   Copy to Clipboard Toggle word wrap

   有关其他可用的定制信息，请参阅 支持的镜像自定义。

   请注意，[] 和 [[]] 是以 TOML 表示的不同的数据结构。

   • [customizations.kernel] 标头代表一个由一组键及其相应的值对定义的表，例如：append = "nosmt=force" 。
   • [[packages]] 标头代表表数组。第一个实例定义数组及其第一个表元素，例如 name = "package-name" 和 version = "package-version"，每个后续实例都按照您定义它们的顺序创建并定义一个新的表元素。
4. 将文件保存为 例如 BLUEPRINT-NAME.toml，并关闭文本编辑器。

5. 可选：检查蓝图 TOML 文件中的所有设置是否已被正确解析。保存蓝图，并将保存的输出与输入文件进行比较：

   # composer-cli blueprints save BLUEPRINT-NAME.toml

   Copy to Clipboard Toggle word wrap
   1. 将 BLUEPRINT-NAME.toml 保存的文件与输入文件进行比较。

6. 推送蓝图：

   # composer-cli blueprints push BLUEPRINT-NAME.toml

   Copy to Clipboard Toggle word wrap

   将 BLUEPRINT-NAME 替换为您在前面步骤中使用的值。

   注意

   以非 root 身份运行 composer-cli 命令创建镜像，请将您的用户添加到 weldr 或 root 组中。

   # usermod -a -G weldr user
   $ newgrp weldr

   Copy to Clipboard Toggle word wrap

流程

1. 列出现有的蓝图：

   # composer-cli blueprints list

   Copy to Clipboard Toggle word wrap

2. 将蓝图保存到一个本地文本文件中：

   # composer-cli blueprints save BLUEPRINT-NAME

   Copy to Clipboard Toggle word wrap
3. 使用文本编辑器编辑 BLUEPRINT-NAME.toml 文件并进行更改。

4. 在完成编辑前，请验证该文件是否是一个有效的蓝图：

   1. 如果存在，从蓝图中删除以下行：

      packages = []

      Copy to Clipboard Toggle word wrap
   2. 增加版本号，例如，从 0.0.1 增加到 0.1.0。请记住，RHEL 镜像构建器蓝图版本必须使用 Semantic Versioning 方案。请注意，如果您没有更改版本，补丁版本组件会自动增加。
5. 保存文件并关闭文本编辑器。

6. 将蓝图推送回 RHEL 镜像构建器：

   # composer-cli blueprints push BLUEPRINT-NAME.toml

   Copy to Clipboard Toggle word wrap
   注意

   要将蓝图导回到 RHEL 镜像构建器，请提供包括 .toml 扩展名的文件名，而在其他命令中则只使用蓝图名称。

验证

1. 要验证上传到 RHEL 镜像构建器的内容是否与您编辑的内容匹配，请列出蓝图的内容：

   # composer-cli blueprints show BLUEPRINT-NAME

   Copy to Clipboard Toggle word wrap

2. 检查蓝图中列出的组件和版本是否有效：

   # composer-cli blueprints depsolve BLUEPRINT-NAME

   Copy to Clipboard Toggle word wrap

流程

1. 可选：列出您可以创建的镜像格式：

   # composer-cli compose types

   Copy to Clipboard Toggle word wrap

2. 启动 compose：

   # composer-cli compose start BLUEPRINT-NAME IMAGE-TYPE

   Copy to Clipboard Toggle word wrap

   将 BLUEPRINT-NAME 替换为蓝图的名称，将 IMAGE-TYPE 替换为镜像的类型。有关可用值，请查看 composer-cli compose types 命令的输出。

   compose 进程在后台启动，并显示 composer Universally Unique Identifier (UUID)。

3. 镜像创建最多可能需要十分钟才能完成。

   检查 Compose 的状态：

   # composer-cli compose status

   Copy to Clipboard Toggle word wrap

   完成的 compose 显示 FINISHED 状态值。要识别列表中您的 compose，请使用其 UUID。

4. 完成 compose 过程后，下载生成的镜像文件：

   # composer-cli compose image UUID

   Copy to Clipboard Toggle word wrap

   使用前面步骤中显示的 UUID 值替换 UUID。

3. 4. 注意

5. 2. 1. • 注意

      2. 注意

1. # composer-cli compose start BLUEPRINT-NAME image-installer

   Copy to Clipboard Toggle word wrap

2. # composer-cli compose status

   Copy to Clipboard Toggle word wrap

3. # composer-cli compose list

   Copy to Clipboard Toggle word wrap

4. # composer-cli compose image UUID

   Copy to Clipboard Toggle word wrap

2. $ mount -o ro path_to_ISO /mnt

   Copy to Clipboard Toggle word wrap

3. $ tar ztvf /mnt/liveimg.tar.gz

   Copy to Clipboard Toggle word wrap

4. $ tar -xf content.tar

   Copy to Clipboard Toggle word wrap

1. dd if=installer.iso of=/dev/sdX

   Copy to Clipboard Toggle word wrap

1. # oscap xccdf generate fix --profile=<profileID> --fix-type=<blueprint> /usr/share/xml/scap/ssg/content/ssg-rhel8-ds.xml > cis.toml

   Copy to Clipboard Toggle word wrap

2. # composer-cli blueprints push <blueprint_name>.toml

   Copy to Clipboard Toggle word wrap

3. # composer-cli compose start <blueprint_name> <image_type>

   Copy to Clipboard Toggle word wrap

1. # oscap xccdf generate fix --profile=<profileID> --fix-type=blueprint /usr/share/xml/scap/ssg/content/ssg-rhel8-ds.xml > <profileID>-tailored.toml

   Copy to Clipboard Toggle word wrap

2. # Blueprint for CIS Red Hat Enterprise Linux 8 Benchmark for Level 2 - Server
   # ...
   [customizations.openscap.tailoring]
   selected = [ "xccdf_org.ssgproject.content_bind_crypto_policy" ]
   unselected = [ "grub2_password" ]

   Copy to Clipboard Toggle word wrap

3. # composer-cli blueprints push <blueprintProfileID>-tailored.toml

   Copy to Clipboard Toggle word wrap

4. # composer-cli compose start <blueprintProfileID> <image_type>

   Copy to Clipboard Toggle word wrap