发布后如何签署 deb/apt repo？

Question

我有一个关于更新托管在我自己的 deb 存储库中的包的问题。我是否应该使用新的私钥签署每个版本并放置新的公钥？

Answer 1

每当您更改用于存储库的私钥时，该存储库的所有用户都需要告诉 apt 信任您的新密钥（并且可能也停止信任旧密钥）。即使您的所有用户都是云中的自动化容器，设置起来也可能很痛苦。当您的用户是人时，这种变化可能需要付出巨大的努力。

在正常情况下，您每次都需要使用新的私钥并没有什么特别的原因。像 Debian main 这样的长期存储库有时会轮换他们正在使用的密钥，但他们通过在实际开始使用它之前几个月或几年发布新密钥来做到这一点，这样所有感兴趣的系统都可以有机会提前开始信任它。这可能不是您现在想要做的。