APT-Pinning: ein Paket mit Preferences-Dateien auf einer bestimmten Version oder Quelle halten

Worum es geht

APT weist jeder möglichen Version jedes Pakets eine numerische Priorität zu ("Pin-Priority"). Bieten mehrere Quellen ein Paket an, setzt sich der Kandidat mit der höchsten Priorität durch. /etc/apt/preferences und Fragmentdateien unter /etc/apt/preferences.d/ legen explizite Prioritäten pro Paket, Paket-Glob oder gesamter Herkunft fest. Die APT-Dokumentation selbst bezeichnet dies als "Pinning". apt-mark hold/unhold ist ein davon unabhängiger, einfacherer Mechanismus: Er schliesst ein Paket unabhängig von der Priorität von jedem Upgrade und Dist-Upgrade aus.

Warum es wichtig ist

Ohne Pinning kann das Hinzufügen eines zweiten Repositorys (einer Backports-Suite, eines herstellerspezifischen PPA-Äquivalents, eines Testing-Pockets) beim nächsten apt upgrade unbemerkt auch unbeteiligte Pakete aktualisieren, weil APT standardmässig die Quelle mit der höheren Version bevorzugt. Pinning begrenzt dieses Risiko auf genau die Pakete, die der Betreiber nennt.

So wird es angewendet

• Pro Zweck eine eigene Datei unter /etc/apt/preferences.d/ anlegen, z. B. /etc/apt/preferences.d/pin-nginx:

  Package: nginx
  Pin: version 1.25.*
  Pin-Priority: 900
  

  Eine Priorität über 1000 würde sogar ein Downgrade erzwingen; 100–500 konkurriert mit dem normalen Kandidaten; unter 0 wird die Installation vollständig verhindert.
• Soll eine ganze Suite (z. B. bookworm-backports) nur für benannte Pakete bevorzugt werden, statt einer Version Pin: release a=bookworm-backports verwenden.
• Die Wirkung vor jeder Installation mit apt-cache policy <package> prüfen. Laut Handbuchseite "is meant to help debug issues relating to the preferences file" (soll bei der Fehlersuche rund um die Preferences-Datei helfen); der Befehl gibt die Priorität aller verfügbaren Kandidaten aus.
• Für ein Paket, das sich unabhängig von seiner Priorität nie ändern darf, statt einer Preferences-Datei apt-mark hold <package> verwenden. apt-mark showhold listet alle aktuell gehaltenen Pakete auf, apt-mark unhold <package> hebt die Sperre wieder auf. apt-mark selbst ist dokumentiert als Werkzeug, um "show, set and unset various settings for a package" (verschiedene Einstellungen eines Pakets anzuzeigen, zu setzen und zurückzusetzen).
• Für den nicht interaktiven Einsatz ist bei keinem der beiden Mechanismen ein besonderer Parameter nötig; beide wirken sofort beim nächsten apt-Aufruf, ein Neustart oder erneutes Anmelden ist nicht erforderlich.

Stolpersteine

• Eine Preferences-Datei mit einem Tippfehler in der Zeile Package: oder Pin: wird stillschweigend ignoriert statt abgelehnt. Nach dem Schreiben daher immer mit apt-cache policy prüfen.
• apt-mark hold blockiert auch Sicherheitsupdates für das betreffende Paket. Daher eine schriftliche Erinnerung festhalten, die Sperre regelmässig zu überprüfen.
• Prioritäts-Pins und Holds sind voneinander unabhängig: Ein Hold bleibt bestehen, auch wenn eine Preferences-Datei später entfernt wird, und umgekehrt.