Linux-Golden-Image fürs Klonen vorbereiten: Host Keys, machine-id, Logs und Netzwerkregeln

Ziel

Vor der Aufnahme als Template oder Golden Image alle maschinenspezifischen Zustände aus einem Linux-System entfernen, die nicht von mehreren Klonen geteilt werden dürfen.

Voraussetzungen

Root-Zugriff auf das Referenzsystem sowie ein zuvor erstellter Snapshot, damit es für den nächsten Image-Build wiederhergestellt werden kann. Dies ist der letzte Schritt vor der Aufnahme: Ohne Host Keys und Machine-ID sollte das System nicht weiterlaufen.

Schritte

1. SSH-Host-Keys entfernen: rm -f /etc/ssh/ssh_host_*. In sshd_config(5) sind als Standard-Host-Keys /etc/ssh/ssh_host_ecdsa_key, /etc/ssh/ssh_host_ed25519_key und /etc/ssh/ssh_host_rsa_key aufgeführt. Sicherstellen, dass der Klon sie beim ersten Start neu erzeugt, sonst startet sshd nicht und der Klon ist über SSH nicht erreichbar. RHEL/Fedora erzeugen fehlende Keys beim Start von sshd über die sshd-keygen@-Units, und cloud-init-Images legen sie pro Instanz an. Unter Debian/Ubuntu ohne cloud-init ist eine First-Boot-Unit nötig, die ssh-keygen -A ausführt.
2. Machine-ID leeren: truncate -s 0 /etc/machine-id. In machine-id(5) steht, dass die Datei bei Images, die „created once and used on multiple machines“ (einmal erstellt und auf mehreren Maschinen verwendet), „should be either missing or an empty file“ (fehlen oder leer sein sollte). Eine leere Datei wird empfohlen, weil sie auch bei schreibgeschütztem /etc per Bind-Mount überdeckt werden kann. Beide Varianten verhalten sich unterschiedlich: Eine fehlende Datei (oder eine mit dem Inhalt uninitialized) kennzeichnet den nächsten Start als First Boot, wodurch ConditionFirstBoot=-Units und Unit-Presets ausgeführt werden; bei einer leeren Datei geschieht das nicht.
3. /var/lib/dbus/machine-id prüfen. Ist sie eine reguläre Datei und kein Symlink auf /etc/machine-id, löschen oder durch diesen Symlink ersetzen (ln -sf /etc/machine-id /var/lib/dbus/machine-id). Ist /etc/machine-id leer, greift systemd zuerst auf diese Datei zurück, sodass jeder Klon die alte ID erben würde.
4. Logs bereinigen: journalctl --rotate && journalctl --vacuum-time=1s. Textlogs, die Daemons als vorhanden voraussetzen, nicht löschen, sondern leeren (truncate -s 0 /var/log/*.log, je nach Distribution anzupassen).
5. Hardwaregebundenen Netzwerkzustand entfernen. Die Datei 70-persistent-net.rules gibt es nur bei alten udev-Generationen; aktuelles systemd verwendet vorhersagbare Namen, die aus dem Bus-Pfad abgeleitet werden. Stattdessen auf MAC-gebundene Konfiguration prüfen: macaddress:-Einträge in netplan (einschliesslich 50-cloud-init.yaml von cloud-init), HWADDR= in ifcfg-Dateien, mac-address= in NetworkManager-Keyfiles und MACAddress= in .network-/.link-Dateien von systemd-networkd.
6. Verwendet das Image cloud-init, dessen Zustand zurücksetzen, damit sich der Klon neu provisioniert: cloud-init clean --logs --machine-id. --machine-id setzt /etc/machine-id auf uninitialized und gilt als „best practice when cloning a golden image“ (bewährte Vorgehensweise beim Klonen eines Golden Image). --configs all entfernt zusätzlich generierte SSH-, Netzwerk- und Datasource-Konfiguration. --seed nur ergänzen, wenn die Seed-Daten erneut bereitgestellt werden, und cloud-init clean --help prüfen, da ältere Versionen einige Flags nicht kennen.
7. Herunterfahren (poweroff) und die Disk aufnehmen, ohne sie erneut zu booten.

Erwartetes Ergebnis

Das aufgenommene Image startet ohne wiederverwendete Machine-ID, D-Bus-ID oder SSH-Host-Keys und ohne MAC-gebundene Netzwerkkonfiguration; jeder Klon erzeugt seine eigenen.

Grenzen und Prüfbasis

Die Machine-ID „must not be exposed in untrusted environments, in particular on the network“ (darf nicht in nicht vertrauenswürdigen Umgebungen, insbesondere nicht im Netzwerk, offengelegt werden); eine befüllte ID in einem geteilten Image ist daher nicht nur ein Klonfehler, sondern auch ein Vertraulichkeitsproblem. Doppelte IDs führen ausserdem zu doppelten DHCP-Client-Kennungen, wenn systemd-networkd seine DUID aus der Machine-ID ableitet, was der Standard ist. Zur Prüfung zwei Klone booten und /etc/machine-id sowie die Ausgabe von ssh-keygen -lf /etc/ssh/ssh_host_ed25519_key.pub vergleichen.