Preparar una imagen base (golden image) de Linux para clonar: claves de host, machine-id, logs y reglas de red

Objetivo

Eliminar de un sistema Linux el estado propio de cada máquina que no debe compartirse entre clones, antes de capturarlo como plantilla o imagen base (golden image).

Requisitos previos

Acceso root en el sistema de referencia y una instantánea previa de este, de modo que pueda restaurarse para la siguiente construcción de imagen. Este es el último paso antes de la captura: sin claves de host ni machine ID, el sistema no debería seguir en ejecución.

Pasos

1. Elimina las claves de host SSH: rm -f /etc/ssh/ssh_host_*. sshd_config(5) indica como claves de host predeterminadas /etc/ssh/ssh_host_ecdsa_key, /etc/ssh/ssh_host_ed25519_key y /etc/ssh/ssh_host_rsa_key. Asegúrate de que el clon las vuelva a crear en el primer arranque; de lo contrario sshd no se iniciará y el clon no será accesible por SSH. RHEL/Fedora generan las claves que faltan mediante las unidades sshd-keygen@ al iniciar sshd, y las imágenes con cloud-init las crean por cada instancia. En Debian/Ubuntu sin cloud-init, añade una unidad de primer arranque que ejecute ssh-keygen -A.
2. Vacía el machine ID: truncate -s 0 /etc/machine-id. machine-id(5) indica que, en las imágenes "created once and used on multiple machines" (creadas una vez y usadas en varias máquinas), el archivo "should be either missing or an empty file" (debe faltar o estar vacío); se recomienda un archivo vacío porque se puede montar con bind-mount sobre él cuando /etc es de solo lectura. Ambas opciones se comportan de forma distinta: un archivo ausente (o que contenga uninitialized) marca el siguiente arranque como primer arranque, lo que ejecuta las unidades con ConditionFirstBoot= y los presets de unidades; un archivo vacío no lo hace.
3. Comprueba /var/lib/dbus/machine-id. Si es un archivo normal y no un enlace simbólico a /etc/machine-id, bórralo o reemplázalo por ese enlace simbólico (ln -sf /etc/machine-id /var/lib/dbus/machine-id). Si /etc/machine-id está vacío, systemd recurre primero a este archivo, de modo que todos los clones heredarían el ID antiguo.
4. Limpia los logs: journalctl --rotate && journalctl --vacuum-time=1s, y trunca (en lugar de borrar) los logs de texto que los demonios esperan encontrar (truncate -s 0 /var/log/*.log, ajustado según la distribución).
5. Elimina el estado de red ligado al hardware. El archivo 70-persistent-net.rules solo existe en generaciones antiguas de udev; el systemd actual usa nombres predecibles derivados de la ruta del bus. En su lugar, busca configuración fijada a una MAC: coincidencias con macaddress: en netplan (incluido 50-cloud-init.yaml de cloud-init), HWADDR= en archivos ifcfg, mac-address= en los keyfiles de NetworkManager y MACAddress= en los archivos .network/.link de systemd-networkd.
6. Si la imagen usa cloud-init, restablece su estado para que el clon se aprovisione de nuevo: cloud-init clean --logs --machine-id. --machine-id establece /etc/machine-id en uninitialized y se describe como "best practice when cloning a golden image" (buena práctica al clonar una imagen base). --configs all también elimina la configuración generada de ssh, red y datasource. Añade --seed solo si los datos de semilla se van a suministrar de nuevo, y revisa cloud-init clean --help, porque las versiones antiguas carecen de algunas opciones.
7. Apaga el sistema (poweroff) y captura el disco sin volver a arrancarlo.

Resultado esperado

La imagen capturada arranca sin reutilizar machine ID, ID de D-Bus ni clave de host SSH, y sin configuración de red ligada a una MAC; cada clon genera los suyos.

Límites y base de verificación

El machine ID "must not be exposed in untrusted environments, in particular on the network" (no debe exponerse en entornos no confiables, en particular en la red), de modo que un ID ya relleno en una imagen compartida es un problema de confidencialidad además de un fallo de clonación. Los ID duplicados también implican identificadores de cliente DHCP duplicados cuando systemd-networkd deriva su DUID del machine ID, que es su comportamiento predeterminado. Para verificarlo, arranca dos clones y compara /etc/machine-id y ssh-keygen -lf /etc/ssh/ssh_host_ed25519_key.pub.