Préparer une image de référence Linux pour le clonage : clés d'hôte, machine-id, journaux et configuration réseau

Objectif

Supprimer du système Linux l'état propre à la machine qui ne doit pas être partagé entre les clones, avant de le capturer comme modèle ou image de référence.

Prérequis

Un accès root sur le système de référence, et un instantané (snapshot) pris au préalable afin de pouvoir le restaurer pour la prochaine construction d'image. Cette opération est la dernière avant la capture : sans clés d'hôte ni identifiant machine, le système ne doit plus continuer à fonctionner.

Étapes

1. Supprimer les clés d'hôte SSH : rm -f /etc/ssh/ssh_host_*. sshd_config(5) indique que les clés d'hôte par défaut sont /etc/ssh/ssh_host_ecdsa_key, /etc/ssh/ssh_host_ed25519_key et /etc/ssh/ssh_host_rsa_key. Vérifier que le clone les recrée au premier démarrage ; sinon sshd ne démarre pas et le clone est inaccessible en SSH. RHEL/Fedora génèrent les clés manquantes via les unités sshd-keygen@ au démarrage de sshd, et les images cloud-init les créent pour chaque instance. Sur Debian/Ubuntu sans cloud-init, ajouter une unité de premier démarrage qui exécute ssh-keygen -A.
2. Vider l'identifiant machine : truncate -s 0 /etc/machine-id. Selon machine-id(5), pour les images « created once and used on multiple machines » (créées une fois et utilisées sur plusieurs machines), le fichier « should be either missing or an empty file » (doit être absent ou vide) ; un fichier vide est recommandé, car on peut monter un autre fichier par-dessus (bind mount) lorsque /etc est en lecture seule. Les deux cas se comportent différemment : un fichier absent (ou contenant uninitialized) fait considérer le démarrage suivant comme un premier démarrage, ce qui exécute les unités ConditionFirstBoot= et applique les presets d'unités ; un fichier vide ne le fait pas.
3. Vérifier /var/lib/dbus/machine-id. S'il s'agit d'un fichier ordinaire et non d'un lien symbolique vers /etc/machine-id, le supprimer ou le remplacer par ce lien (ln -sf /etc/machine-id /var/lib/dbus/machine-id). Si /etc/machine-id est vide, systemd se rabat d'abord sur ce fichier, de sorte que chaque clone hériterait de l'ancien identifiant.
4. Effacer les journaux : journalctl --rotate && journalctl --vacuum-time=1s, et tronquer (plutôt que supprimer) les journaux texte dont les démons attendent l'existence (truncate -s 0 /var/log/*.log, à adapter selon la distribution).
5. Supprimer l'état réseau lié au matériel. Le fichier 70-persistent-net.rules n'existe que sur les anciennes générations d'udev ; le systemd actuel utilise des noms prévisibles dérivés du chemin de bus. Il faut plutôt rechercher les configurations liées à une adresse MAC : correspondances macaddress: dans netplan (y compris 50-cloud-init.yaml de cloud-init), HWADDR= dans les fichiers ifcfg, mac-address= dans les fichiers keyfile de NetworkManager, et MACAddress= dans les fichiers .network/.link de systemd-networkd.
6. Si l'image utilise cloud-init, réinitialiser son état pour que le clone se reprovisionne : cloud-init clean --logs --machine-id. --machine-id fixe /etc/machine-id à uninitialized et est présenté comme « best practice when cloning a golden image » (bonne pratique pour cloner une image de référence). --configs all supprime en plus les configurations générées pour ssh, le réseau et la source de données (datasource). N'ajouter --seed que si les données de départ (seed) seront fournies à nouveau, et consulter cloud-init clean --help, car les versions plus anciennes n'ont pas certaines options.
7. Éteindre la machine (poweroff) et capturer le disque sans le redémarrer.

Résultat attendu

L'image capturée démarre sans réutiliser d'identifiant machine, d'identifiant D-Bus ni de clé d'hôte SSH, et sans configuration réseau liée à une adresse MAC ; chaque clone génère les siens.

Limites et base de vérification

L'identifiant machine « must not be exposed in untrusted environments, in particular on the network » (ne doit pas être exposé dans des environnements non fiables, en particulier sur le réseau) : un identifiant renseigné dans une image partagée constitue donc un problème de confidentialité en plus d'un défaut de clonage. Des identifiants dupliqués impliquent aussi des identifiants clients DHCP dupliqués lorsque systemd-networkd dérive son DUID de l'identifiant machine, ce qui est son comportement par défaut. Pour vérifier, démarrer deux clones et comparer /etc/machine-id ainsi que le résultat de ssh-keygen -lf /etc/ssh/ssh_host_ed25519_key.pub.