Preparar uma golden image do Linux para clonagem: chaves de host, machine-id, logs e regras de rede

Objetivo

Remover de um sistema Linux o estado específico de cada máquina que não deve ser compartilhado entre clones, antes de capturá-lo como template ou golden image.

Pré-requisitos

Acesso root ao sistema de referência e um snapshot dele feito antes, para poder restaurá-lo na próxima construção de imagem. Este é o último passo antes da captura: sem chaves de host e sem machine ID, o sistema não deve continuar em execução.

Passos

1. Remova as chaves de host SSH: rm -f /etc/ssh/ssh_host_*. O sshd_config(5) lista como chaves de host padrão /etc/ssh/ssh_host_ecdsa_key, /etc/ssh/ssh_host_ed25519_key e /etc/ssh/ssh_host_rsa_key. Garanta que o clone as recrie no primeiro boot; do contrário, o sshd não inicia e o clone fica inacessível por SSH. RHEL/Fedora geram as chaves ausentes por meio das unidades sshd-keygen@ quando o sshd inicia, e imagens com cloud-init as criam a cada instância. Em Debian/Ubuntu sem cloud-init, adicione uma unidade de primeiro boot que execute ssh-keygen -A.
2. Esvazie o machine ID: truncate -s 0 /etc/machine-id. O machine-id(5) diz que, para imagens "created once and used on multiple machines", o arquivo "should be either missing or an empty file" (ou seja, ausente ou vazio); recomenda-se o arquivo vazio porque é possível montá-lo por cima com bind mount quando o /etc é somente leitura. Os dois casos se comportam de forma diferente: um arquivo ausente (ou com o conteúdo uninitialized) marca a próxima inicialização como primeiro boot, o que executa as unidades com ConditionFirstBoot= e aplica os presets de unidades; um arquivo vazio não faz isso.
3. Verifique o /var/lib/dbus/machine-id. Se for um arquivo regular, e não um link simbólico para /etc/machine-id, apague-o ou substitua-o por esse link (ln -sf /etc/machine-id /var/lib/dbus/machine-id). Se o /etc/machine-id estiver vazio, o systemd recorre primeiro a este arquivo, de modo que todos os clones herdariam o ID antigo.
4. Limpe os logs: journalctl --rotate && journalctl --vacuum-time=1s. Nos logs de texto que os daemons esperam encontrar, trunque em vez de apagar (truncate -s 0 /var/log/*.log, ajustado conforme a distribuição).
5. Remova o estado de rede atrelado ao hardware. O arquivo 70-persistent-net.rules só existe em gerações antigas do udev; o systemd atual usa nomes previsíveis derivados do caminho do barramento. Verifique, então, se há configuração fixada a um MAC: ocorrências de macaddress: no netplan (incluindo o 50-cloud-init.yaml do cloud-init), HWADDR= em arquivos ifcfg, mac-address= em keyfiles do NetworkManager e MACAddress= em arquivos .network/.link do systemd-networkd.
6. Se a imagem usa cloud-init, redefina o estado dele para que o clone seja provisionado novamente: cloud-init clean --logs --machine-id. A opção --machine-id define o /etc/machine-id como uninitialized e é descrita como "best practice when cloning a golden image" (boa prática ao clonar uma golden image). --configs all remove também a configuração gerada de ssh, rede e datasource. Adicione --seed somente se os dados de seed forem fornecidos de novo, e consulte cloud-init clean --help, pois versões mais antigas não têm algumas das opções.
7. Desligue a máquina (poweroff) e capture o disco sem inicializá-la novamente.

Resultado esperado

A imagem capturada inicia sem reutilizar machine ID, ID do D-Bus ou chave de host SSH, e sem configuração de rede vinculada a MAC; cada clone gera os seus próprios.

Limites e base de verificação

O machine ID "must not be exposed in untrusted environments, in particular on the network," (não deve ser exposto em ambientes não confiáveis, em especial na rede), portanto um ID preenchido numa imagem compartilhada é uma questão de confidencialidade, além de um erro de clonagem. IDs duplicados significam também identificadores de cliente DHCP duplicados quando o systemd-networkd deriva o DUID do machine ID, que é o comportamento padrão. Para verificar, inicialize dois clones e compare /etc/machine-id e a saída de ssh-keygen -lf /etc/ssh/ssh_host_ed25519_key.pub.