Современное добавление стороннего репозитория APT: файлы deb822 .sources и наборы ключей Signed-By

Цель

Добавить сторонний репозиторий APT в Debian 12/13 или Ubuntu 22.04/24.04 без устаревшего общесистемного набора доверенных ключей и проверить ключ подписи, прежде чем доверять ему.

Предварительные условия

Открытый ключ подписи поставщика (отпечаток, который можно проверить по независимому каналу), URL репозитория и имя набора; установленный gnupg для преобразования ключа из текстового представления.

Шаги

1. Создайте каталог ключей, если его нет: install -d -m 0755 /etc/apt/keyrings.
2. Загрузите и преобразуйте ключ поставщика в двоичный вид, никогда не добавляя его в старое системное хранилище доверия: curl -fsSL https://example.org/apt/key.asc | gpg --dearmor -o /etc/apt/keyrings/example.gpg.
3. Прежде чем доверять ключу, выведите отпечаток и сравните со значением, опубликованным поставщиком по отдельному каналу: gpg --show-keys --with-fingerprint /etc/apt/keyrings/example.gpg.
4. Запишите определение репозитория. Современная форма deb822 размещается в /etc/apt/sources.list.d/example.sources (расширение .sources выбирает этот формат; sources.list(5) описывает как «однострочный стиль», так и многострочные блоки «стиля deb822»):

   Types: deb
   URIs: https://example.org/apt
   Suites: stable
   Components: main
   Signed-By: /etc/apt/keyrings/example.gpg
   

   Классический однострочный эквивалент в файле .list — deb [signed-by=/etc/apt/keyrings/example.gpg] https://example.org/apt stable main.
5. Не используйте apt-key add: руководство apt-key сообщает, что его использование «устарело, кроме apt-key del в сценариях сопровождающего», и рекомендует помещать набор ключей прямо в каталог keyrings/trusted.gpg.d, что и делают шаги 1–4.
6. Обновите и проверьте: apt-get update должен упомянуть новый источник без предупреждения «NO_PUBKEY», а затем apt-cache policy <a package from that repo> должен показать его как кандидата.

Ожидаемый результат

apt-get update выполняется без предупреждения об отсутствующем ключе, пакет доступен для установки из нового источника; apt-cache policy показывает закреплённый источник.

Ограничения и основа проверки

Signed-By ограничивает доверие именно данной строкой репозитория, в отличие от старого глобального набора доверенных ключей; если несколько файлов .sources/.list ссылаются на один файл ключа, его удаление одновременно нарушит работу всех. Для отмены удалите файл .sources/.list и файл набора ключей, затем снова выполните apt-get update: перезагрузка не нужна.