构建派生时如何访问 CA 证书

Question

我想在运行nix-shell 时自动将 CA 证书添加到 Java 密钥库。在以下脚本生效之前：

with import <nixpkgs> {
  config.allowUnfree = true;
  config.oraclejdk.accept_license = true;
};

let dependencies = rec {
  _oraclejdk8 = stdenv.lib.overrideDerivation pkgs.oraclejdk8 (attrs : {
    installPhase = ''
      ${attrs.installPhase}

      pems_dir=pems
      mkdir "$pems_dir"

      echo "split bundled ca-certificates into separate files 'cert.N.pem'\
                and add them to default keystore"

      keytool=$out/bin/keytool
      keystore=$jrePath/lib/security/cacerts

      pushd "$pems_dir"
      awk 'BEGIN {c=0;doPrint=0;} /END CERT/ {print > "cert." c ".pem";doPrint=0;} /BEGIN CERT/{c++;doPrint=1;} { if(doPrint == 1) {print > "cert." c ".pem"} }' < /etc/ssl/certs/ca-bundle.crt

      # import certificates
      for f in `ls cert.*.pem`; do
        alias=`basename $f`
        $keytool -import -trustcacerts -noprompt -keystore "$keystore" -alias "$alias" -file "$f" -storepass changeit;
      done
      popd

    '';
  });

};
in with dependencies;
stdenv.mkDerivation rec {
  name = "env";
  buildInputs = [ _oraclejdk8 ];
}

但现在它失败并出现以下错误：

/nix/store/9fx2jfmks2zhvv2kmqgl6rg0fbkc3da0-stdenv-linux/setup: line 1391: /etc/ssl/certs/ca-bundle.crt: No such file or directory

现在似乎无法访问任何现有文件。但实际上这个文件只是一个存储链接：

$ readlink -f /etc/ssl/certs/ca-bundle.crt
/nix/store/w3vw4q9z7s0wig6ng4nv62af1917ynrm-ca-certificates.crt

如何在我的脚本中访问此文件？

Answer 1

Nix 是一个封闭的构建系统，这意味着必须声明所有输入，以便可以跟踪它们。 您可以提取 Nixpkgs 的一组证书颁发机构证书，即 pkgs.cacert：

  # CAREFUL, read on!
  awk 'BEGIN {c=0;doPrint=0;} /END CERT/ {print > "cert." c ".pem";doPrint=0;} /BEGIN CERT/{c++;doPrint=1;} { if(doPrint == 1) {print > "cert." c ".pem"} }' < ${cacert}/etc/ssl/certs/ca-bundle.crt

但是，在固定加密配置时要小心，因为当它发生更改时，您需要在任何地方对其进行更新。假设您要运行 2 年前的软件版本，您想使用 2 年前的证书还是环境中的证书来运行它？

另一个问题是这些证书应该写入哪里？ Keytool 默认写入主目录，在构建沙箱中是不存在的。

在您的情况下，正确的解决方案似乎不是在沙箱中添加证书，而是返回一个脚本，该脚本将在有意义的上下文中执行此操作。何时何地取决于您，但请确保您从良好来源获得这些证书。如果您可以假设您的部署始终使用足够最新的 Nixpkgs 完成，那么您可以这样做。否则，您可能最好使用系统中已有的 /etc。