使用 puppet 在巧克力中实现可信包的自动化

Question

我们的任务是使用 puppet 在 openstack 中部署基础架构，该 puppet 仅安装来自 Chocolatey 的受信任包。我们面临的问题是实施一种安全的方式来检查一个包是否可信，并将其应用到我们的 puppet 代码中，以便我们的包在有新的可信包时自动更新。

我们发现检查一个包是否受信任的最佳方法是运行“choco info 'NAMEOFPACKAGE'”并编写一个脚本来检查字符串“Package approved as a trust package on”是否出现在 choco info 的输出中.

感觉这不是一种检查软件包是否可信的安全方法，我们希望以更好的方式来做到这一点。

$name="default"
$lines = choco $name | Select-String "Package approved as a trusted package" | Measure-Object -Line

if ($lines =  1) {
"****This found only 1 line****"

else {"*Found 0 or more*"}

Answer 1

根据chocolatey.org 上的documentation，从组织方面的杰出人物来看，您不能真正信任来自chocolatey.org 的任何包

作为一个组织，您需要 100% 的可靠性（或至少具有这种潜力），并且您可能还需要完全的信任和控制。这是您可以通过内部托管的包获得的东西，而您不太可能通过使用社区包存储库来实现。如果您将 Chocolatey 用于组织/企业，您可能对生产中断的容忍度较低和/或对更大的互联网的信任度较低。您可能不想将基础设施的控制权交给社区成员和志愿者。不建议组织使用社区存储库。

因此，我建议您遵循此guide，了解如何设置 Chocolatey 以供内部组织使用。这样，您绝对可以信任所有正在使用的包，因为您已经通过单独的过程将这些包带入内部。