Fullmoon System

CentOS 7 Vault einrichten: Wiederherstellung nach dem Support-Ende und Migration

EdwardMoon

CentOS 7 Vault ist ein schreibgeschütztes Archiv der letzten Pakete von CentOS Linux 7.9.2009, dessen Support beendet ist. Wenn Paketabfragen wegen weggefallener Mirror-Listen scheitern, kann das Archiv vorübergehend für die Datenwiederherstellung und Migrationsvorbereitung genutzt werden. Neue Sicherheitsupdates oder fortlaufende Betriebsunterstützung bietet es nicht.

CentOS Linux 7 erreichte am 30. Juni 2024 sein Support-Ende. Betreiben Sie einen aus dem Internet erreichbaren Produktionsserver nicht einfach mit umgestellten Vault-Adressen weiter. Isolieren Sie den Host, erstellen Sie die benötigten Sicherungen und Bestandslisten und migrieren Sie anschließend auf eine unterstützte Linux-Version.

Notfallwiederherstellung mit CentOS 7 Vault: das schreibgeschützte Archiv vorübergehend nutzen und anschließend auf ein unterstütztes Linux migrieren
Vault dient der vorübergehenden Wiederherstellung und bietet keine Sicherheitsunterstützung; der abschließende Schritt ist die Migration auf ein unterstütztes Linux

Wann CentOS 7 Vault eingesetzt werden kann

Situation Bewertung Maßnahme
Isolierter Server benötigt ein Sicherungswerkzeug Kurzzeitig vertretbar Vault prüfen und unmittelbar eine Sicherung erstellen
Paketbestand und Abhängigkeiten untersuchen Kurzzeitig vertretbar Ergebnisse sichern und migrieren
Produktionsserver mit öffentlichem Internetzugang Nicht vertretbar Isolieren oder auf ein unterstütztes Betriebssystem umstellen
Neue Sicherheitspatches erwartet Nicht möglich Eine unterstützte Distribution verwenden

Schritt 1: Vor der Vault-Nutzung isolieren und sichern

cat /etc/centos-release
uname -r
sudo install -d -m 0700 /root/repo-backup
sudo cp -a /etc/yum.repos.d /root/repo-backup/
sudo rpm -qa --qf '%{NAME}|%{VERSION}-%{RELEASE}|%{ARCH}\n'   | sort | sudo tee /root/repo-backup/packages.txt >/dev/null
sudo sha256sum /root/repo-backup/packages.txt

Reduzieren Sie vor Änderungen an den CentOS-7-Paketquellen die Erreichbarkeit von außen mit Firewall- oder Sicherheitsgruppenregeln und sichern Sie den Konsolenzugang. Speichern Sie Repository-Dateien, Paketlisten und Dienstzustände, damit Änderungen während der Wiederherstellung nachvollziehbar bleiben.

Schritt 2: Bisherige Mirror-Konfiguration deaktivieren

sudo grep -RHE '^[[]|^enabled=|^baseurl=|^mirrorlist=|^metalink='   /etc/yum.repos.d/*.repo
sudo mkdir -p /etc/yum.repos.d/disabled
sudo mv /etc/yum.repos.d/CentOS-*.repo   /etc/yum.repos.d/disabled/
Verschieben Sie nicht mit einem Platzhalter auch Repository-Dateien anderer Anbieter. Prüfen Sie vor der Ausführung die genaue Dateiliste. Private Repositories und Paketquellen von Agenten werden entsprechend dem Migrationsplan ihrer Verantwortlichen gesondert behandelt.

Schritt 3: Die Vault-Repository-Datei erstellen

sudo tee /etc/yum.repos.d/CentOS-Vault-7.9.2009.repo >/dev/null <<'REPO'
[base]
name=CentOS-7.9.2009 - Base - Vault
baseurl=https://vault.centos.org/7.9.2009/os/$basearch/
enabled=1
gpgcheck=1
gpgkey=file:///etc/pki/rpm-gpg/RPM-GPG-KEY-CentOS-7

[updates]
name=CentOS-7.9.2009 - Updates - Vault
baseurl=https://vault.centos.org/7.9.2009/updates/$basearch/
enabled=1
gpgcheck=1
gpgkey=file:///etc/pki/rpm-gpg/RPM-GPG-KEY-CentOS-7

[extras]
name=CentOS-7.9.2009 - Extras - Vault
baseurl=https://vault.centos.org/7.9.2009/extras/$basearch/
enabled=1
gpgcheck=1
gpgkey=file:///etc/pki/rpm-gpg/RPM-GPG-KEY-CentOS-7
REPO
7.9.2009 ist der letzte Release-Zweig von CentOS Linux 7. Umgehen Sie Fehler nicht durch Abschalten der GPG-Prüfung, Erzwingen von HTTP oder direkte Installation unbekannter RPMs.

Schritt 4: HTTPS und Repository-Metadaten prüfen

curl --proto '=https' --tlsv1.2 --fail --head   https://vault.centos.org/7.9.2009/os/x86_64/repodata/repomd.xml

sudo yum clean all
sudo rm -rf /var/cache/yum
sudo yum makecache
sudo yum repolist enabled
sudo yum repoinfo base updates extras

Schritt 5: GPG-Vertrauen und Signaturen prüfen

rpm -qf /etc/pki/rpm-gpg/RPM-GPG-KEY-CentOS-7
KEYCHECK_DIR=$(mktemp -d)
chmod 0700 "$KEYCHECK_DIR"
gpg --homedir "$KEYCHECK_DIR" --import /etc/pki/rpm-gpg/RPM-GPG-KEY-CentOS-7
gpg --homedir "$KEYCHECK_DIR" --fingerprint
# Mit dem offiziellen Fingerabdruck vergleichen. Nur den separaten GPG-Schlüsselbund im temporären Verzeichnis verwenden.

sudo yum install yum-utils
VAULT_CHECK_DIR=$(mktemp -d)
cd "$VAULT_CHECK_DIR"
yumdownloader --destdir . centos-release
rpm --checksig --verbose ./*.rpm

Vertrauen Sie einer GPG-Schlüsseldatei nicht allein deshalb, weil sie vorhanden ist. Prüfen Sie, ob sie zum bisherigen centos-release-Paket gehört, und vergleichen Sie den offiziellen Fingerabdruck. Lassen Sie die Signaturprüfung heruntergeladener RPMs aktiviert.

Schritt 6: Nur notwendige Wiederherstellungsarbeiten ausführen

# Vor der Installation Zielpakete und Abhängigkeiten prüfen
sudo yum install --assumeno rsync tar

# Nur genehmigte Wiederherstellungswerkzeuge installieren
sudo yum install rsync tar

sudo yum history info last
sudo rpm -Va | sudo tee /root/repo-backup/rpm-verify-after.txt >/dev/null
Die letzten Vault-Pakete schließen keine nach dem Support-Ende entdeckten Sicherheitslücken. Installieren Sie nur die für die Wiederherstellung benötigten Werkzeuge und verkürzen Sie die Zeit bis zur Migration. Ein umfangreiches Gesamtupdate rechtfertigt keinen anschließenden langfristigen Weiterbetrieb.

Schritt 7: Unterlagen für die Migration sammeln

sudo systemctl list-unit-files --state=enabled   | sudo tee /root/repo-backup/enabled-units.txt >/dev/null
sudo ss -lntup | sudo tee /root/repo-backup/listeners.txt >/dev/null
sudo firewall-cmd --list-all-zones   | sudo tee /root/repo-backup/firewalld.txt >/dev/null
getenforce | sudo tee /root/repo-backup/selinux-mode.txt >/dev/null
sudo find /etc/systemd/system -type f -print   | sudo tee /root/repo-backup/systemd-local-files.txt >/dev/null
sudo tar -C /root -czf /root/centos7-migration-inventory.tgz repo-backup

Schritt 8: Fehler diagnostizieren

Could not resolve host

getent ahosts vault.centos.org
cat /etc/resolv.conf
ip route
curl --fail --head https://vault.centos.org/

SSL certificate problem

date -u
timedatectl status
rpm -q ca-certificates
trust list --filter=ca-anchors
openssl s_client -connect vault.centos.org:443   -servername vault.centos.org -verify_return_error </dev/null

Prüfen Sie der Reihe nach Uhrzeit, DNS, Proxy und CA-Zertifikatskette. Deaktivieren Sie weder die TLS-Prüfung noch konfigurieren Sie die insecure-Option von curl dauerhaft.

404- und Metadatenfehler

sudo yum repolist -v
sudo grep -RHE '^baseurl=|^mirrorlist=|^metalink='   /etc/yum.repos.d/*.repo
curl --fail --head   https://vault.centos.org/7.9.2009/updates/x86_64/repodata/repomd.xml

Schritt 9: Vault nach der Migration entfernen

sudo yum-config-manager --disable base updates extras
sudo mv /etc/yum.repos.d/CentOS-Vault-7.9.2009.repo   /etc/yum.repos.d/disabled/
sudo yum clean all

Deaktivieren Sie die Konfiguration, sobald Vault nicht mehr benötigt wird, und dokumentieren Sie den Abschlusszeitpunkt im Migrationsprotokoll. Unterbinden Sie Schreibzugriffe auf den bisherigen CentOS-7-Server und nehmen Sie ihn nach Ablauf der Aufbewahrungsfrist gemäß dem Aussonderungsverfahren Ihrer Organisation außer Betrieb.

Offizielle Quellen und weitere Artikel

Die Rolle von CentOS 7 Vault

CentOS 7 Vault ist ein schreibgeschütztes Archiv der letzten CentOS-7-Pakete und kein Kanal für Sicherheitsupdates nach dem Support-Ende. Isolieren Sie den Host und prüfen Sie Repository, GPG-Vertrauen und HTTPS. Beschaffen Sie ausschließlich die benötigten Wiederherstellungswerkzeuge und Migrationsunterlagen und wechseln Sie möglichst bald auf eine unterstützte Umgebung wie Rocky Linux.