Re: [d-kernel] Ядра без подписи

[Alexei Takaseev <alexei@taf.ru>]

----- Исходное сообщение -----
> От: "Gleb Fotengauer-Malinovskiy" <glebfm@altlinux.org>
> Кому: alexei@taf.ru, "ALT Linux kernel packages development" <devel-kernel@lists.altlinux.org>
> Отправленные: Вторник, 15 Сентябрь 2026 г 22:15:30
> Тема: Re: [d-kernel] Ядра без подписи

> On Tue, Sep 15, 2026 at 08:32:48PM +0800, Alexei Takaseev wrote:
>> В Вт, 15/09/2026 в 14:58 +0300, Gleb Fotengauer-Malinovskiy пишет:
>> > On Tue, Sep 15, 2026 at 02:39:11PM +0400, Ivan A. Melnikov wrote:
>> > > On Mon, Sep 14, 2026 at 02:53:10PM +0300, Gleb Fotengauer-
>> > > Malinovskiy wrote:
>> > > > On Mon, Sep 14, 2026 at 02:44:27PM +0400, Ivan A. Melnikov wrote:
>> > > > > On Mon, Sep 14, 2026 at 06:18:27PM +0800, Alexei Takaseev
>> > > > > wrote:
>> > > > > > Добрый день!
>> > > > > > 
>> > > > > > При сборке модуля для ядра kernel-image-rockchip64 получается
>> > > > > > вот такое
>> > > > > > сообщение:
>> > > > > > 
>> > > > > > ====
>> > > > > > 2026-Sep-14 10:01:58 :: [aarch64] #200 kernel-modules-yt6801-
>> > > > > > rockchip64.git sisyphus/kernel-modules-yt6801-rockchip64-
>> > > > > > 1.0.31-alt2:
>> > > > > > build start
>> > > > > > 2026-Sep-14 10:02:50 :: [aarch64] #200: modsigning approved
>> > > > > > by cas
>> > > > > > 2026-Sep-14 10:03:14 :: [aarch64] remote modsign: failed to
>> > > > > > modsign
>> > > > > > kernel-modules-yt6801-rockchip64-1.0.31-
>> > > > > > alt2.397875.1.aarch64.rpm
>> > > > > > ====
>> > > > > > 
>> > > > > > Действительно, для этого ядра не предусматривается процедура
>> > > > > > подписания
>> > > > > > модулей внешним ключем. Есть ли у сборочницы крутилки,
>> > > > > > выключающие
>> > > > > > процедуру подписания там, где она не нужна?
>> > > > > 
>> > > > > Привет Глеб.
>> > > > > 
>> > > > > Можешь подсказать, что тут cделать?
>> > > > > 
>> > > > > Как будто бы сейчас сборка будет работать только если её
>> > > > > поаппрувит
>> > > > > кто-то из @maint, но не из @modsign.
>> > > > 
>> > > > По сути, мне кажется, что не предполагалось, что кто-то хочет не
>> > > > подписывать модули для ядер.
>> > > 
>> > > Для массового сервиса, рекомендованного всем и каждому собирателю
>> > > ядер, modsign'илке как минимум очень сильно не хватает
>> > > документации.
>> > 
>> > Я согласен, не хватает.  К сожалению, реализация и внедрение подписей
>> > произошло практически без ценного вклада этих самых собирателей ядер.
>> > К счастью, всё ещё можно сформулировать запрос с вашей стороны,
>> > поменять реализацию на подходящую и задокументировать её.
>> 
>> Собственно, это запрос и есть - иметь возможность вернуть поведение
>> сборочницы в первоначальное состояние.
> 
> Какой должен быть интерфейс?

Что мешает это делать через отдельную команду сборочницы при сохранении нынешней логики?
Механизм аппрува от группы оказался неустойчивым для "гонки состояний". Все началось с
того, что участник групп @maint и @modsign выдал свой аппрув именно как @maint.

> В какой степени и как именно сборочница должна не давать вам и другим
> мейнтейнерам ядер забыть подписать модули, если modsign всё же
> используется?  Почему (кроме отсутствия документации) мейнтейнер ядра
> может хотеть отказаться от modsign совсем?  Через какой интерфейс?

См. выше про отдельную команду.