NixOS 与 Flakes

简体中文

English

简体中文

English

Appearance

远程部署 ​

Nix 本身的设计就很适合远程部署，Nix 社区也有许多专门用于远程部署的工具，比如说 NixOps 与 colmena。另外我们前面已经用了很多次的官方工具nixos-rebuild，它拥有一定的远程部署能力。

此外在多架构场景下，远程部署还可以充分利用 Nix 的多架构支持，比如说在 x86_64 主机上交叉编译 aarch64/aarch64 的 NixOS 系统配置，然后通过 SSH 远程部署到对应的主机上。我最近遇到的一个场景是，我本地交叉编译了一块 RISCV64 开发板的 NixOS 系统镜像，那么我本地已经拥有了交叉编译该系统的所有编译缓存。但是由于 NixOS 官方几乎没有 RISCV64 的二进制缓存，我直接在开发板上执行任何未预装的程序（比如 nix run nixpkgs#cowsay hello）都会导致大量的编译，这会耗费我数小时的时间，是难以接受的。而改用远程部署的话，我就能充分利用上本机的高性能 CPU 与大量编译缓存，体验就很好了。

这里我简单介绍下如何使用 colmena 与 nixos-rebuild 进行远程部署。

准备工作 ​

在进行远程部署之前，需要做一些准备工作：

  1. 为了防止远程主机的 sudo 密码验证失败，有两种方法，二选一：
    1. 以远程主机的 root 用户身份部署，这是推荐使用的方法。
    2. 在远程主机的配置中添加 security.sudo.wheelNeedsPassword = false; 并提前手动部署一次，从而为用户授予免密码验证的 sudo 权限。
      1. 这会导致用户级别的程序能静默获取 sudo 权限，存在安全风险！因此如果选用这种方法，建议远程部署创建一个专门的用户，不应该使用自己的常用用户！
  2. 为远程主机配置 SSH 公钥身份验证
    1. 可使用 users.users.<name>.openssh.authorizedKeys.keys 配置项完成配置。
  3. 在本机主机上添加好远程主机的 Known Hosts 记录，否则 colmena/nixos-rebuild 会因为无法验证远程主机的身份而部署失败。
    1. 可使用 programs.ssh.knownHosts 配置项将远程主机的公钥添加到 Known Hosts 记录中。
  4. 手动使用 ssh root@<you-host> 命令，验证能正常登录到远程主机。
    1. 如果遇到任何问题，请先解决它们，再继续后续操作。

建议使用 root 用户进行部署，因为这更方便且不需要额外的配置，没有令人头疼的 sudo 权限问题。

假设我们现在要通过 root 用户进行远程部署，首先需要在远程主机上为该用户配置 SSH 公钥身份验证。直接在远程主机的 Nix 配置的任一 NixOS Module 中（比如 configuration.nix）添加如下内容，然后重新构建系统即可：

nix
# configuration.nix
{

  # ...

  users.users.root.openssh.authorizedKeys.keys = [
    # TODO 替换为您自己的 SSH 公钥。
    "ssh-ed25519 AAAAC3Nxxxxx ryan@xxx"
  ];

  # ...
}

然后还需要提前在本机上将用于登录的 SSH 私钥添加到 SSH agent，以便在部署配置时进行身份验证：

bash
ssh-add ~/.ssh/your-private-key

通过 colmena 进行部署 ​

colmena 不能直接使用我们已经熟悉的 nixosConfigurations.xxx 进行远程部署，它自定义了一个名为 colmena 的 flake outputs 来进行远程部署，其内容结构与 nixosConfigurations.xxx 类似但不完全相同。

在你系统的 flake.nix 中添加一个新的名为 colmena 的 outputs，一个简单的例子如下：

nix
{
  inputs = {
    nixpkgs.url = "github:nixos/nixpkgs/nixos-23.11";

    # ...
  };
  outputs = { self, nixpkgs }: {
    # ...

    # 新增这个 outputs，colmena 会读取这个 outputs 中的内容进行远程部署
    colmena = {
      meta = {
        nixpkgs = import nixpkgs { system = "x86_64-linux"; };

        # 这个参数的功能与 `nixosConfigurations.xxx` 中的 `specialArgs` 一致，
        # 都是用于传递自定义参数到所有子模块。
        specialArgs = {
          inherit nixpkgs;
        };
      };

      # 主机名 = "my-nixos"
      "my-nixos" = { name, nodes, ... }: {
        # 与远程部署相关的参数
        deployment.targetHost = "192.168.5.42"; # 远程主机的 IP 地址
        deployment.targetUser = "root";  # 远程主机的用户名

        # 此参数的功能与 `nixosConfigurations.xxx` 中的 `modules` 一致
        # 都是用于导入所有子模块。
        imports = [
          ./configuration.nix
        ];
      };
    };
  };
}

现在，您可以将配置部署到设备上：

bash
nix run nixpkgs#colmena apply

更复杂的用法，请参阅 colmena 的官方文档 https://colmena.cli.rs/unstable/introduction.html

通过 nixos-rebuild 进行部署 ​

用 nixos-rebuild 进行远程部署的好处在于，它的工作方式与部署到本地主机完全相同，只需要多传几个参数，指定下远程主机的 IP 地址、用户名等信息即可。

例如，使用以下命令将 flake 中的 nixosConfigurations.my-nixos 这份配置部署到远程主机：

bash
nixos-rebuild switch --flake .#nixos-text \
  --target-host root@192.168.4.1 --build-host localhost --verbose

上述命令将会构建并部署 my-nixos 的配置到 IP 为 192.168.4.1 的服务器，系统构建过程将在本机执行。

如果你希望在远程主机上构建系统，只需要将 --build-host localhost 替换为--build-host root@192.168.4.1。

如果你觉得到处写 IP 地址不太合适，也可以在本地主机的 ~/.ssh/config 或 /etc/ssh/ssh_config 中定义主机别名。例如：

SSH 配置可以完全通过 Nix 配置生成，这个任务就留给读者自己完成了。

bash
› cat ~/.ssh/config

# ......

Host aquamarine
  HostName 192.168.4.1
  Port 22

# ......

然后就可以直接使用主机别名进行部署了：

bash
nixos-rebuild switch --flake .#my-nixos --target-host root@aquamarine --build-host root@aquamarine --verbose