文档中心

云服务器

请输入

Linux操作系统问题

如何解决软件源密钥失效问题？

问题描述

在Linux操作系统中，通过包管理器（例如apt、yum及dnf）安装或更新软件包时，出现如下签名验证失败的错误提示。

veLinux/Debian/Ubuntu

The following signatures were invalid: KEYEXPIRED <fingerprint>

CentOS/Rocky Linux/AlmaLinux

NOKEY: Public key for package is not installed

问题原因

软件源密钥（Software Repository Key）是用于验证软件包来源合法性的GPG公钥。在Linux系统中，软件包管理器（例如apt、yum及dnf）在安装或更新软件包时，会使用软件源密钥对软件包的数字签名进行校验，以确认软件包由可信的发布方签发、且在传输过程中未被篡改。若软件源密钥缺失、过期或不匹配，软件包管理器将拒绝执行安装或更新操作，并返回签名验证失败的错误。

解决方案

本节提供软件源密钥失效问题的常见修复方案。您可先在受影响的实例内更新软件源密钥；若该实例由自定义镜像创建，还可按需修复镜像本身存在的密钥问题，避免后续基于该镜像创建的新实例出现相同问题。

步骤一：修复受影响的实例

方案一：使用云助手更新软件源密钥

前提条件

目标实例已安装云助手客户端。

操作步骤

登录云助手控制台。

在顶部导航栏中选择您的实例所在地域。

单击“创建作业”按钮，填写如下信息。

注意

本节仅展示修复操作必要参数，未说明参数均保持默认。完整参数说明请查看创建作业。

参数	说明
执行命令
命令来源	请选择公共命令。
命令	请选择更新软件源密钥。
执行用户	请使用 root 用户。
执行对象
执行对象	请批量勾选您需要更新软件源密钥的实例。说明最多支持选择200台云服务器实例。

单击“确定”按钮，任务创建成功后将自动跳转至作业管理页面并开始执行。

确认是否成功更新软件源密钥。

待作业状态更新为执行成功时，单击右侧“操作”列的“执行结果”按钮。

依次单击目标实例右侧“操作”列的“运行日志”按钮。当日志中包含keyring installed successfully时，表示已成功更新该实例软件源密钥。

方案二：手动更新密钥

登录目标实例。

请根据实例操作系统类型执行对应命令，更新密钥信息。

veLinux
Ubuntu
Debian
CentOS/Rocky Linux/AlmaLinux
执行如下命令，更新软件源密钥。
veLinux 2.0

wget https://mirrors.ivolces.com/velinux/pool/main/v/velinux-archive-keyring/velinux-archive-keyring_2.0.0%2Bbase2_all.deb
dpkg -i velinux-archive-keyring_2.0.0+base2_all.deb

veLinux 1.0

wget https://mirrors.ivolces.com/velinux/pool/main/v/velinux-archive-keyring/velinux-archive-keyring_1.2%2Bvelinux1_all.deb
dpkg -i velinux-archive-keyring_1.2+velinux1_all.deb

执行如下命令，确保密钥更新成功并刷新apt软件源信息。

sudo apt-get update

若返回结果未出现The following signatures were invalid: EXPKEYSIG相关错误信息，表示软件源密钥更新成功。
执行如下命令，更新软件源密钥。
注意
请将<fingerprint>替换为您执行apt-get update命令时报错信息中的实际值。例如报错信息为The following signatures were invalid: EXPKEYSIG 3B4FE6ACC0B21F32时，请替换为3B4FE6ACC0B21F32。

sudo apt-key adv --keyserver keyserver.ubuntu.com --recv-keys <fingerprint>

执行如下命令，确保密钥更新成功并刷新apt软件源信息。

sudo apt-get update

若返回结果未出现The following signatures were invalid: EXPKEYSIG相关错误信息，表示软件源密钥更新成功。
获取更新密钥下载地址。
使用任意可访问公网且有浏览器的终端，访问Debian社区官方密钥发布信息页。
根据目标实例操作系统发行版本号（例如：12）或代号（例如：bookworm）查找并获取对应的Archive Signing Key与Security Archive Signing Key下载地址。

回到目标实例中执行如下命令，下载新密钥。
注意
本步骤命令以Debian 12/bookworm操作系统为例，请将https://ftp-master.debian.org/keys/archive-key-12.asc与https://ftp-master.debian.org/keys/archive-key-12-security.asc替换为您实际获取的密钥下载地址。

cd /etc/apt/trusted.gpg.d/
sudo wget https://ftp-master.debian.org/keys/archive-key-12.asc
sudo wget https://ftp-master.debian.org/keys/archive-key-12-security.asc

执行如下命令，确保密钥更新成功并刷新apt软件源信息。

sudo apt-get update

若返回结果未出现The following signatures were invalid: EXPKEYSIG相关错误信息，表示软件源密钥更新成功。
执行如下命令，导入官方仓库软件源密钥。

rpm --import /etc/pki/rpm-gpg/RPM-GPG-KEY-*

执行如下命令，导入EPEL仓库软件源密钥。
CentOS Stream 10.x/Rocky Linux 10.x/AlmaLinux 10.x

rpm --import https://mirrors.ivolces.com/epel/RPM-GPG-KEY-EPEL-10

CentOS Stream 9.x/Rocky Linux 9.x/AlmaLinux 9.x

rpm --import https://mirrors.ivolces.com/epel/RPM-GPG-KEY-EPEL-9

CentOS 8.x/Rocky Linux 8.x/AlmaLinux 8.x

rpm --import https://mirrors.ivolces.com/epel/RPM-GPG-KEY-EPEL-8

CentOS 7.x

rpm --import https://mirrors.ivolces.com/epel/RPM-GPG-KEY-EPEL-7

执行如下命令，确认密钥导入并更新成功。

yum install --assumeno curl

若回显无NOKEY: Public key for package is not installed错误信息，表示已成功更新软件源密钥。

若回显提示Import of key(s) didn't help, wrong key(s)?，表示您导入的密钥与目标数据/签名不匹配，您需要自行从对应的官方软件源仓库导入GPG密钥。例如导入AlmaLinux官方仓库密钥：

rpm --import https://mirrors.ivolces.com/almalinux/RPM-GPG-KEY-AlmaLinux