Nexus Repository Manager¶

Concepts : gestionnaire de depots¶

Un gestionnaire de depots (repository manager) centralise le stockage et la distribution de tous les artefacts logiciels d'une organisation : packages RPM, images Docker, modules npm, packages Python, etc.

Pourquoi miroir les packages en local ?¶

Types de repositories dans Nexus¶

Nexus propose trois types de repositories :

graph LR
    subgraph NEXUS["Nexus Repository Manager"]
        PROXY["Proxy<br/>(miroir upstream)"]
        HOSTED["Hosted<br/>(artefacts internes)"]
        GROUP["Group<br/>(agregation)"]
        PROXY --> GROUP
        HOSTED --> GROUP
    end

    UPSTREAM["Upstream<br/>(dl.rockylinux.org,<br/>pypi.org, etc.)"] -->|"Cache on first request"| PROXY
    CLIENT["Client<br/>(yum, docker, pip)"] -->|"Single URL"| GROUP

    style GROUP fill:#27ae60,color:#fff
    style PROXY fill:#3498db,color:#fff
    style HOSTED fill:#e67e22,color:#fff

Architecture Nexus¶

graph TB
    subgraph INFRA["Infrastructure interne"]
        VM1["VMs Rocky<br/>(yum)"]
        VM2["VMs Docker<br/>(docker pull)"]
        VM3["VMs Dev<br/>(npm, pip)"]
    end

    subgraph NEXUS["Nexus — repo.infra.indio:443"]
        RPM["rpm-all<br/>(group)"]
        DOCKER["docker-all<br/>(group)"]
        NPM["npm-all<br/>(group)"]
        PYPI["pypi-all<br/>(group)"]
    end

    subgraph EXTERNAL["Internet (via Squid + FGT)"]
        UPS1["dl.rockylinux.org"]
        UPS2["registry-1.docker.io"]
        UPS3["registry.npmjs.org"]
        UPS4["pypi.org"]
    end

    VM1 -->|"HTTPS"| RPM
    VM2 -->|"HTTPS"| DOCKER
    VM3 -->|"HTTPS"| NPM
    VM3 -->|"HTTPS"| PYPI

    RPM -.->|"Cache miss"| UPS1
    DOCKER -.->|"Cache miss"| UPS2
    NPM -.->|"Cache miss"| UPS3
    PYPI -.->|"Cache miss"| UPS4

    style NEXUS fill:#27ae60,color:#fff

Repositories group (points d'acces clients)¶

Les clients n'utilisent que les URLs des groups. Chaque group agregue un ou plusieurs repositories proxy (et eventuellement hosted) :

Proxies YUM configures¶

Chaque repository proxy est configure avec l'URL upstream correspondante. Nexus telecharge et met en cache les packages automatiquement au premier acces.

Configuration des clients via Ansible¶

Le role Ansible common deploie automatiquement les fichiers de configuration YUM sur toutes les VMs pour pointer vers Nexus :

# /etc/yum.repos.d/nexus-rocky-baseos.repo
[nexus-rocky-baseos]
name=Rocky Linux 9 - BaseOS (Nexus)
baseurl=https://repo.infra.indio/repository/rocky-baseos/
enabled=1
gpgcheck=1
gpgkey=file:///etc/pki/rpm-gpg/RPM-GPG-KEY-Rocky-9
sslverify=1
sslcacert=/etc/pki/tls/certs/ca-bundle.crt

Le role common desactive egalement les fichiers repo d'origine (/etc/yum.repos.d/rocky*.repo) pour eviter tout telechargement direct depuis Internet.

Docker registry via Nexus¶

Nexus expose un proxy Docker qui permet de telecharger des images de conteneurs sans acces direct a Docker Hub.

Fonctionnement¶

sequenceDiagram
    participant D as Docker Client
    participant N as Nexus (docker-all)
    participant R as Docker Hub

    D->>N: docker pull repo.infra.indio/repository/docker-all/nginx:latest
    alt Image en cache
        N-->>D: Image servie depuis le cache
    else Premier telechargement
        N->>R: Pull depuis registry-1.docker.io (via Squid)
        R-->>N: Layers de l'image
        N->>N: Stockage en cache
        N-->>D: Image servie
    end

Commande de pull¶

# Pull d'une image via Nexus (prefixer par le hostname Nexus)
docker pull repo.infra.indio/repository/docker-all/nginx:latest

# Equivalent a : docker pull docker.io/library/nginx:latest
# mais via le cache Nexus

TLS et chaine de confiance¶

Le certificat HTTPS de Nexus est emis par la PKI Vault (Intermediate CA) :

La CA chain (Root CA + Intermediate CA) est distribuee sur toutes les VMs par le role Ansible common dans /etc/pki/ca-trust/source/anchors/. Ainsi, sslverify=1 fonctionne pour yum, docker, pip et npm sans erreur de certificat.

Capacite air-gap¶

Grace a Nexus, l'infrastructure peut fonctionner sans acces Internet :

graph TB
    subgraph ONLINE["Mode connecte (normal)"]
        N1["Nexus"] -->|"Proxy cache"| UP["Upstreams Internet"]
        N1 -->|"Sert depuis cache"| VM1["VMs"]
    end

    subgraph OFFLINE["Mode air-gap (coupure)"]
        N2["Nexus<br/>(cache local)"] -->|"Sert depuis cache"| VM2["VMs"]
        N2 -.-x|"Pas d'acces"| UP2["Internet"]
    end

    style OFFLINE fill:#f9f9f9
    style UP2 fill:#e74c3c,color:#fff