解决deploy-rs部署时路径签名验证失败的问题

在使用deploy-rs工具部署NixOS系统时，可能会遇到路径签名验证失败的错误，提示"cannot add path '/nix/store/$HASH-system-path' because it lacks a signature by a trusted key"。这个问题通常与NixOS的信任用户配置有关，特别是在禁用root登录或更改SSH用户的情况下。

问题现象

当尝试通过deploy-rs部署系统时，部署过程会在复制系统路径阶段失败，并显示以下关键错误信息：

error: cannot add path '/nix/store/69hj1k86rpdhp9fw3vmmwyrdm1c33pxr-system-path' because it lacks a signature by a trusted key

同时伴随的还有缓存下载超时警告，但这些通常不是导致部署失败的主要原因。

根本原因

这个问题的核心在于NixOS的信任机制。NixOS要求对Nix存储路径的操作必须由受信任的用户执行。当部署用户未被正确配置为受信任用户时，系统会拒绝添加新的存储路径。

常见触发场景包括：

1. 禁用了root用户的SSH登录
2. 更改了部署时使用的SSH用户
3. 系统初始配置时未正确设置信任用户

解决方案

方法一：配置信任用户

最根本的解决方法是确保部署用户被正确配置为NixOS的信任用户。这可以通过以下步骤实现：

1. 在目标机器的Nix配置中，确保包含以下设置：

nix.settings.trusted-users = ["root" "@wheel"];

2. 如果使用特定用户（如示例中的"aniva"）进行部署，可以显式添加该用户：

nix.settings.trusted-users = ["root" "aniva" "@wheel"];

3. 应用配置并重建系统：

sudo nixos-rebuild switch

方法二：重新部署系统

如果系统最初是通过nixos-anywhere等工具部署的，且初始配置中缺少信任用户设置，可以考虑重新部署整个系统：

1. 确保新的部署配置中包含正确的信任用户设置
2. 使用nixos-anywhere或其他部署工具重新部署系统

方法三：直接修改目标系统配置

如果能够直接访问目标机器，可以：

1. 登录目标机器
2. 编辑Nix配置文件，添加信任用户设置
3. 执行系统重建

最佳实践

1. 初始部署时配置信任用户：在使用任何部署工具初始设置系统时，就应该包含适当的信任用户配置。

2. 合理使用用户组：使用@wheel这样的组形式比单独列出用户更易于维护，特别是当有多个部署用户时。

3. 考虑安全平衡：虽然添加信任用户可以解决问题，但也应评估安全影响。确保只有必要的用户和组被授予信任权限。

4. 检查Nix配置：部署前检查目标机器的/etc/nix/nix.conf文件，确认trusted-users设置符合预期。

总结

deploy-rs部署过程中的路径签名验证失败问题通常源于NixOS信任机制配置不当。通过正确配置信任用户，可以确保部署流程顺利进行。这个问题特别容易在更改部署用户或禁用root登录后出现，因此在修改这些安全设置时，应同步更新NixOS的信任用户配置。