Пускането на системата за самостоятелни пакети Flatpak 1.6.0

Публикувано нова стабилна версия на инструментария Flatpak 1.6, който предоставя система за създаване на самостоятелни пакети, независими от конкретни дистрибуции на Linux и изпълнявани в специален контейнер, който изолира приложението от останалата част на системата. Поддръжката за изпълнение на Flatpak пакети е осигурена за Arch Linux, CentOS, Debian, Fedora, Gentoo, Mageia, Linux Mint и Ubuntu. Пакетите с Flatpak са включени в хранилището на Fedora и се поддържат в стандартната програма за управление на приложения GNOME.

Ключови нововъведения в клон Flatpak 1.6:

• В API Portal добавен метод CreateUpdateMonitor, който позволява на приложенията да следят за наличието на актуализации и да искат инсталиране на появилата се актуализация.
  За да се забрани на приложенията да инсталират актуализации самостоятелно, може да се използва командата «flatpak permission-set flatpak updates $APPID no» (ако се посочи «ask» вместо «no», диалогов прозорец за потвърждение на актуализацията ще се появява всеки път);
  
  
• За улесняване на създаването на обработчици е предложена библиотека
  libportal, която позволява обработка на събития без пряко използване на API Portal и анализ на сигналите, постъпващи през D-Bus.
  Libportal предоставя прости асинхронни слойове за повечето «портали«;
• Добавено е ново разрешение «—socket=cups» за предоставяне на директен достъп до сървъра за печат CUPS;
• Протоколът и API-то за обработка на удостоверяване са променени. Добавен е удостоверител за OCI (Open Container Initiative). Реализирана е поддръжка за автоматично инсталиране на удостоверители от външен репозиторий flatpak. В FlatpakTransaction е добавен callback-обработчик за използване на удостоверяване с логин и парола по аналогия с метода на удостоверяване HTTP basic;
• Добавена е поддръжка за защитени приложения и системи, изискващи удостоверяване при зареждане;
• Изолиращият слой bubblewrap е обновен до версия 0.4.0;
• Добавена е опционална поддръжка на родителски контрол чрез прилагане на библиотеката libmalcontent, която позволява ограничаване на достъпа до определени видове съдържание;
• Разширенията сега се инсталират преди приложението, което позволява получаването на работещо приложение веднага след завършване на инсталацията му;
• Процесите с временни файлове са преработени, което е подобрило работата при недостиг на свободно дисково пространство;
• За изпълнението на командата «flatpak enter» вече не е необходимо използването на sudo;
• В порталите е добавена възможността за стартиране на вложени изолирани среди (sub-sandbox) за дочерни процеси;
• Добавени са нови команди «flatpak permission-set» и «permission-remove» за управление на установяването на разрешения;
• Добавена е опция «flatpak install —or-update», която извършва обновление, ако приложението вече е инсталирано;
• Добавена е команда «flatpak mask» за фиксиране на версия и забрана за инсталиране на актуализации;
• За образите в OCI формат (Open Container Initiative) беше добавена поддръжка за назначаване на етикети, генериране на история на измененията в изображението и включване на mime-типове на Docker, освен mime-типовете на OCI;
• В настройките е добавен ключът default-languages за определяне на списъка с използвани езици, в допълнение към системния списък.

Припомняме, че Flatpak предоставя на разработчиците на приложения възможността да опростят разпространението на своите програми, които не попадат в стандартните хранилища на дистрибуции, чрез подготовка един универсален контейнер без необходимост от създаване на отделни сборки за всяка дистрибуция. На потребителите, които се грижат за сигурността, Flatpak позволява да стартират съмнителни приложения в контейнер, осигурявайки достъп само до мрежовите функции и файловете на потребителя, свързани с приложението. На потребителите, които се интересуват от новини, Flatpak позволява инсталирането на най-новите тестови и стабилни версии на приложения без необходимост от промени в системата. Например, в момента Flatpak пакетите вече се събират за LibreOffice, Firefox, GIMP, Inkscape, Kdenlive, Steam, 0 A.D., Visual Studio Code, VLC, Slack, Skype, Telegram Desktop, Android Studio и др.

За намаляване на размера на пакета, той включва само специфични за приложението зависимости, а базовите системни и графични библиотеки (Gtk+, Qt, библиотеки GNOME и KDE и т.н.) са оформени в типизирани runtime среди. Ключовата разлика между Flatpak и Snap е, че Snap използва компоненти на основната система и изолация, основана на филтриране на системни повиквания, докато Flatpak създава отделен от системата контейнер и работи с големи набори от runtime, предоставяйки като зависимости не пакети, а типизирани системни среди (например, всички библиотеки, необходими за работа на приложенията GNOME или KDE).

Освен типичната системна среда (runtime), инсталирана чрез специален репозиториум, се предоставят допълнителни зависимости (bundle), необходими за работата на приложението. В сумата runtime и bundle образуват съдържанието на контейнера, като runtime се инсталира отделно и се свързва веднага с няколко контейнери, което позволява да се избегне дублиране на общи за контейнерите системни файлове. В една система могат да бъдат инсталирани няколко различни runtime (GNOME, KDE) или няколко версии на един runtime (GNOME 3.26, GNOME 3.28). Контейнер с приложение, използвайки зависимост, се свързва само с определен runtime, без значение за отделните пакети, от които се състои runtime. Всички липсващи елементи се пакетират непосредствено заедно с приложението. При формироването на контейнера съдържанието на runtime се монтира като дял /usr, а bundle се монтира в директория /app.

Съдържанието на runtime и контейнерите на приложенията се формира с помощта на технология OSTree, при която изображението атомарно се актуализира от Git-подобно хранилище, позволяващо прилагане на методи за контрол на версиите на компонентите на дистрибутива (например, можете бързо да върнете системата в предишно състояние). RPM-пакетите се трансформират в репозитория OSTree чрез специален слой. rpm-ostree. Отделно инсталиране и актуализиране на пакети в работната среда не се поддържа, системата се актуализира не на ниво отделни компоненти, а изцяло, атомарно променяйки своето състояние. Предоставят се средства за инкрементално прилагане на актуализации, освобождаващи от необходимостта от пълна подмяна на образа при всяка актуализация.

Създадената изолирана среда е напълно независима от използвания дистрибутив, и при подходящи настройки на пакета, няма достъп до файловете и процесите на потребителя или основната система, не може да се обръща директно към хардуера, с изключение на изхода чрез DRI и мрежовата подсистема. Изход на графика и организация на входа са реализирани чрез протокола Wayland или чрез пробив на сокет X11. Взаимодействието с външната среда е основано на система за обмен на съобщения DBus и специален API Portals. За изолация се използва слой Bubblewrap и традиционните технологии за контейнерна виртуализация в Linux, основани на използването на cgroups, пространства на имена (namespaces), Seccomp и SELinux. За извеждане на звук се използва PulseAudio.

Източник: opennet.ru