Издаване на системата за самостоятелни пакети Flatpak 1.4.0

Публикувано нова стабилна версия на инструментария Flatpak 1.4, който предоставя система за създаване на самостоятелни пакети, независими от конкретни дистрибуции на Linux и изпълнявани в специален контейнер, който изолира приложението от останалата част на системата. Поддръжката за изпълнение на Flatpak пакети е осигурена за Arch Linux, CentOS, Debian, Fedora, Gentoo, Mageia, Linux Mint и Ubuntu. Пакетите с Flatpak са включени в хранилището на Fedora и се поддържат в стандартната програма за управление на приложения GNOME.

Ключови нововъведения в версията Flatpak 1.4:

• Променена е организацията на настройките на външните хранилища. В каталога /etc/flatpak/remotes.d вместо *.conf файлове с настройки сега се прилагат обикновени файлове «.flatpakrepo», които се импортират автоматично при първото използване на flatpak. Тези файлове могат да бъдат свободно редактирани и изтривани, подобно на ръчно добавените хранилища;
• Значително е променена организацията на инсталациите на наличните за цялата система пакети. В предишните версии пакетът първоначално се инсталира в временно каталога, принадлежащ на потребителя, а след това се извиква процес system-helper за импортиране в системата от този каталог. Подобен подход водеше до голямо потребление на дискови ресурси, излишен вход/изход и потенциални проблеми със сигурността. В новата версия за инсталиране на системните пакети е въведена специална нова файлова система FUSE, в която потребителят може да записва данни, но след приключване на записа достъпът до записаните файлове за потребителя е блокиран. Новият подход предполага необходимостта от създаване на отделен потребител за flatpak (по подразбиране «flatpak») и промяна на правилата на SELinux;
• Добавена е възможност за определяне на клиентските системни филтри за външни хранилища. С помощта на филтри може да се ограничи видимостта на приложенията в хранилището, използвайки модел на бели и черни списъци;
• Добавен е библиотечен API за добавяне на външни хранилища от файлове flatpakref;
• Добавен е seccomp профил за Docker, позволяващ изпълнението на flatpak в контейнери;
• Подобрена е възможността за инсталиране от няколко P2P източника (чрез USB устройства или по локална мрежа);
• В командата «flatpak remote-ls» е осигурена автоматична филтрация на приложения, за които е изтекъл времевият срок за поддръжка;
• В «flatpak remote-ls» и «flatpak remote-info» е реализирана опция «—cached» за предоставяне на информация на базата на локални кеширани данни;
• Добавена е възможността да се посочва версията на срока на служебния пакет, след който ще се предлага прехвърляне на нов клон;
• Добавена е опцията «—socket=pcsc» за достъп до смарт карти;
• Добавена е поддръжка за системи с множество видеокарти NVIDIA;
• Реализирана е поддръжка на dconf, поставен в sandbox среда;
• В командата build-update-repo са добавени опции «—no-update-[summary,appstream]» и «—static-delta-ignore-ref=PATTERN»;
• Съществено е увеличена скоростта на регенерация на клоновете appstream за големи хранилища.

Припомняме, че Flatpak предоставя на разработчиците на приложения възможността да опростят разпространението на своите програми, които не попадат в стандартните хранилища на дистрибуции, чрез подготовка на един универсален контейнер, без създаване на отделни версии за всяка дистрибуция. За потребителите, притеснени за сигурността, Flatpak позволява да се стартира съмнително приложение в контейнер, предоставяйки достъп само до мрежовите функции и файловете на потребителя, свързани с приложението. За потребителите, интересуващи се от нови функции, Flatpak позволява инсталирането на най-новите тестови и стабилни версии на приложения, без необходимост от промени в системата. Например, в момента Flatpak пакетите вече се събират за LibreOffice, Firefox, GIMP, Inkscape, Kdenlive, Steam, 0 A.D., Visual Studio Code, VLC, Slack, Skype, Telegram Desktop, Android Studio и др.

За намаляване на размера на пакета, той включва само специфични за приложението зависимости, а базовите системни и графични библиотеки (Gtk+, Qt, библиотеки GNOME и KDE и т.н.) са оформени в типизирани runtime среди. Ключовата разлика между Flatpak и Snap е, че Snap използва компоненти на основната система и изолация, основана на филтриране на системни повиквания, докато Flatpak създава отделен от системата контейнер и работи с големи набори от runtime, предоставяйки като зависимости не пакети, а типизирани системни среди (например, всички библиотеки, необходими за работа на приложенията GNOME или KDE).

Освен типичната системна среда (runtime), инсталирана чрез специален репозиториум, се предоставят допълнителни зависимости (bundle), необходими за работата на приложението. В сумата runtime и bundle образуват съдържанието на контейнера, като runtime се инсталира отделно и се свързва веднага с няколко контейнери, което позволява да се избегне дублиране на общи за контейнерите системни файлове. В една система могат да бъдат инсталирани няколко различни runtime (GNOME, KDE) или няколко версии на един runtime (GNOME 3.26, GNOME 3.28). Контейнер с приложение, използвайки зависимост, се свързва само с определен runtime, без значение за отделните пакети, от които се състои runtime. Всички липсващи елементи се пакетират непосредствено заедно с приложението. При формироването на контейнера съдържанието на runtime се монтира като дял /usr, а bundle се монтира в директория /app.

Съдържанието на runtime и контейнерите на приложенията се формира с помощта на технология OSTree, при която образът атомарно се актуализира от Git-подобно хранилище, позволяващо прилагането на методи за контрол на версиите към компонентите на дистрибуцията (например, можете бързо да върнете системата към предишно състояние). RPM пакетите се трансформират в репозиторий OSTree с помощта на специален слой rpm-ostree. Отделно инсталиране и актуализиране на пакети в работната среда не се поддържа, системата се актуализира не на ниво отделни компоненти, а изцяло, атомарно променяйки своето състояние. Предоставят се средства за инкрементално прилагане на актуализации, освобождаващи от необходимостта от пълна подмяна на образа при всяка актуализация.

Формираното изолирано обкръжение е напълно независимо от използвания дистрибутив и при подходящи настройки на пакета няма достъп до файловете и процесите на потребителя или основната система, не може директно да се обърне към хардуера, с изключение на извода през DRI и мрежовата подсистема. Изходът на графиката и организацията на въвеждане реализирана чрез протокола Wayland или чрез пробив на сокет X11. Взаимодействието с външната среда е основано на система за обмен на съобщения DBus и специален API Portals. За изолация се използва слой Bubblewrap и традиционните технологии за контейнерна виртуализация в Linux, основани на използването на cgroups, пространства на имена (namespaces), Seccomp и SELinux. За извеждане на звук се използва PulseAudio.

Източник: opennet.ru