Flatpak 1.18.0 iseseisvate paketih süsteemi väljalaskmine

Pärast poolteist aastat arendust on välja antud uus stabiilne versioon Flatpak 1.18, mis pakub süsteemi iseseisvate paketide koostamiseks, mis ei ole seotud konkreetsete Linuxi jaotustega ning töötavad spetsiaalses konteineris, mis isoleerib rakenduse ülejäänud süsteemist. Flatpak-pakettide täitmise tugi on tagatud Fedora, CentOS, Debian, Arch Linux, Gentoo, Linux Mint, Alt Linux ja Ubuntu jaoks. Flatkapi paketid on lisatud Fedora hoidlasse ja neid toetavad GNOME ja KDE ametlikud rakenduste haldamise programmid.

Peamised uuendused versioonis Flatpak 1.18:

• On rakendatud tingimuslike õiguste toimet (conditional permission), mis võimaldavad õiguste taotlemisel kontrollida, kas süsteemis või pöörderaamatus on teatud võimalusi. Näiteks, kui on vaja juurdepääsu sisendseadmetele, saab "—device=all" asemel taotleda õigust "—device-if=all:!has-input-device —device=input", mis annab juurdepääsu ainult sisendseadmetele või tagab juurdepääsu kõigile seadmetele, kui valikuline juurdepääs ei ole pöörderaamatus toetatud. Samamoodi saab taotleda juurdepääsu USB-seadmetele ("has-usb-device" ja "has-usb-portal") või jagatud alamsüsteemidele.
• On lubatud juurdepääs seadmele /dev/ntsync, et pöörduda
  NTSYNC kernelimooduli poole, mis teostab sünkroniseerimise primitiive, mida kasutatakse Windows NT-s ja mis võimaldab oluliselt suurendada Windowsi mängude, mis käivitatakse Wine'i abil, jõudlust.
• Intel Xe GPU jaoks on lisatud VA-API toe võimalus video dekodeerimise riistvaraliseks kiirendamiseks.
• On rakendatud juurdepääs seadmele /dev/kfd (Kernel Fusion Driver), kasutades õigusi, mis on antud DRI-seadmete jaoks. Kfd draiver rakendab liidese otse arvutuste teostamiseks AMD GPU-lt rakendustest, mis kasutavad AMD ROCm, HIP ja OpenCL.
• Lisatud toetust käsurea valikute kasutamiseks juurdepääsu edastamiseks kataloogidele isoleeritud rakendustes.
• On lisatud tugi "preinstall.d" kataloogile, mis määratleb loetelu eelinstallitud Flatpak-rakendustest (Flatpak-rakenduste lisamiseks opsüsteemi).
• Lubatud on rakenduste otseinstallimine OCI konteineripiltidest, mida saab laadida oma OCI hoidlatest ja kohalikest arhiividest.
• Käsku "flatpak install —from" on lisatud URI toetamine "flatpak+https://".
• Käsku „flatpak run” on lisatud valik „—clear-env”, mis puhastab keskkonnamuutujad enne rakenduse käivitamist.
• Ehk on võimalik eksportida host-keskkonna juurkatalooge isoleeritud rakenduskeskkonda, millele pääseb juurde katalooge kaudu /run/host/root.
• Lisa võimalus kuvada käskude täitmise tulemusi JSON-formaadis.
• Ehituskeskkonna isoleerimist on tugevdatud — käsk „flatpak build” ei paku enam vaikimisi juurdepääsu hostile.
• Lisatud käsk „reinstall” sõltuvuste (suurendamine) uuesti paigaldamiseks.
• Vaikimisi on D-Bus seadistused viidud kataloogist /etc kataloogi /usr.
• Käsku tõlgendava tõlgendaja fish kasutamisel on käivitusaega lühendatud.
• Libflatpak'i on lisatud funktsioon, mis võimaldab saada teavet konfiguratsiooni loomise aja kohta, mis võimaldab rakendustel, nagu GNOME Software, määrata, kas nende vahemälu andmed vajavad uuendamist.
• Ehitusoptsioon http_backend on eemaldatud, nüüd kasutatakse libsoup2 asemel HTTP/HTTPS laadimiseks raamatukogu libcurl.
• Vaikimisi on lubatud kasutada escape-järjestusi toimingu edusammude näitamiseks.
• Lubatud on andmete juurdepääsõiguste edastamine sisemistele sandbox-keskkondadele, mis on loodud Flatpak'i portaalide kaudu.
• OCI-piltide vormis tarnitud rakenduste jaoks on rakendatud mehhanism „extra-data”, mis näiteks võimaldab korraldada video h.265 taasesitamist Flatpak-pakettides Fedora Linuxis.
• Lisatud on sõltuvuste (OCI paketid) tihendamise tugi, kasutades zstd algoritmi, mis tihendab andmeid efektiivsemalt. Vaikimisi jätkab gzip kasutamist, tagades maksimaalse ühilduvuse.

Flatpak lihtsustab programmide levitamist, mis ei kuulu jaotuste vaikerepositooriumitesse, valmistades ette ühe universaalse konteineri, vabastades arendajad vajadusest luua eraldi kooste iga jaotuse jaoks. Turvalisuse pärast muretsenud kasutajatele annab Flatpak võimaluse kahtlase rakenduse käivitamiseks konteineris, andes selektiivse juurdepääsu ainult vajalikele võrgufunktsioonidele ja kasutajafailidele. Uute asjade järele janunevatele kasutajatele võimaldab Flatpak installida kõige värskemaid katse- ja stabiilseid versioone rakendustest, ilma et peaks süsteemis muudatusi tegema. Näiteks koostatakse Flatpak-paketid LibreOffice'i, GIMPi, Inkscape'i, Kdenlive'i, Steami, 0 A.D., Visual Studio Code'i, VLC, Slacki, Telegram Desktopi, Android Studio jne jaoks.

Paki suuruse vähendamiseks sisaldab see ainult rakenduse spetsiifilisi sõltuvusi. Baassüsteemi ja graafikakogud (GTK, Qt, GNOME ja KDE raamatukogud jne) tarnitakse plugina kujul standardsete runtime-keskkondadena. Flatpaki peamine erinevus Snapist seisneb selles, et Snap kasutab põhissüsteemi keskkonna komponente ja süsteemikutsungite filtreerimise põhjal isoleerimist, samas kui Flatpak loob süsteemist eraldi konteineri ja töötleb suuremaid runtime-komplekte, pakkudes sõltuvustena mitte pakette, vaid standardseid süsteemi keskkondi (nt kõik raamatukogud, mis on vajalikud GNOME või KDE programmide töötamiseks).

Lisaks standardsele süsteemi keskkonnale (runtime), mis installitakse spetsiaalse reposiitri kaudu, tarnitakse ka rakenduse tööks vajalikud täiendavad sõltuvused (bundle). Koos moodustavad "runtime" ja "bundle" konteineri sisu, kuid samas installitakse "runtime" eraldi ja seotakse korraga mitme konteineriga, mis võimaldab vältida süsteemifailide dubleerimist, mis on ühised konteineritele.

Ühes süsteemis võib olla mitu erinevat «runtime» (GNOME, KDE) või mitu versiooni sama «runtime» (GNOME 50, GNOME 49). Rakenduse konteiner sõltuvusena kasutab ainult kindlat «runtime», arvestamata valitud «runtime» moodustavaid eraldi pakette. Kõik puuduvad elemendid pakendatakse otse rakendusega koos. Konteinerit luues monteeritakse «runtime» sisu kaustana /usr, samas kui «bundle» monteeritakse kausta /app.

«Runtime» ja rakenduste konteinerite sisu luuakse OSTree tehnoloogia abil, kus pilt värskendatakse atomaarsetest Git-sarnastest hoidlatest, võimaldades rakendada versioonihaldusmeetodeid distributsi komponentide suhtes (näiteks saab kiiresti taastada süsteemi eelmisse olekusse). RPM-pakette kantakse OSTree hoidlasse läbi rpm-ostree liidese.

Valikuline pakettide installimine ja värskendamine töökeskkonnas ei ole toetatud — süsteemi värskendatakse mitte eraldi komponentide tasemel, vaid täielikult, atomaarsete muudatustega. Pakutakse vahendeid uuenduste inkrementaalse rakendamise jaoks, vältides vajadust iga uuenduse korral täieliku pildi asendamise järele.

Kujundatav isoleeritud keskkond ei sõltu kasutatavast distributsioonist ning korralike paketi seadistuste korral ei pääse see kasutaja või põhisüsteemi failidele ja protsessidele ning ei saa otse riistvaraga suhelda, välja arvatud väljund DRI kaudu. Graafika väljund ja sisendi korraldamine on rakendatud Wayland protokolli või X11 socket'i ülekandega. Suhtlemine väliskeskkonnaga toimub DBus sõnumivahetussüsteemi ja spetsiaalse API Portals kaudu.

Isolatsiooni tagamiseks kasutatakse Bubblewrap kihti ja traditsioonilisi Linuxi konteinerite virtualiseerimise tehnoloogiaid, mis põhinevad cgroupide, nimede ruumide (namespaces), Seccomp'i ja SELinux'i kasutamisel. Paketi loomisel võib isolatsiooni välja lülitada, mida kasutavad mõnede pakettide arendajad, et saada täielik juurdepääs failisüsteemile ja kõigile seadmetele süsteemis.

Allikas: opennet.ru