Release van Flatpak 1.18.0 op zichzelf staand pakketsysteem

После полутора лет разработки опубликована новая стабильная ветка инструментария Flatpak 1.18, предоставляющего систему для сборки самодостаточных пакетов, не привязанных к конкретным дистрибутивам Linux en uitgevoerd in een speciale container die de applicatie isoleert van de rest van het systeem. Ondersteuning voor het uitvoeren van Flatpak-pakketten is beschikbaar voor Fedora. CentOS, DebianArch Linux, Gentoo, Linux Mint, Alt Linux и UbuntuFlatpak-pakketten zijn opgenomen in de Fedora-repository en worden ondersteund door de standaard applicatiebeheerprogramma's van GNOME en KDE.

Belangrijkste innovaties in de Flatpak 1.18-branche:

• Реализована поддержка условных полномочий (conditional permission), позволяющих при запросе полномочий проверить наличие определённых возможностей в системе или в runtime. Например, при необходимости получения доступа к устройству ввода вместо «—device=all» можно запросить полномочие «—device-if=all:!has-input-device —device=input», которое предоставит доступ только к устройствам ввода или откатится на доступ ко всем устройствам если выборочное предоставление доступа не поддерживается в runtime. Аналогично можно запросить доступ к USB-устройвствам («has-usb-device» и «has-usb-portal») или совместно используемым подсистемам.
• Разрешён доступ к устройству /dev/ntsync для обращения к
  модулю ядра NTSYNC, реализующему набор примитивов для синхронизации, применяемых в ядре Windows NT и позволяющих существенно поднять производительность Windows-spellen gestart met Wine.
• Для GPU Intel Xe включена поддержка API VA-API для аппаратного ускорения декодирования видео.
• Реализована возможность доступа к устройству /dev/kfd (Kernel Fusion Driver) с использованием полномочий, предоставляемых для DRI-устройств. Драйвер kfd реализует интерфейс для прямого выполнения вычислений на GPU AMD из приложений, использующих AMD ROCm, HIP и OpenCL.
• Добавлена поддержка использования опций командой строки для проброса доступа к каталогам в изолированные приложения.
• Добавлена поддержка каталога «preinstall.d», определяющего список предустанавливаемых Flatpak-приложений (для включения Flatpak-приложений в состав операционной системы).
• Разрешена прямая установка приложений из образов контейнеров в формате OCI, которые могут загружаться из собственных OCI-репозиториев и локальных архивов.
• В команду «flatpak install —from» добавлена поддержка URI «flatpak+https://».
• В команду «flatpak run» добавлена опция «—clear-env» для очистки переменных окружения перед запуском приложения.
• Предоставлена возможность экспорта корневого каталога хост-окружения в изолированное окружение приложения с доступом через каталог /run/host/root.
• Добавлена возможность вывода результата выполнения команд в формате JSON.
• Усилена изоляция сборочного окружения — команда «flatpak build» теперь не предоставляет по умолчанию доступ к хосту.
• Добавлена команда «reinstall» для переустановки зависимостей (bundle).
• Настройки D-Bus по умолчанию перенесены из каталога /etc в /usr.
• Сокращено время запуска при использовании командного интерпретатора fish.
• В libflatpak добавлена функция для получения информации о времени создания конфигурации, что позволяет приложениям, таким как GNOME Software, определить, что прокэшированные ими данные требуют обновления.
• Удалена сборочная опция http_backend, вместо libsoup2 для загрузки по HTTP/HTTPS задействована библиотека libcurl.
• По умолчанию включено использование escape-последовательностей для индикации прогресса выполнения операции.
• Разрешено передавать права доступа к устройствам во вложенные sandbox-окружения, созданные через порталы Flatpak.
• Для приложений, поставляемых в форме OCI-образов, реализован механизм «extra-data», например, позволяющий организовать воспроизведение видео h.265 во Flatpak-пакетах Fedora Linux.
• Добавлена поддержка сжатия зависимостей (OCI bundle) с использованием алгоритма zstd, более эффективно сжимающего данные. По умолчанию для сжатия продолжает использоваться gzip, обеспечивающий максимальную совместимость.

Flatpak упрощает распространение программ, не входящих в штатные репозитории дистрибутивов, за счёт подготовки одного универсального контейнера, избавляющего разработчиков программ от необходимости формировать отдельные сборки для каждого дистрибутива. Пользователям, заботящимся о безопасности, Flatpak даёт возможность выполнить вызывающее сомнение приложение в контейнере, предоставив выборочный доступ только к необходимым сетевым функциям и файлам пользователя. Пользователям, интересующимся новинками, Flatpak позволяет установить самые свежие тестовые и стабильные выпуски приложений без необходимости внесения изменений в систему. Например, Flatpak-пакеты собираются для LibreOffice, GIMP, Inkscape, Kdenlive, Steam, 0 A.D., Visual Studio Code, VLC, Slack, Telegram Desktop, Android Studio, enz.

Om de omvang te beperken, zijn alleen applicatiespecifieke afhankelijkheden in het pakket opgenomen. Basissysteem- en grafische bibliotheken (GTK-, Qt-, GNOME- en KDE-bibliotheken, enz.) worden geleverd in de vorm van plug-in standaard runtime-omgevingen. Het belangrijkste verschil tussen Flatpak en Snap is dat Snap de componenten van de hoofdsysteemomgeving en isolatie gebruikt op basis van het filteren van systeemaanroepen, terwijl Flatpak een container creëert die gescheiden is van het systeem en werkt met grote runtimesets, waarbij pakketten niet als afhankelijkheden worden aangeboden, maar standaard systeemomgeving (bijvoorbeeld alle bibliotheken die nodig zijn voor de werking van GNOME- of KDE-programma's).

Naast de standaard systeemomgeving (runtime), geïnstalleerd via een speciale repository, worden aanvullende afhankelijkheden (bundel) geleverd die nodig zijn voor de werking van de applicatie. In totaal vormen “runtime” en “bundle” de inhoud van de container, terwijl “runtime” afzonderlijk wordt geïnstalleerd en aan meerdere containers tegelijk wordt gekoppeld, waardoor u het dupliceren van systeembestanden kunt voorkomen die gebruikelijk zijn in containers.

Op één systeem kunnen meerdere verschillende “runtimes” geïnstalleerd zijn (GNOME, KDE) of meerdere versies van dezelfde “runtime” (GNOME 50, GNOME 49). Een container met een applicatie als afhankelijkheid gebruikt alleen een binding aan een specifieke runtime, zonder rekening te houden met de individuele pakketten die de geselecteerde runtime vormen. Alle ontbrekende elementen worden direct bij de applicatie verpakt. Wanneer u een container maakt, wordt de inhoud van "runtime" aangekoppeld als de /usr-partitie, en wordt "bundle" aangekoppeld in de map /app.

De runtime- en applicatiecontainers zijn gebouwd met behulp van OSTree-technologie, waarbij de afbeelding atomair wordt bijgewerkt vanuit een Git-achtige repository, waardoor versiebeheermethoden kunnen worden toegepast op distributiecomponenten (u kunt het systeem bijvoorbeeld snel terugdraaien naar een vorige versie) staat). RPM-pakketten worden vertaald naar de OSTree-repository met behulp van de rpm-ostree-laag.

Selectieve installatie en updates van pakketten binnen de werkomgeving worden niet ondersteund - het systeem wordt niet bijgewerkt op het niveau van individuele componenten, maar als geheel, waardoor de staat ervan atomair verandert. Biedt tools om updates stapsgewijs toe te passen, waardoor het niet meer nodig is om de image bij elke update volledig te vervangen.

Формируемое изолированное окружение не зависит от используемого дистрибутива и при надлежащих настройках пакета не имеет доступа к файлам и процессам пользователя или основной системы, а также не может напрямую обращаться к оборудованию, за исключением вывода через DRI. Вывод графики и организация ввода реализованы при помощи протокола Wayland или через проброс сокета X11. Взаимодействие с внешней средой построено через систему обмена сообщениями DBus и специальный API Portals.

Voor isolatie, een laag bubbeltjesplastic en traditionele Linux Containervirtualisatietechnologieën gebaseerd op het gebruik van cgroups, namespaces, Seccomp en SELinux. При создании пакета изоляция может быть отключена, чем пользуются разработчики некоторых пакетов для получения полного доступа к ФС и всем устройствам в системе.

Bron: opennet.ru