[devel] I: rpm with sysusers support

[devel] I: rpm with sysusers support

[Arseny Maslennikov]

[-- Attachment #1: Type: text/plain, Size: 5588 bytes --]

Hi!

Скоро в сизифе очутится rpm, способный сам регистрировать uid и gid в
соответствии с директивами sysusers.d(5) в пакете, что наконец
положит начало всеобщей sysuserизации в сизифе.

Раньше мейнтейнеры пакетов, чтобы упаковать "системного пользователя" или
группу в пакет, были вынуждены дёргать shadow-utils из %pre в пакете, писать
для этого %pre-скрипт, ошибаться в этом скрипте, перепутывать секции, ставить
после команд "||:", забывать после команд "||:" и давить сапогом прочие грабли.
Мы движемся к тому, чтобы было достаточно упаковать в пакет
sysusers.d(5)-директиву, где всё ясно написано.

То есть, после того, как мейнтейнер избавляется от скриптов в пакете,
допустим, tcpdump:
>   diff --git a/tcpdump.spec b/tcpdump.spec
>   index 1093360f..92461532 100644
>   --- a/tcpdump.spec
>   +++ b/tcpdump.spec
>   @@ -48,18 +48,19 @@ headers, or just the ones that match particular criteria.
>    mkdir -p %buildroot%_datadir/%name
>    %makeinstall_std
>    install -pm755 *.awk %buildroot%_datadir/%name/
>   +mkdir -p %buildroot%_sysusersdir
>   +cat > %buildroot%_sysusersdir/tcpdump.conf <<EOConf
>   +u! tcpdump - "" /dev/null /dev/null
>   +EOConf
>    
>    %check
>    %make_build -k check
>    
>   -%post
>   -/usr/sbin/groupadd -r -f tcpdump
>   -/usr/sbin/useradd -r -g tcpdump -d /dev/null -s /dev/null -N tcpdump >/dev/null 2>&1 ||:
>   -
>    %files
>    %_bindir/*
>    %_datadir/%name
>    %_mandir/man?/*
>   +%_sysusersdir/*
>    %doc CHANGES CREDITS LICENSE README.md
>    
>    %changelog

уид по-прежнему зарегистрируется при установке пакета:
  % hsh-install -- systemd-sysusers-standalone
  <13>Sep 13 08:42:36 rpmi: systemd-modules-common-1:260.4-alt2 sisyphus+429117.100.1.2 1786389985 installed
  <13>Sep 13 08:42:36 rpmi: systemd-sysctl-common-1:260.4-alt2 sisyphus+429117.100.1.2 1786389985 installed
  <13>Sep 13 08:42:36 rpmi: systemd-utils-filetriggers-1:260.4-alt2 sisyphus+429117.100.1.2 1786389985 installed
  <13>Sep 13 08:42:36 rpmi: systemd-tmpfiles-common-1:260.4-alt2 sisyphus+429117.100.1.2 1786389985 installed
  <13>Sep 13 08:42:36 rpmi: libfdisk-2.39.2-alt3 sisyphus+423624.117600.34.1 1784348947 installed
  <13>Sep 13 08:42:37 rpmi: systemd-utils-standalone-1:260.4-alt2 sisyphus+429117.100.1.2 1786389985 installed
  % hsh-install -- tcpdump
  <13>Sep 13 08:42:58 rpmi: chrooted-0.3.12-alt1 sisyphus+327286.5300.14.1 1711487147 installed
  <13>Sep 13 08:42:58 rpmi: chrooted-resolv-0.3.1-alt2 sisyphus+276781.100.1.1 1625232499 installed
  <13>Sep 13 08:42:58 rpmi: libpcap0.8-2:1.10.5-alt1 sisyphus+373333.200.2.1 1738835147 installed
  Creating group 'tcpdump' with GID 999.
  Creating user 'tcpdump' (n/a) with UID 999 and GID 999.
  <13>Sep 13 08:42:58 rpmi: tcpdump-1:4.99.5-alt3 1789220264 installed

Да, в этом примере под псевдоусером ничего не ставится, и его создают не в
%pre, но на иллюстрацию это не влияет.

В пакете будут Provides: специального вида, а rpm сам будет их читать
и вовремя вызывать %__sysusers, чтобы та применила правило, закодированное
в этот Provides:.

Посмотреть директивы, которые будут применены при установке пакета, можно,
например, так:
    % rpm -q --queryformat '%{SYSUSERS}\n' tcpdump        
    u! tcpdump - "" /dev/null /dev/null

Это т. н. tag extension, которое декодирует "версию" из провайда.

Некоторые забавные факты:
* в providename (конкретно — его dsEVR) легко влезает base64-алфавит,
  включая разрешённую в версиях + и запрещённую в версиях /. От = удалось
  избавиться: недостающие биты до кратности 24 зануляются. Такие строки
  спокойно кладутся в теги пакета и спокойно же оттуда достаются. Мифы вокруг
  необходимости в base62 или чём-то особенном на этом фоне сильно поблёкли.
* Так как пока что у нас нет sysusers-программы с минимизированными зависимостями,
  от которой мог бы зависеть rpm, в комплектном macros.in %__sysusers
  определена в "true". В альтовом же platform.in, конфиге дистрорепозитория,
  взята альтернативо-управляемая ссылка "%_sbindir/systemd-sysusers".
  Что в репозитории имеем, то сюда и пишем.
  У кого нет systemd — у тех это будет (будет же?) симлинк
  на systemd-sysusers.standalone.

[-- Attachment #2: signature.asc --]
[-- Type: application/pgp-signature, Size: 833 bytes --]

[devel] IA: всеобщая sysuserизация сизифа

[Arseny Maslennikov]

[-- Attachment #1: Type: text/plain, Size: 4386 bytes --]

On Sun, Sep 13, 2026 at 05:21:50PM +0300, Arseny Maslennikov wrote:
> Hi!
> 
> Скоро в сизифе очутится rpm, способный сам регистрировать uid и gid в
> соответствии с директивами sysusers.d(5) в пакете, что наконец
> положит начало всеобщей sysuserизации в сизифе.

Сейчас, когда план всеобщей sysuserизации Сизифа достаточно детально ясен,
можно уже о ней говорить.

В достаточно светлом будущем я это вижу так:
* пакеты, ставящие файлы под чем-либо, кроме root, содержат
  Requires: user(что-то)
  либо сами предоставляют user(что-то) = <директива>; аналогично о группах;
* пакеты, содержащие m-директиву, получают зависимость на группу и
  на пользователя, которых туда включают;
* нужда возиться с system ugid в скриптах вообще отпадёт;
* в пакете setup /etc/passwd и /etc/group станут %ghost, их содержимое
  обернётся конфигом для sysusers.d(5), и при установке setup этот конфиг
  будет применён, а passwd(5) и group(5) возникнут.
* на основании предыдущих пунктов мы принимаем поправку к PseudoUserPolicy;
* у нас появится применялка sysusers.d, зависящая от libc.so и всё. Она
  облегчит footprint по кол-ву кода в малых, особенно неинтерактивных,
  окружениях, и снимет все возможные вопросы о bloatware.

В обозримом настоящем мы планируем следующее:
* rpm, способный ставить sysusers-директивы в пакетах, отправляется в сизиф.
  Если не найдётся причины поступить иначе, это произойдёт к ближайшей
  публикации сизифа.
* Вскоре после этого в sisyphus-check мы запрещаем зависимости вида
    /^Requires: (user|group|groupmember)\(.*\) [>=<].*$/
  Req без версии, Prov с версией и без.
  Кроме того, я б запретил упаковку в сизиф директив типа u, которые не u!;
  если есть причины так не делать — мы бы хотели их выслушать.
* После этого rpm-build config снимается с ручника, и у пакетов с файлами
  в %__sysusersdir после их пересборки начнут появляться провайды.
* Чтобы пакеты с такими провайдами могли не вызывать shadow-utils по старинке,
  они, помимо прочего, должны ставиться в hasher. Что касается и тех, которые
  hasher распаковывает как образ и потом ставит в режиме --justdb.
  Это значит, что в его базовую среду, видимо, попадут sysusers-standalone, и,
  вероятно, что-нибудь ещё значит.
* Когда это случится, возникнет отдельный анонс, и мы наконец-то порекомендуем
  мейнтейнерам полагаться на sysusers.d(5) и убирать костыли из пакетных
  скриптов.
* По мере уменьшения к-ва unmets от /^Requires: (user|group)\(.*\)$/ мы
  введём sysusers.req: если в пакете есть файлы под non-root user, то
  добавляем Req: user(), аналогично о группах. Скорее всего, это будет даже
  не скрипт, а код в rpm-build (он будет проходить по %attr, конечно).
* Что-нибудь ещё, что я забыл.

[-- Attachment #2: signature.asc --]
[-- Type: application/pgp-signature, Size: 833 bytes --]

Re: [devel] IA: всеобщая sysuserизация сизифа

[Alexei Takaseev]

----- Исходное сообщение -----
> От: "Arseny Maslennikov" <arseny@altlinux.org>
> Кому: "ALT Linux Team development discussions" <devel@lists.altlinux.org>
> Отправленные: Воскресенье, 13 Сентябрь 2026 г 22:24:19
> Тема: [devel] IA: всеобщая sysuserизация сизифа

> On Sun, Sep 13, 2026 at 05:21:50PM +0300, Arseny Maslennikov wrote:
>> Hi!
>> 
> 
> Сейчас, когда план всеобщей sysuserизации Сизифа достаточно детально ясен,
> можно уже о ней говорить.

Входит ли в этот план бэкпорт фичи в p10, p11 (да и в c10/c11 тоже)?

Re: [devel] IA: всеобщая sysuserизация сизифа

[Arseny Maslennikov]

[-- Attachment #1: Type: text/plain, Size: 1246 bytes --]

On Sun, Sep 13, 2026 at 10:28:38PM +0800, Alexei Takaseev wrote:
> 
> 
> ----- Исходное сообщение -----
> > От: "Arseny Maslennikov" <arseny@altlinux.org>
> > Кому: "ALT Linux Team development discussions" <devel@lists.altlinux.org>
> > Отправленные: Воскресенье, 13 Сентябрь 2026 г 22:24:19
> > Тема: [devel] IA: всеобщая sysuserизация сизифа
> 
> > On Sun, Sep 13, 2026 at 05:21:50PM +0300, Arseny Maslennikov wrote:
> >> Hi!
> >> 
> > 
> > Сейчас, когда план всеобщей sysuserизации Сизифа достаточно детально ясен,
> > можно уже о ней говорить.
> 
> Входит ли в этот план бэкпорт фичи в p10, p11
rpm с поддержкой фичи точно будет в p11; по крайней мере, я не вижу преград.
А вот вводить R: на псевдоюзеров и псевдогрупп в стабильный репозиторий
— уже есть сомнения.

> (да и в c10/c11 тоже)?
Этот вопрос нужно задать каким-нибудь правильным людям. :)

[-- Attachment #2: signature.asc --]
[-- Type: application/pgp-signature, Size: 833 bytes --]

Re: [devel] IA: всеобщая sysuserизация сизифа

[Anton Farygin]

On 9/13/26 17:36, Arseny Maslennikov wrote:
> On Sun, Sep 13, 2026 at 10:28:38PM +0800, Alexei Takaseev wrote:
>> ----- Исходное сообщение -----
>>> От: "Arseny Maslennikov"<arseny@altlinux.org>
>>> Кому: "ALT Linux Team development discussions"<devel@lists.altlinux.org>
>>> Отправленные: Воскресенье, 13 Сентябрь 2026 г 22:24:19
>>> Тема: [devel] IA: всеобщая sysuserизация сизифа
>>> On Sun, Sep 13, 2026 at 05:21:50PM +0300, Arseny Maslennikov wrote:
>>>> Hi!
>>>>
>>> Сейчас, когда план всеобщей sysuserизации Сизифа достаточно детально ясен,
>>> можно уже о ней говорить.
>> Входит ли в этот план бэкпорт фичи в p10, p11
> rpm с поддержкой фичи точно будет в p11; по крайней мере, я не вижу преград.
> А вот вводить R: на псевдоюзеров и псевдогрупп в стабильный репозиторий
> — уже есть сомнения.

Основной вопрос в том, что бы specfile из sisyphus без изменений можно 
было использовать в p11.

А так отличное движение вперёд, спасибо. Этого очень не хватало.

Будет ли политика по системным именам пользователей, которая гарантирует 
непересечение с реальными ?

Re: [devel] IA: всеобщая sysuserизация сизифа

[Arseny Maslennikov]

[-- Attachment #1: Type: text/plain, Size: 2377 bytes --]

On Mon, Sep 14, 2026 at 08:28:23AM +0300, Anton Farygin wrote:
> On 9/13/26 17:36, Arseny Maslennikov wrote:
> > On Sun, Sep 13, 2026 at 10:28:38PM +0800, Alexei Takaseev wrote:
> > > ----- Исходное сообщение -----
> > > > От: "Arseny Maslennikov"<arseny@altlinux.org>
> > > > Кому: "ALT Linux Team development discussions"<devel@lists.altlinux.org>
> > > > Отправленные: Воскресенье, 13 Сентябрь 2026 г 22:24:19
> > > > Тема: [devel] IA: всеобщая sysuserизация сизифа
> > > > On Sun, Sep 13, 2026 at 05:21:50PM +0300, Arseny Maslennikov wrote:
> > > > > Hi!
> > > > > 
> > > > Сейчас, когда план всеобщей sysuserизации Сизифа достаточно детально ясен,
> > > > можно уже о ней говорить.
> > > Входит ли в этот план бэкпорт фичи в p10, p11
> > rpm с поддержкой фичи точно будет в p11; по крайней мере, я не вижу преград.
> > А вот вводить R: на псевдоюзеров и псевдогрупп в стабильный репозиторий
> > — уже есть сомнения.
> 
> Основной вопрос в том, что бы specfile из sisyphus без изменений можно было
> использовать в p11.

Предложение ув. zerg@ из соседнего треда делать и то, и другое будет
нужно, скорее всего, в p10 и более ранних. В p11 будет достаточно нового
способа после того, как его будет достаточно в сизифе.

> А так отличное движение вперёд, спасибо. Этого очень не хватало.
> 
> Будет ли политика по системным именам пользователей, которая гарантирует
> непересечение с реальными ?

Вообще да, нам стоит реанимировать черновик PseudoUserPolicy.
Я выступаю за то, чтобы такая гарантия была; уже сложилась практика
у ряда мейнтейнеров начинать их с `_`.

[-- Attachment #2: signature.asc --]
[-- Type: application/pgp-signature, Size: 833 bytes --]

[devel] Re: IA: всеобщая sysuserизация сизифа

[Sergey V Turchin]

On Monday, 14 September 2026 10:22:58 MSK Arseny Maslennikov wrote:

[...]
> Вообще да, нам стоит реанимировать черновик PseudoUserPolicy.
> Я выступаю за то, чтобы такая гарантия была; уже сложилась практика
> у ряда мейнтейнеров начинать их с `_`.
Только, пожалуйста, не делайте обязательным начальный `_`, т.к. в этом случае 
работа по отслеживанию исходников некоторых проектов типа plasma-login-manager 
будет возложена на автора такого требования.

[...]

-- 
Regards, Sergey.

Re: [devel] IA: всеобщая sysuserизация сизифа

[Anton Farygin]

On 9/14/26 10:22, Arseny Maslennikov wrote:
>> Основной вопрос в том, что бы specfile из sisyphus без изменений можно было
>> использовать в p11.
> Предложение ув. zerg@ из соседнего треда делать и то, и другое будет
> нужно, скорее всего, в p10 и более ранних. В p11 будет достаточно нового
> способа после того, как его будет достаточно в сизифе.

поддержка p10 официально закончена, думаю что вообще не имеет смысла 
думать о бэкпорте туда изменений.

[devel] Backport пакетов с sysusers.d в старые репозитории

[Arseny Maslennikov]

[-- Attachment #1: Type: text/plain, Size: 2498 bytes --]

On Sun, Sep 13, 2026 at 10:28:38PM +0800, Alexei Takaseev wrote:
> 
> 
> ----- Исходное сообщение -----
> > От: "Arseny Maslennikov" <arseny@altlinux.org>
> > Кому: "ALT Linux Team development discussions" <devel@lists.altlinux.org>
> > Отправленные: Воскресенье, 13 Сентябрь 2026 г 22:24:19
> > Тема: [devel] IA: всеобщая sysuserизация сизифа
> 
> > On Sun, Sep 13, 2026 at 05:21:50PM +0300, Arseny Maslennikov wrote:
> >> Hi!
> >> 
> > 
> > Сейчас, когда план всеобщей sysuserизации Сизифа достаточно детально ясен,
> > можно уже о ней говорить.
> 
> Входит ли в этот план бэкпорт фичи в p10, p11 (да и в c10/c11 тоже)?

Предлагаю для этого полуавтомат:
https://altlinux.space/arseny/ug-preinstall
там есть и будет readme с примером использования.

Достаточно скормить ему пакет для сизифа или p11.
Оно сформирует новый вспомогательный пустой пакет, в %post которого
будут вызовы shadow-utils. Получившийся УГ-пакет будет провайдить
всё, что нужно, и при своей установке создавать всё, что нужно;
а в оригинальный пакет с директивой без скриптов можно поставить
явную зависимость. В p11 и свежее она будет самоудовлетворена,
в более ранних это будет зависимость на "унылый" пакет.

Отправлять УГ-пакет в свежие бранчи не нужно.
Спек основного пакета будет пригоден и для бранчей по-старому, и для
бранчей по-новому.
В обновлениях основного пакета, как правило, псевдоюзеров и
псевдогруппы не трогают, так что это может оказаться одноразовым
действием. А если вдруг многоразовым — унылый пакет генерируется
автоматически, нагрузка на мейнтейнера минимальна.

[-- Attachment #2: signature.asc --]
[-- Type: application/pgp-signature, Size: 833 bytes --]

Re: [devel] Backport пакетов с sysusers.d в старые репозитории

[Anton Farygin]

On 9/29/26 21:39, Arseny Maslennikov wrote:
> On Sun, Sep 13, 2026 at 10:28:38PM +0800, Alexei Takaseev wrote:
>>
>>
>> Сейчас, когда план всеобщей sysuserизации Сизифа достаточно детально ясен,
>> можно уже о ней говорить.
>> Входит ли в этот план бэкпорт фичи в p10, p11 (да и в c10/c11 тоже)?
> Предлагаю для этого полуавтомат:
> https://altlinux.space/arseny/ug-preinstall
> там есть и будет readme с примером использования.
>
> Достаточно скормить ему пакет для сизифа или p11.
> Оно сформирует новый вспомогательный пустой пакет, в %post которого
> будут вызовы shadow-utils. Получившийся УГ-пакет будет провайдить
> всё, что нужно, и при своей установке создавать всё, что нужно;
> а в оригинальный пакет с директивой без скриптов можно поставить
> явную зависимость. В p11 и свежее она будет самоудовлетворена,
> в более ранних это будет зависимость на "унылый" пакет.
>
> Отправлять УГ-пакет в свежие бранчи не нужно.
> Спек основного пакета будет пригоден и для бранчей по-старому, и для
> бранчей по-новому.
> В обновлениях основного пакета, как правило, псевдоюзеров и
> псевдогруппы не трогают, так что это может оказаться одноразовым
> действием. А если вдруг многоразовым — унылый пакет генерируется
> автоматически, нагрузка на мейнтейнера минимальна.

Какое-то безудержное плодение пустых мусорных пакетов получается. А кто 
их удалять будет при обновлении ?

Нет ли более прямого способа ?

Re: [devel] Backport пакетов с sysusers.d в старые репозитории

[Paul Wolneykien]

В Tue, 29 Sep 2026 21:44:43 +0300
Anton Farygin пишет:

> On 9/29/26 21:39, Arseny Maslennikov wrote:
> > On Sun, Sep 13, 2026 at 10:28:38PM +0800, Alexei Takaseev wrote:  
> >>
> >>
> >> Сейчас, когда план всеобщей sysuserизации Сизифа достаточно детально ясен,
> >> можно уже о ней говорить.
> >> Входит ли в этот план бэкпорт фичи в p10, p11 (да и в c10/c11 тоже)?  
> > Предлагаю для этого полуавтомат:
> > https://altlinux.space/arseny/ug-preinstall
> > там есть и будет readme с примером использования.
> >
> > Достаточно скормить ему пакет для сизифа или p11.
> > Оно сформирует новый вспомогательный пустой пакет, в %post которого
> > будут вызовы shadow-utils. Получившийся УГ-пакет будет провайдить
> > всё, что нужно, и при своей установке создавать всё, что нужно;
> > а в оригинальный пакет с директивой без скриптов можно поставить
> > явную зависимость. В p11 и свежее она будет самоудовлетворена,
> > в более ранних это будет зависимость на "унылый" пакет.
> >
> > Отправлять УГ-пакет в свежие бранчи не нужно.
> > Спек основного пакета будет пригоден и для бранчей по-старому, и для
> > бранчей по-новому.
> > В обновлениях основного пакета, как правило, псевдоюзеров и
> > псевдогруппы не трогают, так что это может оказаться одноразовым
> > действием. А если вдруг многоразовым — унылый пакет генерируется
> > автоматически, нагрузка на мейнтейнера минимальна.  
> 
> Какое-то безудержное плодение пустых мусорных пакетов получается. А кто 
> их удалять будет при обновлении ?
> 
> Нет ли более прямого способа ?

  Можно, наверное, создавать пакет автоматически, вроде как debuginfo
делается. А вот удалять...

Re: [devel] Backport пакетов с sysusers.d в старые репозитории

[Arseny Maslennikov]

[-- Attachment #1: Type: text/plain, Size: 3561 bytes --]

On Tue, Sep 29, 2026 at 10:18:13PM +0300, Paul Wolneykien wrote:
> В Tue, 29 Sep 2026 21:44:43 +0300
> Anton Farygin пишет:
> 
> > On 9/29/26 21:39, Arseny Maslennikov wrote:
> > > On Sun, Sep 13, 2026 at 10:28:38PM +0800, Alexei Takaseev wrote:  
> > >>
> > >>
> > >> Сейчас, когда план всеобщей sysuserизации Сизифа достаточно детально ясен,
> > >> можно уже о ней говорить.
> > >> Входит ли в этот план бэкпорт фичи в p10, p11 (да и в c10/c11 тоже)?  
> > > Предлагаю для этого полуавтомат:
> > > https://altlinux.space/arseny/ug-preinstall
> > > там есть и будет readme с примером использования.
> > >
> > > Достаточно скормить ему пакет для сизифа или p11.
> > > Оно сформирует новый вспомогательный пустой пакет, в %post которого
> > > будут вызовы shadow-utils. Получившийся УГ-пакет будет провайдить
> > > всё, что нужно, и при своей установке создавать всё, что нужно;
> > > а в оригинальный пакет с директивой без скриптов можно поставить
> > > явную зависимость. В p11 и свежее она будет самоудовлетворена,
> > > в более ранних это будет зависимость на "унылый" пакет.
> > >
> > > Отправлять УГ-пакет в свежие бранчи не нужно.
> > > Спек основного пакета будет пригоден и для бранчей по-старому, и для
> > > бранчей по-новому.
> > > В обновлениях основного пакета, как правило, псевдоюзеров и
> > > псевдогруппы не трогают, так что это может оказаться одноразовым
> > > действием. А если вдруг многоразовым — унылый пакет генерируется
> > > автоматически, нагрузка на мейнтейнера минимальна.  
> > 
> > Какое-то безудержное плодение пустых мусорных пакетов получается. А кто 
> > их удалять будет при обновлении ?
> > 
> > Нет ли более прямого способа ?
> 
>   Можно, наверное, создавать пакет автоматически, вроде как debuginfo
> делается. А вот удалять...

Создание debuginfo-пакетов — это не какой-то системный движок в
rpm-build, оно вхакано в код на C как особый случай. Ради компата
добавлять туда что-то, тем более в несизифные форки, мне показалось
чрезмерным.

Кроме того, ходят слухи, что бывают такие бранчи наших репозиториев, в
которых пакеты нельзя модифицировать, если не исправляется уязвимость.
Т. е., если верить слухам, поменять там код rpm-build просто нельзя.

[-- Attachment #2: signature.asc --]
[-- Type: application/pgp-signature, Size: 833 bytes --]

Re: [devel] Backport пакетов с sysusers.d в старые репозитории

[Anton Midyukov]

29.09.2026 23:35, Arseny Maslennikov пишет:
> On Tue, Sep 29, 2026 at 10:18:13PM +0300, Paul Wolneykien wrote:
>> В Tue, 29 Sep 2026 21:44:43 +0300
>> Anton Farygin пишет:
>>
>>> On 9/29/26 21:39, Arseny Maslennikov wrote:
>>>> On Sun, Sep 13, 2026 at 10:28:38PM +0800, Alexei Takaseev wrote:  
>>>>>
>>>>>
>>>>> Сейчас, когда план всеобщей sysuserизации Сизифа достаточно детально ясен,
>>>>> можно уже о ней говорить.
>>>>> Входит ли в этот план бэкпорт фичи в p10, p11 (да и в c10/c11 тоже)?  
>>>> Предлагаю для этого полуавтомат:
>>>> https://altlinux.space/arseny/ug-preinstall
>>>> там есть и будет readme с примером использования.
>>>>
>>>> Достаточно скормить ему пакет для сизифа или p11.
>>>> Оно сформирует новый вспомогательный пустой пакет, в %post которого
>>>> будут вызовы shadow-utils. Получившийся УГ-пакет будет провайдить
>>>> всё, что нужно, и при своей установке создавать всё, что нужно;
>>>> а в оригинальный пакет с директивой без скриптов можно поставить
>>>> явную зависимость. В p11 и свежее она будет самоудовлетворена,
>>>> в более ранних это будет зависимость на "унылый" пакет.
>>>>
>>>> Отправлять УГ-пакет в свежие бранчи не нужно.
>>>> Спек основного пакета будет пригоден и для бранчей по-старому, и для
>>>> бранчей по-новому.
>>>> В обновлениях основного пакета, как правило, псевдоюзеров и
>>>> псевдогруппы не трогают, так что это может оказаться одноразовым
>>>> действием. А если вдруг многоразовым — унылый пакет генерируется
>>>> автоматически, нагрузка на мейнтейнера минимальна.  
>>>
>>> Какое-то безудержное плодение пустых мусорных пакетов получается. А кто 
>>> их удалять будет при обновлении ?
>>>
>>> Нет ли более прямого способа ?
>>
>>   Можно, наверное, создавать пакет автоматически, вроде как debuginfo
>> делается. А вот удалять...
> 
> Создание debuginfo-пакетов — это не какой-то системный движок в
> rpm-build, оно вхакано в код на C как особый случай. Ради компата
> добавлять туда что-то, тем более в несизифные форки, мне показалось
> чрезмерным.
> 
> Кроме того, ходят слухи, что бывают такие бранчи наших репозиториев, в
> которых пакеты нельзя модифицировать, если не исправляется уязвимость.
> Т. е., если верить слухам, поменять там код rpm-build просто нельзя.
Это не слухи. В c бранчах та часть пакетов, которая входит в дистрибутивы, обновляется только для закрытия уязвимостей.
Поэтому rpm там обновить проблематично.
Но rpm-build не входит в число таких пакетов, его можно обновлять.

-- 
best regards, Anton Midyukov <antohami@altlinux.org>

Re: [devel] Backport поддержки %conf в пакетах

[Arseny Maslennikov]

[-- Attachment #1: Type: text/plain, Size: 1062 bytes --]

On Thu, Oct 01, 2026 at 07:54:49AM +0300, Anton Midyukov wrote:
> 29.09.2026 23:35, Arseny Maslennikov пишет:
> > Кроме того, ходят слухи, что бывают такие бранчи наших репозиториев, в
> > которых пакеты нельзя модифицировать, если не исправляется уязвимость.
> > Т. е., если верить слухам, поменять там код rpm-build просто нельзя.
> Это не слухи. В c бранчах та часть пакетов, которая входит в дистрибутивы,
> обновляется только для закрытия уязвимостей.
> Поэтому rpm там обновить проблематично.
> Но rpm-build не входит в число таких пакетов, его можно обновлять.

BTW, это значит, что туда можно сбекпортировать и поддержку секции %conf в спеках.

[-- Attachment #2: signature.asc --]
[-- Type: application/pgp-signature, Size: 833 bytes --]

Re: [devel] Backport пакетов с sysusers.d в старые репозитории

[Arseny Maslennikov]

[-- Attachment #1: Type: text/plain, Size: 3202 bytes --]

On Tue, Sep 29, 2026 at 09:44:43PM +0300, Anton Farygin wrote:
> On 9/29/26 21:39, Arseny Maslennikov wrote:
> > On Sun, Sep 13, 2026 at 10:28:38PM +0800, Alexei Takaseev wrote:
> > > Входит ли в этот план бэкпорт фичи в p10, p11 (да и в c10/c11 тоже)?
> > Предлагаю для этого полуавтомат:
> > https://altlinux.space/arseny/ug-preinstall
> > там есть и будет readme с примером использования.
> > 
> > Достаточно скормить ему пакет для сизифа или p11.
> > Оно сформирует новый вспомогательный пустой пакет, в %post которого
> > будут вызовы shadow-utils. Получившийся УГ-пакет будет провайдить
> > всё, что нужно, и при своей установке создавать всё, что нужно;
> > а в оригинальный пакет с директивой без скриптов можно поставить
> > явную зависимость. В p11 и свежее она будет самоудовлетворена,
> > в более ранних это будет зависимость на "унылый" пакет.
> > 
> > Отправлять УГ-пакет в свежие бранчи не нужно.
> > Спек основного пакета будет пригоден и для бранчей по-старому, и для
> > бранчей по-новому.
> > В обновлениях основного пакета, как правило, псевдоюзеров и
> > псевдогруппы не трогают, так что это может оказаться одноразовым
> > действием. А если вдруг многоразовым — унылый пакет генерируется
> > автоматически, нагрузка на мейнтейнера минимальна.
> 
> Какое-то безудержное плодение пустых мусорных пакетов получается. А кто их
> удалять будет при обновлении ?

Я сначала подумал "удалять из репозитория" и затупил. А потом
как понял...

При обновлении машины в предложенном сценарии — никто; если только apt
отчего-нибудь не сообразит пометить их как auto с т. з. apt-mark. Вообще
я об этом не думал :D

Интересно, что будет, если в системе был пакет A и ему
соответствующий УГ-пакет с (условно):

    Provides: user(A) = dSEgQSAtICIi

а потом её обновляют до мн-ва пакетов, где этот провайд
с той же версией переехал в сам пакет A. А ведь именно так и будет,
если предложенный метод с переходными пакетами принять as-is.

[-- Attachment #2: signature.asc --]
[-- Type: application/pgp-signature, Size: 833 bytes --]

Re: [devel] Backport пакетов с sysusers.d в старые репозитории

[Anton Farygin]

On 9/30/26 11:45, Arseny Maslennikov wrote:
> а потом её обновляют до мн-ва пакетов, где этот провайд
> с той же версией переехал в сам пакет A. А ведь именно так и будет,
> если предложенный метод с переходными пакетами принять as-is.

думаю что надо что-то другое придумать.

например какой-то один пакет, который создаёт каких надо пользователей 
по зависимостям.

Re: [devel] Backport пакетов с sysusers.d в старые репозитории

[Anton Midyukov]

30.09.2026 11:53, Anton Farygin пишет:
> On 9/30/26 11:45, Arseny Maslennikov wrote:
>> а потом её обновляют до мн-ва пакетов, где этот провайд
>> с той же версией переехал в сам пакет A. А ведь именно так и будет,
>> если предложенный метод с переходными пакетами принять as-is.
> 
> думаю что надо что-то другое придумать.
> 
> например какой-то один пакет, который создаёт каких надо пользователей по зависимостям.

А можно всего лишь продолжать писать создание пользователей в спеке,
пока эти репозитории не будут сняты с поддержки окончательно.

-- 
best regards, Anton Midyukov <antohami@altlinux.org>

Re: [devel] Backport пакетов с sysusers.d в старые репозитории

[Anton Farygin]

On 9/30/26 12:06, Anton Midyukov wrote:
> 30.09.2026 11:53, Anton Farygin пишет:
>> On 9/30/26 11:45, Arseny Maslennikov wrote:
>>> а потом её обновляют до мн-ва пакетов, где этот провайд
>>> с той же версией переехал в сам пакет A. А ведь именно так и будет,
>>> если предложенный метод с переходными пакетами принять as-is.
>> думаю что надо что-то другое придумать.
>>
>> например какой-то один пакет, который создаёт каких надо пользователей по зависимостям.
> А можно всего лишь продолжать писать создание пользователей в спеке,
> пока эти репозитории не будут сняты с поддержки окончательно.
>
Тогда мы никогда не перейдём.

Re: [devel] Backport пакетов с sysusers.d в старые репозитории

[Anton Midyukov]

30.09.2026 12:07, Anton Farygin пишет:
> On 9/30/26 12:06, Anton Midyukov wrote:
>> 30.09.2026 11:53, Anton Farygin пишет:
>>> On 9/30/26 11:45, Arseny Maslennikov wrote:
>>>> а потом её обновляют до мн-ва пакетов, где этот провайд
>>>> с той же версией переехал в сам пакет A. А ведь именно так и будет,
>>>> если предложенный метод с переходными пакетами принять as-is.
>>> думаю что надо что-то другое придумать.
>>>
>>> например какой-то один пакет, который создаёт каких надо пользователей по зависимостям.
>> А можно всего лишь продолжать писать создание пользователей в спеке,
>> пока эти репозитории не будут сняты с поддержки окончательно.
>>
> Тогда мы никогда не перейдём.
Это не так. Новая технология работает независимо от того, что в %pre/%post написано.
И далеко не все пакеты обновляются в бранчах. И у всех пакетов и так уже прописано в спеках.
Не удаляйте ещё несколько лет оттуда создание пользователей. В пакетах, где уже всё есть.

-- 
best regards, Anton Midyukov <antohami@altlinux.org>

Re: [devel] Backport пакетов с sysusers.d в старые репозитории

[Alexey V. Vissarionov]

Good ${greeting_time}!

On 2026-09-30 12:07:50 +0300, Anton Farygin wrote:

 >>> например какой-то один пакет, который создаёт каких надо
 >>> пользователей по зависимостям.
 >> А можно всего лишь продолжать писать создание пользователей
 >> в спеке, пока эти репозитории не будут сняты с поддержки
 > Тогда мы никогда не перейдём.

Тогда и не надо. Пользователь - полностью усерспейсный объект
(исключения есть, но, как я уже писал в этом треде, достаточно
не занимать UIDы и GIDы меньше 300), поэтому вся необходимая
информация о нем доступна из /etc/passwd


-- 
Alexey V. Vissarionov
gremlin ПРИ altlinux ТЧК org; +vii-cmiii-ccxxix-lxxix-xlii
GPG: 0D92F19E1C0DC36E27F61A29CD17E2B43D879005 @ hkp://keys.gnupg.net

Re: [devel] Backport пакетов с sysusers.d в старые репозитории

[Paul Wolneykien]

В Wed, 30 Sep 2026 11:45:24 +0300
Arseny Maslennikov пишет:

> Интересно, что будет, если в системе был пакет A и ему
> соответствующий УГ-пакет с (условно):
> 
>     Provides: user(A) = dSEgQSAtICIi
> 
> а потом её обновляют до мн-ва пакетов, где этот провайд
> с той же версией переехал в сам пакет A.

  Очевидно, он должен сказать Provides: user(A) = ..., Obsoletes:
УГ-пакет.

> А ведь именно так и будет,
> если предложенный метод с переходными пакетами принять as-is.

Re: [devel] IA: всеобщая sysuserизация сизифа

[Arseny Maslennikov]

[-- Attachment #1: Type: text/plain, Size: 2563 bytes --]

On Sun, Sep 13, 2026 at 05:24:19PM +0300, Arseny Maslennikov wrote:
> Сейчас, когда план всеобщей sysuserизации Сизифа достаточно детально ясен,
> можно уже о ней говорить.
> 
> В обозримом настоящем мы планируем следующее:
> <...>
> * Вскоре после этого в sisyphus-check мы запрещаем зависимости вида
>     /^Requires: (user|group|groupmember)\(.*\) [>=<].*$/
>   Req без версии, Prov с версией и без.

https://git.altlinux.org/tasks/432914
'u' пока не запрещены, поэтому мёржить рановато.

>   Кроме того, я б запретил упаковку в сизиф директив типа u, которые не u!;
>   если есть причины так не делать — мы бы хотели их выслушать.
> * После этого rpm-build config снимается с ручника, и у пакетов с файлами
>   в %__sysusersdir после их пересборки начнут появляться провайды.
> * Чтобы пакеты с такими провайдами могли не вызывать shadow-utils по старинке,
>   они, помимо прочего, должны ставиться в hasher. Что касается и тех, которые
>   hasher распаковывает как образ и потом ставит в режиме --justdb.
>   Это значит, что в его базовую среду, видимо, попадут sysusers-standalone, и,
>   вероятно, что-нибудь ещё значит.
> * Когда это случится, возникнет отдельный анонс, и мы наконец-то порекомендуем
>   мейнтейнерам полагаться на sysusers.d(5) и убирать костыли из пакетных
>   скриптов.
> * По мере уменьшения к-ва unmets от /^Requires: (user|group)\(.*\)$/ мы
>   введём sysusers.req: если в пакете есть файлы под non-root user, то
>   добавляем Req: user(), аналогично о группах. Скорее всего, это будет даже
>   не скрипт, а код в rpm-build (он будет проходить по %attr, конечно).
> * Что-нибудь ещё, что я забыл.

[-- Attachment #2: signature.asc --]
[-- Type: application/pgp-signature, Size: 833 bytes --]

[devel] Совместимость со старыми ветками (Was: rpm with sysusers support)

[Sergey V Turchin]

On Sunday, 13 September 2026 17:21:26 MSK Arseny Maslennikov wrote:
> Hi!
> 
> Скоро в сизифе очутится rpm, способный сам регистрировать uid и gid в
> соответствии с директивами sysusers.d(5) в пакете, что наконец
> положит начало всеобщей sysuserизации в сизифе.
Как обеспечить совместимость со старыми ветками?
Достаточно ли использовать сразу и старый и новый метод?

[...]

-- 
Regards, Sergey.

Re: [devel] Совместимость со старыми ветками (Was: rpm with sysusers support)

[Arseny Maslennikov]

[-- Attachment #1: Type: text/plain, Size: 1247 bytes --]

On Mon, Sep 14, 2026 at 09:27:28AM +0300, Sergey V Turchin wrote:
> On Sunday, 13 September 2026 17:21:26 MSK Arseny Maslennikov wrote:
> > Hi!
> > 
> > Скоро в сизифе очутится rpm, способный сам регистрировать uid и gid в
> > соответствии с директивами sysusers.d(5) в пакете, что наконец
> > положит начало всеобщей sysuserизации в сизифе.
> Как обеспечить совместимость со старыми ветками?
> Достаточно ли использовать сразу и старый и новый метод?

Да; желательно, чтобы поля и свойства там и тут совпадали.

sysusers.d(5):
>      g
>          Create a system group of the specified name
>          should it not exist yet. Note that u
>          implicitly creates a matching group.
Т. е. в типичном случае g-директива даже и не нужна, а u!-директива
создаёт сразу и одноимённую группу. Это, ясное дело, отличается от
практики вокруг shadow-utils.

[-- Attachment #2: signature.asc --]
[-- Type: application/pgp-signature, Size: 833 bytes --]

Re: [devel] I: rpm with sysusers support

[Alexey V. Vissarionov]

Good ${greeting_time}!

On 2026-09-13 17:21:26 +0300, Arseny Maslennikov wrote:

 > Скоро в сизифе очутится rpm, способный сам регистрировать uid
 > и gid в соответствии с директивами sysusers.d(5) в пакете,
 > что наконец положит начало всеобщей sysuserизации в сизифе.

Надо сделать так, чтобы можно было обойтись без всеобщей.

 > Раньше мейнтейнеры пакетов, чтобы упаковать "системного
 > пользователя" или группу в пакет, были вынуждены дёргать
 > shadow-utils из %pre в пакете, писать для этого %pre-скрипт

Да ну? А что мешало делать это в %post или, еще лучше, отдать
на усмотрение администратора?

 >> +cat > %buildroot%_sysusersdir/tcpdump.conf <<EOConf
 >> +u! tcpdump - "" /dev/null /dev/null
 >> +EOConf

А /dev/null здесь, разумеется, вместо $HOME и шелла?
Голову таким мейнтейнерам оторвать, ибо все равно не пользуются.

 > * Так как пока что у нас нет sysusers-программы с
 > минимизированными зависимостями, от которой мог бы
 > зависеть rpm,

И не надо: rpm вообще ни от чего, кроме библиотек, зависеть не
должен. Вообще никогда и никак. Хочется странного - наоборот,
добавляем странный пакет с зависимостью от rpm.

 > в комплектном macros.in %__sysusers определена в "true".

Нужно как минимум предусмотреть какой-то пакет без лишних
зависимостей, установка которого будет обеспечивать надежную
защиту системы от появления такой функциональности.

Но лучше обойтись и без этого: кому понадобится дополнительная
функциональность, те поставят дополнительный пакет.

 > В альтовом же platform.in, конфиге дистрорепозитория, взята
 > альтернативо-управляемая ссылка "%_sbindir/systemd-sysusers".

Зачем? Даже если их вдруг будет более одного (вышеописанный
случай "как минимум"), достаточно держать в репе несколько
пакетов с файловым конфликтом - в системе будет установлен
ровно один из них (тот, который нужен администратору).

 > Что в репозитории имеем, то сюда и пишем. У кого нет systemd у
 > тех это будет (будет же?) симлинк на systemd-sysusers.standalone.

Не будет. Как и любых других поделий от разработчиков systemd.
И обрабатывать такую ситуацию следует по принципу "нет - и не надо".

SysVinit - наше огромное конкурентное преимущество, и отказ от него
(в том числе попытки вот такого ползучего вытеснения) будет такой же
огромной глупостью. А может быть, даже больше, чем глупостью.


-- 
Alexey V. Vissarionov
gremlin ПРИ altlinux ТЧК org; +vii-cmiii-ccxxix-lxxix-xlii
GPG: 0D92F19E1C0DC36E27F61A29CD17E2B43D879005 @ hkp://keys.gnupg.net