test-cgroup-util: Ignore LXC group

LXC helper processes hide themselve in .lxc cgroup, we don't have to
deal with the inside tests (and the error in conversion to unit is handled).
Skip those but keep iterating over remaining processes to detect what
can be created around us.

test-cgroup-util: Skip procs analysis without cgroupfs

cg_pidref_get_path() cannot work (current implementaion) without
cgroupfs (when it checks unified or not setup). Similarly,
cg_pidref_get_unit() assumes all processes are part of a unit. So carry
out the test only when running on a systemd setup.

test-cgroup-util: Check return values

The test is supposed to check a battery of cgroup helpers on each
process found but it doesn't literally check anything besides presence
of procfs. (One can visually check printed output only. Introduction in
aff38e74bd ("nspawn: suffix the nspawn cgroups with ".nspawn"").)

Make some assumptions about visible processes and turn the test into
testing that systemd helpers can deal with whatever process they find on
the SUT.

Reported by Coverity and
Fixes CID#1587767

hostname: fix typo

Follow-up for af9c45d5b6c1b1962731dffc638a2320e5eef095.

resolve question marks in /etc/hostname to characters hashed from machine ID (#36647)

So I have a bunch of particle os instances around, that I frequently
factory reset. and it's confusing, since they all have the same name.
Let's do something about this, and extend the hostname setup logic a bit
to deal better with "cattle" rather than "pet" deployments.
Specifically: if a hostname in /etc/hostname contains a bunch of
question marks we'll replace it with hex chars hashed from the machine
id.

This allows us to do something like this:

hostnamectl set-hostname --static 'funky-????-????-???'

and we'll end up with a hostname like `funky-baf4-b653-e230`

mountfsd: add complete varlink introspection comments (#36703)

update TODO

mountfsd: also return suggested mount point paths for the returned partitions

When mounting a disk image we return a bunch of mount fds referencing
the various partitions in the disk, along with some metadata about them.
One key metadata field is the "designator" which is supposed to tell
clients what is what, and where to mount it.

Let's make this more explicit: let's also include the literal relative
path where each mount shall be placed, to simplify implementations of
clients that do not care about the concept of designators.

mountfsd: complete varlink introspection comments

update TODO

update TODO

test: add test checking if pattern based hostnames work

hostname: support that /etc/hostname contains ??? as wildcards to be replaced by hash value from /etc/machine-id

basic: move gethostname_full() from basic/hostname-util.c → shared/hostname-setup.c

In one of the next commits we'd like to introduce a concept of
optionally hashing the hostname from the machine ID. For that we we need
to optionally back gethostname_full() by code involving sd-id128, hence
let's move it from src/basic/ to src/shared/, since only there we are
allowed to use our public APIs.

update TODO

bus-polkit: shortcut auth. after first denial

A D-Bus/Varlink method can issue PolicyKit auth. requests for multiple
actions; in this case the method is expected to fail on the first one
that is not allowed. This is enforced by asserts in
async_polkit_read_reply(), but that's a wrong place for the check for
two reasons:

1. it doesn't allow to get a meaningful stack trace;
2. sending the query to polkit is already a pointless exercise.

Let's do the check in *_verify_polkit_async_full() and don't send
anything to PolicyKit in that case.

Inspired by https://bugzilla.redhat.com/show_bug.cgi?id=2349594 .

docs: clarify userns mapping when /proc/sys is rw

cgroup-util: Handle capsule@ paths like user@ paths  (#36664)

The capsule instances are related to user instances, so treat them
equally to user@.service when handling cgroup paths. This also saves us
from polluting public libsystemd API with variant for capsules too.

Fix: https://github.com/systemd/systemd/issues/36098

core/service: introduce sd_notify() RESTART_RESET=1 for resetting restart counter (#36698)

core/main: fix logging of /sbin/init exec failure

Follow-up for 93e19483dc9fae94d713d036ecee669450bd002d

While at it, avoid duplicate manager_status_printf()
(error_message will be shown in main()).

tmpfiles: ignore ENOENT when file is removed during setting parmission and friends

After a file matches with a glob pattern, the file may be removed or
renamed before opening it. Let's ignore the error in such case.

Fixes #30938.

update TODO

udev: reread partition table and trigger synthetic change events in child process (#36685)

cgroup-util: Handle capsule@ paths like user@ paths

The capsule instances are related to user instances, so treat them
equally to user@.service when handling cgroup paths. This also saves us
from polluting public libsystemd API with variant for capsules too.

Fix: #36098

TODO: support RESTART_RESET=1 in journal-upload

core/service: introduce sd_notify() RESTART_RESET=1 for resetting restart counter

We have RestartMaxDelaySec= + RestartSteps= to exponentially increase
auto restart durations, but it currently cannot be reset by the service
itself, which makes it sometimes awkward to use. A typical pattern
in real life is that a service was once down (e.g. due to temporary
network interruption) and multiple restarts were attempted. Then,
future restarts would always wait for increated amount of time based on
RestartMaxDelaySec=, even after the original problem got resolved.
Such "persistence" could result in longer unavailablity than there
should be for failures that come later.
(C.f. https://utcc.utoronto.ca/~cks/space/blog/linux/SystemdResettingUnitBackoff)

Let's introduce a new sd_notify() notification for resetting the restart
counter. There were discussions about making this timer-based, but I think
it's more flexible to leave the decision-making to the service. This enables
them to do a combination of N successful requests + uptime check for instance.

core/unit: disable unit debug invocation in generic unit_reset_failed()

udev: use ERRNO_IS_NEG_* where appropriate (#36690)

Follow-up for f8825c1364fb1c3f3f5d96654e779fd51500f476.

udev: scan partitions and trigger synthetic change events in child process

Rereading partition table may take longer on slow disk. The main process
should not be blocked by the operation. Let's fork a child process and
do that on the child.

Prompted by #36624 and #36269.

udev: split out synthesize_change_all() from synthesize_change()

No functional change. Preparation for later change.

umount: do not move busy network mounts

If a network mount returns EBUSY on umount, the logic introduced in
6dc68a00cfc816678fd713b12ae2a4cf2ae6da85 causes shutdown to hang indefinitely on
`fstatat()` (i.e., within `is_dir(m->path, true)`). Hence, skip this logic for
network mounts (following the same motivation we use to skip read-only mounts in
this kind of file systems).

Fixes 6dc68a00cfc816678fd713b12ae2a4cf2ae6da85

nsresourced,vmspawn,mountfsd: various smaller fixes (#36689)

event-util: move event_source_hash_ops to event-util

nsresourced,mountfsd: set userdata pointer via varlink_server_new()

vmspawn: properly exit in vmspawn child on failure

nsresourced: fix initialization of netns_fd_idx

nsresourced: clear up some type confusion

We settle on the types the backend implementation in
userns-registry.[ch] uses too. i.e. uid_t/gid_t for the bases, and
uint32_t for the uid range sizes.

nsresourced: permit numeric uid/gid also be specified as strings

nsresourced: fix offset

Follow-up for: ee6fd7ef82522d538dd513e8aabf6d29ece4dc92

systemd.exec(5): RestrictAddressFamilies: mention address_families(7)

run: declare ARG_STDIO_XYZ like a flag

Then, we can easily handle the assignment when both --pipe and
--pty/--pty-late are specified.
No functional change, just a refactoring.

vmspawn: fix typo

Follow-up for ef430b84e9f508dd27046b33a4f61dc57a71bb67.

meson: bump required minimum version to 0.62.0 (#36610)

- bump the requred minimum version of meson to 0.62.0,
- use install_symlink(), which is supported since meson-0.61.0,
- use more features provided by newer meson with careful
conditionalization.

Follow-up for 8442ac9c0264ac7beb5afd6c3bf922030a6edaf3.
Closes #35967.

network: add log messages when a route can't be updated

Sometimes networkd removes a route, based on route_can_update() verdict.
Add some debug messages to better understand whi this decision has been made.

docs: reference cgroup v1 as historical and unsupported

vmspawn: optionally grow image

po: update Japanese translations

man: fix typo

Follow-ups for fd0dd2d4bce00b69f8badab1a71b8929e392af5c.

meson: use more features provided by newer meson

No functional change. Preparation for future bump of required meson
version.

meson: use install_symlink() where applicable

Now our baseline of meson is 0.62, hence install_symlink() can be used.

Note, install_symlink() implies install_emptydir() for specified
install_dir. Hence, this also drops several unnecessary
install_emptydir() calls.

Note, the function currently does not support 'relative' and 'force' flags,
so several 'ln -frsT' inline calls cannot be replaced.

meson: invert version check condition to magically suppress warning

Then, it works with --fatal-meson-warnings.

test-network: replace symlink to 99-default.link with a copy

Then, we can drop ugly workaround in meson.build.
The .link file is not necessarily synced with 99-default.link.
Also, 99-default.link is not updated so frequently.
Let's manually sync it when necessary.

meson: bump required minimum version to 0.62.0

The commit 8442ac9c0264ac7beb5afd6c3bf922030a6edaf3 set
install_tag option to install_emptydir() calls, but it requires
meson-0.62.0. Hence, after the commit, we cannot build systemd
with older meson anymore. As using install_tag is quite useful
for building systemd package, let's bump the requirement of
meson version to 0.62.0.

Note, the current meson versions of major distributions are:
CentOS 9:  0.63.3
CentOS 10: 1.4.1
Fedora 40: 1.4.1
Fedora 41: 1.5.1
Ubuntu 20.04 LTS (focal): 0.53.2 -- EOL on 2025-04
Ubuntu 22.04 LTS (jammy): 0.61.2 -- EOL on 2027-04
Ubuntu 24.04 LTS (noble): 1.3.2
Ubuntu 24.10 (oracular):  1.5.2
Debian 11 (bullseye): 0.56.2 (1.0.0 in backports) -- EOL on 2024-08
Debian 12 (bookworm): 1.0.1  (1.5.1 in backports)
openSUSE Leap 15.6:  1.6.1
openSUSE Tumbleweed: 1.6.1

As the next version (v258) is not expected to be released before
the end of 2025-04, it is OK to cut the support of Ubuntu 20.04 LTS and
Debian 11. Also, our policy for support of distributions explicitly says
only latest Ubuntu LTS and non-LTS releases are supported.
Hence, we can also cut Ubuntu 22.04, even if it is not EOL.

Follow-up for 8442ac9c0264ac7beb5afd6c3bf922030a6edaf3.
Closes #35967.

po: add false positives to POTFILES.skip

Scripts used to detect files that should be in POTFILES.in, like
intltool-update -m used on https://l10n.gnome.org/module/systemd/,
falsely detect these files as containing translations. Avoid this
behavior by putting the files in POTFILES.skip.

po: Translated using Weblate (Estonian)

Currently translated at 79.3% (204 of 257 strings)

Co-authored-by: Henri Aunin <contact+fedora@hen.ee>
Translate-URL: https://translate.fedoraproject.org/projects/systemd/main/et/
Translation: systemd/main

mount-setup: two trivial cleanups (#36668)

core/main: several cleanups (#36669)

Prompted by #36622

po: Translated using Weblate (Estonian)

Currently translated at 61.4% (158 of 257 strings)

Co-authored-by: H A <contact+fedora@hen.ee>
Translate-URL: https://translate.fedoraproject.org/projects/systemd/main/et/
Translation: systemd/main

core/main: correct retval for reexec/switch-root/soft-reboot

For these objectives we ought to execve() at the end, i.e. if we
ever hit the return path something went wrong in do_reexecute().
Let's properly report that via retval.

core/main: preemptively check existence of init only if we're switching root

Follow-up for aaa27e2e21c04339914f26b7125789087eb51166

The commit described about system potentially becoming undebuggable
after switching into broken root or whatnot. But notably we can never
activate emergency.target after do_reexecute() failure, since the Manager
has been destructed. Plus, for a normal reexecution the fallback shell logic
triggered on non-existent /sbin/init is kinda useful. Let's hence guard
the extra check behind switch-root.

Also, move the check below /run/nextroot/ detection.

core/main: assign mac_init() retval to r

If it fails, we'd submit the errno to supervisor via sd_notify() later.

core/main: log about save_env() error

core/main: port to log_syntax_parse_error()

core: move CrashAction enum def to crash-handler.[ch]

core/meson: move efi-random.c out of libcore

It's used only in core/main.c

core/main: remove unused include

mount-setup: tune down log level if usrquota is not supported, apply usrquota when smack is in use too

Follow-up for 8f5131fb9e7979022521d685e69b6419f0884677

mount-setup: drop outdated comment

network: remove useless loop (#36648)

In route_metric_can_update() the loop iterates over the metrics, but
skips all indices except for RTAX_MTU.

Replace it with a simple compare.

keyutil: support adding content into PKCS#7 signature (#36663)

Support including the data that was signed inside the PKCS#7 signature.
This creates a self-contained file where the signature of the data can
be verified without any other information, since the file contains the
data, signature, and certificate (which contains the public key used for
the signing).

One use case of this is IPE which requires a PKCS#7 signature that is
not "detached", i.e. includes the IPE configuration that has been
signed.

This also slightly adjusts the test case to use the x509 certificate
inside the PKCS#7 signature instead of supplying it externally during
verification.

keyutil: support adding content into PKCS#7 signature

homed: add key management toolchain (#36513)

if Lennart shall dogfood ParticleOS he needs acceptable tooling for
making his homed home dir accessible from his legacy fedora install, and
from local and remote particleos. Let's add explicit support for
scenarios like this:

1. add high level support for enrolling the account signing key from the
fedora install
2. add high level support for "adopting" a local but foreign .home file
on a system
3. add high level support for "registering" a remote user account on a
different system

(this lacks test cases and some docs, hence marked as wip)

virt: detect "linux,dummy-virt" devicetree VMs (#36655)

add a mime type for *.home LUKS home dir files too (#36662)

update TODO

test: add integration test for the functionality added in this PR

homectl: rearrange --help text with sections

We support so many verbs now, help the user with some structure

homectl: add interface for controlling storage for negative machine ID matches

homed: re-establish inotify watches on SIGUSR1

Let's define a clean way how we can reestablish file watches in homed.
This is a relevant in case we overmount /home/ as a whole. It's very
useful for our testcase in particular.

homed: suppress warning if quota is not on on /var/ and elsewhere

homed: rescan /home/ in more occasions automatically

When unregistering a home there's a chance this "reveals" another home
by the same name in /home/, hence immediately schedule a rescan, the
same way we already schedule it in on remove.

Also, drop the conditionalization when scheduling a rescan during
remove, for the same reasons: a remove might reveal another home, and we
cannot check for that ahead of time. Trying to check is kinda a
pointless optimization anyway, since this is not a frequent operation
and rescanning is not the end of the world.

homectl: making stripping of signatures from user records optional

homectl: also support registering (rather than creating) home directories via system credentials

homectl: expose "register" verb to register a user record locally

homed: add concept for "adopting" an existing homedir locally

Currently homed scans /home/ via inotify for new .home + .homedir/
popping up to register as local users. Let's also add an explicit way to
request this form of "adoption": a bus call that takes a path and that
makes a home dir activatable locally.

(Usecase: you cross boot between two systems – let's say your traditional
fedora and your ParticleOS – and want to use the same homedir from both:
simply mount the /home dir from the other somewhere, and then hit
"homectl adopt /somewhere/lennart.home" and you have the user locally
too).

user-record: add a concept of inverting per-host matching sections in user record

Sometimes it is useful to apply options on all hosts except some. Add a
simple concept for that.

homectl: add a 'dry-run' mode for registering/creating users

Since this only covers user creation/registration for now, let's hide it
behind an env var. We might reconsider this eventually and make it a
proper switch one day, but who knows, it after all has this "debug tool"
wiff.

homectl: also import signing keys at firstboot time

homectl: add signing key management verbs

homed: add apis for managing home signing keys

This makes it easier to actually migrate home directories between
systems.

userdbctl: optionally show user/group data from JSON filerather than from system

openssl-util: add helper for converting EVP_PKEY to PEM string

And also give the rverse a bit of love.

hostnamectl: show transient hostname before static hostname

The transient one is generally the more relevant one, since it is
typically used to reach this host remotely, and it's what shells show
you. Hence show it first.

capsule-util: Move from shared/ to basic/

...so that other code in basic can use it too (basic ⊆ shared).

test: run PKCS#7 verification with both internal and external certificates

mime: add mimetype for luks home dir

mime: use 'addon' icon for sysext ddis

rules: tag /dev/tpm0 with "systemd" too

Strictly speaking we don't need to tag these devices, because tpm2-tss
already does so, but given we do this for /dev/tpmrm0, we should
probably do this comprehensively if we rely on this ourselves.

Fixes: #36653

mkosi: Skip other build scripts if we're running clangd

mkosi: Switch to --rerun-build-scripts in mkosi.clangd