mkosi-initrd: Ignore gnupg subdirectory

/etc/pacman.d/gnupg is already made available by mkosi's internal
logic so we don't need to copy it in. This prevents failures when
running unprivileged as /etc/pacman.d/gnupg can have rather strict
permissions.

mkosi-initrd: Only set --cacheonly=metadata when running as root

If we're not running as root, we don't use the host's package cache,
but we still use the host's repositories. It's very unlikely that the
user's default package cache directory will have an up-to-date repository
metadata snapshot, so let's update the repository metadata if we're not
running as root.

mkosi-initrd: Add --debug-shell argument

This is passed through directly to mkosi. To make this work we also
pass through stdout/stdin directly to the invoked mkosi process.

Merge pull request #3002 from DaanDeMeyer/cherry-pick

Various commits from #2990

news: add note to change where the manual pages are

initrd: flatten module into a single file

sandbox: flatten module into a single file

cli: add missing completion stubs to pyproject.toml

doc: move man pages to resources/man

cli: use ellipsis ligature instead of writing out ...

Move various functions to bootloader.py

Our main file is growing too large again, so let's split off a bunch
of bootloader stuff into bootloader.py

This is very rough, the kernel stuff should probably move somewhere
else as well, but I wanted to move stuff without actually changing
code.

Update NEWS.md

Simplify package cache dir mirror key

Let's just replace slashes with hyphens.

Merge pull request #2998 from DaanDeMeyer/ci

ci: Enable debug logging for systemd-repart

base64 encode mirror if we put it in package cache dir key

Mirrors contain / characters. Paths can't contain / characters. Let's
base64 encode the mirrors to avoid this issue.

tests: Show debug messages on console

Should help debug the spurious OpenSUSE CI failures.

ci: Drop machine-id commit timeout drop-in

Let's see if we still need this.

Add 'login' to Debian/Ubuntu/Kali package list

The login package as provided by util-linux is 'Protected' but no
longer 'Essential' and that's intentional, so it will not be pulled
in by default. Add it to the list.

Bump github/codeql-action from 3.25.15 to 3.26.6

Bumps [github/codeql-action](https://github.com/github/codeql-action) from 3.25.15 to 3.26.6.
- [Release notes](https://github.com/github/codeql-action/releases)
- [Changelog](https://github.com/github/codeql-action/blob/main/CHANGELOG.md)
- [Commits](https://github.com/github/codeql-action/compare/afb54ba388a7dca6ecae48f608c4ff05ff4cc77a...4dd16135b69a43b6c8efb853346f8437d92d3c93)

---
updated-dependencies:
- dependency-name: github/codeql-action
  dependency-type: direct:production
  update-type: version-update:semver-minor
...

Signed-off-by: dependabot[bot] <support@github.com>

Merge pull request #2993 from keszybz/cat-config

Add cat-config verb

Reformat comments and shorten error messages

docs: describe cat-config

Also adjust surrounding text a bit.

Add new 'cat-config' verb

This is similar to 'systemd-analyze cat-config'. With many config
files, it can be a bit difficult to figure out where some setting is
set.

Shortcut chase() if root == "/"

config: match against verb value not verb name

For the existing verbs, those are the same. But for a verb with
a dash, which I want to add next, the name has the underscore,
which will not match the verb on the commandline.

Merge pull request #2991 from DaanDeMeyer/fix

Don't change the working directory in chase()

Don't change the working directory in chase()

Add missing return type declaration

Merge pull request #2986 from behrmann/nochown

sandbox: introduce the MKOSI_CHROOT_SUPPRESS_CHOWN variable

Merge pull request #2989 from DaanDeMeyer/azure

Detect Azure Linux properly

Only run sync scripts if we're going to build the image

Detect Azure Linux properly

Fixes #2988

azure: Don't try to install erofs-utils

It's not actually available yet.

Inline apivfs_script_cmd

sandbox: introduce the MKOSI_CHROOT_SUPPRESS_CHOWN variable

This allows suppressing chowns in scripts. Also inline chroot_script_cmd since
it only as a single user.

Fix typo

We were resetting the list on every iteration of the loop when using
ephemeral build sources which is obviously wrong.

Merge pull request #2984 from DaanDeMeyer/sandbox

Don't mount stuff twice from different sources in sandbox

Mount /etc/ld.so.cache into the sandbox if it exists

Otherwise libraries in non-standard locations won't be found at runtime.

Don't mount stuff twice from different sources in sandbox

We were mounting /var/tmp and /etc/resolv.conf twice in chroot_cmd(),
let's make sure we avoid doing that by moving the CLI options into
the respective _script_cmd() functions.

Use system python if python binary is interpreter is not in /usr

Same fix as #2982, but for the python_binary() function.

Specify --noprep when building rpms from source

rpm upstream is moving in this direction as well so let's update our
docs to match.

Use python3 in sandbox if host interpreter is not in /usr

We only mount /usr into the sandbox, so if mkosi is invoked from a
venv we'll fail to execute the apivfs script or chroot script in the
sandbox as it will try to use an interpreter that isn't available.

Let's check if the used interpreter is relative to /usr and only use
it to execute the chroot and apivfs scripts in the sandbox if it is.

Merge pull request #2980 from DaanDeMeyer/sync-scripts

Run sync scripts for all images again

Run sync scripts for all images again

Fixes https://github.com/systemd/mkosi/commit/af66d2391b17d21b6892759e4f4f97684ba1945b

Make running sync scripts possible without a context

Move sandbox tree logic into Config.sandbox()

Rename internal pkgmngr dir to sandbox_tree

docs: Sort list of universal settings

man: mention the empty arguments in help

The autogenerated help for --distribution/--format/… looks like {a,b,…,} (with
an emtpy arg at the end), and it is not obvious what this means. Describe the
empty args in the man page.

azure: Deal with repository changes

The preview repositories are now a layer on top of the prod repositories,
so let's adapt mkosi to that.

Don't skip build if output format is "none"

If the output format is none we always want to rebuild.

Rework grub conditions

- Use -o instead of || as it's unclear whether || is supported or not
- Use quotes more
- Use [ ] as alias for test

Fixes #2974

man: fix SourceDateEpoch= section

Merge pull request #2973 from DaanDeMeyer/metadata

Rework repository metadata handling

Make more trees required

- Tools tree is a universal setting and has to be available at the start
- Sandbox trees are a universal setting and have to be available at the start
- Skeleton trees should be available at the start to make sure caching works
  properly

Rename package manager trees to sandbox trees

The package manager trees are mounted in for every command we run
so let's rename them to sandbox trees instead of package manager
trees.

Rework repository metadata handling

- Stop copying repository metadata into the image.

This is too fragile to ever work properly. If the image is ever
used as a base tree, the caller would also need the exact same package
manager configuration for this to be remotely useful, as well as constantly
rebuild the image to keep the repository metadata up to date.

- Stop picking up repository metadata from the image

For the same reason, we can't use repository metadata from any
base trees automatically. It should be explicitly provided by the user
along with the required package manager configuration.

- Share the same repository metadata snapshot between the main and subimage
  builds

Let's ensure that the main image and all subimages are built of the
exact same repository metadata snapshot. Now that we enforce that all
subimages use the same distro, release, architecture, repositories and
everything else that's package manager related, we can use the same
metadata snapshot for every build.

- Rename package_cache_dir in Context to metadata_dir as there's only
metadata in this directory and never any packages.

Do not allow configuring universal collection based settings in subimages

For the next commit, we want to enforce all subimages to use the same
package manager trees, repositories and package directories, so let's
not allow adding any extra of those in subimages anymore.

Simplify run_verb() logic

- Handle Verb.clean separately from builds
- Move most checks to the front before we clean up the previous results.
- Get rid of check_outputs()
- If main image needs a build, clean all subimages as well

Prepend extra search paths to $PATH earlier

We should do this before checking if tools are available to make
sure the tools in extra search paths are taken into account.

Don't fork for run_sync()

Not required so let's be more efficient by not forking

Add missing directory checks in copy_tree()

ci: Disable Arch Linux image with Ubuntu tools tree

archlinux-keyring in Ubuntu Noble is already too old. Until it's
updated, let's disable the CI build.

For the Github Action we add the kernel-utils ppa which does have
an updated archlinux-keyring.

fedora: Get rawhide GPG key from github

fedora.gpg is always out-of-date when rawhide branches, so let's
instead fetch the rawhide key from distribution-gpg-keys on Github
which does seem to get updated before rawhide branches.

Merge pull request #2967 from DaanDeMeyer/fix

Two fixes

Move creation of context.root out of Context()

On btrfs systems, we're unnecessarily creating a subvolume only to
remove it again immediately afterwards if we're building from a cached
image. So let's move the creation of root outside of Context() so
we can only create it as a subvolume after we've potentially checked
caches first.

Don't run run_clean() in a forked child anymore

No need anymore so let's not fork unnecessarily.

Optimize copy_tree() a little

Only run cp_version() if we absolutely need to. If we do a btrfs
snapshot or the destination does not exist or is empty, there's no
need to add --keep-directory-symlink and thus we don't need to run
cp_version() either.

Merge pull request #2833 from DaanDeMeyer/azure

Add support for Azure Linux

Add support for Azure Linux

Azure Linux looks a lot like Fedora Linux so we opt to share configuration
between Azure and Fedora/CentOS and inherit the Azure definition from
Fedora.

Fix fixup_vmlinuz_location()

We have to resolve the path before we check if the symlink is relative
to /boot.

Specify --renumber-inodes when calling cpio

This helps with making initrds reproducible as the sequence of inodes
will always be stable starting from 1.

Merge pull request #2956 from DaanDeMeyer/var

Introduce mkosi-sandbox and stop using subuids for image builds

Introduce mkosi-sandbox and stop using subuids for image builds

Over the last years, we've accumulated a rather nasty set of workarounds
for various issues in bubblewrap:

- We contributed setpgid to util-linux and use it if available because
  bubblewrap does not support making its child process the foreground
  process.
- We added the innerpid logic to run() because bubblewrap does not forward
  signals to the separate child process it runs in the sandbox which meant
  they were getting SIGKILLed when we killed bubblewrap, preventing proper
  cleanup from happening.
- bubblewrap does not provide a proper way to detect whether the command
  was found in the sandbox or not, which meant we had to execute command -v
  within the sandbox separately to check whether the command exists or not.
- We had to add extra logic to make sure / was a mount in the initramfs to
  allow running mkosi in the initramfs as bubblewrap does not fall back to
  MS_MOVE if pivot_root() doesn't work.
- We had to stitch together shell invocations after bubblewrap but before
  executing the actual command we want to run to make sure directories had
  the correct mode as bubblewrap creates everything with mode 0700 which was
  too restrictive in many cases for us. This was fixed with new --perms and
  --chmod options in bubblewrap 0.5 but we had to keep compat with 0.4
  because that's what's shipped in CentOS Stream 9.
- We had to figure out a shell hack to do overlayfs mounts as these are not
  supported by bubblewrap (even though a PR for the feature has been open for
  years).
- We had to introduce a Mount struct to pass around mounts so we could deduplicate
  and sort them before passing them to bubblewrap as bubblewrap did not do this
  itself.
- Debugging all the above was made all the harder by the fact that bubblewrap's
  source code is full of tech debt from its history of being a setuid tool
  instead of using user namespaces. Getting any fixes into upstream is almost
  impossible as the tool is practically unmaintained.

Aside from bubblewrap, our other source of troubles has been newuidmap/newgidmap.
Running as a user within the subuid range configured in /etc/sub{u,g}id has
meant we're constantly fixing ownership and permissions issues where stuff needs
to be chowned and chmodded everywhere to make sure the current user and the
subuid user can access the proper files. Another unfortunate side effect is that
users end up with many files owned by the subuid root user in their home
directories when building images with mkosi;

Let's fix all these issues at once by getting rid of bubblewrap and
newuidmap/newgidmap.

bubblewrap is replaced with a new tool mkosi-sandbox. It looks and behaves a
lot like bubblewrap, except it's much less code and much more flexible to fit
our needs, allowing us to get rid of all the hacks we've built up over the years to
work around issues that didn't get fixed in bubblewrap.

To get rid of newuidmap/newgidmap, a rework of our user namespacing was needed.
The need to use newuidmap/newgidmap came from the assumption that we need a full
65k subuid range to do unprivileged image builds, as distributions ship packages
containing files and directories that are not owned by the root user. After some
investigation, it turns out that there's very few files and directories not owned
by root in distribution packages if you ignore /var. If we could temporarily
ignore the ownership on these files and directories until we can get distributions
to only ship root owned files in /usr and /etc of their packages, we could simply
map the current user to root in a user namespace and get rid of the subuid range
completely.

Turns out that's possible with a seccomp filter. seccomp allows you to make all
chown() syscalls succeed without actually doing anything. The files and directories
end up owned by the root user instead. If we assume this is OK and are OK with
instructing users to use tmpfiles to fix up the permissions on first boot if needed,
a seccomp filter like this is sufficient to allow us to get rid of doing image
builds within a subuid user namespace.

It turns out we can go one step further. It turns out that for the majority of
the image build, one doesn't actually need to be the root user. Only package
managers and systemd-repart need the current user to be mapped to root to do their
job correctly. The reason we did the entire build mapped to root until now was
that we need to do a few mounts as part of the image build process and for now
I was under the assumption that you needed to be root for that. It turns out that
when you unshare a user namespace, you get a full set of capabilities regardless
of whether you're root or some other uid in the user namespace. The only difference
is that when you exec a subprocess as root, the capabilities aren't lost, whereas
they are when you exec a subprocess as a non-root user. This can be avoided by
adding the capabilities of the non-root user to the inheritable and ambient set.
Once that's done, any subprocess exec'd by a non-root user in the user namespace
can mount as many bind and overlay mounts as they can think of.

The above allows us to run most of the image build under the current user uid
instead of root, only switching to root when running package managers, invoking
systemd-repart or systemd-tmpfiles, or when chroot-ing into the image. This allows
us to get rid of various hacks we had to look up the proper user name or home
directory.

Specifically, we can get rid of the following:

- mkosi-as-caller can become a noop since we now by default run the build as the
  caller.
- Lots of chmod()'s and chown()'s can be removed
- All uses of INVOKING_USER.uid/gid can be removed, and most can be replaced with
  simple os.getuid()/os.getgid()
- We can use /etc/passwd and /etc/group from the host instead of building our own
- We can get rid of the Acl= option as the user will now be able to remove (almost)
  all files written by mkosi.
- We don't have to rchown the package manager cache directory anymore after each
  build. Root user builds will now use the system cache instead of the per user
  cache.
- We can get rid of the Mount struct as mkosi-sandbox dedups and sorts operations
  itself.

One thing to note is that if we're invoked as root, none of the seccomp or capabilities
stuff applies and it is all skipped as it's not required in that case. This means that
when building as root it's still possible to have more than one user in the generated
image unlike when building unprivileged. Also note that users can still be added to
/etc/passwd and such, they just can't own any files or directories in the image itself
until the image is booted.

Set DEFAULT_HOSTNAME in os-release when specified (fixes #2673)

apt: Remove mounts argument from invoke()

Merge pull request #2954 from NekkoDroid/executable-mkosi-version

Add executable `mkosi.version` support for generating the version dynamically

Clean up version bump logic

Add executable `mkosi.version` support

`mkosi.version` is executed during configuration parsing, as opposed
to reading the contents of `mkosi.version`. This allows querying the
version before the build without needing to manually adjust the version
beforehand.

This allows using date based versioning by writing a script outputting
`date '+%Y-%m-%d'` or using git tag based versioning by outputting
`git describe --tags`.

Do not generate random seed when running bootctl install

Don't include excluded subimages in default dependencies

Merge pull request #2959 from DaanDeMeyer/split

Various improvements

ci: Add missing shebangs

No clue how this worked before.

ci: Improve formatting a bit

mkosi-initrd: Remove /var/cache/ldconfig/aux-cache

The file is not reproducible so let's remove it so that reproducible
initrds can be built by default.

Fixes #2957

Set SYSTEMD_IN_CHROOT for package managers

systemd's built-in chroot detection doesn't work when unprivileged
so tell it explicitly that we're in a chroot.

Optimize remove_files()

Optimize clean_package_manager_metadata()

kali: A distribution based on Debian: https://www.kali.org/

Kali includes many packages suitable for offensive security tasks.
It follows a rolling release model and serves fewer architectures
than Debian.

Building a kali image requires installing kali-archive-keyring:
- Source: https://gitlab.com/kalilinux/packages/kali-archive-keyring
- Packages: https://pkg.kali.org/pkg/kali-archive-keyring

Check for required tools earlier

Let's check for required tools before we run sync or configure scripts
so that all required tools are checked before we actually use them.

Always specify _sourcedir as an absolute path

Relative _sourcedir was never supported by rpm:
https://github.com/rpm-software-management/rpm/issues/3208#issuecomment-2283520243

Fix loaded host modules filter

Module filenames might use dashes instead of underscores.
Also, anchoring the filename to a directory avoids including unrelated
modules (e.g. exfat vs fat).

Add --wipe-build-dir to allow clearing the build directory independently

Currently, to clear the build directory, -ff has to be used which
also clears the image cache. Let's add --wipe-build-dir (-w) to allow
clearing only the build directory without clearing the image cache.

Merge pull request #2946 from bluca/os_release

os-release fixes for Debian and derivatives

distributions: drop Debian workaround for lack of VERSION_CODENAME

It has been present since Debian 9, so we can rely on it now.
It is wrong on sid, but that's a separate issue that this old
workaround doesn't solve anyway.

distributions: try reading /etc/os-release first

It might be a local modification by an image builder, read it first
as per specification instructions

Merge pull request #2947 from DaanDeMeyer/debian

debian: Fix up os-release for unstable/sid builds

debian: Fix up os-release for unstable/sid builds

The version codename for unstable/sid builds is indistinguishable from
testing. Let's make sure we fix that up ourselves so that unstable image
builds can be properly distinguished from testing builds.

Check /etc/os-release as well in configure_os_release()

It might not be a symlink. If that's the case, fix it up as well.

Merge pull request #2944 from DaanDeMeyer/fix

Don't pass down empty lists to subimages unless explicitly configured