Merge pull request #4297 from craftyguy/pmos-can-into-ci

ci: add postmarketOS to integration testing

curl: Retry on failures

`curl()` is being used for things like fetching Fedora rawhide's GPG
key, opensuse's `/history/latest` or CentOS' `.composeinfo`. These are
all volatile and thus hard to pre-download/cache. But we've seen several
transient download failures like

> curl: (35) Recv failure: Connection reset by peer

Make these more robust with curl's retry (with exponential back-off)
mechanism.

ci: enable postmarketOS in integration testing

action: install apk to /usr/bin

/usr/local is cleaned up by ci.yml immediately after actions.yaml adds
apk into that dir, which leads to job that try to use apk to fail with
"apk not found"

mkosi-vm: add systemd-efistub to postmarketOS config

On Alpine/pmOS, the EFI stub is split into a separate systemd-efistub
package rather than being bundled with systemd-boot, so it needs to
be added to the tools tree so mkosi can find it when building UKI/ESP
images.

mkosi.conf: add grub to postmarketOS

mkosi-initrd: add sulogin, device-mapper to postmarketOS initrd

sulogin is packaged separately on Alpine Linux, and this other pkg is
not pulled in automatically. Fixes emergency shell in the initrd

device-mapper is not pulled in automatically as a dependency, and needed
for lvm support

mkosi-tools: add missing packages to postmarketOS tools tree

busybox's losetup, mount, and umount are missing many options supported
by the "full" versions so the "full" versions are added

sfdisk is packaged separately from util-linux on Alpine Linux

mkosi-tools: add apk-tools to tools trees for Arch and OpenSuSE

dnf: Work around librepo rejecting valid repomd signatures cross-distro

librepo 1.20 rejects valid repository metadata GPG signatures with gpgme
2.1 ("Bad GPG signature") [1]. This happens a lot when building a distro
which signs its repos (CentOS) on newer distros like Arch, Debian
testing, or openSUSE Tumbleweed, with their newer gpgme.

Thus until this is fixed, only validate repo GPG signatures when the
distributions match. We can assume that distros test their own dnf repos :-)

Revert once librepo gets fixed and into the distros.

[1] https://github.com/rpm-software-management/librepo/issues/376

dnf: Proper repository metadata signature requirement

mkosi only ever set `gpgcheck=1` (package signature verification) in the
generated dnf repository files and left `repo_gpgcheck` (repository
*metadata* signature verification) at the dnf default.

That default is not repository-aware. It is a global default of the dnf5
build doing the work, i.e. of the tools tree, not of the distribution
being built: Fedora's dnf5 defaults it to off, openSUSE's defaults it to
on. So whether repomd.xml.asc was verified depended on the tools tree
rather than on whether the repository actually publishes a signature,
and it ended up enabled for repositories that can never satisfy it.
Fedora and EPEL don't publish a repomd.xml.asc at all, and the CentOS
extras-common SIG repository signs it with the SIG key rather than the
main key we configure.

This stayed invisible because skip_if_unavailable was on by default too:
a repository that failed metadata verification was silently disabled and
makecache still succeeded. Now that we set `skip_if_unavailable=0`, those
failures are fatal, so the inherited default has to go.

Set `repo_gpgcheck` explicitly per repository instead. Default it to
"on", as repositories that do sign their metadata (e.g. CentOS BaseOS,
AppStream, CRB) benefit from it, and it should be an explicit opt-out
for new distros.

Explicitly turn it off for the ones that don't publish a verifiable
signature (Fedora, EPEL, CentOS extras-common). This makes the behaviour
deterministic regardless of the tools tree.

Co-Authored-By: Claude Opus 4.8 (1M context) <noreply@anthropic.com>

dnf: Don't skip unavailable repositories during makecache

`sync()` currently often fails to retrieve the GPG signature and writes
a warning, but still returns successfully:

> Status code: 404 for https://.../fedora/../repodata/repomd.xml.asc
> GPG verification is enabled, but GPG signature is not available

The subsequent package installation then fails with something like

> Failed to resolve the transaction:
> No match for argument: basesystem

This is confusing. Let's rather fail early at the root cause. Some
distributions seem to enable `skip_if_unavailable=1` by default, so
disable that option.

This was even worse for repositories that publish metadata GPG
signatures (e.g. CentOS Stream): a transient failure to retrieve or
verify repomd.xml.asc would make dnf silently skip the entire repository
and return success with an unusable cache, which made the whole build
unreproducible and unreliable.

run_locale_gen: noop if output_format is confext

Signed-off-by: Paymon MARANDI <paymon@encs.concordia.ca>

tests: Make integration tests runnable locally

Move integration test setup out of the workflow into a separate script,
and document how to run them.

config: Don't propagate $MKOSI_DNF when using a tools tree

build(deps): bump actions/upload-artifact from 7.0.0 to 7.0.1

Bumps [actions/upload-artifact](https://github.com/actions/upload-artifact) from 7.0.0 to 7.0.1.
- [Release notes](https://github.com/actions/upload-artifact/releases)
- [Commits](https://github.com/actions/upload-artifact/compare/bbbca2ddaa5d8feaa63e36b76fdaad77386f024f...043fb46d1a93c77aae656e7c1c64a875d1fc6a0a)

---
updated-dependencies:
- dependency-name: actions/upload-artifact
  dependency-version: 7.0.1
  dependency-type: direct:production
  update-type: version-update:semver-patch
...

Signed-off-by: dependabot[bot] <support@github.com>

build(deps): bump aws-actions/configure-aws-credentials

Bumps [aws-actions/configure-aws-credentials](https://github.com/aws-actions/configure-aws-credentials) from 6.0.0 to 6.1.0.
- [Release notes](https://github.com/aws-actions/configure-aws-credentials/releases)
- [Changelog](https://github.com/aws-actions/configure-aws-credentials/blob/main/CHANGELOG.md)
- [Commits](https://github.com/aws-actions/configure-aws-credentials/compare/8df5847569e6427dd6c4fb1cf565c83acfa8afa7...ec61189d14ec14c8efccab744f656cffd0e33f37)

---
updated-dependencies:
- dependency-name: aws-actions/configure-aws-credentials
  dependency-version: 6.1.0
  dependency-type: direct:production
  update-type: version-update:semver-minor
...

Signed-off-by: dependabot[bot] <support@github.com>

Merge pull request #4353 from behrmann/ima

Skip security.ima xattrs when copying tree as non-root

tree: check for root when copying SELinux attributes as well

A user complained that the previous check

    statfs(os.fspath(dst.parent)) != OVERLAYFS_SUPER_MAGIC or not tree_has_selinux_xattr(src)

worked for them when changing the or to and and

    statfs(os.fspath(dst.parent)) != OVERLAYFS_SUPER_MAGIC and not tree_has_selinux_xattr(src)

thus always excluding extended attributes when the tree contained SELinux
attributes, implying that not being root was the issue. Therefore this commit
pulls our the check for not being root out of the IMA attribute check.

It's only conjecture, but it seems unlikely that copying IMA attributes to
overlayfs would work, when SELinux doesn't. This allows to make the whole
handling more symmetrical.

vmspawn: Exclude secure-boot unless requested

Otherwise vmspawn will still pick up firmware with support
for secure boot.

Skip security.ima xattrs when copying tree as non-root

Fixes: #4206
Co-Authored-By: Claude Sonnet 4.6 <noreply@anthropic.com>

obs workflow: do not build aarch64/i586

Disable i586/aarch64 as they are unlikely to provide value
for money for this workflow.

ubuntu: Don't treat linux-tools-xxx as a kernel package

obs: enable PR CI workflow

Build packages on OBS against the PR and reports status back
to Github. This just builds the mkosi package for now, next
step is to also build particleos images.

action: skip install of unavailable packages

Some packages are not available on ubuntu-22.04 runners, skip them.

Signed-off-by: Paul Meyer <katexochen0@gmail.com>

sandbox: Make seccomp work on alternative arches

Merge pull request #4341 from martinpitt/install-tests

Fix unit tests for package builds

tests: Mark install tests and run them separately

The unit tests also run during package builds, but test_install.py
requires network access (venv creation) and is generally not necessary
for most code changes. This also speeds up running the unit tests
considerably.

Thanks to Luca Boccassi for reporting!

Follow-up for b0f9525c2c74401fc4280c48233aa9831ced60d5

Fix linter unit tests at package build time

Unit tests are broken as they expect a CI environment, but they are also
ran at package build time. Skip gracefully when the git or the
make-man-page.sh scripts are not available.

Follow-up for b0f9525c2c74401fc4280c48233aa9831ced60d5

tests: Avoid leading underscore in helper function

We don't generally do that in mkosi.

docs: Document debugging of failed sandbox commands

run: Show complete sandbox command, factor out its logging

Make the "sandbox command" copy-pasteable: Add the missing `--` and
include the failed command.

Also, DRY.

Don't add El Torito boot catalog for BIOS/grub images by default

systemd-repart v261 adds an El Torito boot catalog, which writes an
ISO9660 header to the image. grub-bios-setup interprets that header as a
filesystem on the bare disk and fails:

> warning: Attempting to install GRUB to a disk with multiple partition labels. This is not supported yet
> Embedding is not possible. GRUB can only be installed in this setup by
. using blocklists. However, blocklists are UNRELIABLE and their use is
. discouraged
> error: will not proceed with blocklists

Adjust auto mode to only add the El Torito catalog when grub is not
installed as the BIOS bootloader (`Explicit ElTorito=yes` still forces
it on). This goes back to the status quo ante until systemd 260 for
grub/BIOS.

Fixes #4337

Merge pull request #4335 from martinpitt/unit-tests-local

tests: Move unit tests from GitHub workflow into pytest

tests: Move unit tests from GitHub workflow into pytest

Extract all CI linter/formatter/install checks from the GitHub workflow
into pytest tests. Workflows are hard to reproduce locally, and it's
much more convenient to reproduce what CI does with a simple `pytest`
command. Update the documentation and also stop recommending locally
installed `mypy` and friends -- let's always use the version from
`mkosi box` to get something halfway reproducible.

Keep the `sudo mkosi -h` test in the workflow, though -- it cannot run
inside `mkosi box` as that doesn't have `sudo`.

Some people like to run mypy and other linters from their own dev
environment. Skip tests whose tools aren't installed, but only if they
don't run in `mkosi box` -- in the latter (and in CI) we want to fail
tests, to avoid silently skipping tests due to accidentally dropping a
tool.

run: Add `cwd` kwarg to run()/spawn()

sandbox: Fix pyright "possibly unbound variable" errors

When building the box with Fedora instead of Arch, pyright fails:

> mkosi/sandbox.py:889:50 - error: "parent" is possibly unbound (reportPossiblyUnboundVariable)
> mkosi/sandbox.py:889:59 - error: "base" is possibly unbound (reportPossiblyUnboundVariable)
> mkosi/sandbox.py:899:52 - error: "parent" is possibly unbound (reportPossiblyUnboundVariable)
> mkosi/sandbox.py:899:61 - error: "base" is possibly unbound (reportPossiblyUnboundVariable)

This isn't a bug: The variables are only used when nofollow=True, but
pyright cannot infer this from the control flow. Just quiesce this by
initializing the variables.

gitignore: Add generated man pages and zipapp builddir

Ignore generated manpages and builddir/ (from generate-zipapp.sh).

The previous `.mkosi*.1` entries look wrong, and in any case this
generalizes the pattern.

pytest: Restrict discovery to tests/

Configure pytest to only look in tests/ directory. That will prevent
picking up test files inside of built artifacts (like mkosi.output/ or mkosi.tools/).

Fixes this failure of `bin/mkosi box -- python3 -m pytest`:

> ImportError while importing test module 'mkosi/mkosi.tools/usr/lib/python3.14/site-packages/mypyc/test/test_run.py'.
> E   ModuleNotFoundError: No module named 'distutils'

finalize_scripts: tighten the PATH-strip condition to actual self-exec

The PATH-strip prelude exists to prevent `/scripts/<name>` from
recursing into itself when the script execs a binary named `<name>` via
PATH lookup. The current heuristic, `config.find_binary(name)`, checks a
broader condition: whether *some* binary called `<name>` exists in the
search path. That produces false positives for scripts that exec a
different binary entirely.

In particular, `mkosi-install` execs `dnf install $@`, expecting `dnf`
to resolve to the wrapped `/scripts/dnf` (which adds `--installroot=…`,
`--use-host-config`, `--setopt=…`). When the prelude gets emitted for
`mkosi-install` too, it strips `/scripts` from PATH before the exec, so
`dnf` resolves to the raw system binary and is invoked with none of the
wrapper's overrides.

Tighten the check: emit the prelude only when one of the exec'd argv
tokens is the unqualified string `name`, which is the only case where
PATH lookup could resolve back to `/scripts/<name>`.

Reproducer:

$ mkdir /tmp/repro && cd /tmp/repro
$ cat > mkosi.conf <<'EOF'
[Distribution]
Distribution=fedora
EOF
$ cat > mkosi.prepare <<'EOF'
mkosi-install --dump-main-config bash 2>&1 | grep '^installroot '
EOF
$ chmod +x mkosi.prepare
$ mkosi -ff build

Before: installroot = /
After: installroot = /buildroot

Co-developed-by: Claude Opus 4.7 <noreply@anthropic.com>
Signed-off-by: Paul Meyer <katexochen0@gmail.com>

sandbox: Add --debug option

Let's allow debugging what is being mounted where
with a new --debug option

Mount /etc/resolv.conf symlink into sandbox

Currently, if /etc/resolv.conf is a symlink, we
bind mount the actual file it points to into the
sandbox. Problem with this approach is that if the
file it points to is replaced on the host, creating
nested sandboxes will fail because bind mounting a
file whose source does not exist anymore fails with
ENOENT when you call mount.

To fix this (partially), make sure we bind mount the
/etc/resolv.conf symlink if it one. That way, on
resolved systems, we'll bind mount the /etc/resolv.conf
symlink and the /run/systemd/resolve directory into the
sandbox, with the latter containing the symlink target of
/etc/resolv.conf. Because we don't mount the target file
directly but its parent directory, if the file is replaced,
the sandbox will see the new file.

To make this work we add new --bind-nofollow and
--ro-bind-nofollow options to mkosi-sandbox.

nspawn: do not fail if --forward-journal is not available

--forward-journal is only available in 261, which means we cannot use the
current mkosi main in the systemd stable branches. Check the version and
fallback to the previous implementation if it's older.

Follow-up for 2518468c650b3e4f4c457810255464003e923479

tools: move grub-pc-bin to arch-specific drop-in

2026-05-26T09:06:43.9842316Z Package grub-pc-bin is not available, but is referred to by another package.
2026-05-26T09:06:43.9842760Z This may mean that the package is missing, has been obsoleted, or
2026-05-26T09:06:43.9843062Z is only available from another source
2026-05-26T09:06:43.9843221Z
2026-05-26T09:06:43.9867449Z E: Package 'grub-pc-bin' has no installation candidate

https://github.com/systemd/systemd/actions/runs/26442527598/job/77840339559?pr=42300

config: Add logging for default initrd selection

action: Install apk

Required for postmarketos builds.

mkosi-initrd: Add libfdisk to PostmarketOS

Commit 327644ececcabd3b left that out as I couldn't find it in the
package search. But the package is inherited from Alpine.

Thanks to Clayton Craft for pointing this out!

mkosi-initrd: Add libfdisk1

systemd-repart otherwise crashes on Debian with

> libfdisk.so.1 is not available

For consistency, add it to the other OSes, too.

postmarketos: Fetch keys by default on Ubuntu

Similar to rpm distros, we need a recent
distribution-gpg-keys package, so default to
fetching keys on ubuntu.

Fix typo in SELinux relabel instruction

fedora: allow Snapshot= for any kojipkgs-style mirror

The Snapshot= setting was gated to Release=rawhide and
Mirror=https://kojipkgs.fedoraproject.org with two hard die() checks,
but the URL builder underneath works for any release and any mirror
that mimics the koji compose layout.

So this commit drops the restrictions and just assuems a koji style
layout when snapshot is used. With that any koji style snapshot
can be used.

postmarketos: Also pick up non arch specific keys

postmarketos: Persist fetched keyring across Contexts

Extract the fetched alpine-keys/postmarketos-keys apks straight into
context.keyring_dir so the trusted keys survive between Contexts (e.g.
when building an image after sync_repository_metadata). The per-Context
sandbox_tree is discarded between phases, so writing only there would
cause the keys to disappear before setup() needs them. setup() now does
all the arch-specific key selection, reading from
context.keyring_dir/usr/share/apk/keys/<arch>/ as well as the tools tree.

Co-Authored-By: Claude Opus 4.7 (1M context) <noreply@anthropic.com>

sandbox: split CLI and library entry points to fix console-script execution

When installed via pip/pipx/Nix, the mkosi-sandbox console-script calls
main() with __name__ == "mkosi.sandbox" rather than "__main__", so the
old is_main() check returned False and refused to execvp a trailing
command. Fix this by separating the two responsibilities: enter() is the
library function that sets up the sandbox in the current process and
returns any trailing argv, while main() is the CLI wrapper that calls
enter(), prints friendly error messages carried on a new SandboxOSError,
and execvp's the command. The console-script entry point points at
main() and works regardless of how it is invoked.

Fixes: https://github.com/systemd/mkosi/issues/4303
Co-Authored-By: Claude Opus 4.7 (1M context) <noreply@anthropic.com>

Make full $PATH available when building tools tree

There's no risk of issues where stuff from $PATH expects
/usr from the host when building the tools tree or not using
it at all, so make the full $PATH available in that case.

This allows stuff like downloading apk to ~/.local/bin and
building postmarketos images.

To make this work we also have to mount /home into the sandbox.
This shouldn't be an issue generally. We don't expect tools to
accidentally pick stuff up from /home unless actually intended.

apk: Implement repository_key_fetch for the postmarketOS distribution

When repository_key_fetch is enabled, fetch the alpine-keys and postmarketos-keys
packages with --allow-untrusted, extract them, and copy the trusted public keys
into /etc/apk/keys/ in the sandbox tree so subsequent installs verify normally.

Co-Authored-By: Claude Opus 4.7 (1M context) <noreply@anthropic.com>

postmarketos: Add ruff to tools tree

Add newline when writing machine id into /etc/machine-id

Fixes: #4306

tools: add libtss2-tcti-device0 to opensuse tools tree

mkosi-initrd: Also add cryptsetup-libs explicitly to the initrd

And fix the name of the package on opensuse in the tools tree.

mkosi-initrd: Trim orphaned GPU/audio modules, add ACPI platform attrs

The DRM and sound helpers (drm_buddy, drm_display_helper, ttm, intel-gtt,
mxm-wmi, snd-intel-dspcfg, snd-soc-hda-codec) had no actual KMS/audio
driver in the include list to pull them in, and there is no audio/GPU
userspace running in the initrd anyway. uvc and videobuf2-* are USB
webcam plumbing, also unused. Add firmware_attributes_class and
platform_profile so udev does not log autoload failures for those on
modern laptops.

Co-Authored-By: Claude Opus 4.7 <noreply@anthropic.com>

Merge pull request #4298 from daandemeyer/push-tstyukqrtwtq

mkosi-tools: Add some packages to the misc profile

mkosi-tools: Add fish to misc profile

Now that fish supports SHELL_PROMPT_PREFIX, it becomes more
viable again to run mkosi box -- /bin/fish since it will now
properly show that a box environment was entered. Hence let's
put it in the misc profile so that it is easily available in the
box environment.

mkosi-tools: Add jujutsu to misc profile

It's small, doesn't pull in any other deps we
don't already pull in, and seems popular enough
as a git alternative to include it by default.

mkosi-tools: Move gh to misc profile

git lives there as well and I often want to have SCM tools
available without pulling other development tools so move gh
to the misc profile as well.

mkosi-tools: Add cryptsetup-libs to centos/fedora/opensuse

With upcoming changes in systemd it might not be pulled in
by default anymore, add it explicitly hence.

box: Drop background tinting

Now that we have $SHELL_PROMPT_PREFIX integration,
let's drop the background tinting. Especially since it
doesn't quite nest all that well yet and we often invoke
nspawn and such from within mkosi box which does its own
background tinting.

mkosi-tools: Add libfido2

Required for interaction with hardware keys.

vmspawn: Use --ephemeral rather than copy_ephemeral()

Added second call to update kerneltype after kernel is defined

vmspawn: Forward journal-remote settings to vmspawn

Pass the same MaxUse/KeepFree/MaxFileSize/MaxFiles settings to vmspawn
via its new --forward-journal-* options that we configure in
systemd-journal-remote.conf for qemu.

nspawn: Use --forward-journal instead of running journal-remote ourselves

systemd-nspawn now supports --forward-journal with matching
--forward-journal-max-use, --forward-journal-keep-free,
--forward-journal-max-file-size and --forward-journal-max-files options,
so let it run systemd-journal-remote itself instead of doing it ourselves
via a bind-mounted unix socket.

apk: skip removal of packages that aren't installed

This fixes a failure when RemovePackages= listed package that wasn't
installed. The installed package database is queried first, and filter
to only packages that are actually present before calling apk del.
The query matches against both name and provides fields so packages
specified by a provider name are also found.

config: switch to "pyright: ignore" comments were applicable

add more logging around cache invalidation

Merge pull request #4282 from Gelbpunkt/pmos-all-architectures

postmarketOS: add all supported architectures

postmarketOS: add all supported architectures

This omits armhf, which is armv6, since mkosi only knows a single
architecture for all 32-bit ARM variants. It is eventually going to be
removed upstream anyways, so let's not bother with it.

postmarketOS: sort architecture mapping

apk: Fix EBUSY in sync() when context.root is a mount point

sync() temporarily moved context.root out of the way to get an empty
directory to run apk against without touching the image root. This fails
when context.root is a mount point, e.g. when Overlay= is enabled:

    OSError: [Errno 16] Resource busy: '...root' -> '...saved-root'

This uses a throwaway directory in the workspace instead, since apk
doesn't need to run against context.root specifically.

Merge pull request #4270 from craftyguy/apk-caching-fixes

apk: fix CacheOnly=always and CacheOnly=metadata

apk: respect CacheOnly=always

Without this, apk downloads uncached packages from upstream even when
the user explicitly requested offline operation (e.g. with
CacheOnly=always).

postmarketOS: update repository mirror directory path

See: https://postmarketos.org/edge/2026/03/15/pmaports-default-branch-changed/

apk: respect CacheOnly for metadata caching

Previously --cache-max-age was unconditionally applied in install()
and scripts(), suppressing metadata refresh even with CacheOnly=never.
This updates it to respect the CacheOnly config option instead.

Revert "Add Incremental=relaxed"

This does not work as a per distribution CacheKey= means that
we can switch between distributions without invalidating caches,
meaning the output files won't be removed yet will still be those
of the previous distribution rather than the new one.

Revert for now until I figure out a better approach.

This reverts commit a97c50044ce19d72e5119cd11af6993c3944ab65.

Avoid invalidating all caches on mid-build-failure recovery

Previously, repository_metadata_needs_sync() returned True whenever any
Cacheonly=auto image lacked a cache, which caused run_clean() to wipe
every image cache to avoid partial-upgrade scenarios. As a result, if
mkosi was building several images for the first time and one of them
failed mid-way, the next run would re-sync metadata, wipe the caches of
the images that had already succeeded, and rebuild everything from
scratch.

Use the manifest file as a "previously cached" marker — it's written
when an image builds successfully and survives even after the cache
contents go stale — and only re-sync metadata (and invalidate all
caches) when every incremental image was previously cached and at least
one of them is now out of date. In the mid-build-failure case, the image
that failed never wrote a manifest, so we don't trigger the re-sync and
the surviving caches are preserved.

For all-non-incremental setups we keep the previous behavior of always
syncing — there are no caches to preserve and every build downloads
packages. In a mixed setup, the non-incremental images are ignored by
the heuristic and may eventually fail because of stale metadata, but
that's the cost of mixing them with incremental images we want to
preserve.

Co-Authored-By: Claude Opus 4.6 <noreply@anthropic.com>

nspawn: Drop logic to run systemd-repart on the image before booting

This bit still requires root and it's unlikely we'll ever be able to
make it work unprivileged. Instead we should probably do something with
mstack in the future instead. But for now let's drop this logic so that
booting (verity signed) disk images works unprivileged on systems with
nsresourced and mountfsd.

vmspawn: Make sure we clean up auxiliary files as well

vmspawn: Set fewer credentials

This also fixes the accidentally commented out console=hvc0 in a
previous commit.

mkosi-tools: use correct pkg name for codespell on postmarketOS

Fixes 31852c9314190b10376a009a380ffa527a57fae8

Fall back from nsresourced on UserNamespaceInterfaceNotSupported

This fixes an issue with running mkosi on postmarketOS, where mkosi
was failing if nsresourced was unable to initialize BPF support. The
error is treated the same as InvalidParameter so mkosi falls back to an
unprivileged user namespace when the kernel lacks BPF LSM support.

Work to enable BPF LSM support there is ongoing[1].

1. https://gitlab.postmarketos.org/postmarketOS/pmaports/-/work_items/4411

Build UKI when making directory images with Bootable=auto

qemu supports direct kernel booting UKI images with virtiofs as the
rootfs so let's make that work by building UKIs if we're building
directory images with Bootable=auto. Importantly, we build a UKI
without an initrd in that case so that the time consuming step of
building the initrd is still skipped.

vmspawn: Support --console=headless

vmspawn has support for --console=headless now.

vmspawn: Support booting UKIs and directory images with UKIs

vmspawn: Support DiskType

qemu: Support scsi-cd disk type

For testing the el torito stuff.

ci: Update claude-review with latest changes from systemd

Add support for repart's new ElTorito settings

ci: fix mypy failing because pytest 9 does not support python 3.9

mkosi-initrd: Add sr_mod to default kernel modules

Required for cd devices like qemu's scsi-cd.

Add DriveType= setting for qemu root disk device type

Add a new DriveType= setting that allows configuring the device type
used for the root disk when booting a virtual machine with qemu. The
supported types are virtio-blk (default, preserving existing behavior),
virtio-scsi, and nvme.

Previously, the only way to use nvme was by manually adding qemu device
arguments via QemuArgs=. This makes nvme a first-class option.

When Removable= is enabled, the drive type is forced to virtio-scsi
regardless of the DriveType= setting, preserving existing behavior.

Signed-off-by: Christian Brauner <brauner@kernel.org>