pam_systemd: Forward systemd.runtime_max_sec setting to session scope

Allow earlier PAM modules to set `systemd.runtime_max_sec`. If they do,
parse it and set it as the `RuntimeMaxUSec=` property of the session
scope, to limit the maximum lifetime of the session. This could be
useful for time-limiting login sessions, for example.

Signed-off-by: Philip Withnall <withnall@endlessm.com>
Fixes: #12035

scope: Support RuntimeMaxSec= directive in scope units

Just as `RuntimeMaxSec=` is supported for service units, add support for
it to scope units. This will gracefully kill a scope after the timeout
expires from the moment the scope enters the running state.

This could be used for time-limited login sessions, for example.

Signed-off-by: Philip Withnall <withnall@endlessm.com>
Fixes: #12035

scope: Refactor timer handling on coldplug

Factor it out into a helper function which is a bit easier to expand in
future. This introduces no functional changes.

Signed-off-by: Philip Withnall <withnall@endlessm.com>

shared: Factor out bus_append_scope_property() for scopes

This introduces no functional changes, but will make some upcoming
changes a little clearer.

Signed-off-by: Philip Withnall <withnall@endlessm.com>

dbus-scope: Factor out common UNIT(s) cast

This introduces no functional changes.

Signed-off-by: Philip Withnall <withnall@endlessm.com>

systemd-sleep: use swaps in priority order

In situations where hibernation is requested but resume= and
resume_offset= kernel parameters are not configured, systemd
will attempt to locate a suitable swap location by inspecting
/proc/swaps. This change will use the first suitable swap with
the highest configured priority.

more 243 news

man: document the kernel command line options to use when logging to kmsg

Prompted by:

https://lists.freedesktop.org/archives/systemd-devel/2019-July/043149.html

news corrections and improvements (#13200)

* missing whitespace.

* NEWS: some small fixes (?) and improvements (???).

* a number of small corrections and (hopefully) improvements

Merge pull request #13203 from yuwata/update-ja-po

po: include network1.policy and update ja.po

catalog: update Polish translation

Update Touchpad for g6

po: update ja.po

po: include network1.policy in the list for generating .pot file

Merge pull request #13120 from keszybz/journal-min-use

Increase journald min_use value

errno-util: return const string from strerror_safe()

C's strerror() function does not return a "const char *" pointer
for the string. That has historic reasons and C99 even comments
that "[t]he array pointed to shall not be modified by the program".

Make the strerror_safe() wrapper correct this and be more strict
in this regard.

Merge pull request #13194 from keszybz/chase-symlinks-testing

Chase symlinks testing

Merge pull request #13195 from keszybz/minor-rewordings

Minor rewordings

journald: lower keep_free to 5% and raise min_use to 2%

https://bugzilla.redhat.com/show_bug.cgi?id=1715699

> /dev/mapper/live-rw  6.4G  5.7G  648M  91% /
> systemd-journald[905]: Fixed min_use=1.0M max_use=648.7M max_size=81.0M min_size=512.0K keep_free=973.1M n_max_files=100

When journald is started, we pick keep_free as 15% of the disk size. When the
fs is almost filled, we will only keep one journal file around and rotate very
often (because min_size is very small).

Let's set min use to something reasonable, so that we get more useful logs that
will cover at least the full boot.

Some cases considered in the PR:

> /dev/mapper/live-rw 6.4G 5.7G 648M 91% /

keep_free→MIN(327,100)→100 MB.
min_use→16MB.
effective range: 16 MB – 548 MB

> /dev/mapper/fedora_krowka-root 78G 69G 5.7G 93% /

keep_free → MIN(4GB, 100MB)→100MB
min_use→16MB
effective range: 16 MB – 5.6 GB
(but then there's the max_use limit, which cuts the range down)

> 4TB, 4GB free

keep_free → MIN(209715, 100) → 100 MB
min_use→16MB
effective range: 16 MB – 4.9 GB
(also effectively limited by max_use)

Also replace unneeded width suffixes with spaces, I think this is more
readable, and drop DEFAULT_ prefixes in cases where this setting is
simply a bound, and cannot be overridden by user config, hence is not
a default.

fs-util: CHASE_NOFOLLOW is not limited to CHASE_OPEN

$ build/test-chase-symlinks /etc/os-release
/etc/os-release → /usr/lib/os-release

$ build/test-chase-symlinks --nofollow /etc/os-release /etc/../etc/os-release /etc/../etc/./././os-release
/etc/os-release → /etc/os-release
/etc/../etc/os-release → /etc/os-release
/etc/../etc/./././os-release → /etc/os-release

test-chase-symlinks: manual test to call chase_symlinks()

v2:
- print --help to stdout, use size_t

bootctl: log message tweaks

Follow-up for e44c3229f22459b189c1e79cb01fdb156672eb93.

man: reword description of "-" for sysctl.d

Follow-up for e08be64937.

Merge pull request #13191 from poettering/sysctl-no-fail

allow sysctl assignments to fail

Merge pull request #13137 from poettering/efi-random

beef up random seed logic, add boot loader entropy privisioning, improve docs about it

Merge pull request #13186 from keszybz/tmpfiles-postponement

Create less stuff when systemd-tmpfiles --create is executed (during installation or otherwise)

Merge pull request #13188 from yuwata/news-igmp-version

network: rename `IGMPVersion=` to `MulticastIGMPVersion=`

NEWS: mention SpeedMeter=

NEWS: mention the new sysctl.d/ - prefix

sysctl: prefix ping port range setting with a dash

Fixes: #13177

Revert "Revert "sysctl: Enable ping(8) inside rootless Podman containers""

This reverts commit be74f51605b4c7cb74fec3a50cd13b67598a8ac1.

Let's add this again. With the new sysctl "-" thing we can make this
work.

man: document the new sysctl.d/ - prefix

sysctl: if options are prefixed with "-" ignore write errors

sysctl: reset 'r' only where needed

sysctl: switch to log_syntax()

With @keszybz' recent work this will give us clickable links in the
journalctl output.

Revert "sysctl: Enable ping(8) inside rootless Podman containers"

This reverts commit 90ce7627dfe824ff6e7c0ca5f96350fbcfec7118.

See https://github.com/systemd/systemd/issues/13177#issuecomment-514931461

NEWS: mention Bridge.MulticastIGMPVersion=

network: slightly update log message

network: rename IGMPVersion= -> MulticastIGMPVersion=

sd-boot: silence one warning about pointer cast

It doesn't matter either way. Fixes #13174.

update TODO

tmpfiles: copy files to /etc only on boot

We'd copy /etc/nsswitch.conf, /etc/pam.d/, and /etc/issue (*) on every
tmpfiles --create run. I think we should only do this at boot, so if
people install systemd.rpm in a larger transaction and want to create those
files at a later step, we don't interfere with that.

(Stuff like /etc/os-release and /etc/mtab is not really configurable,
we might as was create it uncondtionally.)

(Seemingly, the alternative approach might be to not call
systemd-tmpfiles --create in systemd.rpm %post. But this wouldn't have much
effect, because various packages call it anyway, and our
%tmpfiles_create_package macro does too.  So we need to change the
configuration instead.)

(*) We don't provide /usr/share/factory/issue, so normally this fails, but
somebody else might provide that file, so it seems useful to keep the
C line.

tmpfiles: stop creating /etc/localtime symlink

If the symlink is not present, UTC is the default. There *is* a slight
advantage to it: humans might expect it to be present and look in /etc.
But it might interfere with post-install scripts and it doesn't serve
any technical purpose. Let's not create it. Fixes #13183.

update TODO

TODO: remove apparently fixed issue from TODO

docs: add longer document about systemd and random number seeds

man: extend on the --print-boot-path description a bit

bootctl: add is-installed verb

Fixes: #9428

man: document the systemd-random-seed rework

docs: document new random seed EFI vars as part of the boot loader interface

random-seed: rework systemd-random-seed.service substantially

This makes two major changes to the way systemd-random-seed operates:

1. We now optionally credit entropy if this is configured (via an env
var). Previously we never would do that, with this change we still don't
by default, but it's possible to enable this if people acknowledge that
they shouldn't replicate an image with a contained random seed to
multiple systems. Note that in this patch crediting entropy is a boolean
thing (unlike in previous attempts such as #1062), where only a relative
amount of bits was credited. The simpler scheme implemented here should
be OK though as the random seeds saved to disk are now written only with
data from the kernel's entropy pool retrieved after the pool is fully
initialized. Specifically:

2. This makes systemd-random-seed.service a synchronization point for
kernel entropy pool initialization. It was already used like this, for
example by systemd-cryptsetup-generator's /dev/urandom passphrase
handling, with this change it explicitly operates like that (at least
systems which provide getrandom(), where we can support this). This
means services that rely on an initialized random pool should now place
After=systemd-random-seed.service and everything should be fine. Note
that with this change sysinit.target (and thus early boot) is NOT
systematically delayed until the entropy pool is initialized, i.e.
regular services need to add explicit ordering deps on this service if
they require an initialized random pool.

Fixes: #4271
Replaces: #10621 #4513

random-seed: drop falling back to O_WRONLY if O_RDWR on /dev/urandom doesn't work

There's no reason why writing should work if reading and writing
doesn't. Let's simplify this hence. /dev/urandom is generally an r/w
device, and everything else would be a serious system misconfiguration.

random-seed: reduce scope of variable

units: automatically initialize the system token if that makes sense

bootctl: show random seed state

bootctl: add new verb for initializing a random seed in the ESP

random-seed: move pool size determination to random-util.[ch]

That way we can reuse it elsewhere.

core: take random seed from boot loader and credit it to kernel entropy pool

sd-boot: read random seed from ESP and pass it to OS

efi: steal glibc sha256 implementation

bootctl: add new feature flag for indicating random seed management support

bootctl: shortcut configuration file parsing

bootctl: drop const from non-pointer function argument

bootctl: use the fact that startswith() returns the suffix

efivars: modernize efi_get_variable() a bit

Primarily, make sure the return parameters are all individually
optional.

efi: add log_oom() helper

efi: modernize file_read() a bit

xattr-util: document that we NUL suffix

fs-util: add fsync_full() helper

We usually combine an fsync() with fsync_directory_of_file() hence let's
add a helper that does both in one.

Merge pull request #13144 from poettering/nspawn-modprobe

nspawn modprobe fixes

network: drop redundant Link::kind check

All CAN devices' iftype are ARPHRD_CAN. So, checking Link::kind is
redundant.

Follow-up for c6ac3729c9ece63185a3c4e7bc1970b98d2feb01.

units: add initrd-network-generator.service

Merge pull request #13179 from yuwata/network-drop-new-settings-from-dhcp-section

network: drop recently added settings from deprecated [DHCP] section

network: drop recently added settings from deprecated [DHCP] section

test-network: use [DHCPv4] and [DHCPv6] sections instead of deprecated [DHCP] section

Merge pull request #13169 from ssahani/bridge-igmp-group-version

Bridge igmp group version

test-network: add test for Bridge.IGMPVersion=

networkd: bridge add support to set IGMP version

Add IFLA_BR_MCAST_IGMP_VERSION

Merge pull request #13166 from yuwata/network-slcan-support

network: slcan support

Merge pull request #13173 from kinvolk/iaguis/fix-norbind

Revert "nspawn: remove unnecessary mount option parsing logic"

tests: pass --werror to meson on Semaphore

core: try to reopen /dev/kmsg again right after mounting /dev

I was debugging stuff during early boot, and was confused that I never
found the logs for it in kmsg. The reason for that was that /proc is
generally not mounted the first time we do log_open() and hence
log_set_target(LOG_TARGET_KMSG) we do when running as PID 1 had not
effect. A lot later during start-up we call log_open() again where this
is fixed (after the point where we close all remaining fds still open),
but in the meantime no logs every got written to kmsg. This patch fixes
that.

Add Logitech touchpads, sort vendors alphabetically (#13167)

hwdb: Add Logitech touchpads, such as Logitech Wireless Touchpad, Logitech T650 and others

Sort vendors alphabetically.

update NEWS with more recently commited stuff

Revert "timesyncd: add Conflicts for ntpd and chronyd"

This reverts commit 971a7a1526a6c1d5cb439a8a41dc65ccd4e3a66f.

These unit names are typically different on distributions, let's not
hardcode those. Stuff like this should probably live in the distro
RPM/.deb, but not upstream, where we should be distro agnostic and
agnostic to other higher level packages like this.

test: add some test for norbind

This regressed so let's add a test to make sure it doesn't happen again.

Revert "nspawn: remove unnecessary mount option parsing logic"

This reverts commit 72d967df3e27186dd014bed2c6e7400cc32d84c5.

Revert this because it broke the `norbind` option of the bind flags
because it does bind-mounts unconditionally recursive.

Let's bring the old logic back.

Fixes: #13170

Merge pull request #13168 from ssahani/fix-dhcp-route-no-parsing

network: fix DHCP route rumber parsing.

sysctl: Enable ping(8) inside rootless Podman containers

This makes ping(8) work without CAP_NET_ADMIN and CAP_NET_RAW because
those aren't effective inside rootless Podman containers.

It's quite useful when using OSTree based operating systems like Fedora
Silverblue, where development environments are often set up using
rootless Podman containers with helpers like Toolbox [1]. Not having
a basic network utility like ping(8) work inside the development
environment can be inconvenient.

See:
https://lwn.net/Articles/422330/
http://man7.org/linux/man-pages/man7/icmp.7.html
https://github.com/containers/libpod/issues/1550

The upper limit of the range of group identifiers is set to 2147483647,
which is 2^31-1. Values greater than that get rejected by the kernel
because of this definition in linux/include/net/ping.h:
  #define GID_T_MAX (((gid_t)~0U) >> 1)

That's not so bad because values between 2^31 and 2^32-1 are reserved
on systemd-based systems anyway [2].

[1] https://github.com/debarshiray/toolbox
[2] https://systemd.io/UIDS-GIDS.html#summary

network: support slcan

The device driver does not have IFLA_INFO_KIND attribute. So, we need to
check iftype.

Closes #13150.

network: fix DHCP route rumber parsing.

Merge pull request #13145 from poettering/nss-gateway-fix

filter _gateway NSS resolving to only use main routing table

man: highlight the different concepts behind h/H and t/T

Fixes: #13151

tree-wide: drop netinet/ether.h from socket-util.h and sd-netlink.h

Merge pull request #13118 from bluca/shutdown_watchdog_kexec

core: add KExecWatchdogSec and rename ShutdownWatchdogSec to RebootWatchdogSec

Merge pull request #13143 from poettering/logind-inhibit-restart

logind restart inhibition fixes

meson: reorder alphabetically

local-addresses: filter out any routing tables but the main one

Fixes: #13132

netlink: move local-addresses.[ch] to src/shared

This code is not part of the public API of sd-netlink, nor used by it
internally and hence should not be in the sd-netlink directory.

Also, move the test case for it to src/test/.