startup_init/README_zh.md
Qin Fandong 55582482ab init: support selinux
此提交使 init 进程有支持 SELinux 的能力。

1. 启动时加载策略并根据策略文件设置进程安全上下文
2. 根据配置文件中的 secon 字段的值设置进程的安全上下文

仅在编译时有宏定义 WITH_SELINUX 时会将此功能引入,而仅在 BUILD.gn 中编译 L2 系统(ohos_executable("init"))时会定义宏 WITH_SELINUX ,因此不影响 L2 以下的系统。

services/BUILD.gn
编译配置,编译此功能时定义宏 -DWITH_SELINUX 并链接到库 libload_policy 、 librestorecon 、 libselinux 。

services/init/standard/init.c
启动时加载策略并根据策略文件设置进程安全上下文。调用接口 load_policy 和 restorencon 。

services/init/include/init_service.h
结构体 Service 中增加了成员字符数组 secon 对应配置文件的新字段 secon 。

services/include/param/init_selinux_param.h
定义了 SELinux 功能需要使用的宏。

services/init/init_service_manager.c
将配置文件的字段 secon 读到内存中。

services/init/standard/init_service.c
根据内存中读到的每个服务的 secon 字段,设置该服务进程的安全上下文。

Signed-off-by: Qin Fandong <qinfd@superred.com.cn>
2021-10-21 09:44:13 +08:00

17 KiB
Raw Blame History

init组件

简介

init组件负责处理从内核加载第一个用户态进程开始到第一个应用程序启动之间的系统服务进程启动过程。启动恢复子系统除负责加载各系统关键进程之外还需在启动的同时设置其对应权限并在子进程启动后对指定进程实行保活若进程意外退出要重新启动对于特殊进程意外退出时启动恢复子系统还要执行系统复位操作。

目录

base/startup/init_lite/             # init组件
├── LICENSE
└── services
    ├── include                  # init组件头文件目录
    ├── src                      # init组件源文件目录
    └── test                     # init组件测试用例源文件目录
        └── unittest
vendor
└──huawei
        └──camera
                └──init_configs  # init配置文件目录json格式镜像烧写后部署于/etc/init.cfg

约束

目前支持小型系统设备参考内存≥1MB如Hi3516DV300、Hi3518EV300。

使用说明

init将系统启动分为三个阶段

“pre-init”阶段启动系统服务之前需要先执行的操作例如挂载文件系统、创建文件夹、修改权限等

“init”阶段系统服务启动阶段

“post-init”阶段系统服务启动完后还需要执行的操作

上述每个阶段在配置文件init.cfg中都用一个job表示每个job都对应一个命令集合init通过依次执行每个job中的命令来完成系统初始化。job执行顺序先执行“pre-init”再执行“init”最后执行“post-init”所有job都集中放在init.cfg的jobs数组中。

除上述jobs数组之外init.cfg中还有一个services数组用于存放所有需要由init进程启动的系统关键服务的服务名、可执行文件路径、权限和其他属性信息。

配置文件init.cfg位于代码仓库/vendor/hisilicon/hispark_aries/init_configs/目录,部署在/etc/下采用json格式文件大小目前限制在100KB以内。

配置文件格式和内容说明如下所示:

{
    "jobs" : [{
            "name" : "pre-init",
            "cmds" : [
                "mkdir /testdir",
                "chmod 0700 /testdir",
                "chown 99 99 /testdir",
                "mkdir /testdir2",
                "mount vfat /dev/mmcblk0p0 /testdir2 noexec nosuid"
            ]
        }, {
            "name" : "init",
            "cmds" : [
                "start service1",
                "start service2"
             ]
        }, {
             "name" : "post-init",
             "cmds" : []
        }
    ],
    "services" : [{
            "name" : "service1",
            "path" : "/bin/process1",
            "uid" : 1,
            "gid" : 1,
            "secon" : "u:r:untrusted_app:s0",
            "once" : 0,
            "importance" : 1,
            "caps" : [0, 1, 2, 5]
    }, {
            "name" : "service2",
            "path" : "/bin/process2",
            "uid" : 2,
            "gid" : 2,
            "secon" : "u:r:untrusted_app:s0",
            "once" : 1,
            "importance" : 0,
            "caps" : []
        }
    ]
}

表 1 执行job介绍

job名

说明

pre-init

最先执行的job如果开发者的进程在启动之前需要首先执行一些操作例如创建文件夹可以把操作放到pre-init中先执行。

init

中间执行的job例如服务启动。

post-init

最后被执行的job如果开发者的进程在启动完成之后需要有一些处理如驱动初始化后再挂载设备可以把这类操作放到该job执行。

单个job最多支持30条命令当前仅支持start/mkdir/chmod/chown/mount/loadcfg命令名称和后面的参数参数长度≤128字节之间有且只能有一个空格。

表 2 命令集说明

命令

命令格式和示例

说明

mkdir

mkdir 目标文件夹

mkdir /storage/myDirectory

创建文件夹命令mkdir和目标文件夹之间有且只能有一个空格。

chmod

chmod 权限 目标

chmod 0600 /storage/myFile.txt

chmod 0750 /storage/myDir

修改权限命令chmod 权限 目标 之间间隔有且仅有一个空格权限必须为0xxx格式。

chown

chown uid gid 目标

chown 900 800 /storage/myDir

chown 100 100 /storage/myFile.txt

修改属组命令chown uid gid 目标 之间间隔有且仅有一个空格。

mount

mount fileSystemType src dst flags data

mount vfat /dev/mmcblk0 /sdc rw,umask=000

mount jffs2 /dev/mtdblock3 /storage nosuid

挂载命令各参数之间有且仅有一个空格。flags当前仅支持nodev、noexec、nosuid、rdonlydata为可选字段。

start

start serviceName

start foundation

start shell

启动服务命令start后面跟着service名称该service名称必须能够在services数组中找到。

loadcfg

loadcfg filePath

loadcfg /patch/fstab.cfg

加载其他cfg文件命令。后面跟着的目标文件大小不得超过50KB且目前仅支持加载/patch/fstab.cfg其他文件路径和文件名均不支持。/patch/fstab.cfg文件的每一行都是一条命令命令类型和格式必须符合本表格描述命令条数不得超过20条。

表 3 service字段说明

字段名

说明

name

当前服务的名称须确保非空且长度≤32字节。

path

当前服务的可执行文件全路径和参数数组形式。须确保第一个数组元素为可执行文件路径、数组元素个数≤20、每个元素为字符串形式以及每个字符串长度≤64字节。

uid

当前服务进程的uid值。

gid

当前服务进程的gid值。

secon

当前服务进程的安全上下文(当前不需要设置该字段)。

once

当前服务进程是否为一次性进程:

1一次性进程当该进程退出时init不会重新启动该服务进程

0 : 常驻进程当该进程退出时init收到SIGCHLD信号并重新启动该服务进程

注意对于常驻进程若在4分钟之内连续退出5次第5次退出时init将不会再重新拉起该服务进程。

importance

当前服务进程是否为关键系统进程:

0非关键系统进程当该进程退出时init不会将系统复位重启

1关键系统进程当该进程退出时init将系统复位重启。

caps

当前服务所需的capability值根据安全子系统已支持的capability评估所需的capability遵循最小权限原则配置当前最多可配置100个值

相关仓

启动恢复子系统

startup_syspara_lite

startup_appspawn_lite

startup_bootstrap_lite

startup_init_lite