Comment faire apparaître des outils dans un Linux immuable sans redémarrer : l'astuce sysext

Découvrez comment injecter des outils dans des systèmes Linux immuables sans redémarrage en utilisant systemd-sysext, en maintenant la stabilité et la flexibilité.

Les systèmes Linux immuables, tels que Fedora Silverblue, openSUSE MicroOS et Steam Deck, promettent la stabilité, mais peuvent compliquer les tâches de diagnostic rapides. Lorsque vous essayez de placer un outil utile dans /usr/bin ou de créer des répertoires globaux, le message Read-only file system apparaît souvent.

Ce qui rend l'immuable si stable

Dans les distributions traditionnelles, la racine est inscriptible et des modifications rapides peuvent avoir lieu. Dans les versions immuables, l'image racine est protégée et les mises à jour sont des versions entières vérifiées, ce qui garantit l'atomicité, mais complique les ajustements ponctuels.

L'obstacle du Read-only

Le casse-tête survient lorsque vous avez besoin de déboguer ou d'ajouter des outils en temps réel. Par exemple, tenter de créer un fichier dans /usr/bin avec sudo entraîne un refus, prouvant que la racine est protégée.

Pour ajouter un outil officiellement, la voie traditionnelle implique rpm-ostree ou des reconfiguration, ce qui peut nécessiter un redémarrage et ne fonctionne pas sur toutes les distributions immuables.

Comment sysext résout cela en pratique

systemd-sysext fonctionne comme une surcouche qui fusionne une extension avec le système existant en utilisant OverlayFS. L'idée est de créer un ensemble de binaires et de bibliothèques dans un dossier séparé et, au moment de l'exécution, de les « fusionner » avec /usr, sans modifier l'image de base.

Votre première extension système

Étape 1 : monter la structure de l'extension qui reflète la racine

mkdir -p my-tool-ext/usr/bin
mkdir -p my-tool-ext/usr/lib/extension-release.d/

Étape 2 : le passeport de l'extension

sysext ne fusionne que s'il sait quelle version de l'OS vous utilisez. Vérifiez l'ID et la version actuelle avec :

cat /etc/os-release | grep -E ^ID=|^VERSION_ID=

Dans l'exemple, l'ensemble renvoie ID=fedora et VERSION_ID=43. Adaptez à vos valeurs actuelles

Créez le fichier de release de l'extension

echo ID=fedora > my-tool-ext/usr/lib/extension-release.d/extension-release.my-tool-ext
echo VERSION_ID=43 >> my-tool-ext/usr/lib/extension-release.d/extension-release.my-tool-ext

Vérifiez la structure pour vous assurer que tout est en place

ls -R my-tool-ext

Le moment de la fusion

Une fois l'extension prête, déplacez-la dans le répertoire des extensions système et lancez la fusion :

sudo cp -r my-tool-ext /var/lib/extensions/
sudo systemd-sysext merge

Vérifiez la présence du binaire et confirmez qu'il commence à être vu comme faisant partie du système

ls -l /usr/bin/foss-tool

Vous devriez voir l'outil disponible dans le chemin attendu

systemd-sysext status

Le système continue techniquement de lire l'image en lecture seule, mais le nouvel outil est déjà activé pour une utilisation immédiate

Problèmes courants et solutions

Une erreur courante est No suitable extensions found, qui se produit lorsque l'extension n'est pas compatible avec l'image actuelle. Mettez à jour les métadonnées pour qu'elles correspondent à la version de l'OS et réessayez.

Annuler sans laisser de trace

Pour annuler l'intégration, utilisez la commande d'unmerge :

sudo systemd-sysext unmerge

Après l'unmerge, l'outil disparaît de /usr et le système revient à son état d'origine.

Pourquoi cela peut surpasser l'approche des conteneurs

Les conteneurs isolent les applications, mais ne fusionnent pas avec l'hôte. sysext injecte l'outil directement dans le système, avec les mêmes permissions et visibilité qu'un outil natif, ce qui peut être essentiel pour déboguer le noyau ou gérer le matériel.

Conclusion

L'immuabilité ne doit pas signifier une perte de flexibilité. Avec sysext, il est possible de maintenir la sécurité d'un noyau en lecture seule et, pourtant, d'injecter rapidement les outils nécessaires sans redémarrage.

Maintenant, c'est à vous — avez-vous déjà testé sysext sur votre Linux immuable ? Laissez vos expériences ou questions dans les commentaires pour que nous puissions discuter ensemble des meilleures pratiques.

Veja mais artigos como Comment faire apparaître des outils dans un Linux immuable sans redémarrer : l'astuce sysext na categoria Actualités.