sergio/takana

1# arje-logind-compat — el daemon shim D-Bus que se hace pasar por `org.freedesktop.login1`
2# (systemd-logind) para GNOME/KDE. NO es un stub: implementa el subset del `Manager` que los
3# escritorios consultan al arranque — ListSessions/ListSeats/ListUsers/GetSession(ByPID),
4# Inhibit/ListInhibitors, CanPowerOff/Reboot/Suspend/Hibernate + PowerOff/Reboot/Suspend/Hibernate,
5# propiedades IdleHint/BlockInhibited — y traduce cada llamada al bus interno del fractal arje.
6# Corre FUERA de PID 1 (un parser D-Bus en el Init es superficie de CVE), supervisado por el Ente #0.
7# Toma el DRM master vía el idioma TakeDevice (major 226) para que mutter/kwin sean master.
8#
9# ESTO ES lo que yo creía que faltaba: NO hace falta empaquetar elogind ni delegar nada a tawasuyu.
10# arje-compat ya provee login1. seatd sigue dando SÓLO asiento (DRM/input); login1 = sesiones, y es
11# esto. El frente GNOME (y KDE) enlazan/consultan login1 EN RUNTIME por D-Bus, no linkean libelogind:
12# no hace falta la C-ABI sd-login ni un módulo PAM, porque la sesión se registra por el bus interno
13# de arje (mirada-greeter → fractal), no por pam_systemd. Ver [[frente-gnome]] / [[frente-harkaq-jaula]].
14#
15# Receta Cargo (patrón arje-zero): fuente = monorepo tawasuyu a un commit PINEADO que carga el
16# `Cargo.lock` del workspace en raíz (el monorepo lo gitignora) ⇒ fetch vendorea `--locked` y el
17# build es `--offline` hermético y bit-reproducible. El commit es la rama
18# `selfhost/arje-zero-attest-lockfile` (06184e43): más nueva que la de arje-zero (9967b02c) porque
19# incluye el reorg `arje-compat` — el crate único con un binario por servicio que reemplaza los 15
20# crates dispersos de `compat/`. `-p arje-compat --bin arje-logind-compat` compila SÓLO este daemon.
21# Estático zig-cc (zbus sobre socket unix + tokio + nix; sin loader del host, como todo arje).
22#
23# HUB-ONLY: fuente `gitea@git.tawasuyu.net` puerto 22 ⇒ el worker secretless recibe Connection
24# refused (la gitea escucha en :2345). Se muele en el hub, no en un worker efímero. Ver
25# [[rootfs-laptop-worker-divergen]] y el gotcha de recetas tawasuyu en [[frente-gnome]].
26name    = "arje-logind-compat"
27version = "0.0.1"
28license = "MIT"
29
30[source]
31# El `commit` es el identificador inmutable (la URL es sólo locator, no entra al hash).
32repo   = "gitea@git.tawasuyu.net:tawasuyu/tawasuyu.git"
33commit = "2445fa31c1b3d8b7da037d2434ace976e2444df4"
34# El monorepo COMMITEA su propio `vendor/` — `[patch.crates-io] smithay = { path = "vendor/smithay" }`,
35# una copia parcheada de smithay que mirada necesita para el tearing. `cargo vendor` de takana escribe
36# en `vendor/` por defecto y lo pisaba: el build moría con
37# `failed to read /src/vendor/smithay/.cargo-checksum.json` al resolver la dep git de taffy. Se
38# vendorea a un subdir aparte. Ver [[takana-cargo-vendor-clobbers-project-vendor]].
39cargo_vendor_dir = ".hammer-cargo-vendor"
40
41[build]
42compiler = "zig-cc"
43target   = "x86_64-linux-musl"
44link     = "static"
45flags    = ["-p", "arje-compat", "--bin", "arje-logind-compat"]
46
47# ── La POLÍTICA D-Bus viaja con el artefacto, no con la imagen ──────────────────────────────────
48# El `system.conf` de dbus trae `<deny own="*"/>` por defecto: cada servicio de sistema aporta su
49# propio fichero de política, y el de login1 normalmente lo instala systemd. Acá no hay systemd, así
50# que hasta hoy lo escribía `scripts/gnome/qemu-desktop-image.sh` — con un TODO al lado diciendo que
51# ése no era su lugar. Y no lo era: **un servicio que no puede adueñarse de su nombre no es un
52# servicio**, así que la política es parte de lo que este paquete PROMETE, igual que el binario.
53# Dejarla en el script de una imagen significaba que cualquier otra imagen —metal, KDE, mirada— tenía
54# el daemon y no podía usarlo.
55#
56# `allow own` sólo a root (es quien lo lanza) y `send_destination` a cualquiera, porque mutter y el
57# resto consultan login1 sin ser root.
58#
59# La fase `install` REPLICA el default del lab para Cargo (copiar los ejecutables de target/release a
60# /usr/bin) y le agrega el fichero. Sobrescribir la fase es la única forma: el default no tiene un
61# gancho para material extra.
62[build.phases]
63install = '''
64set -e
65mkdir -p /out/usr/bin /out/usr/share/dbus-1/system.d
66find target/release -maxdepth 1 -type f -perm -100 -exec cp {} /out/usr/bin/ \;
67cat > /out/usr/share/dbus-1/system.d/org.freedesktop.login1.conf <<'XML'
68<!DOCTYPE busconfig PUBLIC "-//freedesktop//DTD D-Bus Bus Configuration 1.0//EN"
69 "http://www.freedesktop.org/standards/dbus/1.0/busconfig.dtd">
70<busconfig>
71  <policy user="root">
72    <allow own="org.freedesktop.login1"/>
73  </policy>
74  <policy context="default">
75    <allow send_destination="org.freedesktop.login1"/>
76    <allow receive_sender="org.freedesktop.login1"/>
77  </policy>
78</busconfig>
79XML
80'''