harmony 鸿蒙服务管理

2022-08-09
浏览 (1110)

服务管理

概述

服务管理主要通过init解析服务进程配置文件来实现，服务进程配置文件(xxx.cfg)可以根据业务场景按需配置服务，当前支持的增值服务包括启动控制、按需启动、命令执行、定时启动、fd代持、沙盒。

服务进程配置文件说明

服务进程配置文件名：

一般命名为：serviceName.cfg(serviceName 为服务进程名，例如：appspawn.cfg)
服务进程配置文件格式：

配置文件基于JSON格式，遵循JSON文件的基本规则
服务进程配置文件的内容：

配置文件内容主要包含以下字段，除必配字段外，其他字段根据服务特性选择性配置。

表1 service配置字段说明

init服务启动控制(仅标准系统以上提供)
init会根据用户的服务配置，把服务分成三类，在不同的阶段并行启动。
- “boot”类型：对应系统中需要优先启动的服务，该类服务在“init”阶段启动。
- “normal”类型：默认配置，对应系统中的普通服务，该类服务在“post-init”阶段启动。
- “condition”类型：必须通过启动命令启动，通过在jobs中添加“start xxxx”来启动对应服务。

init服务支持命令执行(仅标准系统以上提供)

init提供服务命令执行能力，在服务执行的不同阶段执行不同的命令。
- “on-start”：在服务进程被fork后在子进程中执行，只对该进程产生影响。
- “on-stop”：在服务停止时执行，在init进程中执行。
- “on-restart”：在服务重启时执行，在init进程中执行。
参考配置如下：
```
"services" : [{
      "name" : "serviceName",
      "path" : ["/system/bin/serviceName"]
      "jobs" : {
          "on-boot" : "boot",
          "on-start" : "services:serviceName_start",
          "on-stop" : "services:serviceName_stop",
          "on-restart" : "services:serviceName_restart"
    }
},
```

通过并行启动和命令执行能力，可以实现进程的并行启动。

init按需启动(仅标准系统以上提供)
配置按需启动后，init进程不会启动对应的服务，只有服务被需要时才会被拉起。通过”ondemand”标记来控制服务是否被拉起。

“ondemand”参考配置如下：
```
  "services" : [{
    "name" : "serviceName",
    "path" : ["/system/bin/serviceName"]
    "ondemand" : true
}]
```

SA进程按需启动

具体参考 samgr组件(说明3)。
socket进程按需启动
1. init进程在pre-fork阶段为socket类进程创建好socket，init进程中监听创建好的socket上的读写事件。
2. socket上有读写事件后，init进程拉起socket进程对应的native服务，并取消对socket的监听，将socket交由相应的native服务管理。
3. native服务无报文处理后，可以自动退出。init进程在回收子进程时会根据服务配置重新监听socket。
热插拔服务进程按需启动

进程可根据系统参数的变化进行热插拔事件按需启动处理。
init进程启动&回收能力增强

进程启动时，支持在配置文件中配置服务进程的绑核、优先级、MAC信息以及AccessToken信息。
- init提供修改*.cfg配置文件，为服务进程提供CPU绑核功能。
- init提供修改*.cfg配置文件，为服务进程提供优先级设置。
- init提供修改*.cfg配置文件，为服务提供MAC信息设置，即服务的SELinux标签（需要selinux支持）。
- init提供修改*.cfg配置文件，为服务提供设置AccessToken, 为系统服务进程设置其分布式Capability能力（仅标准系统以上提供）。
- init提供修改*.cfg配置文件，为服务提供抑制机制。
服务进程启动&回收能力增强配置，如下：
```
  "services" : [{
      "name" : "serviceName",
      "path" : ["/system/bin/serviceName"]
      "importance" : 1,                  // 服务进程提供优先级设置
      "cpucore" : [0],                   // 服务进程提供CPU绑核功能
      "critical" : [1, 5, 10],           // 服务提供抑制机制
      "apl" : "normal",                  // 系统服务进程设置其分布式Capability能力
      "d-caps" : ["OHOS_DMS"],           // 系统服务进程设置其分布式Capability能力
      "secon" : "u:r:distributedsche:s0" // 服务的SELinux标签， "u:r:distributedsche:s0"为要设置的SELinux标签信息
  }
```
定时启动

通过约定时间拉起服务，若服务已拉起，则不在重新拉起服务。具体命令参考： begetctl命令说明 。
```
timer_start servicename timeout
```
服务进程创建基本流程

配置服务进程配置文件

服务进程代码编写完成后创建serviceName.cfg(serviceName 为服务进程名），并根据服务特性配置文件内容。

配置文件完成后，需要安装到对应目录，init中在/base/startup/init/services/etc/BUILD.gn文件配置如下：

  ohos_prebuilt_etc("watchdog.cfg") {
    source = "//base/startup/init/services/etc/watchdog.cfg"
    relative_install_dir = "init"
    part_name = "init"
    subsystem_name = "startup"
  }

  ohos_prebuilt_etc("console.cfg") {
    source = "//base/startup/init/services/etc/console.cfg"
    relative_install_dir = "init"
    part_name = "init"
    subsystem_name = "startup"
  }

服务进程及其配置文件创建完成后，需要在对应模块的bundle.json文件中添加其build路径,例如：

      "build": {
          "group_type": {
              "base_group": [],
              "fwk_group": [],
              "service_group": [
                  "//base/startup/init/ueventd:startup_ueventd",
                  "//base/startup/init/services/etc:ueventd.cfg"
              ]
            },
      }

配置服务进程的DAC权限

服务进程的DAC权限通过服务进程配置文件的gid, uid项来设置。

如果新增gid, uid需要在init模块的/init/services/etc/passwd文件和 /init/services/etc/group文件中添加。

passwd 文件说明：
passwd：每行记录对应一个用户，用户信息以”:“作为分隔符，划分七个字段;如
```
root:x:0:0:::/bin/false
bin:x:2:2:::/bin/false
system:x:1000:1000:::/bin/false
```

group 文件说明：
group：每行记录对应一个用户组，用户组信息以”:“作为分隔符，划分四个字段;如：
```
root:x:0:
bin:x:2:
system:x:1000:
servicectrl:x:1050:root,shell,system,samgr,hdf_devmgr,foundation,update
```

字段含义 | 序号 |字段 | 含义 | |———-|———|————————————————–| |第一个字段|组名|用户组的名称，例如：servicectrl就表示组名为servicectrl| |第二个字段|组密码标志|和/etc/passwd文件一样，这里的“x”仅仅是密码标志，真正的加密之后的组密码保在/etc/gshdow文件中| |第三个字段|GID|通过GID来区别不同的用户组的| |第四个字段|组中的用户|表示的就是这个用户组中到底包含了哪些用户，例如：servicectrl 组的成员有root,shell,system,samgr,hdf_devmgr,foundation,update|

若gid,uid设置为root或system，则需要在对应产品目录下的security_config/high_privilege_process_list.json文件种添加白名单，例如：

    {
        "high_privilege_process_list": [
            {
                "name": "appspawn",
                "uid": "root",
                "gid": "root"
            },
            {
                "name": "console",
                "uid": "root"
            },
            {
                "name": "testService",
                "uid": "root",
                "gid": "root"
            },
            {
                "name": "media_service",
                "gid": ["root", "system"]
            },
            {
                "name": "misc",
                "uid": "root",
                "gid": "root"
            } ... ...
        ]
    }

配置进程的SELinux权限

配置服务进程的SELinux权限

1、首先可以先不配置selinux 标签，确认服务进程是否可以在permissive时可以启动起来，若可以启动，则无需配置。

2、若需要配置selinux规则，首先要在服务进程的配置文件中通过“secon”项设置selinux 标签

3、在selinux模块对服务进程的标签进行定义。具体如下：

在base/security/selinux_adapter/sepolicy/base/system/file_contexts文件定义执行程序的标签，如：

    /system/bin/watchdog_service        u:object_r:watchdog_service_exec:s0
    /system/bin/hdcd        u:object_r:hdcd_exec:s0

在base/security/selinux_adapter/sepolicy/base/public/type.te文件定义标签的作用域，如：

    type watchdog_service, sadomain, domain;
    type watchdog_service_exec, exec_attr, file_attr, system_file_attr;

系统进程服务错误码说明

错误码说明

枚举	枚举值	错误信息	说明
INIT_OK	0		执行成功
INIT_EPARAMETER	1	parameter	接口参数无效
INIT_EFORMAT	2	Format string fail	字符串格式化错误
INIT_ECFG	3	cfg error	cfg解析错误
INIT_EPATH	4	Invalid path	服务path配置错误
INIT_EFORK	5	Fork fail	fork子进程失败
INIT_ESANDBOX	6	Create sandbox fail	服务进沙盒失败
INIT_EACCESSTOKEN	7	Set access token fail	设置access token失败
INIT_ESOCKET	8	Create socket fail	创建socket失败
INIT_EFILE	9	Create file fail	创建文件失败
INIT_ECONSOLE	10	Open console fail	打开console失败
INIT_EHOLDER	11	Publish holder fail	Publish holder失败
INIT_EBINDCORE	12	Bind core fail	绑核失败
INIT_EKEEPCAP	13	Set keep capability fail	设置keep capability失败
INIT_EGIDSET	14	Set gid fail	设置服务gid失败
INIT_ESECCOMP	15	Set SECCOMP fail	设置服务安全策略
INIT_EUIDSET	16	Set uid fail	设置服务uid失败
INIT_ECAP	17	Set capability fail	设置服务capability失败
INIT_EWRITEPID	18	Write pid fail	pid写入失败
INIT_ECONTENT	19	Set sub content fail	设置服务安全上下文失败
INIT_EPRIORITY	20	Set priority fail	设置服务优先级失败
INIT_EEXEC_CONTENT	21	Set exec content fail	设置selinux标签失败
INIT_EEXEC	22	Exec fail	执行exec失败

服务进程配置实例：

服务示例代码展示

服务示例配置展示

接口说明

服务控制接口为特权接口，因此需要配置DAC和selinux权限，具体如下：
- 服务控制接口配置DAC，需要修改/base/startup/init/services/etc/group文件，在组servicectrl中添加对应的用户id，例如：
```
servicectrl:x:1050:root,shell,system,samgr,hdf_devmgr
```
服务控制接口的selinux配置

服务控制接口配置selinux，需要在init.te文件中添加该服务接口所需要的selinux权限，例如为init、samgr、hdf_devmgr等服务配置系统参数写权限：
```
allow { init samgr hdf_devmgr } servicectrl_param:parameter_service { set };
```
约束与限制

仅限小型系统、标准系统下使用。