PS эта ошибка возникает при установке пакета.
PS1 если поставить пакет, например, на c7, а потом сделать dist-upgrade до Сизифа -- работает

Для Сизифа/p8:

Из пакета policycoreutils-devel требуется

/usr/libexec/selinux/hll/

для установки selinux-policy-altlinux. Вероятно, её стоит перенести в файлы пакета policycoreutils.

С остальными ошибками сейчас разбираюсь.

/usr/libexec/selinux/hll/ я сейчас перенесу. Полагал, это для разработки только.

Последний не-апстримный коммит [1], с которым работает 
selinux-policy-altlinux. Апстримный коммит, в котором ломаются полиси, находится где-то между [1] и [2] коммитами. Продолжу исследования.

[1] http://git.altlinux.org/gears/p/policycoreutils.git?p=policycoreutils.git;a=commit;h=063837a8c5c69289438135587f1a67fef87ba69a
[2] http://git.altlinux.org/gears/p/policycoreutils.git?p=policycoreutils.git;a=commit;h=d442b3651354c109ec408fbbe4df6c9789372391

Последний апстримный коммит [1], который собирается в окружении c7. Осталось примерно 50 коммитов, которые не собираются в окружениях c7 или Sisyphus или из-за компилятора, или из-за несоответствии версии libselinux. Продолжу исследования.

[1] http://git.altlinux.org/gears/p/policycoreutils.git?p=policycoreutils.git;a=commit;h=ac33098a807671204720aae97d6bcf6429d3fa92

Уточнение: собирается и политика грузится.

Зерг, я не понял, ты же вроде это чинил ?

(В ответ на комментарий №7)
> Зерг, я не понял, ты же вроде это чинил ?
AFAIK уже нет.

Created attachment 6823 [details]
context__contains.patch

Последний коммит [1], с которым политики загружаются, в следующем коммите [2] semodule сегфолтится при попытке их загрузить.

Чистые коммиты не собираются, для их сборки необходимо наложить патч (во вложении).

[1] http://git.altlinux.org/gears/p/policycoreutils.git?p=policycoreutils.git;a=commit;h=aea047c76904a907c0acb15ab4a6399ffe32dd63
[2] http://git.altlinux.org/gears/p/policycoreutils.git?p=policycoreutils.git;a=commit;h=e37fa2f63be89afab9b5f5ddfedbd589d0676c4e

А что говорит апстрим на это ?
Ну сегфолт видимо является следствием того, что наша политика лежит в /etc, а не в /var.

> Ну сегфолт видимо является следствием того, что наша политика лежит в /etc, а
не в /var.

Не совсем. Причина сегфолта пока непонятна. Правила из /etc/selinux/altlinux/modules/ в /var/lib/selinux/altlinux/ нужно перекладывать как раз в версии policycoreutils-2.4, т.е. тот, что в p8/Sisyphus. И если их туда положить, то при их загрузке также происходит сегфолт (как и в случае того коммита). Пока продолжаю исследования.

P.S. Я в #4 (https://bugzilla.altlinux.org/show_bug.cgi?id=32254#c4) написал, что с версией 2.3 наши политики работают. Это неправда. Тоже происходит сегфолт.

Точнее, с policycoreutils 2.4 не сегфолтятся, а не загружаются правила с известной диагностикой.

Ан-нет, с версией policycoreutils 2.3 политики загружаются #4.

Правильно ли я понимаю, что, хотя задача была в целом решена, пакет в Сизиф/p8 собран не был?

Я его видел в eperm.

task #170252

Он был в Eperm, сейчас он снова стал NEW. Отправил на сборку.

Если его кто-то протестировал, то я могу заапрувить.

Downgrade это всё-таки не решение задачи. Нам всё равно неминуемо придётся переходить на более новые версии libselinux и policycoreutils. Ещё есть время разобраться в корне проблемы и исправить её.

(In reply to comment #19)
> Downgrade это всё-таки не решение задачи. Нам всё равно неминуемо придётся
> переходить на более новые версии libselinux и policycoreutils. Ещё есть время
> разобраться в корне проблемы и исправить её.

Сперва надо зафиксировать работающую версию.
Конечно, проблем много и двигаться вперед нужно.

работающая версия в p7 зафиксирована.

Владимир, вы пробовали собирать версию 2.6 ?
https://github.com/SELinuxProject/selinux/wiki/Releases

(In reply to comment #21)
> работающая версия в p7 зафиксирована.

Меня интересует сейчас фиксация в Сизифе и p8.
Остальное -- не предмет обсуждения в этой баге.

> Владимир, вы пробовали собирать версию 2.6 ?

Нет. Она вышла недавно. Можно попробовать. Мне тоже даунгрейд не нравится, но я сомневаюсь, что в 2.6 правила заработают; правильнее было бы конечно правила переписать. Но лучше проверить.

А не работает только с нашими правилами ? Тогда это совсем просто должно быть.

(В ответ на комментарий №25)
> А не работает только с нашими правилами ? Тогда это совсем просто должно быть.

Возможно. Но сначала надо сделать чтоб оно работало здесь и сейчас.

policycoreutils-1:2.3-alt1 -> sisyphus:

* Thu Sep 29 2016 Vladimir D. Seleznev <vseleznv@altlinux> 1:2.3-alt1
- downgraded due regression (closes: #32254)

Антон, такие революции надо проводить не в Sisyphus а в стабильном бранче. Зачем оно понадобилось тебе в Sisyphus - я не понимаю.

Обнови в бранче, после этого я соберу 2.6.

policycoreutils-1:2.3-alt1 -> p8:

* Thu Sep 29 2016 Vladimir D. Seleznev <vseleznv@altlinux> 1:2.3-alt1
- downgraded due regression (closes: #32254)

refpolicy c 2.6 грузится, policy-altlinux - нет. Проблема где-то в политике.

Забрал на себя

Загрузка обламывается на этих строчках (если читать CIL, на который как раз ругается):
(filecon "HOME_DIR" symlink (system_u object_r def_t ((s0) (s0))))
(filecon "HOME_DIR" dir (system_u object_r def_t ((s0) (s0))))
(filecon "HOME_DIR/.+" any (system_u object_r def_t ((s0) (s0))))
(filecon "HOME_ROOT" any (system_u object_r home_root_t ((s0) (s0))))

Судя по всему ошибка в политике была всегда, просто новые policycoreutils научились её обрабатывать. По крайней мере код, который пишет Failed to resolve %s statement появился вместе с компилятором CIL в коммите bb0f8beff890195cfd459c67230c6130c86b3214 policycoreutils.

В общем это ошибка копипаста - в нашей политике не используется system_u и home_root_t, соответственно их никто не объявляет, отсюда и проблемы.

Эти строчки просто не нужны, старый policycoreutils игнорировал синтаксические ошибки, новый стал на них ругаться.

И ещё раз просьба к Владимиру и Антону - прежде чем делать глупости - посоветуйтесь с более опытными коллегами, тем более вы оба не является ментейнерами подсистемы selinux и отправлять пакеты без согласования по крайней мере не красиво, а в данном случае ещё и некорректное применение прав git_root

сейчас всё грузится на текущем sisyphus и c8/p8