Yocto meta-toradex-security layer 创建独立数据分区
By Toradex 胡珊逢
简介
Toradex 为其产品使用的软件系统如 Linux 提供了诸多的安全功能，例如 Secure Boot、分区加密、OP-TEE 等，帮助用户应对安全合规。这些功能可以通过在 Yocto Project 中添加由 Toradex 开发的 meta-toradex-securitylayer 被轻松使用。我们将在接下的几篇文章中介绍如何使用这些功能。本次我们首先介绍如何在使用 Yocto Project 生成安装镜像时创建一个独立的分区，这为后面的分区加密做好准备。
Yocot Project 环境搭建和配置
参考 Build a Reference Image with Yocto Project/OpenEmbedded页面的说明，我们使用最新的 Linux BSP 7 版本。除了使用默认的 repo 外，我们还可以使用国内站点的 repo 工具，便于下载。
$ curl -L https://mirrors.tuna.tsinghua.edu.cn/git/git-repo -o repo
$ chmod +x repo
$ export REPO_URL='https://mirrors.tuna.tsinghua.edu.cn/git/git-repo'
下载编译 BSP 7 镜像所使用的 mainifest 文件。
$ repo init -u git://git.toradex.cn/toradex-manifest.git -b scarthgap-7.x.y -m tdxref/default.xml
$ repo sync
$ . export
执行完 `repo sync` 命令后，可以在 layers 目录下发现 Yocto Project 使用的 recipes 文件。在 layers 目录下需要添加 meta-toradex-security 以及其依赖的 meta-security layers。
$ cd layers
$ git clone -b scarthgap-7.x.y https://github.com/toradex/meta-toradex-security.git
$ git clone -b scarthgap git://git.yoctoproject.org/meta-security
在 build/conf/bblayers.conf 的末尾增加 meta-toradex-security 和 meta-security。这样在稍后的 bitbake 编译时才能够使用这些 recipes。
${TOPDIR}/../layers/openembedded-core/meta \
${TOPDIR}/../layers/meta-toradex-security \
${TOPDIR}/../layers/meta-security \
在 build/conf/local.conf 的末尾添加下面内容。
INHERIT += "tdx-tezi-data-partition"
在创建和挂载分区时，local.conf 可以使用下面变量改变分区名字、挂载路径、是否自动挂载以及使用其他的挂载参数等，可以根据需要使用。
| 变量 | 描述 | 默认值 |
| TDX_TEZI_DATA_PARTITION_TYPE | 数据分区文件系统类型。可用的值为 ext2、ext3、ext4、fat 和 ubifs。 | ext4 |
| TDX_TEZI_DATA_PARTITION_LABEL | 用于格式化和挂载数据分区的标签 | DATA |
| TDX_TEZI_DATA_PARTITION_AUTOMOUNT | 设置为 1 以在启动时自动挂载数据分区，或设为0禁用自动挂载； | 如果使用了 tdx-encrypted 类为 -1，否则为 1 |
| TDX_TEZI_DATA_PARTITION_MOUNTPOINT | 数据分区应挂载的目录 | /data |
| TDX_TEZI_DATA_PARTITION_MOUNT_FLAGS | 用于挂载数据分区的标志。有关可用挂载标志的更多信息， | rw,nosuid,nodev,noatime, errors=remount-ro |
模块情况下将在 /data 目录挂载一个 EXT4 格式的分区，在该分区上可以存放用户的数据。
编译镜像
完成上面的配置后，即可使用 bitbake 命令编译镜像。例如本次测试将编译用于 Verdn AM62 模块的 minimal image。
$ MACHINE=verdin-am62 bitbake tdx-reference-minimal-image
安装镜像
虽然在 Yocto Project 中规划了一个 /data 下的分区，但该分区还是需要在模块上安装镜像时，由 Toradex Easy Installer 在模块的 eMMC 上创建。在生成镜像的安装文件 image.json 可以看到如下内容。在 RFS 系统分区后会创建一个 DATA 分区。
{
"partition_size_nominal": "512",
"partition_type": "83",
"want_maximised": true,
"content": {
"label": "DATA",
"filesystem_type": "ext4",
"mkfs_options": "-E nodiscard",
"filename": ""
}
}
检查分区情况
安装完毕重启进入系统后，使用 mount 命令可以看到 /dev/mmcblk0p3 被挂载到了 /data 目录下。
/dev/mmcblk0p3 on /data type ext4 (rw,nosuid,nodev,noatime,errors=remount-ro) [DATA]
在 /etc/fstab 中，将 LABEL 为 DATA 的分区在启动时自动挂载。LABEL 名字是前面表格中 TDX_TEZI_DATA_PARTITION_LABEL 参数的默认值。
root@verdin-am62-15415684:/data# cat /etc/fstab
...
LABEL=DATA /data auto rw,nosuid,nodev,noatime,errors=remount-ro,auto 0 0
在 image.json 中，RFS 和 DATA 分区都设置了 "want_maximised": true，所以这两个分区会平分 eMMC 上剩余的空间，这里基本约为 3GB。
root@verdin-am62-15415684:/data# df -h
Filesystem Size Used Available Use% Mounted on
/dev/root 3.4G 207.0M 3.0G 6% /
...
/dev/mmcblk0p3 3.4G 28.0K 3.2G 0% /data
总结
通过 meta-toradex-security，用户可以在编译镜像时轻松规划分区，并在运行时将其自动挂载。更多来自 meta-toradex-security 实用功能，我们将在后续文章介绍。