リンカー名前空間

ダイナミック リンカーは、Treble VNDK の設計上の 2 つの課題に対応します。

• SP-HAL 共有ライブラリとその依存関係（VNDK-SP ライブラリを含む）は、フレームワーク プロセスに読み込まれます。そこで、シンボルの競合を防ぐなんらかのメカニズムが必要になります。
• dlopen() と android_dlopen_ext() により、ビルド時に隠れたランタイム依存関係が発生し、静的解析では検出が困難になる場合があります。

これらの 2 つの課題はリンカー名前空間のメカニズムで解決できます。このメカニズムはダイナミック リンカーによってもたらされ、別のリンカー名前空間にある共有ライブラリが分離されるため、シンボルが異なる同名のライブラリが競合しなくなります。

さらに、リンカー名前空間のメカニズムの持つ柔軟性により、あるリンカー名前空間が共有ライブラリをエクスポートし、別のリンカー名前空間がそれを使用するといったことも実現できます。このようにエクスポートされた共有ライブラリは、リンカー名前空間内に実装の詳細を隠しながら、他のプログラムに公開されるアプリケーション プログラミング インターフェースになります。

たとえば、/system/lib[64]/libcutils.so と /system/lib[64]/vndk-sp-${VER}/libcutils.so は、2 つの共有ライブラリです。これらの 2 つのライブラリは、異なるシンボルを持つことができます。それぞれのライブラリは異なるリンカー名前空間に読み込まれるため、フレームワーク モジュールは /system/lib[64]/libcutils.so に、SP-HAL 共有ライブラリは /system/lib[64]/vndk-sp-${VER}/libcutils.so に依存できます。

一方、/system/lib[64]/libc.so は、リンカー名前空間によってエクスポートされ、多くのリンカー名前空間にインポートされる公開ライブラリの一例です。/system/lib[64]/libc.so の依存関係（例: libnetd_client.so）は、/system/lib[64]/libc.so が存在する名前空間に読み込まれます。他の名前空間が、それらの依存関係へのアクセス権を持つことはありません。このメカニズムは、実装の詳細をカプセル化し、公開インターフェースを提供します。

仕組み

ダイナミック リンカーは、DT_NEEDED エントリで指定された共有ライブラリか、dlopen() または android_dlopen_ext() の引数で指定された共有ライブラリの読み込みを行います。どちらの場合も、ダイナミック リンカーは、呼び出し元が存在するリンカー名前空間を見つけ、同じリンカー名前空間に依存関係を読み込もうとします。指定されたリンカー名前空間に共有ライブラリを読み込めない場合、ダイナミック リンカーはエクスポートされた共有ライブラリをリンクされたリンカー名前空間に求めます。

構成ファイルの形式

構成ファイルの形式は、INI ファイル形式に基づいています。標準の構成ファイルは次のようになります。

dir.system = /system/bin
dir.system = /system/xbin
dir.vendor = /vendor/bin

[system]
additional.namespaces = sphal,vndk

namespace.default.isolated = true
namespace.default.search.paths = /system/${LIB}
namespace.default.permitted.paths = /system/${LIB}/hw
namespace.default.asan.search.paths = /data/asan/system/${LIB}:/system/${LIB}
namespace.default.asan.permitted.paths = /data/asan/system/${LIB}/hw:/system/${LIB}/hw

namespace.sphal.isolated = true
namespace.sphal.visible = true
namespace.sphal.search.paths = /odm/${LIB}:/vendor/${LIB}
namespace.sphal.permitted.paths = /odm/${LIB}:/vendor/${LIB}
namespace.sphal.asan.search.paths  = /data/asan/odm/${LIB}:/odm/${LIB}
namespace.sphal.asan.search.paths += /data/asan/vendor/${LIB}:/vendor/${LIB}
namespace.sphal.asan.permitted.paths  = /data/asan/odm/${LIB}:/odm/${LIB}
namespace.sphal.asan.permitted.paths += /data/asan/vendor/${LIB}:/vendor/${LIB}
namespace.sphal.links = default,vndk
namespace.sphal.link.default.shared_libs = libc.so:libm.so
namespace.sphal.link.vndk.shared_libs = libbase.so:libcutils.so

namespace.vndk.isolated = true
namespace.vndk.search.paths = /system/${LIB}/vndk-sp-29
namespace.vndk.permitted.paths = /system/${LIB}/vndk-sp-29
namespace.vndk.links = default
namespace.vndk.link.default.shared_libs = libc.so:libm.so

[vendor]
namespace.default.isolated = false
namespace.default.search.paths = /vendor/${LIB}:/system/${LIB}

構成ファイルには次のものが含まれます。

• 冒頭に複数ある、ディレクトリとセクション間のマッピング プロパティ。これはダイナミック リンカーが有効セクションを選択するためのものです。
• 複数のリンカー名前空間の構成セクション:
  • 各セクションには、複数の名前空間（グラフの頂点）と名前空間の間（グラフの弧）の複数の代替リンクがあります。
  • 各名前空間には、独自の分離、検索パス、許可されたパス、公開設定があります。

以下の表で、各プロパティの意味を説明します。

ディレクトリとセクション間のマッピング プロパティ

プロパティ	説明	例
dir.name	[name] セクションが適用されるディレクトリへのパス。 各プロパティは、該当ディレクトリ下の実行可能ファイルをリンカー名前空間の構成セクションにマッピングします。name が同じでも、別々のディレクトリを指す 2 つ（またはそれ以上）のプロパティが存在する場合があります。	dir.system = /system/bin dir.system = /system/xbin dir.vendor = /vendor/bin これは、[system] セクションで指定される構成が、/system/bin か /system/xbin のいずれかから読み込まれる実行可能ファイルに適用されることを意味します。 [vendor] セクション内で指定された構成は、/vendor/bin から読み込まれる実行可能ファイルに適用されます。

関係プロパティ

プロパティ	説明	例
additional.namespaces	セクションの（default 名前空間以外の）追加の名前空間をカンマで区切ったリスト。	additional.namespaces = sphal,vndk これは、[system] 構成に 3 つの名前空間（default、sphal、vndk）があることを示します。
namespace.name.links	代替名前空間をカンマで区切ったリスト。 現在の名前空間で共有ライブラリが検出できない場合、ダイナミック リンカーは共有ライブラリを代替名前空間から読み込もうとします。リストの先頭に指定された名前空間が優先されます。 注: 代替名前空間は推移的ではありません。たとえば、名前空間 A は名前空間 B にリンクし、名前空間 B は名前空間 C にリンクします。名前空間 A でライブラリを検出できない場合、ダイナミック リンカーは名前空間 B のみを検索します。名前空間 C を検索することはありません。	namespace.sphal.links = default,vndk 共有ライブラリまたは実行可能ファイルが sphal 名前空間に読み込めない共有ライブラリを要求した場合、ダイナミック リンカーは default 名前空間から共有ライブラリを読み込もうとします。 その後、共有ライブラリを default 名前空間からも読み込めない場合、ダイナミック リンカーは vndk 名前空間から共有ライブラリを読み込もうとします。 最後に、すべての試行が失敗した場合、ダイナミック リンカーはエラーを返します。
namespace.name.link.other.shared_libs	共有ライブラリをコロンで区切ったリスト。ここで指定したライブラリが name 名前空間で検出できない場合に other 名前空間で検索できます。 このプロパティを namespace.name.link.other.allow_all_shared_libs とともに使用することはできません。 注:: このプロパティと public.libraries.txt ファイルは同じ実装を基盤としています。どちらのメカニズムでも、インポートされた共有ライブラリは、ライブラリ名フィルタでリンクを指定して制御します。 違いは、ld.config.txt はダイナミック リンカーによって読み込まれ、プログラムの開始時にすべての名前空間が作成されることです。これに対して、libnativeloader は Zygote プロセスがフォークされ、アプリに特化したときにリンカー名前空間を作成します。そのアプリのネイティブ ライブラリの名前空間には、public.libraries.txt で指定されたライブラリ名のみを使用できるリンクがあります。	namespace.sphal.link.default.shared_libs = libc.so:libm.so これは、代替リンクが、要求されたライブラリ名として libc.so または libm.so のみを受け入れることを示します。ダイナミック リンカーは、要求されたライブラリ名が libc.so でも libm.so でもない場合、sphal から default への名前空間の代替リンクを無視します。
namespace.name.link.other.allow_all_shared_libs	name 名前空間で共有ライブラリが検出できない場合、すべての共有ライブラリを other 名前空間で検索できるかどうかを示すブール値。 このプロパティを namespace.name.link.other.shared_libs とともに使用することはできません。	namespace.vndk.link.sphal.allow_all_shared_libs = true これは、すべてのライブラリ名が、vndk から sphal への名前空間の代替リンクをウォークスルーできることを示します。

名前空間のプロパティ

プロパティ	説明	例
namespace.name.isolated	共有ライブラリが存在する場所をダイナミック リンカーが確認するべきかどうかを示すブール値。 isolated が true の場合、search.paths ディレクトリのいずれか（サブディレクトリを除く）、または permitted.paths ディレクトリのいずれか（サブディレクトリを含む）にある共有ライブラリのみを読み込むことができます。 isolated が false（デフォルト）の場合、ダイナミック リンカーは共有ライブラリのパスをチェックしません。	namespace.sphal.isolated = true これは、search.paths 内または permitted.paths の下の共有ライブラリのみを sphal 名前空間に読み込めることを示します。
namespace.name.search.paths	共有ライブラリを検索するためのディレクトリをコロンで区切ったリスト。 search.paths 内で指定されたディレクトリは、dlopen() への関数呼び出し、または DT_NEEDED エントリでフルパスが指定されていない場合、要求されたライブラリ名の先頭に追加されます。リストの先頭に指定したディレクトリが優先されます。 isolated が true の場合、search.paths ディレクトリのいずれか（サブディレクトリを除く）にある共有ライブラリは、permitted.paths プロパティに関係なく読み込むことができます。 たとえば、search.paths が /system/${LIB} で、permitted.paths が空の場合、/system/${LIB}/libc.so は読み込めますが、/system/${LIB}/vndk/libutils.so は読み込めません。 注: ${LIB} は組み込みのプレースホルダです。32 ビットプロセスでは lib、64 ビットプロセスでは lib64 に置き換えられます。	namespace.default.search.paths = /system/${LIB} これは、ダイナミック リンカーが共有ライブラリを /system/${LIB} で検索することを示します。
namespace.name.asan.search.paths	AddressSanitizer（ASan）が有効な場合に共有ライブラリを検索するディレクトリをコロンで区切ったリスト。 ASan が有効な場合、namespace.name.search.paths は無視されます。	namespace.default.asan.search.paths = /data/asan/system/${LIB}:/system/${LIB} これは、ASan が有効な場合、ダイナミック リンカーが最初に /data/asan/system/${LIB} を検索してから /system/${LIB} を検索することを示します。
namespace.name.permitted.paths	isolated が true の場合に、ダイナミック リンカーが（search.paths に加えて）共有ライブラリを読み込めるディレクトリ（サブディレクトリを含む）をコロンで区切ったリスト。 permitted.paths のサブディレクトリの下にある共有ライブラリも読み込むことができます。たとえば、permitted.paths が /system/${LIB} の場合、/system/${LIB}/libc.so と /system/${LIB}/vndk/libutils.so のどちらも読み込めます。 isolated が false の場合、permitted.paths は無視され、警告が出ます。 注: permitted.paths は、ダイナミック リンカーが共有ライブラリを検索している場合、要求されたライブラリ名の先頭に追加されません。その主な目的は、プログラマーが共有ライブラリのフルパスを指定して、共有ライブラリを分離された名前空間に読み込めるようにすることです。	namespace.default.permitted.paths = /system/${LIB}/hw これは、/system/${LIB}/hw の下の共有ライブラリを分離された default 名前空間に読み込めることを示します。 たとえば、permitted.paths なしでは、libaudiohal.so は /system/${LIB}/hw/audio.a2dp.default.so を default 名前空間に読み込めません。
namespace.name.asan.permitted.paths	ASan が有効な場合にダイナミック リンカーが共有ライブラリを読み込むことができるディレクトリをコロンで区切ったリスト。 ASan が有効な場合、namespace.name.permitted.paths は無視されます。	namespace.default.asan.permitted.paths = /data/asan/system/${LIB}/hw:/system/${LIB}/hw これは、ASan が有効な場合、/data/asan/system/${LIB}/hw または /system/${LIB}/hw の下にある共有ライブラリを、分離された default 名前空間に読み込めることを示します。
namespace.name.visible	プログラム（libc 以外）が、android_get_exported_namespace() でリンカー名前空間ハンドルを取得し、ハンドルを android_dlopen_ext() に渡してリンカー名前空間内の共有ライブラリを開けるかどうかを示すブール値。 visible が true の場合、android_get_exported_namespace() は、名前空間が存在するときに常にハンドルを返します。 visible が false の場合（デフォルト）、android_get_exported_namespace() は名前空間の存在に関係なく、常に NULL を返します。共有ライブラリは、この名前空間への代替リンクがある別のリンカー名前空間から要求されている場合、またはこの名前空間の他の共有ライブラリまたは実行可能ファイルから要求されている場合にのみ、この名前空間に読み込むことができます。	namespace.sphal.visible = true これは、android_get_exported_namespace("sphal") が有効なリンカー名前空間ハンドルを返すことができることを示します。

リンカー名前空間の作成

Android 11 では、リンカー構成は ${android-src}/system/core/rootdir/etc で書式なしテキスト ファイルを使用して作成されるのではなく、実行時に /linkerconfig で作成されます。この構成は、以下の項目を含むランタイム環境に基づいて起動時に生成されます。

• デバイスが VNDK をサポートしているかどうか
• ベンダー パーティションの対象 VNDK のバージョン
• プロダクト パーティションの VNDK のバージョン
• インストール済みの APEX モジュール

リンカー構成は、リンカー名前空間間の依存関係を解決することで作成されます。たとえば、依存関係のアップデートを含む APEX モジュールにアップデートがある場合、これらの変更を反映したリンカー構成が生成されます。リンカー構成を作成する方法について詳しくは、${android-src}/system/linkerconfig をご覧ください。

リンカー名前空間の分離

構成には次の 3 種類があります。BoardConfig.mk 内の PRODUCT_TREBLE_LINKER_NAMESPACES と BOARD_VNDK_VERSION の値に応じて、起動時に対応する構成が生成されます。

PRODUCT_TREBLE_ LINKER_NAMESPACES	BOARD_VNDK_ VERSION	選択した構成	VTS の要件
true	current	VNDK	Android 9 以降を搭載したデバイスでは必須
	なし	VNDK Lite	Android 8.x で起動するデバイスでは必須
false	なし	Legacy	Treble デバイス以外の場合

VNDK Lite 構成は、SP-HAL 共有ライブラリと VNDK-SP 共有ライブラリを分離します。Android 8.0 では、PRODUCT_TREBLE_LINKER_NAMESPACES が true の場合、これがダイナミック リンカーの構成ファイルである必要があります。

VNDK 構成も、SP-HAL 共有ライブラリと VNDK-SP 共有ライブラリを分離します。さらに、この構成は、ダイナミック リンカーの完全分離も実現します。これにより、システム パーティション内のモジュールと、ベンダー パーティション内の共有ライブラリが相互に依存しないようになります。

Android 8.1 以降では、VNDK の構成はデフォルトの構成であり、BOARD_VNDK_VERSION を current に設定することによってダイナミック リンカーの完全分離を有効にすることを強くおすすめします。

VNDK の構成

注意: このセクションには、RenderScript へのライブラリ リファレンスが含まれます。Android 12 以降、RenderScript API のサポートは終了しています。この API は引き続き機能しますが、デバイスとコンポーネント メーカーによるハードウェア アクセラレーションのサポートはいずれ終了することが予測されます。GPU アクセラレーションを最大限に活用できるよう、AOSP では RenderScript からの移行をおすすめします。

VNDK の構成は、システム パーティションとベンダー パーティション間の共有ライブラリの依存関係を分離します。前のサブセクションで説明した構成との大まかな違いは次のとおりです。

• フレームワーク プロセス

  • default、vndk、sphal、rs の名前空間が作成されます。
  • すべての名前空間は分離されます。
  • システムの共有ライブラリは、default 名前空間に読み込まれます。
  • SP-HAL は、sphal 名前空間に読み込まれます。
  • VNDK-SP 共有ライブラリは、vndk 名前空間に読み込まれます。

• ベンダー プロセス

  • default、vndk、system の名前空間が作成されます。
  • default 名前空間は分離されます。
  • ベンダーの共有ライブラリは、default 名前空間に読み込まれます。
  • VNDK および VNDK-SP 共有ライブラリは、vndk 名前空間に読み込まれます。
  • LL-NDK とその依存関係は、system 名前空間に読み込まれます。

リンカー名前空間の関係を以下に示します。

図 1. リンカー名前空間の分離（VNDK の構成）

上記の画像の LL-NDK と VNDK-SP は、次の共有ライブラリを意味します。

• LL-NDK
  • libEGL.so
  • libGLESv1_CM.so
  • libGLESv2.so
  • libGLESv3.so
  • libandroid_net.so
  • libc.so
  • libdl.so
  • liblog.so
  • libm.so
  • libnativewindow.so
  • libneuralnetworks.so
  • libsync.so
  • libvndksupport.so
  • libvulkan.so
• VNDK-SP
  • [e-mail]
  • [e-mail]
  • [e-mail]
  • [e-mail]
  • libRSCpuRef.so
  • libRSDriver.so
  • libRS_internal.so
  • libbase.so
  • libbcinfo.so
  • libc++.so
  • libcutils.so
  • libhardware.so
  • libhidlbase.so
  • libhidlmemory.so
  • libhidltransport.so
  • libhwbinder.so
  • libion.so
  • libutils.so
  • libz.so

詳しくは、デバイスの /linkerconfig/ld.config.txt をご覧ください。

VNDK Lite の構成

Android 8.0 以降、ダイナミック リンカーは、シンボルが他のフレームワーク共有ライブラリと競合しないように、SP-HAL 共有ライブラリと VNDK-SP 共有ライブラリを分離するよう構成されています。リンカー名前空間の関係を以下に示します。

図 2. リンカー名前空間の分離（VNDK Lite 構成）

LL-NDK と VNDK-SP は、次の共有ライブラリを意味します。

• LL-NDK
  • libEGL.so
  • libGLESv1_CM.so
  • libGLESv2.so
  • libc.so
  • libdl.so
  • liblog.so
  • libm.so
  • libnativewindow.so
  • libstdc++.so（構成内にない）
  • libsync.so
  • libvndksupport.so
  • libz.so（構成内の VNDK-SP に移動）
• VNDK-SP
  • [e-mail]
  • [e-mail]
  • [e-mail]
  • [e-mail]
  • libbase.so
  • libc++.so
  • libcutils.so
  • libhardware.so
  • libhidlbase.so
  • libhidlmemory.so
  • libhidltransport.so
  • libhwbinder.so
  • libion.so
  • libutils.so

以下の表は、VNDK Lite 構成内の [system] セクションから抜粋したフレームワーク プロセスの名前空間の構成を示しています。

名前空間	プロパティ	値
default	search.paths	/system/${LIB} /odm/${LIB} /vendor/${LIB} /product/${LIB}
	isolated	false
sphal	search.paths	/odm/${LIB} /vendor/${LIB}
	permitted.paths	/odm/${LIB} /vendor/${LIB}
	isolated	true
	visible	true
	links	default,vndk,rs
	link.default.shared_libs	LL-NDK
	link.vndk.shared_libs	VNDK-SP
	link.rs.shared_libs	libRS_internal.so
vndk（VNDK-SP の場合）	search.paths	/odm/${LIB}/vndk-sp /vendor/${LIB}/vndk-sp /system/${LIB}/vndk-sp-${VER}
	permitted.paths	/odm/${LIB}/hw /odm/${LIB}/egl /vendor/${LIB}/hw /vendor/${LIB}/egl /system/${LIB}/vndk-sp-${VER}/hw
	isolated	true
	visible	true
	links	default
	link.default.shared_libs	LL-NDK
rs（Renderscript の場合）	search.paths	/odm/${LIB}/vndk-sp /vendor/${LIB}/vndk-sp /system/${LIB}/vndk-sp-${VER} /odm/${LIB} /vendor/${LIB}
	permitted.paths	/odm/${LIB} /vendor/${LIB} /data（コンパイルされた RS カーネルの場合）
	isolated	true
	visible	true
	links	default,vndk
	link.default.shared_libs	LL-NDK libmediandk.so libft2.so
	link.vndk.shared_libs	VNDK-SP

以下の表は、VNDK Lite 構成内の [vendor] セクションから抜粋したベンダー プロセスの名前空間の構成を示しています。

名前空間	プロパティ	値
default	search.paths	/odm/${LIB} /odm/${LIB}/vndk /odm/${LIB}/vndk-sp /vendor/${LIB} /vendor/${LIB}/vndk /vendor/${LIB}/vndk-sp /system/${LIB}/vndk-${VER} /system/${LIB}/vndk-sp-${VER} /system/${LIB}（サポート終了） /product/${LIB}（サポート終了）
	isolated	false

詳しくは、デバイスの /linkerconfig/ld.config.txt をご覧ください。

ドキュメントの履歴

Android 11 の変更点

• Android 11 では、コードベースから静的 ld.config.*.txt ファイルが削除され、代わりに LinkerConfig によって実行時に生成されます。

Android 9 の変更点

• Android 9 では、vndk リンカー名前空間がベンダー プロセスに追加され、VNDK 共有ライブラリはデフォルトのリンカー名前空間から分離されています。
• PRODUCT_FULL_TREBLE を、より具体的な PRODUCT_TREBLE_LINKER_NAMESPACES に置き換えています。
• Android 9 では、次のダイナミック リンカー構成ファイルの名前が変更されています。
  

  Android 8.x	Android 9	説明
  ld.config.txt.in	ld.config.txt	ランタイムのリンカー名前空間の分離があるデバイスの場合
  ld.config.txt	ld.config.vndk_lite.txt	VNDK-SP のリンカー名前空間の分離があるデバイスの場合
  ld.config.legacy.txt	ld.config.legacy.txt	Android 7.x 以前を搭載した従来のデバイスの場合

• [e-mail] を削除しています。
• product パーティションと odm パーティションが追加されています。