lvmlockd: use persistent reservations for recovery with sanlock

The process of using persistent reservations for recovery:

host A owns a lock
host A fails
host B requests the lock
host B request fails because A owns the lock
host A enters the FAIL state in sanlock
host B retries the lock, and sees owner A is failed
host B runs lvmpersist to remove the PR key of host A
host B tells sanlock that host A is dead
host B retries the lock, which is now granted by sanlock

The new option: --setlockargs persist,notimeout
adds "persist" and "notimeout" components to the
lock_args string in the VG metadata, viewable with
vgs -o+lockargs.  The option is available in vgcreate
or vgchange.

. "persist" tells lvmlockd to remove the PR key of
  a failed host, by running lvmpersist, and set the
  sanlock host state to "dead".

. "notimeout" tells lvmlockd to configure sanlock
  leases to not time out.  sanlock does not use the
  watchdog to protect leases that do not time out.

With this combination, PR removal replaces the watchdog
for fencing hosts with expired leases that are blocking
other hosts.

The lock_args version component is "2.0.0" when
these new settings are used, otherwise remains
"1.0.0".  Previous lvm versions will not start a
VG with lockargs version 2.

Requires sanlock version 4.2.0 or later.

persist: use a prefix in the key file

key: 0xabc123
which makes it easier to add other lines in the future.

CI: reboot VMs running gitlab-runner after tests

persist: do not use pr_key config setting for sanlock VGs v2

Use only hostid-based PR keys for sanlock VGs.
This will be required for PR-based recovery with sanlock.

Changes how persist_start() is used to update an existing key.
Previously, the updated key was passed to persist_start as if
it was the local pr_key setting.  It's now passed as a separate
parameter.

This also fixes an incorrect warning in vgchange --persist check
when checking a hostid-based key while the lockspace is stopped.

Revert "persist: do not use pr_key config setting for sanlock VGs"

This reverts commit 038af21fa1ab67bb9ad40c51cc4a19be73a8327e.

persist: do not use pr_key config setting for sanlock VGs

Use only hostid-based PR keys for sanlock VGs.
This will be required for PR-based recovery with sanlock.

revert "polldaemon: drop caches before daemonizing"

This reverts commit 8a704063edabffbe29e4369ccd47241e65335bcf.
Not the right way to fix this issue - needs different solution.

test: shorten lvconvert

Test doesn't need to be there for 100second - shorten timeout.
Normally this is not an issue if the background process does not
have an output, but if the output is enabled, it may block exit.

polldaemon: drop caches before daemonizing

Droping cache after fork just make our internal bcache confused.
So droping early.

libdm: drop propagation of delay_resume_if_new

When we disable 'delay' for pvmove as not useful, whole propagation
becomes useless - so drop it for now until we have better plan.

Previous patch was not working well for some snapshot construction.

WHATS_NEW: update

test: more excluded kernels

test: raid restart

clean: sort suffixes alphabetically

Just list suffixes 1 per line here.

libdm: fix pvmove preload for complex devices

Change delay_resume_if_new propagation from "> 1" to "!= 1" to ensure
devices are resumed when required by parent devices. This specifically
fixes issues where RAID devices using legs that are being pvmoved need
their preloaded legs resumed before the RAID device itself is preloaded.

The fix ensures pvmove operations start when needed by parent devices,
even though this means pvmove begins before metadata commit. This is
acceptable since pvmove mirrors to previously unallocated extents.

integrity: fix activation race during setup

Add synchronization after deactivate_lv() to prevent races between
deactivation and subsequent activation using the same udev cookie.

This ensures proper ordering when wiping prepared integrity metadata
devices during RAID integrity setup, affecting both active and inactive
code paths.

Revert "integrity: proper rounding for sizes"

This reverts commit cdf57ddfa4af12803fd8f3dfe0c7543913b72cb6.

persist: fix vgremove key check

Fix commit ab1405034d23f01b4ea35af88d607363b93ad666
"persist: vgremove should check for other keys"

which counted keys without eliminating the duplicates
that are reported for mpath devices, so vgremove would
report multiple registered keys for a single host using
an mpath device.

WHATS_NEW: update

tests: continue with next filesystem

If the kernel fails to mount - continue with next fs.
(i.e kernel no longer supports reiserfs, but tools can be still there).

tests: add tuned to checked services

Running tuned will change device properties in parallel so i.e.
setting read_ahead will not work as expected.

cov: initialize variables

Address Coverity static analysis warnings by initializing variables
that could theoretically be used uninitialized in edge cases:

While these uninitialized uses are unlikely to occur in practice due to
the surrounding logic, explicit initialization eliminates potential static
analysis warnings.

gcc: make variable initialized

cov: check for no patterns

cov: use checked pr_op pointer

Directly assign pr_op pointer and at the same time
use its checked value.

cov: check result

cov: check resulting values

cov: raise MAX_FILTERS

After adding filter MAX_FILTERS might have been too small
if all filters would be applied.

debug: fix error message

Extent is correct here.

display: add helper display_mb_size

Add function to simplify printing number that are stored
in MiB units that we use in couple places.
Avoids adding multiplication to sector units...

vdo: extract magic numbers as named constant

Replace scattered magic numbers throughout VDO code with
descriptive named constants to improve code maintainability.

integrity: fix adding integrity to RAID

Fix several issues in integrity addition to RAID logical volumes and
improve error handling and cleanup:

Synchronization and activation fixes:
- Add sync_local_dev_names() before LV activation to handle potential
  udev deactivation in-flight from metadata device wiping
- Consolidate deactivate_lv() calls to avoid code duplication in
  _set_integrity_block_size() error path

Missing segment relationship:
- Add missing add_seg_to_segs_using_this_lv() call for imeta LV to
  properly establish segment relationships

Enhanced error recovery:
- Improve error path cleanup in case integrity addition fails

integrity: proper rounding for sizes

integrity: add some basic lvdisplay support

Print _iorig and _imeta for integrity LVs.
Print "on" for RAIDs with integrity.

integrity: lv_raid_has_integrity accepts const

integrity: use suffix -real for iorig and imeta

Add private -real suffix for active _iorig and _imeta volumes.

TODO: ATM we will keep using "-real" suffix also for raid leg with integrity.
      Better fit would be i.e. "-integ" suffix for such LV, but this
      requires more complicated table manipulation as we would need
      to also change the raid leg name, so leave this for later...
      Usage of "-real" suffix to keep raid leg private is already better
      than previous state.

integrity: add segment validation

Add some more validation checks for integrity segments.

integrity: drop use of origin pointer for integrity

Integrity segment is not using 'origin' anywhere and every code
is now using seg_lv(seg, 0) to reach origin LV from Integrity segment.
So do not set this pointer to any value for integrity segment.

Also for lv_origin_lv() presence of origin is already made by
validation - integrity must have origin defined.

integrity: fix ordering during integrity removal

Reorder integrity cleanup operations to ensure proper LV state before
device suspension. Move layer removal and visibility changes to occur
before the first metadata write, so that _iorig and _imeta LVs are
already marked as public and visible during suspend/resume operations.

This prevents issues where the device mapper operations occur on LVs
that are still marked as internal components rather than proper public
LVs ready for removal.

Note: this code had not set ->origin used in other places,
but it's going to be replaced with use of seg_lv().

integrity: refactor lv_is_integrity_origin

Extract common integrity origin detection logic into new helper function
lv_integrity_from_origin() to eliminate code duplication:

- Add lv_integrity_from_origin() that returns the integrity LV for a given origin
- Refactor lv_is_integrity_origin() to use the new helper function
- Replace duplicate logic in lv_raid_integrity_image_in_sync() with helper call
- Consolidate multiple condition checks into single if statement
- Replace direct seg->origin access with seg_lv(seg, 0) for consistency

The seg_lv(seg, 0) approach is preferred throughout the codebase as it
provides a consistent interface to access the origin LV from segments.

raid: fix -real suffix for external origins

With recent change to use -real suffices for raid/mirror legs,
we need to take special care for devices that already use -real
suffix normally - patchset missed check for external origins.

Also avoid even creating UUID for these LVs in _lv_info_real().

WHATS_NEW: update

mirror: add -real suffix for mirrors

Extend "-real" suffix handling to mirror operations, similar to RAID
functionality for managing internal-to-public LV transitions.

- Add reactivation logic in _split_mirror_images() to update UUIDs
- Enable "real" suffix for mirror images and logs in build_dm_uuid()
- Detect temporary mirror sync layers using MIRROR_SYNC_LAYER pattern
- Force deactivate/activate cycle to transition from private to public UUID

This ensures mirror split operations properly transition split LVs from
internal components with private UUIDs to public LVs with correct UUIDs.

raid_manip: reactivate after split to update UUID

After RAID leg split operations, the resulting LV becomes public but
retains its private "-real" UUID suffix from when it was an internal
component. Since active device mapper devices cannot change their UUID,
the split LV must be deactivated and reactivated to acquire the proper
public UUID.

Add reactivation logic to lv_raid_split() and lv_raid_split_and_track()
that handles both shared and non-shared volume groups, ensuring split
LVs are properly transitioned from internal to public state.

raid: add -real suffix handling for internal LVs

Add support for managing RAID internal LVs that use "-real" suffix
during transitions from internal components to public LVs.

- Add _lv_info_real() to detect orphan devices with private UUIDs
- Add _lv_adjust_real_uuid() to handle UUID mismatches in device tree
- Use "real" suffix for non-visible RAID images and metadata in build_dm_uuid()
- Integrate checks into activation and device manager code paths

This handles edge cases where RAID leg splits leave public devices active
with private "-real" UUIDs, requiring explicit reactivation.

Note: RAID image and metadata gets "-real" suffix only when it is marked
as not visible LV in lvm2 metadata as there is also a public activation
of these devices.

dev_manager: helper function to set UUID suffixes

Add _set_optional_uuid_suffixes() helper to reduce code duplication
when calling dm_tree_set_optional_uuid_suffixes() with the global
_uuid_suffix_list.

metadata: lv_is_linear/striped needs only const

memlock: add [aio] into skiped regions

Stay away of locking aio memory regions.

persist: check key generation

vgchange --persist check was getting the key generation and
the sanlock generation, but wasn't actually comparing them
to warn about a mismatch.

man lvmlockd: updates

Major rewrite of the beginning description/setup/introduction.

make: generate

commands: enusure stable sorting result

When options do have same name, use it's enum
as secondary key.

commands: preserve any_ro_count

Previous patch unintentionally mixed these options
together while sorting.

lvmpersist: fix hex digit key check

was incorrectly checking for a-z rather than a-f.

lvmpersist: run sg_turs to clear unit attention errors

Sometimes sg_persist/mpathpersist commands will fail if the
device returns a Unit Attention, e.g. if the host's last
registration was cleared.  Run sg_turs on each scsi/mpath
device at the start of each command to clear any UA errors.
This is simpler than adding code to retry commands throughout
the script if they happen to hit a UA error.

make: generate

test: update lisf of unusable kernels for raid resize

dmeventd: use define for mirror sync layer

Use existing define, just in case someone would have ever changed it.

command: add validation and sorting for args.h

Add comprehensive validation to ensure args.h option definitions follow
the established sorting rules:
1. Options without short options - sorted alphabetically
2. Alias options (without descriptions) - sorted alphabetically
3. Options with short options - sorted by uppercase symbol with
   lowercase variants first, then by long option name

Changes include:
- Enhanced validation logic in _find_lvm_command_enum() to check args.h
  ordering during MAN_PAGE_GENERATOR builds
- Improved error messages showing which entries violate sorting rules
- Added _sort_opt_args() function to sort optional/required option args
  for consistent man page and help generation output
- Fixed validation flag handling to properly report multiple errors

This ensures the args.h reorganization from the previous commit is
maintained and prevents future ordering regressions that could affect
code maintainability and generated documentation consistency.

args: sort by rules

tools: reorganize args.h argument definitions by sorting rules

Reorganize argument definitions in args.h to follow consistent sorting:
1. Options without short options - sorted alphabetically
2. Alias options (unadvertised, no description)
3. Options with short options - sorted by uppercase symbol
   with lowercase variants first, then by long option name

This improves code organization and maintainability by establishing
a clear, documented ordering for LVM command line argument definitions.

No functional changes - only reordering of existing argument definitions.

Also note there should never be a command using 2 options with the same
short option symbol

persist: support --setpersist in vgcreate

Previously, setpersist was only supported in vgchange
on an existing VG.  The PR is acquired exclusively before
the devices are modified, and in the case of a shared
VG the PR is subsequently changed to a shared mode.

persist: use vgid in the key file name

adding a new helper function to create key file path.

Including vgid protects against cases of reading a
stale key file that was left over from a previous VG
with the same name.

persist: vgremove should check for other keys

vgremove should check for keys registered by other hosts
before removing the VG to avoid leaving dangling PR keys
on devices.  This involves refactoring the related commit
ca6fe99162 "lvmpersist: fix vgremove when another key is registered"
that separated persist_stop into before and after parts.

scripts: lvresize-fs-helper.sh: logmsg and not fail if unable to get XFS mount options for remount

WHATS_NEW: update

tests: lvresize-xfs: test quota mount options are preserved

scripts: lvresize-fs-helper.sh: detect and use proper quota mount options for XFS

When an XFS file system was previously mounted with quota mount options
(combination of -o uquota,gquota,pgquota) and then we are mounting the
file system as part of the lvresize/lvextend operation (through the fs
resize helper script), we need to preserve the quota mount options.

Otherwise, the XFS would need to recheck quotas - in that case the kernel
log contains:

  XFS (<device>): Quotacheck needed: Please wait.

This may take a long time, depending on the file system size.

Related issue: https://github.com/lvmteam/lvm2/issues/182

man: simplify vmautoactivation(7)

Previously this was hard-coded to: "Autoactivation commands use a number
of temp files in /run/lvm (with the expectation that /run is cleared
between boots.)"

Since c1bfc8737f08bf7558b2d788e9756f895cd9eaaa it was made more generic,
but on some systems this logic leads to "Autoactivation commands use a
number of temp files in /run/lvm (with the expectation that /var/run
is cleared between boots)." which I'd say adds more confusion than it
solves.

persist: fix start/stop with vgchange ay/an

vgchange -ay --persist start
wasn't working, and should exclude shared VGs.
vgchange -an --persist stop
code was missing for this case.

make: generate

man: print better arg for persist

As man pages now tend to print options as man macro reference,
we may still need some local 'specialization'.

ATM --persist option is known expection where command may accept only
certain argument to be recognized/allowed - so generic String printed
in Italic can be replaced with just specific argument printed in Bold.

TODO: recognize only cases where the 'generic' String is NOT used and
for rest of them use the common O_persist macro reference.

codespell: typos

doc: Few fixes and additions in pages

(cherry picked from commit 4561756bda8a0b5417c7cf5df269bb37af6eaec5)

lvmpersist: fix remove exit code if an invalid local key is specified

Exit with an error if the wrong local key is specified.

post-release

pre-release 2.03.35

doc: Update WHATS_NEW and release-notes

spec: Install /var/lib/lvm directory

test: update with unresizable kernels

These kernels do miss fixing commit for mdraid resize to work.

test: thin monitoring optimization

lvmlockd: always free ls struct after ls thread exits

The ls struct was being freed after ls thread exit for common stop,
but was missing when the ls thread was stopped for drop and rename.
Also free ls->actions structs in case any still exist.

lvmpersist: fix key file for vgrename and vgremove

lvmpersist: print other key blocking start

lvmpersist: fix check for no keys on mpath device

lvmpersist: allow deactivation without PR

dmstats: fix parsing of list regions

Replace %4095c sscanf format specifier with position-based copying.

The _stats_parse_list_region() function previously used %4095c to read
the remaining part of the input buffer. Recent glibc versions
(2.42.9000-3.fc44) have changed the behavior of this format
specifier to align with C standard specifications, which affects
parsing when the buffer contains fewer than 4095 characters.

To ensure compatibility across different glibc versions, switch to
using %n to track the parsing position and manually copy the string
data using dm_strncpy().

Note: Binaries compiled with the previous implementation may experience
compatibility issues with newer glibc versions.

dmeventd: ignore result of pthread_cond_timedwait()

Used just for some sleep....

dmeventd: simplify grace period synchronization

Remove per-thread grace_mutex and use existing global_mutex
with per-thread condition variables.

We separate take of grace mutex there was slight race chance
of hitting wait condition while 2nd. thread already signaled wakeup.

With the use of global mutex (which must be held before and after
anyway), there is no such race chance even possible.

dmeventd: handle case for missing udev link

With old systems we cannot always check /dev/mapper/vg-lv name,
as those might be symlinks managed by udev. However monitoring
is not 'synchronized' with udev as dmventd API is major:minor
based and does not needed symlinks. So to 'compensate' this
and make just 'old system' working - just check also for
presence of /dev/dm-X device.

dmeventd: simplify _grace_period

Use plain 'int' time - so it doesn't make problems
on some archs (x32) printing time_t.
Also drop ret asign from pthread_cond_timedwait().

dmeventd: fix inode check for old kernels <3.x

Improve _get_device_inode() function with kernel version check

For kernel >=3: Use sysfs path format (/sys/dev/block/major:minor).
For kernel <3: Use /dev/mapper device path format.

Add explicit handling for very old kernels (<3.x) that don't change
inode numbers for /sys  device-mapper devices.

lvmpersist: fix vgremove when another key is registered

For vgremove, split persist stop steps into:
1. prepare, which gets the pr key and VG devices,
   and happens before the normal vgremove.
2. run, which removes pr key from the VG devices,
   and happens after the normal vgremove.

This is necessary if another PR key is registered on the device
(which likely doesn't happen in the normal usage pattern, but is
still possible.)

When another key exists, removing the local PR key will cause the
machine to lose the ability to write VG metadata to the device.
So, the removal of the local PR key must happen after the VG metadata
is written for vgremove.  The prepare step must remain at the beginning
of the command, while the list of PVs in the VG still exists.

tools: pvchange: unlock devices file at the end of cmd processing

Remove the line, not just comment out.

tools: pvchange: unlock devices file at the end of cmd processing

Unlock devices file at the end of cmd processing, after all the PVs are
processed, not after the first processed PV.

Before this patch:

❯  pvchange -u /dev/sda /dev/sdb
  Physical volume "/dev/sda" changed
  WARNING: Devices file unlock no fd.
  Physical volume "/dev/sdb" changed
  2 physical volumes changed / 0 physical volumes not changed

With this patch applied:

❯  pvchange -u /dev/sda /dev/sdb
  Physical volume "/dev/sda" changed
  Physical volume "/dev/sdb" changed
  2 physical volumes changed / 0 physical volumes not changed

The lvm_run_command/devices_file_exit/unlock_devices_file will
do the unlock at the very end of cmd processing.

dmeventd: fixes for grace period timer

Fix several problems in recent dmeventd grace period enhancement:

1. **Timer reset bug**: Threads exiting grace period were starting
   time period with rather random time 'offset' causing change
   in behavior and firing monitor action in non-deterministic time.
   Reset timer (next_time = current_time + timeout) AFTER grace
   period wait.

2. **Device identity verification**: Add inode tracking to prevent
   incorrect thread reuse when device UUID is recycled. Grace period
   thread lookup now verifies device inode matches to ensure same
   physical device. This avoid reusing of monitored values for
   a different device.
   'diskseq' was also considered as unique identifier, but inode
   check seems to be easier to check and is not 'so new'.
   Also another solution could have been to change dmeventd protocol,
   and introduce supend/resume calls - but this could be another source
   of problem.

3. **Signal handling order**: Move SIGALRM reset to occur BEFORE
   entering grace period instead of after. This prevents potential
   error path trouble that may have shutdown reused thread causing
   the actual monitoring to be silently lost.

4. **Event state cleanup**: Clear current_events before grace period
   to prevent stale event processing after thread reuse.

Note: wondering if there can be any problem with inode check....

man lvmpersist: shared VGs with locktype dlm work with PR

vgchange persist stop: use lockopt force to skip lockstop check

vgchange --persist stop requires locking to first be stopped
(vgchange --lockstop).  Allow setting --lockopt force to bypass
this check so that PR can be forcibly stopped.

lvmpersist: fix device support check

Fix commit b2bc06caf8e653828cbfd70250114043846c377a
"lvmpersist: check devices support PR before certain commands"

which broke clear and read commands.  Change to skip individual
devices in clear/read if they don't support PR.

man lvmpersist: improve description

toollib: proper error path handling