Ensure flatpak SELinux module is installed during build

Containerfile

@@ -71,14 +71,17 @@ RUN wget https://cdn.filen.io/@filen/desktop/release/latest/Filen_linux_x86_64.r
 	&& dnf clean all \
 	&& rm -f /tmp/filen.rpm
 
-#Reconstruit la politique SELinux compilee depuis le store de modules (sans charger
+#SELinux : dans certains environnements de build (buildah rootful/overlay), les
-#dans le noyau) : sans ca, les modules installes par les paquets (ex: flatpak ->
+#transactions semodule des scriptlets rpm echouent (sandbox /etc/selinux/targeted/tmp)
-#flatpak_helper_exec_t) peuvent manquer et laisser des binaires en "unlabeled_t".
+#et le module flatpak n'arrive jamais dans le store -> le helper reste unlabeled_t.
-#Meilleur effort : sur certains environnements de build (buildah rootful/overlay),
+#On (re)installe explicitement le module puis on recompile la politique, en
-#libsemanage echoue avec "File exists" sur son sandbox.
+#meilleur effort pour ne pas casser le build.
-RUN rm -rf /etc/selinux/targeted/tmp \
+RUN rm -rf /etc/selinux/targeted/tmp; \
-    && semodule -n -B \
+    semodule -i /usr/share/selinux/packages/flatpak.pp.bz2 \
-    || { echo "AVERTISSEMENT: politique SELinux non recompilee dans ce build"; ls -la /etc/selinux/targeted; true; }
+        || echo "AVERTISSEMENT: module SELinux flatpak non installe"; \
+    semodule -n -B \
+        || { echo "AVERTISSEMENT: politique SELinux non recompilee dans ce build"; ls -la /etc/selinux/targeted; }; \
+    true
 
 #Relabelle /usr depuis les file_contexts du store : rpm peut installer un binaire
 #(flatpak-system-helper) avant que le module SELinux de son paquet ne soit pris en