RRO包置于OEM分区出现NO_IDMAP错误，求技术解决方案

问题重现 #

将RRO包com.xxx.x.partnerinterface.rro放置在system或vendor分区时，运行cmd overlay list显示正常加载：

$ cmd overlay list
com.xxx.x.partnerinterface
[x] com.xxx.x.partnerinterface.rro

移至OEM分区后，该包可被cmd overlay list检测到，但显示未激活且报NO_IDMAP错误：

$ cmd overlay list
com.xxx.x.partnerinterface
--- com.xxx.x.partnerinterface.rro

解决思路 #

• 检查签名一致性
  RRO overlay必须与目标包com.xxx.x.partnerinterface签名完全匹配，或属于系统签名白名单。Android 10及以上版本对跨分区overlay的签名验证更严格，若OEM分区的overlay签名与目标包不匹配，会直接导致idmap生成失败。可通过apksigner verify分别验证目标包和overlay包的签名信息，确认是否一致。

• 修复SELinux上下文与权限
  OEM分区默认的SELinux上下文（如u:object_r:oem_file:s0）可能不被OverlayManagerService认可，导致无法读取overlay资源生成idmap。

  1. 用ls -Z /oem/overlay/com.xxx.x.partnerinterface.rro查看当前SELinux标签；
  2. 临时修改上下文测试：chcon u:object_r:system_file:s0 /oem/overlay/com.xxx.x.partnerinterface.rro，重启后再检查overlay状态；
  3. 若临时修改有效，需通过SELinux策略文件（如oem.te）永久添加规则，允许OverlayManager访问OEM分区的overlay文件。

• 核对AndroidManifest.xml配置
  检查overlay的Manifest文件是否存在配置错误：

  • 确认android:targetPackage准确指向com.xxx.x.partnerinterface；
  • 若目标包位于vendor分区，需添加android:requiredSystemProperty属性，指定与vendor分区匹配的系统属性（如android:name="ro.vendor.build.fingerprint"，值与目标包所在分区的fingerprint一致）；
  • 避免错误设置android:isStatic="true"，该属性会使overlay仅在编译时生效。

• 查看日志定位具体原因
  通过日志获取NO_IDMAP的详细失败信息：

  logcat | grep -E "idmap|OverlayManagerService"
  

  日志通常会明确提示失败原因（如签名不匹配、文件权限不足、资源读取失败等），根据提示针对性修复。

• 确认OEM分区挂载与文件权限

  1. 检查OEM分区挂载状态：mount | grep oem，确保分区为可读写（若为只读，需重新挂载为读写：mount -o rw,remount /oem）；
  2. 检查overlay包的文件权限：ls -l /oem/overlay/com.xxx.x.partnerinterface.rro，确保所有者为root:root，权限为0644。

内容的提问来源于stack exchange，提问作者Fadwa Chiby