Switch from 'nix eval' to 'nix-instantiate --eval'

Nix 2.4 changed the interface to 'nix eval' so that --arg doesn't work anymore.

This is a workaround for https://github.com/NixOS/nix/issues/2678

New git URLs

pinch: 3.0.4 -> 3.0.7

polite-merge: 2.3 -> 2.4

git-cache: 1.3.0 -> 1.3.1

pinch: 3.0.3 -> 3.0.4

Use nix from nixpkgs rather than from PATH.  This is needed when the nix
in PATH is nixUnstable-3.0pre20201020_e0ca98c or later because nix commit
787469c7b66aec12ab6847e7db2cdc8aef5c325e removed <nix/unpack-channel.nix>.

pinch: 3.0.2 -> 3.0.3

pinch 1.5 -> 3.0.2

polite-merge: 2.1 -> 2.3, required for git 2.28 -> 2.29

Use local pkgs instead of overlays

Formatting: Run nixfmt

Safe defaults

pinch: 1.3 -> 1.5

Declare that there are no loose packages here

This fixes nix-env --query when this repo is pulled in as a channel.

polite-merge: 2.0 -> 2.1

Make signingKeys static again

git -c gpg.program= cannot pass arguments.

Another possibility from here to keep this dynamic would be to pass the
list of signing keys through the environment.

Dynamic config

Previously, changes to the list of pinch files or the list of user environments
required two updates to take effect (because these were incorporated into
the update script itself).  Now they take effect after one update cycle,
as one would reasonably expect.

Changes to the list of repos to pull take effect even if system build fails.
This is intended to allow recovery from situations that would otherwise
cause updates to stop.

pinch: 1.2 -> 1.3

Fix default name of userPackages

Remove the business-hours feature

Updates oughtta be smooth.

Not worth adding configuration for.

Sync multiple repos, update multiple users

Make a bunch of config schema changes while we still can before we have
any other users.

Separate pull-updates snippet

Separate fetch and update steps

Support multiple key files

Use polite-merge for merging

Specify key by long key id, not fingerprint

The GnuPG manual says "The best way to specify a key Id is by using the
fingerprint," but --trusted-key doesn't accept fingerprints.  ಠ_ಠ

Accept multiple signing keys

pinch: 1.1 -> 1.2

Absolute path to sudo

Only add pinch if not already present

Absolute path for flock

Fixes "flock: command not found" when run from systemd

Don't write "result" files with user env in $PWD

Upgrade user environments

No-sudo, no-password auto-upgrade

Don't upgrade during business hours

Disallow concurrent auto-upgrade runs

Make 'auto-upgrade' available in path

"systemctl start nixos-upgrade" no longer works to force an immediate
run since the start delay was added.

Safety-hatch: Initial delay

Require signatures to pull updates

Trust the specified key

Keyed git - check signatures with a specified key

pinch: 1.0 -> 1.1

Auto-upgrade with pinch

pinch