Bug 43852 - Не получает сервисные тикеты из AD домена
Summary: Не получает сервисные тикеты из AD домена
Status: NEW
Alias: None
Product: Branch p10
Classification: Unclassified
Component: freeipa (show other bugs)
Version: не указана
Hardware: x86_64 Linux
: P5 normal
Assignee: Stanislav Levin
QA Contact: qa-p10@altlinux.org
URL:
Keywords:
Depends on:
Blocks:
 
Reported: 2022-09-22 18:02 MSK by Evgeny Shesteperov
Modified: 2022-09-22 18:02 MSK (History)
0 users

See Also:

Attachments
сообщение в Win7 (387.70 KB, image/png)
2022-09-22 18:02 MSK, Evgeny Shesteperov 		no flags Details
View All Add an attachment (proposed patch, testcase, etc.)

Note You need to log in before you can comment on or make changes to this bug.
Description Evgeny Shesteperov 2022-09-22 18:02:49 MSK 
Created attachment 11561 [details]
сообщение в Win7

Версия
======

Обнаружено в версии freeipa-server-4.9.10-alt0.p10.1

Дистрибутивы
============

* p10-server-10-x86-64

Шаги воспроизведения
====================

1. Развернуть FreeIPA-сервер (домен: freeipa.testdomain), FreeIPA-реплику, ввести клиентов на без ALT Linux (например, p10-workstation) в домен.
2. Развернуть Windows AD (домен: tradex.tradtest), ввести клиент на Windows 7.
3. Настроить forwarder между контроллером домена FreeIPA и контроллером домена Windows AD:

	PS> dnscmd 127.0.0.1 /ZoneAdd freeipa.testdomain /Forwarder <FREEIPA_DC_IP>

	# ipa dnsforwardzone-add tradex.tradtest --forwarder=<WINDOWS_AD_DC_IP> --forward-policy=only

4. Выполнить установку доверия:

	# kinit admin && ipa trust-add --type=ad tradex.tradtest --admin Admin --password --two-way=true

5. Запросить сервер AD о его доверенных доменах:

	# ipa trust-fetch-domains tradex.tradtest

	# ipa trustdomain-find tradex.tradtest

6. Запросить service ticket для сервиса из IPA домена:

	# kvno -S host $(hostname)

7. Запросить service ticket сервиса из AD домена:

	# kvno -S cifs addc.tradex.tradtest

Ожидаемый результат: получение сервисного тикета. Пример:

	cifs/addc.tradex.tradtest@: kvno = 3

Фактический результат: сообщение об ошибке

	kvno: Generic error (see e-text) while getting credentials for cifs/addc.tradex.tradtest@

Дополнительно: не работает вход доменным пользователем FreeIPA в машину, введённую в домен Windows AD (пишет "Недостаточно системных ресурсов для завершения операции", см. прикрепленный скриншот). При этом если задать доменному пользователю FreeIPA пароль со сменой пароля при следующем входе, то окно смена пароля на Windows вызывается и корректно работает (пароль действительно меняется, проверял на клиентах ALT Linux, но дальше такая же ошибка, как в скриншоте). Соответственно, на клиентах ALT Linux не монтируется общая папка через CIFS:

	# mount -v -t cifs -o user=aduser //<WINDOWS_AD_DC_IP>/share /mnt/adshare