ALT Linux Bugzilla – #48946

Стенды в тестировании:
Контроллер домена: Server 10.1 x86_64
Клиент: Workstation 10.1 x86_64

Created attachment 15299 [details]
journactl-b

Проверка актуальности.

Состояние:
В p10 gpupdate обновлён с 0.9.12.6-alt1 (версия из репорта) до 0.13.4-alt1 (задание 398426.100.4.1, 15.12.2025). В changelog 0.13.4-alt1: механизм копирования файлов переведён в production-ready, добавлена обработка владельца файлов в домашнем каталоге пользователя («Added ownership handling for files within user home directory»). Бумажный анализ не позволяет однозначно подтвердить или опровергнуть исправление: требуется стенд Samba DC + клиент с GPUI.

Решение:
Ретест сценария из описания на p10 с gpupdate-0.13.4-alt1 и gpui-0.2.55-alt1.

Результат проверки актуальности

Состояние:
Ошибка 2023, p10, gpupdate-0.9.12.6: вход нового пользователя ломается только если до первого логина выполнить «gpoa user --loglevel 0» при пользовательской политике копирования файлов. Без этой команды вход проходит. В логе gpoa от root: FileNotFoundError при создании файла в ещё несуществующем home, затем Permission denied на каталог Desktop. Связанный 47777 (файл не появляется на рабочем столе при обычном входе без раннего gpoa) закрыт WORKSFORME на p10 с gpupdate-0.13.4. Текущие версии: p10/c10f2 — 0.13.4; p11/c11f1 — 0.16.1; Sisyphus — 0.16.3. closes:48946 в changelog нет. В коде Sisyphus пользовательские файлы по-прежнему копируются только от root (user_context_apply пустой); mkdir(parents=True) создаёт home, если его нет; chown_home_path не меняет владельца самого домашнего каталога. Живого ретеста сценария «gpoa user до первого входа» на p11 и Sisyphus нет.

Рекомендация:
перепроверить в Sisyphus: новый доменный пользователь, пользовательская GPP «Копирование файлов» на рабочий стол, «gpoa <user> --loglevel 0» до первого входа, затем графический логин. Контроль: тот же пользователь без предварительного gpoa (только reboot и вход). Ошибка передана qa-team.

Проверила в Sisyphus и p11 (Альт Рабочая станция 11.2, система обновлена до текущего состояния репозитория, контроллер домена Samba 4.21.9 на p11):
Sisyphus: gpupdate-0.16.3-alt1
p11: gpupdate-0.16.1-alt1
  
Сценарий по описанию: в OU1 пользовательская политика "Файлы" (Создать, из sysvol в %DesktopDir%\TestUser\test_user_file.txt), новый доменный пользователь в OU1, до первого входа gpoa user2 --loglevel 0, перезагрузка, графический вход этим пользователем. Повторила с двумя пользователями в каждой ветке. Для контроля вошла третьим пользователем без предварительного gpoa. 
  
Результат в обеих ветках: возврата на экран входа больше нет, пользователь входит в сеанс GNOME, файл на рабочем столе появляется. Но gpoa, запущенный от root до первого входа, сам создаёт домашний каталог /home/<домен>/user2, и он принадлежит root:root (755), как и .config (root:root 700) и каталоги Документы, Загрузки и т.д.; пользователю принадлежат только "Рабочий стол" и скопированный файл. pam_mkhomedir уже существующий каталог не трогает. В итоге пользователь не может писать в свой домашний каталог: touch ~/файл и ~/.config/файл дают "Отказано в доступе", в журнале ошибки systemd --user и dconf на ~/.config и ~/.cache.
                                                                                                                                                      
У контрольного пользователя без раннего gpoa домашний каталог принадлежит ему, файл копируется, всё нормально.                                      
                                                                                                                                                      
То есть исходный симптом (невозможность входа) не воспроизводится, но причина осталась: gpoa для пользователя без домашнего каталога создаёт его с владельцем root.

gpupdate-0.16.4-alt1 -> sisyphus:

Thu Oct 15 2026 Valery Sinelnikov <greh@altlinux> 0.16.4-alt1
- Added:
  gpupdate-machine-run for commands with isolated machine Kerberos credentials
  (closes: 60548)
  GPO-configurable user policy refresh on SSH login (closes: 53161)
  Chromium 153 integer-valued policy exceptions
  Optional strict exit status for policy scripts
- Fixed:
  User file policies creating root-owned home directories (closes: 48946)
  KDE policy application without a graphical environment (closes: 60718)
  Missing icon and comment in merged machine shortcuts (closes: 60563)
  GNOME and XFCE shortcut trust metadata (closes: 56019)
  Absolute local script paths (closes: 47135)
  Structured Chromium and Yandex JSON preservation through dconf
  (closes: 46281)
  Yandex numeric policy types for delays, limits and import settings
  ADMX numeric-value extraction for decimal elements and enums
  Packaged display manager plugin discovery and safe GDM background updates
  LightDM greeter detection and native INI configuration
  User polkit rule isolation, plugin execution and privilege-worker IPC
  GPO cache identity, FreeIPA refresh handling and loopback precedence
  Policy-scoped and per-user apply-once state, managed-file and hidden cleanup
  Cached policy application
  File-operation safety, bounded worker IPC and command-group cleanup
  Kerberos credential isolation and LAPS retry post-actions
  Native DWORD handling in Firewall and NTP, standalone GSettings lock updates
  Script preparation failures and active timer shutdown when disabling gpupdate
  Browser policy publication and GDM restoration across theme upgrades
  Configuration preservation on upgrade and policy execution error reporting
- Packaging:
  Ship shared applier templates with gpoa-lib
- Documentation:
  Clarified plugin translation paths and documented regression test scenarios