60855 2026-10-07 16:36:57 +0300 freeipa: ошибки sss_cache в выводе установки freeipa-server-common — stderr команд создания учётных записей в %pre не перенаправлен 2026-10-16 22:56:11 +0300 1 1 1 Unclassified Branch p11 freeipa unspecified x86_64 Linux RESOLVED FIXED https://bugzilla.altlinux.org/show_bug.cgi?id=60854 https://bugzilla.altlinux.org/show_bug.cgi?id=60856 P5 minor --- 1 varaksaaa slev qa-p11 oldest_to_newest 301441 0 varaksaaa 2026-10-07 16:36:57 +0300 Исследовано с помощью Zed Agent (qwen3.8-27b). **Симптом** При установке freeipa-server-common (в составе установки freeipa-server на свежей системе p11) в вывод apt-get попадают строки: ldb: unable to stat module /usr/lib64/samba/ldb : No such file or directory Could not open available domains В рассматриваемой установке эти строки появляются 12 раз (24 строки), именно во время выполнения %pre бинарного пакета freeipa-server-common. **Причина** 1. Утилиты groupadd/useradd/usermod (пакет shadow-utils) после каждой операции с учётной записью автоматически запускают /usr/sbin/sss_cache для сброса кэша sssd (sssd_flush_cache(), shadow/lib/sssd.c). Вызов выполняется без перенаправления stderr (run_command(), fork/execve), поэтому вывод sss_cache попадает в терминал процесса установки. 2. На стадии большой транзакции установки sss_cache не может открыть конфигурационную базу sssd /var/lib/sss/db/config.ldb (LDB): каталог модулей LDB /usr/lib64/samba/ldb ещё не доступен, из-за чего sss_cache завершается с кодом 5 и печатает в stderr обе приведённые строки (первая — из libldb, вторая — из sssd). 3. Сами операции с учётными записями завершаются успешно (rc=0); о неудаче сброса кэша сообщается только в системном журнале: useradd: sss_cache exited with status 5 useradd: Failed to flush the sssd cache. (аналогично для groupadd и usermod) В %pre-скриплете freeipa-server-common без перенаправления stderr выполняются команды создания групп и пользователей kdcproxy и ipaapi (groupadd/useradd) и команда usermod -a -G ipaapi apache2 В журнале в момент работы %pre зафиксировано 12 неудачных запусков sss_cache (4 — от groupadd, 6 — от useradd, 2 — от usermod); ни одна команда не перенаправляет вывод, поэтому в терминал попадают все 12 пар строк. **Предлагаемое исправление** Перенаправить stderr (или оба потока) у команд создания/изменения учётных записей в %pre, напр.: groupadd ... > /dev/null 2>&1 useradd ... > /dev/null 2>&1 usermod -a -G ipaapi apache2 > /dev/null 2>&1 Для справки: тот же приём уже применяется в %pre-скриплетах четырёх пакетов, которые ставятся в той же транзакции и также создают учётные записи, — `sssd`, `gssproxy`, `webserver-common`, `apache2-base`. У них stderr команд создания учётных записей перенаправлен, поэтому ошибки sss_cache в вывод установки не попадают. **Состояние в Sisyphus** Проблема отсутствует в Sisyphus: в freeipa 4.13.4-alt2 (коммит 3981d27) пользователи kdcproxy и ipaapi в %pre больше не создаются. %pre server-core (`.gear/freeipa.spec`, строки 795–800) лишь останавливает сервис ipa_kpasswd, а %pre server-common (строки 802–803) содержит только комментарий о том, что создание пользователей перенесено в %post server-core, где выполняется: %sysusers_create ipa.conf (строка 773). systemd-sysusers создаёт учётные записи напрямую, не вызывая groupadd/useradd/usermod из shadow-utils, поэтому sss_cache не запускается. Проблема характерна только для p11 (freeipa 4.12.5-alt5); исправление требуется только в p11. При переносе freeipa 4.13 в p11 проблема исчезнет сама. **Влияние** Косметическое: все учётные записи создаются успешно, на работоспособность системы ошибки не влияют. **Воспроизведение** Свежая система p11 (проверено при установке из репозитория задания 435114): # apt-get install freeipa-server -y В выводе установки появляются указанные строки (12 пар от %pre freeipa-server-common; суммарно 16 пар — остальные дают %pre пакетов 389-ds-base и dogtag-pki, см. соответствующие отчёты), в `journalctl` — записи `sss_cache exited with status 5`. 302679 1 repository-robot 2026-10-16 22:56:11 +0300 freeipa-4.12.5-alt6.gitb360c852d3 -> p11: Thu Oct 08 2026 Stanislav Levin <slev@altlinux> 4.12.5-alt6.gitb360c852d3 - Synced to upstream 4-12 (b360c852d3). - Backported fixes for: + CVE (fixes: CVE-2026-11861, CVE-2026-13097, CVE-2026-73196, CVE-2026-73197, CVE-2026-73198, CVE-2026-73199, CVE-2026-19550, CVE-2026-79678, CVE-2026-76578, CVE-2026-14612) + sysusers (closes: #60855) + added check for all the required PKI ports (closes: #44555)