Похоже, что в samba-tool потерялась поддержка опции `use-xattrs`:

****************************
# cat /tmp/samba-dc-provision-24.04.2017-13\:41\:40-td2.vm.basealt.ru.log      Пн апр 24 13:41:40 MSK 2017
Domain: td2.vm.basealt.ru

/usr/bin/samba-tool domain provision    --realm  "td2.vm.basealt.ru"    --domain "td2"  --dns-backend=SAMBA_INTERNAL  --server-role=dc        --use-rfc2307   --use-xattrs=yes

Usage: samba-tool domain provision [options]

samba-tool domain provision: error: no such option: --use-xattrs
****************************

Пакеты новые, из Сизифа (24.04.2017):

# rpm -qa | grep 'samba'
samba-DC-common-4.6.2-alt2.S1
python-module-samba-DC-4.6.2-alt2.S1
samba-DC-libs-4.6.2-alt2.S1
samba-DC-winbind-clients-4.6.2-alt2.S1
samba-DC-winbind-4.6.2-alt2.S1
samba-DC-4.6.2-alt2.S1

Created attachment 7075 [details]
Лог alteratord после попытки переключиться на 'ad'

Created attachment 7076 [details]
Лог samba-tool после попытки переключиться на 'ad'

Вот, что нашёл: https://bugzilla.samba.org/show_bug.cgi?id=11573 .
И её переоткрыли как раз.

(В ответ на комментарий №1)
> Похоже, что в samba-tool потерялась поддержка опции `use-xattrs`:
> 
> ****************************
> # cat /tmp/samba-dc-provision-24.04.2017-13\:41\:40-td2.vm.basealt.ru.log     
> Пн апр 24 13:41:40 MSK 2017
> Domain: td2.vm.basealt.ru
> 
> /usr/bin/samba-tool domain provision    --realm  "td2.vm.basealt.ru"   
> --domain "td2"  --dns-backend=SAMBA_INTERNAL  --server-role=dc       
> --use-rfc2307   --use-xattrs=yes
> 
> Usage: samba-tool domain provision [options]
> 
> samba-tool domain provision: error: no such option: --use-xattrs
> ****************************
> 
> Пакеты новые, из Сизифа (24.04.2017):
> 
> # rpm -qa | grep 'samba'
> samba-DC-common-4.6.2-alt2.S1
> python-module-samba-DC-4.6.2-alt2.S1
> samba-DC-libs-4.6.2-alt2.S1
> samba-DC-winbind-clients-4.6.2-alt2.S1
> samba-DC-winbind-4.6.2-alt2.S1
> samba-DC-4.6.2-alt2.S1
Пожалуйста, убери этот устаревший параметр (--use-xattrs).

Так я же убрал. Другие ошибки пошли — см. логи.

(In reply to comment #6)
> Так я же убрал. Другие ошибки пошли — см. логи.

По этим логам ничего не ясно. А вот переоткрытая бага (https://bugzilla.samba.org/show_bug.cgi?id=11573), которую привёл Андрей, очень даже похожа приводимое в логах:

У нас, на samba-4.6.2, так:

Setting up sam.ldb users and groups
ERROR(ldb): uncaught exception - operations error at ../source4/dsdb/samdb/ldb_modules/password_hash.c:2820
  File "/usr/lib64/python2.7/site-packages/samba/netcmd/__init__.py", line 176, in _run
    return self.run(*args, **kwargs)
  File "/usr/lib64/python2.7/site-packages/samba/netcmd/domain.py", line 471, in run
    nosync=ldap_backend_nosync, ldap_dryrun_mode=ldap_dryrun_mode)
  File "/usr/lib64/python2.7/site-packages/samba/provision/__init__.py", line 2175, in provision
    skip_sysvolacl=skip_sysvolacl)
  File "/usr/lib64/python2.7/site-packages/samba/provision/__init__.py", line 1787, in provision_fill
    next_rid=next_rid, dc_rid=dc_rid)
  File "/usr/lib64/python2.7/site-packages/samba/provision/__init__.py", line 1447, in fill_samdb
    "KRBTGTPASS_B64": b64encode(krbtgtpass.encode('utf-16-le'))
  File "/usr/lib64/python2.7/site-packages/samba/provision/common.py", line 55, in setup_add_ldif
    ldb.add_ldif(data, controls)
  File "/usr/lib64/python2.7/site-packages/samba/__init__.py", line 225, in add_ldif
    self.add(msg, controls)
ERROR (255)
Finished at Пн апр 24 14:29:08 MSK 2017

Полтора года назад, на samba-4.3.1, так:
Setting up sam.ldb users and groups
ERROR(ldb): uncaught exception - operations error at ../source4/dsdb/samdb/ldb_modules/password_hash.c:2241
  File "/usr/lib64/python2.7/site-packages/samba/netcmd/__init__.py", line 175, in _run
    return self.run(*args, **kwargs)
  File "/usr/lib64/python2.7/site-packages/samba/netcmd/domain.py", line 442, in run
    nosync=ldap_backend_nosync, ldap_dryrun_mode=ldap_dryrun_mode)
  File "/usr/lib64/python2.7/site-packages/samba/provision/__init__.py", line 2172, in provision
    skip_sysvolacl=skip_sysvolacl)
  File "/usr/lib64/python2.7/site-packages/samba/provision/__init__.py", line 1795, in provision_fill
    next_rid=next_rid, dc_rid=dc_rid)
  File "/usr/lib64/python2.7/site-packages/samba/provision/__init__.py", line 1453, in fill_samdb
    "KRBTGTPASS_B64": b64encode(krbtgtpass.encode('utf-16-le'))
  File "/usr/lib64/python2.7/site-packages/samba/provision/common.py", line 55, in setup_add_ldif
    ldb.add_ldif(data, controls)
  File "/usr/lib64/python2.7/site-packages/samba/__init__.py", line 225, in add_ldif
    self.add(msg, controls)

На лицо явное сходство... Хотелось бы видеть детали. В качестве механизмов сбора информации у нас для имеется два инструмента - sos и system-report.

Поскольку мое письмо с доработками для system-report так и осталось незамеченным:
https://lists.altlinux.org/pipermail/devel/2017-April/202571.html
предлагаю использовать sos.
# apt-get install sos
# sosreport

Похожа. Но проблема решилась отключением includes в krb5.conf. Подробности напишу завтра.

Там всё просто оказалось. Вот эта строка в krb5.conf:

includedir /var/lib/sss/pubconf/krb5.include.d/

она остаётся после установки FreeIPA, SSS — это один из её компонентов. FreeIPA и Samba-DC у нас сейчас несовместимы настолько, что даже пакеты вместе поставить нельзя. В результате конфиг Kerberos остаётся неработоспособным, если специально его не поправить.

alterator-net-domain-0.7.0-alt3 -> sisyphus:

* Tue Apr 25 2017 Paul Wolneykien <manowar@altlinux> 0.7.0-alt3
- Do not explicitly depend on '389-ds-base'.
- Make use of 'alterator-service-functions' to control the system servies.
- Cleanup the Kerberos configuration before Samba AD setup (closes: 33409).
- Improved IPA installed/uninstalled status detection.