Bug 33838

Summary:	Проблема с SELinux User Map
Product:	Sisyphus	Reporter:	Sergey Novikov <sotor>
Component:	freeipa-server	Assignee:	Stanislav Levin <slev>
Status:	CLOSED FIXED	QA Contact:	qa-sisyphus
Severity:	normal
Priority:	P3	CC:	aen, nbr, rider, sem, sin, slev
Version:	unstable
Hardware:	all
OS:	Linux

Description Sergey Novikov 2017-09-01 16:49:05 MSK

При попытке добавить правило сопоставления IPA-пользователя с SELinux-пользователем содержащим цифру (например с generic3_u) IPA выдает ошибку:

IPA Error 3009: ValidationError
неправильное 'selinuxuser': Invalid SELinux user name, only a-Z and _ are allowed

Как воспроизвести:
1. Установить FreeIPA сервер
2. Перейти в web-интерфейсе на вкладку Policy->SELinux User Maps
3. Нажать 'Добавить'
4. В поле SELinux User ввести 'generic3_u:s3-s3:c0.c15'

Версия: freeipa-server-4.3.3-alt7

Comment 1 nbr 2017-10-04 11:32:22 MSK

Ясно же сказано
only a-Z and _ are allowed
Так и задумано - не надо заводить таких пользователей Selinux.

Comment 2 Sergey Novikov 2017-10-04 11:41:59 MSK

В настройках IPA Server -> Настройка -> SELinux Options
Поле SELinux user map order имеет значение:
officer_u:s0-s3:c0.c15$generic3_u:s3-s3:c0.c15$generic_u2:s2-s3:c0.c15$generic_u1:s1-s3:c0.c15$generic_u:s0-s3:c0.c15
Видимо такие пользователи в нашем SELinux.

Comment 3 Anton Farygin 2017-10-04 12:06:10 MSK

Надо или поменять дефолты в freeipa, или поменять дефолты в политике. В политике что-то меня уже врятли получится.

Comment 4 nbr 2017-10-04 12:12:15 MSK

А зачем вы вообще используете generics_u2? Это же не user, это template!
Создайте _нормально названного, без номеров_ user-a  (при помощи alterator, например)и пользуйтесь на здоровье!

Comment 5 Anton Farygin 2017-10-04 12:19:37 MSK

В смысле ? никто ничего специально не делал. Дефолтная установка СП 8

Comment 6 nbr 2017-10-04 12:22:01 MSK

Вот именно. Надо _специально завести_ пользователя (или пользователей) selinux для freeipa и отображать доменных пользователей на них, а не на generic templates, которые, по хорошему, вообще надо выкинуть кроме самого младшего generic.

Comment 7 Anton Farygin 2017-10-04 12:22:51 MSK

Тебе и карты в руки.

Comment 8 Anton Farygin 2017-10-04 12:30:27 MSK

Давайте разберёмся отдельно, баг это или нет. По факту сейчас нашу FreeIPA с СП-8 использовать не получается.

Comment 9 nbr 2017-10-04 12:31:26 MSK

Я-то тут причем? Это задача сисадмина, который настраивает домен. Обычное административное действие. Поэтому и выставил notabug, это нормальное поведение системы, которая желает некоторой настройки.

Comment 10 nbr 2017-10-04 12:31:59 MSK

не по этой причине, вот №33840 серьезнее.

Comment 11 AEN 2017-10-04 12:39:27 MSK

(В ответ на комментарий №9)
> Я-то тут причем? Это задача сисадмина, который настраивает домен. Обычное
> административное действие. Поэтому и выставил notabug, это нормальное поведение
> системы, которая желает некоторой настройки.
Эта особенность документирована, потому не бага. Но так как может ввести в заблуждение, то стоит подумать, как его предупредить и сформулировать FR.

Comment 12 Anton Farygin 2017-10-04 13:47:53 MSK

Документирована где ?

У нас вообще нет документации по развертыванию FreeIPA на ALT + Selinux.

Comment 13 AEN 2017-10-04 14:06:16 MSK

(В ответ на комментарий №12)
> Документирована где ?

См. первый комментарий.
> 
> У нас вообще нет документации по развертыванию FreeIPA на ALT + Selinux.

Вот об этом и вешай баги.

Comment 14 Anton Farygin 2017-10-04 14:08:45 MSK

Алексей, текущее поведение FreeIPA расходится с нашим дефолтным поведением SELinux.

А сообщение об ошибки документацией не считается и невозможно использовать при проектировании системы.

Comment 15 Mikhail Efremov 2017-10-04 15:25:27 MSK

Это баг, конечно. Очень жаль, что пользователи с цифрами в имени вообще есть в selinux-policy-alt, но раз они есть, то freeipa должен это уметь.

Comment 16 Mikhail Efremov 2017-10-04 21:08:21 MSK

http://git.altlinux.org/people/sem/packages/freeipa.git?p=freeipa.git;a=commit;h=1c4332734ea3aca32572415630173e9f009339d2

Comment 17 Anton Farygin 2017-10-05 07:55:44 MSK

Миша, спасибо. Проверим.

Стас, забери пожалуйста в сборку 4.4

Comment 18 Repository Robot 2017-10-05 16:50:08 MSK

freeipa-4.3.3-alt9 -> sisyphus:

Thu Oct 05 2017 Mikhail Efremov <sem@altlinux.org> 4.3.3-alt9
- selinux: Allow digits in SELinux user names (closes: #33838).
- Require zip.