Вышла на днях. Сборка в процессе подготовки.

Таска посыпалась, я уже разобрался:
#225325 FAILING #8 [locked] [test-only] sisyphus libtdb.git=1.3.18-alt1 libtalloc.git=2.1.16-alt1 libtevent.git=0.9.39-alt1 cmocka.git=1.1.3-alt1 libldb.git=1.5.4-alt1 samba.git=4.10.0-alt1 bind.git=9.11.6-alt2 sssd.git=2.1.0-alt1 openchange.git=2.4-alt37.zentyal23 freeipa.git=4.7.1-alt7

Мы долго тянули openchange, более он не совместим с samba-4.10 и выше.
Убираем его из репозитория.

С freeipa тоже всё не обошлось простой пересборкой:
https://bugzilla.redhat.com/show_bug.cgi?id=1678670
https://bugzilla.redhat.com/show_bug.cgi?id=1672231 (https://bugzilla.redhat.com/show_bug.cgi?id=1673312)

Добавил патчи, отправил снова.

PS: В принципе, можно было бы и freeipa обновить до 4.7.2 (я сначала помёрджил, но решил не мешать всё в одну кучу).

Пересборка новой samba с текущей freeipa не проходит из-за того, что freeipa использует внутренние функции libsmbconf.so, которые более недоступны:
$ girar-show 225325
...
        x86_64: NEW bad_elf_symbols detected:
freeipa-server-trust-ad-4.7.1-alt7.x86_64.rpm   /usr/lib64/samba/pdb/ipasam.so  U       sid_string_dbg
freeipa-server-trust-ad-4.7.1-alt7.x86_64.rpm   /usr/lib64/samba/pdb/ipasam.so  U       sid_string_talloc
        aarch64: NEW bad_elf_symbols detected:
freeipa-server-trust-ad-4.7.1-alt7.aarch64.rpm  /usr/lib64/samba/pdb/ipasam.so  U       sid_string_dbg
freeipa-server-trust-ad-4.7.1-alt7.aarch64.rpm  /usr/lib64/samba/pdb/ipasam.so  U       sid_string_talloc
2019-Mar-26 22:32:38 :: [x86_64 i586 aarch64] ELF symbols check FAILED
2019-Mar-26 22:32:38 :: task #225325 for sisyphus FAILED

Об этом явно указано в соответствующем файле freeipa/daemons/ipa-sam/ipa_sam.c:
...
char *sid_string_talloc(TALLOC_CTX *mem_ctx, const struct dom_sid *sid); /* available in libsmbconf.so */
char *sid_string_dbg(const struct dom_sid *sid); /* available in libsmbconf.so */
...

В samba-4.10.0 функции sid_string_talloc и sid_string_dbg обобщены и заменены на  функцию dom_sid_str_buf:
@@ -423,12 +425,12 @@ static NTSTATUS log_nt_token(struct security_token *token)
        for (i=1; i<token->num_sids; i++) {
                group_sidstr = talloc_asprintf(
                        frame, "%s %s", group_sidstr,
-                       sid_string_talloc(frame, &token->sids[i]));
+                       dom_sid_str_buf(&token->sids[i], &buf));
        }
 
        command = talloc_string_sub(
                frame, lp_log_nt_token_command(frame),
-               "%s", sid_string_talloc(frame, &token->sids[0]));
+               "%s", dom_sid_str_buf(&token->sids[0], &buf));
        command = talloc_string_sub(frame, command, "%t", group_sidstr);
 
        if (command == NULL) {
@@ -605,9 +607,10 @@ NTSTATUS create_local_token(TALLOC_CTX *mem_ctx,
 
                if (ids[i].type != ID_TYPE_GID &&
                    ids[i].type != ID_TYPE_BOTH) {
+                       struct dom_sid_buf buf;
                        DEBUG(10, ("Could not convert SID %s to gid, "
                                   "ignoring it\n",
-                                  sid_string_dbg(&t->sids[i])));
+                                  dom_sid_str_buf(&t->sids[i], &buf)));
                        continue;
                }
                if (!add_gid_to_array_unique(session_info->unix_token,

При этом новая функция находится теперь в библиотеке /usr/lib64/samba/libsamba-security-samba4.so:

@@ -488,3 +505,13 @@ char *dom_sid_string(TALLOC_CTX *mem_ctx, const struct dom_sid *sid)
        talloc_set_name_const(result, result);
        return result;
 }
+
+char *dom_sid_str_buf(const struct dom_sid *sid, struct dom_sid_buf *dst)
+{
+       int ret;
+       ret = dom_sid_string_buf(sid, dst->buf, sizeof(dst->buf));
+       if ((ret < 0) || (ret >= sizeof(dst->buf))) {
+               strlcpy(dst->buf, "(INVALID SID)", sizeof(dst->buf));
+       }
+       return dst->buf;
+}
diff --git a/libcli/security/dom_sid.h b/libcli/security/dom_sid.h
index 491fc0699f4..abaf305f96a 100644
--- a/libcli/security/dom_sid.h
+++ b/libcli/security/dom_sid.h
@@ -100,9 +100,10 @@ bool dom_sid_in_domain(const struct dom_sid *domain_sid,
 bool dom_sid_is_valid_account_domain(const struct dom_sid *sid);
 
 #define DOM_SID_STR_BUFLEN (15*11+25)
-int dom_sid_string_buf(const struct dom_sid *sid, char *buf, int buflen);
 char *dom_sid_string(TALLOC_CTX *mem_ctx, const struct dom_sid *sid);
 
+struct dom_sid_buf { char buf[DOM_SID_STR_BUFLEN]; };
+char *dom_sid_str_buf(const struct dom_sid *sid, struct dom_sid_buf *dst);
 
 const char *sid_type_lookup(uint32_t sid_type);
 const struct security_token *get_system_token(void);

И более недоступна.

В общем, пока непонятно как это собирали в федоре. Планирую бекпортировать изменения из новой samba во freeipa.

Хотя у меня есть одно подозрение. Возможно в федоре не проверяется, как у нас? бинарная консистентность и у них просто лежит не рабочий freeipa-server-trust-ad. Сборка-то проходит успешно. Не отрабатывают наши тесты - NEW bad_elf_symbols detected.

ab@ может знать.

Подготовил патч, повесил багу:
https://pagure.io/freeipa/issue/7893

Отправил запрос на git pull:
https://github.com/freeipa/freeipa/pull/2943

Что скажет мейнтейнер freeipa?0

1) В апстриме высказались уже насчет патча (предложен более лучший вариант)
2) апстримные CI тесты не проходят:
https://travis-ci.org/freeipa/freeipa/jobs/512283738

"""
ipa_sam.c: In function ‘_domain_sid_string_buf’:
ipa_sam.c:297:10: error: implicit declaration of function ‘strlcpy’; did you mean ‘strncpy’? [-Werror=implicit-function-declaration]
   return strlcpy(buf, "(NULL SID)", buflen);
          ^~~~~~~
          strncpy
cc1: some warnings being treated as errors
"""

(In reply to comment #9)
> 1) В апстриме высказались уже насчет патча (предложен более лучший вариант)
Более лучший, не исключает рабочего. Тем более, что ab@, пока не предложил более лучший вариант, изъявлял готовность принять текущий. Кроме того, я сделал именно так, как он сам советовал в личной переписке.

В общем, развивать в апстриме более лучший вариант мы будем и так. Сейчас нас держит, что нет рабочего.

> 2) апстримные CI тесты не проходят:
> https://travis-ci.org/freeipa/freeipa/jobs/512283738

На этот счёт поправку внёс - тесты апстрима перезапущены.

А между тем у нас появилась рабочая сборка:
#225325 TESTED #11 [test-only] sisyphus libtdb.git=1.3.18-alt1 libtalloc.git=2.1.16-alt1 libtevent.git=0.9.39-alt1 cmocka.git=1.1.3-alt1 libldb.git=1.5.4-alt1 samba.git=4.10.0-alt1 sssd.git=2.1.0-alt1 del=openchange freeipa.git=4.7.1-alt7

Предлагаю отправить текущий вариант в сизиф, потому более красивый вариант можно дожидаться ещё долго, я не уверен, что в этом есть смысл. Патч я поправил, как просил апстрим.

(In reply to comment #11)
> Предлагаю отправить текущий вариант в сизиф, потому более красивый вариант
> можно дожидаться ещё долго, я не уверен, что в этом есть смысл. Патч я
> поправил, как просил апстрим.

Как апстрим просил изначально, а не в лучшем варианте, потому что там управление памятью затрагивается и возможны утечки. Отладить это быстро просто так я уже не смогу.

(В ответ на комментарий №12)
> (In reply to comment #11)
> > Предлагаю отправить текущий вариант в сизиф, потому более красивый вариант
> > можно дожидаться ещё долго, я не уверен, что в этом есть смысл. Патч я
> > поправил, как просил апстрим.
> 
> Как апстрим просил изначально, а не в лучшем варианте, потому что там
> управление памятью затрагивается и возможны утечки. Отладить это быстро просто
> так я уже не смогу.

Да, поддерживаю предложение. Главное (для меня) - информировать апстрим, они в любом случае сделают лучше.

(В ответ на комментарий №13)
> (В ответ на комментарий №12)
> > (In reply to comment #11)
> > > Предлагаю отправить текущий вариант в сизиф, потому более красивый вариант
> > > можно дожидаться ещё долго, я не уверен, что в этом есть смысл. Патч я
> > > поправил, как просил апстрим.
> > 
> > Как апстрим просил изначально, а не в лучшем варианте, потому что там
> > управление памятью затрагивается и возможны утечки. Отладить это быстро просто
> > так я уже не смогу.
> 
> Да, поддерживаю предложение. 
Ok. Тогда отправляем, но отслеживания изменения в апстрим регулярно.

(В ответ на комментарий №4)
> Хотя у меня есть одно подозрение. Возможно в федоре не проверяется, как у нас?
> бинарная консистентность и у них просто лежит не рабочий
> freeipa-server-trust-ad. Сборка-то проходит успешно. Не отрабатывают наши тесты
> - NEW bad_elf_symbols detected.

Нет, дело не в этом. В Федоре еще не было 4.10 до вчерашнего дня.

Разница появилась между RC3 и релизом.
https://taskotron.fedoraproject.org/artifacts/all/94d16f02-4b42-11e9-b891-525400fc9f92/tests.yml/samba-4.10.0-5.fc30.log

Я перенёс исправление из апстрима в новую сборку freeipa:
#226422 TESTED #1 [test-only] sisyphus freeipa.git=4.7.2-alt1

Я готов её отправить в сизиф, но поскольку не тестирую пока этот пакет на стендах, предлагаю к рассмотрению.

Поскольку новая samba уже в сизифе, эту задачу считаю разрешённой.

Спасибо!

Отдельное спасибо Александру за оперативное исправление в апстриме!