Bug 43852

Created attachment 11561 [details]
сообщение в Win7

Версия
======

Обнаружено в версии freeipa-server-4.9.10-alt0.p10.1

Дистрибутивы
============

* p10-server-10-x86-64

Шаги воспроизведения
====================

1. Развернуть FreeIPA-сервер (домен: freeipa.testdomain), FreeIPA-реплику, ввести клиентов на без ALT Linux (например, p10-workstation) в домен.
2. Развернуть Windows AD (домен: tradex.tradtest), ввести клиент на Windows 7.
3. Настроить forwarder между контроллером домена FreeIPA и контроллером домена Windows AD:

	PS> dnscmd 127.0.0.1 /ZoneAdd freeipa.testdomain /Forwarder <FREEIPA_DC_IP>

	# ipa dnsforwardzone-add tradex.tradtest --forwarder=<WINDOWS_AD_DC_IP> --forward-policy=only

4. Выполнить установку доверия:

	# kinit admin && ipa trust-add --type=ad tradex.tradtest --admin Admin --password --two-way=true

5. Запросить сервер AD о его доверенных доменах:

	# ipa trust-fetch-domains tradex.tradtest

	# ipa trustdomain-find tradex.tradtest

6. Запросить service ticket для сервиса из IPA домена:

	# kvno -S host $(hostname)

7. Запросить service ticket сервиса из AD домена:

	# kvno -S cifs addc.tradex.tradtest

Ожидаемый результат: получение сервисного тикета. Пример:

	cifs/addc.tradex.tradtest@: kvno = 3

Фактический результат: сообщение об ошибке

	kvno: Generic error (see e-text) while getting credentials for cifs/addc.tradex.tradtest@

Дополнительно: не работает вход доменным пользователем FreeIPA в машину, введённую в домен Windows AD (пишет "Недостаточно системных ресурсов для завершения операции", см. прикрепленный скриншот). При этом если задать доменному пользователю FreeIPA пароль со сменой пароля при следующем входе, то окно смена пароля на Windows вызывается и корректно работает (пароль действительно меняется, проверял на клиентах ALT Linux, но дальше такая же ошибка, как в скриншоте). Соответственно, на клиентах ALT Linux не монтируется общая папка через CIFS:

	# mount -v -t cifs -o user=aduser //<WINDOWS_AD_DC_IP>/share /mnt/adshare