Bug 48946
| Summary: | После gpoa <user> до первого входа домашний каталог создаётся с владельцем root (GPP Копирование файлов) | ||||||||
|---|---|---|---|---|---|---|---|---|---|
| Product: | Sisyphus | Reporter: | Vera Blagoveschenskaya <vercha> | ||||||
| Component: | gpupdate | Assignee: | Evgeny Sinelnikov <sin> | ||||||
| Status: | REOPENED --- | QA Contact: | qa-p10 <qa-p10> | ||||||
| Severity: | normal | ||||||||
| Priority: | P5 | CC: | gfh1gfh1, greh, nir, sin | ||||||
| Version: | unstable | ||||||||
| Hardware: | x86_64 | ||||||||
| OS: | Linux | ||||||||
| See Also: | https://bugzilla.altlinux.org/show_bug.cgi?id=47777 | ||||||||
| Attachments: |
|
||||||||
Стенды в тестировании: Контроллер домена: Server 10.1 x86_64 Клиент: Workstation 10.1 x86_64 Created attachment 15299 [details]
journactl-b
Проверка актуальности. Состояние: В p10 gpupdate обновлён с 0.9.12.6-alt1 (версия из репорта) до 0.13.4-alt1 (задание 398426.100.4.1, 15.12.2025). В changelog 0.13.4-alt1: механизм копирования файлов переведён в production-ready, добавлена обработка владельца файлов в домашнем каталоге пользователя («Added ownership handling for files within user home directory»). Бумажный анализ не позволяет однозначно подтвердить или опровергнуть исправление: требуется стенд Samba DC + клиент с GPUI. Решение: Ретест сценария из описания на p10 с gpupdate-0.13.4-alt1 и gpui-0.2.55-alt1. Результат проверки актуальности Состояние: Ошибка 2023, p10, gpupdate-0.9.12.6: вход нового пользователя ломается только если до первого логина выполнить «gpoa user --loglevel 0» при пользовательской политике копирования файлов. Без этой команды вход проходит. В логе gpoa от root: FileNotFoundError при создании файла в ещё несуществующем home, затем Permission denied на каталог Desktop. Связанный 47777 (файл не появляется на рабочем столе при обычном входе без раннего gpoa) закрыт WORKSFORME на p10 с gpupdate-0.13.4. Текущие версии: p10/c10f2 — 0.13.4; p11/c11f1 — 0.16.1; Sisyphus — 0.16.3. closes:48946 в changelog нет. В коде Sisyphus пользовательские файлы по-прежнему копируются только от root (user_context_apply пустой); mkdir(parents=True) создаёт home, если его нет; chown_home_path не меняет владельца самого домашнего каталога. Живого ретеста сценария «gpoa user до первого входа» на p11 и Sisyphus нет. Рекомендация: перепроверить в Sisyphus: новый доменный пользователь, пользовательская GPP «Копирование файлов» на рабочий стол, «gpoa <user> --loglevel 0» до первого входа, затем графический логин. Контроль: тот же пользователь без предварительного gpoa (только reboot и вход). Ошибка передана qa-team. Проверила в Sisyphus и p11 (Альт Рабочая станция 11.2, система обновлена до текущего состояния репозитория, контроллер домена Samba 4.21.9 на p11):
Sisyphus: gpupdate-0.16.3-alt1
p11: gpupdate-0.16.1-alt1
Сценарий по описанию: в OU1 пользовательская политика "Файлы" (Создать, из sysvol в %DesktopDir%\TestUser\test_user_file.txt), новый доменный пользователь в OU1, до первого входа gpoa user2 --loglevel 0, перезагрузка, графический вход этим пользователем. Повторила с двумя пользователями в каждой ветке. Для контроля вошла третьим пользователем без предварительного gpoa.
Результат в обеих ветках: возврата на экран входа больше нет, пользователь входит в сеанс GNOME, файл на рабочем столе появляется. Но gpoa, запущенный от root до первого входа, сам создаёт домашний каталог /home/<домен>/user2, и он принадлежит root:root (755), как и .config (root:root 700) и каталоги Документы, Загрузки и т.д.; пользователю принадлежат только "Рабочий стол" и скопированный файл. pam_mkhomedir уже существующий каталог не трогает. В итоге пользователь не может писать в свой домашний каталог: touch ~/файл и ~/.config/файл дают "Отказано в доступе", в журнале ошибки systemd --user и dconf на ~/.config и ~/.cache.
У контрольного пользователя без раннего gpoa домашний каталог принадлежит ему, файл копируется, всё нормально.
То есть исходный симптом (невозможность входа) не воспроизводится, но причина осталась: gpoa для пользователя без домашнего каталога создаёт его с владельцем root.
gpupdate-0.16.4-alt1 -> sisyphus: Thu Oct 15 2026 Valery Sinelnikov <greh@altlinux> 0.16.4-alt1 - Added: gpupdate-machine-run for commands with isolated machine Kerberos credentials (closes: 60548) GPO-configurable user policy refresh on SSH login (closes: 53161) Chromium 153 integer-valued policy exceptions Optional strict exit status for policy scripts - Fixed: User file policies creating root-owned home directories (closes: 48946) KDE policy application without a graphical environment (closes: 60718) Missing icon and comment in merged machine shortcuts (closes: 60563) GNOME and XFCE shortcut trust metadata (closes: 56019) Absolute local script paths (closes: 47135) Structured Chromium and Yandex JSON preservation through dconf (closes: 46281) Yandex numeric policy types for delays, limits and import settings ADMX numeric-value extraction for decimal elements and enums Packaged display manager plugin discovery and safe GDM background updates LightDM greeter detection and native INI configuration User polkit rule isolation, plugin execution and privilege-worker IPC GPO cache identity, FreeIPA refresh handling and loopback precedence Policy-scoped and per-user apply-once state, managed-file and hidden cleanup Cached policy application File-operation safety, bounded worker IPC and command-group cleanup Kerberos credential isolation and LAPS retry post-actions Native DWORD handling in Firewall and NTP, standalone GSettings lock updates Script preparation failures and active timer shutdown when disabling gpupdate Browser policy publication and GDM restoration across theme upgrades Configuration preservation on upgrade and policy execution error reporting - Packaging: Ship shared applier templates with gpoa-lib - Documentation: Clarified plugin translation paths and documented regression test scenarios Проверено на Альт рабочая станция 11.2 и Альт рабочая станция К 11.4 gpupdate-0.16.4-alt1 Домен Samba DC Создаём нового доменного пользователя, заходим под ним. ИЛИ Удаляем профиль доменного пользователя /home/ДОМЕН/пользователь и заходим под этим пользователем. $ ls -la ~ | grep root drwxr-xr-x 1 root root 34 ноя 13 12:44 .. -rw-r--r-- 1 root root 0 ноя 13 13:18 .gpupdate_environment drwxr-xr-x 1 root root 0 ноя 13 12:44 Видео drwxr-xr-x 1 root root 64 ноя 13 12:44 Документы drwxr-xr-x 1 root root 0 ноя 13 12:44 Загрузки drwxr-xr-x 1 root root 0 ноя 13 12:44 Изображения drwxr-xr-x 1 root root 0 ноя 13 12:44 Музыка drwxr-xr-x 1 root root 0 ноя 13 13:18 Рабочий стол drwxr-xr-x 1 root root 0 ноя 13 12:44 Шаблоны |
Description
Vera Blagoveschenskaya 2023-12-27 13:00:39 MSKCreated attachment 15298 [details] вывод gpoa gpupdate-0.9.12.6-alt1.noarch gpui-0.2.34-alt1.x86_64 На контроллере домена создать файлы для проверки пользовательской политики: # echo 'Test file for user' > /var/lib/samba/sysvol/samba.testdomain/test_user_file.txt 1) Создать подразделение OU1 2) Клик на OU1 -> в контекстном меню подразделения выбрать пункт "Создать политику и связать с этим подразделением" 3) В GPUI включить поддержку экспериментальных групповых политик и дополнительные политики: 1. Компьютер -> Административные шаблоны -> Система ALT -> Групповые политики -> Экспериментальные групповые политики -> Включено 2. Компьютер -> Административные шаблоны -> Система ALT -> Групповые политики -> Механизмы GPUpdate: - Управление копированием файлов -> Включено - Управление копированием файлов для пользователей -> Включено (на всякий случай включила все пункты) 4) Открыть раздел Пользователь - Настройки - Настройки системы - ПКМ на пустом поле справа - Новый - Файлы Настроить файл: - Действие: Создать - Источник файла: \\SAMBA.TESTDOMAIN\sysvol\samba.testdomain\test_user_file.txt - Место назначения: %DesktopDir%\TestUser\test_user_file.txt - Нажать OK 5) Создать пользователя user2 и добавить его в OU1. Я добавляла с помощью admc. 6) Применить групповые политики и выполнить перезагрузку клиента. # gpoa user2 --loglevel 0 # reboot 7) Войти в систему _новым пользователем_ user2. Результат: вход в систему user2 НЕ выполняется, осуществляется возврат на экран входа. Ожидаемый результат: успешный вход в систему и применение политики Дополнительно: 1) Не воспроизводится, если на шаге 6 не выполнять команду gpoa user2 --loglevel 0, а сразу выполнить перезагрузку, тогда вход успешный. 2) Не смогла воспроизвести с другой пользовательской политикой (пробовала создание папки). Также привожу содержимое Files.xml: # cat /var/lib/samba/sysvol/samba.testdomain/Policies/\{1E911231-14FE-4E39-8831-CF7FC2CEBD44\}/User/Preferences/Files/Files.xml <?xml version="1.0" encoding="UTF-8" standalone="no" ?> <Files clsid="{215B2E53-57CE-475c-80FE-9EEC14635851}"> <File bypassErrors="0" changed="2023-12-27 12:44:13" clsid="{50BE44C8-567A-4ed1-B1D0-9234FE1F38AF}" desc="" image="0" name="test_user_file.txt" removePolicy="0" status="" uid="{df9b383f-7ed9-41c5-a235-86d86f58f970}" userContext="1"> <Properties action="C" archive="0" executable="0" fromPath="\\SAMBA.TESTDOMAIN\sysvol\samba.testdomain\test_user_file.txt" hidden="0" readOnly="0" targetPath="%DesktopDir%\TestUser\test_user_file.txt"/> </File> </Files>