Bug 50444

Summary:	Не нужная зависимость от samba-dc-mitrkb5
Product:	Sisyphus	Reporter:	Evgeny Sinelnikov <sin>
Component:	freeipa-server-trust-ad	Assignee:	Stanislav Levin <slev>
Status:	NEW ---	QA Contact:	qa-sisyphus
Severity:	normal
Priority:	P5	CC:	sem, sin, slev
Version:	unstable
Hardware:	x86_64
OS:	Linux

Description Evgeny Sinelnikov 2024-05-24 18:31:25 MSK

Зависимости пакета freeipa-server-trust-ad от samba-dc-mitrkb5 выглядит избыточной и приводит к коллизиям.

Поскольку freeipa не поднимает контроллер домена на базе samba, для работоспособности функционала freeipa-server-trust-ad достаточно пакета samba.

Явная же зависимость от пакетов samba-dc* добавляет лишние сервисы контроллера домена на базе samba.

Comment 1 Stanislav Levin 2024-05-28 12:36:35 MSK

https://git.altlinux.org/gears/f/freeipa.git?p=freeipa.git;a=commitdiff;h=a5bff0def09f2cbe976d0c0289353167f6cf87c5

Comment 2 Stanislav Levin 2024-05-28 12:49:43 MSK

Примеры того, как используется Samba во FreeIPA:

https://freeipa.readthedocs.io/en/latest/designs/adtrust/oneway-trust-with-shared-secret.html
https://freeipa.readthedocs.io/en/latest/designs/adtrust/samba-domain-controller.html

Comment 3 Evgeny Sinelnikov 2024-10-29 18:59:36 MSK

Чисто технически, samba-dc-mitkrb5 не содержит ничего, что требуется для freeipa-server-trust-ad.

Проверено на c9f2 при тестировании samba-4.16.11 и freeipa-4.8 (с патчами от 4.9 для поддержки новой samba, версии выше 4.14) двумя способами:
1) явное удаление пакетов samba-dc-* с параметром --nodeps
2) в сборке, где samba-dc-mitkrb5 (и samba на MIT Kerberos), вообще собрана без поддержки AD.

В обоих случаях построить трасты удалось.

То есть проблему странной зависимости от samba-dc-mitkrb5 приводящей к ошибке поиска в smbd плагина ipasam ("No builtin nor plugin backend for ipasam found") точно можно обойти.

Нужно пробовать на новых релизах samba и freeipa.