Bug 56811

Created attachment 20045 [details]
Архив с логами трёх машин.

Конфигурация стенда:
Server 11 Платформы - Контроллер домена 
Workstation 11 Платформы - Управляющая машина(в домене), используется для редактирования ГП через gpui.
Workstation 11 Платформы - Клиент (в домене), перезагружается для проверки применения ГП.

Версии пакетов:
gpui-0.2.55-alt1
admx-msi-setup-0.1.1-alt1.noarch
admx-basealt-0.6.0-alt1.noarch
admx-yandex-browser-132.0-alt1.noarch
admx-firefox-7.0-alt1.noarch
admx-chromium-138.0-alt1.noarch
admx-samba-4.21.7-alt4.noarch
gpupdate-0.13.4-alt1.noarch
oddjob-gpupdate-0.2.3-alt1.x86_64
alterator-gpupdate-1.3-alt1.x86_64
samba-dc-client-4.21.7-alt4.x86_64
samba-dc-libs-4.21.7-alt4.x86_64
samba-usershares-4.21.7-alt4.x86_64
task-samba-dc-4.21.7-alt4.noarch
samba-libs-4.21.7-alt4.x86_64
samba-winbind-common-4.21.7-alt4.x86_64
samba-common-tools-4.21.7-alt4.x86_64
samba-dc-common-4.21.7-alt4.noarch
samba-common-libs-4.21.7-alt4.x86_64
samba-dc-4.21.7-alt4.x86_64
samba-winbind-4.21.7-alt4.x86_64
samba-doc-4.21.7-alt4.noarch
samba-pidl-4.21.7-alt4.noarch
samba-client-4.21.7-alt4.x86_64
python3-module-samba-4.21.7-alt4.x86_64
samba-winbind-clients-4.21.7-alt4.x86_64
samba-dcerpc-4.21.7-alt4.x86_64
samba-common-client-4.21.7-alt4.noarch
samba-4.21.7-alt4.x86_64
admx-samba-4.21.7-alt4.noarch
samba-common-4.21.7-alt4.noarch
i586-samba-common-libs-4.21.7-alt4.i586

Шаги воспроизведения:
На клиенте установить пакеты:
# apt-get install gpupdate gpui admc

На сервере установлены пакеты:
# apt-get install admx-samba admx-basealt admx-chromium admx-firefox admx-yandex-browser admx-msi-setup

Выполнить команду:
# admx-msi-setup

Скопировать установленные политики в sysvol:
# cp -r /usr/share/PolicyDefinitions /var/lib/samba/sysvol/<domain.name>/Policies/

На клиенте активировать групповые политики:
# gpupdate-setup enable

Примечание. Т.к. в настоящее время GPUI не умеет читать файлы ADMX с контроллера домена, на рабочей станции также необходимо установить административные шаблоны (пакеты admx):
# apt-get install admx-basealt admx-samba admx-chromium admx-firefox admx-yandex-browser admx-msi-setup

Установка файлов ADMX от Microsoft:
# admx-msi-setup

Для корректного применения групповых политик объект групповой политики (GPO) нужно связать с OU, в который входят машины или учетные записи пользователей

На клиенте (управляющей машине) выполнить:
$ kinit administrator
$ admc

ПКМ по Имя домена - создать Подразделение - ввести имя OU1 - ок
Переместить пользователя и компьютер в созданный OU1:
Имя домена - Computers - ПКМ по имени компьютера - выбрать созданный OU1 - ок
Аналогично поступить с созданным доменным пользователем в папке Users
Развернуть Объекты групповой политики - Имя домена - ПКМ по OU1 - Связать существующую политику - выбрать TestGPO1

1. На сервере получить UUID объекта групповой политики:
# samba-tool gpo listall | grep -B1 'TestGPO1' | head -1

2. На управляющей машине получить ключ Kerberos для администратора домена:
$ kinit administrator

3. Запустить приложение gpui-main с указанием объекта ГП:
$ gpui-main -p 'smb://dc.<domain.name>/sysvol/<domain.name>/Policies/{UUID}'

4. Включить какую-либо ГП, применить и перезагрузить клиента2, для проверки применения.

Проблема:
В неопределённый момент Групповые политики просто перестают применятся, как после ребута, так и при помощи команды:
# gpupdate && gpoa --loglevel 0

Обнаруженный обходной путь(единственный обнаруженный):
Если на управляющей машине перезапустить gpui, то групповые политики снова начинают применяться(При этом в gpui установленные ранее значения сохраняются)

Предположение(после анализа логов):
gpui блокирует доступ к каталогам /var/lib/gpupdate/ или /etc/admx/,
что приводит к зависанию gpupdate при попытке обновить политики.
После завершения gpui блокировка снимается.

Доп.Информация:
При выборе значения ГП и применении содержание Registry.pol - КОРРЕКТНО МЕНЯЕТСЯ, но так и не применятся(в момент воспроизведения ошибки).
Воспроизводится не только на Server и Workstation.
Воспроизводится со всеми ГП.
Прикладываю архив с логами(со всех трёх машин), на всех трёх машинах в течении дня проверялись групповые политики и за весь день ошибка воспроизвелась около 10 раз.
В такие моменты изменял какую-либо ГП безопасности, перезагружал клиента, и если значение не менялось(т.е. ГП не применилась) - то пезапускал gpui и продолжал проверку дальше.