Bug 59308

Summary: Различие в определении существовании группы между getgrnam и useradd
Product: Sisyphus Reporter: Vladimir Romanov <rirusha>
Component: accountsserviceAssignee: Alexey Shabalin <shaba>
Status: CLOSED FIXED QA Contact: qa-sisyphus
Severity: normal    
Priority: P5 CC: dmitry, rirusha, shaba
Version: unstable   
Hardware: x86_64   
OS: Linux   

Description Vladimir Romanov 2026-05-23 21:10:41 MSK 
getgrnam находит группу во всех источниках, описанных в nsswitch.conf
useradd учитывает только /etc/group

Из-за этого проверка существования группы может работать некорректно (https://gitlab.freedesktop.org/accountsservice/accountsservice/-/blob/main/src/daemon.c?ref_type=heads#L1863)

В ALT Atomic мы перешли на смешанные passwd/group, используя altfiles в nsswitch.conf (пакет libnss-altfiles).

nsswitch в атомарке:

passwd:     files altfiles systemd
shadow:     tcb files systemd
group:      files [SUCCESS=merge] altfiles [SUCCESS=merge] systemd
gshadow:    files systemd


Это было сделано для большего контроля над системой со стороны поставщика образа, минимизации дрифта UID/GUID и иных проблем. Мы используем декларативный формат, который описывает какие пользователи в какие группы входит и `apm system image sync-group` копирует, сопровождает или удаляеи по необходимости записи в /etc/group (так как /usr/lib/group записи редактировать нельзя)

При использовании мастера первоначальной настройки (ready-set или gnome-initial-setup) AccountsService при попытке создать пользователя возвращает ошибку 6 от useradd, так как группы, в которые должен быть добавлен пользователь, не существуют в /etc/group (но существуют для getgtnam)
Comment 1 Vladimir Romanov 2026-05-23 21:16:09 MSK 
Также добавлю, что в Fedora Silverblue (и всех производных) тоже используется altfiles (но с ручных добавлением записей в /etc/group и с кучей suid'ов)

Там подобной проблемы нет, так как нет определения пользователей в спеке (понимаю, что не наш путь, просто для информации, "как у других работает") 
https://src.fedoraproject.org/rpms/accountsservice/blob/rawhide/f/accountsservice.spec#_60
Comment 2 Дмитрий 2026-05-23 21:37:20 MSK 
Добавлю от себя для усиления аргументации данного issue

Я считаю что формирование списка групп в которые входит пользователь обязательно должно управляться механизмом сборки/установщиком/первичной настройкой системы так как это свойство исключительно характеризуется набором пакетов собираемого дистрибутива, а не спеком одного пакета в репозитории даже не привязанного к брендингам

Вот примеры как mkimage-profiles управляет группами на своей стороне:
https://altlinux.space/mkimage-profiles/mkimage-profiles/src/branch/master/features.in/deflogin

https://altlinux.space/mkimage-profiles/mkimage-profiles/search/branch/master?path=&q=xgrp+audio+video+camera&mode=exact
Comment 3 Vladimir Romanov 2026-05-26 13:27:46 MSK 
Создал таск #419190:

- С обновлением accountsservice на свежую версию
- С портом на более понятную и удобную для тестов модель сопровождения
- С правками проблемы текущей баги, читая /etc/group напрямую без вызова getgrnam
Comment 4 Repository Robot 2026-05-28 00:30:14 MSK 
accountsservice-26.12.8-alt1 -> sisyphus:

Tue May 26 2026 Vladimir Romanov <rirusha@altlinux> 26.12.8-alt1
- 26.12.8 (closes: #58899)
- Fixed creating user with ReadySet in ALT Atomic (closes: #59308).
- Port package to more classic gear way.