ALT Linux Bugzilla – #35453

Начальные условия

а) AD домен (для определенности FOO.EXAMPLE) с единственным контроллером на samba 4.8.5,
б) клиенсткая машина с ALT (sisyphus или p8), для определенности ее имя cl3


Действия

На клиентской машине 

1) установливаем необходимые пакеты:

   sudo apt-get install -y task-auth-ad-sssd

2) создаем /etc/krb5.conf вида

   [libdefaults]
   dns_lookup_kdc = true
   dns_lookup_realm = false
   rdns = false
   default_realm = FOO.EXAMPLE
   ticket_lifetime = 24h
   renew_lifetime = 7d
   forwardable = true
   default_ccache_name = KEYRING:persistent:%{uid}

3) создаем /etc/resolv.conf такого вида

   domain foo.example
   nameserver ${DC_IP}

   где ${DC_IP} -- IPv4 адрес контроллера домена

4) создаем /etc/samba/smb.conf такого содержания

   [global]
      security = ads
      realm = FOO.EXAMPLE
      workgroup = FOO
      netbios name = CL3
      kerberos method = system keytab
      wins support = no
      template shell = /bin/bash
      idmap config * : range = 10000-20000000
      idmap config * : backend = tdb

5) задаем имя хоста

   sudo hostname cl3.foo.example

6) выполняем команду

   sudo system-auth write ad FOO.EXAMPLE cl3 FOO administrator $ADMIN_PASSWD

   где $ADMIN_PASSWD -- пароль администратора домена



Ожидаемый результат:

(кроме всего прочего) в DNS добавляется A запись для клиентской машины


Наблюдаемый результат:

# host cl3.foo.example
Host cl3.doo.example not found: 3(NXDOMAIN)

При этом nss и kerberos аутентификация работает:

# getent passwd administrator
administrator:*:597600500:597600513:Administrator:/home/FOO.EXAMPLE/administrator:/bin/bash



Предполагаемая причина

Точнее, их две

1) system-auth игнорирует ошибки `net ads join` (см. [1]):

   $net_cmd ads join -U"$user%$password" | grep -v '^Using short domain name'

   shell вернет код выхода grep, а не net

2) следующий за этим фрагмент кода (см. [2]) заведомо неработоспособен:

   if [ -n "$host_name" ]; then
           $net_cmd ads dns register -U"$user%$password" "$FQDN"
   fi

   Переменная FQDN не определена в текущей функции. Она определена в функции set_hostname как local, см. [3]



[1] http://git.altlinux.org/gears/a/alterator-auth.git?p=alterator-auth.git;a=blob;f=alterator-auth/sbin/system-auth;h=d0f2a068a7a80effcee6c22190f03e83b4f57f73;hb=8c9920918c2f4617cbe1e208850b5af586fb0da0#l516

[2] http://git.altlinux.org/gears/a/alterator-auth.git?p=alterator-auth.git;a=blob;f=alterator-auth/sbin/system-auth;h=d0f2a068a7a80effcee6c22190f03e83b4f57f73;hb=8c9920918c2f4617cbe1e208850b5af586fb0da0#l523

[3] http://git.altlinux.org/gears/a/alterator-auth.git?p=alterator-auth.git;a=blob;f=alterator-auth/sbin/system-auth;h=d0f2a068a7a80effcee6c22190f03e83b4f57f73;hb=8c9920918c2f4617cbe1e208850b5af586fb0da0#l454


Проверка гипотезы

# net ads leave -Uadministrator%t0psecret
# hostname
cl3.foo.example

# net ads join -Uadministrator%t0psecret
Enter administrator's password:
ldb: unable to stat module /usr/lib64/samba/ldb : No such file or directory
Using short domain name -- FOO
Joined 'CL3' to dns domain 'foo.example'
DNS Update for cl3.foo.example failed: ERROR_DNS_UPDATE_FAILED
DNS update failed: NT_STATUS_UNSUCCESSFUL

# echo $?
0

(ага, NT_STATUS_UNSUCCESSFUL, но exit 0)

Заметим, что в выхлопе `net ads join` кроме строки 'Using short domain name' есть еще что-то, поэтому grep -q '^Using short domain name' вернет 0, и далее выполнится

net ads dns register -Uadministrator%t0psecret ""

которая завершится с ошибкой 

No DNS domain configured for . Unable to perform DNS Update.
DNS update failed!

(которую успешно проигнорирует system-auth)