ALT Linux Bugzilla – #43852

p10, freeipa-server-4.9.14-alt0.p10.3 - ошибка актуальна

> Дополнительно: не работает вход доменным пользователем FreeIPA в машину,
> введённую в домен Windows AD (пишет "Недостаточно системных ресурсов для
> завершения операции", см. прикрепленный скриншот). При этом если задать
> доменному пользователю FreeIPA пароль со сменой пароля при следующем входе,
> то окно смена пароля на Windows вызывается и корректно работает (пароль
> действительно меняется, проверял на клиентах ALT Linux, но дальше такая же
> ошибка, как в скриншоте). Соответственно, на клиентах ALT Linux не
> монтируется общая папка через CIFS:
> 
> 	# mount -v -t cifs -o user=aduser //<WINDOWS_AD_DC_IP>/share /mnt/adshare

https://docs.redhat.com/en/documentation/red_hat_enterprise_linux/9/html/planning_identity_management/planning-a-cross-forest-trust-between-idm-and-ad_planning-identity-management#one-way-trusts-and-two-way-trusts_planning-a-cross-forest-trust-between-idm-and-ad

In two way trusts, IdM users can authenticate to AD, and AD users can authenticate to IdM. AD users can authenticate to and access resources in the IdM domain as in the one way trust case. IdM users can authenticate but cannot access most of the resources in AD. They can only access those Kerberized services in AD forests that do not require any access control check.

To be able to grant access to the AD resources, IdM needs to implement the Global Catalog service. This service does not yet exist in the current version of the IdM server.

> сообщение в Win7
> 
> Версия
> ======
> 
> Обнаружено в версии freeipa-server-4.9.10-alt0.p10.1
> 
> Дистрибутивы
> ============
> 
> * p10-server-10-x86-64
> 
> Шаги воспроизведения
> ====================
> 
> 1. Развернуть FreeIPA-сервер (домен: freeipa.testdomain), FreeIPA-реплику,
> ввести клиентов на без ALT Linux (например, p10-workstation) в домен.
> 2. Развернуть Windows AD (домен: tradex.tradtest), ввести клиент на Windows
> 7.
> 3. Настроить forwarder между контроллером домена FreeIPA и контроллером
> домена Windows AD:
> 
> 	PS> dnscmd 127.0.0.1 /ZoneAdd freeipa.testdomain /Forwarder <FREEIPA_DC_IP>
> 
> 	# ipa dnsforwardzone-add tradex.tradtest --forwarder=<WINDOWS_AD_DC_IP>
> --forward-policy=only
> 
> 4. Выполнить установку доверия:
> 
> 	# kinit admin && ipa trust-add --type=ad tradex.tradtest --admin Admin
> --password --two-way=true
> 
> 5. Запросить сервер AD о его доверенных доменах:
> 
> 	# ipa trust-fetch-domains tradex.tradtest
> 
> 	# ipa trustdomain-find tradex.tradtest
> 
> 6. Запросить service ticket для сервиса из IPA домена:
> 
> 	# kvno -S host $(hostname)
> 
> 7. Запросить service ticket сервиса из AD домена:
> 
> 	# kvno -S cifs addc.tradex.tradtest
> 
> Ожидаемый результат: получение сервисного тикета. Пример:
> 
> 	cifs/addc.tradex.tradtest@: kvno = 3
> 
> Фактический результат: сообщение об ошибке
> 
> 	kvno: Generic error (see e-text) while getting credentials for
> cifs/addc.tradex.tradtest@
> 

Пожалуйста, проверьте по этой инструкции:
https://docs.redhat.com/en/documentation/red_hat_enterprise_linux/9/html-single/installing_trust_between_idm_and_ad/index#verifying-the-kerberos-configuration_setting-up-a-trust

Created attachment 17707 [details]
KRB5_TRACE

https://issues.redhat.com/browse/RHEL-4910 - очень похоже на такую же ошибку.   

Прикрепляю файлом вывод команды #  KRB5_TRACE=/dev/stderr kvno -S cifs addc.tradex.tradtest.

(In reply to Aleksandr Sysoev from comment #4)
> Created attachment 17707 [details]
> KRB5_TRACE
> 
> https://issues.redhat.com/browse/RHEL-4910 - очень похоже на такую же
> ошибку.   
> 
> Прикрепляю файлом вывод команды #  KRB5_TRACE=/dev/stderr kvno -S cifs
> addc.tradex.tradtest.

Чтобы подтвердить, пожалуйста, прикрепите, krb5kdc.log.

Ошибка с запросом service ticket сервиса из AD домена не воспроизвелась. 

Полагаю, что дело было в том, что перед запросом сервисного тикета не получали билет из AD. То есть, перед запросом сервисного тикета выполнил:
# kinit admin@tradex.tradtest

После чего запрос сервисных тикетов успешно выполняется:
# kvno -S cifs addc.tradex.tradtest
cifs/addc.tradex.tradtest@TRADEX.TRADTEST: kvno = 3
# kvno -S  host addc.tradex.tradtest
host/addc.tradex.tradtest@TRADEX.TRADTEST: kvno = 3

# klist
Ticket cache: KEYRING:persistent:0:krb_ccache_yyKGExa
Default principal: admin@TRADEX.TRADTEST

Valid starting       Expires              Service principal
10.02.2025 17:18:04  11.02.2025 03:12:09  host/addc.tradex.tradtest@TRADEX.TRADTEST
        renew until 11.02.2025 17:12:06
10.02.2025 17:12:11  11.02.2025 03:12:09  cifs/addc.tradex.tradtest@TRADEX.TRADTEST
        renew until 11.02.2025 17:12:06
10.02.2025 17:12:09  11.02.2025 03:12:09  krbtgt/TRADEX.TRADTEST@TRADEX.TRADTEST
        renew until 11.02.2025 17:12:06


Однако ошибка со входом доменным пользователем FreeIPA в машину, введённую в домен Windows AD осталась. Если в комментарии 2 (https://bugzilla.altlinux.org/show_bug.cgi?id=43852#c2) имелось ввиду, что это поведение ожидаемо, то ошибку можно закрывать.

(In reply to Aleksandr Sysoev from comment #6)
> Ошибка с запросом service ticket сервиса из AD домена не воспроизвелась. 
> 
> Полагаю, что дело было в том, что перед запросом сервисного тикета не
> получали билет из AD. То есть, перед запросом сервисного тикета выполнил:
> # kinit admin@tradex.tradtest
> 
> После чего запрос сервисных тикетов успешно выполняется:
> # kvno -S cifs addc.tradex.tradtest
> cifs/addc.tradex.tradtest@TRADEX.TRADTEST: kvno = 3
> # kvno -S  host addc.tradex.tradtest
> host/addc.tradex.tradtest@TRADEX.TRADTEST: kvno = 3
> 
> # klist
> Ticket cache: KEYRING:persistent:0:krb_ccache_yyKGExa
> Default principal: admin@TRADEX.TRADTEST
> 
> Valid starting       Expires              Service principal
> 10.02.2025 17:18:04  11.02.2025 03:12:09 
> host/addc.tradex.tradtest@TRADEX.TRADTEST
>         renew until 11.02.2025 17:12:06
> 10.02.2025 17:12:11  11.02.2025 03:12:09 
> cifs/addc.tradex.tradtest@TRADEX.TRADTEST
>         renew until 11.02.2025 17:12:06
> 10.02.2025 17:12:09  11.02.2025 03:12:09 
> krbtgt/TRADEX.TRADTEST@TRADEX.TRADTEST
>         renew until 11.02.2025 17:12:06

Вы описали получение билета для пользователя AD и получение этим пользователем билета для сервиса из AD.

До этого был другой сценарий (он же описан в https://issues.redhat.com/browse/RHEL-4910):
получение билета для пользователя Idm(FreeIPA) и получение этим пользователем билета для сервиса из AD.

В документации приведен третий случай.
https://docs.redhat.com/en/documentation/red_hat_enterprise_linux/9/html-single/installing_trust_between_idm_and_ad/index#verifying-the-kerberos-configuration_setting-up-a-trust
получение билета для пользователя AD и получение этим пользователем билета для сервиса из Idm(FreeIPA).

> 
> Однако ошибка со входом доменным пользователем FreeIPA в машину, введённую в
> домен Windows AD осталась. Если в комментарии 2
> (https://bugzilla.altlinux.org/show_bug.cgi?id=43852#c2) имелось ввиду, что
> это поведение ожидаемо, то ошибку можно закрывать.

Это поведение ожидаемо.

Сейчас поведение в p11, p11+387440.10, sisyphus следующее:


(1):

> До этого был другой сценарий (он же описан в https://issues.redhat.com/browse/RHEL-4910):
> получение билета для пользователя Idm(FreeIPA)
> и получение этим пользователем билета для сервиса из AD.

Работает, но cross-domain krbtgt нет, вместо него, судя по времени, появляется krbtgt/AD.TESTD@AD.TESTD:

> [root@dc ~]# kdestroy -A && kinit admin
> Password for admin@FREEIPA.TESTDOMAIN:

> [root@dc ~]# kvno -S cifs windc.ad.testd
> cifs/windc.ad.testd@AD.TESTD: kvno = 4

> [root@dc ~]# klist
> Ticket cache: KEYRING:persistent:0:0
> Default principal: admin@FREEIPA.TESTDOMAIN
>
> Valid starting       Expires              Service principal
> 28.08.2025 15:54:58  29.08.2025 01:54:58  cifs/windc.ad.testd@AD.TESTD
> 28.08.2025 15:54:58  29.08.2025 01:54:58  krbtgt/AD.TESTD@AD.TESTD
> 28.08.2025 15:54:50  29.08.2025 15:18:53  krbtgt/FREEIPA.TESTDOMAIN@FREEIPA.TESTDOMAIN

(Такой же результат, если запросить `host` вместо `cifs`.)


(2):

> В документации приведен третий случай.
> https://docs.redhat.com/en/documentation/red_hat_enterprise_linux/9/html-single/installing_trust_between_idm_and_ad/index#verifying-the-kerberos-configuration_setting-up-a-trust
> получение билета для пользователя AD
> и получение этим пользователем билета для сервиса из Idm(FreeIPA).

Работает, и cross-domain krbtgt/FREEIPA.TESTDOMAIN@AD.TESTD есть:

> [root@dc ~]# kdestroy -A && kinit Admin@ad.testd
> Password for Admin@ad.testd:

> [root@dc ~]# kvno -S host $(hostname)
> host/dc.freeipa.testdomain@FREEIPA.TESTDOMAIN: kvno = 2

> [root@dc ~]# klist
> Ticket cache: KEYRING:persistent:0:0
> Default principal: Admin@AD.TESTD
>
> Valid starting       Expires              Service principal
> 28.08.2025 15:55:19  29.08.2025 01:55:14  host/dc.freeipa.testdomain@FREEIPA.TESTDOMAIN
> 	renew until 29.08.2025 15:55:11
> 28.08.2025 15:55:18  29.08.2025 01:55:14  krbtgt/FREEIPA.TESTDOMAIN@AD.TESTD
> 	renew until 29.08.2025 15:55:11
> 28.08.2025 15:55:14  29.08.2025 01:55:14  krbtgt/AD.TESTD@AD.TESTD
> 	renew until 29.08.2025 15:55:11


Корректно ли (1)?

[sisyphus]
freeipa-server-4.12.4-alt4.x86_64
samba-4.21.7-alt4.x86_64
sssd-2.9.7-alt3.x86_64

[p11+387440.10]
freeipa-server-4.12.4-alt1.x86_64
samba-4.21.7-alt4.x86_64
sssd-2.9.7-alt3.x86_64

[p11]
freeipa-server-4.12.4-alt1.x86_64
samba-4.20.8-alt2.x86_64
sssd-2.9.7-alt1.x86_64