ALT Linux Bugzilla – #60855

Исследовано с помощью Zed Agent (qwen3.8-27b).

**Симптом**

При установке freeipa-server-common (в составе установки freeipa-server на свежей
системе p11) в вывод apt-get попадают строки:

    ldb: unable to stat module /usr/lib64/samba/ldb : No such file or directory
    Could not open available domains

В рассматриваемой установке эти строки появляются 12 раз (24 строки), именно во
время выполнения %pre бинарного пакета freeipa-server-common.

**Причина**

1. Утилиты groupadd/useradd/usermod (пакет shadow-utils) после каждой операции с
   учётной записью автоматически запускают /usr/sbin/sss_cache для сброса кэша sssd
   (sssd_flush_cache(), shadow/lib/sssd.c). Вызов выполняется без перенаправления
   stderr (run_command(), fork/execve), поэтому вывод sss_cache попадает в терминал
   процесса установки.
2. На стадии большой транзакции установки sss_cache не может открыть
   конфигурационную базу sssd /var/lib/sss/db/config.ldb (LDB): каталог модулей LDB
   /usr/lib64/samba/ldb ещё не доступен, из-за чего sss_cache завершается с кодом 5
   и печатает в stderr обе приведённые строки (первая — из libldb, вторая — из sssd).
3. Сами операции с учётными записями завершаются успешно (rc=0); о неудаче сброса
   кэша сообщается только в системном журнале:

       useradd: sss_cache exited with status 5
       useradd: Failed to flush the sssd cache.
       (аналогично для groupadd и usermod)

В %pre-скриплете freeipa-server-common без перенаправления stderr выполняются
команды создания групп и пользователей kdcproxy и ipaapi (groupadd/useradd) и
команда

    usermod -a -G ipaapi apache2

В журнале в момент работы %pre зафиксировано 12 неудачных запусков sss_cache (4 — от
groupadd, 6 — от useradd, 2 — от usermod); ни одна команда не перенаправляет вывод,
поэтому в терминал попадают все 12 пар строк.

**Предлагаемое исправление**

Перенаправить stderr (или оба потока) у команд создания/изменения учётных записей в
%pre, напр.:

    groupadd ... > /dev/null 2>&1
    useradd ... > /dev/null 2>&1
    usermod -a -G ipaapi apache2 > /dev/null 2>&1

Для справки: тот же приём уже применяется в %pre-скриплетах четырёх пакетов, которые
ставятся в той же транзакции и также создают учётные записи, — `sssd`, `gssproxy`,
`webserver-common`, `apache2-base`. У них stderr команд создания учётных записей
перенаправлен, поэтому ошибки sss_cache в вывод установки не попадают.

**Состояние в Sisyphus**

Проблема отсутствует в Sisyphus: в freeipa 4.13.4-alt2 (коммит 3981d27)
пользователи kdcproxy и ipaapi в %pre больше не создаются. %pre server-core
(`.gear/freeipa.spec`, строки 795–800) лишь останавливает сервис ipa_kpasswd, а
%pre server-common (строки 802–803) содержит только комментарий о том, что
создание пользователей перенесено в %post server-core, где выполняется:

    %sysusers_create ipa.conf

(строка 773). systemd-sysusers создаёт учётные записи напрямую, не вызывая
groupadd/useradd/usermod из shadow-utils, поэтому sss_cache не запускается.
Проблема характерна только для p11 (freeipa 4.12.5-alt5); исправление требуется
только в p11. При переносе freeipa 4.13 в p11 проблема исчезнет сама.

**Влияние**

Косметическое: все учётные записи создаются успешно, на работоспособность системы
ошибки не влияют.

**Воспроизведение**

Свежая система p11 (проверено при установке из репозитория задания 435114):

    # apt-get install freeipa-server -y

В выводе установки появляются указанные строки (12 пар от %pre
freeipa-server-common; суммарно 16 пар — остальные дают %pre пакетов 389-ds-base и
dogtag-pki, см. соответствующие отчёты), в `journalctl` — записи
`sss_cache exited with status 5`.