Re: [sisyphus] alteterator-openldap

Re: [sisyphus] alteterator-openldap

[Leonid Krivoshein]

08.08.2018 09:11, Шенцев Алексей пишет:
>> 07.08.2018 13:01, Шенцев Алексей пишет:
>>> Имеется ALT 8.2 Server.
>>> Т.е. у схемы нет названия.
>>> В чём косяк?
> Служба каталогов LDAP -> управление схемами -> выберите файл -> <выбор 
> файла схемы> -> добавить.
> И получаю то, что привел ранее.
>

Сизиф или p8? А там рядышком поле "Новое название схемы" не пробовали 
заполнять? Просто сейчас глянул, там вроде такая логика -- имя должно 
приходить из этого поля ввода.


-- 
Best regards,
Leonid Krivoshein.

Re: [sisyphus] alteterator-openldap

[Шенцев Алексей]

08.08.2018 11:08, Leonid Krivoshein пишет:
>
> 08.08.2018 09:11, Шенцев Алексей пишет:
>>> 07.08.2018 13:01, Шенцев Алексей пишет:
>>>> Имеется ALT 8.2 Server.
>>>> Т.е. у схемы нет названия.
>>>> В чём косяк?
>> Служба каталогов LDAP -> управление схемами -> выберите файл -> 
>> <выбор файла схемы> -> добавить.
>> И получаю то, что привел ранее.
>>
>
> Сизиф или p8?

p8.

> А там рядышком поле "Новое название схемы" не пробовали заполнять? 

А слона то я и не заметил ... :(

> Просто сейчас глянул, там вроде такая логика -- имя должно приходить 
> из этого поля ввода.

Может сделать блокировку, что бы схема не подгружалась без заполнения её 
наименования?

А то найдётся ещё такой же не внимательный как я ... :/

-- 
С уважением, сделать блокировку
Шенцев Алексей

Re: [sisyphus] alteterator-openldap

[manowar]

Среда, 8 августа 2018 г получено от Leonid Krivoshein:
> 
> Сизиф или p8? А там рядышком поле "Новое название схемы" не пробовали 
> заполнять? Просто сейчас глянул, там вроде такая логика -- имя должно 
> приходить из этого поля ввода.

Тогда, по-хорошему, его нужно сделать обязательным для ввода.

Re: [sisyphus] alteterator-openldap

[Leonid Krivoshein]

08.08.2018 12:04, Шенцев Алексей пишет:
>
>> А там рядышком поле "Новое название схемы" не пробовали заполнять? 
>
> А слона то я и не заметил ... :(
>
>> Просто сейчас глянул, там вроде такая логика -- имя должно приходить 
>> из этого поля ввода.
>
> Может сделать блокировку, что бы схема не подгружалась без заполнения 
> её наименования?
>
> А то найдётся ещё такой же не внимательный как я ... :/
>

Внимательность тут не причём. Этой формы я давно не видел, просто в код 
заглянул. Если действительно такая логика, это неправильно, но в бэкэнде 
поправить легко -- сделать дефолт перед 179 строкой:

http://git.altlinux.org/gears/a/alterator-openldap.git?p=alterator-openldap.git;a=blob;f=alterator-openldap/backend3/openldap;h=2a925485b997106036a893b2bd9a5830e51cebe0;hb=814b080a60dcc7d90119f0672fa41664a6622e67#l179


-- 
Best regards,
Leonid Krivoshein.

Re: [sisyphus] alteterator-openldap

[Шенцев Алексей]

08.08.2018 12:34, Leonid Krivoshein пишет:
>
> 08.08.2018 12:04, Шенцев Алексей пишет:
>>
>>> А там рядышком поле "Новое название схемы" не пробовали заполнять? 
>>
>> А слона то я и не заметил ... :(
>>
>>> Просто сейчас глянул, там вроде такая логика -- имя должно приходить 
>>> из этого поля ввода.
>>
>> Может сделать блокировку, что бы схема не подгружалась без заполнения 
>> её наименования?
>>
>> А то найдётся ещё такой же не внимательный как я ... :/
>>
>
> Внимательность тут не причём. Этой формы я давно не видел, просто в 
> код заглянул. Если действительно такая логика, это неправильно, но в 
> бэкэнде поправить легко -- сделать дефолт перед 179 строкой:
>
> http://git.altlinux.org/gears/a/alterator-openldap.git?p=alterator-openldap.git;a=blob;f=alterator-openldap/backend3/openldap;h=2a925485b997106036a893b2bd9a5830e51cebe0;hb=814b080a60dcc7d90119f0672fa41664a6622e67#l179 
>
>
>
Тогда, как рядом предложил manowar@, сделать это поле обязательным.

Багу вешать?

-- 
С уважением,
Шенцев Алексей

Re: [sisyphus] alteterator-openldap

[Paul Wolneykien]

08.08.2018 14:05, Шенцев Алексей пишет:
> 08.08.2018 12:34, Leonid Krivoshein пишет:
>>
>> 08.08.2018 12:04, Шенцев Алексей пишет:
>>>
>>>> А там рядышком поле "Новое название схемы" не пробовали заполнять? 
>>>
>>> А слона то я и не заметил ... :(
>>>
>>>> Просто сейчас глянул, там вроде такая логика -- имя должно приходить
>>>> из этого поля ввода.
>>>
>>> Может сделать блокировку, что бы схема не подгружалась без заполнения
>>> её наименования?
>>>
>>> А то найдётся ещё такой же не внимательный как я ... :/
>>>
>>
>> Внимательность тут не причём. Этой формы я давно не видел, просто в
>> код заглянул. Если действительно такая логика, это неправильно, но в
>> бэкэнде поправить легко -- сделать дефолт перед 179 строкой:
>>
>> http://git.altlinux.org/gears/a/alterator-openldap.git?p=alterator-openldap.git;a=blob;f=alterator-openldap/backend3/openldap;h=2a925485b997106036a893b2bd9a5830e51cebe0;hb=814b080a60dcc7d90119f0672fa41664a6622e67#l179
>>
>>
>>
> Тогда, как рядом предложил manowar@, сделать это поле обязательным.
> 
> Багу вешать?
> 

  Давай. В ней и решим окончательно, как делаем. В принципе,
обязательность заполнения поля не противоречит наличию значения по
умолчанию. С той лишь разницей, что значение по умолчанию можно
заполнять непосредственно в UI, а ошибку выводить тогда, когда
пользователь это ограничение попытался обойти --- удалил значение из
поля и отправил форму на обработку.

Re: [sisyphus] alteterator-openldap

[Шенцев Алексей]

08.08.2018 14:08, Paul Wolneykien пишет:
> 08.08.2018 14:05, Шенцев Алексей пишет:
>> 08.08.2018 12:34, Leonid Krivoshein пишет:
>>> 08.08.2018 12:04, Шенцев Алексей пишет:
>>>>> А там рядышком поле "Новое название схемы" не пробовали заполнять?
>>>> А слона то я и не заметил ... :(
>>>>
>>>>> Просто сейчас глянул, там вроде такая логика -- имя должно приходить
>>>>> из этого поля ввода.
>>>> Может сделать блокировку, что бы схема не подгружалась без заполнения
>>>> её наименования?
>>>>
>>>> А то найдётся ещё такой же не внимательный как я ... :/
>>>>
>>> Внимательность тут не причём. Этой формы я давно не видел, просто в
>>> код заглянул. Если действительно такая логика, это неправильно, но в
>>> бэкэнде поправить легко -- сделать дефолт перед 179 строкой:
>>>
>>> http://git.altlinux.org/gears/a/alterator-openldap.git?p=alterator-openldap.git;a=blob;f=alterator-openldap/backend3/openldap;h=2a925485b997106036a893b2bd9a5830e51cebe0;hb=814b080a60dcc7d90119f0672fa41664a6622e67#l179
>>>
>>>
>>>
>> Тогда, как рядом предложил manowar@, сделать это поле обязательным.
>>
>> Багу вешать?
>>
>    Давай. В ней и решим окончательно, как делаем. В принципе,
> обязательность заполнения поля не противоречит наличию значения по
> умолчанию. С той лишь разницей, что значение по умолчанию можно
> заполнять непосредственно в UI, а ошибку выводить тогда, когда
> пользователь это ограничение попытался обойти --- удалил значение из
> поля и отправил форму на обработку.

https://bugzilla.altlinux.org/show_bug.cgi?id=35236

Надеюсь достаточно подробно описал что к чему.

-- 
С уважением,
Шенцев Алексей

Re: [sisyphus] alteterator-openldap

[Leonid Krivoshein]

08.08.2018 14:41, Шенцев Алексей пишет:
>
> https://bugzilla.altlinux.org/show_bug.cgi?id=35236
>
> Надеюсь достаточно подробно описал что к чему.
>

Спасибо!!!

А можете проверить, исправляет задание проблему и не вносит регрессий?

apt-repo test 211195


-- 
Best regards,
Leonid Krivoshein.

Re: [sisyphus] alteterator-openldap & samba & ALT Domain & ALT 8.2 Server

[Шенцев Алексей]

Раз уж речь пошла про alteterator-openldap, то такой момент:

при смене rootpwd у ldaproot'а, samba не стартует с такой руганью:

systemctl status smb
● smb.service - Samba SMB Daemon
    Loaded: loaded (/lib/systemd/system/smb.service; enabled; vendor 
preset: disabled)
    Active: failed (Result: exit-code) since Thu 2018-08-09 07:06:45 
MSK; 6min ago
   Process: 14021 ExecStart=/usr/sbin/smbd $SMBDOPTIONS (code=exited, 
status=0/SUCCESS)
  Main PID: 14023 (code=exited, status=1/FAILURE)
    Status: "Starting process..."

авг 09 07:06:29 dc.profpab.com systemd[1]: Started Samba SMB Daemon.
авг 09 07:06:29 dc.profpab.com smbd[14023]: [2018/08/09 
07:06:29.194225,  0] ../source3/lib/smbldap.c:998(smbldap_connect_system)
авг 09 07:06:29 dc.profpab.com smbd[14023]:   failed to bind to server 
ldap://127.0.0.1/ with dn="cn=ldaproot,dc=profpab,dc=com" Error
авг 09 07:06:29 dc.profpab.com smbd[14023]:           (unknown)
авг 09 07:06:45 dc.profpab.com smbd[14023]: [2018/08/09 
07:06:45.281715,  0] 
../source3/passdb/pdb_ldap.c:6540(pdb_ldapsam_init_common
авг 09 07:06:45 dc.profpab.com smbd[14023]:   pdb_init_ldapsam: WARNING: 
Could not get domain info, nor add one to the domain. We cann
авг 09 07:06:45 dc.profpab.com smbd[14023]: [2018/08/09 
07:06:45.281959,  0] 
../source3/passdb/pdb_interface.c:180(make_pdb_method_nam
авг 09 07:06:45 dc.profpab.com smbd[14023]:   pdb backend 
ldapsam:ldap://127.0.0.1/ did not correctly init (error was NT_STATUS_CANT_A
авг 09 07:06:45 dc.profpab.com systemd[1]: smb.service: Main process 
exited, code=exited, status=1/FAILURE
авг 09 07:06:45 dc.profpab.com systemd[1]: smb.service: Failed with 
result 'exit-code'.


Вопрос: куда смотреть / что править / что  чинить?

-- 
С уважением,
Шенцев Алексей

Re: [sisyphus] alteterator-openldap & samba & ALT Domain & ALT 8.2 Server

[Leonid Krivoshein]

09.08.2018 10:15, Шенцев Алексей пишет:
> Раз уж речь пошла про alteterator-openldap, то такой момент:
>
> при смене rootpwd у ldaproot'а, samba не стартует с такой руганью:
>
> [...]
>
> Вопрос: куда смотреть / что править / что  чинить?
>

Очевидно, возвращать старый пароль. Морда alterator-openldap нужна для 
управления openldap и только, но не самбой. Если нужно управлять и 
самбой, и openldap, и kerberos, это уже другая морда (ALD).


-- 
Best regards,
Leonid Krivoshein.

Re: [sisyphus] alteterator-openldap & samba & ALT Domain & ALT 8.2 Server

[Шенцев Алексей]

09.08.2018 12:28, Leonid Krivoshein пишет:
>
> 09.08.2018 10:15, Шенцев Алексей пишет:
>> Раз уж речь пошла про alteterator-openldap, то такой момент:
>>
>> при смене rootpwd у ldaproot'а, samba не стартует с такой руганью:
>>
>> [...]
>>
>> Вопрос: куда смотреть / что править / что  чинить?
>>
>
> Очевидно, возвращать старый пароль. 

Не вариант, p8 ALT 8.2 Server, при установке пароль проглядели ... :(

> Морда alterator-openldap нужна для управления openldap и только, но не 
> самбой. Если нужно управлять и самбой, и openldap, и kerberos, это уже 
> другая морда (ALD).
>
Вот сижу и смотрю на морду ALD: и хде там сменить пароль?

Всё таки, где/что править, куда/что смотреть ( какие логи копать ???)    
???????

-- 
С уважением,
Шенцев Алексей

Re: [sisyphus] alteterator-openldap & samba & ALT Domain & ALT 8.2 Server

[Leonid Krivoshein]

09.08.2018 14:44, Шенцев Алексей пишет:
> 09.08.2018 12:28, Leonid Krivoshein пишет:
>>
>> 09.08.2018 10:15, Шенцев Алексей пишет:
>>> Раз уж речь пошла про alteterator-openldap, то такой момент:
>>>
>>> при смене rootpwd у ldaproot'а, samba не стартует с такой руганью:
>>>
>>> [...]
>>>
>>> Вопрос: куда смотреть / что править / что  чинить?
>>>
>>
>> Очевидно, возвращать старый пароль. 
>
> Не вариант, p8 ALT 8.2 Server, при установке пароль проглядели ... :(
>

Пароль ldaproot записывается в конфиг простым текстом либо шифруется.

grep rootpw /etc/openldap/slapd.conf

Или в конфиг БД смотрите. Если начинается с {*}, значит труба^W ставить 
новый пароль.


>> Морда alterator-openldap нужна для управления openldap и только, но 
>> не самбой. Если нужно управлять и самбой, и openldap, и kerberos, это 
>> уже другая морда (ALD).
>>
> Вот сижу и смотрю на морду ALD: и хде там сменить пароль?
>
> Всё таки, где/что править, куда/что смотреть ( какие логи копать 
> ???)    ???????
>

Не, пароль меняется прямо в конфиге openldap. Только самбе его потом 
тоже надо сообщить. Вообще, лучше не так:

rootpw secret

а так:

# slappasswd -h {SSHA}

rootpw <вывод предыдущей команды>

Это то, что надо будет вставить в конфиг. Хотя не помню, поддерживает ли 
ALD шифрованные пароли. Надо смотреть. Самбовский меняется через 
smbpasswd <username>, возможно даже, временно отключив интеграцию с 
openldap в smb.conf. Боюсь, в ALD ещё и Kerberos должен лезть в LDAP. У 
всех свои конфиги и в них прописано, каким пользователем они лезут в 
LDAP. На память уже не помню. Обычно это и есть ldap rootdn, что не есть 
гуд. Но так сделано "из коробки". IMHO, домен проще по новой развернуть, 
если данных ещё нет.


-- 
Best regards,
Leonid Krivoshein.

Re: [sisyphus] alteterator-openldap & samba & ALT Domain & ALT 8.2 Server

[Шенцев Алексей]

10.08.2018 01:28, Leonid Krivoshein пишет:
>
> 09.08.2018 14:44, Шенцев Алексей пишет:
>> 09.08.2018 12:28, Leonid Krivoshein пишет:
>>>
>>> 09.08.2018 10:15, Шенцев Алексей пишет:
>>>> Раз уж речь пошла про alteterator-openldap, то такой момент:
>>>>
>>>> при смене rootpwd у ldaproot'а, samba не стартует с такой руганью:
>>>>
>>>> [...]
>>>>
>>>> Вопрос: куда смотреть / что править / что  чинить?
>>>>
>>>
>>> Очевидно, возвращать старый пароль. 
>>
>> Не вариант, p8 ALT 8.2 Server, при установке пароль проглядели ... :(
>>
>
> Пароль ldaproot записывается в конфиг простым текстом либо шифруется.
>
> grep rootpw /etc/openldap/slapd.conf

Не, в p8 ALT 8.2 Server он пишется в другом файле:

/etc/openldap/slapd-<_DOMAINNAME_>.conf


>
> Или в конфиг БД смотрите. Если начинается с {*}, значит труба^W 
> ставить новый пароль.
>
>
>>> Морда alterator-openldap нужна для управления openldap и только, но 
>>> не самбой. Если нужно управлять и самбой, и openldap, и kerberos, 
>>> это уже другая морда (ALD).
>>>
>> Вот сижу и смотрю на морду ALD: и хде там сменить пароль?
>>
>> Всё таки, где/что править, куда/что смотреть ( какие логи копать 
>> ???)    ???????
>>
>
> Не, пароль меняется прямо в конфиге openldap. Только самбе его потом 
> тоже надо сообщить. Вообще, лучше не так:
>
> rootpw secret
>
> а так:
>
> # slappasswd -h {SSHA}
>
> rootpw <вывод предыдущей команды>
>
> Это то, что надо будет вставить в конфиг. Хотя не помню, поддерживает 
> ли ALD шифрованные пароли. Надо смотреть. Самбовский меняется через 
> smbpasswd <username>, возможно даже, временно отключив интеграцию с 
> openldap в smb.conf. Боюсь, в ALD ещё и Kerberos должен лезть в LDAP. 
> У всех свои конфиги и в них прописано, каким пользователем они лезут в 
> LDAP. На память уже не помню. Обычно это и есть ldap rootdn, что не 
> есть гуд. Но так сделано "из коробки". IMHO, домен проще по новой 
> развернуть, если данных ещё нет.
>
>

Достаточно было выполнить


smbpasswd -w <ldaprootpw>


и пароль у пользователя ldaproot в samb'е изменился, после чего самба 
запустилась нормально.


Спасибо за помощь.

-- 
С уважением,
Шенцев Алексей