[devel] Невозможно создать пользователя при сборке rootfs на хосте с Сизифом

[devel] Невозможно создать пользователя при сборке rootfs на хосте с Сизифом

[Антон Мидюков]

Здравствуйте

Может быть кто-нибудь сможет подсказать, в чём может быть дело.
Проблема такая. Собираю при помощи mkimage-profiles rootfs vm/alt-mobile-phosh-un-def.img
Пользователь altlinux не создаётся, ошибка такая:

useradd: cannot open /etc/gshadow
<86>Jun 22 09:33:12 useradd[129602]: failed adding user 'altlinux', exit code: 10
*** failed to add user 'altlinux'
chpasswd: (user altlinux) pam_chauthtok() failed, error:
User not known to the underlying authentication module
chpasswd: (line 1, user altlinux) password not changed
<85>Jun 22 09:33:12 chpasswd[129605]: pam_tcb(chpasswd:chauthtok): Unable to find user in the selected database
mki-image-scripts: /tmp/.private/antohami/mkimage-profiles.build.E5scYkK/image-scripts.d/50-users: unable to run script.

Если сделать
hsh-shell --rooter build/.work/

и выполнить, как в скрипте команду:

useradd -m altlinux

то пользователь успешно создаётся.

Почему может не быть доступа к /etc/gshadow при сборке?

Проблема только на хостах с Сизифом. Если на хосте p10, то пользователь успешно создаётся при сборке.
Также, если убрать из образа gnome-software и gnome-control-center, то пользователь создаётся успешно и при сборке на хосте с Сизифом.
Но, если в минимальный образ vm/systemd.img добавить эти два пакета, проблема не воспроизводится, пользователь при сборке на хосте с Сизифом.


-- 
С уважением, Антон Мидюков <antohami@altlinux.org>

Re: [devel] Невозможно создать пользователя при сборке rootfs на хосте с Сизифом

[Mikhail Efremov]

[-- Attachment #1: Type: text/plain, Size: 2377 bytes --]

On Sat, 22 Jun 2024 17:28:41 +0700 Антон Мидюков wrote:
> Здравствуйте
> 
> Может быть кто-нибудь сможет подсказать, в чём может быть дело.
> Проблема такая. Собираю при помощи mkimage-profiles rootfs vm/alt-mobile-phosh-un-def.img
> Пользователь altlinux не создаётся, ошибка такая:
> 
> useradd: cannot open /etc/gshadow
> <86>Jun 22 09:33:12 useradd[129602]: failed adding user 'altlinux', exit code: 10
> *** failed to add user 'altlinux'
> chpasswd: (user altlinux) pam_chauthtok() failed, error:
> User not known to the underlying authentication module
> chpasswd: (line 1, user altlinux) password not changed
> <85>Jun 22 09:33:12 chpasswd[129605]: pam_tcb(chpasswd:chauthtok): Unable to find user in the selected database
> mki-image-scripts: /tmp/.private/antohami/mkimage-profiles.build.E5scYkK/image-scripts.d/50-users: unable to run script.
> 
> Если сделать
> hsh-shell --rooter build/.work/
> 
> и выполнить, как в скрипте команду:
> 
> useradd -m altlinux
> 
> то пользователь успешно создаётся.
> 
> Почему может не быть доступа к /etc/gshadow при сборке?

Непонятно как это воспроизвести, на сборке образа отлаживать неудобно
все-таки.
Как workaround можно попробовать удалить /etc/gshadow перед useradd,
тогда он вообще не должен пытаться открывать файл.

> Проблема только на хостах с Сизифом. Если на хосте p10, то пользователь успешно создаётся при сборке.
> Также, если убрать из образа gnome-software и gnome-control-center, то пользователь создаётся успешно и при сборке на хосте с Сизифом.
> Но, если в минимальный образ vm/systemd.img добавить эти два пакета, проблема не воспроизводится, пользователь при сборке на хосте с Сизифом.
> 
> 


-- 
WBR, Mikhail Efremov

[-- Attachment #2: Цифровая подпись OpenPGP --]
[-- Type: application/pgp-signature, Size: 833 bytes --]

Re: [devel] Невозможно создать пользователя при сборке rootfs на хосте с Сизифом

[Mikhail Efremov]

[-- Attachment #1: Type: text/plain, Size: 2706 bytes --]

On Mon, 24 Jun 2024 15:05:52 +0300 Mikhail Efremov wrote:
> On Sat, 22 Jun 2024 17:28:41 +0700 Антон Мидюков wrote:
> > Здравствуйте
> > 
> > Может быть кто-нибудь сможет подсказать, в чём может быть дело.
> > Проблема такая. Собираю при помощи mkimage-profiles rootfs vm/alt-mobile-phosh-un-def.img
> > Пользователь altlinux не создаётся, ошибка такая:
> > 
> > useradd: cannot open /etc/gshadow
> > <86>Jun 22 09:33:12 useradd[129602]: failed adding user 'altlinux', exit code: 10
> > *** failed to add user 'altlinux'
> > chpasswd: (user altlinux) pam_chauthtok() failed, error:
> > User not known to the underlying authentication module
> > chpasswd: (line 1, user altlinux) password not changed
> > <85>Jun 22 09:33:12 chpasswd[129605]: pam_tcb(chpasswd:chauthtok): Unable to find user in the selected database
> > mki-image-scripts: /tmp/.private/antohami/mkimage-profiles.build.E5scYkK/image-scripts.d/50-users: unable to run script.
> > 
> > Если сделать
> > hsh-shell --rooter build/.work/
> > 
> > и выполнить, как в скрипте команду:
> > 
> > useradd -m altlinux
> > 
> > то пользователь успешно создаётся.
> > 
> > Почему может не быть доступа к /etc/gshadow при сборке?  
> 
> Непонятно как это воспроизвести, на сборке образа отлаживать неудобно
> все-таки.

А профиль, на котором воспроизводится, есть где-нибудь? Я попробую
разобраться что там происходит.

> Как workaround можно попробовать удалить /etc/gshadow перед useradd,
> тогда он вообще не должен пытаться открывать файл.

> > Проблема только на хостах с Сизифом. Если на хосте p10, то пользователь успешно создаётся при сборке.
> > Также, если убрать из образа gnome-software и gnome-control-center, то пользователь создаётся успешно и при сборке на хосте с Сизифом.
> > Но, если в минимальный образ vm/systemd.img добавить эти два пакета, проблема не воспроизводится, пользователь при сборке на хосте с Сизифом.
> > 
> >   
> 
> 


-- 
WBR, Mikhail Efremov

[-- Attachment #2: Цифровая подпись OpenPGP --]
[-- Type: application/pgp-signature, Size: 833 bytes --]

Re: [devel] Невозможно создать пользователя при сборке rootfs на хосте с Сизифом

[Антон Мидюков]

24.06.2024 19:11, Mikhail Efremov пишет:
> On Mon, 24 Jun 2024 15:05:52 +0300 Mikhail Efremov wrote:
>> On Sat, 22 Jun 2024 17:28:41 +0700 Антон Мидюков wrote:
>>> Здравствуйте
>>>
>>> Может быть кто-нибудь сможет подсказать, в чём может быть дело.
>>> Проблема такая. Собираю при помощи mkimage-profiles rootfs vm/alt-mobile-phosh-un-def.img
>>> Пользователь altlinux не создаётся, ошибка такая:
>>>
>>> useradd: cannot open /etc/gshadow
>>> <86>Jun 22 09:33:12 useradd[129602]: failed adding user 'altlinux', exit code: 10
>>> *** failed to add user 'altlinux'
>>> chpasswd: (user altlinux) pam_chauthtok() failed, error:
>>> User not known to the underlying authentication module
>>> chpasswd: (line 1, user altlinux) password not changed
>>> <85>Jun 22 09:33:12 chpasswd[129605]: pam_tcb(chpasswd:chauthtok): Unable to find user in the selected database
>>> mki-image-scripts: /tmp/.private/antohami/mkimage-profiles.build.E5scYkK/image-scripts.d/50-users: unable to run script.
>>>
>>> Если сделать
>>> hsh-shell --rooter build/.work/
>>>
>>> и выполнить, как в скрипте команду:
>>>
>>> useradd -m altlinux
>>>
>>> то пользователь успешно создаётся.
>>>
>>> Почему может не быть доступа к /etc/gshadow при сборке?  
>>
>> Непонятно как это воспроизвести, на сборке образа отлаживать неудобно
>> все-таки.
> 
> А профиль, на котором воспроизводится, есть где-нибудь? Я попробую
> разобраться что там происходит.
> 

Моя ветка next:
https://git.altlinux.org/people/antohami/packages/?p=mkimage-profiles.git;a=shortlog;h=refs/heads/next

Собирать:
make DEBUG=1 BRANCH= vm/alt-mobile-phosh-un-def.img

На хосте должен быть Сизиф, собираем также на Сизифе.
Сборка должна прерваться на выполнении скрипта features.in/deflogin/rootfs/image-scripts.d/50-users

>> Как workaround можно попробовать удалить /etc/gshadow перед useradd,
>> тогда он вообще не должен пытаться открывать файл.
> 
>>> Проблема только на хостах с Сизифом. Если на хосте p10, то пользователь успешно создаётся при сборке.
>>> Также, если убрать из образа gnome-software и gnome-control-center, то пользователь создаётся успешно и при сборке на хосте с Сизифом.
>>> Но, если в минимальный образ vm/systemd.img добавить эти два пакета, проблема не воспроизводится, пользователь при сборке на хосте с Сизифом.
>>>
>>>   
>>
>>
> 
> 
> 
> _______________________________________________
> Devel mailing list
> Devel@lists.altlinux.org
> https://lists.altlinux.org/mailman/listinfo/devel

-- 
С уважением, Антон Мидюков <antohami@altlinux.org>

Re: [devel] Невозможно создать пользователя при сборке rootfs на хосте с Сизифом

[Mikhail Efremov]

[-- Attachment #1: Type: text/plain, Size: 1086 bytes --]

On Mon, 24 Jun 2024 19:19:45 +0700 Антон Мидюков wrote:
> >   
> >>> Проблема только на хостах с Сизифом. Если на хосте p10, то пользователь успешно создаётся при сборке.
> >>> Также, если убрать из образа gnome-software и gnome-control-center, то пользователь создаётся успешно и при сборке на хосте с Сизифом.

Виновником является fwupd, точнее не он сам, а запускаемый из-за
/lib/sysusers.d/fwupd.conf systemd-sysusers. Вот после него useradd
получает "Permission denied" при попытке открыть /etc/gshadow.
Почему - я не понимаю, возможно это связано с тем, что все это под
fakeroot.
В качестве workaround можно сделать в скрипте 50-users
chmod u+w /etc/gshadow{,-}
Ну или вообще rm /etc/gshadow.

-- 
WBR, Mikhail Efremov

[-- Attachment #2: Цифровая подпись OpenPGP --]
[-- Type: application/pgp-signature, Size: 833 bytes --]

Re: [devel] Невозможно создать пользователя при сборке rootfs на хосте с Сизифом

[Anton Farygin]

On 27.06.2024 18:26, Mikhail Efremov wrote:
> On Mon, 24 Jun 2024 19:19:45 +0700 Антон Мидюков wrote:
>>>    
>>>>> Проблема только на хостах с Сизифом. Если на хосте p10, то пользователь успешно создаётся при сборке.
>>>>> Также, если убрать из образа gnome-software и gnome-control-center, то пользователь создаётся успешно и при сборке на хосте с Сизифом.
> Виновником является fwupd, точнее не он сам, а запускаемый из-за
> /lib/sysusers.d/fwupd.conf systemd-sysusers. Вот после него useradd
> получает "Permission denied" при попытке открыть /etc/gshadow.
> Почему - я не понимаю, возможно это связано с тем, что все это под
> fakeroot.
> В качестве workaround можно сделать в скрипте 50-users
> chmod u+w /etc/gshadow{,-}
> Ну или вообще rm /etc/gshadow.

Почему-то в hasher под пользователем:

[builder@localhost .in]$ ls -al /etc/gshadow
-rw------- 1 rooter rooter 737 Jun 27 11:00 /etc/gshadow
[builder@localhost .in]$ id rooter
uid=501(rooter) gid=501(rooter) groups=501(rooter)
[builder@localhost .in]$

И под рутом:

[root@localhost .in]# ls -al /etc/gshadow
-rw------- 1 root root 737 Jun 27 11:00 /etc/gshadow

но в реальной системе права у /etc/gshadow у меня тоже меняются на

$ ls -al /etc/gshadow
-r-------- 1 root root 1667 июн  8 07:57 /etc/gshadow

Правда, при этом useradd работает

Re: [devel] Невозможно создать пользователя при сборке rootfs на хосте с Сизифом

[Mikhail Efremov]

[-- Attachment #1: Type: text/plain, Size: 2461 bytes --]

On Fri, 28 Jun 2024 10:19:37 +0300 Anton Farygin wrote:
> On 27.06.2024 18:26, Mikhail Efremov wrote:
> > On Mon, 24 Jun 2024 19:19:45 +0700 Антон Мидюков wrote:  
> >>>      
> >>>>> Проблема только на хостах с Сизифом. Если на хосте p10, то пользователь успешно создаётся при сборке.
> >>>>> Также, если убрать из образа gnome-software и gnome-control-center, то пользователь создаётся успешно и при сборке на хосте с Сизифом.  
> > Виновником является fwupd, точнее не он сам, а запускаемый из-за
> > /lib/sysusers.d/fwupd.conf systemd-sysusers. Вот после него useradd
> > получает "Permission denied" при попытке открыть /etc/gshadow.
> > Почему - я не понимаю, возможно это связано с тем, что все это под
> > fakeroot.
> > В качестве workaround можно сделать в скрипте 50-users
> > chmod u+w /etc/gshadow{,-}
> > Ну или вообще rm /etc/gshadow.  
> 
> Почему-то в hasher под пользователем:
> 
> [builder@localhost .in]$ ls -al /etc/gshadow
> -rw------- 1 rooter rooter 737 Jun 27 11:00 /etc/gshadow
> [builder@localhost .in]$ id rooter
> uid=501(rooter) gid=501(rooter) groups=501(rooter)
> [builder@localhost .in]$

Я не знаю кто и как создает этот файл. А также /etc/shadow, который
вообще скорее вреден, учитывая, что у нас TCB.

> И под рутом:
> 
> [root@localhost .in]# ls -al /etc/gshadow
> -rw------- 1 root root 737 Jun 27 11:00 /etc/gshadow
> 
> но в реальной системе права у /etc/gshadow у меня тоже меняются на
> 
> $ ls -al /etc/gshadow
> -r-------- 1 root root 1667 июн  8 07:57 /etc/gshadow
> 
> Правда, при этом useradd работает

В описанной выше ситуации тоже такие права, но если не было запуска
systemd-sysusers, то useradd работает. А вот если файл предварительно
systemd-sysusers потрогал, то useradd уже Permission denied получает.

-- 
WBR, Mikhail Efremov

[-- Attachment #2: Цифровая подпись OpenPGP --]
[-- Type: application/pgp-signature, Size: 833 bytes --]

Re: [devel] Невозможно создать пользователя при сборке rootfs на хосте с Сизифом

[Антон Мидюков]

28.06.2024 13:18, Mikhail Efremov пишет:
> On Fri, 28 Jun 2024 10:19:37 +0300 Anton Farygin wrote:
>> On 27.06.2024 18:26, Mikhail Efremov wrote:
>>> On Mon, 24 Jun 2024 19:19:45 +0700 Антон Мидюков wrote:  
>>>>>      
>>>>>>> Проблема только на хостах с Сизифом. Если на хосте p10, то пользователь успешно создаётся при сборке.
>>>>>>> Также, если убрать из образа gnome-software и gnome-control-center, то пользователь создаётся успешно и при сборке на хосте с Сизифом.  
>>> Виновником является fwupd, точнее не он сам, а запускаемый из-за
>>> /lib/sysusers.d/fwupd.conf systemd-sysusers. Вот после него useradd
>>> получает "Permission denied" при попытке открыть /etc/gshadow.
>>> Почему - я не понимаю, возможно это связано с тем, что все это под
>>> fakeroot.
>>> В качестве workaround можно сделать в скрипте 50-users
>>> chmod u+w /etc/gshadow{,-}
>>> Ну или вообще rm /etc/gshadow.  
>>
>> Почему-то в hasher под пользователем:
>>
>> [builder@localhost .in]$ ls -al /etc/gshadow
>> -rw------- 1 rooter rooter 737 Jun 27 11:00 /etc/gshadow
>> [builder@localhost .in]$ id rooter
>> uid=501(rooter) gid=501(rooter) groups=501(rooter)
>> [builder@localhost .in]$
> 
> Я не знаю кто и как создает этот файл. А также /etc/shadow, который
> вообще скорее вреден, учитывая, что у нас TCB.
> 
>> И под рутом:
>>
>> [root@localhost .in]# ls -al /etc/gshadow
>> -rw------- 1 root root 737 Jun 27 11:00 /etc/gshadow
>>
>> но в реальной системе права у /etc/gshadow у меня тоже меняются на
>>
>> $ ls -al /etc/gshadow
>> -r-------- 1 root root 1667 июн  8 07:57 /etc/gshadow
>>
>> Правда, при этом useradd работает
> 
> В описанной выше ситуации тоже такие права, но если не было запуска
> systemd-sysusers, то useradd работает. А вот если файл предварительно
> systemd-sysusers потрогал, то useradd уже Permission denied получает.
> 

Я так понимаю, что проблема в том, что systemd-sysusers зачем-то запускается в hasher.
Зачем ему это делать?


-- 
С уважением, Антон Мидюков <antohami@altlinux.org>

Re: [devel] Невозможно создать пользователя при сборке rootfs на хосте с Сизифом

[Mikhail Efremov]

[-- Attachment #1: Type: text/plain, Size: 3479 bytes --]

On Thu, 8 Aug 2024 21:27:20 +0300 Антон Мидюков wrote:
> 28.06.2024 13:18, Mikhail Efremov пишет:
> > On Fri, 28 Jun 2024 10:19:37 +0300 Anton Farygin wrote:  
> >> On 27.06.2024 18:26, Mikhail Efremov wrote:  
> >>> On Mon, 24 Jun 2024 19:19:45 +0700 Антон Мидюков wrote:    
> >>>>>        
> >>>>>>> Проблема только на хостах с Сизифом. Если на хосте p10, то пользователь успешно создаётся при сборке.
> >>>>>>> Также, если убрать из образа gnome-software и gnome-control-center, то пользователь создаётся успешно и при сборке на хосте с Сизифом.    
> >>> Виновником является fwupd, точнее не он сам, а запускаемый из-за
> >>> /lib/sysusers.d/fwupd.conf systemd-sysusers. Вот после него useradd
> >>> получает "Permission denied" при попытке открыть /etc/gshadow.
> >>> Почему - я не понимаю, возможно это связано с тем, что все это под
> >>> fakeroot.
> >>> В качестве workaround можно сделать в скрипте 50-users
> >>> chmod u+w /etc/gshadow{,-}
> >>> Ну или вообще rm /etc/gshadow.    
> >>
> >> Почему-то в hasher под пользователем:
> >>
> >> [builder@localhost .in]$ ls -al /etc/gshadow
> >> -rw------- 1 rooter rooter 737 Jun 27 11:00 /etc/gshadow
> >> [builder@localhost .in]$ id rooter
> >> uid=501(rooter) gid=501(rooter) groups=501(rooter)
> >> [builder@localhost .in]$  
> > 
> > Я не знаю кто и как создает этот файл. А также /etc/shadow, который
> > вообще скорее вреден, учитывая, что у нас TCB.
> >   
> >> И под рутом:
> >>
> >> [root@localhost .in]# ls -al /etc/gshadow
> >> -rw------- 1 root root 737 Jun 27 11:00 /etc/gshadow
> >>
> >> но в реальной системе права у /etc/gshadow у меня тоже меняются на
> >>
> >> $ ls -al /etc/gshadow
> >> -r-------- 1 root root 1667 июн  8 07:57 /etc/gshadow
> >>
> >> Правда, при этом useradd работает  
> > 
> > В описанной выше ситуации тоже такие права, но если не было запуска
> > systemd-sysusers, то useradd работает. А вот если файл предварительно
> > systemd-sysusers потрогал, то useradd уже Permission denied получает.
> >   
> 
> Я так понимаю, что проблема в том, что systemd-sysusers зачем-то запускается в hasher.
> Зачем ему это делать?

Он запускается файлтриггером из-за файлов в /lib/sysusers.d/ при
установке пакетов (в данном случае fwupd). В принципе, в этом ничего
криминального быть не должно (ну кроме того, что без поддержки tcb
systemd-sysusers нормально создавать пользователей у нас не умеет).
А вот почему после этого useradd permission denied получает я так и не
понял.

-- 
WBR, Mikhail Efremov

[-- Attachment #2: Цифровая подпись OpenPGP --]
[-- Type: application/pgp-signature, Size: 833 bytes --]