Re: [devel] Обновление до krb5-1.15.1

[Alexander Bokovoy <ab@altlinux.org>]

2017-07-14 21:47 GMT+03:00 Evgeny Sinelnikov <sin@altlinux.org>:
> Здравствуйте,
>
> планирую на этих выходных обновиться в сизифе до krb5-1.15.1
> Тестовая сборка прошла успешно. Конфликты в ABI - минимальны и, для
> клиентских приложений, с ходу незаметны.
>
> $ ssh girar task ls
> #185394 TESTED #2 [test-only] sisyphus krb5.git=1.15.1-alt1%ubt
> python-module-kadmin5.git=0.0.5-alt6 pecl-krb5.git=1.1.2-alt1
>
> Отладку я проведу на samba-стенде, причём в p8 (стенда на сизифе у
> меня пока нет), и после этого сборка уедет в сизиф.
>
> На текущий момент я решаю вопрос о расширениях ABI, которые имеются в
> федоре. Там довольно обширный набор дополнительных патчей, добавляющих
> дополнительные тесты для PKINIT, также дополнительные возможности,
> расширяющие структуру krb5_kdcpreauth_callbacks_st двумя функцииями
> match_client ("Return true if princ matches the principal named in the
> request or the client principal (possibly canonicalized).  If princ
> does not match, attempt a database lookup of princ with aliases
> allowed and compare the result to the client principal, returning true
> if it matches. Otherwise, return false.") и client_name ("Get an alias
> to the client DB entry principal (possibly canonicalized)")
>
> fedora-Add-certauth-pluggable-interface.patch
> fedora-Add-k5test-expected_msg-expected_trace.patch
> fedora-Add-PKINIT-UPN-tests-to-t_pkinit.py.patch
> fedora-Add-test-case-for-PKINIT-DH-renegotiation.patch
> fedora-Add-test-cert-generation-to-make-certs.sh.patch
> fedora-Add-the-client_name-kdcpreauth-callback.patch
> fedora-Build-with-Werror-implicit-int-where-supported.patch
> fedora-Correct-error-handling-bug-in-prior-commit.patch
> fedora-Deindent-crypto_retrieve_X509_sans.patch
> fedora-Fix-leaks-in-gss_inquire_cred_by_oid.patch
> fedora-Improve-PKINIT-UPN-SAN-matching.patch
> fedora-Use-expected_msg-in-test-scripts.patch
> fedora-Use-expected_trace-in-test-scripts.patch
> fedora-Use-fallback-realm-for-GSSAPI-ccache-selection.patch
> fedora-Use-GSSAPI-fallback-skiptest.patch
> fedora-Use-the-canonical-client-principal-name-for-OTP.patch
>
> В общем, match_client() возволяет искать юзеров по псевдонимам, а
> client_name возвращает псевдонимы. Этот функционал расширяет ABI
> плагина kdcpreauth до версии 4, которая планируется в krb5-1.16, и уже
> добавлен в репозиторий апстрима. Я не знаю насколько это актуально, но
> думаю, что это, как раз, для интеграционных задач (Samba4/FreeIPA)
> имеет значение.
Весь этот код был добавлен для нужд FreeIPA, Samba AD и python-gssapi.
Он востребован, соответственно, в FreeIPA 4.5.x и Samba 4.7 (RC1).


-- 
/ Alexander Bokovoy