[sisyphus] Ещё прошу помощи! (ldap/kerberos домен)

[sisyphus] Ещё прошу помощи! (ldap/kerberos домен)

[Gleb Kulikov]

Джентльмены,

кто может подсказать, куда копать?

Организован домен. На одной из систем (Сизиф, регулярно обновляется), 
пользователь, при логине, не получает автоматически билет.

При этом kinit, запущенный после логина вручную, прекрасно отрабатывает, билет 
получается.

На этой-же машине, специально была организована виртуалка с сизифом. В ней с 
билетами всё нормально.

Аналогично всё нормально на системах с p7 (обновляются) и сизифом годовой 
давности.

Сравнение /etc/krb5.conf, /etc/pam.d/ и т.д. на свежей виртуалке и реальной 
машине, не выявило существенных расхождений.

# system-auth status

krb5_ccreds dc=athena77,dc=org ldaps://ldap.athena77.org

Хотя бы идеи, в какое место смотреть  :(

-- 
      Салют, /GLeb

UIN: 15341920
jabber://gleb@asd.iao.ru
sip://2387245@sipnet.ru			(telephony)
skype://gleb_kulikov.tomsk		(telephony)

Re: [sisyphus] Ещё прошу помощи! (ldap/kerberos домен)

[Андрей Черепанов]

23.04.2015 11:25, Gleb Kulikov пишет:
> Джентльмены,
> 
> кто может подсказать, куда копать?
> 
> Организован домен. На одной из систем (Сизиф, регулярно обновляется), 
> пользователь, при логине, не получает автоматически билет.
> 
> При этом kinit, запущенный после логина вручную, прекрасно отрабатывает, билет 
> получается.
> 
> На этой-же машине, специально была организована виртуалка с сизифом. В ней с 
> билетами всё нормально.
> 
> Аналогично всё нормально на системах с p7 (обновляются) и сизифом годовой 
> давности.
> 
> Сравнение /etc/krb5.conf, /etc/pam.d/ и т.д. на свежей виртуалке и реальной 
> машине, не выявило существенных расхождений.
> 
> # system-auth status
> 
> krb5_ccreds dc=athena77,dc=org ldaps://ldap.athena77.org
> 
> Хотя бы идеи, в какое место смотреть  :(
А KDC на какой системе?

-- 
Андрей Черепанов
ALT Linux
cas@altlinux.ru

Re: [sisyphus] Ещё прошу помощи! (ldap/kerberos домен)

[Gleb Kulikov]

В письме от Четверг 23 апреля 2015 11:56:22 пользователь Андрей Черепанов 
написал:

> > Хотя бы идеи, в какое место смотреть  :(
> 
> А KDC на какой системе?

На сизифе от 14 апреля. Все клиенты работают нормально, вплоть до raspberry 
Pi/raspbian. Ldap/kerberos + nfs. Кроме этой злосчастной машины. Моей :)

-- 
      С Уважением, /GLeb

UIN: 15341920
jabber://gleb@asd.iao.ru
sip://2387245@sipnet.ru		(telephony)
skype://gleb_kulikov.tomsk	                           (telephony)

Re: [sisyphus] Ещё прошу помощи! (ldap/kerberos домен)

[Gleb Kulikov]

В письме от Четверг 23 апреля 2015 11:56:22 пользователь Андрей Черепанов 
написал:

> > Сравнение /etc/krb5.conf, /etc/pam.d/ и т.д. на свежей виртуалке и
> > реальной
> > машине, не выявило существенных расхождений.
 
> А KDC на какой системе?

Вот единственно что, на 12-ой имеется сообщение:

request-key	Cannot find command to construct key НЕКИЙ-НОМЕР

И только. Больше ничего подозрительного не вижу.
-- 
      Салют, /GLeb

UIN: 15341920
jabber://gleb@asd.iao.ru
sip://2387245@sipnet.ru			(telephony)
skype://gleb_kulikov.tomsk		(telephony)

Re: [sisyphus] Ещё прошу помощи! (ldap/kerberos домен)

[Michael Shigorin]

On Thu, Apr 23, 2015 at 06:27:59PM +0600, Gleb Kulikov wrote:
> request-key	Cannot find command to construct key НЕКИЙ-НОМЕР

keyutils?

-- 
 ---- WBR, Michael Shigorin / http://altlinux.org
  ------ http://opennet.ru / http://anna-news.info

Re: [sisyphus] Ещё прошу помощи! (ldap/kerberos домен)

[Gleb Kulikov]

В письме от Четверг 23 апреля 2015 15:31:51 пользователь Michael Shigorin 
написал:
> On Thu, Apr 23, 2015 at 06:27:59PM +0600, Gleb Kulikov wrote:
> > request-key	Cannot find command to construct key НЕКИЙ-НОМЕР
> 
> keyutils?

Последняя версия keyutils уже установлена


-- 
      Салют, /GLeb

UIN: 15341920
jabber://gleb@asd.iao.ru
sip://2387245@sipnet.ru			(telephony)
skype://gleb_kulikov.tomsk		(telephony)

Re: [sisyphus] Ещё прошу помощи! (ldap/kerberos =?koi8-r?b?xM/Nxc4=?=)

[Gleb Kulikov]

В сообщении от [23 апреля 2015 Michael Shigorin] написал:

> On Thu, Apr 23, 2015 at 06:27:59PM +0600, Gleb Kulikov wrote:
> > request-key	Cannot find command to construct key НЕКИЙ-НОМЕР
> 
> keyutils?

Согласно гуглю :), это ПРИСУТСТВУЮЩИЙ И У НАС БАГ:

https://bugs.mageia.org/show_bug.cgi?id=8807

в /etc/request-key.conf нужно добавить строку

create    id_resolver    *    *    /usr/sbin/nfsidmap -t 600 %k %d

действительно, при этом исчезает задержка при подключении к керберезированному 
разделу nfs.

но на (НЕ)получение билета в моём случае, это не влияет :(


-- 
      Салют, /GLeb

UIN: 15341920
jabber://gleb@asd.iao.ru
sip://2387245@sipnet.ru			(telephony)
skype://gleb_kulikov.tomsk		(telephony)

Re: [sisyphus] Ещё прошу помощи! (ldap/kerberos)

[Michael Shigorin]

On Fri, Apr 24, 2015 at 12:09:58PM +0600, Gleb Kulikov wrote:
> Согласно гуглю :), это ПРИСУТСТВУЮЩИЙ И У НАС БАГ:
> https://bugs.mageia.org/show_bug.cgi?id=8807

Повесь хоть так.

> но на (НЕ)получение билета в моём случае, это не влияет :(

Вот уж с отладкой псарни не помогу :(

-- 
 ---- WBR, Michael Shigorin / http://altlinux.org
  ------ http://opennet.ru / http://anna-news.info