Univention Bugzilla – Bug 25103
Appliance-Mode/Join: UCS 3.0 amd64 - kinit nicht möglich (nagios Anmeldung schlägt fehl)
Last modified: 2012-12-12 21:08:55 CET
UCS 3.0 Master (amd64) frisch installiert. Es wurden zusätzlich ein backup, slave, member und basis System in die Domäne gejoint. kinit Administrator funktioniert nicht. -> kinit Administrator Administrator@FPT.TEST's Password: kinit: krb5_get_init_creds: Client (Administrator@FPT.TEST) unknown -> more /var/log/heimdal-kdc.log 2011-12-02T14:04:53 KDC started 2011-12-02T14:06:52 AS-REQ Administrator@FPT.TEST from IPv4:10.200.7.100 for krbtgt/FPT.TEST@FPT.TEST 2011-12-02T14:06:52 No preauth found, returning PREAUTH-REQUIRED -- Administrator@FPT.TEST 2011-12-02T14:06:52 sending 269 bytes to IPv4:10.200.7.100 Auch die Anmeldung am nagios ist nicht möglich. -> tail -f /var/log/auth.log Dec 2 14:08:18 master unix_chkpwd[15825]: check pass; user unknown Dec 2 14:08:18 master unix_chkpwd[15825]: password check failed for user (Administrator) Dec 2 14:08:18 master apache2: pam_unix(nagios:auth): authentication failure; logname= uid=33 euid=33 tty= ruser= rhost=192.168.0.190 user=Administrator Dec 2 14:08:18 master apache2: pam_krb5(nagios:auth): authentication failure; logname=Administrator uid=33 euid=33 tty= ruser= rhost=192.168.0.190 -> tail -f /var/log/apache/error.log [Fri Dec 02 14:08:49 2011] [error] [client 192.168.0.190] PAM: user 'Administrator' - not authenticated: User not known to the underlying a uthentication module, referer: http://10.200.7.100/ucs-overview/de.html
Das Problem war. Der Backup wurde nicht bei der Installation gejoint, sondern nach dem ersten Start. Nach dem Join wurde der Rechner aber nicht neu gestartet. Wenn ich auf dem Backup heimdal neu starte, klappt es. Es MUSS also nach dem Join von nicht Masters kdc's mindestens heimdal-kdc neu gestartet werden.
Ich habe das gerade auf einem Master 3.0-2 amd64 beobachtet den ich aus dem Appliance-Mode (interne KVM-Images) generiert habe. Bis zu einem Neustart des Dienstes funktioniert Kerberos nicht (ohne Samba4). Das sollte behoben werden oder im Appliance-Mode auf den notwendigen Neustart hingewiesen werden. Ich erhöhe die Prio da man sich so in Appliances ggf. an mehreren Diensten nicht anmelden kann.
Im heimdal Join Skript wird jetzt ein heimdal-kdc restart durchgeführt.
Neustart wird durchgeführt, kinit funktioniert direkt ohne Neustart. Changelog: OK Es ist Bug #28572 aufgefallen.
UCS 3.1-0 has been released: http://forum.univention.de/viewtopic.php?f=54&t=2125 If this error occurs again, please use "Clone This Bug".