Bug 22963 - Keytab Generierung in Samba 4
Summary: Keytab Generierung in Samba 4
Status: CLOSED FIXED
Alias: None
Product: UCS
Classification: Unclassified
Component: Kerberos
Version: UCS 3.0
Hardware: Other Linux
: P5 enhancement
Target Milestone: UCS 3.0 - MS2
Assignee: Arvid Requate
QA Contact: Stefan Gohmann
URL:
Keywords:
Depends on: 22600
Blocks:
  Show dependency tree / graph
 
Reported: 2011-07-05 14:03 CEST by Arvid Requate
Modified: 2011-12-13 15:49 CET (History)
1 user (show)

See Also:
What kind of report is it?: ---
What type of bug is this?: ---
Who will be affected by this bug?: ---
How will those affected feel about the bug?: ---
User Pain:
Enterprise Customer affected?:
School Customer affected?:
ISV affected?:
Waiting Support:
Flags outvoted (downgraded) after PO Review:
Ticket number:
Bug group (optional):
Customer ID:
Max CVSS v3 score:

Attachments
Add an attachment (proposed patch, testcase, etc.)

Note You need to log in before you can comment on or make changes to this bug.
Description Arvid Requate univentionstaff 2011-07-05 14:03:55 CEST 
Die Generierung der Keytab-Einträge unter /etc ist im samba4-Scope per Symlink gelöst. Eine Alternative wäre, dem Hinweis aus https://bugzilla.samba.org/show_bug.cgi?id=7925 zu folgen:

 "There is also the krb5Keytab option [attribute] that allows Samba to manage any filesystem path, not just the secrets.keytab."



+++ This bug was initially created as a clone of Bug #22600 +++
Comment 1 Arvid Requate univentionstaff 2011-08-25 17:44:56 CEST 
Für DCs wird die /etc/krb5.keytab jetzt von Samba4 gemanaged.
Comment 2 Arvid Requate univentionstaff 2011-09-19 17:17:42 CEST 
Damit das keytab.py Listener-Modul aus univention-heimdal-kdc nicht die von Samba4 generierte keytab überschreibt wurde der LDAP-Filter im Modul so erweitert, dass es nicht auf Systemen aktiv wird, die den Service "Samba 4" bereitstellen.
Comment 3 Stefan Gohmann univentionstaff 2011-09-23 08:14:30 CEST 
Neuinstallation Master mit Samba4. Aus der installation.log.gz:

Configure 96univention-samba4.inst
ERR: (No such attribute) "objectclass_attrs: attribute 'modify' on entry 'CN=master51,OU=Domain Controllers,DC=DEADLOCK5,DC=LOCAL' was not found in the schema!" on DN CN=master51,OU=Domain Controllers,DC=DEADLOCK5,DC=LOCAL
Configure 97univention-s4-connector.inst

Beim Versuch einen Windows 2008 R2 zu joinen habe ich diese Meldung in der Samba Log gesehen:

[2011/09/23 10:11:36,  1] ../source4/auth/gensec/gensec_gssapi.c:614(gensec_gssapi_update)
  GSS server Update(krb5)(1) Update failed:  Miscellaneous failure (see text): keytab /etc/krb5.keytab open failed: No such file or directory
[2011/09/23 10:11:36,  1] ../source4/auth/gensec/spnego.c:550(gensec_spnego_parse_negTokenInit)
  SPNEGO(gssapi_krb5) NEG_TOKEN_INIT failed: NT_STATUS_LOGON_FAILURE

Die Datei fehlt:
root@master51:~# ls -la /etc/krb5.keytab
ls: cannot access /etc/krb5.keytab: No such file or directory
root@master51:~#
Comment 4 Arvid Requate univentionstaff 2011-09-26 09:55:27 CEST 
> keytab /etc/krb5.keytab open failed: No such file or directory

Konnte ich nachstellen, warum der samba Daemon da die krb5.conf nicht erzeugt hat ist nicht ganz klar. Ich starte jetzt testweise den samba Daemon bevor ich das krb5Keytab-Attribut zum samba-Account des Masters hinzufüge.



Die folgende Fehlermeldung ist jetzt behoben, das war Bug #23158

> ERR: (No such attribute) "objectclass_attrs: attribute 'modify' on entry
Comment 5 Stefan Gohmann univentionstaff 2011-10-04 07:50:44 CEST 
OK, meine Testinstallationen waren erfolgreich.
Comment 6 Sönke Schwardt-Krummrich univentionstaff 2011-12-13 15:49:41 CET 
UCS 3.0-0 wurde veröffentlicht. Sollte der hier beschriebene Bug mit einer
neueren Version von UCS erneut auftreten, so sollte dieser Bug dupliziert
werden: "Clone This Bug"