Hallo zusammen,
ich antworte mir mal selber, vielleicht hilft das ja anderen, die ein Client mit Ubuntu 24 und aufwärts haben.
Die Problem ist folgendes oder zumindest erkläre ich mal meine Erkenntnisse:
Ab Ubuntu 26 (oder 24) bzw. sssd Version 2.9.5 ( das findet sich in Zeile 396 in der Datei:
/usr/lib/python3/dist-packages/linuxmusterLinuxclient7/setup.py
prüft er diese expectedCaps = [„cap_dac_read_search“, „cap_setgid“, „cap_setuid=p“
Bei einigen PCs sitzt das auch richtig. Das wird aber wohl nicht per linbo aufs neue Image übertragen, d.h. die Cap sitzen gar nicht.
Jetzt habe ich in
/srv/linbo/linuxmuster-client/xubu26/common/postsync.d
ein Skript 10-sssd-caps.sh mit folgendem Inhalt:
#!/bin/sh
# -------------------------------------------------------------------------
# LINBO-Postsync-Hook: SSSD Capability Fix für xubuntu 26.04 / lmn7.2
# -------------------------------------------------------------------------
echo " -> Starte SSSD Capability Fix im Postsync..."
# Da LINBO das Client-System unter /mnt einbindet, nutzen wir chroot.
# Wir prüfen beide möglichen Systempfade von SSSD ab.
if [ -f "/mnt/usr/libexec/sssd/krb5_child" ]; then
echo " Setze Rechte in /usr/libexec/sssd/..."
chroot /mnt setcap 'cap_setuid,cap_setgid,cap_dac_read_search=ep' /usr/libexec/sssd/krb5_child
chroot /mnt setcap 'cap_setuid,cap_setgid,cap_dac_read_search=ep' /usr/libexec/sssd/ldap_child
echo " Capabilities erfolgreich geschrieben."
elif [ -f "/mnt/usr/lib/x86_64-linux-gnu/sssd/krb5_child" ]; then
echo " Setze Rechte in /usr/lib/x86_64-linux-gnu/sssd/..."
chroot /mnt setcap 'cap_setuid,cap_setgid,cap_dac_read_search=ep' /usr/lib/x86_64-linux-gnu/sssd/krb5_child
chroot /mnt setcap 'cap_setuid,cap_setgid,cap_dac_read_search=ep' /usr/lib/x86_64-linux-gnu/sssd/ldap_child
echo " Capabilities erfolgreich geschrieben."
else
echo " FEHLER: krb5_child wurde im Client-Image nicht gefunden!"
fi
Das wird auch brav ausgeführt und mit
getcap /usr/libexec/sssd/krb5_child /usr/libexec/sssd/ldap_child
/usr/libexec/sssd/krb5_child cap_dac_read_search,cap_setgid,cap_setuid=ep
/usr/libexec/sssd/ldap_child cap_dac_read_search,cap_setgid,cap_setuid=ep
Kommt dieses Ergebnis. Mit nur =p hat es dann irgendwie nicht funktioniert.
Das passt jetzt nur nicht zum Test in
/usr/lib/python3/dist-packages/linuxmusterLinuxclient7/setup.py (Zeile 396)
Das habe ich dann kurzerhand geändert auf
expectedCaps = [„cap_dac_read_search“, „cap_setgid“, „cap_setuid“]
Jedenfalls kann man sich nun am neuen Xubuntu 26.04 anmelden.
Das scheint mir zwar eine etwas hemdsärmelige Lösung zu sein, aber vielleicht hat jemand eine Idee, es schöner zu machen.
Ich nehme mal an, in anderen neueren Ubuntus geht das auch so.
Wieso überträgt eigentlich linbo nicht diese Attribute?
Viele Grüße
Johannes