Проблема

Инициализация реплики FreeIPA завершается ошибками.

Диагностика

  • На основном узле контроллера домена установлена версия ОС Astra Linux Special Edition 1.7 Update 6uu2 (№2024-1127SE17MD), а на реплике — Astra Linux Special Edition 1.8 Update 1uu1 (№2024-0905SE18MD).
  • На основном узле контроллера домена установлен центр сертификации DogTag.
  • Развертывание реплики завершается ошибкой:
    [19/30]: Importing RA key
Error storing key "keys/ra/ipaCert": CalledProcessError(Command ['/usr/lib/ipa/custodia/ipa-custodia-ra-agent', '--import', '-'] returned non-zero exit status 1: 'Traceback (most recent call last):\n  File "/usr/lib/ipa/custodia/ipa-custodia-ra-agent", line 8, in <module>\n    main(ra_agent_parser())\n  File "/usr/lib/python3/dist-packages/ipaserver/secrets/handlers/pemfile.py", line 114, in main\n    common.main(parser, export_key, import_key)\n  File "/usr/lib/python3/dist-packages/ipaserver/secrets/handlers/common.py", line 73, in main\n    func(args, tmpdir, **kwargs)\n  File "/usr/lib/python3/dist-packages/ipaserver/secrets/handlers/pemfile.py", line 69, in import_key\n    ipautil.run(cmd, umask=0o027)\n  File "/usr/lib/python3/dist-packages/ipapython/ipautil.py", line 594, in run\n    raise CalledProcessError(\nipapython.ipautil.CalledProcessError: CalledProcessError(Command [\'/usr/bin/openssl\', \'pkcs12\', \'-in\', \'/tmp/tmp7ps2oxyf/import.p12\', \'-clcerts\', \'-nokeys\', \'-out\', \'/var/lib/ipa/ra-agent.pem\', \'-password\', \'file:/tmp/tmp7ps2oxyf/passwd\'] returned non-zero exit status 1: \'Error outputting keys and certificates\\n00C1A4A8127F0000:error:0308010C:digital envelope routines:inner_evp_generic_fetch:unsupported:../crypto/evp/evp_fetch.c:342:Global default library context, Algorithm (RC2-40-CBC : 0), Properties ()\\n\')\n')
  [error] FileNotFoundError: [Errno 2] Нет такого файла или каталога: '/var/lib/ipa/ra-agent.key'
Your system may be partly configured.
Run /usr/sbin/ipa-server-install --uninstall to clean up.

Возможная причина: Алгоритм шифрования RC2-40. Перейти к решению.

  • Проверить при создании реплики FreeIPA наличие сообщения вида:

    2021-01-29T12:51:32Z DEBUG Unhandled LDAPError: OPERATIONS_ERROR:
{'info': 'The changelog directory [/var/lib/dirsrv/EXAMPLE-COM/cldb] already exists and is not empty. Please choose a directory that does not exist or is empty.\n', 'desc': 'Operations error'

    или:

    29/41]: setting up initial replication
[error] DatabaseError: Operations error: The changelog directory [/var/lib/dirsrv/slapd-EXAMPLE-COM/cldb] already exists and is not empty. Please choose a directory that does not exist or is empty.
Your system may be partly configured.
Run /usr/sbin/ipa-server-install --uninstall to clean up.

Возможная причина: Нарушен порядок настройки реплики. Перейти к решению.

  • Проверить в выводе наличие сообщения вида:

    The ipa-replica-install command failed, exception: DatabaseError: Server is unwilling to perform

Возможная причина: Некорректный механизм создания реплики сервера. Перейти к решению.

  • Проверить при входе в веб-интерфейс наличие сообщения вида:

    Login failed due to an unknown reason.

Возможная причина: Ошибка в модуле mod_nss. Перейти к решению.

Возможные причины