Distribution EOLE

Le test est un peu biaisé puisque le serveur Seth est réinstallé également !

À la réflexion, c'est peut-être pas plus mal car lorsque l'on instancie le nouveau Scribe à blanc, tous les comptes et groupes de l'AD du Seth sont supprimés (hors admin/eleves/professeurs/administratifs puis re-créés par la restauration !

La dernière erreur kinit reste à vérifier :

            * Vérification authentification AD après migration pour 3a.01
            Password for 3a.01@DOMPEDAGO.ETB1.LAN:
            kinit: KDC has no support for encryption type while getting initial credentials

Sur un ScribeAD 2.8.1, on obtient :

root@addc:~# ldbsearch -H /var/lib/samba/private/sam.ldb '(objectclass=computer)' msDS-SupportedEncryptionTypes |grep -v 'ref:' |grep -v '^# ' |grep -v '^$'
dn: CN=ADDC,OU=Domain Controllers,DC=domscribe,DC=ac-test,DC=fr
msDS-SupportedEncryptionTypes: 28
dn: CN=SCRIBE,CN=Computers,DC=domscribe,DC=ac-test,DC=fr
msDS-SupportedEncryptionTypes: 28

Idem sur le Seth1 du test :

root@seth1:~# ldbsearch -H /var/lib/samba/private/sam.ldb '(objectclass=computer)' msDS-SupportedEncryptionTypes |grep -v 'ref:' |grep -v '^# ' |grep -v '^$'
dn: CN=SCRIBE,CN=Computers,DC=dompedago,DC=etb1,DC=lan
msDS-SupportedEncryptionTypes: 28
dn: CN=SETH1,OU=Domain Controllers,DC=dompedago,DC=etb1,DC=lan
msDS-SupportedEncryptionTypes: 28

La redirection SASL OpenLDAP est bien en place :

root@scribe:~# ldapsearch -x -D cn=reader,o=gouv,c=fr -w `cat /root/.reader` uid=3a.01 userpassword | grep userPassword | cut -d ' ' -f2 | base64 -d && echo
{SASL}3a.01@dompedago.etb1.lan

Au final, l'erreur kinit: KDC has no support for encryption type while getting initial credentials apparaît car l'utilisateur n'a PAS de mot de passe !

root@seth1:~# ldbsearch -H /var/lib/samba/private/sam.ldb cn=3a.01 unicodepwd  | grep unicodePwd 
root@seth1:~# ldbsearch -H /var/lib/samba/private/sam.ldb cn=admin unicodepwd  | grep unicodePwd 
unicodePwd:: ytESYnD8z0Y6z1bM+5apqA==

Pour monter le test de restauration en m'inspirant des autres, j'ai du réinstaller le Seth du coup, LSC peuple bien l'AD mais sans les mots de passe...

Ceci dit, je pense que ça prouve que la procédure actuelle de restauration proposée avec migrationSh est mauvaise pour EoleAD à cause de #36065#note-2 :\

La suggestion de Benjamin dans #35689#note-3 est une piste à exploiter :

Le certificat pour LSC n’est pas injecté avant la restauration de l’annuaire local finalement (éviter la synchronisation de l’annuaire vide).