[devel] Обновление до krb5-1.15.1

[Evgeny Sinelnikov]

Здравствуйте,

планирую на этих выходных обновиться в сизифе до krb5-1.15.1
Тестовая сборка прошла успешно. Конфликты в ABI - минимальны и, для
клиентских приложений, с ходу незаметны.

$ ssh girar task ls
#185394 TESTED #2 [test-only] sisyphus krb5.git=1.15.1-alt1%ubt
python-module-kadmin5.git=0.0.5-alt6 pecl-krb5.git=1.1.2-alt1

Отладку я проведу на samba-стенде, причём в p8 (стенда на сизифе у
меня пока нет), и после этого сборка уедет в сизиф.

На текущий момент я решаю вопрос о расширениях ABI, которые имеются в
федоре. Там довольно обширный набор дополнительных патчей, добавляющих
дополнительные тесты для PKINIT, также дополнительные возможности,
расширяющие структуру krb5_kdcpreauth_callbacks_st двумя функцииями
match_client ("Return true if princ matches the principal named in the
request or the client principal (possibly canonicalized).  If princ
does not match, attempt a database lookup of princ with aliases
allowed and compare the result to the client principal, returning true
if it matches. Otherwise, return false.") и client_name ("Get an alias
to the client DB entry principal (possibly canonicalized)")

fedora-Add-certauth-pluggable-interface.patch
fedora-Add-k5test-expected_msg-expected_trace.patch
fedora-Add-PKINIT-UPN-tests-to-t_pkinit.py.patch
fedora-Add-test-case-for-PKINIT-DH-renegotiation.patch
fedora-Add-test-cert-generation-to-make-certs.sh.patch
fedora-Add-the-client_name-kdcpreauth-callback.patch
fedora-Build-with-Werror-implicit-int-where-supported.patch
fedora-Correct-error-handling-bug-in-prior-commit.patch
fedora-Deindent-crypto_retrieve_X509_sans.patch
fedora-Fix-leaks-in-gss_inquire_cred_by_oid.patch
fedora-Improve-PKINIT-UPN-SAN-matching.patch
fedora-Use-expected_msg-in-test-scripts.patch
fedora-Use-expected_trace-in-test-scripts.patch
fedora-Use-fallback-realm-for-GSSAPI-ccache-selection.patch
fedora-Use-GSSAPI-fallback-skiptest.patch
fedora-Use-the-canonical-client-principal-name-for-OTP.patch

В общем, match_client() возволяет искать юзеров по псевдонимам, а
client_name возвращает псевдонимы. Этот функционал расширяет ABI
плагина kdcpreauth до версии 4, которая планируется в krb5-1.16, и уже
добавлен в репозиторий апстрима. Я не знаю насколько это актуально, но
думаю, что это, как раз, для интеграционных задач (Samba4/FreeIPA)
имеет значение.


-- 
Sin (Sinelnikov Evgeny)