<!DOCTYPE html PUBLIC "-//W3C//DTD HTML 4.0 Transitional//EN" "http://www.w3.org/TR/REC-html40/loose.dtd">

<html lang="en">

<head>

<meta content="text/html; charset=US-ASCII" http-equiv="Content-Type">

<title>

GitLab

</title>

<style>img {

max-width: 100%; height: auto;

}

</style>

</head>

<body>

<div class="content">

<h3>

Timo Aaltonen pushed to branch master-next

at <a href="https://salsa.debian.org/freeipa-team/freeipa">FreeIPA packaging / freeipa</a>

</h3>

<h4>

Commits:

</h4>

<ul>

<li>

<strong><a href="https://salsa.debian.org/freeipa-team/freeipa/-/commit/21a5938a3e6a02b140dd0df64abde63f4df1d777">21a5938a</a></strong>

<div>

<span>by Alexander Bokovoy</span>

<i>at 2019-07-03T09:32:41+03:00</i>

</div>

<pre class="commit-message" style="white-space: pre-wrap; margin: 0;">Changing IPA master back to git snapshots

</pre>

</li>

<li>

<strong><a href="https://salsa.debian.org/freeipa-team/freeipa/-/commit/56b1b5ac5b3a2aad9cf005ac9d5c720c2a9fca0e">56b1b5ac</a></strong>

<div>

<span>by Alexander Bokovoy</span>

<i>at 2019-07-03T09:40:11+03:00</i>

</div>

<pre class="commit-message" style="white-space: pre-wrap; margin: 0;">Set git master to 4.9.0

</pre>

</li>

<li>

<strong><a href="https://salsa.debian.org/freeipa-team/freeipa/-/commit/d2c929270c6184022b58799b61bb640cdcdf10a8">d2c92927</a></strong>

<div>

<span>by Christian Heimes</span>

<i>at 2019-07-04T10:43:51+02:00</i>

</div>

<pre class="commit-message" style="white-space: pre-wrap; margin: 0;">Use nis-domainname.service on all RH platforms

RHEL 8 and Fedora >= 29 use "nis-domainname.service" as service name for

domainname service. Remove special code in ipaplatform.rhel and for Fedora

< 28. Only Fedora 29+ is supported by IPA 4.8.

Fixes: https://pagure.io/freeipa/issue/8004

Signed-off-by: Christian Heimes <cheimes@redhat.com>

Reviewed-By: Rob Crittenden <rcritten@redhat.com>

</pre>

</li>

<li>

<strong><a href="https://salsa.debian.org/freeipa-team/freeipa/-/commit/0d15eb78d4178bea6057e4d32b234c592ca80fa7">0d15eb78</a></strong>

<div>

<span>by Sergey Orlov</span>

<i>at 2019-07-04T15:46:59+02:00</i>

</div>

<pre class="commit-message" style="white-space: pre-wrap; margin: 0;">ipatests: add test for sudo with runAsUser and domain resolution order.

Running commands with sudo as specific user should succeed

when sudo rule has ipasudorunas field defined with value of that user

and domain-resolution-order is defined in ipa config.

Relates to https://pagure.io/SSSD/sssd/issue/3957

Reviewed-By: Florence Blanc-Renaud <flo@redhat.com>

</pre>

</li>

<li>

<strong><a href="https://salsa.debian.org/freeipa-team/freeipa/-/commit/4740655260caa7baee4473b0d35840a4c0da3dac">47406552</a></strong>

<div>

<span>by Sergey Orlov</span>

<i>at 2019-07-04T15:46:59+02:00</i>

</div>

<pre class="commit-message" style="white-space: pre-wrap; margin: 0;">ipatests: mark test_domain_resolution_order as expectedly failing

SSSD fix have not yet landed in Fedora 29 and below.

Relates to https://pagure.io/SSSD/sssd/issue/3957

Reviewed-By: Florence Blanc-Renaud <flo@redhat.com>

</pre>

</li>

<li>

<strong><a href="https://salsa.debian.org/freeipa-team/freeipa/-/commit/be7f54d40c33d147fdaf0d3cd65b56452a4f001a">be7f54d4</a></strong>

<div>

<span>by François Cami</span>

<i>at 2019-07-08T17:30:24+02:00</i>

</div>

<pre class="commit-message" style="white-space: pre-wrap; margin: 0;">ipatests/azure: display actual dnf repo URLs

Display which dnf repositories were available at the

prepare-build step via metalink.

Also display the fastestmirror cache.

Signed-off-by: François Cami <fcami@redhat.com>

Reviewed-By: Florence Blanc-Renaud <flo@redhat.com>

</pre>

</li>

<li>

<strong><a href="https://salsa.debian.org/freeipa-team/freeipa/-/commit/ac1ea0ec6710f40adffc3f04b39422f3043c6554">ac1ea0ec</a></strong>

<div>

<span>by Stanislav Levin</span>

<i>at 2019-07-15T14:41:23+03:00</i>

</div>

<pre class="commit-message" style="white-space: pre-wrap; margin: 0;">Fix `test_webui.test_selinuxusermap`

A previous refactoring of SELinux tests has have a wrong

assumption about the user field separator within

ipaSELinuxUserMapOrder. That was '$$', but should be just '$'.

Actually, '.ldif' and '.update' files are passed through

Python template string substitution:

> $$ is an escape; it is replaced with a single $.

> $identifier names a substitution placeholder matching

> a mapping key of "identifier"

This means that the text to be substituted on should not be escaped.

The wrong ipaSELinuxUserMapOrder previously set will be replaced on

upgrade.

Fixes: https://pagure.io/freeipa/issue/7996

Fixes: https://pagure.io/freeipa/issue/8005

Signed-off-by: Stanislav Levin <slev@altlinux.org>

Reviewed-By: Florence Blanc-Renaud <flo@redhat.com>

</pre>

</li>

<li>

<strong><a href="https://salsa.debian.org/freeipa-team/freeipa/-/commit/843f57abe431bcf493e0bcce8ef07255be986435">843f57ab</a></strong>

<div>

<span>by Sergey Orlov</span>

<i>at 2019-07-15T14:35:51+02:00</i>

</div>

<pre class="commit-message" style="white-space: pre-wrap; margin: 0;">ipatests: new test for trust with partially unreachable AD topology

Establishing trust with partially unavailable AD hosts require usage

of --server option. The new test checks that both commands trust-add

and trust-fetch-domains properly use this option and also that

trust-add correctly passes the server value when imlicitly invoking

trust-fetch-domains.

Relates to: https://pagure.io/freeipa/issue/7895.

Reviewed-By: Tibor Dudlak <tdudlak@redhat.com>

</pre>

</li>

<li>

<strong><a href="https://salsa.debian.org/freeipa-team/freeipa/-/commit/ef39e1b02a2ef965997d38fc7b72d5ee1542d44b">ef39e1b0</a></strong>

<div>

<span>by Florence Blanc-Renaud</span>

<i>at 2019-07-15T17:08:21+03:00</i>

</div>

<pre class="commit-message" style="white-space: pre-wrap; margin: 0;">upgrade: remove ipaCert and key from /etc/httpd/alias

With ipa 4.5+, the RA cert is stored in files in

/var/lib/ipa/ra-agent.{key|pem}. The upgrade code handles

the move from /etc/httpd/alias to the files but does not remove

the private key from /etc/httpd/alias.

The fix calls certutil -F -n ipaCert to remove cert and key,

instead of -D -n ipaCert which removes only the cert.

Fixes: https://pagure.io/freeipa/issue/7329

Reviewed-By: Fraser Tweedale <ftweedal@redhat.com>

</pre>

</li>

<li>

<strong><a href="https://salsa.debian.org/freeipa-team/freeipa/-/commit/2312b38a678d30b73c08dae19db7f8b74361a957">2312b38a</a></strong>

<div>

<span>by Stanislav Levin</span>

<i>at 2019-07-16T13:23:21+03:00</i>

</div>

<pre class="commit-message" style="white-space: pre-wrap; margin: 0;">Simplify ipa-run-tests script

This is a sort of rollback to the pre #93c158b05 state with

several improvements.

For now, the nodeids calculation by ipa-run-tests is not stable,

since it depends on current working directory. Nodeids (tests

addresses) are utilized by the other plugins, for example.

Unfortunately, the `pytest_load_initial_conftests` hook doesn't

correctly work with pytest internal paths, since it is called

after the calculation of rootdir was performed, for example.

Eventually, it's simpler to follow the default convention for

Python test discovery.

There is at least one drawback of new "old" implementation.

The ignore rules don't support globs, because pytest 4.3.0+

has the same facility via `--ignore-glob`:

> Add the `--ignore-glob` parameter to exclude test-modules with

> Unix shell-style wildcards. Add the collect_ignore_glob for

> conftest.py to exclude test-modules with Unix shell-style

> wildcards.

Upon switching to pytest4 it will be possible to utilize this.

Anyway, tests for checking current basic facilities of

ipa-run-tests were added.

Fixes: https://pagure.io/freeipa/issue/8007

Signed-off-by: Stanislav Levin <slev@altlinux.org>

Reviewed-By: Alexander Bokovoy <abokovoy@redhat.com>

</pre>

</li>

<li>

<strong><a href="https://salsa.debian.org/freeipa-team/freeipa/-/commit/a2d4e2a61f46cf6337786b2cb031e3a9f394a708">a2d4e2a6</a></strong>

<div>

<span>by Stanislav Levin</span>

<i>at 2019-07-16T13:23:21+03:00</i>

</div>

<pre class="commit-message" style="white-space: pre-wrap; margin: 0;">Make use of Azure Pipeline slicing

The unit tests execution time within Azure Pipelines(AP) is not

balanced. One test job(Base) takes ~13min, while another(XMLRPC)

~28min. Fortunately, AP supports slicing:

> An agent job can be used to run a suite of tests in parallel. For

example, you can run a large suite of 1000 tests on a single agent.

Or, you can use two agents and run 500 tests on each one in parallel.

To leverage slicing, the tasks in the job should be smart enough to

understand the slice they belong to.

>The step that runs the tests in a job needs to know which test slice

should be run. The variables System.JobPositionInPhase and

System.TotalJobsInPhase can be used for this purpose.

Thus, to support this pytest should know how to split the test suite

into groups(slices). For this, a new internal pytest plugin was added.

About plugin.

- Tests within a slice are grouped by test modules because not all of

the tests within the module are independent from each other.

- Slices are balanced by the number of tests within test module.

- To run some module within its own environment there is a dedicated

slice option (could help with extremely slow tests)

Examples.

- To split `test_cmdline` tests into 2 slices and run the first one:

ipa-run-tests --slices=2 --slice-num=1 test_cmdline

- To split tests into 2 slices, then to move one module out to its own slice

and run the second one:

ipa-run-tests --slices=2 --slice-dedicated=test_cmdline/test_cli.py \

    --slice-num=2 test_cmdline

Fixes: https://pagure.io/freeipa/issue/8008

Signed-off-by: Stanislav Levin <slev@altlinux.org>

Reviewed-By: Alexander Bokovoy <abokovoy@redhat.com>

</pre>

</li>

<li>

<strong><a href="https://salsa.debian.org/freeipa-team/freeipa/-/commit/c7500220c443c6051178211eadd64392ca7bd08a">c7500220</a></strong>

<div>

<span>by Stanislav Levin</span>

<i>at 2019-07-16T13:23:21+03:00</i>

</div>

<pre class="commit-message" style="white-space: pre-wrap; margin: 0;">Avoid use of '/tmp' for pip operations

`ipa-run-tests` is not an entry_point script, so

pip during an installation of ipatests package checks

if the file path is executable. If not - just don't set

the executable permission bits.

pip's working directory defaults to /tmp/xxx.

Thus, if /tmp is mounted with noexec such scripts lose

their executable ability after an installation into

virtualenv. This was found on Travis +

freeipa/freeipa-test-runner:master-latest docker image.

Build directory of pip could be changed via env variable

PIP_BUILD, for example.

Fixes: https://pagure.io/freeipa/issue/8009

Signed-off-by: Stanislav Levin <slev@altlinux.org>

Reviewed-By: Alexander Bokovoy <abokovoy@redhat.com>

</pre>

</li>

<li>

<strong><a href="https://salsa.debian.org/freeipa-team/freeipa/-/commit/5530911f20a7a6d2831c9ce35948d63b226f212f">5530911f</a></strong>

<div>

<span>by Alexander Bokovoy</span>

<i>at 2019-07-17T13:10:34+03:00</i>

</div>

<pre class="commit-message" style="white-space: pre-wrap; margin: 0;">Fix rpmlint errors for Rawhide

Reviewed-By: Florence Blanc-Renaud <flo@redhat.com>

Reviewed-By: Stanislav Levin <slev@altlinux.org>

</pre>

</li>

<li>

<strong><a href="https://salsa.debian.org/freeipa-team/freeipa/-/commit/d55c9b6d7f0eefa5648fec5c0fb05ca475acd4fd">d55c9b6d</a></strong>

<div>

<span>by Alexander Bokovoy</span>

<i>at 2019-07-17T13:10:34+03:00</i>

</div>

<pre class="commit-message" style="white-space: pre-wrap; margin: 0;">Use any nodejs version instead of forcing a version before nodejs 11

Fedora nodejs builds were fixed, we don't need to limit ourselves

anymore.

Also, make sure python3-pyyaml is installed because pylint in Fedora 31

detects its use in contribs/

Reviewed-By: Florence Blanc-Renaud <flo@redhat.com>

Reviewed-By: Stanislav Levin <slev@altlinux.org>

</pre>

</li>

<li>

<strong><a href="https://salsa.debian.org/freeipa-team/freeipa/-/commit/0187a746c9197d5447e08ce2be49e3e021aae49b">0187a746</a></strong>

<div>

<span>by Alexander Bokovoy</span>

<i>at 2019-07-17T13:10:34+03:00</i>

</div>

<pre class="commit-message" style="white-space: pre-wrap; margin: 0;">Use stage and phase attempt counters when saving test artifacts

Azure Pipelines provide counters for running test jobs, these split into

System.StageAttempt and System.PhaseAttempt. Use them to make test

artifacts unique.

For XML test results we don't need to name them differently as they

aren't uploaded as artifacts but rather presented in a separate test

pane.

Reviewed-By: Florence Blanc-Renaud <flo@redhat.com>

Reviewed-By: Stanislav Levin <slev@altlinux.org>

</pre>

</li>

<li>

<strong><a href="https://salsa.debian.org/freeipa-team/freeipa/-/commit/5a83eea20bdd0c1c6302eada774ef3d8cfa04e36">5a83eea2</a></strong>

<div>

<span>by Alexander Bokovoy</span>

<i>at 2019-07-17T17:50:07+03:00</i>

</div>

<pre class="commit-message" style="white-space: pre-wrap; margin: 0;">Add altSecurityIdentities attribute from MS-WSPP schema definition

Active Directory schema includes altSecurityIdentities attribute

which presents alternative security identities for a bindable object in

Active Directory.

FreeIPA doesn't currently use this attribute. However, SSSD certmap

library may generate searches referencing the attribute if it is

specified in the certificate mapping rule. Such search might be

considered unindexed in 389-ds.

Define altSecurityIdentities attribute to allow specifying indexing

rules for it.

Fixes: https://pagure.io/freeipa/issue/7932

Related: https://pagure.io/freeipa/issue/7933

Reviewed-By: Florence Blanc-Renaud <flo@redhat.com>

</pre>

</li>

<li>

<strong><a href="https://salsa.debian.org/freeipa-team/freeipa/-/commit/725899595f42b607989db96d849e1b4f01de7faa">72589959</a></strong>

<div>

<span>by Alexander Bokovoy</span>

<i>at 2019-07-17T17:50:07+03:00</i>

</div>

<pre class="commit-message" style="white-space: pre-wrap; margin: 0;">Create indexes for altSecurityIdentities and ipaCertmapData attributes

During an investigation into filter optimisation in 389DS it was

discovered that two attributes of the certmap query are unindexed.

Due to the nature of LDAP filters, if any member of an OR query is

unindexed, the entire OR becomes unindexed.

This is then basically a full-table scan, which applies the filter test

to the contained members.

Fixes: https://pagure.io/freeipa/issue/7932

Fixes: https://pagure.io/freeipa/issue/7933

Reviewed-By: Florence Blanc-Renaud <flo@redhat.com>

</pre>

</li>

<li>

<strong><a href="https://salsa.debian.org/freeipa-team/freeipa/-/commit/41ca4d484e7492bf469d73c6e627cc6df46eebf8">41ca4d48</a></strong>

<div>

<span>by Alexander Bokovoy</span>

<i>at 2019-07-17T17:50:07+03:00</i>

</div>

<pre class="commit-message" style="white-space: pre-wrap; margin: 0;">certmap rules: altSecurityIdentities should only be used for trusted domains

IPA LDAP has no altSecurityIdentities in use, it only should apply to

identities in trusted Active Directory domains.

Add checks to enforce proper certmap rule attribution for specific

Active Directory domains.

Related: https://pagure.io/freeipa/issue/7932

Reviewed-By: Florence Blanc-Renaud <flo@redhat.com>

</pre>

</li>

<li>

<strong><a href="https://salsa.debian.org/freeipa-team/freeipa/-/commit/95c2b34c4b468a9b766b24172e34ff2d8b6c9530">95c2b34c</a></strong>

<div>

<span>by Alexander Bokovoy</span>

<i>at 2019-07-17T17:50:07+03:00</i>

</div>

<pre class="commit-message" style="white-space: pre-wrap; margin: 0;">certmaprule: add negative test for altSecurityIdentities

Try to create a certmap rule that mentiones altSecurityIdentities in its

mapping rule but uses IPA domain to apply to. It should fail with

ValidationError.

Related: https://pagure.io/freeipa/issue/7932

Reviewed-By: Florence Blanc-Renaud <flo@redhat.com>

</pre>

</li>

<li>

<strong><a href="https://salsa.debian.org/freeipa-team/freeipa/-/commit/130e1dc3433977f7a80aed139d29d21c5d30d558">130e1dc3</a></strong>

<div>

<span>by Fraser Tweedale</span>

<i>at 2019-07-17T17:58:58+03:00</i>

</div>

<pre class="commit-message" style="white-space: pre-wrap; margin: 0;">move MSCSTemplate classes to ipalib

As we expand the integration tests for external CA functionality, it

is helpful (and avoids duplication) to use the MSCSTemplate*

classes.  These currently live in ipaserver.install.cainstance, but

ipatests is no longer permitted to import from ipaserver (see commit

81714976e5e13131654c78eb734746a20237c933).  So move these classes to

ipalib.

Part of: https://pagure.io/freeipa/issue/7548

Reviewed-By: Florence Blanc-Renaud <flo@redhat.com>

</pre>

</li>

<li>

<strong><a href="https://salsa.debian.org/freeipa-team/freeipa/-/commit/21a9a7107a2028354c0fc15540b8f15d279e5fce">21a9a710</a></strong>

<div>

<span>by Fraser Tweedale</span>

<i>at 2019-07-17T17:58:58+03:00</i>

</div>

<pre class="commit-message" style="white-space: pre-wrap; margin: 0;">install: fix --external-ca-profile option

Commit dd47cfc75a69618f486abefb70f2649ebf8264e7 removed the ability

to set pki_req_ext_oid and pki_req_ext_data in the pkispawn config.

This results in the --external-ca-profile option never setting the

requested values in the CSR (the default V1 template type specifying

"SubCA" is always used).

Remove relevant fields from both ipaca_default.ini and

ipaca_customize.ini.  This allows the IPA framework to set the

values (i.e. when --external-ca-type=ms-cs and

--external-ca-profile=... demand it).  It also allows users to

override the pki_req_ext_* settings.

Part of: https://pagure.io/freeipa/issue/7548

Related: https://pagure.io/freeipa/issue/5608

Reviewed-By: Florence Blanc-Renaud <flo@redhat.com>

</pre>

</li>

<li>

<strong><a href="https://salsa.debian.org/freeipa-team/freeipa/-/commit/7171142aaf91d6079798d015af9862d6e5474c8c">7171142a</a></strong>

<div>

<span>by Fraser Tweedale</span>

<i>at 2019-07-17T17:58:58+03:00</i>

</div>

<pre class="commit-message" style="white-space: pre-wrap; margin: 0;">Fix use of incorrect variable

Part of: https://pagure.io/freeipa/issue/7548

Related: https://pagure.io/freeipa/issue/5608

Reviewed-By: Florence Blanc-Renaud <flo@redhat.com>

</pre>

</li>

<li>

<strong><a href="https://salsa.debian.org/freeipa-team/freeipa/-/commit/b15bd50e6db919279e25a8bed796df4836b845a8">b15bd50e</a></strong>

<div>

<span>by Fraser Tweedale</span>

<i>at 2019-07-17T17:58:58+03:00</i>

</div>

<pre class="commit-message" style="white-space: pre-wrap; margin: 0;">Add more tests for --external-ca-profile handling

Add tests for remaining untested scenarios of --external-ca-profile

handling in ipa-server-install.

ipa-ca-install and ipa-cacert-manage remain untested at present.

Fixes: https://pagure.io/freeipa/issue/7548

Reviewed-By: Florence Blanc-Renaud <flo@redhat.com>

</pre>

</li>

<li>

<strong><a href="https://salsa.debian.org/freeipa-team/freeipa/-/commit/80e76f094c234710ff58917e7ce4661d823c4de7">80e76f09</a></strong>

<div>

<span>by Fraser Tweedale</span>

<i>at 2019-07-17T17:58:58+03:00</i>

</div>

<pre class="commit-message" style="white-space: pre-wrap; margin: 0;">Collapse --external-ca-profile tests into single class

To avoid having to spawn new CI hosts for each kind of

--external-ca-profile argument we are testing, collapse the three

separate test classes into one.  Uninstall the half-installed IPA

after each section of tests.

This change is in response to review comment

https://github.com/freeipa/freeipa/pull/2852#pullrequestreview-220442170.

Part of: https://pagure.io/freeipa/issue/7548

Reviewed-By: Florence Blanc-Renaud <flo@redhat.com>

</pre>

</li>

<li>

<strong><a href="https://salsa.debian.org/freeipa-team/freeipa/-/commit/2c8352fe8536be0e630fdb910dc90831847ad119">2c8352fe</a></strong>

<div>

<span>by Fraser Tweedale</span>

<i>at 2019-07-17T17:58:58+03:00</i>

</div>

<pre class="commit-message" style="white-space: pre-wrap; margin: 0;">ci: add --external-ca-profile tests to nightly

Part of: https://pagure.io/freeipa/issue/7548

Reviewed-By: Florence Blanc-Renaud <flo@redhat.com>

</pre>

</li>

<li>

<strong><a href="https://salsa.debian.org/freeipa-team/freeipa/-/commit/33f39d88bf0bb871e3868c827aeb335eb40f5ae3">33f39d88</a></strong>

<div>

<span>by Fraser Tweedale</span>

<i>at 2019-07-17T17:58:58+03:00</i>

</div>

<pre class="commit-message" style="white-space: pre-wrap; margin: 0;">ci: add --external-ca-profile tests to gating

Part of: https://pagure.io/freeipa/issue/7548

Reviewed-By: Florence Blanc-Renaud <flo@redhat.com>

</pre>

</li>

<li>

<strong><a href="https://salsa.debian.org/freeipa-team/freeipa/-/commit/e771fa59ff65545ff1e84f1cd30e06556fabcee3">e771fa59</a></strong>

<div>

<span>by Rob Crittenden</span>

<i>at 2019-07-19T13:13:34-04:00</i>

</div>

<pre class="commit-message" style="white-space: pre-wrap; margin: 0;">Remove posixAccount from service_find search filter

This will allow cifs principals to be found. They were suppressed

because they include objectclass=posixAccount.

This is a bit of a historical anomaly. This was included in the

filter from the initial commit (though it was person, not

posixAccount). I believe it was a mistake from the beginning but

it wasn't noticed because it didn't cause any obvious issues.

https://pagure.io/freeipa/issue/8013

Reviewed-By: Alexander Bokovoy <abbra@users.noreply.github.com>

</pre>

</li>

<li>

<strong><a href="https://salsa.debian.org/freeipa-team/freeipa/-/commit/3c388f5a228b767dfd92bd824dfced166acda143">3c388f5a</a></strong>

<div>

<span>by Fraser Tweedale</span>

<i>at 2019-07-22T13:33:24+10:00</i>

</div>

<pre class="commit-message" style="white-space: pre-wrap; margin: 0;">dogtaginstance: add profile to tracking requests

Enabling "fresh" renewals (c.f. "renewal"-based renewals that

reference the expired certificate and its associated request object)

will improve renewal robustness.

To use fresh renewals the tracking request must record the profile

to be used.  Make dogtaginstance record the profile when creating

tracking requests for both CA and KRA.

Note that 'Server-Cert cert-pki-ca' and the 'IPA RA' both use

profile 'caServerCert', which is the default (according to

dogtag-ipa-renew-agent which is part of Certmonger).  So we do not

need any special handling for those certificates.

This commit does not handle upgrade.  It will be handled in a

subsequent commit.

Part of: https://pagure.io/freeipa/issue/7991

Reviewed-By: Rob Crittenden <rcritten@redhat.com>

</pre>

</li>

<li>

<strong><a href="https://salsa.debian.org/freeipa-team/freeipa/-/commit/f6f6f83dca22fb23ee2a7dd1b2925a74fe395afe">f6f6f83d</a></strong>

<div>

<span>by Fraser Tweedale</span>

<i>at 2019-07-22T13:33:24+10:00</i>

</div>

<pre class="commit-message" style="white-space: pre-wrap; margin: 0;">upgrade: add profile to Dogtag tracking requests

To use profile-based renewal (rather than "renewal existing cert"

renewal which is brittle against database corruption or deleted

certificate / request objects), Certmonger tracking requests for

Dogtag system certs must record the profile to be used.

Update the upgrade method that checks tracking requests to look for

the profile.  Tracking requests will be recreated if the expected

data are not found.  The code that actually adds the tracking

requests was updated in a previous commit.

Part of: https://pagure.io/freeipa/issue/7991

Reviewed-By: Rob Crittenden <rcritten@redhat.com>

</pre>

</li>

<li>

<strong><a href="https://salsa.debian.org/freeipa-team/freeipa/-/commit/858ef59948f5c8edd511f4db0b5fd69a1169f19b">858ef599</a></strong>

<div>

<span>by Fraser Tweedale</span>

<i>at 2019-07-22T13:33:24+10:00</i>

</div>

<pre class="commit-message" style="white-space: pre-wrap; margin: 0;">certmonger: use long options when invoking dogtag-ipa-renew-agent

To aid reader comprehension, use long options instead of short

options when invoking dogtag-ipa-renew-agent.

  -N -> --force-new

  -O -> --approval-option

Part of: https://pagure.io/freeipa/issue/7991

Reviewed-By: Rob Crittenden <rcritten@redhat.com>

</pre>

</li>

<li>

<strong><a href="https://salsa.debian.org/freeipa-team/freeipa/-/commit/1fb6fda01f2aca5fadc3707b7c7a3f3c9e647f85">1fb6fda0</a></strong>

<div>

<span>by Fraser Tweedale</span>

<i>at 2019-07-22T13:33:24+10:00</i>

</div>

<pre class="commit-message" style="white-space: pre-wrap; margin: 0;">dogtag-ipa-ca-renew-agent: always use profile-based renewal

Update the renewal helper to always request a new certificate

("enrollment request") instead of using "renewal request".  The

latter is brittle in the face of:

- missing certificate record in database

- missing original request record in database (pointed to by

  certificate record)

- "mismatched" certificate or request records (there have been many

  cases of this; it is suspected that request/serial range conflicts,

  or something similar, may be the cause)

The Dogtag tracking request must know what profile to use, except

where the certificate uses the default profile ("caServerCert" per

'dogtag-ipa-renew-agent' implementation in Certmonger itself).

This part of the puzzle was dealt with in previous commits.

Part of: https://pagure.io/freeipa/issue/7991

Reviewed-By: Rob Crittenden <rcritten@redhat.com>

</pre>

</li>

<li>

<strong><a href="https://salsa.debian.org/freeipa-team/freeipa/-/commit/588f1ddce2f69fd5e80d3271c9c8d80d312d350f">588f1ddc</a></strong>

<div>

<span>by Fraser Tweedale</span>

<i>at 2019-07-22T13:33:24+10:00</i>

</div>

<pre class="commit-message" style="white-space: pre-wrap; margin: 0;">dogtaginstance: avoid special cases for Server-Cert

The Dogtag "Server-Cert cert-pki-ca" certificate is treated

specially, with its own track_servercert() method and other special

casing.  But there is no real need for this - the only (potential)

difference is the token name.  Account for the token name difference

with a lookup method and treat all Dogtag system certs equally

w.r.t. tracking request creation and removal.

Part of: https://pagure.io/freeipa/issue/7991

Reviewed-By: Rob Crittenden <rcritten@redhat.com>

</pre>

</li>

<li>

<strong><a href="https://salsa.debian.org/freeipa-team/freeipa/-/commit/4f4e2f96b022a056777fed59583f204edb797a2e">4f4e2f96</a></strong>

<div>

<span>by Fraser Tweedale</span>

<i>at 2019-07-22T13:33:24+10:00</i>

</div>

<pre class="commit-message" style="white-space: pre-wrap; margin: 0;">upgrade: always add profile to tracking requests

The profile for every Dogtag system cert tracking request is now

explicitly specified.  So remove the code that handled unspecified

profiles.

Part of: https://pagure.io/freeipa/issue/7991

Reviewed-By: Rob Crittenden <rcritten@redhat.com>

</pre>

</li>

<li>

<strong><a href="https://salsa.debian.org/freeipa-team/freeipa/-/commit/482866e47e20520fbe39ef05439badbb3069bef6">482866e4</a></strong>

<div>

<span>by Fraser Tweedale</span>

<i>at 2019-07-22T13:33:24+10:00</i>

</div>

<pre class="commit-message" style="white-space: pre-wrap; margin: 0;">upgrade: update KRA tracking requests

The upgrade routine checks tracking requests for CA system

certificates, IPA RA and HTTP/LDAP/KDC service certificates.  If a

tracking request matching our expectations is not found, we stop

tracking all certificates, then create new tracking requests with

the correct configuration.

But the KRA was left out.  Add checks for KRA certificates, and

remove/recreate KRA tracking requests when appropriate.

Part of: https://pagure.io/freeipa/issue/7991

Reviewed-By: Rob Crittenden <rcritten@redhat.com>

</pre>

</li>

<li>

<strong><a href="https://salsa.debian.org/freeipa-team/freeipa/-/commit/2d22f568a1043b0cb0b69314d3951d39721becc7">2d22f568</a></strong>

<div>

<span>by Fraser Tweedale</span>

<i>at 2019-07-22T13:33:24+10:00</i>

</div>

<pre class="commit-message" style="white-space: pre-wrap; margin: 0;">upgrade: log missing/misconfigured tracking requests

For better diagnostics during upgrade, log the Certmonger tracking

requests that were not found (either because they do not exist, or

do not have the expected configuration).

Part of: https://pagure.io/freeipa/issue/7991

Reviewed-By: Rob Crittenden <rcritten@redhat.com>

</pre>

</li>

<li>

<strong><a href="https://salsa.debian.org/freeipa-team/freeipa/-/commit/fa5675582caef6d0708c8ae392e170b44d9daf5b">fa567558</a></strong>

<div>

<span>by Fraser Tweedale</span>

<i>at 2019-07-22T13:33:24+10:00</i>

</div>

<pre class="commit-message" style="white-space: pre-wrap; margin: 0;">upgrade: fix spurious certmonger re-tracking

The search for the HTTP Certmonger tracking request uses an

incorrect parameter ('key-storage'), triggering removal and

recreation of tracking requests on every upgrade.  Replace

'key-storage' with the correct parameter, 'key-file'.

Part of: https://pagure.io/freeipa/issue/7991

Reviewed-By: Rob Crittenden <rcritten@redhat.com>

</pre>

</li>

<li>

<strong><a href="https://salsa.debian.org/freeipa-team/freeipa/-/commit/1bf008a64f15e617b0dde93555f5dca1cbdf990a">1bf008a6</a></strong>

<div>

<span>by Fraser Tweedale</span>

<i>at 2019-07-22T13:33:24+10:00</i>

</div>

<pre class="commit-message" style="white-space: pre-wrap; margin: 0;">cainstance: add profile to IPA RA tracking request

Profile-based renewal means we should always explicitly specify the

profile in tracking requests that use the dogtag-ipa-ca-renew-agent

renewal helper.  This includes the IPA RA agent certificate.  Update

CAInstance.configure_agent_renewal() to add the profile to the

tracking request.  This also covers the upgrade scenario (because

the same method gets invoked).

Part of: https://pagure.io/freeipa/issue/7991

Reviewed-By: Rob Crittenden <rcritten@redhat.com>

</pre>

</li>

<li>

<strong><a href="https://salsa.debian.org/freeipa-team/freeipa/-/commit/bb779baadf0df3333bd853599a21e81907c8c116">bb779baa</a></strong>

<div>

<span>by Fraser Tweedale</span>

<i>at 2019-07-22T13:33:24+10:00</i>

</div>

<pre class="commit-message" style="white-space: pre-wrap; margin: 0;">Use RENEWAL_CA_NAME and RA_AGENT_PROFILE constants

Replace renewal CA and profile name literals with corresponding

symbols from ipalib.constants.

Part of: https://pagure.io/freeipa/issue/7991

Reviewed-By: Rob Crittenden <rcritten@redhat.com>

</pre>

</li>

<li>

<strong><a href="https://salsa.debian.org/freeipa-team/freeipa/-/commit/65d9a9be520ea9402143d9f06878eff53647925a">65d9a9be</a></strong>

<div>

<span>by Fraser Tweedale</span>

<i>at 2019-07-22T13:33:24+10:00</i>

</div>

<pre class="commit-message" style="white-space: pre-wrap; margin: 0;">ipatests: test ipa-server-upgrade in CA-less deployment

Part of: https://pagure.io/freeipa/issue/7991

Reviewed-By: Rob Crittenden <rcritten@redhat.com>

</pre>

</li>

<li>

<strong><a href="https://salsa.debian.org/freeipa-team/freeipa/-/commit/f5822e3a25c0b1b35678ba3d8bcca6cbc16bff5b">f5822e3a</a></strong>

<div>

<span>by Rob Crittenden</span>

<i>at 2019-07-22T13:33:24+10:00</i>

</div>

<pre class="commit-message" style="white-space: pre-wrap; margin: 0;">httpinstance: add pinfile when tracking certificate

When the HTTP certificate gets untracked then tracked again, it

loses its pin file.  Ensure we add the pin file when (re-)tracking

the HTTP certificate.

Part of: https://pagure.io/freeipa/issue/7991

Reviewed-By: Rob Crittenden <rcritten@redhat.com>

</pre>

</li>

<li>

<strong><a href="https://salsa.debian.org/freeipa-team/freeipa/-/commit/b7ad11572d3060e64252c4366d7c8afff1bc15e9">b7ad1157</a></strong>

<div>

<span>by Fraser Tweedale</span>

<i>at 2019-07-22T13:33:24+10:00</i>

</div>

<pre class="commit-message" style="white-space: pre-wrap; margin: 0;">dsinstance: add proflie when tracking certificate

When the DS certificate gets untracked then tracked again (via

dsinstance.start_tracking_certificate()), it loses its profile

configuration.  Although it is the default profile, we want to

retain the explicit reference.  Ensure we add the profile when

re-tracking the DS certificate.

Part of: https://pagure.io/freeipa/issue/7991

Reviewed-By: Rob Crittenden <rcritten@redhat.com>

</pre>

</li>

<li>

<strong><a href="https://salsa.debian.org/freeipa-team/freeipa/-/commit/6316a006327426af9365f865633cf6767ff699a9">6316a006</a></strong>

<div>

<span>by Serhii Tsymbaliuk</span>

<i>at 2019-07-22T11:28:46+02:00</i>

</div>

<pre class="commit-message" style="white-space: pre-wrap; margin: 0;">WebUI tests: Fix timeout issues for reset password tests

- Increase wait timeout after password reset

- Wait for server response after login in TestLoginScreen.test_reset_password_and_login_view

Ticket: https://pagure.io/freeipa/issue/8012

Signed-off-by: Serhii Tsymbaliuk <stsymbal@redhat.com>

Reviewed-By: Christian Heimes <cheimes@redhat.com>

</pre>

</li>

<li>

<strong><a href="https://salsa.debian.org/freeipa-team/freeipa/-/commit/94b4af55b0b4f376e687fae777c51678b99816f3">94b4af55</a></strong>

<div>

<span>by Christian Heimes</span>

<i>at 2019-07-25T15:16:33-04:00</i>

</div>

<pre class="commit-message" style="white-space: pre-wrap; margin: 0;">Add PKCS#11 module name to p11helper errors

The p11helper module now includes the name of the PKCS#11 shared library

in error messages.

Fixes: https://pagure.io/freeipa/issue/8015

Co-Authored-By: Mikhail Novosyolov <m.novosyolov@rosalinux.ru>

Signed-off-by: Christian Heimes <cheimes@redhat.com>

Reviewed-By: Rob Crittenden <rcritten@redhat.com>

</pre>

</li>

<li>

<strong><a href="https://salsa.debian.org/freeipa-team/freeipa/-/commit/b52d40b0c1242eb49b21834ef83d810b687ca657">b52d40b0</a></strong>

<div>

<span>by Sumedh Sidhaye</span>

<i>at 2019-07-25T15:21:39-04:00</i>

</div>

<pre class="commit-message" style="white-space: pre-wrap; margin: 0;">Test: To check ipa replica-manage del <FQDN> does not fail

Problem:

If a replica installation fails before all the services have been enabled then

it could leave things in a bad state.

ipa-replica-manage del <replica> --cleanup --force

invalid 'PKINIT enabled server': all masters must have IPA master role enabled

Test Steps:

1. Setup server

2. Setup replica

3. modify the replica entry on Master:

   dn: cn=KDC,cn=<replica hostname>,cn=masters,cn=ipa,cn=etc,dc=<test>,dc=<realm>

   changetype: modify

   delete: ipaconfigstring

   ipaconfigstring: enabledService

   dn: cn=KDC,cn=<replica hostname>,cn=masters,cn=ipa,cn=etc,dc=<test>,dc=<realm>

   add: ipaconfigstring

   ipaconfigstring: configuredService

4. On master,

   run ipa-replica-manage del <replicaFQDN> --cleanup --force

Related Ticket: https://pagure.io/freeipa/issue/7929

Signed-off-by: Sumedh Sidhaye <ssidhaye@redhat.com>

Reviewed-By: Florence Blanc-Renaud <frenaud@redhat.com>

Reviewed-By: Christian Heimes <cheimes@redhat.com>

Reviewed-By: Rob Crittenden <rcritten@redhat.com>

</pre>

</li>

<li>

<strong><a href="https://salsa.debian.org/freeipa-team/freeipa/-/commit/5e97e80069349d4b6a8c221f724b8f459fc3aa89">5e97e800</a></strong>

<div>

<span>by Florence Blanc-Renaud</span>

<i>at 2019-07-26T10:47:30+02:00</i>

</div>

<pre class="commit-message" style="white-space: pre-wrap; margin: 0;">Azure pipeline: report failure in prepare-build step

The azure pipeline defines a "prepare build" step that

installs the FreeIPA development dependencies but the

step does not report failures of the dnf builddep command.

As a consequence, subsequent steps may fail (for instance

because of components not installed such as tox) but are

hard to diagnose.

The fix reports the command failure.

Fixes: https://pagure.io/freeipa/issue/8022

Reviewed-By: Alexander Bokovoy <abokovoy@redhat.com>

Reviewed-By: Rob Crittenden <rcritten@redhat.com>

</pre>

</li>

<li>

<strong><a href="https://salsa.debian.org/freeipa-team/freeipa/-/commit/68b85703d8ab2ede823d96e317dd106de27b108b">68b85703</a></strong>

<div>

<span>by François Cami</span>

<i>at 2019-07-26T10:49:54+02:00</i>

</div>

<pre class="commit-message" style="white-space: pre-wrap; margin: 0;">ipatests: test multiple invocations of ipa-client-samba --uninstall

Related-to: https://pagure.io/freeipa/issue/8019

Signed-off-by: François Cami <fcami@redhat.com>

Reviewed-By: Alexander Bokovoy <abokovoy@redhat.com>

Reviewed-By: Sergey Orlov <sorlov@redhat.com>

</pre>

</li>

<li>

<strong><a href="https://salsa.debian.org/freeipa-team/freeipa/-/commit/5b65551b3107e46853afcc4901a60ea6e661a511">5b65551b</a></strong>

<div>

<span>by François Cami</span>

<i>at 2019-07-26T10:49:54+02:00</i>

</div>

<pre class="commit-message" style="white-space: pre-wrap; margin: 0;">ipa-client-samba: remove and restore smb.conf only on first uninstall

Fixes: https://pagure.io/freeipa/issue/8019

Signed-off-by: François Cami <fcami@redhat.com>

Reviewed-By: Alexander Bokovoy <abokovoy@redhat.com>

Reviewed-By: Sergey Orlov <sorlov@redhat.com>

</pre>

</li>

<li>

<strong><a href="https://salsa.debian.org/freeipa-team/freeipa/-/commit/ed6ee90c547cd27a3731f177dc9917176a714b49">ed6ee90c</a></strong>

<div>

<span>by François Cami</span>

<i>at 2019-07-26T10:49:54+02:00</i>

</div>

<pre class="commit-message" style="white-space: pre-wrap; margin: 0;">ipatests: test ipa-client-samba after --uninstall

Related-to: https://pagure.io/freeipa/issue/8021

Signed-off-by: François Cami <fcami@redhat.com>

Reviewed-By: Alexander Bokovoy <abokovoy@redhat.com>

Reviewed-By: Sergey Orlov <sorlov@redhat.com>

</pre>

</li>

<li>

<strong><a href="https://salsa.debian.org/freeipa-team/freeipa/-/commit/cd2cbaecfce6b7b607619b34503b62c8afbbe594">cd2cbaec</a></strong>

<div>

<span>by François Cami</span>

<i>at 2019-07-26T10:49:54+02:00</i>

</div>

<pre class="commit-message" style="white-space: pre-wrap; margin: 0;">ipa-client-samba: remove state on uninstall

The "domain_member" state was not removed at uninstall time.

Remove it so that future invocations of ipa-client-samba work.

Fixes: https://pagure.io/freeipa/issue/8021

Signed-off-by: François Cami <fcami@redhat.com>

https://pagure.io/freeipa/issue/8021

Reviewed-By: Alexander Bokovoy <abokovoy@redhat.com>

Reviewed-By: Sergey Orlov <sorlov@redhat.com>

</pre>

</li>

<li>

<strong><a href="https://salsa.debian.org/freeipa-team/freeipa/-/commit/de1fa7cc745fbd9127d00697e248d39e8c541e45">de1fa7cc</a></strong>

<div>

<span>by Sumedh Sidhaye</span>

<i>at 2019-07-26T15:18:53+02:00</i>

</div>

<pre class="commit-message" style="white-space: pre-wrap; margin: 0;">Test: Test to check whether ssh from ipa client to ipa master is successful after adding ldap_deref_threshold=0 in sssd.conf

Problem: After adding ldap_deref_threshold=0 setting for sssd on master for

performance enhancement ssh from ipa client was failing

Test Procedure:

1. setup a master

2. add ldap_deref_threshold=0 to sssd.conf on master

3. add an ipa user

4. ssh from controller to master using the user created in step 3

Signed-off-by: Sumedh Sidhaye <ssidhaye@redhat.com>

Reviewed-By: Florence Blanc-Renaud <flo@redhat.com>

</pre>

</li>

<li>

<strong><a href="https://salsa.debian.org/freeipa-team/freeipa/-/commit/6af723c0c36bc1d7b4c4357b466a285254e0e176">6af723c0</a></strong>

<div>

<span>by Serhii Tsymbaliuk</span>

<i>at 2019-07-26T18:10:02+02:00</i>

</div>

<pre class="commit-message" style="white-space: pre-wrap; margin: 0;">WebUI: Add PKINIT status field to 'Configuration' page

- Add 'Server Options' section to the page

- Add 'IPA master capable of PKINIT' field to the 'Server Options'

Ticket: https://pagure.io/freeipa/issue/7305

Signed-off-by: Serhii Tsymbaliuk <stsymbal@redhat.com>

Reviewed-By: Florence Blanc-Renaud <flo@redhat.com>

</pre>

</li>

<li>

<strong><a href="https://salsa.debian.org/freeipa-team/freeipa/-/commit/f16ea8e652a3a3b555087646b9887bc77934d175">f16ea8e6</a></strong>

<div>

<span>by Serhii Tsymbaliuk</span>

<i>at 2019-07-29T17:38:45+02:00</i>

</div>

<pre class="commit-message" style="white-space: pre-wrap; margin: 0;">WebUI tests: Fix request timeout for test_trust

Because of intergration with AD server response can take time more then 1 minute.

So request_timeout is increased to 120s.

Ticket: https://pagure.io/freeipa/issue/8024

Signed-off-by: Serhii Tsymbaliuk <stsymbal@redhat.com>

Reviewed-By: Tibor Dudlak <tdudlak@redhat.com>

</pre>

</li>

<li>

<strong><a href="https://salsa.debian.org/freeipa-team/freeipa/-/commit/11e40336c5f0c5b086bbb7a98fb5cd22c80b4df3">11e40336</a></strong>

<div>

<span>by Florence Blanc-Renaud</span>

<i>at 2019-07-30T09:39:06+02:00</i>

</div>

<pre class="commit-message" style="white-space: pre-wrap; margin: 0;">test_xmlrpc: fix TestAutomemberFindOrphans.test_find_orphan_automember_rules

Test scenario:

- create a hostgroup

- create a host

- create an automember rule for the hostgroup with a condition fulfilled

by the host

- delete the hostgroup

- call automember-rebuild (1)

- call automember-find-orphans to remove the orphan automember group

- call automember-rebuild(2)

The test was expecting the first rebuild command to fail but this

assumption is not true if the DS version is >= 1.4.0.22 because of the

fix for https://pagure.io/389-ds-base/issue/50077

Modify the test so that it expects failure only when DS is older.

Fixes: https://pagure.io/freeipa/issue/7902

Reviewed-By: Christian Heimes <cheimes@redhat.com>

Reviewed-By: Rob Crittenden <rcritten@redhat.com>

</pre>

</li>

<li>

<strong><a href="https://salsa.debian.org/freeipa-team/freeipa/-/commit/402246a72990f77591f5efaec7ff0bc0cf82f416">402246a7</a></strong>

<div>

<span>by François Cami</span>

<i>at 2019-07-30T12:01:27+02:00</i>

</div>

<pre class="commit-message" style="white-space: pre-wrap; margin: 0;">ipapython/admintool.py: use SERVER_NOT_CONFIGURED

Commit 9182917280a5c2590fa677729db54b38a9ac4d1f introduced

SUCCESS, SERVER_INSTALL_ERROR and SERVER_NOT_CONFIGURED to

deal with cases when server is not configured.

Actually use SERVER_NOT_CONFIGURED in log_failure instead of 2.

Related-to: https://pagure.io/freeipa/issue/6843

Signed-off-by: François Cami <fcami@redhat.com>

Reviewed-By: Alexander Bokovoy <abokovoy@redhat.com>

Reviewed-By: Rob Crittenden <rcritten@redhat.com>

</pre>

</li>

<li>

<strong><a href="https://salsa.debian.org/freeipa-team/freeipa/-/commit/a66124ba198324fc454d51073ced8756c8ac3d2c">a66124ba</a></strong>

<div>

<span>by François Cami</span>

<i>at 2019-07-30T18:57:53+02:00</i>

</div>

<pre class="commit-message" style="white-space: pre-wrap; margin: 0;">prci_definitions: add master_3client topology

Some tests would benefit from using a multi-client topology.

As PR-CI now supports master_3client, use it.

Fixes: https://pagure.io/freeipa/issue/8026

Signed-off-by: François Cami <fcami@redhat.com>

Reviewed-By: Armando Neto <abiagion@redhat.com>

</pre>

</li>

<li>

<strong><a href="https://salsa.debian.org/freeipa-team/freeipa/-/commit/21cd9775ec314421949259b825bb05dcbfab9f8f">21cd9775</a></strong>

<div>

<span>by François Cami</span>

<i>at 2019-07-30T23:42:54+02:00</i>

</div>

<pre class="commit-message" style="white-space: pre-wrap; margin: 0;">test_nfs.py: switch to tasks.config_replica_resolvconf_with_master_data()

Previously test_nfs.py would implement its own method to configure

resolv.conf leading to cleanup failures in some cases.

Use tasks.config_replica_resolvconf_with_master_data() instead.

Also simplify and fix client uninstall.

Fixes: https://pagure.io/freeipa/issue/7949

Signed-off-by: François Cami <fcami@redhat.com>

Reviewed-By: Sergey Orlov <sorlov@redhat.com>

Reviewed-By: Rob Crittenden <rcritten@redhat.com>

</pre>

</li>

<li>

<strong><a href="https://salsa.debian.org/freeipa-team/freeipa/-/commit/526b85a66e9ab90a5c4ef3f9ecca200664e1af9e">526b85a6</a></strong>

<div>

<span>by François Cami</span>

<i>at 2019-07-30T23:42:54+02:00</i>

</div>

<pre class="commit-message" style="white-space: pre-wrap; margin: 0;">ipatests: rename config_replica_resolvconf_with_master_data()

config_replica_resolvconf_with_master_data() is not replica specific.

Rename to config_host_resolvconf_with_master_data() as it is not tied

to any role (master, replica, client).

Signed-off-by: François Cami <fcami@redhat.com>

Reviewed-By: Sergey Orlov <sorlov@redhat.com>

Reviewed-By: Rob Crittenden <rcritten@redhat.com>

</pre>

</li>

<li>

<strong><a href="https://salsa.debian.org/freeipa-team/freeipa/-/commit/80561224abcdc738a127e1ad70f3966cbb955c66">80561224</a></strong>

<div>

<span>by François Cami</span>

<i>at 2019-07-30T23:42:54+02:00</i>

</div>

<pre class="commit-message" style="white-space: pre-wrap; margin: 0;">test_nfs.py: switch to master_3repl

test_nfs.py historically used master_2repl_1client.

Now that master_3client exists, switch to that as it allows removal

of custom install/cleanup steps.

Fixes: https://pagure.io/freeipa/issue/8027

Signed-off-by: François Cami <fcami@redhat.com>

Reviewed-By: Sergey Orlov <sorlov@redhat.com>

Reviewed-By: Rob Crittenden <rcritten@redhat.com>

</pre>

</li>

<li>

<strong><a href="https://salsa.debian.org/freeipa-team/freeipa/-/commit/27baf3501389cc3c8a12e06686da13a874d3f9da">27baf350</a></strong>

<div>

<span>by Florence Blanc-Renaud</span>

<i>at 2019-07-31T09:34:34+03:00</i>

</div>

<pre class="commit-message" style="white-space: pre-wrap; margin: 0;">user-stage: transfer all attributes from preserved to stage user

The user-stage command is internally implemented as:

- user_show(all=True) in order to read the user attributes

- loop on the attributes defined as possible to add using stageuser-add and

transform them into new options for stageuser_add (for instance stageuser-add

provides the option --shell for the attribute loginshell, but there is no

option for the attribute businesscategory).

- call stageuser_add in order to create a new entry in the active users subtree

- user-del to remove the previous entry in the staged users subtree

The issue is in the 2nd step. Only the attributes with a stageuser-add option

are processed.

The logic of the code should be slightly modified, so that all the attributes

read in the first step are processed:

- if they correspond to an option of stageuser-add, process them like it's

currently done. For instance if the entry contains displayname, then it

should be processed as --displayName=value in the stageuser-add cmd

- if they do not correspond to an option of stageuser-add, add them with

--setattr=<attrname>=<attrvalue>

Note that some attributes may need to be filtered, for instance user-show

returns has_password or has_keytab, which do not correspond to attributes

in the LDAP entry.

Fixes: https://pagure.io/freeipa/issue/7597

Reviewed-By: Alexander Bokovoy <abokovoy@redhat.com>

Reviewed-By: Rob Crittenden <rcritten@redhat.com>

</pre>

</li>

<li>

<strong><a href="https://salsa.debian.org/freeipa-team/freeipa/-/commit/8ebbb271a556ace5d1f68c404a786aef6d56ba97">8ebbb271</a></strong>

<div>

<span>by Florence Blanc-Renaud</span>

<i>at 2019-07-31T09:34:34+03:00</i>

</div>

<pre class="commit-message" style="white-space: pre-wrap; margin: 0;">xmlrpc test: add test for preserved > stage user

When moving a preserved user to the stage area, check that the

custom attributes are not lost ( = the attr for which there is

no specific user_stage option).

Test scenario:

- add a stage user with --setattr "businesscategory=value"

- activate the user, check that businesscategory is still present

- delete (preserve) the user, check that attr is still present

- stage the user, check that attr is still present

Related: https://pagure.io/freeipa/issue/7597

Reviewed-By: Alexander Bokovoy <abokovoy@redhat.com>

Reviewed-By: Rob Crittenden <rcritten@redhat.com>

</pre>

</li>

<li>

<strong><a href="https://salsa.debian.org/freeipa-team/freeipa/-/commit/44bcf0990fd5ed64c9997420b19db161b3b407fe">44bcf099</a></strong>

<div>

<span>by Tibor Dudlák</span>

<i>at 2019-07-31T14:21:37+02:00</i>

</div>

<pre class="commit-message" style="white-space: pre-wrap; margin: 0;">ipatests: Update test tasks for client to be interactive

Related: https://pagure.io/freeipa/issue/7908

Reviewed-By: Michal Polovka <mpolovka@redhat.com>

Reviewed-By: Rob Crittenden <rcritten@redhat.com>

</pre>

</li>

<li>

<strong><a href="https://salsa.debian.org/freeipa-team/freeipa/-/commit/2bc7fb7fd0b0dec3b7fd8d25b4a30aa453537dfd">2bc7fb7f</a></strong>

<div>

<span>by Tibor Dudlák</span>

<i>at 2019-07-31T14:21:37+02:00</i>

</div>

<pre class="commit-message" style="white-space: pre-wrap; margin: 0;">ipatests: Add tests for interactive chronyd config

Add interactive configuration tests for

ipa-server-install and ipa-client-install

FreeIPA server as it is now is unable to

configure NTP interactively for replica

installations.

Resolves: https://pagure.io/freeipa/issue/7908

Reviewed-By: Michal Polovka <mpolovka@redhat.com>

Reviewed-By: Rob Crittenden <rcritten@redhat.com>

</pre>

</li>

<li>

<strong><a href="https://salsa.debian.org/freeipa-team/freeipa/-/commit/d0efb9ea48a96168c73f15a297b3b7da7b6e87e0">d0efb9ea</a></strong>

<div>

<span>by Tibor Dudlák</span>

<i>at 2019-07-31T14:21:37+02:00</i>

</div>

<pre class="commit-message" style="white-space: pre-wrap; margin: 0;">ipatests: refactor TestNTPoptions

Move common and error messages to class scope to be reused again.

Reviewed-By: Michal Polovka <mpolovka@redhat.com>

Reviewed-By: Rob Crittenden <rcritten@redhat.com>

</pre>

</li>

<li>

<strong><a href="https://salsa.debian.org/freeipa-team/freeipa/-/commit/8b7fae30b15d5507da95f91f453b1d816eff6d7b">8b7fae30</a></strong>

<div>

<span>by Tibor Dudlák</span>

<i>at 2019-07-31T14:21:37+02:00</i>

</div>

<pre class="commit-message" style="white-space: pre-wrap; margin: 0;">Increase ntp_options test timeout

Reviewed-By: Michal Polovka <mpolovka@redhat.com>

Reviewed-By: Rob Crittenden <rcritten@redhat.com>

</pre>

</li>

<li>

<strong><a href="https://salsa.debian.org/freeipa-team/freeipa/-/commit/70b96d76cb97b386da27e05d81240f946b206378">70b96d76</a></strong>

<div>

<span>by François Cami</span>

<i>at 2019-08-02T20:15:04+02:00</i>

</div>

<pre class="commit-message" style="white-space: pre-wrap; margin: 0;">azure-pipelines.yml: switch to Python 3.7

* switch to Python 3.7 (UsePythonVersion@0 task)

* use "pip install --user"

Fixes: https://pagure.io/freeipa/issue/8030

Signed-off-by: François Cami <fcami@redhat.com>

Reviewed-By: Alexander Bokovoy <abokovoy@redhat.com>

</pre>

</li>

<li>

<strong><a href="https://salsa.debian.org/freeipa-team/freeipa/-/commit/adcf04255cb24564230604469ae34c180e057dfa">adcf0425</a></strong>

<div>

<span>by Theodor van Nahl</span>

<i>at 2019-08-06T07:13:37+02:00</i>

</div>

<pre class="commit-message" style="white-space: pre-wrap; margin: 0;">Fix UnboundLocalError in ipa-replica-manage on errors

If ipa-replica-manage is unable to retrieve e.g. due to certificate

validity problem. An UnboundLocalError is thrown for `type1`. This fixes

the issue with a clean exit.

Reviewed-By: Christian Heimes <cheimes@redhat.com>

</pre>

</li>

<li>

<strong><a href="https://salsa.debian.org/freeipa-team/freeipa/-/commit/69138c848d605ddcb997c8d3f6d51ebdc561c8a6">69138c84</a></strong>

<div>

<span>by Christian Heimes</span>

<i>at 2019-08-06T12:39:46+02:00</i>

</div>

<pre class="commit-message" style="white-space: pre-wrap; margin: 0;">Test external CA with DNS name constraints

Verify that FreeIPA can be installed with an external CA that has a name

constraints extension.

Signed-off-by: Christian Heimes <cheimes@redhat.com>

Reviewed-By: Fraser Tweedale <ftweedal@redhat.com>

Reviewed-By: Alexander Bokovoy <abokovoy@redhat.com>

</pre>

</li>

<li>

<strong><a href="https://salsa.debian.org/freeipa-team/freeipa/-/commit/9a440ae8855a5bc7b49ffe43c4a6654b17eed0a9">9a440ae8</a></strong>

<div>

<span>by Christian Hermann</span>

<i>at 2019-08-07T08:18:59+02:00</i>

</div>

<pre class="commit-message" style="white-space: pre-wrap; margin: 0;">configure.ac: don't rely on bashisms

93fb037d8409d9d46606c31d8a240e3963b72651 introduced unportable shell

syntax, which led to erros like

./configure: 3179: ./configure: CFLAGS+= -D__STDC_WANT_LIB_EXT1__=1: not found

in case a posix shell is used.

Reviewed-By: Christian Heimes <cheimes@redhat.com>

Reviewed-By: Alexander Bokovoy <abokovoy@redhat.com>

</pre>

</li>

<li>

<strong><a href="https://salsa.debian.org/freeipa-team/freeipa/-/commit/73c32dbfeb9a67a476243540dc724784b1a007aa">73c32dbf</a></strong>

<div>

<span>by Rob Crittenden</span>

<i>at 2019-08-07T08:35:28+02:00</i>

</div>

<pre class="commit-message" style="white-space: pre-wrap; margin: 0;">Don't return SSH keys with ipa host-find --pkey-only

This was introduced in 14ee02dcbd6cbb6c221ac7526e471a9fc58fcc82

https://pagure.io/freeipa/issue/8029

Reviewed-By: Alexander Bokovoy <abokovoy@redhat.com>

</pre>

</li>

<li>

<strong><a href="https://salsa.debian.org/freeipa-team/freeipa/-/commit/802a54bfc8b698ca962b383beb3684a4b1af1865">802a54bf</a></strong>

<div>

<span>by Alexander Bokovoy</span>

<i>at 2019-08-08T09:46:10+02:00</i>

</div>

<pre class="commit-message" style="white-space: pre-wrap; margin: 0;">Change RA agent certificate profile to caSubsystemCert

Currently, RA agent certificate is issued using caServerCert profile.

This has unfortunate side effect of asserting id-pk-serverAuth EKU which

is not really needed for RA agent. If IPA CA certificate adds SAN DNS

constraints into issued certificates, presence of id-pk-serverAuth EKU

forces NSS (and other crypto libraries) to validate CN value with

regards to SAN DNS constraints, due to historical use of CN bearing DNS

name.

Since RA agent certificate has 'CN=IPA RA', it is guaranteed to fail

the check.

Default IPA CA configuration does *not* add SAN DNS constraints into RA

agent certificate. However, it is better to be prepared to such

behavior.

Related: https://bugzilla.redhat.com/1670239

Reviewed-By: Fraser Tweedale <ftweedal@redhat.com>

Reviewed-By: Christian Heimes <cheimes@redhat.com>

</pre>

</li>

<li>

<strong><a href="https://salsa.debian.org/freeipa-team/freeipa/-/commit/3c82585e52c9cdcf6317bbc029935f8e339bffc6">3c82585e</a></strong>

<div>

<span>by Christian Heimes</span>

<i>at 2019-08-08T09:46:10+02:00</i>

</div>

<pre class="commit-message" style="white-space: pre-wrap; margin: 0;">Update comments to explain caSubsystemCert switch

Related: https://bugzilla.redhat.com/1670239

Signed-off-by: Christian Heimes <cheimes@redhat.com>

Reviewed-By: Fraser Tweedale <ftweedal@redhat.com>

Reviewed-By: Christian Heimes <cheimes@redhat.com>

</pre>

</li>

<li>

<strong><a href="https://salsa.debian.org/freeipa-team/freeipa/-/commit/8f969a5929e8a2f54fd732ea0c8d0a4931250d23">8f969a59</a></strong>

<div>

<span>by Alexander Bokovoy</span>

<i>at 2019-08-09T11:31:14-04:00</i>

</div>

<pre class="commit-message" style="white-space: pre-wrap; margin: 0;">Restore SELinux context for p11-kit config overrides

When 74e09087 started disabling softshm2 module in p11-kit-proxy,

we missed to restore SELinux context on the configuration override

creation.

We don't need an explicit restore_context() when removing the override

because restore_file() already calls restore_context().

Related: https://pagure.io/freeipa/issue/7810

Signed-off-by: Alexander Bokovoy <abokovoy@redhat.com>

Reviewed-By: Christian Heimes <cheimes@redhat.com>

Reviewed-By: Rob Crittenden <rcritten@redhat.com>

</pre>

</li>

<li>

<strong><a href="https://salsa.debian.org/freeipa-team/freeipa/-/commit/0000fe0502e75fcc68c6b9a8bc5b2b5a79fb4888">0000fe05</a></strong>

<div>

<span>by Timo Aaltonen</span>

<i>at 2019-08-11T11:37:29+03:00</i>

</div>

<pre class="commit-message" style="white-space: pre-wrap; margin: 0;">install: Add missing scripts to app_DATA.

Signed-off-by: Timo Aaltonen <tjaalton@debian.org>

Reviewed-By: Alexander Bokovoy <abokovoy@redhat.com>

</pre>

</li>

<li>

<strong><a href="https://salsa.debian.org/freeipa-team/freeipa/-/commit/17c2e31fdc77183b49edc728cc775c4078bf782e">17c2e31f</a></strong>

<div>

<span>by Christian Heimes</span>

<i>at 2019-08-13T11:30:18+02:00</i>

</div>

<pre class="commit-message" style="white-space: pre-wrap; margin: 0;">Don't move keys when key backup is disabled

The CA_BACKUP_KEYS_P12 file is not enabled when pki_backup_keys is

set to False. It's the case when FreeIPA is configured with HSM support.

Related: https://pagure.io/freeipa/issue/7677

Signed-off-by: Christian Heimes <cheimes@redhat.com>

Reviewed-By: Fraser Tweedale <ftweedal@redhat.com>

</pre>

</li>

<li>

<strong><a href="https://salsa.debian.org/freeipa-team/freeipa/-/commit/a36556e1064900af7a75ca6f07aba66212cf321a">a36556e1</a></strong>

<div>

<span>by Christian Heimes</span>

<i>at 2019-08-13T18:43:58+02:00</i>

</div>

<pre class="commit-message" style="white-space: pre-wrap; margin: 0;">Allow insecure binds for migration

Commit 5be9341fbabaf7bcb396a2ce40f17e1ccfa54b77 disallowed simple bind

over an insecure connection. Password logins were only allowed over LDAPS

or LDAP+STARTTLS. The restriction broke 'ipa migrate-ds' in some cases.

This commit lifts the restriction and permits insecure binds over plain

LDAP. It also makes the migrate-ds plugin use STARTTLS when a CA

certificate is configured with a plain LDAP connection.

Fixes: https://pagure.io/freeipa/issue/8040

Signed-off-by: Christian Heimes <cheimes@redhat.com>

Reviewed-By: Thomas Woerner <twoerner@redhat.com>

</pre>

</li>

<li>

<strong><a href="https://salsa.debian.org/freeipa-team/freeipa/-/commit/c9938e3d842615d042003362fd6fdce0194b8e5c">c9938e3d</a></strong>

<div>

<span>by Alexander Bokovoy</span>

<i>at 2019-08-13T16:45:53-04:00</i>

</div>

<pre class="commit-message" style="white-space: pre-wrap; margin: 0;">Add Theodor van Nahl to the Contributors.txt

Reviewed-By: Rob Crittenden <rcritten@redhat.com>

</pre>

</li>

<li>

<strong><a href="https://salsa.debian.org/freeipa-team/freeipa/-/commit/661804b748bc09b0a619416af896ee83007f9229">661804b7</a></strong>

<div>

<span>by Alexander Bokovoy</span>

<i>at 2019-08-14T14:18:17+03:00</i>

</div>

<pre class="commit-message" style="white-space: pre-wrap; margin: 0;">Update translations

Reviewed-By: Christian Heimes <cheimes@redhat.com>

</pre>

</li>

<li>

<strong><a href="https://salsa.debian.org/freeipa-team/freeipa/-/commit/ef80a0746fa190a7e47df087bf1c513867a024ac">ef80a074</a></strong>

<div>

<span>by Alexander Bokovoy</span>

<i>at 2019-08-14T14:18:17+03:00</i>

</div>

<pre class="commit-message" style="white-space: pre-wrap; margin: 0;">Update contributors

Reviewed-By: Christian Heimes <cheimes@redhat.com>

</pre>

</li>

<li>

<strong><a href="https://salsa.debian.org/freeipa-team/freeipa/-/commit/41e5d4653a637bb3b97cf651382fb7668f41e226">41e5d465</a></strong>

<div>

<span>by Florence Blanc-Renaud</span>

<i>at 2019-08-14T14:21:31+03:00</i>

</div>

<pre class="commit-message" style="white-space: pre-wrap; margin: 0;">Nightly test definition: add missing tests

The following test was missing from all nightlies:

- test_integration/test_crlgen_manage.py

The following tests was missing from nightly_f29:

- test_integration/test_smb.py

The following test was missing from nightly_rawhide:

- test_integration/test_smb.py

Note: nightly_f28 not updated as we stopped testing on f28.

Reviewed-By: Alexander Bokovoy <abokovoy@redhat.com>

Reviewed-By: Christian Heimes <cheimes@redhat.com>

Reviewed-By: Rob Crittenden <rcritten@redhat.com>

</pre>

</li>

<li>

<strong><a href="https://salsa.debian.org/freeipa-team/freeipa/-/commit/076d955b9373ad8603f3885ea6841d367f866327">076d955b</a></strong>

<div>

<span>by Christian Heimes</span>

<i>at 2019-08-19T09:56:08+02:00</i>

</div>

<pre class="commit-message" style="white-space: pre-wrap; margin: 0;">Store HSM token and state

The HSM state is stored in fstore, so that CA and KRA installer use the

correct token names for internal certificates. The default token is

"internal", meaning the keys are stored in a NSSDB as usual.

Related: https://pagure.io/freeipa/issue/5608

Co-authored-by: Magnus K Karlsson <magnus-ka.karlsson@polisen.se>

Signed-off-by: Christian Heimes <cheimes@redhat.com>

Reviewed-By: Fraser Tweedale <ftweedal@redhat.com>

</pre>

</li>

<li>

<strong><a href="https://salsa.debian.org/freeipa-team/freeipa/-/commit/9fe984fed7a7091bd1366be95fdfa2f56f777bb8">9fe984fe</a></strong>

<div>

<span>by Sumit Bose</span>

<i>at 2019-08-19T11:20:57+03:00</i>

</div>

<pre class="commit-message" style="white-space: pre-wrap; margin: 0;">extdom: unify error code handling especially LDAP_NO_SUCH_OBJECT

A return code LDAP_NO_SUCH_OBJECT will tell SSSD on the IPA client to

remove the searched object from the cache. As a consequence

LDAP_NO_SUCH_OBJECT should only be returned if the object really does

not exists otherwise the data of existing objects might be removed form

the cache of the clients causing unexpected behaviour like

authentication errors.

Currently some code-paths use LDAP_NO_SUCH_OBJECT as default error code.

With this patch LDAP_NO_SUCH_OBJECT is only returned if the related

lookup functions return ENOENT. Timeout related error code will lead to

LDAP_TIMELIMIT_EXCEEDED and LDAP_OPERATIONS_ERROR is used as default

error code.

Fixes: https://pagure.io/freeipa/issue/8044

Reviewed-By: Alexander Bokovoy <abokovoy@redhat.com>

</pre>

</li>

<li>

<strong><a href="https://salsa.debian.org/freeipa-team/freeipa/-/commit/c78cb9404e4fad9a8f4f778cee59c1c2b9038a49">c78cb940</a></strong>

<div>

<span>by Alexander Bokovoy</span>

<i>at 2019-08-19T11:20:57+03:00</i>

</div>

<pre class="commit-message" style="white-space: pre-wrap; margin: 0;">ipa-extdom-extop: test timed out getgrgid_r

Simulate getgrgid_r() timeout when packing list of groups user is a

member of in pack_ber_user().

Related: https://pagure.io/freeipa/issue/8044

Reviewed-By: Alexander Bokovoy <abokovoy@redhat.com>

</pre>

</li>

<li>

<strong><a href="https://salsa.debian.org/freeipa-team/freeipa/-/commit/eb2313920e20bb4a74fc0abc52c496ccf2822dab">eb231392</a></strong>

<div>

<span>by Christian Heimes</span>

<i>at 2019-08-19T10:50:07+02:00</i>

</div>

<pre class="commit-message" style="white-space: pre-wrap; margin: 0;">Store HSM token and state

The HSM state is stored in fstore, so that CA and KRA installer use the

correct token names for internal certificates. The default token is

"internal", meaning the keys are stored in a NSSDB as usual.

Related: https://pagure.io/freeipa/issue/5608

Co-authored-by: Magnus K Karlsson <magnus-ka.karlsson@polisen.se>

Signed-off-by: Christian Heimes <cheimes@redhat.com>

Reviewed-By: Fraser Tweedale <ftweedal@redhat.com>

</pre>

</li>

<li>

<strong><a href="https://salsa.debian.org/freeipa-team/freeipa/-/commit/3bb72545fc337564e0843b0c72906a9a1e3f6a06">3bb72545</a></strong>

<div>

<span>by Sumit Bose</span>

<i>at 2019-08-19T13:01:56+03:00</i>

</div>

<pre class="commit-message" style="white-space: pre-wrap; margin: 0;">extdom: unify error code handling especially LDAP_NO_SUCH_OBJECT

A return code LDAP_NO_SUCH_OBJECT will tell SSSD on the IPA client to

remove the searched object from the cache. As a consequence

LDAP_NO_SUCH_OBJECT should only be returned if the object really does

not exists otherwise the data of existing objects might be removed form

the cache of the clients causing unexpected behaviour like

authentication errors.

Currently some code-paths use LDAP_NO_SUCH_OBJECT as default error code.

With this patch LDAP_NO_SUCH_OBJECT is only returned if the related

lookup functions return ENOENT. Timeout related error code will lead to

LDAP_TIMELIMIT_EXCEEDED and LDAP_OPERATIONS_ERROR is used as default

error code.

Fixes: https://pagure.io/freeipa/issue/8044

Reviewed-By: Alexander Bokovoy <abokovoy@redhat.com>

</pre>

</li>

<li>

<strong><a href="https://salsa.debian.org/freeipa-team/freeipa/-/commit/0ead6f59732e8b3370c5d8d05acd29f2d56c52bb">0ead6f59</a></strong>

<div>

<span>by Alexander Bokovoy</span>

<i>at 2019-08-19T13:01:56+03:00</i>

</div>

<pre class="commit-message" style="white-space: pre-wrap; margin: 0;">ipa-extdom-extop: test timed out getgrgid_r

Simulate getgrgid_r() timeout when packing list of groups user is a

member of in pack_ber_user().

Related: https://pagure.io/freeipa/issue/8044

Reviewed-By: Alexander Bokovoy <abokovoy@redhat.com>

</pre>

</li>

<li>

<strong><a href="https://salsa.debian.org/freeipa-team/freeipa/-/commit/c709f131712370d567064bb286d32d36f2307e0f">c709f131</a></strong>

<div>

<span>by François Cami</span>

<i>at 2019-08-21T11:00:04+02:00</i>

</div>

<pre class="commit-message" style="white-space: pre-wrap; margin: 0;">travis-ci: make dnf invocations more resilient

Travis-CI sometimes fails to download repository metadata or

packages. Change dnf configuration and invocation:

* activate dnf fastestmirror

* add more dnf retries

* invoke "dnf makecache" twice

Fixes: https://pagure.io/freeipa/issue/8048

Signed-off-by: François Cami <fcami@redhat.com>

Reviewed-By: Scott Poore <spoore@redhat.com>

</pre>

</li>

<li>

<strong><a href="https://salsa.debian.org/freeipa-team/freeipa/-/commit/bebe09f3e4ddcc1332395aaa6b662fa4580d8304">bebe09f3</a></strong>

<div>

<span>by Christian Heimes</span>

<i>at 2019-08-21T12:48:36+03:00</i>

</div>

<pre class="commit-message" style="white-space: pre-wrap; margin: 0;">Fix ca_initialize_hsm_state

Fixup for commit eb2313920e20bb4a74fc0abc52c496ccf2822dab.

configparser's set() method does not convert boolean to string

automatically. Use string '"False"', which is then interpreted as

boolean 'False' by getboolean().

Related: https://pagure.io/freeipa/issue/5608

Signed-off-by: Christian Heimes <cheimes@redhat.com>

Reviewed-By: Alexander Bokovoy <abokovoy@redhat.com>

</pre>

</li>

<li>

<strong><a href="https://salsa.debian.org/freeipa-team/freeipa/-/commit/481c540000f3c6546e00a8117919e8bbe72db2f1">481c5400</a></strong>

<div>

<span>by Armando Neto</span>

<i>at 2019-08-22T09:43:51-03:00</i>

</div>

<pre class="commit-message" style="white-space: pre-wrap; margin: 0;">prci: update test definitions

Update boxes used in nightlies runs and add new ones.

Based on the changes made in freeipa/freeipa-pr-ci#304.

Signed-off-by: Armando Neto <abiagion@redhat.com>

Reviewed-By: Alexander Bokovoy <abokovoy@redhat.com>

</pre>

</li>

<li>

<strong><a href="https://salsa.debian.org/freeipa-team/freeipa/-/commit/24c6ce27b215ce6584ef3d38bcb8cfd68af20ce6">24c6ce27</a></strong>

<div>

<span>by Alexander Bokovoy</span>

<i>at 2019-08-22T09:43:51-03:00</i>

</div>

<pre class="commit-message" style="white-space: pre-wrap; margin: 0;">Mark failing test as xfail for use of python-dns make_ds method

https://github.com/rthalley/dnspython/issues/343 documents broken use of

hashes in dns.dnssec.make_ds() and other python-dns methods. This is a

regression introduced with python-dns 1.16.

Mark the test as expecting to fail until python-dns is fixed in Fedora.

Reviewed-By: Alexander Bokovoy <abokovoy@redhat.com>

</pre>

</li>

<li>

<strong><a href="https://salsa.debian.org/freeipa-team/freeipa/-/commit/d7f5e7b71ff1d042c8c3f6e79c16b61d42c80beb">d7f5e7b7</a></strong>

<div>

<span>by Armando Neto</span>

<i>at 2019-08-22T09:44:36-03:00</i>

</div>

<pre class="commit-message" style="white-space: pre-wrap; margin: 0;">prci: Update box used in branch ipa-4-8

Replace template box used, from ci-master-f30 to ci-ipa-4-8-f30.

This affects the cached packages since it's using ipa-4-8 .spec file.

Based on the changes made in freeipa/freeipa-pr-ci#304.

Signed-off-by: Armando Neto <abiagion@redhat.com>

Reviewed-By: Alexander Bokovoy <abokovoy@redhat.com>

</pre>

</li>

<li>

<strong><a href="https://salsa.debian.org/freeipa-team/freeipa/-/commit/bd181e34d0cc4af90ce8881975cc0049db5137a4">bd181e34</a></strong>

<div>

<span>by Alexander Bokovoy</span>

<i>at 2019-08-22T09:44:36-03:00</i>

</div>

<pre class="commit-message" style="white-space: pre-wrap; margin: 0;">Mark failing test as xfail for use of python-dns make_ds method

https://github.com/rthalley/dnspython/issues/343 documents broken use of

hashes in dns.dnssec.make_ds() and other python-dns methods. This is a

regression introduced with python-dns 1.16.

Mark the test as expecting to fail until python-dns is fixed in Fedora.

Reviewed-By: Alexander Bokovoy <abokovoy@redhat.com>

</pre>

</li>

<li>

<strong><a href="https://salsa.debian.org/freeipa-team/freeipa/-/commit/a71c59c7c881ffcc76ba9b02d02ddd31a0f829b6">a71c59c7</a></strong>

<div>

<span>by Michal Polovka</span>

<i>at 2019-08-27T12:04:45+02:00</i>

</div>

<pre class="commit-message" style="white-space: pre-wrap; margin: 0;">ipatests: Test for ipa-backup with ipa not configured

Added test class for executing tests without ipa server being

configured. This is achieved by not providing topology attribute in the

test class. Subsequently implemented test for PG6843 - ipa-backup does not create

log file at /var/log/ - by invoking ipa-backup command with ipa server

not configured and checking for expected error code presence of /var/log

in the error message.

https://pagure.io/freeipa/issue/6843

Reviewed-By: Florence Blanc-Renaud <frenaud@redhat.com>

Reviewed-By: Tibor Dudlák <tdudlak@redhat.com>

Reviewed-By: François Cami <fcami@redhat.com>

</pre>

</li>

<li>

<strong><a href="https://salsa.debian.org/freeipa-team/freeipa/-/commit/0010d07c5d703da95f46bb334922d15322db0ccc">0010d07c</a></strong>

<div>

<span>by Michal Polovka</span>

<i>at 2019-08-27T16:08:04+02:00</i>

</div>

<pre class="commit-message" style="white-space: pre-wrap; margin: 0;">ipatests: Test for ipa-backup with ipa not configured

Added test class for executing tests without ipa server being

configured. This is achieved by not providing topology attribute in the

test class. Subsequently implemented test for PG6843 - ipa-backup does not create

log file at /var/log/ - by invoking ipa-backup command with ipa server

not configured and checking for expected error code presence of /var/log

in the error message.

https://pagure.io/freeipa/issue/6843

Reviewed-By: Florence Blanc-Renaud <frenaud@redhat.com>

Reviewed-By: Tibor Dudlák <tdudlak@redhat.com>

Reviewed-By: François Cami <fcami@redhat.com>

Reviewed-By: Florence Blanc-Renaud <frenaud@redhat.com>

Reviewed-By: Tibor Dudlák <tdudlak@redhat.com>

Reviewed-By: François Cami <fcami@redhat.com>

</pre>

</li>

<li>

<strong><a href="https://salsa.debian.org/freeipa-team/freeipa/-/commit/405dcc6becfca504dce7e06c6f0849a9c06df4c6">405dcc6b</a></strong>

<div>

<span>by François Cami</span>

<i>at 2019-08-28T22:15:50-04:00</i>

</div>

<pre class="commit-message" style="white-space: pre-wrap; margin: 0;">ipatests: check that ipa-client-automount restores nsswitch.conf at uninstall time

Check that using ipa-client-install, ipa-client-automount --no-ssd, then uninstalling

both properly restores nsswitch.conf sequentially.

Related-to:: https://pagure.io/freeipa/issue/8038

Signed-off-by: François Cami <fcami@redhat.com>

Reviewed-By: Francois Cami <fcami@redhat.com>

Reviewed-By: Rob Crittenden <rcritten@redhat.com>

</pre>

</li>

<li>

<strong><a href="https://salsa.debian.org/freeipa-team/freeipa/-/commit/b27ad6e9f956a2485eee09b647b45c4901a1f928">b27ad6e9</a></strong>

<div>

<span>by François Cami</span>

<i>at 2019-08-28T22:15:50-04:00</i>

</div>

<pre class="commit-message" style="white-space: pre-wrap; margin: 0;">ipa-client-automount: always restore nsswitch.conf at uninstall time

ipa-client-automount used to only restore nsswitch.conf when sssd was not

used. However authselect's default profile is now sssd so always restore

nsswitch.conf's automount configuration to 'files sssd'.

Note that the behavior seen before commit:

a0e846f56c8de3b549d1d284087131da13135e34

would always restore nsswitch.conf to the previous state which in some cases

was wrong.

Fixes: https://pagure.io/freeipa/issue/8038

Signed-off-by: François Cami <fcami@redhat.com>

Reviewed-By: Francois Cami <fcami@redhat.com>

Reviewed-By: Rob Crittenden <rcritten@redhat.com>

</pre>

</li>

<li>

<strong><a href="https://salsa.debian.org/freeipa-team/freeipa/-/commit/e5af8c19a9e40fb3b96c56ace081f79980437fc2">e5af8c19</a></strong>

<div>

<span>by Rob Critenden</span>

<i>at 2019-08-28T22:15:50-04:00</i>

</div>

<pre class="commit-message" style="white-space: pre-wrap; margin: 0;">Move ipachangeconf from ipaclient.install to ipapython

This will let us call it from ipaplatform.

Mark the original location as deprecated.

Reviewed-By: Francois Cami <fcami@redhat.com>

Reviewed-By: Rob Crittenden <rcritten@redhat.com>

</pre>

</li>

<li>

<strong><a href="https://salsa.debian.org/freeipa-team/freeipa/-/commit/41ef8fba31ddbb32e2e5b7cccdc9b582a0809111">41ef8fba</a></strong>

<div>

<span>by Rob Critenden</span>

<i>at 2019-08-28T22:15:50-04:00</i>

</div>

<pre class="commit-message" style="white-space: pre-wrap; margin: 0;">Use tasks to configure automount nsswitch settings

authselect doesn't allow one to directly write to

/etc/nsswitch.conf. It will complain bitterly if it

detects it and will refuse to work until reset.

Instead it wants the user to write to

/etc/authselect/user-nsswitch.conf and then it will handle

merging in any differences.

To complicate matters some databases are not user configurable

like passwd, group and of course, automount. There are some

undocumented options to allow one to override these though so

we utilize that.

tasks are used so that authselect-based installations can still

write directly to /etc/nsswitch.conf and operate as it used to.

Reviewed-By: Francois Cami <fcami@redhat.com>

Reviewed-By: Rob Crittenden <rcritten@redhat.com>

</pre>

</li>

<li>

<strong><a href="https://salsa.debian.org/freeipa-team/freeipa/-/commit/abea98a9b918c0771ad10b314238b32c570f0372">abea98a9</a></strong>

<div>

<span>by François Cami</span>

<i>at 2019-08-29T08:45:12+02:00</i>

</div>

<pre class="commit-message" style="white-space: pre-wrap; margin: 0;">ipatests: check that ipa-client-automount restores nsswitch.conf at uninstall time

Check that using ipa-client-install, ipa-client-automount --no-ssd, then uninstalling

both properly restores nsswitch.conf sequentially.

Related-to:: https://pagure.io/freeipa/issue/8038

Signed-off-by: François Cami <fcami@redhat.com>

Reviewed-By: Francois Cami <fcami@redhat.com>

Reviewed-By: Rob Crittenden <rcritten@redhat.com>

Reviewed-By: Rob Critenden <rcritten@redhat.com>

Reviewed-By: François Cami <fcami@redhat.com>

</pre>

</li>

<li>

<strong><a href="https://salsa.debian.org/freeipa-team/freeipa/-/commit/2f0afeda6e66fcca5c184a4036112fcd315f2f6e">2f0afeda</a></strong>

<div>

<span>by François Cami</span>

<i>at 2019-08-29T08:45:12+02:00</i>

</div>

<pre class="commit-message" style="white-space: pre-wrap; margin: 0;">ipa-client-automount: always restore nsswitch.conf at uninstall time

ipa-client-automount used to only restore nsswitch.conf when sssd was not

used. However authselect's default profile is now sssd so always restore

nsswitch.conf's automount configuration to 'files sssd'.

Note that the behavior seen before commit:

a0e846f56c8de3b549d1d284087131da13135e34

would always restore nsswitch.conf to the previous state which in some cases

was wrong.

Fixes: https://pagure.io/freeipa/issue/8038

Signed-off-by: François Cami <fcami@redhat.com>

Reviewed-By: Francois Cami <fcami@redhat.com>

Reviewed-By: Rob Crittenden <rcritten@redhat.com>

Reviewed-By: Rob Critenden <rcritten@redhat.com>

Reviewed-By: François Cami <fcami@redhat.com>

</pre>

</li>

<li>

<strong><a href="https://salsa.debian.org/freeipa-team/freeipa/-/commit/6e92776bfc199e9ca92e11ef3315dcecad3c9307">6e92776b</a></strong>

<div>

<span>by Rob Critenden</span>

<i>at 2019-08-29T08:45:12+02:00</i>

</div>

<pre class="commit-message" style="white-space: pre-wrap; margin: 0;">Move ipachangeconf from ipaclient.install to ipapython

This will let us call it from ipaplatform.

Mark the original location as deprecated.

Reviewed-By: Francois Cami <fcami@redhat.com>

Reviewed-By: Rob Crittenden <rcritten@redhat.com>

Reviewed-By: Rob Critenden <rcritten@redhat.com>

Reviewed-By: François Cami <fcami@redhat.com>

</pre>

</li>

<li>

<strong><a href="https://salsa.debian.org/freeipa-team/freeipa/-/commit/2da90887632c764a73866c9ad3824ebb53c0aa73">2da90887</a></strong>

<div>

<span>by Rob Critenden</span>

<i>at 2019-08-29T08:45:12+02:00</i>

</div>

<pre class="commit-message" style="white-space: pre-wrap; margin: 0;">Use tasks to configure automount nsswitch settings

authselect doesn't allow one to directly write to

/etc/nsswitch.conf. It will complain bitterly if it

detects it and will refuse to work until reset.

Instead it wants the user to write to

/etc/authselect/user-nsswitch.conf and then it will handle

merging in any differences.

To complicate matters some databases are not user configurable

like passwd, group and of course, automount. There are some

undocumented options to allow one to override these though so

we utilize that.

tasks are used so that authselect-based installations can still

write directly to /etc/nsswitch.conf and operate as it used to.

Reviewed-By: Francois Cami <fcami@redhat.com>

Reviewed-By: Rob Crittenden <rcritten@redhat.com>

Reviewed-By: Rob Critenden <rcritten@redhat.com>

Reviewed-By: François Cami <fcami@redhat.com>

</pre>

</li>

<li>

<strong><a href="https://salsa.debian.org/freeipa-team/freeipa/-/commit/b24359cafae6bcc37b6281b7fb431eae47e0c9cf">b24359ca</a></strong>

<div>

<span>by sumenon</span>

<i>at 2019-08-29T10:07:32+02:00</i>

</div>

<pre class="commit-message" style="white-space: pre-wrap; margin: 0;">Added testcase to check capitalization fix while running ipa user-mod

1. This testcase checks that when ipa user-mod command is run with capital letters

there is no error shown in the console, instead the modifications for first and last

name of  the user is applied.

2. Adding tasks.kinit_admin since the test was being executed as different user

leading to permission issue.

ipa: ERROR: Insufficient access: Could not read UPG Definition originfilter. Check your permissions

Issue: https://pagure.io/freeipa/issue/5879

Reviewed-By: Florence Blanc-Renaud <flo@redhat.com>

Reviewed-By: Mohammad Rizwan Yusuf <myusuf@redhat.com>

Reviewed-By: Francois Cami <fcami@redhat.com>

</pre>

</li>

<li>

<strong><a href="https://salsa.debian.org/freeipa-team/freeipa/-/commit/24b2d5893696d1c129c25c9616a42acfbeab8eba">24b2d589</a></strong>

<div>

<span>by sumenon</span>

<i>at 2019-08-29T17:21:05+02:00</i>

</div>

<pre class="commit-message" style="white-space: pre-wrap; margin: 0;">Added testcase to check capitalization fix while running ipa user-mod

1. This testcase checks that when ipa user-mod command is run with capital letters

there is no error shown in the console, instead the modifications for first and last

name of  the user is applied.

2. Adding tasks.kinit_admin since the test was being executed as different user

leading to permission issue.

ipa: ERROR: Insufficient access: Could not read UPG Definition originfilter. Check your permissions

Issue: https://pagure.io/freeipa/issue/5879

Reviewed-By: Florence Blanc-Renaud <flo@redhat.com>

Reviewed-By: Mohammad Rizwan Yusuf <myusuf@redhat.com>

Reviewed-By: Francois Cami <fcami@redhat.com>

</pre>

</li>

<li>

<strong><a href="https://salsa.debian.org/freeipa-team/freeipa/-/commit/03a228aaf6418a93b2a59bef46a94c9bf7528077">03a228aa</a></strong>

<div>

<span>by François Cami</span>

<i>at 2019-08-29T17:34:27+02:00</i>

</div>

<pre class="commit-message" style="white-space: pre-wrap; margin: 0;">ipatests: remove xfail in TestIpaClientAutomountFileRestore

Remove xfail in TestIpaClientAutomountFileRestore to check the

associated bugfix.

Related-to: https://pagure.io/freeipa/issue/8054

Signed-off-by: François Cami <fcami@redhat.com>

Reviewed-By: Thomas Woerner <twoerner@redhat.com>

</pre>

</li>

<li>

<strong><a href="https://salsa.debian.org/freeipa-team/freeipa/-/commit/73f049c75f0b1ed269cb8ebcb5c2158d2bc8b614">73f049c7</a></strong>

<div>

<span>by François Cami</span>

<i>at 2019-08-29T17:34:27+02:00</i>

</div>

<pre class="commit-message" style="white-space: pre-wrap; margin: 0;">authconfig.py: restore user-nsswitch.conf at uninstall time

Calling authselect at uninstall time before restoring user-nsswitch.conf

would result in a sudoers entry in nsswitch.conf which is not activated

in the default sssd authselect profile.

Make sure user-nsswitch.conf is restored before calling authselect.

Fixes: https://pagure.io/freeipa/issue/8054

Signed-off-by: François Cami <fcami@redhat.com>

Reviewed-By: Thomas Woerner <twoerner@redhat.com>

</pre>

</li>

<li>

<strong><a href="https://salsa.debian.org/freeipa-team/freeipa/-/commit/b20ae34b48d7715024b94d46f03875497df3c9a4">b20ae34b</a></strong>

<div>

<span>by Serhii Tsymbaliuk</span>

<i>at 2019-08-29T20:16:43+02:00</i>

</div>

<pre class="commit-message" style="white-space: pre-wrap; margin: 0;">WebUI tests: Fix login screen loading issue

test_webui/test_loginscreen fails because login screen is rendered with delays.

To solve the issue small pause added after login.

Ticket: https://pagure.io/freeipa/issue/8053

Signed-off-by: Serhii Tsymbaliuk <stsymbal@redhat.com>

Reviewed-By: Francois Cami <fcami@redhat.com>

</pre>

</li>

<li>

<strong><a href="https://salsa.debian.org/freeipa-team/freeipa/-/commit/26de3107a773570178de2643af184dcdc3c5ae1a">26de3107</a></strong>

<div>

<span>by Serhii Tsymbaliuk</span>

<i>at 2019-08-29T22:21:02+02:00</i>

</div>

<pre class="commit-message" style="white-space: pre-wrap; margin: 0;">WebUI tests: Fix login screen loading issue

test_webui/test_loginscreen fails because login screen is rendered with delays.

To solve the issue small pause added after login.

Ticket: https://pagure.io/freeipa/issue/8053

Signed-off-by: Serhii Tsymbaliuk <stsymbal@redhat.com>

Reviewed-By: François Cami <fcami@redhat.com>

</pre>

</li>

<li>

<strong><a href="https://salsa.debian.org/freeipa-team/freeipa/-/commit/ffe9871e1f73a80ac092a5350bd80b78df52a9fd">ffe9871e</a></strong>

<div>

<span>by François Cami</span>

<i>at 2019-08-29T23:00:38+02:00</i>

</div>

<pre class="commit-message" style="white-space: pre-wrap; margin: 0;">ipatests: remove xfail in TestIpaClientAutomountFileRestore

Remove xfail in TestIpaClientAutomountFileRestore to check the

associated bugfix.

Related-to: https://pagure.io/freeipa/issue/8054

Signed-off-by: François Cami <fcami@redhat.com>

Reviewed-By: Thomas Woerner <twoerner@redhat.com>

</pre>

</li>

<li>

<strong><a href="https://salsa.debian.org/freeipa-team/freeipa/-/commit/7343504f976a726198b0c203702c87638d2b8636">7343504f</a></strong>

<div>

<span>by François Cami</span>

<i>at 2019-08-29T23:00:38+02:00</i>

</div>

<pre class="commit-message" style="white-space: pre-wrap; margin: 0;">authconfig.py: restore user-nsswitch.conf at uninstall time

Calling authselect at uninstall time before restoring user-nsswitch.conf

would result in a sudoers entry in nsswitch.conf which is not activated

in the default sssd authselect profile.

Make sure user-nsswitch.conf is restored before calling authselect.

Fixes: https://pagure.io/freeipa/issue/8054

Signed-off-by: François Cami <fcami@redhat.com>

Reviewed-By: Thomas Woerner <twoerner@redhat.com>

</pre>

</li>

<li>

<strong><a href="https://salsa.debian.org/freeipa-team/freeipa/-/commit/b48fe19fe58f139e6c0702cd0e0eda65ae0e231d">b48fe19f</a></strong>

<div>

<span>by Florence Blanc-Renaud</span>

<i>at 2019-08-30T10:16:52+02:00</i>

</div>

<pre class="commit-message" style="white-space: pre-wrap; margin: 0;">ipatests: fix wrong xfail in test_domain_resolution_order

The test is written for a SSSD fix delivered in 2.2.0, but has a xfail

based on fedora version < 30.

SSSD 2.2.0 was originally available only on fedora 30 but is now also

available on fedora 29, and recent runs on f29 started to succeed

(because the fix is now present) but with a strict xfail.

The fix completely removes the xfail as the current branch is supported on

fedora 29 and 30.

Fixes: https://pagure.io/freeipa/issue/8052

Signed-off-by: Florence Blanc-Renaud <flo@redhat.com>

Reviewed-By: Sergey Orlov <sorlov@redhat.com>

Reviewed-By: Francois Cami <fcami@redhat.com>

</pre>

</li>

<li>

<strong><a href="https://salsa.debian.org/freeipa-team/freeipa/-/commit/d1d0eb6343d25f4bbb7eae89869d9bd51b999d06">d1d0eb63</a></strong>

<div>

<span>by François Cami</span>

<i>at 2019-08-30T11:59:40+02:00</i>

</div>

<pre class="commit-message" style="white-space: pre-wrap; margin: 0;">travis-ci: make dnf invocations more resilient

Travis-CI sometimes fails to download repository metadata or

packages. Change dnf configuration and invocation:

* activate dnf fastestmirror

* add more dnf retries

* invoke "dnf makecache" twice

Fixes: https://pagure.io/freeipa/issue/8048

Signed-off-by: François Cami <fcami@redhat.com>

</pre>

</li>

<li>

<strong><a href="https://salsa.debian.org/freeipa-team/freeipa/-/commit/253779afc4432d02aa37b44dda789c4b152568fb">253779af</a></strong>

<div>

<span>by Michal Polovka</span>

<i>at 2019-08-30T12:20:21+02:00</i>

</div>

<pre class="commit-message" style="white-space: pre-wrap; margin: 0;">ipatests: fix topology for TestIpaNotConfigured in PR-CI nightly definitions

Topology for TestIpaNotConfigured is changed from ipaserver to

master_1repl in order to prevent aforementioned test suite runner from

configuring ipa-server, which is required by the test itself.

Resolves: https://pagure.io/freeipa/issue/8055

Related: https://pagure.io/freeipa/issue/6843

</pre>

</li>

<li>

<strong><a href="https://salsa.debian.org/freeipa-team/freeipa/-/commit/11c720d67bb9c27f56cb6692b79c64c05199ac10">11c720d6</a></strong>

<div>

<span>by Florence Blanc-Renaud</span>

<i>at 2019-08-30T12:31:33+02:00</i>

</div>

<pre class="commit-message" style="white-space: pre-wrap; margin: 0;">ipatests: fix wrong xfail in test_domain_resolution_order

The test is written for a SSSD fix delivered in 2.2.0, but has a xfail

based on fedora version < 30.

SSSD 2.2.0 was originally available only on fedora 30 but is now also

available on fedora 29, and recent runs on f29 started to succeed

(because the fix is now present) but with a strict xfail.

The fix completely removes the xfail as the current branch is supported on

fedora 29 and 30.

Fixes: https://pagure.io/freeipa/issue/8052

Signed-off-by: Florence Blanc-Renaud <flo@redhat.com>

Reviewed-By: Sergey Orlov <sorlov@redhat.com>

Reviewed-By: Francois Cami <fcami@redhat.com>

</pre>

</li>

<li>

<strong><a href="https://salsa.debian.org/freeipa-team/freeipa/-/commit/3aca6548e1f5521f99cdf19296dd152a80ade90b">3aca6548</a></strong>

<div>

<span>by Michal Polovka</span>

<i>at 2019-08-30T18:13:18+02:00</i>

</div>

<pre class="commit-message" style="white-space: pre-wrap; margin: 0;">ipatests: fix topology for TestIpaNotConfigured in PR-CI nightly definitions

Topology for TestIpaNotConfigured is changed from ipaserver to

master_1repl in order to prevent aforementioned test suite runner from

configuring ipa-server, which is required by the test itself.

Resolves: https://pagure.io/freeipa/issue/8055

Related: https://pagure.io/freeipa/issue/6843

</pre>

</li>

<li>

<strong><a href="https://salsa.debian.org/freeipa-team/freeipa/-/commit/51836c0594d9f97ace8392c03d47aae883b87724">51836c05</a></strong>

<div>

<span>by Christian Heimes</span>

<i>at 2019-08-31T00:48:35+02:00</i>

</div>

<pre class="commit-message" style="white-space: pre-wrap; margin: 0;">Replace %{_libdir} macro in BuildRequires

The %{_libdir} macro is architecture dependend and therefore does not

correctly work across different platforms. In the past the SRPM was

created on a platform with /usr/lib64. Recent SRPMs have /usr/lib, which

breaks dnf builddep.

Depend on krb5-server directly rather than a file in krb5-server

package:

$ rpm -qf /usr/lib64/krb5/plugins/kdb/db2.so

krb5-server-1.16.1-25.fc29.x86_64

Fixes: https://pagure.io/freeipa/issue/8056

Signed-off-by: Christian Heimes <cheimes@redhat.com>

Reviewed-By: François Cami <fcami@redhat.com>

Reviewed-By: Robbie Harwood <rharwood@redhat.com>

</pre>

</li>

<li>

<strong><a href="https://salsa.debian.org/freeipa-team/freeipa/-/commit/02262ac7cfa52926fd0c943ddf6e96269e90e218">02262ac7</a></strong>

<div>

<span>by François Cami</span>

<i>at 2019-09-02T17:39:11+02:00</i>

</div>

<pre class="commit-message" style="white-space: pre-wrap; margin: 0;">ipapython/ipachangeconf.py: change "is not 0" for "!= 0"

Python 3.8 introduced a warning to check for usage of "is not"

when comparing literals. Any such usage will output:

SyntaxWarning: "is not" with a literal. Did you mean "!="?

See: https://bugs.python.org/issue34850

Fixes: https://pagure.io/freeipa/issue/8057

Signed-off-by: François Cami <fcami@redhat.com>

Reviewed-By: Florence Blanc-Renaud <flo@redhat.com>

</pre>

</li>

<li>

<strong><a href="https://salsa.debian.org/freeipa-team/freeipa/-/commit/5de091bdd5fbe669d65411f97e3450bc87437f65">5de091bd</a></strong>

<div>

<span>by Christian Heimes</span>

<i>at 2019-09-02T17:39:25+02:00</i>

</div>

<pre class="commit-message" style="white-space: pre-wrap; margin: 0;">Replace %{_libdir} macro in BuildRequires

The %{_libdir} macro is architecture dependend and therefore does not

correctly work across different platforms. In the past the SRPM was

created on a platform with /usr/lib64. Recent SRPMs have /usr/lib, which

breaks dnf builddep.

Depend on krb5-server directly rather than a file in krb5-server

package:

$ rpm -qf /usr/lib64/krb5/plugins/kdb/db2.so

krb5-server-1.16.1-25.fc29.x86_64

Fixes: https://pagure.io/freeipa/issue/8056

Signed-off-by: Christian Heimes <cheimes@redhat.com>

Reviewed-By: Robbie Harwood <rharwood@redhat.com>

Reviewed-By: François Cami <fcami@redhat.com>

</pre>

</li>

<li>

<strong><a href="https://salsa.debian.org/freeipa-team/freeipa/-/commit/79b9d59674e08250e8dd060ed3f1e9e56dd3ae38">79b9d596</a></strong>

<div>

<span>by François Cami</span>

<i>at 2019-09-03T11:40:46+02:00</i>

</div>

<pre class="commit-message" style="white-space: pre-wrap; margin: 0;">ipapython/ipachangeconf.py: change "is not 0" for "!= 0"

Python 3.8 introduced a warning to check for usage of "is not"

when comparing literals. Any such usage will output:

SyntaxWarning: "is not" with a literal. Did you mean "!="?

See: https://bugs.python.org/issue34850

Fixes: https://pagure.io/freeipa/issue/8057

Signed-off-by: François Cami <fcami@redhat.com>

Reviewed-By: Florence Blanc-Renaud <flo@redhat.com>

</pre>

</li>

<li>

<strong><a href="https://salsa.debian.org/freeipa-team/freeipa/-/commit/4a437a3c422ee8a7b3dfee9a90abc2d9cc9e7990">4a437a3c</a></strong>

<div>

<span>by Florence Blanc-Renaud</span>

<i>at 2019-09-04T08:28:14+02:00</i>

</div>

<pre class="commit-message" style="white-space: pre-wrap; margin: 0;">config plugin: replace 'is 0' with '== 0'

Since python3.8, identity checks with literal produce syntax warnings.

Replace the check 'if .. is 0' with 'if .. == 0'

Related: https://pagure.io/freeipa/issue/8057

Signed-off-by: Florence Blanc-Renaud <flo@redhat.com>

Reviewed-By: Christian Heimes <cheimes@redhat.com>

</pre>

</li>

<li>

<strong><a href="https://salsa.debian.org/freeipa-team/freeipa/-/commit/8d2125f654268fa2b80c86af3b51b63fa02f6a69">8d2125f6</a></strong>

<div>

<span>by Christian Heimes</span>

<i>at 2019-09-04T10:30:07+02:00</i>

</div>

<pre class="commit-message" style="white-space: pre-wrap; margin: 0;">Enable literal-comparison linter again

The literal comparison linter checks for "value is 0" or "value is ''".

Related: https://pagure.io/freeipa/issue/8057

Signed-off-by: Christian Heimes <cheimes@redhat.com>

Reviewed-By: Florence Blanc-Renaud <flo@redhat.com>

</pre>

</li>

<li>

<strong><a href="https://salsa.debian.org/freeipa-team/freeipa/-/commit/0fc4b8c25cb4f1ee49cbf9b47610168b24a9ee56">0fc4b8c2</a></strong>

<div>

<span>by Christian Heimes</span>

<i>at 2019-09-04T10:30:07+02:00</i>

</div>

<pre class="commit-message" style="white-space: pre-wrap; margin: 0;">Fix wrong use of identity operation

Strings should not be compared with the identity operation 'is' or

'is not'.

Fixes: https://pagure.io/freeipa/issue/8057

Signed-off-by: Christian Heimes <cheimes@redhat.com>

Reviewed-By: Florence Blanc-Renaud <flo@redhat.com>

</pre>

</li>

<li>

<strong><a href="https://salsa.debian.org/freeipa-team/freeipa/-/commit/0d7eb0a972b3031d7f28f71b1a768395a8127853">0d7eb0a9</a></strong>

<div>

<span>by Christian Heimes</span>

<i>at 2019-09-04T10:30:07+02:00</i>

</div>

<pre class="commit-message" style="white-space: pre-wrap; margin: 0;">Add new env vars to pylint plugin

The vars api.env.host_princ and smb_princ where introduced a while ago.

Sometimes parallel linting complain about the attributes. Add both to

the list of known members in pylint_plugins.py.

Related: https://pagure.io/freeipa/issue/3999

Signed-off-by: Christian Heimes <cheimes@redhat.com>

Reviewed-By: Florence Blanc-Renaud <flo@redhat.com>

</pre>

</li>

<li>

<strong><a href="https://salsa.debian.org/freeipa-team/freeipa/-/commit/129adb40626a1b91269d71cc8f21d193f1e65c8c">129adb40</a></strong>

<div>

<span>by Florence Blanc-Renaud</span>

<i>at 2019-09-04T10:35:01+02:00</i>

</div>

<pre class="commit-message" style="white-space: pre-wrap; margin: 0;">config plugin: replace 'is 0' with '== 0'

Since python3.8, identity checks with literal produce syntax warnings.

Replace the check 'if .. is 0' with 'if .. == 0'

Related: https://pagure.io/freeipa/issue/8057

Signed-off-by: Florence Blanc-Renaud <flo@redhat.com>

Reviewed-By: Christian Heimes <cheimes@redhat.com>

</pre>

</li>

<li>

<strong><a href="https://salsa.debian.org/freeipa-team/freeipa/-/commit/70302ab6f2051235df8f10d22cf2ae03688e4e98">70302ab6</a></strong>

<div>

<span>by Christian Heimes</span>

<i>at 2019-09-04T14:41:55+02:00</i>

</div>

<pre class="commit-message" style="white-space: pre-wrap; margin: 0;">Enable literal-comparison linter again

The literal comparison linter checks for "value is 0" or "value is ''".

Related: https://pagure.io/freeipa/issue/8057

Signed-off-by: Christian Heimes <cheimes@redhat.com>

Reviewed-By: Florence Blanc-Renaud <flo@redhat.com>

</pre>

</li>

<li>

<strong><a href="https://salsa.debian.org/freeipa-team/freeipa/-/commit/4c17a9b9dbff30dc412bafdc54ac9832f021c37b">4c17a9b9</a></strong>

<div>

<span>by Christian Heimes</span>

<i>at 2019-09-04T14:41:55+02:00</i>

</div>

<pre class="commit-message" style="white-space: pre-wrap; margin: 0;">Fix wrong use of identity operation

Strings should not be compared with the identity operation 'is' or

'is not'.

Fixes: https://pagure.io/freeipa/issue/8057

Signed-off-by: Christian Heimes <cheimes@redhat.com>

Reviewed-By: Florence Blanc-Renaud <flo@redhat.com>

</pre>

</li>

<li>

<strong><a href="https://salsa.debian.org/freeipa-team/freeipa/-/commit/576e2ce855e3cc8ae31752ecba0f3c5114e5bf7a">576e2ce8</a></strong>

<div>

<span>by Christian Heimes</span>

<i>at 2019-09-04T14:41:55+02:00</i>

</div>

<pre class="commit-message" style="white-space: pre-wrap; margin: 0;">Add new env vars to pylint plugin

The vars api.env.host_princ and smb_princ where introduced a while ago.

Sometimes parallel linting complain about the attributes. Add both to

the list of known members in pylint_plugins.py.

Related: https://pagure.io/freeipa/issue/3999

Signed-off-by: Christian Heimes <cheimes@redhat.com>

Reviewed-By: Florence Blanc-Renaud <flo@redhat.com>

</pre>

</li>

<li>

<strong><a href="https://salsa.debian.org/freeipa-team/freeipa/-/commit/faf34fcdfd78208726e3e8586186f34e7c44d732">faf34fcd</a></strong>

<div>

<span>by Rob Crittenden</span>

<i>at 2019-09-04T14:52:14+02:00</i>

</div>

<pre class="commit-message" style="white-space: pre-wrap; margin: 0;">Replace replication_wait_timeout with certmonger_wait_timeout

The variable is intended to control the timeout for replication

events. If someone had significantly reduced it via configuration

then it could have caused certmogner requests to fail due to timeouts.

Add replication_wait_timeout, certmonger_wait_timeout and

http_timeout to the default.conf man page.

Related: https://pagure.io/freeipa/issue/7971

Reviewed-By: Florence Blanc-Renaud <flo@redhat.com>

</pre>

</li>

<li>

<strong><a href="https://salsa.debian.org/freeipa-team/freeipa/-/commit/54035982e5850ec59611798a9e172a044969106f">54035982</a></strong>

<div>

<span>by Rob Crittenden</span>

<i>at 2019-09-04T14:52:14+02:00</i>

</div>

<pre class="commit-message" style="white-space: pre-wrap; margin: 0;">Log the replication wait timeout for debugging purposes

Related: https://pagure.io/freeipa/issue/7971

Reviewed-By: Florence Blanc-Renaud <flo@redhat.com>

</pre>

</li>

<li>

<strong><a href="https://salsa.debian.org/freeipa-team/freeipa/-/commit/adf2eab26309fb3ce0c2e2dbb0593f64bcd3d475">adf2eab2</a></strong>

<div>

<span>by Rob Crittenden</span>

<i>at 2019-09-04T14:52:14+02:00</i>

</div>

<pre class="commit-message" style="white-space: pre-wrap; margin: 0;">Log dogtag auth timeout in install, provide hint to increase it

There is a loop which keeps trying to bind as the admin user

which will fail until it is replicated.

In the case where there is a lot to replicate the default

5 minute timeout may be insufficient. Provide a hint for

tuning.

Fixes: https://pagure.io/freeipa/issue/7971

Reviewed-By: Florence Blanc-Renaud <flo@redhat.com>

</pre>

</li>

<li>

<strong><a href="https://salsa.debian.org/freeipa-team/freeipa/-/commit/5db48f151ba4aef2baebc40a4d357403a922d362">5db48f15</a></strong>

<div>

<span>by Rob Crittenden</span>

<i>at 2019-09-05T09:15:23+02:00</i>

</div>

<pre class="commit-message" style="white-space: pre-wrap; margin: 0;">Add missing timeout option to logging statement

Reviewed-By: Florence Blanc-Renaud <flo@redhat.com>

</pre>

</li>

<li>

<strong><a href="https://salsa.debian.org/freeipa-team/freeipa/-/commit/9414b038e714043d87dc0646dd9af3933896a75a">9414b038</a></strong>

<div>

<span>by Robbie Harwood</span>

<i>at 2019-09-05T14:53:55-04:00</i>

</div>

<pre class="commit-message" style="white-space: pre-wrap; margin: 0;">Log INFO message when LDAP connection fails on startup

Since krb5_klog_syslog() always needs parameters from syslog.h, move the

include into ipa_krb5.h.

Signed-off-by: Robbie Harwood <rharwood@redhat.com>

Reviewed-By: Christian Heimes <cheimes@redhat.com>

</pre>

</li>

<li>

<strong><a href="https://salsa.debian.org/freeipa-team/freeipa/-/commit/45b4f5377bf3921406271148e18a3b99acfee03b">45b4f537</a></strong>

<div>

<span>by Robbie Harwood</span>

<i>at 2019-09-05T14:53:55-04:00</i>

</div>

<pre class="commit-message" style="white-space: pre-wrap; margin: 0;">Fix NULL pointer dereference in maybe_require_preauth()

ipadb_get_global_config() is permitted to return NULL.

Signed-off-by: Robbie Harwood <rharwood@redhat.com>

Reviewed-By: Christian Heimes <cheimes@redhat.com>

</pre>

</li>

<li>

<strong><a href="https://salsa.debian.org/freeipa-team/freeipa/-/commit/c1af6aa27c6a3c69185507fb99da172526875db3">c1af6aa2</a></strong>

<div>

<span>by Florence Blanc-Renaud</span>

<i>at 2019-09-06T09:05:52+02:00</i>

</div>

<pre class="commit-message" style="white-space: pre-wrap; margin: 0;">ipatests: add nightly definition for DS integration tests

This commit is a first step in order to run nightly

integration tests with the 389-ds Directory Server.

It is updating the tests that should be run against

a nightly build of 389-ds.

The vagrant box freeipa/389ds-master-f30 version 0.0.1 has already

been created, available in vagrant cloud.

freeipa-pr-ci workspace also already contains the nightly scheduler

definition for this job (saturdays 00:10, using nightly_master_389ds.yaml)

but the cron job is not scheduled yet.

Signed-off-by: Florence Blanc-Renaud <flo@redhat.com>

Reviewed-By: Francois Cami <fcami@redhat.com>

Reviewed-By: Rob Crittenden <rcritten@redhat.com>

</pre>

</li>

<li>

<strong><a href="https://salsa.debian.org/freeipa-team/freeipa/-/commit/074bf285f185d96d67cf9f410f1e8935078d15eb">074bf285</a></strong>

<div>

<span>by Sergey Orlov</span>

<i>at 2019-09-06T12:11:04+02:00</i>

</div>

<pre class="commit-message" style="white-space: pre-wrap; margin: 0;">ipatests: allow to pass additional options for clients installation

Reviewed-By: Michal Polovka <mpolovka@redhat.com>

Reviewed-By: Alexander Bokovoy <abbra@users.noreply.github.com>

</pre>

</li>

<li>

<strong><a href="https://salsa.debian.org/freeipa-team/freeipa/-/commit/3fa7865ff8c48a35d0d120c74da76ea4076a6aa4">3fa7865f</a></strong>

<div>

<span>by Sergey Orlov</span>

<i>at 2019-09-06T12:11:04+02:00</i>

</div>

<pre class="commit-message" style="white-space: pre-wrap; margin: 0;">ipatests: add utility functions related to using and managing user accounts

Reviewed-By: Michal Polovka <mpolovka@redhat.com>

Reviewed-By: Alexander Bokovoy <abbra@users.noreply.github.com>

</pre>

</li>

<li>

<strong><a href="https://salsa.debian.org/freeipa-team/freeipa/-/commit/1fe69f352b28c7bbf218c9d3ece4b45eac6ddad6">1fe69f35</a></strong>

<div>

<span>by Sergey Orlov</span>

<i>at 2019-09-06T12:11:04+02:00</i>

</div>

<pre class="commit-message" style="white-space: pre-wrap; margin: 0;">ipatests: modify run_command to allow specify successful return codes

Reviewed-By: Michal Polovka <mpolovka@redhat.com>

Reviewed-By: Alexander Bokovoy <abbra@users.noreply.github.com>

</pre>

</li>

<li>

<strong><a href="https://salsa.debian.org/freeipa-team/freeipa/-/commit/1d033b040d8cc96d7c6dfa0786fc09505b3a9acf">1d033b04</a></strong>

<div>

<span>by Sergey Orlov</span>

<i>at 2019-09-06T12:11:04+02:00</i>

</div>

<pre class="commit-message" style="white-space: pre-wrap; margin: 0;">ipatests: refactor and extend tests for IPA-Samba integration

Add tests for following scenarios:

* running `ipa-client-samba --uninstall` without prior installation

* mount and access Samba share by IPA user

* mount and access Samba share by AD user

* mount samba share by one IPA user and access it by another one

* try mount samba share without kerberos authentication

* uninstall and reinstall ipa-client-samba

Relates: https://pagure.io/freeipa/issue/3999

Reviewed-By: Michal Polovka <mpolovka@redhat.com>

Reviewed-By: Alexander Bokovoy <abbra@users.noreply.github.com>

</pre>

</li>

<li>

<strong><a href="https://salsa.debian.org/freeipa-team/freeipa/-/commit/bb7025fde8c2ef6d3ace42c7f014a54e6ea4467c">bb7025fd</a></strong>

<div>

<span>by Robbie Harwood</span>

<i>at 2019-09-06T10:28:17-04:00</i>

</div>

<pre class="commit-message" style="white-space: pre-wrap; margin: 0;">Log INFO message when LDAP connection fails on startup

Since krb5_klog_syslog() always needs parameters from syslog.h, move the

include into ipa_krb5.h.

Signed-off-by: Robbie Harwood <rharwood@redhat.com>

Reviewed-By: Christian Heimes <cheimes@redhat.com>

</pre>

</li>

<li>

<strong><a href="https://salsa.debian.org/freeipa-team/freeipa/-/commit/d9c2edb0c0699045e2d205d96d6cfce495e4c55f">d9c2edb0</a></strong>

<div>

<span>by Robbie Harwood</span>

<i>at 2019-09-06T10:28:17-04:00</i>

</div>

<pre class="commit-message" style="white-space: pre-wrap; margin: 0;">Fix NULL pointer dereference in maybe_require_preauth()

ipadb_get_global_config() is permitted to return NULL.

Signed-off-by: Robbie Harwood <rharwood@redhat.com>

Reviewed-By: Christian Heimes <cheimes@redhat.com>

</pre>

</li>

<li>

<strong><a href="https://salsa.debian.org/freeipa-team/freeipa/-/commit/0770254ce347c9892f6b143bb5f48fb1b0826e2a">0770254c</a></strong>

<div>

<span>by Rob Crittenden</span>

<i>at 2019-09-06T10:29:43-04:00</i>

</div>

<pre class="commit-message" style="white-space: pre-wrap; margin: 0;">Defer initializing the API in dogtag-ipa-ca-renew-agent-submit

Wait until we know a supported operation is being called

(SUBMIT and POLL) before initializing the API, which can be

an expensive operation.

https://bugzilla.redhat.com/show_bug.cgi?id=1656519

Reviewed-By: Fraser Tweedale <ftweedal@redhat.com>

</pre>

</li>

<li>

<strong><a href="https://salsa.debian.org/freeipa-team/freeipa/-/commit/65d38af9e27f894ec8260b9d8d7bcbdcb79b5c0f">65d38af9</a></strong>

<div>

<span>by Rob Crittenden</span>

<i>at 2019-09-06T10:29:43-04:00</i>

</div>

<pre class="commit-message" style="white-space: pre-wrap; margin: 0;">Skip lock and fork in ipa-server-guard on unsupported ops

On startup certmonger performs a number of options on the

configured CA (IPA, not to be confused with the real dogtag CA)

and the tracking requests.

Break early for operations that are not supported by ipa-submit.

This will save both a fork and a lock call.

https://bugzilla.redhat.com/show_bug.cgi?id=1656519

Reviewed-By: Fraser Tweedale <ftweedal@redhat.com>

</pre>

</li>

<li>

<strong><a href="https://salsa.debian.org/freeipa-team/freeipa/-/commit/5c5f5374225f26ccb6adbf83c1d229abfa0ece07">5c5f5374</a></strong>

<div>

<span>by Rob Crittenden</span>

<i>at 2019-09-06T16:39:39-04:00</i>

</div>

<pre class="commit-message" style="white-space: pre-wrap; margin: 0;">Defer initializing the API in dogtag-ipa-ca-renew-agent-submit

Wait until we know a supported operation is being called

(SUBMIT and POLL) before initializing the API, which can be

an expensive operation.

https://bugzilla.redhat.com/show_bug.cgi?id=1656519

Reviewed-By: Fraser Tweedale <ftweedal@redhat.com>

</pre>

</li>

<li>

<strong><a href="https://salsa.debian.org/freeipa-team/freeipa/-/commit/a6286e60fc8834a67f3f6c3f85f96109c9ce6967">a6286e60</a></strong>

<div>

<span>by Rob Crittenden</span>

<i>at 2019-09-06T16:39:39-04:00</i>

</div>

<pre class="commit-message" style="white-space: pre-wrap; margin: 0;">Skip lock and fork in ipa-server-guard on unsupported ops

On startup certmonger performs a number of options on the

configured CA (IPA, not to be confused with the real dogtag CA)

and the tracking requests.

Break early for operations that are not supported by ipa-submit.

This will save both a fork and a lock call.

https://bugzilla.redhat.com/show_bug.cgi?id=1656519

Reviewed-By: Fraser Tweedale <ftweedal@redhat.com>

</pre>

</li>

<li>

<strong><a href="https://salsa.debian.org/freeipa-team/freeipa/-/commit/c14aa5d48356a3bf84e5e5659caf963631179493">c14aa5d4</a></strong>

<div>

<span>by Sergey Orlov</span>

<i>at 2019-09-06T17:51:16-04:00</i>

</div>

<pre class="commit-message" style="white-space: pre-wrap; margin: 0;">ipatests: allow to pass additional options for clients installation

Reviewed-By: Michal Polovka <mpolovka@redhat.com>

Reviewed-By: Alexander Bokovoy <abbra@users.noreply.github.com>

Reviewed-By: Alexander Bokovoy <abokovoy@redhat.com>

</pre>

</li>

<li>

<strong><a href="https://salsa.debian.org/freeipa-team/freeipa/-/commit/0b62616cd3eff70517710ff6bbea9612cf2924b5">0b62616c</a></strong>

<div>

<span>by Sergey Orlov</span>

<i>at 2019-09-06T17:51:16-04:00</i>

</div>

<pre class="commit-message" style="white-space: pre-wrap; margin: 0;">ipatests: add utility functions related to using and managing user accounts

Reviewed-By: Michal Polovka <mpolovka@redhat.com>

Reviewed-By: Alexander Bokovoy <abbra@users.noreply.github.com>

Reviewed-By: Alexander Bokovoy <abokovoy@redhat.com>

</pre>

</li>

<li>

<strong><a href="https://salsa.debian.org/freeipa-team/freeipa/-/commit/a45662ae359bf932aab3fa65dad39df38be4affd">a45662ae</a></strong>

<div>

<span>by Sergey Orlov</span>

<i>at 2019-09-06T17:51:16-04:00</i>

</div>

<pre class="commit-message" style="white-space: pre-wrap; margin: 0;">ipatests: modify run_command to allow specify successful return codes

Reviewed-By: Michal Polovka <mpolovka@redhat.com>

Reviewed-By: Alexander Bokovoy <abbra@users.noreply.github.com>

Reviewed-By: Alexander Bokovoy <abokovoy@redhat.com>

</pre>

</li>

<li>

<strong><a href="https://salsa.debian.org/freeipa-team/freeipa/-/commit/a4839f679e1b8dcacd284543dfbbb7e1534ff897">a4839f67</a></strong>

<div>

<span>by Sergey Orlov</span>

<i>at 2019-09-06T17:51:16-04:00</i>

</div>

<pre class="commit-message" style="white-space: pre-wrap; margin: 0;">ipatests: refactor and extend tests for IPA-Samba integration

Add tests for following scenarios:

* running `ipa-client-samba --uninstall` without prior installation

* mount and access Samba share by IPA user

* mount and access Samba share by AD user

* mount samba share by one IPA user and access it by another one

* try mount samba share without kerberos authentication

* uninstall and reinstall ipa-client-samba

Relates: https://pagure.io/freeipa/issue/3999

Reviewed-By: Michal Polovka <mpolovka@redhat.com>

Reviewed-By: Alexander Bokovoy <abbra@users.noreply.github.com>

Reviewed-By: Alexander Bokovoy <abokovoy@redhat.com>

</pre>

</li>

<li>

<strong><a href="https://salsa.debian.org/freeipa-team/freeipa/-/commit/8ce0e6bf6065e8d08cee7e924eda05174d26d883">8ce0e6bf</a></strong>

<div>

<span>by Michal Polovka</span>

<i>at 2019-09-09T12:12:39+02:00</i>

</div>

<pre class="commit-message" style="white-space: pre-wrap; margin: 0;">ipatests: add tests for ipa host-add with non-default maxhostnamelength

Implement test for ticket 2018: Change hostname length limit to 64.

The fix provides a new configuration parameter (maxhostname) that can be modified through ipa config-mod, and governs the max hostname len allowed through ipa host-add.

Add new tests:

    - check that maxhostname cannot be changed to a value < 64

    - check that ipa host-add is refused if the hostname length is > maxhostname

    - check that ipa host-add is OK if the hostname length is <= maxhostname

Related: https://pagure.io/freeipa/issue/2018

Reviewed-By: Florence Blanc-Renaud <flo@redhat.com>

</pre>

</li>

<li>

<strong><a href="https://salsa.debian.org/freeipa-team/freeipa/-/commit/41a59aad6c355ccb46b57b958fbbdded1b626713">41a59aad</a></strong>

<div>

<span>by Timo Aaltonen</span>

<i>at 2019-09-09T17:33:08+03:00</i>

</div>

<pre class="commit-message" style="white-space: pre-wrap; margin: 0;">move ssl-cert to server depends from tests

</pre>

</li>

<li>

<strong><a href="https://salsa.debian.org/freeipa-team/freeipa/-/commit/1887573af280d117c9ff1e74e3829624cbbecd2f">1887573a</a></strong>

<div>

<span>by Timo Aaltonen</span>

<i>at 2019-09-09T17:35:15+03:00</i>

</div>

<pre class="commit-message" style="white-space: pre-wrap; margin: 0;">server.postinst: Let ipactl run the upgrader

</pre>

</li>

<li>

<strong><a href="https://salsa.debian.org/freeipa-team/freeipa/-/commit/80e4c18b75af989d5839aba7e6a1efc06da16f81">80e4c18b</a></strong>

<div>

<span>by Alexander Bokovoy</span>

<i>at 2019-09-10T12:25:07+03:00</i>

</div>

<pre class="commit-message" style="white-space: pre-wrap; margin: 0;">adtrust: avoid using timestamp in klist output

When parsing a keytab to copy keys to a different keytab, we don't need

the timestamp, so don't ask klist to output it. In some locales (en_IN,

for example), the timestamp is output in a single field without a space

between date and time. In other locales it can be represented with date

and time separated by a space.

Fixes: https://pagure.io/freeipa/issue/8066

Reviewed-By: Thomas Woerner <twoerner@redhat.com>

</pre>

</li>

<li>

<strong><a href="https://salsa.debian.org/freeipa-team/freeipa/-/commit/9c0a35f1e79033585786c2567aedcb3b4c10a6b6">9c0a35f1</a></strong>

<div>

<span>by Changmin Teng</span>

<i>at 2019-09-10T12:33:21+03:00</i>

</div>

<pre class="commit-message" style="white-space: pre-wrap; margin: 0;">Add new authentication indicators in kdc.conf.template

As of release 1.17, KDC can be configured to apply authentication

indicator for SPAKE, PKINIT, and encrypted challenge preauth via

FAST channel, which are not configured in current version of freeIPA.

Note that even though the value of encrypted_challenge_indicator is

attached only when encrypted challenge preauth is performed along

a FAST channel, it's possible to perform FAST without encrypted

challenge by using SPAKE. Since there is no reason to force clients

not to use SPAKE while using FAST, we made a design choice to merge

SPAKE and FAST in a new option called "Hardened Password", which

requires user to use at least one of SPAKE or FAST channel. Hence

same value attaching to both spake_preauth_indicator and

encrypted_challenge_indicator.

Resolves: https://pagure.io/freeipa/issue/8001

Signed-off-by: Changmin Teng <cteng@redhat.com>

Reviewed-By: Alexander Bokovoy <abokovoy@redhat.com>

Reviewed-By: Simo Sorce <ssorce@redhat.com>

Reviewed-By: Robbie Harwood <rharwood@redhat.com>

</pre>

</li>

<li>

<strong><a href="https://salsa.debian.org/freeipa-team/freeipa/-/commit/d0570404ef5a79dfc08d7959d21e9e4843973faf">d0570404</a></strong>

<div>

<span>by Changmin Teng</span>

<i>at 2019-09-10T12:33:21+03:00</i>

</div>

<pre class="commit-message" style="white-space: pre-wrap; margin: 0;">Extend the list of supported pre-auth mechanisms in IPA server API

As new authentication indicators implemented, we also modified server

API to support those new values. Also, "krbprincipalauthind" attribute

is modified to use a pre-defined set of values instead of arbitrary

strings.

Resolves: https://pagure.io/freeipa/issue/8001

Signed-off-by: Changmin Teng <cteng@redhat.com>

Reviewed-By: Alexander Bokovoy <abokovoy@redhat.com>

Reviewed-By: Simo Sorce <ssorce@redhat.com>

Reviewed-By: Robbie Harwood <rharwood@redhat.com>

</pre>

</li>

<li>

<strong><a href="https://salsa.debian.org/freeipa-team/freeipa/-/commit/c7b938a1d5c20df24a2d8a62019c5341e0f26c63">c7b938a1</a></strong>

<div>

<span>by Robbie Harwood</span>

<i>at 2019-09-10T12:33:21+03:00</i>

</div>

<pre class="commit-message" style="white-space: pre-wrap; margin: 0;">Enable krb5 snippet updates on client update

Signed-off-by: Robbie Harwood <rharwood@redhat.com>

Reviewed-By: Alexander Bokovoy <abokovoy@redhat.com>

Reviewed-By: Simo Sorce <ssorce@redhat.com>

Reviewed-By: Robbie Harwood <rharwood@redhat.com>

</pre>

</li>

<li>

<strong><a href="https://salsa.debian.org/freeipa-team/freeipa/-/commit/39e3704a0679d117f5145044e73726175a8f600b">39e3704a</a></strong>

<div>

<span>by Robbie Harwood</span>

<i>at 2019-09-10T12:33:21+03:00</i>

</div>

<pre class="commit-message" style="white-space: pre-wrap; margin: 0;">Move certauth configuration into a server krb5.conf template

Signed-off-by: Robbie Harwood <rharwood@redhat.com>

Reviewed-By: Alexander Bokovoy <abokovoy@redhat.com>

Reviewed-By: Simo Sorce <ssorce@redhat.com>

Reviewed-By: Robbie Harwood <rharwood@redhat.com>

</pre>

</li>

<li>

<strong><a href="https://salsa.debian.org/freeipa-team/freeipa/-/commit/179c8f4009adc30b9b3c497855f15927016c84db">179c8f40</a></strong>

<div>

<span>by Robbie Harwood</span>

<i>at 2019-09-10T12:33:21+03:00</i>

</div>

<pre class="commit-message" style="white-space: pre-wrap; margin: 0;">Add a skeleton kdcpolicy plugin

Signed-off-by: Robbie Harwood <rharwood@redhat.com>

Reviewed-By: Alexander Bokovoy <abokovoy@redhat.com>

Reviewed-By: Simo Sorce <ssorce@redhat.com>

Reviewed-By: Robbie Harwood <rharwood@redhat.com>

</pre>

</li>

<li>

<strong><a href="https://salsa.debian.org/freeipa-team/freeipa/-/commit/15ff9c8fecdff5556e27b7c9eebd45d327044bc0">15ff9c8f</a></strong>

<div>

<span>by Changmin Teng</span>

<i>at 2019-09-10T12:33:21+03:00</i>

</div>

<pre class="commit-message" style="white-space: pre-wrap; margin: 0;">Implement user pre-authentication control with kdcpolicy plugin

We created a Kerberos kdcpolicy plugin to enforce user

pre-authentication policy for newly added pkinit and hardened policy.

In the past version of freeIPA, password enforcement exists but was done

by removing key data for a principal while parsing LDAP entry for it.

This hack is also removed and is now also enforced by kdcpolicy plugin

instead.

Resolves: https://pagure.io/freeipa/issue/8001

Signed-off-by: Changmin Teng <cteng@redhat.com>

Reviewed-By: Alexander Bokovoy <abokovoy@redhat.com>

Reviewed-By: Simo Sorce <ssorce@redhat.com>

Reviewed-By: Robbie Harwood <rharwood@redhat.com>

</pre>

</li>

<li>

<strong><a href="https://salsa.debian.org/freeipa-team/freeipa/-/commit/b66e8a1ee295e11e286979a0bd9ce303cbab2aa5">b66e8a1e</a></strong>

<div>

<span>by Changmin Teng</span>

<i>at 2019-09-10T12:33:21+03:00</i>

</div>

<pre class="commit-message" style="white-space: pre-wrap; margin: 0;">Modify webUI to adhere to new IPA server API

Given the changes in IPA server API changes, whebUI is modified to

utilize new authentication indicators, and disabled custom indicators

for services' white list.

Resolves: https://pagure.io/freeipa/issue/8001

Signed-off-by: Changmin Teng <cteng@redhat.com>

Reviewed-By: Alexander Bokovoy <abokovoy@redhat.com>

Reviewed-By: Simo Sorce <ssorce@redhat.com>

Reviewed-By: Robbie Harwood <rharwood@redhat.com>

</pre>

</li>

<li>

<strong><a href="https://salsa.debian.org/freeipa-team/freeipa/-/commit/952dd2a50fe3c3dc099b14af23cd050048235fa3">952dd2a5</a></strong>

<div>

<span>by Changmin Teng</span>

<i>at 2019-09-10T12:33:21+03:00</i>

</div>

<pre class="commit-message" style="white-space: pre-wrap; margin: 0;">Add design document

This document details authentication indicaters and kerberos ticket

policies implemented in IPA.

Resolves: https://pagure.io/freeipa/issue/8001

Signed-off-by: Changmin Teng <cteng@redhat.com>

Reviewed-By: Alexander Bokovoy <abokovoy@redhat.com>

Reviewed-By: Simo Sorce <ssorce@redhat.com>

Reviewed-By: Robbie Harwood <rharwood@redhat.com>

</pre>

</li>

<li>

<strong><a href="https://salsa.debian.org/freeipa-team/freeipa/-/commit/4dcd1128469cb87270a00ea54930d16693d91590">4dcd1128</a></strong>

<div>

<span>by Michal Polovka</span>

<i>at 2019-09-10T13:28:33+02:00</i>

</div>

<pre class="commit-message" style="white-space: pre-wrap; margin: 0;">ipatests: add tests for ipa host-add with non-default maxhostnamelength

Implement test for ticket 2018: Change hostname length limit to 64.

The fix provides a new configuration parameter (maxhostname) that can be modified through ipa config-mod, and governs the max hostname len allowed through ipa host-add.

Add new tests:

    - check that maxhostname cannot be changed to a value < 64

    - check that ipa host-add is refused if the hostname length is > maxhostname

    - check that ipa host-add is OK if the hostname length is <= maxhostname

Related: https://pagure.io/freeipa/issue/2018

</pre>

</li>

<li>

<strong><a href="https://salsa.debian.org/freeipa-team/freeipa/-/commit/ed1c1626a607a5292c08836d13c32464d1b71859">ed1c1626</a></strong>

<div>

<span>by Alexander Bokovoy</span>

<i>at 2019-09-11T12:21:59+03:00</i>

</div>

<pre class="commit-message" style="white-space: pre-wrap; margin: 0;">adtrust: avoid using timestamp in klist output

When parsing a keytab to copy keys to a different keytab, we don't need

the timestamp, so don't ask klist to output it. In some locales (en_IN,

for example), the timestamp is output in a single field without a space

between date and time. In other locales it can be represented with date

and time separated by a space.

Fixes: https://pagure.io/freeipa/issue/8066

Reviewed-By: Thomas Woerner <twoerner@redhat.com>

</pre>

</li>

<li>

<strong><a href="https://salsa.debian.org/freeipa-team/freeipa/-/commit/e1dad72f272f418c46733449745ac6e99d4d2ced">e1dad72f</a></strong>

<div>

<span>by Changmin Teng</span>

<i>at 2019-09-11T12:23:47+03:00</i>

</div>

<pre class="commit-message" style="white-space: pre-wrap; margin: 0;">Add new authentication indicators in kdc.conf.template

As of release 1.17, KDC can be configured to apply authentication

indicator for SPAKE, PKINIT, and encrypted challenge preauth via

FAST channel, which are not configured in current version of freeIPA.

Note that even though the value of encrypted_challenge_indicator is

attached only when encrypted challenge preauth is performed along

a FAST channel, it's possible to perform FAST without encrypted

challenge by using SPAKE. Since there is no reason to force clients

not to use SPAKE while using FAST, we made a design choice to merge

SPAKE and FAST in a new option called "Hardened Password", which

requires user to use at least one of SPAKE or FAST channel. Hence

same value attaching to both spake_preauth_indicator and

encrypted_challenge_indicator.

Resolves: https://pagure.io/freeipa/issue/8001

Signed-off-by: Changmin Teng <cteng@redhat.com>

Reviewed-By: Alexander Bokovoy <abokovoy@redhat.com>

Reviewed-By: Simo Sorce <ssorce@redhat.com>

Reviewed-By: Robbie Harwood <rharwood@redhat.com>

</pre>

</li>

<li>

<strong><a href="https://salsa.debian.org/freeipa-team/freeipa/-/commit/67467f4f789fc0ff6cf38aca707eaa40ddebdcd2">67467f4f</a></strong>

<div>

<span>by Changmin Teng</span>

<i>at 2019-09-11T12:23:47+03:00</i>

</div>

<pre class="commit-message" style="white-space: pre-wrap; margin: 0;">Extend the list of supported pre-auth mechanisms in IPA server API

As new authentication indicators implemented, we also modified server

API to support those new values. Also, "krbprincipalauthind" attribute

is modified to use a pre-defined set of values instead of arbitrary

strings.

Resolves: https://pagure.io/freeipa/issue/8001

Signed-off-by: Changmin Teng <cteng@redhat.com>

Reviewed-By: Alexander Bokovoy <abokovoy@redhat.com>

Reviewed-By: Simo Sorce <ssorce@redhat.com>

Reviewed-By: Robbie Harwood <rharwood@redhat.com>

</pre>

</li>

<li>

<strong><a href="https://salsa.debian.org/freeipa-team/freeipa/-/commit/b2e540cb70a394cf5df29078ef6507960415ca66">b2e540cb</a></strong>

<div>

<span>by Robbie Harwood</span>

<i>at 2019-09-11T12:23:47+03:00</i>

</div>

<pre class="commit-message" style="white-space: pre-wrap; margin: 0;">Enable krb5 snippet updates on client update

Signed-off-by: Robbie Harwood <rharwood@redhat.com>

Reviewed-By: Alexander Bokovoy <abokovoy@redhat.com>

Reviewed-By: Simo Sorce <ssorce@redhat.com>

Reviewed-By: Robbie Harwood <rharwood@redhat.com>

</pre>

</li>

<li>

<strong><a href="https://salsa.debian.org/freeipa-team/freeipa/-/commit/80be759fdced6e34701519b00f4a29466b1492eb">80be759f</a></strong>

<div>

<span>by Robbie Harwood</span>

<i>at 2019-09-11T12:23:47+03:00</i>

</div>

<pre class="commit-message" style="white-space: pre-wrap; margin: 0;">Move certauth configuration into a server krb5.conf template

Signed-off-by: Robbie Harwood <rharwood@redhat.com>

Reviewed-By: Alexander Bokovoy <abokovoy@redhat.com>

Reviewed-By: Simo Sorce <ssorce@redhat.com>

Reviewed-By: Robbie Harwood <rharwood@redhat.com>

</pre>

</li>

<li>

<strong><a href="https://salsa.debian.org/freeipa-team/freeipa/-/commit/3a8980f25b9f029335426261131924a7a5781bee">3a8980f2</a></strong>

<div>

<span>by Robbie Harwood</span>

<i>at 2019-09-11T12:23:47+03:00</i>

</div>

<pre class="commit-message" style="white-space: pre-wrap; margin: 0;">Add a skeleton kdcpolicy plugin

Signed-off-by: Robbie Harwood <rharwood@redhat.com>

Reviewed-By: Alexander Bokovoy <abokovoy@redhat.com>

Reviewed-By: Simo Sorce <ssorce@redhat.com>

Reviewed-By: Robbie Harwood <rharwood@redhat.com>

</pre>

</li>

<li>

<strong><a href="https://salsa.debian.org/freeipa-team/freeipa/-/commit/76d1f94453cbde13d16046cde315ba1d47e4163b">76d1f944</a></strong>

<div>

<span>by Changmin Teng</span>

<i>at 2019-09-11T12:23:47+03:00</i>

</div>

<pre class="commit-message" style="white-space: pre-wrap; margin: 0;">Implement user pre-authentication control with kdcpolicy plugin

We created a Kerberos kdcpolicy plugin to enforce user

pre-authentication policy for newly added pkinit and hardened policy.

In the past version of freeIPA, password enforcement exists but was done

by removing key data for a principal while parsing LDAP entry for it.

This hack is also removed and is now also enforced by kdcpolicy plugin

instead.

Resolves: https://pagure.io/freeipa/issue/8001

Signed-off-by: Changmin Teng <cteng@redhat.com>

Reviewed-By: Alexander Bokovoy <abokovoy@redhat.com>

Reviewed-By: Simo Sorce <ssorce@redhat.com>

Reviewed-By: Robbie Harwood <rharwood@redhat.com>

</pre>

</li>

<li>

<strong><a href="https://salsa.debian.org/freeipa-team/freeipa/-/commit/3e42d747ec6d6c99fe25e295d3f1153e0dbeb4e2">3e42d747</a></strong>

<div>

<span>by Changmin Teng</span>

<i>at 2019-09-11T12:23:47+03:00</i>

</div>

<pre class="commit-message" style="white-space: pre-wrap; margin: 0;">Modify webUI to adhere to new IPA server API

Given the changes in IPA server API changes, whebUI is modified to

utilize new authentication indicators, and disabled custom indicators

for services' white list.

Resolves: https://pagure.io/freeipa/issue/8001

Signed-off-by: Changmin Teng <cteng@redhat.com>

Reviewed-By: Alexander Bokovoy <abokovoy@redhat.com>

Reviewed-By: Simo Sorce <ssorce@redhat.com>

Reviewed-By: Robbie Harwood <rharwood@redhat.com>

</pre>

</li>

<li>

<strong><a href="https://salsa.debian.org/freeipa-team/freeipa/-/commit/027e30db70cfa75146e7b312690cdfeb8eb81a5a">027e30db</a></strong>

<div>

<span>by Changmin Teng</span>

<i>at 2019-09-11T12:23:47+03:00</i>

</div>

<pre class="commit-message" style="white-space: pre-wrap; margin: 0;">Add design document

This document details authentication indicaters and kerberos ticket

policies implemented in IPA.

Resolves: https://pagure.io/freeipa/issue/8001

Signed-off-by: Changmin Teng <cteng@redhat.com>

Reviewed-By: Alexander Bokovoy <abokovoy@redhat.com>

Reviewed-By: Simo Sorce <ssorce@redhat.com>

Reviewed-By: Robbie Harwood <rharwood@redhat.com>

</pre>

</li>

<li>

<strong><a href="https://salsa.debian.org/freeipa-team/freeipa/-/commit/2e0850e70e87a1affd78ae9544f5767cb5e13c5a">2e0850e7</a></strong>

<div>

<span>by Armando Neto</span>

<i>at 2019-09-11T18:16:11+02:00</i>

</div>

<pre class="commit-message" style="white-space: pre-wrap; margin: 0;">prci: fix typo on nightly test definitions

PR-CI breaks if the class to execute the tests doesn't exist.

Signed-off-by: Armando Neto <abiagion@redhat.com>

Reviewed-By: Florence Blanc-Renaud <flo@redhat.com>

</pre>

</li>

<li>

<strong><a href="https://salsa.debian.org/freeipa-team/freeipa/-/commit/f98c9f2d1dfa7f9fee3c1bbaf200aedee154c9be">f98c9f2d</a></strong>

<div>

<span>by Christian Heimes</span>

<i>at 2019-09-11T18:22:43+02:00</i>

</div>

<pre class="commit-message" style="white-space: pre-wrap; margin: 0;">Fix ca_initialize_hsm_state

Fixup for commit eb2313920e20bb4a74fc0abc52c496ccf2822dab.

configparser's set() method does not convert boolean to string

automatically. Use string '"False"', which is then interpreted as

boolean 'False' by getboolean().

Related: https://pagure.io/freeipa/issue/5608

Signed-off-by: Christian Heimes <cheimes@redhat.com>

Reviewed-By: Alexander Bokovoy <abokovoy@redhat.com>

</pre>

</li>

<li>

<strong><a href="https://salsa.debian.org/freeipa-team/freeipa/-/commit/123c93f92c575eeb4344f918b86112937b8cb4e8">123c93f9</a></strong>

<div>

<span>by Serhii Tsymbaliuk</span>

<i>at 2019-09-11T18:26:34+02:00</i>

</div>

<pre class="commit-message" style="white-space: pre-wrap; margin: 0;">WebUI: Make 'Unlock' option is available only on locked user page

The implementation includes checking password policy for selected user.

'Unlock' option is available only in case user reached a limit of login failures.

Ticket: https://pagure.io/freeipa/issue/5062

Signed-off-by: Serhii Tsymbaliuk <stsymbal@redhat.com>

Reviewed-By: Petr Vobornik <pvoborni@redhat.com>

Reviewed-By: Armando Neto <abiagion@redhat.com>

</pre>

</li>

<li>

<strong><a href="https://salsa.debian.org/freeipa-team/freeipa/-/commit/e3f69f4ef7eee420ac083193d19ff43e90914258">e3f69f4e</a></strong>

<div>

<span>by Timo Aaltonen</span>

<i>at 2019-09-12T00:31:12+03:00</i>

</div>

<pre class="commit-message" style="white-space: pre-wrap; margin: 0;">releasing package freeipa version 4.8.1-2

</pre>

</li>

<li>

<strong><a href="https://salsa.debian.org/freeipa-team/freeipa/-/commit/e5f04258b5b3fb6c04c28ddd38ae251c822e80bc">e5f04258</a></strong>

<div>

<span>by Tomas Halman</span>

<i>at 2019-09-12T10:48:13+03:00</i>

</div>

<pre class="commit-message" style="white-space: pre-wrap; margin: 0;">extdom: plugin doesn't allow @ in group name

Old implementation handles username and group names with

one common call. Character @ is used in the call to detect UPN.

Group name can legaly contain this character and therefore the

common approach doesn't work in such case.

Also the original call is less efficient because it tries to resolv

username allways then it fallback to group resolution.

Here we implement two new separate calls for resolving users and

groups.

Fixes: https://bugzilla.redhat.com/1746951

Reviewed-By: Alexander Bokovoy <abokovoy@redhat.com>

</pre>

</li>

<li>

<strong><a href="https://salsa.debian.org/freeipa-team/freeipa/-/commit/5f898c3c614f4165f0eb15c3aad2157689fbbcfe">5f898c3c</a></strong>

<div>

<span>by Tomas Halman</span>

<i>at 2019-09-12T10:48:13+03:00</i>

</div>

<pre class="commit-message" style="white-space: pre-wrap; margin: 0;">extdom: plugin doesn't use timeout in blocking call

Expose nss timeout parameter. Use sss_nss_getorigbyname_timeout

instead of sss_nss_getorigbyname

Reviewed-By: Alexander Bokovoy <abokovoy@redhat.com>

</pre>

</li>

<li>

<strong><a href="https://salsa.debian.org/freeipa-team/freeipa/-/commit/84b6c0f53b9ebdd4c01181898499bb6992aa9e8a">84b6c0f5</a></strong>

<div>

<span>by Tomas Halman</span>

<i>at 2019-09-12T10:48:13+03:00</i>

</div>

<pre class="commit-message" style="white-space: pre-wrap; margin: 0;">extdom: use sss_nss_*_timeout calls

Use nss calls with timeout in extdom plugin

Reviewed-By: Alexander Bokovoy <abokovoy@redhat.com>

</pre>

</li>

<li>

<strong><a href="https://salsa.debian.org/freeipa-team/freeipa/-/commit/bddf64b9da2df21a14022109ae989bd5408bf14b">bddf64b9</a></strong>

<div>

<span>by Tomas Halman</span>

<i>at 2019-09-12T10:48:13+03:00</i>

</div>

<pre class="commit-message" style="white-space: pre-wrap; margin: 0;">extdom: add extdom protocol documentation

Add the description of extdom protocol and its versions

Reviewed-By: Alexander Bokovoy <abokovoy@redhat.com>

</pre>

</li>

<li>

<strong><a href="https://salsa.debian.org/freeipa-team/freeipa/-/commit/a8703cd45ce5ca9d4d8f52d0346c97ef91455120">a8703cd4</a></strong>

<div>

<span>by Serhii Tsymbaliuk</span>

<i>at 2019-09-12T10:30:53+02:00</i>

</div>

<pre class="commit-message" style="white-space: pre-wrap; margin: 0;">WebUI: Make 'Unlock' option is available only on locked user page

The implementation includes checking password policy for selected user.

'Unlock' option is available only in case user reached a limit of login failures.

Ticket: https://pagure.io/freeipa/issue/5062

Signed-off-by: Serhii Tsymbaliuk <stsymbal@redhat.com>

Reviewed-By: Florence Blanc-Renaud <flo@redhat.com>

</pre>

</li>

<li>

<strong><a href="https://salsa.debian.org/freeipa-team/freeipa/-/commit/51723c73f48098ee123a3216fb577194555f0a3f">51723c73</a></strong>

<div>

<span>by Tomas Halman</span>

<i>at 2019-09-12T12:15:44+03:00</i>

</div>

<pre class="commit-message" style="white-space: pre-wrap; margin: 0;">extdom: plugin doesn't allow @ in group name

Old implementation handles username and group names with

one common call. Character @ is used in the call to detect UPN.

Group name can legaly contain this character and therefore the

common approach doesn't work in such case.

Also the original call is less efficient because it tries to resolv

username allways then it fallback to group resolution.

Here we implement two new separate calls for resolving users and

groups.

Fixes: https://bugzilla.redhat.com/1746951

Reviewed-By: Alexander Bokovoy <abokovoy@redhat.com>

</pre>

</li>

<li>

<strong><a href="https://salsa.debian.org/freeipa-team/freeipa/-/commit/9253c18b1d199cc723ddb9b1c4b41a35b6861234">9253c18b</a></strong>

<div>

<span>by Tomas Halman</span>

<i>at 2019-09-12T12:15:44+03:00</i>

</div>

<pre class="commit-message" style="white-space: pre-wrap; margin: 0;">extdom: plugin doesn't use timeout in blocking call

Expose nss timeout parameter. Use sss_nss_getorigbyname_timeout

instead of sss_nss_getorigbyname

Reviewed-By: Alexander Bokovoy <abokovoy@redhat.com>

</pre>

</li>

<li>

<strong><a href="https://salsa.debian.org/freeipa-team/freeipa/-/commit/d8a6b21d7ee6b91e60c45da4c9668d22ca9d0c6e">d8a6b21d</a></strong>

<div>

<span>by Tomas Halman</span>

<i>at 2019-09-12T12:15:44+03:00</i>

</div>

<pre class="commit-message" style="white-space: pre-wrap; margin: 0;">extdom: use sss_nss_*_timeout calls

Use nss calls with timeout in extdom plugin

Reviewed-By: Alexander Bokovoy <abokovoy@redhat.com>

</pre>

</li>

<li>

<strong><a href="https://salsa.debian.org/freeipa-team/freeipa/-/commit/13a37fb43f4c43f4eea5aa6650bf7488d85675e7">13a37fb4</a></strong>

<div>

<span>by Tomas Halman</span>

<i>at 2019-09-12T12:15:44+03:00</i>

</div>

<pre class="commit-message" style="white-space: pre-wrap; margin: 0;">extdom: add extdom protocol documentation

Add the description of extdom protocol and its versions

Reviewed-By: Alexander Bokovoy <abokovoy@redhat.com>

</pre>

</li>

<li>

<strong><a href="https://salsa.debian.org/freeipa-team/freeipa/-/commit/991d508a5c9ec6b19e9a937864fd24b765dff7f2">991d508a</a></strong>

<div>

<span>by Francisco Trivino</span>

<i>at 2019-09-12T11:17:15+02:00</i>

</div>

<pre class="commit-message" style="white-space: pre-wrap; margin: 0;">prci: increase gating tasks priority

Sometimes the gating tasks (build and jobs) are blocked because of nightly

regression remaining tasks are in progress. The reason is because nightly

regressions are not finished or they are re-triggered during day-time.

Gating tasks are blocked because they have same priority than nightly tasks.

This commit increases gating tasks priority so the testing of pull requests

will not be blocked anymore.

Reviewed-By: Florence Blanc-Renaud <flo@redhat.com>

</pre>

</li>

<li>

<strong><a href="https://salsa.debian.org/freeipa-team/freeipa/-/commit/9aeb6bae23dc21b97dbd784f8d954ee0dcde1d8f">9aeb6bae</a></strong>

<div>

<span>by Alexander Bokovoy</span>

<i>at 2019-09-12T17:17:53+03:00</i>

</div>

<pre class="commit-message" style="white-space: pre-wrap; margin: 0;">add default access control when migrating trust objects

It looks like for some cases we do not have proper set up keytab

retrieval configuration in the old trusted domain object. This mostly

affects two-way trust cases. In such cases, create default configuration

as ipasam would have created when trust was established.

Resolves: https://pagure.io/freeipa/issue/8067

Signed-off-by: Alexander Bokovoy <abokovoy@redhat.com>

Reviewed-By: Florence Blanc-Renaud <frenaud@redhat.com>

</pre>

</li>

<li>

<strong><a href="https://salsa.debian.org/freeipa-team/freeipa/-/commit/0be98884991ff14720dfce428e4f23ebc4a42311">0be98884</a></strong>

<div>

<span>by Alexander Bokovoy</span>

<i>at 2019-09-12T17:17:53+03:00</i>

</div>

<pre class="commit-message" style="white-space: pre-wrap; margin: 0;">adtrust: add default read_keys permission for TDO objects

If trusted domain object (TDO) is lacking ipaAllowedToPerform;read_keys

attribute values, it cannot be used by SSSD to retrieve TDO keys and the

whole communication with Active Directory domain controllers will not be

possible.

This seems to affect trusts which were created before

ipaAllowedToPerform;read_keys permission granting was introduced

(FreeIPA 4.2). Add back the default setting for the permissions which

grants access to trust agents and trust admins.

Resolves: https://pagure.io/freeipa/issue/8067

Signed-off-by: Alexander Bokovoy <abokovoy@redhat.com>

Reviewed-By: Florence Blanc-Renaud <frenaud@redhat.com>

</pre>

</li>

<li>

<strong><a href="https://salsa.debian.org/freeipa-team/freeipa/-/commit/79458ee648ce6743f93552ffae3ecdb9bdf14325">79458ee6</a></strong>

<div>

<span>by Francisco Trivino</span>

<i>at 2019-09-13T09:29:34+02:00</i>

</div>

<pre class="commit-message" style="white-space: pre-wrap; margin: 0;">prci: increase gating tasks priority

Sometimes the gating tasks (build and jobs) are blocked because of nightly

regression remaining tasks are in progress. The reason is because nightly

regressions are not finished or they are re-triggered during day-time.

Gating tasks are blocked because they have same priority than nightly tasks.

This commit increases gating tasks priority so the testing of pull requests

will not be blocked anymore.

Reviewed-By: Florence Blanc-Renaud <frenaud@redhat.com>

</pre>

</li>

<li>

<strong><a href="https://salsa.debian.org/freeipa-team/freeipa/-/commit/0deea83e93665404bb536d181ae54ad7cff45336">0deea83e</a></strong>

<div>

<span>by Alexander Bokovoy</span>

<i>at 2019-09-13T09:34:35+02:00</i>

</div>

<pre class="commit-message" style="white-space: pre-wrap; margin: 0;">add default access control when migrating trust objects

It looks like for some cases we do not have proper set up keytab

retrieval configuration in the old trusted domain object. This mostly

affects two-way trust cases. In such cases, create default configuration

as ipasam would have created when trust was established.

Resolves: https://pagure.io/freeipa/issue/8067

Signed-off-by: Alexander Bokovoy <abokovoy@redhat.com>

Reviewed-By: Florence Blanc-Renaud <frenaud@redhat.com>

</pre>

</li>

<li>

<strong><a href="https://salsa.debian.org/freeipa-team/freeipa/-/commit/b32510d67d2bd64e77659c6766d3f9647629acec">b32510d6</a></strong>

<div>

<span>by Alexander Bokovoy</span>

<i>at 2019-09-13T09:34:35+02:00</i>

</div>

<pre class="commit-message" style="white-space: pre-wrap; margin: 0;">adtrust: add default read_keys permission for TDO objects

If trusted domain object (TDO) is lacking ipaAllowedToPerform;read_keys

attribute values, it cannot be used by SSSD to retrieve TDO keys and the

whole communication with Active Directory domain controllers will not be

possible.

This seems to affect trusts which were created before

ipaAllowedToPerform;read_keys permission granting was introduced

(FreeIPA 4.2). Add back the default setting for the permissions which

grants access to trust agents and trust admins.

Resolves: https://pagure.io/freeipa/issue/8067

Signed-off-by: Alexander Bokovoy <abokovoy@redhat.com>

Reviewed-By: Florence Blanc-Renaud <frenaud@redhat.com>

</pre>

</li>

<li>

<strong><a href="https://salsa.debian.org/freeipa-team/freeipa/-/commit/6064365aa09c9fcee01cb9be2bbe994adc361263">6064365a</a></strong>

<div>

<span>by ndehadra</span>

<i>at 2019-09-13T14:46:46+02:00</i>

</div>

<pre class="commit-message" style="white-space: pre-wrap; margin: 0;">Hidden Replica: Add a test for Automatic CRL configuration

Added test to check whether hidden replica can be configurred

as CRL generation master.

Related Tickets:

https://pagure.io/freeipa/issue/7307

Signed-off-by: ndehadra <ndehadra@redhat.com>

Reviewed-By: Florence Blanc-Renaud <flo@redhat.com>

</pre>

</li>

<li>

<strong><a href="https://salsa.debian.org/freeipa-team/freeipa/-/commit/f2fb2208c13a21dfe24f4944691af09159cde8f2">f2fb2208</a></strong>

<div>

<span>by ndehadra</span>

<i>at 2019-09-13T18:13:32+02:00</i>

</div>

<pre class="commit-message" style="white-space: pre-wrap; margin: 0;">Hidden Replica: Add a test for Automatic CRL configuration

Added test to check whether hidden replica can be configurred

as CRL generation master.

Related Tickets:

https://pagure.io/freeipa/issue/7307

Signed-off-by: ndehadra <ndehadra@redhat.com>

Reviewed-By: Florence Blanc-Renaud <flo@redhat.com>

</pre>

</li>

<li>

<strong><a href="https://salsa.debian.org/freeipa-team/freeipa/-/commit/f1e20b45c5deeb25989c87a2d717bda5a31bb084">f1e20b45</a></strong>

<div>

<span>by Tibor Dudlák</span>

<i>at 2019-09-16T09:44:52+02:00</i>

</div>

<pre class="commit-message" style="white-space: pre-wrap; margin: 0;">Add container environment check to replicainstall

Inside the container environment master's IP address

does not resolve to its name.

Resolves: https://pagure.io/freeipa/issue/6210

Reviewed-By: Rob Crittenden <rcritten@redhat.com>

</pre>

</li>

<li>

<strong><a href="https://salsa.debian.org/freeipa-team/freeipa/-/commit/0b2ed9c415370de79f8ecaa1be153a1d80cf6ea1">0b2ed9c4</a></strong>

<div>

<span>by Tibor Dudlák</span>

<i>at 2019-09-16T16:07:31+02:00</i>

</div>

<pre class="commit-message" style="white-space: pre-wrap; margin: 0;">Add container environment check to replicainstall

Inside the container environment master's IP address

does not resolve to its name.

Resolves: https://pagure.io/freeipa/issue/6210

Reviewed-By: Rob Crittenden <rcritten@redhat.com>

</pre>

</li>

<li>

<strong><a href="https://salsa.debian.org/freeipa-team/freeipa/-/commit/755154318ac6b6a57eee2bdec76debd25e97fd45">75515431</a></strong>

<div>

<span>by Serhii Tsymbaliuk</span>

<i>at 2019-09-17T08:35:32+02:00</i>

</div>

<pre class="commit-message" style="white-space: pre-wrap; margin: 0;">WebUI: Fix changing category on HBAC/Sudo/etc Rule pages

No object can be added to a rule when object category is 'all'.

So while editing rule there is needed to save actual category value

before adding related objects.

Ticket: https://pagure.io/freeipa/issue/7961

Signed-off-by: Serhii Tsymbaliuk <stsymbal@redhat.com>

Reviewed-By: Armando Neto <abiagion@redhat.com>

</pre>

</li>

<li>

<strong><a href="https://salsa.debian.org/freeipa-team/freeipa/-/commit/919240bc0dbe7c5043734e249cda96f53160c5ab">919240bc</a></strong>

<div>

<span>by Serhii Tsymbaliuk</span>

<i>at 2019-09-17T13:28:18+02:00</i>

</div>

<pre class="commit-message" style="white-space: pre-wrap; margin: 0;">WebUI: Fix changing category on HBAC/Sudo/etc Rule pages

No object can be added to a rule when object category is 'all'.

So while editing rule there is needed to save actual category value

before adding related objects.

Ticket: https://pagure.io/freeipa/issue/7961

Signed-off-by: Serhii Tsymbaliuk <stsymbal@redhat.com>

Reviewed-By: Armando Neto <abiagion@redhat.com>

</pre>

</li>

<li>

<strong><a href="https://salsa.debian.org/freeipa-team/freeipa/-/commit/4dbc6926b16b44146eef36d2f56403e2347f12c8">4dbc6926</a></strong>

<div>

<span>by Serhii Tsymbaliuk</span>

<i>at 2019-09-17T18:12:43-03:00</i>

</div>

<pre class="commit-message" style="white-space: pre-wrap; margin: 0;">WebUI: Fix new test initialization on "HBAC Test" page

"New Test" action cleared only information about selected options but kept

radio buttons checked. It confused users and caused an error on validation step.

New behaviour is:

- tables forget all selected values after "New Test" click;

- first table record is checked initially in case the option is mandatory;

- all records is unchecked initially in case the option is not mandatory.

Ticket: https://pagure.io/freeipa/issue/8031

Signed-off-by: Serhii Tsymbaliuk <stsymbal@redhat.com>

Reviewed-By: Armando Neto <abiagion@redhat.com>

</pre>

</li>

<li>

<strong><a href="https://salsa.debian.org/freeipa-team/freeipa/-/commit/850500c95d41b651326e253dafd0a48661ede0b7">850500c9</a></strong>

<div>

<span>by Serhii Tsymbaliuk</span>

<i>at 2019-09-17T20:43:13-03:00</i>

</div>

<pre class="commit-message" style="white-space: pre-wrap; margin: 0;">WebUI: Fix new test initialization on "HBAC Test" page

"New Test" action cleared only information about selected options but kept

radio buttons checked. It confused users and caused an error on validation step.

New behaviour is:

- tables forget all selected values after "New Test" click;

- first table record is checked initially in case the option is mandatory;

- all records is unchecked initially in case the option is not mandatory.

Ticket: https://pagure.io/freeipa/issue/8031

Signed-off-by: Serhii Tsymbaliuk <stsymbal@redhat.com>

Reviewed-By: Armando Neto <abiagion@redhat.com>

</pre>

</li>

<li>

<strong><a href="https://salsa.debian.org/freeipa-team/freeipa/-/commit/7dde3a422067c82b67eab197a0da3d6f149c1b3c">7dde3a42</a></strong>

<div>

<span>by Sergey Orlov</span>

<i>at 2019-09-19T10:26:58+02:00</i>

</div>

<pre class="commit-message" style="white-space: pre-wrap; margin: 0;">ipatests: add new utilities for file management

Added utilities for working with remote hosts

* backup and restore files

* modify .ini files

* check if selinux is enabled

Reviewed-By: Florence Blanc-Renaud <flo@redhat.com>

</pre>

</li>

<li>

<strong><a href="https://salsa.debian.org/freeipa-team/freeipa/-/commit/4ea9aead5cab96ed9454facdb6d22bdfe514a09b">4ea9aead</a></strong>

<div>

<span>by Sergey Orlov</span>

<i>at 2019-09-19T10:26:58+02:00</i>

</div>

<pre class="commit-message" style="white-space: pre-wrap; margin: 0;">ipatests: refactoring: use library function to check if selinux is enabled

Reviewed-By: Florence Blanc-Renaud <flo@redhat.com>

</pre>

</li>

<li>

<strong><a href="https://salsa.debian.org/freeipa-team/freeipa/-/commit/4ab2842b76ffc9cffd931bf652d211ca34b4d1d8">4ab2842b</a></strong>

<div>

<span>by Sergey Orlov</span>

<i>at 2019-09-19T10:26:58+02:00</i>

</div>

<pre class="commit-message" style="white-space: pre-wrap; margin: 0;">ipatests: add tests for cached_auth_timeout in sssd.conf

The tests check that auth cache

* is disabled by default

* is working when enabled

* expires after specified time

* is inherited by trusted domain

Related to: https://bugzilla.redhat.com/1685581

Reviewed-By: Florence Blanc-Renaud <flo@redhat.com>

</pre>

</li>

<li>

<strong><a href="https://salsa.debian.org/freeipa-team/freeipa/-/commit/a2da66525f9b10c069fbdee4d44b8e93d57b7deb">a2da6652</a></strong>

<div>

<span>by Sergey Orlov</span>

<i>at 2019-09-19T13:53:55+02:00</i>

</div>

<pre class="commit-message" style="white-space: pre-wrap; margin: 0;">ipatests: add new utilities for file management

Added utilities for working with remote hosts

* backup and restore files

* modify .ini files

* check if selinux is enabled

Reviewed-By: Florence Blanc-Renaud <flo@redhat.com>

Reviewed-By: Florence Blanc-Renaud <flo@redhat.com>

</pre>

</li>

<li>

<strong><a href="https://salsa.debian.org/freeipa-team/freeipa/-/commit/9431c642bf0afedc122dbd72a8cb15c2dda3ae93">9431c642</a></strong>

<div>

<span>by Sergey Orlov</span>

<i>at 2019-09-19T13:53:55+02:00</i>

</div>

<pre class="commit-message" style="white-space: pre-wrap; margin: 0;">ipatests: refactoring: use library function to check if selinux is enabled

Reviewed-By: Florence Blanc-Renaud <flo@redhat.com>

Reviewed-By: Florence Blanc-Renaud <flo@redhat.com>

</pre>

</li>

<li>

<strong><a href="https://salsa.debian.org/freeipa-team/freeipa/-/commit/5a1ad7354ae7116e00740379d8fad02700d0a986">5a1ad735</a></strong>

<div>

<span>by Sergey Orlov</span>

<i>at 2019-09-19T13:53:55+02:00</i>

</div>

<pre class="commit-message" style="white-space: pre-wrap; margin: 0;">ipatests: add tests for cached_auth_timeout in sssd.conf

The tests check that auth cache

* is disabled by default

* is working when enabled

* expires after specified time

* is inherited by trusted domain

Related to: https://bugzilla.redhat.com/1685581

Reviewed-By: Florence Blanc-Renaud <flo@redhat.com>

Reviewed-By: Florence Blanc-Renaud <flo@redhat.com>

</pre>

</li>

<li>

<strong><a href="https://salsa.debian.org/freeipa-team/freeipa/-/commit/e5e0693aa27c1002c4b57ea33533047fc0aafef8">e5e0693a</a></strong>

<div>

<span>by Anuja More</span>

<i>at 2019-09-19T15:52:51+02:00</i>

</div>

<pre class="commit-message" style="white-space: pre-wrap; margin: 0;">Extdom plugin should not return error (32)/'No such object'

Regression test for https://pagure.io/freeipa/issue/8044

If there is a timeout during a request to SSSD the extdom plugin

should not return error 'No such object' and the existing

user should not be added to negative cache on the client.

Signed-off-by: Anuja More <amore@redhat.com>

Reviewed-By: Sergey Orlov <sorlov@redhat.com>

</pre>

</li>

<li>

<strong><a href="https://salsa.debian.org/freeipa-team/freeipa/-/commit/48a3f4af46517c7dbaddad7e2c5d4e82a6ef2f33">48a3f4af</a></strong>

<div>

<span>by Rob Crittenden</span>

<i>at 2019-09-19T10:11:52-04:00</i>

</div>

<pre class="commit-message" style="white-space: pre-wrap; margin: 0;">Don't log host passwords when they are set/modified

The host password was defined as a Str type so would be

logged in cleartext in the Apache log.

A new class, HostPassword, was defined to only override

safe_value() so it always returns an obfuscated value.

The Password class cannot be used because it has special treatment

in the frontend to manage prompting and specifically doesn't

allow a value to be passed into it. This breaks backwards

compatibility with older clients. Since this class is derived

from Str old clients treat it as a plain string value.

This also removes the search option from passwords.

https://pagure.io/freeipa/issue/8017

Signed-off-by: Rob Crittenden <rcritten@redhat.com>

Reviewed-By: Florence Blanc-Renaud <frenaud@redhat.com>

</pre>

</li>

<li>

<strong><a href="https://salsa.debian.org/freeipa-team/freeipa/-/commit/ffb4b624fc8bfd870958976ec25b74677e740841">ffb4b624</a></strong>

<div>

<span>by Rob Crittenden</span>

<i>at 2019-09-19T10:13:26-04:00</i>

</div>

<pre class="commit-message" style="white-space: pre-wrap; margin: 0;">Re-order tasks.restore_pkcs11_modules() to run earlier

It was executed after restore_all_files() so PKCS11_MODULES was

already restored so that part was a no-op, but the redhat

restore_pkcs11_modules() also calls unlink() on each restored

file so basically the file would be restored, unlinked, then

since it was already restored, skipped.

By moving the call to restore_pkcs11_modules() earlier it can

do the expected restoration properly.

https://pagure.io/freeipa/issue/8034

Signed-off-by: Rob Crittenden <rcritten@redhat.com>

Reviewed-By: Florence Blanc-Renaud <frenaud@redhat.com>

</pre>

</li>

<li>

<strong><a href="https://salsa.debian.org/freeipa-team/freeipa/-/commit/a38a38435991e81970a4da2cf69382a1f8cc6cf4">a38a3843</a></strong>

<div>

<span>by Alexandre Mulatinho</span>

<i>at 2019-09-19T10:44:09-04:00</i>

</div>

<pre class="commit-message" style="white-space: pre-wrap; margin: 0;">ipa-scripts: fix all ipa command line scripts to operate with -I

Replacing -E flag to -I on all ipa python scripts except tests.

Signed-off-by: Alexandre Mulatinho <alex@mulatinho.net>

Related: https://pagure.io/freeipa/issue/7987

Reviewed-By: Rob Crittenden <rcritten@redhat.com>

Reviewed-By: Francois Cami <fcami@redhat.com>

</pre>

</li>

<li>

<strong><a href="https://salsa.debian.org/freeipa-team/freeipa/-/commit/f2627629f386bbc369b5636fe2b4b9447b5a9794">f2627629</a></strong>

<div>

<span>by Rob Crittenden</span>

<i>at 2019-09-19T15:16:35-04:00</i>

</div>

<pre class="commit-message" style="white-space: pre-wrap; margin: 0;">Don't log host passwords when they are set/modified

The host password was defined as a Str type so would be

logged in cleartext in the Apache log.

A new class, HostPassword, was defined to only override

safe_value() so it always returns an obfuscated value.

The Password class cannot be used because it has special treatment

in the frontend to manage prompting and specifically doesn't

allow a value to be passed into it. This breaks backwards

compatibility with older clients. Since this class is derived

from Str old clients treat it as a plain string value.

This also removes the search option from passwords.

https://pagure.io/freeipa/issue/8017

Signed-off-by: Rob Crittenden <rcritten@redhat.com>

Reviewed-By: Florence Blanc-Renaud <frenaud@redhat.com>

</pre>

</li>

<li>

<strong><a href="https://salsa.debian.org/freeipa-team/freeipa/-/commit/8e87e65493984d89b8f66bc88fe0e0d02fcb6c7c">8e87e654</a></strong>

<div>

<span>by Rob Crittenden</span>

<i>at 2019-09-19T15:18:30-04:00</i>

</div>

<pre class="commit-message" style="white-space: pre-wrap; margin: 0;">Re-order tasks.restore_pkcs11_modules() to run earlier

It was executed after restore_all_files() so PKCS11_MODULES was

already restored so that part was a no-op, but the redhat

restore_pkcs11_modules() also calls unlink() on each restored

file so basically the file would be restored, unlinked, then

since it was already restored, skipped.

By moving the call to restore_pkcs11_modules() earlier it can

do the expected restoration properly.

https://pagure.io/freeipa/issue/8034

Signed-off-by: Rob Crittenden <rcritten@redhat.com>

Reviewed-By: Florence Blanc-Renaud <frenaud@redhat.com>

</pre>

</li>

<li>

<strong><a href="https://salsa.debian.org/freeipa-team/freeipa/-/commit/f3814e61a0f6affa5ecb34f224ea7b398a5a251d">f3814e61</a></strong>

<div>

<span>by Alexandre Mulatinho</span>

<i>at 2019-09-19T15:20:08-04:00</i>

</div>

<pre class="commit-message" style="white-space: pre-wrap; margin: 0;">ipa-scripts: fix all ipa command line scripts to operate with -I

Replacing -E flag to -I on all ipa python scripts except tests.

Signed-off-by: Alexandre Mulatinho <alex@mulatinho.net>

Related: https://pagure.io/freeipa/issue/7987

Reviewed-By: Rob Crittenden <rcritten@redhat.com>

Reviewed-By: Francois Cami <fcami@redhat.com>

</pre>

</li>

<li>

<strong><a href="https://salsa.debian.org/freeipa-team/freeipa/-/commit/1b1e7196e405f4e37a4e89a949af2b5b43d0a1ab">1b1e7196</a></strong>

<div>

<span>by Anuja More</span>

<i>at 2019-09-20T10:48:48+02:00</i>

</div>

<pre class="commit-message" style="white-space: pre-wrap; margin: 0;">Extdom plugin should not return error (32)/'No such object'

Regression test for https://pagure.io/freeipa/issue/8044

If there is a timeout during a request to SSSD the extdom plugin

should not return error 'No such object' and the existing

user should not be added to negative cache on the client.

Signed-off-by: Anuja More <amore@redhat.com>

Reviewed-By: Sergey Orlov <sorlov@redhat.com>

</pre>

</li>

<li>

<strong><a href="https://salsa.debian.org/freeipa-team/freeipa/-/commit/78d27f8252c9bd7a3f1ac9a4fbe4d10c8c5d02ad">78d27f82</a></strong>

<div>

<span>by Armando Neto</span>

<i>at 2019-09-20T08:12:21-03:00</i>

</div>

<pre class="commit-message" style="white-space: pre-wrap; margin: 0;">Update definitions for nightly tests

Update nightly definitions used to test if FreeIPA works when repo

`updates-testing` is enabled.

These changes include all tests currently defined in `nightly_master.yaml`.

Signed-off-by: Armando Neto <abiagion@redhat.com>

Reviewed-By: Florence Blanc-Renaud <frenaud@redhat.com>

</pre>

</li>

<li>

<strong><a href="https://salsa.debian.org/freeipa-team/freeipa/-/commit/9c20641f5c8e9d4f813d0ba3e80b7ccc9df0ed15">9c20641f</a></strong>

<div>

<span>by Rafael Guterres Jeffman</span>

<i>at 2019-09-20T10:12:09-04:00</i>

</div>

<pre class="commit-message" style="white-space: pre-wrap; margin: 0;">Re-add function façades removed by commit 2da9088.

ansible-freeipa breaks if this functions do not exist, so they will be

added back and marked as deprecated.

Related Tickets:

https://pagure.io/freeipa/issue/8062

Signed-off-by: Rafael Guterres Jeffman <rjeffman@redhat.com>

Reviewed-By: Rob Crittenden <rcritten@redhat.com>

</pre>

</li>

<li>

<strong><a href="https://salsa.debian.org/freeipa-team/freeipa/-/commit/5b28c458b91c545d089da6271da0927e7c91ccdd">5b28c458</a></strong>

<div>

<span>by Rob Crittenden</span>

<i>at 2019-09-20T10:16:57-04:00</i>

</div>

<pre class="commit-message" style="white-space: pre-wrap; margin: 0;">Report if a certmonger CA is missing

If a certmonger CA is not defined but is referenced within

a request (so was removed sometime after a request was

created) then anything that pulls all certmonger requests would

fail with the cryptic error:

"Failed to get request: bus, object_path and dbus_interface

must not be None."

This was often seen during upgrades.

Catch this specific condition and report a more specific error

so the user will have some bread crumb to know how to address

the issue.

https://pagure.io/freeipa/issue/7870

Signed-off-by: Rob Crittenden <rcritten@redhat.com>

Reviewed-By: Florence Blanc-Renaud <frenaud@redhat.com>

</pre>

</li>

<li>

<strong><a href="https://salsa.debian.org/freeipa-team/freeipa/-/commit/c4fca8251c8a749c04c271f4ec4b3862f7fa01f3">c4fca825</a></strong>

<div>

<span>by Rob Crittenden</span>

<i>at 2019-09-20T13:11:46-04:00</i>

</div>

<pre class="commit-message" style="white-space: pre-wrap; margin: 0;">Report if a certmonger CA is missing

If a certmonger CA is not defined but is referenced within

a request (so was removed sometime after a request was

created) then anything that pulls all certmonger requests would

fail with the cryptic error:

"Failed to get request: bus, object_path and dbus_interface

must not be None."

This was often seen during upgrades.

Catch this specific condition and report a more specific error

so the user will have some bread crumb to know how to address

the issue.

https://pagure.io/freeipa/issue/7870

Signed-off-by: Rob Crittenden <rcritten@redhat.com>

Reviewed-By: Florence Blanc-Renaud <frenaud@redhat.com>

</pre>

</li>

<li>

<strong><a href="https://salsa.debian.org/freeipa-team/freeipa/-/commit/3323913daf82448ecc2fcc4424110f62fa93b019">3323913d</a></strong>

<div>

<span>by Rafael Guterres Jeffman</span>

<i>at 2019-09-20T13:13:43-04:00</i>

</div>

<pre class="commit-message" style="white-space: pre-wrap; margin: 0;">Re-add function façades removed by commit 2da9088.

ansible-freeipa breaks if this functions do not exist, so they will be

added back and marked as deprecated.

Related Tickets:

https://pagure.io/freeipa/issue/8062

Signed-off-by: Rafael Guterres Jeffman <rjeffman@redhat.com>

Reviewed-By: Rob Crittenden <rcritten@redhat.com>

</pre>

</li>

<li>

<strong><a href="https://salsa.debian.org/freeipa-team/freeipa/-/commit/a2313114fbbda9b1c0fdbbe564811797e7be18b1">a2313114</a></strong>

<div>

<span>by Florence Blanc-Renaud</span>

<i>at 2019-09-20T13:14:18-04:00</i>

</div>

<pre class="commit-message" style="white-space: pre-wrap; margin: 0;">ipatests: enable 389-ds audit log and collect audit file

In test_integration, enable 389-ds audit log and auditfail log by setting

nsslapd-auditlog-logging-enabled: on

nsslapd-auditfaillog-logging-enabled: on

and collect the generated audit file. This will help troubleshoot failures

related to DS.

Fixes: https://pagure.io/freeipa/issue/8064

Reviewed-By: Rob Crittenden <rcritten@redhat.com>

</pre>

</li>

<li>

<strong><a href="https://salsa.debian.org/freeipa-team/freeipa/-/commit/c11fd328bc4d175308e58cd7a0c72dcb8d16bfdf">c11fd328</a></strong>

<div>

<span>by Robbie Harwood</span>

<i>at 2019-09-22T20:27:25+03:00</i>

</div>

<pre class="commit-message" style="white-space: pre-wrap; margin: 0;">Fix segfault in ipadb_parse_ldap_entry()

lcontext may be NULL here, probably due to a restarted 389ds.  Based on

a patch by Rob Crittenden.

Signed-off-by: Robbie Harwood <rharwood@redhat.com>

Reviewed-By: Alexander Bokovoy <abokovoy@redhat.com>

</pre>

</li>

<li>

<strong><a href="https://salsa.debian.org/freeipa-team/freeipa/-/commit/055ea253dfe0182671cba16916840a013daa8b74">055ea253</a></strong>

<div>

<span>by Florence Blanc-Renaud</span>

<i>at 2019-09-22T20:29:41+03:00</i>

</div>

<pre class="commit-message" style="white-space: pre-wrap; margin: 0;">ipa-backup: backup the PKCS module config files setup by IPA

ipa installer creates /etc/pkcs11/modules/softhsm2.module in order

to disable global p11-kit configuration for NSS.

This file was not included in the backups, and not restored.

The fix adds the file to the list of files to include in a backup.

Fixes: https://pagure.io/freeipa/issue/8073

Reviewed-By: Rob Crittenden <rcritten@redhat.com>

</pre>

</li>

<li>

<strong><a href="https://salsa.debian.org/freeipa-team/freeipa/-/commit/2919237753e031810f5b6e7d645bc126ebc8f7b5">29192377</a></strong>

<div>

<span>by Florence Blanc-Renaud</span>

<i>at 2019-09-22T20:29:41+03:00</i>

</div>

<pre class="commit-message" style="white-space: pre-wrap; margin: 0;">ipatests: ensure that backup/restore restores pkcs 11 modules config file

In the test_backup_and_restore, add a new test:

- before backup, save the content of /etc/pkcs11/modules/softhsm2.module

- after restore, ensure the file is present with the same content.

Related: https://pagure.io/freeipa/issue/8073

Reviewed-By: Rob Crittenden <rcritten@redhat.com>

</pre>

</li>

<li>

<strong><a href="https://salsa.debian.org/freeipa-team/freeipa/-/commit/8b3d5b05c8e34f6c1afadcc25f5760201502d536">8b3d5b05</a></strong>

<div>

<span>by Robbie Harwood</span>

<i>at 2019-09-23T10:03:56+03:00</i>

</div>

<pre class="commit-message" style="white-space: pre-wrap; margin: 0;">Fix segfault in ipadb_parse_ldap_entry()

lcontext may be NULL here, probably due to a restarted 389ds.  Based on

a patch by Rob Crittenden.

Signed-off-by: Robbie Harwood <rharwood@redhat.com>

Reviewed-By: Alexander Bokovoy <abokovoy@redhat.com>

</pre>

</li>

<li>

<strong><a href="https://salsa.debian.org/freeipa-team/freeipa/-/commit/ebec637ab4cd489e149e50fb873a5c190baaac62">ebec637a</a></strong>

<div>

<span>by Florence Blanc-Renaud</span>

<i>at 2019-09-23T10:06:05+03:00</i>

</div>

<pre class="commit-message" style="white-space: pre-wrap; margin: 0;">ipa-backup: backup the PKCS module config files setup by IPA

ipa installer creates /etc/pkcs11/modules/softhsm2.module in order

to disable global p11-kit configuration for NSS.

This file was not included in the backups, and not restored.

The fix adds the file to the list of files to include in a backup.

Fixes: https://pagure.io/freeipa/issue/8073

Reviewed-By: Rob Crittenden <rcritten@redhat.com>

</pre>

</li>

<li>

<strong><a href="https://salsa.debian.org/freeipa-team/freeipa/-/commit/71c09ad54912a6a6f633db9ea7253481d8be5e98">71c09ad5</a></strong>

<div>

<span>by Florence Blanc-Renaud</span>

<i>at 2019-09-23T10:06:05+03:00</i>

</div>

<pre class="commit-message" style="white-space: pre-wrap; margin: 0;">ipatests: ensure that backup/restore restores pkcs 11 modules config file

In the test_backup_and_restore, add a new test:

- before backup, save the content of /etc/pkcs11/modules/softhsm2.module

- after restore, ensure the file is present with the same content.

Related: https://pagure.io/freeipa/issue/8073

Reviewed-By: Rob Crittenden <rcritten@redhat.com>

</pre>

</li>

<li>

<strong><a href="https://salsa.debian.org/freeipa-team/freeipa/-/commit/802e54dd0e33be6015b22853767fc37a9ec02f39">802e54dd</a></strong>

<div>

<span>by Florence Blanc-Renaud</span>

<i>at 2019-09-23T14:36:10+02:00</i>

</div>

<pre class="commit-message" style="white-space: pre-wrap; margin: 0;">replica install: enforce --server arg

When the --server option is provided to ipa-replica-install (1-step

install), make sure that the server offers all the required roles

(CA, KRA). If it's not the case, refuse the installation.

Note that the --server option is ignored when promoting from client to

replica (2-step install with ipa-client-install and ipa-replica-install),

meaning that the existing behavior is not changed in this use case:

by default the host specified in default.conf as server is used for

enrollment, but if it does not provide a required role, another host can

be picked for CA or KRA setup.

Fixes: https://pagure.io/freeipa/issue/7566

Signed-off-by: Florence Blanc-Renaud <flo@redhat.com>

Reviewed-By: Rob Crittenden <rcritten@redhat.com>

Reviewed-By: Mohammad Rizwan Yusuf <myusuf@redhat.com>

</pre>

</li>

<li>

<strong><a href="https://salsa.debian.org/freeipa-team/freeipa/-/commit/8da0e2e9774ead01d5c0fa53b1498f15b1818b79">8da0e2e9</a></strong>

<div>

<span>by Rob Crittenden</span>

<i>at 2019-09-23T09:27:28-04:00</i>

</div>

<pre class="commit-message" style="white-space: pre-wrap; margin: 0;">ipa-restore: Restore ownership and perms on 389-ds log directory

Previously it would end up being owned by root:root mode 0755

instead of dirsrv:dirsrv mode 0770.

https://pagure.io/freeipa/issue/7725

Signed-off-by: Rob Crittenden <rcritten@redhat.com>

Reviewed-By: Florence Blanc-Renaud <frenaud@redhat.com>

</pre>

</li>

<li>

<strong><a href="https://salsa.debian.org/freeipa-team/freeipa/-/commit/98ee5f247252041c5135b00a55daa765072fb6d5">98ee5f24</a></strong>

<div>

<span>by Armando Neto</span>

<i>at 2019-09-23T12:23:37-03:00</i>

</div>

<pre class="commit-message" style="white-space: pre-wrap; margin: 0;">prci: update packages for pki and testing nightly runs

This forces PR-CI to update the packages instead of using the versions

already included in the vagrant image.

Signed-off-by: Armando Neto <abiagion@redhat.com>

Reviewed-By: Florence Blanc-Renaud <frenaud@redhat.com>

</pre>

</li>

<li>

<strong><a href="https://salsa.debian.org/freeipa-team/freeipa/-/commit/966e0b8cee0ca4f9ce9ecf34ca49e58e14a632c9">966e0b8c</a></strong>

<div>

<span>by Rob Crittenden</span>

<i>at 2019-09-23T13:32:08-04:00</i>

</div>

<pre class="commit-message" style="white-space: pre-wrap; margin: 0;">ipa-restore: Restore ownership and perms on 389-ds log directory

Previously it would end up being owned by root:root mode 0755

instead of dirsrv:dirsrv mode 0770.

https://pagure.io/freeipa/issue/7725

Signed-off-by: Rob Crittenden <rcritten@redhat.com>

Reviewed-By: Florence Blanc-Renaud <frenaud@redhat.com>

</pre>

</li>

<li>

<strong><a href="https://salsa.debian.org/freeipa-team/freeipa/-/commit/c845ef07892eb22118f381e9cb1f05b017099896">c845ef07</a></strong>

<div>

<span>by Florence Blanc-Renaud</span>

<i>at 2019-09-23T13:50:05-04:00</i>

</div>

<pre class="commit-message" style="white-space: pre-wrap; margin: 0;">replica install: enforce --server arg

When the --server option is provided to ipa-replica-install (1-step

install), make sure that the server offers all the required roles

(CA, KRA). If it's not the case, refuse the installation.

Note that the --server option is ignored when promoting from client to

replica (2-step install with ipa-client-install and ipa-replica-install),

meaning that the existing behavior is not changed in this use case:

by default the host specified in default.conf as server is used for

enrollment, but if it does not provide a required role, another host can

be picked for CA or KRA setup.

Fixes: https://pagure.io/freeipa/issue/7566

Signed-off-by: Florence Blanc-Renaud <flo@redhat.com>

Reviewed-By: Rob Crittenden <rcritten@redhat.com>

Reviewed-By: Mohammad Rizwan Yusuf <myusuf@redhat.com>

</pre>

</li>

<li>

<strong><a href="https://salsa.debian.org/freeipa-team/freeipa/-/commit/90f72324549f2bceba3e051efb2a1b43c467ff8a">90f72324</a></strong>

<div>

<span>by Christian Heimes</span>

<i>at 2019-09-24T15:23:30+02:00</i>

</div>

<pre class="commit-message" style="white-space: pre-wrap; margin: 0;">Don't create log files from help scripts

Helper scripts now use api.bootstrap(log=None) to avoid the creation of

log files. Helper scripts are typically executed from daemons which

perform their own logging. The helpers still log to stderr/stdout.

This also gets rid of some SELinux AVCs when the script tries to write

to /root/.ipa/.

Fixes: https://pagure.io/freeipa/issue/8075

Signed-off-by: Christian Heimes <cheimes@redhat.com>

Reviewed-By: Alexander Bokovoy <abokovoy@redhat.com>

Reviewed-By: Rob Crittenden <rcritten@redhat.com>

</pre>

</li>

<li>

<strong><a href="https://salsa.debian.org/freeipa-team/freeipa/-/commit/7e92e65190c04cc3c4699dbba329cbd6696576f1">7e92e651</a></strong>

<div>

<span>by Fraser Tweedale</span>

<i>at 2019-09-25T12:42:06+10:00</i>

</div>

<pre class="commit-message" style="white-space: pre-wrap; margin: 0;">IPASecStore: support extra key arguments

To support lightweight CA key replication using AES, while retaining

backwards compatibility with old servers, it is necessary to signal

support for AES.  Whereas we currently request a key with the path:

  /keys/ca_wrapped/<nickname>

and whereas paths with > 3 components are unsupported, add support

for handlers to signal that they support extra arguments (defaulting

to False), those arguments being conveyed as additional path

components, e.g.:

  # 2.16.840.1.101.3.4.1.2 = aes128-cbc

  /keys/ca_wrapped/<nickname>/2.16.840.1.101.3.4.1.2

This commit only adds the Custodia support for extra handler

arguments.  Work to support LWCA key replication with AES wrapping

will continue in subsequent commits.

Part of: https://pagure.io/freeipa/issue/8020

Reviewed-By: Alexander Bokovoy <abbra@users.noreply.github.com>

</pre>

</li>

<li>

<strong><a href="https://salsa.debian.org/freeipa-team/freeipa/-/commit/8fbcc3353467026e181f24cd527fe4e30f63aab4">8fbcc335</a></strong>

<div>

<span>by Fraser Tweedale</span>

<i>at 2019-09-25T12:42:06+10:00</i>

</div>

<pre class="commit-message" style="white-space: pre-wrap; margin: 0;">NSSWrappedCertDB: accept optional symmetric algorithm

Add support for Custodia ca_wrapped clients to specify the desired

symmetric encryption algorithm for exporting the wrapped signing key

(this mechanism is used for LWCA key replication).  If not

specified, we must assume that the client has an older Dogtag

version that can only import keys wrapped with DES-EDE3-CBC

encryption.

The selected algorithm gets passed to the 'nsswrappedcert' handler,

which in turn passes it to the 'pki ca-authority-key-export' command

(which is part of Dogtag).

Client-side changes will occur in a subsequent commit.

Part of: https://pagure.io/freeipa/issue/8020

Reviewed-By: Alexander Bokovoy <abbra@users.noreply.github.com>

</pre>

</li>

<li>

<strong><a href="https://salsa.debian.org/freeipa-team/freeipa/-/commit/bfead9ce66fb7552f9afaea18fb72a09fbe5f1c2">bfead9ce</a></strong>

<div>

<span>by Fraser Tweedale</span>

<i>at 2019-09-25T12:42:06+10:00</i>

</div>

<pre class="commit-message" style="white-space: pre-wrap; margin: 0;">ipa-pki-retrieve-key: request AES encryption (with fallback)

Update the ipa-pki-retrieve-key client to issue a request that

specifies that AES encryption should be used.  If the server

responds 404, fall back to a request *without* an algorithm

parameter.  This handles both of the possible 404 scenarios:

a) It is an old server that does not support extra Custodia key

   parameters;

b) The server supports extra parameters but the key does not exist,

   in which case the fallback request will also fail with 404.

Fixes: https://pagure.io/freeipa/issue/8020

Reviewed-By: Alexander Bokovoy <abbra@users.noreply.github.com>

</pre>

</li>

<li>

<strong><a href="https://salsa.debian.org/freeipa-team/freeipa/-/commit/7c7a827c0973669c55e4badcb6ab4f02993852a6">7c7a827c</a></strong>

<div>

<span>by Fraser Tweedale</span>

<i>at 2019-09-25T12:42:06+10:00</i>

</div>

<pre class="commit-message" style="white-space: pre-wrap; margin: 0;">Bump Dogtag min version to 10.7.3

Dogtag 10.7.3 adds AES support for key export, enabling lightweight

CA key replication to use AES.  Bump the Requires min version.

Fixes: https://pagure.io/freeipa/issue/8020

Reviewed-By: Alexander Bokovoy <abbra@users.noreply.github.com>

</pre>

</li>

<li>

<strong><a href="https://salsa.debian.org/freeipa-team/freeipa/-/commit/d0b420f6dd9d5cb8019691866f6131117a12b713">d0b420f6</a></strong>

<div>

<span>by Stanislav Levin</span>

<i>at 2019-09-25T20:14:06+10:00</i>

</div>

<pre class="commit-message" style="white-space: pre-wrap; margin: 0;">Fixed errors newly exposed by pylint 2.4.0

Newest Pylint introduced additional checks [1]:

- import-outside-toplevel [2]

> This check warns when modules are imported from places other

than a module toplevel, e.g. inside a function or a class.

- no-else-continue [3]

> These checks highlight unnecessary else and elif blocks after

break and continue statements.

- unnecessary-comprehension [4]

> This check is emitted when pylint finds list-, set- or

dict-comprehensions, that are unnecessary and can be rewritten

with the list-, set- or dict-constructors.

[1] https://github.com/PyCQA/pylint/blob/pylint-2.4.0/doc/whatsnew/2.4.rst

[2] https://github.com/PyCQA/pylint/issues/3067

[3] https://github.com/PyCQA/pylint/issues/2327

[4] https://github.com/PyCQA/pylint/issues/2905

Fixes: https://pagure.io/freeipa/issue/8077

Signed-off-by: Stanislav Levin <slev@altlinux.org>

Reviewed-By: Christian Heimes <cheimes@redhat.com>

</pre>

</li>

<li>

<strong><a href="https://salsa.debian.org/freeipa-team/freeipa/-/commit/feae9de73ec9f084d8662690a61f5afefc9a1d6c">feae9de7</a></strong>

<div>

<span>by Stanislav Levin</span>

<i>at 2019-09-25T20:14:06+10:00</i>

</div>

<pre class="commit-message" style="white-space: pre-wrap; margin: 0;">Setup DNS for AP Docker container

Docker utilizes its own way to provide DNS (hostname, hosts, NS).

By default, they are almost the same as the host's ones.

For instance, below is from AP container:

```

cat /etc/hosts

127.0.0.1       localhost

::1     localhost ip6-localhost ip6-loopback

fe00::0 ip6-localnet

ff00::0 ip6-mcastprefix

ff02::1 ip6-allnodes

ff02::2 ip6-allrouters

172.17.0.2      ipa.example.test ipa

cat /etc/resolv.conf

nameserver 168.63.129.16

search hqdv2iuiph0ufpcrhp4amkgzwf.fx.internal.cloudapp.net

```

As a result FreeIPA uses 168.63.129.16 (AP DNS NS [1]) as a DNS forwarder..

It's not desirable to rely on this.

Let's clear test environment.

[1] https://docs.microsoft.com/en-us/azure/virtual-network/what-is-ip-address-168-63-129-16

Related: https://pagure.io/freeipa/issue/8077

Signed-off-by: Stanislav Levin <slev@altlinux.org>

Reviewed-By: Christian Heimes <cheimes@redhat.com>

</pre>

</li>

<li>

<strong><a href="https://salsa.debian.org/freeipa-team/freeipa/-/commit/a733fec3022b3e37be8546b0dff4c65027ef95f3">a733fec3</a></strong>

<div>

<span>by Stanislav Levin</span>

<i>at 2019-09-25T22:23:10+10:00</i>

</div>

<pre class="commit-message" style="white-space: pre-wrap; margin: 0;">Fixed errors newly exposed by pylint 2.4.0

Newest Pylint introduced additional checks [1]:

- import-outside-toplevel [2]

> This check warns when modules are imported from places other

than a module toplevel, e.g. inside a function or a class.

- no-else-continue [3]

> These checks highlight unnecessary else and elif blocks after

break and continue statements.

- unnecessary-comprehension [4]

> This check is emitted when pylint finds list-, set- or

dict-comprehensions, that are unnecessary and can be rewritten

with the list-, set- or dict-constructors.

[1] https://github.com/PyCQA/pylint/blob/pylint-2.4.0/doc/whatsnew/2.4.rst

[2] https://github.com/PyCQA/pylint/issues/3067

[3] https://github.com/PyCQA/pylint/issues/2327

[4] https://github.com/PyCQA/pylint/issues/2905

Fixes: https://pagure.io/freeipa/issue/8077

Signed-off-by: Stanislav Levin <slev@altlinux.org>

Reviewed-By: Christian Heimes <cheimes@redhat.com>

</pre>

</li>

<li>

<strong><a href="https://salsa.debian.org/freeipa-team/freeipa/-/commit/7f5b826e6f0564e973aa8d451fcec1ad2a4aad4f">7f5b826e</a></strong>

<div>

<span>by Stanislav Levin</span>

<i>at 2019-09-25T22:23:10+10:00</i>

</div>

<pre class="commit-message" style="white-space: pre-wrap; margin: 0;">Setup DNS for AP Docker container

Docker utilizes its own way to provide DNS (hostname, hosts, NS).

By default, they are almost the same as the host's ones.

For instance, below is from AP container:

```

cat /etc/hosts

127.0.0.1       localhost

::1     localhost ip6-localhost ip6-loopback

fe00::0 ip6-localnet

ff00::0 ip6-mcastprefix

ff02::1 ip6-allnodes

ff02::2 ip6-allrouters

172.17.0.2      ipa.example.test ipa

cat /etc/resolv.conf

nameserver 168.63.129.16

search hqdv2iuiph0ufpcrhp4amkgzwf.fx.internal.cloudapp.net

```

As a result FreeIPA uses 168.63.129.16 (AP DNS NS [1]) as a DNS forwarder..

It's not desirable to rely on this.

Let's clear test environment.

[1] https://docs.microsoft.com/en-us/azure/virtual-network/what-is-ip-address-168-63-129-16

Related: https://pagure.io/freeipa/issue/8077

Signed-off-by: Stanislav Levin <slev@altlinux.org>

Reviewed-By: Christian Heimes <cheimes@redhat.com>

</pre>

</li>

<li>

<strong><a href="https://salsa.debian.org/freeipa-team/freeipa/-/commit/c8b0d1d6a036d55f4e3bcac996c14371614105d8">c8b0d1d6</a></strong>

<div>

<span>by Rob Crittenden</span>

<i>at 2019-09-25T11:38:31-04:00</i>

</div>

<pre class="commit-message" style="white-space: pre-wrap; margin: 0;">Disable dogtag cert publishing

Dogtag had only one switch, ca.publish.enable, for both CRLs and certs.

Since cert publishing is not used in IPA it should be disabled to

avoid false positives in the logs.

https://pagure.io/freeipa/issue/7522

Signed-off-by: Rob Crittenden <rcritten@redhat.com>

Reviewed-By: Fraser Tweedale <ftweedal@redhat.com>

Reviewed-By: Alexander Bokovoy <abokovoy@redhat.com>

</pre>

</li>

<li>

<strong><a href="https://salsa.debian.org/freeipa-team/freeipa/-/commit/f709ca977e2155df668dd26b3e510b38bbaa1c09">f709ca97</a></strong>

<div>

<span>by Rob Crittenden</span>

<i>at 2019-09-25T13:37:58-04:00</i>

</div>

<pre class="commit-message" style="white-space: pre-wrap; margin: 0;">Disable dogtag cert publishing

Dogtag had only one switch, ca.publish.enable, for both CRLs and certs.

Since cert publishing is not used in IPA it should be disabled to

avoid false positives in the logs.

https://pagure.io/freeipa/issue/7522

Signed-off-by: Rob Crittenden <rcritten@redhat.com>

Reviewed-By: Fraser Tweedale <ftweedal@redhat.com>

Reviewed-By: Alexander Bokovoy <abokovoy@redhat.com>

</pre>

</li>

<li>

<strong><a href="https://salsa.debian.org/freeipa-team/freeipa/-/commit/3098b67cec262f38f945156f302e1cb98ab1199f">3098b67c</a></strong>

<div>

<span>by Christian Heimes</span>

<i>at 2019-09-25T13:44:48-04:00</i>

</div>

<pre class="commit-message" style="white-space: pre-wrap; margin: 0;">Don't create log files from help scripts

Helper scripts now use api.bootstrap(log=None) to avoid the creation of

log files. Helper scripts are typically executed from daemons which

perform their own logging. The helpers still log to stderr/stdout.

This also gets rid of some SELinux AVCs when the script tries to write

to /root/.ipa/.

Fixes: https://pagure.io/freeipa/issue/8075

Signed-off-by: Christian Heimes <cheimes@redhat.com>

Reviewed-By: Alexander Bokovoy <abokovoy@redhat.com>

Reviewed-By: Rob Crittenden <rcritten@redhat.com>

</pre>

</li>

<li>

<strong><a href="https://salsa.debian.org/freeipa-team/freeipa/-/commit/6127aa0eac5bba37decc02fbffb3da891c81a9d1">6127aa0e</a></strong>

<div>

<span>by Florence Blanc-Renaud</span>

<i>at 2019-09-25T15:59:51-04:00</i>

</div>

<pre class="commit-message" style="white-space: pre-wrap; margin: 0;">ipatests: fix fedora29 nightly definition

test_sssd is using a wrong dependency (fedora30 build instead

of fedora29 build). As a result, this test is not triggered

by PRCI because it's waiting forever for a dependency.

(See the status: fedora-30/test_sssd Pending — unassigned)

Fix the version in the fedora 29 nightly definition.

Reviewed-By: Rob Crittenden <rcritten@redhat.com>

</pre>

</li>

<li>

<strong><a href="https://salsa.debian.org/freeipa-team/freeipa/-/commit/a305f674ecfea4a1e238c3eaeb9c29110696f6f5">a305f674</a></strong>

<div>

<span>by Fraser Tweedale</span>

<i>at 2019-09-26T12:47:54+10:00</i>

</div>

<pre class="commit-message" style="white-space: pre-wrap; margin: 0;">IPASecStore: support extra key arguments

To support lightweight CA key replication using AES, while retaining

backwards compatibility with old servers, it is necessary to signal

support for AES.  Whereas we currently request a key with the path:

  /keys/ca_wrapped/<nickname>

and whereas paths with > 3 components are unsupported, add support

for handlers to signal that they support extra arguments (defaulting

to False), those arguments being conveyed as additional path

components, e.g.:

  # 2.16.840.1.101.3.4.1.2 = aes128-cbc

  /keys/ca_wrapped/<nickname>/2.16.840.1.101.3.4.1.2

This commit only adds the Custodia support for extra handler

arguments.  Work to support LWCA key replication with AES wrapping

will continue in subsequent commits.

Part of: https://pagure.io/freeipa/issue/8020

Reviewed-By: Alexander Bokovoy <abokovoy@redhat.com>

</pre>

</li>

<li>

<strong><a href="https://salsa.debian.org/freeipa-team/freeipa/-/commit/979f25c58c7f29f8010a20ff8e499bb75365ba43">979f25c5</a></strong>

<div>

<span>by Fraser Tweedale</span>

<i>at 2019-09-26T12:47:54+10:00</i>

</div>

<pre class="commit-message" style="white-space: pre-wrap; margin: 0;">NSSWrappedCertDB: accept optional symmetric algorithm

Add support for Custodia ca_wrapped clients to specify the desired

symmetric encryption algorithm for exporting the wrapped signing key

(this mechanism is used for LWCA key replication).  If not

specified, we must assume that the client has an older Dogtag

version that can only import keys wrapped with DES-EDE3-CBC

encryption.

The selected algorithm gets passed to the 'nsswrappedcert' handler,

which in turn passes it to the 'pki ca-authority-key-export' command

(which is part of Dogtag).

Client-side changes will occur in a subsequent commit.

Part of: https://pagure.io/freeipa/issue/8020

Reviewed-By: Alexander Bokovoy <abokovoy@redhat.com>

</pre>

</li>

<li>

<strong><a href="https://salsa.debian.org/freeipa-team/freeipa/-/commit/abc28bec36b7c133d4b08c764645941dbaf4f262">abc28bec</a></strong>

<div>

<span>by Fraser Tweedale</span>

<i>at 2019-09-26T12:47:54+10:00</i>

</div>

<pre class="commit-message" style="white-space: pre-wrap; margin: 0;">ipa-pki-retrieve-key: request AES encryption (with fallback)

Update the ipa-pki-retrieve-key client to issue a request that

specifies that AES encryption should be used.  If the server

responds 404, fall back to a request *without* an algorithm

parameter.  This handles both of the possible 404 scenarios:

a) It is an old server that does not support extra Custodia key

   parameters;

b) The server supports extra parameters but the key does not exist,

   in which case the fallback request will also fail with 404.

Fixes: https://pagure.io/freeipa/issue/8020

Reviewed-By: Alexander Bokovoy <abokovoy@redhat.com>

</pre>

</li>

<li>

<strong><a href="https://salsa.debian.org/freeipa-team/freeipa/-/commit/af5f2b847a593464fb4ca42a20dc25586baf7e17">af5f2b84</a></strong>

<div>

<span>by Fraser Tweedale</span>

<i>at 2019-09-26T12:47:54+10:00</i>

</div>

<pre class="commit-message" style="white-space: pre-wrap; margin: 0;">Bump Dogtag min version to 10.7.3

Dogtag 10.7.3 adds AES support for key export, enabling lightweight

CA key replication to use AES.  Bump the Requires min version.

Fixes: https://pagure.io/freeipa/issue/8020

Reviewed-By: Alexander Bokovoy <abokovoy@redhat.com>

</pre>

</li>

<li>

<strong><a href="https://salsa.debian.org/freeipa-team/freeipa/-/commit/bc53544c6f4db00ea11fdf9fa7fb0c421ca63496">bc53544c</a></strong>

<div>

<span>by Rafael Guterres Jeffman</span>

<i>at 2019-09-27T09:38:32+02:00</i>

</div>

<pre class="commit-message" style="white-space: pre-wrap; margin: 0;">Removes rpmlint warning on freeipa.spec.

This patch removes a warning due to mixed usage of spaces and tabs

in freeipa.spec.in file.

Signed-off-by: Rafael Guterres Jeffman <rjeffman@redhat.com>

Reviewed-By: Christian Heimes <cheimes@redhat.com>

</pre>

</li>

<li>

<strong><a href="https://salsa.debian.org/freeipa-team/freeipa/-/commit/c898be1df926bd134ac4d7cd86d10a00ff5cd2ae">c898be1d</a></strong>

<div>

<span>by Rafael Guterres Jeffman</span>

<i>at 2019-09-27T09:38:32+02:00</i>

</div>

<pre class="commit-message" style="white-space: pre-wrap; margin: 0;">Removes several pylint warnings.

This patche removes 93 pylint deprecation warnings due to invalid escape

sequences (mostly 'invalid escape sequence \d') on unicode strings.

Signed-off-by: Rafael Guterres Jeffman <rjeffman@redhat.com>

Reviewed-By: Christian Heimes <cheimes@redhat.com>

</pre>

</li>

<li>

<strong><a href="https://salsa.debian.org/freeipa-team/freeipa/-/commit/51e0f564870b9b353f0ecf81da700f3d5d1791fb">51e0f564</a></strong>

<div>

<span>by Rafael Guterres Jeffman</span>

<i>at 2019-09-27T09:38:32+02:00</i>

</div>

<pre class="commit-message" style="white-space: pre-wrap; margin: 0;">Removed unnecessary imports after code review.

Signed-off-by: Rafael Guterres Jeffman <rjeffman@redhat.com>

Reviewed-By: Christian Heimes <cheimes@redhat.com>

</pre>

</li>

<li>

<strong><a href="https://salsa.debian.org/freeipa-team/freeipa/-/commit/d4fab33605503fadd1826cd3e879d9c928b8cea9">d4fab336</a></strong>

<div>

<span>by Rafael Guterres Jeffman</span>

<i>at 2019-09-27T09:38:32+02:00</i>

</div>

<pre class="commit-message" style="white-space: pre-wrap; margin: 0;">Removes several pylint warnings.

This patche removes 93 pylint deprecation warnings due to invalid escape

sequences (mostly 'invalid escape sequence \d') on unicode strings.

Signed-off-by: Rafael Guterres Jeffman <rjeffman@redhat.com>

Reviewed-By: Christian Heimes <cheimes@redhat.com>

</pre>

</li>

<li>

<strong><a href="https://salsa.debian.org/freeipa-team/freeipa/-/commit/73529e065c901c332caef125f1f12cba33ddaefd">73529e06</a></strong>

<div>

<span>by Rafael Guterres Jeffman</span>

<i>at 2019-09-27T09:38:32+02:00</i>

</div>

<pre class="commit-message" style="white-space: pre-wrap; margin: 0;">Removed unnecessary imports after code review.

Signed-off-by: Rafael Guterres Jeffman <rjeffman@redhat.com>

Reviewed-By: Christian Heimes <cheimes@redhat.com>

</pre>

</li>

<li>

<strong><a href="https://salsa.debian.org/freeipa-team/freeipa/-/commit/883b44243ae005c6f2d6d5cab502083f1cc10273">883b4424</a></strong>

<div>

<span>by Rafael Guterres Jeffman</span>

<i>at 2019-09-27T09:38:32+02:00</i>

</div>

<pre class="commit-message" style="white-space: pre-wrap; margin: 0;">Fixes pylint errors introduced by version 2.4.0.

Reviewed-By: Christian Heimes <cheimes@redhat.com>

</pre>

</li>

<li>

<strong><a href="https://salsa.debian.org/freeipa-team/freeipa/-/commit/b2a2d7f4e4c63bf60c276b1fb210c72f1ebc4b9f">b2a2d7f4</a></strong>

<div>

<span>by Florence Blanc-Renaud</span>

<i>at 2019-09-27T15:33:15+02:00</i>

</div>

<pre class="commit-message" style="white-space: pre-wrap; margin: 0;">ipa user_add: do not check group if UPG is disabled

The UPG plugin is used to create a user private group when a new

IPA user is created, with the same name as the user. When this plugin

is enabled, the user creation must ensure that no group exists with

the same name.

When the UPG plugin is disabled, or when the user is created with the

--noprivate option, there is no need to perform this check as the

private group will not get created.

Currently, the --noprivate option correctly skips the test, but a

disabled UPG plugin does not skip the test. The fix ensures that

UPG plugin status is checked.

Fixes: https://pagure.io/freeipa/issue/4972

Reviewed-By: Rob Crittenden <rcritten@redhat.com>

</pre>

</li>

<li>

<strong><a href="https://salsa.debian.org/freeipa-team/freeipa/-/commit/387ee6e60f398efcdaf91c8097794ed24179150d">387ee6e6</a></strong>

<div>

<span>by Florence Blanc-Renaud</span>

<i>at 2019-09-27T15:33:15+02:00</i>

</div>

<pre class="commit-message" style="white-space: pre-wrap; margin: 0;">ipatests: add XMLRPC test for user-add when UPG plugin is disabled

Add a new XMLRPC test in test_user_plugin:

- disable the UPG plugin

- create a user without the --gid parameter

  as the default group for new users is not POSIX (ipausers), the

  command is expected to fail

- create a user with the --gid parameter

  The provided gid is used and command is expected to succeed

- create a user with the same name as an existing group

  As the UPG plugin is disabled, the user creation will not trigger

  the creation of a group with the same name, and command is

  expected to succeed

- re-enable the UPG plugin for other tests

Related to: https://pagure.io/freeipa/issue/4972

Reviewed-By: Rob Crittenden <rcritten@redhat.com>

</pre>

</li>

<li>

<strong><a href="https://salsa.debian.org/freeipa-team/freeipa/-/commit/121971a51e6a652f3bc0c8c481a361954bab886e">121971a5</a></strong>

<div>

<span>by Florence Blanc-Renaud</span>

<i>at 2019-10-01T09:37:36+02:00</i>

</div>

<pre class="commit-message" style="white-space: pre-wrap; margin: 0;">ipatests: fix test_replica_promotion.py::TestHiddenReplicaPromotion

The test test_replica_promotion.py::TestHiddenReplicaPromotion randomly

fails in nightly_f29.

The test is checking that a given IP address is not in the DNS records

for the domain. When we are unlucky, we may come up with the following

situation:

- IP address that is unexpected: 192.168.121.25

- IP address that is found for the DNS record: 192.168.121.254

As 192.168.121.25 is a substring of 192.168.121.254, the test wrongly considers that the unexpected address was found.

Extract of the log:

    for host in hosts_unexpected:

        value = host.hostname if rtype == 'SRV' else host.ip

>       assert value not in txt

E       AssertionError: assert '192.168.121.25' not in 'ipa-ca.ipa.test. 1 IN A 192.168.121.254'

E         '192.168.121.25' is contained here:

E           ipa-ca.ipa.test. 1 IN A 192.168.121.254

E         ?                         ++++++++++++++

This happens because the test is comparing the content of the output as a

string. The fix is extracting the exact hostname/IP address from the

record instead.

Fixes: https://pagure.io/freeipa/issue/8070

Reviewed-By: Rob Crittenden <rcritten@redhat.com>

</pre>

</li>

<li>

<strong><a href="https://salsa.debian.org/freeipa-team/freeipa/-/commit/7aec6f10374129d75cd99a4012980516ca535551">7aec6f10</a></strong>

<div>

<span>by Mohammad Rizwan Yusuf</span>

<i>at 2019-10-01T08:17:55-04:00</i>

</div>

<pre class="commit-message" style="white-space: pre-wrap; margin: 0;">Check file ownership and permission for dirsrv log instance

Check if file ownership and permission is set to dirsrv:dirsrv

and 770 on /var/log/dirsrv/slapd-<instance> after ipa-restore.

related ticket : https://pagure.io/freeipa/issue/7725

Signed-off-by: Mohammad Rizwan Yusuf <myusuf@redhat.com>

Reviewed-By: Rob Crittenden <rcritten@redhat.com>

</pre>

</li>

<li>

<strong><a href="https://salsa.debian.org/freeipa-team/freeipa/-/commit/624144ded5e13433838d02fc1dbf307fc97e7397">624144de</a></strong>

<div>

<span>by Florence Blanc-Renaud</span>

<i>at 2019-10-01T10:32:46-04:00</i>

</div>

<pre class="commit-message" style="white-space: pre-wrap; margin: 0;">ipa user_add: do not check group if UPG is disabled

The UPG plugin is used to create a user private group when a new

IPA user is created, with the same name as the user. When this plugin

is enabled, the user creation must ensure that no group exists with

the same name.

When the UPG plugin is disabled, or when the user is created with the

--noprivate option, there is no need to perform this check as the

private group will not get created.

Currently, the --noprivate option correctly skips the test, but a

disabled UPG plugin does not skip the test. The fix ensures that

UPG plugin status is checked.

Fixes: https://pagure.io/freeipa/issue/4972

Reviewed-By: Rob Crittenden <rcritten@redhat.com>

</pre>

</li>

<li>

<strong><a href="https://salsa.debian.org/freeipa-team/freeipa/-/commit/482ee74dd62a037486074d2775e2aa7ce402d736">482ee74d</a></strong>

<div>

<span>by Florence Blanc-Renaud</span>

<i>at 2019-10-01T10:32:46-04:00</i>

</div>

<pre class="commit-message" style="white-space: pre-wrap; margin: 0;">ipatests: add XMLRPC test for user-add when UPG plugin is disabled

Add a new XMLRPC test in test_user_plugin:

- disable the UPG plugin

- create a user without the --gid parameter

  as the default group for new users is not POSIX (ipausers), the

  command is expected to fail

- create a user with the --gid parameter

  The provided gid is used and command is expected to succeed

- create a user with the same name as an existing group

  As the UPG plugin is disabled, the user creation will not trigger

  the creation of a group with the same name, and command is

  expected to succeed

- re-enable the UPG plugin for other tests

Related to: https://pagure.io/freeipa/issue/4972

Reviewed-By: Rob Crittenden <rcritten@redhat.com>

</pre>

</li>

<li>

<strong><a href="https://salsa.debian.org/freeipa-team/freeipa/-/commit/ebb6e5dfe65e27018c6321c67007d88462e5b70d">ebb6e5df</a></strong>

<div>

<span>by Rafael Guterres Jeffman</span>

<i>at 2019-10-01T10:36:28-04:00</i>

</div>

<pre class="commit-message" style="white-space: pre-wrap; margin: 0;">Removes rpmlint warning on freeipa.spec.

This patch removes a warning due to mixed usage of spaces and tabs

in freeipa.spec.in file.

Signed-off-by: Rafael Guterres Jeffman <rjeffman@redhat.com>

Reviewed-By: Christian Heimes <cheimes@redhat.com>

</pre>

</li>

<li>

<strong><a href="https://salsa.debian.org/freeipa-team/freeipa/-/commit/07d318d092eed539900d16c5f7e2a852be221f37">07d318d0</a></strong>

<div>

<span>by Rafael Guterres Jeffman</span>

<i>at 2019-10-01T10:36:28-04:00</i>

</div>

<pre class="commit-message" style="white-space: pre-wrap; margin: 0;">Removes several pylint warnings.

This patche removes 93 pylint deprecation warnings due to invalid escape

sequences (mostly 'invalid escape sequence \d') on unicode strings.

Signed-off-by: Rafael Guterres Jeffman <rjeffman@redhat.com>

Reviewed-By: Christian Heimes <cheimes@redhat.com>

</pre>

</li>

<li>

<strong><a href="https://salsa.debian.org/freeipa-team/freeipa/-/commit/9d75f8295ba2ab901ebaac56a281e232961775f8">9d75f829</a></strong>

<div>

<span>by Rafael Guterres Jeffman</span>

<i>at 2019-10-01T10:36:28-04:00</i>

</div>

<pre class="commit-message" style="white-space: pre-wrap; margin: 0;">Removed unnecessary imports after code review.

Signed-off-by: Rafael Guterres Jeffman <rjeffman@redhat.com>

Reviewed-By: Christian Heimes <cheimes@redhat.com>

</pre>

</li>

<li>

<strong><a href="https://salsa.debian.org/freeipa-team/freeipa/-/commit/f022674f55710db8460040e25d6c074558b5a795">f022674f</a></strong>

<div>

<span>by Rafael Guterres Jeffman</span>

<i>at 2019-10-01T10:36:28-04:00</i>

</div>

<pre class="commit-message" style="white-space: pre-wrap; margin: 0;">Removes several pylint warnings.

This patche removes 93 pylint deprecation warnings due to invalid escape

sequences (mostly 'invalid escape sequence \d') on unicode strings.

Signed-off-by: Rafael Guterres Jeffman <rjeffman@redhat.com>

Reviewed-By: Christian Heimes <cheimes@redhat.com>

</pre>

</li>

<li>

<strong><a href="https://salsa.debian.org/freeipa-team/freeipa/-/commit/56b736b81a3c3cf8945f5b4e9fa92ecfdfdaeef6">56b736b8</a></strong>

<div>

<span>by Rafael Guterres Jeffman</span>

<i>at 2019-10-01T10:36:28-04:00</i>

</div>

<pre class="commit-message" style="white-space: pre-wrap; margin: 0;">Removed unnecessary imports after code review.

Signed-off-by: Rafael Guterres Jeffman <rjeffman@redhat.com>

Reviewed-By: Christian Heimes <cheimes@redhat.com>

</pre>

</li>

<li>

<strong><a href="https://salsa.debian.org/freeipa-team/freeipa/-/commit/c793c6818ce0dc35fc61ff49c6ca847b57dc6a48">c793c681</a></strong>

<div>

<span>by Rafael Guterres Jeffman</span>

<i>at 2019-10-01T10:36:28-04:00</i>

</div>

<pre class="commit-message" style="white-space: pre-wrap; margin: 0;">Fixes pylint errors introduced by version 2.4.0.

Reviewed-By: Christian Heimes <cheimes@redhat.com>

</pre>

</li>

<li>

<strong><a href="https://salsa.debian.org/freeipa-team/freeipa/-/commit/19d51683cad9ee091d25c56431a8b5a538e3fe10">19d51683</a></strong>

<div>

<span>by Alexander Bokovoy</span>

<i>at 2019-10-01T10:38:00-04:00</i>

</div>

<pre class="commit-message" style="white-space: pre-wrap; margin: 0;">Add local helpers to handle unixid structure

Samba did remove unixid_from_*() helpers in the upstream commit

c906153cc7af21abe508ddd30c447642327d6a5d (Samba 4.11). Since they are

very simple, make a local copy instead.

Fixes: https://bugzilla.redhat.com/show_bug.cgi?id=1757089

Signed-off-by: Alexander Bokovoy <abokovoy@redhat.com>

Reviewed-By: Rob Crittenden <rcritten@redhat.com>

</pre>

</li>

<li>

<strong><a href="https://salsa.debian.org/freeipa-team/freeipa/-/commit/3f98406bcbafc3b6e1e75ca38bec8e1c9cc8bd12">3f98406b</a></strong>

<div>

<span>by Alexander Bokovoy</span>

<i>at 2019-10-01T16:58:47-04:00</i>

</div>

<pre class="commit-message" style="white-space: pre-wrap; margin: 0;">Add local helpers to handle unixid structure

Samba did remove unixid_from_*() helpers in the upstream commit

c906153cc7af21abe508ddd30c447642327d6a5d (Samba 4.11). Since they are

very simple, make a local copy instead.

Fixes: https://bugzilla.redhat.com/show_bug.cgi?id=1757089

Signed-off-by: Alexander Bokovoy <abokovoy@redhat.com>

Reviewed-By: Rob Crittenden <rcritten@redhat.com>

</pre>

</li>

<li>

<strong><a href="https://salsa.debian.org/freeipa-team/freeipa/-/commit/b24feb41658042d540a5c823ac032712c3e1bc07">b24feb41</a></strong>

<div>

<span>by Florence Blanc-Renaud</span>

<i>at 2019-10-02T15:22:15+02:00</i>

</div>

<pre class="commit-message" style="white-space: pre-wrap; margin: 0;">ipatests: fix test_replica_promotion.py::TestHiddenReplicaPromotion

The test test_replica_promotion.py::TestHiddenReplicaPromotion randomly

fails in nightly_f29.

The test is checking that a given IP address is not in the DNS records

for the domain. When we are unlucky, we may come up with the following

situation:

- IP address that is unexpected: 192.168.121.25

- IP address that is found for the DNS record: 192.168.121.254

As 192.168.121.25 is a substring of 192.168.121.254, the test wrongly considers that the unexpected address was found.

Extract of the log:

    for host in hosts_unexpected:

        value = host.hostname if rtype == 'SRV' else host.ip

>       assert value not in txt

E       AssertionError: assert '192.168.121.25' not in 'ipa-ca.ipa.test. 1 IN A 192.168.121.254'

E         '192.168.121.25' is contained here:

E           ipa-ca.ipa.test. 1 IN A 192.168.121.254

E         ?                         ++++++++++++++

This happens because the test is comparing the content of the output as a

string. The fix is extracting the exact hostname/IP address from the

record instead.

Fixes: https://pagure.io/freeipa/issue/8070

Reviewed-By: Rob Crittenden <rcritten@redhat.com>

</pre>

</li>

<li>

<strong><a href="https://salsa.debian.org/freeipa-team/freeipa/-/commit/940e2ef900d766086a793cfd6b8906e425badac0">940e2ef9</a></strong>

<div>

<span>by Mohammad Rizwan Yusuf</span>

<i>at 2019-10-02T15:27:08+02:00</i>

</div>

<pre class="commit-message" style="white-space: pre-wrap; margin: 0;">Check file ownership and permission for dirsrv log instance

Check if file ownership and permission is set to dirsrv:dirsrv

and 770 on /var/log/dirsrv/slapd-<instance> after ipa-restore.

related ticket : https://pagure.io/freeipa/issue/7725

Signed-off-by: Mohammad Rizwan Yusuf <myusuf@redhat.com>

Reviewed-By: Rob Crittenden <rcritten@redhat.com>

</pre>

</li>

<li>

<strong><a href="https://salsa.debian.org/freeipa-team/freeipa/-/commit/cf7006376d2c40f17786e1f5813755a9b5bc60b2">cf700637</a></strong>

<div>

<span>by Cédric Jeanneret</span>

<i>at 2019-10-02T15:29:08+02:00</i>

</div>

<pre class="commit-message" style="white-space: pre-wrap; margin: 0;">Add new tip for dependencies

Reviewed-By: Christian Heimes <cheimes@redhat.com>

</pre>

</li>

<li>

<strong><a href="https://salsa.debian.org/freeipa-team/freeipa/-/commit/a4ca34261a55af96e3428822f08f8b2292e6234a">a4ca3426</a></strong>

<div>

<span>by Armando Neto</span>

<i>at 2019-10-03T09:01:16-03:00</i>

</div>

<pre class="commit-message" style="white-space: pre-wrap; margin: 0;">prci: increase timeout for jobs that required AD

Vagrant retries to provision hosts if something happens, it was introduced

in PR-CI after https://github.com/freeipa/freeipa-pr-ci/commit/380c8b8c78a1ce277b7c1a327bda9d123c117c4d.

This takes time, some jobs are killed during test execution, so this

increases the time-out parameter from 1 hour and 20 minutes to 2 hours.

Signed-off-by: Armando Neto <abiagion@redhat.com>

Reviewed-By: Florence Blanc-Renaud <frenaud@redhat.com>

</pre>

</li>

<li>

<strong><a href="https://salsa.debian.org/freeipa-team/freeipa/-/commit/2c7ad3c3df3decfcb61b0a88c13a80282ef5561b">2c7ad3c3</a></strong>

<div>

<span>by Armando Neto</span>

<i>at 2019-10-03T09:02:04-03:00</i>

</div>

<pre class="commit-message" style="white-space: pre-wrap; margin: 0;">prci: increase timeout for jobs that required AD

Vagrant retries to provision hosts if something happens, it was introduced

in PR-CI after https://github.com/freeipa/freeipa-pr-ci/commit/380c8b8c78a1ce277b7c1a327bda9d123c117c4d.

This takes time, some jobs are killed during test execution, so this

increases the time-out parameter from 1 hour and 20 minutes to 2 hours.

Signed-off-by: Armando Neto <abiagion@redhat.com>

Reviewed-By: Florence Blanc-Renaud <frenaud@redhat.com>

</pre>

</li>

<li>

<strong><a href="https://salsa.debian.org/freeipa-team/freeipa/-/commit/c2c1000e2d5481d4be377feb12588fdb09d12de0">c2c1000e</a></strong>

<div>

<span>by Mohammad Rizwan Yusuf</span>

<i>at 2019-10-07T08:08:35+02:00</i>

</div>

<pre class="commit-message" style="white-space: pre-wrap; margin: 0;">Installation of replica against a specific server

Test to check replica install against specific server. It uses master and

replica1 without CA and having custodia service stopped. Then try to

install replica2 from replica1 and expect it to get fail as specified server

is not providing all the services.

related ticket: https://pagure.io/freeipa/issue/7566

Signed-off-by: Mohammad Rizwan Yusuf <myusuf@redhat.com>

Reviewed-By: Florence Blanc-Renaud <flo@redhat.com>

Reviewed-By: Rob Crittenden <rcritten@redhat.com>

</pre>

</li>

<li>

<strong><a href="https://salsa.debian.org/freeipa-team/freeipa/-/commit/c77bbe7899577cb14b42625953f1b9a868e6f237">c77bbe78</a></strong>

<div>

<span>by Mohammad Rizwan Yusuf</span>

<i>at 2019-10-07T08:08:35+02:00</i>

</div>

<pre class="commit-message" style="white-space: pre-wrap; margin: 0;">Add test to nightly yamls

Reviewed-By: Florence Blanc-Renaud <flo@redhat.com>

Reviewed-By: Rob Crittenden <rcritten@redhat.com>

</pre>

</li>

<li>

<strong><a href="https://salsa.debian.org/freeipa-team/freeipa/-/commit/8704fb0fab40d2c6921b3aaaa5c4aa6b235e9b4a">8704fb0f</a></strong>

<div>

<span>by Rob Crittenden</span>

<i>at 2019-10-07T08:15:57+02:00</i>

</div>

<pre class="commit-message" style="white-space: pre-wrap; margin: 0;">Replace replication_wait_timeout with certmonger_wait_timeout

The variable is intended to control the timeout for replication

events. If someone had significantly reduced it via configuration

then it could have caused certmogner requests to fail due to timeouts.

Add replication_wait_timeout, certmonger_wait_timeout and

http_timeout to the default.conf man page.

Related: https://pagure.io/freeipa/issue/7971

Reviewed-By: Florence Blanc-Renaud <flo@redhat.com>

</pre>

</li>

<li>

<strong><a href="https://salsa.debian.org/freeipa-team/freeipa/-/commit/c61a3277909f31b19dc65f4d74fa75bcb38dab3a">c61a3277</a></strong>

<div>

<span>by Rob Crittenden</span>

<i>at 2019-10-07T08:15:57+02:00</i>

</div>

<pre class="commit-message" style="white-space: pre-wrap; margin: 0;">Log the replication wait timeout for debugging purposes

Related: https://pagure.io/freeipa/issue/7971

Reviewed-By: Florence Blanc-Renaud <flo@redhat.com>

</pre>

</li>

<li>

<strong><a href="https://salsa.debian.org/freeipa-team/freeipa/-/commit/02ff41dcae78054739f7f2b4c2be1a8f5b35c671">02ff41dc</a></strong>

<div>

<span>by Rob Crittenden</span>

<i>at 2019-10-07T08:15:57+02:00</i>

</div>

<pre class="commit-message" style="white-space: pre-wrap; margin: 0;">Log dogtag auth timeout in install, provide hint to increase it

There is a loop which keeps trying to bind as the admin user

which will fail until it is replicated.

In the case where there is a lot to replicate the default

5 minute timeout may be insufficient. Provide a hint for

tuning.

Fixes: https://pagure.io/freeipa/issue/7971

Reviewed-By: Florence Blanc-Renaud <flo@redhat.com>

</pre>

</li>

<li>

<strong><a href="https://salsa.debian.org/freeipa-team/freeipa/-/commit/e10c89684d4dafcc8bb8b750539bed1b10bcaa3a">e10c8968</a></strong>

<div>

<span>by Rob Crittenden</span>

<i>at 2019-10-07T08:15:57+02:00</i>

</div>

<pre class="commit-message" style="white-space: pre-wrap; margin: 0;">Add missing timeout option to logging statement

Reviewed-By: Florence Blanc-Renaud <flo@redhat.com>

Reviewed-By: Florence Blanc-Renaud <flo@redhat.com>

</pre>

</li>

<li>

<strong><a href="https://salsa.debian.org/freeipa-team/freeipa/-/commit/0b8c81a5bc194ffac7ea713930d6b922d10285d4">0b8c81a5</a></strong>

<div>

<span>by Christian Heimes</span>

<i>at 2019-10-10T09:20:51+02:00</i>

</div>

<pre class="commit-message" style="white-space: pre-wrap; margin: 0;">Don't install a preexec_fn by default

ipautil.run() now only installs a preexec_fn when it is actually needed.

This addresses a compatibility issue with mod_wsgi subinterpreters under

Python 3.8.

Fixes: https://bugzilla.redhat.com/show_bug.cgi?id=1759290

See: https://bugs.python.org/issue37951

Signed-off-by: Christian Heimes <cheimes@redhat.com>

Reviewed-By: Alexander Bokovoy <abokovoy@redhat.com>

</pre>

</li>

<li>

<strong><a href="https://salsa.debian.org/freeipa-team/freeipa/-/commit/0d7f89c5a0e6dc0d1dc567ab50111c9bcdb8b708">0d7f89c5</a></strong>

<div>

<span>by Sergey Orlov</span>

<i>at 2019-10-10T13:27:03+02:00</i>

</div>

<pre class="commit-message" style="white-space: pre-wrap; margin: 0;">ipatests: fix DNS forwarders setup for AD trust tests with non-root domains

The tests are failing to establish trust with AD subdomain and tree domain

controllers. This happens because IPA server needs to contact root domain

controller to fetch domain-wide UPN suffixes but can not do it because we

setup DNS forwarding only for the domains with which we try to establish

trust.

To establish trust with AD subdomain we now setup forwarder for root AD

domain, and to establish trust with AD treedomain  -- two forwarders:

one for root domain and another one for treedomain.

Reviewed-By: Alexander Bokovoy <abokovoy@redhat.com>

</pre>

</li>

<li>

<strong><a href="https://salsa.debian.org/freeipa-team/freeipa/-/commit/4800fc1eb9ec85bf03ab6b5b9a24ac350704af7e">4800fc1e</a></strong>

<div>

<span>by Timo Aaltonen</span>

<i>at 2019-10-14T10:48:48+03:00</i>

</div>

<pre class="commit-message" style="white-space: pre-wrap; margin: 0;">control: Server needs to depend on the py3 version of mod-wsgi.

</pre>

</li>

<li>

<strong><a href="https://salsa.debian.org/freeipa-team/freeipa/-/commit/3067632fb59a71229da1f95648c77e15757431db">3067632f</a></strong>

<div>

<span>by Sergey Orlov</span>

<i>at 2019-10-14T10:00:33+02:00</i>

</div>

<pre class="commit-message" style="white-space: pre-wrap; margin: 0;">ipatests: fix DNS forwarders setup for AD trust tests with non-root domains

The tests are failing to establish trust with AD subdomain and tree domain

controllers. This happens because IPA server needs to contact root domain

controller to fetch domain-wide UPN suffixes but can not do it because we

setup DNS forwarding only for the domains with which we try to establish

trust.

To establish trust with AD subdomain we now setup forwarder for root AD

domain, and to establish trust with AD treedomain  -- two forwarders:

one for root domain and another one for treedomain.

Reviewed-By: Alexander Bokovoy <abokovoy@redhat.com>

Reviewed-By: Alexander Bokovoy <abokovoy@redhat.com>

</pre>

</li>

<li>

<strong><a href="https://salsa.debian.org/freeipa-team/freeipa/-/commit/b6134e86b377a2804efbfac1d78091a460898d0c">b6134e86</a></strong>

<div>

<span>by Mohammad Rizwan Yusuf</span>

<i>at 2019-10-14T10:50:01+02:00</i>

</div>

<pre class="commit-message" style="white-space: pre-wrap; margin: 0;">Installation of replica against a specific server

Test to check replica install against specific server. It uses master and

replica1 without CA and having custodia service stopped. Then try to

install replica2 from replica1 and expect it to get fail as specified server

is not providing all the services.

related ticket: https://pagure.io/freeipa/issue/7566

Signed-off-by: Mohammad Rizwan Yusuf <myusuf@redhat.com>

Reviewed-By: Florence Blanc-Renaud <flo@redhat.com>

Reviewed-By: Rob Crittenden <rcritten@redhat.com>

Reviewed-By: Florence Blanc-Renaud <flo@redhat.com>

</pre>

</li>

<li>

<strong><a href="https://salsa.debian.org/freeipa-team/freeipa/-/commit/b585e58b845ccecd48934f55c664a12b8ed06fc8">b585e58b</a></strong>

<div>

<span>by Mohammad Rizwan Yusuf</span>

<i>at 2019-10-14T10:50:01+02:00</i>

</div>

<pre class="commit-message" style="white-space: pre-wrap; margin: 0;">Add test to nightly yamls.

Reviewed-By: Florence Blanc-Renaud <flo@redhat.com>

Reviewed-By: Rob Crittenden <rcritten@redhat.com>

Conflicts:

        ipatests/prci_definitions/nightly_f29.yaml

        ipatests/prci_definitions/nightly_master_testing.yaml

        ipatests/prci_definitions/nightly_rawhide.yaml

Reviewed-By: Florence Blanc-Renaud <flo@redhat.com>

</pre>

</li>

<li>

<strong><a href="https://salsa.debian.org/freeipa-team/freeipa/-/commit/1ac7169de29de47a1951b56ec021b5f1fded0f69">1ac7169d</a></strong>

<div>

<span>by François Cami</span>

<i>at 2019-10-14T11:01:40+02:00</i>

</div>

<pre class="commit-message" style="white-space: pre-wrap; margin: 0;">ipa_client_automount.py: fix typo (idmap.conf => idmapd.conf)

660c49 introduced --idmap-domain which sets the Domain option in

idmapd.conf. However the help message for that knob mentioned

idmap.conf which is wrong. Fix that.

Reported by Marc Muehlfeld <mmuehlfe@redhat.com>.

Signed-off-by: François Cami <fcami@redhat.com>

Reviewed-By: Michal Polovka <mpolovka@redhat.com>

</pre>

</li>

<li>

<strong><a href="https://salsa.debian.org/freeipa-team/freeipa/-/commit/e6db4980d844ee69b70df0e38c9aea9be1c74618">e6db4980</a></strong>

<div>

<span>by François Cami</span>

<i>at 2019-10-16T12:14:19+02:00</i>

</div>

<pre class="commit-message" style="white-space: pre-wrap; margin: 0;">ipatests: temporarily remove test_smb from gating

test_smb is now failing in a repeatable way due to CI infrastructure

issues. Temporarily remove it until this is fixed.

Signed-off-by: François Cami <fcami@redhat.com>

Reviewed-By: Florence Blanc-Renaud <flo@redhat.com>

</pre>

</li>

<li>

<strong><a href="https://salsa.debian.org/freeipa-team/freeipa/-/commit/8f8e4508a62293e8aae0c09d97d3645d8745b6d7">8f8e4508</a></strong>

<div>

<span>by François Cami</span>

<i>at 2019-10-16T12:17:46+02:00</i>

</div>

<pre class="commit-message" style="white-space: pre-wrap; margin: 0;">ipa_client_automount.py: fix typo (idmap.conf => idmapd.conf)

660c49 introduced --idmap-domain which sets the Domain option in

idmapd.conf. However the help message for that knob mentioned

idmap.conf which is wrong. Fix that.

Reported by Marc Muehlfeld <mmuehlfe@redhat.com>.

Signed-off-by: François Cami <fcami@redhat.com>

Reviewed-By: Michal Polovka <mpolovka@redhat.com>

</pre>

</li>

<li>

<strong><a href="https://salsa.debian.org/freeipa-team/freeipa/-/commit/0fc8562b248b13a125d5bda8f0f2964d50dcc08c">0fc8562b</a></strong>

<div>

<span>by Florence Blanc-Renaud</span>

<i>at 2019-10-17T08:11:45+02:00</i>

</div>

<pre class="commit-message" style="white-space: pre-wrap; margin: 0;">ipa-server-certinstall manpage: add missing options

Some options were not documented in the man page:

--version

-h, --help

-p DIRMAN_PASSWD (but the long name --dirman-password is in the man page)

-v, --verbose

-q, --quiet

--log-file=FILE

Fixes: https://pagure.io/freeipa/issue/8086

Reviewed-By: Rob Crittenden <rcritten@redhat.com>

</pre>

</li>

<li>

<strong><a href="https://salsa.debian.org/freeipa-team/freeipa/-/commit/326d417d98b092e175623cd28e46586df00e60a2">326d417d</a></strong>

<div>

<span>by Fraser Tweedale</span>

<i>at 2019-10-17T08:17:46+02:00</i>

</div>

<pre class="commit-message" style="white-space: pre-wrap; margin: 0;">krainstance: set correct issuer DN in uid=ipakra entry

If IPA CA has custom subject DN (not "CN=Certificate

Authority,{subject_base}"), the uid=ipakra people entry gets an

incorrect 'description' attribute.  The issuer DN in the

'description' attribute is based on the aforementioned pattern,

instead of the actual IPA CA subject DN.

Update KRAInstance.configure_instance() to require the CA subject DN

argument.  Update ipaserver.install.kra.install() to pass the CA

subject DN.

Fixes: https://pagure.io/freeipa/issue/8084

Reviewed-By: Florence Blanc-Renaud <flo@redhat.com>

</pre>

</li>

<li>

<strong><a href="https://salsa.debian.org/freeipa-team/freeipa/-/commit/7ea50ff76d2ee5367b75d999c2baa2a7a480f34a">7ea50ff7</a></strong>

<div>

<span>by Fraser Tweedale</span>

<i>at 2019-10-17T08:17:46+02:00</i>

</div>

<pre class="commit-message" style="white-space: pre-wrap; margin: 0;">upgrade: fix ipakra people entry 'description' attribute

Add an upgrade script to detect when ipakra people entry has

incorrect 'description' attribute and fix it.

Part of: https://pagure.io/freeipa/issue/8084

Reviewed-By: Florence Blanc-Renaud <flo@redhat.com>

</pre>

</li>

<li>

<strong><a href="https://salsa.debian.org/freeipa-team/freeipa/-/commit/e767386e7120be3515d6a34529b51ae658248038">e767386e</a></strong>

<div>

<span>by Fraser Tweedale</span>

<i>at 2019-10-17T08:17:46+02:00</i>

</div>

<pre class="commit-message" style="white-space: pre-wrap; margin: 0;">test_integration: add tests for custom CA subject DN

Define integration test for custom CA subject DN and subject base

scenarios.  Add to nightly CI runs.

Part of: https://pagure.io/freeipa/issue/8084

Reviewed-By: Florence Blanc-Renaud <flo@redhat.com>

</pre>

</li>

<li>

<strong><a href="https://salsa.debian.org/freeipa-team/freeipa/-/commit/16149831daf12826c1c39d4109a0014b86fbb072">16149831</a></strong>

<div>

<span>by Stanislav Levin</span>

<i>at 2019-10-17T08:29:06+02:00</i>

</div>

<pre class="commit-message" style="white-space: pre-wrap; margin: 0;">Restore running of 'test_ipaserver' tests on Azure

`test_ipaserver` was lost on refactoring in #c8ef093e56.

Let's run that again.

Signed-off-by: Stanislav Levin <slev@altlinux.org>

Reviewed-By: Florence Blanc-Renaud <flo@redhat.com>

</pre>

</li>

<li>

<strong><a href="https://salsa.debian.org/freeipa-team/freeipa/-/commit/1ed7dd4bf14c8cfb80aa5f59549821feaf9c3f26">1ed7dd4b</a></strong>

<div>

<span>by Stanislav Levin</span>

<i>at 2019-10-17T08:29:06+02:00</i>

</div>

<pre class="commit-message" style="white-space: pre-wrap; margin: 0;">Install language packs for tests

* 'fr_FR' locale is utilized in

test_ipaserver/test_i18n_messages.py::test_i18n_messages::test_i18n_consequence_receive

* 'en_US' is a commonly used locale

AP warns regularly:

```

/bin/bash: warning: setlocale: LC_ALL: cannot change locale

(en_US.utf8): No such file or directory

```

Signed-off-by: Stanislav Levin <slev@altlinux.org>

Reviewed-By: Florence Blanc-Renaud <flo@redhat.com>

</pre>

</li>

<li>

<strong><a href="https://salsa.debian.org/freeipa-team/freeipa/-/commit/c73000e04fbecd5ffd75f1f099e9d06a0bc58845">c73000e0</a></strong>

<div>

<span>by François Cami</span>

<i>at 2019-10-17T08:32:33+02:00</i>

</div>

<pre class="commit-message" style="white-space: pre-wrap; margin: 0;">ipatests: temporarily remove test_smb from gating

test_smb is now failing in a repeatable way due to CI infrastructure

issues. Temporarily remove it until this is fixed.

Signed-off-by: François Cami <fcami@redhat.com>

Reviewed-By: Florence Blanc-Renaud <flo@redhat.com>

</pre>

</li>

<li>

<strong><a href="https://salsa.debian.org/freeipa-team/freeipa/-/commit/921f500240fc0861e099a97a2b412e8610eaf198">921f5002</a></strong>

<div>

<span>by Florence Blanc-Renaud</span>

<i>at 2019-10-17T08:36:54+02:00</i>

</div>

<pre class="commit-message" style="white-space: pre-wrap; margin: 0;">ipa-backup: fix python2 issue with os.mkdir

Python2 and python3 have different interfaces for os.mkdir:

python2: os.mkdir(path[, mode])

python3: os.mkdir(path, mode=0o777, *, dir_fd=None)

ipa-backup is using the python3 format, which breaks deployments using

python2. The fix consists in using os.mkdir(path, 0o700) instead of

os.mkdir(path, mode=0o700).

Fixes: https://pagure.io/freeipa/issue/8099

Reviewed-By: Alexander Bokovoy <abbra@users.noreply.github.com>

</pre>

</li>

<li>

<strong><a href="https://salsa.debian.org/freeipa-team/freeipa/-/commit/94b4c25b446ab1fc8ba4277552ed635892536c6f">94b4c25b</a></strong>

<div>

<span>by Florence Blanc-Renaud</span>

<i>at 2019-10-17T12:15:20+02:00</i>

</div>

<pre class="commit-message" style="white-space: pre-wrap; margin: 0;">ipa-server-certinstall manpage: add missing options

Some options were not documented in the man page:

--version

-h, --help

-p DIRMAN_PASSWD (but the long name --dirman-password is in the man page)

-v, --verbose

-q, --quiet

--log-file=FILE

Fixes: https://pagure.io/freeipa/issue/8086

Reviewed-By: Rob Crittenden <rcritten@redhat.com>

</pre>

</li>

<li>

<strong><a href="https://salsa.debian.org/freeipa-team/freeipa/-/commit/4c24d013674aa7291302b1c35a269b079d739c4a">4c24d013</a></strong>

<div>

<span>by Florence Blanc-Renaud</span>

<i>at 2019-10-17T12:20:47+02:00</i>

</div>

<pre class="commit-message" style="white-space: pre-wrap; margin: 0;">ipa-backup: fix python2 issue with os.mkdir

Python2 and python3 have different interfaces for os.mkdir:

python2: os.mkdir(path[, mode])

python3: os.mkdir(path, mode=0o777, *, dir_fd=None)

ipa-backup is using the python3 format, which breaks deployments using

python2. The fix consists in using os.mkdir(path, 0o700) instead of

os.mkdir(path, mode=0o700).

Fixes: https://pagure.io/freeipa/issue/8099

Reviewed-By: Alexander Bokovoy <abbra@users.noreply.github.com>

</pre>

</li>

<li>

<strong><a href="https://salsa.debian.org/freeipa-team/freeipa/-/commit/5754582132d19724fa83e6614b0344d2c675448d">57545821</a></strong>

<div>

<span>by Stanislav Levin</span>

<i>at 2019-10-17T13:43:41+02:00</i>

</div>

<pre class="commit-message" style="white-space: pre-wrap; margin: 0;">Restore running of 'test_ipaserver' tests on Azure

`test_ipaserver` was lost on refactoring in #c8ef093e56.

Let's run that again.

Signed-off-by: Stanislav Levin <slev@altlinux.org>

Reviewed-By: Florence Blanc-Renaud <flo@redhat.com>

</pre>

</li>

<li>

<strong><a href="https://salsa.debian.org/freeipa-team/freeipa/-/commit/b3857c710bd52419ab81bff9e2e1d4ce0965b470">b3857c71</a></strong>

<div>

<span>by Stanislav Levin</span>

<i>at 2019-10-17T13:43:41+02:00</i>

</div>

<pre class="commit-message" style="white-space: pre-wrap; margin: 0;">Install language packs for tests

* 'fr_FR' locale is utilized in

test_ipaserver/test_i18n_messages.py::test_i18n_messages::test_i18n_consequence_receive

* 'en_US' is a commonly used locale

AP warns regularly:

```

/bin/bash: warning: setlocale: LC_ALL: cannot change locale

(en_US.utf8): No such file or directory

```

Signed-off-by: Stanislav Levin <slev@altlinux.org>

Reviewed-By: Florence Blanc-Renaud <flo@redhat.com>

</pre>

</li>

<li>

<strong><a href="https://salsa.debian.org/freeipa-team/freeipa/-/commit/09c6db750e542c7c25dd34d5cf25750f34250bd9">09c6db75</a></strong>

<div>

<span>by Fraser Tweedale</span>

<i>at 2019-10-18T12:51:32+11:00</i>

</div>

<pre class="commit-message" style="white-space: pre-wrap; margin: 0;">krainstance: set correct issuer DN in uid=ipakra entry

If IPA CA has custom subject DN (not "CN=Certificate

Authority,{subject_base}"), the uid=ipakra people entry gets an

incorrect 'description' attribute.  The issuer DN in the

'description' attribute is based on the aforementioned pattern,

instead of the actual IPA CA subject DN.

Update KRAInstance.configure_instance() to require the CA subject DN

argument.  Update ipaserver.install.kra.install() to pass the CA

subject DN.

Fixes: https://pagure.io/freeipa/issue/8084

Reviewed-By: Florence Blanc-Renaud <flo@redhat.com>

</pre>

</li>

<li>

<strong><a href="https://salsa.debian.org/freeipa-team/freeipa/-/commit/23f4e00345c051c3ca7540963a59a3ee91d2ea24">23f4e003</a></strong>

<div>

<span>by Fraser Tweedale</span>

<i>at 2019-10-18T12:51:32+11:00</i>

</div>

<pre class="commit-message" style="white-space: pre-wrap; margin: 0;">upgrade: fix ipakra people entry 'description' attribute

Add an upgrade script to detect when ipakra people entry has

incorrect 'description' attribute and fix it.

Part of: https://pagure.io/freeipa/issue/8084

Reviewed-By: Florence Blanc-Renaud <flo@redhat.com>

</pre>

</li>

<li>

<strong><a href="https://salsa.debian.org/freeipa-team/freeipa/-/commit/5d68d04c77c9dc52db810085274b424cf0295b13">5d68d04c</a></strong>

<div>

<span>by Fraser Tweedale</span>

<i>at 2019-10-18T12:51:32+11:00</i>

</div>

<pre class="commit-message" style="white-space: pre-wrap; margin: 0;">test_integration: add tests for custom CA subject DN

Define integration test for custom CA subject DN and subject base

scenarios.  Add to nightly CI runs.

Part of: https://pagure.io/freeipa/issue/8084

Reviewed-By: Florence Blanc-Renaud <flo@redhat.com>

</pre>

</li>

<li>

<strong><a href="https://salsa.debian.org/freeipa-team/freeipa/-/commit/3fbd0abf253c4d46134820337269008bfa2a7240">3fbd0abf</a></strong>

<div>

<span>by Christian Heimes</span>

<i>at 2019-10-18T09:57:42-04:00</i>

</div>

<pre class="commit-message" style="white-space: pre-wrap; margin: 0;">Don't install a preexec_fn by default

ipautil.run() now only installs a preexec_fn when it is actually needed.

This addresses a compatibility issue with mod_wsgi subinterpreters under

Python 3.8.

Fixes: https://bugzilla.redhat.com/show_bug.cgi?id=1759290

See: https://bugs.python.org/issue37951

Signed-off-by: Christian Heimes <cheimes@redhat.com>

Reviewed-By: Alexander Bokovoy <abokovoy@redhat.com>

</pre>

</li>

<li>

<strong><a href="https://salsa.debian.org/freeipa-team/freeipa/-/commit/3d8a444f624b431706838f243fc19f92e8fbc63e">3d8a444f</a></strong>

<div>

<span>by Armando Neto</span>

<i>at 2019-10-18T11:27:09-03:00</i>

</div>

<pre class="commit-message" style="white-space: pre-wrap; margin: 0;">prci: increase timeout argument for test_sssd.py

Follow-up for commit a4ca34261a55af96e3428822f08f8b2292e6234a.

Vagrant retries to provision hosts if something happens, it was introduced

in PR-CI after freeipa/freeipa-pr-ci@380c8b8.

This takes time, some jobs are killed during test execution, so this

adds 20 minutes more to `test_sssd.py` test suite.

This also adds a missing but available topology to `temp_commit.yaml`.

Signed-off-by: Armando Neto <abiagion@redhat.com>

Reviewed-By: Francisco Trivino <ftrivino@redhat.com>

</pre>

</li>

<li>

<strong><a href="https://salsa.debian.org/freeipa-team/freeipa/-/commit/40da0cef4460e12e61b0fa412fca088a209d5713">40da0cef</a></strong>

<div>

<span>by Armando Neto</span>

<i>at 2019-10-18T11:28:56-03:00</i>

</div>

<pre class="commit-message" style="white-space: pre-wrap; margin: 0;">prci: increase timeout argument for test_sssd.py

Follow-up for commit a4ca34261a55af96e3428822f08f8b2292e6234a.

Vagrant retries to provision hosts if something happens, it was introduced

in PR-CI after freeipa/freeipa-pr-ci@380c8b8.

This takes time, some jobs are killed during test execution, so this

adds 20 minutes more to `test_sssd.py` test suite.

This also adds a missing but available topology to `temp_commit.yaml`.

Signed-off-by: Armando Neto <abiagion@redhat.com>

Reviewed-By: Francisco Trivino <ftrivino@redhat.com>

</pre>

</li>

<li>

<strong><a href="https://salsa.debian.org/freeipa-team/freeipa/-/commit/f44b73b97c35d0eb210091a46b4d5084c49b2d45">f44b73b9</a></strong>

<div>

<span>by François Cami</span>

<i>at 2019-10-18T22:40:00+02:00</i>

</div>

<pre class="commit-message" style="white-space: pre-wrap; margin: 0;">ipatests: nightly_f29: disable TestIpaClientAutomountFileRestore

The fixes for https://pagure.io/freeipa/issue/8054 and

https://pagure.io/freeipa/issue/8038 are intended for f30.

Given that the fixes will not be backported to f29, disable

that test.

Fixes: https://pagure.io/freeipa/issue/8063

Signed-off-by: François Cami <fcami@redhat.com>

Reviewed-By: Rob Crittenden <rcritten@redhat.com>

</pre>

</li>

<li>

<strong><a href="https://salsa.debian.org/freeipa-team/freeipa/-/commit/c6769ad12f79c9430ecf7c1a97be8b865a059e23">c6769ad1</a></strong>

<div>

<span>by Stanislav Levin</span>

<i>at 2019-10-21T18:01:32+11:00</i>

</div>

<pre class="commit-message" style="white-space: pre-wrap; margin: 0;">Fix errors found by Pylint-2.4.3

New Pylint (2.4.3) catches several new 'true problems'. At the same

time, it warns about things that are massively and reasonably

employed in FreeIPA.

list of fixed:

- no-else-continue

- redeclared-assigned-name

- no-else-break

- unnecessary-comprehension

- using-constant-test (false positive)

list of ignored (responsibility of contributors and reviewers):

- import-outside-toplevel

Fixes: https://pagure.io/freeipa/issue/8102

Signed-off-by: Stanislav Levin <slev@altlinux.org>

Reviewed-By: Fraser Tweedale <ftweedal@redhat.com>

</pre>

</li>

<li>

<strong><a href="https://salsa.debian.org/freeipa-team/freeipa/-/commit/73796c779758fdd8f3c2d8ede3ef24d5b7d025e7">73796c77</a></strong>

<div>

<span>by Spencer E. Olson</span>

<i>at 2019-11-01T13:46:14-04:00</i>

</div>

<pre class="commit-message" style="white-space: pre-wrap; margin: 0;">Fixes debian path for IPA_CUSTODIA_HANDLER

Debian installs into a different directory for libexec files.  This patch

fixes the path to the custodia files for debian.

Signed-off-by: Spencer E. Olson <olsonse@umich.edu>

Reviewed-By: Christian Heimes <cheimes@redhat.com>

Reviewed-By: Rob Crittenden <rcritten@redhat.com>

</pre>

</li>

<li>

<strong><a href="https://salsa.debian.org/freeipa-team/freeipa/-/commit/14be2715334e16a2d3f07a6b64bcd6d068ce89c1">14be2715</a></strong>

<div>

<span>by Sergey Orlov</span>

<i>at 2019-11-01T13:49:09-04:00</i>

</div>

<pre class="commit-message" style="white-space: pre-wrap; margin: 0;">ipatests: add test to check that only TLS 1.2 is enabled in Apache

Related to: https://pagure.io/freeipa/issue/7995

Reviewed-By: Rob Crittenden <rcritten@redhat.com>

</pre>

</li>

<li>

<strong><a href="https://salsa.debian.org/freeipa-team/freeipa/-/commit/09d5b938c128d8bb01ae40b5d736a266c6075b39">09d5b938</a></strong>

<div>

<span>by Rob Crittenden</span>

<i>at 2019-11-04T09:45:07-05:00</i>

</div>

<pre class="commit-message" style="white-space: pre-wrap; margin: 0;">Enable AES SHA 256 and 384-bit enctypes in Kerberos

https://pagure.io/freeipa/issue/8110

Reviewed-By: Christian Heimes <cheimes@redhat.com>

</pre>

</li>

<li>

<strong><a href="https://salsa.debian.org/freeipa-team/freeipa/-/commit/7d0fbbf41090ab3a614be129d605b8e453dab36b">7d0fbbf4</a></strong>

<div>

<span>by Stanislav Levin</span>

<i>at 2019-11-04T14:24:00-05:00</i>

</div>

<pre class="commit-message" style="white-space: pre-wrap; margin: 0;">Fix errors found by Pylint-2.4.3

New Pylint (2.4.3) catches several new 'true problems'. At the same

time, it warns about things that are massively and reasonably

employed in FreeIPA.

list of fixed:

- no-else-continue

- redeclared-assigned-name

- no-else-break

- unnecessary-comprehension

- using-constant-test (false positive)

list of ignored (responsibility of contributors and reviewers):

- import-outside-toplevel

Fixes: https://pagure.io/freeipa/issue/8102

Signed-off-by: Stanislav Levin <slev@altlinux.org>

Reviewed-By: Fraser Tweedale <ftweedal@redhat.com>

</pre>

</li>

<li>

<strong><a href="https://salsa.debian.org/freeipa-team/freeipa/-/commit/e5c9c751e625078fbfb6c15db7085c03762c1c70">e5c9c751</a></strong>

<div>

<span>by Rob Crittenden</span>

<i>at 2019-11-05T09:45:19-05:00</i>

</div>

<pre class="commit-message" style="white-space: pre-wrap; margin: 0;">Enable AES SHA 256 and 384-bit enctypes in Kerberos

https://pagure.io/freeipa/issue/8110

Reviewed-By: Christian Heimes <cheimes@redhat.com>

</pre>

</li>

<li>

<strong><a href="https://salsa.debian.org/freeipa-team/freeipa/-/commit/b10e43c3eab01c4c2ec7c9a803ef67477f97bedd">b10e43c3</a></strong>

<div>

<span>by Sergey Orlov</span>

<i>at 2019-11-05T17:24:24+01:00</i>

</div>

<pre class="commit-message" style="white-space: pre-wrap; margin: 0;">ipatests: strip newline character when getting name of temp file

Function create_temp_file was returning unprocessed output of mktemp

command, which contains a trailing newline. Callers which tryed to write

to the temp file were creating a new one instead.

Reviewed-By: Michal Polovka <mpolovka@redhat.com>

</pre>

</li>

<li>

<strong><a href="https://salsa.debian.org/freeipa-team/freeipa/-/commit/f16c08b7d68c8b6dc9871077ca057871ff54a795">f16c08b7</a></strong>

<div>

<span>by Sergey Orlov</span>

<i>at 2019-11-05T17:24:24+01:00</i>

</div>

<pre class="commit-message" style="white-space: pre-wrap; margin: 0;">ipatests: in DNS zone file add A record for name server

Testcase test_server_option_with_unreachable_ad creates a zone file

for AD domain. This file had a hard-coded A record for host specified in

NS record. Some versions of BIND consider this zone invalid and refuse

to start with message:

```

zone ad.test/IN: NS 'root-dc.ad.test' has no address records (A or AAAA)

```

Fixed by replacing hard-coded value with short name of the AD instance.

Reviewed-By: Michal Polovka <mpolovka@redhat.com>

</pre>

</li>

<li>

<strong><a href="https://salsa.debian.org/freeipa-team/freeipa/-/commit/686b85b14b14134c32c737c6df2de610153f4323">686b85b1</a></strong>

<div>

<span>by Sergey Orlov</span>

<i>at 2019-11-05T11:30:59-05:00</i>

</div>

<pre class="commit-message" style="white-space: pre-wrap; margin: 0;">ipatests: add test to check that only TLS 1.2 is enabled in Apache

Related to: https://pagure.io/freeipa/issue/7995

Reviewed-By: Rob Crittenden <rcritten@redhat.com>

</pre>

</li>

<li>

<strong><a href="https://salsa.debian.org/freeipa-team/freeipa/-/commit/bc56642bf9e59821322903e7470be6ec1d857034">bc56642b</a></strong>

<div>

<span>by Christian Heimes</span>

<i>at 2019-11-05T11:48:28-05:00</i>

</div>

<pre class="commit-message" style="white-space: pre-wrap; margin: 0;">Block camellia in krbenctypes update in FIPS

Add FIPS conditional to updates to prevent updater from adding camellia

encsalttypes.

Fixes: https://pagure.io/freeipa/issue/8111

Signed-off-by: Christian Heimes <cheimes@redhat.com>

Reviewed-By: Rob Crittenden <rcritten@redhat.com>

</pre>

</li>

<li>

<strong><a href="https://salsa.debian.org/freeipa-team/freeipa/-/commit/560acf37482fe5c7df1abd2d087e33a18b1cbe38">560acf37</a></strong>

<div>

<span>by Christian Heimes</span>

<i>at 2019-11-05T11:48:28-05:00</i>

</div>

<pre class="commit-message" style="white-space: pre-wrap; margin: 0;">Skip commented lines after substitution

LDAP updater now ignores commented out lines after substitution.

Fixes: https://pagure.io/freeipa/issue/8111

Signed-off-by: Christian Heimes <cheimes@redhat.com>

Reviewed-By: Rob Crittenden <rcritten@redhat.com>

</pre>

</li>

<li>

<strong><a href="https://salsa.debian.org/freeipa-team/freeipa/-/commit/42482636d01408c7dbcba2f018e306873468fdfa">42482636</a></strong>

<div>

<span>by Spencer E. Olson</span>

<i>at 2019-11-05T14:55:32-05:00</i>

</div>

<pre class="commit-message" style="white-space: pre-wrap; margin: 0;">Fixes debian path for IPA_CUSTODIA_HANDLER

Debian installs into a different directory for libexec files.  This patch

fixes the path to the custodia files for debian.

Signed-off-by: Spencer E. Olson <olsonse@umich.edu>

Reviewed-By: Rob Crittenden <rcritten@redhat.com>

Reviewed-By: Christian Heimes <cheimes@redhat.com>

</pre>

</li>

<li>

<strong><a href="https://salsa.debian.org/freeipa-team/freeipa/-/commit/9f93c65824cd51bf74b70547c4689f71b54c827a">9f93c658</a></strong>

<div>

<span>by Sergey Orlov</span>

<i>at 2019-11-05T14:57:09-05:00</i>

</div>

<pre class="commit-message" style="white-space: pre-wrap; margin: 0;">ipatests: strip newline character when getting name of temp file

Function create_temp_file was returning unprocessed output of mktemp

command, which contains a trailing newline. Callers which tryed to write

to the temp file were creating a new one instead.

Reviewed-By: Michal Polovka <mpolovka@redhat.com>

</pre>

</li>

<li>

<strong><a href="https://salsa.debian.org/freeipa-team/freeipa/-/commit/66ff6114b0fb65bad0381ed8ebd24fd655028477">66ff6114</a></strong>

<div>

<span>by Sergey Orlov</span>

<i>at 2019-11-05T14:57:09-05:00</i>

</div>

<pre class="commit-message" style="white-space: pre-wrap; margin: 0;">ipatests: in DNS zone file add A record for name server

Testcase test_server_option_with_unreachable_ad creates a zone file

for AD domain. This file had a hard-coded A record for host specified in

NS record. Some versions of BIND consider this zone invalid and refuse

to start with message:

```

zone ad.test/IN: NS 'root-dc.ad.test' has no address records (A or AAAA)

```

Fixed by replacing hard-coded value with short name of the AD instance.

Reviewed-By: Michal Polovka <mpolovka@redhat.com>

</pre>

</li>

<li>

<strong><a href="https://salsa.debian.org/freeipa-team/freeipa/-/commit/9023033e1867a1ed67628566e8db99fefaa1d4e9">9023033e</a></strong>

<div>

<span>by Christian Heimes</span>

<i>at 2019-11-05T16:54:56-05:00</i>

</div>

<pre class="commit-message" style="white-space: pre-wrap; margin: 0;">Block camellia in krbenctypes update in FIPS

Add FIPS conditional to updates to prevent updater from adding camellia

encsalttypes.

Fixes: https://pagure.io/freeipa/issue/8111

Signed-off-by: Christian Heimes <cheimes@redhat.com>

Reviewed-By: Rob Crittenden <rcritten@redhat.com>

</pre>

</li>

<li>

<strong><a href="https://salsa.debian.org/freeipa-team/freeipa/-/commit/6ab306a2a35b7dfed05b5a87d8ed647b1925c873">6ab306a2</a></strong>

<div>

<span>by Christian Heimes</span>

<i>at 2019-11-05T16:54:56-05:00</i>

</div>

<pre class="commit-message" style="white-space: pre-wrap; margin: 0;">Skip commented lines after substitution

LDAP updater now ignores commented out lines after substitution.

Fixes: https://pagure.io/freeipa/issue/8111

Signed-off-by: Christian Heimes <cheimes@redhat.com>

Reviewed-By: Rob Crittenden <rcritten@redhat.com>

</pre>

</li>

<li>

<strong><a href="https://salsa.debian.org/freeipa-team/freeipa/-/commit/3cb9444c4c9af126c0559d4f1cb6c58aece78b19">3cb9444c</a></strong>

<div>

<span>by Robbie Harwood</span>

<i>at 2019-11-06T15:39:51-05:00</i>

</div>

<pre class="commit-message" style="white-space: pre-wrap; margin: 0;">Provide modern example enctypes in ipa-getkeytab(1)

Reviewed-By: Rob Crittenden <rcritten@redhat.com>

Reviewed-By: Alexander Bokovoy <abokovoy@redhat.com>

</pre>

</li>

<li>

<strong><a href="https://salsa.debian.org/freeipa-team/freeipa/-/commit/1e3de172696a98914f77e50fd64bc8b63360cd27">1e3de172</a></strong>

<div>

<span>by Rob Crittenden</span>

<i>at 2019-11-07T13:00:15-05:00</i>

</div>

<pre class="commit-message" style="white-space: pre-wrap; margin: 0;">Add conditional restart (try-restart) capability to services

This will conditionally restart a service if it is active.

https://pagure.io/freeipa/issue/8105

Reviewed-By: Christian Heimes <cheimes@redhat.com>

Reviewed-By: Ade Lee <alee@redhat.com>

</pre>

</li>

<li>

<strong><a href="https://salsa.debian.org/freeipa-team/freeipa/-/commit/3593e5362206fd9287e97fe2cee229a1117811ff">3593e536</a></strong>

<div>

<span>by Rob Crittenden</span>

<i>at 2019-11-07T13:00:15-05:00</i>

</div>

<pre class="commit-message" style="white-space: pre-wrap; margin: 0;">Conditionally restart certmonger after client installation

If certmonger is running prior to client installation then its

IPA CA configuration will be incomplete and missing the CA chain.

If a certificate is subsequently requested with -F to store the

CA chain in a file or NSS db it may not be available yet. A

conditional restart of certmonger will pick up the new IPA

configuration and complete the IPA CA configuration in certmonger.

A pure restart and service activation is not done since certmonger

is not required unless --request-cert was passed ipa-client-install.

https://pagure.io/freeipa/issue/8105

Reviewed-By: Christian Heimes <cheimes@redhat.com>

Reviewed-By: Ade Lee <alee@redhat.com>

</pre>

</li>

<li>

<strong><a href="https://salsa.debian.org/freeipa-team/freeipa/-/commit/0142a3bc66cc235512ad41ecac3a1fcab2bdc19e">0142a3bc</a></strong>

<div>

<span>by Robbie Harwood</span>

<i>at 2019-11-07T13:03:18-05:00</i>

</div>

<pre class="commit-message" style="white-space: pre-wrap; margin: 0;">Provide modern example enctypes in ipa-getkeytab(1)

Reviewed-By: Rob Crittenden <rcritten@redhat.com>

Reviewed-By: Alexander Bokovoy <abokovoy@redhat.com>

</pre>

</li>

<li>

<strong><a href="https://salsa.debian.org/freeipa-team/freeipa/-/commit/24e882f1daa149b89180ba93fc02e6d4a7fd3109">24e882f1</a></strong>

<div>

<span>by Rob Crittenden</span>

<i>at 2019-11-07T14:45:45-05:00</i>

</div>

<pre class="commit-message" style="white-space: pre-wrap; margin: 0;">Add conditional restart (try-restart) capability to services

This will conditionally restart a service if it is active.

https://pagure.io/freeipa/issue/8105

Reviewed-By: Christian Heimes <cheimes@redhat.com>

Reviewed-By: Ade Lee <alee@redhat.com>

</pre>

</li>

<li>

<strong><a href="https://salsa.debian.org/freeipa-team/freeipa/-/commit/6bac58ca5c32be4302707c1fb6f992faca84b77b">6bac58ca</a></strong>

<div>

<span>by Rob Crittenden</span>

<i>at 2019-11-07T14:45:45-05:00</i>

</div>

<pre class="commit-message" style="white-space: pre-wrap; margin: 0;">Conditionally restart certmonger after client installation

If certmonger is running prior to client installation then its

IPA CA configuration will be incomplete and missing the CA chain.

If a certificate is subsequently requested with -F to store the

CA chain in a file or NSS db it may not be available yet. A

conditional restart of certmonger will pick up the new IPA

configuration and complete the IPA CA configuration in certmonger.

A pure restart and service activation is not done since certmonger

is not required unless --request-cert was passed ipa-client-install.

https://pagure.io/freeipa/issue/8105

Reviewed-By: Christian Heimes <cheimes@redhat.com>

Reviewed-By: Ade Lee <alee@redhat.com>

</pre>

</li>

<li>

<strong><a href="https://salsa.debian.org/freeipa-team/freeipa/-/commit/87c24ebd34d4524b73d878f1298232547cafc5ba">87c24ebd</a></strong>

<div>

<span>by Florence Blanc-Renaud</span>

<i>at 2019-11-08T12:57:54+01:00</i>

</div>

<pre class="commit-message" style="white-space: pre-wrap; margin: 0;">smartcard: make the ipa-advise script compatible with authselect/authconfig

"ipa-advise config-client-for-smart-card-auth" is run on a server and

creates a script that needs to be copied and executed on a client.

The client may be of a different version and use authconfig instead of

authselect. The generated script must be able to handle both cases

(client using authselect or client using authconfig).

The patch checks whether authselect is available and calls the proper

configuration command (authselect or authconfig) depending on its

availability on the client.

Fixes: https://pagure.io/freeipa/issue/8113

Reviewed-By: Rob Crittenden <rcritten@redhat.com>

</pre>

</li>

<li>

<strong><a href="https://salsa.debian.org/freeipa-team/freeipa/-/commit/f0a1f084b64bd0ca570999594f8e25d4e8808938">f0a1f084</a></strong>

<div>

<span>by Christian Heimes</span>

<i>at 2019-11-11T09:31:14+01:00</i>

</div>

<pre class="commit-message" style="white-space: pre-wrap; margin: 0;">Add group membership management

A group membership manager is a user or a group that can add members to

a group or remove members from a group or host group.

Fixes: https://pagure.io/freeipa/issue/8114

Signed-off-by: Christian Heimes <cheimes@redhat.com>

Reviewed-By: Alexander Bokovoy <abokovoy@redhat.com>

</pre>

</li>

<li>

<strong><a href="https://salsa.debian.org/freeipa-team/freeipa/-/commit/0f4c41ab2609171029e0a4334585688fc7c054f2">0f4c41ab</a></strong>

<div>

<span>by Christian Heimes</span>

<i>at 2019-11-11T09:31:14+01:00</i>

</div>

<pre class="commit-message" style="white-space: pre-wrap; margin: 0;">Add tests for member management

Signed-off-by: Christian Heimes <cheimes@redhat.com>

Reviewed-By: Alexander Bokovoy <abokovoy@redhat.com>

</pre>

</li>

<li>

<strong><a href="https://salsa.debian.org/freeipa-team/freeipa/-/commit/d9d9abbab2388dba92ea07cad33b6cc59c3caa20">d9d9abba</a></strong>

<div>

<span>by Florence Blanc-Renaud</span>

<i>at 2019-11-11T13:53:37+02:00</i>

</div>

<pre class="commit-message" style="white-space: pre-wrap; margin: 0;">smartcard: make the ipa-advise script compatible with authselect/authconfig

"ipa-advise config-client-for-smart-card-auth" is run on a server and

creates a script that needs to be copied and executed on a client.

The client may be of a different version and use authconfig instead of

authselect. The generated script must be able to handle both cases

(client using authselect or client using authconfig).

The patch checks whether authselect is available and calls the proper

configuration command (authselect or authconfig) depending on its

availability on the client.

Fixes: https://pagure.io/freeipa/issue/8113

Reviewed-By: Rob Crittenden <rcritten@redhat.com>

</pre>

</li>

<li>

<strong><a href="https://salsa.debian.org/freeipa-team/freeipa/-/commit/3d5489705d8fd09fc186c0142ccf3772f85e718a">3d548970</a></strong>

<div>

<span>by Christian Heimes</span>

<i>at 2019-11-11T14:31:21+02:00</i>

</div>

<pre class="commit-message" style="white-space: pre-wrap; margin: 0;">Add group membership management

A group membership manager is a user or a group that can add members to

a group or remove members from a group or host group.

Fixes: https://pagure.io/freeipa/issue/8114

Signed-off-by: Christian Heimes <cheimes@redhat.com>

Reviewed-By: Alexander Bokovoy <abokovoy@redhat.com>

Reviewed-By: Simo Sorce <ssorce@redhat.com>

Reviewed-By: Alexander Bokovoy <abokovoy@redhat.com>

</pre>

</li>

<li>

<strong><a href="https://salsa.debian.org/freeipa-team/freeipa/-/commit/fd10eaaa8594feb2aa985c9bdeac79f683584145">fd10eaaa</a></strong>

<div>

<span>by Christian Heimes</span>

<i>at 2019-11-11T14:31:21+02:00</i>

</div>

<pre class="commit-message" style="white-space: pre-wrap; margin: 0;">Add tests for member management

Signed-off-by: Christian Heimes <cheimes@redhat.com>

Reviewed-By: Alexander Bokovoy <abokovoy@redhat.com>

Reviewed-By: Simo Sorce <ssorce@redhat.com>

Reviewed-By: Alexander Bokovoy <abokovoy@redhat.com>

</pre>

</li>

<li>

<strong><a href="https://salsa.debian.org/freeipa-team/freeipa/-/commit/72540c42337cacab1dcbf0a4b2b03d59512e7956">72540c42</a></strong>

<div>

<span>by Sergey Orlov</span>

<i>at 2019-11-11T15:09:23+01:00</i>

</div>

<pre class="commit-message" style="white-space: pre-wrap; margin: 0;">ipatests: refactor FileBackup helper

* `cp` now preserves all attributes of original file, there is no reason

  to select only some of them

* backup is now restored with `mv` instead of `cp` to avoid leaving junk

Related to: https://pagure.io/freeipa/issue/8115

Reviewed-By: Alexander Bokovoy <abokovoy@redhat.com>

</pre>

</li>

<li>

<strong><a href="https://salsa.debian.org/freeipa-team/freeipa/-/commit/c2b230ce64bb7a29572cbfabbd23dd0900c7fce3">c2b230ce</a></strong>

<div>

<span>by Sergey Orlov</span>

<i>at 2019-11-11T15:09:23+01:00</i>

</div>

<pre class="commit-message" style="white-space: pre-wrap; margin: 0;">ipatests: replace ad hoc backup with FileBackup helper

Test test_smb_mount_and_access_by_different_users was failing with message

```

kdestroy: Permission denied while initializing krb5

```

This happened because the previous test

`test_smb_access_for_ad_user_at_ipa_client` was calling the fixture

`enable_smb_client_dns_lookup_kdc` which was doing backup of krb5.conf

in a wrong way:

- mktemp (to create a temp file)

- cp /etc/krb5.conf to the temp file

- ...

- mv tempfile /etc/krb5.conf

This flow looses the file permissions, because mktemp creates a file

using the default umask, which results in -rw------- permissions.

The copy does not modify the permissions, and the mv keeps the

permissions from the source => /etc/krb5.conf now has -rw-------.

Fixes: https://pagure.io/freeipa/issue/8115

Reviewed-By: Alexander Bokovoy <abokovoy@redhat.com>

</pre>

</li>

<li>

<strong><a href="https://salsa.debian.org/freeipa-team/freeipa/-/commit/f58fb573d18808343e30a59304c5d3862b4e7e42">f58fb573</a></strong>

<div>

<span>by Sergey Orlov</span>

<i>at 2019-11-11T15:09:23+01:00</i>

</div>

<pre class="commit-message" style="white-space: pre-wrap; margin: 0;">ipatests: enable test_smb.py in gating.yaml

Reviewed-By: Alexander Bokovoy <abokovoy@redhat.com>

</pre>

</li>

<li>

<strong><a href="https://salsa.debian.org/freeipa-team/freeipa/-/commit/11ec42a97ccaab9fc799c35e022ca7bd9784385f">11ec42a9</a></strong>

<div>

<span>by Sergey Orlov</span>

<i>at 2019-11-11T16:49:06+01:00</i>

</div>

<pre class="commit-message" style="white-space: pre-wrap; margin: 0;">ipatests: refactor FileBackup helper

* `cp` now preserves all attributes of original file, there is no reason

  to select only some of them

* backup is now restored with `mv` instead of `cp` to avoid leaving junk

Related to: https://pagure.io/freeipa/issue/8115

Reviewed-By: Alexander Bokovoy <abokovoy@redhat.com>

</pre>

</li>

<li>

<strong><a href="https://salsa.debian.org/freeipa-team/freeipa/-/commit/48a53527a2d6db81e189aa52697998a96abfd21e">48a53527</a></strong>

<div>

<span>by Sergey Orlov</span>

<i>at 2019-11-11T16:49:06+01:00</i>

</div>

<pre class="commit-message" style="white-space: pre-wrap; margin: 0;">ipatests: replace ad hoc backup with FileBackup helper

Test test_smb_mount_and_access_by_different_users was failing with message

```

kdestroy: Permission denied while initializing krb5

```

This happened because the previous test

`test_smb_access_for_ad_user_at_ipa_client` was calling the fixture

`enable_smb_client_dns_lookup_kdc` which was doing backup of krb5.conf

in a wrong way:

- mktemp (to create a temp file)

- cp /etc/krb5.conf to the temp file

- ...

- mv tempfile /etc/krb5.conf

This flow looses the file permissions, because mktemp creates a file

using the default umask, which results in -rw------- permissions.

The copy does not modify the permissions, and the mv keeps the

permissions from the source => /etc/krb5.conf now has -rw-------.

Fixes: https://pagure.io/freeipa/issue/8115

Reviewed-By: Alexander Bokovoy <abokovoy@redhat.com>

</pre>

</li>

<li>

<strong><a href="https://salsa.debian.org/freeipa-team/freeipa/-/commit/98f2f8c6bcf70965951862abe6a93c872cada955">98f2f8c6</a></strong>

<div>

<span>by Sergey Orlov</span>

<i>at 2019-11-11T16:49:06+01:00</i>

</div>

<pre class="commit-message" style="white-space: pre-wrap; margin: 0;">ipatests: enable test_smb.py in gating.yaml

Reviewed-By: Alexander Bokovoy <abokovoy@redhat.com>

</pre>

</li>

<li>

<strong><a href="https://salsa.debian.org/freeipa-team/freeipa/-/commit/6c2710446718828e6840ac34ea6fc704ae6790db">6c271044</a></strong>

<div>

<span>by Cédric Jeanneret</span>

<i>at 2019-11-12T10:49:49+02:00</i>

</div>

<pre class="commit-message" style="white-space: pre-wrap; margin: 0;">Prevents DNS Amplification Attack and allow to customize named

While [1] did open recursion, it also opened widely a security flaw.

This patch intends to close it back, while allowing operators to easily

add their open configuration within Bind9.

In order to allow operators to still open Bind recursion, a new file is

introduced, "ipa-ext.conf" (path might change according to the OS). This

file is not managed by the installer, meaning changes to it won't be

overridden.

Since it's included at the very end of the main configuration file, it

also allows to override some defaults - of course, operators have to be

careful with that.

Related-Bug: https://bugzilla.redhat.com/show_bug.cgi?id=1754530

Fixes: https://pagure.io/freeipa/issue/8079

[1] https://github.com/freeipa/freeipa/commit/5f4c75eb28b3d50a35fbf3a86a6d842bce8e72f9

Reviewed-By: Christian Heimes <cheimes@redhat.com>

Reviewed-By: Alexander Bokovoy <abokovoy@redhat.com>

Reviewed-By: Stanislav Levin <slev@altlinux.org>

</pre>

</li>

<li>

<strong><a href="https://salsa.debian.org/freeipa-team/freeipa/-/commit/97a31e69e8399933d45006c744ddafcf036eca5f">97a31e69</a></strong>

<div>

<span>by Christian Heimes</span>

<i>at 2019-11-12T12:26:49+01:00</i>

</div>

<pre class="commit-message" style="white-space: pre-wrap; margin: 0;">Use default ssh host key algorithms

ipa-client-install no longer overrides SSH client settings for

HostKeyAlgorithms. It's no longer necessary to configure

HostKeyAlgorithms. The setting was disabling modern algorithms and

enabled a weak algorithm that is blocked in FIPS code.

The ipa-client package removes IPA's custom HostKeyAlgorithm from

/etc/ssh/ssh_config during package update. Non-IPA settings are not

touched.

Fixes: https://bugzilla.redhat.com/show_bug.cgi?id=1756432

Fixes: https://pagure.io/freeipa/issue/8082

Signed-off-by: Christian Heimes <cheimes@redhat.com>

Reviewed-By: Alexander Bokovoy <abokovoy@redhat.com>

</pre>

</li>

<li>

<strong><a href="https://salsa.debian.org/freeipa-team/freeipa/-/commit/c62bd1608e3a4aea27751826d7b8790367b1b5e3">c62bd160</a></strong>

<div>

<span>by Armando Neto</span>

<i>at 2019-11-12T09:16:11-03:00</i>

</div>

<pre class="commit-message" style="white-space: pre-wrap; margin: 0;">prci: rename definitions files and jobs to change how fedora releases are referenced

Replacing `fedora-30` with `fedora-latest` and `fedora-29` with `fedora-previous` will

reduce the changes required for new releases of Fedora.

Future changes would only require to update the name and version of the template used.

Signed-off-by: Armando Neto <abiagion@redhat.com>

Reviewed-By: Florence Blanc-Renaud <frenaud@redhat.com>

</pre>

</li>

<li>

<strong><a href="https://salsa.debian.org/freeipa-team/freeipa/-/commit/99d6845dbe803bd81badc0e064fe3578886377cd">99d6845d</a></strong>

<div>

<span>by Armando Neto</span>

<i>at 2019-11-12T09:16:11-03:00</i>

</div>

<pre class="commit-message" style="white-space: pre-wrap; margin: 0;">prci: bump fedora release

Fedora 31 is the latest release, Fedora 30 is now the previous release.

New template boxes were built for current tests definitions with

updated dependencies.

Boxes were generated after https://github.com/freeipa/freeipa-pr-ci/pull/321

Signed-off-by: Armando Neto <abiagion@redhat.com>

Reviewed-By: Florence Blanc-Renaud <frenaud@redhat.com>

</pre>

</li>

<li>

<strong><a href="https://salsa.debian.org/freeipa-team/freeipa/-/commit/965ce52134c90a37ca4bc6fc342b093a0f0eb5c2">965ce521</a></strong>

<div>

<span>by Armando Neto</span>

<i>at 2019-11-12T09:17:20-03:00</i>

</div>

<pre class="commit-message" style="white-space: pre-wrap; margin: 0;">prci: bump template version

Template used: https://app.vagrantup.com/freeipa/boxes/ci-ipa-4-8-f30/versions/0.0.2

Installed packages updated, no other major change.

Signed-off-by: Armando Neto <abiagion@redhat.com>

Reviewed-By: Florence Blanc-Renaud <frenaud@redhat.com>

</pre>

</li>

<li>

<strong><a href="https://salsa.debian.org/freeipa-team/freeipa/-/commit/bbe2472324c140a22aad6d272733fc6d434782ef">bbe24723</a></strong>

<div>

<span>by Cédric Jeanneret</span>

<i>at 2019-11-12T15:52:03+02:00</i>

</div>

<pre class="commit-message" style="white-space: pre-wrap; margin: 0;">Prevents DNS Amplification Attack and allow to customize named

While [1] did open recursion, it also opened widely a security flaw.

This patch intends to close it back, while allowing operators to easily

add their open configuration within Bind9.

In order to allow operators to still open Bind recursion, a new file is

introduced, "ipa-ext.conf" (path might change according to the OS). This

file is not managed by the installer, meaning changes to it won't be

overridden.

Since it's included at the very end of the main configuration file, it

also allows to override some defaults - of course, operators have to be

careful with that.

Related-Bug: https://bugzilla.redhat.com/show_bug.cgi?id=1754530

Fixes: https://pagure.io/freeipa/issue/8079

[1] https://github.com/freeipa/freeipa/commit/5f4c75eb28b3d50a35fbf3a86a6d842bce8e72f9

Reviewed-By: Christian Heimes <cheimes@redhat.com>

Reviewed-By: Alexander Bokovoy <abokovoy@redhat.com>

Reviewed-By: Stanislav Levin <slev@altlinux.org>

</pre>

</li>

<li>

<strong><a href="https://salsa.debian.org/freeipa-team/freeipa/-/commit/d317fd4de7b16dd2f50a360d7f8d2954b975fe1e">d317fd4d</a></strong>

<div>

<span>by Alexander Bokovoy</span>

<i>at 2019-11-12T17:08:43+02:00</i>

</div>

<pre class="commit-message" style="white-space: pre-wrap; margin: 0;">Update translations

Add Portuguese translation

Reviewed-By: Armando Neto <abiagion@redhat.com>

</pre>

</li>

<li>

<strong><a href="https://salsa.debian.org/freeipa-team/freeipa/-/commit/0bda6f9592d1d4dfdf8f4b3e10c2ef20985a4bd9">0bda6f95</a></strong>

<div>

<span>by Alexander Bokovoy</span>

<i>at 2019-11-12T20:25:44+02:00</i>

</div>

<pre class="commit-message" style="white-space: pre-wrap; margin: 0;">Update translations

Add Portuguese translation

Reviewed-By: Armando Neto <abiagion@redhat.com>

Reviewed-By: Armando Neto <abiagion@redhat.com>

</pre>

</li>

<li>

<strong><a href="https://salsa.debian.org/freeipa-team/freeipa/-/commit/3674a5c76f15a7ab9480db9bba0f6312132bc276">3674a5c7</a></strong>

<div>

<span>by Alexander Bokovoy</span>

<i>at 2019-11-12T20:46:27+02:00</i>

</div>

<pre class="commit-message" style="white-space: pre-wrap; margin: 0;">Update list of contributors

Signed-off-by: Alexander Bokovoy <abokovoy@redhat.com>

</pre>

</li>

<li>

<strong><a href="https://salsa.debian.org/freeipa-team/freeipa/-/commit/9dfce7a69c83067f30a31ed9b24c4e9aed51c849">9dfce7a6</a></strong>

<div>

<span>by Alexander Bokovoy</span>

<i>at 2019-11-12T20:46:35+02:00</i>

</div>

<pre class="commit-message" style="white-space: pre-wrap; margin: 0;">Become FreeIPA 4.8.2

</pre>

</li>

<li>

<strong><a href="https://salsa.debian.org/freeipa-team/freeipa/-/commit/d243c188f26c50a056be5e88554daec6116f5f8f">d243c188</a></strong>

<div>

<span>by Alexander Bokovoy</span>

<i>at 2019-11-12T20:49:18+02:00</i>

</div>

<pre class="commit-message" style="white-space: pre-wrap; margin: 0;">Update contributors

Signed-off-by: Alexander Bokovoy <abokovoy@redhat.com>

</pre>

</li>

<li>

<strong><a href="https://salsa.debian.org/freeipa-team/freeipa/-/commit/2422970c34849192b15d1798eae9b11a400e7119">2422970c</a></strong>

<div>

<span>by Christian Heimes</span>

<i>at 2019-11-13T08:38:17+01:00</i>

</div>

<pre class="commit-message" style="white-space: pre-wrap; margin: 0;">Use default ssh host key algorithms

ipa-client-install no longer overrides SSH client settings for

HostKeyAlgorithms. It's no longer necessary to configure

HostKeyAlgorithms. The setting was disabling modern algorithms and

enabled a weak algorithm that is blocked in FIPS code.

The ipa-client package removes IPA's custom HostKeyAlgorithm from

/etc/ssh/ssh_config during package update. Non-IPA settings are not

touched.

Fixes: https://bugzilla.redhat.com/show_bug.cgi?id=1756432

Fixes: https://pagure.io/freeipa/issue/8082

Signed-off-by: Christian Heimes <cheimes@redhat.com>

Reviewed-By: Alexander Bokovoy <abokovoy@redhat.com>

</pre>

</li>

<li>

<strong><a href="https://salsa.debian.org/freeipa-team/freeipa/-/commit/cd887a48b510fe17ed181d61d4fc69eb978c771d">cd887a48</a></strong>

<div>

<span>by Francisco Trivino</span>

<i>at 2019-11-14T13:09:24+01:00</i>

</div>

<pre class="commit-message" style="white-space: pre-wrap; margin: 0;">prci: bump template version and fix test_smb gating definition

Template used: https://app.vagrantup.com/freeipa/boxes/ci-master-f31/versions/0.0.2

with installed packages updated.

This commit also replaces `fedora-30` with `fedora-latest` for test_smb gating definition

Reviewed-By: Christian Heimes <cheimes@redhat.com>

Reviewed-By: Armando Neto <abiagion@redhat.com>

</pre>

</li>

<li>

<strong><a href="https://salsa.debian.org/freeipa-team/freeipa/-/commit/8124b1bd4cc3857c8ab4ee8cd5330b5315a23787">8124b1bd</a></strong>

<div>

<span>by Christian Heimes</span>

<i>at 2019-11-14T16:01:15+01:00</i>

</div>

<pre class="commit-message" style="white-space: pre-wrap; margin: 0;">Test installation with (fake) userspace FIPS

Based on userspace FIPS mode by Ondrej Moris.

Userspace FIPS mode fakes a Kernel in FIPS enforcing mode. User space

programs behave like the Kernel was booted in FIPS enforcing mode. Kernel

space code still runs in standard mode.

Fixes: https://pagure.io/freeipa/issue/8118

Signed-off-by: Christian Heimes <cheimes@redhat.com>

Reviewed-By: Alexander Bokovoy <abokovoy@redhat.com>

</pre>

</li>

<li>

<strong><a href="https://salsa.debian.org/freeipa-team/freeipa/-/commit/e536824425ae7dba515dfe8c9e88e41b52c15701">e5368244</a></strong>

<div>

<span>by Armando Neto</span>

<i>at 2019-11-14T12:03:36-03:00</i>

</div>

<pre class="commit-message" style="white-space: pre-wrap; margin: 0;">prci: bump template version for temp_commit and nightly_latest

Commit cd887a48b510fe17ed181d61d4fc69eb978c771d did that for gating,

this commit bumps the version for the remaining definitions.

Signed-off-by: Armando Neto <abiagion@redhat.com>

Reviewed-By: Florence Blanc-Renaud <frenaud@redhat.com>

</pre>

</li>

<li>

<strong><a href="https://salsa.debian.org/freeipa-team/freeipa/-/commit/0cd2f4ee337595c7e39e00cfef5e99f5d87768c9">0cd2f4ee</a></strong>

<div>

<span>by Christian Heimes</span>

<i>at 2019-11-14T17:56:55+01:00</i>

</div>

<pre class="commit-message" style="white-space: pre-wrap; margin: 0;">Test installation with (fake) userspace FIPS

Based on userspace FIPS mode by Ondrej Moris.

Userspace FIPS mode fakes a Kernel in FIPS enforcing mode. User space

programs behave like the Kernel was booted in FIPS enforcing mode. Kernel

space code still runs in standard mode.

Fixes: https://pagure.io/freeipa/issue/8118

Signed-off-by: Christian Heimes <cheimes@redhat.com>

Reviewed-By: Alexander Bokovoy <abokovoy@redhat.com>

</pre>

</li>

<li>

<strong><a href="https://salsa.debian.org/freeipa-team/freeipa/-/commit/c0b0c6b4b598acd7a867594d91b7f7cff47d2e5e">c0b0c6b4</a></strong>

<div>

<span>by Serhii Tsymbaliuk</span>

<i>at 2019-11-19T13:31:08+01:00</i>

</div>

<pre class="commit-message" style="white-space: pre-wrap; margin: 0;">WebUI: Fix adding member manager for groups and host groups

- fix API method call for adding member manager

- fix regressions in host group associated tables

Ticket: https://pagure.io/freeipa/issue/8123

Signed-off-by: Serhii Tsymbaliuk <stsymbal@redhat.com>

Reviewed-By: Christian Heimes <cheimes@redhat.com>

</pre>

</li>

<li>

<strong><a href="https://salsa.debian.org/freeipa-team/freeipa/-/commit/444df81a3de320ebfabfa90c3e6c7a17d986f1b1">444df81a</a></strong>

<div>

<span>by Serhii Tsymbaliuk</span>

<i>at 2019-11-19T17:43:17+01:00</i>

</div>

<pre class="commit-message" style="white-space: pre-wrap; margin: 0;">WebUI: Fix adding member manager for groups and host groups

- fix API method call for adding member manager

- fix regressions in host group associated tables

Ticket: https://pagure.io/freeipa/issue/8123

Signed-off-by: Serhii Tsymbaliuk <stsymbal@redhat.com>

Reviewed-By: Christian Heimes <cheimes@redhat.com>

Reviewed-By: Christian Heimes <cheimes@redhat.com>

</pre>

</li>

<li>

<strong><a href="https://salsa.debian.org/freeipa-team/freeipa/-/commit/e08a6de6afc49aabf817b11b878f6765f662e1ff">e08a6de6</a></strong>

<div>

<span>by Florence Blanc-Renaud</span>

<i>at 2019-11-20T11:15:28+01:00</i>

</div>

<pre class="commit-message" style="white-space: pre-wrap; margin: 0;">DNParam: raise Exception when multiple values provided to a 1-val param

When ipa user-add-certmapdata is called with multiple --subject or

multiple --issuer, the DNParam's _convert_scalar method is called with

a tuple containing all the params and should raise an exception as the

--subject and --issuer are single-value params.

The DNParam _convert_scalar method internally calls the DN init method,

and the DN init method is able to create a DN from a tuple of RDNs.

As such, it won't raise exception if a tuple/list is provided.

Check that _convert_scalar is only provided a single element.

Fixes: https://pagure.io/freeipa/issue/8097

Signed-off-by: Florence Blanc-Renaud <flo@redhat.com>

Reviewed-By: Rob Crittenden <rcritten@redhat.com>

</pre>

</li>

<li>

<strong><a href="https://salsa.debian.org/freeipa-team/freeipa/-/commit/ecdd7dae19e84b33c65bf6203a2cd906a9eebc4e">ecdd7dae</a></strong>

<div>

<span>by Florence Blanc-Renaud</span>

<i>at 2019-11-20T11:15:28+01:00</i>

</div>

<pre class="commit-message" style="white-space: pre-wrap; margin: 0;">XMLRPCtest: add a test for add-certmapdata with multiple subject/issuer

ipa user-add-certmapdata defines --issuer and --subject as single valued.

Add a test checking that this is enforced.

Related: https://pagure.io/freeipa/issue/8097

Signed-off-by: Florence Blanc-Renaud <flo@redhat.com>

Reviewed-By: Rob Crittenden <rcritten@redhat.com>

</pre>

</li>

<li>

<strong><a href="https://salsa.debian.org/freeipa-team/freeipa/-/commit/7893fb9cb1fc7c78c78079b23756bca53268caa1">7893fb9c</a></strong>

<div>

<span>by Florence Blanc-Renaud</span>

<i>at 2019-11-20T11:15:28+01:00</i>

</div>

<pre class="commit-message" style="white-space: pre-wrap; margin: 0;">test_ipalib: add test for DNParam class

A single-valued DNParam parameter must not accept multivalues. Add test

checking the behavior for single valued and multivalued DNParam.

Related: https://pagure.io/freeipa/issue/8097

Signed-off-by: Florence Blanc-Renaud <flo@redhat.com>

Reviewed-By: Rob Crittenden <rcritten@redhat.com>

</pre>

</li>

<li>

<strong><a href="https://salsa.debian.org/freeipa-team/freeipa/-/commit/ba466a802129cbe61964653fdfddacd5d43f6771">ba466a80</a></strong>

<div>

<span>by Alexander Bokovoy</span>

<i>at 2019-11-20T16:19:00+01:00</i>

</div>

<pre class="commit-message" style="white-space: pre-wrap; margin: 0;">Do not run trust upgrade code if master lacks Samba bindings

If a replica has no Samba bindings but there are trust agreements

configured on some trust controller, skip trust upgrade code on this

replica.

Resolves: https://pagure.io/freeipa/issue/8001

Signed-off-by: Alexander Bokovoy <abokovoy@redhat.com>

Reviewed-By: Thomas Woerner <twoerner@redhat.com>

</pre>

</li>

<li>

<strong><a href="https://salsa.debian.org/freeipa-team/freeipa/-/commit/b216701d9a0fcc08479b0976ba332a6a7a50171b">b216701d</a></strong>

<div>

<span>by Christian Heimes</span>

<i>at 2019-11-20T17:08:40+01:00</i>

</div>

<pre class="commit-message" style="white-space: pre-wrap; margin: 0;">Show group-add/remove-member-manager failures

Commands like ipa group-add-member-manager now show permission

errors on failed operations.

Fixes: https://pagure.io/freeipa/issue/8122

Signed-off-by: Christian Heimes <cheimes@redhat.com>

Reviewed-By: Rob Crittenden <rcritten@redhat.com>

</pre>

</li>

<li>

<strong><a href="https://salsa.debian.org/freeipa-team/freeipa/-/commit/f9b5bbb6812b3c0c8980e7315138d1ae063cd25b">f9b5bbb6</a></strong>

<div>

<span>by Timo Aaltonen</span>

<i>at 2019-11-20T18:26:24+02:00</i>

</div>

<pre class="commit-message" style="white-space: pre-wrap; margin: 0;">Merge branch 'upstream'

</pre>

</li>

<li>

<strong><a href="https://salsa.debian.org/freeipa-team/freeipa/-/commit/4b3db701c95b318f17f22113b48d371b1b916d88">4b3db701</a></strong>

<div>

<span>by Timo Aaltonen</span>

<i>at 2019-11-20T18:27:35+02:00</i>

</div>

<pre class="commit-message" style="white-space: pre-wrap; margin: 0;">bump the version

</pre>

</li>

<li>

<strong><a href="https://salsa.debian.org/freeipa-team/freeipa/-/commit/bb64919d5e73f3dc1950908f625fdbff6199fd8d">bb64919d</a></strong>

<div>

<span>by Timo Aaltonen</span>

<i>at 2019-11-20T18:52:30+02:00</i>

</div>

<pre class="commit-message" style="white-space: pre-wrap; margin: 0;">server.install: Updated.

</pre>

</li>

<li>

<strong><a href="https://salsa.debian.org/freeipa-team/freeipa/-/commit/2c98d76042ca37c499b4751e305d86b4a85d9286">2c98d760</a></strong>

<div>

<span>by Christian Heimes</span>

<i>at 2019-11-20T18:51:15+01:00</i>

</div>

<pre class="commit-message" style="white-space: pre-wrap; margin: 0;">Show group-add/remove-member-manager failures

Commands like ipa group-add-member-manager now show permission

errors on failed operations.

Fixes: https://pagure.io/freeipa/issue/8122

Signed-off-by: Christian Heimes <cheimes@redhat.com>

Reviewed-By: Rob Crittenden <rcritten@redhat.com>

</pre>

</li>

<li>

<strong><a href="https://salsa.debian.org/freeipa-team/freeipa/-/commit/64281e75be25a9e3d56db4cb99466be41695d2a3">64281e75</a></strong>

<div>

<span>by Timo Aaltonen</span>

<i>at 2019-11-20T19:59:01+02:00</i>

</div>

<pre class="commit-message" style="white-space: pre-wrap; margin: 0;">releasing package freeipa version 4.8.2-1

</pre>

</li>

<li>

<strong><a href="https://salsa.debian.org/freeipa-team/freeipa/-/commit/ae256fa52440da70c9c0943601a2d62caf5bb292">ae256fa5</a></strong>

<div>

<span>by Cédric Jeanneret</span>

<i>at 2019-11-20T17:12:34-05:00</i>

</div>

<pre class="commit-message" style="white-space: pre-wrap; margin: 0;">Update selinux-policy minimal requirement

Since 6c2710446718828e6840ac34ea6fc704ae6790db we need a new selinux

policy in order to ensure /etc/named directory content has the correct

selinux flags.

Reviewed-By: Christian Heimes <cheimes@redhat.com>

Reviewed-By: Alexander Bokovoy <abbra@users.noreply.github.com>

</pre>

</li>

<li>

<strong><a href="https://salsa.debian.org/freeipa-team/freeipa/-/commit/e011906af7c5274ddcc551c68ba5438b6180b3cd">e011906a</a></strong>

<div>

<span>by Cédric Jeanneret</span>

<i>at 2019-11-21T10:38:49+01:00</i>

</div>

<pre class="commit-message" style="white-space: pre-wrap; margin: 0;">Update selinux-policy minimal requirement

Since 6c2710446718828e6840ac34ea6fc704ae6790db we need a new selinux

policy in order to ensure /etc/named directory content has the correct

selinux flags.

Reviewed-By: Christian Heimes <cheimes@redhat.com>

Reviewed-By: Alexander Bokovoy <abbra@users.noreply.github.com>

</pre>

</li>

<li>

<strong><a href="https://salsa.debian.org/freeipa-team/freeipa/-/commit/18540386230e295087296e58761ced2b781ae4e3">18540386</a></strong>

<div>

<span>by Alexander Bokovoy</span>

<i>at 2019-11-21T10:44:37+01:00</i>

</div>

<pre class="commit-message" style="white-space: pre-wrap; margin: 0;">Do not run trust upgrade code if master lacks Samba bindings

If a replica has no Samba bindings but there are trust agreements

configured on some trust controller, skip trust upgrade code on this

replica.

Resolves: https://pagure.io/freeipa/issue/8001

Signed-off-by: Alexander Bokovoy <abokovoy@redhat.com>

Reviewed-By: Thomas Woerner <twoerner@redhat.com>

</pre>

</li>

<li>

<strong><a href="https://salsa.debian.org/freeipa-team/freeipa/-/commit/7f6b1c99f00c519a5b2186fcb310d23ed2c8e71d">7f6b1c99</a></strong>

<div>

<span>by Serhii Tsymbaliuk</span>

<i>at 2019-11-21T16:44:11+01:00</i>

</div>

<pre class="commit-message" style="white-space: pre-wrap; margin: 0;">WebUI: Fix notification area layout

The fix prevents blocking elements in the right side near notification area.

Notification area now has fixed width and it isn't offset.

Also notification icon is aligned to notification text.

Ticket: https://pagure.io/freeipa/issue/8120

Signed-off-by: Serhii Tsymbaliuk <stsymbal@redhat.com>

Reviewed-By: Armando Neto <abiagion@redhat.com>

</pre>

</li>

<li>

<strong><a href="https://salsa.debian.org/freeipa-team/freeipa/-/commit/9db6f65a8536781f6bca20ff8031de18c0f79397">9db6f65a</a></strong>

<div>

<span>by Alexander Bokovoy</span>

<i>at 2019-11-21T11:13:12-05:00</i>

</div>

<pre class="commit-message" style="white-space: pre-wrap; margin: 0;">Allow presence of LDAP attribute options

LDAP attribute options aren't enforced in the LDAP schema. They

represent server- and client-side treatment of attribute values but the

schema definition knows nothing about them.

When we check attribute presence in the entry, we should strip options

before comparing attribute names with the schema.

Related: https://pagure.io/freeipa/issue/8001

Signed-off-by: Alexander Bokovoy <abokovoy@redhat.com>

Reviewed-By: Alexander Bokovoy <abokovoy@redhat.com>

Reviewed-By: Rob Crittenden <rcritten@redhat.com>

Reviewed-By: Florence Blanc-Renaud <frenaud@redhat.com>

</pre>

</li>

<li>

<strong><a href="https://salsa.debian.org/freeipa-team/freeipa/-/commit/c5f32165d6105a48d9de85a8d29925b58beb9f91">c5f32165</a></strong>

<div>

<span>by Alexander Bokovoy</span>

<i>at 2019-11-21T11:13:12-05:00</i>

</div>

<pre class="commit-message" style="white-space: pre-wrap; margin: 0;">Add Authentication Indicator Kerberos ticket policy options

For the authentication indicators 'otp', 'radius', 'pkinit', and

'hardened', allow specifying maximum ticket life and maximum renewable

age in Kerberos ticket policy.

The policy extensions are now loaded when a Kerberos principal data is

requested by the KDC and evaluated in AS_REQ KDC policy check. If one of

the authentication indicators mentioned above is present in the AS_REQ,

corresponding policy is applied to the ticket.

Related: https://pagure.io/freeipa/issue/8001

Signed-off-by: Alexander Bokovoy <abokovoy@redhat.com>

Reviewed-By: Alexander Bokovoy <abokovoy@redhat.com>

Reviewed-By: Rob Crittenden <rcritten@redhat.com>

Reviewed-By: Florence Blanc-Renaud <frenaud@redhat.com>

</pre>

</li>

<li>

<strong><a href="https://salsa.debian.org/freeipa-team/freeipa/-/commit/c02cc93c146bca429f69bf5536a3f6c15b02876e">c02cc93c</a></strong>

<div>

<span>by Rob Crittenden</span>

<i>at 2019-11-21T11:13:12-05:00</i>

</div>

<pre class="commit-message" style="white-space: pre-wrap; margin: 0;">Add integration test for Kerberos ticket policy

This also exercises the Authentication Indicator Kerberos ticket

policy options by testing a specific indicator type.

Related: https://pagure.io/freeipa/issue/8001

Signed-off-by: Rob Crittenden <rcritten@redhat.com>

Reviewed-By: Alexander Bokovoy <abokovoy@redhat.com>

Reviewed-By: Rob Crittenden <rcritten@redhat.com>

Reviewed-By: Florence Blanc-Renaud <frenaud@redhat.com>

</pre>

</li>

<li>

<strong><a href="https://salsa.debian.org/freeipa-team/freeipa/-/commit/d26429ea285857b55a4c78b63eea436618a861f5">d26429ea</a></strong>

<div>

<span>by Serhii Tsymbaliuk</span>

<i>at 2019-11-22T12:30:26+01:00</i>

</div>

<pre class="commit-message" style="white-space: pre-wrap; margin: 0;">WebUI: Fix notification area layout

The fix prevents blocking elements in the right side near notification area.

Notification area now has fixed width and it isn't offset.

Also notification icon is aligned to notification text.

Ticket: https://pagure.io/freeipa/issue/8120

Signed-off-by: Serhii Tsymbaliuk <stsymbal@redhat.com>

Reviewed-By: Armando Neto <abiagion@redhat.com>

</pre>

</li>

<li>

<strong><a href="https://salsa.debian.org/freeipa-team/freeipa/-/commit/438094f868e1a96444e148d9a2481b559cab9a11">438094f8</a></strong>

<div>

<span>by François Cami</span>

<i>at 2019-11-23T00:12:24+01:00</i>

</div>

<pre class="commit-message" style="white-space: pre-wrap; margin: 0;">DSU: add Design for Disable Stale Users

Add disable-stale-users.md: feature document for the upcoming DSU feature..

Fixes: https://pagure.io/freeipa/issue/8104

Signed-off-by: François Cami <fcami@redhat.com>

Reviewed-By: Rob Crittenden <rcritten@redhat.com>

</pre>

</li>

<li>

<strong><a href="https://salsa.debian.org/freeipa-team/freeipa/-/commit/04bb8ef2f5a95d752dd41f4bc575d22ae6f7e9d1">04bb8ef2</a></strong>

<div>

<span>by Timo Aaltonen</span>

<i>at 2019-11-25T12:21:24+01:00</i>

</div>

<pre class="commit-message" style="white-space: pre-wrap; margin: 0;">Debian: Fix font-awesome path.

Signed-off-by: Timo Aaltonen <tjaalton@debian.org>

Reviewed-By: Christian Heimes <cheimes@redhat.com>

</pre>

</li>

<li>

<strong><a href="https://salsa.debian.org/freeipa-team/freeipa/-/commit/094cf629b338b78d13b15b87b4844c487c150e39">094cf629</a></strong>

<div>

<span>by Florence Blanc-Renaud</span>

<i>at 2019-11-25T12:38:32+01:00</i>

</div>

<pre class="commit-message" style="white-space: pre-wrap; margin: 0;">Nightly definition: use right template for krbtpolicy

The ipaserver template triggers the installation of IPA server

before the tests are launched and should not be used for

test_integration tests

Switch to master_1repl template.

Related: https://pagure.io/freeipa/issue/8001

Reviewed-By: Christian Heimes <cheimes@redhat.com>

</pre>

</li>

<li>

<strong><a href="https://salsa.debian.org/freeipa-team/freeipa/-/commit/4dbd689e301a20d38a40e827ba58bc5c667ff0d8">4dbd689e</a></strong>

<div>

<span>by Alexander Bokovoy</span>

<i>at 2019-11-25T13:18:36+01:00</i>

</div>

<pre class="commit-message" style="white-space: pre-wrap; margin: 0;">Allow presence of LDAP attribute options

LDAP attribute options aren't enforced in the LDAP schema. They

represent server- and client-side treatment of attribute values but the

schema definition knows nothing about them.

When we check attribute presence in the entry, we should strip options

before comparing attribute names with the schema.

Related: https://pagure.io/freeipa/issue/8001

Signed-off-by: Alexander Bokovoy <abokovoy@redhat.com>

Reviewed-By: Alexander Bokovoy <abokovoy@redhat.com>

Reviewed-By: Rob Crittenden <rcritten@redhat.com>

Reviewed-By: Florence Blanc-Renaud <frenaud@redhat.com>

Reviewed-By: Florence Blanc-Renaud <frenaud@redhat.com>

Reviewed-By: Rob Crittenden <rcritten@redhat.com>

Reviewed-By: Alexander Bokovoy <abokovoy@redhat.com>

</pre>

</li>

<li>

<strong><a href="https://salsa.debian.org/freeipa-team/freeipa/-/commit/14ff82f3b86ceeb0836b0354b7edb965db72b494">14ff82f3</a></strong>

<div>

<span>by Alexander Bokovoy</span>

<i>at 2019-11-25T13:18:36+01:00</i>

</div>

<pre class="commit-message" style="white-space: pre-wrap; margin: 0;">Add Authentication Indicator Kerberos ticket policy options

For the authentication indicators 'otp', 'radius', 'pkinit', and

'hardened', allow specifying maximum ticket life and maximum renewable

age in Kerberos ticket policy.

The policy extensions are now loaded when a Kerberos principal data is

requested by the KDC and evaluated in AS_REQ KDC policy check. If one of

the authentication indicators mentioned above is present in the AS_REQ,

corresponding policy is applied to the ticket.

Related: https://pagure.io/freeipa/issue/8001

Signed-off-by: Alexander Bokovoy <abokovoy@redhat.com>

Reviewed-By: Alexander Bokovoy <abokovoy@redhat.com>

Reviewed-By: Rob Crittenden <rcritten@redhat.com>

Reviewed-By: Florence Blanc-Renaud <frenaud@redhat.com>

Reviewed-By: Florence Blanc-Renaud <frenaud@redhat.com>

Reviewed-By: Rob Crittenden <rcritten@redhat.com>

Reviewed-By: Alexander Bokovoy <abokovoy@redhat.com>

</pre>

</li>

<li>

<strong><a href="https://salsa.debian.org/freeipa-team/freeipa/-/commit/bc007eca9361709f65bb9da0a8cc101a0b978ef1">bc007eca</a></strong>

<div>

<span>by Rob Crittenden</span>

<i>at 2019-11-25T13:18:36+01:00</i>

</div>

<pre class="commit-message" style="white-space: pre-wrap; margin: 0;">Add integration test for Kerberos ticket policy

This also exercises the Authentication Indicator Kerberos ticket

policy options by testing a specific indicator type.

Related: https://pagure.io/freeipa/issue/8001

Signed-off-by: Rob Crittenden <rcritten@redhat.com>

Reviewed-By: Alexander Bokovoy <abokovoy@redhat.com>

Reviewed-By: Rob Crittenden <rcritten@redhat.com>

Reviewed-By: Florence Blanc-Renaud <frenaud@redhat.com>

Reviewed-By: Florence Blanc-Renaud <frenaud@redhat.com>

Reviewed-By: Rob Crittenden <rcritten@redhat.com>

Reviewed-By: Alexander Bokovoy <abokovoy@redhat.com>

</pre>

</li>

<li>

<strong><a href="https://salsa.debian.org/freeipa-team/freeipa/-/commit/1ca93942b852285c81fb6b951051446841b4af8f">1ca93942</a></strong>

<div>

<span>by Timo Aaltonen</span>

<i>at 2019-11-25T13:56:20+01:00</i>

</div>

<pre class="commit-message" style="white-space: pre-wrap; margin: 0;">Debian: Fix font-awesome path.

Signed-off-by: Timo Aaltonen <tjaalton@debian.org>

Reviewed-By: Christian Heimes <cheimes@redhat.com>

</pre>

</li>

<li>

<strong><a href="https://salsa.debian.org/freeipa-team/freeipa/-/commit/04cfaa1861d4c88eab6b3d29fbb68e2ae2223214">04cfaa18</a></strong>

<div>

<span>by Florence Blanc-Renaud</span>

<i>at 2019-11-25T17:24:46+01:00</i>

</div>

<pre class="commit-message" style="white-space: pre-wrap; margin: 0;">Nightly definition: use right template for krbtpolicy

The ipaserver template triggers the installation of IPA server

before the tests are launched and should not be used for

test_integration tests

Switch to master_1repl template.

Related: https://pagure.io/freeipa/issue/8001

Signed-off-by: Florence Blanc-Renaud <flo@redhat.com>

</pre>

</li>

<li>

<strong><a href="https://salsa.debian.org/freeipa-team/freeipa/-/commit/a48bd07a61ae8b7932bce4a47db670387e3eb4e8">a48bd07a</a></strong>

<div>

<span>by Timo Aaltonen</span>

<i>at 2019-11-25T22:48:17+02:00</i>

</div>

<pre class="commit-message" style="white-space: pre-wrap; margin: 0;">Fix-font-awesome-path.patch: Fix the path to font-awesome dir. (LP: #1853863)

</pre>

</li>

<li>

<strong><a href="https://salsa.debian.org/freeipa-team/freeipa/-/commit/d5be38a5bb4263a6e67552b5dd9b606aceec3d41">d5be38a5</a></strong>

<div>

<span>by François Cami</span>

<i>at 2019-11-26T10:12:17+01:00</i>

</div>

<pre class="commit-message" style="white-space: pre-wrap; margin: 0;">DSU: add Design for Disable Stale Users

Add disable-stale-users.md: feature document for the upcoming DSU feature..

Fixes: https://pagure.io/freeipa/issue/8104

Signed-off-by: François Cami <fcami@redhat.com>

Reviewed-By: Rob Crittenden <rcritten@redhat.com>

</pre>

</li>

<li>

<strong><a href="https://salsa.debian.org/freeipa-team/freeipa/-/commit/e87357749e17a79cd0c5fc2aad995a1ce66d7727">e8735774</a></strong>

<div>

<span>by Sergey Orlov</span>

<i>at 2019-11-26T11:14:41+01:00</i>

</div>

<pre class="commit-message" style="white-space: pre-wrap; margin: 0;">ipatests: add check that ipa-adtrust-install generates sane smb.conf

Related to: https://pagure.io/freeipa/issue/6951

Reviewed-By: Florence Blanc-Renaud <flo@redhat.com>

</pre>

</li>

<li>

<strong><a href="https://salsa.debian.org/freeipa-team/freeipa/-/commit/4abd2f76d76c4c1a1ec5087ec447f4515b63c2c6">4abd2f76</a></strong>

<div>

<span>by Simo Sorce</span>

<i>at 2019-11-26T11:33:48+01:00</i>

</div>

<pre class="commit-message" style="white-space: pre-wrap; margin: 0;">Make sure to have storage space for tag

ber_scanf expects a pointer to a ber_tag_t to return the tag pointed at

by "t", if that is not provided the pointer will be store in whatever

memory location is pointed by the stack at that time causeing a crash.

Note that this is effectively unused code because in ipa-kdb the only

party that can write a key_data structure to be stored is te kdb_driver

itself and we never encode these s2kparam data.

But we need to handle this for future proofing.

Fixes #8071

Signed-off-by: Simo Sorce <simo@redhat.com>

Reviewed-By: Christian Heimes <cheimes@redhat.com>

</pre>

</li>

<li>

<strong><a href="https://salsa.debian.org/freeipa-team/freeipa/-/commit/8cbf47ae668c1cdff64b91bb0cda272b1c93b99e">8cbf47ae</a></strong>

<div>

<span>by Sergey Orlov</span>

<i>at 2019-11-26T13:45:14+01:00</i>

</div>

<pre class="commit-message" style="white-space: pre-wrap; margin: 0;">ipatests: add check that ipa-adtrust-install generates sane smb.conf

Related to: https://pagure.io/freeipa/issue/6951

Reviewed-By: Florence Blanc-Renaud <flo@redhat.com>

</pre>

</li>

<li>

<strong><a href="https://salsa.debian.org/freeipa-team/freeipa/-/commit/d2e0d94521893bc5f002a335a8c0b99601e1afd6">d2e0d945</a></strong>

<div>

<span>by Simo Sorce</span>

<i>at 2019-11-26T13:52:12+01:00</i>

</div>

<pre class="commit-message" style="white-space: pre-wrap; margin: 0;">Make sure to have storage space for tag

ber_scanf expects a pointer to a ber_tag_t to return the tag pointed at

by "t", if that is not provided the pointer will be store in whatever

memory location is pointed by the stack at that time causeing a crash.

Note that this is effectively unused code because in ipa-kdb the only

party that can write a key_data structure to be stored is te kdb_driver

itself and we never encode these s2kparam data.

But we need to handle this for future proofing.

Fixes #8071

Signed-off-by: Simo Sorce <simo@redhat.com>

Reviewed-By: Christian Heimes <cheimes@redhat.com>

</pre>

</li>

<li>

<strong><a href="https://salsa.debian.org/freeipa-team/freeipa/-/commit/e11e73abc101361c0b66b3b958a64c9c8f6c608b">e11e73ab</a></strong>

<div>

<span>by Simo Sorce</span>

<i>at 2019-11-26T15:08:31+02:00</i>

</div>

<pre class="commit-message" style="white-space: pre-wrap; margin: 0;">CVE-2019-14867: Make sure to have storage space for tag

ber_scanf expects a pointer to a ber_tag_t to return the tag pointed at

by "t", if that is not provided the pointer will be store in whatever

memory location is pointed by the stack at that time causeing a crash.

It's also possible for unprivileged end users to trigger parsing of the

krbPrincipalKey.

Fixes #8071: CVE-2019-14867

Reported by Todd Lipcon from Cloudera

Signed-off-by: Simo Sorce <simo@redhat.com>

Reviewed-By: Christian Heimes <cheimes@redhat.com>

(cherry picked from commit d2e0d94521893bc5f002a335a8c0b99601e1afd6)

</pre>

</li>

<li>

<strong><a href="https://salsa.debian.org/freeipa-team/freeipa/-/commit/39120fa9a4a00983917659e4253446ed82839975">39120fa9</a></strong>

<div>

<span>by Rob Crittenden</span>

<i>at 2019-11-26T15:14:17+02:00</i>

</div>

<pre class="commit-message" style="white-space: pre-wrap; margin: 0;">CVE-2019-10195: Don't log passwords embedded in commands in calls using batch

A raw batch request was fully logged which could expose parameters

we don't want logged, like passwords.

Override _repr_iter to use the individual commands to log the

values so that values are properly obscured.

In case of errors log the full value on when the server is in

debug mode.

Reported by Jamison Bennett from Cloudera

Signed-off-by: Rob Crittenden <rcritten@redhat.com>

Reviewed-by:  Florence Blanc-Renaud <frenaud@redhat.com>

</pre>

</li>

<li>

<strong><a href="https://salsa.debian.org/freeipa-team/freeipa/-/commit/4a0017dfdb272f042e12d30c97a5e21dbc0f6624">4a0017df</a></strong>

<div>

<span>by Alexander Bokovoy</span>

<i>at 2019-11-26T15:23:17+02:00</i>

</div>

<pre class="commit-message" style="white-space: pre-wrap; margin: 0;">Become FreeIPA 4.8.3

</pre>

</li>

<li>

<strong><a href="https://salsa.debian.org/freeipa-team/freeipa/-/commit/02ce407f5e10e670d4788778037892b58f80adc0">02ce407f</a></strong>

<div>

<span>by Rob Crittenden</span>

<i>at 2019-11-26T15:24:20+02:00</i>

</div>

<pre class="commit-message" style="white-space: pre-wrap; margin: 0;">CVE-2019-10195: Don't log passwords embedded in commands in calls using batch

A raw batch request was fully logged which could expose parameters

we don't want logged, like passwords.

Override _repr_iter to use the individual commands to log the

values so that values are properly obscured.

In case of errors log the full value on when the server is in

debug mode.

Reported by Jamison Bennett from Cloudera

Signed-off-by: Rob Crittenden <rcritten@redhat.com>

Reviewed-by:  Florence Blanc-Renaud <frenaud@redhat.com>

</pre>

</li>

<li>

<strong><a href="https://salsa.debian.org/freeipa-team/freeipa/-/commit/7db2000e12b217126febb6bcaf11acfe52388926">7db2000e</a></strong>

<div>

<span>by Rob Crittenden</span>

<i>at 2019-11-26T15:25:20+02:00</i>

</div>

<pre class="commit-message" style="white-space: pre-wrap; margin: 0;">CVE-2019-10195: Don't log passwords embedded in commands in calls using batch

A raw batch request was fully logged which could expose parameters

we don't want logged, like passwords.

Override _repr_iter to use the individual commands to log the

values so that values are properly obscured.

In case of errors log the full value on when the server is in

debug mode.

Reported by Jamison Bennett from Cloudera

Signed-off-by: Rob Crittenden <rcritten@redhat.com>

Reviewed-by:  Florence Blanc-Renaud <frenaud@redhat.com>

</pre>

</li>

<li>

<strong><a href="https://salsa.debian.org/freeipa-team/freeipa/-/commit/11be139069d1c4312858cddccb6c3f578f256109">11be1390</a></strong>

<div>

<span>by Alexander Bokovoy</span>

<i>at 2019-11-26T15:28:16+02:00</i>

</div>

<pre class="commit-message" style="white-space: pre-wrap; margin: 0;">Become FreeIPA 4.8.3

</pre>

</li>

<li>

<strong><a href="https://salsa.debian.org/freeipa-team/freeipa/-/commit/3951ed2844585fbded7982bcb5ead9b21cb29731">3951ed28</a></strong>

<div>

<span>by Timo Aaltonen</span>

<i>at 2019-11-26T20:04:04+02:00</i>

</div>

<pre class="commit-message" style="white-space: pre-wrap; margin: 0;">Merge branch 'upstream'

</pre>

</li>

<li>

<strong><a href="https://salsa.debian.org/freeipa-team/freeipa/-/commit/cc8f6ecc7cf7585c2521f54cb1809479825fdde6">cc8f6ecc</a></strong>

<div>

<span>by Timo Aaltonen</span>

<i>at 2019-11-26T20:05:05+02:00</i>

</div>

<pre class="commit-message" style="white-space: pre-wrap; margin: 0;">bump the version

</pre>

</li>

<li>

<strong><a href="https://salsa.debian.org/freeipa-team/freeipa/-/commit/aa370b47358e2eb81000e433f256dea1ab465770">aa370b47</a></strong>

<div>

<span>by Timo Aaltonen</span>

<i>at 2019-11-26T20:15:03+02:00</i>

</div>

<pre class="commit-message" style="white-space: pre-wrap; margin: 0;">releasing package freeipa version 4.8.3-1

</pre>

</li>

<li>

<strong><a href="https://salsa.debian.org/freeipa-team/freeipa/-/commit/0972b1c41b8a45f3cfd109da3dfa6a5ec57e4c3a">0972b1c4</a></strong>

<div>

<span>by Timo Aaltonen</span>

<i>at 2019-11-28T15:07:37+02:00</i>

</div>

<pre class="commit-message" style="white-space: pre-wrap; margin: 0;">control: Drop client from freeipa-tests depends.

</pre>

</li>

<li>

<strong><a href="https://salsa.debian.org/freeipa-team/freeipa/-/commit/095d3f9bc94e5d43f5ebb89b88ee87b330af5c1d">095d3f9b</a></strong>

<div>

<span>by Christian Heimes</span>

<i>at 2019-11-28T16:09:07+01:00</i>

</div>

<pre class="commit-message" style="white-space: pre-wrap; margin: 0;">Add test case for OTP login

Add integration tests to verify HOTP, TOTP, service with OTP auth

indicator, and OTP token sync.

Related: https://pagure.io/freeipa/issue/7804

Signed-off-by: Christian Heimes <cheimes@redhat.com>

Reviewed-By: Alexander Bokovoy <abokovoy@redhat.com>

</pre>

</li>

<li>

<strong><a href="https://salsa.debian.org/freeipa-team/freeipa/-/commit/e8b98555fcbdc76c2e728d0c93cbbabeebad9a26">e8b98555</a></strong>

<div>

<span>by Christian Heimes</span>

<i>at 2019-11-28T16:09:07+01:00</i>

</div>

<pre class="commit-message" style="white-space: pre-wrap; margin: 0;">Fix otptoken_sync plugin

The plugin had two bugs:

For one it did not work under Python 3 because urlencode() returns a string

but HTTPSHandler expects bytes as data argument.

The primary key field name is not available in client plugins. Just pass

the token name and let server code convert the name to DN.

Fixes: https://pagure.io/freeipa/issue/7804

Signed-off-by: Christian Heimes <cheimes@redhat.com>

Reviewed-By: Alexander Bokovoy <abokovoy@redhat.com>

</pre>

</li>

<li>

<strong><a href="https://salsa.debian.org/freeipa-team/freeipa/-/commit/e3ad78538e1dd2f63f171ef1c2b470a1a4f47a8c">e3ad7853</a></strong>

<div>

<span>by Alexander Bokovoy</span>

<i>at 2019-11-29T11:14:18+01:00</i>

</div>

<pre class="commit-message" style="white-space: pre-wrap; margin: 0;">covscan: free encryption types in case there is an error

Even when a number of translated encryption types is zero, the array

might still be allocated. Call free() in any case as free(NULL) does

nothing.

Fixes: https://pagure.io/freeipa/issue/8131

Signed-off-by: Alexander Bokovoy <abokovoy@redhat.com>

Reviewed-By: Florence Blanc-Renaud <frenaud@redhat.com>

</pre>

</li>

<li>

<strong><a href="https://salsa.debian.org/freeipa-team/freeipa/-/commit/e9dd757763c76402e07f533f19e269eeebc554fa">e9dd7577</a></strong>

<div>

<span>by Alexander Bokovoy</span>

<i>at 2019-11-29T11:14:18+01:00</i>

</div>

<pre class="commit-message" style="white-space: pre-wrap; margin: 0;">covscan: free ucs2-encoded password copy when generating NTLM hash

On successful code path we leak internal copy of the ucs2-encoded

password.

Fixes: https://pagure.io/freeipa/issue/8131

Signed-off-by: Alexander Bokovoy <abokovoy@redhat.com>

Reviewed-By: Florence Blanc-Renaud <frenaud@redhat.com>

</pre>

</li>

<li>

<strong><a href="https://salsa.debian.org/freeipa-team/freeipa/-/commit/7dfc6e004be1dd1b3e2eee51786f3b9f888f3494">7dfc6e00</a></strong>

<div>

<span>by Florence Blanc-Renaud</span>

<i>at 2019-11-29T11:17:13+01:00</i>

</div>

<pre class="commit-message" style="white-space: pre-wrap; margin: 0;">ipatests: generic uninstall should call ipa server-del

At the end of any integration test, the method uninstall is called and

uninstalls master, replicas and clients.

Usually the master is the CA renewal master and DNSSec master, and

uninstallation may fail.

This commits modifies the uninstall method in order to:

- call 'ipa server-del replica' before running uninstall on a replica

- uninstall the replicas before uninstalling the master

Fixes: https://pagure.io/freeipa/issue/7985

Signed-off-by: Florence Blanc-Renaud <flo@redhat.com>

Reviewed-By: Sergey Orlov <sorlov@redhat.com>

Reviewed-By: Christian Heimes <cheimes@redhat.com>

</pre>

</li>

<li>

<strong><a href="https://salsa.debian.org/freeipa-team/freeipa/-/commit/8cf4271aaeb466aa73a44f6c162ddbe9eac7fc88">8cf4271a</a></strong>

<div>

<span>by Florence Blanc-Renaud</span>

<i>at 2019-11-29T11:17:13+01:00</i>

</div>

<pre class="commit-message" style="white-space: pre-wrap; margin: 0;">ipatests: fix teardown

The uninstall method of some tests can be skipped as the cleanup is

already done before.

Reviewed-By: Sergey Orlov <sorlov@redhat.com>

Reviewed-By: Christian Heimes <cheimes@redhat.com>

</pre>

</li>

<li>

<strong><a href="https://salsa.debian.org/freeipa-team/freeipa/-/commit/b3d650370cfa181a68c7ce332a0013ef2e23ad21">b3d65037</a></strong>

<div>

<span>by Florence Blanc-Renaud</span>

<i>at 2019-11-29T11:17:13+01:00</i>

</div>

<pre class="commit-message" style="white-space: pre-wrap; margin: 0;">ipatests: fix test_crlgen_manage

The goal of the last test in test_crlgen_manage is to ensure that

ipa-server-install --uninstall can proceed if the server is the last one

in the topology, even if it is the CRL generation master.

The current code is wrong because it tries to uninstall the master

(which has already been uninstalled in the prev test), It should rather

uninstall replicas[0].

Signed-off-by: Florence Blanc-Renaud <flo@redhat.com>

Reviewed-By: Sergey Orlov <sorlov@redhat.com>

Reviewed-By: Christian Heimes <cheimes@redhat.com>

</pre>

</li>

<li>

<strong><a href="https://salsa.debian.org/freeipa-team/freeipa/-/commit/90f2866163b6fb4ec7f533e8d4820089b804d707">90f28661</a></strong>

<div>

<span>by Christian Heimes</span>

<i>at 2019-11-29T11:44:43+01:00</i>

</div>

<pre class="commit-message" style="white-space: pre-wrap; margin: 0;">Fix otptoken_sync plugin

The plugin had two bugs:

For one it did not work under Python 3 because urlencode() returns a string

but HTTPSHandler expects bytes as data argument.

The primary key field name is not available in client plugins. Just pass

the token name and let server code convert the name to DN.

Fixes: https://pagure.io/freeipa/issue/7804

Signed-off-by: Christian Heimes <cheimes@redhat.com>

Reviewed-By: Alexander Bokovoy <abokovoy@redhat.com>

</pre>

</li>

<li>

<strong><a href="https://salsa.debian.org/freeipa-team/freeipa/-/commit/dfa356e3d60468fab9eb873adfa0b08a7f8fd842">dfa356e3</a></strong>

<div>

<span>by Christian Heimes</span>

<i>at 2019-11-29T11:44:43+01:00</i>

</div>

<pre class="commit-message" style="white-space: pre-wrap; margin: 0;">Add test case for OTP login

Add integration tests to verify HOTP, TOTP, service with OTP auth

indicator, and OTP token sync.

Related: https://pagure.io/freeipa/issue/7804

Signed-off-by: Christian Heimes <cheimes@redhat.com>

Reviewed-By: Alexander Bokovoy <abokovoy@redhat.com>

</pre>

</li>

<li>

<strong><a href="https://salsa.debian.org/freeipa-team/freeipa/-/commit/84592e32c5b59b7b654a0a74b5cc8c1350af6451">84592e32</a></strong>

<div>

<span>by Alexander Bokovoy</span>

<i>at 2019-11-29T13:05:56+01:00</i>

</div>

<pre class="commit-message" style="white-space: pre-wrap; margin: 0;">covscan: free encryption types in case there is an error

Even when a number of translated encryption types is zero, the array

might still be allocated. Call free() in any case as free(NULL) does

nothing.

Fixes: https://pagure.io/freeipa/issue/8131

Signed-off-by: Alexander Bokovoy <abokovoy@redhat.com>

Reviewed-By: Florence Blanc-Renaud <frenaud@redhat.com>

</pre>

</li>

<li>

<strong><a href="https://salsa.debian.org/freeipa-team/freeipa/-/commit/eebabb5c5fe7478b391770a857fb9be4f0d60a9c">eebabb5c</a></strong>

<div>

<span>by Alexander Bokovoy</span>

<i>at 2019-11-29T13:05:56+01:00</i>

</div>

<pre class="commit-message" style="white-space: pre-wrap; margin: 0;">covscan: free ucs2-encoded password copy when generating NTLM hash

On successful code path we leak internal copy of the ucs2-encoded

password.

Fixes: https://pagure.io/freeipa/issue/8131

Signed-off-by: Alexander Bokovoy <abokovoy@redhat.com>

Reviewed-By: Florence Blanc-Renaud <frenaud@redhat.com>

</pre>

</li>

<li>

<strong><a href="https://salsa.debian.org/freeipa-team/freeipa/-/commit/c77b06265bfb08d85bb4bd875cdb104ce239356d">c77b0626</a></strong>

<div>

<span>by Florence Blanc-Renaud</span>

<i>at 2019-11-29T16:52:26+01:00</i>

</div>

<pre class="commit-message" style="white-space: pre-wrap; margin: 0;">ipatests: generic uninstall should call ipa server-del

At the end of any integration test, the method uninstall is called and

uninstalls master, replicas and clients.

Usually the master is the CA renewal master and DNSSec master, and

uninstallation may fail.

This commits modifies the uninstall method in order to:

- call 'ipa server-del replica' before running uninstall on a replica

- uninstall the replicas before uninstalling the master

Fixes: https://pagure.io/freeipa/issue/7985

Signed-off-by: Florence Blanc-Renaud <flo@redhat.com>

Reviewed-By: Christian Heimes <cheimes@redhat.com>

</pre>

</li>

<li>

<strong><a href="https://salsa.debian.org/freeipa-team/freeipa/-/commit/ab67e0ed35a7a9f23e1b61f61ec6503a3a97231d">ab67e0ed</a></strong>

<div>

<span>by Florence Blanc-Renaud</span>

<i>at 2019-11-29T16:52:26+01:00</i>

</div>

<pre class="commit-message" style="white-space: pre-wrap; margin: 0;">ipatests: fix teardown

The uninstall method of some tests can be skipped as the cleanup is

already done before.

Reviewed-By: Christian Heimes <cheimes@redhat.com>

</pre>

</li>

<li>

<strong><a href="https://salsa.debian.org/freeipa-team/freeipa/-/commit/dd06dfc97c24ba31e102d675558561ddba5ca216">dd06dfc9</a></strong>

<div>

<span>by Florence Blanc-Renaud</span>

<i>at 2019-11-29T16:52:26+01:00</i>

</div>

<pre class="commit-message" style="white-space: pre-wrap; margin: 0;">ipatests: fix test_crlgen_manage

The goal of the last test in test_crlgen_manage is to ensure that

ipa-server-install --uninstall can proceed if the server is the last one

in the topology, even if it is the CRL generation master.

The current code is wrong because it tries to uninstall the master

(which has already been uninstalled in the prev test), It should rather

uninstall replicas[0].

Signed-off-by: Florence Blanc-Renaud <flo@redhat.com>

Reviewed-By: Christian Heimes <cheimes@redhat.com>

</pre>

</li>

<li>

<strong><a href="https://salsa.debian.org/freeipa-team/freeipa/-/commit/20ef79c02cf321f3d35c0408b9bf5887c04b11fe">20ef79c0</a></strong>

<div>

<span>by Christian Heimes</span>

<i>at 2019-11-29T17:02:16+01:00</i>

</div>

<pre class="commit-message" style="white-space: pre-wrap; margin: 0;">Remove FIPS noise from SSHd

When a system is in FIPS mode, SSHd can prints some noise to stderr:

    FIPS mode initialized\r\n

This noise causes interference and breakage of some tests. Remove the

noise from stderr_bytes, which automatically fixes stderr_text, too.

Signed-off-by: Christian Heimes <cheimes@redhat.com>

Reviewed-By: Francisco Trivino <ftrivino@redhat.com>

</pre>

</li>

<li>

<strong><a href="https://salsa.debian.org/freeipa-team/freeipa/-/commit/d153957990b7456d53af5903a0e62b2716f61183">d1539579</a></strong>

<div>

<span>by Christian Heimes</span>

<i>at 2019-11-29T17:02:16+01:00</i>

</div>

<pre class="commit-message" style="white-space: pre-wrap; margin: 0;">FIPS: server key has different name in FIPS mode

Reviewed-By: Francisco Trivino <ftrivino@redhat.com>

</pre>

</li>

<li>

<strong><a href="https://salsa.debian.org/freeipa-team/freeipa/-/commit/6a17a916728cef30f8f245ed77cc9e849b227fc8">6a17a916</a></strong>

<div>

<span>by Christian Heimes</span>

<i>at 2019-11-29T17:02:16+01:00</i>

</div>

<pre class="commit-message" style="white-space: pre-wrap; margin: 0;">Skip paramiko tests in FIPS mode

Paramiko is not compatible with FIPS mode. It uses MD5 on the client

side and does not support rsa-sha2 connections for RSA auth.

See: https://pagure.io/freeipa/issue/8129

Reviewed-By: Francisco Trivino <ftrivino@redhat.com>

</pre>

</li>

<li>

<strong><a href="https://salsa.debian.org/freeipa-team/freeipa/-/commit/6ce6b53de376ff6338df318d37330d531725e1be">6ce6b53d</a></strong>

<div>

<span>by Christian Heimes</span>

<i>at 2019-12-02T11:02:28+01:00</i>

</div>

<pre class="commit-message" style="white-space: pre-wrap; margin: 0;">Remove FIPS noise from SSHd

When a system is in FIPS mode, SSHd can prints some noise to stderr:

    FIPS mode initialized\r\n

This noise causes interference and breakage of some tests. Remove the

noise from stderr_bytes, which automatically fixes stderr_text, too.

Signed-off-by: Christian Heimes <cheimes@redhat.com>

Reviewed-By: Francisco Trivino <ftrivino@redhat.com>

</pre>

</li>

<li>

<strong><a href="https://salsa.debian.org/freeipa-team/freeipa/-/commit/9091290a3e813f491f99626db3d07cbfe99a1d99">9091290a</a></strong>

<div>

<span>by Christian Heimes</span>

<i>at 2019-12-02T11:02:28+01:00</i>

</div>

<pre class="commit-message" style="white-space: pre-wrap; margin: 0;">FIPS: server key has different name in FIPS mode

Reviewed-By: Francisco Trivino <ftrivino@redhat.com>

</pre>

</li>

<li>

<strong><a href="https://salsa.debian.org/freeipa-team/freeipa/-/commit/82a4faefd2c719a1e269733280f4141241d89b68">82a4faef</a></strong>

<div>

<span>by Christian Heimes</span>

<i>at 2019-12-02T11:02:28+01:00</i>

</div>

<pre class="commit-message" style="white-space: pre-wrap; margin: 0;">Skip paramiko tests in FIPS mode

Paramiko is not compatible with FIPS mode. It uses MD5 on the client

side and does not support rsa-sha2 connections for RSA auth.

See: https://pagure.io/freeipa/issue/8129

Reviewed-By: Francisco Trivino <ftrivino@redhat.com>

</pre>

</li>

<li>

<strong><a href="https://salsa.debian.org/freeipa-team/freeipa/-/commit/0451db9d3f6342038ba421c767ca002c83f6c1b2">0451db9d</a></strong>

<div>

<span>by Christian Heimes</span>

<i>at 2019-12-02T16:48:07+01:00</i>

</div>

<pre class="commit-message" style="white-space: pre-wrap; margin: 0;">Enable TLS 1.3 support on the server

urllib3 now supports post-handshake authentication with TLS 1.3. Enable

TLS 1.3 support for Apache HTTPd.

The update depends on bug fixes for TLS 1.3 PHA support in urllib3 and

Apache HTTPd. New builds are available in freeipa-master COPR and in

F30/F31.

Overwrite crypto-policy on Fedora only. Fedora 31 and earlier have TLS

1.0 and 1.1 still enabled by default.

Fixes: https://pagure.io/freeipa/issue/8125

Signed-off-by: Christian Heimes <cheimes@redhat.com>

Reviewed-By: Rob Crittenden <rcritten@redhat.com>

Reviewed-By: Thomas Woerner <twoerner@redhat.com>

</pre>

</li>

<li>

<strong><a href="https://salsa.debian.org/freeipa-team/freeipa/-/commit/0198eca7959d86a080ea5e465fa0021ceceeddcc">0198eca7</a></strong>

<div>

<span>by Christian Heimes</span>

<i>at 2019-12-02T16:48:07+01:00</i>

</div>

<pre class="commit-message" style="white-space: pre-wrap; margin: 0;">Update Apache HTTPd for RHBZ#1775146

Fedora 30 update FEDORA-2019-d54e892077 httpd-2.4.41-6.1.fc30

Fedora 31 update FEDORA-2019-ae1dd32c5f httpd-2.4.41-9.fc31

RHEL 8.2 RHEA-2019:47297-02 httpd-2.4.37-21

Fixes: https://pagure.io/freeipa/issue/8125

Signed-off-by: Christian Heimes <cheimes@redhat.com>

Reviewed-By: Rob Crittenden <rcritten@redhat.com>

Reviewed-By: Thomas Woerner <twoerner@redhat.com>

</pre>

</li>

<li>

<strong><a href="https://salsa.debian.org/freeipa-team/freeipa/-/commit/639bb71940daddd15efb3b4fa922d185235c0b33">639bb719</a></strong>

<div>

<span>by Christian Heimes</span>

<i>at 2019-12-02T16:48:07+01:00</i>

</div>

<pre class="commit-message" style="white-space: pre-wrap; margin: 0;">Don't hard-code client's TLS versions and ciphers

Client connections no longer override TLS version range and ciphers by

default. Instead clients use the default settings from the system's

crypto policy.

Minimum TLS version is now TLS 1.2. The default crypto policy on

RHEL 8 sets TLS 1.2 as minimum version, while Fedora 31 sets TLS 1.0 as

minimum version. The minimum version is configured with OpenSSL 1.1.1

APIs. Python 3.6 lacks the setters to override the system policy.

The effective minimum version is always TLS 1.2, because FreeIPA

reconfigures Apache HTTPd on Fedora.

Fixes: https://pagure.io/freeipa/issue/8125

Signed-off-by: Christian Heimes <cheimes@redhat.com>

Reviewed-By: Rob Crittenden <rcritten@redhat.com>

Reviewed-By: Thomas Woerner <twoerner@redhat.com>

</pre>

</li>

<li>

<strong><a href="https://salsa.debian.org/freeipa-team/freeipa/-/commit/f7de64c38b11d8fb22d313853b6113da1df449be">f7de64c3</a></strong>

<div>

<span>by Christian Heimes</span>

<i>at 2019-12-02T17:54:24+01:00</i>

</div>

<pre class="commit-message" style="white-space: pre-wrap; margin: 0;">Enable TLS 1.3 support on the server

urllib3 now supports post-handshake authentication with TLS 1.3. Enable

TLS 1.3 support for Apache HTTPd.

The update depends on bug fixes for TLS 1.3 PHA support in urllib3 and

Apache HTTPd. New builds are available in freeipa-master COPR and in

F30/F31.

Overwrite crypto-policy on Fedora only. Fedora 31 and earlier have TLS

1.0 and 1.1 still enabled by default.

Fixes: https://pagure.io/freeipa/issue/8125

Signed-off-by: Christian Heimes <cheimes@redhat.com>

Reviewed-By: Rob Crittenden <rcritten@redhat.com>

Reviewed-By: Thomas Woerner <twoerner@redhat.com>

Reviewed-By: Rob Crittenden <rcritten@redhat.com>

Reviewed-By: Thomas Woerner <twoerner@redhat.com>

</pre>

</li>

<li>

<strong><a href="https://salsa.debian.org/freeipa-team/freeipa/-/commit/ae9e41baddbf30ab2002455b06886be9e12ae453">ae9e41ba</a></strong>

<div>

<span>by Christian Heimes</span>

<i>at 2019-12-02T17:54:24+01:00</i>

</div>

<pre class="commit-message" style="white-space: pre-wrap; margin: 0;">Update Apache HTTPd for RHBZ#1775146

Fedora 30 update FEDORA-2019-d54e892077 httpd-2.4.41-6.1.fc30

Fedora 31 update FEDORA-2019-ae1dd32c5f httpd-2.4.41-9.fc31

RHEL 8.2 RHEA-2019:47297-02 httpd-2.4.37-21

Fixes: https://pagure.io/freeipa/issue/8125

Signed-off-by: Christian Heimes <cheimes@redhat.com>

Reviewed-By: Rob Crittenden <rcritten@redhat.com>

Reviewed-By: Thomas Woerner <twoerner@redhat.com>

Reviewed-By: Rob Crittenden <rcritten@redhat.com>

Reviewed-By: Thomas Woerner <twoerner@redhat.com>

</pre>

</li>

<li>

<strong><a href="https://salsa.debian.org/freeipa-team/freeipa/-/commit/b655586225c8587fc9e4522d1e25458f10c63f86">b6555862</a></strong>

<div>

<span>by Christian Heimes</span>

<i>at 2019-12-02T17:54:24+01:00</i>

</div>

<pre class="commit-message" style="white-space: pre-wrap; margin: 0;">Don't hard-code client's TLS versions and ciphers

Client connections no longer override TLS version range and ciphers by

default. Instead clients use the default settings from the system's

crypto policy.

Minimum TLS version is now TLS 1.2. The default crypto policy on

RHEL 8 sets TLS 1.2 as minimum version, while Fedora 31 sets TLS 1.0 as

minimum version. The minimum version is configured with OpenSSL 1.1.1

APIs. Python 3.6 lacks the setters to override the system policy.

The effective minimum version is always TLS 1.2, because FreeIPA

reconfigures Apache HTTPd on Fedora.

Fixes: https://pagure.io/freeipa/issue/8125

Signed-off-by: Christian Heimes <cheimes@redhat.com>

Reviewed-By: Rob Crittenden <rcritten@redhat.com>

Reviewed-By: Thomas Woerner <twoerner@redhat.com>

Reviewed-By: Rob Crittenden <rcritten@redhat.com>

Reviewed-By: Thomas Woerner <twoerner@redhat.com>

</pre>

</li>

<li>

<strong><a href="https://salsa.debian.org/freeipa-team/freeipa/-/commit/2319b38c8f6a8fcdc4eb02d12ffa53e97c29fc03">2319b38c</a></strong>

<div>

<span>by Armando Neto</span>

<i>at 2019-12-02T16:39:01-03:00</i>

</div>

<pre class="commit-message" style="white-space: pre-wrap; margin: 0;">travis: Remove CI integration

Removing Travis CI in favour of Azure Pipelines.

All tests previously tested by Travis are also configured in Azure.

Repos [1] and [2] were used to build Docker images for Travis, thus

they are no longer required for branches master and ipa-4-8.

Branches ipa-4-7 and ipa-4-6 don't have Azure pipelines configured,

so Travis will continue to be used by them.

1 - https://github.com/freeipa/ipa-docker-test-runner

2 - https://github.com/freeipa/freeipa-builder

Related: https://pagure.io/freeipa/issue/7323

Signed-off-by: Armando Neto <abiagion@redhat.com>

Reviewed-By: Francisco Trivino <ftrivino@redhat.com>

</pre>

</li>

<li>

<strong><a href="https://salsa.debian.org/freeipa-team/freeipa/-/commit/6486b1aa4c52f765ed0f10a4d055be7eff479f1c">6486b1aa</a></strong>

<div>

<span>by Armando Neto</span>

<i>at 2019-12-02T20:11:02-03:00</i>

</div>

<pre class="commit-message" style="white-space: pre-wrap; margin: 0;">travis: Remove CI integration

Removing Travis CI in favour of Azure Pipelines.

All tests previously tested by Travis are also configured in Azure.

Repos [1] and [2] were used to build Docker images for Travis, thus

they are no longer required for branches master and ipa-4-8.

Branches ipa-4-7 and ipa-4-6 don't have Azure pipelines configured,

so Travis will continue to be used by them.

1 - https://github.com/freeipa/ipa-docker-test-runner

2 - https://github.com/freeipa/freeipa-builder

Related: https://pagure.io/freeipa/issue/7323

Signed-off-by: Armando Neto <abiagion@redhat.com>

Reviewed-By: Francisco Trivino <ftrivino@redhat.com>

</pre>

</li>

<li>

<strong><a href="https://salsa.debian.org/freeipa-team/freeipa/-/commit/2c9b212cf08e9f0e6814b2e7a0922079b3929634">2c9b212c</a></strong>

<div>

<span>by Florence Blanc-Renaud</span>

<i>at 2019-12-04T09:06:56+01:00</i>

</div>

<pre class="commit-message" style="white-space: pre-wrap; margin: 0;">trust upgrade: ensure that host is member of adtrust agents

After an upgrade, the group cn=adtrust agents may be missing some members.

Each ad trust controller must appear twice as member:

- krbprincipalname=cifs/hostname@realm,cn=services,cn=accounts,basedn

- fqdn=hostname,cn=computers,cn=accounts,basedn

Add an upgrade plugin that builds a list of hostnames from the cifs

principals and adds if needed fqdn=hostname...

Fixes: https://bugzilla.redhat.com/show_bug.cgi?id=1778777

Signed-off-by: Florence Blanc-Renaud <flo@redhat.com>

Reviewed-By: Alexander Bokovoy <abbra@users.noreply.github.com>

</pre>

</li>

<li>

<strong><a href="https://salsa.debian.org/freeipa-team/freeipa/-/commit/28929897ab3a9132b56ec6f70470032e7bff7d00">28929897</a></strong>

<div>

<span>by Christian Heimes</span>

<i>at 2019-12-04T10:35:14+01:00</i>

</div>

<pre class="commit-message" style="white-space: pre-wrap; margin: 0;">Don't run test_smb in gating tests

test_smb slows down gating and PR turnover. The test takes between 45 and

50 minutes to execute while the other gating tests finish in about or less

than half the time.

The Samba / AD integration tests are still executed in nightly tests.

Signed-off-by: Christian Heimes <cheimes@redhat.com>

Reviewed-By: Francois Cami <fcami@redhat.com>

</pre>

</li>

<li>

<strong><a href="https://salsa.debian.org/freeipa-team/freeipa/-/commit/b21128c2d7575c6eba6a52fa4448a9a2c7b56913">b21128c2</a></strong>

<div>

<span>by Florence Blanc-Renaud</span>

<i>at 2019-12-04T10:41:46+01:00</i>

</div>

<pre class="commit-message" style="white-space: pre-wrap; margin: 0;">trust upgrade: ensure that host is member of adtrust agents

After an upgrade, the group cn=adtrust agents may be missing some members.

Each ad trust controller must appear twice as member:

- krbprincipalname=cifs/hostname@realm,cn=services,cn=accounts,basedn

- fqdn=hostname,cn=computers,cn=accounts,basedn

Add an upgrade plugin that builds a list of hostnames from the cifs

principals and adds if needed fqdn=hostname...

Fixes: https://bugzilla.redhat.com/show_bug.cgi?id=1778777

Signed-off-by: Florence Blanc-Renaud <flo@redhat.com>

Reviewed-By: Alexander Bokovoy <abbra@users.noreply.github.com>

</pre>

</li>

<li>

<strong><a href="https://salsa.debian.org/freeipa-team/freeipa/-/commit/dcb33e44e7f3125347341f6003bf1fff6055b433">dcb33e44</a></strong>

<div>

<span>by Christian Heimes</span>

<i>at 2019-12-05T15:07:57+01:00</i>

</div>

<pre class="commit-message" style="white-space: pre-wrap; margin: 0;">Optimize user-add by caching ldap2.has_upg()

The method has_upg returns if user private groups are enabled or

disabled. has_upg() is called three times by user-add. The setting is

now cached on the request local variable context to speed up batch

processing of user imports.

context is cleared after every request.

Related: https://pagure.io/freeipa/issue/8134

Signed-off-by: Christian Heimes <cheimes@redhat.com>

Reviewed-By: Rob Crittenden <rcritten@redhat.com>

</pre>

</li>

<li>

<strong><a href="https://salsa.debian.org/freeipa-team/freeipa/-/commit/cf9f9bb326a2efae2e459a15be5d17878cb40da0">cf9f9bb3</a></strong>

<div>

<span>by Christian Heimes</span>

<i>at 2019-12-05T15:09:38+01:00</i>

</div>

<pre class="commit-message" style="white-space: pre-wrap; margin: 0;">Fix logic of check_client_configuration

The helper function ipalib.util.check_client_configuration() now

considers a client configured when either:

* confdir is overridden (e.g. with IPA_CONFDIR) and the conf_default

  file exists.

* confdir is /etc/ipa, /etc/ipa/default.conf exists and client

  sysrestore state exists.

The check for sysrestore state is faster than checking for the presence

of the directory and presence of files in the directory. The sysrestore

state is always presence. sysrestore.index may be missing if no files

were backed up.

Fixes: https://pagure.io/freeipa/issue/8133

Signed-off-by: Christian Heimes <cheimes@redhat.com>

Reviewed-By: Rob Crittenden <rcritten@redhat.com>

</pre>

</li>

<li>

<strong><a href="https://salsa.debian.org/freeipa-team/freeipa/-/commit/0785a032dfec0537aa90616fa0853abfe5ec058a">0785a032</a></strong>

<div>

<span>by Christian Heimes</span>

<i>at 2019-12-05T17:47:17+01:00</i>

</div>

<pre class="commit-message" style="white-space: pre-wrap; margin: 0;">Optimize user-add by caching ldap2.has_upg()

The method has_upg returns if user private groups are enabled or

disabled. has_upg() is called three times by user-add. The setting is

now cached on the request local variable context to speed up batch

processing of user imports.

context is cleared after every request.

Related: https://pagure.io/freeipa/issue/8134

Signed-off-by: Christian Heimes <cheimes@redhat.com>

Reviewed-By: Rob Crittenden <rcritten@redhat.com>

</pre>

</li>

<li>

<strong><a href="https://salsa.debian.org/freeipa-team/freeipa/-/commit/5d847cfb1d3779524e28d186c260db438bdf1369">5d847cfb</a></strong>

<div>

<span>by Christian Heimes</span>

<i>at 2019-12-05T17:47:45+01:00</i>

</div>

<pre class="commit-message" style="white-space: pre-wrap; margin: 0;">Fix logic of check_client_configuration

The helper function ipalib.util.check_client_configuration() now

considers a client configured when either:

* confdir is overridden (e.g. with IPA_CONFDIR) and the conf_default

  file exists.

* confdir is /etc/ipa, /etc/ipa/default.conf exists and client

  sysrestore state exists.

The check for sysrestore state is faster than checking for the presence

of the directory and presence of files in the directory. The sysrestore

state is always presence. sysrestore.index may be missing if no files

were backed up.

Fixes: https://pagure.io/freeipa/issue/8133

Signed-off-by: Christian Heimes <cheimes@redhat.com>

Reviewed-By: Rob Crittenden <rcritten@redhat.com>

</pre>

</li>

<li>

<strong><a href="https://salsa.debian.org/freeipa-team/freeipa/-/commit/c1272e48dfaa6ccf15342f1888cba556026e6cf2">c1272e48</a></strong>

<div>

<span>by Florence Blanc-Renaud</span>

<i>at 2019-12-05T17:48:42+01:00</i>

</div>

<pre class="commit-message" style="white-space: pre-wrap; margin: 0;">ipatests: fix TestMigrateDNSSECMaster teardown

The test is installing master +DNSSEC, then replica and migrates the DNSSEC

to the replica.

During teardown, the replica is removed with ipa server-del. This operation

deletes the entries cn=DNS and cn=DNSSEC on the master, but if the

replication is stopped before the operations are replicated on the replica,

the replica may end up with a dangling cn=DNSSEC entry and no cn=DNS entry.

In this case ipa-server-install --uninstall on the replica will fail.

The fix: uninstall the DNSSec master as the last step of teardown

Related: https://pagure.io/freeipa/issue/7985

Signed-off-by: Florence Blanc-Renaud <flo@redhat.com>

Reviewed-By: Christian Heimes <cheimes@redhat.com>

</pre>

</li>

<li>

<strong><a href="https://salsa.debian.org/freeipa-team/freeipa/-/commit/dbfb011da7d79b1eb4ace7d8cb45aa8a86f3eaba">dbfb011d</a></strong>

<div>

<span>by Christian Heimes</span>

<i>at 2019-12-06T10:23:15+01:00</i>

</div>

<pre class="commit-message" style="white-space: pre-wrap; margin: 0;">Fix lite-server to work with GSS_NAME

The lite-server does no longer work correctly since rpcserver is also

using GSS_NAME. Set up GSS_NAME from ccache.

Reviewed-By: Rob Crittenden <rcritten@redhat.com>

</pre>

</li>

<li>

<strong><a href="https://salsa.debian.org/freeipa-team/freeipa/-/commit/bb8da7d388b1ff4077a443c04dbbf440d8f76b06">bb8da7d3</a></strong>

<div>

<span>by Florence Blanc-Renaud</span>

<i>at 2019-12-06T10:28:07+01:00</i>

</div>

<pre class="commit-message" style="white-space: pre-wrap; margin: 0;">ipatests: fix TestMigrateDNSSECMaster teardown

The test is installing master +DNSSEC, then replica and migrates the DNSSEC

to the replica.

During teardown, the replica is removed with ipa server-del. This operation

deletes the entries cn=DNS and cn=DNSSEC on the master, but if the

replication is stopped before the operations are replicated on the replica,

the replica may end up with a dangling cn=DNSSEC entry and no cn=DNS entry.

In this case ipa-server-install --uninstall on the replica will fail.

The fix: uninstall the DNSSec master as the last step of teardown

Related: https://pagure.io/freeipa/issue/7985

Signed-off-by: Florence Blanc-Renaud <flo@redhat.com>

Reviewed-By: Christian Heimes <cheimes@redhat.com>

</pre>

</li>

<li>

<strong><a href="https://salsa.debian.org/freeipa-team/freeipa/-/commit/836b90f65244a0407e74627b550297d0962d882e">836b90f6</a></strong>

<div>

<span>by Anuja More</span>

<i>at 2019-12-06T15:41:09+01:00</i>

</div>

<pre class="commit-message" style="white-space: pre-wrap; margin: 0;">ipatests : Login via ssh using private-key for ipa-user should work.

Added test for : https://pagure.io/SSSD/sssd/issue/3937

Signed-off-by: Anuja More <amore@redhat.com>

Reviewed-By: Sergey Orlov <sorlov@redhat.com>

</pre>

</li>

<li>

<strong><a href="https://salsa.debian.org/freeipa-team/freeipa/-/commit/650db3b80d5f1ec68131d0e17993fb31f9488d7c">650db3b8</a></strong>

<div>

<span>by MIZUTA Takeshi</span>

<i>at 2019-12-10T16:20:24+01:00</i>

</div>

<pre class="commit-message" style="white-space: pre-wrap; margin: 0;">Add config that maintains existing content to ipa-client-install manpage

If --no-ssh and --no-sshd are not specified in ipa-client-install,

/etc/ssh/{ssh, sshd}_config is updated and existing content is maintained..

Reviewed-By: Rob Crittenden <rcritten@redhat.com>

</pre>

</li>

<li>

<strong><a href="https://salsa.debian.org/freeipa-team/freeipa/-/commit/fa952666df448df89aa6f96758c4c1593a30e79f">fa952666</a></strong>

<div>

<span>by Anuja More</span>

<i>at 2019-12-10T16:21:31+01:00</i>

</div>

<pre class="commit-message" style="white-space: pre-wrap; margin: 0;">ipatests : Login via ssh using private-key for ipa-user should work.

Added test for : https://pagure.io/SSSD/sssd/issue/3937

Signed-off-by: Anuja More <amore@redhat.com>

Reviewed-By: Sergey Orlov <sorlov@redhat.com>

</pre>

</li>

<li>

<strong><a href="https://salsa.debian.org/freeipa-team/freeipa/-/commit/44b3791bc3a14ede0708538347954871df6496fa">44b3791b</a></strong>

<div>

<span>by Christian Heimes</span>

<i>at 2019-12-10T16:22:11+01:00</i>

</div>

<pre class="commit-message" style="white-space: pre-wrap; margin: 0;">Require idstart to be larger than UID_MAX

ipa-server-install fails if idstart is set to 0. There might be

additional issues when idstart overlaps with local users. Ensure that

idstart is larger than UID_MAX or GID_MAX from /etc/login.defs.

Fixes: https://pagure.io/freeipa/issue/8137

Signed-off-by: Christian Heimes <cheimes@redhat.com>

Reviewed-By: Alexander Bokovoy <abokovoy@redhat.com>

</pre>

</li>

<li>

<strong><a href="https://salsa.debian.org/freeipa-team/freeipa/-/commit/3cae7f4ee6fbfed99930a87e78d7e37bdb740e43">3cae7f4e</a></strong>

<div>

<span>by Christian Heimes</span>

<i>at 2019-12-10T16:22:48+01:00</i>

</div>

<pre class="commit-message" style="white-space: pre-wrap; margin: 0;">Fix service ldap_disable()

Fix comparison bug that prevents ldap_disable to actually disable a

service.

Fixes: https://pagure.io/freeipa/issue/8143

Signed-off-by: Christian Heimes <cheimes@redhat.com>

Reviewed-By: Alexander Bokovoy <abokovoy@redhat.com>

</pre>

</li>

<li>

<strong><a href="https://salsa.debian.org/freeipa-team/freeipa/-/commit/d30dd52920a06ded11b9dfe136108343bb2896a3">d30dd529</a></strong>

<div>

<span>by Christian Heimes</span>

<i>at 2019-12-10T16:23:31+01:00</i>

</div>

<pre class="commit-message" style="white-space: pre-wrap; margin: 0;">Check valid before/after of external certs

verify_server_cert_validity() and verify_ca_cert_validity() now check

the validity time range of external certificates. The check fails if the

certificate is not valid yet or will expire in less than an hour.

Fixes: https://pagure.io/freeipa/issue/8142

Signed-off-by: Christian Heimes <cheimes@redhat.com>

Reviewed-By: Alexander Bokovoy <abokovoy@redhat.com>

</pre>

</li>

<li>

<strong><a href="https://salsa.debian.org/freeipa-team/freeipa/-/commit/9f726a20d947b7d4a87a6f96a6967cfc85fbc2de">9f726a20</a></strong>

<div>

<span>by Christian Heimes</span>

<i>at 2019-12-11T14:29:12+01:00</i>

</div>

<pre class="commit-message" style="white-space: pre-wrap; margin: 0;">Fix lite-server to work with GSS_NAME

The lite-server does no longer work correctly since rpcserver is also

using GSS_NAME. Set up GSS_NAME from ccache.

Reviewed-By: Rob Crittenden <rcritten@redhat.com>

</pre>

</li>

<li>

<strong><a href="https://salsa.debian.org/freeipa-team/freeipa/-/commit/999ebc176b50d5a097c72b0ef50d62acb8702f6d">999ebc17</a></strong>

<div>

<span>by MIZUTA Takeshi</span>

<i>at 2019-12-11T14:29:52+01:00</i>

</div>

<pre class="commit-message" style="white-space: pre-wrap; margin: 0;">Add config that maintains existing content to ipa-client-install manpage

If --no-ssh and --no-sshd are not specified in ipa-client-install,

/etc/ssh/{ssh, sshd}_config is updated and existing content is maintained..

Reviewed-By: Rob Crittenden <rcritten@redhat.com>

</pre>

</li>

<li>

<strong><a href="https://salsa.debian.org/freeipa-team/freeipa/-/commit/2fc5990a73007bfc1273228efa09755b1db2983f">2fc5990a</a></strong>

<div>

<span>by Christian Heimes</span>

<i>at 2019-12-11T14:30:25+01:00</i>

</div>

<pre class="commit-message" style="white-space: pre-wrap; margin: 0;">Check valid before/after of external certs

verify_server_cert_validity() and verify_ca_cert_validity() now check

the validity time range of external certificates. The check fails if the

certificate is not valid yet or will expire in less than an hour.

Fixes: https://pagure.io/freeipa/issue/8142

Signed-off-by: Christian Heimes <cheimes@redhat.com>

Reviewed-By: Alexander Bokovoy <abokovoy@redhat.com>

</pre>

</li>

<li>

<strong><a href="https://salsa.debian.org/freeipa-team/freeipa/-/commit/6a953733f577f4e065a3bd2fa7c5597950d39f6f">6a953733</a></strong>

<div>

<span>by Christian Heimes</span>

<i>at 2019-12-11T14:31:50+01:00</i>

</div>

<pre class="commit-message" style="white-space: pre-wrap; margin: 0;">Require idstart to be larger than UID_MAX

ipa-server-install fails if idstart is set to 0. There might be

additional issues when idstart overlaps with local users. Ensure that

idstart is larger than UID_MAX or GID_MAX from /etc/login.defs.

Fixes: https://pagure.io/freeipa/issue/8137

Signed-off-by: Christian Heimes <cheimes@redhat.com>

Reviewed-By: Alexander Bokovoy <abokovoy@redhat.com>

</pre>

</li>

<li>

<strong><a href="https://salsa.debian.org/freeipa-team/freeipa/-/commit/b39ee3e1721b6d8234dd209343a8b01dbeaf3d3a">b39ee3e1</a></strong>

<div>

<span>by Christian Heimes</span>

<i>at 2019-12-11T14:32:19+01:00</i>

</div>

<pre class="commit-message" style="white-space: pre-wrap; margin: 0;">Fix service ldap_disable()

Fix comparison bug that prevents ldap_disable to actually disable a

service.

Fixes: https://pagure.io/freeipa/issue/8143

Signed-off-by: Christian Heimes <cheimes@redhat.com>

Reviewed-By: Alexander Bokovoy <abokovoy@redhat.com>

</pre>

</li>

<li>

<strong><a href="https://salsa.debian.org/freeipa-team/freeipa/-/commit/d5dad53e70857b47ab89c8ba78b0d8fe7d8fae0b">d5dad53e</a></strong>

<div>

<span>by François Cami</span>

<i>at 2019-12-11T16:57:03-05:00</i>

</div>

<pre class="commit-message" style="white-space: pre-wrap; margin: 0;">adtrust.py: mention restarting sssd when adding trust agents

After adding a replica to AD trust agent, the warning

message does not mention that restarting sssd is mantatory

for the trust agent to work. Fix the string.

Fixes: https://pagure.io/freeipa/issue/8148

Signed-off-by: François Cami <fcami@redhat.com>

Reviewed-By: Alexander Bokovoy <abokovoy@redhat.com>

</pre>

</li>

<li>

<strong><a href="https://salsa.debian.org/freeipa-team/freeipa/-/commit/c30a0c22681ec4a5d6cdf341a69d144f6ab3a0a8">c30a0c22</a></strong>

<div>

<span>by Christian Heimes</span>

<i>at 2019-12-12T09:58:16+01:00</i>

</div>

<pre class="commit-message" style="white-space: pre-wrap; margin: 0;">Fix get_trusted_domain_object_from_sid()

DomainValidator.get_trusted_domain_object_from_sid() was using

escape_filter_chars() with bytes. The function only works with text.

This caused idview to fail under some circumstances. Reimplement

backslash hex quoting for bytes.

Fixes: https://pagure.io/freeipa/issue/7958

Signed-off-by: Christian Heimes <cheimes@redhat.com>

Reviewed-By: Alexander Bokovoy <abokovoy@redhat.com>

</pre>

</li>

<li>

<strong><a href="https://salsa.debian.org/freeipa-team/freeipa/-/commit/6462cc0f3acca871bb4fcd73e4fe929631b5385c">6462cc0f</a></strong>

<div>

<span>by François Cami</span>

<i>at 2019-12-12T10:01:25+01:00</i>

</div>

<pre class="commit-message" style="white-space: pre-wrap; margin: 0;">ipatests: fix pr-ci templates' indentation

temp_commit.yaml among others have wrong indentation:

expected 4 but found 3.

Fix indentation.

Signed-off-by: François Cami <fcami@redhat.com>

Reviewed-By: Armando Neto <abiagion@redhat.com>

</pre>

</li>

<li>

<strong><a href="https://salsa.debian.org/freeipa-team/freeipa/-/commit/9462e4c4b6e37fd1178f96d6d901db8d115c4cfb">9462e4c4</a></strong>

<div>

<span>by Christian Heimes</span>

<i>at 2019-12-12T13:38:34+01:00</i>

</div>

<pre class="commit-message" style="white-space: pre-wrap; margin: 0;">Fix get_trusted_domain_object_from_sid()

DomainValidator.get_trusted_domain_object_from_sid() was using

escape_filter_chars() with bytes. The function only works with text.

This caused idview to fail under some circumstances. Reimplement

backslash hex quoting for bytes.

Fixes: https://pagure.io/freeipa/issue/7958

Signed-off-by: Christian Heimes <cheimes@redhat.com>

Reviewed-By: Alexander Bokovoy <abokovoy@redhat.com>

</pre>

</li>

<li>

<strong><a href="https://salsa.debian.org/freeipa-team/freeipa/-/commit/62f0bd0bb8194b0998fca0e582725a6f63bc9154">62f0bd0b</a></strong>

<div>

<span>by François Cami</span>

<i>at 2019-12-12T11:39:32-05:00</i>

</div>

<pre class="commit-message" style="white-space: pre-wrap; margin: 0;">adtrust.py: mention restarting sssd when adding trust agents

After adding a replica to AD trust agent, the warning

message does not mention that restarting sssd is mantatory

for the trust agent to work. Fix the string.

Fixes: https://pagure.io/freeipa/issue/8148

Signed-off-by: François Cami <fcami@redhat.com>

Reviewed-By: Alexander Bokovoy <abokovoy@redhat.com>

Reviewed-By: Alexander Bokovoy <abokovoy@redhat.com>

Reviewed-By: Florence Blanc-Renaud <flo@redhat.com>

</pre>

</li>

<li>

<strong><a href="https://salsa.debian.org/freeipa-team/freeipa/-/commit/dd7fdaa77d00042d44bec23291f0d0be36bead5e">dd7fdaa7</a></strong>

<div>

<span>by Alexander Bokovoy</span>

<i>at 2019-12-12T18:24:44+01:00</i>

</div>

<pre class="commit-message" style="white-space: pre-wrap; margin: 0;">DNS install check: allow overlapping zone to be from the master itself

When re-running `ipa-server-install --setup-dns` on already installed

server, we do not get to the check of being already installed because

DNS zone overlap forces us to fail earlier.

Change exception returned for this case from check_zone_overlap() to

return structured information that allows to understand whether we are

finding a conflict with ourselves.

Use the returned information to only fail DNS check at this point if DNS

zone overlap is generated by a different name server than ourselves.

Reviewed-By: Christian Heimes <cheimes@redhat.com>

</pre>

</li>

<li>

<strong><a href="https://salsa.debian.org/freeipa-team/freeipa/-/commit/d070c5957791d19ece22082dbd69a319975a4b54">d070c595</a></strong>

<div>

<span>by Thomas Woerner</span>

<i>at 2019-12-12T18:24:44+01:00</i>

</div>

<pre class="commit-message" style="white-space: pre-wrap; margin: 0;">Test repeated installation of the primary with DNS enabled and domain set

Test that a repeated installation of the primary with DNS enabled

will lead to a already installed message and not in "DNS zone X

already exists in DNS" in check_zone_overlap.

The error is only occuring if domain is set explicitly in the command

line installer as check_zone_overlap is used in the domain_name validator..

Reviewed-By: Christian Heimes <cheimes@redhat.com>

</pre>

</li>

<li>

<strong><a href="https://salsa.debian.org/freeipa-team/freeipa/-/commit/a2820bbbc3789cde2ecb9ea3eae91c1bd6f248ee">a2820bbb</a></strong>

<div>

<span>by Thomas Woerner</span>

<i>at 2019-12-12T18:24:44+01:00</i>

</div>

<pre class="commit-message" style="white-space: pre-wrap; margin: 0;">Enable TestInstallMasterDNSRepeatedly in prci_definitions

For fedora-latest, pki-fedora, fedora-previous and fedora-rawhide

Reviewed-By: Christian Heimes <cheimes@redhat.com>

</pre>

</li>

<li>

<strong><a href="https://salsa.debian.org/freeipa-team/freeipa/-/commit/f0d12b7f1b06af8ad369041b64dc763441a1a44a">f0d12b7f</a></strong>

<div>

<span>by Sumit Bose</span>

<i>at 2019-12-13T03:49:47+02:00</i>

</div>

<pre class="commit-message" style="white-space: pre-wrap; margin: 0;">ipa-kdb: Remove keys if password auth is disabled

With commit 15ff9c8 a check was removed and as a result Kerberos keys

are unconditionally added to the user entry struct if they are

available. As a result the password related pre-authentication methods

PA-ENC-TIMESTAMP and PA-ETYPE-INFO2 are advertised in the NEEDED_PREAUTH

reply to an AS_REQ.

With respect to the KDC policies this does not matter much because if

password authentication is disabled for the given principal the policy

will reject the AS_REQ if the user tries password authentication. This

is possible because with commit 15ff9c8 kinit will ask for a password if

called without any additional options (e.g. armor ticket or PKINIT

identity). Before 15ff9c8 was committed it just failed with 'kinit:

Pre-authentication failed: Invalid argument while getting initial

credentials' because no suitable pre-authentication method was

available. This is the same behavior as if no password was set for the

given principal.

But with this change SSSD fails to detect the available authentication

types for the given principal properly. As described in

https://docs.pagure.org/SSSD.sssd/design_pages/prompting_for_multiple_authentication_types.html

SSSD uses the MIT Kerberos responder interface to determine the

available authentication methods for the principal and does not check

the ipaUserAuthType LDAP attribute. As a result if a user has 2FA (otp)

authentication configured, which implies that a password is set as the

first factor, the responder interface will always indicate that password

authentication is available even if only opt is enabled for the user.

In this case SSSD will use a prompting which indicates that the second

factor might be optional. Additionally if prompting the user directly is

not possible (e.g. ssh with ChallengeResponseAuthentication /

KbdInteractiveAuthentication disabled) the single string entered by the

user will always be assumed as a password and not as a combination of

password and otp-token value. As a consequence authentication will

always fail because password authentication is disabled for the user and

since SSSD does not do try-and-error 2FA is not tried.

This patch add back the check so that if password authentication is not

available for the principal the Kerberos will not be added to the entry

struct and the KDC will not advertise PA-ENC-TIMESTAMP or

PA-ETYPE-INFO2. If you think this is wrong and the behavior added by

15ff9c8 should be preferred SSSD handing of the available authentication

types must be extended to read ipaUserAuthType as well to restore the

user experience with respect to 2FA prompting and ssh behavior.

Related to https://pagure.io/freeipa/issue/8001

Reviewed-By: Robbie Harwood <rharwood@redhat.com>

Reviewed-By: Alexander Bokovoy <abokovoy@redhat.com>

</pre>

</li>

<li>

<strong><a href="https://salsa.debian.org/freeipa-team/freeipa/-/commit/4cf01e72ad2ab67229a7122aee24f6c4ebd40604">4cf01e72</a></strong>

<div>

<span>by Alexander Bokovoy</span>

<i>at 2019-12-13T03:52:00+02:00</i>

</div>

<pre class="commit-message" style="white-space: pre-wrap; margin: 0;">DNS install check: allow overlapping zone to be from the master itself

When re-running `ipa-server-install --setup-dns` on already installed

server, we do not get to the check of being already installed because

DNS zone overlap forces us to fail earlier.

Change exception returned for this case from check_zone_overlap() to

return structured information that allows to understand whether we are

finding a conflict with ourselves.

Use the returned information to only fail DNS check at this point if DNS

zone overlap is generated by a different name server than ourselves.

Reviewed-By: Christian Heimes <cheimes@redhat.com>

Reviewed-By: Thomas Woerner <twoerner@redhat.com>

Reviewed-By: Christian Heimes <cheimes@redhat.com>

</pre>

</li>

<li>

<strong><a href="https://salsa.debian.org/freeipa-team/freeipa/-/commit/ba28073c19cf28d48911bf384da0257a27319a67">ba28073c</a></strong>

<div>

<span>by Thomas Woerner</span>

<i>at 2019-12-13T03:52:00+02:00</i>

</div>

<pre class="commit-message" style="white-space: pre-wrap; margin: 0;">Test repeated installation of the primary with DNS enabled and domain set

Test that a repeated installation of the primary with DNS enabled

will lead to a already installed message and not in "DNS zone X

already exists in DNS" in check_zone_overlap.

The error is only occuring if domain is set explicitly in the command

line installer as check_zone_overlap is used in the domain_name validator..

Reviewed-By: Christian Heimes <cheimes@redhat.com>

Reviewed-By: Thomas Woerner <twoerner@redhat.com>

Reviewed-By: Christian Heimes <cheimes@redhat.com>

</pre>

</li>

<li>

<strong><a href="https://salsa.debian.org/freeipa-team/freeipa/-/commit/71ea25c60b2de3888a6b66dbfc8afc2c7882687a">71ea25c6</a></strong>

<div>

<span>by Thomas Woerner</span>

<i>at 2019-12-13T03:52:00+02:00</i>

</div>

<pre class="commit-message" style="white-space: pre-wrap; margin: 0;">Enable TestInstallMasterDNSRepeatedly in prci_definitions

For fedora-latest, pki-fedora, fedora-previous and fedora-rawhide

Reviewed-By: Christian Heimes <cheimes@redhat.com>

Reviewed-By: Thomas Woerner <twoerner@redhat.com>

Reviewed-By: Christian Heimes <cheimes@redhat.com>

</pre>

</li>

<li>

<strong><a href="https://salsa.debian.org/freeipa-team/freeipa/-/commit/c8f1ed121308901d9edfe038fc2c1be83cc3eaf6">c8f1ed12</a></strong>

<div>

<span>by François Cami</span>

<i>at 2019-12-13T04:47:52+02:00</i>

</div>

<pre class="commit-message" style="white-space: pre-wrap; margin: 0;">ipatests/test_nfs.py: wait before umount

umount calls including in cleanup do not wait.

The test failed once with:

"umount.nfs4: /home: device is busy"

which looks like a leftover open file descriptor.

Add wait periods before umount.

Fixes: https://pagure.io/freeipa/issue/8144

Signed-off-by: François Cami <fcami@redhat.com>

Reviewed-By: Thomas Woerner <twoerner@redhat.com>

Reviewed-By: Alexander Bokovoy <abokovoy@redhat.com>

</pre>

</li>

<li>

<strong><a href="https://salsa.debian.org/freeipa-team/freeipa/-/commit/aaf8fccbb65e82d33c6e3675f3195163feb8af34">aaf8fccb</a></strong>

<div>

<span>by Sumit Bose</span>

<i>at 2019-12-13T11:21:17+01:00</i>

</div>

<pre class="commit-message" style="white-space: pre-wrap; margin: 0;">ipa-kdb: Remove keys if password auth is disabled

With commit 15ff9c8 a check was removed and as a result Kerberos keys

are unconditionally added to the user entry struct if they are

available. As a result the password related pre-authentication methods

PA-ENC-TIMESTAMP and PA-ETYPE-INFO2 are advertised in the NEEDED_PREAUTH

reply to an AS_REQ.

With respect to the KDC policies this does not matter much because if

password authentication is disabled for the given principal the policy

will reject the AS_REQ if the user tries password authentication. This

is possible because with commit 15ff9c8 kinit will ask for a password if

called without any additional options (e.g. armor ticket or PKINIT

identity). Before 15ff9c8 was committed it just failed with 'kinit:

Pre-authentication failed: Invalid argument while getting initial

credentials' because no suitable pre-authentication method was

available. This is the same behavior as if no password was set for the

given principal.

But with this change SSSD fails to detect the available authentication

types for the given principal properly. As described in

https://docs.pagure.org/SSSD.sssd/design_pages/prompting_for_multiple_authentication_types.html

SSSD uses the MIT Kerberos responder interface to determine the

available authentication methods for the principal and does not check

the ipaUserAuthType LDAP attribute. As a result if a user has 2FA (otp)

authentication configured, which implies that a password is set as the

first factor, the responder interface will always indicate that password

authentication is available even if only opt is enabled for the user.

In this case SSSD will use a prompting which indicates that the second

factor might be optional. Additionally if prompting the user directly is

not possible (e.g. ssh with ChallengeResponseAuthentication /

KbdInteractiveAuthentication disabled) the single string entered by the

user will always be assumed as a password and not as a combination of

password and otp-token value. As a consequence authentication will

always fail because password authentication is disabled for the user and

since SSSD does not do try-and-error 2FA is not tried.

This patch add back the check so that if password authentication is not

available for the principal the Kerberos will not be added to the entry

struct and the KDC will not advertise PA-ENC-TIMESTAMP or

PA-ETYPE-INFO2. If you think this is wrong and the behavior added by

15ff9c8 should be preferred SSSD handing of the available authentication

types must be extended to read ipaUserAuthType as well to restore the

user experience with respect to 2FA prompting and ssh behavior.

Related to https://pagure.io/freeipa/issue/8001

Reviewed-By: Alexander Bokovoy <abokovoy@redhat.com>

</pre>

</li>

<li>

<strong><a href="https://salsa.debian.org/freeipa-team/freeipa/-/commit/3d402b69eb484a14944ccc23fcf945963977e348">3d402b69</a></strong>

<div>

<span>by Alexander Bokovoy</span>

<i>at 2019-12-13T17:33:33+02:00</i>

</div>

<pre class="commit-message" style="white-space: pre-wrap; margin: 0;">ipa-client-samba: map domain sid of trust domain properly for display

Trusted domain object in LDAP uses ipaNTTrustedDomainSID attribute to

store SID of the trusted domain while IPA domain itself uses

ipaNTSecurityIdentifier. When mapping the values for printing out a

summary table, use the right mapping according to the object.

Fixes: https://pagure.io/freeipa/issue/8149

Signed-off-by: Alexander Bokovoy <abokovoy@redhat.com>

Reviewed-By: Rob Crittenden <rcritten@redhat.com>

</pre>

</li>

<li>

<strong><a href="https://salsa.debian.org/freeipa-team/freeipa/-/commit/c00ec940db5ec759e152a646a7ee10f73f31bdfb">c00ec940</a></strong>

<div>

<span>by François Cami</span>

<i>at 2019-12-13T17:46:27+02:00</i>

</div>

<pre class="commit-message" style="white-space: pre-wrap; margin: 0;">ipatests/test_nfs.py: wait before umount

umount calls including in cleanup do not wait.

The test failed once with:

"umount.nfs4: /home: device is busy"

which looks like a leftover open file descriptor.

Add wait periods before umount.

Fixes: https://pagure.io/freeipa/issue/8144

Signed-off-by: François Cami <fcami@redhat.com>

Reviewed-By: Thomas Woerner <twoerner@redhat.com>

</pre>

</li>

<li>

<strong><a href="https://salsa.debian.org/freeipa-team/freeipa/-/commit/d7a2c71742c62ce87d04b78542314b51247ba54c">d7a2c717</a></strong>

<div>

<span>by François Cami</span>

<i>at 2019-12-13T17:47:43+02:00</i>

</div>

<pre class="commit-message" style="white-space: pre-wrap; margin: 0;">ipatests: fix pr-ci templates' indentation

temp_commit.yaml among others have wrong indentation:

expected 4 but found 3.

Fix indentation.

Signed-off-by: François Cami <fcami@redhat.com>

Reviewed-By: Armando Neto <abiagion@redhat.com>

Reviewed-By: Armando Neto <abiagion@redhat.com>

</pre>

</li>

<li>

<strong><a href="https://salsa.debian.org/freeipa-team/freeipa/-/commit/8a522bed6bd86ad7ac05ca44779145fb1aeabf3d">8a522bed</a></strong>

<div>

<span>by Florence Blanc-Renaud</span>

<i>at 2019-12-13T17:49:22+02:00</i>

</div>

<pre class="commit-message" style="white-space: pre-wrap; margin: 0;">ipa-cacert-manage man page: fix indentation

Fix the indentation of the SYNPOSIS section

Fixes: https://pagure.io/freeipa/issue/8138

Reviewed-By: Francois Cami <fcami@redhat.com>

</pre>

</li>

<li>

<strong><a href="https://salsa.debian.org/freeipa-team/freeipa/-/commit/e1d11aa6b1b03b57adf8deba681aa0fa25861c5e">e1d11aa6</a></strong>

<div>

<span>by Alexander Bokovoy</span>

<i>at 2019-12-13T20:24:56+02:00</i>

</div>

<pre class="commit-message" style="white-space: pre-wrap; margin: 0;">ipa-client-samba: map domain sid of trust domain properly for display

Trusted domain object in LDAP uses ipaNTTrustedDomainSID attribute to

store SID of the trusted domain while IPA domain itself uses

ipaNTSecurityIdentifier. When mapping the values for printing out a

summary table, use the right mapping according to the object.

Fixes: https://pagure.io/freeipa/issue/8149

Signed-off-by: Alexander Bokovoy <abokovoy@redhat.com>

Reviewed-By: Rob Crittenden <rcritten@redhat.com>

</pre>

</li>

<li>

<strong><a href="https://salsa.debian.org/freeipa-team/freeipa/-/commit/668a6410373c39508e5e4c95f11c9e62efa0135c">668a6410</a></strong>

<div>

<span>by Florence Blanc-Renaud</span>

<i>at 2019-12-14T14:18:19+02:00</i>

</div>

<pre class="commit-message" style="white-space: pre-wrap; margin: 0;">ipa-cacert-manage man page: fix indentation

Fix the indentation of the SYNPOSIS section

Fixes: https://pagure.io/freeipa/issue/8138

Reviewed-By: Francois Cami <fcami@redhat.com>

</pre>

</li>

<li>

<strong><a href="https://salsa.debian.org/freeipa-team/freeipa/-/commit/0926cb87da4d22b4f4d649a97b293cdff3cc78e8">0926cb87</a></strong>

<div>

<span>by Armando Neto</span>

<i>at 2019-12-14T14:19:21+02:00</i>

</div>

<pre class="commit-message" style="white-space: pre-wrap; margin: 0;">ipatests: Improve test_commands reliability

Sometimes ssh command gets stuck, running manually without passing a command

to be executed this is returned:

```

$ ssh -o PasswordAuthentication=no -o IdentitiesOnly=yes \

  -o StrictHostKeyChecking=no -l testsshuser \

  -i /tmp/tmp.rQIT3KYScX master.ipa.test

Could not chdir to home directory /home/testsshuser: No such file or directory

```

This commit forces the homedir creation and adds a timeout to ssh.

Signed-off-by: Armando Neto <abiagion@redhat.com>

Reviewed-By: Alexander Bokovoy <abokovoy@redhat.com>

</pre>

</li>

<li>

<strong><a href="https://salsa.debian.org/freeipa-team/freeipa/-/commit/df59f09eed698b76a9089614a170c771c9dfb7b6">df59f09e</a></strong>

<div>

<span>by Dinesh Prasanth M K</span>

<i>at 2019-12-14T14:20:34+02:00</i>

</div>

<pre class="commit-message" style="white-space: pre-wrap; margin: 0;">Adding auto COPR builds

Signed-off-by: Dinesh Prasanth M K <dmoluguw@redhat.com>

Reviewed-By: Alexander Bokovoy <abokovoy@redhat.com>

</pre>

</li>

<li>

<strong><a href="https://salsa.debian.org/freeipa-team/freeipa/-/commit/60c12a993110150f000a34888b7c43aa7db5ac30">60c12a99</a></strong>

<div>

<span>by Alexander Bokovoy</span>

<i>at 2019-12-14T14:41:40+02:00</i>

</div>

<pre class="commit-message" style="white-space: pre-wrap; margin: 0;">Become FreeIPA 4.8.4

</pre>

</li>

<li>

<strong><a href="https://salsa.debian.org/freeipa-team/freeipa/-/commit/5431dd9706253ea7cd75f62f5cd387bbf25ac878">5431dd97</a></strong>

<div>

<span>by Armando Neto</span>

<i>at 2019-12-14T11:52:38-03:00</i>

</div>

<pre class="commit-message" style="white-space: pre-wrap; margin: 0;">ipatests: Improve test_commands reliability

Sometimes ssh command gets stuck, running manually without passing a command

to be executed this is returned:

```

$ ssh -o PasswordAuthentication=no -o IdentitiesOnly=yes \

  -o StrictHostKeyChecking=no -l testsshuser \

  -i /tmp/tmp.rQIT3KYScX master.ipa.test

Could not chdir to home directory /home/testsshuser: No such file or directory

```

This commit forces the homedir creation and adds a timeout to ssh.

Signed-off-by: Armando Neto <abiagion@redhat.com>

Reviewed-By: Alexander Bokovoy <abokovoy@redhat.com>

</pre>

</li>

<li>

<strong><a href="https://salsa.debian.org/freeipa-team/freeipa/-/commit/21fb038c9bdfa05fa96ac2a0fc6f4cc1e74ce916">21fb038c</a></strong>

<div>

<span>by Dinesh Prasanth M K</span>

<i>at 2019-12-15T13:27:22+02:00</i>

</div>

<pre class="commit-message" style="white-space: pre-wrap; margin: 0;">Adding auto COPR builds

Signed-off-by: Dinesh Prasanth M K <dmoluguw@redhat.com>

Reviewed-By: Alexander Bokovoy <abokovoy@redhat.com>

</pre>

</li>

<li>

<strong><a href="https://salsa.debian.org/freeipa-team/freeipa/-/commit/f80a6548ad8d0d21219ce26d3e819f7ad5f3663e">f80a6548</a></strong>

<div>

<span>by Thomas Woerner</span>

<i>at 2019-12-16T18:02:22+01:00</i>

</div>

<pre class="commit-message" style="white-space: pre-wrap; margin: 0;">DNS install check: Fix overlapping DNS zone from the master itself

The change to allow overlapping zone to be from the master itself has

introduced two issues: The check for the master itself should only executed

if options.force and options.allow_zone_overlap are both false and the

reverse zone check later on was still handling ValueError instead of

dnsutil.DNSZoneAlreadyExists.

Both issues have been fixed and the deployment with existing name servers

is properly working again.

Fixes: https://pagure.io/freeipa/issue/8150

Signed-off-by: Thomas Woerner <twoerner@redhat.com>

Reviewed-By: Florence Blanc-Renaud <frenaud@redhat.com>

</pre>

</li>

<li>

<strong><a href="https://salsa.debian.org/freeipa-team/freeipa/-/commit/ef1b8d0f49d729e0a04d839916772406a9b222f0">ef1b8d0f</a></strong>

<div>

<span>by Armando Neto</span>

<i>at 2019-12-16T17:17:37-03:00</i>

</div>

<pre class="commit-message" style="white-space: pre-wrap; margin: 0;">ipatests: Skip test_sss_ssh_authorizedkeys method

Temporarily skipping test due to unknown time-outs happening regularly.

Issue: https://pagure.io/freeipa/issue/8151

Signed-off-by: Armando Neto <abiagion@redhat.com>

Reviewed-By: Francisco Trivino <ftrivino@redhat.com>

</pre>

</li>

<li>

<strong><a href="https://salsa.debian.org/freeipa-team/freeipa/-/commit/2c2cef7063315766d893b275185b422be3f3c019">2c2cef70</a></strong>

<div>

<span>by Thomas Woerner</span>

<i>at 2019-12-16T21:37:17+01:00</i>

</div>

<pre class="commit-message" style="white-space: pre-wrap; margin: 0;">DNS install check: Fix overlapping DNS zone from the master itself

The change to allow overlapping zone to be from the master itself has

introduced two issues: The check for the master itself should only executed

if options.force and options.allow_zone_overlap are both false and the

reverse zone check later on was still handling ValueError instead of

dnsutil.DNSZoneAlreadyExists.

Both issues have been fixed and the deployment with existing name servers

is properly working again.

Fixes: https://pagure.io/freeipa/issue/8150

Signed-off-by: Thomas Woerner <twoerner@redhat.com>

Reviewed-By: Florence Blanc-Renaud <frenaud@redhat.com>

</pre>

</li>

<li>

<strong><a href="https://salsa.debian.org/freeipa-team/freeipa/-/commit/011734279c37ca1e9a013694525563b4e77ace78">01173427</a></strong>

<div>

<span>by Armando Neto</span>

<i>at 2019-12-16T18:31:03-03:00</i>

</div>

<pre class="commit-message" style="white-space: pre-wrap; margin: 0;">ipatests: Skip test_sss_ssh_authorizedkeys method

Temporarily skipping test due to unknown time-outs happening regularly.

Issue: https://pagure.io/freeipa/issue/8151

Signed-off-by: Armando Neto <abiagion@redhat.com>

Reviewed-By: Francisco Trivino <ftrivino@redhat.com>

</pre>

</li>

<li>

<strong><a href="https://salsa.debian.org/freeipa-team/freeipa/-/commit/0162f3aafd63c07f100ee8146a39dab05acbae7d">0162f3aa</a></strong>

<div>

<span>by Anuja More</span>

<i>at 2019-12-17T08:29:49+01:00</i>

</div>

<pre class="commit-message" style="white-space: pre-wrap; margin: 0;">ipatests: filter_users should be applied correctly.

Added test which checks that no look up should

be added in data provider when users are added in

filter_users for doamin provider.

Related Ticket:

https://pagure.io/SSSD/sssd/issue/3978

Signed-off-by: Anuja More <amore@redhat.com>

Reviewed-By: Sergey Orlov <sorlov@redhat.com>

</pre>

</li>

<li>

<strong><a href="https://salsa.debian.org/freeipa-team/freeipa/-/commit/aa9340cfdb5408176e8274aeb9aeba9132b5031d">aa9340cf</a></strong>

<div>

<span>by Fraser Tweedale</span>

<i>at 2019-12-17T09:18:37+01:00</i>

</div>

<pre class="commit-message" style="white-space: pre-wrap; margin: 0;">removed unused function export_pem_p12

Reviewed-By: Florence Blanc-Renaud <flo@redhat.com>

</pre>

</li>

<li>

<strong><a href="https://salsa.debian.org/freeipa-team/freeipa/-/commit/3d779b492d0a78361e3566ac08781ff4a62ad40e">3d779b49</a></strong>

<div>

<span>by Fraser Tweedale</span>

<i>at 2019-12-17T09:20:43+01:00</i>

</div>

<pre class="commit-message" style="white-space: pre-wrap; margin: 0;">ipatests: assert_error: allow regexp match

Enhance the assert_error subroutine to provide regular expression

matching against the command's stderr output, in additional to

substring match.

Part of: https://pagure.io/freeipa/issue/8142

Reviewed-By: Florence Blanc-Renaud <flo@redhat.com>

</pre>

</li>

<li>

<strong><a href="https://salsa.debian.org/freeipa-team/freeipa/-/commit/c4b0cf4d631d08ba217072ae5cf3b8e6317b222e">c4b0cf4d</a></strong>

<div>

<span>by Fraser Tweedale</span>

<i>at 2019-12-17T09:20:43+01:00</i>

</div>

<pre class="commit-message" style="white-space: pre-wrap; margin: 0;">Fix test regressions caused by certificate validation changes

Some integration tests (that were enabled in nightly CI but not

PR-CI) are failing due to changes in the error messages.  Update the

error message assertions to get these tests going again.

Part of: https://pagure.io/freeipa/issue/8142

Reviewed-By: Florence Blanc-Renaud <flo@redhat.com>

</pre>

</li>

<li>

<strong><a href="https://salsa.debian.org/freeipa-team/freeipa/-/commit/44fca092ead0316084d68917032e28e5cbb20ad4">44fca092</a></strong>

<div>

<span>by Fraser Tweedale</span>

<i>at 2019-12-17T14:37:20+01:00</i>

</div>

<pre class="commit-message" style="white-space: pre-wrap; margin: 0;">ipatests: assert_error: allow regexp match

Enhance the assert_error subroutine to provide regular expression

matching against the command's stderr output, in additional to

substring match.

Part of: https://pagure.io/freeipa/issue/8142

</pre>

</li>

<li>

<strong><a href="https://salsa.debian.org/freeipa-team/freeipa/-/commit/d833b5ba607f79a495e0245722e8ccef7cefbd7a">d833b5ba</a></strong>

<div>

<span>by Fraser Tweedale</span>

<i>at 2019-12-17T14:37:20+01:00</i>

</div>

<pre class="commit-message" style="white-space: pre-wrap; margin: 0;">Fix test regressions caused by certificate validation changes

Some integration tests (that were enabled in nightly CI but not

PR-CI) are failing due to changes in the error messages.  Update the

error message assertions to get these tests going again.

Part of: https://pagure.io/freeipa/issue/8142

</pre>

</li>

<li>

<strong><a href="https://salsa.debian.org/freeipa-team/freeipa/-/commit/71a4d574bd94eda3cb7490a2254ce764fe9bcdb1">71a4d574</a></strong>

<div>

<span>by Anuja More</span>

<i>at 2019-12-17T15:19:05+01:00</i>

</div>

<pre class="commit-message" style="white-space: pre-wrap; margin: 0;">ipatests: filter_users should be applied correctly.

Added test which checks that no look up should

be added in data provider when users are added in

filter_users for doamin provider.

Related Ticket:

https://pagure.io/SSSD/sssd/issue/3978

Signed-off-by: Anuja More <amore@redhat.com>

Reviewed-By: Sergey Orlov <sorlov@redhat.com>

</pre>

</li>

<li>

<strong><a href="https://salsa.debian.org/freeipa-team/freeipa/-/commit/775bbb919ac9967fe65ba2982e79078810849527">775bbb91</a></strong>

<div>

<span>by Gaurav Talreja</span>

<i>at 2019-12-17T15:53:31-03:00</i>

</div>

<pre class="commit-message" style="white-space: pre-wrap; margin: 0;">prci: bump template version for nightly_rawhide

New template is based on Fedora-Cloud-Base-Vagrant-Rawhide-20191201.n.0.x86_64.vagrant-libvirt.box

Template used : https://app.vagrantup.com/freeipa/boxes/ci-master-frawhide/versions/0.0.10

Tested at : https://github.com/freeipa-pr-ci2/freeipa/pull/94

Signed-off-by: Gaurav Talreja <gtalreja@redhat.com>

Reviewed-By: Armando Neto <abiagion@redhat.com>

</pre>

</li>

<li>

<strong><a href="https://salsa.debian.org/freeipa-team/freeipa/-/commit/2ed5eca762e136a1db9d3c20ec068d562b215699">2ed5eca7</a></strong>

<div>

<span>by Alexander Bokovoy</span>

<i>at 2019-12-18T14:16:33+01:00</i>

</div>

<pre class="commit-message" style="white-space: pre-wrap; margin: 0;">Reset per-indicator Kerberos policy

When 'ipa krbtpolicy-reset' is called, we need to reset all policy

settings, including per-indicator ones. Per-indicator policy uses

subtyped attributes (foo;bar), the current krbtpolicy-reset code does

not deal with those.

Add support for per-indicator policy reset. It is a bit tricky, as we

need to drop the values to defaults but avoid adding non-per-indicator

variants of the same attributes.

Add test to check that policy has been resetted by observing a new

Kerberos TGT for the user after its policy reset.

Fixes: https://pagure.io/freeipa/issue/8153

Signed-off-by: Alexander Bokovoy <abokovoy@redhat.com>

Reviewed-By: Christian Heimes <cheimes@redhat.com>

</pre>

</li>

<li>

<strong><a href="https://salsa.debian.org/freeipa-team/freeipa/-/commit/a8b52eaf3cf56c90e3d94fdef0b9e426052634ea">a8b52eaf</a></strong>

<div>

<span>by Alexander Bokovoy</span>

<i>at 2019-12-18T18:44:30+01:00</i>

</div>

<pre class="commit-message" style="white-space: pre-wrap; margin: 0;">Reset per-indicator Kerberos policy

When 'ipa krbtpolicy-reset' is called, we need to reset all policy

settings, including per-indicator ones. Per-indicator policy uses

subtyped attributes (foo;bar), the current krbtpolicy-reset code does

not deal with those.

Add support for per-indicator policy reset. It is a bit tricky, as we

need to drop the values to defaults but avoid adding non-per-indicator

variants of the same attributes.

Add test to check that policy has been resetted by observing a new

Kerberos TGT for the user after its policy reset.

Fixes: https://pagure.io/freeipa/issue/8153

Signed-off-by: Alexander Bokovoy <abokovoy@redhat.com>

</pre>

</li>

<li>

<strong><a href="https://salsa.debian.org/freeipa-team/freeipa/-/commit/d7b3aafc638353880045faf41b0fb647d174f3e6">d7b3aafc</a></strong>

<div>

<span>by Jayesh Garg</span>

<i>at 2019-12-18T18:48:36+01:00</i>

</div>

<pre class="commit-message" style="white-space: pre-wrap; margin: 0;">Test if ipactl starts services stopped by systemctl

This will first check if all services are running then it will stop

few service. After that it will restart all services and then check

the status and pid of services.It will also compare pid after ipactl

start and restart in case of start it will remain unchanged on the

other hand in case of restart it will change.

Signed-off-by: Jayesh Garg <jgarg@redhat.com>

Reviewed-By: Christian Heimes <cheimes@redhat.com>

Reviewed-By: Florence Blanc-Renaud <flo@redhat.com>

Reviewed-By: Mohammad Rizwan Yusuf <myusuf@redhat.com>

</pre>

</li>

<li>

<strong><a href="https://salsa.debian.org/freeipa-team/freeipa/-/commit/acbd90d9fb16e76964d36b3d6e8e542a30631172">acbd90d9</a></strong>

<div>

<span>by Jayesh Garg</span>

<i>at 2019-12-19T14:47:16+01:00</i>

</div>

<pre class="commit-message" style="white-space: pre-wrap; margin: 0;">Test if ipactl starts services stopped by systemctl

This will first check if all services are running then it will stop

few service. After that it will restart all services and then check

the status and pid of services.It will also compare pid after ipactl

start and restart in case of start it will remain unchanged on the

other hand in case of restart it will change.

Signed-off-by: Jayesh Garg <jgarg@redhat.com>

</pre>

</li>

<li>

<strong><a href="https://salsa.debian.org/freeipa-team/freeipa/-/commit/2a2cc961666af1e41e127f043d571a93da800ef5">2a2cc961</a></strong>

<div>

<span>by Fraser Tweedale</span>

<i>at 2019-12-19T15:50:44+01:00</i>

</div>

<pre class="commit-message" style="white-space: pre-wrap; margin: 0;">ipatests: add test for certinstall with notBefore in the future

Part of: https://pagure.io/freeipa/issue/8142

Reviewed-By: Florence Blanc-Renaud <flo@redhat.com>

</pre>

</li>

<li>

<strong><a href="https://salsa.debian.org/freeipa-team/freeipa/-/commit/25310105da0540eb84b6d0ee4c30649750583703">25310105</a></strong>

<div>

<span>by Fraser Tweedale</span>

<i>at 2019-12-20T14:47:54+11:00</i>

</div>

<pre class="commit-message" style="white-space: pre-wrap; margin: 0;">ipatests: add test for certinstall with notBefore in the future

Part of: https://pagure.io/freeipa/issue/8142

Reviewed-By: Florence Blanc-Renaud <frenaud@redhat.com>

</pre>

</li>

<li>

<strong><a href="https://salsa.debian.org/freeipa-team/freeipa/-/commit/09a5192f252635d58b205946384cb29c033441f6">09a5192f</a></strong>

<div>

<span>by Jayesh</span>

<i>at 2019-12-20T16:17:42+02:00</i>

</div>

<pre class="commit-message" style="white-space: pre-wrap; margin: 0;">Test ipa-getkeytab quiet mode, encryptons

This will first check ipa-getkeytab quiet mode,

then it will check ipa-getkeytab server name,

then it will check different type of encryptions

Signed-off-by: Jayesh <jgarg@redhat.com>

Reviewed-By: Alexander Bokovoy <abokovoy@redhat.com>

</pre>

</li>

<li>

<strong><a href="https://salsa.debian.org/freeipa-team/freeipa/-/commit/83ec9296a906d10b44c80d6534b94f03b443b2e6">83ec9296</a></strong>

<div>

<span>by Anuja More</span>

<i>at 2019-12-20T16:29:30+02:00</i>

</div>

<pre class="commit-message" style="white-space: pre-wrap; margin: 0;">Add integration test for otp kerberos ticket policy.

This also exercises the Authentication Indicator Kerberos ticket

policy options by testing a otp indicator type.

Related: https://pagure.io/freeipa/issue/8001

Signed-off-by: Anuja More <amore@redhat.com>

Reviewed-By: Alexander Bokovoy <abokovoy@redhat.com>

</pre>

</li>

<li>

<strong><a href="https://salsa.debian.org/freeipa-team/freeipa/-/commit/27a6920d50e5d63afbfc198e64885a2cd3fadc48">27a6920d</a></strong>

<div>

<span>by Anuja More</span>

<i>at 2019-12-20T18:47:55+02:00</i>

</div>

<pre class="commit-message" style="white-space: pre-wrap; margin: 0;">Add integration test for otp kerberos ticket policy.

This also exercises the Authentication Indicator Kerberos ticket

policy options by testing a otp indicator type.

Related: https://pagure.io/freeipa/issue/8001

Signed-off-by: Anuja More <amore@redhat.com>

Reviewed-By: Alexander Bokovoy <abokovoy@redhat.com>

</pre>

</li>

<li>

<strong><a href="https://salsa.debian.org/freeipa-team/freeipa/-/commit/631054a1c9aff849378278f99722a8711d6bacf3">631054a1</a></strong>

<div>

<span>by Jayesh</span>

<i>at 2019-12-21T21:39:28+02:00</i>

</div>

<pre class="commit-message" style="white-space: pre-wrap; margin: 0;">Test ipa-getkeytab quiet mode, encryptons

This will first check ipa-getkeytab quiet mode,

then it will check ipa-getkeytab server name,

then it will check different type of encryptions

Signed-off-by: Jayesh <jgarg@redhat.com>

Reviewed-By: Alexander Bokovoy <abokovoy@redhat.com>

</pre>

</li>

<li>

<strong><a href="https://salsa.debian.org/freeipa-team/freeipa/-/commit/bfc998eae2c8dab93e8d6f6e2ae26f8f857e0021">bfc998ea</a></strong>

<div>

<span>by Anuja More</span>

<i>at 2019-12-23T10:21:25+01:00</i>

</div>

<pre class="commit-message" style="white-space: pre-wrap; margin: 0;">Fix fedora version for xfail for sssd test

Test was failing in nightly_PR for ipa-4.7

As https://pagure.io/SSSD/sssd/issue/3978 is not available on

fedora-29

Signed-off-by: Anuja More <amore@redhat.com>

Reviewed-By: Florence Blanc-Renaud <flo@redhat.com>

</pre>

</li>

<li>

<strong><a href="https://salsa.debian.org/freeipa-team/freeipa/-/commit/ad3bf5042d35b2d16646170b09489fb964fbdb93">ad3bf504</a></strong>

<div>

<span>by Jayesh</span>

<i>at 2019-12-23T12:56:30+01:00</i>

</div>

<pre class="commit-message" style="white-space: pre-wrap; margin: 0;">Test for ipa-ca-install on replica

Test on replica for ipa-ca-install with options

--no-host-dns,--skip-schema-check,done changes in

ipatests/pytest_ipa/integration/tasks.py because

wants to pass few arguments to install_ca method

Signed-off-by: Jayesh <jgarg@redhat.com>

Reviewed-By: Florence Blanc-Renaud <flo@redhat.com>

Reviewed-By: Fraser Tweedale <ftweedal@redhat.com>

</pre>

</li>

<li>

<strong><a href="https://salsa.debian.org/freeipa-team/freeipa/-/commit/fb3c2c140220b7d6d88558f9bb0a485f47079a5e">fb3c2c14</a></strong>

<div>

<span>by Jayesh Garg</span>

<i>at 2019-12-23T12:56:30+01:00</i>

</div>

<pre class="commit-message" style="white-space: pre-wrap; margin: 0;">Nightly definations commit

Signed-off-by: Jayesh Garg <jgarg@redhat.com>

Reviewed-By: Florence Blanc-Renaud <flo@redhat.com>

Reviewed-By: Fraser Tweedale <ftweedal@redhat.com>

</pre>

</li>

<li>

<strong><a href="https://salsa.debian.org/freeipa-team/freeipa/-/commit/2b19749a3769bbac5f11aa901bf6291b6240dddb">2b19749a</a></strong>

<div>

<span>by Anuja More</span>

<i>at 2019-12-23T13:08:31+01:00</i>

</div>

<pre class="commit-message" style="white-space: pre-wrap; margin: 0;">Fix fedora version for xfail for sssd test

Test was failing in nightly_PR for ipa-4.7

As https://pagure.io/SSSD/sssd/issue/3978 is not available on

fedora-29

Signed-off-by: Anuja More <amore@redhat.com>

</pre>

</li>

<li>

<strong><a href="https://salsa.debian.org/freeipa-team/freeipa/-/commit/a22e8734805cc897ef59840dac932cb9d7c52a25">a22e8734</a></strong>

<div>

<span>by Armando Neto</span>

<i>at 2020-01-03T09:43:40-03:00</i>

</div>

<pre class="commit-message" style="white-space: pre-wrap; margin: 0;">prci: update packages for rawhide nightly runs

This forces PR-CI to update the packages instead of using the versions

already included in the vagrant image.

Signed-off-by: Armando Neto <abiagion@redhat.com>

Reviewed-By: Florence Blanc-Renaud <frenaud@redhat.com>

</pre>

</li>

<li>

<strong><a href="https://salsa.debian.org/freeipa-team/freeipa/-/commit/5b95d4cc508bca20eff272ecb36ad9d52878157e">5b95d4cc</a></strong>

<div>

<span>by François Cami</span>

<i>at 2020-01-06T09:42:21-05:00</i>

</div>

<pre class="commit-message" style="white-space: pre-wrap; margin: 0;">ipaserver/plugins/dns.py: add "Dynamic Update" and "Bind update policy" to default dnszone* output

Displaying "Dynamic Update" and "Bind update policy" by default

when 'ipa dnszone-show/find' are used would make client dns update

failures easier to diagnose, so display them.

Fixes: https://pagure.io/freeipa/issue/7938

Signed-off-by: François Cami <fcami@redhat.com>

Reviewed-By: Alexander Bokovoy <abokovoy@redhat.com>

</pre>

</li>

<li>

<strong><a href="https://salsa.debian.org/freeipa-team/freeipa/-/commit/5fe8fc6298d2681f921ff51f9f17d09023bc0745">5fe8fc62</a></strong>

<div>

<span>by François Cami</span>

<i>at 2020-01-06T09:42:21-05:00</i>

</div>

<pre class="commit-message" style="white-space: pre-wrap; margin: 0;">ipatests: expect "Dynamic Update" and "Bind update policy" in default dnszone* output

Fix XMLRPC tests so that "Dynamic Update" and "Bind update policy"

can be displayed by default in many DNS commands' output.

Related to: https://pagure.io/freeipa/issue/7938

Signed-off-by: François Cami <fcami@redhat.com>

Reviewed-By: Alexander Bokovoy <abokovoy@redhat.com>

</pre>

</li>

<li>

<strong><a href="https://salsa.debian.org/freeipa-team/freeipa/-/commit/e3cff5d152fc36802f7ddfcd0730696e154d1b4c">e3cff5d1</a></strong>

<div>

<span>by François Cami</span>

<i>at 2020-01-06T10:58:27-05:00</i>

</div>

<pre class="commit-message" style="white-space: pre-wrap; margin: 0;">ipaserver/plugins/dns.py: add "Dynamic Update" and "Bind update policy" to default dnszone* output

Displaying "Dynamic Update" and "Bind update policy" by default

when 'ipa dnszone-show/find' are used would make client dns update

failures easier to diagnose, so display them.

Fixes: https://pagure.io/freeipa/issue/7938

Signed-off-by: François Cami <fcami@redhat.com>

Reviewed-By: Alexander Bokovoy <abokovoy@redhat.com>

</pre>

</li>

<li>

<strong><a href="https://salsa.debian.org/freeipa-team/freeipa/-/commit/578bdce292c142b7fca6e237ccb3f5cec641e618">578bdce2</a></strong>

<div>

<span>by François Cami</span>

<i>at 2020-01-06T10:58:27-05:00</i>

</div>

<pre class="commit-message" style="white-space: pre-wrap; margin: 0;">ipatests: expect "Dynamic Update" and "Bind update policy" in default dnszone* output

Fix XMLRPC tests so that "Dynamic Update" and "Bind update policy"

can be displayed by default in many DNS commands' output.

Related to: https://pagure.io/freeipa/issue/7938

Signed-off-by: François Cami <fcami@redhat.com>

Reviewed-By: Alexander Bokovoy <abokovoy@redhat.com>

</pre>

</li>

<li>

<strong><a href="https://salsa.debian.org/freeipa-team/freeipa/-/commit/e1ff95fc618f22886b505a8dbfdfa7651e1a3b9b">e1ff95fc</a></strong>

<div>

<span>by Jayesh</span>

<i>at 2020-01-07T11:58:29+01:00</i>

</div>

<pre class="commit-message" style="white-space: pre-wrap; margin: 0;">Test for ipa-ca-install on replica

Test on replica for ipa-ca-install with options

--no-host-dns,--skip-schema-check,done changes in

ipatests/pytest_ipa/integration/tasks.py because

wants to pass few arguments to install_ca method

Signed-off-by: Jayesh <jgarg@redhat.com>

Reviewed-By: Florence Blanc-Renaud <flo@redhat.com>

Reviewed-By: Fraser Tweedale <ftweedal@redhat.com>

Reviewed-By: Florence Blanc-Renaud <flo@redhat.com>

</pre>

</li>

<li>

<strong><a href="https://salsa.debian.org/freeipa-team/freeipa/-/commit/e2d69380fbae6dab244fce3fd5afe5fdc28a2663">e2d69380</a></strong>

<div>

<span>by Florence Blanc-Renaud</span>

<i>at 2020-01-10T17:07:57+01:00</i>

</div>

<pre class="commit-message" style="white-space: pre-wrap; margin: 0;">AD user without override receive InternalServerError with API

When ipa commands are used by an Active Directory user that

does not have any idoverride-user set, they return the

following error message which can be misleading:

$ kinit aduser@ADDOMAIN.COM

$ ipa ping

ipa: ERROR: cannot connect to 'https://master.ipa.com/ipa/json': Internal Server Error

The fix properly handles ACIError exception received when

creating the context, and now the following message can be seen:

$ kinit aduser@ADDOMAIN.COM

$ ipa ping

ipa: ERROR: cannot connect to 'https://master.ipa.com/ipa/json': Unauthorized

with the following log in /var/log/httpd/error_log:

ipa: INFO: 401 Unauthorized: Insufficient access:  Invalid credentials

Fixes: https://pagure.io/freeipa/issue/8163

Reviewed-By: Alexander Bokovoy <abbra@users.noreply.github.com>

</pre>

</li>

<li>

<strong><a href="https://salsa.debian.org/freeipa-team/freeipa/-/commit/f35738ef22aac54c09d64e3a7985298faf9ac1eb">f35738ef</a></strong>

<div>

<span>by Anuja More</span>

<i>at 2020-01-13T13:05:47+01:00</i>

</div>

<pre class="commit-message" style="white-space: pre-wrap; margin: 0;">Add xmlrpc test with input validation check for kerberos ticket policy.

This checks that valid/invalid inputs for subtypes of

authentication indicator kerberos ticket policy options.

Signed-off-by: Anuja More <amore@redhat.com>

Reviewed-By: Florence Blanc-Renaud <flo@redhat.com>

</pre>

</li>

<li>

<strong><a href="https://salsa.debian.org/freeipa-team/freeipa/-/commit/4db18be5467c0b8f7633b281c724f469f907e573">4db18be5</a></strong>

<div>

<span>by Florence Blanc-Renaud</span>

<i>at 2020-01-13T13:08:19+01:00</i>

</div>

<pre class="commit-message" style="white-space: pre-wrap; margin: 0;">AD user without override receive InternalServerError with API

When ipa commands are used by an Active Directory user that

does not have any idoverride-user set, they return the

following error message which can be misleading:

$ kinit aduser@ADDOMAIN.COM

$ ipa ping

ipa: ERROR: cannot connect to 'https://master.ipa.com/ipa/json': Internal Server Error

The fix properly handles ACIError exception received when

creating the context, and now the following message can be seen:

$ kinit aduser@ADDOMAIN.COM

$ ipa ping

ipa: ERROR: cannot connect to 'https://master.ipa.com/ipa/json': Unauthorized

with the following log in /var/log/httpd/error_log:

ipa: INFO: 401 Unauthorized: Insufficient access:  Invalid credentials

Fixes: https://pagure.io/freeipa/issue/8163

</pre>

</li>

<li>

<strong><a href="https://salsa.debian.org/freeipa-team/freeipa/-/commit/b5b9efeb57c010443c33c6f14f831abdbd804e78">b5b9efeb</a></strong>

<div>

<span>by Rob Crittenden</span>

<i>at 2020-01-13T10:08:38-05:00</i>

</div>

<pre class="commit-message" style="white-space: pre-wrap; margin: 0;">Allow an empty cookie in dogtag-ipa-ca-renew-agent-submit

A "cookie" is used with certmonger to track the state of a

request across multiple requests to a CA (in ca-cookie). This

is used with the certmonger POLL operation to submit a request

to the CA for the status of a certificate request. This, along

with the profile, are passed to the certmonger CA helper

scripts via environment variables when a request is made. It is

cleared from the certmonger request once the certificate is

issued.

This CA helper can do a number of things:

- SUBMIT new certicate requests (including the CA)

- POLL for status of an existing certificate request

- For non renewal masters, POLL to see if an updated cert is in

  LDAP

A POLL operation requires a cookie so that the state about the

request can be passed to the CA. For the case of retrieving an

updated cert from LDAP there is no state to maintain. It just

checks LDAP and returns either a cert or WAIT_WITH_DELAY if one

is not yet available.

There are two kinds of cookies in operation here:

1. The CERTMONGER_CA_COOKIE environment variable passed via

   certmonger to this helper which is a JSON object.

2. The cookie value within the JSON object which contains the

   URL to be passed to dogtag.

For the purposes of clarity "cookie" here is the value within

the JSON.

The CERTMONGER_CA_COOKIE is deconstructed and reconstructed as

the request is processed, doing double duty. It initially comes

in as a JSON dict object with two keys: profile and cookie.

In call_handler the CERTMONGER_CA_COOKIE is decomposed into a

python object and the profile compared to the requested profile

(and request rejected if they don't match) and the cookie key

overrides the CERTMONGER_CA_COOKIE environment variable. This is

then reversed at the end of the request when it again becomes a

JSON object containing the profile and cookie.

This script was previously enforcing that a cookie be available on

all POLL requests, whether it is actually required or not. This

patch relaxes that requirement.

The first request of a non-renewal master for an updated certicate

from LDAP is a SUBMIT operation. This is significant because it

doesn't require a cookie: there is no state on a new request. If

there is no updated cert in LDAP then the tracking request goes

into the CA_WORKING state and certmonger will wait 8 hours (as

returned by this script) and try again.

Subsequent requests are done using POLL. This required a cookie

so all such requests would fail with the ca-error

Invalid cookie: u'' as it was empty (because there is no state).

There is no need to fail early on a missing cookie. Enforcement

will be done later if needed (and it isn't always needed). So

if CERTMONGER_CA_COOKIE is an empty string then generate a new

CERTMONGER_CA_COOKIE containing the requested profile and an empty

cookie. It still will fail if certmonger doesn't set a cookie at

all.

An example of a cookie when retrieving a new RA Agent certificate

is:

{"profile": "caServerCert", "cookie": "state=retrieve&requestId=20"}

This will result in this request to the CA:

[09/Jan/2020:14:29:54 -0500] "GET

/ca/ee/ca/displayCertFromRequest?requestId=20&importCert=true&xml=true

HTTP/1.1" 200 9857

For a renewal, the reconstructed cookie will consist of:

{"profile": "caServerCert", "cookie": ""}

https://pagure.io/freeipa/issue/8164

Reviewed-By: Florence Blanc-Renaud <frenaud@redhat.com>

</pre>

</li>

<li>

<strong><a href="https://salsa.debian.org/freeipa-team/freeipa/-/commit/acbbc52999f8c7694d549b709bc8caea801dc94c">acbbc529</a></strong>

<div>

<span>by Anuja More</span>

<i>at 2020-01-13T16:39:42+01:00</i>

</div>

<pre class="commit-message" style="white-space: pre-wrap; margin: 0;">Add xmlrpc test with input validation check for kerberos ticket policy.

This checks that valid/invalid inputs for subtypes of

authentication indicator kerberos ticket policy options.

Signed-off-by: Anuja More <amore@redhat.com>

</pre>

</li>

<li>

<strong><a href="https://salsa.debian.org/freeipa-team/freeipa/-/commit/3d7d58d8214f3c899c0afd1a3a6a6678f38b7b39">3d7d58d8</a></strong>

<div>

<span>by Rob Crittenden</span>

<i>at 2020-01-13T13:41:53-05:00</i>

</div>

<pre class="commit-message" style="white-space: pre-wrap; margin: 0;">Allow an empty cookie in dogtag-ipa-ca-renew-agent-submit

A "cookie" is used with certmonger to track the state of a

request across multiple requests to a CA (in ca-cookie). This

is used with the certmonger POLL operation to submit a request

to the CA for the status of a certificate request. This, along

with the profile, are passed to the certmonger CA helper

scripts via environment variables when a request is made. It is

cleared from the certmonger request once the certificate is

issued.

This CA helper can do a number of things:

- SUBMIT new certicate requests (including the CA)

- POLL for status of an existing certificate request

- For non renewal masters, POLL to see if an updated cert is in

  LDAP

A POLL operation requires a cookie so that the state about the

request can be passed to the CA. For the case of retrieving an

updated cert from LDAP there is no state to maintain. It just

checks LDAP and returns either a cert or WAIT_WITH_DELAY if one

is not yet available.

There are two kinds of cookies in operation here:

1. The CERTMONGER_CA_COOKIE environment variable passed via

   certmonger to this helper which is a JSON object.

2. The cookie value within the JSON object which contains the

   URL to be passed to dogtag.

For the purposes of clarity "cookie" here is the value within

the JSON.

The CERTMONGER_CA_COOKIE is deconstructed and reconstructed as

the request is processed, doing double duty. It initially comes

in as a JSON dict object with two keys: profile and cookie.

In call_handler the CERTMONGER_CA_COOKIE is decomposed into a

python object and the profile compared to the requested profile

(and request rejected if they don't match) and the cookie key

overrides the CERTMONGER_CA_COOKIE environment variable. This is

then reversed at the end of the request when it again becomes a

JSON object containing the profile and cookie.

This script was previously enforcing that a cookie be available on

all POLL requests, whether it is actually required or not. This

patch relaxes that requirement.

The first request of a non-renewal master for an updated certicate

from LDAP is a SUBMIT operation. This is significant because it

doesn't require a cookie: there is no state on a new request. If

there is no updated cert in LDAP then the tracking request goes

into the CA_WORKING state and certmonger will wait 8 hours (as

returned by this script) and try again.

Subsequent requests are done using POLL. This required a cookie

so all such requests would fail with the ca-error

Invalid cookie: u'' as it was empty (because there is no state).

There is no need to fail early on a missing cookie. Enforcement

will be done later if needed (and it isn't always needed). So

if CERTMONGER_CA_COOKIE is an empty string then generate a new

CERTMONGER_CA_COOKIE containing the requested profile and an empty

cookie. It still will fail if certmonger doesn't set a cookie at

all.

An example of a cookie when retrieving a new RA Agent certificate

is:

{"profile": "caServerCert", "cookie": "state=retrieve&requestId=20"}

This will result in this request to the CA:

[09/Jan/2020:14:29:54 -0500] "GET

/ca/ee/ca/displayCertFromRequest?requestId=20&importCert=true&xml=true

HTTP/1.1" 200 9857

For a renewal, the reconstructed cookie will consist of:

{"profile": "caServerCert", "cookie": ""}

https://pagure.io/freeipa/issue/8164

Reviewed-By: Florence Blanc-Renaud <frenaud@redhat.com>

</pre>

</li>

<li>

<strong><a href="https://salsa.debian.org/freeipa-team/freeipa/-/commit/ae140ae40692154ce692c03901f6e17c0e227498">ae140ae4</a></strong>

<div>

<span>by Florence Blanc-Renaud</span>

<i>at 2020-01-14T16:27:50-05:00</i>

</div>

<pre class="commit-message" style="white-space: pre-wrap; margin: 0;">ipatests: fix backup and restore

The tests for backup_and_restore check that the ipa-backup command

compresses the tar file AFTER restarting IPA services by reading the

output and looking for a pattern with "gzip" before "Starting IPA service."

As the tar file name is randomly created, it sometimes happen that the

name contains gzip and in this case the test wrongly assumes that

the gzip cmd was called.

The fix makes a stricter comparison, looking for /bin/gzip.

Fixes: https://pagure.io/freeipa/issue/8170

Reviewed-By: Rob Crittenden <rcritten@redhat.com>

</pre>

</li>

<li>

<strong><a href="https://salsa.debian.org/freeipa-team/freeipa/-/commit/1b7cf51e292b917a18ec7959708cb62ceddd44b7">1b7cf51e</a></strong>

<div>

<span>by Florence Blanc-Renaud</span>

<i>at 2020-01-15T09:54:13+01:00</i>

</div>

<pre class="commit-message" style="white-space: pre-wrap; margin: 0;">ipatests: fix backup and restore

The tests for backup_and_restore check that the ipa-backup command

compresses the tar file AFTER restarting IPA services by reading the

output and looking for a pattern with "gzip" before "Starting IPA service."

As the tar file name is randomly created, it sometimes happen that the

name contains gzip and in this case the test wrongly assumes that

the gzip cmd was called.

The fix makes a stricter comparison, looking for /bin/gzip.

Fixes: https://pagure.io/freeipa/issue/8170

</pre>

</li>

<li>

<strong><a href="https://salsa.debian.org/freeipa-team/freeipa/-/commit/3ccf73bfd6f87d7be1a156d276c22a81d1fac6b4">3ccf73bf</a></strong>

<div>

<span>by Robbie Harwood</span>

<i>at 2020-01-15T10:00:08+01:00</i>

</div>

<pre class="commit-message" style="white-space: pre-wrap; margin: 0;">Make the coding style explicit

Signed-off-by: Robbie Harwood <rharwood@redhat.com>

Reviewed-By: Alexander Bokovoy <abokovoy@redhat.com>

</pre>

</li>

<li>

<strong><a href="https://salsa.debian.org/freeipa-team/freeipa/-/commit/ab4e910c52ae4bdf75eca85f8ff54508f6974fc3">ab4e910c</a></strong>

<div>

<span>by Robbie Harwood</span>

<i>at 2020-01-15T10:00:08+01:00</i>

</div>

<pre class="commit-message" style="white-space: pre-wrap; margin: 0;">Use separate variable for client fetch in kdcpolicy

`client` is not intended to be modified as a parameter of the AS check

function.  Fixes an "incompatible pointer type" compiler warning.

Signed-off-by: Robbie Harwood <rharwood@redhat.com>

Reviewed-By: Alexander Bokovoy <abokovoy@redhat.com>

</pre>

</li>

<li>

<strong><a href="https://salsa.debian.org/freeipa-team/freeipa/-/commit/df6a89be51fa8bbc9ce292c9730f20a1e34674ac">df6a89be</a></strong>

<div>

<span>by Robbie Harwood</span>

<i>at 2020-01-15T10:00:08+01:00</i>

</div>

<pre class="commit-message" style="white-space: pre-wrap; margin: 0;">Fix several leaks in ipadb_find_principal

`vals` is often leaked during early exit.  Refactor function to use a

single exit path to prevent this.

Signed-off-by: Robbie Harwood <rharwood@redhat.com>

Reviewed-By: Alexander Bokovoy <abokovoy@redhat.com>

</pre>

</li>

<li>

<strong><a href="https://salsa.debian.org/freeipa-team/freeipa/-/commit/86a8d9480aa402f885c72ccbcfeeb2bac488f268">86a8d948</a></strong>

<div>

<span>by Robbie Harwood</span>

<i>at 2020-01-16T08:46:28+01:00</i>

</div>

<pre class="commit-message" style="white-space: pre-wrap; margin: 0;">Make the coding style explicit

Signed-off-by: Robbie Harwood <rharwood@redhat.com>

Reviewed-By: Alexander Bokovoy <abokovoy@redhat.com>

</pre>

</li>

<li>

<strong><a href="https://salsa.debian.org/freeipa-team/freeipa/-/commit/01c1b270cd83ab6573dc0a502ac37d0182503c3d">01c1b270</a></strong>

<div>

<span>by Robbie Harwood</span>

<i>at 2020-01-16T08:46:28+01:00</i>

</div>

<pre class="commit-message" style="white-space: pre-wrap; margin: 0;">Use separate variable for client fetch in kdcpolicy

`client` is not intended to be modified as a parameter of the AS check

function.  Fixes an "incompatible pointer type" compiler warning.

Signed-off-by: Robbie Harwood <rharwood@redhat.com>

Reviewed-By: Alexander Bokovoy <abokovoy@redhat.com>

</pre>

</li>

<li>

<strong><a href="https://salsa.debian.org/freeipa-team/freeipa/-/commit/6bdd6b3d265ffc2f437e2a69707978758c2efdd8">6bdd6b3d</a></strong>

<div>

<span>by Robbie Harwood</span>

<i>at 2020-01-16T08:46:28+01:00</i>

</div>

<pre class="commit-message" style="white-space: pre-wrap; margin: 0;">Fix several leaks in ipadb_find_principal

`vals` is often leaked during early exit.  Refactor function to use a

single exit path to prevent this.

Signed-off-by: Robbie Harwood <rharwood@redhat.com>

Reviewed-By: Alexander Bokovoy <abokovoy@redhat.com>

</pre>

</li>

<li>

<strong><a href="https://salsa.debian.org/freeipa-team/freeipa/-/commit/e107b8e4fe1f205cc1bf992aae2e46a7ab02ebb6">e107b8e4</a></strong>

<div>

<span>by Christian Heimes</span>

<i>at 2020-01-17T15:47:00+01:00</i>

</div>

<pre class="commit-message" style="white-space: pre-wrap; margin: 0;">Print LDAP diagnostic messages on error

ipa_ldap_init(), ipa_tls_ssl_init(), and the bind operations of ipa-join

and ipa-getkeytab now print LDAP error string and LDAP diagonstic messages

to stderr.

Signed-off-by: Christian Heimes <cheimes@redhat.com>

Reviewed-By: Rob Crittenden <rcritten@redhat.com>

</pre>

</li>

<li>

<strong><a href="https://salsa.debian.org/freeipa-team/freeipa/-/commit/4fe1f7701a616c17167f75e1e81f3a479a2ee50f">4fe1f770</a></strong>

<div>

<span>by Christian Heimes</span>

<i>at 2020-01-17T17:21:22+01:00</i>

</div>

<pre class="commit-message" style="white-space: pre-wrap; margin: 0;">Print LDAP diagnostic messages on error

ipa_ldap_init(), ipa_tls_ssl_init(), and the bind operations of ipa-join

and ipa-getkeytab now print LDAP error string and LDAP diagonstic messages

to stderr.

Signed-off-by: Christian Heimes <cheimes@redhat.com>

Reviewed-By: Rob Crittenden <rcritten@redhat.com>

</pre>

</li>

<li>

<strong><a href="https://salsa.debian.org/freeipa-team/freeipa/-/commit/10b62ad6bc967e022202d657b7493440fb5cf736">10b62ad6</a></strong>

<div>

<span>by Christian Heimes</span>

<i>at 2020-01-22T13:15:19-05:00</i>

</div>

<pre class="commit-message" style="white-space: pre-wrap; margin: 0;">Make assert_error compatible with Python 3.6

The re.Pattern class was introduced in Python 3.7. Use duck-typing to

distinguish between str and re pattern object.

Fixes: https://pagure.io/freeipa/issue/8179

Signed-off-by: Christian Heimes <cheimes@redhat.com>

Reviewed-By: Sergey Orlov <sorlov@redhat.com>

</pre>

</li>

<li>

<strong><a href="https://salsa.debian.org/freeipa-team/freeipa/-/commit/e9ed8e78454f12fcfc3d0484dd36995cbef65961">e9ed8e78</a></strong>

<div>

<span>by Christian Heimes</span>

<i>at 2020-01-23T09:06:07-05:00</i>

</div>

<pre class="commit-message" style="white-space: pre-wrap; margin: 0;">Make assert_error compatible with Python 3.6

The re.Pattern class was introduced in Python 3.7. Use duck-typing to

distinguish between str and re pattern object.

Fixes: https://pagure.io/freeipa/issue/8179

Signed-off-by: Christian Heimes <cheimes@redhat.com>

Reviewed-By: Sergey Orlov <sorlov@redhat.com>

</pre>

</li>

<li>

<strong><a href="https://salsa.debian.org/freeipa-team/freeipa/-/commit/0ad4f4c86ab780771c0419e939fb618b982db3df">0ad4f4c8</a></strong>

<div>

<span>by Sergey Orlov</span>

<i>at 2020-01-23T16:38:56+01:00</i>

</div>

<pre class="commit-message" style="white-space: pre-wrap; margin: 0;">ipatests: add test_winsyncmigrate suite to nightly runs

The test suite test_winsyncmigrate was missing in nightly definitions

because CI was lacking configuration needed for establishing winsync

agreement: the Certificate Authority needs to be configured on

Windows AD instance. Now that PR-CI is updated to include said changes, we

can start executing this test suite. It is not reasonable to add it to

gating as this suite is time consuming just like other tests requiring

provisioning of AD instances.

Reviewed-By: Rob Crittenden <rcritten@redhat.com>

</pre>

</li>

<li>

<strong><a href="https://salsa.debian.org/freeipa-team/freeipa/-/commit/0a55e82d916b38472bd38032946ea9b249a765f2">0a55e82d</a></strong>

<div>

<span>by Christian Heimes</span>

<i>at 2020-01-24T08:35:47-05:00</i>

</div>

<pre class="commit-message" style="white-space: pre-wrap; margin: 0;">Add tracemalloc support to profile memory usage

Signed-off-by: Christian Heimes <cheimes@redhat.com>

Reviewed-By: Rob Crittenden <rcritten@redhat.com>

</pre>

</li>

<li>

<strong><a href="https://salsa.debian.org/freeipa-team/freeipa/-/commit/e9ae7c4b898e570440245714cf20f03d8ee35159">e9ae7c4b</a></strong>

<div>

<span>by Christian Heimes</span>

<i>at 2020-01-24T08:35:47-05:00</i>

</div>

<pre class="commit-message" style="white-space: pre-wrap; margin: 0;">lite-setup: configure lite-server test env

Introduce a script that configures a local testing environment

with ipa default.conf, krb5.conf, and ca.crt from a server hostname.

The lite server configuration allows easy and convenient testing of

IPA server and client code. It uses an existing 389-DS and KRB5 KDC

server on another machine:

    $ contrib/lite-setup.py master.ipa.example

    $ source ~/.ipa/activate.sh

    (ipaenv) $ kinit username

    (ipaenv) $ make lite-server

IPA server UI is available on http://localhost:8888/ipa/

Signed-off-by: Christian Heimes <cheimes@redhat.com>

Reviewed-By: Rob Crittenden <rcritten@redhat.com>

</pre>

</li>

<li>

<strong><a href="https://salsa.debian.org/freeipa-team/freeipa/-/commit/72e1b135b3862a16df4e8b5a1a7c2bbfcd5b08c9">72e1b135</a></strong>

<div>

<span>by Sergey Orlov</span>

<i>at 2020-01-24T16:36:32+01:00</i>

</div>

<pre class="commit-message" style="white-space: pre-wrap; margin: 0;">ipatests: add test_winsyncmigrate suite to nightly runs

The test suite test_winsyncmigrate was missing in nightly definitions

because CI was lacking configuration needed for establishing winsync

agreement: the Certificate Authority needs to be configured on

Windows AD instance. Now that PR-CI is updated to include said changes, we

can start executing this test suite. It is not reasonable to add it to

gating as this suite is time consuming just like other tests requiring

provisioning of AD instances.

Reviewed-By: Rob Crittenden <rcritten@redhat.com>

</pre>

</li>

<li>

<strong><a href="https://salsa.debian.org/freeipa-team/freeipa/-/commit/4a1f56ecdc3398faf67b7a6e162cfd6b41befa5a">4a1f56ec</a></strong>

<div>

<span>by Gaurav Talreja</span>

<i>at 2020-01-27T09:38:20-03:00</i>

</div>

<pre class="commit-message" style="white-space: pre-wrap; margin: 0;">Normalize test definations titles

Rename job titles to match their test suites and how they are defined in nightly yamls.

Issue : https://github.com/freeipa/freeipa-pr-ci/issues/336

Signed-off-by: Gaurav Talreja <gtalreja@redhat.com>

Reviewed-By: Florence Blanc-Renaud <frenaud@redhat.com>

</pre>

</li>

<li>

<strong><a href="https://salsa.debian.org/freeipa-team/freeipa/-/commit/acfb6191a1b2b35f85201ae013eaccb9474e0c7d">acfb6191</a></strong>

<div>

<span>by Rob Crittenden</span>

<i>at 2020-01-28T13:05:31-05:00</i>

</div>

<pre class="commit-message" style="white-space: pre-wrap; margin: 0;">Add delete option to ipa-cacert-manage to remove CA certificates

Before removing a CA re-verify all the other CAs to ensure that

the chain is not broken. Provide a force option to handle cases

where the CA is expired or verification fails for some other

reason, or you really just want them gone.

https://pagure.io/freeipa/issue/8124

Reviewed-By: Florence Blanc-Renaud <frenaud@redhat.com>

</pre>

</li>

<li>

<strong><a href="https://salsa.debian.org/freeipa-team/freeipa/-/commit/6cb4f4bd50fe25f6ad66a4da1cec9dedfb281f12">6cb4f4bd</a></strong>

<div>

<span>by Rob Crittenden</span>

<i>at 2020-01-28T13:05:31-05:00</i>

</div>

<pre class="commit-message" style="white-space: pre-wrap; margin: 0;">ipa-certupdate removes all CA certs from db before adding new ones

This will allow for CA certificates to be dropped from the list

of certificates. It also allows for the trust flags to be

updated when an existing cert is dropped and re-added.

https://pagure.io/freeipa/issue/8124

Reviewed-By: Florence Blanc-Renaud <frenaud@redhat.com>

</pre>

</li>

<li>

<strong><a href="https://salsa.debian.org/freeipa-team/freeipa/-/commit/8e71605c54c31dfa5c9ed9fc0dd640047fa96bf6">8e71605c</a></strong>

<div>

<span>by Rob Crittenden</span>

<i>at 2020-01-28T13:05:31-05:00</i>

</div>

<pre class="commit-message" style="white-space: pre-wrap; margin: 0;">Add tests for ipa-cacert-manage delete command

This tests the following cases:

- deletion without nickname (expect fail)

- deletion with an unknown nickname (expect fail)

- deletion of IPA CA (expect fail)

- deletion of a root CA needed by a subCA (expect fail)

- deletion of a root CA needed by a subCA with --force (ok)

- deletion of a subca (ok)

As a side-effect this also tests install by installing the LE

root and a sub-ca. The sub-ca expires in 2021 but I tested in

the future the ipa-cacert-manage install doesn't do date

validation so for now this is ok.

https://pagure.io/freeipa/issue/8124

Reviewed-By: Florence Blanc-Renaud <frenaud@redhat.com>

</pre>

</li>

<li>

<strong><a href="https://salsa.debian.org/freeipa-team/freeipa/-/commit/37f81cc566cc37a47b7d1b0d900a53273eae01ac">37f81cc5</a></strong>

<div>

<span>by Rob Crittenden</span>

<i>at 2020-01-28T14:45:54-05:00</i>

</div>

<pre class="commit-message" style="white-space: pre-wrap; margin: 0;">Add delete option to ipa-cacert-manage to remove CA certificates

Before removing a CA re-verify all the other CAs to ensure that

the chain is not broken. Provide a force option to handle cases

where the CA is expired or verification fails for some other

reason, or you really just want them gone.

https://pagure.io/freeipa/issue/8124

Reviewed-By: Florence Blanc-Renaud <frenaud@redhat.com>

</pre>

</li>

<li>

<strong><a href="https://salsa.debian.org/freeipa-team/freeipa/-/commit/7d81a3458c266a1e0c4baa07717aac110c435e59">7d81a345</a></strong>

<div>

<span>by Rob Crittenden</span>

<i>at 2020-01-28T14:45:54-05:00</i>

</div>

<pre class="commit-message" style="white-space: pre-wrap; margin: 0;">ipa-certupdate removes all CA certs from db before adding new ones

This will allow for CA certificates to be dropped from the list

of certificates. It also allows for the trust flags to be

updated when an existing cert is dropped and re-added.

https://pagure.io/freeipa/issue/8124

Reviewed-By: Florence Blanc-Renaud <frenaud@redhat.com>

</pre>

</li>

<li>

<strong><a href="https://salsa.debian.org/freeipa-team/freeipa/-/commit/78827db1aa561613d3fb40f39525f7e8fcae2b98">78827db1</a></strong>

<div>

<span>by Rob Crittenden</span>

<i>at 2020-01-28T14:45:54-05:00</i>

</div>

<pre class="commit-message" style="white-space: pre-wrap; margin: 0;">Add tests for ipa-cacert-manage delete command

This tests the following cases:

- deletion without nickname (expect fail)

- deletion with an unknown nickname (expect fail)

- deletion of IPA CA (expect fail)

- deletion of a root CA needed by a subCA (expect fail)

- deletion of a root CA needed by a subCA with --force (ok)

- deletion of a subca (ok)

As a side-effect this also tests install by installing the LE

root and a sub-ca. The sub-ca expires in 2021 but I tested in

the future the ipa-cacert-manage install doesn't do date

validation so for now this is ok.

https://pagure.io/freeipa/issue/8124

Reviewed-By: Florence Blanc-Renaud <frenaud@redhat.com>

</pre>

</li>

<li>

<strong><a href="https://salsa.debian.org/freeipa-team/freeipa/-/commit/769180c2c60205a453f87d7d1b88c27d238728db">769180c2</a></strong>

<div>

<span>by Fraser Tweedale</span>

<i>at 2020-01-29T21:47:14+11:00</i>

</div>

<pre class="commit-message" style="white-space: pre-wrap; margin: 0;">Do not renew externally-signed CA as self-signed

Commit 49cf5ec64b1b7a7437ca285430353473c215540e fixed a bug that

prevented migration from externally-signed to self-signed IPA CA.

But it introduced a subtle new issue: certmonger-initiated renewal

renews an externally-signed IPA CA as a self-signed CA.

To resolve this issue, introduce the `--force-self-signed' flag for

the dogtag-ipa-ca-renew-agent script.  Add another certmonger CA

definition that calls this script with the `--force-self-signed'

flag.  Update dogtag-ipa-ca-renew-agent to only issue a self-signed

CA certificate if the existing certificate is self-signed or if

`--force-self-signed' was given.  Update `ipa-cacert-manage renew'

to supply `--force-self-signed' when appropriate.

As a result of these changes, certmonger-initiated renewal of an

externally-signed IPA CA certificate will not issue a self-signed

certificate.

Fixes: https://pagure.io/freeipa/issue/8176

Reviewed-By: Florence Blanc-Renaud <frenaud@redhat.com>

</pre>

</li>

<li>

<strong><a href="https://salsa.debian.org/freeipa-team/freeipa/-/commit/4b5513660cb73ee685e09c4f84634ac9d1fa792d">4b551366</a></strong>

<div>

<span>by Fraser Tweedale</span>

<i>at 2020-01-30T20:04:44+11:00</i>

</div>

<pre class="commit-message" style="white-space: pre-wrap; margin: 0;">Do not renew externally-signed CA as self-signed

Commit 49cf5ec64b1b7a7437ca285430353473c215540e fixed a bug that

prevented migration from externally-signed to self-signed IPA CA.

But it introduced a subtle new issue: certmonger-initiated renewal

renews an externally-signed IPA CA as a self-signed CA.

To resolve this issue, introduce the `--force-self-signed' flag for

the dogtag-ipa-ca-renew-agent script.  Add another certmonger CA

definition that calls this script with the `--force-self-signed'

flag.  Update dogtag-ipa-ca-renew-agent to only issue a self-signed

CA certificate if the existing certificate is self-signed or if

`--force-self-signed' was given.  Update `ipa-cacert-manage renew'

to supply `--force-self-signed' when appropriate.

As a result of these changes, certmonger-initiated renewal of an

externally-signed IPA CA certificate will not issue a self-signed

certificate.

Fixes: https://pagure.io/freeipa/issue/8176

Reviewed-By: Florence Blanc-Renaud <frenaud@redhat.com>

</pre>

</li>

<li>

<strong><a href="https://salsa.debian.org/freeipa-team/freeipa/-/commit/15fd36612ea451cec2e1302a462fa440663fcc74">15fd3661</a></strong>

<div>

<span>by Sergey Orlov</span>

<i>at 2020-01-30T11:47:54+01:00</i>

</div>

<pre class="commit-message" style="white-space: pre-wrap; margin: 0;">ipatests: add check for output contents of ipa-client-samba

Check that ipa-client-samba  tool reports specific properties of domains:

name, netbios name, sid and id range

Related to https://pagure.io/freeipa/issue/8149

Reviewed-By: Alexander Bokovoy <abokovoy@redhat.com>

</pre>

</li>

<li>

<strong><a href="https://salsa.debian.org/freeipa-team/freeipa/-/commit/7862e9bec5133b7416b649a84e2ef5b3d906f2ea">7862e9be</a></strong>

<div>

<span>by Gaurav Talreja</span>

<i>at 2020-01-30T11:53:20+01:00</i>

</div>

<pre class="commit-message" style="white-space: pre-wrap; margin: 0;">Normalize title of test external_ca in prci-definition

Use a consistent way to label the tests. As a result, replace external_ca_1 with test_external_ca_TestExternalCA and external_ca_2 with test_external_ca_TestSelfExternalSelf to better reflect which subtest is executed.

Issue : freeipa/freeipa-pr-ci#336

Signed-off-by: Gaurav Talreja <gtalreja@redhat.com>

Reviewed-By: Sumedh Sidhaye <ssidhaye@redhat.com>

Reviewed-By: Florence Blanc-Renaud <flo@redhat.com>

</pre>

</li>

<li>

<strong><a href="https://salsa.debian.org/freeipa-team/freeipa/-/commit/577dd1e47a092cf7e4527707111d28297bb58f53">577dd1e4</a></strong>

<div>

<span>by Sergey Orlov</span>

<i>at 2020-01-30T16:08:49+01:00</i>

</div>

<pre class="commit-message" style="white-space: pre-wrap; margin: 0;">ipatests: add check for output contents of ipa-client-samba

Check that ipa-client-samba  tool reports specific properties of domains:

name, netbios name, sid and id range

Related to https://pagure.io/freeipa/issue/8149

Reviewed-By: Alexander Bokovoy <abokovoy@redhat.com>

</pre>

</li>

<li>

<strong><a href="https://salsa.debian.org/freeipa-team/freeipa/-/commit/875769c7c0a66a217a152b7c8cb064c3ceabf541">875769c7</a></strong>

<div>

<span>by Gaurav Talreja</span>

<i>at 2020-01-31T14:34:00+01:00</i>

</div>

<pre class="commit-message" style="white-space: pre-wrap; margin: 0;">Normalize test definations titles

Rename job titles to match their test suites and how they are defined in nightly yamls.

Issue : freeipa/freeipa-pr-ci#336

Signed-off-by: Gaurav Talreja <gtalreja@redhat.com>

Reviewed-By: Florence Blanc-Renaud <flo@redhat.com>

</pre>

</li>

<li>

<strong><a href="https://salsa.debian.org/freeipa-team/freeipa/-/commit/1c787cc36c42f05fe945c4a8ae8551832e0e2c1d">1c787cc3</a></strong>

<div>

<span>by Robbie Harwood</span>

<i>at 2020-01-31T14:36:31+01:00</i>

</div>

<pre class="commit-message" style="white-space: pre-wrap; margin: 0;">Handle the removal of KRB5_KDB_FLAG_ALIAS_OK

In ac8865a22138ab0c657208c41be8fd6bc7968148 (between 1.17 and 1.18),

krb5 removed this flag, and always accepts aliases.

Related-to: https://pagure.io/freeipa/issue/7879

Signed-off-by: Robbie Harwood <rharwood@redhat.com>

Reviewed-By: Alexander Bokovoy <abokovoy@redhat.com>

</pre>

</li>

<li>

<strong><a href="https://salsa.debian.org/freeipa-team/freeipa/-/commit/ff10f3fa18948971912bab9ad5bfbc3d36133a3b">ff10f3fa</a></strong>

<div>

<span>by Robbie Harwood</span>

<i>at 2020-01-31T14:36:31+01:00</i>

</div>

<pre class="commit-message" style="white-space: pre-wrap; margin: 0;">Support DAL version 8.0

Provide stubs for backward compatibility.  DAL 8.0 was released with

krb5-1.18, which is part of Fedora 32+.

Signed-off-by: Robbie Harwood <rharwood@redhat.com>

Reviewed-By: Alexander Bokovoy <abokovoy@redhat.com>

</pre>

</li>

<li>

<strong><a href="https://salsa.debian.org/freeipa-team/freeipa/-/commit/93e81cfd0c1d4d759985ed1ce3f4aa540dcf438e">93e81cfd</a></strong>

<div>

<span>by Robbie Harwood</span>

<i>at 2020-01-31T14:36:31+01:00</i>

</div>

<pre class="commit-message" style="white-space: pre-wrap; margin: 0;">Drop support for DAL version 5.0

No supported Linux distro packages a version of krb5 with this DAL, so

we don't lose anything by removing it.

Signed-off-by: Robbie Harwood <rharwood@redhat.com>

Reviewed-By: Alexander Bokovoy <abokovoy@redhat.com>

</pre>

</li>

<li>

<strong><a href="https://salsa.debian.org/freeipa-team/freeipa/-/commit/d92f21ae1b3051f96043c64320a768551de39d5a">d92f21ae</a></strong>

<div>

<span>by Isaac Boukris</span>

<i>at 2020-02-01T10:05:46+02:00</i>

</div>

<pre class="commit-message" style="white-space: pre-wrap; margin: 0;">Fix DAL v8 support

Signed-off-by: Isaac Boukris <iboukris@gmail.com>

Reviewed-By: Alexander Bokovoy <abokovoy@redhat.com>

</pre>

</li>

<li>

<strong><a href="https://salsa.debian.org/freeipa-team/freeipa/-/commit/c940f96b700d845afda014d41a0004068d379a9a">c940f96b</a></strong>

<div>

<span>by Isaac Boukris</span>

<i>at 2020-02-01T10:05:46+02:00</i>

</div>

<pre class="commit-message" style="white-space: pre-wrap; margin: 0;">Fix legacy S4U2Proxy in DAL v8 support

Signed-off-by: Isaac Boukris <iboukris@gmail.com>

Reviewed-By: Alexander Bokovoy <abokovoy@redhat.com>

</pre>

</li>

<li>

<strong><a href="https://salsa.debian.org/freeipa-team/freeipa/-/commit/d97cfd72721ed2f7e77f5c397a0ca7b389ea6d72">d97cfd72</a></strong>

<div>

<span>by Robbie Harwood</span>

<i>at 2020-02-01T10:09:48+02:00</i>

</div>

<pre class="commit-message" style="white-space: pre-wrap; margin: 0;">Handle the removal of KRB5_KDB_FLAG_ALIAS_OK

In ac8865a22138ab0c657208c41be8fd6bc7968148 (between 1.17 and 1.18),

krb5 removed this flag, and always accepts aliases.

Related-to: https://pagure.io/freeipa/issue/7879

Signed-off-by: Robbie Harwood <rharwood@redhat.com>

Reviewed-By: Alexander Bokovoy <abokovoy@redhat.com>

</pre>

</li>

<li>

<strong><a href="https://salsa.debian.org/freeipa-team/freeipa/-/commit/089c47e212ac077dcd27bc60013d7ac7bf2270ee">089c47e2</a></strong>

<div>

<span>by Robbie Harwood</span>

<i>at 2020-02-01T10:09:48+02:00</i>

</div>

<pre class="commit-message" style="white-space: pre-wrap; margin: 0;">Support DAL version 8.0

Provide stubs for backward compatibility.  DAL 8.0 was released with

krb5-1.18, which is part of Fedora 32+.

Signed-off-by: Robbie Harwood <rharwood@redhat.com>

Reviewed-By: Alexander Bokovoy <abokovoy@redhat.com>

</pre>

</li>

<li>

<strong><a href="https://salsa.debian.org/freeipa-team/freeipa/-/commit/196350444ccab2b99e86accf7eb19ff8327a1e95">19635044</a></strong>

<div>

<span>by Robbie Harwood</span>

<i>at 2020-02-01T10:09:48+02:00</i>

</div>

<pre class="commit-message" style="white-space: pre-wrap; margin: 0;">Drop support for DAL version 5.0

No supported Linux distro packages a version of krb5 with this DAL, so

we don't lose anything by removing it.

Signed-off-by: Robbie Harwood <rharwood@redhat.com>

Reviewed-By: Alexander Bokovoy <abokovoy@redhat.com>

</pre>

</li>

<li>

<strong><a href="https://salsa.debian.org/freeipa-team/freeipa/-/commit/99a920cb69e213d211a6ff9622950e81c3e71c8d">99a920cb</a></strong>

<div>

<span>by Isaac Boukris</span>

<i>at 2020-02-02T09:10:48+02:00</i>

</div>

<pre class="commit-message" style="white-space: pre-wrap; margin: 0;">Fix DAL v8 support

Signed-off-by: Isaac Boukris <iboukris@gmail.com>

Reviewed-By: Alexander Bokovoy <abokovoy@redhat.com>

</pre>

</li>

<li>

<strong><a href="https://salsa.debian.org/freeipa-team/freeipa/-/commit/0806c1582b2f1dfaf04eb2e8fa222c190e24d818">0806c158</a></strong>

<div>

<span>by Isaac Boukris</span>

<i>at 2020-02-02T09:10:48+02:00</i>

</div>

<pre class="commit-message" style="white-space: pre-wrap; margin: 0;">Fix legacy S4U2Proxy in DAL v8 support

Signed-off-by: Isaac Boukris <iboukris@gmail.com>

Reviewed-By: Alexander Bokovoy <abokovoy@redhat.com>

</pre>

</li>

<li>

<strong><a href="https://salsa.debian.org/freeipa-team/freeipa/-/commit/ab1999deb687f77fcad6c466ab3d472c8417d6ee">ab1999de</a></strong>

<div>

<span>by Anuja More</span>

<i>at 2020-02-04T07:57:43+01:00</i>

</div>

<pre class="commit-message" style="white-space: pre-wrap; margin: 0;">After mounting "Unspecified GSS failure" should not be in logs.

When there is directory mounted on the ipa-client

Then no "Unspecified GSS failure" should be in logs.

This is an integration test for :

https://bugzilla.redhat.com/show_bug.cgi?id=1759665

Signed-off-by: Anuja More <amore@redhat.com>

Reviewed-By: Francois Cami <fcami@redhat.com>

Reviewed-By: Sumedh Sidhaye <ssidhaye@redhat.com>

</pre>

</li>

<li>

<strong><a href="https://salsa.debian.org/freeipa-team/freeipa/-/commit/edfe95b120edd4794c7d1e1290c99116fac3b194">edfe95b1</a></strong>

<div>

<span>by Endi S. Dewata</span>

<i>at 2020-02-04T19:34:26+11:00</i>

</div>

<pre class="commit-message" style="white-space: pre-wrap; margin: 0;">Removed hard-coded default profile subsystem class name

Previously in order to enable the LDAP profile subsystem

the ca_enable_ldap_profile_subsystem() would check the

current value of the profile subsystem class parameter in

CS.cfg. If the parameter was still set to the default value

(i.e. ProfileSubsystem), the code would change it to

LDAPProfileSubsystem.

There is a effort in PKI to clean up the profile subsystem

classes which may require changing the default value for

this parameter. However, this improvement is blocked since

the ca_enable_ldap_profile_subsystem() is implicitly assuming

that the default value will always be ProfileSubsystem.

This patch modifies the code such that instead of checking

for a specific value that needs to be changed, it will check

whether it has the desired value already. This mechanism

will reduce potential conflicts with future PKI improvements.

Reviewed-By: Fraser Tweedale <ftweedal@redhat.com>

</pre>

</li>

<li>

<strong><a href="https://salsa.debian.org/freeipa-team/freeipa/-/commit/4d7eac93b0249d6f4081bb4857079875afa21423">4d7eac93</a></strong>

<div>

<span>by Anuja More</span>

<i>at 2020-02-04T10:46:05+01:00</i>

</div>

<pre class="commit-message" style="white-space: pre-wrap; margin: 0;">After mounting "Unspecified GSS failure" should not be in logs.

When there is directory mounted on the ipa-client

Then no "Unspecified GSS failure" should be in logs.

This is an integration test for :

https://bugzilla.redhat.com/show_bug.cgi?id=1759665

Signed-off-by: Anuja More <amore@redhat.com>

Reviewed-By: Francois Cami <fcami@redhat.com>

Reviewed-By: Sumedh Sidhaye <ssidhaye@redhat.com>

</pre>

</li>

<li>

<strong><a href="https://salsa.debian.org/freeipa-team/freeipa/-/commit/b5c8efa33c9460337d9ae92fd1ec8215074667a5">b5c8efa3</a></strong>

<div>

<span>by sumenon</span>

<i>at 2020-02-04T09:20:23-05:00</i>

</div>

<pre class="commit-message" style="white-space: pre-wrap; margin: 0;">Tier-1 test for ipa-healthcheck tool

Signed-off-by: sumenon <sumenon@redhat.com>

Reviewed-By: Rob Crittenden <rcritten@redhat.com>

Reviewed-By: Florence Blanc-Renaud <frenaud@redhat.com>

Reviewed-By: Mohammad Rizwan Yusuf <myusuf@redhat.com>

</pre>

</li>

<li>

<strong><a href="https://salsa.debian.org/freeipa-team/freeipa/-/commit/000703c89f18a190e5cac17ad7113a2ed067c35b">000703c8</a></strong>

<div>

<span>by sumenon</span>

<i>at 2020-02-04T09:20:23-05:00</i>

</div>

<pre class="commit-message" style="white-space: pre-wrap; margin: 0;">Nightly definition for ipa-healthcheck tool

Signed-off-by: sumenon <sumenon@redhat.com>

Reviewed-By: Rob Crittenden <rcritten@redhat.com>

Reviewed-By: Florence Blanc-Renaud <frenaud@redhat.com>

Reviewed-By: Mohammad Rizwan Yusuf <myusuf@redhat.com>

</pre>

</li>

<li>

<strong><a href="https://salsa.debian.org/freeipa-team/freeipa/-/commit/d7830d900d85e936263bb0be9d5f364ba86d874f">d7830d90</a></strong>

<div>

<span>by sumenon</span>

<i>at 2020-02-05T10:02:37+01:00</i>

</div>

<pre class="commit-message" style="white-space: pre-wrap; margin: 0;">Adding back temp config definition removed

fedora-latest/temp_commit section was removed from

temp_commit.yaml file while working with PR4108, adding it back.

Reviewed-By: Florence Blanc-Renaud <flo@redhat.com>

</pre>

</li>

<li>

<strong><a href="https://salsa.debian.org/freeipa-team/freeipa/-/commit/a6dae4843c2fbaba984bf6bd3add6e2b62b1f59f">a6dae484</a></strong>

<div>

<span>by sumenon</span>

<i>at 2020-02-05T10:06:00+01:00</i>

</div>

<pre class="commit-message" style="white-space: pre-wrap; margin: 0;">Tier-1 test for ipa-healthcheck tool

Signed-off-by: sumenon <sumenon@redhat.com>

Reviewed-By: Rob Crittenden <rcritten@redhat.com>

Reviewed-By: Florence Blanc-Renaud <frenaud@redhat.com>

Reviewed-By: Mohammad Rizwan Yusuf <myusuf@redhat.com>

Reviewed-By: Sudhir Menon <sumenon@redhat.com>

</pre>

</li>

<li>

<strong><a href="https://salsa.debian.org/freeipa-team/freeipa/-/commit/7a45cd179f846920ffa91df7f28f21e7de09f328">7a45cd17</a></strong>

<div>

<span>by sumenon</span>

<i>at 2020-02-05T10:06:00+01:00</i>

</div>

<pre class="commit-message" style="white-space: pre-wrap; margin: 0;">Nightly definition for ipa-healthcheck tool

Signed-off-by: sumenon <sumenon@redhat.com>

Reviewed-By: Rob Crittenden <rcritten@redhat.com>

Reviewed-By: Florence Blanc-Renaud <frenaud@redhat.com>

Reviewed-By: Mohammad Rizwan Yusuf <myusuf@redhat.com>

Reviewed-By: Sudhir Menon <sumenon@redhat.com>

</pre>

</li>

<li>

<strong><a href="https://salsa.debian.org/freeipa-team/freeipa/-/commit/9418042ee700b8c82f289ce649ab2b80c60d7822">9418042e</a></strong>

<div>

<span>by Serhii Tsymbaliuk</span>

<i>at 2020-02-05T12:04:50+01:00</i>

</div>

<pre class="commit-message" style="white-space: pre-wrap; margin: 0;">WebUI tests: Fix 'Button is not displayed' exception

Add a small timeout (up to 5 seconds) which allows to prevent exceptions when

WebDriver attempts to click a button before it is rendered.

Ticket: https://pagure.io/freeipa/issue/8169

Signed-off-by: Serhii Tsymbaliuk <stsymbal@redhat.com>

Reviewed-By: Sergey Orlov <sorlov@redhat.com>

</pre>

</li>

<li>

<strong><a href="https://salsa.debian.org/freeipa-team/freeipa/-/commit/664eed7d0885791a3b16ad082d56f9a14682673e">664eed7d</a></strong>

<div>

<span>by Serhii Tsymbaliuk</span>

<i>at 2020-02-05T14:19:59+01:00</i>

</div>

<pre class="commit-message" style="white-space: pre-wrap; margin: 0;">WebUI tests: Fix 'Button is not displayed' exception

Add a small timeout (up to 5 seconds) which allows to prevent exceptions when

WebDriver attempts to click a button before it is rendered.

Ticket: https://pagure.io/freeipa/issue/8169

Signed-off-by: Serhii Tsymbaliuk <stsymbal@redhat.com>

Reviewed-By: Sergey Orlov <sorlov@redhat.com>

</pre>

</li>

<li>

<strong><a href="https://salsa.debian.org/freeipa-team/freeipa/-/commit/19f0142e792c5da783312eb7c67fd3999883b38d">19f0142e</a></strong>

<div>

<span>by Armando Neto</span>

<i>at 2020-02-05T14:48:34-03:00</i>

</div>

<pre class="commit-message" style="white-space: pre-wrap; margin: 0;">prci: Bump version of all templates

These new images have SELinux enabled in permissive mode. After

this all tests skipped because SELinux was disabled will be

executed again.

Signed-off-by: Armando Neto <abiagion@redhat.com>

Reviewed-By: Florence Blanc-Renaud <frenaud@redhat.com>

</pre>

</li>

<li>

<strong><a href="https://salsa.debian.org/freeipa-team/freeipa/-/commit/59593194d3eaf646ae757b88dc8a9231c21301c2">59593194</a></strong>

<div>

<span>by Armando Neto</span>

<i>at 2020-02-05T14:49:39-03:00</i>

</div>

<pre class="commit-message" style="white-space: pre-wrap; margin: 0;">prci: Bump template version

This new image has SELinux enabled in permissive mode. After

this all tests skipped because SELinux was disabled will be

executed again.

Signed-off-by: Armando Neto <abiagion@redhat.com>

Reviewed-By: Florence Blanc-Renaud <frenaud@redhat.com>

</pre>

</li>

<li>

<strong><a href="https://salsa.debian.org/freeipa-team/freeipa/-/commit/83db8ab1754b52cd6143e0f01e520bbc9e9ff454">83db8ab1</a></strong>

<div>

<span>by Timo Aaltonen</span>

<i>at 2020-02-06T10:44:18+02:00</i>

</div>

<pre class="commit-message" style="white-space: pre-wrap; margin: 0;">Merge tag 'release-4-8-4' into upstream

tagging FreeIPA 4.8.4

</pre>

</li>

<li>

<strong><a href="https://salsa.debian.org/freeipa-team/freeipa/-/commit/04dac6363921b98d652ee797c7d2ceca3cafc249">04dac636</a></strong>

<div>

<span>by Timo Aaltonen</span>

<i>at 2020-02-06T10:44:34+02:00</i>

</div>

<pre class="commit-message" style="white-space: pre-wrap; margin: 0;">Merge branch 'upstream'

</pre>

</li>

<li>

<strong><a href="https://salsa.debian.org/freeipa-team/freeipa/-/commit/284fe4d8066c14c1708e3c502688bede3307a74b">284fe4d8</a></strong>

<div>

<span>by Timo Aaltonen</span>

<i>at 2020-02-06T10:44:59+02:00</i>

</div>

<pre class="commit-message" style="white-space: pre-wrap; margin: 0;">bump the version

</pre>

</li>

<li>

<strong><a href="https://salsa.debian.org/freeipa-team/freeipa/-/commit/bc671caf2353ec3a0f84761e11f945397bd1ec44">bc671caf</a></strong>

<div>

<span>by Timo Aaltonen</span>

<i>at 2020-02-06T10:49:44+02:00</i>

</div>

<pre class="commit-message" style="white-space: pre-wrap; margin: 0;">Fix-font-awesome-path.patch: Dropped, upstream.

</pre>

</li>

<li>

<strong><a href="https://salsa.debian.org/freeipa-team/freeipa/-/commit/a4634a59c98ae922708f9211786b67505dada736">a4634a59</a></strong>

<div>

<span>by Serhii Tsymbaliuk</span>

<i>at 2020-02-06T10:21:36+01:00</i>

</div>

<pre class="commit-message" style="white-space: pre-wrap; margin: 0;">WebUI tests: Fix broken reference to parent facet in table record check

Add decorator to has_record method which repeats the check when an active facet is changed

(catch StaleElementReferenceException).

Ticket: https://pagure.io/freeipa/issue/8157

Signed-off-by: Serhii Tsymbaliuk <stsymbal@redhat.com>

Reviewed-By: Armando Neto <abiagion@redhat.com>

</pre>

</li>

<li>

<strong><a href="https://salsa.debian.org/freeipa-team/freeipa/-/commit/4e1d27c22a90d579a9019829f8ffd0bed51c2e5f">4e1d27c2</a></strong>

<div>

<span>by Serhii Tsymbaliuk</span>

<i>at 2020-02-06T14:12:45+01:00</i>

</div>

<pre class="commit-message" style="white-space: pre-wrap; margin: 0;">WebUI tests: Fix broken reference to parent facet in table record check

Add decorator to has_record method which repeats the check when an active facet is changed

(catch StaleElementReferenceException).

Ticket: https://pagure.io/freeipa/issue/8157

Signed-off-by: Serhii Tsymbaliuk <stsymbal@redhat.com>

Reviewed-By: Armando Neto <abiagion@redhat.com>

</pre>

</li>

<li>

<strong><a href="https://salsa.debian.org/freeipa-team/freeipa/-/commit/b4cb1c89d95743294eced129ec61ed0af168bcb3">b4cb1c89</a></strong>

<div>

<span>by Timo Aaltonen</span>

<i>at 2020-02-06T21:29:14+02:00</i>

</div>

<pre class="commit-message" style="white-space: pre-wrap; margin: 0;">Use debhelper-compat.

</pre>

</li>

<li>

<strong><a href="https://salsa.debian.org/freeipa-team/freeipa/-/commit/60f746d9983b54e71f9ba98632f30e79bdead86e">60f746d9</a></strong>

<div>

<span>by Florence Blanc-Renaud</span>

<i>at 2020-02-10T15:22:54+01:00</i>

</div>

<pre class="commit-message" style="white-space: pre-wrap; margin: 0;">ipatests: update packages for rawhide and updates-testing nightlies

The nightly tests for rawhide and updates_testing are expected

to set

        update_packages: True

in all the job definitions to make sure that dnf/yum update is called

before starting the tests.

This tag was missing for some jobs, this commit fixes the issue.

Reviewed-By: Armando Neto <abiagion@redhat.com>

</pre>

</li>

<li>

<strong><a href="https://salsa.debian.org/freeipa-team/freeipa/-/commit/f0f2c2645ef5aa0a065e2b5a2063d57d85f74d56">f0f2c264</a></strong>

<div>

<span>by Sumedh Sidhaye</span>

<i>at 2020-02-11T17:24:37+01:00</i>

</div>

<pre class="commit-message" style="white-space: pre-wrap; margin: 0;">Added a test to check if ipa host-find --pkey-only does not return SSH public key

It checks if 'SSH public key fingerprint' is

not present in the output of the command

Related: https://pagure.io/freeipa/issue/8029

Signed-off-by: Sumedh Sidhaye <ssidhaye@redhat.com>

Reviewed-By: Florence Blanc-Renaud <frenaud@redhat.com>

</pre>

</li>

<li>

<strong><a href="https://salsa.debian.org/freeipa-team/freeipa/-/commit/cec1ddc39ecd2163270bb00df46bfd2469c2c25a">cec1ddc3</a></strong>

<div>

<span>by Florence Blanc-Renaud</span>

<i>at 2020-02-11T17:28:19+01:00</i>

</div>

<pre class="commit-message" style="white-space: pre-wrap; margin: 0;">ipatests: fix modify_sssd_conf()

The method modify_sssd_conf() is copying a remote sssd.conf file

to the test controller then uses sssd python API to modify the

config file.

When the test controller does not have sssd-common package installed,

SSSDConfig() call fails because the API needs sssd schema in order

to properly parse the config file, and the schema files are provided

by sssd-common pkg.

The fix also downloads the files representing sssd schema and calls

SSSDConfig() with those files. Using the schema from the test machine

is ensuring that config is consistent with the schema (if the sssd

version differs between controller and test machine for instance).

Note: we currently don't see any issue in the nightly tests because

the test controller is installed with sssd-common package but if you

run the tests as specified in https://www.freeipa.org/page/Testing

with a controller missing sssd-common, you will see the issue.

Reviewed-By: Sergey Orlov <sorlov@redhat.com>

</pre>

</li>

<li>

<strong><a href="https://salsa.debian.org/freeipa-team/freeipa/-/commit/8e527507c0971ed1a8468e10246232491b1ef36c">8e527507</a></strong>

<div>

<span>by Florence Blanc-Renaud</span>

<i>at 2020-02-12T09:41:42+01:00</i>

</div>

<pre class="commit-message" style="white-space: pre-wrap; margin: 0;">ipatests: fix modify_sssd_conf()

The method modify_sssd_conf() is copying a remote sssd.conf file

to the test controller then uses sssd python API to modify the

config file.

When the test controller does not have sssd-common package installed,

SSSDConfig() call fails because the API needs sssd schema in order

to properly parse the config file, and the schema files are provided

by sssd-common pkg.

The fix also downloads the files representing sssd schema and calls

SSSDConfig() with those files. Using the schema from the test machine

is ensuring that config is consistent with the schema (if the sssd

version differs between controller and test machine for instance).

Note: we currently don't see any issue in the nightly tests because

the test controller is installed with sssd-common package but if you

run the tests as specified in https://www.freeipa.org/page/Testing

with a controller missing sssd-common, you will see the issue.

Reviewed-By: Sergey Orlov <sorlov@redhat.com>

</pre>

</li>

<li>

<strong><a href="https://salsa.debian.org/freeipa-team/freeipa/-/commit/ff547a2777d63609faba42101e9802f5e988fa00">ff547a27</a></strong>

<div>

<span>by Alexander Bokovoy</span>

<i>at 2020-02-12T11:45:39+01:00</i>

</div>

<pre class="commit-message" style="white-space: pre-wrap; margin: 0;">install/updates: move external members past schema compat update

There is an ordering discrepancy because the base compat tree

configuration is in install/updates/80-schema_compat.update so it is ran

after 50-externalmembers.update. And since at that point

cn=groups,cn=Schema ... does not exist yet, external members

configuration is not applied.

Move it around to make sure it is applied after Schema Compatibility

plugin configuration is created.

Fixes: https://pagure.io/freeipa/issue/8193

Signed-off-by: Alexander Bokovoy <abokovoy@redhat.com>

Reviewed-By: Florence Blanc-Renaud <flo@redhat.com>

</pre>

</li>

<li>

<strong><a href="https://salsa.debian.org/freeipa-team/freeipa/-/commit/14dbf04148c6284b176eca34aa70df4bef09b857">14dbf041</a></strong>

<div>

<span>by Alexander Bokovoy</span>

<i>at 2020-02-12T15:16:42+01:00</i>

</div>

<pre class="commit-message" style="white-space: pre-wrap; margin: 0;">install/updates: move external members past schema compat update

There is an ordering discrepancy because the base compat tree

configuration is in install/updates/80-schema_compat.update so it is ran

after 50-externalmembers.update. And since at that point

cn=groups,cn=Schema ... does not exist yet, external members

configuration is not applied.

Move it around to make sure it is applied after Schema Compatibility

plugin configuration is created.

Fixes: https://pagure.io/freeipa/issue/8193

Signed-off-by: Alexander Bokovoy <abokovoy@redhat.com>

Reviewed-By: Florence Blanc-Renaud <flo@redhat.com>

</pre>

</li>

<li>

<strong><a href="https://salsa.debian.org/freeipa-team/freeipa/-/commit/292d686c0b7935dd219559b10de3a393b712a990">292d686c</a></strong>

<div>

<span>by Stanislav Levin</span>

<i>at 2020-02-12T18:08:32+02:00</i>

</div>

<pre class="commit-message" style="white-space: pre-wrap; margin: 0;">pytest: Migrate xunit-style setups to Pytest fixtures

Even though Pytest supports xunit style setups, unittest and nose

tests, this support is limited and may be dropped in the future

releases. Worst of all is that the mixing of various test

frameworks results in weird conflicts and of course, is not widely

tested.

This is a part of work to remove the mixing of test idioms in the

IPA's test suite:

1) replace xunit style

2) employ the fixtures' interdependencies

Related: https://pagure.io/freeipa/issue/7989

Signed-off-by: Stanislav Levin <slev@altlinux.org>

Reviewed-By: Christian Heimes <cheimes@redhat.com>

</pre>

</li>

<li>

<strong><a href="https://salsa.debian.org/freeipa-team/freeipa/-/commit/fec66942d469188fcd1ccfbd6e14f4e8334056b4">fec66942</a></strong>

<div>

<span>by Stanislav Levin</span>

<i>at 2020-02-12T18:08:32+02:00</i>

</div>

<pre class="commit-message" style="white-space: pre-wrap; margin: 0;">pytest: Migrate unittest/nose to Pytest fixtures

Even though Pytest supports xunit style setups, unittest and nose

tests, this support is limited and may be dropped in the future

releases. Worst of all is that the mixing of various test

frameworks results in weird conflicts and of course, is not widely

tested.

This is a part of work to remove the mixing of test idioms in the

IPA's test suite:

1) replace unittest.TestCase subclasses

2) replace unittest test controls (SkipTest, fail, etc.)

3) replace unittest assertions

Related: https://pagure.io/freeipa/issue/7989

Signed-off-by: Stanislav Levin <slev@altlinux.org>

Reviewed-By: Christian Heimes <cheimes@redhat.com>

</pre>

</li>

<li>

<strong><a href="https://salsa.debian.org/freeipa-team/freeipa/-/commit/8c7447fd42548d28df6200e354afdc03355b94b6">8c7447fd</a></strong>

<div>

<span>by Stanislav Levin</span>

<i>at 2020-02-12T18:08:32+02:00</i>

</div>

<pre class="commit-message" style="white-space: pre-wrap; margin: 0;">pytest: Warn about unittest/nose/xunit tests

This Pytest plugin is intended to issue warnings on collecting

tests, which employ unittest/nose frameworks or xunit style.

For example, this may look like:

"""

test_a/test_xunit.py:25

  test_a/test_xunit.py:25: PytestDeprecationWarning: xunit style is deprecated

    def test_foo_bar(self):

test_b/test_unittest.py:7

  test_b/test_unittest.py:7: PytestDeprecationWarning: unittest is deprecated

    def test_foo_bar(self):

"""

To treat these warnings as errors it's enough to run Pytest with:

-W error:'xunit style is deprecated':pytest.PytestDeprecationWarning

Related: https://pagure.io/freeipa/issue/7989

Signed-off-by: Stanislav Levin <slev@altlinux.org>

Reviewed-By: Christian Heimes <cheimes@redhat.com>

</pre>

</li>

<li>

<strong><a href="https://salsa.debian.org/freeipa-team/freeipa/-/commit/43a97082bbdf5992dcd355fdcb28ff3bfe66ab59">43a97082</a></strong>

<div>

<span>by Alexander Bokovoy</span>

<i>at 2020-02-12T18:08:32+02:00</i>

</div>

<pre class="commit-message" style="white-space: pre-wrap; margin: 0;">Update Azure Pipelines to use Fedora 31

nodejs:12 requires libicu-65.1 while gdb (not direct dependency)

libicu-63.2. As a workaround gdb-minimal [0] could be used.

It's even better as requires less packages to be downloaded

and then installed.

[0] https://fedoraproject.org/wiki/Changes/Minimal_GDB_in_buildroot

Co-authored-by: Stanislav Levin <slev@altlinux.org>

Signed-off-by: Stanislav Levin <slev@altlinux.org>

Reviewed-By: Christian Heimes <cheimes@redhat.com>

</pre>

</li>

<li>

<strong><a href="https://salsa.debian.org/freeipa-team/freeipa/-/commit/19462788f162491e0aedaaf42528cae7104b8068">19462788</a></strong>

<div>

<span>by Stanislav Levin</span>

<i>at 2020-02-12T18:08:32+02:00</i>

</div>

<pre class="commit-message" style="white-space: pre-wrap; margin: 0;">ipatests: Properly kill gpg-agent

There is a race condition exposed in 'test_gpg_asymmetric'.

The teardown of 'tempdir' fixture and gpg-agent being called

from the teardown of 'gpgkey' fixture could simultaneously

remove the gnugpg's socket files.

This results in an error like:

```

================= ERRORS ===================

_ ERROR at teardown of test_gpg_asymmetric __

...

>  os.unlink(entry.name, dir_fd=topfd)

E  FileNotFoundError: [Errno 2] No such file or directory: 'S.gpg-agent.extra'

/usr/lib64/python3.7/shutil.py:450: FileNotFoundError

```

The problem is that the agent is not terminated properly.

Instead, gpgconf could be used to kill daemonized gpg-agent.

Related: https://pagure.io/freeipa/issue/7989

Signed-off-by: Stanislav Levin <slev@altlinux.org>

Reviewed-By: Christian Heimes <cheimes@redhat.com>

</pre>

</li>

<li>

<strong><a href="https://salsa.debian.org/freeipa-team/freeipa/-/commit/92b440a0baf590fcb3082dfe2ca673813e1e5b7c">92b440a0</a></strong>

<div>

<span>by Stanislav Levin</span>

<i>at 2020-02-12T18:08:32+02:00</i>

</div>

<pre class="commit-message" style="white-space: pre-wrap; margin: 0;">pylint: Teach Pylint how to handle request.context

With Astroid change [0] a inference for builtin containers

was improved. This means that all the elements of such containers

will be inferred if they are not Python constants (previously

ignored).

This change introduces several issues, one of them is a volatile

error exposed at multi-job Pylinting, but could be guaranteed

produced at single-job mode as:

```

PYTHONPATH=. /usr/bin/python3 -m pylint --rcfile=./pylintrc \

    --load-plugins pylint_plugins ipaserver/plugins/dns.py ipalib/request.py

ipalib/request.py:76: [E1101(no-member), destroy_context] Instance of 'bool' has no 'disconnect' member)

-----------------------------------

Your code has been rated at 9.97/10

```

Or even adding 'context.some_attr = True' into ipalib/request.py.

It's should be treated as no one member of `context`'s attrs is a

`Connection` instance and has `destroy_context` member.

To tell Pylint that there are such members the corresponding

transformation is added.

[0] https://github.com/PyCQA/astroid/commit/79d5a3a7

Related: https://pagure.io/freeipa/issue/8116

Signed-off-by: Stanislav Levin <slev@altlinux.org>

Reviewed-By: Christian Heimes <cheimes@redhat.com>

</pre>

</li>

<li>

<strong><a href="https://salsa.debian.org/freeipa-team/freeipa/-/commit/e128e7d691d0102460a54359dc8855fb7fcd7f35">e128e7d6</a></strong>

<div>

<span>by Stanislav Levin</span>

<i>at 2020-02-12T18:08:32+02:00</i>

</div>

<pre class="commit-message" style="white-space: pre-wrap; margin: 0;">pylint: Synchronize pylint plugin to ipatests code

Pylint is a static analysis tool and therefore, couldn't always

analyze dynamic stuff properly. Transformation plugins is a way

to teach Pylint how to handle such cases.

Particularly, with the help of FreeIPA own plugin, it is possible

to tell Pylint about instance fields having a duck-typing nature.

A drawback exposed here is that a static view (Pylint's) of code

should be consistent with an actual one, otherwise, codebase will

be polluted with various skips of pylint checks.

* added missing fields to ipatests.test_integration.base.IntegrationTest

* an attempt is made to clear `no-member` skips for ipatests

* removed no longer needed `pytest` module transformation

Related: https://pagure.io/freeipa/issue/8116

Signed-off-by: Stanislav Levin <slev@altlinux.org>

Reviewed-By: Christian Heimes <cheimes@redhat.com>

</pre>

</li>

<li>

<strong><a href="https://salsa.debian.org/freeipa-team/freeipa/-/commit/a309de6c08987b1cf9645111414d1c52b4525190">a309de6c</a></strong>

<div>

<span>by Stanislav Levin</span>

<i>at 2020-02-12T18:08:32+02:00</i>

</div>

<pre class="commit-message" style="white-space: pre-wrap; margin: 0;">pylint: Clean up comment

I added a comment in @d0b420f6d, later, on refactoring in

@c6769ad12 I forgot to remove it. So, it is just a clean up.

Related: https://pagure.io/freeipa/issue/8116

Signed-off-by: Stanislav Levin <slev@altlinux.org>

Reviewed-By: Christian Heimes <cheimes@redhat.com>

</pre>

</li>

<li>

<strong><a href="https://salsa.debian.org/freeipa-team/freeipa/-/commit/ba12165eaf76e6fee30b05b0fe939e13854d70dc">ba12165e</a></strong>

<div>

<span>by Stanislav Levin</span>

<i>at 2020-02-12T18:08:32+02:00</i>

</div>

<pre class="commit-message" style="white-space: pre-wrap; margin: 0;">lint: Make Pylint-2.4 happy again

This is the first time running Pylint-2.4 over the whole IPA codebase.

```

Pylint on /usr/bin/python is running, please wait ...

internal error with sending report for module ['ipaserver/plugins/serverroles.py']

maximum recursion depth exceeded while calling a Python object

************* Module ipatests.test_integration.base

ipatests/test_integration/base.py:84: [W0125(using-constant-test), IntegrationTest.install] Using a conditional statement with a constant value)

************* Module ipaserver.install.ipa_cacert_manage

ipaserver/install/ipa_cacert_manage.py:522: [R1724(no-else-continue), CACertManage.delete] Unnecessary "elif" after "continue")

```

The latest Pylint (via the Tox task) checks only:

```

{envsitepackagesdir}/ipaclient \

{envsitepackagesdir}/ipalib \

{envsitepackagesdir}/ipapython

```

, while the distro-Pylint runs over all project but it is not fresh.

That's why these warnings/errors weren't exposed before now.

Concerning `internal error`: a fix was accepted by upstream:

https://github.com/PyCQA/pylint/issues/3245, but wasn't released yet.

Until that is done, Pylint just warns.

Related: https://pagure.io/freeipa/issue/8116

Signed-off-by: Stanislav Levin <slev@altlinux.org>

Reviewed-By: Christian Heimes <cheimes@redhat.com>

</pre>

</li>

<li>

<strong><a href="https://salsa.debian.org/freeipa-team/freeipa/-/commit/4f09416f2f01cee03213f7d5186fe1a7104e6d66">4f09416f</a></strong>

<div>

<span>by Anuja More</span>

<i>at 2020-02-12T17:34:32+01:00</i>

</div>

<pre class="commit-message" style="white-space: pre-wrap; margin: 0;">ipatests: Add test for ipa-extdom-extop plugin should allow @ in group name

If group contains @ in group name on AD,

then it should fetch successfully on ipa-client.

Related to: https://bugzilla.redhat.com/1746951

Signed-off-by: Anuja More <amore@redhat.com>

Reviewed-By: Florence Blanc-Renaud <flo@redhat.com>

Reviewed-By: Sergey Orlov <sorlov@redhat.com>

Reviewed-By: Mohammad Rizwan Yusuf <myusuf@redhat.com>

</pre>

</li>

<li>

<strong><a href="https://salsa.debian.org/freeipa-team/freeipa/-/commit/0a4bec2a1f2a1fbf6b6b05a5cdbdf5bf08d66344">0a4bec2a</a></strong>

<div>

<span>by Anuja More</span>

<i>at 2020-02-12T17:34:32+01:00</i>

</div>

<pre class="commit-message" style="white-space: pre-wrap; margin: 0;">Update topology for test_integration/test_sssd.py

Added changes in topology for test_sssd.py

As in test it needs client also.

Signed-off-by: Anuja More <amore@redhat.com>

Reviewed-By: Florence Blanc-Renaud <flo@redhat.com>

Reviewed-By: Sergey Orlov <sorlov@redhat.com>

Reviewed-By: Mohammad Rizwan Yusuf <myusuf@redhat.com>

</pre>

</li>

<li>

<strong><a href="https://salsa.debian.org/freeipa-team/freeipa/-/commit/2cd67d5a9a22c009f050e493d4b3e2882dbfd81f">2cd67d5a</a></strong>

<div>

<span>by Sumedh Sidhaye</span>

<i>at 2020-02-13T09:12:08-03:00</i>

</div>

<pre class="commit-message" style="white-space: pre-wrap; margin: 0;">Added a test to check if ipa host-find --pkey-only does not return SSH public key

It checks if 'SSH public key fingerprint' is

not present in the output of the command

Related: https://pagure.io/freeipa/issue/8029

Signed-off-by: Sumedh Sidhaye <ssidhaye@redhat.com>

Reviewed-By: Florence Blanc-Renaud <frenaud@redhat.com>

</pre>

</li>

<li>

<strong><a href="https://salsa.debian.org/freeipa-team/freeipa/-/commit/87bc31464b6133af9befd412af54403665c22628">87bc3146</a></strong>

<div>

<span>by Stanislav Levin</span>

<i>at 2020-02-13T15:39:34-03:00</i>

</div>

<pre class="commit-message" style="white-space: pre-wrap; margin: 0;">pytest: Migrate xunit-style setups to Pytest fixtures

Even though Pytest supports xunit style setups, unittest and nose

tests, this support is limited and may be dropped in the future

releases. Worst of all is that the mixing of various test

frameworks results in weird conflicts and of course, is not widely

tested.

This is a part of work to remove the mixing of test idioms in the

IPA's test suite:

1) replace xunit style

2) employ the fixtures' interdependencies

Related: https://pagure.io/freeipa/issue/7989

Signed-off-by: Stanislav Levin <slev@altlinux.org>

Reviewed-By: Christian Heimes <cheimes@redhat.com>

</pre>

</li>

<li>

<strong><a href="https://salsa.debian.org/freeipa-team/freeipa/-/commit/356f907fc255ab3a9f93ff2808646b92a6652aec">356f907f</a></strong>

<div>

<span>by Stanislav Levin</span>

<i>at 2020-02-13T15:39:34-03:00</i>

</div>

<pre class="commit-message" style="white-space: pre-wrap; margin: 0;">pytest: Migrate unittest/nose to Pytest fixtures

Even though Pytest supports xunit style setups, unittest and nose

tests, this support is limited and may be dropped in the future

releases. Worst of all is that the mixing of various test

frameworks results in weird conflicts and of course, is not widely

tested.

This is a part of work to remove the mixing of test idioms in the

IPA's test suite:

1) replace unittest.TestCase subclasses

2) replace unittest test controls (SkipTest, fail, etc.)

3) replace unittest assertions

Related: https://pagure.io/freeipa/issue/7989

Signed-off-by: Stanislav Levin <slev@altlinux.org>

Reviewed-By: Christian Heimes <cheimes@redhat.com>

</pre>

</li>

<li>

<strong><a href="https://salsa.debian.org/freeipa-team/freeipa/-/commit/3659b46d6aeea06b4875860ec69a9215afcbdd91">3659b46d</a></strong>

<div>

<span>by Stanislav Levin</span>

<i>at 2020-02-13T15:39:34-03:00</i>

</div>

<pre class="commit-message" style="white-space: pre-wrap; margin: 0;">pytest: Warn about unittest/nose/xunit tests

This Pytest plugin is intended to issue warnings on collecting

tests, which employ unittest/nose frameworks or xunit style.

For example, this may look like:

"""

test_a/test_xunit.py:25

  test_a/test_xunit.py:25: PytestDeprecationWarning: xunit style is deprecated

    def test_foo_bar(self):

test_b/test_unittest.py:7

  test_b/test_unittest.py:7: PytestDeprecationWarning: unittest is deprecated

    def test_foo_bar(self):

"""

To treat these warnings as errors it's enough to run Pytest with:

-W error:'xunit style is deprecated':pytest.PytestDeprecationWarning

Related: https://pagure.io/freeipa/issue/7989

Signed-off-by: Stanislav Levin <slev@altlinux.org>

Reviewed-By: Christian Heimes <cheimes@redhat.com>

</pre>

</li>

<li>

<strong><a href="https://salsa.debian.org/freeipa-team/freeipa/-/commit/f4e2acd1333f0f3d88da81d3fda80e85c9c418c2">f4e2acd1</a></strong>

<div>

<span>by Alexander Bokovoy</span>

<i>at 2020-02-13T15:39:34-03:00</i>

</div>

<pre class="commit-message" style="white-space: pre-wrap; margin: 0;">Update Azure Pipelines to use Fedora 31

nodejs:12 requires libicu-65.1 while gdb (not direct dependency)

libicu-63.2. As a workaround gdb-minimal [0] could be used.

It's even better as requires less packages to be downloaded

and then installed.

[0] https://fedoraproject.org/wiki/Changes/Minimal_GDB_in_buildroot

Co-authored-by: Stanislav Levin <slev@altlinux.org>

Signed-off-by: Stanislav Levin <slev@altlinux.org>

Reviewed-By: Christian Heimes <cheimes@redhat.com>

</pre>

</li>

<li>

<strong><a href="https://salsa.debian.org/freeipa-team/freeipa/-/commit/294694ad69fa909e2f699cb2dad0f36b966a246f">294694ad</a></strong>

<div>

<span>by Stanislav Levin</span>

<i>at 2020-02-13T15:39:34-03:00</i>

</div>

<pre class="commit-message" style="white-space: pre-wrap; margin: 0;">ipatests: Properly kill gpg-agent

There is a race condition exposed in 'test_gpg_asymmetric'.

The teardown of 'tempdir' fixture and gpg-agent being called

from the teardown of 'gpgkey' fixture could simultaneously

remove the gnugpg's socket files.

This results in an error like:

```

================= ERRORS ===================

_ ERROR at teardown of test_gpg_asymmetric __

...

>  os.unlink(entry.name, dir_fd=topfd)

E  FileNotFoundError: [Errno 2] No such file or directory: 'S.gpg-agent.extra'

/usr/lib64/python3.7/shutil.py:450: FileNotFoundError

```

The problem is that the agent is not terminated properly.

Instead, gpgconf could be used to kill daemonized gpg-agent.

Related: https://pagure.io/freeipa/issue/7989

Signed-off-by: Stanislav Levin <slev@altlinux.org>

Reviewed-By: Christian Heimes <cheimes@redhat.com>

</pre>

</li>

<li>

<strong><a href="https://salsa.debian.org/freeipa-team/freeipa/-/commit/5939c90752db9da1adaf8c0bfe6bec3d6c1e2ad6">5939c907</a></strong>

<div>

<span>by Stanislav Levin</span>

<i>at 2020-02-13T15:39:34-03:00</i>

</div>

<pre class="commit-message" style="white-space: pre-wrap; margin: 0;">pylint: Teach Pylint how to handle request.context

With Astroid change [0] a inference for builtin containers

was improved. This means that all the elements of such containers

will be inferred if they are not Python constants (previously

ignored).

This change introduces several issues, one of them is a volatile

error exposed at multi-job Pylinting, but could be guaranteed

produced at single-job mode as:

```

PYTHONPATH=. /usr/bin/python3 -m pylint --rcfile=./pylintrc \

    --load-plugins pylint_plugins ipaserver/plugins/dns.py ipalib/request.py

ipalib/request.py:76: [E1101(no-member), destroy_context] Instance of 'bool' has no 'disconnect' member)

-----------------------------------

Your code has been rated at 9.97/10

```

Or even adding 'context.some_attr = True' into ipalib/request.py.

It's should be treated as no one member of `context`'s attrs is a

`Connection` instance and has `destroy_context` member.

To tell Pylint that there are such members the corresponding

transformation is added.

[0] https://github.com/PyCQA/astroid/commit/79d5a3a7

Related: https://pagure.io/freeipa/issue/8116

Signed-off-by: Stanislav Levin <slev@altlinux.org>

Reviewed-By: Christian Heimes <cheimes@redhat.com>

</pre>

</li>

<li>

<strong><a href="https://salsa.debian.org/freeipa-team/freeipa/-/commit/3460db4ee7c7ce6c9a639a644a39c4df09ce31ac">3460db4e</a></strong>

<div>

<span>by Stanislav Levin</span>

<i>at 2020-02-13T15:39:34-03:00</i>

</div>

<pre class="commit-message" style="white-space: pre-wrap; margin: 0;">pylint: Synchronize pylint plugin to ipatests code

Pylint is a static analysis tool and therefore, couldn't always

analyze dynamic stuff properly. Transformation plugins is a way

to teach Pylint how to handle such cases.

Particularly, with the help of FreeIPA own plugin, it is possible

to tell Pylint about instance fields having a duck-typing nature.

A drawback exposed here is that a static view (Pylint's) of code

should be consistent with an actual one, otherwise, codebase will

be polluted with various skips of pylint checks.

* added missing fields to ipatests.test_integration.base.IntegrationTest

* an attempt is made to clear `no-member` skips for ipatests

* removed no longer needed `pytest` module transformation

Related: https://pagure.io/freeipa/issue/8116

Signed-off-by: Stanislav Levin <slev@altlinux.org>

Reviewed-By: Christian Heimes <cheimes@redhat.com>

</pre>

</li>

<li>

<strong><a href="https://salsa.debian.org/freeipa-team/freeipa/-/commit/6f48848562f4e9ab9584154fd85e6ad1ac331ecd">6f488485</a></strong>

<div>

<span>by Stanislav Levin</span>

<i>at 2020-02-13T15:39:34-03:00</i>

</div>

<pre class="commit-message" style="white-space: pre-wrap; margin: 0;">pylint: Clean up comment

I added a comment in @d0b420f6d, later, on refactoring in

@c6769ad12 I forgot to remove it. So, it is just a clean up.

Related: https://pagure.io/freeipa/issue/8116

Signed-off-by: Stanislav Levin <slev@altlinux.org>

Reviewed-By: Christian Heimes <cheimes@redhat.com>

</pre>

</li>

<li>

<strong><a href="https://salsa.debian.org/freeipa-team/freeipa/-/commit/44a59ff39a3f481e90043e546c892c9108231d67">44a59ff3</a></strong>

<div>

<span>by Stanislav Levin</span>

<i>at 2020-02-13T15:39:34-03:00</i>

</div>

<pre class="commit-message" style="white-space: pre-wrap; margin: 0;">lint: Make Pylint-2.4 happy again

This is the first time running Pylint-2.4 over the whole IPA codebase.

```

Pylint on /usr/bin/python is running, please wait ...

internal error with sending report for module ['ipaserver/plugins/serverroles.py']

maximum recursion depth exceeded while calling a Python object

************* Module ipatests.test_integration.base

ipatests/test_integration/base.py:84: [W0125(using-constant-test), IntegrationTest.install] Using a conditional statement with a constant value)

************* Module ipaserver.install.ipa_cacert_manage

ipaserver/install/ipa_cacert_manage.py:522: [R1724(no-else-continue), CACertManage.delete] Unnecessary "elif" after "continue")

```

The latest Pylint (via the Tox task) checks only:

```

{envsitepackagesdir}/ipaclient \

{envsitepackagesdir}/ipalib \

{envsitepackagesdir}/ipapython

```

, while the distro-Pylint runs over all project but it is not fresh.

That's why these warnings/errors weren't exposed before now.

Concerning `internal error`: a fix was accepted by upstream:

https://github.com/PyCQA/pylint/issues/3245, but wasn't released yet.

Until that is done, Pylint just warns.

Related: https://pagure.io/freeipa/issue/8116

Signed-off-by: Stanislav Levin <slev@altlinux.org>

Reviewed-By: Christian Heimes <cheimes@redhat.com>

</pre>

</li>

<li>

<strong><a href="https://salsa.debian.org/freeipa-team/freeipa/-/commit/b3dbb36867ebf52483834ceb247050a24cf74d7c">b3dbb368</a></strong>

<div>

<span>by Alexander Bokovoy</span>

<i>at 2020-02-13T21:20:13+02:00</i>

</div>

<pre class="commit-message" style="white-space: pre-wrap; margin: 0;">adtrust: print DNS records for external DNS case after role is enabled

We cannot gather information about required DNS records before "ADTrust

Controller" role is enabled on this server. As result, we need to call

the step to add DNS records after the role was enabled.

Fixes: https://pagure.io/freeipa/issue/8192

Signed-off-by: Alexander Bokovoy <abokovoy@redhat.com>

Reviewed-By: Florence Blanc-Renaud <frenaud@redhat.com>

</pre>

</li>

<li>

<strong><a href="https://salsa.debian.org/freeipa-team/freeipa/-/commit/936e27f75961c67e619ecfa641e256ce80662d68">936e27f7</a></strong>

<div>

<span>by Alexander Bokovoy</span>

<i>at 2020-02-14T09:24:58+02:00</i>

</div>

<pre class="commit-message" style="white-space: pre-wrap; margin: 0;">adtrust: print DNS records for external DNS case after role is enabled

We cannot gather information about required DNS records before "ADTrust

Controller" role is enabled on this server. As result, we need to call

the step to add DNS records after the role was enabled.

Fixes: https://pagure.io/freeipa/issue/8192

Signed-off-by: Alexander Bokovoy <abokovoy@redhat.com>

Reviewed-By: Florence Blanc-Renaud <frenaud@redhat.com>

</pre>

</li>

<li>

<strong><a href="https://salsa.debian.org/freeipa-team/freeipa/-/commit/0ff0ab85a8b1d90fb94e09bdbb3e9eeeb11d191a">0ff0ab85</a></strong>

<div>

<span>by Sergey Orlov</span>

<i>at 2020-02-14T09:27:40+02:00</i>

</div>

<pre class="commit-message" style="white-space: pre-wrap; margin: 0;">ipatests: add test_trust suite to nightly runs

The test suite test_trust was missing in nightly definitions

because PR-CI was not able to provision multi-AD topology.

Now that PR-CI is updated, we can start executing this test suite.

It is not reasonable to add it to gating as this suite is

time consuming like other tests requiring provisioning of AD instances.

Reviewed-By: Florence Blanc-Renaud <frenaud@redhat.com>

</pre>

</li>

<li>

<strong><a href="https://salsa.debian.org/freeipa-team/freeipa/-/commit/902821e8aa47936acac713023bff9a4009d8dfb7">902821e8</a></strong>

<div>

<span>by Stanislav Levin</span>

<i>at 2020-02-14T09:29:20+02:00</i>

</div>

<pre class="commit-message" style="white-space: pre-wrap; margin: 0;">ipatests: Allow zero-length arguments

Currently, such arguments are eaten by 'ipa-run-tests' script as they

are not quoted.

For example, running ipa-run-tests -k ''

results in the actual invocation would be like as:

['/bin/sh',

 '--norc',

 '--noprofile',

 '-c',

 '--',

 "/usr/bin/python3 -c 'import sys,pytest;sys.exit(pytest.main())' -o "

 'cache_dir=/tmp/pytest-of-root/pytest-12/test_ipa_run_tests_empty_expression0/.pytest_cache '

 '--confcutdir=/usr/lib64/python3/site-packages/ipatests -k ']

Note: expressions or marks could be empty as a result of the building

of command line args by more high-level tools, scripts, etc.

So, a short-termed solution is the quotting of zero-length arguments.

Fixes: https://pagure.io/freeipa/issue/8173

Signed-off-by: Stanislav Levin <slev@altlinux.org>

Reviewed-By: Alexander Bokovoy <abokovoy@redhat.com>

</pre>

</li>

<li>

<strong><a href="https://salsa.debian.org/freeipa-team/freeipa/-/commit/e1b6e3ba9b174fbe86dc2567fb8429d2e6473640">e1b6e3ba</a></strong>

<div>

<span>by François Cami</span>

<i>at 2020-02-14T09:33:43+02:00</i>

</div>

<pre class="commit-message" style="white-space: pre-wrap; margin: 0;">ipa-client-automount: call save_domain() for each change

Call sssdconfig.save_domain(domain) after each configuration

change during ipa-client-automount --uninstall.

Previously, sssdconfig.save_domain(domain) was called only

outside of the domain detection loop which changed the domain

configuration. This introduced issues as this method's behavior

is only consistent when configuration items are removed in a

certain order: https://pagure.io/SSSD/sssd/issue/4149

Plus, it is more correct to save the configuration from within

the loop if ever we support multiple domains.

Fixes: https://pagure.io/freeipa/issue/8190

Signed-off-by: François Cami <fcami@redhat.com>

Reviewed-By: Alexander Bokovoy <abokovoy@redhat.com>

</pre>

</li>

<li>

<strong><a href="https://salsa.debian.org/freeipa-team/freeipa/-/commit/5f9d5281848a4de3acd669caa277d1b830722b71">5f9d5281</a></strong>

<div>

<span>by François Cami</span>

<i>at 2020-02-14T09:33:43+02:00</i>

</div>

<pre class="commit-message" style="white-space: pre-wrap; margin: 0;">ipatests: make sure ipa-client-automount reverts sssd.conf

Due to https://pagure.io/SSSD/sssd/issue/4149 ipa-client-automount

fails to remove the ipa_automount_location entry from sssd.conf.

Test that autofs_provider and ipa_automount_location are removed.

Fixes: https://pagure.io/freeipa/issue/8190

Signed-off-by: François Cami <fcami@redhat.com>

Reviewed-By: Alexander Bokovoy <abokovoy@redhat.com>

</pre>

</li>

<li>

<strong><a href="https://salsa.debian.org/freeipa-team/freeipa/-/commit/87a1d34c3bf1e86ff6ac0fe0a3c26f0709893476">87a1d34c</a></strong>

<div>

<span>by Anuja More</span>

<i>at 2020-02-14T09:37:38+02:00</i>

</div>

<pre class="commit-message" style="white-space: pre-wrap; margin: 0;">ipatests: SSSD should fetch external groups without any limit.

When there are more external groups than default limit, then

SSSD should fetch all groups.

Related : https://pagure.io/SSSD/sssd/issue/4058

Signed-off-by: Anuja More <amore@redhat.com>

Reviewed-By: Florence Blanc-Renaud <frenaud@redhat.com>

</pre>

</li>

<li>

<strong><a href="https://salsa.debian.org/freeipa-team/freeipa/-/commit/209e0ac8a6a70dda2f3db7108991187683f0db73">209e0ac8</a></strong>

<div>

<span>by Christian Heimes</span>

<i>at 2020-02-14T09:40:40+02:00</i>

</div>

<pre class="commit-message" style="white-space: pre-wrap; margin: 0;">Remove dependency on custodia package

ipa-server no longer use any files and features from the custodia

package. The python3-custodia package provides all Custodia features for

ipa-custodia.service.

Signed-off-by: Christian Heimes <cheimes@redhat.com>

Reviewed-By: Alexander Bokovoy <abokovoy@redhat.com>

</pre>

</li>

<li>

<strong><a href="https://salsa.debian.org/freeipa-team/freeipa/-/commit/856fdbc183b31ea7432749ff3acb3ff5b73937e6">856fdbc1</a></strong>

<div>

<span>by Christian Heimes</span>

<i>at 2020-02-14T09:42:52+02:00</i>

</div>

<pre class="commit-message" style="white-space: pre-wrap; margin: 0;">dnsrecord: Treat empty list arguments correctly

dnsrecord_del fails when one of the record arguments is an empty list:

    AttrValueNotFound("AAAA record does not contain 'None'",)

The problem is caused by the fact that LDAPEntry.__getitem__ returns None

for empty lists. The code in the plugin considers None as a single entry

and maps it to vals = [None].

The patch maps None to empty list.

Fixes: https://pagure.io/freeipa/issue/8196

Signed-off-by: Christian Heimes <cheimes@redhat.com>

Reviewed-By: Alexander Bokovoy <abokovoy@redhat.com>

</pre>

</li>

<li>

<strong><a href="https://salsa.debian.org/freeipa-team/freeipa/-/commit/273ff2708cb99dded5e7ef51504cc8de9a4496db">273ff270</a></strong>

<div>

<span>by Julian Gethmann</span>

<i>at 2020-02-14T09:48:50+02:00</i>

</div>

<pre class="commit-message" style="white-space: pre-wrap; margin: 0;">Fix typo in idrange.py docstring

Reviewed-By: Alexander Bokovoy <abokovoy@redhat.com>

</pre>

</li>

<li>

<strong><a href="https://salsa.debian.org/freeipa-team/freeipa/-/commit/001de6eed70d96a3e1e12554e8320d8f18ebf5a6">001de6ee</a></strong>

<div>

<span>by Sergey Orlov</span>

<i>at 2020-02-14T12:48:34+01:00</i>

</div>

<pre class="commit-message" style="white-space: pre-wrap; margin: 0;">ipatests: add test_trust suite to nightly runs

The test suite test_trust was missing in nightly definitions

because PR-CI was not able to provision multi-AD topology.

Now that PR-CI is updated, we can start executing this test suite.

It is not reasonable to add it to gating as this suite is

time consuming like other tests requiring provisioning of AD instances.

Signed-off-by: Sergey Orlov <sorlov@redhat.com>

Reviewed-By: Florence Blanc-Renaud <flo@redhat.com>

</pre>

</li>

<li>

<strong><a href="https://salsa.debian.org/freeipa-team/freeipa/-/commit/6332aed9ba67e2ee759a9d988ba92139486469d4">6332aed9</a></strong>

<div>

<span>by François Cami</span>

<i>at 2020-02-14T17:38:19+01:00</i>

</div>

<pre class="commit-message" style="white-space: pre-wrap; margin: 0;">ipa-client-automount: call save_domain() for each change

Call sssdconfig.save_domain(domain) after each configuration

change during ipa-client-automount --uninstall.

Previously, sssdconfig.save_domain(domain) was called only

outside of the domain detection loop which changed the domain

configuration. This introduced issues as this method's behavior

is only consistent when configuration items are removed in a

certain order: https://pagure.io/SSSD/sssd/issue/4149

Plus, it is more correct to save the configuration from within

the loop if ever we support multiple domains.

Fixes: https://pagure.io/freeipa/issue/8190

Signed-off-by: François Cami <fcami@redhat.com>

Reviewed-By: Alexander Bokovoy <abokovoy@redhat.com>

</pre>

</li>

<li>

<strong><a href="https://salsa.debian.org/freeipa-team/freeipa/-/commit/7ae804c726970ae467a7f76efa21bae40405551d">7ae804c7</a></strong>

<div>

<span>by François Cami</span>

<i>at 2020-02-14T17:38:19+01:00</i>

</div>

<pre class="commit-message" style="white-space: pre-wrap; margin: 0;">ipatests: make sure ipa-client-automount reverts sssd.conf

Due to https://pagure.io/SSSD/sssd/issue/4149 ipa-client-automount

fails to remove the ipa_automount_location entry from sssd.conf.

Test that autofs_provider and ipa_automount_location are removed.

Fixes: https://pagure.io/freeipa/issue/8190

Signed-off-by: François Cami <fcami@redhat.com>

Reviewed-By: Alexander Bokovoy <abokovoy@redhat.com>

</pre>

</li>

<li>

<strong><a href="https://salsa.debian.org/freeipa-team/freeipa/-/commit/c35c066a6d7b7a493e22a4af3043d5d2a72133d4">c35c066a</a></strong>

<div>

<span>by Stanislav Levin</span>

<i>at 2020-02-16T12:13:10+02:00</i>

</div>

<pre class="commit-message" style="white-space: pre-wrap; margin: 0;">ipatests: Allow zero-length arguments

Currently, such arguments are eaten by 'ipa-run-tests' script as they

are not quoted.

For example, running ipa-run-tests -k ''

results in the actual invocation would be like as:

['/bin/sh',

 '--norc',

 '--noprofile',

 '-c',

 '--',

 "/usr/bin/python3 -c 'import sys,pytest;sys.exit(pytest.main())' -o "

 'cache_dir=/tmp/pytest-of-root/pytest-12/test_ipa_run_tests_empty_expression0/.pytest_cache '

 '--confcutdir=/usr/lib64/python3/site-packages/ipatests -k ']

Note: expressions or marks could be empty as a result of the building

of command line args by more high-level tools, scripts, etc.

So, a short-termed solution is the quotting of zero-length arguments.

Fixes: https://pagure.io/freeipa/issue/8173

Signed-off-by: Stanislav Levin <slev@altlinux.org>

Reviewed-By: Alexander Bokovoy <abokovoy@redhat.com>

</pre>

</li>

<li>

<strong><a href="https://salsa.debian.org/freeipa-team/freeipa/-/commit/b240b54bb4ff160851c7681914eb210934ae2abc">b240b54b</a></strong>

<div>

<span>by Christian Heimes</span>

<i>at 2020-02-16T12:15:52+02:00</i>

</div>

<pre class="commit-message" style="white-space: pre-wrap; margin: 0;">Remove dependency on custodia package

ipa-server no longer use any files and features from the custodia

package. The python3-custodia package provides all Custodia features for

ipa-custodia.service.

Signed-off-by: Christian Heimes <cheimes@redhat.com>

Reviewed-By: Alexander Bokovoy <abokovoy@redhat.com>

</pre>

</li>

<li>

<strong><a href="https://salsa.debian.org/freeipa-team/freeipa/-/commit/2ade60ac63ff9a626ae1ec17196121fe694ee212">2ade60ac</a></strong>

<div>

<span>by Christian Heimes</span>

<i>at 2020-02-16T12:17:45+02:00</i>

</div>

<pre class="commit-message" style="white-space: pre-wrap; margin: 0;">dnsrecord: Treat empty list arguments correctly

dnsrecord_del fails when one of the record arguments is an empty list:

    AttrValueNotFound("AAAA record does not contain 'None'",)

The problem is caused by the fact that LDAPEntry.__getitem__ returns None

for empty lists. The code in the plugin considers None as a single entry

and maps it to vals = [None].

The patch maps None to empty list.

Fixes: https://pagure.io/freeipa/issue/8196

Signed-off-by: Christian Heimes <cheimes@redhat.com>

Reviewed-By: Alexander Bokovoy <abokovoy@redhat.com>

</pre>

</li>

<li>

<strong><a href="https://salsa.debian.org/freeipa-team/freeipa/-/commit/e5291963a148c34582d90f2aa269e4a2214f9f6f">e5291963</a></strong>

<div>

<span>by Alexander Bokovoy</span>

<i>at 2020-02-17T16:03:11+02:00</i>

</div>

<pre class="commit-message" style="white-space: pre-wrap; margin: 0;">kdb: make sure audit_as_req callback signature change is preserved

audit_as_req() callback has changed its signature with MIT krb5 commit

20991d55efbe1f987c1dbc1065f2d58c8f34031b in 2017, we should preserve the

change for any newer DAL versions. Otherwise audit_as_req() callback

would reference wrong data and we might crash.

Fixes: https://pagure.io/freeipa/issue/8200

Signed-off-by: Alexander Bokovoy <abokovoy@redhat.com>

Reviewed-By: Christian Heimes <cheimes@redhat.com>

</pre>

</li>

<li>

<strong><a href="https://salsa.debian.org/freeipa-team/freeipa/-/commit/ba904672a21add3b0ab1808c5640ac786f194aad">ba904672</a></strong>

<div>

<span>by Alexander Bokovoy</span>

<i>at 2020-02-17T16:03:11+02:00</i>

</div>

<pre class="commit-message" style="white-space: pre-wrap; margin: 0;">Azure Pipelines: re-enable nodejs:12 stream for Fedora 31+

Reviewed-By: Christian Heimes <cheimes@redhat.com>

</pre>

</li>

<li>

<strong><a href="https://salsa.debian.org/freeipa-team/freeipa/-/commit/30b8c8b9985a5eb41e700b80fd03f95548e45fba">30b8c8b9</a></strong>

<div>

<span>by Alexander Bokovoy</span>

<i>at 2020-02-17T16:40:16+01:00</i>

</div>

<pre class="commit-message" style="white-space: pre-wrap; margin: 0;">kdb: make sure audit_as_req callback signature change is preserved

audit_as_req() callback has changed its signature with MIT krb5 commit

20991d55efbe1f987c1dbc1065f2d58c8f34031b in 2017, we should preserve the

change for any newer DAL versions. Otherwise audit_as_req() callback

would reference wrong data and we might crash.

Fixes: https://pagure.io/freeipa/issue/8200

Signed-off-by: Alexander Bokovoy <abokovoy@redhat.com>

Reviewed-By: Christian Heimes <cheimes@redhat.com>

</pre>

</li>

<li>

<strong><a href="https://salsa.debian.org/freeipa-team/freeipa/-/commit/4eb48492b354ecc30ffe1dd9654dcc0e0e833d64">4eb48492</a></strong>

<div>

<span>by Alexander Bokovoy</span>

<i>at 2020-02-17T16:40:16+01:00</i>

</div>

<pre class="commit-message" style="white-space: pre-wrap; margin: 0;">Azure Pipelines: re-enable nodejs:12 stream for Fedora 31+

Reviewed-By: Christian Heimes <cheimes@redhat.com>

</pre>

</li>

<li>

<strong><a href="https://salsa.debian.org/freeipa-team/freeipa/-/commit/2d0da2f9aff2e6256ae9f43838ca24335381e7e8">2d0da2f9</a></strong>

<div>

<span>by Anuja More</span>

<i>at 2020-02-17T16:49:50+01:00</i>

</div>

<pre class="commit-message" style="white-space: pre-wrap; margin: 0;">Update topology for test_integration/test_sssd.py

Added changes in topology for test_sssd.py

As in test it needs client also.

Signed-off-by: Anuja More <amore@redhat.com>

Reviewed-By: Florence Blanc-Renaud <flo@redhat.com>

Reviewed-By: Sergey Orlov <sorlov@redhat.com>

Reviewed-By: Mohammad Rizwan Yusuf <myusuf@redhat.com>

</pre>

</li>

<li>

<strong><a href="https://salsa.debian.org/freeipa-team/freeipa/-/commit/985c99fc7ad6fdd30d428d099e006b1a0836a87d">985c99fc</a></strong>

<div>

<span>by Anuja More</span>

<i>at 2020-02-17T16:49:50+01:00</i>

</div>

<pre class="commit-message" style="white-space: pre-wrap; margin: 0;">ipatests: Add test for ipa-extdom-extop plugin should allow @ in group name

If group contains @ in group name on AD,

then it should fetch successfully on ipa-client.

Related to: https://bugzilla.redhat.com/1746951

Signed-off-by: Anuja More <amore@redhat.com>

Reviewed-By: Florence Blanc-Renaud <flo@redhat.com>

Reviewed-By: Sergey Orlov <sorlov@redhat.com>

Reviewed-By: Mohammad Rizwan Yusuf <myusuf@redhat.com>

</pre>

</li>

<li>

<strong><a href="https://salsa.debian.org/freeipa-team/freeipa/-/commit/10e8e7af039fef0c7e5d84c9bc0034f7563d3f47">10e8e7af</a></strong>

<div>

<span>by Kaleemullah Siddiqui</span>

<i>at 2020-02-17T17:02:32+01:00</i>

</div>

<pre class="commit-message" style="white-space: pre-wrap; margin: 0;">Tests for backup-restore when pkg required is missing

Tests for ipa-restore behaviour when dns or adtrust

rpm is missing which is required during ipa-restore

https://pagure.io/freeipa/issue/7630

Signed-off-by: Kaleemullah Siddiqui <ksiddiqu@redhat.com>

Reviewed-By: Florence Blanc-Renaud <flo@redhat.com>

Reviewed-By: Alexander Bokovoy <abokovoy@redhat.com>

</pre>

</li>

<li>

<strong><a href="https://salsa.debian.org/freeipa-team/freeipa/-/commit/e4966f9c3f9566603be24e09f4803b3183898272">e4966f9c</a></strong>

<div>

<span>by Rob Crittenden</span>

<i>at 2020-02-18T09:15:57-05:00</i>

</div>

<pre class="commit-message" style="white-space: pre-wrap; margin: 0;">Don't fully quality the FQDN in ssbrowser.html for Chrome

The trailing dot causes it to not function as expected, remove

it from the example.

https://pagure.io/freeipa/issue/8201

Reviewed-By: Christian Heimes <cheimes@redhat.com>

</pre>

</li>

<li>

<strong><a href="https://salsa.debian.org/freeipa-team/freeipa/-/commit/f356d5734662d0a20f06702353b2f10f29b9f55d">f356d573</a></strong>

<div>

<span>by Rob Crittenden</span>

<i>at 2020-02-18T22:30:55-05:00</i>

</div>

<pre class="commit-message" style="white-space: pre-wrap; margin: 0;">Don't fully quality the FQDN in ssbrowser.html for Chrome

The trailing dot causes it to not function as expected, remove

it from the example.

https://pagure.io/freeipa/issue/8201

Reviewed-By: Christian Heimes <cheimes@redhat.com>

</pre>

</li>

<li>

<strong><a href="https://salsa.debian.org/freeipa-team/freeipa/-/commit/939ee59c2716aa2abf93ac78d44df937105b430d">939ee59c</a></strong>

<div>

<span>by Kaleemullah Siddiqui</span>

<i>at 2020-02-19T10:42:01+01:00</i>

</div>

<pre class="commit-message" style="white-space: pre-wrap; margin: 0;">Fix for regression from PR#3962

There was a regression caused in nightly run of test

TestBackupReinstallRestoreWithDNS of test_backup_and_restore

test suite because of PR#3962.

Signed-off-by: Kaleemullah Siddiqui <ksiddiqu@redhat.com>

Reviewed-By: Florence Blanc-Renaud <flo@redhat.com>

</pre>

</li>

<li>

<strong><a href="https://salsa.debian.org/freeipa-team/freeipa/-/commit/d4b8081e6c0a745451ff314f7a42d5ff344ac327">d4b8081e</a></strong>

<div>

<span>by Anuja More</span>

<i>at 2020-02-19T17:49:05+01:00</i>

</div>

<pre class="commit-message" style="white-space: pre-wrap; margin: 0;">ipatests: SSSD should fetch external groups without any limit.

When there are more external groups than default limit, then

SSSD should fetch all groups.

Related : https://pagure.io/SSSD/sssd/issue/4058

Signed-off-by: Anuja More <amore@redhat.com>

Reviewed-By: Florence Blanc-Renaud <flo@redhat.com>

</pre>

</li>

<li>

<strong><a href="https://salsa.debian.org/freeipa-team/freeipa/-/commit/3ced5532576779ee7bb2e7f15ff4b5039ba4daba">3ced5532</a></strong>

<div>

<span>by Kaleemullah Siddiqui</span>

<i>at 2020-02-19T17:52:47+01:00</i>

</div>

<pre class="commit-message" style="white-space: pre-wrap; margin: 0;">Tests for backup-restore when pkg required is missing

Tests for ipa-restore behaviour when dns or adtrust

rpm is missing which is required during ipa-restore

https://pagure.io/freeipa/issue/7630

Signed-off-by: Kaleemullah Siddiqui <ksiddiqu@redhat.com>

Reviewed-By: Florence Blanc-Renaud <flo@redhat.com>

</pre>

</li>

<li>

<strong><a href="https://salsa.debian.org/freeipa-team/freeipa/-/commit/b0d57d99e5719099ed0be0476985ab394b131cb0">b0d57d99</a></strong>

<div>

<span>by Mohammad Rizwan Yusuf</span>

<i>at 2020-02-20T08:40:54-05:00</i>

</div>

<pre class="commit-message" style="white-space: pre-wrap; margin: 0;">Test AES SHA 256 and 384 Kerberos enctypes enabled

AES SHA 256 and 384-bit enctypes supported by MIT kerberos but

was not enabled in IPA. This test is to check if these types are

enabled.

related: https://pagure.io/freeipa/issue/8110

Signed-off-by: Mohammad Rizwan Yusuf <myusuf@redhat.com>

Reviewed-By: Rob Crittenden <rcritten@redhat.com>

Reviewed-By: Francois Cami <fcami@redhat.com>

</pre>

</li>

<li>

<strong><a href="https://salsa.debian.org/freeipa-team/freeipa/-/commit/61577c851e81beabc65e5b96603b88e9f7ec973b">61577c85</a></strong>

<div>

<span>by Mohammad Rizwan Yusuf</span>

<i>at 2020-02-20T10:50:18-05:00</i>

</div>

<pre class="commit-message" style="white-space: pre-wrap; margin: 0;">Test AES SHA 256 and 384 Kerberos enctypes enabled

AES SHA 256 and 384-bit enctypes supported by MIT kerberos but

was not enabled in IPA. This test is to check if these types are

enabled.

related: https://pagure.io/freeipa/issue/8110

Signed-off-by: Mohammad Rizwan Yusuf <myusuf@redhat.com>

Reviewed-By: Rob Crittenden <rcritten@redhat.com>

Reviewed-By: Francois Cami <fcami@redhat.com>

</pre>

</li>

<li>

<strong><a href="https://salsa.debian.org/freeipa-team/freeipa/-/commit/fe21094c8eca948673c6ff0aac337ee3151d4be1">fe21094c</a></strong>

<div>

<span>by Mohammad Rizwan Yusuf</span>

<i>at 2020-02-24T08:45:06-05:00</i>

</div>

<pre class="commit-message" style="white-space: pre-wrap; margin: 0;">Test if certmonger reads the token in HSM

This is to ensure added HSM support for FreeIPA. This test adds

certificate with sofhsm token and checks if certmonger is tracking

it.

related : https://pagure.io/certmonger/issue/125

Signed-off-by: Mohammad Rizwan Yusuf <myusuf@redhat.com>

Reviewed-By: Rob Crittenden <rcritten@redhat.com>

</pre>

</li>

<li>

<strong><a href="https://salsa.debian.org/freeipa-team/freeipa/-/commit/806795422934c3220856bcaaf8810cdebd782fd4">80679542</a></strong>

<div>

<span>by Mohammad Rizwan Yusuf</span>

<i>at 2020-02-24T08:45:06-05:00</i>

</div>

<pre class="commit-message" style="white-space: pre-wrap; margin: 0;">Add certmonger wait_for_request that uses run_command

Add a little utility function to get the certmonger status

of a request id on a particular host and wait until it is either

failed on the CA or issued (or times out).

Reviewed-By: Rob Crittenden <rcritten@redhat.com>

</pre>

</li>

<li>

<strong><a href="https://salsa.debian.org/freeipa-team/freeipa/-/commit/51fcca535236e309dc6431ad68bad36bf8f56823">51fcca53</a></strong>

<div>

<span>by Thomas Woerner</span>

<i>at 2020-02-24T15:02:24+01:00</i>

</div>

<pre class="commit-message" style="white-space: pre-wrap; margin: 0;">ipaserver/plugins/hbacrule: Add HBAC to memberservice_hbacsvc* labels

The labels for memberservice_hbacsvc and memberservice_hbacsvcgroup are

only "Services" and "Service Groups" but they should be "HBAC Services"

and "HBAC Service Groups".

Reviewed-By: Christian Heimes <cheimes@redhat.com>

Reviewed-By: Rob Crittenden <rcritten@redhat.com>

</pre>

</li>

<li>

<strong><a href="https://salsa.debian.org/freeipa-team/freeipa/-/commit/9eb1be875276c61127663c3860228f03a66ebfbd">9eb1be87</a></strong>

<div>

<span>by Florence Blanc-Renaud</span>

<i>at 2020-02-24T15:06:04+01:00</i>

</div>

<pre class="commit-message" style="white-space: pre-wrap; margin: 0;">Part2: Don't fully quality the FQDN in ssbrowser.html for Chrome

The web page ssbrowser.html is displayed when the browser doesn't

enable javascript. When js is enabled, the content is taken from

ipaserver/plugins/internal.py.

The commit e4966f9 fixed a string in ssbrowser.html but did not

fix the corresponding string in ipaserver/plugins/internal.py,

resulting in a different page depending on javascript enabled/not

enabled.

This commit makes both contents consistent.

Fixes: https://pagure.io/freeipa/issue/8201

Reviewed-By: Kaleemullah Siddiqui <ksiddiqu@redhat.com>

</pre>

</li>

<li>

<strong><a href="https://salsa.debian.org/freeipa-team/freeipa/-/commit/eaf9e79c8000118317527caad4cf6aa521fd0028">eaf9e79c</a></strong>

<div>

<span>by Mohammad Rizwan Yusuf</span>

<i>at 2020-02-24T15:50:42-05:00</i>

</div>

<pre class="commit-message" style="white-space: pre-wrap; margin: 0;">Test if certmonger reads the token in HSM

This is to ensure added HSM support for FreeIPA. This test adds

certificate with sofhsm token and checks if certmonger is tracking

it.

related : https://pagure.io/certmonger/issue/125

Signed-off-by: Mohammad Rizwan Yusuf <myusuf@redhat.com>

Reviewed-By: Rob Crittenden <rcritten@redhat.com>

</pre>

</li>

<li>

<strong><a href="https://salsa.debian.org/freeipa-team/freeipa/-/commit/84ae778c8731b0934e011155b668acbb97d775c2">84ae778c</a></strong>

<div>

<span>by Mohammad Rizwan Yusuf</span>

<i>at 2020-02-24T15:50:42-05:00</i>

</div>

<pre class="commit-message" style="white-space: pre-wrap; margin: 0;">Add certmonger wait_for_request that uses run_command

Add a little utility function to get the certmonger status

of a request id on a particular host and wait until it is either

failed on the CA or issued (or times out).

Reviewed-By: Rob Crittenden <rcritten@redhat.com>

</pre>

</li>

<li>

<strong><a href="https://salsa.debian.org/freeipa-team/freeipa/-/commit/ecc398c409e41ff4d1014e6e88bb5c82d6c19f75">ecc398c4</a></strong>

<div>

<span>by Stanislav Levin</span>

<i>at 2020-02-25T18:02:12+02:00</i>

</div>

<pre class="commit-message" style="white-space: pre-wrap; margin: 0;">Azure: Allow to not provide tests to be ignored

As for now, a list of tests which will be ignored by Pytest is

mandatory. But actually, a list of tests to run is explicitly set

in yaml config. And thus, 'ignore' list should be an optional field.

This simplifies tests definitions to drop extra stuff.

Fixes: https://pagure.io/freeipa/issue/8202

Signed-off-by: Stanislav Levin <slev@altlinux.org>

Reviewed-By: Alexander Bokovoy <abokovoy@redhat.com>

</pre>

</li>

<li>

<strong><a href="https://salsa.debian.org/freeipa-team/freeipa/-/commit/157fa59e7ce29ea3d7f254a102f7af1bfd77e237">157fa59e</a></strong>

<div>

<span>by Stanislav Levin</span>

<i>at 2020-02-25T18:02:12+02:00</i>

</div>

<pre class="commit-message" style="white-space: pre-wrap; margin: 0;">Azure: Allow SSH for Docker environments

IPA integration tests utilize SSH as a transport to communicate

with IPA hosts. To run such tests Docker environments should

have configured SSH.

Fixes: https://pagure.io/freeipa/issue/8202

Signed-off-by: Stanislav Levin <slev@altlinux.org>

Reviewed-By: Alexander Bokovoy <abokovoy@redhat.com>

</pre>

</li>

<li>

<strong><a href="https://salsa.debian.org/freeipa-team/freeipa/-/commit/879855ce705770834d0be8182818ae672bc72063">879855ce</a></strong>

<div>

<span>by Stanislav Levin</span>

<i>at 2020-02-25T18:02:12+02:00</i>

</div>

<pre class="commit-message" style="white-space: pre-wrap; margin: 0;">Azure: Allow to run integration tests

Azure provides Microsoft-hosted agents having tasty resources [0].

For now (Feb 2020),

- (Linux only) Run steps in a cgroup that offers 6 GB of physical memory and

13 GB of total memory

- Provide at least 10 GB of storage for your source and build outputs.

This is enough to set up IPA environments consisted of not only master but also

replicas and clients and thus, run IPA integration tests.

New Azure IPA tests workflow:

+ 1) Azure generate jobs using Matrix strategy

  2) each job is run in parallel (up to 10) within its own VM (Ubuntu-18.04):

    a) downloads prepared Docker container image (artifact) from Azure cloud

       (built on Build Job) and loads the received image into local pool

  + b) docker-compose creates the Docker environment having a required number

       of replicas and/or clients

  + c) setup_containers.py script does the needed container's changes (DNS,

       SSH, etc.)

  + d) launch IPA tests on tests' controller

    e) publish tests results in JUnit format to provide a comprehensive test

       reporting and analytics experience via Azure WebUI [1]

    f) publish regular system logs as artifacts

[0] https://docs.microsoft.com/en-us/azure/devops/pipelines/agents/hosted?view=azure-devops

[1] https://docs.microsoft.com/en-us/azure/devops/pipelines/tasks/test/publish-test-results?view=azure-devops&tabs=yaml

Fixes: https://pagure.io/freeipa/issue/8202

Signed-off-by: Stanislav Levin <slev@altlinux.org>

Reviewed-By: Alexander Bokovoy <abokovoy@redhat.com>

</pre>

</li>

<li>

<strong><a href="https://salsa.debian.org/freeipa-team/freeipa/-/commit/b82515562a9b33c2e0fe345a0cc0bdd8c3cc1688">b8251556</a></strong>

<div>

<span>by Stanislav Levin</span>

<i>at 2020-02-25T18:02:12+02:00</i>

</div>

<pre class="commit-message" style="white-space: pre-wrap; margin: 0;">Azure: Make it possible to configure distro-specific stuff

This allows to run IPA tests on Azure using any distro.

To achieve this, one has to do:

1) place a platform specific template on 'ipatests/azure/templates/'

and make a soft link from 'ipatests/azure/templates/variables.yml' to

the new template.

2) place a configuration templates on these paths

3) templates have to answer the questions such as:

  a) which Docker image to use to build IPA packages (rpm, deb, etc.)

  b) how to prepare Build environment

  c) how to build IPA packages

  d) how to prepare environment to run Tox tests

  e) how to prepare environment to run WebUI unittests

  f) which base Docker image to use to build the new image to run

     IPA tests within it

Fixes: https://pagure.io/freeipa/issue/8202

Signed-off-by: Stanislav Levin <slev@altlinux.org>

Reviewed-By: Alexander Bokovoy <abokovoy@redhat.com>

</pre>

</li>

<li>

<strong><a href="https://salsa.debian.org/freeipa-team/freeipa/-/commit/fa104daf77902172f087c7026052fd9a59b4861a">fa104daf</a></strong>

<div>

<span>by Stanislav Levin</span>

<i>at 2020-02-25T18:02:12+02:00</i>

</div>

<pre class="commit-message" style="white-space: pre-wrap; margin: 0;">yamllint: Lint all the YAML files

For now, a list of YAML files' paths is hardcoded (even after

globbing) into Makefile.am. Moreover, Azure templates are not

checked at all until Azure triggered.

With this change, the list of YAMLs is populated automatically

on yamllinting.

Jinja templates are not parseable by a regular yaml module, to

skip such the YAML_TEMPLATE_FILES is utilized.

Fixes: https://pagure.io/freeipa/issue/8202

Signed-off-by: Stanislav Levin <slev@altlinux.org>

Reviewed-By: Alexander Bokovoy <abokovoy@redhat.com>

</pre>

</li>

<li>

<strong><a href="https://salsa.debian.org/freeipa-team/freeipa/-/commit/d3f1b9b43d55aafb59945ff9635abb4786e0b51a">d3f1b9b4</a></strong>

<div>

<span>by Stanislav Levin</span>

<i>at 2020-02-25T18:02:12+02:00</i>

</div>

<pre class="commit-message" style="white-space: pre-wrap; margin: 0;">Azure: Don't collect twice systemd_journal.log

This log file is collected by azure-run-tests.sh script and then by

Azure 'PublishPipelineArtifact' task. So, the same file gets into

logs artifact.

Fixes: https://pagure.io/freeipa/issue/8202

Signed-off-by: Stanislav Levin <slev@altlinux.org>

Reviewed-By: Alexander Bokovoy <abokovoy@redhat.com>

</pre>

</li>

<li>

<strong><a href="https://salsa.debian.org/freeipa-team/freeipa/-/commit/31d05650fbd784cf87e9dd325d2220c69d6f43ef">31d05650</a></strong>

<div>

<span>by Stanislav Levin</span>

<i>at 2020-02-25T18:02:12+02:00</i>

</div>

<pre class="commit-message" style="white-space: pre-wrap; margin: 0;">Azure: Add support for testing multi IPA environments

Currently, only one IPA environment is tested within Docker

containers. This is not efficient because Azure's agent gives

6 GB of physical memory and 13 GB of total memory (Feb 2020),

but limits CPU with 2 cores.

Next examples are for 'master-only' topologies.

Let's assume that only one member of github repo simultaneously

run CI. This allows to get the full strength of Azure.

Concurrency results for TestInstallMaster:

------------------------------------------

|    job concurrency      |  time/jobs   |

------------------------------------------

|             5           |     40/5     |

|             4           |     34/4     |

|             3           |     25/3     |

|             2           |     19/2     |

|             1           |     17/1     |

------------------------------------------

Results prove the limitation of 2 cores. So, in case of jobs'

number not exceeds the max capacity for parallel jobs(10) the

proposed method couldn't save time, but it reduces the used

jobs number up to 2 times. In other words, in this case CI

could pass 2 x tests.

But what if CI was triggered by several PRs? or jobs' number is

bigger than 10. For example, there are 20 tests to be run.

Concurrency results for TestInstallMaster and 20 input jobs:

------------------------------------------------------------------

|    job concurrency      |     time     | jobs used | jobs free |

------------------------------------------------------------------

|             5           |      40      |      4    |     6     |

|             4           |      34      |      5    |     5     |

|             3           |      25      |      7    |     3     |

|             2           |      19      |     10    |     0     |

|             1           |      34      |     20    |     0     |

------------------------------------------------------------------

So, in this case the optimal concurrency would be 4 since it

allows to run two CIs simultaneously (20 tasks on board) and get

results in 34 minutes for both. In other words, two people could

trigger CI from PR and don't wait for each other.

New Azure IPA tests workflow:

+ 1) generate-matrix.py script generates JSON from user's YAML [0]

  2) Azure generate jobs using Matrix strategy

  3) each job is run in parallel (up to 10) within its own VM (Ubuntu-18.04):

    a) downloads prepared Docker container image (artifact) from Azure cloud

       (built on Build Job) and loads the received image into local pool

  + b) GNU 'parallel' launch each IPA environment in parallel:

    + 1) docker-compose creates the Docker environment having a required number

         of replicas and/or clients

    + 2) setup_containers.py script does the needed container's changes (DNS,

         SSH, etc.)

    + 3) launch IPA tests on tests' controller

    c) publish tests results in JUnit format to provide a comprehensive test

       reporting and analytics experience via Azure WebUI [1]

    d) publish regular system logs as artifacts

[0]: https://docs.microsoft.com/en-us/azure/devops/pipelines/process/phases?view=azure-devops&tabs=yaml

Fixes: https://pagure.io/freeipa/issue/8202

Signed-off-by: Stanislav Levin <slev@altlinux.org>

Reviewed-By: Alexander Bokovoy <abokovoy@redhat.com>

</pre>

</li>

<li>

<strong><a href="https://salsa.debian.org/freeipa-team/freeipa/-/commit/e280a2f06ae1e7e78bc86122fbb6d6ceded9e34c">e280a2f0</a></strong>

<div>

<span>by Stanislav Levin</span>

<i>at 2020-02-25T18:02:12+02:00</i>

</div>

<pre class="commit-message" style="white-space: pre-wrap; margin: 0;">pylint: Run Pylint over Azure Python scripts

> Pylint is a tool that checks for errors in Python code, tries to enforce a

> coding standard and looks for code smells. It can also look for certain type

> errors, it can recommend suggestions about how particular blocks can be

> refactored and can offer you details about the code's complexity.

Fixes: https://pagure.io/freeipa/issue/8202

Signed-off-by: Stanislav Levin <slev@altlinux.org>

Reviewed-By: Alexander Bokovoy <abokovoy@redhat.com>

</pre>

</li>

<li>

<strong><a href="https://salsa.debian.org/freeipa-team/freeipa/-/commit/6daf4d2e10007b5c22a9e491e5372d25fd74fc88">6daf4d2e</a></strong>

<div>

<span>by Stanislav Levin</span>

<i>at 2020-02-25T18:02:12+02:00</i>

</div>

<pre class="commit-message" style="white-space: pre-wrap; margin: 0;">Azure: Sync Gating definitions to current PR-CI

Reviewed-By: Alexander Bokovoy <abokovoy@redhat.com>

</pre>

</li>

<li>

<strong><a href="https://salsa.debian.org/freeipa-team/freeipa/-/commit/1fa033c32d4c94ea9456a2a728893e206957930e">1fa033c3</a></strong>

<div>

<span>by Stanislav Levin</span>

<i>at 2020-02-25T18:02:12+02:00</i>

</div>

<pre class="commit-message" style="white-space: pre-wrap; margin: 0;">Azure: Preliminary check for provided limits

Reviewed-By: Alexander Bokovoy <abokovoy@redhat.com>

</pre>

</li>

<li>

<strong><a href="https://salsa.debian.org/freeipa-team/freeipa/-/commit/e925148ad9d5d8e36a61c68d0d247283c109a37e">e925148a</a></strong>

<div>

<span>by Stanislav Levin</span>

<i>at 2020-02-25T18:02:12+02:00</i>

</div>

<pre class="commit-message" style="white-space: pre-wrap; margin: 0;">Azure: Free Docker resources after usage

Reviewed-By: Alexander Bokovoy <abokovoy@redhat.com>

</pre>

</li>

<li>

<strong><a href="https://salsa.debian.org/freeipa-team/freeipa/-/commit/9203404cd5d9864bfcf6e5b1f4ae2c054464e757">9203404c</a></strong>

<div>

<span>by Stanislav Levin</span>

<i>at 2020-02-25T18:02:12+02:00</i>

</div>

<pre class="commit-message" style="white-space: pre-wrap; margin: 0;">Azure: Skip tests requiring external DNS

An external DNS is not supported yet, but it could be easily

implemented by adding another container with simple DNS server.

Reviewed-By: Alexander Bokovoy <abokovoy@redhat.com>

</pre>

</li>

<li>

<strong><a href="https://salsa.debian.org/freeipa-team/freeipa/-/commit/38e0a9f4c0bd38c204be5dde2d689308d9e153d6">38e0a9f4</a></strong>

<div>

<span>by Stanislav Levin</span>

<i>at 2020-02-25T18:02:12+02:00</i>

</div>

<pre class="commit-message" style="white-space: pre-wrap; margin: 0;">Azure: Rebalance tests

Reviewed-By: Alexander Bokovoy <abokovoy@redhat.com>

</pre>

</li>

<li>

<strong><a href="https://salsa.debian.org/freeipa-team/freeipa/-/commit/0a1e98cdf055867d8a02ed6a8eb65eabe2442a67">0a1e98cd</a></strong>

<div>

<span>by Stanislav Levin</span>

<i>at 2020-02-25T18:02:12+02:00</i>

</div>

<pre class="commit-message" style="white-space: pre-wrap; margin: 0;">Azure: Report elapsed time

Reviewed-By: Alexander Bokovoy <abokovoy@redhat.com>

</pre>

</li>

<li>

<strong><a href="https://salsa.debian.org/freeipa-team/freeipa/-/commit/8b5dc6a29e5e1893f9ec864bdde1f769ad6efc39">8b5dc6a2</a></strong>

<div>

<span>by Thomas Woerner</span>

<i>at 2020-02-25T15:34:32-05:00</i>

</div>

<pre class="commit-message" style="white-space: pre-wrap; margin: 0;">ipaserver/plugins/hbacrule: Add HBAC to memberservice_hbacsvc* labels

The labels for memberservice_hbacsvc and memberservice_hbacsvcgroup are

only "Services" and "Service Groups" but they should be "HBAC Services"

and "HBAC Service Groups".

Reviewed-By: Rob Crittenden <rcritten@redhat.com>

Reviewed-By: Christian Heimes <cheimes@redhat.com>

</pre>

</li>

<li>

<strong><a href="https://salsa.debian.org/freeipa-team/freeipa/-/commit/8a5bfaba83da700bed29fc82ef1d280bfabb8379">8a5bfaba</a></strong>

<div>

<span>by Florence Blanc-Renaud</span>

<i>at 2020-02-26T08:01:52+01:00</i>

</div>

<pre class="commit-message" style="white-space: pre-wrap; margin: 0;">Part2: Don't fully quality the FQDN in ssbrowser.html for Chrome

The web page ssbrowser.html is displayed when the browser doesn't

enable javascript. When js is enabled, the content is taken from

ipaserver/plugins/internal.py.

The commit e4966f9 fixed a string in ssbrowser.html but did not

fix the corresponding string in ipaserver/plugins/internal.py,

resulting in a different page depending on javascript enabled/not

enabled.

This commit makes both contents consistent.

Fixes: https://pagure.io/freeipa/issue/8201

Reviewed-By: Kaleemullah Siddiqui <ksiddiqu@redhat.com>

</pre>

</li>

<li>

<strong><a href="https://salsa.debian.org/freeipa-team/freeipa/-/commit/11d145300dcd1b9b986f259efa57eddcca9b2e32">11d14530</a></strong>

<div>

<span>by Stanislav Levin</span>

<i>at 2020-02-26T13:07:55+02:00</i>

</div>

<pre class="commit-message" style="white-space: pre-wrap; margin: 0;">Azure: Allow to not provide tests to be ignored

As for now, a list of tests which will be ignored by Pytest is

mandatory. But actually, a list of tests to run is explicitly set

in yaml config. And thus, 'ignore' list should be an optional field.

This simplifies tests definitions to drop extra stuff.

Fixes: https://pagure.io/freeipa/issue/8202

Signed-off-by: Stanislav Levin <slev@altlinux.org>

Reviewed-By: Alexander Bokovoy <abokovoy@redhat.com>

Reviewed-By: Alexander Bokovoy <abokovoy@redhat.com>

</pre>

</li>

<li>

<strong><a href="https://salsa.debian.org/freeipa-team/freeipa/-/commit/6a6e3f2339c5773f051aaea08922f6853ef5942d">6a6e3f23</a></strong>

<div>

<span>by Stanislav Levin</span>

<i>at 2020-02-26T13:07:55+02:00</i>

</div>

<pre class="commit-message" style="white-space: pre-wrap; margin: 0;">Azure: Allow SSH for Docker environments

IPA integration tests utilize SSH as a transport to communicate

with IPA hosts. To run such tests Docker environments should

have configured SSH.

Fixes: https://pagure.io/freeipa/issue/8202

Signed-off-by: Stanislav Levin <slev@altlinux.org>

Reviewed-By: Alexander Bokovoy <abokovoy@redhat.com>

Reviewed-By: Alexander Bokovoy <abokovoy@redhat.com>

</pre>

</li>

<li>

<strong><a href="https://salsa.debian.org/freeipa-team/freeipa/-/commit/d33b7d61fc8e012ecfd0354a6d3431301a66d768">d33b7d61</a></strong>

<div>

<span>by Stanislav Levin</span>

<i>at 2020-02-26T13:07:55+02:00</i>

</div>

<pre class="commit-message" style="white-space: pre-wrap; margin: 0;">Azure: Allow to run integration tests

Azure provides Microsoft-hosted agents having tasty resources [0].

For now (Feb 2020),

- (Linux only) Run steps in a cgroup that offers 6 GB of physical memory and

13 GB of total memory

- Provide at least 10 GB of storage for your source and build outputs.

This is enough to set up IPA environments consisted of not only master but also

replicas and clients and thus, run IPA integration tests.

New Azure IPA tests workflow:

+ 1) Azure generate jobs using Matrix strategy

  2) each job is run in parallel (up to 10) within its own VM (Ubuntu-18.04):

    a) downloads prepared Docker container image (artifact) from Azure cloud

       (built on Build Job) and loads the received image into local pool

  + b) docker-compose creates the Docker environment having a required number

       of replicas and/or clients

  + c) setup_containers.py script does the needed container's changes (DNS,

       SSH, etc.)

  + d) launch IPA tests on tests' controller

    e) publish tests results in JUnit format to provide a comprehensive test

       reporting and analytics experience via Azure WebUI [1]

    f) publish regular system logs as artifacts

[0] https://docs.microsoft.com/en-us/azure/devops/pipelines/agents/hosted?view=azure-devops

[1] https://docs.microsoft.com/en-us/azure/devops/pipelines/tasks/test/publish-test-results?view=azure-devops&tabs=yaml

Fixes: https://pagure.io/freeipa/issue/8202

Signed-off-by: Stanislav Levin <slev@altlinux.org>

Reviewed-By: Alexander Bokovoy <abokovoy@redhat.com>

Reviewed-By: Alexander Bokovoy <abokovoy@redhat.com>

</pre>

</li>

<li>

<strong><a href="https://salsa.debian.org/freeipa-team/freeipa/-/commit/198cd506592c8dc078e7956a42d0d4e0342cf86d">198cd506</a></strong>

<div>

<span>by Stanislav Levin</span>

<i>at 2020-02-26T13:07:55+02:00</i>

</div>

<pre class="commit-message" style="white-space: pre-wrap; margin: 0;">Azure: Make it possible to configure distro-specific stuff

This allows to run IPA tests on Azure using any distro.

To achieve this, one has to do:

1) place a platform specific template on 'ipatests/azure/templates/'

and make a soft link from 'ipatests/azure/templates/variables.yml' to

the new template.

2) place a configuration templates on these paths

3) templates have to answer the questions such as:

  a) which Docker image to use to build IPA packages (rpm, deb, etc.)

  b) how to prepare Build environment

  c) how to build IPA packages

  d) how to prepare environment to run Tox tests

  e) how to prepare environment to run WebUI unittests

  f) which base Docker image to use to build the new image to run

     IPA tests within it

Fixes: https://pagure.io/freeipa/issue/8202

Signed-off-by: Stanislav Levin <slev@altlinux.org>

Reviewed-By: Alexander Bokovoy <abokovoy@redhat.com>

Reviewed-By: Alexander Bokovoy <abokovoy@redhat.com>

</pre>

</li>

<li>

<strong><a href="https://salsa.debian.org/freeipa-team/freeipa/-/commit/2988f5f30c9379f8ac7cbfc56af382f2779479cf">2988f5f3</a></strong>

<div>

<span>by Stanislav Levin</span>

<i>at 2020-02-26T13:07:55+02:00</i>

</div>

<pre class="commit-message" style="white-space: pre-wrap; margin: 0;">yamllint: Lint all the YAML files

For now, a list of YAML files' paths is hardcoded (even after

globbing) into Makefile.am. Moreover, Azure templates are not

checked at all until Azure triggered.

With this change, the list of YAMLs is populated automatically

on yamllinting.

Jinja templates are not parseable by a regular yaml module, to

skip such the YAML_TEMPLATE_FILES is utilized.

Fixes: https://pagure.io/freeipa/issue/8202

Signed-off-by: Stanislav Levin <slev@altlinux.org>

Reviewed-By: Alexander Bokovoy <abokovoy@redhat.com>

Reviewed-By: Alexander Bokovoy <abokovoy@redhat.com>

</pre>

</li>

<li>

<strong><a href="https://salsa.debian.org/freeipa-team/freeipa/-/commit/685d902ca4cf10c8c440036016c2dd3e05d76222">685d902c</a></strong>

<div>

<span>by Stanislav Levin</span>

<i>at 2020-02-26T13:07:55+02:00</i>

</div>

<pre class="commit-message" style="white-space: pre-wrap; margin: 0;">Azure: Don't collect twice systemd_journal.log

This log file is collected by azure-run-tests.sh script and then by

Azure 'PublishPipelineArtifact' task. So, the same file gets into

logs artifact.

Fixes: https://pagure.io/freeipa/issue/8202

Signed-off-by: Stanislav Levin <slev@altlinux.org>

Reviewed-By: Alexander Bokovoy <abokovoy@redhat.com>

Reviewed-By: Alexander Bokovoy <abokovoy@redhat.com>

</pre>

</li>

<li>

<strong><a href="https://salsa.debian.org/freeipa-team/freeipa/-/commit/245a9dc93f086b685b09984ea4a3395b93fd5789">245a9dc9</a></strong>

<div>

<span>by Stanislav Levin</span>

<i>at 2020-02-26T13:07:55+02:00</i>

</div>

<pre class="commit-message" style="white-space: pre-wrap; margin: 0;">Azure: Add support for testing multi IPA environments

Currently, only one IPA environment is tested within Docker

containers. This is not efficient because Azure's agent gives

6 GB of physical memory and 13 GB of total memory (Feb 2020),

but limits CPU with 2 cores.

Next examples are for 'master-only' topologies.

Let's assume that only one member of github repo simultaneously

run CI. This allows to get the full strength of Azure.

Concurrency results for TestInstallMaster:

------------------------------------------

|    job concurrency      |  time/jobs   |

------------------------------------------

|             5           |     40/5     |

|             4           |     34/4     |

|             3           |     25/3     |

|             2           |     19/2     |

|             1           |     17/1     |

------------------------------------------

Results prove the limitation of 2 cores. So, in case of jobs'

number not exceeds the max capacity for parallel jobs(10) the

proposed method couldn't save time, but it reduces the used

jobs number up to 2 times. In other words, in this case CI

could pass 2 x tests.

But what if CI was triggered by several PRs? or jobs' number is

bigger than 10. For example, there are 20 tests to be run.

Concurrency results for TestInstallMaster and 20 input jobs:

------------------------------------------------------------------

|    job concurrency      |     time     | jobs used | jobs free |

------------------------------------------------------------------

|             5           |      40      |      4    |     6     |

|             4           |      34      |      5    |     5     |

|             3           |      25      |      7    |     3     |

|             2           |      19      |     10    |     0     |

|             1           |      34      |     20    |     0     |

------------------------------------------------------------------

So, in this case the optimal concurrency would be 4 since it

allows to run two CIs simultaneously (20 tasks on board) and get

results in 34 minutes for both. In other words, two people could

trigger CI from PR and don't wait for each other.

New Azure IPA tests workflow:

+ 1) generate-matrix.py script generates JSON from user's YAML [0]

  2) Azure generate jobs using Matrix strategy

  3) each job is run in parallel (up to 10) within its own VM (Ubuntu-18.04):

    a) downloads prepared Docker container image (artifact) from Azure cloud

       (built on Build Job) and loads the received image into local pool

  + b) GNU 'parallel' launch each IPA environment in parallel:

    + 1) docker-compose creates the Docker environment having a required number

         of replicas and/or clients

    + 2) setup_containers.py script does the needed container's changes (DNS,

         SSH, etc.)

    + 3) launch IPA tests on tests' controller

    c) publish tests results in JUnit format to provide a comprehensive test

       reporting and analytics experience via Azure WebUI [1]

    d) publish regular system logs as artifacts

[0]: https://docs.microsoft.com/en-us/azure/devops/pipelines/process/phases?view=azure-devops&tabs=yaml

Fixes: https://pagure.io/freeipa/issue/8202

Signed-off-by: Stanislav Levin <slev@altlinux.org>

Reviewed-By: Alexander Bokovoy <abokovoy@redhat.com>

Reviewed-By: Alexander Bokovoy <abokovoy@redhat.com>

</pre>

</li>

<li>

<strong><a href="https://salsa.debian.org/freeipa-team/freeipa/-/commit/3fff86757cfc7a78db33801e3c75e208b01660f7">3fff8675</a></strong>

<div>

<span>by Stanislav Levin</span>

<i>at 2020-02-26T13:07:55+02:00</i>

</div>

<pre class="commit-message" style="white-space: pre-wrap; margin: 0;">pylint: Run Pylint over Azure Python scripts

> Pylint is a tool that checks for errors in Python code, tries to enforce a

> coding standard and looks for code smells. It can also look for certain type

> errors, it can recommend suggestions about how particular blocks can be

> refactored and can offer you details about the code's complexity.

Fixes: https://pagure.io/freeipa/issue/8202

Signed-off-by: Stanislav Levin <slev@altlinux.org>

Reviewed-By: Alexander Bokovoy <abokovoy@redhat.com>

Reviewed-By: Alexander Bokovoy <abokovoy@redhat.com>

</pre>

</li>

<li>

<strong><a href="https://salsa.debian.org/freeipa-team/freeipa/-/commit/0fbdb1357ca3e861bba14d21ceb6e2a6e753a14c">0fbdb135</a></strong>

<div>

<span>by Stanislav Levin</span>

<i>at 2020-02-26T13:07:55+02:00</i>

</div>

<pre class="commit-message" style="white-space: pre-wrap; margin: 0;">Azure: Sync Gating definitions to current PR-CI

Reviewed-By: Alexander Bokovoy <abokovoy@redhat.com>

Reviewed-By: Alexander Bokovoy <abokovoy@redhat.com>

</pre>

</li>

<li>

<strong><a href="https://salsa.debian.org/freeipa-team/freeipa/-/commit/4e6e0c88bb2831b65c1a5a6f1f4a7f09c0b112cf">4e6e0c88</a></strong>

<div>

<span>by Stanislav Levin</span>

<i>at 2020-02-26T13:07:55+02:00</i>

</div>

<pre class="commit-message" style="white-space: pre-wrap; margin: 0;">Azure: Preliminary check for provided limits

Reviewed-By: Alexander Bokovoy <abokovoy@redhat.com>

Reviewed-By: Alexander Bokovoy <abokovoy@redhat.com>

</pre>

</li>

<li>

<strong><a href="https://salsa.debian.org/freeipa-team/freeipa/-/commit/4b2cdeef29094dd6b3e4f485993ad5f69c8d84b5">4b2cdeef</a></strong>

<div>

<span>by Stanislav Levin</span>

<i>at 2020-02-26T13:07:55+02:00</i>

</div>

<pre class="commit-message" style="white-space: pre-wrap; margin: 0;">Azure: Free Docker resources after usage

Reviewed-By: Alexander Bokovoy <abokovoy@redhat.com>

Reviewed-By: Alexander Bokovoy <abokovoy@redhat.com>

</pre>

</li>

<li>

<strong><a href="https://salsa.debian.org/freeipa-team/freeipa/-/commit/ec21ecc5c6677f9e87fc8ffa5652645469865230">ec21ecc5</a></strong>

<div>

<span>by Stanislav Levin</span>

<i>at 2020-02-26T13:07:55+02:00</i>

</div>

<pre class="commit-message" style="white-space: pre-wrap; margin: 0;">Azure: Skip tests requiring external DNS

An external DNS is not supported yet, but it could be easily

implemented by adding another container with simple DNS server.

Reviewed-By: Alexander Bokovoy <abokovoy@redhat.com>

Reviewed-By: Alexander Bokovoy <abokovoy@redhat.com>

</pre>

</li>

<li>

<strong><a href="https://salsa.debian.org/freeipa-team/freeipa/-/commit/1fe5c04cdd2f5f998f92debc7f3f46f2807ddc88">1fe5c04c</a></strong>

<div>

<span>by Stanislav Levin</span>

<i>at 2020-02-26T13:07:55+02:00</i>

</div>

<pre class="commit-message" style="white-space: pre-wrap; margin: 0;">Azure: Rebalance tests

Reviewed-By: Alexander Bokovoy <abokovoy@redhat.com>

Reviewed-By: Alexander Bokovoy <abokovoy@redhat.com>

</pre>

</li>

<li>

<strong><a href="https://salsa.debian.org/freeipa-team/freeipa/-/commit/8fd1eacfb5c49738f9a26124cfa7a2423244637b">8fd1eacf</a></strong>

<div>

<span>by Stanislav Levin</span>

<i>at 2020-02-26T13:07:55+02:00</i>

</div>

<pre class="commit-message" style="white-space: pre-wrap; margin: 0;">Azure: Report elapsed time

Reviewed-By: Alexander Bokovoy <abokovoy@redhat.com>

Reviewed-By: Alexander Bokovoy <abokovoy@redhat.com>

</pre>

</li>

<li>

<strong><a href="https://salsa.debian.org/freeipa-team/freeipa/-/commit/f589a8952c33a25794e577077bb3c0bda740667c">f589a895</a></strong>

<div>

<span>by Rob Crittenden</span>

<i>at 2020-02-26T13:42:10-05:00</i>

</div>

<pre class="commit-message" style="white-space: pre-wrap; margin: 0;">Fix div-by-zero when svc weight is 0 for all masters in location

The relative service weight output tries to show the relative

chance that any given master in a locaiton will be picked. This

didn't account for all masters having a weight of 0 which would

result in a divide-by-zero error.

Implement the following rules:

1. If all masters have weight == 0 then all are equally

   weighted.

2. If any masters have weight == 0 then they have an

   extremely small chance of being chosen, percentage is

   0.1.

3. Otherwise it's percentage change is based on the sum of

   the weights of non-zero masters.

https://pagure.io/freeipa/issue/8135

Reviewed-By: Alexander Bokovoy <abokovoy@redhat.com>

</pre>

</li>

<li>

<strong><a href="https://salsa.debian.org/freeipa-team/freeipa/-/commit/12d6864b6dc30155414e2483f7634684ccc9ee3e">12d6864b</a></strong>

<div>

<span>by Rob Crittenden</span>

<i>at 2020-02-26T15:34:34-05:00</i>

</div>

<pre class="commit-message" style="white-space: pre-wrap; margin: 0;">Fix div-by-zero when svc weight is 0 for all masters in location

The relative service weight output tries to show the relative

chance that any given master in a locaiton will be picked. This

didn't account for all masters having a weight of 0 which would

result in a divide-by-zero error.

Implement the following rules:

1. If all masters have weight == 0 then all are equally

   weighted.

2. If any masters have weight == 0 then they have an

   extremely small chance of being chosen, percentage is

   0.1.

3. Otherwise it's percentage change is based on the sum of

   the weights of non-zero masters.

https://pagure.io/freeipa/issue/8135

Reviewed-By: Alexander Bokovoy <abokovoy@redhat.com>

</pre>

</li>

<li>

<strong><a href="https://salsa.debian.org/freeipa-team/freeipa/-/commit/74cfaabedc4fd21c4960bd77b3483313ae943922">74cfaabe</a></strong>

<div>

<span>by Timo Aaltonen</span>

<i>at 2020-02-27T13:54:25+02:00</i>

</div>

<pre class="commit-message" style="white-space: pre-wrap; margin: 0;">Add debian/gitlab-ci.yaml.

</pre>

</li>

<li>

<strong><a href="https://salsa.debian.org/freeipa-team/freeipa/-/commit/ad8911c0550745ff7265694bab8db4a03bad7902">ad8911c0</a></strong>

<div>

<span>by Timo Aaltonen</span>

<i>at 2020-02-27T14:35:26+02:00</i>

</div>

<pre class="commit-message" style="white-space: pre-wrap; margin: 0;">fix gitlab-ci.yml filename, and use the current template

</pre>

</li>

<li>

<strong><a href="https://salsa.debian.org/freeipa-team/freeipa/-/commit/15ca2acd11a7815a82dacb075eb52c87fc3e8ba2">15ca2acd</a></strong>

<div>

<span>by Timo Aaltonen</span>

<i>at 2020-02-27T15:03:58+02:00</i>

</div>

<pre class="commit-message" style="white-space: pre-wrap; margin: 0;">re-add debian/control to git

</pre>

</li>

<li>

<strong><a href="https://salsa.debian.org/freeipa-team/freeipa/-/commit/011480816b103a38240a66d7eda5ac05b741e068">01148081</a></strong>

<div>

<span>by Timo Aaltonen</span>

<i>at 2020-02-27T15:41:20+02:00</i>

</div>

<pre class="commit-message" style="white-space: pre-wrap; margin: 0;">ci: allow blhc and piuparts to fail

</pre>

</li>

<li>

<strong><a href="https://salsa.debian.org/freeipa-team/freeipa/-/commit/1b61634da74b4b862883e553b43bb8015819ef7f">1b61634d</a></strong>

<div>

<span>by Timo Aaltonen</span>

<i>at 2020-02-27T15:42:26+02:00</i>

</div>

<pre class="commit-message" style="white-space: pre-wrap; margin: 0;">write-out-only-one-cert-per-file.diff: Fix writing CA cert to file.

</pre>

</li>

<li>

<strong><a href="https://salsa.debian.org/freeipa-team/freeipa/-/commit/b4fdbed8ad2bb4d32c0d48d9ced0e9bf548a300f">b4fdbed8</a></strong>

<div>

<span>by Timo Aaltonen</span>

<i>at 2020-02-28T12:58:24+02:00</i>

</div>

<pre class="commit-message" style="white-space: pre-wrap; margin: 0;">tests: Make failure an actual failure again, and dump only last 2000 lines on failure, also from ipaclient log.

</pre>

</li>

<li>

<strong><a href="https://salsa.debian.org/freeipa-team/freeipa/-/commit/ff6ea58f81b253e2aedf8a1ebc0583ca67a59a30">ff6ea58f</a></strong>

<div>

<span>by Timo Aaltonen</span>

<i>at 2020-02-28T14:35:11+02:00</i>

</div>

<pre class="commit-message" style="white-space: pre-wrap; margin: 0;">rules: Import architecture.mk.

</pre>

</li>

<li>

<strong><a href="https://salsa.debian.org/freeipa-team/freeipa/-/commit/c1660a4c023a28cdad40720fd91d7e57870b4808">c1660a4c</a></strong>

<div>

<span>by Armando Neto</span>

<i>at 2020-03-01T15:24:43-03:00</i>

</div>

<pre class="commit-message" style="white-space: pre-wrap; margin: 0;">prci: update fedora used for testing ipa-4-8

* Add nightly definitions to test with latest and previous versions of

  Fedora (30 and 31)

* Update gating and temp_commit to use the latest Fedora (31)

* Update templates used to include updated packages

Boxes used:

* https://app.vagrantup.com/freeipa/boxes/ci-ipa-4-8-f31/versions/0.0.3

* https://app.vagrantup.com/freeipa/boxes/ci-ipa-4-8-f30/versions/0.0.4

Signed-off-by: Armando Neto <abiagion@redhat.com>

Reviewed-By: Alexander Bokovoy <abokovoy@redhat.com>

</pre>

</li>

<li>

<strong><a href="https://salsa.debian.org/freeipa-team/freeipa/-/commit/132ef03acbe15f02fd2a2212741bdc1fa030fc84">132ef03a</a></strong>

<div>

<span>by Armando Neto</span>

<i>at 2020-03-01T15:26:13-03:00</i>

</div>

<pre class="commit-message" style="white-space: pre-wrap; margin: 0;">prci: bump version for latest and previous templates

Packages updated in the new templates.

Boxes:

* https://app.vagrantup.com/freeipa/boxes/ci-master-f31/versions/0.0.4

* https://app.vagrantup.com/freeipa/boxes/ci-master-f30/versions/0.0.7

Signed-off-by: Armando Neto <abiagion@redhat.com>

Reviewed-By: Alexander Bokovoy <abokovoy@redhat.com>

</pre>

</li>

<li>

<strong><a href="https://salsa.debian.org/freeipa-team/freeipa/-/commit/8007cec855fedc89593b0af92be282aa0e65e5c6">8007cec8</a></strong>

<div>

<span>by Anuja More</span>

<i>at 2020-03-03T10:23:58+02:00</i>

</div>

<pre class="commit-message" style="white-space: pre-wrap; margin: 0;">ipatests: Added test when 2FA prompting configurations is set.

Related : https://pagure.io/SSSD/sssd/issue/3264

Signed-off-by: Anuja More <amore@redhat.com>

Reviewed-By: Alexander Bokovoy <abokovoy@redhat.com>

</pre>

</li>

<li>

<strong><a href="https://salsa.debian.org/freeipa-team/freeipa/-/commit/1556f3f767c3fab7634b46a9193e363887558db0">1556f3f7</a></strong>

<div>

<span>by Mohammad Rizwan Yusuf</span>

<i>at 2020-03-03T08:11:51-05:00</i>

</div>

<pre class="commit-message" style="white-space: pre-wrap; margin: 0;">Test if server installer lock Bind9 recursion

This test is to check if recursion can be configured.

It checks if newly added file /etc/named/ipa-ext.conf

exists and /etc/named.conf should not have

'allow-recursion { any; };'. It also checks if ipa-backup

command backup the /etc/named/ipa-ext.conf file as well

related : https://pagure.io/freeipa/issue/8079

Signed-off-by: Mohammad Rizwan Yusuf <myusuf@redhat.com>

Reviewed-By: Rob Crittenden <rcritten@redhat.com>

</pre>

</li>

<li>

<strong><a href="https://salsa.debian.org/freeipa-team/freeipa/-/commit/3fbbd02b0e8bc5e4f196e8d26ecfa8c989dadabb">3fbbd02b</a></strong>

<div>

<span>by Mohammad Rizwan Yusuf</span>

<i>at 2020-03-03T13:59:17-05:00</i>

</div>

<pre class="commit-message" style="white-space: pre-wrap; margin: 0;">Test if server installer lock Bind9 recursion

This test is to check if recursion can be configured.

It checks if newly added file /etc/named/ipa-ext.conf

exists and /etc/named.conf should not have

'allow-recursion { any; };'. It also checks if ipa-backup

command backup the /etc/named/ipa-ext.conf file as well

related : https://pagure.io/freeipa/issue/8079

Signed-off-by: Mohammad Rizwan Yusuf <myusuf@redhat.com>

Reviewed-By: Rob Crittenden <rcritten@redhat.com>

</pre>

</li>

<li>

<strong><a href="https://salsa.debian.org/freeipa-team/freeipa/-/commit/dcdcbe37f42a219541716938fd34ac1df7d8170c">dcdcbe37</a></strong>

<div>

<span>by Anuja More</span>

<i>at 2020-03-04T13:11:26+02:00</i>

</div>

<pre class="commit-message" style="white-space: pre-wrap; margin: 0;">ipatests: Added test when 2FA prompting configurations is set.

Related : https://pagure.io/SSSD/sssd/issue/3264

Signed-off-by: Anuja More <amore@redhat.com>

Reviewed-By: Alexander Bokovoy <abokovoy@redhat.com>

</pre>

</li>

<li>

<strong><a href="https://salsa.debian.org/freeipa-team/freeipa/-/commit/9ee8657c2a76a418e56baee50b07f6ec089e622e">9ee8657c</a></strong>

<div>

<span>by Florence Blanc-Renaud</span>

<i>at 2020-03-05T07:20:15+01:00</i>

</div>

<pre class="commit-message" style="white-space: pre-wrap; margin: 0;">ipatests: fix TestSubCAkeyReplication

The test is using the output of openssl to compare the SubCA issuer name

with the expected value.

Depending on the version of openssl, the issuer can be displayed

differently (with/without space around the = character). On RHEL 7.x,

there is no space by default while on Fedora the space is used.

Calling openssl with -nameopt space_eq forces a consistent output, always

adding space around =.

Reviewed-By: Sudhir Menon <sumenon@redhat.com>

</pre>

</li>

<li>

<strong><a href="https://salsa.debian.org/freeipa-team/freeipa/-/commit/5b573bb9a34fec5d34a4509c68015951ec6669b9">5b573bb9</a></strong>

<div>

<span>by Vit Mojzis</span>

<i>at 2020-03-05T09:57:00+01:00</i>

</div>

<pre class="commit-message" style="white-space: pre-wrap; margin: 0;">Add freeipa-selinux subpackage

Add freeipa-selinux subpackage containing selinux policy for FreeIPA

server. This policy module will override the distribution policy.

Policy files where extracted from

https://github.com/fedora-selinux/selinux-policy

See Independent policy project guidelines for more details about

shipping custom SELinux policy.

https://fedoraproject.org/wiki/SELinux/IndependentPolicy

Reviewed-By: Christian Heimes <cheimes@redhat.com>

</pre>

</li>

<li>

<strong><a href="https://salsa.debian.org/freeipa-team/freeipa/-/commit/9288901f9be4f71894a0ee69f3996b680ba3dca0">9288901f</a></strong>

<div>

<span>by Christian Heimes</span>

<i>at 2020-03-05T09:57:00+01:00</i>

</div>

<pre class="commit-message" style="white-space: pre-wrap; margin: 0;">Integrate SELinux policy into build system

Hook up the new policy to autoconf and automake.

Signed-off-by: Christian Heimes <cheimes@redhat.com>

Reviewed-By: Christian Heimes <cheimes@redhat.com>

</pre>

</li>

<li>

<strong><a href="https://salsa.debian.org/freeipa-team/freeipa/-/commit/0c9949e8983e4befacbd4a40b5440008474a75a3">0c9949e8</a></strong>

<div>

<span>by Vit Mojzis</span>

<i>at 2020-03-05T09:57:00+01:00</i>

</div>

<pre class="commit-message" style="white-space: pre-wrap; margin: 0;">selinux: move BUILD_SELINUX_POLICY definition

BUILD_SELINUX_POLICY needs to be defined outside of ENABLE_SERVER

conditional block.

Fixes:

\# ./configure --disable-server

...

configure: error: conditional "BUILD_SELINUX_POLICY" was never defined.

Usually this means the macro was only invoked conditionally.

Reviewed-By: Christian Heimes <cheimes@redhat.com>

</pre>

</li>

<li>

<strong><a href="https://salsa.debian.org/freeipa-team/freeipa/-/commit/473f9baf26761cc70a0c36fe5d94446213509eb5">473f9baf</a></strong>

<div>

<span>by Vit Mojzis</span>

<i>at 2020-03-05T09:57:00+01:00</i>

</div>

<pre class="commit-message" style="white-space: pre-wrap; margin: 0;">selinux: Remove obsolete memcached access

Drop memcached_stream_connect access since memcached is no longer used.

Reviewed-By: Christian Heimes <cheimes@redhat.com>

</pre>

</li>

<li>

<strong><a href="https://salsa.debian.org/freeipa-team/freeipa/-/commit/68c72e344a29e27416af428f6dbf5300c85e66e1">68c72e34</a></strong>

<div>

<span>by Florence Blanc-Renaud</span>

<i>at 2020-03-05T14:40:58+01:00</i>

</div>

<pre class="commit-message" style="white-space: pre-wrap; margin: 0;">Privilege: add a helper checking if a principal has a given privilege

server_conncheck is ensuring that the caller has the expected privilege.

Move the code to a common place in ipaserver/plugins/privilege.py

Related: https://pagure.io/freeipa/issue/7600

Reviewed-By: Alexander Bokovoy <abokovoy@redhat.com>

Reviewed-By: Rob Crittenden <rcritten@redhat.com>

Reviewed-By: Sergey Orlov <sorlov@redhat.com>

</pre>

</li>

<li>

<strong><a href="https://salsa.debian.org/freeipa-team/freeipa/-/commit/911992b8bf33b40f650ec406444ca8b9b847b54e">911992b8</a></strong>

<div>

<span>by Florence Blanc-Renaud</span>

<i>at 2020-03-05T14:40:58+01:00</i>

</div>

<pre class="commit-message" style="white-space: pre-wrap; margin: 0;">ipa-adtrust-install: run remote configuration for new agents

When ipa-adtrust-install is run, the tool detects masters that are

not enabled as trust agents and propose to configure them. With the

current code, the Schema Compat plugin is not enabled on these new

trust agents and a manual restart of LDAP server + SSSD is required.

With this commit, ipa-adtrust-install now calls remote code on the new

agents through JSON RPC api, in order to configure the missing parts.

On the remote agent, the command is using DBus and oddjob to launch

a new command,

/usr/libexec/ipa/oddjob/org.freeipa.server.trust-enable-agent [--enable-compat]

This command configures the Schema Compat plugin if --enable-compat is

provided, then restarts LDAP server and SSSD.

If the remote agent is an older version and does not support remote

enablement, or if the remote server is not responding, the tool

ipa-adtrust-install prints a WARNING explaining the steps that need

to be manually executed in order to complete the installation, and

exits successfully (keeping the current behavior).

Fixes: https://pagure.io/freeipa/issue/7600

Reviewed-By: Alexander Bokovoy <abokovoy@redhat.com>

Reviewed-By: Rob Crittenden <rcritten@redhat.com>

Reviewed-By: Sergey Orlov <sorlov@redhat.com>

</pre>

</li>

<li>

<strong><a href="https://salsa.debian.org/freeipa-team/freeipa/-/commit/fc4c3ac795e3af48fcfd8dd51085f5ff98047f1e">fc4c3ac7</a></strong>

<div>

<span>by Florence Blanc-Renaud</span>

<i>at 2020-03-05T14:40:58+01:00</i>

</div>

<pre class="commit-message" style="white-space: pre-wrap; margin: 0;">ipatests: add test for ipa-adtrust-install --add-agents

Add tests checking the behavior of ipa-adtrust-install when

adding trust agents:

- try calling the remote method trust_enable_agent with

a principal missing the required privilege.

- try adding a trust agent when the remote node is stopped.

The installer must detect that he's not able to run the remote

commands and print a WARNING.

- try adding a trust agent when the remote node is running.

The WARNING must not be printed as the remote configuration is done.

- try adding a trust agent with --enable-compat.

The WARNING must not be printed and the Schema Compatibility plugin

must be enabled (the entries

cn=users/groups,cn=Schema Compatibility,cn=plugins,cn=config

must contain a new attribute schema-compat-lookup-nsswitch

(=user/group).

Thanks to sorlov for the nightly test definitions and new test.

Related: https://pagure.io/freeipa/issue/7600

Co-authored-by: Sergey Orlov <sorlov@redhat.com>

Signed-off-by: Florence Blanc-Renaud <flo@redhat.com>

Reviewed-By: Alexander Bokovoy <abokovoy@redhat.com>

Reviewed-By: Rob Crittenden <rcritten@redhat.com>

Reviewed-By: Sergey Orlov <sorlov@redhat.com>

</pre>

</li>

<li>

<strong><a href="https://salsa.debian.org/freeipa-team/freeipa/-/commit/66154f8bf79584b8fa6792e3d2ca534900dfa481">66154f8b</a></strong>

<div>

<span>by Florence Blanc-Renaud</span>

<i>at 2020-03-06T08:34:10+02:00</i>

</div>

<pre class="commit-message" style="white-space: pre-wrap; margin: 0;">Privilege: add a helper checking if a principal has a given privilege

server_conncheck is ensuring that the caller has the expected privilege.

Move the code to a common place in ipaserver/plugins/privilege.py

Related: https://pagure.io/freeipa/issue/7600

Reviewed-By: Alexander Bokovoy <abokovoy@redhat.com>

Reviewed-By: Rob Crittenden <rcritten@redhat.com>

Reviewed-By: Sergey Orlov <sorlov@redhat.com>

Reviewed-By: Alexander Bokovoy <abokovoy@redhat.com>

Reviewed-By: Rob Crittenden <rcritten@redhat.com>

Reviewed-By: Sergey Orlov <sorlov@redhat.com>

</pre>

</li>

<li>

<strong><a href="https://salsa.debian.org/freeipa-team/freeipa/-/commit/5edc674e7262ce4506c40b8c066207f9e5f55c33">5edc674e</a></strong>

<div>

<span>by Florence Blanc-Renaud</span>

<i>at 2020-03-06T08:34:10+02:00</i>

</div>

<pre class="commit-message" style="white-space: pre-wrap; margin: 0;">ipa-adtrust-install: run remote configuration for new agents

When ipa-adtrust-install is run, the tool detects masters that are

not enabled as trust agents and propose to configure them. With the

current code, the Schema Compat plugin is not enabled on these new

trust agents and a manual restart of LDAP server + SSSD is required.

With this commit, ipa-adtrust-install now calls remote code on the new

agents through JSON RPC api, in order to configure the missing parts.

On the remote agent, the command is using DBus and oddjob to launch

a new command,

/usr/libexec/ipa/oddjob/org.freeipa.server.trust-enable-agent [--enable-compat]

This command configures the Schema Compat plugin if --enable-compat is

provided, then restarts LDAP server and SSSD.

If the remote agent is an older version and does not support remote

enablement, or if the remote server is not responding, the tool

ipa-adtrust-install prints a WARNING explaining the steps that need

to be manually executed in order to complete the installation, and

exits successfully (keeping the current behavior).

Fixes: https://pagure.io/freeipa/issue/7600

Reviewed-By: Alexander Bokovoy <abokovoy@redhat.com>

Reviewed-By: Rob Crittenden <rcritten@redhat.com>

Reviewed-By: Sergey Orlov <sorlov@redhat.com>

Reviewed-By: Alexander Bokovoy <abokovoy@redhat.com>

Reviewed-By: Rob Crittenden <rcritten@redhat.com>

Reviewed-By: Sergey Orlov <sorlov@redhat.com>

</pre>

</li>

<li>

<strong><a href="https://salsa.debian.org/freeipa-team/freeipa/-/commit/4afd6e5e07061dde6e30b5352668bdf23cd6dedd">4afd6e5e</a></strong>

<div>

<span>by Florence Blanc-Renaud</span>

<i>at 2020-03-06T08:34:10+02:00</i>

</div>

<pre class="commit-message" style="white-space: pre-wrap; margin: 0;">ipatests: add test for ipa-adtrust-install --add-agents

Add tests checking the behavior of ipa-adtrust-install when

adding trust agents:

- try calling the remote method trust_enable_agent with

a principal missing the required privilege.

- try adding a trust agent when the remote node is stopped.

The installer must detect that he's not able to run the remote

commands and print a WARNING.

- try adding a trust agent when the remote node is running.

The WARNING must not be printed as the remote configuration is done.

- try adding a trust agent with --enable-compat.

The WARNING must not be printed and the Schema Compatibility plugin

must be enabled (the entries

cn=users/groups,cn=Schema Compatibility,cn=plugins,cn=config

must contain a new attribute schema-compat-lookup-nsswitch

(=user/group).

Thanks to sorlov for the nightly test definitions and new test.

Related: https://pagure.io/freeipa/issue/7600

Co-authored-by: Sergey Orlov <sorlov@redhat.com>

Signed-off-by: Florence Blanc-Renaud <flo@redhat.com>

Reviewed-By: Alexander Bokovoy <abokovoy@redhat.com>

Reviewed-By: Rob Crittenden <rcritten@redhat.com>

Reviewed-By: Sergey Orlov <sorlov@redhat.com>

Reviewed-By: Alexander Bokovoy <abokovoy@redhat.com>

Reviewed-By: Rob Crittenden <rcritten@redhat.com>

Reviewed-By: Sergey Orlov <sorlov@redhat.com>

</pre>

</li>

<li>

<strong><a href="https://salsa.debian.org/freeipa-team/freeipa/-/commit/4ca100999b691c22ff63154edd32af0e8040ef1f">4ca10099</a></strong>

<div>

<span>by Vit Mojzis</span>

<i>at 2020-03-06T08:35:33+02:00</i>

</div>

<pre class="commit-message" style="white-space: pre-wrap; margin: 0;">Add freeipa-selinux subpackage

Add freeipa-selinux subpackage containing selinux policy for FreeIPA

server. This policy module will override the distribution policy.

Policy files where extracted from

https://github.com/fedora-selinux/selinux-policy

See Independent policy project guidelines for more details about

shipping custom SELinux policy.

https://fedoraproject.org/wiki/SELinux/IndependentPolicy

Reviewed-By: Christian Heimes <cheimes@redhat.com>

</pre>

</li>

<li>

<strong><a href="https://salsa.debian.org/freeipa-team/freeipa/-/commit/18ce2033c04aed2c4a34f61b9ee3642b01f53017">18ce2033</a></strong>

<div>

<span>by Christian Heimes</span>

<i>at 2020-03-06T08:35:33+02:00</i>

</div>

<pre class="commit-message" style="white-space: pre-wrap; margin: 0;">Integrate SELinux policy into build system

Hook up the new policy to autoconf and automake.

Signed-off-by: Christian Heimes <cheimes@redhat.com>

Reviewed-By: Christian Heimes <cheimes@redhat.com>

</pre>

</li>

<li>

<strong><a href="https://salsa.debian.org/freeipa-team/freeipa/-/commit/bb6a5a5d9f850bde9b8d81c2dd51d41263c22cd4">bb6a5a5d</a></strong>

<div>

<span>by Vit Mojzis</span>

<i>at 2020-03-06T08:35:33+02:00</i>

</div>

<pre class="commit-message" style="white-space: pre-wrap; margin: 0;">selinux: move BUILD_SELINUX_POLICY definition

BUILD_SELINUX_POLICY needs to be defined outside of ENABLE_SERVER

conditional block.

Fixes:

\# ./configure --disable-server

...

configure: error: conditional "BUILD_SELINUX_POLICY" was never defined.

Usually this means the macro was only invoked conditionally.

Reviewed-By: Christian Heimes <cheimes@redhat.com>

</pre>

</li>

<li>

<strong><a href="https://salsa.debian.org/freeipa-team/freeipa/-/commit/96565414b3fd1e2c946b21f205a3ac3c4b5bad0c">96565414</a></strong>

<div>

<span>by Vit Mojzis</span>

<i>at 2020-03-06T08:35:33+02:00</i>

</div>

<pre class="commit-message" style="white-space: pre-wrap; margin: 0;">selinux: Remove obsolete memcached access

Drop memcached_stream_connect access since memcached is no longer used.

Reviewed-By: Christian Heimes <cheimes@redhat.com>

</pre>

</li>

<li>

<strong><a href="https://salsa.debian.org/freeipa-team/freeipa/-/commit/c444f7a35ada0dcb4f565557b7c71f3644fdd446">c444f7a3</a></strong>

<div>

<span>by Florence Blanc-Renaud</span>

<i>at 2020-03-06T08:37:32+02:00</i>

</div>

<pre class="commit-message" style="white-space: pre-wrap; margin: 0;">ipatests: fix TestSubCAkeyReplication

The test is using the output of openssl to compare the SubCA issuer name

with the expected value.

Depending on the version of openssl, the issuer can be displayed

differently (with/without space around the = character). On RHEL 7.x,

there is no space by default while on Fedora the space is used.

Calling openssl with -nameopt space_eq forces a consistent output, always

adding space around =.

Reviewed-By: Sudhir Menon <sumenon@redhat.com>

</pre>

</li>

<li>

<strong><a href="https://salsa.debian.org/freeipa-team/freeipa/-/commit/888c7ba938686a5fbc1c359e43a8e79989dee850">888c7ba9</a></strong>

<div>

<span>by Sergey Orlov</span>

<i>at 2020-03-09T16:17:13+01:00</i>

</div>

<pre class="commit-message" style="white-space: pre-wrap; margin: 0;">ipatests: update docstring to reflect changes in FileBackup.restore()

Reviewed-By: Alexander Bokovoy <abokovoy@redhat.com>

</pre>

</li>

<li>

<strong><a href="https://salsa.debian.org/freeipa-team/freeipa/-/commit/9450aef75f2ac064ea182c942d39400287a38bab">9450aef7</a></strong>

<div>

<span>by Sergey Orlov</span>

<i>at 2020-03-09T16:17:13+01:00</i>

</div>

<pre class="commit-message" style="white-space: pre-wrap; margin: 0;">ipatests: replace utility for editing sssd.conf

There are three patterns for editing sssd.conf in tests now:

1. using modify_sssd_conf() which allows to modify only domain sections

2. using remote_ini_file

3. direct file editing using `sed`

This patch introduces new utility function which combines advantages of

first two approaches:

* changes are verified against schema, so that mistakes can be spotted

  early

* has convenient interface for simple options modification,

  both in domain and service sections

* allows sophisticated modifications through SSSDConfig object

Fixes: https://pagure.io/freeipa/issue/8219

Reviewed-By: Alexander Bokovoy <abokovoy@redhat.com>

</pre>

</li>

<li>

<strong><a href="https://salsa.debian.org/freeipa-team/freeipa/-/commit/3dd679b31dcdab1447b9d19c94019aaf7a0db071">3dd679b3</a></strong>

<div>

<span>by Sergey Orlov</span>

<i>at 2020-03-09T16:17:13+01:00</i>

</div>

<pre class="commit-message" style="white-space: pre-wrap; margin: 0;">ipatests: use remote_sssd_config to modify sssd.conf

Replace usage of remote_ini_file with remote_sssd_config.

The latter verifies changes against schema which helps to spot the mistakes.

Related to: https://pagure.io/freeipa/issue/8219

Reviewed-By: Alexander Bokovoy <abokovoy@redhat.com>

</pre>

</li>

<li>

<strong><a href="https://salsa.debian.org/freeipa-team/freeipa/-/commit/e01e7fe6c64ef0d75c7256cc4fa631b0c296edd2">e01e7fe6</a></strong>

<div>

<span>by Sergey Orlov</span>

<i>at 2020-03-09T16:17:13+01:00</i>

</div>

<pre class="commit-message" style="white-space: pre-wrap; margin: 0;">ipatests: remove invalid parameter from sssd.conf

`use_fully_qualified_names` is not a valid parameter for `[sssd]` section

of sssd.conf, it can be specified only in domain section.

According to `man sssd.conf` it simply requires all requests to be fully

qualified, otherwise no result will be found. It is irrelevant to the

test scenario, so removing it.

Related to: https://pagure.io/freeipa/issue/8219

Reviewed-By: Alexander Bokovoy <abokovoy@redhat.com>

</pre>

</li>

<li>

<strong><a href="https://salsa.debian.org/freeipa-team/freeipa/-/commit/9cb8984112ff31721b71dcdd4febcc23c2641691">9cb89841</a></strong>

<div>

<span>by Sergey Orlov</span>

<i>at 2020-03-10T17:41:38+01:00</i>

</div>

<pre class="commit-message" style="white-space: pre-wrap; margin: 0;">ipatests: update docstring to reflect changes in FileBackup.restore()

Reviewed-By: Alexander Bokovoy <abokovoy@redhat.com>

</pre>

</li>

<li>

<strong><a href="https://salsa.debian.org/freeipa-team/freeipa/-/commit/5ff9b6e2a506c3ef1179655ae2d2e479005ec99e">5ff9b6e2</a></strong>

<div>

<span>by Sergey Orlov</span>

<i>at 2020-03-10T17:41:38+01:00</i>

</div>

<pre class="commit-message" style="white-space: pre-wrap; margin: 0;">ipatests: replace utility for editing sssd.conf

There are three patterns for editing sssd.conf in tests now:

1. using modify_sssd_conf() which allows to modify only domain sections

2. using remote_ini_file

3. direct file editing using `sed`

This patch introduces new utility function which combines advantages of

first two approaches:

* changes are verified against schema, so that mistakes can be spotted

  early

* has convenient interface for simple options modification,

  both in domain and service sections

* allows sophisticated modifications through SSSDConfig object

Fixes: https://pagure.io/freeipa/issue/8219

Reviewed-By: Alexander Bokovoy <abokovoy@redhat.com>

</pre>

</li>

<li>

<strong><a href="https://salsa.debian.org/freeipa-team/freeipa/-/commit/32584ed34f466e8f474e22d778e3e964d0fcd2c4">32584ed3</a></strong>

<div>

<span>by Sergey Orlov</span>

<i>at 2020-03-10T17:41:38+01:00</i>

</div>

<pre class="commit-message" style="white-space: pre-wrap; margin: 0;">ipatests: use remote_sssd_config to modify sssd.conf

Replace usage of remote_ini_file with remote_sssd_config.

The latter verifies changes against schema which helps to spot the mistakes.

Related to: https://pagure.io/freeipa/issue/8219

Reviewed-By: Alexander Bokovoy <abokovoy@redhat.com>

</pre>

</li>

<li>

<strong><a href="https://salsa.debian.org/freeipa-team/freeipa/-/commit/a1695722125674204b6e880b6ac652d78b783c88">a1695722</a></strong>

<div>

<span>by Sergey Orlov</span>

<i>at 2020-03-10T17:41:38+01:00</i>

</div>

<pre class="commit-message" style="white-space: pre-wrap; margin: 0;">ipatests: remove invalid parameter from sssd.conf

`use_fully_qualified_names` is not a valid parameter for `[sssd]` section

of sssd.conf, it can be specified only in domain section.

According to `man sssd.conf` it simply requires all requests to be fully

qualified, otherwise no result will be found. It is irrelevant to the

test scenario, so removing it.

Related to: https://pagure.io/freeipa/issue/8219

Reviewed-By: Alexander Bokovoy <abokovoy@redhat.com>

</pre>

</li>

<li>

<strong><a href="https://salsa.debian.org/freeipa-team/freeipa/-/commit/233a18b2a24d814518a119bd3f1688a0eb361917">233a18b2</a></strong>

<div>

<span>by Florence Blanc-Renaud</span>

<i>at 2020-03-10T18:21:50+01:00</i>

</div>

<pre class="commit-message" style="white-space: pre-wrap; margin: 0;">ipa-adtrust-install: remote command fails if ipa-server-trust-ad pkg missing

When the command ipa-adtrust-install --add-agents is run, it executes

remotely the command trust_enable_agent. This command does not require

the package ipa-server-trust-ad to be installed on the remote node, but

fails if it's not the case because dbus is not imported.

Need to move the "import dbus" outside of the try/except related to

dcerpc import.

Related: https://pagure.io/freeipa/issue/7600

Reviewed-By: Alexander Bokovoy <abokovoy@redhat.com>

Reviewed-By: Christian Heimes <cheimes@redhat.com>

</pre>

</li>

<li>

<strong><a href="https://salsa.debian.org/freeipa-team/freeipa/-/commit/1fbc4e01ea5be004f7c57cb71df2d37659271d68">1fbc4e01</a></strong>

<div>

<span>by Florence Blanc-Renaud</span>

<i>at 2020-03-10T18:21:50+01:00</i>

</div>

<pre class="commit-message" style="white-space: pre-wrap; margin: 0;">selinux policy: add the right context for org.freeipa.server.trust-enable-agent

This commit sets the system_u:object_r:ipa_helper_exec_t:s0 context to the

oddjob script org.freeipa.server.trust-enable-agent.

Without this context, oddjob cannot launch the command

/usr/libexec/ipa/oddjob/org.freeipa.server.trust-enable-agent

when ipa-adtrust-install --add-agents is run with SElinux enforcing.

Related: https://pagure.io/freeipa/issue/7600

Reviewed-By: Alexander Bokovoy <abokovoy@redhat.com>

Reviewed-By: Christian Heimes <cheimes@redhat.com>

</pre>

</li>

<li>

<strong><a href="https://salsa.debian.org/freeipa-team/freeipa/-/commit/21c923c4cf21f30f20ec4b21c488db6f6fa92b67">21c923c4</a></strong>

<div>

<span>by Florence Blanc-Renaud</span>

<i>at 2020-03-11T09:36:15+01:00</i>

</div>

<pre class="commit-message" style="white-space: pre-wrap; margin: 0;">ipa-adtrust-install: remote command fails if ipa-server-trust-ad pkg missing

When the command ipa-adtrust-install --add-agents is run, it executes

remotely the command trust_enable_agent. This command does not require

the package ipa-server-trust-ad to be installed on the remote node, but

fails if it's not the case because dbus is not imported.

Need to move the "import dbus" outside of the try/except related to

dcerpc import.

Related: https://pagure.io/freeipa/issue/7600

Reviewed-By: Christian Heimes <cheimes@redhat.com>

Reviewed-By: Alexander Bokovoy <abokovoy@redhat.com>

</pre>

</li>

<li>

<strong><a href="https://salsa.debian.org/freeipa-team/freeipa/-/commit/df0df14bf31dba5800747aa08824b24b8be41eab">df0df14b</a></strong>

<div>

<span>by Florence Blanc-Renaud</span>

<i>at 2020-03-11T09:36:15+01:00</i>

</div>

<pre class="commit-message" style="white-space: pre-wrap; margin: 0;">selinux policy: add the right context for org.freeipa.server.trust-enable-agent

This commit sets the system_u:object_r:ipa_helper_exec_t:s0 context to the

oddjob script org.freeipa.server.trust-enable-agent.

Without this context, oddjob cannot launch the command

/usr/libexec/ipa/oddjob/org.freeipa.server.trust-enable-agent

when ipa-adtrust-install --add-agents is run with SElinux enforcing.

Related: https://pagure.io/freeipa/issue/7600

Reviewed-By: Christian Heimes <cheimes@redhat.com>

Reviewed-By: Alexander Bokovoy <abokovoy@redhat.com>

</pre>

</li>

<li>

<strong><a href="https://salsa.debian.org/freeipa-team/freeipa/-/commit/593fac1ca9381a51ee59fac994d818ed9619bd8e">593fac1c</a></strong>

<div>

<span>by Alexander Bokovoy</span>

<i>at 2020-03-11T17:41:17+01:00</i>

</div>

<pre class="commit-message" style="white-space: pre-wrap; margin: 0;">Tighten permissions on PKI proxy configuration

As we need to store credentials for AJP protocol comminucation,

ensure only root can read the configuration file.

Related: https://pagure.io/freeipa/issue/8221

Signed-off-by: Alexander Bokovoy <abokovoy@redhat.com>

Reviewed-By: Christian Heimes <cheimes@redhat.com>

Reviewed-By: Florence Blanc-Renaud <flo@redhat.com>

Reviewed-By: Rob Crittenden <rcritten@redhat.com>

</pre>

</li>

<li>

<strong><a href="https://salsa.debian.org/freeipa-team/freeipa/-/commit/ec73de969f55b7a005b6401029f87fe6a225a417">ec73de96</a></strong>

<div>

<span>by Alexander Bokovoy</span>

<i>at 2020-03-11T17:41:17+01:00</i>

</div>

<pre class="commit-message" style="white-space: pre-wrap; margin: 0;">Secure AJP connector between Dogtag and Apache proxy

AJP implementation in Tomcat is vulnerable to CVE-2020-1938 if used

without shared secret. Set up a shared secret between localhost

connector and Apache mod_proxy_ajp pass-through.

For existing secured AJP pass-through make sure the option used for

configuration on the tomcat side is up to date. Tomcat 9.0.31.0

deprecated 'requiredSecret' option name in favor of 'secret'. Details

can be found at https://tomcat.apache.org/migration-9.html#Upgrading_9.0.x

Fixes: https://pagure.io/freeipa/issue/8221

Signed-off-by: Alexander Bokovoy <abokovoy@redhat.com>

Reviewed-By: Christian Heimes <cheimes@redhat.com>

Reviewed-By: Florence Blanc-Renaud <flo@redhat.com>

Reviewed-By: Rob Crittenden <rcritten@redhat.com>

</pre>

</li>

<li>

<strong><a href="https://salsa.debian.org/freeipa-team/freeipa/-/commit/6739d8722c4a3e84cdcf1e058c6fd15317ac0ca4">6739d872</a></strong>

<div>

<span>by Mohammad Rizwan Yusuf</span>

<i>at 2020-03-11T15:48:42-04:00</i>

</div>

<pre class="commit-message" style="white-space: pre-wrap; margin: 0;">Move wait_for_request() method to tasks.py

Moved the method so that it can be used by other modules too

Signed-off-by: Mohammad Rizwan Yusuf <myusuf@redhat.com>

Reviewed-By: Rob Crittenden <rcritten@redhat.com>

</pre>

</li>

<li>

<strong><a href="https://salsa.debian.org/freeipa-team/freeipa/-/commit/9bcc57d9e01625a122811a50f78acde247b5791d">9bcc57d9</a></strong>

<div>

<span>by Mohammad Rizwan Yusuf</span>

<i>at 2020-03-11T15:48:42-04:00</i>

</div>

<pre class="commit-message" style="white-space: pre-wrap; margin: 0;">Test if getcert creates cacert file with -F option

It took longer to create the cacert file in older version.

restarting the certmonger service creates the file at the location

specified by -F option. This fix is to check that cacert file

creates immediately after certificate goes into MONITORING state.

related: https://pagure.io/freeipa/issue/8105

Signed-off-by: Mohammad Rizwan Yusuf <myusuf@redhat.com>

Reviewed-By: Rob Crittenden <rcritten@redhat.com>

</pre>

</li>

<li>

<strong><a href="https://salsa.debian.org/freeipa-team/freeipa/-/commit/7c059c81ce61d70ec3c855881902a8ca1f08eeed">7c059c81</a></strong>

<div>

<span>by Sergey Orlov</span>

<i>at 2020-03-12T07:39:12+01:00</i>

</div>

<pre class="commit-message" style="white-space: pre-wrap; margin: 0;">ipatests: provide docstrings instead of imporperly placed comments

Related to: https://bugzilla.redhat.com/show_bug.cgi?id=1685581

Reviewed-By: Florence Blanc-Renaud <flo@redhat.com>

</pre>

</li>

<li>

<strong><a href="https://salsa.debian.org/freeipa-team/freeipa/-/commit/8dd663e0c2cbc6c6fec43ffcc09259f9be336429">8dd663e0</a></strong>

<div>

<span>by Sergey Orlov</span>

<i>at 2020-03-12T07:39:12+01:00</i>

</div>

<pre class="commit-message" style="white-space: pre-wrap; margin: 0;">ipatests: add test for SSSD updating expired cache items

New test checks that sssd updates expired cache values both for IPA

domain and trusted AD domain.

Related to: https://pagure.io/SSSD/sssd/issue/4012

Reviewed-By: Florence Blanc-Renaud <flo@redhat.com>

</pre>

</li>

<li>

<strong><a href="https://salsa.debian.org/freeipa-team/freeipa/-/commit/b88562b2c866eef0b75e1aca9b32d55fbc2b3a8d">b88562b2</a></strong>

<div>

<span>by Christian Heimes</span>

<i>at 2020-03-12T07:46:59+01:00</i>

</div>

<pre class="commit-message" style="white-space: pre-wrap; margin: 0;">Cleanup SELinux policy

* Remove FC for /usr/libexec/ipa/com.redhat.idm.trust-fetch-domains. The

  file has been moved to oddjobs/ subdirectory a long time ago.

* Simplify FC for oddjob scripts. All com.redhat.idm.* and org.freeipa.*

  scripts are labeled as ipa_helper_exec_t.

* use miscfiles_read_generic_certs() instead of deprecated

  miscfiles_read_certs() to address the warning:

```

Warning: miscfiles_read_certs() has been deprecated, please use miscfiles_read_generic_certs() instead.

```

(Also add org.freeipa.server.trust-enable-agent to .gitignore)

Related: https://pagure.io/freeipa/issue/6891

Signed-off-by: Christian Heimes <cheimes@redhat.com>

Reviewed-By: Florence Blanc-Renaud <flo@redhat.com>

</pre>

</li>

<li>

<strong><a href="https://salsa.debian.org/freeipa-team/freeipa/-/commit/1deb1010b245df6c363c5655f9a548bdf4dbc040">1deb1010</a></strong>

<div>

<span>by Alexander Bokovoy</span>

<i>at 2020-03-12T07:50:13+01:00</i>

</div>

<pre class="commit-message" style="white-space: pre-wrap; margin: 0;">Tighten permissions on PKI proxy configuration

As we need to store credentials for AJP protocol comminucation,

ensure only root can read the configuration file.

Related: https://pagure.io/freeipa/issue/8221

Signed-off-by: Alexander Bokovoy <abokovoy@redhat.com>

Reviewed-By: Florence Blanc-Renaud <flo@redhat.com>

Reviewed-By: Christian Heimes <cheimes@redhat.com>

Reviewed-By: Rob Crittenden <rcritten@redhat.com>

</pre>

</li>

<li>

<strong><a href="https://salsa.debian.org/freeipa-team/freeipa/-/commit/d4d8b98c3588b212db6a26610e690cccb3af84ca">d4d8b98c</a></strong>

<div>

<span>by Alexander Bokovoy</span>

<i>at 2020-03-12T07:50:13+01:00</i>

</div>

<pre class="commit-message" style="white-space: pre-wrap; margin: 0;">Secure AJP connector between Dogtag and Apache proxy

AJP implementation in Tomcat is vulnerable to CVE-2020-1938 if used

without shared secret. Set up a shared secret between localhost

connector and Apache mod_proxy_ajp pass-through.

For existing secured AJP pass-through make sure the option used for

configuration on the tomcat side is up to date. Tomcat 9.0.31.0

deprecated 'requiredSecret' option name in favor of 'secret'. Details

can be found at https://tomcat.apache.org/migration-9.html#Upgrading_9.0.x

Fixes: https://pagure.io/freeipa/issue/8221

Signed-off-by: Alexander Bokovoy <abokovoy@redhat.com>

Reviewed-By: Florence Blanc-Renaud <flo@redhat.com>

Reviewed-By: Christian Heimes <cheimes@redhat.com>

Reviewed-By: Rob Crittenden <rcritten@redhat.com>

</pre>

</li>

<li>

<strong><a href="https://salsa.debian.org/freeipa-team/freeipa/-/commit/5d8d9198ce1ddfd44eb7c0268c397359e6239fca">5d8d9198</a></strong>

<div>

<span>by Mohammad Rizwan Yusuf</span>

<i>at 2020-03-12T07:56:42+01:00</i>

</div>

<pre class="commit-message" style="white-space: pre-wrap; margin: 0;">Move wait_for_request() method to tasks.py

Moved the method so that it can be used by other modules too

Signed-off-by: Mohammad Rizwan Yusuf <myusuf@redhat.com>

Reviewed-By: Rob Crittenden <rcritten@redhat.com>

Reviewed-By: Rob Crittenden <rcritten@redhat.com>

</pre>

</li>

<li>

<strong><a href="https://salsa.debian.org/freeipa-team/freeipa/-/commit/937fb1d9518c54bf9c05bc0b7d6f43b29971eb3c">937fb1d9</a></strong>

<div>

<span>by Mohammad Rizwan Yusuf</span>

<i>at 2020-03-12T07:56:42+01:00</i>

</div>

<pre class="commit-message" style="white-space: pre-wrap; margin: 0;">Test if getcert creates cacert file with -F option

It took longer to create the cacert file in older version.

restarting the certmonger service creates the file at the location

specified by -F option. This fix is to check that cacert file

creates immediately after certificate goes into MONITORING state.

related: https://pagure.io/freeipa/issue/8105

Signed-off-by: Mohammad Rizwan Yusuf <myusuf@redhat.com>

Reviewed-By: Rob Crittenden <rcritten@redhat.com>

Reviewed-By: Rob Crittenden <rcritten@redhat.com>

</pre>

</li>

<li>

<strong><a href="https://salsa.debian.org/freeipa-team/freeipa/-/commit/87e0d82dd4409cdecaacee1fa27d27033aa65f7a">87e0d82d</a></strong>

<div>

<span>by Christian Heimes</span>

<i>at 2020-03-12T10:00:35+01:00</i>

</div>

<pre class="commit-message" style="white-space: pre-wrap; margin: 0;">Cleanup SELinux policy

* Remove FC for /usr/libexec/ipa/com.redhat.idm.trust-fetch-domains. The

  file has been moved to oddjobs/ subdirectory a long time ago.

* Simplify FC for oddjob scripts. All com.redhat.idm.* and org.freeipa.*

  scripts are labeled as ipa_helper_exec_t.

* use miscfiles_read_generic_certs() instead of deprecated

  miscfiles_read_certs() to address the warning:

```

Warning: miscfiles_read_certs() has been deprecated, please use miscfiles_read_generic_certs() instead.

```

(Also add org.freeipa.server.trust-enable-agent to .gitignore)

Related: https://pagure.io/freeipa/issue/6891

Signed-off-by: Christian Heimes <cheimes@redhat.com>

Reviewed-By: Florence Blanc-Renaud <frenaud@redhat.com>

</pre>

</li>

<li>

<strong><a href="https://salsa.debian.org/freeipa-team/freeipa/-/commit/7ae1352c72b81d656ec3d6ee44ad2b405298e58f">7ae1352c</a></strong>

<div>

<span>by Florence Blanc-Renaud</span>

<i>at 2020-03-12T21:48:25+01:00</i>

</div>

<pre class="commit-message" style="white-space: pre-wrap; margin: 0;">Support opendnssec 2.1.6

The installation of IPA DNS server is using ods-ksmutil, but

openddnssec 2.1.6 does not ship any more /usr/bin/ods-ksmutil. The tool

is replaced by /usr/sbin/ods-enforcer and /usr/sbin/ods-enforcer-db-setup..

The master branch currently supports fedora 30+, but fedora 30 and 31 are

still shipping opendnssec 1.4 while fedora 32+ is shipping opendnssec 2.1.6.

Because of this, the code needs to check at run-time if the ods-ksmutil

command is available. If the file is missing, the code falls back to

the new ods-enforcer and ods-enforcer-db-setup commands.

This commit defines paths.ODS_ENFORCER and paths.ODS_ENFORCER_DB_SETUP

for all platforms, but the commands are used only if ods-ksmutil is not found.

Fixes: https://pagure.io/freeipa/issue/8214

Reviewed-By: Alexander Bokovoy <abokovoy@redhat.com>

Reviewed-By: Christian Heimes <cheimes@redhat.com>

</pre>

</li>

<li>

<strong><a href="https://salsa.debian.org/freeipa-team/freeipa/-/commit/c2e355ae59b8ecb862838eeeb37a33370a4874a4">c2e355ae</a></strong>

<div>

<span>by Florence Blanc-Renaud</span>

<i>at 2020-03-12T21:48:25+01:00</i>

</div>

<pre class="commit-message" style="white-space: pre-wrap; margin: 0;">Remove the <Interval> from opendnssec conf

In opendnssec 2.1.6, the <Interval> element is not supported in the

configuration file.

Related: https://pagure.io/freeipa/issue/8214

Reviewed-By: Alexander Bokovoy <abokovoy@redhat.com>

Reviewed-By: Christian Heimes <cheimes@redhat.com>

</pre>

</li>

<li>

<strong><a href="https://salsa.debian.org/freeipa-team/freeipa/-/commit/b857828180c650d7b2db17663a9413323eaef73d">b8578281</a></strong>

<div>

<span>by Florence Blanc-Renaud</span>

<i>at 2020-03-12T21:48:25+01:00</i>

</div>

<pre class="commit-message" style="white-space: pre-wrap; margin: 0;">With opendnssec 2, read the zone list from file

With OpenDNSSEC 1.4, the code was using the command

$ ods-ksmutil zonelist export

which printed the zonelist as XML in its output.

With OpenDNSSEC 2, the code is using the command

$ ods-enforcer zonelist export

which prints a message instead:

"Exported zonelist to /etc/opendnssec/zonelist.xml successfully"

The code needs to extract the zonelist file name and read the XML

from the file.

Related: https://pagure.io/freeipa/issue/8214

Reviewed-By: Alexander Bokovoy <abokovoy@redhat.com>

Reviewed-By: Christian Heimes <cheimes@redhat.com>

</pre>

</li>

<li>

<strong><a href="https://salsa.debian.org/freeipa-team/freeipa/-/commit/8080bf7b359ca87d62502acf1fbdf235376007f7">8080bf7b</a></strong>

<div>

<span>by Florence Blanc-Renaud</span>

<i>at 2020-03-12T21:48:25+01:00</i>

</div>

<pre class="commit-message" style="white-space: pre-wrap; margin: 0;">Support OpenDNSSEC 2.1: new ods-signer protocol

The communication between ods-signer and the socket-activated process

has changed with OpenDNSSEC 2.1. Adapt ipa-ods-exporter to support also

the new protocol.

The internal database was also modified. Add a wrapper calling the

right code (table names hab=ve changed, as well as table columns).

With OpenDNSSEC the policy also needs to be explicitely loaded after

ods-enforcer-db-setup has been run, with

ods-enforcer policy import

The command ods-ksmutil notify must be replace with ods-enforce flush.

Related: https://pagure.io/freeipa/issue/8214

Reviewed-By: Alexander Bokovoy <abokovoy@redhat.com>

Reviewed-By: Christian Heimes <cheimes@redhat.com>

</pre>

</li>

<li>

<strong><a href="https://salsa.debian.org/freeipa-team/freeipa/-/commit/b6865831c97bbab71c02ec12dea2280caa505c6d">b6865831</a></strong>

<div>

<span>by Florence Blanc-Renaud</span>

<i>at 2020-03-12T21:48:25+01:00</i>

</div>

<pre class="commit-message" style="white-space: pre-wrap; margin: 0;">DnsSecMaster migration: move the call to zonelist export later

When migrating the DNSSec Master to a replica, the setup of

opendnssec is re-using the database and needs to call zonelist

export.

With opendnssec 1.4 this call is done with ods-ksmutil while

opendnssec 2.1 uses ods-enforcer that communicates with

odsenforcerd that is not started yet.

Move the call after ods-enforcerd is started.

Related: https://pagure.io/freeipa/issue/8214

Reviewed-By: Alexander Bokovoy <abokovoy@redhat.com>

Reviewed-By: Christian Heimes <cheimes@redhat.com>

</pre>

</li>

<li>

<strong><a href="https://salsa.debian.org/freeipa-team/freeipa/-/commit/682b59c8e801f06b3c6e4aa97c1ab33390c9edf8">682b59c8</a></strong>

<div>

<span>by Florence Blanc-Renaud</span>

<i>at 2020-03-12T21:48:25+01:00</i>

</div>

<pre class="commit-message" style="white-space: pre-wrap; margin: 0;">opendnssec2.1 support: move all ods tasks to specific file

Move all the routines run_ods* from tasks to _ods14 or _ods21 module

Related: https://pagure.io/freeipa/issue/8214

Reviewed-By: Alexander Bokovoy <abokovoy@redhat.com>

Reviewed-By: Christian Heimes <cheimes@redhat.com>

</pre>

</li>

<li>

<strong><a href="https://salsa.debian.org/freeipa-team/freeipa/-/commit/4e3a2bd6bff79c17bc439555dcf41a11d0569e6f">4e3a2bd6</a></strong>

<div>

<span>by sumenon</span>

<i>at 2020-03-12T17:24:33-04:00</i>

</div>

<pre class="commit-message" style="white-space: pre-wrap; margin: 0;">ipatests: check that ipa-healthcheck warns if no dna range is set

Added testcase to verify that ipa-healthcheck tool displays a

warning if no DNS range is set. It previously just reported at the

SUCCESS level that no range was set.

Issue: freeipa/freeipa-healthcheck#60

Reviewed-By: Rob Crittenden <rcritten@redhat.com>

Reviewed-By: Francois Cami <fcami@redhat.com>

</pre>

</li>

<li>

<strong><a href="https://salsa.debian.org/freeipa-team/freeipa/-/commit/44e73428441a070f26a791ee2816f2989713ba8d">44e73428</a></strong>

<div>

<span>by Rob Crittenden</span>

<i>at 2020-03-12T17:24:33-04:00</i>

</div>

<pre class="commit-message" style="white-space: pre-wrap; margin: 0;">Move execution of ipa-healthcheck to a separate function

This removes a lot of duplication and simplifies the test

code.

It returns the command returncode and the JSON data (if any)

Reviewed-By: Rob Crittenden <rcritten@redhat.com>

Reviewed-By: Francois Cami <fcami@redhat.com>

</pre>

</li>

<li>

<strong><a href="https://salsa.debian.org/freeipa-team/freeipa/-/commit/59bd2fec85a49ff75fbcad05cfd5a641a67c5d56">59bd2fec</a></strong>

<div>

<span>by sumenon</span>

<i>at 2020-03-12T23:17:33-04:00</i>

</div>

<pre class="commit-message" style="white-space: pre-wrap; margin: 0;">ipatests: check that ipa-healthcheck warns if no dna range is set

Added testcase to verify that ipa-healthcheck tool displays a

warning if no DNS range is set. It previously just reported at the

SUCCESS level that no range was set.

Issue: freeipa/freeipa-healthcheck#60

Reviewed-By: Rob Crittenden <rcritten@redhat.com>

Reviewed-By: Francois Cami <fcami@redhat.com>

</pre>

</li>

<li>

<strong><a href="https://salsa.debian.org/freeipa-team/freeipa/-/commit/f36b8697a1d7dcf0f698147b3791c8ed338863d7">f36b8697</a></strong>

<div>

<span>by Rob Crittenden</span>

<i>at 2020-03-12T23:17:33-04:00</i>

</div>

<pre class="commit-message" style="white-space: pre-wrap; margin: 0;">Move execution of ipa-healthcheck to a separate function

This removes a lot of duplication and simplifies the test

code.

It returns the command returncode and the JSON data (if any)

Reviewed-By: Rob Crittenden <rcritten@redhat.com>

Reviewed-By: Francois Cami <fcami@redhat.com>

</pre>

</li>

<li>

<strong><a href="https://salsa.debian.org/freeipa-team/freeipa/-/commit/23993f58e1da98e537b03b9274d91308cbc63a6c">23993f58</a></strong>

<div>

<span>by Florence Blanc-Renaud</span>

<i>at 2020-03-13T07:42:51+01:00</i>

</div>

<pre class="commit-message" style="white-space: pre-wrap; margin: 0;">Support opendnssec 2.1.6

The installation of IPA DNS server is using ods-ksmutil, but

openddnssec 2.1.6 does not ship any more /usr/bin/ods-ksmutil. The tool

is replaced by /usr/sbin/ods-enforcer and /usr/sbin/ods-enforcer-db-setup..

The master branch currently supports fedora 30+, but fedora 30 and 31 are

still shipping opendnssec 1.4 while fedora 32+ is shipping opendnssec 2.1.6.

Because of this, the code needs to check at run-time if the ods-ksmutil

command is available. If the file is missing, the code falls back to

the new ods-enforcer and ods-enforcer-db-setup commands.

This commit defines paths.ODS_ENFORCER and paths.ODS_ENFORCER_DB_SETUP

for all platforms, but the commands are used only if ods-ksmutil is not found.

Fixes: https://pagure.io/freeipa/issue/8214

Reviewed-By: Christian Heimes <cheimes@redhat.com>

Reviewed-By: Alexander Bokovoy <abokovoy@redhat.com>

</pre>

</li>

<li>

<strong><a href="https://salsa.debian.org/freeipa-team/freeipa/-/commit/5716c3b78f43391d2ab7b4b1fd672135f3b55bdb">5716c3b7</a></strong>

<div>

<span>by Florence Blanc-Renaud</span>

<i>at 2020-03-13T07:42:51+01:00</i>

</div>

<pre class="commit-message" style="white-space: pre-wrap; margin: 0;">Remove the <Interval> from opendnssec conf

In opendnssec 2.1.6, the <Interval> element is not supported in the

configuration file.

Related: https://pagure.io/freeipa/issue/8214

Reviewed-By: Christian Heimes <cheimes@redhat.com>

Reviewed-By: Alexander Bokovoy <abokovoy@redhat.com>

</pre>

</li>

<li>

<strong><a href="https://salsa.debian.org/freeipa-team/freeipa/-/commit/6cb3b11a61d5b9b7df93130188c7feef83398090">6cb3b11a</a></strong>

<div>

<span>by Florence Blanc-Renaud</span>

<i>at 2020-03-13T07:42:51+01:00</i>

</div>

<pre class="commit-message" style="white-space: pre-wrap; margin: 0;">With opendnssec 2, read the zone list from file

With OpenDNSSEC 1.4, the code was using the command

$ ods-ksmutil zonelist export

which printed the zonelist as XML in its output.

With OpenDNSSEC 2, the code is using the command

$ ods-enforcer zonelist export

which prints a message instead:

"Exported zonelist to /etc/opendnssec/zonelist.xml successfully"

The code needs to extract the zonelist file name and read the XML

from the file.

Related: https://pagure.io/freeipa/issue/8214

Reviewed-By: Christian Heimes <cheimes@redhat.com>

Reviewed-By: Alexander Bokovoy <abokovoy@redhat.com>

</pre>

</li>

<li>

<strong><a href="https://salsa.debian.org/freeipa-team/freeipa/-/commit/fc4ccfa5c3a7ecd7c9e5539595e0440965d62336">fc4ccfa5</a></strong>

<div>

<span>by Florence Blanc-Renaud</span>

<i>at 2020-03-13T07:42:51+01:00</i>

</div>

<pre class="commit-message" style="white-space: pre-wrap; margin: 0;">Support OpenDNSSEC 2.1: new ods-signer protocol

The communication between ods-signer and the socket-activated process

has changed with OpenDNSSEC 2.1. Adapt ipa-ods-exporter to support also

the new protocol.

The internal database was also modified. Add a wrapper calling the

right code (table names hab=ve changed, as well as table columns).

With OpenDNSSEC the policy also needs to be explicitely loaded after

ods-enforcer-db-setup has been run, with

ods-enforcer policy import

The command ods-ksmutil notify must be replace with ods-enforce flush.

Related: https://pagure.io/freeipa/issue/8214

Reviewed-By: Christian Heimes <cheimes@redhat.com>

Reviewed-By: Alexander Bokovoy <abokovoy@redhat.com>

</pre>

</li>

<li>

<strong><a href="https://salsa.debian.org/freeipa-team/freeipa/-/commit/598c55cc0dc884aa780ac2dc2f3adfd8299e6ea0">598c55cc</a></strong>

<div>

<span>by Florence Blanc-Renaud</span>

<i>at 2020-03-13T07:42:51+01:00</i>

</div>

<pre class="commit-message" style="white-space: pre-wrap; margin: 0;">DnsSecMaster migration: move the call to zonelist export later

When migrating the DNSSec Master to a replica, the setup of

opendnssec is re-using the database and needs to call zonelist

export.

With opendnssec 1.4 this call is done with ods-ksmutil while

opendnssec 2.1 uses ods-enforcer that communicates with

odsenforcerd that is not started yet.

Move the call after ods-enforcerd is started.

Related: https://pagure.io/freeipa/issue/8214

Reviewed-By: Christian Heimes <cheimes@redhat.com>

Reviewed-By: Alexander Bokovoy <abokovoy@redhat.com>

</pre>

</li>

<li>

<strong><a href="https://salsa.debian.org/freeipa-team/freeipa/-/commit/799ebc8be681165e622778848a9b2989434a29dd">799ebc8b</a></strong>

<div>

<span>by Florence Blanc-Renaud</span>

<i>at 2020-03-13T07:42:51+01:00</i>

</div>

<pre class="commit-message" style="white-space: pre-wrap; margin: 0;">opendnssec2.1 support: move all ods tasks to specific file

Move all the routines run_ods* from tasks to _ods14 or _ods21 module

Related: https://pagure.io/freeipa/issue/8214

Reviewed-By: Christian Heimes <cheimes@redhat.com>

Reviewed-By: Alexander Bokovoy <abokovoy@redhat.com>

</pre>

</li>

<li>

<strong><a href="https://salsa.debian.org/freeipa-team/freeipa/-/commit/1d416a5a5ceaaf3fff9df423cea9114f1918aad2">1d416a5a</a></strong>

<div>

<span>by Sergey Orlov</span>

<i>at 2020-03-13T11:22:26+01:00</i>

</div>

<pre class="commit-message" style="white-space: pre-wrap; margin: 0;">ipatests: provide docstrings instead of imporperly placed comments

Related to: https://bugzilla.redhat.com/show_bug.cgi?id=1685581

Reviewed-By: Florence Blanc-Renaud <flo@redhat.com>

</pre>

</li>

<li>

<strong><a href="https://salsa.debian.org/freeipa-team/freeipa/-/commit/40fd96f27d2512212ac99fff9ace0fef1f5a57d4">40fd96f2</a></strong>

<div>

<span>by Sergey Orlov</span>

<i>at 2020-03-13T11:22:26+01:00</i>

</div>

<pre class="commit-message" style="white-space: pre-wrap; margin: 0;">ipatests: add test for SSSD updating expired cache items

New test checks that sssd updates expired cache values both for IPA

domain and trusted AD domain.

Related to: https://pagure.io/SSSD/sssd/issue/4012

Reviewed-By: Florence Blanc-Renaud <flo@redhat.com>

</pre>

</li>

<li>

<strong><a href="https://salsa.debian.org/freeipa-team/freeipa/-/commit/1eb6a9bf16e02b16328091cb98b13358cf372ee1">1eb6a9bf</a></strong>

<div>

<span>by François Cami</span>

<i>at 2020-03-13T15:30:09+01:00</i>

</div>

<pre class="commit-message" style="white-space: pre-wrap; margin: 0;">ipa-restore: restart services at the end

When IPA was not installed on the restore target host, and

when httpd was already running, "ipactl stop" does not stop

httpd. "ipactl start" at the end of the restore tool will

therefore not restart httpd either.

Calling "ipactl restart" at the end of the restore fixes the

issue, and as an added bonus, makes sure IPA can restart itself

properly.

Fixes: https://pagure.io/freeipa/issue/8226

Signed-off-by: François Cami <fcami@redhat.com>

Reviewed-By: Christian Heimes <cheimes@redhat.com>

Reviewed-By: Florence Blanc-Renaud <flo@redhat.com>

</pre>

</li>

<li>

<strong><a href="https://salsa.debian.org/freeipa-team/freeipa/-/commit/9c9c6a70632cdb8f55b65a50c9a808007523666b">9c9c6a70</a></strong>

<div>

<span>by Stanislav Levin</span>

<i>at 2020-03-13T11:27:36-04:00</i>

</div>

<pre class="commit-message" style="white-space: pre-wrap; margin: 0;">spec: Take the ownership over '/usr/libexec/ipa/custodia'

Ideally, an every file on system has to have an owner.

'/usr/libexec/ipa/custodia' directory was added recently, but:

```

[root@dc ~]# LANG=C rpm -qf /usr/libexec/ipa/custodia/ipa-custodia-dmldap

freeipa-server-4.8.4-2.fc31.x86_64

[root@dc ~]# LANG=C rpm -qf /usr/libexec/ipa/custodia

file /usr/libexec/ipa/custodia is not owned by any package

```

ALTLinux build system warns about files or directories which were

'created' during a package installation but haven't an owner. So,

after the resyncing spec file to upstream's one my build fails.

Signed-off-by: Stanislav Levin <slev@altlinux.org>

Reviewed-By: Christian Heimes <cheimes@redhat.com>

</pre>

</li>

<li>

<strong><a href="https://salsa.debian.org/freeipa-team/freeipa/-/commit/8d6a609d6e55dc11b4768ee54da46393228660f9">8d6a609d</a></strong>

<div>

<span>by François Cami</span>

<i>at 2020-03-16T09:29:45+01:00</i>

</div>

<pre class="commit-message" style="white-space: pre-wrap; margin: 0;">ipa-restore: restart services at the end

When IPA was not installed on the restore target host, and

when httpd was already running, "ipactl stop" does not stop

httpd. "ipactl start" at the end of the restore tool will

therefore not restart httpd either.

Calling "ipactl restart" at the end of the restore fixes the

issue, and as an added bonus, makes sure IPA can restart itself

properly.

Fixes: https://pagure.io/freeipa/issue/8226

Signed-off-by: François Cami <fcami@redhat.com>

Reviewed-By: Christian Heimes <cheimes@redhat.com>

Reviewed-By: Florence Blanc-Renaud <flo@redhat.com>

Reviewed-By: Christian Heimes <cheimes@redhat.com>

Reviewed-By: Florence Blanc-Renaud <flo@redhat.com>

Reviewed-By: Alexander Bokovoy <abokovoy@redhat.com>

</pre>

</li>

<li>

<strong><a href="https://salsa.debian.org/freeipa-team/freeipa/-/commit/7a9ac1f58694b28c96b8bdb22eaf506f7019ac65">7a9ac1f5</a></strong>

<div>

<span>by Christian Heimes</span>

<i>at 2020-03-16T13:04:17+01:00</i>

</div>

<pre class="commit-message" style="white-space: pre-wrap; margin: 0;">Allow hosts to read DNS records for IP SAN

For SAN IPAddress extension the cert plugin verifies that the IP address

matches the host entry. Certmonger uses the host principal to

authenticate and retrieve certificates. But the host principal did not

have permission to read DNS entries from LDAP.

Allow all hosts to read some entries from active DNS records.

Fixes: https://pagure.io/freeipa/issue/8098

Signed-off-by: Christian Heimes <cheimes@redhat.com>

Reviewed-By: Alexander Bokovoy <abokovoy@redhat.com>

</pre>

</li>

<li>

<strong><a href="https://salsa.debian.org/freeipa-team/freeipa/-/commit/5df2f5d856f15c6283644a00004fad5873eb1671">5df2f5d8</a></strong>

<div>

<span>by Stanislav Levin</span>

<i>at 2020-03-16T13:27:13+01:00</i>

</div>

<pre class="commit-message" style="white-space: pre-wrap; margin: 0;">spec: Take the ownership over '/usr/libexec/ipa/custodia'

Ideally, an every file on system has to have an owner.

'/usr/libexec/ipa/custodia' directory was added recently, but:

```

[root@dc ~]# LANG=C rpm -qf /usr/libexec/ipa/custodia/ipa-custodia-dmldap

freeipa-server-4.8.4-2.fc31.x86_64

[root@dc ~]# LANG=C rpm -qf /usr/libexec/ipa/custodia

file /usr/libexec/ipa/custodia is not owned by any package

```

ALTLinux build system warns about files or directories which were

'created' during a package installation but haven't an owner. So,

after the resyncing spec file to upstream's one my build fails.

Signed-off-by: Stanislav Levin <slev@altlinux.org>

Reviewed-By: Rob Crittenden <rcritten@redhat.com>

</pre>

</li>

<li>

<strong><a href="https://salsa.debian.org/freeipa-team/freeipa/-/commit/b2ab2863ca121d94e7519cd53a9fdbb43b6c5d27">b2ab2863</a></strong>

<div>

<span>by Anuja More</span>

<i>at 2020-03-17T09:13:16+02:00</i>

</div>

<pre class="commit-message" style="white-space: pre-wrap; margin: 0;">ipatests: User and group with same name should not break reading AD user data.

Regression test resolving trusted users and groups should be

successful when there is a user in IPA with the

same name as a group name.

Related: https://pagure.io/SSSD/sssd/issue/4073

Signed-off-by: Anuja More <amore@redhat.com>

Reviewed-By: Sergey Orlov <sorlov@redhat.com>

</pre>

</li>

<li>

<strong><a href="https://salsa.debian.org/freeipa-team/freeipa/-/commit/6018ccaa8dfeccf27494369a8ba9a6c670779e2e">6018ccaa</a></strong>

<div>

<span>by Anuja More</span>

<i>at 2020-03-17T09:13:16+02:00</i>

</div>

<pre class="commit-message" style="white-space: pre-wrap; margin: 0;">Mark test to skip sssd-2.2.2

Test test_ext_grp_with_ldap is marked as skip as

fix for https://pagure.io/SSSD/sssd/issue/4073

unavailable with sssd-2.2.2

Related: https://pagure.io/SSSD/sssd/issue/4073

Signed-off-by: Anuja More <amore@redhat.com>

Reviewed-By: Sergey Orlov <sorlov@redhat.com>

</pre>

</li>

<li>

<strong><a href="https://salsa.debian.org/freeipa-team/freeipa/-/commit/e4a611aee8ca839c59798210b56e65f21a24e965">e4a611ae</a></strong>

<div>

<span>by Christian Heimes</span>

<i>at 2020-03-17T08:48:52+01:00</i>

</div>

<pre class="commit-message" style="white-space: pre-wrap; margin: 0;">Allow hosts to read DNS records for IP SAN

For SAN IPAddress extension the cert plugin verifies that the IP address

matches the host entry. Certmonger uses the host principal to

authenticate and retrieve certificates. But the host principal did not

have permission to read DNS entries from LDAP.

Allow all hosts to read some entries from active DNS records.

Fixes: https://pagure.io/freeipa/issue/8098

Signed-off-by: Christian Heimes <cheimes@redhat.com>

Reviewed-By: Alexander Bokovoy <abokovoy@redhat.com>

</pre>

</li>

<li>

<strong><a href="https://salsa.debian.org/freeipa-team/freeipa/-/commit/c3053e287b8d29da40ef9c36fbe8915f616f8501">c3053e28</a></strong>

<div>

<span>by Anuja More</span>

<i>at 2020-03-17T10:58:24+02:00</i>

</div>

<pre class="commit-message" style="white-space: pre-wrap; margin: 0;">ipatests: User and group with same name should not break reading AD user data.

Regression test resolving trusted users and groups should be

successful when there is a user in IPA with the

same name as a group name.

Related: https://pagure.io/SSSD/sssd/issue/4073

Signed-off-by: Anuja More <amore@redhat.com>

Reviewed-By: Sergey Orlov <sorlov@redhat.com>

</pre>

</li>

<li>

<strong><a href="https://salsa.debian.org/freeipa-team/freeipa/-/commit/a9922639f3541fe25cadbba79a94de7ada29c7f3">a9922639</a></strong>

<div>

<span>by Anuja More</span>

<i>at 2020-03-17T10:58:24+02:00</i>

</div>

<pre class="commit-message" style="white-space: pre-wrap; margin: 0;">Mark test to skip sssd-2.2.2

Test test_ext_grp_with_ldap is marked as skip as

fix for https://pagure.io/SSSD/sssd/issue/4073

unavailable with sssd-2.2.2

Related: https://pagure.io/SSSD/sssd/issue/4073

Signed-off-by: Anuja More <amore@redhat.com>

Reviewed-By: Sergey Orlov <sorlov@redhat.com>

</pre>

</li>

<li>

<strong><a href="https://salsa.debian.org/freeipa-team/freeipa/-/commit/b598982520891d2907070101c8953019613a4694">b5989825</a></strong>

<div>

<span>by Alexander Bokovoy</span>

<i>at 2020-03-17T11:00:38+02:00</i>

</div>

<pre class="commit-message" style="white-space: pre-wrap; margin: 0;">Add more contributor emails to the mailmap

</pre>

</li>

<li>

<strong><a href="https://salsa.debian.org/freeipa-team/freeipa/-/commit/1af953680ba95d7a9da382e05f373375d1e6a35d">1af95368</a></strong>

<div>

<span>by Alexander Bokovoy</span>

<i>at 2020-03-17T11:00:38+02:00</i>

</div>

<pre class="commit-message" style="white-space: pre-wrap; margin: 0;">Add new contributors to the list

</pre>

</li>

<li>

<strong><a href="https://salsa.debian.org/freeipa-team/freeipa/-/commit/5f49e6d1aaab56f8dd72e991f16ff575b7f4c9ee">5f49e6d1</a></strong>

<div>

<span>by Alexander Bokovoy</span>

<i>at 2020-03-17T11:00:38+02:00</i>

</div>

<pre class="commit-message" style="white-space: pre-wrap; margin: 0;">Become FreeIPA 4.8.5

</pre>

</li>

<li>

<strong><a href="https://salsa.debian.org/freeipa-team/freeipa/-/commit/8aae3be055b7d5effe2123976f512f3248a1246b">8aae3be0</a></strong>

<div>

<span>by Timo Aaltonen</span>

<i>at 2020-03-18T00:00:54+02:00</i>

</div>

<pre class="commit-message" style="white-space: pre-wrap; margin: 0;">Merge branch 'upstream'

</pre>

</li>

<li>

<strong><a href="https://salsa.debian.org/freeipa-team/freeipa/-/commit/394d7ceefff22ce9f9975001358a9dfbdccc3a70">394d7cee</a></strong>

<div>

<span>by Timo Aaltonen</span>

<i>at 2020-03-18T00:02:08+02:00</i>

</div>

<pre class="commit-message" style="white-space: pre-wrap; margin: 0;">bump the version

</pre>

</li>

<li>

<strong><a href="https://salsa.debian.org/freeipa-team/freeipa/-/commit/6903c8419bcff81637a41e855ba60fddb4814b05">6903c841</a></strong>

<div>

<span>by Timo Aaltonen</span>

<i>at 2020-03-18T00:03:45+02:00</i>

</div>

<pre class="commit-message" style="white-space: pre-wrap; margin: 0;">fix-ods-conf-template.diff: Dropped, upstream.

</pre>

</li>

<li>

<strong><a href="https://salsa.debian.org/freeipa-team/freeipa/-/commit/4b592b52433e329b01c2e2b6ec85fd2edc6effd9">4b592b52</a></strong>

<div>

<span>by Timo Aaltonen</span>

<i>at 2020-03-18T00:16:27+02:00</i>

</div>

<pre class="commit-message" style="white-space: pre-wrap; margin: 0;">source: Update extend-diff-ignore.

</pre>

</li>

<li>

<strong><a href="https://salsa.debian.org/freeipa-team/freeipa/-/commit/96e92863d61a7e575c259025aafd4c52464d5f9a">96e92863</a></strong>

<div>

<span>by Timo Aaltonen</span>

<i>at 2020-03-18T00:16:43+02:00</i>

</div>

<pre class="commit-message" style="white-space: pre-wrap; margin: 0;">server.install: Updated.

</pre>

</li>

<li>

<strong><a href="https://salsa.debian.org/freeipa-team/freeipa/-/commit/14c9cf99889fec73c46b33f94b0dc483c4542044">14c9cf99</a></strong>

<div>

<span>by Stanislav Levin</span>

<i>at 2020-03-18T16:36:36+02:00</i>

</div>

<pre class="commit-message" style="white-space: pre-wrap; margin: 0;">pki-proxy: Don't rely on running apache until it's configured

This partially restores the pre-ec73de969f state of `http_proxy`,

which fails to restart the apache service during master

installation. The failure happens because of apache is not

configured yet on 'pki-tomcatd' installation phase. The mentioned

code and proposed one relies on the installer which bootstraps the

master.

Fixes: https://pagure.io/freeipa/issue/8233

Signed-off-by: Stanislav Levin <slev@altlinux.org>

Reviewed-By: Alexander Bokovoy <abokovoy@redhat.com>

</pre>

</li>

<li>

<strong><a href="https://salsa.debian.org/freeipa-team/freeipa/-/commit/7ac53c3547434d1a3aac307abc0c0e7eaa296f1f">7ac53c35</a></strong>

<div>

<span>by Timo Aaltonen</span>

<i>at 2020-03-19T06:08:52+02:00</i>

</div>

<pre class="commit-message" style="white-space: pre-wrap; margin: 0;">pki-proxy-Don-t-rely-on-running-apache-until-it-s-co.patch: Fix httpd_proxy install.

</pre>

</li>

<li>

<strong><a href="https://salsa.debian.org/freeipa-team/freeipa/-/commit/4aeccc3dc9c8bb3ecb3e0f4c3f3c3cdd13297fab">4aeccc3d</a></strong>

<div>

<span>by Timo Aaltonen</span>

<i>at 2020-03-19T06:11:17+02:00</i>

</div>

<pre class="commit-message" style="white-space: pre-wrap; margin: 0;">control: Bump dependency on apache2 to where mod_proxy_ajp got fixed.

</pre>

</li>

<li>

<strong><a href="https://salsa.debian.org/freeipa-team/freeipa/-/commit/74afda50f6f08481413f1607f0bc5affdca45ede">74afda50</a></strong>

<div>

<span>by Timo Aaltonen</span>

<i>at 2020-03-19T06:46:03+02:00</i>

</div>

<pre class="commit-message" style="white-space: pre-wrap; margin: 0;">tests: Add sudo to dependencies for dogtag.

</pre>

</li>

<li>

<strong><a href="https://salsa.debian.org/freeipa-team/freeipa/-/commit/e08f7a9ef3df3c345b4c066f974608ad32b57571">e08f7a9e</a></strong>

<div>

<span>by Florence Blanc-Renaud</span>

<i>at 2020-03-19T10:55:11+01:00</i>

</div>

<pre class="commit-message" style="white-space: pre-wrap; margin: 0;">idviews: prevent applying to a master

Custom IDViews should not be applied to IPA master nodes. Add a

check enforcing this rule in idview_apply command.

Fixes: https://pagure.io/freeipa/issue/5662

Signed-off-by: Florence Blanc-Renaud <flo@redhat.com>

Reviewed-By: Christian Heimes <cheimes@redhat.com>

</pre>

</li>

<li>

<strong><a href="https://salsa.debian.org/freeipa-team/freeipa/-/commit/20d601e9c389405f75c78bfb010883f3f23bbdd5">20d601e9</a></strong>

<div>

<span>by Florence Blanc-Renaud</span>

<i>at 2020-03-19T10:55:11+01:00</i>

</div>

<pre class="commit-message" style="white-space: pre-wrap; margin: 0;">xmlrpc tests: add a test for idview-apply on a master

Add a new XMLRPC test trying to apply an IDview:

- to a master

- to a hostgroup containing a master

The command must refuse to apply the IDview to a master node.

Related: https://pagure.io/freeipa/issue/5662

Signed-off-by: Florence Blanc-Renaud <flo@redhat.com>

Reviewed-By: Christian Heimes <cheimes@redhat.com>

</pre>

</li>

<li>

<strong><a href="https://salsa.debian.org/freeipa-team/freeipa/-/commit/24c6ea3c9f2df757b3d714044c16083716e377ca">24c6ea3c</a></strong>

<div>

<span>by Stanislav Levin</span>

<i>at 2020-03-19T12:48:28+02:00</i>

</div>

<pre class="commit-message" style="white-space: pre-wrap; margin: 0;">pki-proxy: Don't rely on running apache until it's configured

This partially restores the pre-ec73de969f state of `http_proxy`,

which fails to restart the apache service during master

installation. The failure happens because of apache is not

configured yet on 'pki-tomcatd' installation phase. The mentioned

code and proposed one relies on the installer which bootstraps the

master.

Fixes: https://pagure.io/freeipa/issue/8233

Signed-off-by: Stanislav Levin <slev@altlinux.org>

Reviewed-By: Alexander Bokovoy <abokovoy@redhat.com>

</pre>

</li>

<li>

<strong><a href="https://salsa.debian.org/freeipa-team/freeipa/-/commit/2997a74abcfdb0ad1c0b5356949e557c3b624d3c">2997a74a</a></strong>

<div>

<span>by Alexander Bokovoy</span>

<i>at 2020-03-19T13:27:30+01:00</i>

</div>

<pre class="commit-message" style="white-space: pre-wrap; margin: 0;">Prevent adding IPA objects as external members of external groups

The purpose of external groups in FreeIPA is to be able to reference

objects only existing in trusted domains. These members get resolved

through SSSD interfaces but there is nothing that prevents SSSD from

resolving any IPA user or group if they have security identifiers

associated.

Enforce a check that a SID returned by SSSD does not belong to IPA

domain and raise a validation error if this is the case. This would

prevent adding IPA users or groups as external members of an external

group.

RN: Command 'ipa group-add-member' allowed to specify any user or group

RN: for '--external' option. A stricter check is added to verify that

RN: a group or user to be added as an external member does not come

RN: from IPA domain.

Fixes: https://pagure.io/freeipa/issue/8236

Signed-off-by: Alexander Bokovoy <abokovoy@redhat.com>

Reviewed-By: Florence Blanc-Renaud <flo@redhat.com>

</pre>

</li>

<li>

<strong><a href="https://salsa.debian.org/freeipa-team/freeipa/-/commit/7905891341197cb90faf635cf93ce63ae7a7a38b">79058913</a></strong>

<div>

<span>by Florence Blanc-Renaud</span>

<i>at 2020-03-19T16:31:30+01:00</i>

</div>

<pre class="commit-message" style="white-space: pre-wrap; margin: 0;">idviews: prevent applying to a master

Custom IDViews should not be applied to IPA master nodes. Add a

check enforcing this rule in idview_apply command.

Fixes: https://pagure.io/freeipa/issue/5662

Signed-off-by: Florence Blanc-Renaud <flo@redhat.com>

Reviewed-By: Christian Heimes <cheimes@redhat.com>

</pre>

</li>

<li>

<strong><a href="https://salsa.debian.org/freeipa-team/freeipa/-/commit/c37a84628601d369f83546085b7e29be8fe11a59">c37a8462</a></strong>

<div>

<span>by Florence Blanc-Renaud</span>

<i>at 2020-03-19T16:31:30+01:00</i>

</div>

<pre class="commit-message" style="white-space: pre-wrap; margin: 0;">xmlrpc tests: add a test for idview-apply on a master

Add a new XMLRPC test trying to apply an IDview:

- to a master

- to a hostgroup containing a master

The command must refuse to apply the IDview to a master node.

Related: https://pagure.io/freeipa/issue/5662

Signed-off-by: Florence Blanc-Renaud <flo@redhat.com>

Reviewed-By: Christian Heimes <cheimes@redhat.com>

</pre>

</li>

<li>

<strong><a href="https://salsa.debian.org/freeipa-team/freeipa/-/commit/c77f4213e9ae78e76c5eee88ffc1cbffbb5556e8">c77f4213</a></strong>

<div>

<span>by sumenon</span>

<i>at 2020-03-20T08:20:56+01:00</i>

</div>

<pre class="commit-message" style="white-space: pre-wrap; margin: 0;">ipatests: Added testcase to check logrotate is added for healthcheck tool

Issue: freeipa/freeipa-healthcheck#35

Reviewed-By: Florence Blanc-Renaud <flo@redhat.com>

Reviewed-By: Rob Crittenden <rcritten@redhat.com>

Reviewed-By: Mohammad Rizwan Yusuf <myusuf@redhat.com>

Reviewed-By: Anuja More <amore@redhat.com>

</pre>

</li>

<li>

<strong><a href="https://salsa.debian.org/freeipa-team/freeipa/-/commit/7d4687926e9866c378db8075dd7b55b3c40e71a9">7d468792</a></strong>

<div>

<span>by sumenon</span>

<i>at 2020-03-20T11:05:23+01:00</i>

</div>

<pre class="commit-message" style="white-space: pre-wrap; margin: 0;">ipatests: Added testcase to check logrotate is added for healthcheck tool

Issue: freeipa/freeipa-healthcheck#35

</pre>

</li>

<li>

<strong><a href="https://salsa.debian.org/freeipa-team/freeipa/-/commit/a55a722237b2d32c55eddddfb9c753c06e1eb5ee">a55a7222</a></strong>

<div>

<span>by Christian Heimes</span>

<i>at 2020-03-20T15:18:30+01:00</i>

</div>

<pre class="commit-message" style="white-space: pre-wrap; margin: 0;">Integrate ipa_custodia policy

ipa-custodia is an internal service for IPA. The upstream SELinux policy

has a separate module for ipa_custodia. Fold the current policy from

Fedora rawhide into ipa's SELinux policy.

Related: https://pagure.io/freeipa/issue/6891

Signed-off-by: Christian Heimes <cheimes@redhat.com>

Reviewed-By: Alexander Bokovoy <abokovoy@redhat.com>

</pre>

</li>

<li>

<strong><a href="https://salsa.debian.org/freeipa-team/freeipa/-/commit/d23322434f71c02505b4b85e85e184d274eaeb2d">d2332243</a></strong>

<div>

<span>by Christian Heimes</span>

<i>at 2020-03-20T15:18:30+01:00</i>

</div>

<pre class="commit-message" style="white-space: pre-wrap; margin: 0;">Move freeipa-selinux dependency to freeipa-common

The SELinux policy defines file contexts that are also used by clients,

e.g. /var/log/ipa/. Make freeipa-selinux a dependency of freeipa-common.

Related: https://pagure.io/freeipa/issue/6891

Signed-off-by: Christian Heimes <cheimes@redhat.com>

Reviewed-By: Alexander Bokovoy <abokovoy@redhat.com>

</pre>

</li>

<li>

<strong><a href="https://salsa.debian.org/freeipa-team/freeipa/-/commit/04cc0450125e3c9e989c3e769a25ba2f1f336060">04cc0450</a></strong>

<div>

<span>by Christian Heimes</span>

<i>at 2020-03-21T07:31:22+02:00</i>

</div>

<pre class="commit-message" style="white-space: pre-wrap; margin: 0;">Integrate ipa_custodia policy

ipa-custodia is an internal service for IPA. The upstream SELinux policy

has a separate module for ipa_custodia. Fold the current policy from

Fedora rawhide into ipa's SELinux policy.

Related: https://pagure.io/freeipa/issue/6891

Signed-off-by: Christian Heimes <cheimes@redhat.com>

Reviewed-By: Alexander Bokovoy <abokovoy@redhat.com>

</pre>

</li>

<li>

<strong><a href="https://salsa.debian.org/freeipa-team/freeipa/-/commit/7d525ab4308060435808a311de55a76fb26a28c6">7d525ab4</a></strong>

<div>

<span>by Christian Heimes</span>

<i>at 2020-03-21T07:31:22+02:00</i>

</div>

<pre class="commit-message" style="white-space: pre-wrap; margin: 0;">Move freeipa-selinux dependency to freeipa-common

The SELinux policy defines file contexts that are also used by clients,

e.g. /var/log/ipa/. Make freeipa-selinux a dependency of freeipa-common.

Related: https://pagure.io/freeipa/issue/6891

Signed-off-by: Christian Heimes <cheimes@redhat.com>

Reviewed-By: Alexander Bokovoy <abokovoy@redhat.com>

</pre>

</li>

<li>

<strong><a href="https://salsa.debian.org/freeipa-team/freeipa/-/commit/127b8d9cf23bf65aa42e6ee9ed8d7f8628bbac19">127b8d9c</a></strong>

<div>

<span>by Alexander Bokovoy</span>

<i>at 2020-03-21T07:32:52+02:00</i>

</div>

<pre class="commit-message" style="white-space: pre-wrap; margin: 0;">Prevent adding IPA objects as external members of external groups

The purpose of external groups in FreeIPA is to be able to reference

objects only existing in trusted domains. These members get resolved

through SSSD interfaces but there is nothing that prevents SSSD from

resolving any IPA user or group if they have security identifiers

associated.

Enforce a check that a SID returned by SSSD does not belong to IPA

domain and raise a validation error if this is the case. This would

prevent adding IPA users or groups as external members of an external

group.

RN: Command 'ipa group-add-member' allowed to specify any user or group

RN: for '--external' option. A stricter check is added to verify that

RN: a group or user to be added as an external member does not come

RN: from IPA domain.

Fixes: https://pagure.io/freeipa/issue/8236

Signed-off-by: Alexander Bokovoy <abokovoy@redhat.com>

Reviewed-By: Florence Blanc-Renaud <frenaud@redhat.com>

</pre>

</li>

<li>

<strong><a href="https://salsa.debian.org/freeipa-team/freeipa/-/commit/3753862401b8500b7498d2723ccb727b5dd6263e">37538624</a></strong>

<div>

<span>by Florence Blanc-Renaud</span>

<i>at 2020-03-21T07:37:05+02:00</i>

</div>

<pre class="commit-message" style="white-space: pre-wrap; margin: 0;">ipatests: wait for SSSD to become online in backup/restore tests

The backup/restore tests are calling 'id admin' after restore

to make sure that the user name can be resolved after a restore.

The test should wait for SSSD backend to become online before

doing any check, otherwise there is a risk that the call to

'id admin' fails.

Fixes: https://pagure.io/freeipa/issue/8228

Signed-off-by: Florence Blanc-Renaud <flo@redhat.com>

Reviewed-By: Alexander Bokovoy <abokovoy@redhat.com>

Reviewed-By: Sergey Orlov <sorlov@redhat.com>

</pre>

</li>

<li>

<strong><a href="https://salsa.debian.org/freeipa-team/freeipa/-/commit/080a5831ea0683a38e4d470d3d04dcf1e70eaf00">080a5831</a></strong>

<div>

<span>by Christian Heimes</span>

<i>at 2020-03-21T07:40:33+02:00</i>

</div>

<pre class="commit-message" style="white-space: pre-wrap; margin: 0;">Bootstrap Sphinx documentation

Run sphinx-quickstart and include sphinx dependencies.

Signed-off-by: Christian Heimes <cheimes@redhat.com>

</pre>

</li>

<li>

<strong><a href="https://salsa.debian.org/freeipa-team/freeipa/-/commit/d267d43447a00aa96c14c4f8853e0c0793757c2c">d267d434</a></strong>

<div>

<span>by Christian Heimes</span>

<i>at 2020-03-21T07:40:33+02:00</i>

</div>

<pre class="commit-message" style="white-space: pre-wrap; margin: 0;">Introduce FreeIPA

Copied from https://www.freeipa.org/page/About

</pre>

</li>

<li>

<strong><a href="https://salsa.debian.org/freeipa-team/freeipa/-/commit/a4456b010a4eeaa3225426a0ade67e1461613d18">a4456b01</a></strong>

<div>

<span>by Christian Heimes</span>

<i>at 2020-03-21T07:40:33+02:00</i>

</div>

<pre class="commit-message" style="white-space: pre-wrap; margin: 0;">Include design documentation

</pre>

</li>

<li>

<strong><a href="https://salsa.debian.org/freeipa-team/freeipa/-/commit/a4efb3028b933e0dce1da907c6a6f1a30ce41269">a4efb302</a></strong>

<div>

<span>by Christian Heimes</span>

<i>at 2020-03-21T07:40:33+02:00</i>

</div>

<pre class="commit-message" style="white-space: pre-wrap; margin: 0;">Test documentation builds in Azure

</pre>

</li>

<li>

<strong><a href="https://salsa.debian.org/freeipa-team/freeipa/-/commit/f8638e969696f4bdd11cf039bb3480c7478ee2de">f8638e96</a></strong>

<div>

<span>by Fraser Tweedale</span>

<i>at 2020-03-21T07:40:33+02:00</i>

</div>

<pre class="commit-message" style="white-space: pre-wrap; margin: 0;">fix osdc2015 and lca2016 dates

</pre>

</li>

<li>

<strong><a href="https://salsa.debian.org/freeipa-team/freeipa/-/commit/71ec597caa783296398008fc824af0e9ed809071">71ec597c</a></strong>

<div>

<span>by Fraser Tweedale</span>

<i>at 2020-03-21T07:40:33+02:00</i>

</div>

<pre class="commit-message" style="white-space: pre-wrap; margin: 0;">osdc-freeipa-workshop: add initial workshop modules

</pre>

</li>

<li>

<strong><a href="https://salsa.debian.org/freeipa-team/freeipa/-/commit/64109d5ac4255bebf5ad29dbe87e8203c22436d6">64109d5a</a></strong>

<div>

<span>by Fraser Tweedale</span>

<i>at 2020-03-21T07:40:33+02:00</i>

</div>

<pre class="commit-message" style="white-space: pre-wrap; margin: 0;">osdc-freeipa-workshop: external authnz module (WIP); minor fixes

</pre>

</li>

<li>

<strong><a href="https://salsa.debian.org/freeipa-team/freeipa/-/commit/96f93687d9e193520636bc928ca99c51a67beb88">96f93687</a></strong>

<div>

<span>by Fraser Tweedale</span>

<i>at 2020-03-21T07:40:33+02:00</i>

</div>

<pre class="commit-message" style="white-space: pre-wrap; margin: 0;">osdc-freeipa-workshop: add rpmfusion instructions

</pre>

</li>

<li>

<strong><a href="https://salsa.debian.org/freeipa-team/freeipa/-/commit/26f4be5839444bf7b04d8e743d5541281bf44bf2">26f4be58</a></strong>

<div>

<span>by Fraser Tweedale</span>

<i>at 2020-03-21T07:40:33+02:00</i>

</div>

<pre class="commit-message" style="white-space: pre-wrap; margin: 0;">sudo make me a sandwich

</pre>

</li>

<li>

<strong><a href="https://salsa.debian.org/freeipa-team/freeipa/-/commit/70ec83dd398dd5b59f9ea497fcc111a18771d38c">70ec83dd</a></strong>

<div>

<span>by Fraser Tweedale</span>

<i>at 2020-03-21T07:40:33+02:00</i>

</div>

<pre class="commit-message" style="white-space: pre-wrap; margin: 0;">osdc-freeipa-workshop: add mod_auth_gssapi section

</pre>

</li>

<li>

<strong><a href="https://salsa.debian.org/freeipa-team/freeipa/-/commit/ea16b85390b1ff81c6cdfc6adecc66d3d12db5f3">ea16b853</a></strong>

<div>

<span>by Fraser Tweedale</span>

<i>at 2020-03-21T07:40:33+02:00</i>

</div>

<pre class="commit-message" style="white-space: pre-wrap; margin: 0;">osdc-freeipa-workshop: add mod_lookup_identity and mod_authnz_pam sections

</pre>

</li>

<li>

<strong><a href="https://salsa.debian.org/freeipa-team/freeipa/-/commit/aafbbd9bcee862aa3dbed2937452a61453ffebe9">aafbbd9b</a></strong>

<div>

<span>by Fraser Tweedale</span>

<i>at 2020-03-21T07:40:33+02:00</i>

</div>

<pre class="commit-message" style="white-space: pre-wrap; margin: 0;">osdc-freeipa-workshop: selinux and other minor fixes

</pre>

</li>

<li>

<strong><a href="https://salsa.debian.org/freeipa-team/freeipa/-/commit/0417063d49c83ce60026bd10b09566266ea7435e">0417063d</a></strong>

<div>

<span>by Fraser Tweedale</span>

<i>at 2020-03-21T07:40:33+02:00</i>

</div>

<pre class="commit-message" style="white-space: pre-wrap; margin: 0;">osdc-freeipa-workshop: remove vagrant-hostmanager steps, add editing notes

</pre>

</li>

<li>

<strong><a href="https://salsa.debian.org/freeipa-team/freeipa/-/commit/c90fabd6b10cfb3a84c6cc35131a4e8a85383309">c90fabd6</a></strong>

<div>

<span>by Fraser Tweedale</span>

<i>at 2020-03-21T07:40:33+02:00</i>

</div>

<pre class="commit-message" style="white-space: pre-wrap; margin: 0;">osdc-freeipa-workshop: add Vagrantfile clone instructions and curriculum overview

</pre>

</li>

<li>

<strong><a href="https://salsa.debian.org/freeipa-team/freeipa/-/commit/4c5db754459a62671b8fac8cda64410d7dc5677a">4c5db754</a></strong>

<div>

<span>by Fraser Tweedale</span>

<i>at 2020-03-21T07:40:33+02:00</i>

</div>

<pre class="commit-message" style="white-space: pre-wrap; margin: 0;">osdc-freeipa-workshop: add Windows prep details

</pre>

</li>

<li>

<strong><a href="https://salsa.debian.org/freeipa-team/freeipa/-/commit/1445311e743609eab89668f6a5250e20605a3098">1445311e</a></strong>

<div>

<span>by Fraser Tweedale</span>

<i>at 2020-03-21T07:40:33+02:00</i>

</div>

<pre class="commit-message" style="white-space: pre-wrap; margin: 0;">osdc-freeipa-workshop: update f22 installation steps

</pre>

</li>

<li>

<strong><a href="https://salsa.debian.org/freeipa-team/freeipa/-/commit/77cb86bcf3b7dbf522029715f724f1bdaa5160ce">77cb86bc</a></strong>

<div>

<span>by Fraser Tweedale</span>

<i>at 2020-03-21T07:40:33+02:00</i>

</div>

<pre class="commit-message" style="white-space: pre-wrap; margin: 0;">osdc-freeipa-workshop: incorporate wibrown\'s feedback

</pre>

</li>

<li>

<strong><a href="https://salsa.debian.org/freeipa-team/freeipa/-/commit/e76d1726824410ef0b544b96bfe9654ac2fab349">e76d1726</a></strong>

<div>

<span>by Fraser Tweedale</span>

<i>at 2020-03-21T07:40:33+02:00</i>

</div>

<pre class="commit-message" style="white-space: pre-wrap; margin: 0;">osdc-freeipa-workshop: update troubleshooting doc

</pre>

</li>

<li>

<strong><a href="https://salsa.debian.org/freeipa-team/freeipa/-/commit/514f4c298c7a3ffc8af6431866b86ed2f653e36a">514f4c29</a></strong>

<div>

<span>by Fraser Tweedale</span>

<i>at 2020-03-21T07:40:34+02:00</i>

</div>

<pre class="commit-message" style="white-space: pre-wrap; margin: 0;">osdc-freeipa-workshop: clarify prep goals and VirtualBox version

</pre>

</li>

<li>

<strong><a href="https://salsa.debian.org/freeipa-team/freeipa/-/commit/fe03beb0e7a81d83f7bcf04ad8fb8d4ae0aca9d1">fe03beb0</a></strong>

<div>

<span>by Fraser Tweedale</span>

<i>at 2020-03-21T07:40:34+02:00</i>

</div>

<pre class="commit-message" style="white-space: pre-wrap; margin: 0;">osdc-freeipa-workshop: add missing dnf install vagrant

</pre>

</li>

<li>

<strong><a href="https://salsa.debian.org/freeipa-team/freeipa/-/commit/7a865b7fbab5e014f9dd7bbd2e5cc7ea2061f099">7a865b7f</a></strong>

<div>

<span>by Fraser Tweedale</span>

<i>at 2020-03-21T07:40:34+02:00</i>

</div>

<pre class="commit-message" style="white-space: pre-wrap; margin: 0;">osdc-freeipa-workshop: remove definition list of VMs

</pre>

</li>

<li>

<strong><a href="https://salsa.debian.org/freeipa-team/freeipa/-/commit/31676d7c9bbeb33b29a412df3a466a65866e9605">31676d7c</a></strong>

<div>

<span>by Fraser Tweedale</span>

<i>at 2020-03-21T07:40:34+02:00</i>

</div>

<pre class="commit-message" style="white-space: pre-wrap; margin: 0;">osdc-freeipa-workshop: typospotting

</pre>

</li>

<li>

<strong><a href="https://salsa.debian.org/freeipa-team/freeipa/-/commit/69b2fd6f1cffe27aa75af4751b67e953e3395ba5">69b2fd6f</a></strong>

<div>

<span>by Fraser Tweedale</span>

<i>at 2020-03-21T07:40:34+02:00</i>

</div>

<pre class="commit-message" style="white-space: pre-wrap; margin: 0;">osdc-freeipa-workshop: presentation, minor curriculum edits

</pre>

</li>

<li>

<strong><a href="https://salsa.debian.org/freeipa-team/freeipa/-/commit/9c2072c6432c04f7c3ba8846845eb743d0655b60">9c2072c6</a></strong>

<div>

<span>by Fraser Tweedale</span>

<i>at 2020-03-21T07:40:34+02:00</i>

</div>

<pre class="commit-message" style="white-space: pre-wrap; margin: 0;">osdc-freeipa-workshop: support vagrant-libvirt on Fedora

</pre>

</li>

<li>

<strong><a href="https://salsa.debian.org/freeipa-team/freeipa/-/commit/326011dad850af390631e60b21ab98ffe8a6c73f">326011da</a></strong>

<div>

<span>by Fraser Tweedale</span>

<i>at 2020-03-21T07:40:34+02:00</i>

</div>

<pre class="commit-message" style="white-space: pre-wrap; margin: 0;">osdc-freeipa-workshop: add debian/ubuntu prep instructions

</pre>

</li>

<li>

<strong><a href="https://salsa.debian.org/freeipa-team/freeipa/-/commit/855556e06411fbee67a5c9673991c0468b3f8893">855556e0</a></strong>

<div>

<span>by Fraser Tweedale</span>

<i>at 2020-03-21T07:40:34+02:00</i>

</div>

<pre class="commit-message" style="white-space: pre-wrap; margin: 0;">osdc-freeipa-workshop: add OS X and update Debian/Ubuntu details

</pre>

</li>

<li>

<strong><a href="https://salsa.debian.org/freeipa-team/freeipa/-/commit/32b37185ba5acda95fc983e54e94f4368f0d37ed">32b37185</a></strong>

<div>

<span>by Fraser Tweedale</span>

<i>at 2020-03-21T07:40:34+02:00</i>

</div>

<pre class="commit-message" style="white-space: pre-wrap; margin: 0;">osdc-freeipa-workshop: add certificate management module

</pre>

</li>

<li>

<strong><a href="https://salsa.debian.org/freeipa-team/freeipa/-/commit/a209cb9d373997586610e93cd05370f53e031b84">a209cb9d</a></strong>

<div>

<span>by Fraser Tweedale</span>

<i>at 2020-03-21T07:40:34+02:00</i>

</div>

<pre class="commit-message" style="white-space: pre-wrap; margin: 0;">20151029-osdc-freeipa-workshop: add app.py

</pre>

</li>

<li>

<strong><a href="https://salsa.debian.org/freeipa-team/freeipa/-/commit/37b38eadc509d34b6b67a61e71cda74d2ff34a94">37b38ead</a></strong>

<div>

<span>by zdover</span>

<i>at 2020-03-21T07:40:34+02:00</i>

</div>

<pre class="commit-message" style="white-space: pre-wrap; margin: 0;">making a list's items agree with one another

</pre>

</li>

<li>

<strong><a href="https://salsa.debian.org/freeipa-team/freeipa/-/commit/dd22a3c29924f56a044f1c549ff8db02b0b2788f">dd22a3c2</a></strong>

<div>

<span>by zdover</span>

<i>at 2020-03-21T07:40:34+02:00</i>

</div>

<pre class="commit-message" style="white-space: pre-wrap; margin: 0;">first tranche of edits

</pre>

</li>

<li>

<strong><a href="https://salsa.debian.org/freeipa-team/freeipa/-/commit/2012713c24d1bce974f2c53691d2977427c8f862">2012713c</a></strong>

<div>

<span>by zdover</span>

<i>at 2020-03-21T07:40:34+02:00</i>

</div>

<pre class="commit-message" style="white-space: pre-wrap; margin: 0;">thirty percent edited

</pre>

</li>

<li>

<strong><a href="https://salsa.debian.org/freeipa-team/freeipa/-/commit/e8c9efed0d43b36042b86896e02ed4b186b04457">e8c9efed</a></strong>

<div>

<span>by zdover</span>

<i>at 2020-03-21T07:40:34+02:00</i>

</div>

<pre class="commit-message" style="white-space: pre-wrap; margin: 0;">sixty percent edited

</pre>

</li>

<li>

<strong><a href="https://salsa.debian.org/freeipa-team/freeipa/-/commit/39d1715c54e03c61a8a34837b465d7cef8c6adfc">39d1715c</a></strong>

<div>

<span>by zdover</span>

<i>at 2020-03-21T07:40:34+02:00</i>

</div>

<pre class="commit-message" style="white-space: pre-wrap; margin: 0;">100 percent complete edit

</pre>

</li>

<li>

<strong><a href="https://salsa.debian.org/freeipa-team/freeipa/-/commit/df3115680e143dac9d9f94bf7ea44909dc03eb25">df311568</a></strong>

<div>

<span>by Fraser Tweedale</span>

<i>at 2020-03-21T07:40:34+02:00</i>

</div>

<pre class="commit-message" style="white-space: pre-wrap; margin: 0;">merge (most of) zdover's edits

</pre>

</li>

<li>

<strong><a href="https://salsa.debian.org/freeipa-team/freeipa/-/commit/1723910accba6f2e39327ccc2eab59ed143798ab">1723910a</a></strong>

<div>

<span>by Fraser Tweedale</span>

<i>at 2020-03-21T07:40:34+02:00</i>

</div>

<pre class="commit-message" style="white-space: pre-wrap; margin: 0;">freeipa-workshop: fix mod_authnz_pam link

</pre>

</li>

<li>

<strong><a href="https://salsa.debian.org/freeipa-team/freeipa/-/commit/fb5ab1d4af8c3c716fa80ee3f5a9ea5dc1dd0fc0">fb5ab1d4</a></strong>

<div>

<span>by Fraser Tweedale</span>

<i>at 2020-03-21T07:40:34+02:00</i>

</div>

<pre class="commit-message" style="white-space: pre-wrap; margin: 0;">add copyright notice

</pre>

</li>

<li>

<strong><a href="https://salsa.debian.org/freeipa-team/freeipa/-/commit/73da58024d8aa11dcdf2beb0b90039540eaf58f6">73da5802</a></strong>

<div>

<span>by Fraser Tweedale</span>

<i>at 2020-03-21T07:40:34+02:00</i>

</div>

<pre class="commit-message" style="white-space: pre-wrap; margin: 0;">remove proposal

</pre>

</li>

<li>

<strong><a href="https://salsa.debian.org/freeipa-team/freeipa/-/commit/4a48fe3102040d164e9a4247f1b8539ccd8ef295">4a48fe31</a></strong>

<div>

<span>by Abhijeet</span>

<i>at 2020-03-21T07:40:34+02:00</i>

</div>

<pre class="commit-message" style="white-space: pre-wrap; margin: 0;">Update workshop.rst

Correction in Windows hosts file path.</pre>

</li>

<li>

<strong><a href="https://salsa.debian.org/freeipa-team/freeipa/-/commit/638d98625c26293a404903730cbd2326123790a6">638d9862</a></strong>

<div>

<span>by Fraser Tweedale</span>

<i>at 2020-03-21T07:40:34+02:00</i>

</div>

<pre class="commit-message" style="white-space: pre-wrap; margin: 0;">initial commit

</pre>

</li>

<li>

<strong><a href="https://salsa.debian.org/freeipa-team/freeipa/-/commit/3ed5610f6418f20b0bae32bfca8f2a07b8be1d49">3ed5610f</a></strong>

<div>

<span>by Fraser Tweedale</span>

<i>at 2020-03-21T07:40:34+02:00</i>

</div>

<pre class="commit-message" style="white-space: pre-wrap; margin: 0;">typospotting

</pre>

</li>

<li>

<strong><a href="https://salsa.debian.org/freeipa-team/freeipa/-/commit/08a96bdf81a323aa79431a8900be7f07708d9317">08a96bdf</a></strong>

<div>

<span>by Fraser Tweedale</span>

<i>at 2020-03-21T07:40:34+02:00</i>

</div>

<pre class="commit-message" style="white-space: pre-wrap; margin: 0;">enable and start httpd on client

</pre>

</li>

<li>

<strong><a href="https://salsa.debian.org/freeipa-team/freeipa/-/commit/17b87fbc3b948c534e83a0b95498d783139bd948">17b87fbc</a></strong>

<div>

<span>by Fraser Tweedale</span>

<i>at 2020-03-21T07:40:34+02:00</i>

</div>

<pre class="commit-message" style="white-space: pre-wrap; margin: 0;">workshop: remove references to freeipa-workshop-vagrantfile repo

</pre>

</li>

<li>

<strong><a href="https://salsa.debian.org/freeipa-team/freeipa/-/commit/05ab50a127b001ed2e59328445829d8270323d0c">05ab50a1</a></strong>

<div>

<span>by Fraser Tweedale</span>

<i>at 2020-03-21T07:40:34+02:00</i>

</div>

<pre class="commit-message" style="white-space: pre-wrap; margin: 0;">add vagrant box building instructions

</pre>

</li>

<li>

<strong><a href="https://salsa.debian.org/freeipa-team/freeipa/-/commit/25e55198b4c14704afa917d436ceca3334cdd7c0">25e55198</a></strong>

<div>

<span>by Fraser Tweedale</span>

<i>at 2020-03-21T07:40:34+02:00</i>

</div>

<pre class="commit-message" style="white-space: pre-wrap; margin: 0;">update to f23

</pre>

</li>

<li>

<strong><a href="https://salsa.debian.org/freeipa-team/freeipa/-/commit/40f6a1b7beee2c87d9cbc13b1211f5f1de43f328">40f6a1b7</a></strong>

<div>

<span>by Fraser Tweedale</span>

<i>at 2020-03-21T07:40:34+02:00</i>

</div>

<pre class="commit-message" style="white-space: pre-wrap; margin: 0;">add replica installation module

</pre>

</li>

<li>

<strong><a href="https://salsa.debian.org/freeipa-team/freeipa/-/commit/73b1b05a3a3b0a3d118db621d45967932636f0f7">73b1b05a</a></strong>

<div>

<span>by Fraser Tweedale</span>

<i>at 2020-03-21T07:40:34+02:00</i>

</div>

<pre class="commit-message" style="white-space: pre-wrap; margin: 0;">symlink README to workshop.rst

</pre>

</li>

<li>

<strong><a href="https://salsa.debian.org/freeipa-team/freeipa/-/commit/88b7708069e8c84cbae043ef9acc866c8b223e12">88b77080</a></strong>

<div>

<span>by Fraser Tweedale</span>

<i>at 2020-03-21T07:40:34+02:00</i>

</div>

<pre class="commit-message" style="white-space: pre-wrap; margin: 0;">add internal links to modules

</pre>

</li>

<li>

<strong><a href="https://salsa.debian.org/freeipa-team/freeipa/-/commit/1e1de65e03947971b1ded64cef917dac900f8530">1e1de65e</a></strong>

<div>

<span>by Fraser Tweedale</span>

<i>at 2020-03-21T07:40:34+02:00</i>

</div>

<pre class="commit-message" style="white-space: pre-wrap; margin: 0;">update clone url

</pre>

</li>

<li>

<strong><a href="https://salsa.debian.org/freeipa-team/freeipa/-/commit/73d8f7bb450e55bb2d443a1eb3182d65fbd3ae0a">73d8f7bb</a></strong>

<div>

<span>by Fraser Tweedale</span>

<i>at 2020-03-21T07:40:34+02:00</i>

</div>

<pre class="commit-message" style="white-space: pre-wrap; margin: 0;">update feedback url

</pre>

</li>

<li>

<strong><a href="https://salsa.debian.org/freeipa-team/freeipa/-/commit/f8d94388d4b43843fcc5de7bcb514dda29820299">f8d94388</a></strong>

<div>

<span>by Fraser Tweedale</span>

<i>at 2020-03-21T07:40:34+02:00</i>

</div>

<pre class="commit-message" style="white-space: pre-wrap; margin: 0;">bump libvirt vm mem to 1G; other fixes

</pre>

</li>

<li>

<strong><a href="https://salsa.debian.org/freeipa-team/freeipa/-/commit/ae56b9a276bb729fdbe9b987bfcc288628ef0330">ae56b9a2</a></strong>

<div>

<span>by Fraser Tweedale</span>

<i>at 2020-03-21T07:40:34+02:00</i>

</div>

<pre class="commit-message" style="white-space: pre-wrap; margin: 0;">building: note disk and memory requirements

</pre>

</li>

<li>

<strong><a href="https://salsa.debian.org/freeipa-team/freeipa/-/commit/9cf596564aa27d482b866475a5c40d4d4def1953">9cf59656</a></strong>

<div>

<span>by Fraser Tweedale</span>

<i>at 2020-03-21T07:40:34+02:00</i>

</div>

<pre class="commit-message" style="white-space: pre-wrap; margin: 0;">add facilitator notes; remove feedback link

</pre>

</li>

<li>

<strong><a href="https://salsa.debian.org/freeipa-team/freeipa/-/commit/49c48aa9537c6eccf3a6b610ef7472a51f7eb3b3">49c48aa9</a></strong>

<div>

<span>by Thorsten Scherf</span>

<i>at 2020-03-21T07:40:34+02:00</i>

</div>

<pre class="commit-message" style="white-space: pre-wrap; margin: 0;">Added vagrant-libvirt-doc rpm and polkit rule

</pre>

</li>

<li>

<strong><a href="https://salsa.debian.org/freeipa-team/freeipa/-/commit/0db3a5693316d4166b5920e2df3560c5c38a6dbd">0db3a569</a></strong>

<div>

<span>by Thorsten Scherf</span>

<i>at 2020-03-21T07:40:34+02:00</i>

</div>

<pre class="commit-message" style="white-space: pre-wrap; margin: 0;">Added --mkhomedir option for server and replica.

</pre>

</li>

<li>

<strong><a href="https://salsa.debian.org/freeipa-team/freeipa/-/commit/7f187146c75330a15572b69da1633b4a6cffb383">7f187146</a></strong>

<div>

<span>by Thorsten Scherf</span>

<i>at 2020-03-21T07:40:34+02:00</i>

</div>

<pre class="commit-message" style="white-space: pre-wrap; margin: 0;">Added bash-completion rpm to build instructions.

</pre>

</li>

<li>

<strong><a href="https://salsa.debian.org/freeipa-team/freeipa/-/commit/18c0ef421bfac1a20e127696c46988f4c4d10131">18c0ef42</a></strong>

<div>

<span>by Fraser Tweedale</span>

<i>at 2020-03-21T07:40:34+02:00</i>

</div>

<pre class="commit-message" style="white-space: pre-wrap; margin: 0;">typospotting

</pre>

</li>

<li>

<strong><a href="https://salsa.debian.org/freeipa-team/freeipa/-/commit/681f8ae5a48c39c915c12d75f2d4554b100822a9">681f8ae5</a></strong>

<div>

<span>by Robert Collins</span>

<i>at 2020-03-21T07:40:34+02:00</i>

</div>

<pre class="commit-message" style="white-space: pre-wrap; margin: 0;">Note sss_cache -E.

</pre>

</li>

<li>

<strong><a href="https://salsa.debian.org/freeipa-team/freeipa/-/commit/2f9c9c8757d3d31860adbee0a68a6466e33643dc">2f9c9c87</a></strong>

<div>

<span>by Ariel O. Barria</span>

<i>at 2020-03-21T07:40:34+02:00</i>

</div>

<pre class="commit-message" style="white-space: pre-wrap; margin: 0;">vagrant user does not have permission to write to /etc/resolv.conf

detect through DNS autodiscovery.

</pre>

</li>

<li>

<strong><a href="https://salsa.debian.org/freeipa-team/freeipa/-/commit/65489291894a45d1af4bb1cdd5bdeae2d13a7501">65489291</a></strong>

<div>

<span>by Fraser Tweedale</span>

<i>at 2020-03-21T07:40:34+02:00</i>

</div>

<pre class="commit-message" style="white-space: pre-wrap; margin: 0;">updates for FreeIPA 4.3

</pre>

</li>

<li>

<strong><a href="https://salsa.debian.org/freeipa-team/freeipa/-/commit/3be3ca97f6099d30dd9299ff825f065452203146">3be3ca97</a></strong>

<div>

<span>by Fraser Tweedale</span>

<i>at 2020-03-21T07:40:34+02:00</i>

</div>

<pre class="commit-message" style="white-space: pre-wrap; margin: 0;">certs: request SAN DNS name

</pre>

</li>

<li>

<strong><a href="https://salsa.debian.org/freeipa-team/freeipa/-/commit/44b6c2bedcec01d34adad08f20fa77a08d15274a">44b6c2be</a></strong>

<div>

<span>by Fraser Tweedale</span>

<i>at 2020-03-21T07:40:34+02:00</i>

</div>

<pre class="commit-message" style="white-space: pre-wrap; margin: 0;">prep: updates for f24, box version 0.0.7

</pre>

</li>

<li>

<strong><a href="https://salsa.debian.org/freeipa-team/freeipa/-/commit/77eea677053f8865ce6d5e082f513c44d6e738ad">77eea677</a></strong>

<div>

<span>by Fraser Tweedale</span>

<i>at 2020-03-21T07:40:34+02:00</i>

</div>

<pre class="commit-message" style="white-space: pre-wrap; margin: 0;">Change workshop "Modules" to "Units"

Because the term "module" is used in various parts of the curriculum

in a technical context, for clarity refer to the sections of the

curriculum as "units" instead.

</pre>

</li>

<li>

<strong><a href="https://salsa.debian.org/freeipa-team/freeipa/-/commit/0f7a460fea88ae83f4b657ac52f2f3d64a38984f">0f7a460f</a></strong>

<div>

<span>by Fraser Tweedale</span>

<i>at 2020-03-21T07:40:34+02:00</i>

</div>

<pre class="commit-message" style="white-space: pre-wrap; margin: 0;">minor editoral improvements

</pre>

</li>

<li>

<strong><a href="https://salsa.debian.org/freeipa-team/freeipa/-/commit/d14dc294005596b86cdfab69df94c238dcce47d0">d14dc294</a></strong>

<div>

<span>by Fraser Tweedale</span>

<i>at 2020-03-21T07:40:34+02:00</i>

</div>

<pre class="commit-message" style="white-space: pre-wrap; margin: 0;">add sudorule unit

</pre>

</li>

<li>

<strong><a href="https://salsa.debian.org/freeipa-team/freeipa/-/commit/7a6b914747440e7c266d0eb54f90c22cf3ffcae8">7a6b9147</a></strong>

<div>

<span>by Fraser Tweedale</span>

<i>at 2020-03-21T07:40:34+02:00</i>

</div>

<pre class="commit-message" style="white-space: pre-wrap; margin: 0;">add selinuxusermap unit

</pre>

</li>

<li>

<strong><a href="https://salsa.debian.org/freeipa-team/freeipa/-/commit/a097485eb155b199159196fb30d57e0101af4599">a097485e</a></strong>

<div>

<span>by Fraser Tweedale</span>

<i>at 2020-03-21T07:40:34+02:00</i>

</div>

<pre class="commit-message" style="white-space: pre-wrap; margin: 0;">add sudorule and selinux units to TOC

</pre>

</li>

<li>

<strong><a href="https://salsa.debian.org/freeipa-team/freeipa/-/commit/c14042dc322192204507676dc0c975822773f0ee">c14042dc</a></strong>

<div>

<span>by Thorsten Scherf</span>

<i>at 2020-03-21T07:40:34+02:00</i>

</div>

<pre class="commit-message" style="white-space: pre-wrap; margin: 0;">Module added about ssh pubkey management

</pre>

</li>

<li>

<strong><a href="https://salsa.debian.org/freeipa-team/freeipa/-/commit/33cd0bb625d3aa2cede2b7bbe6cd49d4a0db5f29">33cd0bb6</a></strong>

<div>

<span>by Armando Neto</span>

<i>at 2020-03-21T07:40:34+02:00</i>

</div>

<pre class="commit-message" style="white-space: pre-wrap; margin: 0;">Update instructions for Fedora 28 / FreeIPA 4.6.90

</pre>

</li>

<li>

<strong><a href="https://salsa.debian.org/freeipa-team/freeipa/-/commit/b6c50da05942ba8703aa296c3e0de8369ecf9581">b6c50da0</a></strong>

<div>

<span>by Fraser Tweedale</span>

<i>at 2020-03-21T07:40:34+02:00</i>

</div>

<pre class="commit-message" style="white-space: pre-wrap; margin: 0;">split workshop into separate files

</pre>

</li>

<li>

<strong><a href="https://salsa.debian.org/freeipa-team/freeipa/-/commit/66ff3675c898daeffac6b675cceef0c0edc91b1a">66ff3675</a></strong>

<div>

<span>by Fraser Tweedale</span>

<i>at 2020-03-21T07:40:34+02:00</i>

</div>

<pre class="commit-message" style="white-space: pre-wrap; margin: 0;">add inter-module links

</pre>

</li>

<li>

<strong><a href="https://salsa.debian.org/freeipa-team/freeipa/-/commit/bc1c5a84bda16e6ed19a4226519c994a483568ea">bc1c5a84</a></strong>

<div>

<span>by Fraser Tweedale</span>

<i>at 2020-03-21T07:40:34+02:00</i>

</div>

<pre class="commit-message" style="white-space: pre-wrap; margin: 0;">add more prerequisites and fix some links

</pre>

</li>

<li>

<strong><a href="https://salsa.debian.org/freeipa-team/freeipa/-/commit/345850eb6cdcf5ca608ed0b3508a78da6bd908ef">345850eb</a></strong>

<div>

<span>by Fraser Tweedale</span>

<i>at 2020-03-21T07:40:34+02:00</i>

</div>

<pre class="commit-message" style="white-space: pre-wrap; margin: 0;">Vagrantfile: set DNS configuration in network-scripts

The Vagrantfile puts the server's address in /etc/resolv.conf but

this configuration will not survive a reboot or network restart.

Add configuration to /etc/sysconfig/network-scripts/ to ensure the

correct resolver is always used.

</pre>

</li>

<li>

<strong><a href="https://salsa.debian.org/freeipa-team/freeipa/-/commit/0678ed564992879e1f70429e51554fec2380dc8b">0678ed56</a></strong>

<div>

<span>by Fraser Tweedale</span>

<i>at 2020-03-21T07:40:34+02:00</i>

</div>

<pre class="commit-message" style="white-space: pre-wrap; margin: 0;">rename certificates module

</pre>

</li>

<li>

<strong><a href="https://salsa.debian.org/freeipa-team/freeipa/-/commit/3a0f8a114b72936e74cac7ad5ce8def1ca0299f6">3a0f8a11</a></strong>

<div>

<span>by Fraser Tweedale</span>

<i>at 2020-03-21T07:40:34+02:00</i>

</div>

<pre class="commit-message" style="white-space: pre-wrap; margin: 0;">lots of minor tweaks and updates

</pre>

</li>

<li>

<strong><a href="https://salsa.debian.org/freeipa-team/freeipa/-/commit/8e0d4bcccecc7dd405c8d71895c95d4a1a2eddd2">8e0d4bcc</a></strong>

<div>

<span>by Fraser Tweedale</span>

<i>at 2020-03-21T07:40:34+02:00</i>

</div>

<pre class="commit-message" style="white-space: pre-wrap; margin: 0;">suggest `ipa help topics`

</pre>

</li>

<li>

<strong><a href="https://salsa.debian.org/freeipa-team/freeipa/-/commit/a2f3088a21b9db2e79a717c9b4afae04fafc658e">a2f3088a</a></strong>

<div>

<span>by Fraser Tweedale</span>

<i>at 2020-03-21T07:40:34+02:00</i>

</div>

<pre class="commit-message" style="white-space: pre-wrap; margin: 0;">typospotting

</pre>

</li>

<li>

<strong><a href="https://salsa.debian.org/freeipa-team/freeipa/-/commit/8ff19cdb2c752342f81ebb93a929bf04f61f680f">8ff19cdb</a></strong>

<div>

<span>by Fraser Tweedale</span>

<i>at 2020-03-21T07:40:34+02:00</i>

</div>

<pre class="commit-message" style="white-space: pre-wrap; margin: 0;">add resources section

</pre>

</li>

<li>

<strong><a href="https://salsa.debian.org/freeipa-team/freeipa/-/commit/416d87b9bd4261ed30285a95ce3fec442822b3a7">416d87b9</a></strong>

<div>

<span>by Thorsten Scherf</span>

<i>at 2020-03-21T07:40:34+02:00</i>

</div>

<pre class="commit-message" style="white-space: pre-wrap; margin: 0;">Corrected some typos and added improvements to some setup instructions

</pre>

</li>

<li>

<strong><a href="https://salsa.debian.org/freeipa-team/freeipa/-/commit/3bd27cfe9d4b03b0ff89265fdf357750c65eaeaa">3bd27cfe</a></strong>

<div>

<span>by François Cami</span>

<i>at 2020-03-21T07:40:34+02:00</i>

</div>

<pre class="commit-message" style="white-space: pre-wrap; margin: 0;">8-sudorule.rst: add sudo and su-l as services for bob's HBAC rule.

Add a note about the behavior change of passwordless sudo

in sudo 1.8.23 and newer.

</pre>

</li>

<li>

<strong><a href="https://salsa.debian.org/freeipa-team/freeipa/-/commit/265d064bf890d06e64015339fb4789d8aaaec149">265d064b</a></strong>

<div>

<span>by Sam Bristow</span>

<i>at 2020-03-21T07:40:34+02:00</i>

</div>

<pre class="commit-message" style="white-space: pre-wrap; margin: 0;">Workaround networking issues with Libvirt

Vagrant 2.2 on Fedora 30 enables QEMU Session by default [1] which causes

problems with setting up the private network.

Explicitly telling Vagrant not to use the QEMU session if we're running on

Libvirt is the suggested workaround for now.

[1] https://fedoraproject.org/wiki/Changes/Vagrant_2.2_with_QEMU_Session</pre>

</li>

<li>

<strong><a href="https://salsa.debian.org/freeipa-team/freeipa/-/commit/acfe34e25b4f1469bee255cc82a70479efb990fa">acfe34e2</a></strong>

<div>

<span>by Alexander Bokovoy</span>

<i>at 2020-03-21T07:40:34+02:00</i>

</div>

<pre class="commit-message" style="white-space: pre-wrap; margin: 0;">Add unit 11: Kerberos ticket policy

Kerberos ticket policy unit describes ways of control of Kerberos

tickets in FreeIPA with the help of ticket policies.

</pre>

</li>

<li>

<strong><a href="https://salsa.debian.org/freeipa-team/freeipa/-/commit/c4a55522eed2165d550f6f1c93bb20e902348149">c4a55522</a></strong>

<div>

<span>by Christian Heimes</span>

<i>at 2020-03-21T07:40:34+02:00</i>

</div>

<pre class="commit-message" style="white-space: pre-wrap; margin: 0;">Fix codestyle

</pre>

</li>

<li>

<strong><a href="https://salsa.debian.org/freeipa-team/freeipa/-/commit/145afd68e504a817a87448395c206be89cac6d22">145afd68</a></strong>

<div>

<span>by Christian Heimes</span>

<i>at 2020-03-21T07:40:34+02:00</i>

</div>

<pre class="commit-message" style="white-space: pre-wrap; margin: 0;">Include workshop in sphinx build

</pre>

</li>

<li>

<strong><a href="https://salsa.debian.org/freeipa-team/freeipa/-/commit/a9a225d7153474331933213db0ee8cf8470e5020">a9a225d7</a></strong>

<div>

<span>by Christian Heimes</span>

<i>at 2020-03-21T07:40:34+02:00</i>

</div>

<pre class="commit-message" style="white-space: pre-wrap; margin: 0;">Use m2r instead of recommonmark

recommonmark does not support markdown tables.

Signed-off-by: Christian Heimes <cheimes@redhat.com>

</pre>

</li>

<li>

<strong><a href="https://salsa.debian.org/freeipa-team/freeipa/-/commit/9f2553c64f06ac496b0063239942443b8f6c435d">9f2553c6</a></strong>

<div>

<span>by Christian Heimes</span>

<i>at 2020-03-21T07:42:20+02:00</i>

</div>

<pre class="commit-message" style="white-space: pre-wrap; margin: 0;">Add explicit syntax language to code blocks

m2r converts code blocks into ReST code blocks with syntax highlighting.

Auto-detection of the language does not work correctly, though.

Explicitly set the language for console, ini, and Python blocks.

Signed-off-by: Christian Heimes <cheimes@redhat.com>

Reviewed-by: Alexander Bokovoy <abokovoy@redhat.com>

</pre>

</li>

<li>

<strong><a href="https://salsa.debian.org/freeipa-team/freeipa/-/commit/c6a379c432c7bc1a1a009fdc081db1470562ed8d">c6a379c4</a></strong>

<div>

<span>by Alexander Bokovoy</span>

<i>at 2020-03-21T07:57:06+02:00</i>

</div>

<pre class="commit-message" style="white-space: pre-wrap; margin: 0;">Move workshop documents to doc/workshop

Signed-off-by: Alexander Bokovoy <abokovoy@redhat.com>

</pre>

</li>

<li>

<strong><a href="https://salsa.debian.org/freeipa-team/freeipa/-/commit/34b961dc2032f56ccf1f8d905de42649d7ff7d3e">34b961dc</a></strong>

<div>

<span>by Alexander Bokovoy</span>

<i>at 2020-03-21T08:04:45+02:00</i>

</div>

<pre class="commit-message" style="white-space: pre-wrap; margin: 0;">Override master document for ReadTheDocs

ReadTheDocs.org engine assumes master document is 'contents.rst', we use

'index.rst'. Specify the master document explicitly.

Signed-off-by: Alexander Bokovoy <abokovoy@redhat.com>

</pre>

</li>

<li>

<strong><a href="https://salsa.debian.org/freeipa-team/freeipa/-/commit/452ef8cc76c9b3634e5812e81b5350bba5c59cf4">452ef8cc</a></strong>

<div>

<span>by Alexander Bokovoy</span>

<i>at 2020-03-21T08:10:31+02:00</i>

</div>

<pre class="commit-message" style="white-space: pre-wrap; margin: 0;">Do not force any particular sphinx theme

This allows ReadTheDocs to use own theme.

Signed-off-by: Alexander Bokovoy <abokovoy@redhat.com>

</pre>

</li>

<li>

<strong><a href="https://salsa.debian.org/freeipa-team/freeipa/-/commit/4a3b7baed785f7492e8404dac3eee8a8ce9fd937">4a3b7bae</a></strong>

<div>

<span>by Rob Crittenden</span>

<i>at 2020-03-21T09:36:40+01:00</i>

</div>

<pre class="commit-message" style="white-space: pre-wrap; margin: 0;">Test that ipa-healthcheck human output translates error strings

The code rather than the string was being displayed in human

output for non-SUCCESS messages. Verify that in case of an error

the right output will be present.

https://bugzilla.redhat.com/show_bug.cgi?id=1752849

Reviewed-By: Mohammad Rizwan Yusuf <myusuf@redhat.com>

Reviewed-By: Sumedh Sidhaye <ssidhaye@redhat.com>

Reviewed-By: Stanislav Levin <slev@altlinux.org>

Reviewed-By: Christian Heimes <cheimes@redhat.com>

</pre>

</li>

<li>

<strong><a href="https://salsa.debian.org/freeipa-team/freeipa/-/commit/ebb3c22ddb998997eb05e7bd4da2157e88b6c8f3">ebb3c22d</a></strong>

<div>

<span>by Florence Blanc-Renaud</span>

<i>at 2020-03-21T12:20:55+02:00</i>

</div>

<pre class="commit-message" style="white-space: pre-wrap; margin: 0;">ipatests: wait for SSSD to become online in backup/restore tests

The backup/restore tests are calling 'id admin' after restore

to make sure that the user name can be resolved after a restore.

The test should wait for SSSD backend to become online before

doing any check, otherwise there is a risk that the call to

'id admin' fails.

Fixes: https://pagure.io/freeipa/issue/8228

Signed-off-by: Florence Blanc-Renaud <flo@redhat.com>

Reviewed-By: Alexander Bokovoy <abokovoy@redhat.com>

Reviewed-By: Sergey Orlov <sorlov@redhat.com>

</pre>

</li>

<li>

<strong><a href="https://salsa.debian.org/freeipa-team/freeipa/-/commit/7974ac9f8c7969df85f689d94f5b30c18e661daa">7974ac9f</a></strong>

<div>

<span>by Rob Crittenden</span>

<i>at 2020-03-23T09:17:06+01:00</i>

</div>

<pre class="commit-message" style="white-space: pre-wrap; margin: 0;">Test that ipa-healthcheck human output translates error strings

The code rather than the string was being displayed in human

output for non-SUCCESS messages. Verify that in case of an error

the right output will be present.

https://bugzilla.redhat.com/show_bug.cgi?id=1752849

Reviewed-By: Mohammad Rizwan Yusuf <myusuf@redhat.com>

Reviewed-By: Sumedh Sidhaye <ssidhaye@redhat.com>

Reviewed-By: Stanislav Levin <slev@altlinux.org>

Reviewed-By: Christian Heimes <cheimes@redhat.com>

</pre>

</li>

<li>

<strong><a href="https://salsa.debian.org/freeipa-team/freeipa/-/commit/3aad16a75ef06d20d111773268df30ee04274db7">3aad16a7</a></strong>

<div>

<span>by Vit Mojzis</span>

<i>at 2020-03-24T10:17:14+02:00</i>

</div>

<pre class="commit-message" style="white-space: pre-wrap; margin: 0;">selinux: disable ipa_custodia when installing custom policy

Since ipa_custodia got integrated into ipa policy package, the upstream policy

module needs to be disabled before ipa module installation (in order to be able

to make changes to the ipa_custodia policy definitions).

Upstream ipa module gets overridden automatically because of higher priority of

the custom module, but there is no mechanism to automatically disable

ipa_custodia.

Related: https://pagure.io/freeipa/issue/6891

Reviewed-By: Alexander Bokovoy <abokovoy@redhat.com>

</pre>

</li>

<li>

<strong><a href="https://salsa.debian.org/freeipa-team/freeipa/-/commit/99a62f29b2b77961ea8e642e172ea774bc8882a9">99a62f29</a></strong>

<div>

<span>by Serhii Tsymbaliuk</span>

<i>at 2020-03-24T10:19:13+02:00</i>

</div>

<pre class="commit-message" style="white-space: pre-wrap; margin: 0;">Web UI: Upgrade Bootstrap version 3.3.7 -> 3.4.1

Ticket: https://pagure.io/freeipa/issue/8239

Signed-off-by: Serhii Tsymbaliuk <stsymbal@redhat.com>

Reviewed-By: Alexander Bokovoy <abokovoy@redhat.com>

</pre>

</li>

<li>

<strong><a href="https://salsa.debian.org/freeipa-team/freeipa/-/commit/9e47799cc7c761cba54dbbadb29c07f05de34674">9e47799c</a></strong>

<div>

<span>by Sergey Orlov</span>

<i>at 2020-03-24T10:20:39+02:00</i>

</div>

<pre class="commit-message" style="white-space: pre-wrap; margin: 0;">ipatests: remove test_ordering

The test_integration/test_ordering.py is a test for pytest_sourceorder

plugin which is not part of freeipa project, it is not an integration test.

The up to date version of this test is available at project repository:

https://pagure.io/python-pytest-sourceorder/blob/master/f/test_sourceorder.py

Reviewed-By: Alexander Bokovoy <abokovoy@redhat.com>

</pre>

</li>

<li>

<strong><a href="https://salsa.debian.org/freeipa-team/freeipa/-/commit/e8602b158680a92903b930a9d9a25e9c2c458685">e8602b15</a></strong>

<div>

<span>by Christian Heimes</span>

<i>at 2020-03-24T10:22:18+02:00</i>

</div>

<pre class="commit-message" style="white-space: pre-wrap; margin: 0;">Add pytest OpenSSH transport with password

The pytest_multihost transport does not provide password-based

authentication for OpenSSH transport. The OpenSSH command line tool has

no API to pass in a password securely.

The patch implements a custom transport that uses sshpass hack. It is

not recommended for production but good enough for testing.

Reviewed-By: Alexander Bokovoy <abokovoy@redhat.com>

</pre>

</li>

<li>

<strong><a href="https://salsa.debian.org/freeipa-team/freeipa/-/commit/0e9b020db201ff5797f0dabff05c3fc16a9bf79a">0e9b020d</a></strong>

<div>

<span>by Sergey Orlov</span>

<i>at 2020-03-24T12:25:01+01:00</i>

</div>

<pre class="commit-message" style="white-space: pre-wrap; margin: 0;">ipatests: remove test_ordering

The test_integration/test_ordering.py is a test for pytest_sourceorder

plugin which is not part of freeipa project, it is not an integration test.

The up to date version of this test is available at project repository:

https://pagure.io/python-pytest-sourceorder/blob/master/f/test_sourceorder.py

Reviewed-By: Alexander Bokovoy <abokovoy@redhat.com>

</pre>

</li>

<li>

<strong><a href="https://salsa.debian.org/freeipa-team/freeipa/-/commit/f99cfa1443dfa33422eb4a7613d3dd9e921ccacd">f99cfa14</a></strong>

<div>

<span>by Vit Mojzis</span>

<i>at 2020-03-24T13:33:08+01:00</i>

</div>

<pre class="commit-message" style="white-space: pre-wrap; margin: 0;">selinux: disable ipa_custodia when installing custom policy

Since ipa_custodia got integrated into ipa policy package, the upstream policy

module needs to be disabled before ipa module installation (in order to be able

to make changes to the ipa_custodia policy definitions).

Upstream ipa module gets overridden automatically because of higher priority of

the custom module, but there is no mechanism to automatically disable

ipa_custodia.

Related: https://pagure.io/freeipa/issue/6891

Reviewed-By: Alexander Bokovoy <abokovoy@redhat.com>

</pre>

</li>

<li>

<strong><a href="https://salsa.debian.org/freeipa-team/freeipa/-/commit/92e36258cee838a378729d06fc4134b5c4428f87">92e36258</a></strong>

<div>

<span>by Alexander Bokovoy</span>

<i>at 2020-03-24T13:40:06+01:00</i>

</div>

<pre class="commit-message" style="white-space: pre-wrap; margin: 0;">Keep ipa.pot translation file in git for weblate

Weblate tool sends pull requests that update translations directly.

For this to work, we need to keep ipa.pot in the tree.

Fixes: https://pagure.io/freeipa/issue/8159

Signed-off-by: Alexander Bokovoy <abokovoy@redhat.com>

Reviewed-By: Christian Heimes <cheimes@redhat.com>

</pre>

</li>

<li>

<strong><a href="https://salsa.debian.org/freeipa-team/freeipa/-/commit/b4722f3917d6c2a6849931e9c68896f83a0cc09b">b4722f39</a></strong>

<div>

<span>by Alexander Bokovoy</span>

<i>at 2020-03-24T13:40:06+01:00</i>

</div>

<pre class="commit-message" style="white-space: pre-wrap; margin: 0;">Update translation infrastructure

1. Build po/ipa.pot every time we update PO files (each build)

2. Drop any rebuilt PO changes if the only difference is in the

   translation file's header in a timestamp or timestamp+bug report

   link.

3. Only apply the logic for dropping the changes if we are operating on

   a git tree checkout because there is no otherwise an easy way to

   detect the changes.

4. Hook strip-po target to the cleanup target to allow dropping unneeded

   translation changes automatically.

5. Finally, strip ipaclient/remote_plugins/* locations from the ipa.pot

   template. This saves us around 23,000 lines from the ipa.pot file and

   reduces visual clutter in the translation files.

This approach allows to avoid unneccesary commits because even when

there are no changes to translation files, po/ipa.pot header would be

updated with a new translation update timestamp.

Fixes: https://pagure.io/freeipa/issue/8159

Signed-off-by: Alexander Bokovoy <abokovoy@redhat.com>

Reviewed-By: Christian Heimes <cheimes@redhat.com>

</pre>

</li>

<li>

<strong><a href="https://salsa.debian.org/freeipa-team/freeipa/-/commit/3fc932a2a859898d718d850fbcd558a1e960e91f">3fc932a2</a></strong>

<div>

<span>by Alexander Bokovoy</span>

<i>at 2020-03-24T13:40:06+01:00</i>

</div>

<pre class="commit-message" style="white-space: pre-wrap; margin: 0;">po: update ipa.pot template

Reviewed-By: Christian Heimes <cheimes@redhat.com>

</pre>

</li>

<li>

<strong><a href="https://salsa.debian.org/freeipa-team/freeipa/-/commit/0be22a6ae71a3261c9e9333a01dc028f55554924">0be22a6a</a></strong>

<div>

<span>by Alexander Bokovoy</span>

<i>at 2020-03-24T13:40:06+01:00</i>

</div>

<pre class="commit-message" style="white-space: pre-wrap; margin: 0;">po: update Bengali translation timestamp

Reviewed-By: Christian Heimes <cheimes@redhat.com>

</pre>

</li>

<li>

<strong><a href="https://salsa.debian.org/freeipa-team/freeipa/-/commit/6cd244da6be890e577bf381c6303363e2a6f237f">6cd244da</a></strong>

<div>

<span>by Alexander Bokovoy</span>

<i>at 2020-03-24T13:40:06+01:00</i>

</div>

<pre class="commit-message" style="white-space: pre-wrap; margin: 0;">po: update Catalan translation timestamp

Reviewed-By: Christian Heimes <cheimes@redhat.com>

</pre>

</li>

<li>

<strong><a href="https://salsa.debian.org/freeipa-team/freeipa/-/commit/68cc049124f2acf66b4fdd4588e1fb25d50a9364">68cc0491</a></strong>

<div>

<span>by Alexander Bokovoy</span>

<i>at 2020-03-24T13:40:06+01:00</i>

</div>

<pre class="commit-message" style="white-space: pre-wrap; margin: 0;">po: update Czech translation timestamp

Reviewed-By: Christian Heimes <cheimes@redhat.com>

</pre>

</li>

<li>

<strong><a href="https://salsa.debian.org/freeipa-team/freeipa/-/commit/117893f03e4f26044e7b15053e336b8d42b4f180">117893f0</a></strong>

<div>

<span>by Alexander Bokovoy</span>

<i>at 2020-03-24T13:40:06+01:00</i>

</div>

<pre class="commit-message" style="white-space: pre-wrap; margin: 0;">po: update German translation

Several translated strings were splitted into smaller ones. The older

translation either is a duplicate of the new one or does not apply

anymore.

Reviewed-By: Christian Heimes <cheimes@redhat.com>

</pre>

</li>

<li>

<strong><a href="https://salsa.debian.org/freeipa-team/freeipa/-/commit/439c488f04b857cfb83f779e450c34b93f7c38bb">439c488f</a></strong>

<div>

<span>by Alexander Bokovoy</span>

<i>at 2020-03-24T13:40:06+01:00</i>

</div>

<pre class="commit-message" style="white-space: pre-wrap; margin: 0;">po: update English (United Kingdom) translation timestamp

Reviewed-By: Christian Heimes <cheimes@redhat.com>

</pre>

</li>

<li>

<strong><a href="https://salsa.debian.org/freeipa-team/freeipa/-/commit/2859216b4cbb763a25792cffe6204da8edb4a232">2859216b</a></strong>

<div>

<span>by Alexander Bokovoy</span>

<i>at 2020-03-24T13:40:06+01:00</i>

</div>

<pre class="commit-message" style="white-space: pre-wrap; margin: 0;">po: update Spanish translation

Several translated strings were splitted and old translations do not

apply directly anymore.

Reviewed-By: Christian Heimes <cheimes@redhat.com>

</pre>

</li>

<li>

<strong><a href="https://salsa.debian.org/freeipa-team/freeipa/-/commit/e6574914ade837f1d49579394437dfe720b55b22">e6574914</a></strong>

<div>

<span>by Alexander Bokovoy</span>

<i>at 2020-03-24T13:40:06+01:00</i>

</div>

<pre class="commit-message" style="white-space: pre-wrap; margin: 0;">po: update Basque translation timestamp

Reviewed-By: Christian Heimes <cheimes@redhat.com>

</pre>

</li>

<li>

<strong><a href="https://salsa.debian.org/freeipa-team/freeipa/-/commit/1a0232a6938c64277c4b8f2cdc35be650da644cc">1a0232a6</a></strong>

<div>

<span>by Alexander Bokovoy</span>

<i>at 2020-03-24T13:40:06+01:00</i>

</div>

<pre class="commit-message" style="white-space: pre-wrap; margin: 0;">po: update French translation

Several translated strings were splitted and old translations do not

apply directly anymore.

Reviewed-By: Christian Heimes <cheimes@redhat.com>

</pre>

</li>

<li>

<strong><a href="https://salsa.debian.org/freeipa-team/freeipa/-/commit/35c1da8346c1b671b1a1bffa51199324c3947d9f">35c1da83</a></strong>

<div>

<span>by Alexander Bokovoy</span>

<i>at 2020-03-24T13:40:06+01:00</i>

</div>

<pre class="commit-message" style="white-space: pre-wrap; margin: 0;">po: update Hindi translation timestamp

Reviewed-By: Christian Heimes <cheimes@redhat.com>

</pre>

</li>

<li>

<strong><a href="https://salsa.debian.org/freeipa-team/freeipa/-/commit/f18a4f8dd34134b3c08b1169ba42ebcffa49ac72">f18a4f8d</a></strong>

<div>

<span>by Alexander Bokovoy</span>

<i>at 2020-03-24T13:40:06+01:00</i>

</div>

<pre class="commit-message" style="white-space: pre-wrap; margin: 0;">po: update Hungarian translation timestamp

Reviewed-By: Christian Heimes <cheimes@redhat.com>

</pre>

</li>

<li>

<strong><a href="https://salsa.debian.org/freeipa-team/freeipa/-/commit/347d9c78b17176e7677995c2ecbbfc7b13d50dcc">347d9c78</a></strong>

<div>

<span>by Alexander Bokovoy</span>

<i>at 2020-03-24T13:40:06+01:00</i>

</div>

<pre class="commit-message" style="white-space: pre-wrap; margin: 0;">po: update Indonesian translation timestamp

Reviewed-By: Christian Heimes <cheimes@redhat.com>

</pre>

</li>

<li>

<strong><a href="https://salsa.debian.org/freeipa-team/freeipa/-/commit/60d69a8755d3f32d6fed70ba541f70e4069e0647">60d69a87</a></strong>

<div>

<span>by Alexander Bokovoy</span>

<i>at 2020-03-24T13:40:06+01:00</i>

</div>

<pre class="commit-message" style="white-space: pre-wrap; margin: 0;">po: update Japanese translation timestamp

Reviewed-By: Christian Heimes <cheimes@redhat.com>

</pre>

</li>

<li>

<strong><a href="https://salsa.debian.org/freeipa-team/freeipa/-/commit/1c30d18611519aca5244b2315a5d8a3e198eea38">1c30d186</a></strong>

<div>

<span>by Alexander Bokovoy</span>

<i>at 2020-03-24T13:40:06+01:00</i>

</div>

<pre class="commit-message" style="white-space: pre-wrap; margin: 0;">po: update Kannada translation timestamp

Reviewed-By: Christian Heimes <cheimes@redhat.com>

</pre>

</li>

<li>

<strong><a href="https://salsa.debian.org/freeipa-team/freeipa/-/commit/0c9066e8f3b7b78fb7cf4763fa51919aa6c4965c">0c9066e8</a></strong>

<div>

<span>by Alexander Bokovoy</span>

<i>at 2020-03-24T13:40:06+01:00</i>

</div>

<pre class="commit-message" style="white-space: pre-wrap; margin: 0;">po: update Marathi translation timestamp

Reviewed-By: Christian Heimes <cheimes@redhat.com>

</pre>

</li>

<li>

<strong><a href="https://salsa.debian.org/freeipa-team/freeipa/-/commit/7f3cc11a20ad1705cb62ec0075d1e7ec863fced7">7f3cc11a</a></strong>

<div>

<span>by Alexander Bokovoy</span>

<i>at 2020-03-24T13:40:06+01:00</i>

</div>

<pre class="commit-message" style="white-space: pre-wrap; margin: 0;">po: update Dutch translation timestamp

Reviewed-By: Christian Heimes <cheimes@redhat.com>

</pre>

</li>

<li>

<strong><a href="https://salsa.debian.org/freeipa-team/freeipa/-/commit/3e636959ff14e454329a6806bf4fe4f560ccf398">3e636959</a></strong>

<div>

<span>by Alexander Bokovoy</span>

<i>at 2020-03-24T13:40:06+01:00</i>

</div>

<pre class="commit-message" style="white-space: pre-wrap; margin: 0;">po: update Punjabi translation timestamp

Reviewed-By: Christian Heimes <cheimes@redhat.com>

</pre>

</li>

<li>

<strong><a href="https://salsa.debian.org/freeipa-team/freeipa/-/commit/047c8cc55d0845123160e94c69bf0f4efe47059e">047c8cc5</a></strong>

<div>

<span>by Alexander Bokovoy</span>

<i>at 2020-03-24T13:40:06+01:00</i>

</div>

<pre class="commit-message" style="white-space: pre-wrap; margin: 0;">po: update Polish translation

Several translated strings were splitted and old translations do not

apply directly anymore.

Reviewed-By: Christian Heimes <cheimes@redhat.com>

</pre>

</li>

<li>

<strong><a href="https://salsa.debian.org/freeipa-team/freeipa/-/commit/baf1a7217d35c2142953a098f4caf88f181e42b0">baf1a721</a></strong>

<div>

<span>by Alexander Bokovoy</span>

<i>at 2020-03-24T13:40:06+01:00</i>

</div>

<pre class="commit-message" style="white-space: pre-wrap; margin: 0;">po: update Portuguese translation timestamp

Reviewed-By: Christian Heimes <cheimes@redhat.com>

</pre>

</li>

<li>

<strong><a href="https://salsa.debian.org/freeipa-team/freeipa/-/commit/45dede73c7106b234f0c1d022bd20260d9c7c7fa">45dede73</a></strong>

<div>

<span>by Alexander Bokovoy</span>

<i>at 2020-03-24T13:40:06+01:00</i>

</div>

<pre class="commit-message" style="white-space: pre-wrap; margin: 0;">po: update Portuguese (Brazil) translation timestamp

Reviewed-By: Christian Heimes <cheimes@redhat.com>

</pre>

</li>

<li>

<strong><a href="https://salsa.debian.org/freeipa-team/freeipa/-/commit/ad3ef9de44f41051fed8f743fb4bc7cf2e896ea7">ad3ef9de</a></strong>

<div>

<span>by Alexander Bokovoy</span>

<i>at 2020-03-24T13:40:06+01:00</i>

</div>

<pre class="commit-message" style="white-space: pre-wrap; margin: 0;">po: update Russian translation

Several translated strings were splitted and old translations do not

apply directly anymore.

Reviewed-By: Christian Heimes <cheimes@redhat.com>

</pre>

</li>

<li>

<strong><a href="https://salsa.debian.org/freeipa-team/freeipa/-/commit/ed55c408f8599dd4c0be8261c34930b9c7416171">ed55c408</a></strong>

<div>

<span>by Alexander Bokovoy</span>

<i>at 2020-03-24T13:40:06+01:00</i>

</div>

<pre class="commit-message" style="white-space: pre-wrap; margin: 0;">po: update Slovak translation timestamp

Reviewed-By: Christian Heimes <cheimes@redhat.com>

</pre>

</li>

<li>

<strong><a href="https://salsa.debian.org/freeipa-team/freeipa/-/commit/e50c2500f440caa59fa78320ed669db9f0a25d10">e50c2500</a></strong>

<div>

<span>by Alexander Bokovoy</span>

<i>at 2020-03-24T13:40:06+01:00</i>

</div>

<pre class="commit-message" style="white-space: pre-wrap; margin: 0;">po: update Tajik translation timestamp

Reviewed-By: Christian Heimes <cheimes@redhat.com>

</pre>

</li>

<li>

<strong><a href="https://salsa.debian.org/freeipa-team/freeipa/-/commit/9fcae1590ddb2fd240b200d0960e33323d594acb">9fcae159</a></strong>

<div>

<span>by Alexander Bokovoy</span>

<i>at 2020-03-24T13:40:06+01:00</i>

</div>

<pre class="commit-message" style="white-space: pre-wrap; margin: 0;">po: update Ukrainian translation

Several translated strings were splitted and old translations do not

apply directly anymore.

Reviewed-By: Christian Heimes <cheimes@redhat.com>

</pre>

</li>

<li>

<strong><a href="https://salsa.debian.org/freeipa-team/freeipa/-/commit/42e86692b6b12728e0fb7e3bc17613ef072b624a">42e86692</a></strong>

<div>

<span>by Alexander Bokovoy</span>

<i>at 2020-03-24T13:40:06+01:00</i>

</div>

<pre class="commit-message" style="white-space: pre-wrap; margin: 0;">po: update Chinese (China) translation

Several translated strings were splitted and old translations do not

apply directly anymore.

Reviewed-By: Christian Heimes <cheimes@redhat.com>

</pre>

</li>

<li>

<strong><a href="https://salsa.debian.org/freeipa-team/freeipa/-/commit/9120d65e881e582cc37ee8445fb66a54f6fb4d75">9120d65e</a></strong>

<div>

<span>by Mohammad Rizwan Yusuf</span>

<i>at 2020-03-24T13:49:57+01:00</i>

</div>

<pre class="commit-message" style="white-space: pre-wrap; margin: 0;">Test if schema-compat-entry-attribute is set

This is to ensure if said entry is set after installation with AD.

related: https://pagure.io/freeipa/issue/8193

Signed-off-by: Mohammad Rizwan Yusuf <myusuf@redhat.com>

Reviewed-By: Francois Cami <fcami@redhat.com>

Reviewed-By: Kaleemullah Siddiqui <ksiddiqu@redhat.com>

</pre>

</li>

<li>

<strong><a href="https://salsa.debian.org/freeipa-team/freeipa/-/commit/312d00df90fc40c1c4c934945c3c73053b6ea18a">312d00df</a></strong>

<div>

<span>by Mohammad Rizwan Yusuf</span>

<i>at 2020-03-24T13:49:57+01:00</i>

</div>

<pre class="commit-message" style="white-space: pre-wrap; margin: 0;">Test if schema-compat-entry-attribute is set

This is to ensure if said entry is set after installation.

It also checks if compat tree is disable.

related: https://pagure.io/freeipa/issue/8193

Signed-off-by: Mohammad Rizwan Yusuf <myusuf@redhat.com>

Reviewed-By: Francois Cami <fcami@redhat.com>

Reviewed-By: Kaleemullah Siddiqui <ksiddiqu@redhat.com>

</pre>

</li>

<li>

<strong><a href="https://salsa.debian.org/freeipa-team/freeipa/-/commit/42aa86fadd7a7f2209e05291be9c76a8497998dd">42aa86fa</a></strong>

<div>

<span>by Christian Heimes</span>

<i>at 2020-03-24T14:02:20+01:00</i>

</div>

<pre class="commit-message" style="white-space: pre-wrap; margin: 0;">Add pytest OpenSSH transport with password

The pytest_multihost transport does not provide password-based

authentication for OpenSSH transport. The OpenSSH command line tool has

no API to pass in a password securely.

The patch implements a custom transport that uses sshpass hack. It is

not recommended for production but good enough for testing.

Reviewed-By: Alexander Bokovoy <abokovoy@redhat.com>

</pre>

</li>

<li>

<strong><a href="https://salsa.debian.org/freeipa-team/freeipa/-/commit/f1855dd51e1544a77f1b4a3d4c90f173c29fbed4">f1855dd5</a></strong>

<div>

<span>by Serhii Tsymbaliuk</span>

<i>at 2020-03-24T14:13:42+01:00</i>

</div>

<pre class="commit-message" style="white-space: pre-wrap; margin: 0;">Web UI: Upgrade Bootstrap version 3.3.7 -> 3.4.1

Ticket: https://pagure.io/freeipa/issue/8239

Signed-off-by: Serhii Tsymbaliuk <stsymbal@redhat.com>

Reviewed-By: Alexander Bokovoy <abokovoy@redhat.com>

</pre>

</li>

<li>

<strong><a href="https://salsa.debian.org/freeipa-team/freeipa/-/commit/210619a98f0d8a042a181bab5891bdd595aa5351">210619a9</a></strong>

<div>

<span>by Mohammad Rizwan Yusuf</span>

<i>at 2020-03-24T15:44:54+01:00</i>

</div>

<pre class="commit-message" style="white-space: pre-wrap; margin: 0;">Test if schema-compat-entry-attribute is set

This is to ensure if said entry is set after installation with AD.

related: https://pagure.io/freeipa/issue/8193

Signed-off-by: Mohammad Rizwan Yusuf <myusuf@redhat.com>

Reviewed-By: Francois Cami <fcami@redhat.com>

Reviewed-By: Kaleemullah Siddiqui <ksiddiqu@redhat.com>

</pre>

</li>

<li>

<strong><a href="https://salsa.debian.org/freeipa-team/freeipa/-/commit/3f3fa403a944035cf5531939fe3a2e338da99612">3f3fa403</a></strong>

<div>

<span>by Mohammad Rizwan Yusuf</span>

<i>at 2020-03-24T15:44:54+01:00</i>

</div>

<pre class="commit-message" style="white-space: pre-wrap; margin: 0;">Test if schema-compat-entry-attribute is set

This is to ensure if said entry is set after installation.

It also checks if compat tree is disable.

related: https://pagure.io/freeipa/issue/8193

Signed-off-by: Mohammad Rizwan Yusuf <myusuf@redhat.com>

Reviewed-By: Francois Cami <fcami@redhat.com>

Reviewed-By: Kaleemullah Siddiqui <ksiddiqu@redhat.com>

</pre>

</li>

<li>

<strong><a href="https://salsa.debian.org/freeipa-team/freeipa/-/commit/aae30eb708b04c54807bc226b93ca14e09561b87">aae30eb7</a></strong>

<div>

<span>by Sergey Orlov</span>

<i>at 2020-03-24T18:26:03+01:00</i>

</div>

<pre class="commit-message" style="white-space: pre-wrap; margin: 0;">ipatests: provide AD admin password when trying to establish trust

`ipa trust-add --password` command requires that user provides a password..

Related to: https://pagure.io/freeipa/issue/7895

Reviewed-By: Florence Blanc-Renaud <flo@redhat.com>

</pre>

</li>

<li>

<strong><a href="https://salsa.debian.org/freeipa-team/freeipa/-/commit/0711c4a0d45f9e28459596552ca751890b13c265">0711c4a0</a></strong>

<div>

<span>by Fraser Tweedale</span>

<i>at 2020-03-25T11:13:03+11:00</i>

</div>

<pre class="commit-message" style="white-space: pre-wrap; margin: 0;">certmonger: avoid mutable default argument

certmonger._get_requests has a mutable default argument.  Although

at the present time it is never modified, this is an antipattern to

be avoided.

In fact, we don't even need the default argument, because it is

always called with a dict() argument.  So just remove it.

Part of: https://pagure.io/freeipa/issue/8186

Reviewed-By: Rob Crittenden <rcritten@redhat.com>

</pre>

</li>

<li>

<strong><a href="https://salsa.debian.org/freeipa-team/freeipa/-/commit/e0fb3816f656dc4b324fc02c8d4506dadcfe544e">e0fb3816</a></strong>

<div>

<span>by Fraser Tweedale</span>

<i>at 2020-03-25T11:13:03+11:00</i>

</div>

<pre class="commit-message" style="white-space: pre-wrap; margin: 0;">certmonger: move 'criteria' description to module docstring

The 'criteria' parameter is used by several subroutines in the

ipalib.install.certmonger module.  It has incomplete documentation

spread across several of these subroutines.  Move the documentation

to the module docstring and reference it where appropriate.

Part of: https://pagure.io/freeipa/issue/8186

Reviewed-By: Rob Crittenden <rcritten@redhat.com>

</pre>

</li>

<li>

<strong><a href="https://salsa.debian.org/freeipa-team/freeipa/-/commit/18ebd1116d706d9f2a3a9c2dca16681a4f138362">18ebd111</a></strong>

<div>

<span>by Fraser Tweedale</span>

<i>at 2020-03-25T11:13:03+11:00</i>

</div>

<pre class="commit-message" style="white-space: pre-wrap; margin: 0;">certmonger: support dnsname as request search criterion

We need to be able to filter Certmonger tracking requests by the DNS

names defined for the request.  The goal is to add the

'ipa-ca.$DOMAIN' alias to the HTTP certificate tracking requests, so

we will use that name as a search criterion.  Implement support for

this.

As a result of this commit it will be easy to add support for subset

match of other Certmonger request list properties.  Just add the

property name to the ARRAY_PROPERTIES list (and update the

'criteria' description in the module docstring!)

Part of: https://pagure.io/freeipa/issue/8186

Reviewed-By: Rob Crittenden <rcritten@redhat.com>

</pre>

</li>

<li>

<strong><a href="https://salsa.debian.org/freeipa-team/freeipa/-/commit/4cf9c8689fc4a791eee17e0cfcb38e837a53b3f0">4cf9c868</a></strong>

<div>

<span>by Fraser Tweedale</span>

<i>at 2020-03-25T11:13:03+11:00</i>

</div>

<pre class="commit-message" style="white-space: pre-wrap; margin: 0;">httpinstance: add fqdn and ipa-ca alias to Certmonger request

BACKGROUND:

We are implementing ACME support in FreeIPA (umbrella ticket:

https://pagure.io/freeipa/issue/4751).  ACME is defined in RFC 8555.

HTTPS is REQUIRED (https://tools.ietf.org/html/rfc8555#section-6.1).

Therefore, every FreeIPA server that provides the ACME service

capability must be reachable by HTTPS.

RFC 8555 does not say anything about which port to use for ACME.

The default HTTPS port of 443 is implied.  Therefore, the FreeIPA

ACME service will be reached via the Apache httpd server, which will

be the TLS server endpoint.

As a usability affordance for ACME clients, and as a maintainability

consideration i.e. to allow the topology to change without having to

reconfigure ACME clients, there should be a a single DNS name used

to reach the IPA ACME service.

The question then, is which DNS name to use.

REQUIREMENTS:

Each FreeIPA server that is also an ACME server must:

1. Be reachable via a common DNS name

2. Have an HTTP service certificate with that DNS name as a SAN

   dNSName value

DESIGN CONSIDERATION - WHAT DNS NAME TO USE?:

Some unrelated FreeIPA ACME design decisions provide important

context for the DNS name decision:

- The ACME service will be automatically and unconditionally

  deployed (but not necessarily *enabled*) on all CA servers.

- Enabling or disabling the ACME service will have topology-wide

  effect, i.e. the ACME service is either enabled on all CA

  servers, or disabled on all CA servers.

In a CA-ful FreeIPA deployment there is already a DNS name that

resolves to all CA servers: ``ipa-ca.$DOMAIN``, e.g.

``ipa-ca.example.com``.  It is expected to point to all CA servers

in the deployment, and *only* to CA servers.  If internal DNS is

deployed, the DNS records for ``ipa-ca.$DOMAIN`` are created and

updated automatically.  If internal DNS is not deployed,

administrators are required to maintain these DNS records

themselves.

The ``ipa-ca.$DOMAIN`` alias is currently used for OCSP and CRL

access.  TLS is not required for these applications (and it can

actually be problematic for OCSP).  Enabling TLS for this name

presents some risk of confusion for operators.  For example, if they

see that TLS is available and alter the certificate profiles to

include an HTTPS OCSP URL in the Authority Information Access (AIA)

extension, OCSP-using clients may fail to validate such

certificates.  But it is possible for administrators to make such a

change to the profile, whether or not HTTPS is available.

One big advantage to using the ``ipa-ca.$DOMAIN`` DNS name is that

there are no new DNS records to manage, either in the FreeIPA

implementation or for administrators in external DNS systems.

The alternative approach is to define a new DNS name, e.g.

``ipa-acme.$DOMAIN``, that ACME clients would use.  For internal

DNS, this means the FreeIPA implementation must manage the DNS

records.  This is straightforward; whenever we add or remove an

``ipa-ca.$DOMAIN`` record, also add/remove the ``ipa-acme.$DOMAIN``

record.  But for CA-ful deployments using external DNS, it is

additional work for adminstrators and, unless automated, additional

room for error.

An advantage of using a different DNS name is ``ipa-ca.$DOMAIN`` can

remain inaccessible over HTTPS.  This possibly reduces the risk of

administrator confusion or creation of invalid AIA configuration in

certificate profiles.

Weighing up the advantages and disadvantages, I decided to use the

``ipa-ca.$DOMAIN`` DNS name.

DESIGN CONSIDERATION - CA SERVERS, OR ALL SERVERS?:

A separate decision from which name to use is whether to include it

on the HTTP service certificate for ACME servers (i.e. CA servers)

only, or on all IPA servers.

Combined with the assumption that the chosen DNS name points to CA

servers *only*, there does not seem to be any harm in adding it to

the certificates on all IPA servers.

The alternative is to only include the chosen DNS name on the HTTP

service certificates of CA servers.  This approach entails some

additional complexity:

- If a non-CA replica gets promoted to CA replica (i.e. via

  ``ipa-ca-install``), its HTTP certificate must be re-issued with

  the relevant name.

- ipa-server-upgrade code must consider whether the server is a CA

  replica when validating (and if necessary re-creating) Certmonger

  tracking requests

- IPA Health Check must be made aware of this factor when checking

  certificates and Certmonger tracking requests.

Weighing up the options, I decided to add the common DNS name to the

HTTP service certificate on all IPA servers.  This avoids the

implementation complexity discussed above.

CHANGES IN THIS COMMIT

When (re-)tracking the HTTP certificate, explicitly add the server

FQDN and ipa-ca.$DOMAIN DNS names to the Certmonger tracking request.

Related changes follow in subsequent commits.

Part of: https://pagure.io/freeipa/issue/8186

Reviewed-By: Rob Crittenden <rcritten@redhat.com>

</pre>

</li>

<li>

<strong><a href="https://salsa.debian.org/freeipa-team/freeipa/-/commit/f7c45641fe356364175899399b51b07987b44a1b">f7c45641</a></strong>

<div>

<span>by Fraser Tweedale</span>

<i>at 2020-03-25T11:13:03+11:00</i>

</div>

<pre class="commit-message" style="white-space: pre-wrap; margin: 0;">cert-request: allow ipa-ca.$DOMAIN dNSName for IPA servers

For detailed discussion on the purpose of this change and the design

decisions made, see `git log -1 $THIS_COMMIT~1`.

ACME support requires TLS and we want ACME clients to access the

service via the ipa-ca.$DOMAIN DNS name.  So we need to add the

ipa-ca.$DOMAIN dNSName to IPA servers' HTTP certificates.  To

facilitiate this, add a special case to the cert-request command

processing.  The rule is:

- if the dnsName being validated is "ipa-ca.$DOMAIN"

- and the subject principal is an "HTTP/..." service

- and the subject principal's hostname is an IPA server

Then that name (i.e. "ipa-ca.$DOMAIN") is immediately allowed.

Otherwise continue with the usual dnsName validation.

Part of: https://pagure.io/freeipa/issue/8186

Reviewed-By: Rob Crittenden <rcritten@redhat.com>

</pre>

</li>

<li>

<strong><a href="https://salsa.debian.org/freeipa-team/freeipa/-/commit/4d5b5a9024c1237cb128688c7c4ac796135d50d5">4d5b5a90</a></strong>

<div>

<span>by Fraser Tweedale</span>

<i>at 2020-03-25T11:13:03+11:00</i>

</div>

<pre class="commit-message" style="white-space: pre-wrap; margin: 0;">httpinstance: add ipa-ca.$DOMAIN alias in initial request

For detailed discussion on the purpose of this change and the design

decisions made, see `git log -1 $THIS_COMMIT~2`.

For new server/replica installation, issue the HTTP server

certificate with the 'ipa-ca.$DOMAIN' SAN dNSName.  This is

accomplished by adding the name to the Certmonger tracking request.

Part of: https://pagure.io/freeipa/issue/8186

Reviewed-By: Rob Crittenden <rcritten@redhat.com>

</pre>

</li>

<li>

<strong><a href="https://salsa.debian.org/freeipa-team/freeipa/-/commit/cf4c2c64b0bb1e4555a48bc5079aeff101fd9894">cf4c2c64</a></strong>

<div>

<span>by Fraser Tweedale</span>

<i>at 2020-03-25T11:13:03+11:00</i>

</div>

<pre class="commit-message" style="white-space: pre-wrap; margin: 0;">upgrade: add ipa-ca.$DOMAIN alias to HTTP certificate

For detailed discussion on the purpose of this change and the design

decisions made, see `git log -1 $THIS_COMMIT~3`.

If the HTTP certificate does not have the ipa-ca.$DOMAIN dNSName,

resubmit the certificate request to add the name.  This action is

performed after the tracking request has already been updated.

Note: due to https://pagure.io/certmonger/issue/143, the resubmitted

request, if it does not immediately succeed (fairly likely during

ipa-server-upgrade) and if the notAfter date of the current cert is

still far off (also likely), then Certmonger will wait 7 days before

trying again (unless restarted).  There is not much we can do about

that in the middle of ipa-server-upgrade.

Part of: https://pagure.io/freeipa/issue/8186

Reviewed-By: Rob Crittenden <rcritten@redhat.com>

</pre>

</li>

<li>

<strong><a href="https://salsa.debian.org/freeipa-team/freeipa/-/commit/45b5384b6ef83aaf742bf7906d846e07db874ef8">45b5384b</a></strong>

<div>

<span>by Fraser Tweedale</span>

<i>at 2020-03-25T11:13:03+11:00</i>

</div>

<pre class="commit-message" style="white-space: pre-wrap; margin: 0;">ipatests: check HTTP certificate contains ipa-ca.$DOMAIN dnsname

Add integration test that confirms that on CA-ful installation, the

(non-3rd-party) HTTP certificate bears the ipa-ca.$DOMAIN DNS name.

For detailed discussion on the purpose of this change and the design

decisions made, see `git log -1 $THIS_COMMIT~4`.

Part of: https://pagure.io/freeipa/issue/8186

Reviewed-By: Rob Crittenden <rcritten@redhat.com>

</pre>

</li>

<li>

<strong><a href="https://salsa.debian.org/freeipa-team/freeipa/-/commit/c1c45df4b25ea2a96a2b5fe59e3d7edf4303c04e">c1c45df4</a></strong>

<div>

<span>by Alexander Bokovoy</span>

<i>at 2020-03-25T09:39:01+02:00</i>

</div>

<pre class="commit-message" style="white-space: pre-wrap; margin: 0;">ipatests: always skip additional input for group-add-member --external

'ipa group-add-member groupname --external some-object' will attempt to

ask interactive questions about other optional parameters (users and

groups) if only external group member was specified. This leads to a

timeout in the tests as there is no input provided.

Do not wait for the entry that would never come by using 'ipa -n'.

Related: https://pagure.io/freeipa/issue/8236

Signed-off-by: Alexander Bokovoy <abokovoy@redhat.com>

Reviewed-By: Florence Blanc-Renaud <frenaud@redhat.com>

Reviewed-By: Sergey Orlov <sorlov@redhat.com>

</pre>

</li>

<li>

<strong><a href="https://salsa.debian.org/freeipa-team/freeipa/-/commit/814b47e85c87bc3c80c91ebd0aa9085ac06b521e">814b47e8</a></strong>

<div>

<span>by Sergey Orlov</span>

<i>at 2020-03-25T09:45:55+02:00</i>

</div>

<pre class="commit-message" style="white-space: pre-wrap; margin: 0;">ipatests: provide AD admin password when trying to establish trust

`ipa trust-add --password` command requires that user provides a password..

Related to: https://pagure.io/freeipa/issue/7895

Reviewed-By: Florence Blanc-Renaud <frenaud@redhat.com>

</pre>

</li>

<li>

<strong><a href="https://salsa.debian.org/freeipa-team/freeipa/-/commit/9ff7b4a411d13ca148d2f53603dbcc812d92380a">9ff7b4a4</a></strong>

<div>

<span>by Alexander Bokovoy</span>

<i>at 2020-03-25T09:49:28+02:00</i>

</div>

<pre class="commit-message" style="white-space: pre-wrap; margin: 0;">Keep ipa.pot translation file in git for weblate

Weblate tool sends pull requests that update translations directly.

For this to work, we need to keep ipa.pot in the tree.

Fixes: https://pagure.io/freeipa/issue/8159

Signed-off-by: Alexander Bokovoy <abokovoy@redhat.com>

Reviewed-By: Christian Heimes <cheimes@redhat.com>

(cherry picked from commit 92e36258cee838a378729d06fc4134b5c4428f87)

Reviewed-By: Christian Heimes <cheimes@redhat.com>

</pre>

</li>

<li>

<strong><a href="https://salsa.debian.org/freeipa-team/freeipa/-/commit/831f4dd320a93d01df6b06058c3ab618a98c9fd8">831f4dd3</a></strong>

<div>

<span>by Alexander Bokovoy</span>

<i>at 2020-03-25T09:49:28+02:00</i>

</div>

<pre class="commit-message" style="white-space: pre-wrap; margin: 0;">Update translation infrastructure

1. Build po/ipa.pot every time we update PO files (each build)

2. Drop any rebuilt PO changes if the only difference is in the

   translation file's header in a timestamp or timestamp+bug report

   link.

3. Only apply the logic for dropping the changes if we are operating on

   a git tree checkout because there is no otherwise an easy way to

   detect the changes.

4. Hook strip-po target to the cleanup target to allow dropping unneeded

   translation changes automatically.

5. Finally, strip ipaclient/remote_plugins/* locations from the ipa.pot

   template. This saves us around 23,000 lines from the ipa.pot file and

   reduces visual clutter in the translation files.

This approach allows to avoid unneccesary commits because even when

there are no changes to translation files, po/ipa.pot header would be

updated with a new translation update timestamp.

Fixes: https://pagure.io/freeipa/issue/8159

Signed-off-by: Alexander Bokovoy <abokovoy@redhat.com>

Reviewed-By: Christian Heimes <cheimes@redhat.com>

(cherry picked from commit b4722f3917d6c2a6849931e9c68896f83a0cc09b)

Reviewed-By: Christian Heimes <cheimes@redhat.com>

</pre>

</li>

<li>

<strong><a href="https://salsa.debian.org/freeipa-team/freeipa/-/commit/e23ba779d3aefd871e348b91e7b0fa003d97c96e">e23ba779</a></strong>

<div>

<span>by Alexander Bokovoy</span>

<i>at 2020-03-25T09:49:28+02:00</i>

</div>

<pre class="commit-message" style="white-space: pre-wrap; margin: 0;">po: update ipa.pot template

Reviewed-By: Christian Heimes <cheimes@redhat.com>

(cherry picked from commit 3fc932a2a859898d718d850fbcd558a1e960e91f)

Reviewed-By: Christian Heimes <cheimes@redhat.com>

</pre>

</li>

<li>

<strong><a href="https://salsa.debian.org/freeipa-team/freeipa/-/commit/16d9556c6f3d19f73256d6698a7659f78961a378">16d9556c</a></strong>

<div>

<span>by Alexander Bokovoy</span>

<i>at 2020-03-25T09:49:28+02:00</i>

</div>

<pre class="commit-message" style="white-space: pre-wrap; margin: 0;">po: update Bengali translation timestamp

Reviewed-By: Christian Heimes <cheimes@redhat.com>

(cherry picked from commit 0be22a6ae71a3261c9e9333a01dc028f55554924)

Reviewed-By: Christian Heimes <cheimes@redhat.com>

</pre>

</li>

<li>

<strong><a href="https://salsa.debian.org/freeipa-team/freeipa/-/commit/29e3ade05c8bea23c07ed1a1b5612af01f924d2d">29e3ade0</a></strong>

<div>

<span>by Alexander Bokovoy</span>

<i>at 2020-03-25T09:49:28+02:00</i>

</div>

<pre class="commit-message" style="white-space: pre-wrap; margin: 0;">po: update Catalan translation timestamp

Reviewed-By: Christian Heimes <cheimes@redhat.com>

(cherry picked from commit 6cd244da6be890e577bf381c6303363e2a6f237f)

Reviewed-By: Christian Heimes <cheimes@redhat.com>

</pre>

</li>

<li>

<strong><a href="https://salsa.debian.org/freeipa-team/freeipa/-/commit/c8ba436c0dad467bf12dec4d4f141916d0b3fbbd">c8ba436c</a></strong>

<div>

<span>by Alexander Bokovoy</span>

<i>at 2020-03-25T09:49:28+02:00</i>

</div>

<pre class="commit-message" style="white-space: pre-wrap; margin: 0;">po: update Czech translation timestamp

Reviewed-By: Christian Heimes <cheimes@redhat.com>

(cherry picked from commit 68cc049124f2acf66b4fdd4588e1fb25d50a9364)

Reviewed-By: Christian Heimes <cheimes@redhat.com>

</pre>

</li>

<li>

<strong><a href="https://salsa.debian.org/freeipa-team/freeipa/-/commit/0d053d8b1df33f5602ae0e154743f1d1dce2c72d">0d053d8b</a></strong>

<div>

<span>by Alexander Bokovoy</span>

<i>at 2020-03-25T09:49:28+02:00</i>

</div>

<pre class="commit-message" style="white-space: pre-wrap; margin: 0;">po: update German translation

Several translated strings were splitted into smaller ones. The older

translation either is a duplicate of the new one or does not apply

anymore.

Reviewed-By: Christian Heimes <cheimes@redhat.com>

(cherry picked from commit 117893f03e4f26044e7b15053e336b8d42b4f180)

Reviewed-By: Christian Heimes <cheimes@redhat.com>

</pre>

</li>

<li>

<strong><a href="https://salsa.debian.org/freeipa-team/freeipa/-/commit/37a1e927a1f123b8b9fdbaf815003cb04726f72c">37a1e927</a></strong>

<div>

<span>by Alexander Bokovoy</span>

<i>at 2020-03-25T09:49:28+02:00</i>

</div>

<pre class="commit-message" style="white-space: pre-wrap; margin: 0;">po: update English (United Kingdom) translation timestamp

Reviewed-By: Christian Heimes <cheimes@redhat.com>

(cherry picked from commit 439c488f04b857cfb83f779e450c34b93f7c38bb)

Reviewed-By: Christian Heimes <cheimes@redhat.com>

</pre>

</li>

<li>

<strong><a href="https://salsa.debian.org/freeipa-team/freeipa/-/commit/7af52df7a8e54afe36649c5436fcfce759111751">7af52df7</a></strong>

<div>

<span>by Alexander Bokovoy</span>

<i>at 2020-03-25T09:49:28+02:00</i>

</div>

<pre class="commit-message" style="white-space: pre-wrap; margin: 0;">po: update Spanish translation

Several translated strings were splitted and old translations do not

apply directly anymore.

Reviewed-By: Christian Heimes <cheimes@redhat.com>

(cherry picked from commit 2859216b4cbb763a25792cffe6204da8edb4a232)

Reviewed-By: Christian Heimes <cheimes@redhat.com>

</pre>

</li>

<li>

<strong><a href="https://salsa.debian.org/freeipa-team/freeipa/-/commit/92fb5c5268b8b1b02b7a1d12b9a6417c893a18f1">92fb5c52</a></strong>

<div>

<span>by Alexander Bokovoy</span>

<i>at 2020-03-25T09:49:28+02:00</i>

</div>

<pre class="commit-message" style="white-space: pre-wrap; margin: 0;">po: update Basque translation timestamp

Reviewed-By: Christian Heimes <cheimes@redhat.com>

(cherry picked from commit e6574914ade837f1d49579394437dfe720b55b22)

Reviewed-By: Christian Heimes <cheimes@redhat.com>

</pre>

</li>

<li>

<strong><a href="https://salsa.debian.org/freeipa-team/freeipa/-/commit/a2ca393d35a1f34b2dbbd54c9c1d24b9f20960f0">a2ca393d</a></strong>

<div>

<span>by Alexander Bokovoy</span>

<i>at 2020-03-25T09:49:28+02:00</i>

</div>

<pre class="commit-message" style="white-space: pre-wrap; margin: 0;">po: update French translation

Several translated strings were splitted and old translations do not

apply directly anymore.

Reviewed-By: Christian Heimes <cheimes@redhat.com>

(cherry picked from commit 1a0232a6938c64277c4b8f2cdc35be650da644cc)

Reviewed-By: Christian Heimes <cheimes@redhat.com>

</pre>

</li>

<li>

<strong><a href="https://salsa.debian.org/freeipa-team/freeipa/-/commit/c4dd8b226ae97011bcc0546209f8473fbcd75ab8">c4dd8b22</a></strong>

<div>

<span>by Alexander Bokovoy</span>

<i>at 2020-03-25T09:49:28+02:00</i>

</div>

<pre class="commit-message" style="white-space: pre-wrap; margin: 0;">po: update Hindi translation timestamp

Reviewed-By: Christian Heimes <cheimes@redhat.com>

(cherry picked from commit 35c1da8346c1b671b1a1bffa51199324c3947d9f)

Reviewed-By: Christian Heimes <cheimes@redhat.com>

</pre>

</li>

<li>

<strong><a href="https://salsa.debian.org/freeipa-team/freeipa/-/commit/595d5062b9e770a946156f69df2fe522d4745d9e">595d5062</a></strong>

<div>

<span>by Alexander Bokovoy</span>

<i>at 2020-03-25T09:49:28+02:00</i>

</div>

<pre class="commit-message" style="white-space: pre-wrap; margin: 0;">po: update Hungarian translation timestamp

Reviewed-By: Christian Heimes <cheimes@redhat.com>

(cherry picked from commit f18a4f8dd34134b3c08b1169ba42ebcffa49ac72)

Reviewed-By: Christian Heimes <cheimes@redhat.com>

</pre>

</li>

<li>

<strong><a href="https://salsa.debian.org/freeipa-team/freeipa/-/commit/124a563eb64d7f9a2190a13e9d68a7b608be2d22">124a563e</a></strong>

<div>

<span>by Alexander Bokovoy</span>

<i>at 2020-03-25T09:49:28+02:00</i>

</div>

<pre class="commit-message" style="white-space: pre-wrap; margin: 0;">po: update Indonesian translation timestamp

Reviewed-By: Christian Heimes <cheimes@redhat.com>

(cherry picked from commit 347d9c78b17176e7677995c2ecbbfc7b13d50dcc)

Reviewed-By: Christian Heimes <cheimes@redhat.com>

</pre>

</li>

<li>

<strong><a href="https://salsa.debian.org/freeipa-team/freeipa/-/commit/89dbf88abb108cad7f44f92b4e94e66f21746cd3">89dbf88a</a></strong>

<div>

<span>by Alexander Bokovoy</span>

<i>at 2020-03-25T09:49:28+02:00</i>

</div>

<pre class="commit-message" style="white-space: pre-wrap; margin: 0;">po: update Japanese translation timestamp

Reviewed-By: Christian Heimes <cheimes@redhat.com>

(cherry picked from commit 60d69a8755d3f32d6fed70ba541f70e4069e0647)

Reviewed-By: Christian Heimes <cheimes@redhat.com>

</pre>

</li>

<li>

<strong><a href="https://salsa.debian.org/freeipa-team/freeipa/-/commit/89b048d1408834dde38321ac4f402083ebd30247">89b048d1</a></strong>

<div>

<span>by Alexander Bokovoy</span>

<i>at 2020-03-25T09:49:28+02:00</i>

</div>

<pre class="commit-message" style="white-space: pre-wrap; margin: 0;">po: update Kannada translation timestamp

Reviewed-By: Christian Heimes <cheimes@redhat.com>

(cherry picked from commit 1c30d18611519aca5244b2315a5d8a3e198eea38)

Reviewed-By: Christian Heimes <cheimes@redhat.com>

</pre>

</li>

<li>

<strong><a href="https://salsa.debian.org/freeipa-team/freeipa/-/commit/28a963eed0f27c214543b02fc34e15182e6fcc04">28a963ee</a></strong>

<div>

<span>by Alexander Bokovoy</span>

<i>at 2020-03-25T09:49:28+02:00</i>

</div>

<pre class="commit-message" style="white-space: pre-wrap; margin: 0;">po: update Marathi translation timestamp

Reviewed-By: Christian Heimes <cheimes@redhat.com>

(cherry picked from commit 0c9066e8f3b7b78fb7cf4763fa51919aa6c4965c)

Reviewed-By: Christian Heimes <cheimes@redhat.com>

</pre>

</li>

<li>

<strong><a href="https://salsa.debian.org/freeipa-team/freeipa/-/commit/e7945284906998da0a798a1ff15a42dd3fdb96d9">e7945284</a></strong>

<div>

<span>by Alexander Bokovoy</span>

<i>at 2020-03-25T09:49:28+02:00</i>

</div>

<pre class="commit-message" style="white-space: pre-wrap; margin: 0;">po: update Dutch translation timestamp

Reviewed-By: Christian Heimes <cheimes@redhat.com>

(cherry picked from commit 7f3cc11a20ad1705cb62ec0075d1e7ec863fced7)

Reviewed-By: Christian Heimes <cheimes@redhat.com>

</pre>

</li>

<li>

<strong><a href="https://salsa.debian.org/freeipa-team/freeipa/-/commit/e4dfb7409bd25dc5bc2cc1e99562f912a98509f8">e4dfb740</a></strong>

<div>

<span>by Alexander Bokovoy</span>

<i>at 2020-03-25T09:49:28+02:00</i>

</div>

<pre class="commit-message" style="white-space: pre-wrap; margin: 0;">po: update Punjabi translation timestamp

Reviewed-By: Christian Heimes <cheimes@redhat.com>

(cherry picked from commit 3e636959ff14e454329a6806bf4fe4f560ccf398)

Reviewed-By: Christian Heimes <cheimes@redhat.com>

</pre>

</li>

<li>

<strong><a href="https://salsa.debian.org/freeipa-team/freeipa/-/commit/4e3867fcc49a8d2ff1085e630abd77666a06d838">4e3867fc</a></strong>

<div>

<span>by Alexander Bokovoy</span>

<i>at 2020-03-25T09:49:28+02:00</i>

</div>

<pre class="commit-message" style="white-space: pre-wrap; margin: 0;">po: update Polish translation

Several translated strings were splitted and old translations do not

apply directly anymore.

Reviewed-By: Christian Heimes <cheimes@redhat.com>

(cherry picked from commit 047c8cc55d0845123160e94c69bf0f4efe47059e)

Reviewed-By: Christian Heimes <cheimes@redhat.com>

</pre>

</li>

<li>

<strong><a href="https://salsa.debian.org/freeipa-team/freeipa/-/commit/31a9da8efa793d492352f646fc804b902beec088">31a9da8e</a></strong>

<div>

<span>by Alexander Bokovoy</span>

<i>at 2020-03-25T09:49:28+02:00</i>

</div>

<pre class="commit-message" style="white-space: pre-wrap; margin: 0;">po: update Portuguese translation timestamp

Reviewed-By: Christian Heimes <cheimes@redhat.com>

(cherry picked from commit baf1a7217d35c2142953a098f4caf88f181e42b0)

Reviewed-By: Christian Heimes <cheimes@redhat.com>

</pre>

</li>

<li>

<strong><a href="https://salsa.debian.org/freeipa-team/freeipa/-/commit/eab195ff3884b482279279326b3a84ced4723b7e">eab195ff</a></strong>

<div>

<span>by Alexander Bokovoy</span>

<i>at 2020-03-25T09:49:28+02:00</i>

</div>

<pre class="commit-message" style="white-space: pre-wrap; margin: 0;">po: update Portuguese (Brazil) translation timestamp

Reviewed-By: Christian Heimes <cheimes@redhat.com>

(cherry picked from commit 45dede73c7106b234f0c1d022bd20260d9c7c7fa)

Reviewed-By: Christian Heimes <cheimes@redhat.com>

</pre>

</li>

<li>

<strong><a href="https://salsa.debian.org/freeipa-team/freeipa/-/commit/db433fbe4e521d08dee2cdc2e65344d8203e03a4">db433fbe</a></strong>

<div>

<span>by Alexander Bokovoy</span>

<i>at 2020-03-25T09:49:28+02:00</i>

</div>

<pre class="commit-message" style="white-space: pre-wrap; margin: 0;">po: update Russian translation

Several translated strings were splitted and old translations do not

apply directly anymore.

Reviewed-By: Christian Heimes <cheimes@redhat.com>

(cherry picked from commit ad3ef9de44f41051fed8f743fb4bc7cf2e896ea7)

Reviewed-By: Christian Heimes <cheimes@redhat.com>

</pre>

</li>

<li>

<strong><a href="https://salsa.debian.org/freeipa-team/freeipa/-/commit/3c15e47a7c2212aab0ecdc320093bee2afa0bfdc">3c15e47a</a></strong>

<div>

<span>by Alexander Bokovoy</span>

<i>at 2020-03-25T09:49:28+02:00</i>

</div>

<pre class="commit-message" style="white-space: pre-wrap; margin: 0;">po: update Slovak translation timestamp

Reviewed-By: Christian Heimes <cheimes@redhat.com>

(cherry picked from commit ed55c408f8599dd4c0be8261c34930b9c7416171)

Reviewed-By: Christian Heimes <cheimes@redhat.com>

</pre>

</li>

<li>

<strong><a href="https://salsa.debian.org/freeipa-team/freeipa/-/commit/3d411cf29f29e1d391ed8f6eb159b88d450a332b">3d411cf2</a></strong>

<div>

<span>by Alexander Bokovoy</span>

<i>at 2020-03-25T09:49:28+02:00</i>

</div>

<pre class="commit-message" style="white-space: pre-wrap; margin: 0;">po: update Tajik translation timestamp

Reviewed-By: Christian Heimes <cheimes@redhat.com>

(cherry picked from commit e50c2500f440caa59fa78320ed669db9f0a25d10)

Reviewed-By: Christian Heimes <cheimes@redhat.com>

</pre>

</li>

<li>

<strong><a href="https://salsa.debian.org/freeipa-team/freeipa/-/commit/855a36b6c093fd21af7cf87524acc5d297692de3">855a36b6</a></strong>

<div>

<span>by Alexander Bokovoy</span>

<i>at 2020-03-25T09:49:28+02:00</i>

</div>

<pre class="commit-message" style="white-space: pre-wrap; margin: 0;">po: update Ukrainian translation

Several translated strings were splitted and old translations do not

apply directly anymore.

Reviewed-By: Christian Heimes <cheimes@redhat.com>

(cherry picked from commit 9fcae1590ddb2fd240b200d0960e33323d594acb)

Reviewed-By: Christian Heimes <cheimes@redhat.com>

</pre>

</li>

<li>

<strong><a href="https://salsa.debian.org/freeipa-team/freeipa/-/commit/c6adee04068ce946f8c9b8ad5db19721db13c602">c6adee04</a></strong>

<div>

<span>by Alexander Bokovoy</span>

<i>at 2020-03-25T09:49:28+02:00</i>

</div>

<pre class="commit-message" style="white-space: pre-wrap; margin: 0;">po: update Chinese (China) translation

Several translated strings were splitted and old translations do not

apply directly anymore.

Reviewed-By: Christian Heimes <cheimes@redhat.com>

(cherry picked from commit 42e86692b6b12728e0fb7e3bc17613ef072b624a)

Reviewed-By: Christian Heimes <cheimes@redhat.com>

</pre>

</li>

<li>

<strong><a href="https://salsa.debian.org/freeipa-team/freeipa/-/commit/e913fdc8aa545df606168ae3d7ed3006fce44cee">e913fdc8</a></strong>

<div>

<span>by Christian Heimes</span>

<i>at 2020-03-25T09:52:59+02:00</i>

</div>

<pre class="commit-message" style="white-space: pre-wrap; margin: 0;">SELinux: apache_manage_pid_files for F30

SELinux policy on F30 doesn't have the interface

apache_manage_pid_files(). Define the interface conditionally.

Fixes: https://pagure.io/freeipa/issue/8241

Signed-off-by: Christian Heimes <cheimes@redhat.com>

Reviewed-By: Alexander Bokovoy <abokovoy@redhat.com>

</pre>

</li>

<li>

<strong><a href="https://salsa.debian.org/freeipa-team/freeipa/-/commit/38204856fd72e5191bae07a47907314aacf43d1a">38204856</a></strong>

<div>

<span>by Alexander Bokovoy</span>

<i>at 2020-03-25T10:11:48+01:00</i>

</div>

<pre class="commit-message" style="white-space: pre-wrap; margin: 0;">Fix indentation levels

Reviewed-By: Alexander Bokovoy <abokovoy@redhat.com>

Reviewed-By: Christian Heimes <cheimes@redhat.com>

</pre>

</li>

<li>

<strong><a href="https://salsa.debian.org/freeipa-team/freeipa/-/commit/8c191ddf6d75090c80f567dd665bdacc44ef8883">8c191ddf</a></strong>

<div>

<span>by Alexander Bokovoy</span>

<i>at 2020-03-25T10:11:48+01:00</i>

</div>

<pre class="commit-message" style="white-space: pre-wrap; margin: 0;">ipatests: allow changing sysaccount passwords as cn=Directory Manager

Extend ldappasswd_sysaccount_change() helper to allow changing

passwords as a cn=Directory Manager.

Related to: https://pagure.io/freeipa/issue/7181

Signed-off-by: Alexander Bokovoy <abokovoy@redhat.com>

Reviewed-By: Alexander Bokovoy <abokovoy@redhat.com>

Reviewed-By: Christian Heimes <cheimes@redhat.com>

</pre>

</li>

<li>

<strong><a href="https://salsa.debian.org/freeipa-team/freeipa/-/commit/a620ac0f6f2505b6e9242f21dc0314c45747336e">a620ac0f</a></strong>

<div>

<span>by Alexander Bokovoy</span>

<i>at 2020-03-25T10:11:48+01:00</i>

</div>

<pre class="commit-message" style="white-space: pre-wrap; margin: 0;">ipatests: test sysaccount password change with a password policy applied

ipa-pwd-extop plugin had a bug which prevented a cn=Directory Manager

to change a password to a value that is not allowed by an associated

password policy. Password policy checks should not apply to any

operations done as cn=Directory Manager.

The test creates a system account with associated policy that prevents

password reuse. It then goes to try to change a password three times:

 - as a user: must succeeed

 - as a cn=Directory Manager: must succeed even with a password re-use

 - as a user again: must fail due to password re-use

Related: https://pagure.io/freeipa/issue/7181

Signed-off-by: Alexander Bokovoy <abokovoy@redhat.com>

Reviewed-By: Alexander Bokovoy <abokovoy@redhat.com>

Reviewed-By: Christian Heimes <cheimes@redhat.com>

</pre>

</li>

<li>

<strong><a href="https://salsa.debian.org/freeipa-team/freeipa/-/commit/527f30be76f0da6d4453745ace25f64948c0504f">527f30be</a></strong>

<div>

<span>by Alexander Bokovoy</span>

<i>at 2020-03-25T10:11:48+01:00</i>

</div>

<pre class="commit-message" style="white-space: pre-wrap; margin: 0;">ipa-pwd-extop: use SLAPI_BIND_TARGET_SDN

SLAPI_BIND_TARGET_DN is deprecated since 2011 by 389-ds team,

see commit f6397113666f06848412bb12f754f04258cfa5fa in 389-ds:

https://pagure.io/389-ds-base/c/f6397113666f06848412bb12f754f04258cfa5fa?branch=master

Use SLAPI_BIND_TARGET_SDN instead and move internal ipa-pwd-extop

helpers to accept Slapi_DN references rather than strings.

Related: https://pagure.io/freeipa/issue/7181

Signed-off-by: Alexander Bokovoy <abokovoy@redhat.com>

Reviewed-By: Alexander Bokovoy <abokovoy@redhat.com>

Reviewed-By: Christian Heimes <cheimes@redhat.com>

</pre>

</li>

<li>

<strong><a href="https://salsa.debian.org/freeipa-team/freeipa/-/commit/d9c41df6fd39b8d6bc879a9321b3f76eb1847b06">d9c41df6</a></strong>

<div>

<span>by Alexander Bokovoy</span>

<i>at 2020-03-25T10:11:48+01:00</i>

</div>

<pre class="commit-message" style="white-space: pre-wrap; margin: 0;">ipa-pwd-extop: don't check password policy for non-Kerberos account set by DM or a passsync manager

Password changes performed by cn=Directory Manager are excluded from

password policy checks according to [1]. This is correctly handled by

ipa-pwd-extop in case of a normal Kerberos principal in IPA. However,

non-kerberos accounts were not excluded from the check.

As result, password updates for PKI CA admin account in o=ipaca were

failing if a password policy does not allow a password reuse. We are

re-setting the password for PKI CA admin in ipa-replica-prepare in case

the original directory manager's password was updated since creation of

`cacert.p12`.

Do password policy check for non-Kerberos accounts only if it was set by

a regular user or admin. Changes performed by a cn=Directory Manager and

passsync managers should be excluded from the policy check.

Fixes: https://pagure.io/freeipa/issue/7181

Signed-off-by: Alexander Bokovoy <abokovoy@redhat.com>

[1] https://access.redhat.com/documentation/en-us/red_hat_directory_server/10/html/administration_guide/user_account_management-managing_the_password_policy

Reviewed-By: Alexander Bokovoy <abokovoy@redhat.com>

Reviewed-By: Christian Heimes <cheimes@redhat.com>

</pre>

</li>

<li>

<strong><a href="https://salsa.debian.org/freeipa-team/freeipa/-/commit/132a0f8771edd3a741bc60e6bc4c9b56cb172e4a">132a0f87</a></strong>

<div>

<span>by Rob Crittenden</span>

<i>at 2020-03-25T10:11:48+01:00</i>

</div>

<pre class="commit-message" style="white-space: pre-wrap; margin: 0;">Don't save password history on non-Kerberos accounts

While other password policies were properly ignored the password

history was always being saved if the global history size was

non-zero.

Reviewed-By: Alexander Bokovoy <abokovoy@redhat.com>

Reviewed-By: Christian Heimes <cheimes@redhat.com>

</pre>

</li>

<li>

<strong><a href="https://salsa.debian.org/freeipa-team/freeipa/-/commit/ff6984e2eea0f54851db796c8b3ad29c54a4e325">ff6984e2</a></strong>

<div>

<span>by Rob Crittenden</span>

<i>at 2020-03-25T10:11:48+01:00</i>

</div>

<pre class="commit-message" style="white-space: pre-wrap; margin: 0;">Add ability to change a user password as the Directory Manager

This is to confirm that the Directory Manager is not affected by

password policy.

Reviewed-By: Alexander Bokovoy <abokovoy@redhat.com>

Reviewed-By: Christian Heimes <cheimes@redhat.com>

</pre>

</li>

<li>

<strong><a href="https://salsa.debian.org/freeipa-team/freeipa/-/commit/89066892151e1da5c2557d8eb76c2b04dbd61979">89066892</a></strong>

<div>

<span>by Rob Crittenden</span>

<i>at 2020-03-25T10:11:48+01:00</i>

</div>

<pre class="commit-message" style="white-space: pre-wrap; margin: 0;">Test that pwpolicy only applied on Kerberos entries

Also test that a normal user has password history enforcement

Reviewed-By: Alexander Bokovoy <abokovoy@redhat.com>

Reviewed-By: Christian Heimes <cheimes@redhat.com>

</pre>

</li>

<li>

<strong><a href="https://salsa.debian.org/freeipa-team/freeipa/-/commit/74f36e7c2f7f6d17b56e06b5f05205edb8a286d7">74f36e7c</a></strong>

<div>

<span>by Alexander Bokovoy</span>

<i>at 2020-03-25T10:44:50+01:00</i>

</div>

<pre class="commit-message" style="white-space: pre-wrap; margin: 0;">ipatests: always skip additional input for group-add-member --external

'ipa group-add-member groupname --external some-object' will attempt to

ask interactive questions about other optional parameters (users and

groups) if only external group member was specified. This leads to a

timeout in the tests as there is no input provided.

Do not wait for the entry that would never come by using 'ipa -n'.

Related: https://pagure.io/freeipa/issue/8236

Signed-off-by: Alexander Bokovoy <abokovoy@redhat.com>

Reviewed-By: Alexander Bokovoy <abokovoy@redhat.com>

</pre>

</li>

<li>

<strong><a href="https://salsa.debian.org/freeipa-team/freeipa/-/commit/f08ced1b25e14f91526c82610a8219ae8ed898a3">f08ced1b</a></strong>

<div>

<span>by Christian Heimes</span>

<i>at 2020-03-25T12:47:40+01:00</i>

</div>

<pre class="commit-message" style="white-space: pre-wrap; margin: 0;">SELinux: apache_manage_pid_files for F30

SELinux policy on F30 doesn't have the interface

apache_manage_pid_files(). Define the interface conditionally.

Fixes: https://pagure.io/freeipa/issue/8241

Signed-off-by: Christian Heimes <cheimes@redhat.com>

Reviewed-By: Alexander Bokovoy <abokovoy@redhat.com>

</pre>

</li>

<li>

<strong><a href="https://salsa.debian.org/freeipa-team/freeipa/-/commit/ac5cb4260320a4509c840f679633eb36a79f6f99">ac5cb426</a></strong>

<div>

<span>by Christian Heimes</span>

<i>at 2020-03-25T14:44:52+01:00</i>

</div>

<pre class="commit-message" style="white-space: pre-wrap; margin: 0;">po: fix LINGUAS to use whitespace separation

The po/LINGUAS file contains a list of all avilable translations.

According to the GNU gettext documentation it's is a whitespace

separated list. Our LINGUAS file used newline separated list with inline

comments. This conflicts with weblate automation.

Fixes: https://pagure.io/freeipa/issue/8159

See: https://www.gnu.org/software/gettext/manual/html_node/po_002fLINGUAS.html

Signed-off-by: Christian Heimes <cheimes@redhat.com>

Reviewed-By: Alexander Bokovoy <abokovoy@redhat.com>

</pre>

</li>

<li>

<strong><a href="https://salsa.debian.org/freeipa-team/freeipa/-/commit/c62b9e7f6ab0dec54540dc6cd389fe58f8858275">c62b9e7f</a></strong>

<div>

<span>by Alexander Bokovoy</span>

<i>at 2020-03-25T14:47:12+01:00</i>

</div>

<pre class="commit-message" style="white-space: pre-wrap; margin: 0;">Fix indentation levels

Reviewed-By: Christian Heimes <cheimes@redhat.com>

</pre>

</li>

<li>

<strong><a href="https://salsa.debian.org/freeipa-team/freeipa/-/commit/f4dc10b8caac44f5c2a8edbb4c647e6dcf71c3bd">f4dc10b8</a></strong>

<div>

<span>by Alexander Bokovoy</span>

<i>at 2020-03-25T14:47:12+01:00</i>

</div>

<pre class="commit-message" style="white-space: pre-wrap; margin: 0;">ipatests: allow changing sysaccount passwords as cn=Directory Manager

Extend ldappasswd_sysaccount_change() helper to allow changing

passwords as a cn=Directory Manager.

Related to: https://pagure.io/freeipa/issue/7181

Signed-off-by: Alexander Bokovoy <abokovoy@redhat.com>

Reviewed-By: Christian Heimes <cheimes@redhat.com>

</pre>

</li>

<li>

<strong><a href="https://salsa.debian.org/freeipa-team/freeipa/-/commit/313542e8a125c4904750826ef9eabdead7d874bd">313542e8</a></strong>

<div>

<span>by Alexander Bokovoy</span>

<i>at 2020-03-25T14:47:12+01:00</i>

</div>

<pre class="commit-message" style="white-space: pre-wrap; margin: 0;">ipatests: test sysaccount password change with a password policy applied

ipa-pwd-extop plugin had a bug which prevented a cn=Directory Manager

to change a password to a value that is not allowed by an associated

password policy. Password policy checks should not apply to any

operations done as cn=Directory Manager.

The test creates a system account with associated policy that prevents

password reuse. It then goes to try to change a password three times:

 - as a user: must succeeed

 - as a cn=Directory Manager: must succeed even with a password re-use

 - as a user again: must fail due to password re-use

Related: https://pagure.io/freeipa/issue/7181

Signed-off-by: Alexander Bokovoy <abokovoy@redhat.com>

Reviewed-By: Christian Heimes <cheimes@redhat.com>

</pre>

</li>

<li>

<strong><a href="https://salsa.debian.org/freeipa-team/freeipa/-/commit/5bae736bc81eaa1167ec64a69a32506dad2ca286">5bae736b</a></strong>

<div>

<span>by Alexander Bokovoy</span>

<i>at 2020-03-25T14:47:12+01:00</i>

</div>

<pre class="commit-message" style="white-space: pre-wrap; margin: 0;">ipa-pwd-extop: use SLAPI_BIND_TARGET_SDN

SLAPI_BIND_TARGET_DN is deprecated since 2011 by 389-ds team,

see commit f6397113666f06848412bb12f754f04258cfa5fa in 389-ds:

https://pagure.io/389-ds-base/c/f6397113666f06848412bb12f754f04258cfa5fa?branch=master

Use SLAPI_BIND_TARGET_SDN instead and move internal ipa-pwd-extop

helpers to accept Slapi_DN references rather than strings.

Related: https://pagure.io/freeipa/issue/7181

Signed-off-by: Alexander Bokovoy <abokovoy@redhat.com>

Reviewed-By: Christian Heimes <cheimes@redhat.com>

</pre>

</li>

<li>

<strong><a href="https://salsa.debian.org/freeipa-team/freeipa/-/commit/bcbf64b1bf287d2b0b23bc7ac0cca9e8b789ba4a">bcbf64b1</a></strong>

<div>

<span>by Alexander Bokovoy</span>

<i>at 2020-03-25T14:47:12+01:00</i>

</div>

<pre class="commit-message" style="white-space: pre-wrap; margin: 0;">ipa-pwd-extop: don't check password policy for non-Kerberos account set by DM or a passsync manager

Password changes performed by cn=Directory Manager are excluded from

password policy checks according to [1]. This is correctly handled by

ipa-pwd-extop in case of a normal Kerberos principal in IPA. However,

non-kerberos accounts were not excluded from the check.

As result, password updates for PKI CA admin account in o=ipaca were

failing if a password policy does not allow a password reuse. We are

re-setting the password for PKI CA admin in ipa-replica-prepare in case

the original directory manager's password was updated since creation of

`cacert.p12`.

Do password policy check for non-Kerberos accounts only if it was set by

a regular user or admin. Changes performed by a cn=Directory Manager and

passsync managers should be excluded from the policy check.

Fixes: https://pagure.io/freeipa/issue/7181

Signed-off-by: Alexander Bokovoy <abokovoy@redhat.com>

[1] https://access.redhat.com/documentation/en-us/red_hat_directory_server/10/html/administration_guide/user_account_management-managing_the_password_policy

Reviewed-By: Christian Heimes <cheimes@redhat.com>

</pre>

</li>

<li>

<strong><a href="https://salsa.debian.org/freeipa-team/freeipa/-/commit/8b7bb96b327207284c8c0a45cf2979843482cf48">8b7bb96b</a></strong>

<div>

<span>by Rob Crittenden</span>

<i>at 2020-03-25T14:47:12+01:00</i>

</div>

<pre class="commit-message" style="white-space: pre-wrap; margin: 0;">Don't save password history on non-Kerberos accounts

While other password policies were properly ignored the password

history was always being saved if the global history size was

non-zero.

Reviewed-By: Christian Heimes <cheimes@redhat.com>

</pre>

</li>

<li>

<strong><a href="https://salsa.debian.org/freeipa-team/freeipa/-/commit/840671b1cdc508ea86f8412e6423f00b8c3bf809">840671b1</a></strong>

<div>

<span>by Rob Crittenden</span>

<i>at 2020-03-25T14:47:12+01:00</i>

</div>

<pre class="commit-message" style="white-space: pre-wrap; margin: 0;">Add ability to change a user password as the Directory Manager

This is to confirm that the Directory Manager is not affected by

password policy.

Reviewed-By: Christian Heimes <cheimes@redhat.com>

</pre>

</li>

<li>

<strong><a href="https://salsa.debian.org/freeipa-team/freeipa/-/commit/b34063e700ac4c65b117705bafb0255c26bca060">b34063e7</a></strong>

<div>

<span>by Rob Crittenden</span>

<i>at 2020-03-25T14:47:12+01:00</i>

</div>

<pre class="commit-message" style="white-space: pre-wrap; margin: 0;">Test that pwpolicy only applied on Kerberos entries

Also test that a normal user has password history enforcement

Reviewed-By: Christian Heimes <cheimes@redhat.com>

</pre>

</li>

<li>

<strong><a href="https://salsa.debian.org/freeipa-team/freeipa/-/commit/d07da417394f8d46081a3762b3ed5bf7659e69ab">d07da417</a></strong>

<div>

<span>by Mohammad Rizwan Yusuf</span>

<i>at 2020-03-25T15:18:57+01:00</i>

</div>

<pre class="commit-message" style="white-space: pre-wrap; margin: 0;">ipatests: Skip test using paramiko when FIPS is enabled

Test used paramiko to connect to the master from controller.

Hence skip if FIPS is enabled

Signed-off-by: Mohammad Rizwan Yusuf <myusuf@redhat.com>

Reviewed-By: Christian Heimes <cheimes@redhat.com>

</pre>

</li>

<li>

<strong><a href="https://salsa.debian.org/freeipa-team/freeipa/-/commit/616ad399c99292542638e9e8f0995873e5c4f311">616ad399</a></strong>

<div>

<span>by Christian Heimes</span>

<i>at 2020-03-25T17:16:05+01:00</i>

</div>

<pre class="commit-message" style="white-space: pre-wrap; margin: 0;">po: fix LINGUAS to use whitespace separation

The po/LINGUAS file contains a list of all avilable translations.

According to the GNU gettext documentation it's is a whitespace

separated list. Our LINGUAS file used newline separated list with inline

comments. This conflicts with weblate automation.

Fixes: https://pagure.io/freeipa/issue/8159

See: https://www.gnu.org/software/gettext/manual/html_node/po_002fLINGUAS.html

Signed-off-by: Christian Heimes <cheimes@redhat.com>

Reviewed-By: Alexander Bokovoy <abokovoy@redhat.com>

</pre>

</li>

<li>

<strong><a href="https://salsa.debian.org/freeipa-team/freeipa/-/commit/45507c1e86b634507fdc21dbb88ea9edd43e4166">45507c1e</a></strong>

<div>

<span>by Mohammad Rizwan Yusuf</span>

<i>at 2020-03-25T17:17:34+01:00</i>

</div>

<pre class="commit-message" style="white-space: pre-wrap; margin: 0;">ipatests: Skip test using paramiko when FIPS is enabled

Test used paramiko to connect to the master from controller.

Hence skip if FIPS is enabled

Signed-off-by: Mohammad Rizwan Yusuf <myusuf@redhat.com>

Reviewed-By: Christian Heimes <cheimes@redhat.com>

</pre>

</li>

<li>

<strong><a href="https://salsa.debian.org/freeipa-team/freeipa/-/commit/6eb6b27e611f57ec8e5a87740b7527170358a419">6eb6b27e</a></strong>

<div>

<span>by Timo Aaltonen</span>

<i>at 2020-03-25T19:42:43+02:00</i>

</div>

<pre class="commit-message" style="white-space: pre-wrap; margin: 0;">releasing package freeipa version 4.8.5-1

</pre>

</li>

<li>

<strong><a href="https://salsa.debian.org/freeipa-team/freeipa/-/commit/f9804558bbe745df1141c84f00be83edcbe06c91">f9804558</a></strong>

<div>

<span>by François Cami</span>

<i>at 2020-03-26T13:18:14+01:00</i>

</div>

<pre class="commit-message" style="white-space: pre-wrap; margin: 0;">ipatests: test_replica_promotion.py: test KRA on Hidden Replica

The Hidden replica tests did not test what happened when KRA was

installed on a hidden replica and then other KRAs instantiated from

this original one. Add a test scenario that covers this.

Related: https://pagure.io/freeipa/issue/8240

Signed-off-by: François Cami <fcami@redhat.com>

Reviewed-By: Christian Heimes <cheimes@redhat.com>

Reviewed-By: Michal Polovka <mpolovka@redhat.com>

</pre>

</li>

<li>

<strong><a href="https://salsa.debian.org/freeipa-team/freeipa/-/commit/a692212e3bee36fbccba73ed21f7825381eeade4">a692212e</a></strong>

<div>

<span>by François Cami</span>

<i>at 2020-03-26T15:09:16+01:00</i>

</div>

<pre class="commit-message" style="white-space: pre-wrap; margin: 0;">ipatests: test_replica_promotion.py: test KRA on Hidden Replica

The Hidden replica tests did not test what happened when KRA was

installed on a hidden replica and then other KRAs instantiated from

this original one. Add a test scenario that covers this.

Related: https://pagure.io/freeipa/issue/8240

Signed-off-by: François Cami <fcami@redhat.com>

Reviewed-By: Christian Heimes <cheimes@redhat.com>

Reviewed-By: Michal Polovka <mpolovka@redhat.com>

Reviewed-By: Christian Heimes <cheimes@redhat.com>

Reviewed-By: Michal Polovka <mpolovka@redhat.com>

</pre>

</li>

<li>

<strong><a href="https://salsa.debian.org/freeipa-team/freeipa/-/commit/75d04b5e0e5709d98440209f803175242a52d119">75d04b5e</a></strong>

<div>

<span>by Alexander Bokovoy</span>

<i>at 2020-03-27T09:12:34+02:00</i>

</div>

<pre class="commit-message" style="white-space: pre-wrap; margin: 0;">Become FreeIPA 4.8.6

</pre>

</li>

<li>

<strong><a href="https://salsa.debian.org/freeipa-team/freeipa/-/commit/77ed0918a7e419baf99527b5b73c9ee0a56c8767">77ed0918</a></strong>

<div>

<span>by Alexander Bokovoy</span>

<i>at 2020-03-28T19:55:10+01:00</i>

</div>

<pre class="commit-message" style="white-space: pre-wrap; margin: 0;">Remove Fedora repository fastmirror selection

Fast mirror selection somehow stopped working. If disabled, the

difference is around 20 seconds for the 'Prepare build environment' step

(2:49 versus 3:09), so while we are saving, currently it is not a lot.

Also remove explicit nodejs stream choice, it seems to be not needed

anymore (again).

Signed-off-by: Alexander Bokovoy <abokovoy@redhat.com>

Reviewed-By: Armando Neto <abiagion@redhat.com>

</pre>

</li>

<li>

<strong><a href="https://salsa.debian.org/freeipa-team/freeipa/-/commit/ee80d0dbfbaeaf0fea8fc9a5a5aa5d0500721f4f">ee80d0db</a></strong>

<div>

<span>by François Cami</span>

<i>at 2020-03-28T19:55:10+01:00</i>

</div>

<pre class="commit-message" style="white-space: pre-wrap; margin: 0;">pr-ci templates: update test_fips timeouts

test_fips takes between 45 and ~80 mins to run.

The templates' timeout was 3600s which is too short for

successful execution. 7200s should do.

Fixes: https://pagure.io/freeipa/issue/8247

Signed-off-by: François Cami <fcami@redhat.com>

Reviewed-By: Armando Neto <abiagion@redhat.com>

</pre>

</li>

<li>

<strong><a href="https://salsa.debian.org/freeipa-team/freeipa/-/commit/a4ae4562f594f93df1b2647ba67f18b11fd24526">a4ae4562</a></strong>

<div>

<span>by Alexander Bokovoy</span>

<i>at 2020-03-28T20:12:24-03:00</i>

</div>

<pre class="commit-message" style="white-space: pre-wrap; margin: 0;">Remove Fedora repository fastmirror selection

Fast mirror selection somehow stopped working. If disabled, the

difference is around 20 seconds for the 'Prepare build environment' step

(2:49 versus 3:09), so while we are saving, currently it is not a lot.

Also remove explicit nodejs stream choice, it seems to be not needed

anymore (again).

Signed-off-by: Alexander Bokovoy <abokovoy@redhat.com>

Reviewed-By: Armando Neto <abiagion@redhat.com>

Reviewed-By: Armando Neto <abiagion@redhat.com>

</pre>

</li>

<li>

<strong><a href="https://salsa.debian.org/freeipa-team/freeipa/-/commit/d847f123244bb2aed23f901b9df17711219ad8b0">d847f123</a></strong>

<div>

<span>by François Cami</span>

<i>at 2020-03-28T20:12:24-03:00</i>

</div>

<pre class="commit-message" style="white-space: pre-wrap; margin: 0;">pr-ci templates: update test_fips timeouts

test_fips takes between 45 and ~80 mins to run.

The templates' timeout was 3600s which is too short for

successful execution. 7200s should do.

Fixes: https://pagure.io/freeipa/issue/8247

Signed-off-by: François Cami <fcami@redhat.com>

Reviewed-By: Armando Neto <abiagion@redhat.com>

Reviewed-By: Armando Neto <abiagion@redhat.com>

</pre>

</li>

<li>

<strong><a href="https://salsa.debian.org/freeipa-team/freeipa/-/commit/da539a3676a7ac450cbc2c3176af8bb833cad8d6">da539a36</a></strong>

<div>

<span>by Timo Aaltonen</span>

<i>at 2020-03-30T16:38:40+03:00</i>

</div>

<pre class="commit-message" style="white-space: pre-wrap; margin: 0;">Merge branch 'upstream'

</pre>

</li>

<li>

<strong><a href="https://salsa.debian.org/freeipa-team/freeipa/-/commit/80a7dcc80a9e6fe8ebd1c6e78aff9da38f4fcd04">80a7dcc8</a></strong>

<div>

<span>by Timo Aaltonen</span>

<i>at 2020-03-30T16:40:25+03:00</i>

</div>

<pre class="commit-message" style="white-space: pre-wrap; margin: 0;"> pki-proxy-Don-t-rely-on-running-apache-until-it-s-co.patch: Dropped,  upstream.

</pre>

</li>

<li>

<strong><a href="https://salsa.debian.org/freeipa-team/freeipa/-/commit/a4e389325a0cf8ed7df52a0b6d77aa0efe75c9e6">a4e38932</a></strong>

<div>

<span>by Timo Aaltonen</span>

<i>at 2020-03-30T18:44:03+03:00</i>

</div>

<pre class="commit-message" style="white-space: pre-wrap; margin: 0;">migrate-to-gpg.diff: Use gpg instead of gpg2, update dependencies. (Closes: #919062)

</pre>

</li>

<li>

<strong><a href="https://salsa.debian.org/freeipa-team/freeipa/-/commit/6422cb4c1351b2f018cd5eb8b03a82fe81134a99">6422cb4c</a></strong>

<div>

<span>by Timo Aaltonen</span>

<i>at 2020-03-30T21:48:43+03:00</i>

</div>

<pre class="commit-message" style="white-space: pre-wrap; margin: 0;">control: Bump gssproxy depends.

</pre>

</li>

<li>

<strong><a href="https://salsa.debian.org/freeipa-team/freeipa/-/commit/58ad7b74eb4136ff8cd10ad6caf463df7403f5b3">58ad7b74</a></strong>

<div>

<span>by Sumedh Sidhaye</span>

<i>at 2020-03-30T15:07:48-04:00</i>

</div>

<pre class="commit-message" style="white-space: pre-wrap; margin: 0;">Test to check if Certmonger tracks certs in between reboots/interruptions and while in "CA_WORKING" state

When a resubmit request is submitted an "invalid cookie"

error message is no longer shown

Earlier an "invlaid cookie" error message was shown when getcert list was called.

The fix allows an empty cookie in dogtag-ipa-ca-renew-agent-submit

Pagure Issue: https://pagure.io/freeipa/issue/8164

Signed-off-by: Sumedh Sidhaye <ssidhaye@redhat.com>

Fixup for test to verify that POLL will not error out on cookie

Author:    Rob Crittenden <rcritten@redhat.com>

Date:      Tue Mar 24 15:30:38 2020 -0400

Fixed review comments

Signed-off-by: Sumedh Sidhaye <ssidhaye@redhat.com>

Reviewed-By: Mohammad Rizwan Yusuf <myusuf@redhat.com>

Reviewed-By: Francois Cami <fcami@redhat.com>

Reviewed-By: Rob Crittenden <rcritten@redhat.com>

</pre>

</li>

<li>

<strong><a href="https://salsa.debian.org/freeipa-team/freeipa/-/commit/1440f98e0a3233aa606a588d7eb1b536a5ee8c65">1440f98e</a></strong>

<div>

<span>by Timo Aaltonen</span>

<i>at 2020-03-31T06:26:02+03:00</i>

</div>

<pre class="commit-message" style="white-space: pre-wrap; margin: 0;">control: Relax apache2 dependency so it works on ubuntu.

</pre>

</li>

<li>

<strong><a href="https://salsa.debian.org/freeipa-team/freeipa/-/commit/f02b776fe34d1e61d807bc71720f6152cfcf481b">f02b776f</a></strong>

<div>

<span>by Timo Aaltonen</span>

<i>at 2020-03-31T06:33:20+03:00</i>

</div>

<pre class="commit-message" style="white-space: pre-wrap; margin: 0;">control: Bump policy to 4.5.0.

</pre>

</li>

<li>

<strong><a href="https://salsa.debian.org/freeipa-team/freeipa/-/commit/8d0681fbd33e2c2c43d2f7b7d91765806c927b4d">8d0681fb</a></strong>

<div>

<span>by Timo Aaltonen</span>

<i>at 2020-03-31T06:39:37+03:00</i>

</div>

<pre class="commit-message" style="white-space: pre-wrap; margin: 0;">control: Fix some M-A issues.

</pre>

</li>

<li>

<strong><a href="https://salsa.debian.org/freeipa-team/freeipa/-/commit/db96bf78a7c5e3d35b51dfc0d5788834f161b0f1">db96bf78</a></strong>

<div>

<span>by Timo Aaltonen</span>

<i>at 2020-03-31T06:48:50+03:00</i>

</div>

<pre class="commit-message" style="white-space: pre-wrap; margin: 0;">control: Drop the dummy freeipa-admintools package.

</pre>

</li>

<li>

<strong><a href="https://salsa.debian.org/freeipa-team/freeipa/-/commit/c21566638b8feee5467e4055e699afca1c80e9dc">c2156663</a></strong>

<div>

<span>by Timo Aaltonen</span>

<i>at 2020-03-31T07:35:06+03:00</i>

</div>

<pre class="commit-message" style="white-space: pre-wrap; margin: 0;">source: Update diff-ignore.

</pre>

</li>

<li>

<strong><a href="https://salsa.debian.org/freeipa-team/freeipa/-/commit/7cead0334b013ecdd581a34ee58b350a391922ae">7cead033</a></strong>

<div>

<span>by Timo Aaltonen</span>

<i>at 2020-03-31T07:35:22+03:00</i>

</div>

<pre class="commit-message" style="white-space: pre-wrap; margin: 0;">rules: Don't remove po/ipa.pot on clean.

</pre>

</li>

<li>

<strong><a href="https://salsa.debian.org/freeipa-team/freeipa/-/commit/01b207bcd5ea53f7f588771c530318cab1f9d0ef">01b207bc</a></strong>

<div>

<span>by Alexander Bokovoy</span>

<i>at 2020-03-31T09:21:37+03:00</i>

</div>

<pre class="commit-message" style="white-space: pre-wrap; margin: 0;">Add 'api' and 'aci' targets to make

'makeapi' and 'makeaci' has to be run in a particular environment that

forces IPA Python modules from the source tree used instead of what

might be installed system-wide.

Create 'make api' and 'make aci' targets to provide easy access to them.

Make sure we run Python interpreter with PYTHONPATH set to force use of

the source tree.

Signed-off-by: Alexander Bokovoy <abokovoy@redhat.com>

Reviewed-By: Florence Blanc-Renaud <frenaud@redhat.com>

Reviewed-By: Rob Crittenden <rcritten@redhat.com>

</pre>

</li>

<li>

<strong><a href="https://salsa.debian.org/freeipa-team/freeipa/-/commit/6472a107d6b4f231dd9d9d8587ba550dfa8b0b0a">6472a107</a></strong>

<div>

<span>by Alexander Bokovoy</span>

<i>at 2020-03-31T09:21:37+03:00</i>

</div>

<pre class="commit-message" style="white-space: pre-wrap; margin: 0;">Allow rename of a host group

RN: host groups can now be renamed with IPA CLI:

RN: 'ipa hostgroup-mod group-name --rename new-name'.

RN: Protected hostgroups ('ipaservers') cannot be renamed.

Fixes: https://pagure.io/freeipa/issue/6783

Signed-off-by: Alexander Bokovoy <abokovoy@redhat.com>

Reviewed-By: Florence Blanc-Renaud <frenaud@redhat.com>

Reviewed-By: Rob Crittenden <rcritten@redhat.com>

</pre>

</li>

<li>

<strong><a href="https://salsa.debian.org/freeipa-team/freeipa/-/commit/77409e2be01984ff9bdd61989a94845cf9206116">77409e2b</a></strong>

<div>

<span>by Sumedh Sidhaye</span>

<i>at 2020-03-31T11:29:01-04:00</i>

</div>

<pre class="commit-message" style="white-space: pre-wrap; margin: 0;">Test to check if Certmonger tracks certs in between reboots/interruptions and while in "CA_WORKING" state

When a resubmit request is submitted an "invalid cookie"

error message is no longer shown

Earlier an "invlaid cookie" error message was shown when getcert list was called.

The fix allows an empty cookie in dogtag-ipa-ca-renew-agent-submit

Pagure Issue: https://pagure.io/freeipa/issue/8164

Signed-off-by: Sumedh Sidhaye <ssidhaye@redhat.com>

Fixup for test to verify that POLL will not error out on cookie

Author:    Rob Crittenden <rcritten@redhat.com>

Date:      Tue Mar 24 15:30:38 2020 -0400

Fixed review comments

Signed-off-by: Sumedh Sidhaye <ssidhaye@redhat.com>

Reviewed-By: Mohammad Rizwan Yusuf <myusuf@redhat.com>

Reviewed-By: Francois Cami <fcami@redhat.com>

Reviewed-By: Rob Crittenden <rcritten@redhat.com>

</pre>

</li>

<li>

<strong><a href="https://salsa.debian.org/freeipa-team/freeipa/-/commit/fd9f1b3d5bf35f8286505d1ed0971a42349a476b">fd9f1b3d</a></strong>

<div>

<span>by sumenon</span>

<i>at 2020-03-31T11:52:42-04:00</i>

</div>

<pre class="commit-message" style="white-space: pre-wrap; margin: 0;">Test for ipahealthcheck.ipa.idns check when integrated DNS is setup

This testcase compares the output of ipahealtcheck.ipa.dns check

with the SRV records displayed by 'ipa dns-update-system-records --dry-run'

command executed on IPA server with integrated DNS setup.

https://bugzilla.redhat.com/show_bug.cgi?id=1695125

Signed-off-by: sumenon <sumenon@redhat.com>

Reviewed-By: Rob Crittenden <rcritten@redhat.com>

Reviewed-By: Mohammad Rizwan Yusuf <myusuf@redhat.com>

</pre>

</li>

<li>

<strong><a href="https://salsa.debian.org/freeipa-team/freeipa/-/commit/38e026821cce2c6763a53ae6c675bbbaf68c8ff7">38e02682</a></strong>

<div>

<span>by Alexander Bokovoy</span>

<i>at 2020-03-31T11:55:35-04:00</i>

</div>

<pre class="commit-message" style="white-space: pre-wrap; margin: 0;">Add 'api' and 'aci' targets to make

'makeapi' and 'makeaci' has to be run in a particular environment that

forces IPA Python modules from the source tree used instead of what

might be installed system-wide.

Create 'make api' and 'make aci' targets to provide easy access to them.

Make sure we run Python interpreter with PYTHONPATH set to force use of

the source tree.

Signed-off-by: Alexander Bokovoy <abokovoy@redhat.com>

Reviewed-By: Rob Crittenden <rcritten@redhat.com>

Reviewed-By: Florence Blanc-Renaud <frenaud@redhat.com>

</pre>

</li>

<li>

<strong><a href="https://salsa.debian.org/freeipa-team/freeipa/-/commit/b4fdb83355e27c2e6f3d216cdc892f301391af6d">b4fdb833</a></strong>

<div>

<span>by Alexander Bokovoy</span>

<i>at 2020-03-31T11:55:35-04:00</i>

</div>

<pre class="commit-message" style="white-space: pre-wrap; margin: 0;">Allow rename of a host group

RN: host groups can now be renamed with IPA CLI:

RN: 'ipa hostgroup-mod group-name --rename new-name'.

RN: Protected hostgroups ('ipaservers') cannot be renamed.

Fixes: https://pagure.io/freeipa/issue/6783

Signed-off-by: Alexander Bokovoy <abokovoy@redhat.com>

Reviewed-By: Rob Crittenden <rcritten@redhat.com>

Reviewed-By: Florence Blanc-Renaud <frenaud@redhat.com>

</pre>

</li>

<li>

<strong><a href="https://salsa.debian.org/freeipa-team/freeipa/-/commit/f6171fd6271d8a9de47337ea1852c08980a83302">f6171fd6</a></strong>

<div>

<span>by sumenon</span>

<i>at 2020-03-31T13:47:58-04:00</i>

</div>

<pre class="commit-message" style="white-space: pre-wrap; margin: 0;">Test for ipahealthcheck.ipa.idns check when integrated DNS is setup

This testcase compares the output of ipahealtcheck.ipa.dns check

with the SRV records displayed by 'ipa dns-update-system-records --dry-run'

command executed on IPA server with integrated DNS setup.

https://bugzilla.redhat.com/show_bug.cgi?id=1695125

Signed-off-by: sumenon <sumenon@redhat.com>

Reviewed-By: Rob Crittenden <rcritten@redhat.com>

Reviewed-By: Mohammad Rizwan Yusuf <myusuf@redhat.com>

</pre>

</li>

<li>

<strong><a href="https://salsa.debian.org/freeipa-team/freeipa/-/commit/b55bdd21392895512de2a135aaa7f339236c5cd3">b55bdd21</a></strong>

<div>

<span>by Sergey Orlov</span>

<i>at 2020-04-01T11:34:09+02:00</i>

</div>

<pre class="commit-message" style="white-space: pre-wrap; margin: 0;">ipatests: run test_integration/test_cert.py in PR-CI

Execute test_integration/test_cert.py test in gating and generic

nightly test runs

Reviewed-By: Florence Blanc-Renaud <flo@redhat.com>

</pre>

</li>

<li>

<strong><a href="https://salsa.debian.org/freeipa-team/freeipa/-/commit/d22d55dfb1eecc6060b4ce32c7eab5fa7c1713de">d22d55df</a></strong>

<div>

<span>by Sergey Orlov</span>

<i>at 2020-04-01T11:34:09+02:00</i>

</div>

<pre class="commit-message" style="white-space: pre-wrap; margin: 0;">ipatests: add missing classes from test_installation in nightly runs

The following test classes were missing in all nightly definitions:

* TestADTrustInstall

* TestADTrustInstallWithDNS_KRA_ADTrust

* TestKRAinstallAfterCertRenew

Reviewed-By: Florence Blanc-Renaud <flo@redhat.com>

</pre>

</li>

<li>

<strong><a href="https://salsa.debian.org/freeipa-team/freeipa/-/commit/cc16712cc5e5d086f0d62304277911be9b276ee0">cc16712c</a></strong>

<div>

<span>by Sergey Orlov</span>

<i>at 2020-04-01T11:34:09+02:00</i>

</div>

<pre class="commit-message" style="white-space: pre-wrap; margin: 0;">ipatests: add AD DC as a DNS forwarder before establishing trust

"ipa trust-add" was not able to establish trust because it could not

find the AD domain controller.

Reviewed-By: Florence Blanc-Renaud <flo@redhat.com>

</pre>

</li>

<li>

<strong><a href="https://salsa.debian.org/freeipa-team/freeipa/-/commit/8e1d5244568bb409a2898b4c310392256380553d">8e1d5244</a></strong>

<div>

<span>by Sergey Orlov</span>

<i>at 2020-04-01T11:34:09+02:00</i>

</div>

<pre class="commit-message" style="white-space: pre-wrap; margin: 0;">ipatests: explicitly save output of certutil

The test setup was failing because output redirection does not work in

run_command() when specifued as list element.

Reviewed-By: Florence Blanc-Renaud <flo@redhat.com>

</pre>

</li>

<li>

<strong><a href="https://salsa.debian.org/freeipa-team/freeipa/-/commit/e86558d1c7db43cb5d4def2bd77c0b24dee4c179">e86558d1</a></strong>

<div>

<span>by Sergey Orlov</span>

<i>at 2020-04-01T11:34:09+02:00</i>

</div>

<pre class="commit-message" style="white-space: pre-wrap; margin: 0;">ipatests: run all cases from test_integration/test_idviews.py in nightlies

Reviewed-By: Florence Blanc-Renaud <flo@redhat.com>

</pre>

</li>

<li>

<strong><a href="https://salsa.debian.org/freeipa-team/freeipa/-/commit/3a9b66b5302903f4abe75c3ee93b457f5c1dc405">3a9b66b5</a></strong>

<div>

<span>by François Cami</span>

<i>at 2020-04-01T12:09:16+02:00</i>

</div>

<pre class="commit-message" style="white-space: pre-wrap; margin: 0;">ipatests: test ipa-backup with different role configurations.

ipa-backup should refuse to execute if the local IPA server does not

have all the roles used in the cluster.

A --disable-role-check knob should also be provided to bypass the

check.

Add an integration test for the new behavior and the knob.

Related: https://pagure.io/freeipa/issue/8217

Signed-off-by: François Cami <fcami@redhat.com>

Reviewed-By: Rob Crittenden <rcritten@redhat.com>

Reviewed-By: Mohammad Rizwan Yusuf <myusuf@redhat.com>

</pre>

</li>

<li>

<strong><a href="https://salsa.debian.org/freeipa-team/freeipa/-/commit/9324bba6b7db4152ff85017d59000fc204ce2c90">9324bba6</a></strong>

<div>

<span>by François Cami</span>

<i>at 2020-04-01T12:09:16+02:00</i>

</div>

<pre class="commit-message" style="white-space: pre-wrap; margin: 0;">test_backup_and_restore: add server role verification steps

Add calls to "ipa server-role" to check whether the server role

changes are applied before calling ipa-backup.

Related: https://pagure.io/freeipa/issue/8217

Signed-off-by: François Cami <fcami@redhat.com>

Reviewed-By: Rob Crittenden <rcritten@redhat.com>

Reviewed-By: Mohammad Rizwan Yusuf <myusuf@redhat.com>

</pre>

</li>

<li>

<strong><a href="https://salsa.debian.org/freeipa-team/freeipa/-/commit/3665ba928b25c017465588bd505e93d15d72290f">3665ba92</a></strong>

<div>

<span>by François Cami</span>

<i>at 2020-04-01T12:09:16+02:00</i>

</div>

<pre class="commit-message" style="white-space: pre-wrap; margin: 0;">ipa-backup: Make sure all roles are installed on the current master.

ipa-backup does not check whether the IPA master it is running on has

all used roles installed. This can lead into situations where backups

are done on a CAless or KRAless host while these roles are used in the

IPA cluster. These backups cannot be used to restore a complete cluster.

With this change, ipa-backup refuses to execute if the roles installed

on the current host do not match the list of roles used in the cluster.

A --disable-role-check knob is provided to restore the previous behavior.

Fixes: https://pagure.io/freeipa/issue/8217

Signed-off-by: François Cami <fcami@redhat.com>

Reviewed-By: Rob Crittenden <rcritten@redhat.com>

Reviewed-By: Mohammad Rizwan Yusuf <myusuf@redhat.com>

</pre>

</li>

<li>

<strong><a href="https://salsa.debian.org/freeipa-team/freeipa/-/commit/5e44fc80b8e0ca09a57fad854fb70e616b1c41d2">5e44fc80</a></strong>

<div>

<span>by Sergey Orlov</span>

<i>at 2020-04-01T14:34:40+02:00</i>

</div>

<pre class="commit-message" style="white-space: pre-wrap; margin: 0;">ipatests: add test_fips to testing-fedora nightly run

test_integration/test_fips.py was missing in nightly_latest_testing.yaml

for no obvious reason.

Reviewed-By: Florence Blanc-Renaud <flo@redhat.com>

</pre>

</li>

<li>

<strong><a href="https://salsa.debian.org/freeipa-team/freeipa/-/commit/e927396851a2d24409ca3972d21804c83c14e502">e9273968</a></strong>

<div>

<span>by Sergey Orlov</span>

<i>at 2020-04-01T14:34:40+02:00</i>

</div>

<pre class="commit-message" style="white-space: pre-wrap; margin: 0;">ipatests: add test_automember to "previous" nightly run

test_integration/test_smb.py was missing in nightly_previous.yaml

for no obvious reason.

Reviewed-By: Florence Blanc-Renaud <flo@redhat.com>

</pre>

</li>

<li>

<strong><a href="https://salsa.debian.org/freeipa-team/freeipa/-/commit/a2dee05b168ca1651c145d239da7bb5c1a8b3865">a2dee05b</a></strong>

<div>

<span>by Sergey Orlov</span>

<i>at 2020-04-01T14:34:40+02:00</i>

</div>

<pre class="commit-message" style="white-space: pre-wrap; margin: 0;">ipatests: add AD DC as a DNS forwarder before establishing trust

"ipa trust-add" was not able to establish trust because it could not

find the AD domain controller.

Reviewed-By: Florence Blanc-Renaud <flo@redhat.com>

</pre>

</li>

<li>

<strong><a href="https://salsa.debian.org/freeipa-team/freeipa/-/commit/98b6326a8e4c906ef267f838eb755898305186ce">98b6326a</a></strong>

<div>

<span>by Sergey Orlov</span>

<i>at 2020-04-01T14:34:40+02:00</i>

</div>

<pre class="commit-message" style="white-space: pre-wrap; margin: 0;">ipatests: explicitly save output of certutil

The test setup was failing because output redirection does not work in

run_command() when specifued as list element.

Reviewed-By: Florence Blanc-Renaud <flo@redhat.com>

</pre>

</li>

<li>

<strong><a href="https://salsa.debian.org/freeipa-team/freeipa/-/commit/b8e1a7d5ae73bffa745e8417968cef0b77892cc3">b8e1a7d5</a></strong>

<div>

<span>by Sergey Orlov</span>

<i>at 2020-04-01T14:34:40+02:00</i>

</div>

<pre class="commit-message" style="white-space: pre-wrap; margin: 0;">ipatests: run all cases from test_integration/test_idviews.py in nightlies

Reviewed-By: Florence Blanc-Renaud <flo@redhat.com>

</pre>

</li>

<li>

<strong><a href="https://salsa.debian.org/freeipa-team/freeipa/-/commit/99a322a4ae3c6a66d1e52517ee17c9b9c1b902e0">99a322a4</a></strong>

<div>

<span>by Sergey Orlov</span>

<i>at 2020-04-01T14:34:40+02:00</i>

</div>

<pre class="commit-message" style="white-space: pre-wrap; margin: 0;">ipatests: run test_integration/test_cert.py in PR-CI

Execute test_integration/test_cert.py test in gating and generic

nightly test runs

Reviewed-By: Florence Blanc-Renaud <flo@redhat.com>

</pre>

</li>

<li>

<strong><a href="https://salsa.debian.org/freeipa-team/freeipa/-/commit/1c4aa66b3cdf56a14f01c6750c494914e4d651eb">1c4aa66b</a></strong>

<div>

<span>by Sergey Orlov</span>

<i>at 2020-04-01T14:34:40+02:00</i>

</div>

<pre class="commit-message" style="white-space: pre-wrap; margin: 0;">ipatests: add missing classes from test_installation in nightly runs

The following test classes were missing in all nightly definitions:

* TestADTrustInstall

* TestADTrustInstallWithDNS_KRA_ADTrust

* TestKRAinstallAfterCertRenew

Reviewed-By: Florence Blanc-Renaud <flo@redhat.com>

</pre>

</li>

<li>

<strong><a href="https://salsa.debian.org/freeipa-team/freeipa/-/commit/9b3c3202ca14da9be13bd976ea82d02f614b319c">9b3c3202</a></strong>

<div>

<span>by Sergey Orlov</span>

<i>at 2020-04-01T14:34:40+02:00</i>

</div>

<pre class="commit-message" style="white-space: pre-wrap; margin: 0;">ipatests: add missing classes from test_nfs in nightly_previous run

Test class test_integration/test_nfs.py::TestIpaClientAutomountFileRestore

was missing in nightly_previous.yaml

Reviewed-By: Florence Blanc-Renaud <flo@redhat.com>

</pre>

</li>

<li>

<strong><a href="https://salsa.debian.org/freeipa-team/freeipa/-/commit/a02df530a6b4b5f5f6f9661da33aa2fb0cd47211">a02df530</a></strong>

<div>

<span>by Mohammad Rizwan Yusuf</span>

<i>at 2020-04-02T14:30:52+02:00</i>

</div>

<pre class="commit-message" style="white-space: pre-wrap; margin: 0;">ipatests:Test if proper error thrown when AD user tries to run IPA commands

Before fix the error used to implies that the ipa setup is broken.

Fix is to throw the proper error. This test is to check that the

error with 'Invalid credentials' thrown when AD user tries to run

IPA commands.

related: https://pagure.io/freeipa/issue/8163

Signed-off-by: Mohammad Rizwan Yusuf <myusuf@redhat.com>

Reviewed-By: Alexander Bokovoy <abokovoy@redhat.com>

</pre>

</li>

<li>

<strong><a href="https://salsa.debian.org/freeipa-team/freeipa/-/commit/48be293e470b6d9061c8e3e5836ed17e0eaf52d9">48be293e</a></strong>

<div>

<span>by François Cami</span>

<i>at 2020-04-02T14:33:51+02:00</i>

</div>

<pre class="commit-message" style="white-space: pre-wrap; margin: 0;">nightly_ipa-4-8_previous.yaml: fix typo

Fix typo in prci_definitions/nightly_ipa-4-8_previous.yaml.

Signed-off-by: François Cami <fcami@redhat.com>

Reviewed-By: Florence Blanc-Renaud <flo@redhat.com>

</pre>

</li>

<li>

<strong><a href="https://salsa.debian.org/freeipa-team/freeipa/-/commit/0fb0d2f11799ed9533011c2a273fdf53e73f914c">0fb0d2f1</a></strong>

<div>

<span>by François Cami</span>

<i>at 2020-04-02T16:10:27+02:00</i>

</div>

<pre class="commit-message" style="white-space: pre-wrap; margin: 0;">pr-ci templates: update test_fips timeouts

test_fips takes between 45 and ~80 mins to run.

The templates' timeout was 3600s which is too short for

successful execution. 7200s should do.

Fixes: https://pagure.io/freeipa/issue/8247

Reviewed-By: Sergey Orlov <sorlov@redhat.com>

</pre>

</li>

<li>

<strong><a href="https://salsa.debian.org/freeipa-team/freeipa/-/commit/d8135b73283bc0a17df322f66e2154bec5f48170">d8135b73</a></strong>

<div>

<span>by Sergey Orlov</span>

<i>at 2020-04-03T11:15:57+02:00</i>

</div>

<pre class="commit-message" style="white-space: pre-wrap; margin: 0;">ipatests: add test for sssd behavior with disabled trustdomains

When a trusted subdomain is disabled in ipa, users from this domain

should not be able to access ipa resources.

Related to: https://pagure.io/SSSD/sssd/issue/4078

Reviewed-By: Florence Blanc-Renaud <flo@redhat.com>

</pre>

</li>

<li>

<strong><a href="https://salsa.debian.org/freeipa-team/freeipa/-/commit/b238812b964f9526454ed7066633c73f2f596101">b238812b</a></strong>

<div>

<span>by Sergey Orlov</span>

<i>at 2020-04-03T11:15:57+02:00</i>

</div>

<pre class="commit-message" style="white-space: pre-wrap; margin: 0;">update prci definitions for test_sssd.py

The test now requires AD domain + subdomain

Related to: https://pagure.io/SSSD/sssd/issue/4078

Reviewed-By: Florence Blanc-Renaud <flo@redhat.com>

</pre>

</li>

<li>

<strong><a href="https://salsa.debian.org/freeipa-team/freeipa/-/commit/3ae0d0d724a094d3e8251b141e2b58b024300134">3ae0d0d7</a></strong>

<div>

<span>by Sergey Orlov</span>

<i>at 2020-04-03T11:15:57+02:00</i>

</div>

<pre class="commit-message" style="white-space: pre-wrap; margin: 0;">ipatests: add utility for getting sssd version on remote host

This function should be used to conditionally skip tests or

mark them xfail when installed version of sssd does not yet contain

patch for the tested issue.

Reviewed-By: Florence Blanc-Renaud <flo@redhat.com>

</pre>

</li>

<li>

<strong><a href="https://salsa.debian.org/freeipa-team/freeipa/-/commit/84c94f735004eaac3d6debd9ddebbd89a2d75f4e">84c94f73</a></strong>

<div>

<span>by Sergey Orlov</span>

<i>at 2020-04-03T11:15:57+02:00</i>

</div>

<pre class="commit-message" style="white-space: pre-wrap; margin: 0;">ipatests: add context manager for declaring part of test as xfail

This function provides functionality similar to pytest.mark.xfail

but for a block of code instead of the whole test function. This has

two benefits:

1) you can mark single line as expectedly failing without suppressing

   all other errors in the test function

2) you can use conditions which can not be evaluated before the test start.

The check is always done in "strict" mode, i.e. if test is expected to

fail but succeeds then it will be marked as failing.

Reviewed-By: Florence Blanc-Renaud <flo@redhat.com>

</pre>

</li>

<li>

<strong><a href="https://salsa.debian.org/freeipa-team/freeipa/-/commit/26233c887eb50f30407c1a6eb953fd57c7fd9fb9">26233c88</a></strong>

<div>

<span>by Sergey Orlov</span>

<i>at 2020-04-03T11:15:57+02:00</i>

</div>

<pre class="commit-message" style="white-space: pre-wrap; margin: 0;">ipatests: mark test_trustdomain_disable test as expectedly failing

The fix for issue https://pagure.io/SSSD/sssd/issue/4078 have not landed

Fedora 30 version yet.

Reviewed-By: Florence Blanc-Renaud <flo@redhat.com>

</pre>

</li>

<li>

<strong><a href="https://salsa.debian.org/freeipa-team/freeipa/-/commit/00e2a488726a353b7183d5d3b4c2084b9bf5dbc2">00e2a488</a></strong>

<div>

<span>by François Cami</span>

<i>at 2020-04-03T11:45:28+02:00</i>

</div>

<pre class="commit-message" style="white-space: pre-wrap; margin: 0;">ipatests: test ipa-backup with different role configurations.

ipa-backup should refuse to execute if the local IPA server does not

have all the roles used in the cluster.

A --disable-role-check knob should also be provided to bypass the

check.

Add an integration test for the new behavior and the knob.

Related: https://pagure.io/freeipa/issue/8217

Signed-off-by: François Cami <fcami@redhat.com>

Reviewed-By: Rob Crittenden <rcritten@redhat.com>

Reviewed-By: Mohammad Rizwan Yusuf <myusuf@redhat.com>

Reviewed-By: Rob Crittenden <rcritten@redhat.com>

Reviewed-By: Mohammad Rizwan Yusuf <myusuf@redhat.com>

Reviewed-By: Florence Blanc-Renaud <flo@redhat.com>

Reviewed-By: Michal Polovka <mpolovka@redhat.com>

</pre>

</li>

<li>

<strong><a href="https://salsa.debian.org/freeipa-team/freeipa/-/commit/69a2b6d71478094356ed78295b4c7177e200825c">69a2b6d7</a></strong>

<div>

<span>by François Cami</span>

<i>at 2020-04-03T11:45:28+02:00</i>

</div>

<pre class="commit-message" style="white-space: pre-wrap; margin: 0;">test_backup_and_restore: add server role verification steps

Add calls to "ipa server-role" to check whether the server role

changes are applied before calling ipa-backup.

Related: https://pagure.io/freeipa/issue/8217

Signed-off-by: François Cami <fcami@redhat.com>

Reviewed-By: Rob Crittenden <rcritten@redhat.com>

Reviewed-By: Mohammad Rizwan Yusuf <myusuf@redhat.com>

Reviewed-By: Rob Crittenden <rcritten@redhat.com>

Reviewed-By: Mohammad Rizwan Yusuf <myusuf@redhat.com>

Reviewed-By: Florence Blanc-Renaud <flo@redhat.com>

Reviewed-By: Michal Polovka <mpolovka@redhat.com>

</pre>

</li>

<li>

<strong><a href="https://salsa.debian.org/freeipa-team/freeipa/-/commit/37a60b25a342d723bfe4b4b91373ad5003bd4d29">37a60b25</a></strong>

<div>

<span>by François Cami</span>

<i>at 2020-04-03T11:45:28+02:00</i>

</div>

<pre class="commit-message" style="white-space: pre-wrap; margin: 0;">ipa-backup: Make sure all roles are installed on the current master.

ipa-backup does not check whether the IPA master it is running on has

all used roles installed. This can lead into situations where backups

are done on a CAless or KRAless host while these roles are used in the

IPA cluster. These backups cannot be used to restore a complete cluster.

With this change, ipa-backup refuses to execute if the roles installed

on the current host do not match the list of roles used in the cluster.

A --disable-role-check knob is provided to restore the previous behavior.

Fixes: https://pagure.io/freeipa/issue/8217

Signed-off-by: François Cami <fcami@redhat.com>

Reviewed-By: Rob Crittenden <rcritten@redhat.com>

Reviewed-By: Mohammad Rizwan Yusuf <myusuf@redhat.com>

Reviewed-By: Rob Crittenden <rcritten@redhat.com>

Reviewed-By: Mohammad Rizwan Yusuf <myusuf@redhat.com>

Reviewed-By: Florence Blanc-Renaud <flo@redhat.com>

Reviewed-By: Michal Polovka <mpolovka@redhat.com>

</pre>

</li>

<li>

<strong><a href="https://salsa.debian.org/freeipa-team/freeipa/-/commit/90eef2f84d3ad61894a1656c529000072e6cb036">90eef2f8</a></strong>

<div>

<span>by Mohammad Rizwan Yusuf</span>

<i>at 2020-04-03T11:49:05+02:00</i>

</div>

<pre class="commit-message" style="white-space: pre-wrap; margin: 0;">ipatests:Test if proper error thrown when AD user tries to run IPA commands

Before fix the error used to implies that the ipa setup is broken.

Fix is to throw the proper error. This test is to check that the

error with 'Invalid credentials' thrown when AD user tries to run

IPA commands.

related: https://pagure.io/freeipa/issue/8163

Signed-off-by: Mohammad Rizwan Yusuf <myusuf@redhat.com>

Reviewed-By: Alexander Bokovoy <abokovoy@redhat.com>

Reviewed-By: Alexander Bokovoy <abokovoy@redhat.com>

</pre>

</li>

<li>

<strong><a href="https://salsa.debian.org/freeipa-team/freeipa/-/commit/f5f960ed2ab08208b52260ab2dbe99da500ee04e">f5f960ed</a></strong>

<div>

<span>by Michal Polovka</span>

<i>at 2020-04-03T08:32:20-04:00</i>

</div>

<pre class="commit-message" style="white-space: pre-wrap; margin: 0;">Test for output being indented by default value if not stated implicitly..

Test checks whether output json-line string is indented by default value

if this value is not stated implicitly. Test compares healthcheck

produced json-like string with manually indented one.

Automates: 02272ff39d76f1412483c5e3289564c93d196a03

Signed-off-by: Michal Polovka <mpolovka@redhat.com>

Reviewed-By: Rob Crittenden <rcritten@redhat.com>

</pre>

</li>

<li>

<strong><a href="https://salsa.debian.org/freeipa-team/freeipa/-/commit/80fe55d78c8cb409290bb8dd9619cc1089080bb2">80fe55d7</a></strong>

<div>

<span>by Michal Polovka</span>

<i>at 2020-04-03T18:48:59+02:00</i>

</div>

<pre class="commit-message" style="white-space: pre-wrap; margin: 0;">Test for output being indented by default value if not stated implicitly..

Test checks whether output json-line string is indented by default value

if this value is not stated implicitly. Test compares healthcheck

produced json-like string with manually indented one.

Automates: 02272ff39d76f1412483c5e3289564c93d196a03

Signed-off-by: Michal Polovka <mpolovka@redhat.com>

Reviewed-By: Rob Crittenden <rcritten@redhat.com>

</pre>

</li>

<li>

<strong><a href="https://salsa.debian.org/freeipa-team/freeipa/-/commit/fed6ad2048e9e71ad0c483ccd58d9a489927ff1e">fed6ad20</a></strong>

<div>

<span>by Sergey Orlov</span>

<i>at 2020-04-03T18:59:23+02:00</i>

</div>

<pre class="commit-message" style="white-space: pre-wrap; margin: 0;">ipatests: add test for sssd behavior with disabled trustdomains

When a trusted subdomain is disabled in ipa, users from this domain

should not be able to access ipa resources.

Related to: https://pagure.io/SSSD/sssd/issue/4078

Reviewed-By: Florence Blanc-Renaud <flo@redhat.com>

</pre>

</li>

<li>

<strong><a href="https://salsa.debian.org/freeipa-team/freeipa/-/commit/edbb913f56b2ef937055e89a9e75758361596166">edbb913f</a></strong>

<div>

<span>by Sergey Orlov</span>

<i>at 2020-04-03T18:59:23+02:00</i>

</div>

<pre class="commit-message" style="white-space: pre-wrap; margin: 0;">update prci definitions for test_sssd.py

The test now requires AD domain + subdomain

Related to: https://pagure.io/SSSD/sssd/issue/4078

Reviewed-By: Florence Blanc-Renaud <flo@redhat.com>

</pre>

</li>

<li>

<strong><a href="https://salsa.debian.org/freeipa-team/freeipa/-/commit/3e81b0f3b13db296937b51f971d0db756b6963d1">3e81b0f3</a></strong>

<div>

<span>by Sergey Orlov</span>

<i>at 2020-04-03T18:59:23+02:00</i>

</div>

<pre class="commit-message" style="white-space: pre-wrap; margin: 0;">ipatests: add utility for getting sssd version on remote host

This function should be used to conditionally skip tests or

mark them xfail when installed version of sssd does not yet contain

patch for the tested issue.

Reviewed-By: Florence Blanc-Renaud <flo@redhat.com>

</pre>

</li>

<li>

<strong><a href="https://salsa.debian.org/freeipa-team/freeipa/-/commit/fc253fe4cad1f0f6b6cec4d07ca791a758ac3071">fc253fe4</a></strong>

<div>

<span>by Sergey Orlov</span>

<i>at 2020-04-03T18:59:23+02:00</i>

</div>

<pre class="commit-message" style="white-space: pre-wrap; margin: 0;">ipatests: add context manager for declaring part of test as xfail

This function provides functionality similar to pytest.mark.xfail

but for a block of code instead of the whole test function. This has

two benefits:

1) you can mark single line as expectedly failing without suppressing

   all other errors in the test function

2) you can use conditions which can not be evaluated before the test start.

The check is always done in "strict" mode, i.e. if test is expected to

fail but succeeds then it will be marked as failing.

Reviewed-By: Florence Blanc-Renaud <flo@redhat.com>

</pre>

</li>

<li>

<strong><a href="https://salsa.debian.org/freeipa-team/freeipa/-/commit/8c68b920627ebf10deb0f071b0d6111a3bc45524">8c68b920</a></strong>

<div>

<span>by Sergey Orlov</span>

<i>at 2020-04-03T18:59:23+02:00</i>

</div>

<pre class="commit-message" style="white-space: pre-wrap; margin: 0;">ipatests: mark test_trustdomain_disable test as expectedly failing

The fix for issue https://pagure.io/SSSD/sssd/issue/4078 have not landed

Fedora 30 version yet.

Reviewed-By: Florence Blanc-Renaud <flo@redhat.com>

</pre>

</li>

<li>

<strong><a href="https://salsa.debian.org/freeipa-team/freeipa/-/commit/a087fd9255ed5d16b6a84a7b84f0507dad5b200e">a087fd92</a></strong>

<div>

<span>by François Cami</span>

<i>at 2020-04-06T16:53:31+02:00</i>

</div>

<pre class="commit-message" style="white-space: pre-wrap; margin: 0;">ipatests: move ipa_backup to tasks

* tasks had an ipa_backup() method that was not used anywhere.

* test_backup_and_restore had a backup() method that used to return

  both the path to the backup and the whole result from run_command ;

  The path to the backup can be determined from the result.

Clean up:

* move test_backup_and_restore.backup to tasks.ipa_backup, replacing

  the unused method.

* add tasks.get_backup_dir(host) which runs ipa-backup on host and

  returns the path to the backup directory.

* adjust test_backup_and_restore and test_replica_promotion.

Related: https://pagure.io/freeipa/issue/8217

Signed-off-by: François Cami <fcami@redhat.com>

Reviewed-By: Michal Polovka <mpolovka@redhat.com>

Reviewed-By: Rob Crittenden <rcritten@redhat.com>

</pre>

</li>

<li>

<strong><a href="https://salsa.debian.org/freeipa-team/freeipa/-/commit/8691e5f8d33e7f023b1535d15637dedaee5bddec">8691e5f8</a></strong>

<div>

<span>by François Cami</span>

<i>at 2020-04-06T18:17:34+02:00</i>

</div>

<pre class="commit-message" style="white-space: pre-wrap; margin: 0;">ipatests: move ipa_backup to tasks

* tasks had an ipa_backup() method that was not used anywhere.

* test_backup_and_restore had a backup() method that used to return

  both the path to the backup and the whole result from run_command ;

  The path to the backup can be determined from the result.

Clean up:

* move test_backup_and_restore.backup to tasks.ipa_backup, replacing

  the unused method.

* add tasks.get_backup_dir(host) which runs ipa-backup on host and

  returns the path to the backup directory.

* adjust test_backup_and_restore and test_replica_promotion.

Related: https://pagure.io/freeipa/issue/8217

Signed-off-by: François Cami <fcami@redhat.com>

Reviewed-By: Michal Polovka <mpolovka@redhat.com>

Reviewed-By: Rob Crittenden <rcritten@redhat.com>

Reviewed-By: Michal Polovka <mpolovka@redhat.com>

Reviewed-By: Rob Crittenden <rcritten@redhat.com>

</pre>

</li>

<li>

<strong><a href="https://salsa.debian.org/freeipa-team/freeipa/-/commit/3022bb5fd200ea3b22fb1600401e95aaee2006ea">3022bb5f</a></strong>

<div>

<span>by Rob Crittenden</span>

<i>at 2020-04-06T12:54:20-04:00</i>

</div>

<pre class="commit-message" style="white-space: pre-wrap; margin: 0;">Perform baseline healthcheck

Run healthcheck on a default installation and ensure that there

are no failures. This test ensures that a fresh IPA installation

will pass healthcheck.

https://bugzilla.redhat.com/show_bug.cgi?id=1774032

Reviewed-By: Florence Blanc-Renaud <frenaud@redhat.com>

</pre>

</li>

<li>

<strong><a href="https://salsa.debian.org/freeipa-team/freeipa/-/commit/435e2bee19030756c8cdc3c809426bd2172c7ce5">435e2bee</a></strong>

<div>

<span>by Rob Crittenden</span>

<i>at 2020-04-06T15:00:28-04:00</i>

</div>

<pre class="commit-message" style="white-space: pre-wrap; margin: 0;">Perform baseline healthcheck

Run healthcheck on a default installation and ensure that there

are no failures. This test ensures that a fresh IPA installation

will pass healthcheck.

https://bugzilla.redhat.com/show_bug.cgi?id=1774032

Reviewed-By: Florence Blanc-Renaud <frenaud@redhat.com>

</pre>

</li>

<li>

<strong><a href="https://salsa.debian.org/freeipa-team/freeipa/-/commit/790407a5b464aca8cf6437e5db7c6ef364ef1d4e">790407a5</a></strong>

<div>

<span>by Timo Aaltonen</span>

<i>at 2020-04-07T05:58:54+03:00</i>

</div>

<pre class="commit-message" style="white-space: pre-wrap; margin: 0;">tasks-fixes.diff: Use enable/disable_ldap_automount from base, parse_ipa_version from redhat.

Add librpm8 to python3-ipalib Depends.

</pre>

</li>

<li>

<strong><a href="https://salsa.debian.org/freeipa-team/freeipa/-/commit/5e7610eb9e81a8fc22e7b5834b5097ed133d66e5">5e7610eb</a></strong>

<div>

<span>by Timo Aaltonen</span>

<i>at 2020-04-07T06:02:36+03:00</i>

</div>

<pre class="commit-message" style="white-space: pre-wrap; margin: 0;">dnssec-race-wa.diff: Work-around racy dnssec setup, the socket isn't necessarily ready when doing policy import.

</pre>

</li>

<li>

<strong><a href="https://salsa.debian.org/freeipa-team/freeipa/-/commit/6921f1e0455f1fba2cd06bfff9bbe1255fb98d78">6921f1e0</a></strong>

<div>

<span>by Timo Aaltonen</span>

<i>at 2020-04-07T06:24:51+03:00</i>

</div>

<pre class="commit-message" style="white-space: pre-wrap; margin: 0;">control: Update bind9-utils, opendnssec dependency.

</pre>

</li>

<li>

<strong><a href="https://salsa.debian.org/freeipa-team/freeipa/-/commit/6dfca154aa2d267cce709d57af76d523fbde2c8a">6dfca154</a></strong>

<div>

<span>by Timo Aaltonen</span>

<i>at 2020-04-07T06:28:10+03:00</i>

</div>

<pre class="commit-message" style="white-space: pre-wrap; margin: 0;">releasing package freeipa version 4.8.6-1

</pre>

</li>

<li>

<strong><a href="https://salsa.debian.org/freeipa-team/freeipa/-/commit/aa5a3336a80b381a4a49ad61accdde2f984203cb">aa5a3336</a></strong>

<div>

<span>by Stanislav Levin</span>

<i>at 2020-04-07T15:22:47-04:00</i>

</div>

<pre class="commit-message" style="white-space: pre-wrap; margin: 0;">Azure: Allow distros to install Python they want

The platforms may have different Pythons.

But due to [0] the Python installed via the 'UsePythonVersion@0'

task should be compatible with the container's 'libpythonxx.so'.

'AZURE_PYTHON_VERSION' platform variable is introduced to cover

this. So, if your distro has Python3.8, set the mentioned variable

to '3.8', later, this version will be installed by the

'UsePythonVersion@0' Azure task for 'WebUI_Unit_Tests' and 'Tox'

jobs.

To allow tox to run any Python3 environment the 'py3' one is used.

'py3' is the well-known Tox's environment, which utilizes 'python3'

executable.

[0]: https://github.com/microsoft/azure-pipelines-tasks/issues/11070

Fixes: https://pagure.io/freeipa/issue/8254

Signed-off-by: Stanislav Levin <slev@altlinux.org>

Reviewed-By: Alexander Bokovoy <abbra@users.noreply.github.com>

</pre>

</li>

<li>

<strong><a href="https://salsa.debian.org/freeipa-team/freeipa/-/commit/60d6defe0e5d82270601bb96bb2d74495db632fc">60d6defe</a></strong>

<div>

<span>by Stanislav Levin</span>

<i>at 2020-04-08T11:26:17+03:00</i>

</div>

<pre class="commit-message" style="white-space: pre-wrap; margin: 0;">Azure: Allow distros to install Python they want

The platforms may have different Pythons.

But due to [0] the Python installed via the 'UsePythonVersion@0'

task should be compatible with the container's 'libpythonxx.so'.

'AZURE_PYTHON_VERSION' platform variable is introduced to cover

this. So, if your distro has Python3.8, set the mentioned variable

to '3.8', later, this version will be installed by the

'UsePythonVersion@0' Azure task for 'WebUI_Unit_Tests' and 'Tox'

jobs.

To allow tox to run any Python3 environment the 'py3' one is used.

'py3' is the well-known Tox's environment, which utilizes 'python3'

executable.

[0]: https://github.com/microsoft/azure-pipelines-tasks/issues/11070

Fixes: https://pagure.io/freeipa/issue/8254

Signed-off-by: Stanislav Levin <slev@altlinux.org>

Reviewed-By: Alexander Bokovoy <abokovoy@redhat.com>

</pre>

</li>

<li>

<strong><a href="https://salsa.debian.org/freeipa-team/freeipa/-/commit/d1b53ded8b566f8ca4ed191a76efe7076263ed5f">d1b53ded</a></strong>

<div>

<span>by Stanislav Levin</span>

<i>at 2020-04-08T11:27:45+03:00</i>

</div>

<pre class="commit-message" style="white-space: pre-wrap; margin: 0;">Azure: Gather coredumps

Applications may crash.

If a crash happens on a remote system during CI run it's sometimes

very hard to understand the reason. The most important means to

analyze such is a stack trace. It's also very important to check

whether there was a core dump or not, even a test passed.

For Docker environment, the core dumps are collected by the host's

systemd-coredump, which knows nothing about such containers (for

now). To build an informative thread stack trace debuginfo packages

should be installed. But they can't be installed on the host OS

(ubuntu), That's why after all the tests completed an additional

container should be up and the host's core dumps and host's journal

should be passed into it.

Even if there weren't enough debuginfo packages at CI-runtime, the

core dump could be analyzed locally later.

Fixes: https://pagure.io/freeipa/issue/8251

Signed-off-by: Stanislav Levin <slev@altlinux.org>

Reviewed-By: Alexander Bokovoy <abokovoy@redhat.com>

Reviewed-By: Rob Crittenden <rcritten@redhat.com>

</pre>

</li>

<li>

<strong><a href="https://salsa.debian.org/freeipa-team/freeipa/-/commit/5325c723dad7d1f47311e0d73bc7b7b58577b870">5325c723</a></strong>

<div>

<span>by Stanislav Levin</span>

<i>at 2020-04-08T14:09:00+03:00</i>

</div>

<pre class="commit-message" style="white-space: pre-wrap; margin: 0;">Azure: Gather coredumps

Applications may crash.

If a crash happens on a remote system during CI run it's sometimes

very hard to understand the reason. The most important means to

analyze such is a stack trace. It's also very important to check

whether there was a core dump or not, even a test passed.

For Docker environment, the core dumps are collected by the host's

systemd-coredump, which knows nothing about such containers (for

now). To build an informative thread stack trace debuginfo packages

should be installed. But they can't be installed on the host OS

(ubuntu), That's why after all the tests completed an additional

container should be up and the host's core dumps and host's journal

should be passed into it.

Even if there weren't enough debuginfo packages at CI-runtime, the

core dump could be analyzed locally later.

Fixes: https://pagure.io/freeipa/issue/8251

Signed-off-by: Stanislav Levin <slev@altlinux.org>

Reviewed-By: Alexander Bokovoy <abokovoy@redhat.com>

Reviewed-By: Rob Crittenden <rcritten@redhat.com>

</pre>

</li>

<li>

<strong><a href="https://salsa.debian.org/freeipa-team/freeipa/-/commit/3985183d73ffa4be0f1a29a846d0de04d838f62a">3985183d</a></strong>

<div>

<span>by Sam Morris</span>

<i>at 2020-04-08T14:17:31+03:00</i>

</div>

<pre class="commit-message" style="white-space: pre-wrap; margin: 0;">Debian: write out only one CA certificate per file

ca-certificates populates /etc/ssl/certs with symlinks to its input

files and then runs 'openssl rehash' to create the symlinks that libssl

uses to look up a CA certificate to see if it is trused.

'openssl rehash' ignores any files that contain more than one

certificate: <https://bugs.debian.org/cgi-bin/bugreport.cgi?bug=945274>.

With this change, we write out trusted CA certificates to

/usr/local/share/ca-certificates/ipa-ca, one certificate per file.

The logic that decides whether to reload the store is moved up into the

original `insert_ca_certs_into_systemwide_ca_store` and

`remove_ca_certs_from_systemwide_ca_store` methods. These methods now

also handle any exceptions that may be thrown while updating the store.

The functions that actually manipulate the store are factored out into

new `platform_{insert,remove}_ca_certs` methods, which implementations

must override.

These new methods also orchestrate the cleanup of deprecated files (such

as `/etc/pki/ca-trust/source/anchors/ipa-ca.crt`), rather than having

the cleanup code be included in the same method that creates

`/etc/pki/ca-trust/source/ipa.p11-kit`.

As well as creating `/usr/local/share/ca-certificates/ipa-ca`, Debian

systems will now also have

`/usr/local/share/ca-certificates/ipa.p11-kit` be created. Note that

`p11-kit` in Debian does not use this file.

Fixes: https://pagure.io/freeipa/issue/8106

Reviewed-By: Alexander Bokovoy <abokovoy@redhat.com>

Reviewed-By: Timo Aaltonen <tjaalton@debian.org>

Reviewed-By: Rob Crittenden <rcritten@redhat.com>

</pre>

</li>

<li>

<strong><a href="https://salsa.debian.org/freeipa-team/freeipa/-/commit/ba162b9b47004da633a2c140409982725f5e0960">ba162b9b</a></strong>

<div>

<span>by Stanislav Levin</span>

<i>at 2020-04-08T16:33:35+02:00</i>

</div>

<pre class="commit-message" style="white-space: pre-wrap; margin: 0;">ipatests: Mark firewalld commands as no-op on non-firewalld distros

The FreeIPA integration tests strictly require Firewalld.

But not all the distros have such or any other high-level tool

for managing a firewall. Thus, to run integration tests on such systems

NoOpFirewall class has been added, which provides no-op firewalld

commands.

Fixes: https://pagure.io/freeipa/issue/8261

Signed-off-by: Stanislav Levin <slev@altlinux.org>

Reviewed-By: Rob Crittenden <rcritten@redhat.com>

Reviewed-By: François Cami <fcami@redhat.com>

</pre>

</li>

<li>

<strong><a href="https://salsa.debian.org/freeipa-team/freeipa/-/commit/6fcc78b8317f2c2412916016ac66a5a380a41173">6fcc78b8</a></strong>

<div>

<span>by Sam Morris</span>

<i>at 2020-04-09T09:05:56+03:00</i>

</div>

<pre class="commit-message" style="white-space: pre-wrap; margin: 0;">Debian: write out only one CA certificate per file

ca-certificates populates /etc/ssl/certs with symlinks to its input

files and then runs 'openssl rehash' to create the symlinks that libssl

uses to look up a CA certificate to see if it is trused.

'openssl rehash' ignores any files that contain more than one

certificate: <https://bugs.debian.org/cgi-bin/bugreport.cgi?bug=945274>.

With this change, we write out trusted CA certificates to

/usr/local/share/ca-certificates/ipa-ca, one certificate per file.

The logic that decides whether to reload the store is moved up into the

original `insert_ca_certs_into_systemwide_ca_store` and

`remove_ca_certs_from_systemwide_ca_store` methods. These methods now

also handle any exceptions that may be thrown while updating the store.

The functions that actually manipulate the store are factored out into

new `platform_{insert,remove}_ca_certs` methods, which implementations

must override.

These new methods also orchestrate the cleanup of deprecated files (such

as `/etc/pki/ca-trust/source/anchors/ipa-ca.crt`), rather than having

the cleanup code be included in the same method that creates

`/etc/pki/ca-trust/source/ipa.p11-kit`.

As well as creating `/usr/local/share/ca-certificates/ipa-ca`, Debian

systems will now also have

`/usr/local/share/ca-certificates/ipa.p11-kit` be created. Note that

`p11-kit` in Debian does not use this file.

Fixes: https://pagure.io/freeipa/issue/8106

Reviewed-By: Timo Aaltonen <tjaalton@debian.org>

Reviewed-By: Rob Crittenden <rcritten@redhat.com>

Reviewed-By: Alexander Bokovoy <abokovoy@redhat.com>

</pre>

</li>

<li>

<strong><a href="https://salsa.debian.org/freeipa-team/freeipa/-/commit/d320997807b8fb25a4bbfbf507ecff172c06f284">d3209978</a></strong>

<div>

<span>by Stanislav Levin</span>

<i>at 2020-04-09T09:07:14+03:00</i>

</div>

<pre class="commit-message" style="white-space: pre-wrap; margin: 0;">ipatests: Mark firewalld commands as no-op on non-firewalld distros

The FreeIPA integration tests strictly require Firewalld.

But not all the distros have such or any other high-level tool

for managing a firewall. Thus, to run integration tests on such systems

NoOpFirewall class has been added, which provides no-op firewalld

commands.

Fixes: https://pagure.io/freeipa/issue/8261

Signed-off-by: Stanislav Levin <slev@altlinux.org>

Reviewed-By: Rob Crittenden <rcritten@redhat.com>

Reviewed-By: François Cami <fcami@redhat.com>

Reviewed-By: Francois Cami <fcami@redhat.com>

Reviewed-By: Rob Crittenden <rcritten@redhat.com>

</pre>

</li>

<li>

<strong><a href="https://salsa.debian.org/freeipa-team/freeipa/-/commit/8a793b7da507d694aeab09e5d3a6d7ddd728acbc">8a793b7d</a></strong>

<div>

<span>by François Cami</span>

<i>at 2020-04-09T09:08:57+03:00</i>

</div>

<pre class="commit-message" style="white-space: pre-wrap; margin: 0;">ipatests: increase test_ipahealthcheck timeout

test_ipahealthcheck tends to take more than 3600s to run.

Increate timeout to 4800s.

Fixes: https://pagure.io/freeipa/issue/8262

Signed-off-by: François Cami <fcami@redhat.com>

Reviewed-By: Armando Neto <abiagion@redhat.com>

</pre>

</li>

<li>

<strong><a href="https://salsa.debian.org/freeipa-team/freeipa/-/commit/fa395cec8910cb07b23367e24eed6db1c64f06c9">fa395cec</a></strong>

<div>

<span>by François Cami</span>

<i>at 2020-04-09T15:12:16-03:00</i>

</div>

<pre class="commit-message" style="white-space: pre-wrap; margin: 0;">ipatests: increase test_ipahealthcheck timeout

test_ipahealthcheck tends to take more than 3600s to run.

Increate timeout to 4800s.

Fixes: https://pagure.io/freeipa/issue/8262

Signed-off-by: François Cami <fcami@redhat.com>

Reviewed-By: Armando Neto <abiagion@redhat.com>

Reviewed-By: Armando Neto <abiagion@redhat.com>

</pre>

</li>

<li>

<strong><a href="https://salsa.debian.org/freeipa-team/freeipa/-/commit/dbf5df4a66b68f62a9e063c43a30b46e539c603b">dbf5df4a</a></strong>

<div>

<span>by Alexander Bokovoy</span>

<i>at 2020-04-14T12:36:01+03:00</i>

</div>

<pre class="commit-message" style="white-space: pre-wrap; margin: 0;">CVE-2020-1722: prevent use of too long passwords

NIST SP 800-63-3B sets a recommendation to have password length upper bound limited in A.2:

https://pages.nist.gov/800-63-3/sp800-63b.html#appA

        Users should be encouraged to make their passwords as lengthy as they

        want, within reason. Since the size of a hashed password is independent

        of its length, there is no reason not to permit the use of lengthy

        passwords (or pass phrases) if the user wishes. Extremely long passwords

        (perhaps megabytes in length) could conceivably require excessive

        processing time to hash, so it is reasonable to have some limit.

FreeIPA already applied 256 characters limit for non-random passwords

set through ipa-getkeytab tool. The limit was not, however, enforced in

other places.

MIT Kerberos limits the length of the password to 1024 characters in its

tools. However, these tools (kpasswd and 'cpw' command of kadmin) do not

differentiate between a password larger than 1024 and a password of 1024

characters. As a result, longer passwords are silently cut off.

To prevent silent cut off for user passwords, use limit of 1000

characters.

Thus, this patch enforces common limit of 1000 characters everywhere:

 - LDAP-based password changes

   - LDAP password change control

   - LDAP ADD and MOD operations on clear-text userPassword

   - Keytab setting with ipa-getkeytab

 - Kerberos password setting and changing

Fixes: https://pagure.io/freeipa/issue/8268

Signed-off-by: Alexander Bokovoy <abokovoy@redhat.com>

Signed-off-by: Rob Crittenden <rcritten@redhat.com>

Reviewed-by: Simo Sorce <ssorce@redhat.com>

Reviewed-By: Simo Sorce <ssorce@redhat.com>

</pre>

</li>

<li>

<strong><a href="https://salsa.debian.org/freeipa-team/freeipa/-/commit/306adf6b5112a61d4e5b60b027de59bc24c13b55">306adf6b</a></strong>

<div>

<span>by François Cami</span>

<i>at 2020-04-14T14:11:11+02:00</i>

</div>

<pre class="commit-message" style="white-space: pre-wrap; margin: 0;">ipatests: increase test_webui_server timeout

test_webui_server tends to take more than 3600s to run.

Increase timeout to 7200s.

Fixes: https://pagure.io/freeipa/issue/8266

Signed-off-by: François Cami <fcami@redhat.com>

Reviewed-By: Armando Neto <abiagion@redhat.com>

</pre>

</li>

<li>

<strong><a href="https://salsa.debian.org/freeipa-team/freeipa/-/commit/089a393581aa249ddec66ce1455fff4951cdb827">089a3935</a></strong>

<div>

<span>by Alexander Bokovoy</span>

<i>at 2020-04-14T18:45:46+03:00</i>

</div>

<pre class="commit-message" style="white-space: pre-wrap; margin: 0;">CVE-2020-1722: prevent use of too long passwords

NIST SP 800-63-3B sets a recommendation to have password length upper bound limited in A.2:

https://pages.nist.gov/800-63-3/sp800-63b.html#appA

        Users should be encouraged to make their passwords as lengthy as they

        want, within reason. Since the size of a hashed password is independent

        of its length, there is no reason not to permit the use of lengthy

        passwords (or pass phrases) if the user wishes. Extremely long passwords

        (perhaps megabytes in length) could conceivably require excessive

        processing time to hash, so it is reasonable to have some limit.

FreeIPA already applied 256 characters limit for non-random passwords

set through ipa-getkeytab tool. The limit was not, however, enforced in

other places.

MIT Kerberos limits the length of the password to 1024 characters in its

tools. However, these tools (kpasswd and 'cpw' command of kadmin) do not

differentiate between a password larger than 1024 and a password of 1024

characters. As a result, longer passwords are silently cut off.

To prevent silent cut off for user passwords, use limit of 1000

characters.

Thus, this patch enforces common limit of 1000 characters everywhere:

 - LDAP-based password changes

   - LDAP password change control

   - LDAP ADD and MOD operations on clear-text userPassword

   - Keytab setting with ipa-getkeytab

 - Kerberos password setting and changing

Fixes: https://pagure.io/freeipa/issue/8268

Signed-off-by: Alexander Bokovoy <abokovoy@redhat.com>

Signed-off-by: Rob Crittenden <rcritten@redhat.com>

Reviewed-by: Simo Sorce <ssorce@redhat.com>

Reviewed-By: Simo Sorce <ssorce@redhat.com>

</pre>

</li>

<li>

<strong><a href="https://salsa.debian.org/freeipa-team/freeipa/-/commit/589c7fd0f75fe1d83817df7e3b14bf0ecd63d643">589c7fd0</a></strong>

<div>

<span>by François Cami</span>

<i>at 2020-04-15T14:31:37+02:00</i>

</div>

<pre class="commit-message" style="white-space: pre-wrap; margin: 0;">ipatests: increase test_webui_server timeout

test_webui_server tends to take more than 3600s to run.

Increase timeout to 7200s.

Fixes: https://pagure.io/freeipa/issue/8266

Signed-off-by: François Cami <fcami@redhat.com>

Reviewed-By: Armando Neto <abiagion@redhat.com>

Reviewed-By: Armando Neto <abiagion@redhat.com>

Reviewed-By: Alexander Bokovoy <abokovoy@redhat.com>

Reviewed-By: Michal Polovka <mpolovka@redhat.com>

</pre>

</li>

<li>

<strong><a href="https://salsa.debian.org/freeipa-team/freeipa/-/commit/bdf11371693936e4ff6cc4d0e245b19493df564c">bdf11371</a></strong>

<div>

<span>by Christian Heimes</span>

<i>at 2020-04-15T18:48:50+02:00</i>

</div>

<pre class="commit-message" style="white-space: pre-wrap; margin: 0;">Use /run and /run/lock instead of /var

Also add runstatedir autoconf var. IPA requires autoconf 2.59. The

variable will be available with autoconf 2.70.

Fixes: https://pagure.io/freeipa/issue/8272

Signed-off-by: Christian Heimes <cheimes@redhat.com>

Reviewed-By: Alexander Bokovoy <abokovoy@redhat.com>

</pre>

</li>

<li>

<strong><a href="https://salsa.debian.org/freeipa-team/freeipa/-/commit/3e8c51922b404bf2406ead09376e3e89f0624cdf">3e8c5192</a></strong>

<div>

<span>by Stasiek Michalski</span>

<i>at 2020-04-15T18:50:45+02:00</i>

</div>

<pre class="commit-message" style="white-space: pre-wrap; margin: 0;">Support for SUSE/openSUSE ipaplatform

Co-authored-by: Howard Guo <hguo@suse.com>

Co-authored-by: Daniel Molkentin <dmolkentin@suse.com>

Co-authored-by: Marcus Rückert <darix@nordisch.org>

Reviewed-By: Christian Heimes <cheimes@redhat.com>

Reviewed-By: Alexander Bokovoy <abokovoy@redhat.com>

</pre>

</li>

<li>

<strong><a href="https://salsa.debian.org/freeipa-team/freeipa/-/commit/d22ce3d0ad09835d1a5ef94177752ff380cc6223">d22ce3d0</a></strong>

<div>

<span>by Christian Heimes</span>

<i>at 2020-04-15T17:47:12-03:00</i>

</div>

<pre class="commit-message" style="white-space: pre-wrap; margin: 0;">Use /run and /run/lock instead of /var

Also add runstatedir autoconf var. IPA requires autoconf 2.59. The

variable will be available with autoconf 2.70.

Fixes: https://pagure.io/freeipa/issue/8272

Signed-off-by: Christian Heimes <cheimes@redhat.com>

Reviewed-By: Alexander Bokovoy <abokovoy@redhat.com>

</pre>

</li>

<li>

<strong><a href="https://salsa.debian.org/freeipa-team/freeipa/-/commit/f0c6d1e16bed99af5a00f5407c316a51a210242f">f0c6d1e1</a></strong>

<div>

<span>by Stasiek Michalski</span>

<i>at 2020-04-16T13:58:50+02:00</i>

</div>

<pre class="commit-message" style="white-space: pre-wrap; margin: 0;">Support for SUSE/openSUSE ipaplatform

Co-authored-by: Howard Guo <hguo@suse.com>

Co-authored-by: Daniel Molkentin <dmolkentin@suse.com>

Co-authored-by: Marcus Rückert <darix@nordisch.org>

Reviewed-By: Christian Heimes <cheimes@redhat.com>

Reviewed-By: Alexander Bokovoy <abokovoy@redhat.com>

</pre>

</li>

<li>

<strong><a href="https://salsa.debian.org/freeipa-team/freeipa/-/commit/7ac60a87bccb8f6e05d0eab33cab4139ddcd2d0a">7ac60a87</a></strong>

<div>

<span>by Florence Blanc-Renaud</span>

<i>at 2020-04-16T14:01:03+02:00</i>

</div>

<pre class="commit-message" style="white-space: pre-wrap; margin: 0;">Man pages: fix syntax issues

Fix the syntax in ipa-cacert-manage.1 and default.conf.5

Fixes: https://pagure.io/freeipa/issue/8273

Reviewed-By: Christian Heimes <cheimes@redhat.com>

</pre>

</li>

<li>

<strong><a href="https://salsa.debian.org/freeipa-team/freeipa/-/commit/98045dc4a3b3be21c9badf75ce1b62df27fa5be0">98045dc4</a></strong>

<div>

<span>by Florence Blanc-Renaud</span>

<i>at 2020-04-16T18:12:26+02:00</i>

</div>

<pre class="commit-message" style="white-space: pre-wrap; margin: 0;">Man pages: fix syntax issues

Fix the syntax in ipa-cacert-manage.1 and default.conf.5

Fixes: https://pagure.io/freeipa/issue/8273

Reviewed-By: Christian Heimes <cheimes@redhat.com>

</pre>

</li>

<li>

<strong><a href="https://salsa.debian.org/freeipa-team/freeipa/-/commit/3a64ac08e1b3202bb469fcf0f2a17bd5114bab8f">3a64ac08</a></strong>

<div>

<span>by Michal Polovka</span>

<i>at 2020-04-17T08:54:13-04:00</i>

</div>

<pre class="commit-message" style="white-space: pre-wrap; margin: 0;">Test for healthcheck being run on replica with stopped master

Test checks whether healthcheck  reports only that master is stopped

with no other false positives when services on IPA master are stopped.

Related: https://bugzilla.redhat.com/show_bug.cgi?id=1727900

Signed-off-by: Michal Polovka <mpolovka@redhat.com>

Reviewed-By: Rob Crittenden <rcritten@redhat.com>

</pre>

</li>

<li>

<strong><a href="https://salsa.debian.org/freeipa-team/freeipa/-/commit/b6b41b347924d1ab2754ffe8445dfdf98555ae92">b6b41b34</a></strong>

<div>

<span>by Michal Polovka</span>

<i>at 2020-04-17T11:57:34-04:00</i>

</div>

<pre class="commit-message" style="white-space: pre-wrap; margin: 0;">Test for healthcheck being run on replica with stopped master

Test checks whether healthcheck  reports only that master is stopped

with no other false positives when services on IPA master are stopped.

Related: https://bugzilla.redhat.com/show_bug.cgi?id=1727900

Signed-off-by: Michal Polovka <mpolovka@redhat.com>

Reviewed-By: Rob Crittenden <rcritten@redhat.com>

</pre>

</li>

<li>

<strong><a href="https://salsa.debian.org/freeipa-team/freeipa/-/commit/5688dd2c5bb847cf1996749df12c5f44fd98aa6a">5688dd2c</a></strong>

<div>

<span>by Timo Aaltonen</span>

<i>at 2020-04-18T10:44:47+03:00</i>

</div>

<pre class="commit-message" style="white-space: pre-wrap; margin: 0;">use-bind9.16.diff: Fix some paths to what's in bind9 9.16.

</pre>

</li>

<li>

<strong><a href="https://salsa.debian.org/freeipa-team/freeipa/-/commit/2c54609d73d691874ff8d5512a2d1a1284f5e77e">2c54609d</a></strong>

<div>

<span>by Mohammad Rizwan Yusuf</span>

<i>at 2020-04-20T08:44:00-04:00</i>

</div>

<pre class="commit-message" style="white-space: pre-wrap; margin: 0;">ipatests: Test to check password leak in apache error log

Host enrollment with OTP used to log the password in cleartext

to apache error log. This test ensures that the password should

not be log in cleartext.

related: https://pagure.io/freeipa/issue/8017

Signed-off-by: Mohammad Rizwan Yusuf <myusuf@redhat.com>

Reviewed-By: Rob Crittenden <rcritten@redhat.com>

</pre>

</li>

<li>

<strong><a href="https://salsa.debian.org/freeipa-team/freeipa/-/commit/cd7dcb19f71b11c9eccb056bfd54f6101c1040c5">cd7dcb19</a></strong>

<div>

<span>by Mohammad Rizwan Yusuf</span>

<i>at 2020-04-20T13:19:37-04:00</i>

</div>

<pre class="commit-message" style="white-space: pre-wrap; margin: 0;">ipatests: Test to check password leak in apache error log

Host enrollment with OTP used to log the password in cleartext

to apache error log. This test ensures that the password should

not be log in cleartext.

related: https://pagure.io/freeipa/issue/8017

Signed-off-by: Mohammad Rizwan Yusuf <myusuf@redhat.com>

Reviewed-By: Rob Crittenden <rcritten@redhat.com>

</pre>

</li>

<li>

<strong><a href="https://salsa.debian.org/freeipa-team/freeipa/-/commit/ffb1db5616cec6ceb49b7948e9c8e5e6284c7b02">ffb1db56</a></strong>

<div>

<span>by Stanislav Levin</span>

<i>at 2020-04-21T13:24:50+02:00</i>

</div>

<pre class="commit-message" style="white-space: pre-wrap; margin: 0;">ipatests: Bump required Pytest

Ipatests utilize the 'timeout' arg for 'testdir.run()', which is

available since Pytest 3.9.1 [0]

[0]: https://github.com/pytest-dev/pytest/issues/4073

Fixes: https://pagure.io/freeipa/issue/8101

Signed-off-by: Stanislav Levin <slev@altlinux.org>

Reviewed-By: Sergey Orlov <sorlov@redhat.com>

</pre>

</li>

<li>

<strong><a href="https://salsa.debian.org/freeipa-team/freeipa/-/commit/d67846fa36b64fb692b406158fb04869c5c3e27a">d67846fa</a></strong>

<div>

<span>by Stanislav Levin</span>

<i>at 2020-04-21T13:24:50+02:00</i>

</div>

<pre class="commit-message" style="white-space: pre-wrap; margin: 0;">ipatests: Remove deprecated yield_fixture

'yield_fixture' is deprecated since Pytest3 [0].

FreeIPA requires at least 3.9.1. So, it can be safely removed.

[0]: https://docs.pytest.org/en/latest/yieldfixture.html

Fixes: https://pagure.io/freeipa/issue/8101

Signed-off-by: Stanislav Levin <slev@altlinux.org>

Reviewed-By: Sergey Orlov <sorlov@redhat.com>

</pre>

</li>

<li>

<strong><a href="https://salsa.debian.org/freeipa-team/freeipa/-/commit/be6ac7d4c999c6fdd184c6cac9bd6330ed6261bb">be6ac7d4</a></strong>

<div>

<span>by Stanislav Levin</span>

<i>at 2020-04-21T13:24:50+02:00</i>

</div>

<pre class="commit-message" style="white-space: pre-wrap; margin: 0;">ipatests: Remove no longer needed 'get_marker'

'get_marker' was a compat shim for Pytest < 3.6.

Since the requred Pytest is 3.9.1+, the workaround can be

removed.

Fixes: https://pagure.io/freeipa/issue/8101

Signed-off-by: Stanislav Levin <slev@altlinux.org>

Reviewed-By: Sergey Orlov <sorlov@redhat.com>

</pre>

</li>

<li>

<strong><a href="https://salsa.debian.org/freeipa-team/freeipa/-/commit/f6b088effdcb47e7a9ee2c2505a950b07eff13bf">f6b088ef</a></strong>

<div>

<span>by Stanislav Levin</span>

<i>at 2020-04-21T13:24:50+02:00</i>

</div>

<pre class="commit-message" style="white-space: pre-wrap; margin: 0;">ipatests: Remove no longer needed 'capture' compatibility

Since the required Pytest is 3.9.1+, old Pytest compat code can

be removed.

Fixes: https://pagure.io/freeipa/issue/8101

Signed-off-by: Stanislav Levin <slev@altlinux.org>

Reviewed-By: Sergey Orlov <sorlov@redhat.com>

</pre>

</li>

<li>

<strong><a href="https://salsa.debian.org/freeipa-team/freeipa/-/commit/18500a3d01c9e902342cdaaf12b42484c11fa62c">18500a3d</a></strong>

<div>

<span>by Stanislav Levin</span>

<i>at 2020-04-21T13:24:50+02:00</i>

</div>

<pre class="commit-message" style="white-space: pre-wrap; margin: 0;">ipatests: Remove no longer needed 'skip' compatibility

Since the required Pytest is 3.9.1+ the compat 'pytest.skip'

for Pytest < 3 can be removed.

Fixes: https://pagure.io/freeipa/issue/8101

Signed-off-by: Stanislav Levin <slev@altlinux.org>

Reviewed-By: Sergey Orlov <sorlov@redhat.com>

</pre>

</li>

<li>

<strong><a href="https://salsa.debian.org/freeipa-team/freeipa/-/commit/6d8d1670365e466c6e285d1b09494d11aa7be64a">6d8d1670</a></strong>

<div>

<span>by Stanislav Levin</span>

<i>at 2020-04-21T13:24:50+02:00</i>

</div>

<pre class="commit-message" style="white-space: pre-wrap; margin: 0;">ipatests: Specify Pytest XML report schema

Pytest 5.2+ warns if tests XML report is generated but its format (schema)

is not explicitly specified:

```

/root/.local/lib/python3/site-packages/_pytest/junitxml.py:417

  /root/.local/lib/python3/site-packages/_pytest/junitxml.py:417: PytestDeprecationWarning: The 'junit_family' default value will change to 'xunit2' in pytest 6.0.

  Add 'junit_family=xunit1' to your pytest.ini file to keep the current format in future versions of pytest and silence this warning.

    _issue_warning_captured(deprecated.JUNIT_XML_DEFAULT_FAMILY, config.hook, 2)

```

For example, xunit2 is used by jenkins and Pytest strictly conforms its

schema [0]. Pytest's xunit1, in turn, allows to attach user fields to

report.

The only known client of IPA tests results is Azure. Azure supports

[1] JUnit, which is likely the same as Pytest's xunit1, while Azure's

xUnit2 is actually xUnit.net v2. This means that Azure supports (in

one form or another) Pytest's both xunit1 and xunit2 as JUnit.

[0]: https://github.com/jenkinsci/xunit-plugin/blob/xunit-2.3.2/src/main/resources/org/jenkinsci/plugins/xunit/types/model/xsd/junit-10.xsd

[1]: https://docs.microsoft.com/en-us/azure/devops/pipelines/tasks/test/publish-test-results?view=azure-devops&tabs=yaml

Fixes: https://pagure.io/freeipa/issue/8101

Signed-off-by: Stanislav Levin <slev@altlinux.org>

Reviewed-By: Sergey Orlov <sorlov@redhat.com>

</pre>

</li>

<li>

<strong><a href="https://salsa.debian.org/freeipa-team/freeipa/-/commit/974395704ad3a0c992324a080e96e1160f324153">97439570</a></strong>

<div>

<span>by Stanislav Levin</span>

<i>at 2020-04-21T13:24:50+02:00</i>

</div>

<pre class="commit-message" style="white-space: pre-wrap; margin: 0;">ipatests: Specify shell implementation

The shell command line options and parameters used there are bash-

specific. This results in an error on attempting of running

'ipa-run-tests' on systems where '/bin/sh' is pointing to another

shell, for example, dash on Ubuntu.

Fixes: https://pagure.io/freeipa/issue/8101

Signed-off-by: Stanislav Levin <slev@altlinux.org>

Reviewed-By: Sergey Orlov <sorlov@redhat.com>

</pre>

</li>

<li>

<strong><a href="https://salsa.debian.org/freeipa-team/freeipa/-/commit/51d15176a4434b9c47aa2b99476f3137a361d30c">51d15176</a></strong>

<div>

<span>by François Cami</span>

<i>at 2020-04-21T14:59:02+02:00</i>

</div>

<pre class="commit-message" style="white-space: pre-wrap; margin: 0;">Makefile.am: add doclint to fastcheck

Add doclint to fastcheck so that documentation syntax issues

are caught sooner (before they hit CI).

Signed-off-by: François Cami <fcami@redhat.com>

Reviewed-By: Christian Heimes <cheimes@redhat.com>

</pre>

</li>

<li>

<strong><a href="https://salsa.debian.org/freeipa-team/freeipa/-/commit/7558e1413dca240a77893352b5bb62bd21103b46">7558e141</a></strong>

<div>

<span>by François Cami</span>

<i>at 2020-04-21T14:59:02+02:00</i>

</div>

<pre class="commit-message" style="white-space: pre-wrap; margin: 0;">doc/Makefile: use sphinx-build -W by default

Use -W with sphinx-build by default to turn warnings into errors.

Signed-off-by: François Cami <fcami@redhat.com>

Reviewed-By: Christian Heimes <cheimes@redhat.com>

</pre>

</li>

<li>

<strong><a href="https://salsa.debian.org/freeipa-team/freeipa/-/commit/10aaef031bf5f6845f7d5ea053b9620147745c99">10aaef03</a></strong>

<div>

<span>by Serhii Tsymbaliuk</span>

<i>at 2020-04-21T19:03:23+02:00</i>

</div>

<pre class="commit-message" style="white-space: pre-wrap; margin: 0;">Web UI: Upgrade Dojo version 1.13.0 -> 1.16.2

- upgrade dojo.js bundle

- fix prepare-dojo.sh

- update Dojo version in package.json (reference purpose only)

Ticket: https://pagure.io/freeipa/issue/8222

Signed-off-by: Serhii Tsymbaliuk <stsymbal@redhat.com>

Reviewed-By: Armando Neto <abiagion@redhat.com>

</pre>

</li>

<li>

<strong><a href="https://salsa.debian.org/freeipa-team/freeipa/-/commit/e881e35783bb250bbdbc575cee4df2af6bc2eb88">e881e357</a></strong>

<div>

<span>by Christian Heimes</span>

<i>at 2020-04-21T21:37:06+02:00</i>

</div>

<pre class="commit-message" style="white-space: pre-wrap; margin: 0;">Fix various OpenDNSSEC 2.1 issues

Require OpenDNSSEC 2.1.6-5 with fix for RHBZ#1825812 (DAC override AVC)

Allow ipa-dnskeysyncd to connect to enforcer.sock (ipa_dnskey_t write

opendnssec_var_run_t and connectto opendnssec_t). The

opendnssec_stream_connect interface is available since 2016.

Change the owner of the ipa-ods-exporter socket to ODS_USER:ODS_GROUP.

The ipa-ods-exporter service already runs as ODS_USER.

Fixes: https://pagure.io/freeipa/issue/8283

Signed-off-by: Christian Heimes <cheimes@redhat.com>

Reviewed-By: Florence Blanc-Renaud <frenaud@redhat.com>

</pre>

</li>

<li>

<strong><a href="https://salsa.debian.org/freeipa-team/freeipa/-/commit/fa09cc29323c2d14985e19f1b2473b62f9df249a">fa09cc29</a></strong>

<div>

<span>by Serhii Tsymbaliuk</span>

<i>at 2020-04-22T08:19:30+02:00</i>

</div>

<pre class="commit-message" style="white-space: pre-wrap; margin: 0;">Web UI: Upgrade Dojo version 1.13.0 -> 1.16.2

- upgrade dojo.js bundle

- fix prepare-dojo.sh

- update Dojo version in package.json (reference purpose only)

Ticket: https://pagure.io/freeipa/issue/8222

Signed-off-by: Serhii Tsymbaliuk <stsymbal@redhat.com>

Reviewed-By: Armando Neto <abiagion@redhat.com>

</pre>

</li>

<li>

<strong><a href="https://salsa.debian.org/freeipa-team/freeipa/-/commit/c3f97a9a080f1ca30d863640801eed920063b35c">c3f97a9a</a></strong>

<div>

<span>by Christian Heimes</span>

<i>at 2020-04-22T08:24:09+02:00</i>

</div>

<pre class="commit-message" style="white-space: pre-wrap; margin: 0;">Fix various OpenDNSSEC 2.1 issues

Require OpenDNSSEC 2.1.6-5 with fix for RHBZ#1825812 (DAC override AVC)

Allow ipa-dnskeysyncd to connect to enforcer.sock (ipa_dnskey_t write

opendnssec_var_run_t and connectto opendnssec_t). The

opendnssec_stream_connect interface is available since 2016.

Change the owner of the ipa-ods-exporter socket to ODS_USER:ODS_GROUP.

The ipa-ods-exporter service already runs as ODS_USER.

Fixes: https://pagure.io/freeipa/issue/8283

Signed-off-by: Christian Heimes <cheimes@redhat.com>

Reviewed-By: Florence Blanc-Renaud <flo@redhat.com>

</pre>

</li>

<li>

<strong><a href="https://salsa.debian.org/freeipa-team/freeipa/-/commit/1717b5b08fa9e937f4b902f76be18df27ffc3238">1717b5b0</a></strong>

<div>

<span>by Christian Heimes</span>

<i>at 2020-04-22T09:47:14+02:00</i>

</div>

<pre class="commit-message" style="white-space: pre-wrap; margin: 0;">Improve Sphinx building and linting

Run sphinx-builder with -W (fail on error), --keep-going, and -j auto.

Auto-job scaling speeds up sphinx-builder a LOT.

Add make lint target to doc/Makefile. The -E and -a option ensure that

all files are always re-read and rewritten.

Add option to run sphinx-builder from a virtual env that mimics RTD

builds closer than Fedora packages.

Signed-off-by: Christian Heimes <cheimes@redhat.com>

Reviewed-By: François Cami <fcami@redhat.com>

</pre>

</li>

<li>

<strong><a href="https://salsa.debian.org/freeipa-team/freeipa/-/commit/9d10bc8db9f78d2a541bad5b4ce70ec2e6a58c2d">9d10bc8d</a></strong>

<div>

<span>by Stanislav Levin</span>

<i>at 2020-04-22T10:01:25+02:00</i>

</div>

<pre class="commit-message" style="white-space: pre-wrap; margin: 0;">ipatests: Bump required Pytest

Ipatests utilize the 'timeout' arg for 'testdir.run()', which is

available since Pytest 3.9.1 [0]

[0]: https://github.com/pytest-dev/pytest/issues/4073

Fixes: https://pagure.io/freeipa/issue/8101

Signed-off-by: Stanislav Levin <slev@altlinux.org>

Reviewed-By: Sergey Orlov <sorlov@redhat.com>

</pre>

</li>

<li>

<strong><a href="https://salsa.debian.org/freeipa-team/freeipa/-/commit/8c0192ac3de157ec4ef17c5492bfcb2fe370ac46">8c0192ac</a></strong>

<div>

<span>by Stanislav Levin</span>

<i>at 2020-04-22T10:01:25+02:00</i>

</div>

<pre class="commit-message" style="white-space: pre-wrap; margin: 0;">ipatests: Remove deprecated yield_fixture

'yield_fixture' is deprecated since Pytest3 [0].

FreeIPA requires at least 3.9.1. So, it can be safely removed.

[0]: https://docs.pytest.org/en/latest/yieldfixture.html

Fixes: https://pagure.io/freeipa/issue/8101

Signed-off-by: Stanislav Levin <slev@altlinux.org>

Reviewed-By: Sergey Orlov <sorlov@redhat.com>

</pre>

</li>

<li>

<strong><a href="https://salsa.debian.org/freeipa-team/freeipa/-/commit/6e14cfc4d0fb6f334d4daebe746c38e8356fb349">6e14cfc4</a></strong>

<div>

<span>by Stanislav Levin</span>

<i>at 2020-04-22T10:01:25+02:00</i>

</div>

<pre class="commit-message" style="white-space: pre-wrap; margin: 0;">ipatests: Remove no longer needed 'get_marker'

'get_marker' was a compat shim for Pytest < 3.6.

Since the requred Pytest is 3.9.1+, the workaround can be

removed.

Fixes: https://pagure.io/freeipa/issue/8101

Signed-off-by: Stanislav Levin <slev@altlinux.org>

Reviewed-By: Sergey Orlov <sorlov@redhat.com>

</pre>

</li>

<li>

<strong><a href="https://salsa.debian.org/freeipa-team/freeipa/-/commit/f97341c66a81ee395e4c18129b056d890b941315">f97341c6</a></strong>

<div>

<span>by Stanislav Levin</span>

<i>at 2020-04-22T10:01:25+02:00</i>

</div>

<pre class="commit-message" style="white-space: pre-wrap; margin: 0;">ipatests: Remove no longer needed 'capture' compatibility

Since the required Pytest is 3.9.1+, old Pytest compat code can

be removed.

Fixes: https://pagure.io/freeipa/issue/8101

Signed-off-by: Stanislav Levin <slev@altlinux.org>

Reviewed-By: Sergey Orlov <sorlov@redhat.com>

</pre>

</li>

<li>

<strong><a href="https://salsa.debian.org/freeipa-team/freeipa/-/commit/46518b494f215a49c1906508a1bb9661e30dcd98">46518b49</a></strong>

<div>

<span>by Stanislav Levin</span>

<i>at 2020-04-22T10:01:25+02:00</i>

</div>

<pre class="commit-message" style="white-space: pre-wrap; margin: 0;">ipatests: Remove no longer needed 'skip' compatibility

Since the required Pytest is 3.9.1+ the compat 'pytest.skip'

for Pytest < 3 can be removed.

Fixes: https://pagure.io/freeipa/issue/8101

Signed-off-by: Stanislav Levin <slev@altlinux.org>

Reviewed-By: Sergey Orlov <sorlov@redhat.com>

</pre>

</li>

<li>

<strong><a href="https://salsa.debian.org/freeipa-team/freeipa/-/commit/b62f59fdd0b6a0f917ac41da38366b2178a74b17">b62f59fd</a></strong>

<div>

<span>by Stanislav Levin</span>

<i>at 2020-04-22T10:01:25+02:00</i>

</div>

<pre class="commit-message" style="white-space: pre-wrap; margin: 0;">ipatests: Specify Pytest XML report schema

Pytest 5.2+ warns if tests XML report is generated but its format (schema)

is not explicitly specified:

```

/root/.local/lib/python3/site-packages/_pytest/junitxml.py:417

  /root/.local/lib/python3/site-packages/_pytest/junitxml.py:417: PytestDeprecationWarning: The 'junit_family' default value will change to 'xunit2' in pytest 6.0.

  Add 'junit_family=xunit1' to your pytest.ini file to keep the current format in future versions of pytest and silence this warning.

    _issue_warning_captured(deprecated.JUNIT_XML_DEFAULT_FAMILY, config.hook, 2)

```

For example, xunit2 is used by jenkins and Pytest strictly conforms its

schema [0]. Pytest's xunit1, in turn, allows to attach user fields to

report.

The only known client of IPA tests results is Azure. Azure supports

[1] JUnit, which is likely the same as Pytest's xunit1, while Azure's

xUnit2 is actually xUnit.net v2. This means that Azure supports (in

one form or another) Pytest's both xunit1 and xunit2 as JUnit.

[0]: https://github.com/jenkinsci/xunit-plugin/blob/xunit-2.3.2/src/main/resources/org/jenkinsci/plugins/xunit/types/model/xsd/junit-10.xsd

[1]: https://docs.microsoft.com/en-us/azure/devops/pipelines/tasks/test/publish-test-results?view=azure-devops&tabs=yaml

Fixes: https://pagure.io/freeipa/issue/8101

Signed-off-by: Stanislav Levin <slev@altlinux.org>

Reviewed-By: Sergey Orlov <sorlov@redhat.com>

</pre>

</li>

<li>

<strong><a href="https://salsa.debian.org/freeipa-team/freeipa/-/commit/9d06a4a29fb304856e48f5b91556e735a0a447d8">9d06a4a2</a></strong>

<div>

<span>by Stanislav Levin</span>

<i>at 2020-04-22T10:01:25+02:00</i>

</div>

<pre class="commit-message" style="white-space: pre-wrap; margin: 0;">ipatests: Specify shell implementation

The shell command line options and parameters used there are bash-

specific. This results in an error on attempting of running

'ipa-run-tests' on systems where '/bin/sh' is pointing to another

shell, for example, dash on Ubuntu.

Fixes: https://pagure.io/freeipa/issue/8101

Signed-off-by: Stanislav Levin <slev@altlinux.org>

Reviewed-By: Sergey Orlov <sorlov@redhat.com>

</pre>

</li>

<li>

<strong><a href="https://salsa.debian.org/freeipa-team/freeipa/-/commit/29fd9602c66133603c9723a4918cda0bcc8b5c53">29fd9602</a></strong>

<div>

<span>by sumenon</span>

<i>at 2020-04-23T10:29:33-04:00</i>

</div>

<pre class="commit-message" style="white-space: pre-wrap; margin: 0;">ipatests: Test for ipahealthcheck.ds.ruv check

This test ensures that RUVCheck for ipahealthcheck.ds.ruv

source displays correct result

Signed-off-by: sumenon <sumenon@redhat.com>

Reviewed-By: Rob Crittenden <rcritten@redhat.com>

Reviewed-By: Mohammad Rizwan Yusuf <myusuf@redhat.com>

</pre>

</li>

<li>

<strong><a href="https://salsa.debian.org/freeipa-team/freeipa/-/commit/3244e27962659c79e40ab7e82b985dd3ef61c96b">3244e279</a></strong>

<div>

<span>by sumenon</span>

<i>at 2020-04-23T14:07:31-04:00</i>

</div>

<pre class="commit-message" style="white-space: pre-wrap; margin: 0;">ipatests: Test for ipahealthcheck.ds.ruv check

This test ensures that RUVCheck for ipahealthcheck.ds.ruv

source displays correct result

Signed-off-by: sumenon <sumenon@redhat.com>

Reviewed-By: Rob Crittenden <rcritten@redhat.com>

Reviewed-By: Mohammad Rizwan Yusuf <myusuf@redhat.com>

</pre>

</li>

<li>

<strong><a href="https://salsa.debian.org/freeipa-team/freeipa/-/commit/a0494bc3f39e1a26f52b430e4b8f07b28accbf72">a0494bc3</a></strong>

<div>

<span>by Serhii Tsymbaliuk</span>

<i>at 2020-04-24T09:17:59+02:00</i>

</div>

<pre class="commit-message" style="white-space: pre-wrap; margin: 0;">Web UI: Upgrade jQuery version 2.0.3 -> 3.4.1

Ticket: https://pagure.io/freeipa/issue/8284

Signed-off-by: Serhii Tsymbaliuk <stsymbal@redhat.com>

Reviewed-By: Alexander Bokovoy <abokovoy@redhat.com>

</pre>

</li>

<li>

<strong><a href="https://salsa.debian.org/freeipa-team/freeipa/-/commit/46008f5e76af87efe75c7f8700262d026005bd9c">46008f5e</a></strong>

<div>

<span>by Serhii Tsymbaliuk</span>

<i>at 2020-04-24T13:04:03+02:00</i>

</div>

<pre class="commit-message" style="white-space: pre-wrap; margin: 0;">Web UI: Upgrade jQuery version 2.0.3 -> 3.4.1

Ticket: https://pagure.io/freeipa/issue/8284

Signed-off-by: Serhii Tsymbaliuk <stsymbal@redhat.com>

Reviewed-By: Alexander Bokovoy <abokovoy@redhat.com>

</pre>

</li>

<li>

<strong><a href="https://salsa.debian.org/freeipa-team/freeipa/-/commit/b6476f591b0c2a2aa3dec280e3e4025d3ae4cfb2">b6476f59</a></strong>

<div>

<span>by Christian Heimes</span>

<i>at 2020-04-27T10:15:58+02:00</i>

</div>

<pre class="commit-message" style="white-space: pre-wrap; margin: 0;">servrole: takes_params must be a tuple

The definition of servrole.takes_params was missing a comma.

Related: https://pagure.io/freeipa/issue/8290

Signed-off-by: Christian Heimes <cheimes@redhat.com>

Reviewed-By: Alexander Bokovoy <abokovoy@redhat.com>

</pre>

</li>

<li>

<strong><a href="https://salsa.debian.org/freeipa-team/freeipa/-/commit/1d2ec1824845dda1af96d2f12cdfe976499572c4">1d2ec182</a></strong>

<div>

<span>by Christian Heimes</span>

<i>at 2020-04-27T11:55:42+02:00</i>

</div>

<pre class="commit-message" style="white-space: pre-wrap; margin: 0;">servrole: takes_params must be a tuple

The definition of servrole.takes_params was missing a comma.

Related: https://pagure.io/freeipa/issue/8290

Signed-off-by: Christian Heimes <cheimes@redhat.com>

Reviewed-By: Alexander Bokovoy <abokovoy@redhat.com>

</pre>

</li>

<li>

<strong><a href="https://salsa.debian.org/freeipa-team/freeipa/-/commit/bba41dc85c8427992b5626b5a9daaf86c3b2a812">bba41dc8</a></strong>

<div>

<span>by Kaleemullah Siddiqui</span>

<i>at 2020-04-27T09:09:10-04:00</i>

</div>

<pre class="commit-message" style="white-space: pre-wrap; margin: 0;">Test for check of HostKeyAlgorithms option in ssh_config

Test checks that HostKeyAlgorithms is not present in

/etc/ssh/ssh_config after client install with option

-ssh-trust-dns.

https://pagure.io/freeipa/issue/8082

Signed-off-by: Kaleemullah Siddiqui <ksiddiqu@redhat.com>

Reviewed-By: Mohammad Rizwan Yusuf <myusuf@redhat.com>

</pre>

</li>

<li>

<strong><a href="https://salsa.debian.org/freeipa-team/freeipa/-/commit/ba213aa448a9b568da4ba9920a4b513406bd3964">ba213aa4</a></strong>

<div>

<span>by sumenon</span>

<i>at 2020-04-27T09:18:56-04:00</i>

</div>

<pre class="commit-message" style="white-space: pre-wrap; margin: 0;">ipatests: Test for ipahealthcheck tool for IPADomainCheck.

This testcase checks that when trust isn't setup

between IPA server and Windows AD, IPADomainCheck

displays key value as domain-check and result is SUCCESS

Reviewed-By: Rob Crittenden <rcritten@redhat.com>

</pre>

</li>

<li>

<strong><a href="https://salsa.debian.org/freeipa-team/freeipa/-/commit/49f909c9d3abb08a9f6492fbdfeb33534889e37f">49f909c9</a></strong>

<div>

<span>by Christian Heimes</span>

<i>at 2020-04-27T14:59:07-04:00</i>

</div>

<pre class="commit-message" style="white-space: pre-wrap; margin: 0;">Fix APIVersion.__getnewargs__

``__getnewargs__()`` must return a tuple.

Fixes ``E0312(invalid-getnewargs-returned), APIVersion.__getnewargs__]

 __getnewargs__ does not return a tuple)``.

Signed-off-by: Christian Heimes <cheimes@redhat.com>

Reviewed-By: Alexander Bokovoy <abokovoy@redhat.com>

Reviewed-By: Rob Crittenden <rcritten@redhat.com>

</pre>

</li>

<li>

<strong><a href="https://salsa.debian.org/freeipa-team/freeipa/-/commit/24cc13db898e07523227d04af9a15ea90eeacc3c">24cc13db</a></strong>

<div>

<span>by Christian Heimes</span>

<i>at 2020-04-27T14:59:07-04:00</i>

</div>

<pre class="commit-message" style="white-space: pre-wrap; margin: 0;">Fix exception escape warning

W1661(exception-escape), RPCClient.forward]

Using an exception object that was bound by an except handler)

Signed-off-by: Christian Heimes <cheimes@redhat.com>

Reviewed-By: Alexander Bokovoy <abokovoy@redhat.com>

Reviewed-By: Rob Crittenden <rcritten@redhat.com>

</pre>

</li>

<li>

<strong><a href="https://salsa.debian.org/freeipa-team/freeipa/-/commit/f812e2cdbcc514cee0fe70e21f57d57b50059504">f812e2cd</a></strong>

<div>

<span>by Christian Heimes</span>

<i>at 2020-04-27T16:48:12-04:00</i>

</div>

<pre class="commit-message" style="white-space: pre-wrap; margin: 0;">Fix APIVersion.__getnewargs__

``__getnewargs__()`` must return a tuple.

Fixes ``E0312(invalid-getnewargs-returned), APIVersion.__getnewargs__]

 __getnewargs__ does not return a tuple)``.

Signed-off-by: Christian Heimes <cheimes@redhat.com>

Reviewed-By: Alexander Bokovoy <abokovoy@redhat.com>

Reviewed-By: Rob Crittenden <rcritten@redhat.com>

</pre>

</li>

<li>

<strong><a href="https://salsa.debian.org/freeipa-team/freeipa/-/commit/26a9241c37b349090f5adcf1567c845c70e1c33d">26a9241c</a></strong>

<div>

<span>by Christian Heimes</span>

<i>at 2020-04-27T16:48:12-04:00</i>

</div>

<pre class="commit-message" style="white-space: pre-wrap; margin: 0;">Fix exception escape warning

W1661(exception-escape), RPCClient.forward]

Using an exception object that was bound by an except handler)

Signed-off-by: Christian Heimes <cheimes@redhat.com>

Reviewed-By: Alexander Bokovoy <abokovoy@redhat.com>

Reviewed-By: Rob Crittenden <rcritten@redhat.com>

</pre>

</li>

<li>

<strong><a href="https://salsa.debian.org/freeipa-team/freeipa/-/commit/bb24641e8ffdc1083565b9de9496606cd458cf8d">bb24641e</a></strong>

<div>

<span>by Christian Heimes</span>

<i>at 2020-04-28T11:28:29+02:00</i>

</div>

<pre class="commit-message" style="white-space: pre-wrap; margin: 0;">Use api.env.container_sysaccounts

Refactor code to use api.env.container_sysaccounts instead of

('cn', 'sysaccounts'), ('cn', 'etc')

Related: https://pagure.io/freeipa/issue/8276

Signed-off-by: Christian Heimes <cheimes@redhat.com>

Reviewed-By: Alexander Bokovoy <abokovoy@redhat.com>

</pre>

</li>

<li>

<strong><a href="https://salsa.debian.org/freeipa-team/freeipa/-/commit/ca6d6781c741fe5aedc68f8de592b9806ebe21d7">ca6d6781</a></strong>

<div>

<span>by Christian Heimes</span>

<i>at 2020-04-28T11:28:29+02:00</i>

</div>

<pre class="commit-message" style="white-space: pre-wrap; margin: 0;">Define default password policy for sysaccounts

cn=sysaccounts,cn=etc now has a default password policy to permit system

accounts with krbPrincipalAux object class. This allows system accounts

to have a keytab that does not expire.

The "Default System Accounts Password Policy" has a minimum password

length in case the password is directly modified with LDAP.

Fixes: https://pagure.io/freeipa/issue/8276

Signed-off-by: Christian Heimes <cheimes@redhat.com>

Reviewed-By: Alexander Bokovoy <abokovoy@redhat.com>

</pre>

</li>

<li>

<strong><a href="https://salsa.debian.org/freeipa-team/freeipa/-/commit/7509f42516246a012a51a798859dbecbc708642d">7509f425</a></strong>

<div>

<span>by Christian Heimes</span>

<i>at 2020-04-28T13:13:19+02:00</i>

</div>

<pre class="commit-message" style="white-space: pre-wrap; margin: 0;">Use api.env.container_sysaccounts

Refactor code to use api.env.container_sysaccounts instead of

('cn', 'sysaccounts'), ('cn', 'etc')

Related: https://pagure.io/freeipa/issue/8276

Signed-off-by: Christian Heimes <cheimes@redhat.com>

Reviewed-By: Alexander Bokovoy <abokovoy@redhat.com>

</pre>

</li>

<li>

<strong><a href="https://salsa.debian.org/freeipa-team/freeipa/-/commit/e74cfcc96e0f7c43303b4121683c3d1b3594ce3a">e74cfcc9</a></strong>

<div>

<span>by Christian Heimes</span>

<i>at 2020-04-28T13:13:19+02:00</i>

</div>

<pre class="commit-message" style="white-space: pre-wrap; margin: 0;">Define default password policy for sysaccounts

cn=sysaccounts,cn=etc now has a default password policy to permit system

accounts with krbPrincipalAux object class. This allows system accounts

to have a keytab that does not expire.

The "Default System Accounts Password Policy" has a minimum password

length in case the password is directly modified with LDAP.

Fixes: https://pagure.io/freeipa/issue/8276

Signed-off-by: Christian Heimes <cheimes@redhat.com>

Reviewed-By: Alexander Bokovoy <abokovoy@redhat.com>

</pre>

</li>

<li>

<strong><a href="https://salsa.debian.org/freeipa-team/freeipa/-/commit/7d657c6faa4f090d5f672502f9f62d64e74c355d">7d657c6f</a></strong>

<div>

<span>by Timo Aaltonen</span>

<i>at 2020-04-28T14:39:42+02:00</i>

</div>

<pre class="commit-message" style="white-space: pre-wrap; margin: 0;">Debian: Use enable/disable_ldap_automount() from base

Reviewed-By: Christian Heimes <cheimes@redhat.com>

</pre>

</li>

<li>

<strong><a href="https://salsa.debian.org/freeipa-team/freeipa/-/commit/7ed5374c91dd7e69b2ac0222cf7dc5d48df75c19">7ed5374c</a></strong>

<div>

<span>by Timo Aaltonen</span>

<i>at 2020-04-28T14:39:42+02:00</i>

</div>

<pre class="commit-message" style="white-space: pre-wrap; margin: 0;">Debian: Use parse_ipa_version from redhat.

Needs librpm8 installed.

Reviewed-By: Christian Heimes <cheimes@redhat.com>

</pre>

</li>

<li>

<strong><a href="https://salsa.debian.org/freeipa-team/freeipa/-/commit/158257c4b3f0eb58db73ac667aae4feaef21b58b">158257c4</a></strong>

<div>

<span>by Timo Aaltonen</span>

<i>at 2020-04-28T14:39:42+02:00</i>

</div>

<pre class="commit-message" style="white-space: pre-wrap; margin: 0;">ipatests/test_commands: Check sssd version like on test_sssd

Reviewed-By: Christian Heimes <cheimes@redhat.com>

</pre>

</li>

<li>

<strong><a href="https://salsa.debian.org/freeipa-team/freeipa/-/commit/2e85b4809afb4757fd7b81868709ced4f211d7b4">2e85b480</a></strong>

<div>

<span>by Timo Aaltonen</span>

<i>at 2020-04-28T14:39:42+02:00</i>

</div>

<pre class="commit-message" style="white-space: pre-wrap; margin: 0;">ipatests/test_installation: Use knownservices to map the service name.

Reviewed-By: Christian Heimes <cheimes@redhat.com>

</pre>

</li>

<li>

<strong><a href="https://salsa.debian.org/freeipa-team/freeipa/-/commit/ac67dc9d385e622750c0e205e7848cf2fde88387">ac67dc9d</a></strong>

<div>

<span>by Kaleemullah Siddiqui</span>

<i>at 2020-04-28T09:21:03-04:00</i>

</div>

<pre class="commit-message" style="white-space: pre-wrap; margin: 0;">Test for check of HostKeyAlgorithms option in ssh_config

Test checks that HostKeyAlgorithms is not present in

/etc/ssh/ssh_config after client install with option

-ssh-trust-dns.

https://pagure.io/freeipa/issue/8082

Signed-off-by: Kaleemullah Siddiqui <ksiddiqu@redhat.com>

Reviewed-By: Mohammad Rizwan Yusuf <myusuf@redhat.com>

</pre>

</li>

<li>

<strong><a href="https://salsa.debian.org/freeipa-team/freeipa/-/commit/1bec170288df5052851626304edf2aeabd606c1b">1bec1702</a></strong>

<div>

<span>by sumenon</span>

<i>at 2020-04-28T09:23:54-04:00</i>

</div>

<pre class="commit-message" style="white-space: pre-wrap; margin: 0;">ipatests: Test for ipahealthcheck tool for IPADomainCheck.

This testcase checks that when trust isn't setup

between IPA server and Windows AD, IPADomainCheck

displays key value as domain-check and result is SUCCESS

Reviewed-By: Rob Crittenden <rcritten@redhat.com>

</pre>

</li>

<li>

<strong><a href="https://salsa.debian.org/freeipa-team/freeipa/-/commit/4d2272f9667d35ef88f04153c49e0621c5d56d66">4d2272f9</a></strong>

<div>

<span>by François Cami</span>

<i>at 2020-04-28T09:32:19-04:00</i>

</div>

<pre class="commit-message" style="white-space: pre-wrap; margin: 0;">IPA-EPN: Add design draft

The design draft lists the user stories, implementation choices,

implementation details, limitations, and changes for the new

Expired Password Notifications (EPN) feature.

Fixes: https://pagure.io/freeipa/issue/3687

Signed-off-by: François Cami <fcami@redhat.com>

Reviewed-By: Rob Crittenden <rcritten@redhat.com>

</pre>

</li>

<li>

<strong><a href="https://salsa.debian.org/freeipa-team/freeipa/-/commit/c2608cfe8ae48f287cede5e04972f910601f3a6d">c2608cfe</a></strong>

<div>

<span>by Christian Heimes</span>

<i>at 2020-04-28T15:33:57+02:00</i>

</div>

<pre class="commit-message" style="white-space: pre-wrap; margin: 0;">Add skip_if_platform marker

Make it easier to skip tests based on platform ID and platform LIKE_ID.

Skip some tests that are not working on Debian-like platforms

Signed-off-by: Christian Heimes <cheimes@redhat.com>

Reviewed-By: Stanislav Levin <slev@altlinux.org>

</pre>

</li>

<li>

<strong><a href="https://salsa.debian.org/freeipa-team/freeipa/-/commit/c45d4c8b2fa46e3577fbf19a4cc6103d371a038e">c45d4c8b</a></strong>

<div>

<span>by Timo Aaltonen</span>

<i>at 2020-04-28T16:10:44+02:00</i>

</div>

<pre class="commit-message" style="white-space: pre-wrap; margin: 0;">Debian: Use enable/disable_ldap_automount() from base

Reviewed-By: Christian Heimes <cheimes@redhat.com>

</pre>

</li>

<li>

<strong><a href="https://salsa.debian.org/freeipa-team/freeipa/-/commit/fc2e8549b5764a8a110234a306793fc0a483dc3b">fc2e8549</a></strong>

<div>

<span>by Timo Aaltonen</span>

<i>at 2020-04-28T16:10:44+02:00</i>

</div>

<pre class="commit-message" style="white-space: pre-wrap; margin: 0;">Debian: Use parse_ipa_version from redhat.

Needs librpm8 installed.

Reviewed-By: Christian Heimes <cheimes@redhat.com>

</pre>

</li>

<li>

<strong><a href="https://salsa.debian.org/freeipa-team/freeipa/-/commit/af94aad859b04bae5befe0a649c285a601e06fd7">af94aad8</a></strong>

<div>

<span>by Timo Aaltonen</span>

<i>at 2020-04-28T16:10:44+02:00</i>

</div>

<pre class="commit-message" style="white-space: pre-wrap; margin: 0;">ipatests/test_commands: Check sssd version like on test_sssd

Reviewed-By: Christian Heimes <cheimes@redhat.com>

</pre>

</li>

<li>

<strong><a href="https://salsa.debian.org/freeipa-team/freeipa/-/commit/99f4cb01a662c679ba680f335d0ae60b2eea9a95">99f4cb01</a></strong>

<div>

<span>by Timo Aaltonen</span>

<i>at 2020-04-28T16:10:44+02:00</i>

</div>

<pre class="commit-message" style="white-space: pre-wrap; margin: 0;">ipatests/test_installation: Use knownservices to map the service name.

Reviewed-By: Christian Heimes <cheimes@redhat.com>

</pre>

</li>

<li>

<strong><a href="https://salsa.debian.org/freeipa-team/freeipa/-/commit/43ac2d9ab36518e510d621813ed73fb40e7cd2de">43ac2d9a</a></strong>

<div>

<span>by Stanislav Levin</span>

<i>at 2020-04-28T17:50:10+02:00</i>

</div>

<pre class="commit-message" style="white-space: pre-wrap; margin: 0;">ipatests: Cleanup 'collect_logs' decorator

The last usage of 'collect_logs' decorator has been removed

in 1d70ce850e9. So, it could be safely removed.

Fixes: https://pagure.io/freeipa/issue/8265

Signed-off-by: Stanislav Levin <slev@altlinux.org>

Reviewed-By: Rob Crittenden <rcritten@redhat.com>

</pre>

</li>

<li>

<strong><a href="https://salsa.debian.org/freeipa-team/freeipa/-/commit/5da309ee11f2aaba687d12a8c517f64070e22ae8">5da309ee</a></strong>

<div>

<span>by Stanislav Levin</span>

<i>at 2020-04-28T17:50:10+02:00</i>

</div>

<pre class="commit-message" style="white-space: pre-wrap; margin: 0;">ipatests: Pretty print multihost config

The printing of string representation of multihost config is useless.

For example,

```

<ipatests.pytest_ipa.integration.config.Config object at 0x7fe017d9dc70>

```

The dictionary representation of such looks better:

```

[ipatests.pytest_ipa.integration] {'ad_admin_name': 'Administrator',

 'ad_admin_password': 'Secret123',

 'admin_name': 'admin',

 'admin_password': 'Secret123',

 'dirman_dn': 'cn=Directory Manager',

 'dirman_password': 'Secret123',

 'dns_forwarder': '8.8.8.8',

 'domain_level': 1,

 'domains': [{'hosts': [{'external_hostname': 'master1.ipa.test',

                         'ip': '172.19.0.2',

                         'name': 'master1.ipa.test',

                         'role': 'master'},

                        {'external_hostname': 'replica1.ipa.test',

                         'ip': '172.19.0.3',

                         'name': 'replica1.ipa.test',

                         'role': 'replica'},

...

```

Fixes: https://pagure.io/freeipa/issue/8265

Signed-off-by: Stanislav Levin <slev@altlinux.org>

Reviewed-By: Rob Crittenden <rcritten@redhat.com>

</pre>

</li>

<li>

<strong><a href="https://salsa.debian.org/freeipa-team/freeipa/-/commit/63747bc0c041382536e2cad121bb591e42df3a2f">63747bc0</a></strong>

<div>

<span>by Stanislav Levin</span>

<i>at 2020-04-28T17:50:10+02:00</i>

</div>

<pre class="commit-message" style="white-space: pre-wrap; margin: 0;">ipatests: Collect all logs on all Unix hosts

Each integration test entity sets up its own list of logfiles.

This is made by calling the callback of host's 'collect_log',

which knows nothing about the context of execution: whether it's

the test class scope or the test method one. Of course, in this

case one-time collection of test method log is not supported

because the logs tracker collects only test class logs.

    In the meantime, almost all the entities (except 'client')

collect identical logs. Besides, due to the IPA roles

transformation an each IPA host can become master, replica or

client, all of these, in turn, can have subroles. So, the

most common case is the collection of all the possible logs from

all the IPA (Unix) hosts. However, the customization of a logfiles

collection is possible.

    The collection is performed with the help of 'integration_logs'

fixture. For example, to add a logfile to list of logs on a test

completion one should add the dependency on this fixture and call

its 'collect_method_log' method.

    ```

    class TestFoo(IntegrationTest):

        def test_foo(self):

            pass

        def test_bar(self, integration_logs):

            integration_logs.collect_method_log(self.master, '/logfile')

    ```

    Collected logs:

    1) 'test_foo' - default logs

    2) 'test_bar' - default logs + /logfile

    3) 'TestFoo' - default logs

Fixes: https://pagure.io/freeipa/issue/8265

Signed-off-by: Stanislav Levin <slev@altlinux.org>

Reviewed-By: Rob Crittenden <rcritten@redhat.com>

</pre>

</li>

<li>

<strong><a href="https://salsa.debian.org/freeipa-team/freeipa/-/commit/87408ee7557cff04c1dd9c5de052e49f22c34f0f">87408ee7</a></strong>

<div>

<span>by Stanislav Levin</span>

<i>at 2020-04-28T17:50:10+02:00</i>

</div>

<pre class="commit-message" style="white-space: pre-wrap; margin: 0;">Azure: Increase memory limit

Azure host has 6 GB of physical memory + 7 GB of swap.

FreeIPA CI runs at least 5 masters on each Azure's host.

Thus, swap is intensively used.

Based on the available *physical* memory 389-ds performs db tweaks

and in future may fail to start in case of memory shortage.

Current memory limit for Azure Docker containers(master/replica):

- Physical

$ cat /sys/fs/cgroup/memory/memory.limit_in_bytes

1610612736

- Physical + swap:

$ cat /sys/fs/cgroup/memory/memory.memsw.limit_in_bytes

3221225472

In the meantime, installation of master + ca + kra + dnssec requires:

$ cat /sys/fs/cgroup/memory/memory.max_usage_in_bytes

1856929792

Some test environments require more memory.

For example, 'ipatests.test_integration.test_commands.TestIPACommand':

$ cat /sys/fs/cgroup/memory/memory.memsw.max_usage_in_bytes

2232246272

$ cat /sys/fs/cgroup/memory/memory.max_usage_in_bytes

2232246272

Fixes: https://pagure.io/freeipa/issue/8264

Signed-off-by: Stanislav Levin <slev@altlinux.org>

Reviewed-By: Rob Crittenden <rcritten@redhat.com>

</pre>

</li>

<li>

<strong><a href="https://salsa.debian.org/freeipa-team/freeipa/-/commit/c43f3a7139efda747744f2b58500bcae203125f9">c43f3a71</a></strong>

<div>

<span>by Christian Heimes</span>

<i>at 2020-04-28T19:05:31+02:00</i>

</div>

<pre class="commit-message" style="white-space: pre-wrap; margin: 0;">Add skip_if_platform marker

Make it easier to skip tests based on platform ID and platform LIKE_ID.

Skip some tests that are not working on Debian-like platforms

Signed-off-by: Christian Heimes <cheimes@redhat.com>

Reviewed-By: Stanislav Levin <slev@altlinux.org>

</pre>

</li>

<li>

<strong><a href="https://salsa.debian.org/freeipa-team/freeipa/-/commit/e00dc40feadf7be9d5b1aec995d59cadb83b5b92">e00dc40f</a></strong>

<div>

<span>by Christian Heimes</span>

<i>at 2020-04-28T20:03:21+02:00</i>

</div>

<pre class="commit-message" style="white-space: pre-wrap; margin: 0;">Create ipasphinx package for Sphinx plugins

Sphinx is extensible with plugins that can add new syntax, roles,

directives, domains, and more.

Signed-off-by: Christian Heimes <cheimes@redhat.com>

Reviewed-By: Alexander Bokovoy <abokovoy@redhat.com>

</pre>

</li>

<li>

<strong><a href="https://salsa.debian.org/freeipa-team/freeipa/-/commit/d34db063774952814e0cae7e4499c7462ef04687">d34db063</a></strong>

<div>

<span>by Christian Heimes</span>

<i>at 2020-04-28T20:04:27+02:00</i>

</div>

<pre class="commit-message" style="white-space: pre-wrap; margin: 0;">Fix /doc/workshop subtree merge

Something went wrong with git subtree merge of the external

freeipa-workshop repository. A couple of files accidently ended up

in / instead of /doc/workshop/.

Signed-off-by: Christian Heimes <cheimes@redhat.com>

Reviewed-By: Alexander Bokovoy <abokovoy@redhat.com>

</pre>

</li>

<li>

<strong><a href="https://salsa.debian.org/freeipa-team/freeipa/-/commit/b7415c3ddcdbd826bc25761d78840c4417381571">b7415c3d</a></strong>

<div>

<span>by Christian Heimes</span>

<i>at 2020-04-29T12:36:34+02:00</i>

</div>

<pre class="commit-message" style="white-space: pre-wrap; margin: 0;">Require Sphinx >2.1

RTD comes with Sphinx 1.8 that is missing some APIs.

Signed-off-by: Christian Heimes <cheimes@redhat.com>

Reviewed-By: Alexander Bokovoy <abokovoy@redhat.com>

</pre>

</li>

<li>

<strong><a href="https://salsa.debian.org/freeipa-team/freeipa/-/commit/9941c9ee955ea52a48d9dc4d991c2292a839ae52">9941c9ee</a></strong>

<div>

<span>by Christian Heimes</span>

<i>at 2020-04-30T09:41:41+02:00</i>

</div>

<pre class="commit-message" style="white-space: pre-wrap; margin: 0;">Address issues found by new pylint 2.5.0

* fix multiple exception-escape

* fix function signatures of DsInstance start/stop/restart

* silence f-string-without-interpolation

* fix too-many-function-args in host plugin

Fixes: https://pagure.io/freeipa/issue/8297

Signed-off-by: Christian Heimes <cheimes@redhat.com>

Reviewed-By: Stanislav Levin <slev@altlinux.org>

</pre>

</li>

<li>

<strong><a href="https://salsa.debian.org/freeipa-team/freeipa/-/commit/40b8174c347ff49df0d83d3aaf9b6f19c5f3461c">40b8174c</a></strong>

<div>

<span>by Armando Neto</span>

<i>at 2020-04-30T12:05:35+02:00</i>

</div>

<pre class="commit-message" style="white-space: pre-wrap; margin: 0;">prci: update templates for new Fedora release

"previous" updated to Fedora 31

"latest" updated to Fedora 32

"rawhide" based on Fedora 33

389ds, testing and pki definitions updated to Fedora 32

Signed-off-by: Armando Neto <abiagion@redhat.com>

Reviewed-By: Alexander Bokovoy <abokovoy@redhat.com>

</pre>

</li>

<li>

<strong><a href="https://salsa.debian.org/freeipa-team/freeipa/-/commit/1632827caf4fe34419ed0f14f35d5959e013aadd">1632827c</a></strong>

<div>

<span>by François Cami</span>

<i>at 2020-04-30T12:06:58+02:00</i>

</div>

<pre class="commit-message" style="white-space: pre-wrap; margin: 0;">tox.ini: switch from W503 to W504

PEP8 recently changed from W503 to W504.

Line breaks should therefore come before operators.

See: https://www.python.org/dev/peps/pep-0008/#should-a-line-break-before-or-after-a-binary-operator

Signed-off-by: François Cami <fcami@redhat.com>

Reviewed-By: Christian Heimes <cheimes@redhat.com>

</pre>

</li>

<li>

<strong><a href="https://salsa.debian.org/freeipa-team/freeipa/-/commit/f4892d42af68c472639b73cdaf0bc5550229bf9d">f4892d42</a></strong>

<div>

<span>by Serhii Tsymbaliuk</span>

<i>at 2020-04-30T15:03:49+02:00</i>

</div>

<pre class="commit-message" style="white-space: pre-wrap; margin: 0;">WebUI tests: cover membership management with UI tests

Test cases:

- admin can add member manager for user/host group

- admin can add member manager group to user/host group

- member manager can add user to group

- member manager can remove user from group

- member manager can add host to host group

- member manager can remove host from host group

Ticket: https://pagure.io/freeipa/issue/8298

Signed-off-by: Serhii Tsymbaliuk <stsymbal@redhat.com>

Reviewed-By: Michal Polovka <mpolovka@redhat.com>

</pre>

</li>

<li>

<strong><a href="https://salsa.debian.org/freeipa-team/freeipa/-/commit/e58ca6a4ab40d876efd1c4bcec888e58c5fc738a">e58ca6a4</a></strong>

<div>

<span>by Serhii Tsymbaliuk</span>

<i>at 2020-04-30T20:26:13+02:00</i>

</div>

<pre class="commit-message" style="white-space: pre-wrap; margin: 0;">WebUI tests: cover membership management with UI tests

Test cases:

- admin can add member manager for user/host group

- admin can add member manager group to user/host group

- member manager can add user to group

- member manager can remove user from group

- member manager can add host to host group

- member manager can remove host from host group

Ticket: https://pagure.io/freeipa/issue/8298

Signed-off-by: Serhii Tsymbaliuk <stsymbal@redhat.com>

Reviewed-By: Michal Polovka <mpolovka@redhat.com>

</pre>

</li>

<li>

<strong><a href="https://salsa.debian.org/freeipa-team/freeipa/-/commit/35e1ebb2f3eb2d46f4080860ebe4e71421f80b54">35e1ebb2</a></strong>

<div>

<span>by Miro Hrončok</span>

<i>at 2020-05-04T08:12:58+02:00</i>

</div>

<pre class="commit-message" style="white-space: pre-wrap; margin: 0;">Fix a syntax typo

This worked for now, but is SyntaxError in Python 3.9.0a6:

  File "/usr/lib/python3.9/site-packages/ipapython/cookie.py", line 222

    return'/'

         ^

SyntaxError: invalid string prefix

(The Python change might actually be reverted before 3.9 final,

but this can be fixed anyway.)

Reviewed-By: Christian Heimes <cheimes@redhat.com>

</pre>

</li>

<li>

<strong><a href="https://salsa.debian.org/freeipa-team/freeipa/-/commit/6681871084cb69477a48c93772f18d3103324593">66818710</a></strong>

<div>

<span>by François Cami</span>

<i>at 2020-05-04T09:59:07+02:00</i>

</div>

<pre class="commit-message" style="white-space: pre-wrap; margin: 0;">tox.ini: switch from W503 to W504

PEP8 recently changed from W503 to W504.

Line breaks should therefore come before operators.

See: https://www.python.org/dev/peps/pep-0008/#should-a-line-break-before-or-after-a-binary-operator

Signed-off-by: François Cami <fcami@redhat.com>

Reviewed-By: Christian Heimes <cheimes@redhat.com>

</pre>

</li>

<li>

<strong><a href="https://salsa.debian.org/freeipa-team/freeipa/-/commit/0392dca510fe2105edd69c2a1f39098086174337">0392dca5</a></strong>

<div>

<span>by Miro Hrončok</span>

<i>at 2020-05-04T14:11:47+02:00</i>

</div>

<pre class="commit-message" style="white-space: pre-wrap; margin: 0;">Fix a syntax typo

This worked for now, but is SyntaxError in Python 3.9.0a6:

  File "/usr/lib/python3.9/site-packages/ipapython/cookie.py", line 222

    return'/'

         ^

SyntaxError: invalid string prefix

(The Python change might actually be reverted before 3.9 final,

but this can be fixed anyway.)

Reviewed-By: Christian Heimes <cheimes@redhat.com>

</pre>

</li>

<li>

<strong><a href="https://salsa.debian.org/freeipa-team/freeipa/-/commit/ef2a74565d829ac47a1b2961b2966fcfa9e43aab">ef2a7456</a></strong>

<div>

<span>by Christian Heimes</span>

<i>at 2020-05-04T15:02:25+02:00</i>

</div>

<pre class="commit-message" style="white-space: pre-wrap; margin: 0;">Address issues found by new pylint 2.5.0

* fix multiple exception-escape

* fix function signatures of DsInstance start/stop/restart

* silence f-string-without-interpolation

* fix too-many-function-args in host plugin

Fixes: https://pagure.io/freeipa/issue/8297

Signed-off-by: Christian Heimes <cheimes@redhat.com>

Reviewed-By: Stanislav Levin <slev@altlinux.org>

</pre>

</li>

<li>

<strong><a href="https://salsa.debian.org/freeipa-team/freeipa/-/commit/273ed1535d54a4ab213cca6cee1e39497b9ad75b">273ed153</a></strong>

<div>

<span>by Viktor Ashirov</span>

<i>at 2020-05-04T20:49:23+02:00</i>

</div>

<pre class="commit-message" style="white-space: pre-wrap; margin: 0;">Update ACIs with the correct syntax

The value of the first character in target* keywords

is expected to be a double quote.

Fixes: https://pagure.io/freeipa/issue/8301

Signed-off-by: Viktor Ashirov <vashirov@redhat.com>

Reviewed-By: Alexander Bokovoy <abokovoy@redhat.com>

Reviewed-By: Christian Heimes <cheimes@redhat.com>

</pre>

</li>

<li>

<strong><a href="https://salsa.debian.org/freeipa-team/freeipa/-/commit/f289771bd29371d4e38119ba09db8e59a0e9f71a">f289771b</a></strong>

<div>

<span>by Francisco Trivino</span>

<i>at 2020-05-04T20:50:49+02:00</i>

</div>

<pre class="commit-message" style="white-space: pre-wrap; margin: 0;">prci_definitions: remove test_smb from ipa-4-8 gating workflow

test_smb is broken. The failing test is blocking gating and fedora32 changes.

This commit removes the test from gating workflow. It will be enabled back once

it is stable and works.

Reviewed-By: Alexander Bokovoy <abokovoy@redhat.com>

</pre>

</li>

<li>

<strong><a href="https://salsa.debian.org/freeipa-team/freeipa/-/commit/218e655617400097e5dcd2fa0aae82b21e8c2366">218e6556</a></strong>

<div>

<span>by Viktor Ashirov</span>

<i>at 2020-05-05T09:33:20+02:00</i>

</div>

<pre class="commit-message" style="white-space: pre-wrap; margin: 0;">Update ACIs with the correct syntax

The value of the first character in target* keywords

is expected to be a double quote.

Fixes: https://pagure.io/freeipa/issue/8301

Signed-off-by: Viktor Ashirov <vashirov@redhat.com>

Reviewed-By: Christian Heimes <cheimes@redhat.com>

Reviewed-By: Alexander Bokovoy <abokovoy@redhat.com>

</pre>

</li>

<li>

<strong><a href="https://salsa.debian.org/freeipa-team/freeipa/-/commit/86d76efcef3ca1336a686795c5aa27e813d8e89a">86d76efc</a></strong>

<div>

<span>by Christian Heimes</span>

<i>at 2020-05-05T10:42:46+02:00</i>

</div>

<pre class="commit-message" style="white-space: pre-wrap; margin: 0;">Fix E266 too many leading '#' for block comment

Related: https://pagure.io/freeipa/issue/8306

Signed-off-by: Christian Heimes <cheimes@redhat.com>

Reviewed-By: Florence Blanc-Renaud <frenaud@redhat.com>

</pre>

</li>

<li>

<strong><a href="https://salsa.debian.org/freeipa-team/freeipa/-/commit/9661807385d8ecf1a5ee9aa446d4ad7644a54ec0">96618073</a></strong>

<div>

<span>by Christian Heimes</span>

<i>at 2020-05-05T10:42:46+02:00</i>

</div>

<pre class="commit-message" style="white-space: pre-wrap; margin: 0;">Fix E711 comparison to None

Related: https://pagure.io/freeipa/issue/8306

Signed-off-by: Christian Heimes <cheimes@redhat.com>

Reviewed-By: Florence Blanc-Renaud <frenaud@redhat.com>

</pre>

</li>

<li>

<strong><a href="https://salsa.debian.org/freeipa-team/freeipa/-/commit/690b5519f86545ef6705c53c16c1f3474cb0d656">690b5519</a></strong>

<div>

<span>by Christian Heimes</span>

<i>at 2020-05-05T10:42:46+02:00</i>

</div>

<pre class="commit-message" style="white-space: pre-wrap; margin: 0;">Fix E712 comparison to True / False

Related: https://pagure.io/freeipa/issue/8306

Signed-off-by: Christian Heimes <cheimes@redhat.com>

Reviewed-By: Florence Blanc-Renaud <frenaud@redhat.com>

</pre>

</li>

<li>

<strong><a href="https://salsa.debian.org/freeipa-team/freeipa/-/commit/d0818e1809a6520f42fd945cae1a69949a7e948f">d0818e18</a></strong>

<div>

<span>by Christian Heimes</span>

<i>at 2020-05-05T10:42:46+02:00</i>

</div>

<pre class="commit-message" style="white-space: pre-wrap; margin: 0;">Fix E713 test for membership should be 'not in'

Related: https://pagure.io/freeipa/issue/8306

Signed-off-by: Christian Heimes <cheimes@redhat.com>

Reviewed-By: Florence Blanc-Renaud <frenaud@redhat.com>

</pre>

</li>

<li>

<strong><a href="https://salsa.debian.org/freeipa-team/freeipa/-/commit/8c9bba8e1ad1def3745497de24b14786148a64af">8c9bba8e</a></strong>

<div>

<span>by Christian Heimes</span>

<i>at 2020-05-05T10:42:46+02:00</i>

</div>

<pre class="commit-message" style="white-space: pre-wrap; margin: 0;">Fix E714 test for object identity should be 'is not'

Related: https://pagure.io/freeipa/issue/8306

Signed-off-by: Christian Heimes <cheimes@redhat.com>

Reviewed-By: Florence Blanc-Renaud <frenaud@redhat.com>

</pre>

</li>

<li>

<strong><a href="https://salsa.debian.org/freeipa-team/freeipa/-/commit/31fa527e1b2fc626d941081ae1764b0bb4d20612">31fa527e</a></strong>

<div>

<span>by Christian Heimes</span>

<i>at 2020-05-05T10:42:46+02:00</i>

</div>

<pre class="commit-message" style="white-space: pre-wrap; margin: 0;">Fix E721 do not compare types, use 'isinstance()'

Related: https://pagure.io/freeipa/issue/8306

Signed-off-by: Christian Heimes <cheimes@redhat.com>

Reviewed-By: Florence Blanc-Renaud <frenaud@redhat.com>

</pre>

</li>

<li>

<strong><a href="https://salsa.debian.org/freeipa-team/freeipa/-/commit/186d739d7f54989e9ed6ea08371825b29f21b811">186d739d</a></strong>

<div>

<span>by Christian Heimes</span>

<i>at 2020-05-05T10:42:46+02:00</i>

</div>

<pre class="commit-message" style="white-space: pre-wrap; margin: 0;">Fix E722 do not use bare 'except'

Related: https://pagure.io/freeipa/issue/8306

Signed-off-by: Christian Heimes <cheimes@redhat.com>

Reviewed-By: Florence Blanc-Renaud <frenaud@redhat.com>

</pre>

</li>

<li>

<strong><a href="https://salsa.debian.org/freeipa-team/freeipa/-/commit/c544d18f1a80808ab8c087db751b2074d23f06ce">c544d18f</a></strong>

<div>

<span>by Christian Heimes</span>

<i>at 2020-05-05T10:42:46+02:00</i>

</div>

<pre class="commit-message" style="white-space: pre-wrap; margin: 0;">Silence W601 .has_key() is deprecated

Related: https://pagure.io/freeipa/issue/8306

Signed-off-by: Christian Heimes <cheimes@redhat.com>

Reviewed-By: Florence Blanc-Renaud <frenaud@redhat.com>

</pre>

</li>

<li>

<strong><a href="https://salsa.debian.org/freeipa-team/freeipa/-/commit/6386c0cbdd990b065066818a41e91fa9504af1ad">6386c0cb</a></strong>

<div>

<span>by Christian Heimes</span>

<i>at 2020-05-05T10:42:46+02:00</i>

</div>

<pre class="commit-message" style="white-space: pre-wrap; margin: 0;">Manually reformat ipapython/version.py.in

Add whitespaces around assignment operator and use consistent double

quotes.

https://pagure.io/freeipa/issue/8306

Signed-off-by: Christian Heimes <cheimes@redhat.com>

Reviewed-By: Florence Blanc-Renaud <frenaud@redhat.com>

</pre>

</li>

<li>

<strong><a href="https://salsa.debian.org/freeipa-team/freeipa/-/commit/f6be661244f0fa7ee74afa1587e39a3f8e04ac6a">f6be6612</a></strong>

<div>

<span>by Christian Heimes</span>

<i>at 2020-05-05T10:42:46+02:00</i>

</div>

<pre class="commit-message" style="white-space: pre-wrap; margin: 0;">Reconfigure pycodestyle

Disable some warnings that are not PEP-8 compatible.

Disable warnings E731 and E741. IPA code uses ``l`` as variable names

and assignment of lambda expressions a lot.

Ignore auto-generated remote plugins and build directories.

Related: https://pagure.io/freeipa/issue/8306

Signed-off-by: Christian Heimes <cheimes@redhat.com>

Reviewed-By: Florence Blanc-Renaud <frenaud@redhat.com>

</pre>

</li>

<li>

<strong><a href="https://salsa.debian.org/freeipa-team/freeipa/-/commit/490682ac3cab8978635655bdcc880f28227e900b">490682ac</a></strong>

<div>

<span>by Christian Heimes</span>

<i>at 2020-05-05T11:47:16+02:00</i>

</div>

<pre class="commit-message" style="white-space: pre-wrap; margin: 0;">Make ipaplatform a regular top-level package

ipaplatform was made a namespace package so that 3rd party OS

distributors can easily define their own distribution subpackage. Since

major distributions have contributed to FreeIPA project and no 3rd party

ipaplatform subpackage was uploaded to PyPI, it doesn't make much sense

to keep ipaplatform a namespace package.

The ipaplatform-*-nspkg.pth file for namespace package definition is

causing trouble with local testing on developer boxes.

Fixes: https://pagure.io/freeipa/issue/8309

See: https://pagure.io/freeipa/issue/6474

Signed-off-by: Christian Heimes <cheimes@redhat.com>

Reviewed-By: Alexander Bokovoy <abokovoy@redhat.com>

</pre>

</li>

<li>

<strong><a href="https://salsa.debian.org/freeipa-team/freeipa/-/commit/fefd1153d5e7bed9627a3b89de8d6a86f7a0bdfb">fefd1153</a></strong>

<div>

<span>by Christian Heimes</span>

<i>at 2020-05-05T11:48:04+02:00</i>

</div>

<pre class="commit-message" style="white-space: pre-wrap; margin: 0;">Make check_required_principal() case-insensitive

service-del deletes services by DN and LDAP DNs are compared

case-insensitive. Make check_required_principal() compare the

service name case insensitive.

Fixes: https://pagure.io/freeipa/issue/8308

Signed-off-by: Christian Heimes <cheimes@redhat.com>

Reviewed-By: Alexander Bokovoy <abokovoy@redhat.com>

</pre>

</li>

<li>

<strong><a href="https://salsa.debian.org/freeipa-team/freeipa/-/commit/19ea1b97a1559609014e0784c6f973c0e073878a">19ea1b97</a></strong>

<div>

<span>by Christian Heimes</span>

<i>at 2020-05-05T11:49:10+02:00</i>

</div>

<pre class="commit-message" style="white-space: pre-wrap; margin: 0;">Simplify pki proxy conf

``pkispawn`` is being modified to use PKI CLI for installation.

Add ``/pki/rest`` to proxied routes and simplify location matching with

a prefix regular expression.

Signed-off-by: Christian Heimes <cheimes@redhat.com>

Reviewed-By: Alexander Bokovoy <abokovoy@redhat.com>

</pre>

</li>

<li>

<strong><a href="https://salsa.debian.org/freeipa-team/freeipa/-/commit/edcfba6010c0b6a81841ca6e1e478835ce76191b">edcfba60</a></strong>

<div>

<span>by Florence Blanc-Renaud</span>

<i>at 2020-05-05T11:50:01+02:00</i>

</div>

<pre class="commit-message" style="white-space: pre-wrap; margin: 0;">ipa-advise: fallback to /usr/libexec/platform-python if python3 not found

when ipa-advise generates a script to configure a client for smart card

auth, the script calls python3 to configure SSSD. The issue happens

if the server (when ipa-advise is run) and the client do not have

the same path for python3 command.

By default, try to use python3 but if the command is not found, fallback

to /usr/libexec/platform-python (which is the python3 path on RHEL8).

Fixes: https://pagure.io/freeipa/issue/8311

Reviewed-By: Christian Heimes <cheimes@redhat.com>

</pre>

</li>

<li>

<strong><a href="https://salsa.debian.org/freeipa-team/freeipa/-/commit/b590a674e7134333b14eeeef5bda077e7e831a62">b590a674</a></strong>

<div>

<span>by Christian Heimes</span>

<i>at 2020-05-05T12:24:53+02:00</i>

</div>

<pre class="commit-message" style="white-space: pre-wrap; margin: 0;">Make check_required_principal() case-insensitive

service-del deletes services by DN and LDAP DNs are compared

case-insensitive. Make check_required_principal() compare the

service name case insensitive.

Fixes: https://pagure.io/freeipa/issue/8308

Signed-off-by: Christian Heimes <cheimes@redhat.com>

Reviewed-By: Alexander Bokovoy <abokovoy@redhat.com>

</pre>

</li>

<li>

<strong><a href="https://salsa.debian.org/freeipa-team/freeipa/-/commit/e3f7d9befc0abdb4d5fb518a498b359675238828">e3f7d9be</a></strong>

<div>

<span>by Christian Heimes</span>

<i>at 2020-05-05T15:55:18+02:00</i>

</div>

<pre class="commit-message" style="white-space: pre-wrap; margin: 0;">Simplify pki proxy conf

``pkispawn`` is being modified to use PKI CLI for installation.

Add ``/pki/rest`` to proxied routes and simplify location matching with

a prefix regular expression.

Signed-off-by: Christian Heimes <cheimes@redhat.com>

Reviewed-By: Alexander Bokovoy <abokovoy@redhat.com>

</pre>

</li>

<li>

<strong><a href="https://salsa.debian.org/freeipa-team/freeipa/-/commit/0cadf40f2380942ffa6e9c107dc054a7ed1ecfa6">0cadf40f</a></strong>

<div>

<span>by Mohammad Rizwan Yusuf</span>

<i>at 2020-05-05T15:56:03+02:00</i>

</div>

<pre class="commit-message" style="white-space: pre-wrap; margin: 0;">Display principal name while del required principal

Fix is to display the proper principal in error message

while attempting to delete required principal.

related: https://pagure.io/freeipa/issue/7695

Signed-off-by: Mohammad Rizwan Yusuf <myusuf@redhat.com>

Reviewed-By: Christian Heimes <cheimes@redhat.com>

Reviewed-By: Rob Crittenden <rcritten@redhat.com>

</pre>

</li>

<li>

<strong><a href="https://salsa.debian.org/freeipa-team/freeipa/-/commit/340a50b7e78a4b63e9d2abd86766c3b6c4f47099">340a50b7</a></strong>

<div>

<span>by Mohammad Rizwan Yusuf</span>

<i>at 2020-05-05T15:56:03+02:00</i>

</div>

<pre class="commit-message" style="white-space: pre-wrap; margin: 0;">ipatests: Test deletion of required principal throws proper error

ipa service-del <Principal name> did not display proper principal

name which is being deleted in error message.

This test check if it throws error having proper principal name.

related: https://pagure.io/freeipa/issue/7695

Signed-off-by: Mohammad Rizwan Yusuf <myusuf@redhat.com>

Reviewed-By: Christian Heimes <cheimes@redhat.com>

Reviewed-By: Rob Crittenden <rcritten@redhat.com>

</pre>

</li>

<li>

<strong><a href="https://salsa.debian.org/freeipa-team/freeipa/-/commit/033f8dc626c0ad2e13594d964869b72cad228142">033f8dc6</a></strong>

<div>

<span>by Christian Heimes</span>

<i>at 2020-05-05T19:11:37+02:00</i>

</div>

<pre class="commit-message" style="white-space: pre-wrap; margin: 0;">Fix E266 too many leading '#' for block comment

Related: https://pagure.io/freeipa/issue/8306

Signed-off-by: Christian Heimes <cheimes@redhat.com>

Reviewed-By: Florence Blanc-Renaud <frenaud@redhat.com>

</pre>

</li>

<li>

<strong><a href="https://salsa.debian.org/freeipa-team/freeipa/-/commit/c136aab0f87ac5b53db3193e0f1a4cd0cc5c832f">c136aab0</a></strong>

<div>

<span>by Christian Heimes</span>

<i>at 2020-05-05T19:11:37+02:00</i>

</div>

<pre class="commit-message" style="white-space: pre-wrap; margin: 0;">Fix E711 comparison to None

Related: https://pagure.io/freeipa/issue/8306

Signed-off-by: Christian Heimes <cheimes@redhat.com>

Reviewed-By: Florence Blanc-Renaud <frenaud@redhat.com>

</pre>

</li>

<li>

<strong><a href="https://salsa.debian.org/freeipa-team/freeipa/-/commit/01c1cf67e5e88a4af7f149652af378d36f64a471">01c1cf67</a></strong>

<div>

<span>by Christian Heimes</span>

<i>at 2020-05-05T19:11:37+02:00</i>

</div>

<pre class="commit-message" style="white-space: pre-wrap; margin: 0;">Fix E712 comparison to True / False

Related: https://pagure.io/freeipa/issue/8306

Signed-off-by: Christian Heimes <cheimes@redhat.com>

Reviewed-By: Florence Blanc-Renaud <frenaud@redhat.com>

</pre>

</li>

<li>

<strong><a href="https://salsa.debian.org/freeipa-team/freeipa/-/commit/ef068bd30dddcc653726bd2602be288bef351385">ef068bd3</a></strong>

<div>

<span>by Christian Heimes</span>

<i>at 2020-05-05T19:11:37+02:00</i>

</div>

<pre class="commit-message" style="white-space: pre-wrap; margin: 0;">Fix E713 test for membership should be 'not in'

Related: https://pagure.io/freeipa/issue/8306

Signed-off-by: Christian Heimes <cheimes@redhat.com>

Reviewed-By: Florence Blanc-Renaud <frenaud@redhat.com>

</pre>

</li>

<li>

<strong><a href="https://salsa.debian.org/freeipa-team/freeipa/-/commit/70dc448280496edcc4971b60ece044cbbec10840">70dc4482</a></strong>

<div>

<span>by Christian Heimes</span>

<i>at 2020-05-05T19:11:37+02:00</i>

</div>

<pre class="commit-message" style="white-space: pre-wrap; margin: 0;">Fix E714 test for object identity should be 'is not'

Related: https://pagure.io/freeipa/issue/8306

Signed-off-by: Christian Heimes <cheimes@redhat.com>

Reviewed-By: Florence Blanc-Renaud <frenaud@redhat.com>

</pre>

</li>

<li>

<strong><a href="https://salsa.debian.org/freeipa-team/freeipa/-/commit/7be2ffea6a93e1d16e548bcb1d4870dccbe38c8c">7be2ffea</a></strong>

<div>

<span>by Christian Heimes</span>

<i>at 2020-05-05T19:11:37+02:00</i>

</div>

<pre class="commit-message" style="white-space: pre-wrap; margin: 0;">Fix E721 do not compare types, use 'isinstance()'

Related: https://pagure.io/freeipa/issue/8306

Signed-off-by: Christian Heimes <cheimes@redhat.com>

Reviewed-By: Florence Blanc-Renaud <frenaud@redhat.com>

</pre>

</li>

<li>

<strong><a href="https://salsa.debian.org/freeipa-team/freeipa/-/commit/45ddb4f17492bedfcf4e144c14ee0a5f03c1231c">45ddb4f1</a></strong>

<div>

<span>by Christian Heimes</span>

<i>at 2020-05-05T19:11:37+02:00</i>

</div>

<pre class="commit-message" style="white-space: pre-wrap; margin: 0;">Fix E722 do not use bare 'except'

Related: https://pagure.io/freeipa/issue/8306

Signed-off-by: Christian Heimes <cheimes@redhat.com>

Reviewed-By: Florence Blanc-Renaud <frenaud@redhat.com>

</pre>

</li>

<li>

<strong><a href="https://salsa.debian.org/freeipa-team/freeipa/-/commit/d44a392568bfbe058407f7ab3169a5778ec528b6">d44a3925</a></strong>

<div>

<span>by Christian Heimes</span>

<i>at 2020-05-05T19:11:37+02:00</i>

</div>

<pre class="commit-message" style="white-space: pre-wrap; margin: 0;">Silence W601 .has_key() is deprecated

Related: https://pagure.io/freeipa/issue/8306

Signed-off-by: Christian Heimes <cheimes@redhat.com>

Reviewed-By: Florence Blanc-Renaud <frenaud@redhat.com>

</pre>

</li>

<li>

<strong><a href="https://salsa.debian.org/freeipa-team/freeipa/-/commit/9c3d00b17570104f4a1bc7a802496f515e810ae6">9c3d00b1</a></strong>

<div>

<span>by Christian Heimes</span>

<i>at 2020-05-05T19:11:37+02:00</i>

</div>

<pre class="commit-message" style="white-space: pre-wrap; margin: 0;">Manually reformat ipapython/version.py.in

Add whitespaces around assignment operator and use consistent double

quotes.

https://pagure.io/freeipa/issue/8306

Signed-off-by: Christian Heimes <cheimes@redhat.com>

Reviewed-By: Florence Blanc-Renaud <frenaud@redhat.com>

</pre>

</li>

<li>

<strong><a href="https://salsa.debian.org/freeipa-team/freeipa/-/commit/d80b98b9daff3da019542117bd52d349a101eab8">d80b98b9</a></strong>

<div>

<span>by Christian Heimes</span>

<i>at 2020-05-05T19:11:37+02:00</i>

</div>

<pre class="commit-message" style="white-space: pre-wrap; margin: 0;">Reconfigure pycodestyle

Disable some warnings that are not PEP-8 compatible.

Disable warnings E731 and E741. IPA code uses ``l`` as variable names

and assignment of lambda expressions a lot.

Ignore auto-generated remote plugins and build directories.

Related: https://pagure.io/freeipa/issue/8306

Signed-off-by: Christian Heimes <cheimes@redhat.com>

Reviewed-By: Florence Blanc-Renaud <frenaud@redhat.com>

</pre>

</li>

<li>

<strong><a href="https://salsa.debian.org/freeipa-team/freeipa/-/commit/787ce4555a203bd3f31c1f6cc577855f779fe6cf">787ce455</a></strong>

<div>

<span>by Florence Blanc-Renaud</span>

<i>at 2020-05-05T19:12:19+02:00</i>

</div>

<pre class="commit-message" style="white-space: pre-wrap; margin: 0;">ipa-advise: fallback to /usr/libexec/platform-python if python3 not found

when ipa-advise generates a script to configure a client for smart card

auth, the script calls python3 to configure SSSD. The issue happens

if the server (when ipa-advise is run) and the client do not have

the same path for python3 command.

By default, try to use python3 but if the command is not found, fallback

to /usr/libexec/platform-python (which is the python3 path on RHEL8).

Fixes: https://pagure.io/freeipa/issue/8311

Reviewed-By: Christian Heimes <cheimes@redhat.com>

</pre>

</li>

<li>

<strong><a href="https://salsa.debian.org/freeipa-team/freeipa/-/commit/07da5abd13a0691d5c9fc0c37609ebcb543c691e">07da5abd</a></strong>

<div>

<span>by Christian Heimes</span>

<i>at 2020-05-05T20:19:01+02:00</i>

</div>

<pre class="commit-message" style="white-space: pre-wrap; margin: 0;">Make ipaplatform a regular top-level package

ipaplatform was made a namespace package so that 3rd party OS

distributors can easily define their own distribution subpackage. Since

major distributions have contributed to FreeIPA project and no 3rd party

ipaplatform subpackage was uploaded to PyPI, it doesn't make much sense

to keep ipaplatform a namespace package.

The ipaplatform-*-nspkg.pth file for namespace package definition is

causing trouble with local testing on developer boxes.

Fixes: https://pagure.io/freeipa/issue/8309

See: https://pagure.io/freeipa/issue/6474

Signed-off-by: Christian Heimes <cheimes@redhat.com>

Reviewed-By: Alexander Bokovoy <abokovoy@redhat.com>

</pre>

</li>

<li>

<strong><a href="https://salsa.debian.org/freeipa-team/freeipa/-/commit/7b39e5fbd8db10b5af3402e2c88194e351486614">7b39e5fb</a></strong>

<div>

<span>by Florence Blanc-Renaud</span>

<i>at 2020-05-06T08:55:28+02:00</i>

</div>

<pre class="commit-message" style="white-space: pre-wrap; margin: 0;">ipatests: enable 389-ds audit log and collect audit file

In test_integration, enable 389-ds audit log and auditfail log by setting

nsslapd-auditlog-logging-enabled: on

nsslapd-auditfaillog-logging-enabled: on

and collect the generated audit file. This will help troubleshoot failures

related to DS.

Fixes: https://pagure.io/freeipa/issue/8064

Reviewed-By: Rob Crittenden <rcritten@redhat.com>

Reviewed-By: Christian Heimes <cheimes@redhat.com>

</pre>

</li>

<li>

<strong><a href="https://salsa.debian.org/freeipa-team/freeipa/-/commit/295d207245a626e57e1024504ba9e0098081adbc">295d2072</a></strong>

<div>

<span>by Stanislav Levin</span>

<i>at 2020-05-06T08:55:28+02:00</i>

</div>

<pre class="commit-message" style="white-space: pre-wrap; margin: 0;">ipatests: Cleanup 'collect_logs' decorator

The last usage of 'collect_logs' decorator has been removed

in 1d70ce850e9. So, it could be safely removed.

Fixes: https://pagure.io/freeipa/issue/8265

Signed-off-by: Stanislav Levin <slev@altlinux.org>

Reviewed-By: Rob Crittenden <rcritten@redhat.com>

Signed-off-by: Stanislav Levin <slev@altlinux.org>

Reviewed-By: Christian Heimes <cheimes@redhat.com>

</pre>

</li>

<li>

<strong><a href="https://salsa.debian.org/freeipa-team/freeipa/-/commit/5da643f1b270ccad3a261ff700ddc163ea60bc93">5da643f1</a></strong>

<div>

<span>by Stanislav Levin</span>

<i>at 2020-05-06T08:55:28+02:00</i>

</div>

<pre class="commit-message" style="white-space: pre-wrap; margin: 0;">ipatests: Pretty print multihost config

The printing of string representation of multihost config is useless.

For example,

```

<ipatests.pytest_ipa.integration.config.Config object at 0x7fe017d9dc70>

```

The dictionary representation of such looks better:

```

[ipatests.pytest_ipa.integration] {'ad_admin_name': 'Administrator',

 'ad_admin_password': 'Secret123',

 'admin_name': 'admin',

 'admin_password': 'Secret123',

 'dirman_dn': 'cn=Directory Manager',

 'dirman_password': 'Secret123',

 'dns_forwarder': '8.8.8.8',

 'domain_level': 1,

 'domains': [{'hosts': [{'external_hostname': 'master1.ipa.test',

                         'ip': '172.19.0.2',

                         'name': 'master1.ipa.test',

                         'role': 'master'},

                        {'external_hostname': 'replica1.ipa.test',

                         'ip': '172.19.0.3',

                         'name': 'replica1.ipa.test',

                         'role': 'replica'},

...

```

Fixes: https://pagure.io/freeipa/issue/8265

Signed-off-by: Stanislav Levin <slev@altlinux.org>

Reviewed-By: Rob Crittenden <rcritten@redhat.com>

Signed-off-by: Stanislav Levin <slev@altlinux.org>

Reviewed-By: Christian Heimes <cheimes@redhat.com>

</pre>

</li>

<li>

<strong><a href="https://salsa.debian.org/freeipa-team/freeipa/-/commit/736b8ba5a0c4cfbb0a158d9eae800ae843281b9c">736b8ba5</a></strong>

<div>

<span>by Stanislav Levin</span>

<i>at 2020-05-06T08:55:28+02:00</i>

</div>

<pre class="commit-message" style="white-space: pre-wrap; margin: 0;">ipatests: Collect all logs on all Unix hosts

Each integration test entity sets up its own list of logfiles.

This is made by calling the callback of host's 'collect_log',

which knows nothing about the context of execution: whether it's

the test class scope or the test method one. Of course, in this

case one-time collection of test method log is not supported

because the logs tracker collects only test class logs.

    In the meantime, almost all the entities (except 'client')

collect identical logs. Besides, due to the IPA roles

transformation an each IPA host can become master, replica or

client, all of these, in turn, can have subroles. So, the

most common case is the collection of all the possible logs from

all the IPA (Unix) hosts. However, the customization of a logfiles

collection is possible.

    The collection is performed with the help of 'integration_logs'

fixture. For example, to add a logfile to list of logs on a test

completion one should add the dependency on this fixture and call

its 'collect_method_log' method.

    ```

    class TestFoo(IntegrationTest):

        def test_foo(self):

            pass

        def test_bar(self, integration_logs):

            integration_logs.collect_method_log(self.master, '/logfile')

    ```

    Collected logs:

    1) 'test_foo' - default logs

    2) 'test_bar' - default logs + /logfile

    3) 'TestFoo' - default logs

Fixes: https://pagure.io/freeipa/issue/8265

Signed-off-by: Stanislav Levin <slev@altlinux.org>

Reviewed-By: Rob Crittenden <rcritten@redhat.com>

Signed-off-by: Stanislav Levin <slev@altlinux.org>

Reviewed-By: Christian Heimes <cheimes@redhat.com>

</pre>

</li>

<li>

<strong><a href="https://salsa.debian.org/freeipa-team/freeipa/-/commit/97581ec6b3ccb2043f1ad0f26589467badae3819">97581ec6</a></strong>

<div>

<span>by Stanislav Levin</span>

<i>at 2020-05-06T08:55:28+02:00</i>

</div>

<pre class="commit-message" style="white-space: pre-wrap; margin: 0;">Azure: Increase memory limit

Azure host has 6 GB of physical memory + 7 GB of swap.

FreeIPA CI runs at least 5 masters on each Azure's host.

Thus, swap is intensively used.

Based on the available *physical* memory 389-ds performs db tweaks

and in future may fail to start in case of memory shortage.

Current memory limit for Azure Docker containers(master/replica):

- Physical

$ cat /sys/fs/cgroup/memory/memory.limit_in_bytes

1610612736

- Physical + swap:

$ cat /sys/fs/cgroup/memory/memory.memsw.limit_in_bytes

3221225472

In the meantime, installation of master + ca + kra + dnssec requires:

$ cat /sys/fs/cgroup/memory/memory.max_usage_in_bytes

1856929792

Some test environments require more memory.

For example, 'ipatests.test_integration.test_commands.TestIPACommand':

$ cat /sys/fs/cgroup/memory/memory.memsw.max_usage_in_bytes

2232246272

$ cat /sys/fs/cgroup/memory/memory.max_usage_in_bytes

2232246272

Fixes: https://pagure.io/freeipa/issue/8264

Signed-off-by: Stanislav Levin <slev@altlinux.org>

Reviewed-By: Rob Crittenden <rcritten@redhat.com>

Signed-off-by: Stanislav Levin <slev@altlinux.org>

Reviewed-By: Christian Heimes <cheimes@redhat.com>

</pre>

</li>

<li>

<strong><a href="https://salsa.debian.org/freeipa-team/freeipa/-/commit/c5c52bfe3f9a1e1b0d2043d3e7f7fe5aa18d9fb6">c5c52bfe</a></strong>

<div>

<span>by Christian Heimes</span>

<i>at 2020-05-06T09:13:32+02:00</i>

</div>

<pre class="commit-message" style="white-space: pre-wrap; margin: 0;">Fix make devcheck

A new test case was not picking up ``ipa-run-tests`` script.

Fixes: https://pagure.io/freeipa/issue/8307

Signed-off-by: Christian Heimes <cheimes@redhat.com>

Reviewed-By: Alexander Bokovoy <abokovoy@redhat.com>

</pre>

</li>

<li>

<strong><a href="https://salsa.debian.org/freeipa-team/freeipa/-/commit/a009b9e0342ca2633355fb9347855676110d678c">a009b9e0</a></strong>

<div>

<span>by Alexander Bokovoy</span>

<i>at 2020-05-06T09:14:29+02:00</i>

</div>

<pre class="commit-message" style="white-space: pre-wrap; margin: 0;">Add pytest.skip_if_container()

Reviewed-By: Christian Heimes <cheimes@redhat.com>

</pre>

</li>

<li>

<strong><a href="https://salsa.debian.org/freeipa-team/freeipa/-/commit/b8a1d130ad561acd3594c269dffa126f8242bd7a">b8a1d130</a></strong>

<div>

<span>by Alexander Bokovoy</span>

<i>at 2020-05-06T09:14:29+02:00</i>

</div>

<pre class="commit-message" style="white-space: pre-wrap; margin: 0;">Azure Pipelines: Override services known to not work in containers

Chrony daemon tries to use adjtimex() which doesn't work in the

container we run in Docker environment on Azure Pipelines.

nis-domainname also tries to modify kernel-specific parameter that

doesn't really work in runc-based containers.

Use systemd container detection to avoid starting these services in the

containers.

Signed-off-by: Alexander Bokovoy <abokovoy@redhat.com>

Reviewed-By: Christian Heimes <cheimes@redhat.com>

</pre>

</li>

<li>

<strong><a href="https://salsa.debian.org/freeipa-team/freeipa/-/commit/f66ef8484daef7ce08d38193a2dbd583a03ec28d">f66ef848</a></strong>

<div>

<span>by Alexander Bokovoy</span>

<i>at 2020-05-06T09:14:29+02:00</i>

</div>

<pre class="commit-message" style="white-space: pre-wrap; margin: 0;">Azure Pipelines: switch to Fedora 32

Reviewed-By: Christian Heimes <cheimes@redhat.com>

</pre>

</li>

<li>

<strong><a href="https://salsa.debian.org/freeipa-team/freeipa/-/commit/d758b6a4b9503da7c880dfa486fd68c4ee9f0c91">d758b6a4</a></strong>

<div>

<span>by Armando Neto</span>

<i>at 2020-05-06T09:15:04+02:00</i>

</div>

<pre class="commit-message" style="white-space: pre-wrap; margin: 0;">prci: update templates for new Fedora release

"previous" updated to Fedora 31

"latest" updated to Fedora 32

Signed-off-by: Armando Neto <abiagion@redhat.com>

Reviewed-By: Alexander Bokovoy <abokovoy@redhat.com>

</pre>

</li>

<li>

<strong><a href="https://salsa.debian.org/freeipa-team/freeipa/-/commit/c2893b84967630be483e4321a22a5d7157470788">c2893b84</a></strong>

<div>

<span>by Christian Heimes</span>

<i>at 2020-05-06T11:53:07+02:00</i>

</div>

<pre class="commit-message" style="white-space: pre-wrap; margin: 0;">Fix make devcheck

A new test case was not picking up ``ipa-run-tests`` script.

Fixes: https://pagure.io/freeipa/issue/8307

Signed-off-by: Christian Heimes <cheimes@redhat.com>

Reviewed-By: Alexander Bokovoy <abokovoy@redhat.com>

</pre>

</li>

<li>

<strong><a href="https://salsa.debian.org/freeipa-team/freeipa/-/commit/4b83c2a9e4afdfddc45d639eaf0c3aa7f92eb2a4">4b83c2a9</a></strong>

<div>

<span>by Mohammad Rizwan Yusuf</span>

<i>at 2020-05-06T12:02:51+02:00</i>

</div>

<pre class="commit-message" style="white-space: pre-wrap; margin: 0;">webui: check if notification area doesn't intercept menu button

Notification used to intercept the click on page for some element.

This test ensures that element is clickable.

related: https://pagure.io/freeipa/issue/8120

Signed-off-by: Mohammad Rizwan Yusuf <myusuf@redhat.com>

Reviewed-By: Sergey Orlov <sorlov@redhat.com>

</pre>

</li>

<li>

<strong><a href="https://salsa.debian.org/freeipa-team/freeipa/-/commit/0c02920529306aaa1a8be1fae185390e2e115859">0c029205</a></strong>

<div>

<span>by Mohammad Rizwan Yusuf</span>

<i>at 2020-05-06T12:02:51+02:00</i>

</div>

<pre class="commit-message" style="white-space: pre-wrap; margin: 0;">WebUI tests: fix PEP8 issues in test_webui/test_user.py

PEP8 fix for teat_webui/test_user.py. Errors involved:

- line > 79 character

- 2 blank line needed before class

- single space was needed between # and comment

Signed-off-by: Mohammad Rizwan Yusuf <myusuf@redhat.com>

Reviewed-By: Sergey Orlov <sorlov@redhat.com>

</pre>

</li>

<li>

<strong><a href="https://salsa.debian.org/freeipa-team/freeipa/-/commit/cf64295753e09df3e320a8a95c36db91f8bfa7b2">cf642957</a></strong>

<div>

<span>by Christian Heimes</span>

<i>at 2020-05-06T20:17:01+02:00</i>

</div>

<pre class="commit-message" style="white-space: pre-wrap; margin: 0;">Let GH auto-notify and auto-close stale PRs

Signed-off-by: Christian Heimes <cheimes@redhat.com>

Reviewed-By: Rafael Guterres Jeffman <rjeffman@redhat.com>

</pre>

</li>

<li>

<strong><a href="https://salsa.debian.org/freeipa-team/freeipa/-/commit/b68f98aa67e9b2d43efe6c6d101cb37d5cef5891">b68f98aa</a></strong>

<div>

<span>by Mohammad Rizwan Yusuf</span>

<i>at 2020-05-07T10:38:59-04:00</i>

</div>

<pre class="commit-message" style="white-space: pre-wrap; margin: 0;">webui: check if notification area doesn't intercept menu button

Notification used to intercept the click on page for some element.

This test ensures that element is clickable.

related: https://pagure.io/freeipa/issue/8120

Signed-off-by: Mohammad Rizwan Yusuf <myusuf@redhat.com>

Reviewed-By: Sergey Orlov <sorlov@redhat.com>

</pre>

</li>

<li>

<strong><a href="https://salsa.debian.org/freeipa-team/freeipa/-/commit/b626a79e831f644a8d6f21576f05a460787f8e2b">b626a79e</a></strong>

<div>

<span>by Mohammad Rizwan Yusuf</span>

<i>at 2020-05-07T10:38:59-04:00</i>

</div>

<pre class="commit-message" style="white-space: pre-wrap; margin: 0;">WebUI tests: fix PEP8 issues in test_webui/test_user.py

PEP8 fix for teat_webui/test_user.py. Errors involved:

- line > 79 character

- 2 blank line needed before class

- single space was needed between # and comment

Signed-off-by: Mohammad Rizwan Yusuf <myusuf@redhat.com>

Reviewed-By: Sergey Orlov <sorlov@redhat.com>

</pre>

</li>

<li>

<strong><a href="https://salsa.debian.org/freeipa-team/freeipa/-/commit/2bfe5ff689163ab1b9763c86c2b0355a07b2c33c">2bfe5ff6</a></strong>

<div>

<span>by Christian Heimes</span>

<i>at 2020-05-07T11:00:55-04:00</i>

</div>

<pre class="commit-message" style="white-space: pre-wrap; margin: 0;">Use httpd 2.4 syntax for access control

The httpd options Allow, Deny, Order, and Satisfy are deprecated in

Apache httpd 2.4. These options are provided by the mod_access_compat

module and should no longer be used.

Replace "Allow from all" with "Require all granted".

Removal of "Satisfy Any" needs more investigation.

See: httpd.apache.org/docs/2.4/upgrading.html

See: httpd.apache.org/docs/2.4/mod/mod_access_compat.html

Fixes: pagure.io/freeipa/issue/8305

Signed-off-by: Christian Heimes <cheimes@redhat.com>

Reviewed-By: Rob Crittenden <rcritten@redhat.com>

</pre>

</li>

<li>

<strong><a href="https://salsa.debian.org/freeipa-team/freeipa/-/commit/898891677f6eac36d0d566c5bc8f9d3ca1e27ec6">89889167</a></strong>

<div>

<span>by Alexander Bokovoy</span>

<i>at 2020-05-08T09:35:01+03:00</i>

</div>

<pre class="commit-message" style="white-space: pre-wrap; margin: 0;">Add pytest.skip_if_container()

Reviewed-By: Christian Heimes <cheimes@redhat.com>

</pre>

</li>

<li>

<strong><a href="https://salsa.debian.org/freeipa-team/freeipa/-/commit/e37b3d8cf1d1a87dea32914067f4aac3e74b6a91">e37b3d8c</a></strong>

<div>

<span>by Alexander Bokovoy</span>

<i>at 2020-05-08T09:35:01+03:00</i>

</div>

<pre class="commit-message" style="white-space: pre-wrap; margin: 0;">Azure Pipelines: Override services known to not work in containers

Chrony daemon tries to use adjtimex() which doesn't work in the

container we run in Docker environment on Azure Pipelines.

nis-domainname also tries to modify kernel-specific parameter that

doesn't really work in runc-based containers.

Use systemd container detection to avoid starting these services in the

containers.

Signed-off-by: Alexander Bokovoy <abokovoy@redhat.com>

Reviewed-By: Christian Heimes <cheimes@redhat.com>

</pre>

</li>

<li>

<strong><a href="https://salsa.debian.org/freeipa-team/freeipa/-/commit/60ed4b09e1af597927ce471fc0d65b7809414292">60ed4b09</a></strong>

<div>

<span>by Alexander Bokovoy</span>

<i>at 2020-05-08T09:35:01+03:00</i>

</div>

<pre class="commit-message" style="white-space: pre-wrap; margin: 0;">Azure Pipelines: switch to Fedora 32

Reviewed-By: Christian Heimes <cheimes@redhat.com>

</pre>

</li>

<li>

<strong><a href="https://salsa.debian.org/freeipa-team/freeipa/-/commit/1b9233615e611f8ec52986a57ca50dfceb558c1a">1b923361</a></strong>

<div>

<span>by Alexander Bokovoy</span>

<i>at 2020-05-08T09:37:37+03:00</i>

</div>

<pre class="commit-message" style="white-space: pre-wrap; margin: 0;">kdb: initialize flags in ipadb_delete_principal()

Related: https://pagure.io/freeipa/issue/8291

Signed-off-by: Alexander Bokovoy <abokovoy@redhat.com>

Reviewed-By: Christian Heimes <cheimes@redhat.com>

Reviewed-By: Simo Sorce <ssorce@redhat.com>

</pre>

</li>

<li>

<strong><a href="https://salsa.debian.org/freeipa-team/freeipa/-/commit/999af8e2ef5330bfb488a20e2b7c669064b73d69">999af8e2</a></strong>

<div>

<span>by Alexander Bokovoy</span>

<i>at 2020-05-08T09:37:37+03:00</i>

</div>

<pre class="commit-message" style="white-space: pre-wrap; margin: 0;">kdb: fix memory handling in ipadb_find_principal

BER structure representing a string might not have termination '\0'

character, thus we should use length-bound functions to operate on it.

Memory handling of LDAP values was leaving previous vals over iteration.

Also, when freeing vals, we need to explicitly set it to NULL.

Fixes: https://pagure.io/freeipa/issue/8291

Signed-off-by: Alexander Bokovoy <abokovoy@redhat.com>

Reviewed-by: Simo Sorce <ssorce@redhat.com>

Reviewed-By: Christian Heimes <cheimes@redhat.com>

Reviewed-By: Simo Sorce <ssorce@redhat.com>

</pre>

</li>

<li>

<strong><a href="https://salsa.debian.org/freeipa-team/freeipa/-/commit/6fc213d10deacf107f5ca225a0095bdf215dc73b">6fc213d1</a></strong>

<div>

<span>by Alexander Bokovoy</span>

<i>at 2020-05-08T09:37:37+03:00</i>

</div>

<pre class="commit-message" style="white-space: pre-wrap; margin: 0;">test_smb: test that we can auth as NetBIOS alias

cifs/... principal on SMB server side has NetBIOS name of the SMB server

as its alias. Test that we can actually initialize credentials using

this alias. We don't need to use it anywhere in Samba, just verify that

alias works.

Related: https://pagure.io/freeipa/issue/8291

Signed-off-by: Alexander Bokovoy <abokovoy@redhat.com>

Reviewed-By: Christian Heimes <cheimes@redhat.com>

Reviewed-By: Simo Sorce <ssorce@redhat.com>

</pre>

</li>

<li>

<strong><a href="https://salsa.debian.org/freeipa-team/freeipa/-/commit/84d15da5b11e44db71bff5b487c57e1e32b97c7f">84d15da5</a></strong>

<div>

<span>by Christian Heimes</span>

<i>at 2020-05-08T10:48:44+03:00</i>

</div>

<pre class="commit-message" style="white-space: pre-wrap; margin: 0;">Use httpd 2.4 syntax for access control

The httpd options Allow, Deny, Order, and Satisfy are deprecated in

Apache httpd 2.4. These options are provided by the mod_access_compat

module and should no longer be used.

Replace "Allow from all" with "Require all granted".

Removal of "Satisfy Any" needs more investigation.

See: httpd.apache.org/docs/2.4/upgrading.html

See: httpd.apache.org/docs/2.4/mod/mod_access_compat.html

Fixes: pagure.io/freeipa/issue/8305

Signed-off-by: Christian Heimes <cheimes@redhat.com>

Reviewed-By: Rob Crittenden <rcritten@redhat.com>

</pre>

</li>

<li>

<strong><a href="https://salsa.debian.org/freeipa-team/freeipa/-/commit/aa341020c883b3d8e6117f6f515f5ed0e19c04e7">aa341020</a></strong>

<div>

<span>by Christian Heimes</span>

<i>at 2020-05-11T14:36:39+02:00</i>

</div>

<pre class="commit-message" style="white-space: pre-wrap; margin: 0;">Disable password schema update on LDAP bind

389-DS 1.4.1+ attempts to update passwords to new schema on LDAP bind. IPA

blocks hashed password updates and requires password changes to go through

proper APIs. This option disables password hashing schema updates on bind..

See: https://pagure.io/freeipa/issue/8315

See: https://bugzilla.redhat.com/show_bug.cgi?id=1833266

See: https://pagure.io/389-ds-base/issue/49421

Signed-off-by: Christian Heimes <cheimes@redhat.com>

Reviewed-By: Alexander Bokovoy <abokovoy@redhat.com>

</pre>

</li>

<li>

<strong><a href="https://salsa.debian.org/freeipa-team/freeipa/-/commit/27656669f7126ef92272530118d2d52122bb3008">27656669</a></strong>

<div>

<span>by Christian Heimes</span>

<i>at 2020-05-11T17:27:03+02:00</i>

</div>

<pre class="commit-message" style="white-space: pre-wrap; margin: 0;">Disable password schema update on LDAP bind

389-DS 1.4.1+ attempts to update passwords to new schema on LDAP bind. IPA

blocks hashed password updates and requires password changes to go through

proper APIs. This option disables password hashing schema updates on bind..

See: https://pagure.io/freeipa/issue/8315

See: https://bugzilla.redhat.com/show_bug.cgi?id=1833266

See: https://pagure.io/389-ds-base/issue/49421

Signed-off-by: Christian Heimes <cheimes@redhat.com>

Reviewed-By: Alexander Bokovoy <abokovoy@redhat.com>

</pre>

</li>

<li>

<strong><a href="https://salsa.debian.org/freeipa-team/freeipa/-/commit/d986e844bbd37ccc7a532175631a55acd315cda3">d986e844</a></strong>

<div>

<span>by Alexander Bokovoy</span>

<i>at 2020-05-12T09:50:28+02:00</i>

</div>

<pre class="commit-message" style="white-space: pre-wrap; margin: 0;">WebUI: use python3-rjsmin to minify JavaScript files

Fedora 33+ deprecated uglify-js. There are other alternatives which seem

to be fine for the minify task. Use python-rjsmin instead.

Fixes: https://pagure.io/freeipa/issue/8300

Signed-off-by: Alexander Bokovoy <abokovoy@redhat.com>

Reviewed-By: Christian Heimes <cheimes@redhat.com>

</pre>

</li>

<li>

<strong><a href="https://salsa.debian.org/freeipa-team/freeipa/-/commit/958e2458133c13219d8cd0d7618eba2b70b4be89">958e2458</a></strong>

<div>

<span>by Stanislav Levin</span>

<i>at 2020-05-12T09:51:50+02:00</i>

</div>

<pre class="commit-message" style="white-space: pre-wrap; margin: 0;">Azure: Add custom seccomp profile

This allows to override the default seccomp profile.

Custom profile was generated from the default one [0] by adding one

allowed system call 'clock_adjtime'. This one is indirectly used by

chronyd with recent glibc2.31.

[0]: https://github.com/containers/libpod/blob/master/seccomp.json

Fixes: https://pagure.io/freeipa/issue/8316

Signed-off-by: Stanislav Levin <slev@altlinux.org>

Reviewed-By: Christian Heimes <cheimes@redhat.com>

Reviewed-By: Alexander Bokovoy <abokovoy@redhat.com>

</pre>

</li>

<li>

<strong><a href="https://salsa.debian.org/freeipa-team/freeipa/-/commit/8882fc49d07dad75368a6f0e39d77ede3cc06b83">8882fc49</a></strong>

<div>

<span>by Stanislav Levin</span>

<i>at 2020-05-12T09:51:50+02:00</i>

</div>

<pre class="commit-message" style="white-space: pre-wrap; margin: 0;">Azure: Allow chronyd to sync time

Though time namespace support was added in Linux kernel 5.6, it

is not landed on Azure VM (Ubuntu) yet.

The syncing time stuff is required by IPA NTP tests. it's

acceptable for testing 1 IPA environment on 1 Azure VM for such

tests.

Fixes: https://pagure.io/freeipa/issue/8316

Signed-off-by: Stanislav Levin <slev@altlinux.org>

Reviewed-By: Christian Heimes <cheimes@redhat.com>

Reviewed-By: Alexander Bokovoy <abokovoy@redhat.com>

</pre>

</li>

<li>

<strong><a href="https://salsa.debian.org/freeipa-team/freeipa/-/commit/4de1586ec3bb220f63a0889fbf8c09667ba87788">4de1586e</a></strong>

<div>

<span>by Alexander Bokovoy</span>

<i>at 2020-05-12T09:53:17+02:00</i>

</div>

<pre class="commit-message" style="white-space: pre-wrap; margin: 0;">kdb: initialize flags in ipadb_delete_principal()

Related: https://pagure.io/freeipa/issue/8291

Signed-off-by: Alexander Bokovoy <abokovoy@redhat.com>

Reviewed-By: Christian Heimes <cheimes@redhat.com>

</pre>

</li>

<li>

<strong><a href="https://salsa.debian.org/freeipa-team/freeipa/-/commit/5c62fbd256798d6c9a0ec56bd12991e1c134ef3e">5c62fbd2</a></strong>

<div>

<span>by Alexander Bokovoy</span>

<i>at 2020-05-12T09:53:17+02:00</i>

</div>

<pre class="commit-message" style="white-space: pre-wrap; margin: 0;">kdb: fix memory handling in ipadb_find_principal

BER structure representing a string might not have termination '\0'

character, thus we should use length-bound functions to operate on it.

Memory handling of LDAP values was leaving previous vals over iteration.

Also, when freeing vals, we need to explicitly set it to NULL.

Fixes: https://pagure.io/freeipa/issue/8291

Signed-off-by: Alexander Bokovoy <abokovoy@redhat.com>

Reviewed-by: Simo Sorce <ssorce@redhat.com>

Reviewed-By: Christian Heimes <cheimes@redhat.com>

</pre>

</li>

<li>

<strong><a href="https://salsa.debian.org/freeipa-team/freeipa/-/commit/77c2e425cc82bb34847ea8f1456e69f098a071c5">77c2e425</a></strong>

<div>

<span>by Alexander Bokovoy</span>

<i>at 2020-05-12T09:53:17+02:00</i>

</div>

<pre class="commit-message" style="white-space: pre-wrap; margin: 0;">test_smb: test that we can auth as NetBIOS alias

cifs/... principal on SMB server side has NetBIOS name of the SMB server

as its alias. Test that we can actually initialize credentials using

this alias. We don't need to use it anywhere in Samba, just verify that

alias works.

Related: https://pagure.io/freeipa/issue/8291

Signed-off-by: Alexander Bokovoy <abokovoy@redhat.com>

Reviewed-By: Christian Heimes <cheimes@redhat.com>

</pre>

</li>

<li>

<strong><a href="https://salsa.debian.org/freeipa-team/freeipa/-/commit/b6fbee53bcdbbdcf630f1594123ca01fa9a4ca27">b6fbee53</a></strong>

<div>

<span>by Stanislav Levin</span>

<i>at 2020-05-13T11:04:45+02:00</i>

</div>

<pre class="commit-message" style="white-space: pre-wrap; margin: 0;">Azure: Always update apt cache

Signed-off-by: Stanislav Levin <slev@altlinux.org>

Reviewed-By: Christian Heimes <cheimes@redhat.com>

</pre>

</li>

<li>

<strong><a href="https://salsa.debian.org/freeipa-team/freeipa/-/commit/831de842a7eca0df44367d8cb182cedc53680d77">831de842</a></strong>

<div>

<span>by Alexander Bokovoy</span>

<i>at 2020-05-13T11:06:26+02:00</i>

</div>

<pre class="commit-message" style="white-space: pre-wrap; margin: 0;">WebUI: use python3-rjsmin to minify JavaScript files

Fedora 33+ deprecated uglify-js. There are other alternatives which seem

to be fine for the minify task. Use python-rjsmin instead.

Fixes: https://pagure.io/freeipa/issue/8300

Signed-off-by: Alexander Bokovoy <abokovoy@redhat.com>

Reviewed-By: Christian Heimes <cheimes@redhat.com>

</pre>

</li>

<li>

<strong><a href="https://salsa.debian.org/freeipa-team/freeipa/-/commit/fd58bac1c3feeb7f64c97278e841c553f026e917">fd58bac1</a></strong>

<div>

<span>by Stanislav Levin</span>

<i>at 2020-05-13T11:07:43+02:00</i>

</div>

<pre class="commit-message" style="white-space: pre-wrap; margin: 0;">Azure: Add custom seccomp profile

This allows to override the default seccomp profile.

Custom profile was generated from the default one [0] by adding one

allowed system call 'clock_adjtime'. This one is indirectly used by

chronyd with recent glibc2.31.

[0]: https://github.com/containers/libpod/blob/master/seccomp.json

Fixes: https://pagure.io/freeipa/issue/8316

Signed-off-by: Stanislav Levin <slev@altlinux.org>

Reviewed-By: Alexander Bokovoy <abokovoy@redhat.com>

</pre>

</li>

<li>

<strong><a href="https://salsa.debian.org/freeipa-team/freeipa/-/commit/9d01875d12c20855d4be1351717ee4105e34e5ac">9d01875d</a></strong>

<div>

<span>by Stanislav Levin</span>

<i>at 2020-05-13T11:07:43+02:00</i>

</div>

<pre class="commit-message" style="white-space: pre-wrap; margin: 0;">Azure: Allow chronyd to sync time

Though time namespace support was added in Linux kernel 5.6, it

is not landed on Azure VM (Ubuntu) yet.

The syncing time stuff is required by IPA NTP tests. it's

acceptable for testing 1 IPA environment on 1 Azure VM for such

tests.

Fixes: https://pagure.io/freeipa/issue/8316

Signed-off-by: Stanislav Levin <slev@altlinux.org>

Reviewed-By: Alexander Bokovoy <abokovoy@redhat.com>

</pre>

</li>

<li>

<strong><a href="https://salsa.debian.org/freeipa-team/freeipa/-/commit/273f580b95ac5a2cb91ce336cf82b085eb7929e0">273f580b</a></strong>

<div>

<span>by Stanislav Levin</span>

<i>at 2020-05-14T09:02:22+02:00</i>

</div>

<pre class="commit-message" style="white-space: pre-wrap; margin: 0;">Azure: Always update apt cache

Signed-off-by: Stanislav Levin <slev@altlinux.org>

Reviewed-By: Christian Heimes <cheimes@redhat.com>

</pre>

</li>

<li>

<strong><a href="https://salsa.debian.org/freeipa-team/freeipa/-/commit/555f8a038dae139ad161c5dab51e2378f8894b81">555f8a03</a></strong>

<div>

<span>by sumenon</span>

<i>at 2020-05-14T09:05:03+02:00</i>

</div>

<pre class="commit-message" style="white-space: pre-wrap; margin: 0;">ipatests: Added testcase to check that ipa-adtrust-install command runs successfully with locale set as LANG=en_IN.UTF-8

Issue: https://pagure.io/freeipa/issue/8066

Reviewed-By: Florence Blanc-Renaud <flo@redhat.com>

Reviewed-By: Rob Crittenden <rcritten@redhat.com>

Reviewed-By: Mohammad Rizwan Yusuf <myusuf@redhat.com>

</pre>

</li>

<li>

<strong><a href="https://salsa.debian.org/freeipa-team/freeipa/-/commit/c59106f005d520f1c84f12a15902cf005162d15c">c59106f0</a></strong>

<div>

<span>by sumenon</span>

<i>at 2020-05-14T16:19:24+02:00</i>

</div>

<pre class="commit-message" style="white-space: pre-wrap; margin: 0;">ipatests: Added testcase to check that ipa-adtrust-install command runs successfully with locale set as LANG=en_IN.UTF-8

Issue: https://pagure.io/freeipa/issue/8066

Reviewed-By: Florence Blanc-Renaud <flo@redhat.com>

Reviewed-By: Rob Crittenden <rcritten@redhat.com>

Reviewed-By: Mohammad Rizwan Yusuf <myusuf@redhat.com>

</pre>

</li>

<li>

<strong><a href="https://salsa.debian.org/freeipa-team/freeipa/-/commit/82ba4db11eaf8cb6ff3f2c4d2d228c14493a704c">82ba4db1</a></strong>

<div>

<span>by Christian Heimes</span>

<i>at 2020-05-14T17:55:59+02:00</i>

</div>

<pre class="commit-message" style="white-space: pre-wrap; margin: 0;">Make api.env.mode consistent

* use "developer" in Azure

* fix man page: "development" to "developer"

* list known modes in API bootstrap methods

Other values for mode are still supported to avoid breaking existing

installations.

Fixes: https://pagure.io/freeipa/issue/8313

Signed-off-by: Christian Heimes <cheimes@redhat.com>

Reviewed-By: Rob Crittenden <rcritten@redhat.com>

</pre>

</li>

<li>

<strong><a href="https://salsa.debian.org/freeipa-team/freeipa/-/commit/13c3997baa97b7974870cb2353caa4ced8f134d1">13c3997b</a></strong>

<div>

<span>by Christian Heimes</span>

<i>at 2020-05-14T18:16:20+02:00</i>

</div>

<pre class="commit-message" style="white-space: pre-wrap; margin: 0;">Fix detection logic for api.env.in_tree

The logic to detect in-tree builds was broken and ipatests/conftest.py

had hard-coded in_tree=True.

IPA now considers an environment as in-tree when the parent directory of

the ``ipalib`` package contains ``ipasetup.py.in``. This file is only

present in source and never installed.

API bootstrap() does not use ```self.site_packages in site.getsitepackages()``

because the function call can be expensive and would require path

normalization, too. The function is also missing from venv site module.

Fixes: https://pagure.io/freeipa/issue/8312

Signed-off-by: Christian Heimes <cheimes@redhat.com>

Reviewed-By: Rob Crittenden <rcritten@redhat.com>

</pre>

</li>

<li>

<strong><a href="https://salsa.debian.org/freeipa-team/freeipa/-/commit/0fa31ef123a544378f04a2177524c9f72181a812">0fa31ef1</a></strong>

<div>

<span>by Christian Heimes</span>

<i>at 2020-05-14T18:16:20+02:00</i>

</div>

<pre class="commit-message" style="white-space: pre-wrap; margin: 0;">Hard-code in_tree=True for tests

Some integration tests use internal option ``force``. Re-add

``in_tree=True`` to make the tests pass until Pagure#8317 is fixed.

See: https://pagure.io/freeipa/issue/8317

Signed-off-by: Christian Heimes <cheimes@redhat.com>

Reviewed-By: Rob Crittenden <rcritten@redhat.com>

</pre>

</li>

<li>

<strong><a href="https://salsa.debian.org/freeipa-team/freeipa/-/commit/3234892336f9bf1775127fb19504110c8dec70b1">32348923</a></strong>

<div>

<span>by Christian Heimes</span>

<i>at 2020-05-14T19:37:13+02:00</i>

</div>

<pre class="commit-message" style="white-space: pre-wrap; margin: 0;">Make api.env.mode consistent

* use "developer" in Azure

* fix man page: "development" to "developer"

* list known modes in API bootstrap methods

Other values for mode are still supported to avoid breaking existing

installations.

Fixes: https://pagure.io/freeipa/issue/8313

Signed-off-by: Christian Heimes <cheimes@redhat.com>

Reviewed-By: Rob Crittenden <rcritten@redhat.com>

</pre>

</li>

<li>

<strong><a href="https://salsa.debian.org/freeipa-team/freeipa/-/commit/6cd2d44707c69b6c83c0eaae3a94d6f64c6c1622">6cd2d447</a></strong>

<div>

<span>by Christian Heimes</span>

<i>at 2020-05-14T19:39:17+02:00</i>

</div>

<pre class="commit-message" style="white-space: pre-wrap; margin: 0;">Fix detection logic for api.env.in_tree

The logic to detect in-tree builds was broken and ipatests/conftest.py

had hard-coded in_tree=True.

IPA now considers an environment as in-tree when the parent directory of

the ``ipalib`` package contains ``ipasetup.py.in``. This file is only

present in source and never installed.

API bootstrap() does not use ```self.site_packages in site.getsitepackages()``

because the function call can be expensive and would require path

normalization, too. The function is also missing from venv site module.

Fixes: https://pagure.io/freeipa/issue/8312

Signed-off-by: Christian Heimes <cheimes@redhat.com>

Reviewed-By: Rob Crittenden <rcritten@redhat.com>

</pre>

</li>

<li>

<strong><a href="https://salsa.debian.org/freeipa-team/freeipa/-/commit/834b04b91dff670d3f0feb1b403705074a8f3d5b">834b04b9</a></strong>

<div>

<span>by Christian Heimes</span>

<i>at 2020-05-14T19:39:17+02:00</i>

</div>

<pre class="commit-message" style="white-space: pre-wrap; margin: 0;">Hard-code in_tree=True for tests

Some integration tests use internal option ``force``. Re-add

``in_tree=True`` to make the tests pass until Pagure#8317 is fixed.

See: https://pagure.io/freeipa/issue/8317

Signed-off-by: Christian Heimes <cheimes@redhat.com>

Reviewed-By: Rob Crittenden <rcritten@redhat.com>

</pre>

</li>

<li>

<strong><a href="https://salsa.debian.org/freeipa-team/freeipa/-/commit/1f82d281ccb4eb823ec5086f107410d7f8100c7d">1f82d281</a></strong>

<div>

<span>by Alexander Bokovoy</span>

<i>at 2020-05-14T21:47:17+03:00</i>

</div>

<pre class="commit-message" style="white-space: pre-wrap; margin: 0;">service delegation: allow to add and remove host principals

Service delegation rules and targets deal with Kerberos principals.

As FreeIPA has separate service objects for hosts and Kerberos services,

it is not possible to specify host principal in the service delegation

rule or a target because the code assumes it always operates on Kerberos

service objects.

Simplify the code to add and remove members from delegation rules and

targets. New code looks up a name of the principal in cn=accounts,$BASEDN

as a krbPrincipalName attribute of an object with krbPrincipalAux object

class. This search path is optimized already for Kerberos KDC driver.

To support host principals, the specified principal name is checked to

have only one component (a host name). Service principals have more than

one component, typically service name and a host name, separated by '/'

sign. If the principal name has only one component, the name is

prepended with 'host/' to be able to find a host principal.

The logic described above allows to capture also aliases of both

Kerberos service and host principals. Additional check was added to

allow specifying single-component aliases ending with '$' sign. These

are typically used for Active Directory-related services like databases

or file services.

RN: service delegation rules and targets now allow to specify hosts as

RN: a rule or a target's member principal.

Fixes: https://pagure.io/freeipa/issue/8289

Signed-off-by: Alexander Bokovoy <abokovoy@redhat.com>

Reviewed-By: Rob Crittenden <rcritten@redhat.com>

Reviewed-By: Christian Heimes <cheimes@redhat.com>

</pre>

</li>

<li>

<strong><a href="https://salsa.debian.org/freeipa-team/freeipa/-/commit/c8009e1caf141d57f68590bd60e1966d46090481">c8009e1c</a></strong>

<div>

<span>by Alexander Bokovoy</span>

<i>at 2020-05-15T09:31:40+03:00</i>

</div>

<pre class="commit-message" style="white-space: pre-wrap; margin: 0;">service delegation: allow to add and remove host principals

Service delegation rules and targets deal with Kerberos principals.

As FreeIPA has separate service objects for hosts and Kerberos services,

it is not possible to specify host principal in the service delegation

rule or a target because the code assumes it always operates on Kerberos

service objects.

Simplify the code to add and remove members from delegation rules and

targets. New code looks up a name of the principal in cn=accounts,$BASEDN

as a krbPrincipalName attribute of an object with krbPrincipalAux object

class. This search path is optimized already for Kerberos KDC driver.

To support host principals, the specified principal name is checked to

have only one component (a host name). Service principals have more than

one component, typically service name and a host name, separated by '/'

sign. If the principal name has only one component, the name is

prepended with 'host/' to be able to find a host principal.

The logic described above allows to capture also aliases of both

Kerberos service and host principals. Additional check was added to

allow specifying single-component aliases ending with '$' sign. These

are typically used for Active Directory-related services like databases

or file services.

RN: service delegation rules and targets now allow to specify hosts as

RN: a rule or a target's member principal.

Fixes: https://pagure.io/freeipa/issue/8289

Signed-off-by: Alexander Bokovoy <abokovoy@redhat.com>

Reviewed-By: Rob Crittenden <rcritten@redhat.com>

Reviewed-By: Christian Heimes <cheimes@redhat.com>

</pre>

</li>

<li>

<strong><a href="https://salsa.debian.org/freeipa-team/freeipa/-/commit/8de73c1590de048eb6cfc3c56acfe737ca78b8a9">8de73c15</a></strong>

<div>

<span>by Christian Heimes</span>

<i>at 2020-05-15T14:24:00+02:00</i>

</div>

<pre class="commit-message" style="white-space: pre-wrap; margin: 0;">Check for freeipa-server-dns package early

The ``--setup-dns`` knob and interactive installer now check for

presence of freeipa-server-dns early and stop the installer with an

error.

```

$ ipa-server-install

...

Do you want to configure integrated DNS (BIND)? [no]: yes

Integrated DNS requires 'freeipa-server-dns' package

The ipa-server-install command failed. See /var/log/ipaserver-install.log for more information

```

```

$ ipa-server-install --setup-dns

Usage: ipa-server-install [options]

ipa-server-install: error: option setup-dns: Integrated DNS requires 'freeipa-server-dns' package

The ipa-server-install command failed.

```

Fixes: https://pagure.io/freeipa/issue/7577

Signed-off-by: Christian Heimes <cheimes@redhat.com>

Reviewed-By: Rob Crittenden <rcritten@redhat.com>

</pre>

</li>

<li>

<strong><a href="https://salsa.debian.org/freeipa-team/freeipa/-/commit/f16a4b06b76412ac22763ca9e0a53d3560bfe4c1">f16a4b06</a></strong>

<div>

<span>by Christian Heimes</span>

<i>at 2020-05-15T17:13:45+02:00</i>

</div>

<pre class="commit-message" style="white-space: pre-wrap; margin: 0;">Check for freeipa-server-dns package early

The ``--setup-dns`` knob and interactive installer now check for

presence of freeipa-server-dns early and stop the installer with an

error.

```

$ ipa-server-install

...

Do you want to configure integrated DNS (BIND)? [no]: yes

Integrated DNS requires 'freeipa-server-dns' package

The ipa-server-install command failed. See /var/log/ipaserver-install.log for more information

```

```

$ ipa-server-install --setup-dns

Usage: ipa-server-install [options]

ipa-server-install: error: option setup-dns: Integrated DNS requires 'freeipa-server-dns' package

The ipa-server-install command failed.

```

Fixes: https://pagure.io/freeipa/issue/7577

Signed-off-by: Christian Heimes <cheimes@redhat.com>

Reviewed-By: Rob Crittenden <rcritten@redhat.com>

</pre>

</li>

<li>

<strong><a href="https://salsa.debian.org/freeipa-team/freeipa/-/commit/33ca0745585ae3fcd466631a069e244bea74be88">33ca0745</a></strong>

<div>

<span>by Serhii Tsymbaliuk</span>

<i>at 2020-05-15T18:03:01+02:00</i>

</div>

<pre class="commit-message" style="white-space: pre-wrap; margin: 0;">WebUI: Add confirmation dialog for changing default user/host group

Changing default group on automember rules page is too easy.

Add a confirmation dialog to avoid misclick in the case.

Ticket: https://pagure.io/freeipa/issue/8322

Signed-off-by: Serhii Tsymbaliuk <stsymbal@redhat.com>

Reviewed-By: Florence Blanc-Renaud <flo@redhat.com>

</pre>

</li>

<li>

<strong><a href="https://salsa.debian.org/freeipa-team/freeipa/-/commit/3645854c11b0489215a27077a633755638f00268">3645854c</a></strong>

<div>

<span>by Serhii Tsymbaliuk</span>

<i>at 2020-05-15T18:03:01+02:00</i>

</div>

<pre class="commit-message" style="white-space: pre-wrap; margin: 0;">WebUI tests: Add confirmation step after changing default group in automember tests

Ticket: https://pagure.io/freeipa/issue/8322

Signed-off-by: Serhii Tsymbaliuk <stsymbal@redhat.com>

Reviewed-By: Florence Blanc-Renaud <flo@redhat.com>

</pre>

</li>

<li>

<strong><a href="https://salsa.debian.org/freeipa-team/freeipa/-/commit/5d3364a543a65eaa6ed94005cdab6dd1d3745c49">5d3364a5</a></strong>

<div>

<span>by Serhii Tsymbaliuk</span>

<i>at 2020-05-18T09:05:02+02:00</i>

</div>

<pre class="commit-message" style="white-space: pre-wrap; margin: 0;">WebUI: Add confirmation dialog for changing default user/host group

Changing default group on automember rules page is too easy.

Add a confirmation dialog to avoid misclick in the case.

Ticket: https://pagure.io/freeipa/issue/8322

Signed-off-by: Serhii Tsymbaliuk <stsymbal@redhat.com>

Reviewed-By: Florence Blanc-Renaud <flo@redhat.com>

</pre>

</li>

<li>

<strong><a href="https://salsa.debian.org/freeipa-team/freeipa/-/commit/d8c8ba7d476b4f2a9a03be5bebe8a75a8a5028a1">d8c8ba7d</a></strong>

<div>

<span>by Serhii Tsymbaliuk</span>

<i>at 2020-05-18T09:05:02+02:00</i>

</div>

<pre class="commit-message" style="white-space: pre-wrap; margin: 0;">WebUI tests: Add confirmation step after changing default group in automember tests

Ticket: https://pagure.io/freeipa/issue/8322

Signed-off-by: Serhii Tsymbaliuk <stsymbal@redhat.com>

Reviewed-By: Florence Blanc-Renaud <flo@redhat.com>

</pre>

</li>

<li>

<strong><a href="https://salsa.debian.org/freeipa-team/freeipa/-/commit/f3e117156436bbf715232bea730a9172c14a8c1f">f3e11715</a></strong>

<div>

<span>by Christian Heimes</span>

<i>at 2020-05-18T14:45:31+02:00</i>

</div>

<pre class="commit-message" style="white-space: pre-wrap; margin: 0;">Explain the effect of OPT_X_TLS_PROTOCOL_MIN

OpenLDAP 2.4 sets minimum version with SSL_CTX_set_options(). The

system-wide crypto-policies for TLS minimum version are applied

with SSL_CTX_set_min_proto_version(). The set_option() call cannot

not enable lower versions than allowed by crypto-policy, e.g.

openssl.cnf MinProtocol=TLS1.2 + OPT_X_TLS_PROTOCOL_MIN=TLS1.0

result in TLS 1.2 as minimum protocol version.

Signed-off-by: Christian Heimes <cheimes@redhat.com>

Reviewed-By: Florence Blanc-Renaud <frenaud@redhat.com>

</pre>

</li>

<li>

<strong><a href="https://salsa.debian.org/freeipa-team/freeipa/-/commit/87377493bd67939d6e90f08d1e26d1fc3bcfd708">87377493</a></strong>

<div>

<span>by Mohammad Rizwan Yusuf</span>

<i>at 2020-05-18T14:46:28+02:00</i>

</div>

<pre class="commit-message" style="white-space: pre-wrap; margin: 0;">Display principal name while del required principal

Fix is to display the proper principal in error message

while attempting to delete required principal.

related: https://pagure.io/freeipa/issue/7695

Signed-off-by: Mohammad Rizwan Yusuf <myusuf@redhat.com>

Reviewed-By: Christian Heimes <cheimes@redhat.com>

Reviewed-By: Rob Crittenden <rcritten@redhat.com>

Reviewed-By: Christian Heimes <cheimes@redhat.com>

</pre>

</li>

<li>

<strong><a href="https://salsa.debian.org/freeipa-team/freeipa/-/commit/f0ef4180cfb7616482f8ded16ad5c46fcf9f5286">f0ef4180</a></strong>

<div>

<span>by Mohammad Rizwan Yusuf</span>

<i>at 2020-05-18T14:46:28+02:00</i>

</div>

<pre class="commit-message" style="white-space: pre-wrap; margin: 0;">ipatests: Test deletion of required principal throws proper error

ipa service-del <Principal name> did not display proper principal

name which is being deleted in error message.

This test check if it throws error having proper principal name.

related: https://pagure.io/freeipa/issue/7695

Signed-off-by: Mohammad Rizwan Yusuf <myusuf@redhat.com>

Reviewed-By: Christian Heimes <cheimes@redhat.com>

Reviewed-By: Rob Crittenden <rcritten@redhat.com>

Reviewed-By: Christian Heimes <cheimes@redhat.com>

</pre>

</li>

<li>

<strong><a href="https://salsa.debian.org/freeipa-team/freeipa/-/commit/47bddf4f458699f46b398d0969d5e3a348feed52">47bddf4f</a></strong>

<div>

<span>by Sumedh Sidhaye</span>

<i>at 2020-05-19T15:11:54+02:00</i>

</div>

<pre class="commit-message" style="white-space: pre-wrap; margin: 0;">Test for removing a subgroup

Problem description:

Removing an IPA sub-group should NOT remove the members

from indirect parent that also belong to other subgroups

The test:

A user and three groups are created groupa,groupb,groupc

'groupc' should be a child of 'groupb' so that you have groupa->groupb->groupc

user is direct member of 'groupa' and as a result member of 'groupb'

and 'groupc'. Now when one adds a direct membership to 'groupb' nothing will

change.

If one removes the direct membership to 'groupb' again,

nothing should change as well

Pagure Link: https://pagure.io/SSSD/sssd/issue/3636

Signed-off-by: Sumedh Sidhaye <ssidhaye@redhat.com>

Reviewed-By: Florence Blanc-Renaud <flo@redhat.com>

Reviewed-By: Mohammad Rizwan Yusuf <myusuf@redhat.com>

Reviewed-By: Fraser Tweedale <ftweedal@redhat.com>

Reviewed-By: Christian Heimes <cheimes@redhat.com>

</pre>

</li>

<li>

<strong><a href="https://salsa.debian.org/freeipa-team/freeipa/-/commit/32c6b02eedf1243aa3ae716e7526118fe14fae59">32c6b02e</a></strong>

<div>

<span>by Alexander Bokovoy</span>

<i>at 2020-05-19T11:58:56-04:00</i>

</div>

<pre class="commit-message" style="white-space: pre-wrap; margin: 0;">baseldap: de-duplicate passed attributes when checking for limits

LDAP attribute options aren't enforced in the schema, thus we strip them

when checking attribute conformance with the schema. This, however, can

leave us with a situation when multiple base LDAP attribute names are

present in the list of attribute names to check.

Use set of attribute names to deduplicate the list.

Fixes: https://pagure.io/freeipa/issue/8328

Signed-off-by: Alexander Bokovoy <abokovoy@redhat.com>

Reviewed-By: Christian Heimes <cheimes@redhat.com>

Reviewed-By: Rob Crittenden <rcritten@redhat.com>

</pre>

</li>

<li>

<strong><a href="https://salsa.debian.org/freeipa-team/freeipa/-/commit/363cb9fd7f3d8d57dcad91d92918bfb513164706">363cb9fd</a></strong>

<div>

<span>by Alexander Bokovoy</span>

<i>at 2020-05-20T09:16:47+02:00</i>

</div>

<pre class="commit-message" style="white-space: pre-wrap; margin: 0;">baseldap: de-duplicate passed attributes when checking for limits

LDAP attribute options aren't enforced in the schema, thus we strip them

when checking attribute conformance with the schema. This, however, can

leave us with a situation when multiple base LDAP attribute names are

present in the list of attribute names to check.

Use set of attribute names to deduplicate the list.

Fixes: https://pagure.io/freeipa/issue/8328

Signed-off-by: Alexander Bokovoy <abokovoy@redhat.com>

Reviewed-By: Christian Heimes <cheimes@redhat.com>

Reviewed-By: Rob Crittenden <rcritten@redhat.com>

</pre>

</li>

<li>

<strong><a href="https://salsa.debian.org/freeipa-team/freeipa/-/commit/c39a2e2bb90c0ccde9084edcfc17b0f29250a35b">c39a2e2b</a></strong>

<div>

<span>by Sumedh Sidhaye</span>

<i>at 2020-05-20T09:21:20+02:00</i>

</div>

<pre class="commit-message" style="white-space: pre-wrap; margin: 0;">Test for removing a subgroup

Problem description:

Removing an IPA sub-group should NOT remove the members

from indirect parent that also belong to other subgroups

The test:

A user and three groups are created groupa,groupb,groupc

'groupc' should be a child of 'groupb' so that you have groupa->groupb->groupc

user is direct member of 'groupa' and as a result member of 'groupb'

and 'groupc'. Now when one adds a direct membership to 'groupb' nothing will

change.

If one removes the direct membership to 'groupb' again,

nothing should change as well

Pagure Link: https://pagure.io/SSSD/sssd/issue/3636

Signed-off-by: Sumedh Sidhaye <ssidhaye@redhat.com>

Reviewed-By: Florence Blanc-Renaud <flo@redhat.com>

Reviewed-By: Mohammad Rizwan Yusuf <myusuf@redhat.com>

Reviewed-By: Fraser Tweedale <ftweedal@redhat.com>

Reviewed-By: Christian Heimes <cheimes@redhat.com>

</pre>

</li>

<li>

<strong><a href="https://salsa.debian.org/freeipa-team/freeipa/-/commit/3dd5053cdd55adf6888ef38bfc927fc255bd7019">3dd5053c</a></strong>

<div>

<span>by Florence Blanc-Renaud</span>

<i>at 2020-05-20T09:23:11+02:00</i>

</div>

<pre class="commit-message" style="white-space: pre-wrap; margin: 0;">ipatests: Check if user with 'User Administrator' role can delete group.

Test scenario:

- create a test user with the 'User Administrator' role

- as this test user, create a new group

- as this test user, delete the new group

Related: https://pagure.io/freeipa/issue/6884

Co-authored-by: Nikhil Dehadrai <ndehadra@redhat.com>

Signed-off-by: Florence Blanc-Renaud <flo@redhat.com>

Reviewed-By: Mohammad Rizwan Yusuf <myusuf@redhat.com>

</pre>

</li>

<li>

<strong><a href="https://salsa.debian.org/freeipa-team/freeipa/-/commit/a457b79d1e5af3c1bd1d9517db07c5a85154c932">a457b79d</a></strong>

<div>

<span>by Florence Blanc-Renaud</span>

<i>at 2020-05-20T14:30:17+02:00</i>

</div>

<pre class="commit-message" style="white-space: pre-wrap; margin: 0;">ipatests: Check if user with 'User Administrator' role can delete group.

Test scenario:

- create a test user with the 'User Administrator' role

- as this test user, create a new group

- as this test user, delete the new group

Related: https://pagure.io/freeipa/issue/6884

Co-authored-by: Nikhil Dehadrai <ndehadra@redhat.com>

Signed-off-by: Florence Blanc-Renaud <flo@redhat.com>

Reviewed-By: Mohammad Rizwan Yusuf <myusuf@redhat.com>

</pre>

</li>

<li>

<strong><a href="https://salsa.debian.org/freeipa-team/freeipa/-/commit/26f96595b010396f055c7d11a645be57fc637863">26f96595</a></strong>

<div>

<span>by Stanislav Levin</span>

<i>at 2020-05-22T21:12:03+03:00</i>

</div>

<pre class="commit-message" style="white-space: pre-wrap; margin: 0;">Azure: Make dnf repos consistent

Build container(image registry.fedoraproject.org/f32/fedora-toolbox)

has two more dnf repos enabled compared to Tests container(image

fedora:32). This results in the packages built within the Build

container can have dependencies which are unresolvable(missing)

within Tests container.

This enables updates-testing and updates-testing-modular,

disables fedora-cisco-openh264 for Tests container.

Fixes: https://pagure.io/freeipa/issue/8330

Signed-off-by: Stanislav Levin <slev@altlinux.org>

Reviewed-By: Alexander Bokovoy <abokovoy@redhat.com>

</pre>

</li>

<li>

<strong><a href="https://salsa.debian.org/freeipa-team/freeipa/-/commit/7f2bfd9f7bfdc9b9e260e45b725b92521565570b">7f2bfd9f</a></strong>

<div>

<span>by Stanislav Levin</span>

<i>at 2020-05-23T13:05:18+03:00</i>

</div>

<pre class="commit-message" style="white-space: pre-wrap; margin: 0;">Azure: Make dnf repos consistent

Build container(image registry.fedoraproject.org/f32/fedora-toolbox)

has two more dnf repos enabled compared to Tests container(image

fedora:32). This results in the packages built within the Build

container can have dependencies which are unresolvable(missing)

within Tests container.

This enables updates-testing and updates-testing-modular,

disables fedora-cisco-openh264 for Tests container.

Fixes: https://pagure.io/freeipa/issue/8330

Signed-off-by: Stanislav Levin <slev@altlinux.org>

Reviewed-By: Alexander Bokovoy <abokovoy@redhat.com>

</pre>

</li>

<li>

<strong><a href="https://salsa.debian.org/freeipa-team/freeipa/-/commit/7bef36de644a055ac6b0844ae17aa6526a87bc61">7bef36de</a></strong>

<div>

<span>by Serhii Tsymbaliuk</span>

<i>at 2020-05-26T13:33:57+02:00</i>

</div>

<pre class="commit-message" style="white-space: pre-wrap; margin: 0;">WebUI: Add authentication indicator specific fields to "Kerberos Ticket Policy" page

Ticket: https://pagure.io/freeipa/issue/8207

Signed-off-by: Serhii Tsymbaliuk <stsymbal@redhat.com>

Reviewed-By: Petr Vobornik <pvoborni@redhat.com>

</pre>

</li>

<li>

<strong><a href="https://salsa.debian.org/freeipa-team/freeipa/-/commit/e668b61fd2843edc4863d39f9707fd7993571b2e">e668b61f</a></strong>

<div>

<span>by Serhii Tsymbaliuk</span>

<i>at 2020-05-26T13:33:57+02:00</i>

</div>

<pre class="commit-message" style="white-space: pre-wrap; margin: 0;">WebUI tests: Test all available fields on "Kerberos Ticket Policy" page

Ticket: https://pagure.io/freeipa/issue/8207

Signed-off-by: Serhii Tsymbaliuk <stsymbal@redhat.com>

Reviewed-By: Petr Vobornik <pvoborni@redhat.com>

</pre>

</li>

<li>

<strong><a href="https://salsa.debian.org/freeipa-team/freeipa/-/commit/0317255b5329e4ff3e1aa4a86b52b60d30f4614b">0317255b</a></strong>

<div>

<span>by Alexander Bokovoy</span>

<i>at 2020-05-27T17:57:39+03:00</i>

</div>

<pre class="commit-message" style="white-space: pre-wrap; margin: 0;">ipa-kdb: add UPN_DNS_INFO PAC structure

UPN_DNS_INFO structure contains the client's user principal name (UPN)

and a fully qualified domain name. It is used to provide the UPN and the

FQDN that corresponds to the client of the ticket.

The structure is defined in MS-PAC section 2.10. MS-KILE specification

says in the section 3.3.5.6.4.5 that KDCs should return this buffer. It

further clarifies in section 3.3.5.2 that if the user account object has no

userPrincipalName attribute, UPN_DNS_INFO should be constructed by

concatenating user name, the "@" symbol, and the DNS name of the domain.

IPA users don't really have userPrincipalName attribute. Instead, we

always construct their account names in LOGON Info3 structure by

unparsing the canonical principal name without realm, meaning that user

principal can be recovered by concatenating the account name and the

realm (domain).

Unless the account name and unparsed client principal name are different

or the primary Info3 gid (group RID) is the one for machine accounts,

mark the UPN as constructed.

Related: https://pagure.io/freeipa/issue/8319

Signed-off-by: Alexander Bokovoy <abokovoy@redhat.com>

Reviewed-By: Isaac Boukris <iboukris@redhat.com>

Reviewed-By: Florence Blanc-Renaud <flo@redhat.com>

</pre>

</li>

<li>

<strong><a href="https://salsa.debian.org/freeipa-team/freeipa/-/commit/23a49538f1d4e5cd01cc867bcfede73f3008aa74">23a49538</a></strong>

<div>

<span>by Alexander Bokovoy</span>

<i>at 2020-05-27T17:57:39+03:00</i>

</div>

<pre class="commit-message" style="white-space: pre-wrap; margin: 0;">ipa-print-pac: acquire and print PAC record for a user

Helper utility to investigate PAC content of users in trusted

environments. Supports direct ticket acquisition and S4U2Self protocol

transition.

1. Direct ticket acquisition

In direct ticket acquisition mode the utility first does one of the

following actions:

 - obtain a TGT ticket for a user principal using supplied password

 - import existing TGT from a default credentials cache

Once a user TGT is available, the utility will attempt to acquire a service

ticket to a service which key is specified in a keytab (default or

passed with --keytab option) and simulate establishing context to the

service application.

If establishing context succeeds, MS-PAC content of the service ticket

will be printed out.

2. S4U2Self protocol transition

In protocol transition case a service application obtains own TGT using

a key from the keytab and then requests a service ticket to itself in

the name of the user principal, performing S4U2Self request.

If accepting this service ticket succeeds, MS-PAC content of the service

ticket will be printed out.

If KDC does not support or rejects issuing MS-PAC record for a user, an

error message 'KDC has no support for padata type' will be printed.

Related: https://pagure.io/freeipa/issue/8319

Signed-off-by: Alexander Bokovoy <abokovoy@redhat.com>

Signed-off-by: Isaac Boukris <iboukris@redhat.com>

Reviewed-By: Isaac Boukris <iboukris@redhat.com>

Reviewed-By: Florence Blanc-Renaud <flo@redhat.com>

</pre>

</li>

<li>

<strong><a href="https://salsa.debian.org/freeipa-team/freeipa/-/commit/0f881ca0f2545b9dea9214f796beb478a1662bbb">0f881ca0</a></strong>

<div>

<span>by Alexander Bokovoy</span>

<i>at 2020-05-27T17:57:39+03:00</i>

</div>

<pre class="commit-message" style="white-space: pre-wrap; margin: 0;">ipa-tests: add a test to make sure MS-PAC is produced by KDC

When ipa-adtrust-install is used, IPA KDC will be configured to issue

tickets with MS-PAC record in them for users and services that have

ipaNTSecurityIdentifier (SID) attribute in the LDAP record.

Test that a newly added user can kinit and obtain a ticket that has

a PAC structure.

Test that a service can impersonate a user and the resulting S4U2Self

requested service ticket also has PAC structure.

Related: https://pagure.io/freeipa/issue/8319

Signed-off-by: Alexander Bokovoy <abokovoy@redhat.com>

Reviewed-By: Isaac Boukris <iboukris@redhat.com>

Reviewed-By: Florence Blanc-Renaud <flo@redhat.com>

</pre>

</li>

<li>

<strong><a href="https://salsa.debian.org/freeipa-team/freeipa/-/commit/44a255d423e5c097c5de83b3c0f754ab61c5b96e">44a255d4</a></strong>

<div>

<span>by Alexander Bokovoy</span>

<i>at 2020-05-27T17:57:39+03:00</i>

</div>

<pre class="commit-message" style="white-space: pre-wrap; margin: 0;">kdb: add minimal server referrals support for enterprise principals

Implement minimal server referrals support for enterprise principals as

defined in RFC 6806.

Use krb5_pac_verify_ext() and krb5_pac_sign_ext() to support cross-realm

S4U extensions. We have to verify/sign PAC and take the realm into

account for S4U in these cases.

The use of extended functions require krb5 1.17+.

For PAC verification, we have to filter existing PAC CLIENT-INFO

structure in cross-realm S4U case because otherwise old CLIENT-INFO

would change the PAC principal due to adding or ommiting the realm in

transition.  Since a new PAC CLIENT-INFO will be provided by

k5_insert_client_info() anyway, we can filter it in all cases.

Generate PAC only for the first S4U2Self request to the client realm

(client != NULL). Otherwise, use the PAC from the cross-realm ticket.

The latter PAC belongs to the impersonated user.

Foreign (inner) principal look up in non-AS request returns

KRB5_KDB_NOENTRY.

Finally, in PAC signing we have to take the realm into account as well

for S4U2Self cross-realm operation. This does not work when compiling

against krb5 1.17 at the moment because sign_authdata() callback does

not know whether we are dealing with an issuing referral or not. In 1.18

a KDC will set a special client flag to signify this when asking KDB

driver to sign a PAC record.

Fixes: https://pagure.io/freeipa/issue/8319

Signed-off-by: Alexander Bokovoy <abokovoy@redhat.com>

Signed-off-by: Isaac Boukris <iboukris@redhat.com>

Reviewed-By: Isaac Boukris <iboukris@redhat.com>

Reviewed-By: Florence Blanc-Renaud <flo@redhat.com>

</pre>

</li>

<li>

<strong><a href="https://salsa.debian.org/freeipa-team/freeipa/-/commit/015ae275981c0b4214d5f1fb86b7f2ee61f63229">015ae275</a></strong>

<div>

<span>by Alexander Bokovoy</span>

<i>at 2020-05-27T17:57:39+03:00</i>

</div>

<pre class="commit-message" style="white-space: pre-wrap; margin: 0;">ipa-kdb: add asserted identity SIDs

Depending on whether identity of a principal was asserted by the KDC or

by a service doing protocol transition (S4U2Self), AD DCs add a

special extra SID to a PAC record:

 - S-1-18-1 is a SID for an Authentication Authority Asserted Identity

 - S-1-18-2 is a SID for a Service Asserted Identity

This behavior is governed by [MS-SFU] 3.2.5.1.2 "KDC replies with Service

Ticket".

In order to add an asserted identity SID, we need to pass down the

client flags as set by the KDC and check for a protocol transition bit.

Fixes: https://pagure.io/freeipa/issue/8319

Signed-off-by: Alexander Bokovoy <abokovoy@redhat.com>

Reviewed-By: Isaac Boukris <iboukris@redhat.com>

Reviewed-By: Florence Blanc-Renaud <flo@redhat.com>

</pre>

</li>

<li>

<strong><a href="https://salsa.debian.org/freeipa-team/freeipa/-/commit/3e20a96c3091f9216cd2bcb1c5853593ed5de88c">3e20a96c</a></strong>

<div>

<span>by Alexander Bokovoy</span>

<i>at 2020-05-27T17:57:39+03:00</i>

</div>

<pre class="commit-message" style="white-space: pre-wrap; margin: 0;">ipa-kdb: Always allow services to get PAC if needed

Previously, FreeIPA only allowed to issue PAC record in a ticket

for the following principal types:

   - for IPA users

   - for a host principal of one of IPA masters

   - for a cifs/ or HTTP/ service on one of IPA masters

To allow S4U2Self operations over trust to AD, an impersonating service

must have PAC record in its TGT to be able to ask AD DCs for a S4U2Self

ticket. It means any IPA service performing S4U2Self would need to have

PAC record and the constraints above prevent it from doing so.

However, depending on whether the service or host principal belongs to

one of IPA masters, we need to set proper primary RID to 516 (domain

controllers) or 515 (domain computers).

Fixes: https://pagure.io/freeipa/issue/8319

Signed-off-by: Alexander Bokovoy <abokovoy@redhat.com>

Reviewed-By: Isaac Boukris <iboukris@redhat.com>

Reviewed-By: Florence Blanc-Renaud <flo@redhat.com>

</pre>

</li>

<li>

<strong><a href="https://salsa.debian.org/freeipa-team/freeipa/-/commit/3611fc5043fbde808e4307c596d8994c60bc1cc5">3611fc50</a></strong>

<div>

<span>by Alexander Bokovoy</span>

<i>at 2020-05-27T17:57:39+03:00</i>

</div>

<pre class="commit-message" style="white-space: pre-wrap; margin: 0;">ipa-kdb: add primary group to list of groups in MS-PAC

Somehow, we weren't adding primary group of the user to the list of

groups in the PAC Logon Info structure.

Related: https://pagure.io/freeipa/issue/8319

Signed-off-by: Alexander Bokovoy <abokovoy@redhat.com>

Reviewed-By: Isaac Boukris <iboukris@redhat.com>

Reviewed-By: Florence Blanc-Renaud <flo@redhat.com>

</pre>

</li>

<li>

<strong><a href="https://salsa.debian.org/freeipa-team/freeipa/-/commit/ef59cb845254e2bc278d3e3f2705b6b11ba7d04d">ef59cb84</a></strong>

<div>

<span>by Alexander Bokovoy</span>

<i>at 2020-05-27T17:57:39+03:00</i>

</div>

<pre class="commit-message" style="white-space: pre-wrap; margin: 0;">ipa-kdb: cache local TGS in the driver context

For Kerberos principal lookup we always need to check whether principal

is from our realm. Keep the reference to our realm TGS handy to avoid

memory allocations on every lookup.

Related: https://pagure.io/freeipa/issue/8319

Signed-off-by: Alexander Bokovoy <abokovoy@redhat.com>

Reviewed-By: Isaac Boukris <iboukris@redhat.com>

Reviewed-By: Florence Blanc-Renaud <flo@redhat.com>

</pre>

</li>

<li>

<strong><a href="https://salsa.debian.org/freeipa-team/freeipa/-/commit/b5876f30d4000424cc8122498c411f812b3a0959">b5876f30</a></strong>

<div>

<span>by Alexander Bokovoy</span>

<i>at 2020-05-27T17:57:39+03:00</i>

</div>

<pre class="commit-message" style="white-space: pre-wrap; margin: 0;">ipa-kdb: refactor principal lookup to support S4U2Self correctly

Restructure logic of ipadb_get_principal() to separate retrieval of a

principal by a name and by an alias. Separate enterprise principal name

type processing into a helper function to be able to reuse it for own

aliases.

Unify code in client referrals part to do the same and use krb5 API to

deal with principals rather than parsing strings. The end result is the

same but we follow common rules in MIT Kerberos to process principals.

An enterprise principal is typically "name@SOMEREALM@REALM", but any

principal might be parsed as enterprise principal, so we could get

"name@REALM" marked as such. When unparsing the enterprise principal,

re-parse it again with default realm values, to get our realm

normalization.

This behavior would fix situations when GSSAPI calls are operating on a

non-qualified principal name that was imported as a

GSS_KRB5_NT_ENTERPRISE_NAME when calling gss_import_name().

Related: https://pagure.io/freeipa/issue/8319

Signed-off-by: Alexander Bokovoy <abokovoy@redhat.com>

Signed-off-by: Isaac Boukris <iboukris@redhat.com>

Reviewed-By: Isaac Boukris <iboukris@redhat.com>

Reviewed-By: Florence Blanc-Renaud <flo@redhat.com>

</pre>

</li>

<li>

<strong><a href="https://salsa.debian.org/freeipa-team/freeipa/-/commit/52da0d6a287e3b78fbed033a48e7302715227e1c">52da0d6a</a></strong>

<div>

<span>by Alexander Bokovoy</span>

<i>at 2020-05-27T17:57:39+03:00</i>

</div>

<pre class="commit-message" style="white-space: pre-wrap; margin: 0;">test_smb: test S4U2Self operation by IPA service

Kerberos service might request a ticket to itself on behalf of a user

to perform protocol transition, so-called S4U2Self extension defined

in [MS-SFU] specification. Processing of this request by KDC differs for

in-realm and cross-realm configurations.

Use SMB service to test S4U2Self performed against AD and IPA users.

Fixes: https://pagure.io/freeipa/issue/8319

Signed-off-by: Alexander Bokovoy <abokovoy@redhat.com>

Reviewed-By: Isaac Boukris <iboukris@redhat.com>

Reviewed-By: Florence Blanc-Renaud <flo@redhat.com>

</pre>

</li>

<li>

<strong><a href="https://salsa.debian.org/freeipa-team/freeipa/-/commit/4ff972c23f16f371ca578bfd105a85c3ffdb4f8b">4ff972c2</a></strong>

<div>

<span>by Alexander Bokovoy</span>

<i>at 2020-05-27T17:57:39+03:00</i>

</div>

<pre class="commit-message" style="white-space: pre-wrap; margin: 0;">azure: do not run test_commands due to failures in low memory cases

389-ds memory autotuning doesn't really work well in containerized

environment as it only looks into host-wide /proc/meminfo. It gets

fooled by 'missing' memory while there is still enough swap space.

This is in particular affects test_commands test suite where

ipa-adtrust-install cannot fully proceed and fails. We plan to rebalance

test containers' memory split but right now just disable test_commands

in Azure CI.

Signed-off-by: Alexander Bokovoy <abokovoy@redhat.com>

Reviewed-By: Isaac Boukris <iboukris@redhat.com>

Reviewed-By: Florence Blanc-Renaud <flo@redhat.com>

</pre>

</li>

<li>

<strong><a href="https://salsa.debian.org/freeipa-team/freeipa/-/commit/4723100791663b8eb6053c6b9f17b8c34e362891">47231007</a></strong>

<div>

<span>by Alexander Bokovoy</span>

<i>at 2020-05-27T22:19:49+03:00</i>

</div>

<pre class="commit-message" style="white-space: pre-wrap; margin: 0;">ipa-kdb: add UPN_DNS_INFO PAC structure

UPN_DNS_INFO structure contains the client's user principal name (UPN)

and a fully qualified domain name. It is used to provide the UPN and the

FQDN that corresponds to the client of the ticket.

The structure is defined in MS-PAC section 2.10. MS-KILE specification

says in the section 3.3.5.6.4.5 that KDCs should return this buffer. It

further clarifies in section 3.3.5.2 that if the user account object has no

userPrincipalName attribute, UPN_DNS_INFO should be constructed by

concatenating user name, the "@" symbol, and the DNS name of the domain.

IPA users don't really have userPrincipalName attribute. Instead, we

always construct their account names in LOGON Info3 structure by

unparsing the canonical principal name without realm, meaning that user

principal can be recovered by concatenating the account name and the

realm (domain).

Unless the account name and unparsed client principal name are different

or the primary Info3 gid (group RID) is the one for machine accounts,

mark the UPN as constructed.

Related: https://pagure.io/freeipa/issue/8319

Signed-off-by: Alexander Bokovoy <abokovoy@redhat.com>

Reviewed-By: Isaac Boukris <iboukris@redhat.com>

Reviewed-By: Florence Blanc-Renaud <flo@redhat.com>

</pre>

</li>

<li>

<strong><a href="https://salsa.debian.org/freeipa-team/freeipa/-/commit/1a01e46aa0cd7e3cfd53b380b0ab3975ae1dc524">1a01e46a</a></strong>

<div>

<span>by Alexander Bokovoy</span>

<i>at 2020-05-27T22:19:49+03:00</i>

</div>

<pre class="commit-message" style="white-space: pre-wrap; margin: 0;">ipa-print-pac: acquire and print PAC record for a user

Helper utility to investigate PAC content of users in trusted

environments. Supports direct ticket acquisition and S4U2Self protocol

transition.

1. Direct ticket acquisition

In direct ticket acquisition mode the utility first does one of the

following actions:

 - obtain a TGT ticket for a user principal using supplied password

 - import existing TGT from a default credentials cache

Once a user TGT is available, the utility will attempt to acquire a service

ticket to a service which key is specified in a keytab (default or

passed with --keytab option) and simulate establishing context to the

service application.

If establishing context succeeds, MS-PAC content of the service ticket

will be printed out.

2. S4U2Self protocol transition

In protocol transition case a service application obtains own TGT using

a key from the keytab and then requests a service ticket to itself in

the name of the user principal, performing S4U2Self request.

If accepting this service ticket succeeds, MS-PAC content of the service

ticket will be printed out.

If KDC does not support or rejects issuing MS-PAC record for a user, an

error message 'KDC has no support for padata type' will be printed.

Related: https://pagure.io/freeipa/issue/8319

Signed-off-by: Alexander Bokovoy <abokovoy@redhat.com>

Signed-off-by: Isaac Boukris <iboukris@redhat.com>

Reviewed-By: Isaac Boukris <iboukris@redhat.com>

Reviewed-By: Florence Blanc-Renaud <flo@redhat.com>

</pre>

</li>

<li>

<strong><a href="https://salsa.debian.org/freeipa-team/freeipa/-/commit/ca99bf2abc793d77e889c91d2a436c3de96eb36e">ca99bf2a</a></strong>

<div>

<span>by Alexander Bokovoy</span>

<i>at 2020-05-27T22:19:49+03:00</i>

</div>

<pre class="commit-message" style="white-space: pre-wrap; margin: 0;">ipa-tests: add a test to make sure MS-PAC is produced by KDC

When ipa-adtrust-install is used, IPA KDC will be configured to issue

tickets with MS-PAC record in them for users and services that have

ipaNTSecurityIdentifier (SID) attribute in the LDAP record.

Test that a newly added user can kinit and obtain a ticket that has

a PAC structure.

Test that a service can impersonate a user and the resulting S4U2Self

requested service ticket also has PAC structure.

Related: https://pagure.io/freeipa/issue/8319

Signed-off-by: Alexander Bokovoy <abokovoy@redhat.com>

Reviewed-By: Isaac Boukris <iboukris@redhat.com>

Reviewed-By: Florence Blanc-Renaud <flo@redhat.com>

</pre>

</li>

<li>

<strong><a href="https://salsa.debian.org/freeipa-team/freeipa/-/commit/1990e3954b3c566a52697e38569ad472a62a7895">1990e395</a></strong>

<div>

<span>by Alexander Bokovoy</span>

<i>at 2020-05-27T22:19:49+03:00</i>

</div>

<pre class="commit-message" style="white-space: pre-wrap; margin: 0;">kdb: add minimal server referrals support for enterprise principals

Implement minimal server referrals support for enterprise principals as

defined in RFC 6806.

Use krb5_pac_verify_ext() and krb5_pac_sign_ext() to support cross-realm

S4U extensions. We have to verify/sign PAC and take the realm into

account for S4U in these cases.

The use of extended functions require krb5 1.17+.

For PAC verification, we have to filter existing PAC CLIENT-INFO

structure in cross-realm S4U case because otherwise old CLIENT-INFO

would change the PAC principal due to adding or ommiting the realm in

transition.  Since a new PAC CLIENT-INFO will be provided by

k5_insert_client_info() anyway, we can filter it in all cases.

Generate PAC only for the first S4U2Self request to the client realm

(client != NULL). Otherwise, use the PAC from the cross-realm ticket.

The latter PAC belongs to the impersonated user.

Foreign (inner) principal look up in non-AS request returns

KRB5_KDB_NOENTRY.

Finally, in PAC signing we have to take the realm into account as well

for S4U2Self cross-realm operation. This does not work when compiling

against krb5 1.17 at the moment because sign_authdata() callback does

not know whether we are dealing with an issuing referral or not. In 1.18

a KDC will set a special client flag to signify this when asking KDB

driver to sign a PAC record.

Fixes: https://pagure.io/freeipa/issue/8319

Signed-off-by: Alexander Bokovoy <abokovoy@redhat.com>

Signed-off-by: Isaac Boukris <iboukris@redhat.com>

Reviewed-By: Isaac Boukris <iboukris@redhat.com>

Reviewed-By: Florence Blanc-Renaud <flo@redhat.com>

</pre>

</li>

<li>

<strong><a href="https://salsa.debian.org/freeipa-team/freeipa/-/commit/110812b43b202c83d4a90d01aab1cf7610b2de41">110812b4</a></strong>

<div>

<span>by Alexander Bokovoy</span>

<i>at 2020-05-27T22:19:49+03:00</i>

</div>

<pre class="commit-message" style="white-space: pre-wrap; margin: 0;">ipa-kdb: add asserted identity SIDs

Depending on whether identity of a principal was asserted by the KDC or

by a service doing protocol transition (S4U2Self), AD DCs add a

special extra SID to a PAC record:

 - S-1-18-1 is a SID for an Authentication Authority Asserted Identity

 - S-1-18-2 is a SID for a Service Asserted Identity

This behavior is governed by [MS-SFU] 3.2.5.1.2 "KDC replies with Service

Ticket".

In order to add an asserted identity SID, we need to pass down the

client flags as set by the KDC and check for a protocol transition bit.

Fixes: https://pagure.io/freeipa/issue/8319

Signed-off-by: Alexander Bokovoy <abokovoy@redhat.com>

Reviewed-By: Isaac Boukris <iboukris@redhat.com>

Reviewed-By: Florence Blanc-Renaud <flo@redhat.com>

</pre>

</li>

<li>

<strong><a href="https://salsa.debian.org/freeipa-team/freeipa/-/commit/741f64f4b5428ccfa8105c61a91de8e0fab37bc3">741f64f4</a></strong>

<div>

<span>by Alexander Bokovoy</span>

<i>at 2020-05-27T22:19:49+03:00</i>

</div>

<pre class="commit-message" style="white-space: pre-wrap; margin: 0;">ipa-kdb: Always allow services to get PAC if needed

Previously, FreeIPA only allowed to issue PAC record in a ticket

for the following principal types:

   - for IPA users

   - for a host principal of one of IPA masters

   - for a cifs/ or HTTP/ service on one of IPA masters

To allow S4U2Self operations over trust to AD, an impersonating service

must have PAC record in its TGT to be able to ask AD DCs for a S4U2Self

ticket. It means any IPA service performing S4U2Self would need to have

PAC record and the constraints above prevent it from doing so.

However, depending on whether the service or host principal belongs to

one of IPA masters, we need to set proper primary RID to 516 (domain

controllers) or 515 (domain computers).

Fixes: https://pagure.io/freeipa/issue/8319

Signed-off-by: Alexander Bokovoy <abokovoy@redhat.com>

Reviewed-By: Isaac Boukris <iboukris@redhat.com>

Reviewed-By: Florence Blanc-Renaud <flo@redhat.com>

</pre>

</li>

<li>

<strong><a href="https://salsa.debian.org/freeipa-team/freeipa/-/commit/6c844c704d4f7ca8837f0d034325a379ec9294af">6c844c70</a></strong>

<div>

<span>by Alexander Bokovoy</span>

<i>at 2020-05-27T22:19:49+03:00</i>

</div>

<pre class="commit-message" style="white-space: pre-wrap; margin: 0;">ipa-kdb: add primary group to list of groups in MS-PAC

Somehow, we weren't adding primary group of the user to the list of

groups in the PAC Logon Info structure.

Related: https://pagure.io/freeipa/issue/8319

Signed-off-by: Alexander Bokovoy <abokovoy@redhat.com>

Reviewed-By: Isaac Boukris <iboukris@redhat.com>

Reviewed-By: Florence Blanc-Renaud <flo@redhat.com>

</pre>

</li>

<li>

<strong><a href="https://salsa.debian.org/freeipa-team/freeipa/-/commit/68a0790b9da12ccb9f3a9f211f6d806ca604a861">68a0790b</a></strong>

<div>

<span>by Alexander Bokovoy</span>

<i>at 2020-05-27T22:19:49+03:00</i>

</div>

<pre class="commit-message" style="white-space: pre-wrap; margin: 0;">ipa-kdb: cache local TGS in the driver context

For Kerberos principal lookup we always need to check whether principal

is from our realm. Keep the reference to our realm TGS handy to avoid

memory allocations on every lookup.

Related: https://pagure.io/freeipa/issue/8319

Signed-off-by: Alexander Bokovoy <abokovoy@redhat.com>

Reviewed-By: Isaac Boukris <iboukris@redhat.com>

Reviewed-By: Florence Blanc-Renaud <flo@redhat.com>

</pre>

</li>

<li>

<strong><a href="https://salsa.debian.org/freeipa-team/freeipa/-/commit/601151e7c6e99d67723af9e20e80252e71e9c49e">601151e7</a></strong>

<div>

<span>by Alexander Bokovoy</span>

<i>at 2020-05-27T22:19:49+03:00</i>

</div>

<pre class="commit-message" style="white-space: pre-wrap; margin: 0;">ipa-kdb: refactor principal lookup to support S4U2Self correctly

Restructure logic of ipadb_get_principal() to separate retrieval of a

principal by a name and by an alias. Separate enterprise principal name

type processing into a helper function to be able to reuse it for own

aliases.

Unify code in client referrals part to do the same and use krb5 API to

deal with principals rather than parsing strings. The end result is the

same but we follow common rules in MIT Kerberos to process principals.

An enterprise principal is typically "name@SOMEREALM@REALM", but any

principal might be parsed as enterprise principal, so we could get

"name@REALM" marked as such. When unparsing the enterprise principal,

re-parse it again with default realm values, to get our realm

normalization.

This behavior would fix situations when GSSAPI calls are operating on a

non-qualified principal name that was imported as a

GSS_KRB5_NT_ENTERPRISE_NAME when calling gss_import_name().

Related: https://pagure.io/freeipa/issue/8319

Signed-off-by: Alexander Bokovoy <abokovoy@redhat.com>

Signed-off-by: Isaac Boukris <iboukris@redhat.com>

Reviewed-By: Isaac Boukris <iboukris@redhat.com>

Reviewed-By: Florence Blanc-Renaud <flo@redhat.com>

</pre>

</li>

<li>

<strong><a href="https://salsa.debian.org/freeipa-team/freeipa/-/commit/eeb70047c9849fcc59686bdd3edd2923ee1be134">eeb70047</a></strong>

<div>

<span>by Alexander Bokovoy</span>

<i>at 2020-05-27T22:19:49+03:00</i>

</div>

<pre class="commit-message" style="white-space: pre-wrap; margin: 0;">test_smb: test S4U2Self operation by IPA service

Kerberos service might request a ticket to itself on behalf of a user

to perform protocol transition, so-called S4U2Self extension defined

in [MS-SFU] specification. Processing of this request by KDC differs for

in-realm and cross-realm configurations.

Use SMB service to test S4U2Self performed against AD and IPA users.

Fixes: https://pagure.io/freeipa/issue/8319

Signed-off-by: Alexander Bokovoy <abokovoy@redhat.com>

Reviewed-By: Isaac Boukris <iboukris@redhat.com>

Reviewed-By: Florence Blanc-Renaud <flo@redhat.com>

</pre>

</li>

<li>

<strong><a href="https://salsa.debian.org/freeipa-team/freeipa/-/commit/5f292b2953460a7ae6b7784fd7dfb63d2994a28c">5f292b29</a></strong>

<div>

<span>by Alexander Bokovoy</span>

<i>at 2020-05-27T22:19:49+03:00</i>

</div>

<pre class="commit-message" style="white-space: pre-wrap; margin: 0;">azure: do not run test_commands due to failures in low memory cases

389-ds memory autotuning doesn't really work well in containerized

environment as it only looks into host-wide /proc/meminfo. It gets

fooled by 'missing' memory while there is still enough swap space.

This is in particular affects test_commands test suite where

ipa-adtrust-install cannot fully proceed and fails. We plan to rebalance

test containers' memory split but right now just disable test_commands

in Azure CI.

Signed-off-by: Alexander Bokovoy <abokovoy@redhat.com>

Reviewed-By: Isaac Boukris <iboukris@redhat.com>

Reviewed-By: Florence Blanc-Renaud <flo@redhat.com>

</pre>

</li>

<li>

<strong><a href="https://salsa.debian.org/freeipa-team/freeipa/-/commit/bc9f3e0557c6a0a5901fff956f9cb1362085375f">bc9f3e05</a></strong>

<div>

<span>by Serhii Tsymbaliuk</span>

<i>at 2020-05-28T13:20:52+02:00</i>

</div>

<pre class="commit-message" style="white-space: pre-wrap; margin: 0;">WebUI: Apply jQuery patch to fix htmlPrefilter issue

Manually backport corresponding changes from jQuery 3.5.0:

https://github.com/jquery/jquery/commit/1d61fd9407e6fbe82fe55cb0b938307aa0791f77

A complete upgrade to jQuery 3.5 is impossible at the moment due incompatibility

with Bootstrap 3.4.1 which we currently use.

Ticket: https://pagure.io/freeipa/issue/8325

Signed-off-by: Serhii Tsymbaliuk <stsymbal@redhat.com>

Reviewed-By: Florence Blanc-Renaud <flo@redhat.com>

Reviewed-By: Petr Vobornik <pvoborni@redhat.com>

</pre>

</li>

<li>

<strong><a href="https://salsa.debian.org/freeipa-team/freeipa/-/commit/062022996d6efeef3c0a9d5d0611890bdf416e28">06202299</a></strong>

<div>

<span>by Serhii Tsymbaliuk</span>

<i>at 2020-05-28T16:18:55+02:00</i>

</div>

<pre class="commit-message" style="white-space: pre-wrap; margin: 0;">WebUI: Apply jQuery patch to fix htmlPrefilter issue

Manually backport corresponding changes from jQuery 3.5.0:

https://github.com/jquery/jquery/commit/1d61fd9407e6fbe82fe55cb0b938307aa0791f77

A complete upgrade to jQuery 3.5 is impossible at the moment due incompatibility

with Bootstrap 3.4.1 which we currently use.

Ticket: https://pagure.io/freeipa/issue/8325

Signed-off-by: Serhii Tsymbaliuk <stsymbal@redhat.com>

Reviewed-By: Florence Blanc-Renaud <flo@redhat.com>

Reviewed-By: Petr Vobornik <pvoborni@redhat.com>

</pre>

</li>

<li>

<strong><a href="https://salsa.debian.org/freeipa-team/freeipa/-/commit/1606174457a3db5f8300fca2230f211d5f72dfa1">16061744</a></strong>

<div>

<span>by Peter Keresztes Schmidt</span>

<i>at 2020-06-02T09:39:42+02:00</i>

</div>

<pre class="commit-message" style="white-space: pre-wrap; margin: 0;">Remove remains of unused config options

Options removed:

 * ca_ee_port

 * ca_agent_install_port

 * ca_ee_install_port

Closes: https://pagure.io/freeipa/issue/6708

Reviewed-By: Rob Crittenden <rcritten@redhat.com>

Reviewed-By: Christian Heimes <cheimes@redhat.com>

</pre>

</li>

<li>

<strong><a href="https://salsa.debian.org/freeipa-team/freeipa/-/commit/6a7fa03f91955cc999b9ae143647071fc35e3793">6a7fa03f</a></strong>

<div>

<span>by sumenon</span>

<i>at 2020-06-02T09:53:11-04:00</i>

</div>

<pre class="commit-message" style="white-space: pre-wrap; margin: 0;">ipatests: Test for ipahealthcheck DogtagCertsConnectivityCheck

This test checks that when pki-tomcat service is stopped,

DogtagCertsConnectivityCheck displays the result as ERROR

Reviewed-By: Rob Crittenden <rcritten@redhat.com>

Reviewed-By: Sergey Orlov <sorlov@redhat.com>

Reviewed-By: Florence Blanc-Renaud <frenaud@redhat.com>

</pre>

</li>

<li>

<strong><a href="https://salsa.debian.org/freeipa-team/freeipa/-/commit/ddd061c0b71b27d2193f83a3695ff6ade9ccc256">ddd061c0</a></strong>

<div>

<span>by sumenon</span>

<i>at 2020-06-03T09:21:00+02:00</i>

</div>

<pre class="commit-message" style="white-space: pre-wrap; margin: 0;">ipatests: Test for ipahealthcheck.ipa.files for TomcatFilecheck

This test checks that healthcheck tools reports correct information

when permissions of Tomcat config file are modified.

Reviewed-By: Rob Crittenden <rcritten@redhat.com>

Reviewed-By: Florence Blanc-Renaud <flo@redhat.com>

Reviewed-By: Mohammad Rizwan Yusuf <myusuf@redhat.com>

</pre>

</li>

<li>

<strong><a href="https://salsa.debian.org/freeipa-team/freeipa/-/commit/81f924f49a7736b808545db0e84b3796e35c6657">81f924f4</a></strong>

<div>

<span>by sumenon</span>

<i>at 2020-06-03T09:22:55+02:00</i>

</div>

<pre class="commit-message" style="white-space: pre-wrap; margin: 0;">ipatests: Test for ipahealthcheck DogtagCertsConnectivityCheck

This test checks that when pki-tomcat service is stopped,

DogtagCertsConnectivityCheck displays the result as ERROR

Reviewed-By: Rob Crittenden <rcritten@redhat.com>

Reviewed-By: Florence Blanc-Renaud <frenaud@redhat.com>

Reviewed-By: Sergey Orlov <sorlov@redhat.com>

</pre>

</li>

<li>

<strong><a href="https://salsa.debian.org/freeipa-team/freeipa/-/commit/ad8e0af0770caf039ff6c431a3182238c1952f8f">ad8e0af0</a></strong>

<div>

<span>by Christian Heimes</span>

<i>at 2020-06-03T09:25:12+02:00</i>

</div>

<pre class="commit-message" style="white-space: pre-wrap; margin: 0;">Allow dnsrecord-add --force on clients

See: https://pagure.io/freeipa/issue/8317

Signed-off-by: Christian Heimes <cheimes@redhat.com>

Reviewed-By: Alexander Bokovoy <abbra@users.noreply.github.com>

</pre>

</li>

<li>

<strong><a href="https://salsa.debian.org/freeipa-team/freeipa/-/commit/7de1a93ce44d3afe582884a6c9c803b5d4614afb">7de1a93c</a></strong>

<div>

<span>by Peter Keresztes Schmidt</span>

<i>at 2020-06-03T09:27:48+02:00</i>

</div>

<pre class="commit-message" style="white-space: pre-wrap; margin: 0;">WebUI: Fix invalid RPC calls when link widget has no pkey passed

Fixes: https://pagure.io/freeipa/issue/8338

Reviewed-By: Alexander Bokovoy <abbra@users.noreply.github.com>

</pre>

</li>

<li>

<strong><a href="https://salsa.debian.org/freeipa-team/freeipa/-/commit/517c7ab2153e701355732bc8d49076653e090a01">517c7ab2</a></strong>

<div>

<span>by Peter Keresztes Schmidt</span>

<i>at 2020-06-03T09:30:27+02:00</i>

</div>

<pre class="commit-message" style="white-space: pre-wrap; margin: 0;">WebUI: Use data adapter to load facet header data

Fixes: https://pagure.io/freeipa/issue/8339

Reviewed-By: Alexander Bokovoy <abbra@users.noreply.github.com>

</pre>

</li>

<li>

<strong><a href="https://salsa.debian.org/freeipa-team/freeipa/-/commit/c64075b127ce4a79889bf65f925dd07ae0d53f01">c64075b1</a></strong>

<div>

<span>by sumenon</span>

<i>at 2020-06-03T11:38:59+02:00</i>

</div>

<pre class="commit-message" style="white-space: pre-wrap; margin: 0;">ipatests: Test for ipahealthcheck.ipa.files for TomcatFilecheck

This test checks that healthcheck tools reports correct information

when permissions of Tomcat config file are modified.

Reviewed-By: Rob Crittenden <rcritten@redhat.com>

Reviewed-By: Florence Blanc-Renaud <flo@redhat.com>

Reviewed-By: Mohammad Rizwan Yusuf <myusuf@redhat.com>

</pre>

</li>

<li>

<strong><a href="https://salsa.debian.org/freeipa-team/freeipa/-/commit/7e7d0d8397d466553268a52e3c4cf327f01a6957">7e7d0d83</a></strong>

<div>

<span>by Peter Keresztes Schmidt</span>

<i>at 2020-06-03T18:31:41+02:00</i>

</div>

<pre class="commit-message" style="white-space: pre-wrap; margin: 0;">WebUI: Use data adapter to load facet header data

Fixes: https://pagure.io/freeipa/issue/8339

Reviewed-By: Alexander Bokovoy <abbra@users.noreply.github.com>

</pre>

</li>

<li>

<strong><a href="https://salsa.debian.org/freeipa-team/freeipa/-/commit/2af2373c57c6828db922008ce1e3b7fd9b3e0da8">2af2373c</a></strong>

<div>

<span>by Peter Keresztes Schmidt</span>

<i>at 2020-06-03T18:36:11+02:00</i>

</div>

<pre class="commit-message" style="white-space: pre-wrap; margin: 0;">WebUI: Fix invalid RPC calls when link widget has no pkey passed

Fixes: https://pagure.io/freeipa/issue/8338

Reviewed-By: Alexander Bokovoy <abbra@users.noreply.github.com>

</pre>

</li>

<li>

<strong><a href="https://salsa.debian.org/freeipa-team/freeipa/-/commit/c261a6eb768483f7ac45aab34994dcec01e819bd">c261a6eb</a></strong>

<div>

<span>by Christian Heimes</span>

<i>at 2020-06-04T09:20:42+02:00</i>

</div>

<pre class="commit-message" style="white-space: pre-wrap; margin: 0;">Allow dnsrecord-add --force on clients

See: https://pagure.io/freeipa/issue/8317

Signed-off-by: Christian Heimes <cheimes@redhat.com>

Reviewed-By: Alexander Bokovoy <abbra@users.noreply.github.com>

</pre>

</li>

<li>

<strong><a href="https://salsa.debian.org/freeipa-team/freeipa/-/commit/c1c6ee7d41e3512ac4aa7bf5e85634475aa9c22e">c1c6ee7d</a></strong>

<div>

<span>by Christian Heimes</span>

<i>at 2020-06-04T14:29:59+02:00</i>

</div>

<pre class="commit-message" style="white-space: pre-wrap; margin: 0;">Add ipa-print-pac to gitignore

Signed-off-by: Christian Heimes <cheimes@redhat.com>

Reviewed-By: Alexander Bokovoy <abokovoy@redhat.com>

</pre>

</li>

<li>

<strong><a href="https://salsa.debian.org/freeipa-team/freeipa/-/commit/0d0dc73ae1fd640841a4b15ed83edc44096859e3">0d0dc73a</a></strong>

<div>

<span>by sumenon</span>

<i>at 2020-06-04T09:01:07-04:00</i>

</div>

<pre class="commit-message" style="white-space: pre-wrap; margin: 0;">ipatests: Test to check warning state for TomcatFileCheck in ipahealthcheck.ipa.files

This testcase changes the ownership of the tomcat config files

on an IPA Master and then checks if healthcheck tools

reports the status as WARNING

Reviewed-By: Rob Crittenden <rcritten@redhat.com>

</pre>

</li>

<li>

<strong><a href="https://salsa.debian.org/freeipa-team/freeipa/-/commit/5aa5f678828033e109112c45547b55553a377895">5aa5f678</a></strong>

<div>

<span>by Christian Heimes</span>

<i>at 2020-06-04T11:04:53-04:00</i>

</div>

<pre class="commit-message" style="white-space: pre-wrap; margin: 0;">Add ipa-print-pac to gitignore

Signed-off-by: Christian Heimes <cheimes@redhat.com>

Reviewed-By: Alexander Bokovoy <abokovoy@redhat.com>

</pre>

</li>

<li>

<strong><a href="https://salsa.debian.org/freeipa-team/freeipa/-/commit/a571043380f0b08c6b3768a1fe176fee5073e2c5">a5710433</a></strong>

<div>

<span>by sumenon</span>

<i>at 2020-06-04T17:55:57+02:00</i>

</div>

<pre class="commit-message" style="white-space: pre-wrap; margin: 0;">ipatests: Test to check warning state for TomcatFileCheck in ipahealthcheck.ipa.files

This testcase changes the ownership of the tomcat config files

on an IPA Master and then checks if healthcheck tools

reports the status as WARNING

Reviewed-By: Rob Crittenden <rcritten@redhat.com>

</pre>

</li>

<li>

<strong><a href="https://salsa.debian.org/freeipa-team/freeipa/-/commit/f5964b71572579acad9d1731b62eb3c088358c6f">f5964b71</a></strong>

<div>

<span>by Christian Heimes</span>

<i>at 2020-06-05T09:23:57+02:00</i>

</div>

<pre class="commit-message" style="white-space: pre-wrap; margin: 0;">Remove obsolete BIND named.conf options

``dnssec-enable`` is obsolete in 9.16 and raises a warning. The option

defaults to ``yes`` in all supported versions of bind. The option is

removed when set to ``yes`` and a warning is emitted when the value is

``no``.

DNSSEC lookaside validation has been deprecated by RFC 8749 and the

feature removed from Bind 9.16. The only available lookaside provider

dlv.isc.org no longer provides DLV information since 2017.

Fixes: https://pagure.io/freeipa/issue/8349

Fixes: https://pagure.io/freeipa/issue/8350

Signed-off-by: Christian Heimes <cheimes@redhat.com>

Reviewed-By: Rob Crittenden <rcritten@redhat.com>

Reviewed-By: Alexander Bokovoy <abokovoy@redhat.com>

</pre>

</li>

<li>

<strong><a href="https://salsa.debian.org/freeipa-team/freeipa/-/commit/d20cda218960960fa4d1ab790f31edd4cac49ccc">d20cda21</a></strong>

<div>

<span>by Christian Heimes</span>

<i>at 2020-06-05T09:34:46+02:00</i>

</div>

<pre class="commit-message" style="white-space: pre-wrap; margin: 0;">make: serialize strip-po / strip-pot

The strip-po target modifies files in place. This sometimes creates

conflicts with other make targets when make is run in parallel mode.

* split strip-po into strip-po and strip-pot

* move strip-po[t] from dependency to explicit, serial execution

* declare dependencies on POT/POFILES

* don't run strip on clean

Fixes: https://pagure.io/freeipa/issue/8323

Signed-off-by: Christian Heimes <cheimes@redhat.com>

Reviewed-By: Alexander Bokovoy <abokovoy@redhat.com>

</pre>

</li>

<li>

<strong><a href="https://salsa.debian.org/freeipa-team/freeipa/-/commit/91f94612f3021a631dd8a97d08a6327c98f6e689">91f94612</a></strong>

<div>

<span>by Christian Heimes</span>

<i>at 2020-06-05T10:46:07+02:00</i>

</div>

<pre class="commit-message" style="white-space: pre-wrap; margin: 0;">Remove obsolete BIND named.conf options

``dnssec-enable`` is obsolete in 9.16 and raises a warning. The option

defaults to ``yes`` in all supported versions of bind. The option is

removed when set to ``yes`` and a warning is emitted when the value is

``no``.

DNSSEC lookaside validation has been deprecated by RFC 8749 and the

feature removed from Bind 9.16. The only available lookaside provider

dlv.isc.org no longer provides DLV information since 2017.

Fixes: https://pagure.io/freeipa/issue/8349

Fixes: https://pagure.io/freeipa/issue/8350

Signed-off-by: Christian Heimes <cheimes@redhat.com>

Reviewed-By: Rob Crittenden <rcritten@redhat.com>

Reviewed-By: Alexander Bokovoy <abokovoy@redhat.com>

</pre>

</li>

<li>

<strong><a href="https://salsa.debian.org/freeipa-team/freeipa/-/commit/8d759d3836aa36799978cd0333e1836ea2480f4b">8d759d38</a></strong>

<div>

<span>by Christian Heimes</span>

<i>at 2020-06-05T12:39:49+02:00</i>

</div>

<pre class="commit-message" style="white-space: pre-wrap; margin: 0;">make: serialize strip-po / strip-pot

The strip-po target modifies files in place. This sometimes creates

conflicts with other make targets when make is run in parallel mode.

* split strip-po into strip-po and strip-pot

* move strip-po[t] from dependency to explicit, serial execution

* declare dependencies on POT/POFILES

* don't run strip on clean

Fixes: https://pagure.io/freeipa/issue/8323

Signed-off-by: Christian Heimes <cheimes@redhat.com>

Reviewed-By: Alexander Bokovoy <abokovoy@redhat.com>

</pre>

</li>

<li>

<strong><a href="https://salsa.debian.org/freeipa-team/freeipa/-/commit/4d2cd3a273686bc2c0a9b4d8c066a2bdff23a710">4d2cd3a2</a></strong>

<div>

<span>by Peter Keresztes Schmidt</span>

<i>at 2020-06-07T10:08:19+03:00</i>

</div>

<pre class="commit-message" style="white-space: pre-wrap; margin: 0;">WebUI: Refresh DNS record data correctly after mod operation

Fixes: https://pagure.io/freeipa/issue/8359

Reviewed-By: Alexander Bokovoy <abokovoy@redhat.com>

</pre>

</li>

<li>

<strong><a href="https://salsa.debian.org/freeipa-team/freeipa/-/commit/187968d472a0187a170d3ba10996091cfcc2ba5f">187968d4</a></strong>

<div>

<span>by Peter Keresztes Schmidt</span>

<i>at 2020-06-07T10:09:35+03:00</i>

</div>

<pre class="commit-message" style="white-space: pre-wrap; margin: 0;">WebUI: Expose TTL of DNS records

Fixes: https://pagure.io/freeipa/issue/3827

Reviewed-By: Alexander Bokovoy <abokovoy@redhat.com>

</pre>

</li>

<li>

<strong><a href="https://salsa.debian.org/freeipa-team/freeipa/-/commit/5f239aebca25635bf04ba7241511cedbef6d2d65">5f239aeb</a></strong>

<div>

<span>by Peter Keresztes Schmidt</span>

<i>at 2020-06-07T10:10:48+03:00</i>

</div>

<pre class="commit-message" style="white-space: pre-wrap; margin: 0;">WebUI: Add units to some DNS zone and IPA config fields

Add also tooltips to ipasearchrecordslimit and ipasearchtimelimit

to clarify the special value 0/-1.

Reviewed-By: Alexander Bokovoy <abokovoy@redhat.com>

</pre>

</li>

<li>

<strong><a href="https://salsa.debian.org/freeipa-team/freeipa/-/commit/373f8cdce707e250e88f43cd59aeae3e1b5d9d12">373f8cdc</a></strong>

<div>

<span>by Peter Keresztes Schmidt</span>

<i>at 2020-06-07T10:14:05+03:00</i>

</div>

<pre class="commit-message" style="white-space: pre-wrap; margin: 0;">Specify min and max values for TTL of a DNS record

Fixes: https://pagure.io/freeipa/issue/8358

Reviewed-By: Alexander Bokovoy <abokovoy@redhat.com>

</pre>

</li>

<li>

<strong><a href="https://salsa.debian.org/freeipa-team/freeipa/-/commit/9dda004f270f321685597be276ca51e6b32fcd59">9dda004f</a></strong>

<div>

<span>by Christian Heimes</span>

<i>at 2020-06-07T10:18:03+03:00</i>

</div>

<pre class="commit-message" style="white-space: pre-wrap; margin: 0;">Allow permissions with 'self' bindruletype

Make it possible to create a managed permission with

ipapermbindruletype="self". The ACI will have bind rule

'(userdn = "ldap:///self")'.

Example

-------

Allow users to modify their own fasTimezone and fasIRCNick attributes:

```

managed_permissions = {

    "System: Self-Modify FAS user attributes": {

        "ipapermright": {"write"},

        "ipapermtargetfilter": ["(objectclass=fasuser)"],

        "ipapermbindruletype": "self",

        "ipapermdefaultattr": ["fasTimezone", "fasIRCNick"],

    }

}

```

See: https://github.com/fedora-infra/freeipa-fas/pull/107

Fixes: https://pagure.io/freeipa/issue/8348

Signed-off-by: Christian Heimes <cheimes@redhat.com>

Reviewed-By: Alexander Bokovoy <abokovoy@redhat.com>

Reviewed-By: Rob Crittenden <rcritten@redhat.com>

</pre>

</li>

<li>

<strong><a href="https://salsa.debian.org/freeipa-team/freeipa/-/commit/e66036481477ec8efc27c697e8a0d7adaf8a691d">e6603648</a></strong>

<div>

<span>by Peter Keresztes Schmidt</span>

<i>at 2020-06-07T10:19:47+03:00</i>

</div>

<pre class="commit-message" style="white-space: pre-wrap; margin: 0;">Use ipaldap exceptions rather than ldap error codes in LDAP updater

The code in ipaldap got changed with df4ed77 but ldapupdate was never updated.

Closes: https://pagure.io/freeipa/issue/7610

Reviewed-By: Christian Heimes <cheimes@redhat.com>

Reviewed-By: Alexander Bokovoy <abokovoy@redhat.com>

</pre>

</li>

<li>

<strong><a href="https://salsa.debian.org/freeipa-team/freeipa/-/commit/0f232a30116751f38722c65ae607c6e6958c8061">0f232a30</a></strong>

<div>

<span>by Peter Keresztes Schmidt</span>

<i>at 2020-06-07T10:21:01+03:00</i>

</div>

<pre class="commit-message" style="white-space: pre-wrap; margin: 0;">Remove unused support for dm_password arg from ldapupdate.connect

Related: https://pagure.io/freeipa/issue/7610

Reviewed-By: Alexander Bokovoy <abokovoy@redhat.com>

</pre>

</li>

<li>

<strong><a href="https://salsa.debian.org/freeipa-team/freeipa/-/commit/894b3f1d0bcaaf432eea4536c7a7c120b3fcd7a2">894b3f1d</a></strong>

<div>

<span>by Peter Keresztes Schmidt</span>

<i>at 2020-06-07T10:29:00+03:00</i>

</div>

<pre class="commit-message" style="white-space: pre-wrap; margin: 0;">po: remove zanata config since translation was moved to weblate

Related: https://pagure.io/freeipa/issue/8159

Reviewed-By: Alexander Bokovoy <abokovoy@redhat.com>

</pre>

</li>

<li>

<strong><a href="https://salsa.debian.org/freeipa-team/freeipa/-/commit/d79a7a9696ff634141bdff3423157d08513da310">d79a7a96</a></strong>

<div>

<span>by Christian Heimes</span>

<i>at 2020-06-07T10:33:15+03:00</i>

</div>

<pre class="commit-message" style="white-space: pre-wrap; margin: 0;">Handle DatabaseError in RPC-Server connect()

DatabaseError exceptions with 'account inactivated' message are turned

into 401 Unauthorized errors. The problem occurs when a user is disabled

but has a valid cookie.

Other DatabaseErrors are turned into 503 Service Unavailable. They

usually occur when LDAP server is not available or broken.

Fixes: https://pagure.io/freeipa/issue/8352

Signed-off-by: Christian Heimes <cheimes@redhat.com>

Reviewed-By: Alexander Bokovoy <abokovoy@redhat.com>

</pre>

</li>

<li>

<strong><a href="https://salsa.debian.org/freeipa-team/freeipa/-/commit/0e9b7773fb613889eacaa95504f1c40f21628c0f">0e9b7773</a></strong>

<div>

<span>by Fraser Tweedale</span>

<i>at 2020-06-07T10:38:27+03:00</i>

</div>

<pre class="commit-message" style="white-space: pre-wrap; margin: 0;">certmonger: avoid mutable default argument

certmonger._get_requests has a mutable default argument.  Although

at the present time it is never modified, this is an antipattern to

be avoided.

In fact, we don't even need the default argument, because it is

always called with a dict() argument.  So just remove it.

Part of: https://pagure.io/freeipa/issue/8186

Reviewed-By: Rob Crittenden <rcritten@redhat.com>

Reviewed-By: Rob Crittenden <rcritten@redhat.com>

</pre>

</li>

<li>

<strong><a href="https://salsa.debian.org/freeipa-team/freeipa/-/commit/ff7d0661a71ff2c9a66c8c9a1a48837d041f9099">ff7d0661</a></strong>

<div>

<span>by Fraser Tweedale</span>

<i>at 2020-06-07T10:38:27+03:00</i>

</div>

<pre class="commit-message" style="white-space: pre-wrap; margin: 0;">certmonger: move 'criteria' description to module docstring

The 'criteria' parameter is used by several subroutines in the

ipalib.install.certmonger module.  It has incomplete documentation

spread across several of these subroutines.  Move the documentation

to the module docstring and reference it where appropriate.

Part of: https://pagure.io/freeipa/issue/8186

Reviewed-By: Rob Crittenden <rcritten@redhat.com>

Reviewed-By: Rob Crittenden <rcritten@redhat.com>

</pre>

</li>

<li>

<strong><a href="https://salsa.debian.org/freeipa-team/freeipa/-/commit/b127bad8a93967c09c24edadd31d7d6e5b812186">b127bad8</a></strong>

<div>

<span>by Fraser Tweedale</span>

<i>at 2020-06-07T10:38:27+03:00</i>

</div>

<pre class="commit-message" style="white-space: pre-wrap; margin: 0;">certmonger: support dnsname as request search criterion

We need to be able to filter Certmonger tracking requests by the DNS

names defined for the request.  The goal is to add the

'ipa-ca.$DOMAIN' alias to the HTTP certificate tracking requests, so

we will use that name as a search criterion.  Implement support for

this.

As a result of this commit it will be easy to add support for subset

match of other Certmonger request list properties.  Just add the

property name to the ARRAY_PROPERTIES list (and update the

'criteria' description in the module docstring!)

Part of: https://pagure.io/freeipa/issue/8186

Reviewed-By: Rob Crittenden <rcritten@redhat.com>

Reviewed-By: Rob Crittenden <rcritten@redhat.com>

</pre>

</li>

<li>

<strong><a href="https://salsa.debian.org/freeipa-team/freeipa/-/commit/52873581e7ab1de8c02a4d80cdeeb9bf27b2f168">52873581</a></strong>

<div>

<span>by Fraser Tweedale</span>

<i>at 2020-06-07T10:38:27+03:00</i>

</div>

<pre class="commit-message" style="white-space: pre-wrap; margin: 0;">httpinstance: add fqdn and ipa-ca alias to Certmonger request

BACKGROUND:

We are implementing ACME support in FreeIPA (umbrella ticket:

https://pagure.io/freeipa/issue/4751).  ACME is defined in RFC 8555.

HTTPS is REQUIRED (https://tools.ietf.org/html/rfc8555#section-6.1).

Therefore, every FreeIPA server that provides the ACME service

capability must be reachable by HTTPS.

RFC 8555 does not say anything about which port to use for ACME.

The default HTTPS port of 443 is implied.  Therefore, the FreeIPA

ACME service will be reached via the Apache httpd server, which will

be the TLS server endpoint.

As a usability affordance for ACME clients, and as a maintainability

consideration i.e. to allow the topology to change without having to

reconfigure ACME clients, there should be a a single DNS name used

to reach the IPA ACME service.

The question then, is which DNS name to use.

REQUIREMENTS:

Each FreeIPA server that is also an ACME server must:

1. Be reachable via a common DNS name

2. Have an HTTP service certificate with that DNS name as a SAN

   dNSName value

DESIGN CONSIDERATION - WHAT DNS NAME TO USE?:

Some unrelated FreeIPA ACME design decisions provide important

context for the DNS name decision:

- The ACME service will be automatically and unconditionally

  deployed (but not necessarily *enabled*) on all CA servers.

- Enabling or disabling the ACME service will have topology-wide

  effect, i.e. the ACME service is either enabled on all CA

  servers, or disabled on all CA servers.

In a CA-ful FreeIPA deployment there is already a DNS name that

resolves to all CA servers: ``ipa-ca.$DOMAIN``, e.g.

``ipa-ca.example.com``.  It is expected to point to all CA servers

in the deployment, and *only* to CA servers.  If internal DNS is

deployed, the DNS records for ``ipa-ca.$DOMAIN`` are created and

updated automatically.  If internal DNS is not deployed,

administrators are required to maintain these DNS records

themselves.

The ``ipa-ca.$DOMAIN`` alias is currently used for OCSP and CRL

access.  TLS is not required for these applications (and it can

actually be problematic for OCSP).  Enabling TLS for this name

presents some risk of confusion for operators.  For example, if they

see that TLS is available and alter the certificate profiles to

include an HTTPS OCSP URL in the Authority Information Access (AIA)

extension, OCSP-using clients may fail to validate such

certificates.  But it is possible for administrators to make such a

change to the profile, whether or not HTTPS is available.

One big advantage to using the ``ipa-ca.$DOMAIN`` DNS name is that

there are no new DNS records to manage, either in the FreeIPA

implementation or for administrators in external DNS systems.

The alternative approach is to define a new DNS name, e.g.

``ipa-acme.$DOMAIN``, that ACME clients would use.  For internal

DNS, this means the FreeIPA implementation must manage the DNS

records.  This is straightforward; whenever we add or remove an

``ipa-ca.$DOMAIN`` record, also add/remove the ``ipa-acme.$DOMAIN``

record.  But for CA-ful deployments using external DNS, it is

additional work for adminstrators and, unless automated, additional

room for error.

An advantage of using a different DNS name is ``ipa-ca.$DOMAIN`` can

remain inaccessible over HTTPS.  This possibly reduces the risk of

administrator confusion or creation of invalid AIA configuration in

certificate profiles.

Weighing up the advantages and disadvantages, I decided to use the

``ipa-ca.$DOMAIN`` DNS name.

DESIGN CONSIDERATION - CA SERVERS, OR ALL SERVERS?:

A separate decision from which name to use is whether to include it

on the HTTP service certificate for ACME servers (i.e. CA servers)

only, or on all IPA servers.

Combined with the assumption that the chosen DNS name points to CA

servers *only*, there does not seem to be any harm in adding it to

the certificates on all IPA servers.

The alternative is to only include the chosen DNS name on the HTTP

service certificates of CA servers.  This approach entails some

additional complexity:

- If a non-CA replica gets promoted to CA replica (i.e. via

  ``ipa-ca-install``), its HTTP certificate must be re-issued with

  the relevant name.

- ipa-server-upgrade code must consider whether the server is a CA

  replica when validating (and if necessary re-creating) Certmonger

  tracking requests

- IPA Health Check must be made aware of this factor when checking

  certificates and Certmonger tracking requests.

Weighing up the options, I decided to add the common DNS name to the

HTTP service certificate on all IPA servers.  This avoids the

implementation complexity discussed above.

CHANGES IN THIS COMMIT

When (re-)tracking the HTTP certificate, explicitly add the server

FQDN and ipa-ca.$DOMAIN DNS names to the Certmonger tracking request.

Related changes follow in subsequent commits.

Part of: https://pagure.io/freeipa/issue/8186

Reviewed-By: Rob Crittenden <rcritten@redhat.com>

Reviewed-By: Rob Crittenden <rcritten@redhat.com>

</pre>

</li>

<li>

<strong><a href="https://salsa.debian.org/freeipa-team/freeipa/-/commit/4b24129f9e1ceb322c5477f9a0869f7a6b521f09">4b24129f</a></strong>

<div>

<span>by Fraser Tweedale</span>

<i>at 2020-06-07T10:38:27+03:00</i>

</div>

<pre class="commit-message" style="white-space: pre-wrap; margin: 0;">cert-request: allow ipa-ca.$DOMAIN dNSName for IPA servers

For detailed discussion on the purpose of this change and the design

decisions made, see `git log -1 $THIS_COMMIT~1`.

ACME support requires TLS and we want ACME clients to access the

service via the ipa-ca.$DOMAIN DNS name.  So we need to add the

ipa-ca.$DOMAIN dNSName to IPA servers' HTTP certificates.  To

facilitiate this, add a special case to the cert-request command

processing.  The rule is:

- if the dnsName being validated is "ipa-ca.$DOMAIN"

- and the subject principal is an "HTTP/..." service

- and the subject principal's hostname is an IPA server

Then that name (i.e. "ipa-ca.$DOMAIN") is immediately allowed.

Otherwise continue with the usual dnsName validation.

Part of: https://pagure.io/freeipa/issue/8186

Reviewed-By: Rob Crittenden <rcritten@redhat.com>

Reviewed-By: Rob Crittenden <rcritten@redhat.com>

</pre>

</li>

<li>

<strong><a href="https://salsa.debian.org/freeipa-team/freeipa/-/commit/5275342b691b2f74b365cb3422459779544be16a">5275342b</a></strong>

<div>

<span>by Fraser Tweedale</span>

<i>at 2020-06-07T10:38:27+03:00</i>

</div>

<pre class="commit-message" style="white-space: pre-wrap; margin: 0;">httpinstance: add ipa-ca.$DOMAIN alias in initial request

For detailed discussion on the purpose of this change and the design

decisions made, see `git log -1 $THIS_COMMIT~2`.

For new server/replica installation, issue the HTTP server

certificate with the 'ipa-ca.$DOMAIN' SAN dNSName.  This is

accomplished by adding the name to the Certmonger tracking request.

Part of: https://pagure.io/freeipa/issue/8186

Reviewed-By: Rob Crittenden <rcritten@redhat.com>

Reviewed-By: Rob Crittenden <rcritten@redhat.com>

</pre>

</li>

<li>

<strong><a href="https://salsa.debian.org/freeipa-team/freeipa/-/commit/c445cefacf7713746f0bb0399d33b3f4008b71b4">c445cefa</a></strong>

<div>

<span>by Fraser Tweedale</span>

<i>at 2020-06-07T10:38:27+03:00</i>

</div>

<pre class="commit-message" style="white-space: pre-wrap; margin: 0;">upgrade: add ipa-ca.$DOMAIN alias to HTTP certificate

For detailed discussion on the purpose of this change and the design

decisions made, see `git log -1 $THIS_COMMIT~3`.

If the HTTP certificate does not have the ipa-ca.$DOMAIN dNSName,

resubmit the certificate request to add the name.  This action is

performed after the tracking request has already been updated.

Note: due to https://pagure.io/certmonger/issue/143, the resubmitted

request, if it does not immediately succeed (fairly likely during

ipa-server-upgrade) and if the notAfter date of the current cert is

still far off (also likely), then Certmonger will wait 7 days before

trying again (unless restarted).  There is not much we can do about

that in the middle of ipa-server-upgrade.

Part of: https://pagure.io/freeipa/issue/8186

Reviewed-By: Rob Crittenden <rcritten@redhat.com>

Reviewed-By: Rob Crittenden <rcritten@redhat.com>

</pre>

</li>

<li>

<strong><a href="https://salsa.debian.org/freeipa-team/freeipa/-/commit/8e92190db866e7eb05aaaf41609b442f201d5c08">8e92190d</a></strong>

<div>

<span>by Fraser Tweedale</span>

<i>at 2020-06-07T10:38:27+03:00</i>

</div>

<pre class="commit-message" style="white-space: pre-wrap; margin: 0;">ipatests: check HTTP certificate contains ipa-ca.$DOMAIN dnsname

Add integration test that confirms that on CA-ful installation, the

(non-3rd-party) HTTP certificate bears the ipa-ca.$DOMAIN DNS name.

For detailed discussion on the purpose of this change and the design

decisions made, see `git log -1 $THIS_COMMIT~4`.

Part of: https://pagure.io/freeipa/issue/8186

Reviewed-By: Rob Crittenden <rcritten@redhat.com>

Reviewed-By: Rob Crittenden <rcritten@redhat.com>

</pre>

</li>

<li>

<strong><a href="https://salsa.debian.org/freeipa-team/freeipa/-/commit/7dad4a5987fa001b1bc8f7740503e359ca0449e3">7dad4a59</a></strong>

<div>

<span>by Peter Keresztes Schmidt</span>

<i>at 2020-06-08T08:25:52+03:00</i>

</div>

<pre class="commit-message" style="white-space: pre-wrap; margin: 0;">WebUI: Refresh DNS record data correctly after mod operation

Fixes: https://pagure.io/freeipa/issue/8359

Reviewed-By: Alexander Bokovoy <abokovoy@redhat.com>

</pre>

</li>

<li>

<strong><a href="https://salsa.debian.org/freeipa-team/freeipa/-/commit/df8bcc9637844c5058145eff5ed99097b6e9ca73">df8bcc96</a></strong>

<div>

<span>by Peter Keresztes Schmidt</span>

<i>at 2020-06-08T08:27:46+03:00</i>

</div>

<pre class="commit-message" style="white-space: pre-wrap; margin: 0;">WebUI: Expose TTL of DNS records

Fixes: https://pagure.io/freeipa/issue/3827

Reviewed-By: Alexander Bokovoy <abokovoy@redhat.com>

</pre>

</li>

<li>

<strong><a href="https://salsa.debian.org/freeipa-team/freeipa/-/commit/ca4cc7abe1cad87cd1e80702aedaca43cb6660d1">ca4cc7ab</a></strong>

<div>

<span>by Peter Keresztes Schmidt</span>

<i>at 2020-06-08T08:29:36+03:00</i>

</div>

<pre class="commit-message" style="white-space: pre-wrap; margin: 0;">WebUI: Add units to some DNS zone and IPA config fields

Add also tooltips to ipasearchrecordslimit and ipasearchtimelimit

to clarify the special value 0/-1.

Reviewed-By: Alexander Bokovoy <abokovoy@redhat.com>

</pre>

</li>

<li>

<strong><a href="https://salsa.debian.org/freeipa-team/freeipa/-/commit/ac47599ebf006d34d06d23654cb93f707cbd7d1f">ac47599e</a></strong>

<div>

<span>by Peter Keresztes Schmidt</span>

<i>at 2020-06-08T08:31:52+03:00</i>

</div>

<pre class="commit-message" style="white-space: pre-wrap; margin: 0;">Specify min and max values for TTL of a DNS record

Fixes: https://pagure.io/freeipa/issue/8358

Reviewed-By: Alexander Bokovoy <abokovoy@redhat.com>

</pre>

</li>

<li>

<strong><a href="https://salsa.debian.org/freeipa-team/freeipa/-/commit/f2caafb58ec578002fdf88de9cca5a3f5eaa1b2e">f2caafb5</a></strong>

<div>

<span>by Christian Heimes</span>

<i>at 2020-06-08T08:33:42+03:00</i>

</div>

<pre class="commit-message" style="white-space: pre-wrap; margin: 0;">Allow permissions with 'self' bindruletype

Make it possible to create a managed permission with

ipapermbindruletype="self". The ACI will have bind rule

'(userdn = "ldap:///self")'.

Example

-------

Allow users to modify their own fasTimezone and fasIRCNick attributes:

```

managed_permissions = {

    "System: Self-Modify FAS user attributes": {

        "ipapermright": {"write"},

        "ipapermtargetfilter": ["(objectclass=fasuser)"],

        "ipapermbindruletype": "self",

        "ipapermdefaultattr": ["fasTimezone", "fasIRCNick"],

    }

}

```

See: https://github.com/fedora-infra/freeipa-fas/pull/107

Fixes: https://pagure.io/freeipa/issue/8348

Signed-off-by: Christian Heimes <cheimes@redhat.com>

Reviewed-By: Alexander Bokovoy <abokovoy@redhat.com>

Reviewed-By: Rob Crittenden <rcritten@redhat.com>

</pre>

</li>

<li>

<strong><a href="https://salsa.debian.org/freeipa-team/freeipa/-/commit/1062caaae6380fcf79ed11eb3ec5b015c0102e6a">1062caaa</a></strong>

<div>

<span>by Christian Heimes</span>

<i>at 2020-06-08T08:35:02+03:00</i>

</div>

<pre class="commit-message" style="white-space: pre-wrap; margin: 0;">Handle DatabaseError in RPC-Server connect()

DatabaseError exceptions with 'account inactivated' message are turned

into 401 Unauthorized errors. The problem occurs when a user is disabled

but has a valid cookie.

Other DatabaseErrors are turned into 503 Service Unavailable. They

usually occur when LDAP server is not available or broken.

Fixes: https://pagure.io/freeipa/issue/8352

Signed-off-by: Christian Heimes <cheimes@redhat.com>

Reviewed-By: Alexander Bokovoy <abokovoy@redhat.com>

</pre>

</li>

<li>

<strong><a href="https://salsa.debian.org/freeipa-team/freeipa/-/commit/a29eec33fa2bc4b5e57f3f63c67d212aeb5c5ff4">a29eec33</a></strong>

<div>

<span>by Peter Keresztes Schmidt</span>

<i>at 2020-06-08T08:36:37+03:00</i>

</div>

<pre class="commit-message" style="white-space: pre-wrap; margin: 0;">po: remove zanata config since translation was moved to weblate

Related: https://pagure.io/freeipa/issue/8159

Reviewed-By: Alexander Bokovoy <abokovoy@redhat.com>

</pre>

</li>

<li>

<strong><a href="https://salsa.debian.org/freeipa-team/freeipa/-/commit/f2d854886fdaa4d61965c1af6c02060d816a1fbf">f2d85488</a></strong>

<div>

<span>by Peter Keresztes Schmidt</span>

<i>at 2020-06-08T12:54:19+03:00</i>

</div>

<pre class="commit-message" style="white-space: pre-wrap; margin: 0;">util: add unit test for pw hashing

Related: https://pagure.io/freeipa/issue/6857

Reviewed-By: Alexander Bokovoy <abokovoy@redhat.com>

Reviewed-By: Christian Heimes <cheimes@redhat.com>

</pre>

</li>

<li>

<strong><a href="https://salsa.debian.org/freeipa-team/freeipa/-/commit/68af4f39c19fb52fcf6ed674b883ee30026bdb4b">68af4f39</a></strong>

<div>

<span>by Peter Keresztes Schmidt</span>

<i>at 2020-06-08T12:54:19+03:00</i>

</div>

<pre class="commit-message" style="white-space: pre-wrap; margin: 0;">util: replace NSS usage with OpenSSL

Fixes: https://pagure.io/freeipa/issue/6857

Reviewed-By: Alexander Bokovoy <abokovoy@redhat.com>

Reviewed-By: Christian Heimes <cheimes@redhat.com>

</pre>

</li>

<li>

<strong><a href="https://salsa.debian.org/freeipa-team/freeipa/-/commit/0fe645efc16995f159db31dc514c8a8e0e13c706">0fe645ef</a></strong>

<div>

<span>by Peter Keresztes Schmidt</span>

<i>at 2020-06-08T14:35:03+03:00</i>

</div>

<pre class="commit-message" style="white-space: pre-wrap; margin: 0;">util: add unit test for pw hashing

Related: https://pagure.io/freeipa/issue/6857

Reviewed-By: Alexander Bokovoy <abokovoy@redhat.com>

Reviewed-By: Christian Heimes <cheimes@redhat.com>

</pre>

</li>

<li>

<strong><a href="https://salsa.debian.org/freeipa-team/freeipa/-/commit/41a20fef10382a3d2c7f3260a8e0fba8a29d809a">41a20fef</a></strong>

<div>

<span>by Peter Keresztes Schmidt</span>

<i>at 2020-06-08T14:35:03+03:00</i>

</div>

<pre class="commit-message" style="white-space: pre-wrap; margin: 0;">util: replace NSS usage with OpenSSL

Fixes: https://pagure.io/freeipa/issue/6857

Reviewed-By: Alexander Bokovoy <abokovoy@redhat.com>

Reviewed-By: Christian Heimes <cheimes@redhat.com>

</pre>

</li>

<li>

<strong><a href="https://salsa.debian.org/freeipa-team/freeipa/-/commit/88d1dcc52aaf7a4d63416e6427fe523679b6ec6f">88d1dcc5</a></strong>

<div>

<span>by Peter Keresztes Schmidt</span>

<i>at 2020-06-08T14:23:56+02:00</i>

</div>

<pre class="commit-message" style="white-space: pre-wrap; margin: 0;">lite-server: Fix werkzeug deprecation warnings

Fixes: https://pagure.io/freeipa/issue/8360

Reviewed-By: Alexander Bokovoy <abokovoy@redhat.com>

Reviewed-By: Christian Heimes <cheimes@redhat.com>

</pre>

</li>

<li>

<strong><a href="https://salsa.debian.org/freeipa-team/freeipa/-/commit/a5cbdb57e50cfc62f61affda19ce878b2abd33de">a5cbdb57</a></strong>

<div>

<span>by Peter Keresztes Schmidt</span>

<i>at 2020-06-08T15:53:40+03:00</i>

</div>

<pre class="commit-message" style="white-space: pre-wrap; margin: 0;">Split named custom config to allow changes in options stanza

Upgrade path to add additional include to named.conf is not handled.

Remove bindkeys-file directive from named config

The ISC DVL service was shut down (https://www.isc.org/bind-keys/).

BIND versions since April 2017 (i.e. 9.9.10, 9.10.5, 9.11.1 and later)

include a hard-coded copy of the root KSK which gets updates automatically

according to RFC 5011.

Move dnssec-enable directive to custom named config

Move comment named config being managed by FreeIPA to the top

Move settings which could be changed by administrators to

ipa-options-ext.conf. Settings defined there are sole responsibility of the

administrator. We do not check if they might collide with our settings in

named.conf.

Fixes: https://pagure.io/freeipa/issue/8287

Co-authored-by: Peter Keresztes Schmidt <carbenium@outlook.com>

Reviewed-By: Alexander Bokovoy <abokovoy@redhat.com>

</pre>

</li>

<li>

<strong><a href="https://salsa.debian.org/freeipa-team/freeipa/-/commit/6e5d40e2d2a53e44270fb18a7be3b0d7e346f46d">6e5d40e2</a></strong>

<div>

<span>by Christian Heimes</span>

<i>at 2020-06-08T15:53:40+03:00</i>

</div>

<pre class="commit-message" style="white-space: pre-wrap; margin: 0;">Include named config files in backup

Signed-off-by: Christian Heimes <cheimes@redhat.com>

Reviewed-By: Alexander Bokovoy <abokovoy@redhat.com>

</pre>

</li>

<li>

<strong><a href="https://salsa.debian.org/freeipa-team/freeipa/-/commit/e071933e642a83140550ddcf86d6fcb50c3e65bc">e071933e</a></strong>

<div>

<span>by Sergio Oliveira Campos</span>

<i>at 2020-06-08T10:34:18-03:00</i>

</div>

<pre class="commit-message" style="white-space: pre-wrap; margin: 0;">Add test for sssd ad trust lookup with dn in certmaprule

Related to https://pagure.io/SSSD/sssd/issue/3721

Signed-off-by: Sergio Oliveira Campos <seocam@redhat.com>

Reviewed-By: Anuja More <amore@redhat.com>

Reviewed-By: Florence Blanc-Renaud <flo@redhat.com>

Reviewed-By: Alexander Bokovoy <abokovoy@redhat.com>

Reviewed-By: Sumit Bose <sbose@redhat.com>

</pre>

</li>

<li>

<strong><a href="https://salsa.debian.org/freeipa-team/freeipa/-/commit/539d46918f5c0e0c912965addd286ee31bcb93e1">539d4691</a></strong>

<div>

<span>by Peter Keresztes Schmidt</span>

<i>at 2020-06-08T17:31:26+03:00</i>

</div>

<pre class="commit-message" style="white-space: pre-wrap; margin: 0;">Split named custom config to allow changes in options stanza

Upgrade path to add additional include to named.conf is not handled.

Remove bindkeys-file directive from named config

The ISC DVL service was shut down (https://www.isc.org/bind-keys/).

BIND versions since April 2017 (i.e. 9.9.10, 9.10.5, 9.11.1 and later)

include a hard-coded copy of the root KSK which gets updates automatically

according to RFC 5011.

Move dnssec-enable directive to custom named config

Move comment named config being managed by FreeIPA to the top

Move settings which could be changed by administrators to

ipa-options-ext.conf. Settings defined there are sole responsibility of the

administrator. We do not check if they might collide with our settings in

named.conf.

Fixes: https://pagure.io/freeipa/issue/8287

Co-authored-by: Peter Keresztes Schmidt <carbenium@outlook.com>

Reviewed-By: Alexander Bokovoy <abokovoy@redhat.com>

</pre>

</li>

<li>

<strong><a href="https://salsa.debian.org/freeipa-team/freeipa/-/commit/782ee1162fbf82c6ab54cb7918d26aba8acbc665">782ee116</a></strong>

<div>

<span>by Christian Heimes</span>

<i>at 2020-06-08T17:31:26+03:00</i>

</div>

<pre class="commit-message" style="white-space: pre-wrap; margin: 0;">Include named config files in backup

Signed-off-by: Christian Heimes <cheimes@redhat.com>

Reviewed-By: Alexander Bokovoy <abokovoy@redhat.com>

</pre>

</li>

<li>

<strong><a href="https://salsa.debian.org/freeipa-team/freeipa/-/commit/b9a6027410814832f9228621abd2bbd2acebb944">b9a60274</a></strong>

<div>

<span>by Alexander Bokovoy</span>

<i>at 2020-06-08T18:06:16+02:00</i>

</div>

<pre class="commit-message" style="white-space: pre-wrap; margin: 0;">ipa-pwd-extop: use timegm() instead of mktime() to preserve timezone offset

"Kerberos principal expiration" is set in UTC and when server is in

different timezone, the time difference between timezone is respected by

the IPA server/client for Kerberos authentication.

The problem is due to mktime() assuming default time zone but since we

parse the time using Zulu (UTC+0) timezone, mktime() forces current time

zone offset added.

The method is using mktime() and comparing to the current time obtained

with time(NULL). According to its man page, mktime is considering the

time as local time:

   The mktime() function converts a broken-down time structure,  expressed

   as  local  time, to calendar time representation.

Instead mktime() we should use timegm(). The problem is that it is

non-standard GNU extension and it is recommended (in the man page for

timegm(3)) to avoid its use. An alternative is to set TZ=UTC, call

mktime(), unset TZ, but since we are running in a multi-threaded

environment this is problematic.

On the other hand, we already rely on GNU extensions and enable them

with -D_DEFAULT_SOURCE=1, so use of timegm() is enabled already.

The fix, therefore, is to use timegm() instead of mktime() in

daemons/ipa-slapi-plugins/ipa-pwd-extop/prepost.c in two places where we

first do 'strptime()' with Zulu time zone (in ipapwd_pre_bind() and

ipapwd_write_krb_keys()).

Fixes: https://pagure.io/freeipa/issue/8362

Signed-off-by: Alexander Bokovoy <abokovoy@redhat.com>

Reviewed-by: Simo Sorce <simo@redhat.com>

Reviewed-By: Christian Heimes <cheimes@redhat.com>

</pre>

</li>

<li>

<strong><a href="https://salsa.debian.org/freeipa-team/freeipa/-/commit/676774d3fb8a0921afd678d5b0bbe30bcb082420">676774d3</a></strong>

<div>

<span>by Alexander Bokovoy</span>

<i>at 2020-06-08T12:39:34-04:00</i>

</div>

<pre class="commit-message" style="white-space: pre-wrap; margin: 0;">kdb: handle enterprise principal lookup in AS_REQ

Refactoring of the get_principal() code in commit

b5876f30d4000424cc8122498c411f812b3a0959 broke handling of enterprise

principal lookup for AS request (kinit -E user@ipa.test@IPA.TEST).

Related: https://pagure.io/freeipa/issue/8319

Signed-off-by: Alexander Bokovoy <abokovoy@redhat.com>

Reviewed-By: Rob Crittenden <rcritten@redhat.com>

</pre>

</li>

<li>

<strong><a href="https://salsa.debian.org/freeipa-team/freeipa/-/commit/28389fe8af3fb2f36e18864668fb167aa8daca99">28389fe8</a></strong>

<div>

<span>by Alexander Bokovoy</span>

<i>at 2020-06-08T12:39:34-04:00</i>

</div>

<pre class="commit-message" style="white-space: pre-wrap; margin: 0;">Add design page for managing IPA resources as a user from a trusted Active Directory forest

Fixes: https://pagure.io/freeipa/issue/8357

Fixes: https://pagure.io/freeipa/issue/7816

Signed-off-by: Alexander Bokovoy <abokovoy@redhat.com>

Reviewed-By: Rob Crittenden <rcritten@redhat.com>

</pre>

</li>

<li>

<strong><a href="https://salsa.debian.org/freeipa-team/freeipa/-/commit/ecc0a96d161717960058e22eecad43754de06f11">ecc0a96d</a></strong>

<div>

<span>by Alexander Bokovoy</span>

<i>at 2020-06-08T12:39:34-04:00</i>

</div>

<pre class="commit-message" style="white-space: pre-wrap; margin: 0;">support using trust-related operations in the server console

When using `ipa -e in_server=True console` on IPA master, the whole IPA

framework is loaded in the same process ('ipa console'). The context

defined for this configuration is 'cli'. Some trust-related operations

need to load Samba bindings and guard itself to 'lite' and 'server'

contexts.

Upon reviewing these cases I came to conclusion that these guards are

unnecessary. It is enough to require that the context is in the server

code.

Allow these operations if we are operating in server mode. This allows

to debug trust-related issued directly in the IPA console on IPA trust

controllers.

Signed-of-by: Alexander Bokovoy <abokovoy@redhat.com>

Reviewed-By: Rob Crittenden <rcritten@redhat.com>

</pre>

</li>

<li>

<strong><a href="https://salsa.debian.org/freeipa-team/freeipa/-/commit/973e0c04e460c99f601b0292ff9c64dd0882432e">973e0c04</a></strong>

<div>

<span>by Alexander Bokovoy</span>

<i>at 2020-06-08T12:39:34-04:00</i>

</div>

<pre class="commit-message" style="white-space: pre-wrap; margin: 0;">idviews: handle unqualified ID override lookups from Web UI

First part of the required changes to merge a plugin to manage IPA as

a trusted Active Directory user.

It is not possible to omit ID view in IPA API but a client might specify

empty ID view. Up right now the empty view was considered an error. This

prevented Web UI from resolving ID overrides in a group member adder

dialog.

Default to 'Default Trust View' if the ID view is None or empty string

(''). Do this only for user ID overrides, as we do not support adding

group ID overrides as group members in a plugin to manage IPA as a

trusted Active Directory user[1].

Being a group member means an object in LDAP must have an object class

that allows 'memberOf' attribute because 389-ds 'memberof' plugin will

attempt to link back to the object from the group. Allow use of

'nsMemberOf' object class in ID overrides.

Fixes: https://pagure.io/freeipa/issue/7255

[1] https://github.com/abbra/freeipa-adusers-admins

Signed-off-by: Alexander Bokovoy <abokovoy@redhat.com>

Reviewed-By: Rob Crittenden <rcritten@redhat.com>

</pre>

</li>

<li>

<strong><a href="https://salsa.debian.org/freeipa-team/freeipa/-/commit/bee4204039dac9cd858e823b839183ba2cdbd216">bee42040</a></strong>

<div>

<span>by Alexander Bokovoy</span>

<i>at 2020-06-08T12:39:34-04:00</i>

</div>

<pre class="commit-message" style="white-space: pre-wrap; margin: 0;">Support adding user ID overrides as group and role members

Second part of adding support to manage IPA as a user from a trusted

Active Directory forest.

Treat user ID overrides as members of groups and roles.

For example, adding an Active Directory user ID override as a member of

'admins' group would make it equivalent to built-in FreeIPA 'admin'

user.

We already support self-service operations by Active Directory users if

their user ID override does exist. When Active Directory user

authenticates with GSSAPI against the FreeIPA LDAP server, its Kerberos

principal is automatically mapped to the user's ID override in the

Default Trust View. LDAP server's access control plugin uses membership

information of the corresponding LDAP entry to decide how access can be

allowed.

With the change, users from trusted Active Directory forests can

manage FreeIPA resources if the groups are part of appropriate roles or

their ID overrides are members of the roles themselves.

Fixes: https://pagure.io/freeipa/issue/7255

Signed-off-by: Alexander Bokovoy <abokovoy@redhat.com>

Reviewed-By: Rob Crittenden <rcritten@redhat.com>

</pre>

</li>

<li>

<strong><a href="https://salsa.debian.org/freeipa-team/freeipa/-/commit/306304bb7fb35c88d987e8460aacad6cad0ae888">306304bb</a></strong>

<div>

<span>by Alexander Bokovoy</span>

<i>at 2020-06-08T12:39:34-04:00</i>

</div>

<pre class="commit-message" style="white-space: pre-wrap; margin: 0;">tests: account for ID overrides as members of groups and roles

Fixes: https://pagure.io/freeipa/issue/7255

Signed-off-by: Alexander Bokovoy <abokovoy@redhat.com>

Reviewed-By: Rob Crittenden <rcritten@redhat.com>

</pre>

</li>

<li>

<strong><a href="https://salsa.debian.org/freeipa-team/freeipa/-/commit/0ba64b1ac3fa1709c09b30754138946ddc9c2839">0ba64b1a</a></strong>

<div>

<span>by Alexander Bokovoy</span>

<i>at 2020-06-08T12:39:34-04:00</i>

</div>

<pre class="commit-message" style="white-space: pre-wrap; margin: 0;">Web UI: allow users from trusted Active Directory forest manage IPA

Extend Web UI logic to decide whether default Web UI view should have a

full menu or should be confined to a self-service interface. Standard

logic in FreeIPA Web UI is to combine two facts:

 * for IPA users membership in `admins` group is used to indicate full

   menu should be shown

 * for AD users the fact that ID override object is presented by IPA

   `whoami` command is used to confine to a self-service interface

With the change to allow user ID overrides from a default trust view to

be members of groups and roles, we can unify the administrative

privileges checks for both IPA and AD users.

Fixed: https://pagure.io/freeipa/issue/8335

Signed-off-by: Alexander Bokovoy <abokovoy@redhat.com>

Reviewed-By: Rob Crittenden <rcritten@redhat.com>

</pre>

</li>

<li>

<strong><a href="https://salsa.debian.org/freeipa-team/freeipa/-/commit/9248d23ae8e8573b6877851c1d1b31878a7bd1d4">9248d23a</a></strong>

<div>

<span>by Alexander Bokovoy</span>

<i>at 2020-06-08T12:39:34-04:00</i>

</div>

<pre class="commit-message" style="white-space: pre-wrap; margin: 0;">ipatests: test that adding Active Directory user to a role makes it an administrator

Fixes: https://pagure.io/freeipa/issue/8357

Signed-off-by: Alexander Bokovoy <abokovoy@redhat.com>

Reviewed-By: Rob Crittenden <rcritten@redhat.com>

</pre>

</li>

<li>

<strong><a href="https://salsa.debian.org/freeipa-team/freeipa/-/commit/be47ec9799ef7708f181d1b20fc238f23539a9b0">be47ec97</a></strong>

<div>

<span>by Christian Heimes</span>

<i>at 2020-06-08T20:04:18+03:00</i>

</div>

<pre class="commit-message" style="white-space: pre-wrap; margin: 0;">libotp: Replace NSS with OpenSSL HMAC

Use OpenSSL's HMAC API instead of NSS.

Fixes: Fixes: https://pagure.io/freeipa/issue/6857

Signed-off-by: Christian Heimes <cheimes@redhat.com>

Reviewed-By: Alexander Bokovoy <abokovoy@redhat.com>

</pre>

</li>

<li>

<strong><a href="https://salsa.debian.org/freeipa-team/freeipa/-/commit/1f22ae50be0268b7bb19ccb3f2f9cc832cd9f7c5">1f22ae50</a></strong>

<div>

<span>by Sergio Oliveira Campos</span>

<i>at 2020-06-08T21:37:51+03:00</i>

</div>

<pre class="commit-message" style="white-space: pre-wrap; margin: 0;">Add test for sssd ad trust lookup with dn in certmaprule

Related to https://pagure.io/SSSD/sssd/issue/3721

Signed-off-by: Sergio Oliveira Campos <seocam@redhat.com>

Reviewed-By: Sumit Bose <sbose@redhat.com>

Reviewed-By: Alexander Bokovoy <abokovoy@redhat.com>

Reviewed-By: Florence Blanc-Renaud <flo@redhat.com>

Reviewed-By: Anuja More <amore@redhat.com>

</pre>

</li>

<li>

<strong><a href="https://salsa.debian.org/freeipa-team/freeipa/-/commit/47adde99c28d1f7da5180a29ebcd2d70158217b5">47adde99</a></strong>

<div>

<span>by Christian Heimes</span>

<i>at 2020-06-08T22:33:17+03:00</i>

</div>

<pre class="commit-message" style="white-space: pre-wrap; margin: 0;">libotp: Replace NSS with OpenSSL HMAC

Use OpenSSL's HMAC API instead of NSS.

Fixes: Fixes: https://pagure.io/freeipa/issue/6857

Signed-off-by: Christian Heimes <cheimes@redhat.com>

Reviewed-By: Alexander Bokovoy <abokovoy@redhat.com>

</pre>

</li>

<li>

<strong><a href="https://salsa.debian.org/freeipa-team/freeipa/-/commit/e7319f628fd70bb7abc77aff1a819326bf52cb5c">e7319f62</a></strong>

<div>

<span>by François Cami</span>

<i>at 2020-06-08T22:36:49+03:00</i>

</div>

<pre class="commit-message" style="white-space: pre-wrap; margin: 0;">tasks.py: add krb5_trace to create_active_user and kinit_as_user

The test test_adtrust_install.py::TestIpaAdTrustInstall::test_add_agent_not_allowed

sometimes fails when resetting a user's password using kinit in create_active_user.

Add krb5_trace (default: False) to create_active_user and kinit_as_user.

Related-to: https://pagure.io/freeipa/issue/8353

Related-to: https://pagure.io/freeipa/issue/8271

Signed-off-by: François Cami <fcami@redhat.com>

Reviewed-By: Michal Polovka <mpolovka@redhat.com>

Reviewed-By: Robbie Harwood <rharwood@redhat.com>

</pre>

</li>

<li>

<strong><a href="https://salsa.debian.org/freeipa-team/freeipa/-/commit/8f8c560ffd37ea7c23a609fb0b3713a133d9f15f">8f8c560f</a></strong>

<div>

<span>by François Cami</span>

<i>at 2020-06-08T22:36:49+03:00</i>

</div>

<pre class="commit-message" style="white-space: pre-wrap; margin: 0;">ipatests: add KRB5_TRACE to kinit in test_adtrust_install.py

The test test_adtrust_install.py::TestIpaAdTrustInstall::test_add_agent_not_allowed

sometimes fails at kinit in create_active_user:

```

kinit: Password has expired while getting initial credentials

```

Use krb5_trace to catch the required debug information.

Related-to: https://pagure.io/freeipa/issue/8353

Related-to: https://pagure.io/freeipa/issue/8271

Signed-off-by: François Cami <fcami@redhat.com>

Reviewed-By: Michal Polovka <mpolovka@redhat.com>

Reviewed-By: Robbie Harwood <rharwood@redhat.com>

</pre>

</li>

<li>

<strong><a href="https://salsa.debian.org/freeipa-team/freeipa/-/commit/6abade3f8daed8dfa024936114209d19319c4f12">6abade3f</a></strong>

<div>

<span>by Alexander Bokovoy</span>

<i>at 2020-06-08T15:58:26-04:00</i>

</div>

<pre class="commit-message" style="white-space: pre-wrap; margin: 0;">kdb: handle enterprise principal lookup in AS_REQ

Refactoring of the get_principal() code in commit

b5876f30d4000424cc8122498c411f812b3a0959 broke handling of enterprise

principal lookup for AS request (kinit -E user@ipa.test@IPA.TEST).

Related: https://pagure.io/freeipa/issue/8319

Signed-off-by: Alexander Bokovoy <abokovoy@redhat.com>

Reviewed-By: Rob Crittenden <rcritten@redhat.com>

Reviewed-By: Rob Crittenden <rcritten@redhat.com>

</pre>

</li>

<li>

<strong><a href="https://salsa.debian.org/freeipa-team/freeipa/-/commit/afe9191f99e034bcf52475b57996d81609de6837">afe9191f</a></strong>

<div>

<span>by Alexander Bokovoy</span>

<i>at 2020-06-08T15:58:26-04:00</i>

</div>

<pre class="commit-message" style="white-space: pre-wrap; margin: 0;">support using trust-related operations in the server console

When using `ipa -e in_server=True console` on IPA master, the whole IPA

framework is loaded in the same process ('ipa console'). The context

defined for this configuration is 'cli'. Some trust-related operations

need to load Samba bindings and guard itself to 'lite' and 'server'

contexts.

Upon reviewing these cases I came to conclusion that these guards are

unnecessary. It is enough to require that the context is in the server

code.

Allow these operations if we are operating in server mode. This allows

to debug trust-related issued directly in the IPA console on IPA trust

controllers.

Signed-of-by: Alexander Bokovoy <abokovoy@redhat.com>

Reviewed-By: Rob Crittenden <rcritten@redhat.com>

Reviewed-By: Rob Crittenden <rcritten@redhat.com>

</pre>

</li>

<li>

<strong><a href="https://salsa.debian.org/freeipa-team/freeipa/-/commit/2ffb4fd18fceb509773951ce4f02aa0c5e2f851a">2ffb4fd1</a></strong>

<div>

<span>by Alexander Bokovoy</span>

<i>at 2020-06-08T15:58:26-04:00</i>

</div>

<pre class="commit-message" style="white-space: pre-wrap; margin: 0;">idviews: handle unqualified ID override lookups from Web UI

First part of the required changes to merge a plugin to manage IPA as

a trusted Active Directory user.

It is not possible to omit ID view in IPA API but a client might specify

empty ID view. Up right now the empty view was considered an error. This

prevented Web UI from resolving ID overrides in a group member adder

dialog.

Default to 'Default Trust View' if the ID view is None or empty string

(''). Do this only for user ID overrides, as we do not support adding

group ID overrides as group members in a plugin to manage IPA as a

trusted Active Directory user[1].

Being a group member means an object in LDAP must have an object class

that allows 'memberOf' attribute because 389-ds 'memberof' plugin will

attempt to link back to the object from the group. Allow use of

'nsMemberOf' object class in ID overrides.

Fixes: https://pagure.io/freeipa/issue/7255

[1] https://github.com/abbra/freeipa-adusers-admins

Signed-off-by: Alexander Bokovoy <abokovoy@redhat.com>

Reviewed-By: Rob Crittenden <rcritten@redhat.com>

Reviewed-By: Rob Crittenden <rcritten@redhat.com>

</pre>

</li>

<li>

<strong><a href="https://salsa.debian.org/freeipa-team/freeipa/-/commit/8cce2bb31ab96f6ce6edba95f54575576f2b1a40">8cce2bb3</a></strong>

<div>

<span>by Alexander Bokovoy</span>

<i>at 2020-06-08T15:58:26-04:00</i>

</div>

<pre class="commit-message" style="white-space: pre-wrap; margin: 0;">Support adding user ID overrides as group and role members

Second part of adding support to manage IPA as a user from a trusted

Active Directory forest.

Treat user ID overrides as members of groups and roles.

For example, adding an Active Directory user ID override as a member of

'admins' group would make it equivalent to built-in FreeIPA 'admin'

user.

We already support self-service operations by Active Directory users if

their user ID override does exist. When Active Directory user

authenticates with GSSAPI against the FreeIPA LDAP server, its Kerberos

principal is automatically mapped to the user's ID override in the

Default Trust View. LDAP server's access control plugin uses membership

information of the corresponding LDAP entry to decide how access can be

allowed.

With the change, users from trusted Active Directory forests can

manage FreeIPA resources if the groups are part of appropriate roles or

their ID overrides are members of the roles themselves.

Fixes: https://pagure.io/freeipa/issue/7255

Signed-off-by: Alexander Bokovoy <abokovoy@redhat.com>

Reviewed-By: Rob Crittenden <rcritten@redhat.com>

Reviewed-By: Rob Crittenden <rcritten@redhat.com>

</pre>

</li>

<li>

<strong><a href="https://salsa.debian.org/freeipa-team/freeipa/-/commit/5e8df37e4cca155bf58aa4e61b9fa3f28eddd526">5e8df37e</a></strong>

<div>

<span>by Alexander Bokovoy</span>

<i>at 2020-06-08T15:58:26-04:00</i>

</div>

<pre class="commit-message" style="white-space: pre-wrap; margin: 0;">tests: account for ID overrides as members of groups and roles

Fixes: https://pagure.io/freeipa/issue/7255

Signed-off-by: Alexander Bokovoy <abokovoy@redhat.com>

Reviewed-By: Rob Crittenden <rcritten@redhat.com>

Reviewed-By: Rob Crittenden <rcritten@redhat.com>

</pre>

</li>

<li>

<strong><a href="https://salsa.debian.org/freeipa-team/freeipa/-/commit/99e613e478f7925d0f470a04d4de5a2f93385b7a">99e613e4</a></strong>

<div>

<span>by Alexander Bokovoy</span>

<i>at 2020-06-08T15:58:26-04:00</i>

</div>

<pre class="commit-message" style="white-space: pre-wrap; margin: 0;">Web UI: allow users from trusted Active Directory forest manage IPA

Extend Web UI logic to decide whether default Web UI view should have a

full menu or should be confined to a self-service interface. Standard

logic in FreeIPA Web UI is to combine two facts:

 * for IPA users membership in `admins` group is used to indicate full

   menu should be shown

 * for AD users the fact that ID override object is presented by IPA

   `whoami` command is used to confine to a self-service interface

With the change to allow user ID overrides from a default trust view to

be members of groups and roles, we can unify the administrative

privileges checks for both IPA and AD users.

Fixed: https://pagure.io/freeipa/issue/8335

Signed-off-by: Alexander Bokovoy <abokovoy@redhat.com>

Reviewed-By: Rob Crittenden <rcritten@redhat.com>

Reviewed-By: Rob Crittenden <rcritten@redhat.com>

</pre>

</li>

<li>

<strong><a href="https://salsa.debian.org/freeipa-team/freeipa/-/commit/6b0f8f3617378da41ead8640e194e5b9415a38b1">6b0f8f36</a></strong>

<div>

<span>by Alexander Bokovoy</span>

<i>at 2020-06-08T15:58:26-04:00</i>

</div>

<pre class="commit-message" style="white-space: pre-wrap; margin: 0;">ipatests: test that adding Active Directory user to a role makes it an administrator

Fixes: https://pagure.io/freeipa/issue/8357

Signed-off-by: Alexander Bokovoy <abokovoy@redhat.com>

Reviewed-By: Rob Crittenden <rcritten@redhat.com>

Reviewed-By: Rob Crittenden <rcritten@redhat.com>

</pre>

</li>

<li>

<strong><a href="https://salsa.debian.org/freeipa-team/freeipa/-/commit/ca0a62eac36ecf6b55b0983eaa139a25ed2a1ca2">ca0a62ea</a></strong>

<div>

<span>by Alexander Bokovoy</span>

<i>at 2020-06-08T16:02:21-04:00</i>

</div>

<pre class="commit-message" style="white-space: pre-wrap; margin: 0;">ipa-pwd-extop: use timegm() instead of mktime() to preserve timezone offset

"Kerberos principal expiration" is set in UTC and when server is in

different timezone, the time difference between timezone is respected by

the IPA server/client for Kerberos authentication.

The problem is due to mktime() assuming default time zone but since we

parse the time using Zulu (UTC+0) timezone, mktime() forces current time

zone offset added.

The method is using mktime() and comparing to the current time obtained

with time(NULL). According to its man page, mktime is considering the

time as local time:

   The mktime() function converts a broken-down time structure,  expressed

   as  local  time, to calendar time representation.

Instead mktime() we should use timegm(). The problem is that it is

non-standard GNU extension and it is recommended (in the man page for

timegm(3)) to avoid its use. An alternative is to set TZ=UTC, call

mktime(), unset TZ, but since we are running in a multi-threaded

environment this is problematic.

On the other hand, we already rely on GNU extensions and enable them

with -D_DEFAULT_SOURCE=1, so use of timegm() is enabled already.

The fix, therefore, is to use timegm() instead of mktime() in

daemons/ipa-slapi-plugins/ipa-pwd-extop/prepost.c in two places where we

first do 'strptime()' with Zulu time zone (in ipapwd_pre_bind() and

ipapwd_write_krb_keys()).

Fixes: https://pagure.io/freeipa/issue/8362

Signed-off-by: Alexander Bokovoy <abokovoy@redhat.com>

Reviewed-by: Simo Sorce <simo@redhat.com>

Reviewed-By: Simo Sorce <ssorce@redhat.com>

Reviewed-By: Christian Heimes <cheimes@redhat.com>

</pre>

</li>

<li>

<strong><a href="https://salsa.debian.org/freeipa-team/freeipa/-/commit/01f27e292211e949c1ee2de727a203503ddfffa8">01f27e29</a></strong>

<div>

<span>by François Cami</span>

<i>at 2020-06-08T16:58:37-04:00</i>

</div>

<pre class="commit-message" style="white-space: pre-wrap; margin: 0;">tasks.py: add krb5_trace to create_active_user and kinit_as_user

The test test_adtrust_install.py::TestIpaAdTrustInstall::test_add_agent_not_allowed

sometimes fails when resetting a user's password using kinit in create_active_user.

Add krb5_trace (default: False) to create_active_user and kinit_as_user.

Related-to: https://pagure.io/freeipa/issue/8353

Related-to: https://pagure.io/freeipa/issue/8271

Signed-off-by: François Cami <fcami@redhat.com>

Reviewed-By: Michal Polovka <mpolovka@redhat.com>

Reviewed-By: Robbie Harwood <rharwood@redhat.com>

</pre>

</li>

<li>

<strong><a href="https://salsa.debian.org/freeipa-team/freeipa/-/commit/2032a619bb0a618b0d39fee0f61fbbc0a71ad77c">2032a619</a></strong>

<div>

<span>by François Cami</span>

<i>at 2020-06-08T16:58:37-04:00</i>

</div>

<pre class="commit-message" style="white-space: pre-wrap; margin: 0;">ipatests: add KRB5_TRACE to kinit in test_adtrust_install.py

The test test_adtrust_install.py::TestIpaAdTrustInstall::test_add_agent_not_allowed

sometimes fails at kinit in create_active_user:

```

kinit: Password has expired while getting initial credentials

```

Use krb5_trace to catch the required debug information.

Related-to: https://pagure.io/freeipa/issue/8353

Related-to: https://pagure.io/freeipa/issue/8271

Signed-off-by: François Cami <fcami@redhat.com>

Reviewed-By: Michal Polovka <mpolovka@redhat.com>

Reviewed-By: Robbie Harwood <rharwood@redhat.com>

</pre>

</li>

<li>

<strong><a href="https://salsa.debian.org/freeipa-team/freeipa/-/commit/b8886c3e97b88739ea1d2471d692a5582234fcb9">b8886c3e</a></strong>

<div>

<span>by François Cami</span>

<i>at 2020-06-09T08:43:45+02:00</i>

</div>

<pre class="commit-message" style="white-space: pre-wrap; margin: 0;">IPA-EPN: First version.

EPN stands for Expiring Password Notification. It is a standalone

tool designed to build a list of users whose password would expire

in the near future, and either display the list in a machine-readable

format, or send email notifications to these users.

EPN provides command-line options to display the list of affected users.

This provides data introspection and helps understand how many emails

would be sent for a given day, or a given date range.

The command-line options can also be used by a monitoring system to alert

whenever a number of emails over the SMTP quota would be sent.

EPN is meant to be launched once a day from an IPA client (preferred)

or replica from a systemd timer.

EPN does not keep state. The list of affected users is built at runtime

but never kept.

TLS/STARTTLS SMTP code is untested and unlikely to work as-is.

Parts of code contributed by Rob Crittenden.

Ideas and feedback contributed by Christian Heimes and Michal Polovka.

Fixes: https://pagure.io/freeipa/issue/3687

Signed-off-by: François Cami <fcami@redhat.com>

Signed-off-by: Rob Crittenden <rcritten@redhat.com>

Reviewed-By: Michal Polovka <mpolovka@redhat.com>

Reviewed-By: Christian Heimes <cheimes@redhat.com>

</pre>

</li>

<li>

<strong><a href="https://salsa.debian.org/freeipa-team/freeipa/-/commit/3805eff4178285f0189c355d17594b5e09dce9b0">3805eff4</a></strong>

<div>

<span>by François Cami</span>

<i>at 2020-06-09T08:43:45+02:00</i>

</div>

<pre class="commit-message" style="white-space: pre-wrap; margin: 0;">IPA-EPN: Test suite.

Initial test suite for EPN.

Fixes: https://pagure.io/freeipa/issue/3687

Signed-off-by: François Cami <fcami@redhat.com>

Signed-off-by: Rob Crittenden <rcritten@redhat.com>

Reviewed-By: Michal Polovka <mpolovka@redhat.com>

Reviewed-By: Christian Heimes <cheimes@redhat.com>

</pre>

</li>

<li>

<strong><a href="https://salsa.debian.org/freeipa-team/freeipa/-/commit/03caa7f965d889848675158503286cde00d635c9">03caa7f9</a></strong>

<div>

<span>by Rob Crittenden</span>

<i>at 2020-06-09T08:43:45+02:00</i>

</div>

<pre class="commit-message" style="white-space: pre-wrap; margin: 0;">Add a jinja2 e-mail template for EPN

Add options for character set (default utf8) and message

subtype (default plain). This will allow for more control

for users to do either HTML mail or use ascii for the character

set so the attachment is not base64-encoded to make it easier

for all mail clients.

Collect first and last name as well for each user in order to

provide more options for the template engine.

Make the From address configurable, defaulting to noreply@ipa_domain

Make Subject configurable too.

Don't rely on the MTA to set Message-Id: set it using the email

module.

Fixes: https://pagure.io/freeipa/issue/3687

Signed-off-by: Rob Crittenden <rcritten@redhat.com>

Reviewed-By: Michal Polovka <mpolovka@redhat.com>

Reviewed-By: Christian Heimes <cheimes@redhat.com>

</pre>

</li>

<li>

<strong><a href="https://salsa.debian.org/freeipa-team/freeipa/-/commit/451cbae160a1e68d01eb49ceb69adac03d5e8112">451cbae1</a></strong>

<div>

<span>by Rob Crittenden</span>

<i>at 2020-06-09T08:43:45+02:00</i>

</div>

<pre class="commit-message" style="white-space: pre-wrap; margin: 0;">Add index for krbPasswordExpiration for EPN

Expiring Password Notifications search for expiring passwords

between dates. Add an equality index for this attribute.

https://pagure.io/freeipa/issue/3687

Signed-off-by: Rob Crittenden <rcritten@redhat.com>

Reviewed-By: Michal Polovka <mpolovka@redhat.com>

Reviewed-By: Christian Heimes <cheimes@redhat.com>

</pre>

</li>

<li>

<strong><a href="https://salsa.debian.org/freeipa-team/freeipa/-/commit/98bb4e94fdc6e683bcc59bb58377c504d172800f">98bb4e94</a></strong>

<div>

<span>by François Cami</span>

<i>at 2020-06-09T13:57:38+02:00</i>

</div>

<pre class="commit-message" style="white-space: pre-wrap; margin: 0;">IPA-EPN: First version.

EPN stands for Expiring Password Notification. It is a standalone

tool designed to build a list of users whose password would expire

in the near future, and either display the list in a machine-readable

format, or send email notifications to these users.

EPN provides command-line options to display the list of affected users.

This provides data introspection and helps understand how many emails

would be sent for a given day, or a given date range.

The command-line options can also be used by a monitoring system to alert

whenever a number of emails over the SMTP quota would be sent.

EPN is meant to be launched once a day from an IPA client (preferred)

or replica from a systemd timer.

EPN does not keep state. The list of affected users is built at runtime

but never kept.

TLS/STARTTLS SMTP code is untested and unlikely to work as-is.

Parts of code contributed by Rob Crittenden.

Ideas and feedback contributed by Christian Heimes and Michal Polovka.

Fixes: https://pagure.io/freeipa/issue/3687

Signed-off-by: François Cami <fcami@redhat.com>

Signed-off-by: Rob Crittenden <rcritten@redhat.com>

Reviewed-By: Michal Polovka <mpolovka@redhat.com>

Reviewed-By: Christian Heimes <cheimes@redhat.com>

Reviewed-By: Michal Polovka <mpolovka@redhat.com>

Reviewed-By: Christian Heimes <cheimes@redhat.com>

</pre>

</li>

<li>

<strong><a href="https://salsa.debian.org/freeipa-team/freeipa/-/commit/3552185c3ca740b538d1516955cae094dc29bebd">3552185c</a></strong>

<div>

<span>by François Cami</span>

<i>at 2020-06-09T13:57:38+02:00</i>

</div>

<pre class="commit-message" style="white-space: pre-wrap; margin: 0;">IPA-EPN: Test suite.

Initial test suite for EPN.

Fixes: https://pagure.io/freeipa/issue/3687

Signed-off-by: François Cami <fcami@redhat.com>

Signed-off-by: Rob Crittenden <rcritten@redhat.com>

Reviewed-By: Michal Polovka <mpolovka@redhat.com>

Reviewed-By: Christian Heimes <cheimes@redhat.com>

Reviewed-By: Michal Polovka <mpolovka@redhat.com>

Reviewed-By: Christian Heimes <cheimes@redhat.com>

</pre>

</li>

<li>

<strong><a href="https://salsa.debian.org/freeipa-team/freeipa/-/commit/0869765536cd036221f6cd12921bac18e3e3df46">08697655</a></strong>

<div>

<span>by Rob Crittenden</span>

<i>at 2020-06-09T13:57:38+02:00</i>

</div>

<pre class="commit-message" style="white-space: pre-wrap; margin: 0;">Add a jinja2 e-mail template for EPN

Add options for character set (default utf8) and message

subtype (default plain). This will allow for more control

for users to do either HTML mail or use ascii for the character

set so the attachment is not base64-encoded to make it easier

for all mail clients.

Collect first and last name as well for each user in order to

provide more options for the template engine.

Make the From address configurable, defaulting to noreply@ipa_domain

Make Subject configurable too.

Don't rely on the MTA to set Message-Id: set it using the email

module.

Fixes: https://pagure.io/freeipa/issue/3687

Signed-off-by: Rob Crittenden <rcritten@redhat.com>

Reviewed-By: Michal Polovka <mpolovka@redhat.com>

Reviewed-By: Christian Heimes <cheimes@redhat.com>

Reviewed-By: Michal Polovka <mpolovka@redhat.com>

Reviewed-By: Christian Heimes <cheimes@redhat.com>

</pre>

</li>

<li>

<strong><a href="https://salsa.debian.org/freeipa-team/freeipa/-/commit/ab444db0accedeefc42264cd03c2abe4ed90ea19">ab444db0</a></strong>

<div>

<span>by Rob Crittenden</span>

<i>at 2020-06-09T13:57:38+02:00</i>

</div>

<pre class="commit-message" style="white-space: pre-wrap; margin: 0;">Add index for krbPasswordExpiration for EPN

Expiring Password Notifications search for expiring passwords

between dates. Add an equality index for this attribute.

https://pagure.io/freeipa/issue/3687

Signed-off-by: Rob Crittenden <rcritten@redhat.com>

Reviewed-By: Michal Polovka <mpolovka@redhat.com>

Reviewed-By: Christian Heimes <cheimes@redhat.com>

Reviewed-By: Michal Polovka <mpolovka@redhat.com>

Reviewed-By: Christian Heimes <cheimes@redhat.com>

</pre>

</li>

<li>

<strong><a href="https://salsa.debian.org/freeipa-team/freeipa/-/commit/9d9012f682a2dcff7676580fbc622771b427fcef">9d9012f6</a></strong>

<div>

<span>by Fraser Tweedale</span>

<i>at 2020-06-10T22:27:26+10:00</i>

</div>

<pre class="commit-message" style="white-space: pre-wrap; margin: 0;">httpinstance: retry request without ipa-ca.$DOMAIN dnsName on failure

In the migration case of replica installation, if the CA server is

an older version it may not support the ipa-ca.$DOMAIN dnsName in

the HTTP cert (it is a special case in the cert_request command).

Therefore if the request fails, try it again without the

ipa-ca.$DOMAIN dnsName.

Part of: https://pagure.io/freeipa/issue/8186

Reviewed-By: Alexander Bokovoy <abbra@users.noreply.github.com>

</pre>

</li>

<li>

<strong><a href="https://salsa.debian.org/freeipa-team/freeipa/-/commit/e6fda6f0fbcc7dee4deb0093bf46c2fadc3068ee">e6fda6f0</a></strong>

<div>

<span>by Fraser Tweedale</span>

<i>at 2020-06-10T22:27:26+10:00</i>

</div>

<pre class="commit-message" style="white-space: pre-wrap; margin: 0;">upgrade: avoid stopping certmonger when fixing requests

During upgrade, if discrepancies are detected in Certmonger tracking

request configuration we remove and re-create tracking requests.

The default behaviour of the CAInstance and KRAInstance

stop_tracking_certificates() method is to stop certmonger after the

requests have been removed.  This behaviour results in an

unnecessary restart of certmonger and has also been observed to

cause problems.  For example, subsequent certmonger operations have

to start the certmonger process and can fail because certmonger is

not yet properly initialised (manifesting as D-Bus errors).

Suppress the unnecessary restart(s) of certmonger during tracking

request update.

Related: https://pagure.io/freeipa/issue/8186

Reviewed-By: Alexander Bokovoy <abbra@users.noreply.github.com>

</pre>

</li>

<li>

<strong><a href="https://salsa.debian.org/freeipa-team/freeipa/-/commit/379b560c75bbd5ba9d73a65b5ddfcf086dab3c48">379b560c</a></strong>

<div>

<span>by Christian Heimes</span>

<i>at 2020-06-10T16:07:07+02:00</i>

</div>

<pre class="commit-message" style="white-space: pre-wrap; margin: 0;">Fix named.conf update bug NAMED_DNSSEC_VALIDATION

Commit a5cbdb57e50cfc62f61affda19ce878b2abd33de introduced a bug when

updating IPA from 4.8.6 to 4.8.7. NAMED_DNSSEC_VALIDATION template

variable was not declared.

Fixes: https://pagure.io/freeipa/issue/8363

Signed-off-by: Christian Heimes <cheimes@redhat.com>

Reviewed-By: Alexander Bokovoy <abokovoy@redhat.com>

</pre>

</li>

<li>

<strong><a href="https://salsa.debian.org/freeipa-team/freeipa/-/commit/cddd07f68a28f1b1c21103e9edd6e31a6e4c3716">cddd07f6</a></strong>

<div>

<span>by Christian Heimes</span>

<i>at 2020-06-10T16:07:07+02:00</i>

</div>

<pre class="commit-message" style="white-space: pre-wrap; margin: 0;">Remove named_validate_dnssec update step

The upgrade step used to add "dnssec-validation no" to named.conf IFF

named.conf did not contain "dnssec-validation" option at all. The

option has been moved to 'ipa-options-ext.conf' in IPA 4.8.7. The function

only removes the upgrade state.

Signed-off-by: Christian Heimes <cheimes@redhat.com>

Reviewed-By: Alexander Bokovoy <abokovoy@redhat.com>

</pre>

</li>

<li>

<strong><a href="https://salsa.debian.org/freeipa-team/freeipa/-/commit/996a220900502ed5b6450af14c271e4f344f8cf6">996a2209</a></strong>

<div>

<span>by Christian Heimes</span>

<i>at 2020-06-10T16:07:07+02:00</i>

</div>

<pre class="commit-message" style="white-space: pre-wrap; margin: 0;">Fix named.conf named_conf_include_re

Actually match one or more characters

Signed-off-by: Christian Heimes <cheimes@redhat.com>

Reviewed-By: Alexander Bokovoy <abokovoy@redhat.com>

</pre>

</li>

<li>

<strong><a href="https://salsa.debian.org/freeipa-team/freeipa/-/commit/43dd1e8a65826898ebcf2351cd248b876c625ed1">43dd1e8a</a></strong>

<div>

<span>by Christian Heimes</span>

<i>at 2020-06-10T16:07:07+02:00</i>

</div>

<pre class="commit-message" style="white-space: pre-wrap; margin: 0;">More upgrade tests

Reviewed-By: Alexander Bokovoy <abokovoy@redhat.com>

</pre>

</li>

<li>

<strong><a href="https://salsa.debian.org/freeipa-team/freeipa/-/commit/f52a15b808aa4d827c1f77f807611d49c9563d03">f52a15b8</a></strong>

<div>

<span>by Christian Heimes</span>

<i>at 2020-06-10T16:07:07+02:00</i>

</div>

<pre class="commit-message" style="white-space: pre-wrap; margin: 0;">Overhaul bind upgrade process

/etc/named.conf is now owned by IPA. The file is overwritten on

installation and all subsequent updates. All user modification will be

lost. Config file creation and update use the same code paths.

This simplifies upgrade process a lot. There is no errprone fiddling

with config settings any more.

During upgrade there is a one-time backup of named.conf to

named.conf.ipa-backup. It allows users to salvage their customization

and move them to one of two user config files which are included by

named.conf.

Signed-off-by: Christian Heimes <cheimes@redhat.com>

Reviewed-By: Alexander Bokovoy <abokovoy@redhat.com>

</pre>

</li>

<li>

<strong><a href="https://salsa.debian.org/freeipa-team/freeipa/-/commit/cc8448341199176166f8ee548d0fbb44d32d21b7">cc844834</a></strong>

<div>

<span>by Christian Heimes</span>

<i>at 2020-06-10T16:16:13+02:00</i>

</div>

<pre class="commit-message" style="white-space: pre-wrap; margin: 0;">Auto-generated ipa-epn files to gitignore

memcached has been removed a loooong time ago.

Signed-off-by: Christian Heimes <cheimes@redhat.com>

Reviewed-By: Francois Cami <fcami@redhat.com>

</pre>

</li>

<li>

<strong><a href="https://salsa.debian.org/freeipa-team/freeipa/-/commit/c3cbaed9fdfa3c5501974934839cd243531a1fd5">c3cbaed9</a></strong>

<div>

<span>by Rob Crittenden</span>

<i>at 2020-06-10T11:22:58-04:00</i>

</div>

<pre class="commit-message" style="white-space: pre-wrap; margin: 0;">IPA-EPN: Fixes to starttls mode, convert some log errors to exceptions

Tested security mode with none, starttls and ssl security.

Fixes: https://pagure.io/freeipa/issue/3687

Signed-off-by: Rob Crittenden <rcritten@redhat.com>

Reviewed-By: Francois Cami <fcami@redhat.com>

</pre>

</li>

<li>

<strong><a href="https://salsa.debian.org/freeipa-team/freeipa/-/commit/1760ad48ae26e2a9ae60da0ac442b2ce9a6a4a39">1760ad48</a></strong>

<div>

<span>by Rob Crittenden</span>

<i>at 2020-06-10T11:22:58-04:00</i>

</div>

<pre class="commit-message" style="white-space: pre-wrap; margin: 0;">IPA-EPN: Add tests for sending real mail with auth and templates

Send e-mail using postfix on localhost and read the contents to

verify that the mail was delivered and that the template was

applied correctly.

Fixes: https://pagure.io/freeipa/issue/3687

Signed-off-by: Rob Crittenden <rcritten@redhat.com>

Reviewed-By: Francois Cami <fcami@redhat.com>

</pre>

</li>

<li>

<strong><a href="https://salsa.debian.org/freeipa-team/freeipa/-/commit/7e621cf84f9498d6f6ff7c82609a50480dcaa78a">7e621cf8</a></strong>

<div>

<span>by Rob Crittenden</span>

<i>at 2020-06-10T11:22:58-04:00</i>

</div>

<pre class="commit-message" style="white-space: pre-wrap; margin: 0;">IPA-EPN: Add test for starttls mode

Get a certificate for postfix and configure it to allow starttls

connections.

Fixes: https://pagure.io/freeipa/issue/3687

Signed-off-by: Rob Crittenden <rcritten@redhat.com>

Reviewed-By: Francois Cami <fcami@redhat.com>

</pre>

</li>

<li>

<strong><a href="https://salsa.debian.org/freeipa-team/freeipa/-/commit/41e3d58a0b1af803926b92592cbf1d21f7e8ce14">41e3d58a</a></strong>

<div>

<span>by Rob Crittenden</span>

<i>at 2020-06-10T11:22:58-04:00</i>

</div>

<pre class="commit-message" style="white-space: pre-wrap; margin: 0;">IPA-EPN: test using SSL against port 465

Enable the postfix SSL listener on port 465. The certifiates

and other configuration is already in place.

Test that sending mail is successful.

Fixes: https://pagure.io/freeipa/issue/3687

Signed-off-by: Rob Crittenden <rcritten@redhat.com>

Reviewed-By: Francois Cami <fcami@redhat.com>

</pre>

</li>

<li>

<strong><a href="https://salsa.debian.org/freeipa-team/freeipa/-/commit/a2728c758e83c81be4ab28e5de1a76e9cbcd4799">a2728c75</a></strong>

<div>

<span>by Rob Crittenden</span>

<i>at 2020-06-10T11:22:58-04:00</i>

</div>

<pre class="commit-message" style="white-space: pre-wrap; margin: 0;">IPA-EPN: Add mail-test option for testing sending live email

To make testing easier for administrators the --mail-test option

can be used to send live e-mail from ipa-epn. It sends mail

to the smtp_admin user processing the template with dummy data.

https://pagure.io/freeipa/issue/3687

Signed-off-by: Rob Crittenden <rcritten@redhat.com>

Reviewed-By: Francois Cami <fcami@redhat.com>

</pre>

</li>

<li>

<strong><a href="https://salsa.debian.org/freeipa-team/freeipa/-/commit/759ab3120e09672f9b9f6c400fed79b6e2820cc7">759ab312</a></strong>

<div>

<span>by Rob Crittenden</span>

<i>at 2020-06-10T11:22:58-04:00</i>

</div>

<pre class="commit-message" style="white-space: pre-wrap; margin: 0;">IPA-EPN: Add tests for --mail-test option

Test sending a default template email to the smtp_admin user.

Test that --mail-test and --dry-run cannot be used together.

https://pagure.io/freeipa/issue/3687

Signed-off-by: Rob Crittenden <rcritten@redhat.com>

Reviewed-By: Francois Cami <fcami@redhat.com>

</pre>

</li>

<li>

<strong><a href="https://salsa.debian.org/freeipa-team/freeipa/-/commit/3b266d39570f447db0f571a8b8085eb6c0403509">3b266d39</a></strong>

<div>

<span>by Rob Crittenden</span>

<i>at 2020-06-10T11:22:58-04:00</i>

</div>

<pre class="commit-message" style="white-space: pre-wrap; margin: 0;">IPA-EPN: add smtp_delay to limit the velocity of e-mails sent

Provide a knob so the mail queue doesn't get completely flooded

with new e-mails.

Default to no wait, value in milliseconds.

https://pagure.io/freeipa/issue/3687

Signed-off-by: Rob Crittenden <rcritten@redhat.com>

Reviewed-By: Francois Cami <fcami@redhat.com>

</pre>

</li>

<li>

<strong><a href="https://salsa.debian.org/freeipa-team/freeipa/-/commit/cb205cc5e4c890df5d0344682e6c958ecb087c68">cb205cc5</a></strong>

<div>

<span>by Rob Crittenden</span>

<i>at 2020-06-10T11:22:58-04:00</i>

</div>

<pre class="commit-message" style="white-space: pre-wrap; margin: 0;">IPA-EPN: add test to validate smtp_delay value

Configuration test to ensure that smtp_delay validation is

properly enforced.

Also reset the epn configuration when the tests are run.

https://pagure.io/freeipa/issue/3687

Signed-off-by: Rob Crittenden <rcritten@redhat.com>

Reviewed-By: Francois Cami <fcami@redhat.com>

</pre>

</li>

<li>

<strong><a href="https://salsa.debian.org/freeipa-team/freeipa/-/commit/ba7974bfd1ae1072befcbde792d8cf4a158fc3c5">ba7974bf</a></strong>

<div>

<span>by Rob Crittenden</span>

<i>at 2020-06-10T11:22:58-04:00</i>

</div>

<pre class="commit-message" style="white-space: pre-wrap; margin: 0;">IPA-EPN: Don't treat givenname differently

This was returning givenname as a list and not as a single

string which messed up the templating.

https://pagure.io/freeipa/issue/3687

Signed-off-by: Rob Crittenden <rcritten@redhat.com>

Reviewed-By: Francois Cami <fcami@redhat.com>

</pre>

</li>

<li>

<strong><a href="https://salsa.debian.org/freeipa-team/freeipa/-/commit/ca1c374ebf58ccc5ed00346876835026958fe7bd">ca1c374e</a></strong>

<div>

<span>by Rob Crittenden</span>

<i>at 2020-06-10T14:35:38-04:00</i>

</div>

<pre class="commit-message" style="white-space: pre-wrap; margin: 0;">IPA-EPN: Fixes to starttls mode, convert some log errors to exceptions

Tested security mode with none, starttls and ssl security.

Fixes: https://pagure.io/freeipa/issue/3687

Signed-off-by: Rob Crittenden <rcritten@redhat.com>

Reviewed-By: Francois Cami <fcami@redhat.com>

</pre>

</li>

<li>

<strong><a href="https://salsa.debian.org/freeipa-team/freeipa/-/commit/bbe3397393c2fa7121fa05a656d682036bffbe9c">bbe33973</a></strong>

<div>

<span>by Rob Crittenden</span>

<i>at 2020-06-10T14:35:38-04:00</i>

</div>

<pre class="commit-message" style="white-space: pre-wrap; margin: 0;">IPA-EPN: Add tests for sending real mail with auth and templates

Send e-mail using postfix on localhost and read the contents to

verify that the mail was delivered and that the template was

applied correctly.

Fixes: https://pagure.io/freeipa/issue/3687

Signed-off-by: Rob Crittenden <rcritten@redhat.com>

Reviewed-By: Francois Cami <fcami@redhat.com>

</pre>

</li>

<li>

<strong><a href="https://salsa.debian.org/freeipa-team/freeipa/-/commit/fc2b3aab5042a9125e74647493c0f4faecd87d20">fc2b3aab</a></strong>

<div>

<span>by Rob Crittenden</span>

<i>at 2020-06-10T14:35:38-04:00</i>

</div>

<pre class="commit-message" style="white-space: pre-wrap; margin: 0;">IPA-EPN: Add test for starttls mode

Get a certificate for postfix and configure it to allow starttls

connections.

Fixes: https://pagure.io/freeipa/issue/3687

Signed-off-by: Rob Crittenden <rcritten@redhat.com>

Reviewed-By: Francois Cami <fcami@redhat.com>

</pre>

</li>

<li>

<strong><a href="https://salsa.debian.org/freeipa-team/freeipa/-/commit/6587edd4b283e37da7b214fce4c3c9d013fe1118">6587edd4</a></strong>

<div>

<span>by Rob Crittenden</span>

<i>at 2020-06-10T14:35:38-04:00</i>

</div>

<pre class="commit-message" style="white-space: pre-wrap; margin: 0;">IPA-EPN: test using SSL against port 465

Enable the postfix SSL listener on port 465. The certifiates

and other configuration is already in place.

Test that sending mail is successful.

Fixes: https://pagure.io/freeipa/issue/3687

Signed-off-by: Rob Crittenden <rcritten@redhat.com>

Reviewed-By: Francois Cami <fcami@redhat.com>

</pre>

</li>

<li>

<strong><a href="https://salsa.debian.org/freeipa-team/freeipa/-/commit/dca3f116a41af5476a8abf860d0dda3b4c80f8b5">dca3f116</a></strong>

<div>

<span>by Rob Crittenden</span>

<i>at 2020-06-10T14:35:38-04:00</i>

</div>

<pre class="commit-message" style="white-space: pre-wrap; margin: 0;">IPA-EPN: Add mail-test option for testing sending live email

To make testing easier for administrators the --mail-test option

can be used to send live e-mail from ipa-epn. It sends mail

to the smtp_admin user processing the template with dummy data.

https://pagure.io/freeipa/issue/3687

Signed-off-by: Rob Crittenden <rcritten@redhat.com>

Reviewed-By: Francois Cami <fcami@redhat.com>

</pre>

</li>

<li>

<strong><a href="https://salsa.debian.org/freeipa-team/freeipa/-/commit/672c9f55b70a05aaa8f0baec6381a8b4ee935216">672c9f55</a></strong>

<div>

<span>by Rob Crittenden</span>

<i>at 2020-06-10T14:35:38-04:00</i>

</div>

<pre class="commit-message" style="white-space: pre-wrap; margin: 0;">IPA-EPN: Add tests for --mail-test option

Test sending a default template email to the smtp_admin user.

Test that --mail-test and --dry-run cannot be used together.

https://pagure.io/freeipa/issue/3687

Signed-off-by: Rob Crittenden <rcritten@redhat.com>

Reviewed-By: Francois Cami <fcami@redhat.com>

</pre>

</li>

<li>

<strong><a href="https://salsa.debian.org/freeipa-team/freeipa/-/commit/37a4a79cc00a036ae11640462d880b7ea1ba7524">37a4a79c</a></strong>

<div>

<span>by Rob Crittenden</span>

<i>at 2020-06-10T14:35:38-04:00</i>

</div>

<pre class="commit-message" style="white-space: pre-wrap; margin: 0;">IPA-EPN: add smtp_delay to limit the velocity of e-mails sent

Provide a knob so the mail queue doesn't get completely flooded

with new e-mails.

Default to no wait, value in milliseconds.

https://pagure.io/freeipa/issue/3687

Signed-off-by: Rob Crittenden <rcritten@redhat.com>

Reviewed-By: Francois Cami <fcami@redhat.com>

</pre>

</li>

<li>

<strong><a href="https://salsa.debian.org/freeipa-team/freeipa/-/commit/4124bb6d6a665dc2fce665af577daa278e6b9f23">4124bb6d</a></strong>

<div>

<span>by Rob Crittenden</span>

<i>at 2020-06-10T14:35:38-04:00</i>

</div>

<pre class="commit-message" style="white-space: pre-wrap; margin: 0;">IPA-EPN: add test to validate smtp_delay value

Configuration test to ensure that smtp_delay validation is

properly enforced.

Also reset the epn configuration when the tests are run.

https://pagure.io/freeipa/issue/3687

Signed-off-by: Rob Crittenden <rcritten@redhat.com>

Reviewed-By: Francois Cami <fcami@redhat.com>

</pre>

</li>

<li>

<strong><a href="https://salsa.debian.org/freeipa-team/freeipa/-/commit/bf28d4c8d0f085329105a4232c1a2ff3d61f067f">bf28d4c8</a></strong>

<div>

<span>by Rob Crittenden</span>

<i>at 2020-06-10T14:35:38-04:00</i>

</div>

<pre class="commit-message" style="white-space: pre-wrap; margin: 0;">IPA-EPN: Don't treat givenname differently

This was returning givenname as a list and not as a single

string which messed up the templating.

https://pagure.io/freeipa/issue/3687

Signed-off-by: Rob Crittenden <rcritten@redhat.com>

Reviewed-By: Francois Cami <fcami@redhat.com>

</pre>

</li>

<li>

<strong><a href="https://salsa.debian.org/freeipa-team/freeipa/-/commit/0fbd29d5d956646f2babf5166a8df43b3c8c44c2">0fbd29d5</a></strong>

<div>

<span>by Christian Heimes</span>

<i>at 2020-06-10T14:38:16-04:00</i>

</div>

<pre class="commit-message" style="white-space: pre-wrap; margin: 0;">Auto-generated ipa-epn files to gitignore

memcached has been removed a loooong time ago.

Signed-off-by: Christian Heimes <cheimes@redhat.com>

Reviewed-By: Francois Cami <fcami@redhat.com>

</pre>

</li>

<li>

<strong><a href="https://salsa.debian.org/freeipa-team/freeipa/-/commit/00dd80b77e115734e6f8942339cd2e0d3cc7fbdc">00dd80b7</a></strong>

<div>

<span>by Fraser Tweedale</span>

<i>at 2020-06-10T14:40:03-04:00</i>

</div>

<pre class="commit-message" style="white-space: pre-wrap; margin: 0;">httpinstance: retry request without ipa-ca.$DOMAIN dnsName on failure

In the migration case of replica installation, if the CA server is

an older version it may not support the ipa-ca.$DOMAIN dnsName in

the HTTP cert (it is a special case in the cert_request command).

Therefore if the request fails, try it again without the

ipa-ca.$DOMAIN dnsName.

Part of: https://pagure.io/freeipa/issue/8186

Reviewed-By: Alexander Bokovoy <abokovoy@redhat.com>

</pre>

</li>

<li>

<strong><a href="https://salsa.debian.org/freeipa-team/freeipa/-/commit/f1564cd228068d54b949277f7bdc00203b5da81a">f1564cd2</a></strong>

<div>

<span>by Fraser Tweedale</span>

<i>at 2020-06-10T14:40:03-04:00</i>

</div>

<pre class="commit-message" style="white-space: pre-wrap; margin: 0;">upgrade: avoid stopping certmonger when fixing requests

During upgrade, if discrepancies are detected in Certmonger tracking

request configuration we remove and re-create tracking requests.

The default behaviour of the CAInstance and KRAInstance

stop_tracking_certificates() method is to stop certmonger after the

requests have been removed.  This behaviour results in an

unnecessary restart of certmonger and has also been observed to

cause problems.  For example, subsequent certmonger operations have

to start the certmonger process and can fail because certmonger is

not yet properly initialised (manifesting as D-Bus errors).

Suppress the unnecessary restart(s) of certmonger during tracking

request update.

Related: https://pagure.io/freeipa/issue/8186

Reviewed-By: Alexander Bokovoy <abokovoy@redhat.com>

</pre>

</li>

<li>

<strong><a href="https://salsa.debian.org/freeipa-team/freeipa/-/commit/aa2f93262f187b122cb3e3e0c755e21d98bb95d3">aa2f9326</a></strong>

<div>

<span>by Christian Heimes</span>

<i>at 2020-06-10T22:14:36+03:00</i>

</div>

<pre class="commit-message" style="white-space: pre-wrap; margin: 0;">Fix named.conf update bug NAMED_DNSSEC_VALIDATION

Commit a5cbdb57e50cfc62f61affda19ce878b2abd33de introduced a bug when

updating IPA from 4.8.6 to 4.8.7. NAMED_DNSSEC_VALIDATION template

variable was not declared.

Fixes: https://pagure.io/freeipa/issue/8363

Signed-off-by: Christian Heimes <cheimes@redhat.com>

Reviewed-By: Alexander Bokovoy <abokovoy@redhat.com>

</pre>

</li>

<li>

<strong><a href="https://salsa.debian.org/freeipa-team/freeipa/-/commit/6ddaead3d70f0de8aa40a3eef313fa1ff24eb25c">6ddaead3</a></strong>

<div>

<span>by Christian Heimes</span>

<i>at 2020-06-10T22:14:36+03:00</i>

</div>

<pre class="commit-message" style="white-space: pre-wrap; margin: 0;">More upgrade tests

Reviewed-By: Alexander Bokovoy <abokovoy@redhat.com>

</pre>

</li>

<li>

<strong><a href="https://salsa.debian.org/freeipa-team/freeipa/-/commit/03abb28afeb3983799a112ba96c2674e24cce81d">03abb28a</a></strong>

<div>

<span>by Christian Heimes</span>

<i>at 2020-06-10T22:14:36+03:00</i>

</div>

<pre class="commit-message" style="white-space: pre-wrap; margin: 0;">Remove named_validate_dnssec update step

The upgrade step used to add "dnssec-validation no" to named.conf IFF

named.conf did not contain "dnssec-validation" option at all. The

option has been moved to 'ipa-options-ext.conf' in IPA 4.8.7. The function

only removes the upgrade state.

Signed-off-by: Christian Heimes <cheimes@redhat.com>

Reviewed-By: Alexander Bokovoy <abokovoy@redhat.com>

</pre>

</li>

<li>

<strong><a href="https://salsa.debian.org/freeipa-team/freeipa/-/commit/1d3649ebb720d21ac06b23c947107abe20de2d1e">1d3649eb</a></strong>

<div>

<span>by Christian Heimes</span>

<i>at 2020-06-10T22:14:36+03:00</i>

</div>

<pre class="commit-message" style="white-space: pre-wrap; margin: 0;">Fix named.conf named_conf_include_re

Actually match one or more characters

Signed-off-by: Christian Heimes <cheimes@redhat.com>

Reviewed-By: Alexander Bokovoy <abokovoy@redhat.com>

</pre>

</li>

<li>

<strong><a href="https://salsa.debian.org/freeipa-team/freeipa/-/commit/b2c3c040ddb7cf3c509b8221ce25574b8d6774d0">b2c3c040</a></strong>

<div>

<span>by Christian Heimes</span>

<i>at 2020-06-10T22:14:36+03:00</i>

</div>

<pre class="commit-message" style="white-space: pre-wrap; margin: 0;">Overhaul bind upgrade process

/etc/named.conf is now owned by IPA. The file is overwritten on

installation and all subsequent updates. All user modification will be

lost. Config file creation and update use the same code paths.

This simplifies upgrade process a lot. There is no errprone fiddling

with config settings any more.

During upgrade there is a one-time backup of named.conf to

named.conf.ipa-backup. It allows users to salvage their customization

and move them to one of two user config files which are included by

named.conf.

Signed-off-by: Christian Heimes <cheimes@redhat.com>

Reviewed-By: Alexander Bokovoy <abokovoy@redhat.com>

</pre>

</li>

<li>

<strong><a href="https://salsa.debian.org/freeipa-team/freeipa/-/commit/071393626e0b2e34bcd96cbf15af92caf554a729">07139362</a></strong>

<div>

<span>by Alexander Bokovoy</span>

<i>at 2020-06-10T22:20:07+03:00</i>

</div>

<pre class="commit-message" style="white-space: pre-wrap; margin: 0;">ipa-4-8: Update translation files before 4.8.7 release

Signed-off-by: Alexander Bokovoy <abokovoy@redhat.com>

</pre>

</li>

<li>

<strong><a href="https://salsa.debian.org/freeipa-team/freeipa/-/commit/89d5907e6871ee7c37fbd664adcdb7821aa5ebcc">89d5907e</a></strong>

<div>

<span>by Alexander Bokovoy</span>

<i>at 2020-06-10T22:21:52+03:00</i>

</div>

<pre class="commit-message" style="white-space: pre-wrap; margin: 0;">ipa-4-8: update list of contributors

Signed-off-by: Alexander Bokovoy <abokovoy@redhat.com>

</pre>

</li>

<li>

<strong><a href="https://salsa.debian.org/freeipa-team/freeipa/-/commit/9d1d3547299a3b4dc6887636adf5a383459c0c70">9d1d3547</a></strong>

<div>

<span>by Alexander Bokovoy</span>

<i>at 2020-06-10T22:24:02+03:00</i>

</div>

<pre class="commit-message" style="white-space: pre-wrap; margin: 0;">Become FreeIPA 4.8.7

</pre>

</li>

<li>

<strong><a href="https://salsa.debian.org/freeipa-team/freeipa/-/commit/81f7863b3f294748f6500ecbcf354ab20ef907a3">81f7863b</a></strong>

<div>

<span>by Alexander Bokovoy</span>

<i>at 2020-06-10T22:27:31+03:00</i>

</div>

<pre class="commit-message" style="white-space: pre-wrap; margin: 0;">Update translation files

Signed-off-by: Alexander Bokovoy <abokovoy@redhat.com>

</pre>

</li>

<li>

<strong><a href="https://salsa.debian.org/freeipa-team/freeipa/-/commit/296ddcd32c67b5a59d4f957544f79fd024237bb3">296ddcd3</a></strong>

<div>

<span>by Alexander Bokovoy</span>

<i>at 2020-06-10T22:28:56+03:00</i>

</div>

<pre class="commit-message" style="white-space: pre-wrap; margin: 0;">update list of contributors

Signed-off-by: Alexander Bokovoy <abokovoy@redhat.com>

</pre>

</li>

<li>

<strong><a href="https://salsa.debian.org/freeipa-team/freeipa/-/commit/57034ce28bb4e1287f9db467347815ab5f6ef938">57034ce2</a></strong>

<div>

<span>by Alexander Bokovoy</span>

<i>at 2020-06-10T22:30:07+03:00</i>

</div>

<pre class="commit-message" style="white-space: pre-wrap; margin: 0;">VERSION: back to git snapshots

</pre>

</li>

<li>

<strong><a href="https://salsa.debian.org/freeipa-team/freeipa/-/commit/14876657794949e8acfeb63e7ccaa512becde7e1">14876657</a></strong>

<div>

<span>by Florence Blanc-Renaud</span>

<i>at 2020-06-11T10:33:33+02:00</i>

</div>

<pre class="commit-message" style="white-space: pre-wrap; margin: 0;">ipatests: fix the disable_dnssec_validation method

Bind configuration now includes 2 snippet config files, in

/etc/named/ipa-ext.conf and /etc/named/ipa-options-ext.conf

When a test needs to disable dnssec-validation, it needs to edit

the snippet ipa-options-ext.conf instead of /etc/named.conf.

This commit fixes the method tasks.disable_dnssec_validation so that it

correctly updates the snippet.

Fixes: https://pagure.io/freeipa/issue/8364

Reviewed-By: Christian Heimes <cheimes@redhat.com>

Reviewed-By: Alexander Bokovoy <abbra@users.noreply.github.com>

</pre>

</li>

<li>

<strong><a href="https://salsa.debian.org/freeipa-team/freeipa/-/commit/a18d406b5631f80134e202ae3310580683937f92">a18d406b</a></strong>

<div>

<span>by Christian Heimes</span>

<i>at 2020-06-11T17:27:31+02:00</i>

</div>

<pre class="commit-message" style="white-space: pre-wrap; margin: 0;">Move ipa-epn systemd files and run RPM hooks

The init/systemd directory is for server only and not part of

CLIENT_ONLY builds.

It's necesary to run pre/post installation hooks to make systemd aware

of new files.

Fixes: https://pagure.io/freeipa/issue/8367

Signed-off-by: Christian Heimes <cheimes@redhat.com>

Reviewed-By: Rob Crittenden <rcritten@redhat.com>

Reviewed-By: Francois Cami <fcami@redhat.com>

</pre>

</li>

<li>

<strong><a href="https://salsa.debian.org/freeipa-team/freeipa/-/commit/7f19fda0d1fbd4431b0bd704f5c242e499e66e98">7f19fda0</a></strong>

<div>

<span>by Florence Blanc-Renaud</span>

<i>at 2020-06-11T21:18:09+02:00</i>

</div>

<pre class="commit-message" style="white-space: pre-wrap; margin: 0;">ipatests: fix the disable_dnssec_validation method

Bind configuration now includes 2 snippet config files, in

/etc/named/ipa-ext.conf and /etc/named/ipa-options-ext.conf

When a test needs to disable dnssec-validation, it needs to edit

the snippet ipa-options-ext.conf instead of /etc/named.conf.

This commit fixes the method tasks.disable_dnssec_validation so that it

correctly updates the snippet.

Fixes: https://pagure.io/freeipa/issue/8364

Reviewed-By: Christian Heimes <cheimes@redhat.com>

Reviewed-By: Alexander Bokovoy <abbra@users.noreply.github.com>

</pre>

</li>

<li>

<strong><a href="https://salsa.debian.org/freeipa-team/freeipa/-/commit/77fae8c48bbe0f4499f4d8ed91b268568c64cd7c">77fae8c4</a></strong>

<div>

<span>by Christian Heimes</span>

<i>at 2020-06-11T21:03:47-04:00</i>

</div>

<pre class="commit-message" style="white-space: pre-wrap; margin: 0;">Move ipa-epn systemd files and run RPM hooks

The init/systemd directory is for server only and not part of

CLIENT_ONLY builds.

It's necesary to run pre/post installation hooks to make systemd aware

of new files.

Fixes: https://pagure.io/freeipa/issue/8367

Signed-off-by: Christian Heimes <cheimes@redhat.com>

Reviewed-By: Rob Crittenden <rcritten@redhat.com>

Reviewed-By: Francois Cami <fcami@redhat.com>

</pre>

</li>

<li>

<strong><a href="https://salsa.debian.org/freeipa-team/freeipa/-/commit/51cb631db39361918add4b5100d2bfaa90ab9b23">51cb631d</a></strong>

<div>

<span>by Florence Blanc-Renaud</span>

<i>at 2020-06-12T08:34:51+02:00</i>

</div>

<pre class="commit-message" style="white-space: pre-wrap; margin: 0;">ipa-replica-install: --setup-ca and *-cert-file are mutually exclusive

ipa-replica-install currently accepts both --setup-ca and *-cert-file

even though the options should be mutually exclusive (either install

CA-less with *-cert-file options or with a CA).

Add a check enforcing the options are mutually exclusive.

Fixes: https://pagure.io/freeipa/issue/8366

Reviewed-By: Rob Crittenden <rcritten@redhat.com>

</pre>

</li>

<li>

<strong><a href="https://salsa.debian.org/freeipa-team/freeipa/-/commit/98c1017caa03cff5b73723873ef86fc1d4c0fb2a">98c1017c</a></strong>

<div>

<span>by Florence Blanc-Renaud</span>

<i>at 2020-06-12T08:34:51+02:00</i>

</div>

<pre class="commit-message" style="white-space: pre-wrap; margin: 0;">ipatests: add a test for ipa-replica-install --setup-ca --http-cert-file

The options *-cert-file are used for a CA-less replica installation and

are mutually exclusive with --setup-ca.

Add a test for this use case.

Related: https://pagure.io/freeipa/issue/8366

Reviewed-By: Rob Crittenden <rcritten@redhat.com>

</pre>

</li>

<li>

<strong><a href="https://salsa.debian.org/freeipa-team/freeipa/-/commit/32c4df70e36a0aeafc12e2ade85ee9c915774c44">32c4df70</a></strong>

<div>

<span>by Florence Blanc-Renaud</span>

<i>at 2020-06-13T13:27:48+02:00</i>

</div>

<pre class="commit-message" style="white-space: pre-wrap; margin: 0;">ipa-replica-install: --setup-ca and *-cert-file are mutually exclusive

ipa-replica-install currently accepts both --setup-ca and *-cert-file

even though the options should be mutually exclusive (either install

CA-less with *-cert-file options or with a CA).

Add a check enforcing the options are mutually exclusive.

Fixes: https://pagure.io/freeipa/issue/8366

Reviewed-By: Rob Crittenden <rcritten@redhat.com>

</pre>

</li>

<li>

<strong><a href="https://salsa.debian.org/freeipa-team/freeipa/-/commit/0e325bd0c01eecc6d48b10f9b7f654b16068a522">0e325bd0</a></strong>

<div>

<span>by Florence Blanc-Renaud</span>

<i>at 2020-06-13T13:27:48+02:00</i>

</div>

<pre class="commit-message" style="white-space: pre-wrap; margin: 0;">ipatests: add a test for ipa-replica-install --setup-ca --http-cert-file

The options *-cert-file are used for a CA-less replica installation and

are mutually exclusive with --setup-ca.

Add a test for this use case.

Related: https://pagure.io/freeipa/issue/8366

Reviewed-By: Rob Crittenden <rcritten@redhat.com>

</pre>

</li>

<li>

<strong><a href="https://salsa.debian.org/freeipa-team/freeipa/-/commit/c358f8dbb5b2532f5f1e9f9ff823bd3c069b6e6e">c358f8db</a></strong>

<div>

<span>by Florence Blanc-Renaud</span>

<i>at 2020-06-15T14:13:55+02:00</i>

</div>

<pre class="commit-message" style="white-space: pre-wrap; margin: 0;">ipatests: Update the pki-master-f32 image version

There is a new Vagrant image for pki-master-f32, that contains

jss 4.7.0-0 instead of jss 4.7.0-1.

This change is required because the copr repo @pki/master initially

provided 4.7.0-1 but went backwards in the version number, and

critical fixes are available in 4.7.0-0.

Without this change, the vagrant image is using 4.7.0-1 and tries to

update (not downgrade), hence does not install the most recent version

with the fixes.

Reviewed-By: Fraser Tweedale <ftweedal@redhat.com>

Reviewed-By: Armando Neto <abiagion@redhat.com>

</pre>

</li>

<li>

<strong><a href="https://salsa.debian.org/freeipa-team/freeipa/-/commit/e33ffab534c9ecce26fbd069956d15da182ce6ed">e33ffab5</a></strong>

<div>

<span>by Mohammad Rizwan</span>

<i>at 2020-06-15T14:22:56+02:00</i>

</div>

<pre class="commit-message" style="white-space: pre-wrap; margin: 0;">ipatests: Test ipa user login with wrong password

When ipa user login to machine using wrong password, it

should log proper message in /var/log/secure

related: SSSD/sssd#5139

Signed-off-by: Mohammad Rizwan <myusuf@redhat.com>

Reviewed-By: Anuja More <amore@redhat.com>

Reviewed-By: Florence Blanc-Renaud <flo@redhat.com>

</pre>

</li>

<li>

<strong><a href="https://salsa.debian.org/freeipa-team/freeipa/-/commit/32a5359ece5b449b1cedb700d79cfa2744a288cb">32a5359e</a></strong>

<div>

<span>by Mohammad Rizwan</span>

<i>at 2020-06-15T14:22:56+02:00</i>

</div>

<pre class="commit-message" style="white-space: pre-wrap; margin: 0;">Xfail test for sssd < 2.3.0

This fix is available in sssd 2.3.0+. On older version

test will fail. Hence added xfail.

Signed-off-by: Mohammad Rizwan <myusuf@redhat.com>

Reviewed-By: Anuja More <amore@redhat.com>

Reviewed-By: Florence Blanc-Renaud <flo@redhat.com>

</pre>

</li>

<li>

<strong><a href="https://salsa.debian.org/freeipa-team/freeipa/-/commit/930f4b3d1dc03f9e365b007b027d65e146a08f05">930f4b3d</a></strong>

<div>

<span>by Christian Heimes</span>

<i>at 2020-06-15T22:15:13+03:00</i>

</div>

<pre class="commit-message" style="white-space: pre-wrap; margin: 0;">Prevent local account takeover

It was found that if an account was created with a name corresponding to

an account local to a system, such as 'root', was created via IPA, such

account could access any enrolled machine with that account, and the local

system privileges. This also bypass the absence of explicit HBAC rules.

root principal alias

-------------------

The principal "root@REALM" is now a Kerberos principal alias for

"admin". This prevent user with "User Administrator" role or

"System: Add User" privilege to create an account with "root" principal

name.

Modified user permissions

-------------------------

Several user permissions no longer apply to admin users and filter on

posixaccount object class. This prevents user managers from modifying admin

acounts.

- System: Manage User Certificates

- System: Manage User Principals

- System: Manage User SSH Public Keys

- System: Modify Users

- System: Remove Users

- System: Unlock user

``System: Unlock User`` is restricted because the permission also allow a

user manager to lock an admin account. ``System: Modify Users`` is restricted

to prevent user managers from changing login shell or notification channels

(mail, mobile) of admin accounts.

New user permission

-------------------

- System: Change Admin User password

The new permission allows manipulation of admin user password fields. By

default only the ``PassSync Service`` privilege is allowed to modify

admin user password fields.

Modified group permissions

--------------------------

Group permissions are now restricted as well. Group admins can no longer

modify the admins group and are limited to groups with object class

``ipausergroup``.

- System: Modify Groups

- System: Remove Groups

The permission ``System: Modify Group Membership`` was already limited.

Notes

-----

Admin users are mostly unaffected by the new restrictions, except for

the fact that admins can no longer change krbPrincipalAlias of another

admin or manipulate password fields directly. Commands like ``ipa passwd

otheradmin`` still work, though. The ACI ``Admin can manage any entry``

allows admins to modify other entries and most attributes.

Managed permissions don't install ``obj.permission_filter_objectclasses``

when ``ipapermtargetfilter`` is set. Group and user objects now have a

``permission_filter_objectclasses_string`` attribute that is used

by new target filters.

Misc changes

------------

Also add new exception AlreadyContainsValueError. BaseLDAPAddAttribute

was raising a generic base class for LDAP execution errors.

Fixes: https://pagure.io/freeipa/issue/8326

Fixes: https://bugzilla.redhat.com/show_bug.cgi?id=1810160

Signed-off-by: Christian Heimes <cheimes@redhat.com>

Reviewed-By: Alexander Bokovoy <abokovoy@redhat.com>

Reviewed-By: Rob Crittenden <rcritten@redhat.com>

Reviewed-By: Florence Blanc-Renaud <flo@redhat.com>

</pre>

</li>

<li>

<strong><a href="https://salsa.debian.org/freeipa-team/freeipa/-/commit/65c2736bd20ffb9d98769e71d905f71d1a4d857e">65c2736b</a></strong>

<div>

<span>by Christian Heimes</span>

<i>at 2020-06-15T22:19:31+03:00</i>

</div>

<pre class="commit-message" style="white-space: pre-wrap; margin: 0;">Prevent local account takeover

It was found that if an account was created with a name corresponding to

an account local to a system, such as 'root', was created via IPA, such

account could access any enrolled machine with that account, and the local

system privileges. This also bypass the absence of explicit HBAC rules.

root principal alias

-------------------

The principal "root@REALM" is now a Kerberos principal alias for

"admin". This prevent user with "User Administrator" role or

"System: Add User" privilege to create an account with "root" principal

name.

Modified user permissions

-------------------------

Several user permissions no longer apply to admin users and filter on

posixaccount object class. This prevents user managers from modifying admin

acounts.

- System: Manage User Certificates

- System: Manage User Principals

- System: Manage User SSH Public Keys

- System: Modify Users

- System: Remove Users

- System: Unlock user

``System: Unlock User`` is restricted because the permission also allow a

user manager to lock an admin account. ``System: Modify Users`` is restricted

to prevent user managers from changing login shell or notification channels

(mail, mobile) of admin accounts.

New user permission

-------------------

- System: Change Admin User password

The new permission allows manipulation of admin user password fields. By

default only the ``PassSync Service`` privilege is allowed to modify

admin user password fields.

Modified group permissions

--------------------------

Group permissions are now restricted as well. Group admins can no longer

modify the admins group and are limited to groups with object class

``ipausergroup``.

- System: Modify Groups

- System: Remove Groups

The permission ``System: Modify Group Membership`` was already limited.

Notes

-----

Admin users are mostly unaffected by the new restrictions, except for

the fact that admins can no longer change krbPrincipalAlias of another

admin or manipulate password fields directly. Commands like ``ipa passwd

otheradmin`` still work, though. The ACI ``Admin can manage any entry``

allows admins to modify other entries and most attributes.

Managed permissions don't install ``obj.permission_filter_objectclasses``

when ``ipapermtargetfilter`` is set. Group and user objects now have a

``permission_filter_objectclasses_string`` attribute that is used

by new target filters.

Misc changes

------------

Also add new exception AlreadyContainsValueError. BaseLDAPAddAttribute

was raising a generic base class for LDAP execution errors.

Fixes: https://pagure.io/freeipa/issue/8326

Fixes: https://bugzilla.redhat.com/show_bug.cgi?id=1810160

Signed-off-by: Christian Heimes <cheimes@redhat.com>

Reviewed-By: Alexander Bokovoy <abokovoy@redhat.com>

Reviewed-By: Rob Crittenden <rcritten@redhat.com>

Reviewed-By: Florence Blanc-Renaud <flo@redhat.com>

</pre>

</li>

<li>

<strong><a href="https://salsa.debian.org/freeipa-team/freeipa/-/commit/86ab7590779b9e25c6a52cf5a785925103d9ee8a">86ab7590</a></strong>

<div>

<span>by Alexander Bokovoy</span>

<i>at 2020-06-15T22:25:58+03:00</i>

</div>

<pre class="commit-message" style="white-space: pre-wrap; margin: 0;">Become FreeIPA 4.8.8

</pre>

</li>

<li>

<strong><a href="https://salsa.debian.org/freeipa-team/freeipa/-/commit/71b8ecde882cba4882e41a529b50736f69500395">71b8ecde</a></strong>

<div>

<span>by Alexander Bokovoy</span>

<i>at 2020-06-15T22:27:40+03:00</i>

</div>

<pre class="commit-message" style="white-space: pre-wrap; margin: 0;">Become FreeIPA 4.8.8

</pre>

</li>

<li>

<strong><a href="https://salsa.debian.org/freeipa-team/freeipa/-/commit/7ca6129ffdcbe4c794aee669c96a96d2e59134d4">7ca6129f</a></strong>

<div>

<span>by Alexander Bokovoy</span>

<i>at 2020-06-15T22:28:02+03:00</i>

</div>

<pre class="commit-message" style="white-space: pre-wrap; margin: 0;">Get back to git snapshots

</pre>

</li>

<li>

<strong><a href="https://salsa.debian.org/freeipa-team/freeipa/-/commit/4911a3f05514a7c0ac66e4ef5004581cced8519f">4911a3f0</a></strong>

<div>

<span>by Christian Heimes</span>

<i>at 2020-06-15T22:44:42+03:00</i>

</div>

<pre class="commit-message" style="white-space: pre-wrap; margin: 0;">Prevent local account takeover

It was found that if an account was created with a name corresponding to

an account local to a system, such as 'root', was created via IPA, such

account could access any enrolled machine with that account, and the local

system privileges. This also bypass the absence of explicit HBAC rules.

root principal alias

-------------------

The principal "root@REALM" is now a Kerberos principal alias for

"admin". This prevent user with "User Administrator" role or

"System: Add User" privilege to create an account with "root" principal

name.

Modified user permissions

-------------------------

Several user permissions no longer apply to admin users and filter on

posixaccount object class. This prevents user managers from modifying admin

acounts.

- System: Manage User Certificates

- System: Manage User Principals

- System: Manage User SSH Public Keys

- System: Modify Users

- System: Remove Users

- System: Unlock user

``System: Unlock User`` is restricted because the permission also allow a

user manager to lock an admin account. ``System: Modify Users`` is restricted

to prevent user managers from changing login shell or notification channels

(mail, mobile) of admin accounts.

New user permission

-------------------

- System: Change Admin User password

The new permission allows manipulation of admin user password fields. By

default only the ``PassSync Service`` privilege is allowed to modify

admin user password fields.

Modified group permissions

--------------------------

Group permissions are now restricted as well. Group admins can no longer

modify the admins group and are limited to groups with object class

``ipausergroup``.

- System: Modify Groups

- System: Remove Groups

The permission ``System: Modify Group Membership`` was already limited.

Notes

-----

Admin users are mostly unaffected by the new restrictions, except for

the fact that admins can no longer change krbPrincipalAlias of another

admin or manipulate password fields directly. Commands like ``ipa passwd

otheradmin`` still work, though. The ACI ``Admin can manage any entry``

allows admins to modify other entries and most attributes.

Managed permissions don't install ``obj.permission_filter_objectclasses``

when ``ipapermtargetfilter`` is set. Group and user objects now have a

``permission_filter_objectclasses_string`` attribute that is used

by new target filters.

Misc changes

------------

Also add new exception AlreadyContainsValueError. BaseLDAPAddAttribute

was raising a generic base class for LDAP execution errors.

Fixes: https://pagure.io/freeipa/issue/8326

Fixes: https://bugzilla.redhat.com/show_bug.cgi?id=1810160

Signed-off-by: Christian Heimes <cheimes@redhat.com>

Reviewed-By: Alexander Bokovoy <abokovoy@redhat.com>

Reviewed-By: Rob Crittenden <rcritten@redhat.com>

Reviewed-By: Florence Blanc-Renaud <flo@redhat.com>

</pre>

</li>

<li>

<strong><a href="https://salsa.debian.org/freeipa-team/freeipa/-/commit/f6707a71dcefd4b54d7909ad1ba9ba84f57c430a">f6707a71</a></strong>

<div>

<span>by Petr Vobornik</span>

<i>at 2020-06-16T11:39:55+03:00</i>

</div>

<pre class="commit-message" style="white-space: pre-wrap; margin: 0;">webui: hide user attributes for SMB services section if empty

This section should be hidded if user object hasn't ipantuserattrs

object class. I.e. when trusts are not enabled.

Web UI framework already supports hidding of sections if the

section contains no visible field. So to achieve it we simply needs

to hide the fields. Given that attributelevelrights

contains rights only for attributes of current object classes, all

of these are regarded as not writable.

We can leverage feature of input_widget that it gets hidden

when the attribute is not writable and has no value and widget's

"hidden_if_empty" is set to true. Thus doing it here.

For this to work, it is also required to fix an issue with

"ipanthomedirectorydrive" which is optional (in API) but Web UI

doesn't offer "empty" ("") value. Adding it here.

fixes: https://pagure.io/freeipa/issue/8336

Signed-off-by: Petr Vobornik <pvoborni@redhat.com>

Reviewed-By: Alexander Bokovoy <abokovoy@redhat.com>

Reviewed-By: Serhii Tsymbaliuk <stsymbal@redhat.com>

</pre>

</li>

<li>

<strong><a href="https://salsa.debian.org/freeipa-team/freeipa/-/commit/19544d53aeada733eb63d596be0a8576b17b9d04">19544d53</a></strong>

<div>

<span>by Fraser Tweedale</span>

<i>at 2020-06-16T15:37:08-04:00</i>

</div>

<pre class="commit-message" style="white-space: pre-wrap; margin: 0;">fix cert-find errors in CA-less deployment

Under some search conditions (in particular, when user is

specified), the CA sub-search of cert-find command throws an error

on CA-less deployments.  Do not execute the CA sub-search on CA-less

deployments.

Fixes: https://pagure.io/freeipa/issue/8369

Reviewed-By: Christian Heimes <cheimes@redhat.com>

</pre>

</li>

<li>

<strong><a href="https://salsa.debian.org/freeipa-team/freeipa/-/commit/691b3cddb275821630f443f22706fa75e7c7a5c8">691b3cdd</a></strong>

<div>

<span>by Petr Vobornik</span>

<i>at 2020-06-16T19:02:31-04:00</i>

</div>

<pre class="commit-message" style="white-space: pre-wrap; margin: 0;">webui: hide user attributes for SMB services section if empty

This section should be hidded if user object hasn't ipantuserattrs

object class. I.e. when trusts are not enabled.

Web UI framework already supports hidding of sections if the

section contains no visible field. So to achieve it we simply needs

to hide the fields. Given that attributelevelrights

contains rights only for attributes of current object classes, all

of these are regarded as not writable.

We can leverage feature of input_widget that it gets hidden

when the attribute is not writable and has no value and widget's

"hidden_if_empty" is set to true. Thus doing it here.

For this to work, it is also required to fix an issue with

"ipanthomedirectorydrive" which is optional (in API) but Web UI

doesn't offer "empty" ("") value. Adding it here.

fixes: https://pagure.io/freeipa/issue/8336

Signed-off-by: Petr Vobornik <pvoborni@redhat.com>

Reviewed-By: Serhii Tsymbaliuk <stsymbal@redhat.com>

Reviewed-By: Alexander Bokovoy <abokovoy@redhat.com>

</pre>

</li>

<li>

<strong><a href="https://salsa.debian.org/freeipa-team/freeipa/-/commit/34b4d9bce56f62121e1e0ef0bf57cd1724aefe82">34b4d9bc</a></strong>

<div>

<span>by Mohammad Rizwan</span>

<i>at 2020-06-16T19:03:49-04:00</i>

</div>

<pre class="commit-message" style="white-space: pre-wrap; margin: 0;">ipatests: Test ipa user login with wrong password

When ipa user login to machine using wrong password, it

should log proper message in /var/log/secure

related: SSSD/sssd#5139

Signed-off-by: Mohammad Rizwan <myusuf@redhat.com>

Reviewed-By: Anuja More <amore@redhat.com>

Reviewed-By: Florence Blanc-Renaud <flo@redhat.com>

</pre>

</li>

<li>

<strong><a href="https://salsa.debian.org/freeipa-team/freeipa/-/commit/40804b5e06151fb0e73def2b9a6b706063205723">40804b5e</a></strong>

<div>

<span>by Mohammad Rizwan</span>

<i>at 2020-06-16T19:03:49-04:00</i>

</div>

<pre class="commit-message" style="white-space: pre-wrap; margin: 0;">Xfail test for sssd < 2.3.0

This fix is available in sssd 2.3.0+. On older version

test will fail. Hence added xfail.

Signed-off-by: Mohammad Rizwan <myusuf@redhat.com>

Reviewed-By: Anuja More <amore@redhat.com>

Reviewed-By: Florence Blanc-Renaud <flo@redhat.com>

</pre>

</li>

<li>

<strong><a href="https://salsa.debian.org/freeipa-team/freeipa/-/commit/3912e8e6739058ef8fcb2964fda0edc3ee23fc1e">3912e8e6</a></strong>

<div>

<span>by Petr Vobornik</span>

<i>at 2020-06-16T19:06:02-04:00</i>

</div>

<pre class="commit-message" style="white-space: pre-wrap; margin: 0;">baseuser: fix ipanthomedirectorydrive option name

It should be ipanthomedirectorydrive and not ipanthomedirectoryrive.

This fixes showing the field in Web UI and also should fix CLI as it

probably never worked.

Signed-off-by: Petr Vobornik <pvoborni@redhat.com>

Reviewed-By: Alexander Bokovoy <abokovoy@redhat.com>

</pre>

</li>

<li>

<strong><a href="https://salsa.debian.org/freeipa-team/freeipa/-/commit/3f89bd2ca704dfe4ec80dc8bbc340bdf8153bf18">3f89bd2c</a></strong>

<div>

<span>by Armando Neto</span>

<i>at 2020-06-17T07:58:58+02:00</i>

</div>

<pre class="commit-message" style="white-space: pre-wrap; margin: 0;">ipatests: bump prci templates

New images were necessary to include updated `selinux-policy` package.

Signed-off-by: Armando Neto <abiagion@redhat.com>

Reviewed-By: Francois Cami <fcami@redhat.com>

</pre>

</li>

<li>

<strong><a href="https://salsa.debian.org/freeipa-team/freeipa/-/commit/04ce1a415b33a95ad5bd65cb93e511a16940b123">04ce1a41</a></strong>

<div>

<span>by Armando Neto</span>

<i>at 2020-06-17T08:03:17+02:00</i>

</div>

<pre class="commit-message" style="white-space: pre-wrap; margin: 0;">ipatests: bump prci templates

New images were necessary to include updated `selinux-policy` package.

Rawhide image based on `Fedora-Rawhide-20200607.n.0` compose.

Signed-off-by: Armando Neto <abiagion@redhat.com>

Reviewed-By: Francois Cami <fcami@redhat.com>

</pre>

</li>

<li>

<strong><a href="https://salsa.debian.org/freeipa-team/freeipa/-/commit/60a58eac02ed2c0741fbce3c1fb3acceef61fdbc">60a58eac</a></strong>

<div>

<span>by Fraser Tweedale</span>

<i>at 2020-06-17T10:08:54+02:00</i>

</div>

<pre class="commit-message" style="white-space: pre-wrap; margin: 0;">fix cert-find errors in CA-less deployment

Under some search conditions (in particular, when user is

specified), the CA sub-search of cert-find command throws an error

on CA-less deployments.  Do not execute the CA sub-search on CA-less

deployments.

Fixes: https://pagure.io/freeipa/issue/8369

Reviewed-By: Christian Heimes <cheimes@redhat.com>

</pre>

</li>

<li>

<strong><a href="https://salsa.debian.org/freeipa-team/freeipa/-/commit/a090b429fda35c5a9c3cfb672ab42a5985d00ff9">a090b429</a></strong>

<div>

<span>by Petr Vobornik</span>

<i>at 2020-06-17T10:10:52+02:00</i>

</div>

<pre class="commit-message" style="white-space: pre-wrap; margin: 0;">baseuser: fix ipanthomedirectorydrive option name

It should be ipanthomedirectorydrive and not ipanthomedirectoryrive.

This fixes showing the field in Web UI and also should fix CLI as it

probably never worked.

Signed-off-by: Petr Vobornik <pvoborni@redhat.com>

Reviewed-By: Alexander Bokovoy <abokovoy@redhat.com>

</pre>

</li>

<li>

<strong><a href="https://salsa.debian.org/freeipa-team/freeipa/-/commit/5a3b5f3affe16efcbf93af5c1bfd95a0c7999e5b">5a3b5f3a</a></strong>

<div>

<span>by Christian Heimes</span>

<i>at 2020-06-17T13:38:59+02:00</i>

</div>

<pre class="commit-message" style="white-space: pre-wrap; margin: 0;">Build ipa-selinux package on RHEL 8

Signed-off-by: Christian Heimes <cheimes@redhat.com>

Reviewed-By: Francois Cami <fcami@redhat.com>

</pre>

</li>

<li>

<strong><a href="https://salsa.debian.org/freeipa-team/freeipa/-/commit/533ec75494127694692a46503e031df51a83f0c2">533ec754</a></strong>

<div>

<span>by François Cami</span>

<i>at 2020-06-17T15:40:47-04:00</i>

</div>

<pre class="commit-message" style="white-space: pre-wrap; margin: 0;">.mailmap: add fcami

Add myself to .mailmap.

Signed-off-by: François Cami <fcami@redhat.com>

Reviewed-By: Christian Heimes <cheimes@redhat.com>

</pre>

</li>

<li>

<strong><a href="https://salsa.debian.org/freeipa-team/freeipa/-/commit/351f3061514cb80faf644f4a067e5a596b087d7e">351f3061</a></strong>

<div>

<span>by Christian Heimes</span>

<i>at 2020-06-18T14:41:23+02:00</i>

</div>

<pre class="commit-message" style="white-space: pre-wrap; margin: 0;">Build ipa-selinux package on RHEL 8

Signed-off-by: Christian Heimes <cheimes@redhat.com>

Reviewed-By: Francois Cami <fcami@redhat.com>

</pre>

</li>

<li>

<strong><a href="https://salsa.debian.org/freeipa-team/freeipa/-/commit/6de941ce2c04c9ed6c8c33ed01c93fd6baa2fc5f">6de941ce</a></strong>

<div>

<span>by François Cami</span>

<i>at 2020-06-19T08:37:48+02:00</i>

</div>

<pre class="commit-message" style="white-space: pre-wrap; margin: 0;">.mailmap: add fcami

Add myself to .mailmap.

Signed-off-by: François Cami <fcami@redhat.com>

Reviewed-By: Christian Heimes <cheimes@redhat.com>

</pre>

</li>

<li>

<strong><a href="https://salsa.debian.org/freeipa-team/freeipa/-/commit/6e3346f0a7d820cb3643044884657fa60a80f918">6e3346f0</a></strong>

<div>

<span>by Christian Heimes</span>

<i>at 2020-06-19T08:40:15+02:00</i>

</div>

<pre class="commit-message" style="white-space: pre-wrap; margin: 0;">Use old uglifyjs on RHEL 8

RHEL 8 buildroot does not have python3-rjsmin yet. Fall back to

uglifyjs.

See: https://pagure.io/freeipa/issue/8300

Signed-off-by: Christian Heimes <cheimes@redhat.com>

Reviewed-By: Alexander Bokovoy <abokovoy@redhat.com>

</pre>

</li>

<li>

<strong><a href="https://salsa.debian.org/freeipa-team/freeipa/-/commit/c2ba333b9681d008d9c528a79dbdd76ce11a3ecd">c2ba333b</a></strong>

<div>

<span>by Serhii Tsymbaliuk</span>

<i>at 2020-06-22T09:31:34+02:00</i>

</div>

<pre class="commit-message" style="white-space: pre-wrap; margin: 0;">WebUI: Fix "IPA Error 3007: RequirmentError" while adding idoverrideuser association

Add builder for association adder dialog which allows to override behavior of the component.

Replace default implementation with a custom one for idoverrideuser.

Replace text filter with 'ID view' select box in the idoverrideuser dialog.

Ticket: https://pagure.io/freeipa/issue/8335

Signed-off-by: Serhii Tsymbaliuk <stsymbal@redhat.com>

Reviewed-By: Alexander Bokovoy <abokovoy@redhat.com>

</pre>

</li>

<li>

<strong><a href="https://salsa.debian.org/freeipa-team/freeipa/-/commit/68ada5f2040bb207a5402220fb93e360bae215fe">68ada5f2</a></strong>

<div>

<span>by Fraser Tweedale</span>

<i>at 2020-06-23T10:22:38+10:00</i>

</div>

<pre class="commit-message" style="white-space: pre-wrap; margin: 0;">fix iPAddress cert issuance for >1 host/service

The 'cert_request' command accumulates DNS names from the CSR,

before checking that all IP addresses in the CSR are reachable from

those DNS names.  Before adding a DNS name to the set, we check that

that it corresponds to the FQDN of a known host/service principal

(including principal aliases).  When a DNS name maps to a

"alternative" principal (i.e.  not the one given via the 'principal'

argument), this check was not being performed correctly.

Specifically, we were looking for the 'krbprincipalname' field on

the RPC response object directly, instead of its 'result' field.

To resolve the issue, dereference the RPC response to its 'result'

field before invoking the '_dns_name_matches_principal' subroutine.

Fixes: https://pagure.io/freeipa/issue/8368

Reviewed-By: Rob Crittenden <rcritten@redhat.com>

</pre>

</li>

<li>

<strong><a href="https://salsa.debian.org/freeipa-team/freeipa/-/commit/128500198d3782a76616cf1d971d5aeb17e8c1da">12850019</a></strong>

<div>

<span>by Fraser Tweedale</span>

<i>at 2020-06-23T11:21:27+10:00</i>

</div>

<pre class="commit-message" style="white-space: pre-wrap; margin: 0;">fix iPAddress cert issuance for >1 host/service

The 'cert_request' command accumulates DNS names from the CSR,

before checking that all IP addresses in the CSR are reachable from

those DNS names.  Before adding a DNS name to the set, we check that

that it corresponds to the FQDN of a known host/service principal

(including principal aliases).  When a DNS name maps to a

"alternative" principal (i.e.  not the one given via the 'principal'

argument), this check was not being performed correctly.

Specifically, we were looking for the 'krbprincipalname' field on

the RPC response object directly, instead of its 'result' field.

To resolve the issue, dereference the RPC response to its 'result'

field before invoking the '_dns_name_matches_principal' subroutine.

Fixes: https://pagure.io/freeipa/issue/8368

Reviewed-By: Rob Crittenden <rcritten@redhat.com>

</pre>

</li>

<li>

<strong><a href="https://salsa.debian.org/freeipa-team/freeipa/-/commit/c5e9bd61d6a0a8fc8f06592b9cf14bd576404d51">c5e9bd61</a></strong>

<div>

<span>by Alexander Scheel</span>

<i>at 2020-06-23T09:20:24+02:00</i>

</div>

<pre class="commit-message" style="white-space: pre-wrap; margin: 0;">Clarify AJP connector creation process

We do two things:

 1. Fix the xpath for AJP connector verification. An AJP connector is

    one which has protocol="AJP/1.3", NOT one that has port="8009". An

    AJP connector can exist on any port and port 8009 can have any

    protocol. Secrets only make sense on AJP connectors, so make the

    xpath match the existing comment.

 2. Add some background in-line documentation about AJP secret

    provisioning. This should help future developers understand why this

    was added to IPA and what limitations there are in what PKI or IPA

    can do. Most notably, explain why Dogtag can't upgrade the AJP

    connector to have a secret in the general case.

Signed-off-by: Alexander Scheel <ascheel@redhat.com>

Reviewed-By: Alexander Bokovoy <abokovoy@redhat.com>

</pre>

</li>

<li>

<strong><a href="https://salsa.debian.org/freeipa-team/freeipa/-/commit/3ecea7800ab7d44f47ef26264dfb8c33aadeca49">3ecea780</a></strong>

<div>

<span>by Alexander Scheel</span>

<i>at 2020-06-23T09:20:24+02:00</i>

</div>

<pre class="commit-message" style="white-space: pre-wrap; margin: 0;">Configure PKI AJP Secret with 256-bit secret

By default, PKI's AJP secret is generated as a 75-bit password. By

generating it in IPA, we can guarantee the strength of the AJP secret.

It makes sense to use a stronger AJP secret because it typically

isn't rotated; access to AJP allows an attacker to impersonate an admin

while talking to PKI.

Fixes: https://pagure.io/freeipa/issue/8372

Fixes: https://bugzilla.redhat.com/show_bug.cgi?id=1849146

Related: https://bugzilla.redhat.com/show_bug.cgi?id=1845447

Related: https://github.com/dogtagpki/pki/pull/437

Signed-off-by: Alexander Scheel <ascheel@redhat.com>

Reviewed-By: Alexander Bokovoy <abokovoy@redhat.com>

</pre>

</li>

<li>

<strong><a href="https://salsa.debian.org/freeipa-team/freeipa/-/commit/13b177822ea8382c9c5986862424f8ff8f08f16f">13b17782</a></strong>

<div>

<span>by Peter Keresztes Schmidt</span>

<i>at 2020-06-23T10:11:09+02:00</i>

</div>

<pre class="commit-message" style="white-space: pre-wrap; margin: 0;">WebUI: move OTP to be the last field in the PW reset form

Since TOTPs have a limited validity, let the user enter

them as the last item in the form.

This reduces the chance of the TOTP getting invalid while

the user is still filling out other fields.

Related: https://pagure.io/freeipa/issue/5628

Reviewed-By: Alexander Bokovoy <abbra@users.noreply.github.com>

</pre>

</li>

<li>

<strong><a href="https://salsa.debian.org/freeipa-team/freeipa/-/commit/d63a91da4bb1b20b2cb0601bcb3a640ab8511151">d63a91da</a></strong>

<div>

<span>by Peter Keresztes Schmidt</span>

<i>at 2020-06-23T10:11:09+02:00</i>

</div>

<pre class="commit-message" style="white-space: pre-wrap; margin: 0;">WebUI: reword OTP info message displayed during PW reset

The message displayed before is now limited to the OTP

sync form, for which it was written originally.

A new message is introduced for the PW reset form,

which clarifies the usage of the OTP field.

Fixes: https://pagure.io/freeipa/issue/5628

Reviewed-By: Alexander Bokovoy <abbra@users.noreply.github.com>

</pre>

</li>

<li>

<strong><a href="https://salsa.debian.org/freeipa-team/freeipa/-/commit/ea5c0a1f7c1b2902a74731787710bee40542330f">ea5c0a1f</a></strong>

<div>

<span>by Peter Keresztes Schmidt</span>

<i>at 2020-06-23T10:11:09+02:00</i>

</div>

<pre class="commit-message" style="white-space: pre-wrap; margin: 0;">Unify spelling of "One-Time Password"

Spelling is in accordance with the HOTP

RFC 4226 and TOTP RFC 6238.

Reviewed-By: Alexander Bokovoy <abbra@users.noreply.github.com>

</pre>

</li>

<li>

<strong><a href="https://salsa.debian.org/freeipa-team/freeipa/-/commit/523f70ae46127161556a0881fc9a01e138a90666">523f70ae</a></strong>

<div>

<span>by Christian Heimes</span>

<i>at 2020-06-23T10:16:29+02:00</i>

</div>

<pre class="commit-message" style="white-space: pre-wrap; margin: 0;">Terminology improvements: CA renewal

The term "CA renewal master" is a fixed term in FreeIPA and cannot

easily be replaced with an alternative term. At least we should use the

term consistently.

See: https://tools.ietf.org/id/draft-knodel-terminology-01.html

Signed-off-by: Christian Heimes <cheimes@redhat.com>

Reviewed-By: Alexander Bokovoy <abbra@users.noreply.github.com>

Reviewed-By: Rob Crittenden <rcritten@redhat.com>

</pre>

</li>

<li>

<strong><a href="https://salsa.debian.org/freeipa-team/freeipa/-/commit/5c09dcdb981df7837ac1bb75547d23fc7d8946d0">5c09dcdb</a></strong>

<div>

<span>by Christian Heimes</span>

<i>at 2020-06-23T10:16:29+02:00</i>

</div>

<pre class="commit-message" style="white-space: pre-wrap; margin: 0;">Grammar: whitespace is a word

Signed-off-by: Christian Heimes <cheimes@redhat.com>

Reviewed-By: Alexander Bokovoy <abbra@users.noreply.github.com>

Reviewed-By: Rob Crittenden <rcritten@redhat.com>

</pre>

</li>

<li>

<strong><a href="https://salsa.debian.org/freeipa-team/freeipa/-/commit/3ce816ba772ffae6b0bd05e4589727513fa76e3c">3ce816ba</a></strong>

<div>

<span>by Christian Heimes</span>

<i>at 2020-06-23T10:16:29+02:00</i>

</div>

<pre class="commit-message" style="white-space: pre-wrap; margin: 0;">Terminology improvements: use allow list

See: https://tools.ietf.org/id/draft-knodel-terminology-01.html

Signed-off-by: Christian Heimes <cheimes@redhat.com>

Reviewed-By: Alexander Bokovoy <abbra@users.noreply.github.com>

Reviewed-By: Rob Crittenden <rcritten@redhat.com>

</pre>

</li>

<li>

<strong><a href="https://salsa.debian.org/freeipa-team/freeipa/-/commit/3ec1b77f6a03886936299a9d34ed8fd640c3984d">3ec1b77f</a></strong>

<div>

<span>by Christian Heimes</span>

<i>at 2020-06-23T10:16:29+02:00</i>

</div>

<pre class="commit-message" style="white-space: pre-wrap; margin: 0;">Terminology improvements: use block list

Some places have to use the old name because it's part of the stable API

or stable LDAP attributes.

See: https://tools.ietf.org/id/draft-knodel-terminology-01.html

Signed-off-by: Christian Heimes <cheimes@redhat.com>

Reviewed-By: Alexander Bokovoy <abbra@users.noreply.github.com>

Reviewed-By: Rob Crittenden <rcritten@redhat.com>

</pre>

</li>

<li>

<strong><a href="https://salsa.debian.org/freeipa-team/freeipa/-/commit/5cefc6df114b162f3cd33622e87ba5a88dc03f0e">5cefc6df</a></strong>

<div>

<span>by Christian Heimes</span>

<i>at 2020-06-23T10:18:57+02:00</i>

</div>

<pre class="commit-message" style="white-space: pre-wrap; margin: 0;">Use old uglifyjs on RHEL 8

RHEL 8 buildroot does not have python3-rjsmin yet. Fall back to

uglifyjs.

See: https://pagure.io/freeipa/issue/8300

Signed-off-by: Christian Heimes <cheimes@redhat.com>

Reviewed-By: Alexander Bokovoy <abokovoy@redhat.com>

</pre>

</li>

<li>

<strong><a href="https://salsa.debian.org/freeipa-team/freeipa/-/commit/be48983558a560dadad410a70a4a1684565ed481">be489835</a></strong>

<div>

<span>by Alexander Scheel</span>

<i>at 2020-06-23T10:21:37+02:00</i>

</div>

<pre class="commit-message" style="white-space: pre-wrap; margin: 0;">Clarify AJP connector creation process

We do two things:

 1. Fix the xpath for AJP connector verification. An AJP connector is

    one which has protocol="AJP/1.3", NOT one that has port="8009". An

    AJP connector can exist on any port and port 8009 can have any

    protocol. Secrets only make sense on AJP connectors, so make the

    xpath match the existing comment.

 2. Add some background in-line documentation about AJP secret

    provisioning. This should help future developers understand why this

    was added to IPA and what limitations there are in what PKI or IPA

    can do. Most notably, explain why Dogtag can't upgrade the AJP

    connector to have a secret in the general case.

Signed-off-by: Alexander Scheel <ascheel@redhat.com>

Reviewed-By: Alexander Bokovoy <abokovoy@redhat.com>

</pre>

</li>

<li>

<strong><a href="https://salsa.debian.org/freeipa-team/freeipa/-/commit/1e804bf19da4ee274e735fd49452d4df5d73a002">1e804bf1</a></strong>

<div>

<span>by Alexander Scheel</span>

<i>at 2020-06-23T10:21:37+02:00</i>

</div>

<pre class="commit-message" style="white-space: pre-wrap; margin: 0;">Configure PKI AJP Secret with 256-bit secret

By default, PKI's AJP secret is generated as a 75-bit password. By

generating it in IPA, we can guarantee the strength of the AJP secret.

It makes sense to use a stronger AJP secret because it typically

isn't rotated; access to AJP allows an attacker to impersonate an admin

while talking to PKI.

Fixes: https://pagure.io/freeipa/issue/8372

Fixes: https://bugzilla.redhat.com/show_bug.cgi?id=1849146

Related: https://bugzilla.redhat.com/show_bug.cgi?id=1845447

Related: https://github.com/dogtagpki/pki/pull/437

Signed-off-by: Alexander Scheel <ascheel@redhat.com>

Reviewed-By: Alexander Bokovoy <abokovoy@redhat.com>

</pre>

</li>

<li>

<strong><a href="https://salsa.debian.org/freeipa-team/freeipa/-/commit/c5e6fe057caf81caa0f95ad7a9cded604b9eaf32">c5e6fe05</a></strong>

<div>

<span>by François Cami</span>

<i>at 2020-06-23T10:38:24+02:00</i>

</div>

<pre class="commit-message" style="white-space: pre-wrap; margin: 0;">ipatests: increase test_caless_TestReplicaInstall timeout

test_caless_TestReplicaInstall timeout seems too short.

Extend it.

Fixes: https://pagure.io/freeipa/issue/8377

Signed-off-by: François Cami <fcami@redhat.com>

Reviewed-By: Florence Blanc-Renaud <flo@redhat.com>

Reviewed-By: Armando Neto <abiagion@redhat.com>

</pre>

</li>

<li>

<strong><a href="https://salsa.debian.org/freeipa-team/freeipa/-/commit/3cf9979aec109e01ee470c22fbc7ca55bd8c2eb0">3cf9979a</a></strong>

<div>

<span>by Florence Blanc-Renaud</span>

<i>at 2020-06-23T11:11:46+02:00</i>

</div>

<pre class="commit-message" style="white-space: pre-wrap; margin: 0;">ipa-client-install: use sshd drop-in configuration

sshd 8.2+ now supports the "Include" keyword in sshd_config and

ships by default /etc/ssh/sshd_config with

"Include /etc/ssh/sshd_config.d/*"

As fedora 32 provides a config file in that directory (05-redhat.conf) with

ChallengeResponseAuthentication no

that is conflicting with IPA client config, ipa-client-install now needs

to make its config changes in a drop-in file read before 05-redhat.conf

(the files are read in lexicographic order and the first setting wins).

There is no need to handle upgrades from sshd < 8.2: if openssh-server

detects a customisation in /etc/ssh/sshd_config, it will not update

the file but create /etc/ssh/sshd_config.rpmnew and ask the admin

to manually handle the config upgrade.

Fixes: https://pagure.io/freeipa/issue/8304

Reviewed-By: Alexander Bokovoy <abokovoy@redhat.com>

</pre>

</li>

<li>

<strong><a href="https://salsa.debian.org/freeipa-team/freeipa/-/commit/511f5194dcf12a64fc8a6c2791edc9c6cda2d926">511f5194</a></strong>

<div>

<span>by Florence Blanc-Renaud</span>

<i>at 2020-06-23T11:11:46+02:00</i>

</div>

<pre class="commit-message" style="white-space: pre-wrap; margin: 0;">client install: fix broken sshd config

If ipa client was installed with openssh-server >= 8.2, the

configuration parameters for sshd were put in /etc/ssh/sshd_config

instead of in a snippet in /etc/ssh/sshd_config.d.

Upgrade to this new ipa version fixes the sshd conf by

moving the params to the snippet.

Related: https://pagure.io/freeipa/issue/8304

Reviewed-By: Alexander Bokovoy <abokovoy@redhat.com>

</pre>

</li>

<li>

<strong><a href="https://salsa.debian.org/freeipa-team/freeipa/-/commit/b317222d515e51504b4c8342008f2981b508c82a">b317222d</a></strong>

<div>

<span>by Florence Blanc-Renaud</span>

<i>at 2020-06-23T14:52:22+02:00</i>

</div>

<pre class="commit-message" style="white-space: pre-wrap; margin: 0;">ipa-client-install: use sshd drop-in configuration

sshd 8.2+ now supports the "Include" keyword in sshd_config and

ships by default /etc/ssh/sshd_config with

"Include /etc/ssh/sshd_config.d/*"

As fedora 32 provides a config file in that directory (05-redhat.conf) with

ChallengeResponseAuthentication no

that is conflicting with IPA client config, ipa-client-install now needs

to make its config changes in a drop-in file read before 05-redhat.conf

(the files are read in lexicographic order and the first setting wins).

There is no need to handle upgrades from sshd < 8.2: if openssh-server

detects a customisation in /etc/ssh/sshd_config, it will not update

the file but create /etc/ssh/sshd_config.rpmnew and ask the admin

to manually handle the config upgrade.

Fixes: https://pagure.io/freeipa/issue/8304

Reviewed-By: Alexander Bokovoy <abokovoy@redhat.com>

</pre>

</li>

<li>

<strong><a href="https://salsa.debian.org/freeipa-team/freeipa/-/commit/3ea611c98b1e01c54e5ce6c64fe108b140631722">3ea611c9</a></strong>

<div>

<span>by Florence Blanc-Renaud</span>

<i>at 2020-06-23T14:52:22+02:00</i>

</div>

<pre class="commit-message" style="white-space: pre-wrap; margin: 0;">client install: fix broken sshd config

If ipa client was installed with openssh-server >= 8.2, the

configuration parameters for sshd were put in /etc/ssh/sshd_config

instead of in a snippet in /etc/ssh/sshd_config.d.

Upgrade to this new ipa version fixes the sshd conf by

moving the params to the snippet.

Related: https://pagure.io/freeipa/issue/8304

Reviewed-By: Alexander Bokovoy <abokovoy@redhat.com>

</pre>

</li>

<li>

<strong><a href="https://salsa.debian.org/freeipa-team/freeipa/-/commit/2c3bf183634cb5615528daa88339e834e5400530">2c3bf183</a></strong>

<div>

<span>by Peter Keresztes Schmidt</span>

<i>at 2020-06-23T15:06:57+02:00</i>

</div>

<pre class="commit-message" style="white-space: pre-wrap; margin: 0;">WebUI: move OTP to be the last field in the PW reset form

Since TOTPs have a limited validity, let the user enter

them as the last item in the form.

This reduces the chance of the TOTP getting invalid while

the user is still filling out other fields.

Related: https://pagure.io/freeipa/issue/5628

Reviewed-By: Alexander Bokovoy <abokovoy@redhat.com>

</pre>

</li>

<li>

<strong><a href="https://salsa.debian.org/freeipa-team/freeipa/-/commit/82475aab31a5f8e06360d43b4e3d5e1aa2daf0fb">82475aab</a></strong>

<div>

<span>by Peter Keresztes Schmidt</span>

<i>at 2020-06-23T15:06:57+02:00</i>

</div>

<pre class="commit-message" style="white-space: pre-wrap; margin: 0;">WebUI: reword OTP info message displayed during PW reset

The message displayed before is now limited to the OTP

sync form, for which it was written originally.

A new message is introduced for the PW reset form,

which clarifies the usage of the OTP field.

Fixes: https://pagure.io/freeipa/issue/5628

Reviewed-By: Alexander Bokovoy <abokovoy@redhat.com>

</pre>

</li>

<li>

<strong><a href="https://salsa.debian.org/freeipa-team/freeipa/-/commit/0320de78571bb75ed17cd31727f7b25360941f67">0320de78</a></strong>

<div>

<span>by Peter Keresztes Schmidt</span>

<i>at 2020-06-23T15:06:57+02:00</i>

</div>

<pre class="commit-message" style="white-space: pre-wrap; margin: 0;">Unify spelling of "One-Time Password"

Spelling is in accordance with the HOTP

RFC 4226 and TOTP RFC 6238.

Reviewed-By: Alexander Bokovoy <abokovoy@redhat.com>

</pre>

</li>

<li>

<strong><a href="https://salsa.debian.org/freeipa-team/freeipa/-/commit/769c87f5e737174c771338fc2af1bd31304a689c">769c87f5</a></strong>

<div>

<span>by sumenon</span>

<i>at 2020-06-24T10:23:26+02:00</i>

</div>

<pre class="commit-message" style="white-space: pre-wrap; margin: 0;">ipatests: Tests to check ipahealthcheck tool with IPA-AD trust scenario

Tests for below checks are included

IPATrustDomainsCheck

IPATrustControllerConfCheck

IPAsidgenpluginCheck

IPATrustControllerServiceCheck

IPATrustAgentMemberCheck

IPATrustCatalogCheck

Reviewed-By: Florence Blanc-Renaud <flo@redhat.com>

Reviewed-By: Rob Crittenden <rcritten@redhat.com>

</pre>

</li>

<li>

<strong><a href="https://salsa.debian.org/freeipa-team/freeipa/-/commit/f1b2d7b6fcda02f79db8eb00085d980c56ccc314">f1b2d7b6</a></strong>

<div>

<span>by sumenon</span>

<i>at 2020-06-24T10:23:26+02:00</i>

</div>

<pre class="commit-message" style="white-space: pre-wrap; margin: 0;">Modified YAML to include healthcheck AD tests

Reviewed-By: Florence Blanc-Renaud <flo@redhat.com>

Reviewed-By: Rob Crittenden <rcritten@redhat.com>

</pre>

</li>

<li>

<strong><a href="https://salsa.debian.org/freeipa-team/freeipa/-/commit/1144da5d94aa75e882929e136d7d322dc4a93732">1144da5d</a></strong>

<div>

<span>by Christian Heimes</span>

<i>at 2020-06-24T13:49:14+02:00</i>

</div>

<pre class="commit-message" style="white-space: pre-wrap; margin: 0;">RHEL 8.3 has KRB5 1.18 with KDB 8.0

Signed-off-by: Christian Heimes <cheimes@redhat.com>

Reviewed-By: Francois Cami <fcami@redhat.com>

Reviewed-By: Alexander Bokovoy <abokovoy@redhat.com>

</pre>

</li>

<li>

<strong><a href="https://salsa.debian.org/freeipa-team/freeipa/-/commit/dc11b98e4a6650040731405a0e954e20be12afa6">dc11b98e</a></strong>

<div>

<span>by Florence Blanc-Renaud</span>

<i>at 2020-06-24T14:55:27+02:00</i>

</div>

<pre class="commit-message" style="white-space: pre-wrap; margin: 0;">Unify spelling of "One-Time Password" (take 2)

The previous fix for the spelling of "One-Time Password"

missed a few lines.

Fixes: https://pagure.io/freeipa/issue/8381

Related: https://pagure.io/freeipa/issue/5628

Reviewed-By: Francois Cami <fcami@redhat.com>

</pre>

</li>

<li>

<strong><a href="https://salsa.debian.org/freeipa-team/freeipa/-/commit/7473bd11f04f46f2d91068ec3ba4130386d6fc0a">7473bd11</a></strong>

<div>

<span>by Christian Heimes</span>

<i>at 2020-06-24T18:28:17+02:00</i>

</div>

<pre class="commit-message" style="white-space: pre-wrap; margin: 0;">RHEL 8.3 has KRB5 1.18 with KDB 8.0

Signed-off-by: Christian Heimes <cheimes@redhat.com>

Reviewed-By: Alexander Bokovoy <abokovoy@redhat.com>

Reviewed-By: Francois Cami <fcami@redhat.com>

</pre>

</li>

<li>

<strong><a href="https://salsa.debian.org/freeipa-team/freeipa/-/commit/73df4e1bf83ecb209a580c79e73170ccd7cc1106">73df4e1b</a></strong>

<div>

<span>by sumenon</span>

<i>at 2020-06-24T18:31:08+02:00</i>

</div>

<pre class="commit-message" style="white-space: pre-wrap; margin: 0;">ipatests: Tests to check ipahealthcheck tool with IPA-AD trust scenario

Tests for below checks are included

IPATrustDomainsCheck

IPATrustControllerConfCheck

IPAsidgenpluginCheck

IPATrustControllerServiceCheck

IPATrustAgentMemberCheck

IPATrustCatalogCheck

Reviewed-By: Florence Blanc-Renaud <flo@redhat.com>

Reviewed-By: Rob Crittenden <rcritten@redhat.com>

Reviewed-By: Florence Blanc-Renaud <flo@redhat.com>

Reviewed-By: Rob Crittenden <rcritten@redhat.com>

</pre>

</li>

<li>

<strong><a href="https://salsa.debian.org/freeipa-team/freeipa/-/commit/2e8cd60bc1918508e79dbec84f5854aea749db11">2e8cd60b</a></strong>

<div>

<span>by sumenon</span>

<i>at 2020-06-24T18:31:08+02:00</i>

</div>

<pre class="commit-message" style="white-space: pre-wrap; margin: 0;">Modified YAML to include healthcheck IPA-AD trust scenario

Reviewed-By: Florence Blanc-Renaud <flo@redhat.com>

Reviewed-By: Rob Crittenden <rcritten@redhat.com>

</pre>

</li>

<li>

<strong><a href="https://salsa.debian.org/freeipa-team/freeipa/-/commit/8c7f54d1ffbddbfabd4f4547edeeb38a24152518">8c7f54d1</a></strong>

<div>

<span>by Florence Blanc-Renaud</span>

<i>at 2020-06-24T18:34:15+02:00</i>

</div>

<pre class="commit-message" style="white-space: pre-wrap; margin: 0;">Unify spelling of "One-Time Password" (take 2)

The previous fix for the spelling of "One-Time Password"

missed a few lines.

Fixes: https://pagure.io/freeipa/issue/8381

Related: https://pagure.io/freeipa/issue/5628

Reviewed-By: Francois Cami <fcami@redhat.com>

Reviewed-By: Francois Cami <fcami@redhat.com>

</pre>

</li>

<li>

<strong><a href="https://salsa.debian.org/freeipa-team/freeipa/-/commit/a3c648bd926224c53f96602ea3ec7213a3caa22d">a3c648bd</a></strong>

<div>

<span>by Florence Blanc-Renaud</span>

<i>at 2020-06-24T17:22:24-04:00</i>

</div>

<pre class="commit-message" style="white-space: pre-wrap; margin: 0;">ipatests: fix the method adding ifp to sssd.conf

The test TestCertsInIDOverrides enables the ifp service in

sssd.conf by a sed command. If the service is already enabled,

the ifp service appears multiple times in the section

[sssd]

services = ..ifp...ifp

and sssd fails to start.

Use tasks.remote_sssd_config to properly configure the

services as this API properly handles the case when the

service is already configured.

Fixes: https://pagure.io/freeipa/issue/8371

Reviewed-By: Anuja More <amore@redhat.com>

Reviewed-By: Rob Crittenden <rcritten@redhat.com>

</pre>

</li>

<li>

<strong><a href="https://salsa.debian.org/freeipa-team/freeipa/-/commit/1f6ca418ee9e823b63680ab1213160884fe59cf6">1f6ca418</a></strong>

<div>

<span>by Alexander Bokovoy</span>

<i>at 2020-06-25T09:18:02+03:00</i>

</div>

<pre class="commit-message" style="white-space: pre-wrap; margin: 0;">handle Y2038 in timestamp to datetime conversions

According to datetime.utcfromtimestamp() method documentation[1],

this and similar methods fail for dates past 2038 and can be replaced by

the following expression on the POSIX compliant systems:

  datetime(1970, 1, 1, tzinfo=timezone.utc) + timedelta(seconds=timestamp)

Make sure to use a method that at least allows to import the timestamps

properly to datetime objects on 32-bit platforms.

[1] https://docs.python.org/3/library/datetime.html#datetime.datetime.utcfromtimestamp

Fixes: https://pagure.io/freeipa/issue/8378

Signed-off-by: Alexander Bokovoy <abokovoy@redhat.com>

Reviewed-By: Rob Crittenden <rcritten@redhat.com>

Reviewed-By: Christian Heimes <cheimes@redhat.com>

</pre>

</li>

<li>

<strong><a href="https://salsa.debian.org/freeipa-team/freeipa/-/commit/437fc60639bedbac2e5af85244962f60f374961a">437fc606</a></strong>

<div>

<span>by Florence Blanc-Renaud</span>

<i>at 2020-06-25T10:42:42+02:00</i>

</div>

<pre class="commit-message" style="white-space: pre-wrap; margin: 0;">ipatests: fix the method adding ifp to sssd.conf

The test TestCertsInIDOverrides enables the ifp service in

sssd.conf by a sed command. If the service is already enabled,

the ifp service appears multiple times in the section

[sssd]

services = ..ifp...ifp

and sssd fails to start.

Use tasks.remote_sssd_config to properly configure the

services as this API properly handles the case when the

service is already configured.

Fixes: https://pagure.io/freeipa/issue/8371

Reviewed-By: Rob Crittenden <rcritten@redhat.com>

Reviewed-By: Anuja More <amore@redhat.com>

</pre>

</li>

<li>

<strong><a href="https://salsa.debian.org/freeipa-team/freeipa/-/commit/6efe9917970f81a400793d4339d6826d8350ec55">6efe9917</a></strong>

<div>

<span>by François Cami</span>

<i>at 2020-06-25T15:20:21+02:00</i>

</div>

<pre class="commit-message" style="white-space: pre-wrap; margin: 0;">EPN: ship the configuration file.

Ship and install /etc/ipa/epn.conf.

Minor fixes to the associated man page.

Fixes: https://pagure.io/freeipa/issue/8374

Signed-off-by: François Cami <fcami@redhat.com>

Reviewed-By: Alexander Bokovoy <abbra@users.noreply.github.com>

Reviewed-By: Rob Crittenden <rcritten@redhat.com>

</pre>

</li>

<li>

<strong><a href="https://salsa.debian.org/freeipa-team/freeipa/-/commit/1d7aeaebb2875a367fe274061f54b5fede44f522">1d7aeaeb</a></strong>

<div>

<span>by François Cami</span>

<i>at 2020-06-25T15:20:21+02:00</i>

</div>

<pre class="commit-message" style="white-space: pre-wrap; margin: 0;">man pages: fix epn.conf.5 and ipa-epn.1 formatting

Fix formatting issues found with mandoc.

Signed-off-by: François Cami <fcami@redhat.com>

Reviewed-By: Alexander Bokovoy <abbra@users.noreply.github.com>

Reviewed-By: Rob Crittenden <rcritten@redhat.com>

</pre>

</li>

<li>

<strong><a href="https://salsa.debian.org/freeipa-team/freeipa/-/commit/0d4f022b3bff73bcadeb3f260afc4b8162a23af4">0d4f022b</a></strong>

<div>

<span>by François Cami</span>

<i>at 2020-06-25T15:20:21+02:00</i>

</div>

<pre class="commit-message" style="white-space: pre-wrap; margin: 0;">ipatests: check that EPN's configuration file is installed.

Fixes: https://pagure.io/freeipa/issue/8374

Signed-off-by: François Cami <fcami@redhat.com>

Reviewed-By: Alexander Bokovoy <abbra@users.noreply.github.com>

Reviewed-By: Rob Crittenden <rcritten@redhat.com>

</pre>

</li>

<li>

<strong><a href="https://salsa.debian.org/freeipa-team/freeipa/-/commit/73c02f635de8d28ca2c2481035ceb8fa06e500f3">73c02f63</a></strong>

<div>

<span>by François Cami</span>

<i>at 2020-06-25T15:20:21+02:00</i>

</div>

<pre class="commit-message" style="white-space: pre-wrap; margin: 0;">ipatests: ipa_epn: uninstall/reinstall ipa-client-epn

Due to https://github.com/freeipa/freeipa-pr-ci/issues/378

the installed version of freeipa-client-epn is not the built

one. Temporarily force uninstall/reinstall of this package

before running the test.

Fixes: https://pagure.io/freeipa/issue/8374

Signed-off-by: François Cami <fcami@redhat.com>

Reviewed-By: Alexander Bokovoy <abbra@users.noreply.github.com>

Reviewed-By: Rob Crittenden <rcritten@redhat.com>

</pre>

</li>

<li>

<strong><a href="https://salsa.debian.org/freeipa-team/freeipa/-/commit/23e2935e5c5cb402dd4f6f44eaa4b013e6a8188a">23e2935e</a></strong>

<div>

<span>by François Cami</span>

<i>at 2020-06-25T17:53:22+02:00</i>

</div>

<pre class="commit-message" style="white-space: pre-wrap; margin: 0;">EPN: ship the configuration file.

Ship and install /etc/ipa/epn.conf.

Minor fixes to the associated man page.

Fixes: https://pagure.io/freeipa/issue/8374

Signed-off-by: François Cami <fcami@redhat.com>

Reviewed-By: Alexander Bokovoy <abbra@users.noreply.github.com>

Reviewed-By: Rob Crittenden <rcritten@redhat.com>

Reviewed-By: Alexander Bokovoy <abokovoy@redhat.com>

Reviewed-By: Rob Crittenden <rcritten@redhat.com>

</pre>

</li>

<li>

<strong><a href="https://salsa.debian.org/freeipa-team/freeipa/-/commit/3b43950d35f78b28d4edde4fda475b5aa84f4587">3b43950d</a></strong>

<div>

<span>by François Cami</span>

<i>at 2020-06-25T17:53:22+02:00</i>

</div>

<pre class="commit-message" style="white-space: pre-wrap; margin: 0;">man pages: fix epn.conf.5 and ipa-epn.1 formatting

Fix formatting issues found with mandoc.

Signed-off-by: François Cami <fcami@redhat.com>

Reviewed-By: Alexander Bokovoy <abbra@users.noreply.github.com>

Reviewed-By: Rob Crittenden <rcritten@redhat.com>

Reviewed-By: Alexander Bokovoy <abokovoy@redhat.com>

Reviewed-By: Rob Crittenden <rcritten@redhat.com>

</pre>

</li>

<li>

<strong><a href="https://salsa.debian.org/freeipa-team/freeipa/-/commit/2648c218467792e907435eaa5267a0f3457f634f">2648c218</a></strong>

<div>

<span>by François Cami</span>

<i>at 2020-06-25T17:53:22+02:00</i>

</div>

<pre class="commit-message" style="white-space: pre-wrap; margin: 0;">ipatests: check that EPN's configuration file is installed.

Fixes: https://pagure.io/freeipa/issue/8374

Signed-off-by: François Cami <fcami@redhat.com>

Reviewed-By: Alexander Bokovoy <abbra@users.noreply.github.com>

Reviewed-By: Rob Crittenden <rcritten@redhat.com>

Reviewed-By: Alexander Bokovoy <abokovoy@redhat.com>

Reviewed-By: Rob Crittenden <rcritten@redhat.com>

</pre>

</li>

<li>

<strong><a href="https://salsa.debian.org/freeipa-team/freeipa/-/commit/06accac8906f66ebbb31849d6528b39ae006b124">06accac8</a></strong>

<div>

<span>by François Cami</span>

<i>at 2020-06-25T17:53:22+02:00</i>

</div>

<pre class="commit-message" style="white-space: pre-wrap; margin: 0;">ipatests: ipa_epn: uninstall/reinstall ipa-client-epn

Due to https://github.com/freeipa/freeipa-pr-ci/issues/378

the installed version of freeipa-client-epn is not the built

one. Temporarily force uninstall/reinstall of this package

before running the test.

Fixes: https://pagure.io/freeipa/issue/8374

Signed-off-by: François Cami <fcami@redhat.com>

Reviewed-By: Alexander Bokovoy <abbra@users.noreply.github.com>

Reviewed-By: Rob Crittenden <rcritten@redhat.com>

Reviewed-By: Alexander Bokovoy <abokovoy@redhat.com>

Reviewed-By: Rob Crittenden <rcritten@redhat.com>

</pre>

</li>

<li>

<strong><a href="https://salsa.debian.org/freeipa-team/freeipa/-/commit/cc624fb178291062e30a11b8dc6a6b67cbe5dea8">cc624fb1</a></strong>

<div>

<span>by Armando Neto</span>

<i>at 2020-06-26T16:47:54-03:00</i>

</div>

<pre class="commit-message" style="white-space: pre-wrap; margin: 0;">ipatests: bump prci templates

Remove all freeipa-* packages from template:

https://github.com/freeipa/freeipa-pr-ci/commit/bdd98c3b9dba2ce563535d0c91dad38b532441e8

Signed-off-by: Armando Neto <abiagion@redhat.com>

Reviewed-By: Francois Cami <fcami@redhat.com>

</pre>

</li>

<li>

<strong><a href="https://salsa.debian.org/freeipa-team/freeipa/-/commit/5820573dc7932213ee74dc883239e2cecc8fb2eb">5820573d</a></strong>

<div>

<span>by Armando Neto</span>

<i>at 2020-06-26T16:48:36-03:00</i>

</div>

<pre class="commit-message" style="white-space: pre-wrap; margin: 0;">ipatests: bump prci templates

Remove all freeipa-* packages from template:

https://github.com/freeipa/freeipa-pr-ci/commit/bdd98c3b9dba2ce563535d0c91dad38b532441e8

Signed-off-by: Armando Neto <abiagion@redhat.com>

Reviewed-By: Francois Cami <fcami@redhat.com>

</pre>

</li>

<li>

<strong><a href="https://salsa.debian.org/freeipa-team/freeipa/-/commit/c7766ebb940cca040d08a1dd58b92f6546ca3e9b">c7766ebb</a></strong>

<div>

<span>by Fraser Tweedale</span>

<i>at 2020-06-29T12:03:16+10:00</i>

</div>

<pre class="commit-message" style="white-space: pre-wrap; margin: 0;">Define errors_by_code in ipalib.errors

The errors_by_code mapping could be used in more places.  In

particular it will be useful in the Dogtag GSS-API authentication

effort.  Move to ipalib.errors.

Part of: https://pagure.io/freeipa/issue/5011

Reviewed-By: Christian Heimes <cheimes@redhat.com>

</pre>

</li>

<li>

<strong><a href="https://salsa.debian.org/freeipa-team/freeipa/-/commit/ffe7f7b35907f9adab004ce63ce78f67fbd7aed8">ffe7f7b3</a></strong>

<div>

<span>by Serhii Tsymbaliuk</span>

<i>at 2020-06-29T12:12:07+03:00</i>

</div>

<pre class="commit-message" style="white-space: pre-wrap; margin: 0;">WebUI: Fix "IPA Error 3007: RequirmentError" while adding idoverrideuser association

Add builder for association adder dialog which allows to override behavior of the component.

Replace default implementation with a custom one for idoverrideuser.

Replace text filter with 'ID view' select box in the idoverrideuser dialog.

Ticket: https://pagure.io/freeipa/issue/8335

Signed-off-by: Serhii Tsymbaliuk <stsymbal@redhat.com>

Reviewed-By: Alexander Bokovoy <abokovoy@redhat.com>

Reviewed-By: Alexander Bokovoy <abokovoy@redhat.com>

</pre>

</li>

<li>

<strong><a href="https://salsa.debian.org/freeipa-team/freeipa/-/commit/7bfe6b261fa03ecc05d9f75ef24175f588d45e16">7bfe6b26</a></strong>

<div>

<span>by Fraser Tweedale</span>

<i>at 2020-06-30T13:41:36+10:00</i>

</div>

<pre class="commit-message" style="white-space: pre-wrap; margin: 0;">Define errors_by_code in ipalib.errors

The errors_by_code mapping could be used in more places.  In

particular it will be useful in the Dogtag GSS-API authentication

effort.  Move to ipalib.errors.

Part of: https://pagure.io/freeipa/issue/5011

Reviewed-By: Christian Heimes <cheimes@redhat.com>

</pre>

</li>

<li>

<strong><a href="https://salsa.debian.org/freeipa-team/freeipa/-/commit/0cb0056fd6fc3f8665b11a196d8c613926d40a95">0cb0056f</a></strong>

<div>

<span>by Anuja More</span>

<i>at 2020-06-30T09:09:13+02:00</i>

</div>

<pre class="commit-message" style="white-space: pre-wrap; margin: 0;">ipatests: Test that trusted AD users should not lose their AD domains.

When AD user is added customized idview and UID, GID

is overriden. Then SSSD should not fail to retrieve

AD domain details.

Related: https://pagure.io/SSSD/sssd/issue/4173

Signed-off-by: Anuja More <amore@redhat.com>

Reviewed-By: Florence Blanc-Renaud <flo@redhat.com>

Reviewed-By: Varun Mylaraiah <mvarun@redhat.com>

</pre>

</li>

<li>

<strong><a href="https://salsa.debian.org/freeipa-team/freeipa/-/commit/d39786c0514b124f0e11a3fbcfef104d1eccea3b">d39786c0</a></strong>

<div>

<span>by Anuja More</span>

<i>at 2020-06-30T09:09:13+02:00</i>

</div>

<pre class="commit-message" style="white-space: pre-wrap; margin: 0;">ipatests: xfail test with older versions of sssd

Related to: https://pagure.io/SSSD/sssd/issue/4173

Signed-off-by: Anuja More <amore@redhat.com>

Reviewed-By: Florence Blanc-Renaud <flo@redhat.com>

Reviewed-By: Varun Mylaraiah <mvarun@redhat.com>

</pre>

</li>

<li>

<strong><a href="https://salsa.debian.org/freeipa-team/freeipa/-/commit/0c0061babdd9a6584ea30742648a200d6aa4d3ba">0c0061ba</a></strong>

<div>

<span>by Fraser Tweedale</span>

<i>at 2020-06-30T11:47:29+02:00</i>

</div>

<pre class="commit-message" style="white-space: pre-wrap; margin: 0;">extract virtual operation access check subroutine

Outside of virtual commands themselves there is no way to evaluate

access to perform a virtual operation.  Such a capability will be

needed for Dogtag-based certificate request validation using

Kerberos proxy credentials.

Add the 'check_operation_access' method for explicit virtual

operation access checks.  Refactor 'VirtualCommand.check_access()'

to use it.

Part of: https://pagure.io/freeipa/issue/5011

Part of: https://pagure.io/freeipa/issue/6423

Reviewed-By: Christian Heimes <cheimes@redhat.com>

</pre>

</li>

<li>

<strong><a href="https://salsa.debian.org/freeipa-team/freeipa/-/commit/494838e822dfd681e640cee0e140a224b8e67104">494838e8</a></strong>

<div>

<span>by Anuja More</span>

<i>at 2020-06-30T11:49:09+02:00</i>

</div>

<pre class="commit-message" style="white-space: pre-wrap; margin: 0;">ipatests: Test that trusted AD users should not lose their AD domains.

When AD user is added customized idview and UID, GID

is overriden. Then SSSD should not fail to retrieve

AD domain details.

Related: https://pagure.io/SSSD/sssd/issue/4173

Signed-off-by: Anuja More <amore@redhat.com>

Reviewed-By: Kaleemullah Siddiqui <ksiddiqu@redhat.com>

</pre>

</li>

<li>

<strong><a href="https://salsa.debian.org/freeipa-team/freeipa/-/commit/022cd49ef5f9043df805e19ed094dc4eebd615a5">022cd49e</a></strong>

<div>

<span>by Anuja More</span>

<i>at 2020-06-30T11:49:09+02:00</i>

</div>

<pre class="commit-message" style="white-space: pre-wrap; margin: 0;">ipatests: xfail test with older versions of sssd

Related to: https://pagure.io/SSSD/sssd/issue/4173

Signed-off-by: Anuja More <amore@redhat.com>

Reviewed-By: Kaleemullah Siddiqui <ksiddiqu@redhat.com>

</pre>

</li>

<li>

<strong><a href="https://salsa.debian.org/freeipa-team/freeipa/-/commit/d7f3a0b2d31fe3a02a19286d590cf1a343458fd8">d7f3a0b2</a></strong>

<div>

<span>by Fraser Tweedale</span>

<i>at 2020-06-30T16:18:21+02:00</i>

</div>

<pre class="commit-message" style="white-space: pre-wrap; margin: 0;">ra.get_certificate: use REST API

Update ra.get_certificate to use the Dogtag REST API.  This change

is being done as part of the Dogtag GSS-API authentication effort

because the servlet-based method expects an internal Dogtag user.

It is less intrusive to just change FreeIPA to call the REST API

instead (which is also part of an existing ticket).

Depends on https://pagure.io/dogtagpki/issue/2601 (which was merged

and released long ago).

Part of: https://pagure.io/freeipa/issue/3473

Part of: https://pagure.io/freeipa/issue/5011

Reviewed-By: Christian Heimes <cheimes@redhat.com>

</pre>

</li>

<li>

<strong><a href="https://salsa.debian.org/freeipa-team/freeipa/-/commit/2e75623ef8cbde78e9b57d3aa56e935a97a06f80">2e75623e</a></strong>

<div>

<span>by Zdenek Pytela</span>

<i>at 2020-07-01T08:14:17+02:00</i>

</div>

<pre class="commit-message" style="white-space: pre-wrap; margin: 0;">Allow ipa-adtrust-install restart sssd and dirsrv services

Allow ipa_helper_t connect to init using /run/systemd/private socket.

Allow ipa_helper_t read init process state.

Allow ipa_helper_t manage sssd and dirsrv units.

See: https://bugzilla.redhat.com/show_bug.cgi?id=1820298

See: https://github.com/fedora-selinux/selinux-policy-contrib/pull/241

Reviewed-By: Christian Heimes <cheimes@redhat.com>

Reviewed-By: Florence Blanc-Renaud <frenaud@redhat.com>

</pre>

</li>

<li>

<strong><a href="https://salsa.debian.org/freeipa-team/freeipa/-/commit/b56fa015280f98d20f883b4799a91ada49413fbc">b56fa015</a></strong>

<div>

<span>by Christian Heimes</span>

<i>at 2020-07-01T08:14:17+02:00</i>

</div>

<pre class="commit-message" style="white-space: pre-wrap; margin: 0;">SELinux: Backport dirsrv_systemctl interface

Signed-off-by: Christian Heimes <cheimes@redhat.com>

Reviewed-By: Christian Heimes <cheimes@redhat.com>

Reviewed-By: Florence Blanc-Renaud <frenaud@redhat.com>

</pre>

</li>

<li>

<strong><a href="https://salsa.debian.org/freeipa-team/freeipa/-/commit/9858e8636ff16abaa3e1cde99953f54d6f4ee9d8">9858e863</a></strong>

<div>

<span>by Florence Blanc-Renaud</span>

<i>at 2020-07-01T08:14:17+02:00</i>

</div>

<pre class="commit-message" style="white-space: pre-wrap; margin: 0;">Bump requires for selinux-policy

Related: https://bugzilla.redhat.com/show_bug.cgi?id=1820298

Reviewed-By: Christian Heimes <cheimes@redhat.com>

Reviewed-By: Florence Blanc-Renaud <frenaud@redhat.com>

</pre>

</li>

<li>

<strong><a href="https://salsa.debian.org/freeipa-team/freeipa/-/commit/0df4e8813d573f3e6ad1d084823764cf40a4b5c9">0df4e881</a></strong>

<div>

<span>by François Cami</span>

<i>at 2020-07-01T12:05:14+02:00</i>

</div>

<pre class="commit-message" style="white-space: pre-wrap; margin: 0;">ipatests: display SSSD kdcinfo in test_adtrust_install.py

The test test_adtrust_install.py::TestIpaAdTrustInstall::test_add_agent_not_allowed

sometimes fails at kinit in create_active_user:

```

kinit: Password has expired while getting initial credentials

```

krb5_strace shows that this happens when kinit changes servers

between password change and TGT requests.

Display SSSD's kdcinfo to see if kinit should be pinned to one

server.

Related-to: https://pagure.io/freeipa/issue/8353

Related-to: https://pagure.io/freeipa/issue/8271

Signed-off-by: François Cami <fcami@redhat.com>

Reviewed-By: Michal Polovka <mpolovka@redhat.com>

Reviewed-By: Sumit Bose <sbose@redhat.com>

Reviewed-By: Robbie Harwood <rharwood@redhat.com>

</pre>

</li>

<li>

<strong><a href="https://salsa.debian.org/freeipa-team/freeipa/-/commit/766a80c14165e7eca99a44785f00f4b296e4cf62">766a80c1</a></strong>

<div>

<span>by François Cami</span>

<i>at 2020-07-01T14:57:45+02:00</i>

</div>

<pre class="commit-message" style="white-space: pre-wrap; margin: 0;">ipatests: increase test_caless_TestReplicaInstall timeout

test_caless_TestReplicaInstall timeout seems too short.

Extend it.

Fixes: https://pagure.io/freeipa/issue/8377

Signed-off-by: François Cami <fcami@redhat.com>

Reviewed-By: Florence Blanc-Renaud <flo@redhat.com>

Reviewed-By: Armando Neto <abiagion@redhat.com>

Reviewed-By: Mohammad Rizwan <myusuf@redhat.com>

</pre>

</li>

<li>

<strong><a href="https://salsa.debian.org/freeipa-team/freeipa/-/commit/f76c56c6072418c78f138678b1c4dd917fea6ee1">f76c56c6</a></strong>

<div>

<span>by Zdenek Pytela</span>

<i>at 2020-07-03T14:17:58+02:00</i>

</div>

<pre class="commit-message" style="white-space: pre-wrap; margin: 0;">Allow ipa-adtrust-install restart sssd and dirsrv services

Allow ipa_helper_t connect to init using /run/systemd/private socket.

Allow ipa_helper_t read init process state.

Allow ipa_helper_t manage sssd and dirsrv units.

See: https://bugzilla.redhat.com/show_bug.cgi?id=1820298

See: https://github.com/fedora-selinux/selinux-policy-contrib/pull/241

Reviewed-By: Florence Blanc-Renaud <frenaud@redhat.com>

Reviewed-By: Christian Heimes <cheimes@redhat.com>

</pre>

</li>

<li>

<strong><a href="https://salsa.debian.org/freeipa-team/freeipa/-/commit/c72ef1ed965aca79da4576d9579dec5459e14b99">c72ef1ed</a></strong>

<div>

<span>by Christian Heimes</span>

<i>at 2020-07-03T14:17:58+02:00</i>

</div>

<pre class="commit-message" style="white-space: pre-wrap; margin: 0;">SELinux: Backport dirsrv_systemctl interface

Signed-off-by: Christian Heimes <cheimes@redhat.com>

Reviewed-By: Florence Blanc-Renaud <frenaud@redhat.com>

Reviewed-By: Christian Heimes <cheimes@redhat.com>

</pre>

</li>

<li>

<strong><a href="https://salsa.debian.org/freeipa-team/freeipa/-/commit/388e793d5c47befbea01c48cdd679c99348ccc85">388e793d</a></strong>

<div>

<span>by Florence Blanc-Renaud</span>

<i>at 2020-07-03T14:17:58+02:00</i>

</div>

<pre class="commit-message" style="white-space: pre-wrap; margin: 0;">Bump requires for selinux-policy

Related: https://bugzilla.redhat.com/show_bug.cgi?id=1820298

Reviewed-By: Florence Blanc-Renaud <frenaud@redhat.com>

Reviewed-By: Christian Heimes <cheimes@redhat.com>

</pre>

</li>

<li>

<strong><a href="https://salsa.debian.org/freeipa-team/freeipa/-/commit/c5abea2341b9e478625ea5a46c346550bc648a01">c5abea23</a></strong>

<div>

<span>by François Cami</span>

<i>at 2020-07-03T14:26:59+02:00</i>

</div>

<pre class="commit-message" style="white-space: pre-wrap; margin: 0;">ipatests: display SSSD kdcinfo in test_adtrust_install.py

The test test_adtrust_install.py::TestIpaAdTrustInstall::test_add_agent_not_allowed

sometimes fails at kinit in create_active_user:

```

kinit: Password has expired while getting initial credentials

```

krb5_strace shows that this happens when kinit changes servers

between password change and TGT requests.

Display SSSD's kdcinfo to see if kinit should be pinned to one

server.

Related-to: https://pagure.io/freeipa/issue/8353

Related-to: https://pagure.io/freeipa/issue/8271

Signed-off-by: François Cami <fcami@redhat.com>

Reviewed-By: Michal Polovka <mpolovka@redhat.com>

Reviewed-By: Sumit Bose <sbose@redhat.com>

Reviewed-By: Robbie Harwood <rharwood@redhat.com>

Reviewed-By: Michal Polovka <mpolovka@redhat.com>

</pre>

</li>

<li>

<strong><a href="https://salsa.debian.org/freeipa-team/freeipa/-/commit/630c408f9e236fc4f9ad0fc7195813a3770f8ff3">630c408f</a></strong>

<div>

<span>by François Cami</span>

<i>at 2020-07-03T15:33:49+02:00</i>

</div>

<pre class="commit-message" style="white-space: pre-wrap; margin: 0;">ipatests: remove dnf workaround from test_epn.py

73c02f635 introduced a workaround to make sure the latest version

of (free)ipa-client-epn was installed.

Since cc624fb17 this should not be needed anymore.

Fixes: https://pagure.io/freeipa/issue/8391

Signed-off-by: François Cami <fcami@redhat.com>

Reviewed-By: Rob Crittenden <rcritten@redhat.com>

Reviewed-By: Florence Blanc-Renaud <flo@redhat.com>

</pre>

</li>

<li>

<strong><a href="https://salsa.debian.org/freeipa-team/freeipa/-/commit/f6055e6c9f6e88f8174c3bc920ff46583a14822f">f6055e6c</a></strong>

<div>

<span>by Alexander Bokovoy</span>

<i>at 2020-07-06T10:47:18+03:00</i>

</div>

<pre class="commit-message" style="white-space: pre-wrap; margin: 0;">selinux: allow oddjobd to set up ipa_helper_t context for execution

On Fedora 32+ and RHEL 8.3.0+ execution of ipa_helper_t context requires

SELinux policy permission to use 'noatsecure'. This comes most likely

from execve() setup by glibc.

Add SELinux interface ipa_helper_noatsecure() that can be called by

oddjob's SELinux policy definition.

In addition, if ipa_helper_t runs ipa-getkeytab, libkrb5 will attempt to

access SELinux configuration and produce AVC for that. Allow reading

general userspace SELinux configuration.

Fixes: https://pagure.io/freeipa/issue/8395

Signed-off-by: Alexander Bokovoy <abokovoy@redhat.com>

Reviewed-By: Christian Heimes <cheimes@redhat.com>

</pre>

</li>

<li>

<strong><a href="https://salsa.debian.org/freeipa-team/freeipa/-/commit/91713f4f0a1033943ccf949fb3bfed2447e3ea0f">91713f4f</a></strong>

<div>

<span>by Alexander Bokovoy</span>

<i>at 2020-07-06T10:47:18+03:00</i>

</div>

<pre class="commit-message" style="white-space: pre-wrap; margin: 0;">selinux: support running ipa-custodia with PrivateTmp=yes

Related: https://pagure.io/freeipa/issue/8395

Signed-off-by: Alexander Bokovoy <abokovoy@redhat.com>

Reviewed-By: Christian Heimes <cheimes@redhat.com>

</pre>

</li>

<li>

<strong><a href="https://salsa.debian.org/freeipa-team/freeipa/-/commit/a90eefafc98e1bf5a379440695d58f00a9a70e45">a90eefaf</a></strong>

<div>

<span>by Christian Heimes</span>

<i>at 2020-07-06T09:50:57+02:00</i>

</div>

<pre class="commit-message" style="white-space: pre-wrap; margin: 0;">Run test_fips in DS and PKI nightly

Reviewed-By: Mohammad Rizwan <myusuf@redhat.com>

Reviewed-By: Florence Blanc-Renaud <frenaud@redhat.com>

</pre>

</li>

<li>

<strong><a href="https://salsa.debian.org/freeipa-team/freeipa/-/commit/42dd1628a1211363c860917e474ecc5b9c1fdb84">42dd1628</a></strong>

<div>

<span>by Alexander Bokovoy</span>

<i>at 2020-07-06T12:32:13+03:00</i>

</div>

<pre class="commit-message" style="white-space: pre-wrap; margin: 0;">selinux: allow oddjobd to set up ipa_helper_t context for execution

On Fedora 32+ and RHEL 8.3.0+ execution of ipa_helper_t context requires

SELinux policy permission to use 'noatsecure'. This comes most likely

from execve() setup by glibc.

Add SELinux interface ipa_helper_noatsecure() that can be called by

oddjob's SELinux policy definition.

In addition, if ipa_helper_t runs ipa-getkeytab, libkrb5 will attempt to

access SELinux configuration and produce AVC for that. Allow reading

general userspace SELinux configuration.

Fixes: https://pagure.io/freeipa/issue/8395

Signed-off-by: Alexander Bokovoy <abokovoy@redhat.com>

Reviewed-By: Christian Heimes <cheimes@redhat.com>

</pre>

</li>

<li>

<strong><a href="https://salsa.debian.org/freeipa-team/freeipa/-/commit/0d70addbbf2a99e7398a518bc98d5fe109469bb5">0d70addb</a></strong>

<div>

<span>by Alexander Bokovoy</span>

<i>at 2020-07-06T12:32:13+03:00</i>

</div>

<pre class="commit-message" style="white-space: pre-wrap; margin: 0;">selinux: support running ipa-custodia with PrivateTmp=yes

Related: https://pagure.io/freeipa/issue/8395

Signed-off-by: Alexander Bokovoy <abokovoy@redhat.com>

Reviewed-By: Christian Heimes <cheimes@redhat.com>

</pre>

</li>

<li>

<strong><a href="https://salsa.debian.org/freeipa-team/freeipa/-/commit/459bc6bae7a899414b49adc783a0fc5d26093a1d">459bc6ba</a></strong>

<div>

<span>by Peter Keresztes Schmidt</span>

<i>at 2020-07-06T14:38:58+03:00</i>

</div>

<pre class="commit-message" style="white-space: pre-wrap; margin: 0;">WebUI: Fix rendering of boolean_status_formatter

With commit "WebUI: Apply jQuery patch to fix htmlPrefilter issue" (bc9f3e0557)

jQuery's handling of self-closing elements.

DOM before the above mentioned commit:

  <div name="nsaccountlock"><i class="fa fa-check"></i> Enabled</div>

and after:

  <div name="nsaccountlock"><i class="fa fa-check"> Enabled</i></div>

Explicitly closing the <i> element fixes the issue:

  <div name="nsaccountlock"><i class="fa fa-check"></i> Enabled</div>

Fixes: https://pagure.io/freeipa/issue/8396

Reviewed-By: Alexander Bokovoy <abokovoy@redhat.com>

</pre>

</li>

<li>

<strong><a href="https://salsa.debian.org/freeipa-team/freeipa/-/commit/0dfb44c3c793623686258794c3c8fc8ec6216e29">0dfb44c3</a></strong>

<div>

<span>by Anuja More</span>

<i>at 2020-07-06T15:33:53+02:00</i>

</div>

<pre class="commit-message" style="white-space: pre-wrap; margin: 0;">ipatests : Test to verify override_gid works with subdomain.

When override_gid is set in sssd.conf in IPA domain section

Then it should also work for subdomain.

Related: https://pagure.io/SSSD/sssd/issue/4061

Signed-off-by: Anuja More <amore@redhat.com>

Reviewed-By: Kaleemullah Siddiqui <ksiddiqu@redhat.com>

Reviewed-By: Armando Neto <abiagion@redhat.com>

Reviewed-By: Florence Blanc-Renaud <flo@redhat.com>

</pre>

</li>

<li>

<strong><a href="https://salsa.debian.org/freeipa-team/freeipa/-/commit/4247fb9c73e940f459ab62dcd32157e6148c319e">4247fb9c</a></strong>

<div>

<span>by Anuja More</span>

<i>at 2020-07-06T15:33:53+02:00</i>

</div>

<pre class="commit-message" style="white-space: pre-wrap; margin: 0;">ipatests: xfail test with older versions of sssd

Related to: https://pagure.io/SSSD/sssd/issue/4061

Signed-off-by: Anuja More <amore@redhat.com>

Reviewed-By: Kaleemullah Siddiqui <ksiddiqu@redhat.com>

Reviewed-By: Armando Neto <abiagion@redhat.com>

Reviewed-By: Florence Blanc-Renaud <flo@redhat.com>

</pre>

</li>

<li>

<strong><a href="https://salsa.debian.org/freeipa-team/freeipa/-/commit/ea7b8d66536e388152619c99f8cc83e3fd7e92b8">ea7b8d66</a></strong>

<div>

<span>by Anuja More</span>

<i>at 2020-07-06T15:33:53+02:00</i>

</div>

<pre class="commit-message" style="white-space: pre-wrap; margin: 0;">ipatests: cleanup in test_subdomain_lookup_with_certmaprule_containing_dn

As tests was failing <= fedora31

Thus removed certmap-rule in cleanup as

subdomain lookup fails when certmaprule contains DN.

Related: https://pagure.io/SSSD/sssd/issue/3721

Signed-off-by: Anuja More <amore@redhat.com>

Reviewed-By: Kaleemullah Siddiqui <ksiddiqu@redhat.com>

Reviewed-By: Armando Neto <abiagion@redhat.com>

Reviewed-By: Florence Blanc-Renaud <flo@redhat.com>

</pre>

</li>

<li>

<strong><a href="https://salsa.debian.org/freeipa-team/freeipa/-/commit/2afe21b884e330018281980004e8175c2f9a3624">2afe21b8</a></strong>

<div>

<span>by François Cami</span>

<i>at 2020-07-06T16:56:02+02:00</i>

</div>

<pre class="commit-message" style="white-space: pre-wrap; margin: 0;">ipatests: remove dnf workaround from test_epn.py

73c02f635 introduced a workaround to make sure the latest version

of (free)ipa-client-epn was installed.

Since cc624fb17 this should not be needed anymore.

Fixes: https://pagure.io/freeipa/issue/8391

Signed-off-by: François Cami <fcami@redhat.com>

Reviewed-By: Rob Crittenden <rcritten@redhat.com>

Reviewed-By: Florence Blanc-Renaud <flo@redhat.com>

Reviewed-By: Rob Crittenden <rcritten@redhat.com>

Reviewed-By: Florence Blanc-Renaud <flo@redhat.com>

Reviewed-By: Alexander Bokovoy <abokovoy@redhat.com>

</pre>

</li>

<li>

<strong><a href="https://salsa.debian.org/freeipa-team/freeipa/-/commit/dcdcd1ce88a6d5ed5997f50758dc6fd025df5f41">dcdcd1ce</a></strong>

<div>

<span>by Florence Blanc-Renaud</span>

<i>at 2020-07-06T17:01:54+02:00</i>

</div>

<pre class="commit-message" style="white-space: pre-wrap; margin: 0;">ipa cert-show: fix the code setting revocation reason

ipa cert-show wrongly displays all certs as Revoked.

The dogtag plugin code is checking if the JSON data received

from dogtag contains a RevocationReason with:

   if 'RevocationReason' in resp:

but the value can be None.

Replace the check with

   if 'RevocationReason' in resp and esp['RevocationReason'] is not None:

as this will execute the code only if there is a value

and it is not None.

Fixes: https://pagure.io/freeipa/issue/8394

Reviewed-By: Fraser Tweedale <ftweedal@redhat.com>

Reviewed-By: Alexander Bokovoy <abokovoy@redhat.com>

</pre>

</li>

<li>

<strong><a href="https://salsa.debian.org/freeipa-team/freeipa/-/commit/42ad338c070096dbcab7facb70e57ba6ea63535e">42ad338c</a></strong>

<div>

<span>by Peter Keresztes Schmidt</span>

<i>at 2020-07-06T19:09:13+03:00</i>

</div>

<pre class="commit-message" style="white-space: pre-wrap; margin: 0;">WebUI: Fix rendering of boolean_status_formatter

With commit "WebUI: Apply jQuery patch to fix htmlPrefilter issue" (bc9f3e0557)

jQuery's handling of self-closing elements.

DOM before the above mentioned commit:

  <div name="nsaccountlock"><i class="fa fa-check"></i> Enabled</div>

and after:

  <div name="nsaccountlock"><i class="fa fa-check"> Enabled</i></div>

Explicitly closing the <i> element fixes the issue:

  <div name="nsaccountlock"><i class="fa fa-check"></i> Enabled</div>

Fixes: https://pagure.io/freeipa/issue/8396

Reviewed-By: Alexander Bokovoy <abokovoy@redhat.com>

</pre>

</li>

<li>

<strong><a href="https://salsa.debian.org/freeipa-team/freeipa/-/commit/51d5ec17570ef6911bded6381c77041f4a5c2182">51d5ec17</a></strong>

<div>

<span>by Fraser Tweedale</span>

<i>at 2020-07-06T19:13:00+03:00</i>

</div>

<pre class="commit-message" style="white-space: pre-wrap; margin: 0;">cainstance.is_crlgen_enabled: handle missing ipa-pki-proxy.conf

A failed ipa-ca-install left my installation in an inconsistent

state.  Then, 'ipa-server-install --uninstall' also failed when

is_crlgen_enabled() tried to read ipa-pki-proxy.conf, which was

missing.

Update is_crlgen_enabled() to handle missing ipa-pki-proxy.conf, by

raising InconsistentCRLGenConfigException instead of RuntimeError.

As a result, missing ipa-pki-proxy.conf is handled gracefully

because the calling code already catches

InconsistentCRLGenConfigException.

Reviewed-By: Christian Heimes <cheimes@redhat.com>

Reviewed-By: Florence Blanc-Renaud <flo@redhat.com>

</pre>

</li>

<li>

<strong><a href="https://salsa.debian.org/freeipa-team/freeipa/-/commit/d13a33da6d472ed61ea0aaa9d050a8d5638beae5">d13a33da</a></strong>

<div>

<span>by Fraser Tweedale</span>

<i>at 2020-07-07T12:11:08+10:00</i>

</div>

<pre class="commit-message" style="white-space: pre-wrap; margin: 0;">cainstance.is_crlgen_enabled: handle missing ipa-pki-proxy.conf

A failed ipa-ca-install left my installation in an inconsistent

state.  Then, 'ipa-server-install --uninstall' also failed when

is_crlgen_enabled() tried to read ipa-pki-proxy.conf, which was

missing.

Update is_crlgen_enabled() to handle missing ipa-pki-proxy.conf, by

raising InconsistentCRLGenConfigException instead of RuntimeError.

As a result, missing ipa-pki-proxy.conf is handled gracefully

because the calling code already catches

InconsistentCRLGenConfigException.

Reviewed-By: Christian Heimes <cheimes@redhat.com>

Reviewed-By: Florence Blanc-Renaud <frenaud@redhat.com>

</pre>

</li>

<li>

<strong><a href="https://salsa.debian.org/freeipa-team/freeipa/-/commit/069f41a01e65f07367000c6d9605167242a88736">069f41a0</a></strong>

<div>

<span>by Christian Heimes</span>

<i>at 2020-07-07T12:36:10+02:00</i>

</div>

<pre class="commit-message" style="white-space: pre-wrap; margin: 0;">Add __signature__ to plugins

Auto-generate inspect.Signature from plugin arguments and options. The

signature is used by (amongst others) pydoc / help.

```

$ ipa console

>>> help(api.Command.group_add)

Help on group_add in module ipaserver.plugins.group object:

class group_add(ipaserver.plugins.baseldap.LDAPCreate)

 |  group_add(cn: str, *, description: str = None, gidnumber: int = None, setattr: List[str] = None, addattr: List[str] = None, nonposix: bool, external: bool, all: bool, raw: bool, version: str = None, no_members: bool) -> Dict[str, Any]

```

Fixes: https://pagure.io/freeipa/issue/8388

Signed-off-by: Christian Heimes <cheimes@redhat.com>

Reviewed-By: Alexander Bokovoy <abokovoy@redhat.com>

</pre>

</li>

<li>

<strong><a href="https://salsa.debian.org/freeipa-team/freeipa/-/commit/80794f6b5e263566a1da9685aba82762208a6219">80794f6b</a></strong>

<div>

<span>by Christian Heimes</span>

<i>at 2020-07-07T12:36:10+02:00</i>

</div>

<pre class="commit-message" style="white-space: pre-wrap; margin: 0;">Make tab completion in console more useful

tab completion and dir() now show registered plugins in API name spaces.

Signed-off-by: Christian Heimes <cheimes@redhat.com>

Reviewed-By: Alexander Bokovoy <abokovoy@redhat.com>

</pre>

</li>

<li>

<strong><a href="https://salsa.debian.org/freeipa-team/freeipa/-/commit/cb5c094ba260d903fc02cfbe156cc9ef3c16c765">cb5c094b</a></strong>

<div>

<span>by Anuja More</span>

<i>at 2020-07-07T14:12:14+02:00</i>

</div>

<pre class="commit-message" style="white-space: pre-wrap; margin: 0;">ipatests : Test to verify override_gid works with subdomain.

When override_gid is set in sssd.conf in IPA domain section

Then it should also work for subdomain.

Related: https://pagure.io/SSSD/sssd/issue/4061

Signed-off-by: Anuja More <amore@redhat.com>

Reviewed-By: Kaleemullah Siddiqui <ksiddiqu@redhat.com>

Reviewed-By: Armando Neto <abiagion@redhat.com>

Reviewed-By: Florence Blanc-Renaud <flo@redhat.com>

Reviewed-By: Mohammad Rizwan <myusuf@redhat.com>

Reviewed-By: Alexander Bokovoy <abokovoy@redhat.com>

</pre>

</li>

<li>

<strong><a href="https://salsa.debian.org/freeipa-team/freeipa/-/commit/460fea3cc1ca9524acd22616b55a939564e0a973">460fea3c</a></strong>

<div>

<span>by Anuja More</span>

<i>at 2020-07-07T14:12:14+02:00</i>

</div>

<pre class="commit-message" style="white-space: pre-wrap; margin: 0;">ipatests: xfail test with older versions of sssd

Related to: https://pagure.io/SSSD/sssd/issue/4061

Signed-off-by: Anuja More <amore@redhat.com>

Reviewed-By: Kaleemullah Siddiqui <ksiddiqu@redhat.com>

Reviewed-By: Armando Neto <abiagion@redhat.com>

Reviewed-By: Florence Blanc-Renaud <flo@redhat.com>

Reviewed-By: Mohammad Rizwan <myusuf@redhat.com>

Reviewed-By: Alexander Bokovoy <abokovoy@redhat.com>

</pre>

</li>

<li>

<strong><a href="https://salsa.debian.org/freeipa-team/freeipa/-/commit/068646f0b5379527d0f91efeecdf6d9f0a35811d">068646f0</a></strong>

<div>

<span>by Anuja More</span>

<i>at 2020-07-07T14:12:14+02:00</i>

</div>

<pre class="commit-message" style="white-space: pre-wrap; margin: 0;">ipatests: cleanup in test_subdomain_lookup_with_certmaprule_containing_dn

As tests was failing <= fedora31

Thus removed certmap-rule in cleanup as

subdomain lookup fails when certmaprule contains DN.

Related: https://pagure.io/SSSD/sssd/issue/3721

Signed-off-by: Anuja More <amore@redhat.com>

Reviewed-By: Kaleemullah Siddiqui <ksiddiqu@redhat.com>

Reviewed-By: Armando Neto <abiagion@redhat.com>

Reviewed-By: Florence Blanc-Renaud <flo@redhat.com>

Reviewed-By: Mohammad Rizwan <myusuf@redhat.com>

Reviewed-By: Alexander Bokovoy <abokovoy@redhat.com>

</pre>

</li>

<li>

<strong><a href="https://salsa.debian.org/freeipa-team/freeipa/-/commit/5ab24ddf8a74c4c59c5c28bc79da150633530363">5ab24ddf</a></strong>

<div>

<span>by Fraser Tweedale</span>

<i>at 2020-07-07T10:07:48-04:00</i>

</div>

<pre class="commit-message" style="white-space: pre-wrap; margin: 0;">ca-del: require CA to already be disabled

Currently ca-del disables the target CA before deleting it.

Conceptually, this involves two separate permissions: modify and

delete.  A user with delete permission does not necessarily have

modify permission.

As we head toward enforcing IPA permissions in Dogtag, it is

necessary to decouple disablement from deletion, otherwise the

disable operation shall fail if the user does not have modify

permission.  Although it introduces an additional step for

administrators, the process is consistent, required permissions map

1:1 to the operations, and the error messages make it clear what

needs to happen (i.e. disable first).

Part of: https://fedorahosted.org/freeipa/ticket/5011

Reviewed-By: Rob Crittenden <rcritten@redhat.com>

</pre>

</li>

<li>

<strong><a href="https://salsa.debian.org/freeipa-team/freeipa/-/commit/6da63e3be44033d7d623a574787937ab4ec9ed0a">6da63e3b</a></strong>

<div>

<span>by Fraser Tweedale</span>

<i>at 2020-07-07T10:07:48-04:00</i>

</div>

<pre class="commit-message" style="white-space: pre-wrap; margin: 0;">ca plugin: improve doc

Update 'ca' plugin doc to mention which permissions are required for

the various commands.  Also mention that CAs must first be disabled

before they can be deleted.

Part of: https://fedorahosted.org/freeipa/ticket/5011

Reviewed-By: Rob Crittenden <rcritten@redhat.com>

</pre>

</li>

<li>

<strong><a href="https://salsa.debian.org/freeipa-team/freeipa/-/commit/6a0901f6fdf744023dc90ec5141aa9ebe4d806fd">6a0901f6</a></strong>

<div>

<span>by Fraser Tweedale</span>

<i>at 2020-07-07T10:07:48-04:00</i>

</div>

<pre class="commit-message" style="white-space: pre-wrap; margin: 0;">tests: fix cleanup for CATracker

With ca-del now requiring disablement first, CATracker cleanup fails

because the CA is not yet disabled.  Implement auto disable before

delete in CATracker, with an option to suppress.  This suppress

option is used when testing the "disable first" option.

The patch also includes a tweak to EnableTracker cleanup.  In case

the CA already got deleted (and in the case of CATracker, also

disabled), this avoids an attempt to re-enable the already-deleted

object.

Part of: https://fedorahosted.org/freeipa/ticket/5011

Reviewed-By: Rob Crittenden <rcritten@redhat.com>

</pre>

</li>

<li>

<strong><a href="https://salsa.debian.org/freeipa-team/freeipa/-/commit/e334415fc5c579f9faa1649b4f8e5ba0db0c7429">e334415f</a></strong>

<div>

<span>by Christian Heimes</span>

<i>at 2020-07-07T10:10:53-04:00</i>

</div>

<pre class="commit-message" style="white-space: pre-wrap; margin: 0;">Add __signature__ to plugins

Auto-generate inspect.Signature from plugin arguments and options. The

signature is used by (amongst others) pydoc / help.

```

$ ipa console

>>> help(api.Command.group_add)

Help on group_add in module ipaserver.plugins.group object:

class group_add(ipaserver.plugins.baseldap.LDAPCreate)

 |  group_add(cn: str, *, description: str = None, gidnumber: int = None, setattr: List[str] = None, addattr: List[str] = None, nonposix: bool, external: bool, all: bool, raw: bool, version: str = None, no_members: bool) -> Dict[str, Any]

```

Fixes: https://pagure.io/freeipa/issue/8388

Signed-off-by: Christian Heimes <cheimes@redhat.com>

Reviewed-By: Alexander Bokovoy <abokovoy@redhat.com>

</pre>

</li>

<li>

<strong><a href="https://salsa.debian.org/freeipa-team/freeipa/-/commit/c21d3cf001c886889c06facafc44f1f9230203c7">c21d3cf0</a></strong>

<div>

<span>by Christian Heimes</span>

<i>at 2020-07-07T10:10:53-04:00</i>

</div>

<pre class="commit-message" style="white-space: pre-wrap; margin: 0;">Make tab completion in console more useful

tab completion and dir() now show registered plugins in API name spaces.

Signed-off-by: Christian Heimes <cheimes@redhat.com>

Reviewed-By: Alexander Bokovoy <abokovoy@redhat.com>

</pre>

</li>

<li>

<strong><a href="https://salsa.debian.org/freeipa-team/freeipa/-/commit/a087d82e785ac238f47c9a84e2b5abfae7c29cf4">a087d82e</a></strong>

<div>

<span>by Alexander Scheel</span>

<i>at 2020-07-08T11:50:37+02:00</i>

</div>

<pre class="commit-message" style="white-space: pre-wrap; margin: 0;">Specify cert_paths when calling PKIConnection

PKIConnection now defaults to specifying verify=True. We've introduced

a new parameter, cert_paths, to specify additional paths (directories or

files) to load as certificates. Specify the IPA CA certificate file so

we can guarantee connections succeed and validate the peer's certificate.

Point to IPA CA certificate during pkispawn

Bump pki_version to 10.9.0-0.4 (aka -b2)

Fixes: https://pagure.io/freeipa/issue/8379

Fixes: https://bugzilla.redhat.com/show_bug.cgi?id=1849155

Related: https://github.com/dogtagpki/pki/pull/443

Related: https://bugzilla.redhat.com/show_bug.cgi?id=1426572

Signed-off-by: Alexander Scheel <ascheel@redhat.com>

Signed-off-by: Christian Heimes <cheimes@redhat.com>

Reviewed-By: Christian Heimes <cheimes@redhat.com>

</pre>

</li>

<li>

<strong><a href="https://salsa.debian.org/freeipa-team/freeipa/-/commit/9ded9e2573a00c388533f2a09365c499a4e2961e">9ded9e25</a></strong>

<div>

<span>by Alexander Scheel</span>

<i>at 2020-07-08T12:49:32+02:00</i>

</div>

<pre class="commit-message" style="white-space: pre-wrap; margin: 0;">Specify cert_paths when calling PKIConnection

PKIConnection now defaults to specifying verify=True. We've introduced

a new parameter, cert_paths, to specify additional paths (directories or

files) to load as certificates. Specify the IPA CA certificate file so

we can guarantee connections succeed and validate the peer's certificate.

Point to IPA CA certificate during pkispawn

Bump pki_version to 10.9.0-0.4 (aka -b2)

Fixes: https://pagure.io/freeipa/issue/8379

Fixes: https://bugzilla.redhat.com/show_bug.cgi?id=1849155

Related: https://github.com/dogtagpki/pki/pull/443

Related: https://bugzilla.redhat.com/show_bug.cgi?id=1426572

Signed-off-by: Alexander Scheel <ascheel@redhat.com>

Signed-off-by: Christian Heimes <cheimes@redhat.com>

Reviewed-By: Christian Heimes <cheimes@redhat.com>

</pre>

</li>

<li>

<strong><a href="https://salsa.debian.org/freeipa-team/freeipa/-/commit/17cf8edb4073fb1db67e5541409dd28943909750">17cf8edb</a></strong>

<div>

<span>by Florence Blanc-Renaud</span>

<i>at 2020-07-08T15:14:47+02:00</i>

</div>

<pre class="commit-message" style="white-space: pre-wrap; margin: 0;">Add test_dnssec to 389ds nightly tests

Rationale:

DNSSec relies on syncrepl plugin, provided by 389ds.

Reviewed-By: Alexander Bokovoy <abokovoy@redhat.com>

</pre>

</li>

<li>

<strong><a href="https://salsa.debian.org/freeipa-team/freeipa/-/commit/e4462a94433e75da622118873d300d61a8e5f53f">e4462a94</a></strong>

<div>

<span>by Fraser Tweedale</span>

<i>at 2020-07-09T10:22:50+10:00</i>

</div>

<pre class="commit-message" style="white-space: pre-wrap; margin: 0;">certupdate: only add LWCA tracking requests on CA servers

ipa-certupdate throws an exception when executed on a non-CA server

in a CA-ful deployment with lightweight sub-CAs (LWCAs).  Check that

we are on a CA server before attempting to create Certmonger

tracking requests for LWCAs.

HOW TO TEST

1. Install first server (with CA)

2. Install replica without CA

3. Create sub-CA (`ipa ca-add`)

4. Run `ipa-certupdate` on replica.  Observe that no stack trace is

   produced.

Fixes: https://pagure.io/freeipa/issue/8399

Reviewed-By: Florence Blanc-Renaud <frenaud@redhat.com>

</pre>

</li>

<li>

<strong><a href="https://salsa.debian.org/freeipa-team/freeipa/-/commit/797a64b370fad5a0a26ebeeb3e4f34c3c88c0096">797a64b3</a></strong>

<div>

<span>by Florence Blanc-Renaud</span>

<i>at 2020-07-09T14:00:29+03:00</i>

</div>

<pre class="commit-message" style="white-space: pre-wrap; margin: 0;">sshd template must be part of client package

The sshd_ipa.conf.template must be shipped with the client pkgs

in /usr/share/ipa/client but is currently delivered in /usr/share/ipa.

Fix the file location.

Fixes: https://pagure.io/freeipa/issue/8400

Reviewed-By: Alexander Bokovoy <abokovoy@redhat.com>

Reviewed-By: Christian Heimes <cheimes@redhat.com>

</pre>

</li>

<li>

<strong><a href="https://salsa.debian.org/freeipa-team/freeipa/-/commit/72d70fa27f61367a5fbc81b171b125ecf85d8fd8">72d70fa2</a></strong>

<div>

<span>by Fraser Tweedale</span>

<i>at 2020-07-09T14:02:01+03:00</i>

</div>

<pre class="commit-message" style="white-space: pre-wrap; margin: 0;">certupdate: only add LWCA tracking requests on CA servers

ipa-certupdate throws an exception when executed on a non-CA server

in a CA-ful deployment with lightweight sub-CAs (LWCAs).  Check that

we are on a CA server before attempting to create Certmonger

tracking requests for LWCAs.

HOW TO TEST

1. Install first server (with CA)

2. Install replica without CA

3. Create sub-CA (`ipa ca-add`)

4. Run `ipa-certupdate` on replica.  Observe that no stack trace is

   produced.

Fixes: https://pagure.io/freeipa/issue/8399

Reviewed-By: Florence Blanc-Renaud <flo@redhat.com>

</pre>

</li>

<li>

<strong><a href="https://salsa.debian.org/freeipa-team/freeipa/-/commit/67d4517f7321f363e785937a23fe521ccee76d52">67d4517f</a></strong>

<div>

<span>by Armando Neto</span>

<i>at 2020-07-09T14:03:40+03:00</i>

</div>

<pre class="commit-message" style="white-space: pre-wrap; margin: 0;">ipatests: bump pr-ci templates

New template images for ci-master-f32 and ci-master-f31 with updated

packages.

Signed-off-by: Armando Neto <abiagion@redhat.com>

Reviewed-By: Alexander Bokovoy <abokovoy@redhat.com>

</pre>

</li>

<li>

<strong><a href="https://salsa.debian.org/freeipa-team/freeipa/-/commit/8f640f8672f2bec7b560a2838e2451a190abf6cf">8f640f86</a></strong>

<div>

<span>by Peter Keresztes Schmidt</span>

<i>at 2020-07-09T14:12:24+03:00</i>

</div>

<pre class="commit-message" style="white-space: pre-wrap; margin: 0;">Populate nshardwareplatform and nsosversion during join operation

Fixes: https://pagure.io/freeipa/issue/8370

Reviewed-By: Christian Heimes <cheimes@redhat.com>

Reviewed-By: Rob Crittenden <rcritten@redhat.com>

</pre>

</li>

<li>

<strong><a href="https://salsa.debian.org/freeipa-team/freeipa/-/commit/6e414d22919822bb6f18b8b03f223de9e08569ef">6e414d22</a></strong>

<div>

<span>by Alexandre Mulatinho</span>

<i>at 2020-07-09T14:17:47+03:00</i>

</div>

<pre class="commit-message" style="white-space: pre-wrap; margin: 0;">ipa-join: allowing call with jsonrpc into freeipa API

Adding JSON-C and LibCURL library into configure.ac and Makefile.am

Creating a API call with option '-j' or '--jsonrpc' to make host join

on FreeIPA with JSONRPC and libCURL.

Related: https://pagure.io/freeipa/issue/7966

Signed-off-by: Alexandre Mulatinho <alex@mulatinho.net>

Reviewed-By: Christian Heimes <cheimes@redhat.com>

Reviewed-By: Rob Crittenden <rcritten@redhat.com>

Reviewed-By: Alexander Bokovoy <abokovoy@redhat.com>

</pre>

</li>

<li>

<strong><a href="https://salsa.debian.org/freeipa-team/freeipa/-/commit/5e7e4f0e262caef0bae1518a575bb98f69a9d7e1">5e7e4f0e</a></strong>

<div>

<span>by Peter Keresztes Schmidt</span>

<i>at 2020-07-09T14:17:47+03:00</i>

</div>

<pre class="commit-message" style="white-space: pre-wrap; margin: 0;">ipa-join: don't set TLS related curl options for JSON-RPC

Related: https://pagure.io/freeipa/issue/7966

Reviewed-By: Christian Heimes <cheimes@redhat.com>

Reviewed-By: Rob Crittenden <rcritten@redhat.com>

Reviewed-By: Alexander Bokovoy <abokovoy@redhat.com>

</pre>

</li>

<li>

<strong><a href="https://salsa.debian.org/freeipa-team/freeipa/-/commit/c197918e8d220f10676f42b3589e47599b7a11e5">c197918e</a></strong>

<div>

<span>by Peter Keresztes Schmidt</span>

<i>at 2020-07-09T14:17:47+03:00</i>

</div>

<pre class="commit-message" style="white-space: pre-wrap; margin: 0;">ipa-join: improve curl error handling in JSON-RPC code

Related: https://pagure.io/freeipa/issue/7966

Reviewed-By: Christian Heimes <cheimes@redhat.com>

Reviewed-By: Rob Crittenden <rcritten@redhat.com>

Reviewed-By: Alexander Bokovoy <abokovoy@redhat.com>

</pre>

</li>

<li>

<strong><a href="https://salsa.debian.org/freeipa-team/freeipa/-/commit/c905f94f9b829faec03a016ebd7a344caf3ca144">c905f94f</a></strong>

<div>

<span>by Peter Keresztes Schmidt</span>

<i>at 2020-07-09T14:17:47+03:00</i>

</div>

<pre class="commit-message" style="white-space: pre-wrap; margin: 0;">ipa-join: buffer curl response before parsing json

CURLOPT_WRITEFUNCTION is not guaranteed to be called only

once per request and receive all data at once.

Use a dynamic buffer to cope with that case.

Related: https://pagure.io/freeipa/issue/7966

Reviewed-By: Christian Heimes <cheimes@redhat.com>

Reviewed-By: Rob Crittenden <rcritten@redhat.com>

Reviewed-By: Alexander Bokovoy <abokovoy@redhat.com>

</pre>

</li>

<li>

<strong><a href="https://salsa.debian.org/freeipa-team/freeipa/-/commit/25205f44a10b9e4846121d1a9b05aafa74485292">25205f44</a></strong>

<div>

<span>by Peter Keresztes Schmidt</span>

<i>at 2020-07-09T14:17:47+03:00</i>

</div>

<pre class="commit-message" style="white-space: pre-wrap; margin: 0;">ipa-join: switch to jansson for json handling

Additionally JSON-RPC should bail out if host is already joined.

Check HTTP status of JSON-RPC request and report 401 Unauthorized error explicitly.

Related: https://pagure.io/freeipa/issue/7966

Reviewed-By: Christian Heimes <cheimes@redhat.com>

Reviewed-By: Rob Crittenden <rcritten@redhat.com>

Reviewed-By: Alexander Bokovoy <abokovoy@redhat.com>

</pre>

</li>

<li>

<strong><a href="https://salsa.debian.org/freeipa-team/freeipa/-/commit/677659c8da27de7b256b7067e513f089892d05b8">677659c8</a></strong>

<div>

<span>by Peter Keresztes Schmidt</span>

<i>at 2020-07-09T14:17:47+03:00</i>

</div>

<pre class="commit-message" style="white-space: pre-wrap; margin: 0;">ipa-join: extract unenrollment code common to JSON and XML-RPC to separate function

Also fix some some memleaks on the way.

Related: https://pagure.io/freeipa/issue/7966

Reviewed-By: Christian Heimes <cheimes@redhat.com>

Reviewed-By: Rob Crittenden <rcritten@redhat.com>

Reviewed-By: Alexander Bokovoy <abokovoy@redhat.com>

</pre>

</li>

<li>

<strong><a href="https://salsa.debian.org/freeipa-team/freeipa/-/commit/62503e4fd0e92aae60da49e6917ac62ea52def96">62503e4f</a></strong>

<div>

<span>by Peter Keresztes Schmidt</span>

<i>at 2020-07-09T14:17:47+03:00</i>

</div>

<pre class="commit-message" style="white-space: pre-wrap; margin: 0;">ipa-join: implement JSON-RPC based unenrollment

Related: https://pagure.io/freeipa/issue/7966

Reviewed-By: Christian Heimes <cheimes@redhat.com>

Reviewed-By: Rob Crittenden <rcritten@redhat.com>

Reviewed-By: Alexander Bokovoy <abokovoy@redhat.com>

</pre>

</li>

<li>

<strong><a href="https://salsa.debian.org/freeipa-team/freeipa/-/commit/f6940772dd9d5f550e9ce4ff20c779864ad4eb68">f6940772</a></strong>

<div>

<span>by Peter Keresztes Schmidt</span>

<i>at 2020-07-09T14:17:47+03:00</i>

</div>

<pre class="commit-message" style="white-space: pre-wrap; margin: 0;">ipa-join: select {JSON,XML}-RPC at build time

Related: https://pagure.io/freeipa/issue/7966

Reviewed-By: Christian Heimes <cheimes@redhat.com>

Reviewed-By: Rob Crittenden <rcritten@redhat.com>

Reviewed-By: Alexander Bokovoy <abokovoy@redhat.com>

</pre>

</li>

<li>

<strong><a href="https://salsa.debian.org/freeipa-team/freeipa/-/commit/a1b117a28b670c71e60fdd1c0ec0c6ef8f8f438b">a1b117a2</a></strong>

<div>

<span>by Peter Keresztes Schmidt</span>

<i>at 2020-07-09T14:17:47+03:00</i>

</div>

<pre class="commit-message" style="white-space: pre-wrap; margin: 0;">ipa-join: Use bool type where appropriate

Related: https://pagure.io/freeipa/issue/7966

Reviewed-By: Christian Heimes <cheimes@redhat.com>

Reviewed-By: Rob Crittenden <rcritten@redhat.com>

Reviewed-By: Alexander Bokovoy <abokovoy@redhat.com>

</pre>

</li>

<li>

<strong><a href="https://salsa.debian.org/freeipa-team/freeipa/-/commit/7cc977b993c30add2ba6ec2f823d782cc4d99f7f">7cc977b9</a></strong>

<div>

<span>by Peter Keresztes Schmidt</span>

<i>at 2020-07-09T14:17:47+03:00</i>

</div>

<pre class="commit-message" style="white-space: pre-wrap; margin: 0;">ipa-join: Generalize XML-RPC references in man page

The used RPC protocol (JSON or XML) is defined

at build time.

Related: https://pagure.io/freeipa/issue/7966

Reviewed-By: Christian Heimes <cheimes@redhat.com>

Reviewed-By: Rob Crittenden <rcritten@redhat.com>

Reviewed-By: Alexander Bokovoy <abokovoy@redhat.com>

</pre>

</li>

<li>

<strong><a href="https://salsa.debian.org/freeipa-team/freeipa/-/commit/668fdc63e3e886208dca8bdc5a68a20972150985">668fdc63</a></strong>

<div>

<span>by Florence Blanc-Renaud</span>

<i>at 2020-07-09T15:51:21+02:00</i>

</div>

<pre class="commit-message" style="white-space: pre-wrap; margin: 0;">sshd template must be part of client package

The sshd_ipa.conf.template must be shipped with the client pkgs

in /usr/share/ipa/client but is currently delivered in /usr/share/ipa.

Fix the file location.

Fixes: https://pagure.io/freeipa/issue/8400

Reviewed-By: Alexander Bokovoy <abokovoy@redhat.com>

</pre>

</li>

<li>

<strong><a href="https://salsa.debian.org/freeipa-team/freeipa/-/commit/92ef9d1706c331b674eced04a3485de24c200998">92ef9d17</a></strong>

<div>

<span>by Peter Keresztes Schmidt</span>

<i>at 2020-07-09T14:23:54-04:00</i>

</div>

<pre class="commit-message" style="white-space: pre-wrap; margin: 0;">Populate nshardwareplatform and nsosversion during join operation

Fixes: https://pagure.io/freeipa/issue/8370

Reviewed-By: Christian Heimes <cheimes@redhat.com>

Reviewed-By: Rob Crittenden <rcritten@redhat.com>

</pre>

</li>

<li>

<strong><a href="https://salsa.debian.org/freeipa-team/freeipa/-/commit/5c44e2338ce8c49d5192d7dbd60c3833cfdc9836">5c44e233</a></strong>

<div>

<span>by Armando Neto</span>

<i>at 2020-07-10T10:11:02+02:00</i>

</div>

<pre class="commit-message" style="white-space: pre-wrap; margin: 0;">ipatests: bump pr-ci templates

New template images for ci-ipa-4-8-f32 and ci-ipa-4-8-f31 with updated

packages.

Signed-off-by: Armando Neto <abiagion@redhat.com>

Reviewed-By: Alexander Bokovoy <abokovoy@redhat.com>

Reviewed-By: Florence Blanc-Renaud <flo@redhat.com>

</pre>

</li>

<li>

<strong><a href="https://salsa.debian.org/freeipa-team/freeipa/-/commit/2b6faa362f3ee2a63e3597f8734867d8e9d4df7d">2b6faa36</a></strong>

<div>

<span>by Fraser Tweedale</span>

<i>at 2020-07-10T08:33:22-04:00</i>

</div>

<pre class="commit-message" style="white-space: pre-wrap; margin: 0;">acme: ipa-pki-proxy: proxy /acme to Dogtag

Update ipa-pki-proxy.conf to proxy requests to the /acme resource

namespace to Dogtag.

Part of: https://pagure.io/freeipa/issue/4751

Reviewed-By: Rob Crittenden <rcritten@redhat.com>

</pre>

</li>

<li>

<strong><a href="https://salsa.debian.org/freeipa-team/freeipa/-/commit/dd301a453521a177d9f34df25d3e6d203c9507ea">dd301a45</a></strong>

<div>

<span>by Fraser Tweedale</span>

<i>at 2020-07-10T08:33:22-04:00</i>

</div>

<pre class="commit-message" style="white-space: pre-wrap; margin: 0;">acme: set up ACME service when configuring CA

When configuring the CA, create, configure and deploy the PKI ACME

service instance.  This includes creation (if necessary) of the LDAP

container object heirarchy in which ACME-related objects will be

stored.

Dogtag ACME RA account management will be added in a subsequent

commit, removing the use of the 'uid=admin' account (which as of

this commit just has a bogus password).

Part of: https://pagure.io/freeipa/issue/4751

Reviewed-By: Rob Crittenden <rcritten@redhat.com>

</pre>

</li>

<li>

<strong><a href="https://salsa.debian.org/freeipa-team/freeipa/-/commit/5883cff0b7b62da3fcb3dfb7920a9f993cbcb568">5883cff0</a></strong>

<div>

<span>by Fraser Tweedale</span>

<i>at 2020-07-10T08:33:22-04:00</i>

</div>

<pre class="commit-message" style="white-space: pre-wrap; margin: 0;">dogtaginstance: extract user creation to subroutine.

Extract the user and group membership creation behaviour from

DogtagInstance.setup_admin to its own method, 'create_user'.  The

ACME setup routine will use it to create ACME RA accounts.

The @staticmethod decorator documents that 'create_user' does not

use 'self' or 'cls'.  I preferred not to lift to a top-level def

because it is very much a "DogtagInstance" behaviour.

Part of: https://pagure.io/freeipa/issue/4751

Reviewed-By: Rob Crittenden <rcritten@redhat.com>

</pre>

</li>

<li>

<strong><a href="https://salsa.debian.org/freeipa-team/freeipa/-/commit/a21823da7fcce521838764df5280295ccbdb8157">a21823da</a></strong>

<div>

<span>by Fraser Tweedale</span>

<i>at 2020-07-10T08:33:22-04:00</i>

</div>

<pre class="commit-message" style="white-space: pre-wrap; margin: 0;">dogtaginstance: add ensure_group method

Add a method for creating a group (if it does not exist).  This will

be used to create a group for ACME RA accounts.

Part of: https://pagure.io/freeipa/issue/4751

Reviewed-By: Rob Crittenden <rcritten@redhat.com>

</pre>

</li>

<li>

<strong><a href="https://salsa.debian.org/freeipa-team/freeipa/-/commit/b3565290fefb6e14583b50d3c411a8861a4fa844">b3565290</a></strong>

<div>

<span>by Fraser Tweedale</span>

<i>at 2020-07-10T08:33:22-04:00</i>

</div>

<pre class="commit-message" style="white-space: pre-wrap; margin: 0;">acme: create ACME RA account

The ACME certificate profile will require the (Dogtag) user

interacting with the CA to be a member of the (Dogtag) "ACME Agents"

group.  Therefore for each CA server, as part of the ACME setup

routine create a dedicated ACME agent account and make it a member

of this group.

Part of: https://pagure.io/freeipa/issue/4751

Reviewed-By: Rob Crittenden <rcritten@redhat.com>

</pre>

</li>

<li>

<strong><a href="https://salsa.debian.org/freeipa-team/freeipa/-/commit/c309d4a4d0c19df80808b2ce9352ce2af2a30a3c">c309d4a4</a></strong>

<div>

<span>by Fraser Tweedale</span>

<i>at 2020-07-10T08:33:22-04:00</i>

</div>

<pre class="commit-message" style="white-space: pre-wrap; margin: 0;">acme: add Dogtag ACL to allow ACME agents to revoke certs

Add an ACL to allow ACME agents to revoke certificates.  Although

the operation "execute" sounds quite scary (as though it would have

a wide scope), in fact it only allows revocation (and unrevocation).

See CertResource.java and base/ca/shared/conf/acl.properties in the

Dogtag source.

Part of: https://pagure.io/freeipa/issue/4751

Reviewed-By: Rob Crittenden <rcritten@redhat.com>

</pre>

</li>

<li>

<strong><a href="https://salsa.debian.org/freeipa-team/freeipa/-/commit/3c8352f9a7f977bc994e4b5b558fb3c7db20f40e">3c8352f9</a></strong>

<div>

<span>by Fraser Tweedale</span>

<i>at 2020-07-10T08:33:22-04:00</i>

</div>

<pre class="commit-message" style="white-space: pre-wrap; margin: 0;">acme: add certificate profile

Add a default certificate profile to be used with the ACME service.

The profile requires the (Dogtag) user interacting with the CA to be

a member of the (Dogtag) "ACME Agents" group.  For each CA server we

create a dedicated ACME agent account, make it a member of this

group, and configure the ACME issuer component to use that account.

Part of: https://pagure.io/freeipa/issue/4751

Reviewed-By: Rob Crittenden <rcritten@redhat.com>

</pre>

</li>

<li>

<strong><a href="https://salsa.debian.org/freeipa-team/freeipa/-/commit/d15000bed6bc5262a80aadeb5f85a476ed44799f">d15000be</a></strong>

<div>

<span>by Fraser Tweedale</span>

<i>at 2020-07-10T08:33:22-04:00</i>

</div>

<pre class="commit-message" style="white-space: pre-wrap; margin: 0;">acme: configure ACME service on upgrade

Part of: https://pagure.io/freeipa/issue/4751

Reviewed-By: Rob Crittenden <rcritten@redhat.com>

</pre>

</li>

<li>

<strong><a href="https://salsa.debian.org/freeipa-team/freeipa/-/commit/00a84464eae31150714f667df67774ebe34b8514">00a84464</a></strong>

<div>

<span>by Fraser Tweedale</span>

<i>at 2020-07-10T08:33:22-04:00</i>

</div>

<pre class="commit-message" style="white-space: pre-wrap; margin: 0;">acme: configure engine.conf and disable by default

When deploying ACME set up configsources.conf to retrieve engine

configuration from engine.conf.  In the initial configuration, the

ACME service is disabled (i.e. it will refuse to service requests).

A subsequent commit will add command(s) for flipping the ACME

service on or off (on a per-server basis).  Later we will move to

LDAP configuration so that management of the ACME service is

deployment-wide.

The default configuration also disables issuance of wildcard

certificates.

Part of: https://pagure.io/freeipa/issue/4751

Reviewed-By: Rob Crittenden <rcritten@redhat.com>

</pre>

</li>

<li>

<strong><a href="https://salsa.debian.org/freeipa-team/freeipa/-/commit/083c6aedc6d8046c19f637ec34723812f292a0e9">083c6aed</a></strong>

<div>

<span>by Fraser Tweedale</span>

<i>at 2020-07-10T08:33:22-04:00</i>

</div>

<pre class="commit-message" style="white-space: pre-wrap; margin: 0;">acme: add ipa-acme-manage command

Add the ipa-acme-manage command which can be used to enable or

disable the IPA ACME service.  It must be used on each server.  In

the future we will implement deployment-wide configuration

(including enable/disable) of the ACME service via IPA API, with

configuration stored in and replicated by LDAP.  But until then, we

need a simple command for administrators to use.

Part of: https://pagure.io/freeipa/issue/4751

Reviewed-By: Rob Crittenden <rcritten@redhat.com>

</pre>

</li>

<li>

<strong><a href="https://salsa.debian.org/freeipa-team/freeipa/-/commit/7b00035764197c0aff0c7d2de638dc174abacf9f">7b000357</a></strong>

<div>

<span>by Fraser Tweedale</span>

<i>at 2020-07-10T08:33:22-04:00</i>

</div>

<pre class="commit-message" style="white-space: pre-wrap; margin: 0;">acme: add integration test

Add a preliminary integration test for the FreeIPA ACME service.  It

only tests Certbot and the http-01 challenge.  Testing of DNS

challenge could come later.

Part of: https://pagure.io/freeipa/issue/4751

Reviewed-By: Rob Crittenden <rcritten@redhat.com>

</pre>

</li>

<li>

<strong><a href="https://salsa.debian.org/freeipa-team/freeipa/-/commit/ab7226dcef8c8390fc9a1e939680ba9f4f5121bd">ab7226dc</a></strong>

<div>

<span>by Fraser Tweedale</span>

<i>at 2020-07-10T08:33:22-04:00</i>

</div>

<pre class="commit-message" style="white-space: pre-wrap; margin: 0;">acme: add integration test to nightly CI

Part of: https://pagure.io/freeipa/issue/4751

Reviewed-By: Rob Crittenden <rcritten@redhat.com>

</pre>

</li>

<li>

<strong><a href="https://salsa.debian.org/freeipa-team/freeipa/-/commit/bb6d84903967bc6176d8a0817b602ba314129417">bb6d8490</a></strong>

<div>

<span>by Fraser Tweedale</span>

<i>at 2020-07-10T08:33:22-04:00</i>

</div>

<pre class="commit-message" style="white-space: pre-wrap; margin: 0;">acme: add integration tests to gating

Because the FreeIPA ACME service is a new feature and may require

stabilisation, including it in gating CI.  This is done as a

separate commit so that it can be reverted more easily.

Part of: https://pagure.io/freeipa/issue/4751

Reviewed-By: Rob Crittenden <rcritten@redhat.com>

</pre>

</li>

<li>

<strong><a href="https://salsa.debian.org/freeipa-team/freeipa/-/commit/85d0272053dbafab19c1f98cacc5ce6e1a828667">85d02720</a></strong>

<div>

<span>by Fraser Tweedale</span>

<i>at 2020-07-10T08:33:22-04:00</i>

</div>

<pre class="commit-message" style="white-space: pre-wrap; margin: 0;">acme: add mod_md integration test

Add a test that configures a client to use mod_md Apache httpd

module to acquire a certificate from FreeIPA ACME service.  This

test is currently skipped on Fedora because the package needs a fix

(see https://bugzilla.redhat.com/show_bug.cgi?id=1832841).

Part of: https://pagure.io/freeipa/issue/4751

Reviewed-By: Rob Crittenden <rcritten@redhat.com>

</pre>

</li>

<li>

<strong><a href="https://salsa.debian.org/freeipa-team/freeipa/-/commit/f9f3b3b118ccb0c4052d15387d128886ec293463">f9f3b3b1</a></strong>

<div>

<span>by Fraser Tweedale</span>

<i>at 2020-07-10T08:33:22-04:00</i>

</div>

<pre class="commit-message" style="white-space: pre-wrap; margin: 0;">acme: handle alternative schema ldif location

pki-server-10.9.0-0.3 relocates the ACME schema LDIF file.  Look for

the file in both the old and new locations to smooth the transition.

Part of: https://pagure.io/freeipa/issue/4751

Reviewed-By: Rob Crittenden <rcritten@redhat.com>

</pre>

</li>

<li>

<strong><a href="https://salsa.debian.org/freeipa-team/freeipa/-/commit/e976dde8e1429ee023a76ddbe0e6b16a495a1ef2">e976dde8</a></strong>

<div>

<span>by Fraser Tweedale</span>

<i>at 2020-07-10T08:33:22-04:00</i>

</div>

<pre class="commit-message" style="white-space: pre-wrap; margin: 0;">acme: add revocation test

Add an integration test that tests revocation via Certbot.

Part of: https://pagure.io/freeipa/issue/4751

Reviewed-By: Rob Crittenden <rcritten@redhat.com>

</pre>

</li>

<li>

<strong><a href="https://salsa.debian.org/freeipa-team/freeipa/-/commit/a83eaa8b6da8e5937a7f42a90310f69b8f66e6d4">a83eaa8b</a></strong>

<div>

<span>by Fraser Tweedale</span>

<i>at 2020-07-10T08:33:22-04:00</i>

</div>

<pre class="commit-message" style="white-space: pre-wrap; margin: 0;">acme: add certbot dns script

Add a script to use as a certbot hook for satisfying the dns-01

challenge.  It will be used during testing, and may be useful or

instructive for users of FreeIPA.

It is installed as part of the freeipa-client package under

/usr/libexec/ipa/acme.  Future ACME-related scripts can be added in

the same place.

Part of: https://pagure.io/freeipa/issue/4751

Reviewed-By: Rob Crittenden <rcritten@redhat.com>

</pre>

</li>

<li>

<strong><a href="https://salsa.debian.org/freeipa-team/freeipa/-/commit/678b8e682b37daa5217c0098cd6ce42c324b3955">678b8e68</a></strong>

<div>

<span>by Fraser Tweedale</span>

<i>at 2020-07-10T08:33:22-04:00</i>

</div>

<pre class="commit-message" style="white-space: pre-wrap; margin: 0;">acme: add certbot dns-01 test

Add a test for the dns-01 challenge using Certbot.  This test uses

the new hook scripts distributed in the freeipa-client package.

Part of: https://pagure.io/freeipa/issue/4751

Reviewed-By: Rob Crittenden <rcritten@redhat.com>

</pre>

</li>

<li>

<strong><a href="https://salsa.debian.org/freeipa-team/freeipa/-/commit/525b946b75760a1ef90e1aae8e5052124fb0075c">525b946b</a></strong>

<div>

<span>by Fraser Tweedale</span>

<i>at 2020-07-10T08:33:22-04:00</i>

</div>

<pre class="commit-message" style="white-space: pre-wrap; margin: 0;">acme: enable mod_md tests on Fedora

The Fedora mod_md package has received the required fixes

(see https://bugzilla.redhat.com/show_bug.cgi?id=1832841).

We can now enable the mod_md tests on Fedora.

Part of: https://pagure.io/freeipa/issue/4751

Reviewed-By: Rob Crittenden <rcritten@redhat.com>

</pre>

</li>

<li>

<strong><a href="https://salsa.debian.org/freeipa-team/freeipa/-/commit/1f720560273e16ca6c5e646a1f4bf0a7ec354aa5">1f720560</a></strong>

<div>

<span>by Fraser Tweedale</span>

<i>at 2020-07-10T08:33:22-04:00</i>

</div>

<pre class="commit-message" style="white-space: pre-wrap; margin: 0;">acme: delete ACME RA account on server uninstall

For each CA server, a Dogtag user account is created for the ACME

service to use to authenticate to the CA subsystem.  This commit

cleans up the Dogtag account upon server uninstallation.

The user deletion behaviour is extracted to a common method used for

both ACME RA account deletion (on uninstall) and removal of the

temporary admin account (during replica install).

Part of: https://pagure.io/freeipa/issue/4751

Reviewed-By: Rob Crittenden <rcritten@redhat.com>

</pre>

</li>

<li>

<strong><a href="https://salsa.debian.org/freeipa-team/freeipa/-/commit/7de20e8e07306d7a7f751283f257f544b24a0eef">7de20e8e</a></strong>

<div>

<span>by Armando Neto</span>

<i>at 2020-07-13T15:11:44+02:00</i>

</div>

<pre class="commit-message" style="white-space: pre-wrap; margin: 0;">ipatests: bump pr-ci templates

New template images for ci-master-f32 and ci-master-f31 to include

latest certmonger package (`certmonger-0.79.11-2`).

Signed-off-by: Armando Neto <abiagion@redhat.com>

Reviewed-By: Florence Blanc-Renaud <flo@redhat.com>

</pre>

</li>

<li>

<strong><a href="https://salsa.debian.org/freeipa-team/freeipa/-/commit/aa54002ce4fa4fb8d133e0367022b2bc7576b8a7">aa54002c</a></strong>

<div>

<span>by Armando Neto</span>

<i>at 2020-07-13T15:12:34+02:00</i>

</div>

<pre class="commit-message" style="white-space: pre-wrap; margin: 0;">ipatests: bump pr-ci templates

New template images for ci-ipa-4-8-f32 and ci-ipa-4-8-f31 to include

latest certmonger package (`certmonger-0.79.11-2`).

Signed-off-by: Armando Neto <abiagion@redhat.com>

Reviewed-By: Florence Blanc-Renaud <flo@redhat.com>

</pre>

</li>

<li>

<strong><a href="https://salsa.debian.org/freeipa-team/freeipa/-/commit/3c18f94b29b15cf652c14e3dd828a27827dad239">3c18f94b</a></strong>

<div>

<span>by Michal Polovka</span>

<i>at 2020-07-14T13:04:32-04:00</i>

</div>

<pre class="commit-message" style="white-space: pre-wrap; margin: 0;">ipatests: test_epn: Fix package installation

EPN functionality is provided as separate package

freeipa-client-epn, but it is not installed during setup. This resolves

this behaviour.

Signed-off-by: Michal Polovka <mpolovka@redhat.com>

Reviewed-By: Rob Crittenden <rcritten@redhat.com>

</pre>

</li>

<li>

<strong><a href="https://salsa.debian.org/freeipa-team/freeipa/-/commit/12529d7ef184846ca3852821b813c725b22e11c6">12529d7e</a></strong>

<div>

<span>by Jeremy Frasier</span>

<i>at 2020-07-14T13:05:56-04:00</i>

</div>

<pre class="commit-message" style="white-space: pre-wrap; margin: 0;">replica: Ensure the ipaapi user is allowed to access ifp on replicas

ipa-server-install executes ipa-client-install with the --on-master

flag set, which causes the ipaclient.install.client.sssd_enable_ifp()

function to be called.  This function configures sssd so that the

ipaapi user is allowed to access ifp.  Any FreeIPA replica should also

have sssd configured like this, but in that case we cannot simply pass

the --on-master flag to ipa-client-install because it has other side

effects.  The solution is to call the

ipaclient.install.client.sssd_enable_ifp() function from inside the

ipaserver.install.server.replicainstall.promote_sssd() function.

https://pagure.io/freeipa/issue/8403

Reviewed-By: Christian Heimes <cheimes@redhat.com>

Reviewed-By: Rob Crittenden <rcritten@redhat.com>

</pre>

</li>

<li>

<strong><a href="https://salsa.debian.org/freeipa-team/freeipa/-/commit/2ff1d6b4509e0214f8147a80a6ff80b429b680df">2ff1d6b4</a></strong>

<div>

<span>by Jeremy Frasier</span>

<i>at 2020-07-14T13:05:56-04:00</i>

</div>

<pre class="commit-message" style="white-space: pre-wrap; margin: 0;">replica: Add tests to ensure the ipaapi user is allowed access to ifp on replicas

https://pagure.io/freeipa/issue/8403

Reviewed-By: Christian Heimes <cheimes@redhat.com>

Reviewed-By: Rob Crittenden <rcritten@redhat.com>

</pre>

</li>

<li>

<strong><a href="https://salsa.debian.org/freeipa-team/freeipa/-/commit/4b8da1b7c7cd5686240b9c8e8c7e41fe9c604c57">4b8da1b7</a></strong>

<div>

<span>by Jeremy Frasier</span>

<i>at 2020-07-14T17:14:12-04:00</i>

</div>

<pre class="commit-message" style="white-space: pre-wrap; margin: 0;">replica: Ensure the ipaapi user is allowed to access ifp on replicas

ipa-server-install executes ipa-client-install with the --on-master

flag set, which causes the ipaclient.install.client.sssd_enable_ifp()

function to be called.  This function configures sssd so that the

ipaapi user is allowed to access ifp.  Any FreeIPA replica should also

have sssd configured like this, but in that case we cannot simply pass

the --on-master flag to ipa-client-install because it has other side

effects.  The solution is to call the

ipaclient.install.client.sssd_enable_ifp() function from inside the

ipaserver.install.server.replicainstall.promote_sssd() function.

https://pagure.io/freeipa/issue/8403

Reviewed-By: Christian Heimes <cheimes@redhat.com>

Reviewed-By: Rob Crittenden <rcritten@redhat.com>

</pre>

</li>

<li>

<strong><a href="https://salsa.debian.org/freeipa-team/freeipa/-/commit/6de4b0fb85d9e2c51c60bc921cf6ee078ca1c219">6de4b0fb</a></strong>

<div>

<span>by Jeremy Frasier</span>

<i>at 2020-07-14T17:14:12-04:00</i>

</div>

<pre class="commit-message" style="white-space: pre-wrap; margin: 0;">replica: Add tests to ensure the ipaapi user is allowed access to ifp on replicas

https://pagure.io/freeipa/issue/8403

Reviewed-By: Christian Heimes <cheimes@redhat.com>

Reviewed-By: Rob Crittenden <rcritten@redhat.com>

</pre>

</li>

<li>

<strong><a href="https://salsa.debian.org/freeipa-team/freeipa/-/commit/8e05a8a8da6eea7dcad48ec5b77631e4495e4879">8e05a8a8</a></strong>

<div>

<span>by sumenon</span>

<i>at 2020-07-15T10:23:45+02:00</i>

</div>

<pre class="commit-message" style="white-space: pre-wrap; margin: 0;">ipatests: Tests to check profile is displayed for getcert request.

test_getcert_list_profile

This test checks that the cert request generated using

getcert utility which is placed in /var/lib/certmonger/requests

directory displays profile name and issuer fields

test_getcert_list_profile_using_subca

This test checks that the cert request generated with -X as

subca and -T <profilename> displays correct profilename

Reviewed-By: Rob Crittenden <rcritten@redhat.com>

Reviewed-By: Mohammad Rizwan <myusuf@redhat.com>

</pre>

</li>

<li>

<strong><a href="https://salsa.debian.org/freeipa-team/freeipa/-/commit/69da03b4ca16ca42fe6828d7e2e4b525f8f1087e">69da03b4</a></strong>

<div>

<span>by Christian Heimes</span>

<i>at 2020-07-15T14:03:40+02:00</i>

</div>

<pre class="commit-message" style="white-space: pre-wrap; margin: 0;">Add missing SELinux rule for ipa-custodia.sock

A SELinux rule for ipa_custodia_stream_connect(httpd_t) was not copied

from upstream rules. It breaks installations on systems that don't have

ipa_custodia_stream_connect in SELinux domain for apache, e.g. RHEL 8.3.

Fixes: https://pagure.io/freeipa/issue/8412

Signed-off-by: Christian Heimes <cheimes@redhat.com>

Reviewed-By: Thomas Woerner <twoerner@redhat.com>

</pre>

</li>

<li>

<strong><a href="https://salsa.debian.org/freeipa-team/freeipa/-/commit/4696644f3fc996da2a88d91d29af11a56ecae0c3">4696644f</a></strong>

<div>

<span>by Peter Keresztes Schmidt</span>

<i>at 2020-07-15T14:19:18+02:00</i>

</div>

<pre class="commit-message" style="white-space: pre-wrap; margin: 0;">ipa-join: extract common JSON-RPC response parsing to common function

In preparation for handling JSON-RPC error codes.

Related: https://pagure.io/freeipa/issue/8408

Reviewed-By: Florence Blanc-Renaud <flo@redhat.com>

</pre>

</li>

<li>

<strong><a href="https://salsa.debian.org/freeipa-team/freeipa/-/commit/6dfefc97459376a2ac4fb079a19b49e70056fd14">6dfefc97</a></strong>

<div>

<span>by Peter Keresztes Schmidt</span>

<i>at 2020-07-15T14:19:18+02:00</i>

</div>

<pre class="commit-message" style="white-space: pre-wrap; margin: 0;">ipa-join: handle JSON-RPC error codes

Error code 2100 (ACIError) is handled explicitly to match XML-RPC behaviour.

Fixes: https://pagure.io/freeipa/issue/8408

Reviewed-By: Florence Blanc-Renaud <flo@redhat.com>

</pre>

</li>

<li>

<strong><a href="https://salsa.debian.org/freeipa-team/freeipa/-/commit/147b808ffb58217443562ade56da212829539817">147b808f</a></strong>

<div>

<span>by Michal Polovka</span>

<i>at 2020-07-15T14:47:12+02:00</i>

</div>

<pre class="commit-message" style="white-space: pre-wrap; margin: 0;">ipatests: test_epn: test_EPN_config_file: Package name fix

Fix package name to respect different conventions in particular streams.

Signed-off-by: Michal Polovka <mpolovka@redhat.com>

Reviewed-By: Florence Blanc-Renaud <frenaud@redhat.com>

</pre>

</li>

<li>

<strong><a href="https://salsa.debian.org/freeipa-team/freeipa/-/commit/d83b760d1f76a3ba8e527dd27551e51a600b22c0">d83b760d</a></strong>

<div>

<span>by Christian Heimes</span>

<i>at 2020-07-15T16:54:24+02:00</i>

</div>

<pre class="commit-message" style="white-space: pre-wrap; margin: 0;">Add missing SELinux rule for ipa-custodia.sock

A SELinux rule for ipa_custodia_stream_connect(httpd_t) was not copied

from upstream rules. It breaks installations on systems that don't have

ipa_custodia_stream_connect in SELinux domain for apache, e.g. RHEL 8.3.

Fixes: https://pagure.io/freeipa/issue/8412

Signed-off-by: Christian Heimes <cheimes@redhat.com>

Reviewed-By: Thomas Woerner <twoerner@redhat.com>

</pre>

</li>

<li>

<strong><a href="https://salsa.debian.org/freeipa-team/freeipa/-/commit/07d1b9d33b9515047dcd41f569a3dcf0b183260e">07d1b9d3</a></strong>

<div>

<span>by sumenon</span>

<i>at 2020-07-15T13:37:09-04:00</i>

</div>

<pre class="commit-message" style="white-space: pre-wrap; margin: 0;">ipatests: Tests to check profile is displayed for getcert request.

test_getcert_list_profile

This test checks that the cert request generated using

getcert utility which is placed in /var/lib/certmonger/requests

directory displays profile name and issuer fields

test_getcert_list_profile_using_subca

This test checks that the cert request generated with -X as

subca and -T <profilename> displays correct profilename

Reviewed-By: Rob Crittenden <rcritten@redhat.com>

Reviewed-By: Mohammad Rizwan <myusuf@redhat.com>

</pre>

</li>

<li>

<strong><a href="https://salsa.debian.org/freeipa-team/freeipa/-/commit/9281133c7c0d1bb3696fba036b5f79fb8e75828f">9281133c</a></strong>

<div>

<span>by Michal Polovka</span>

<i>at 2020-07-15T13:38:03-04:00</i>

</div>

<pre class="commit-message" style="white-space: pre-wrap; margin: 0;">ipatests: test_epn: Fix package installation

EPN functionality is provided as separate package

freeipa-client-epn, but it is not installed during setup. This resolves

this behaviour.

Signed-off-by: Michal Polovka <mpolovka@redhat.com>

Reviewed-By: Rob Crittenden <rcritten@redhat.com>

</pre>

</li>

<li>

<strong><a href="https://salsa.debian.org/freeipa-team/freeipa/-/commit/8318b2b37c821f90637e8b08fbaf6320f6f1f477">8318b2b3</a></strong>

<div>

<span>by Michal Polovka</span>

<i>at 2020-07-15T13:44:40-04:00</i>

</div>

<pre class="commit-message" style="white-space: pre-wrap; margin: 0;">ipatests: test_epn: test_EPN_config_file: Package name fix

Fix package name to respect different conventions in particular streams.

Signed-off-by: Michal Polovka <mpolovka@redhat.com>

Reviewed-By: Florence Blanc-Renaud <frenaud@redhat.com>

</pre>

</li>

<li>

<strong><a href="https://salsa.debian.org/freeipa-team/freeipa/-/commit/2fcc260cae4bd1186a7312c61a63144e8d656cd0">2fcc260c</a></strong>

<div>

<span>by Fraser Tweedale</span>

<i>at 2020-07-16T15:30:53+10:00</i>

</div>

<pre class="commit-message" style="white-space: pre-wrap; margin: 0;">cainstance.update_ipa_conf: allow specifying ca_host

Enhance cainstance.update_ipa_conf() to allow specifying the

ca_host.  This will be used to update replica configurations when a

CA-less deployment gets promoted to CA-ful.

Part of: https://pagure.io/freeipa/issue/7188

Reviewed-By: Florence Blanc-Renaud <frenaud@redhat.com>

</pre>

</li>

<li>

<strong><a href="https://salsa.debian.org/freeipa-team/freeipa/-/commit/a1b3b34b906808c2deb69a3838edd0cf4739b467">a1b3b34b</a></strong>

<div>

<span>by Fraser Tweedale</span>

<i>at 2020-07-16T15:30:53+10:00</i>

</div>

<pre class="commit-message" style="white-space: pre-wrap; margin: 0;">cainstance: extract function import_ra_key

After upgrading a deployment from CA-less to CA-ful it is necessary

to install the RA Agent credential on non-CA servers.  To facilitate

this, extract this behaviour from CAInstance so that it is callable

from other code.

Several other methods became @staticmethod as a result of this

change.  This makes those methods callable without an instance of

CAInstance and also documents that those methods do not use 'self'.

Part of: https://pagure.io/freeipa/issue/7188

Reviewed-By: Florence Blanc-Renaud <frenaud@redhat.com>

</pre>

</li>

<li>

<strong><a href="https://salsa.debian.org/freeipa-team/freeipa/-/commit/53d472b490ac7a14fc78516b448d4aa312b79b7f">53d472b4</a></strong>

<div>

<span>by Fraser Tweedale</span>

<i>at 2020-07-16T15:30:53+10:00</i>

</div>

<pre class="commit-message" style="white-space: pre-wrap; margin: 0;">certupdate: update config after deployment becomes CA-ful

When a deployment gets promoted from CA-less to CA-ful other

replicas still have enable_ra=False in default.conf, and do not have

the ra-agent key and certificate.  Enhance ipa-certupdate to detect

when the deployment has become CA-ful; retrieve the ra-agent

credential and update default.conf.

The rationale for adding this behaviour to ipa-certupdate is that it

is already necessary to use this command to update local trust

stores with the new CA certificate(s).  So by using ipa-certupdate

we avoid introducing additional steps for administrators.

It is necessary to choose a CA master to use as the ca_host.  We use

the first server returned by LDAP.  A better heuristic might be to

choose a master in the same location but this is just left as a

comment unless or until the need is proven.

Finally, defer the httpd service restart until after the possible

update of default.conf so that the IPA API executes with the new

configuration.

This change also addresses the case of a CA server being removed

from the topology, i.e. ipa-certupdate detects when non-CA replicas

are pointing at the removed server, and chooses a new ca_host.

HOW TO TEST:

1. Install a CA-less server (first server).

2. Install a CA-less replica.

3. Run 'ipa-ca-install' on first server, promoting deployment from

   CA-less to CA-ful.

4. Run 'ipa-certupdate' on second server.

5. Exceute 'ipa cert-show 5' on second server.  Should succeed,

   because ra-agent credential was retrieved and default.conf

   updated at step #4.

Fixes: https://pagure.io/freeipa/issue/7188

Reviewed-By: Florence Blanc-Renaud <frenaud@redhat.com>

</pre>

</li>

<li>

<strong><a href="https://salsa.debian.org/freeipa-team/freeipa/-/commit/04d25dd2866c74b23b16172411d5cfaa83d0b726">04d25dd2</a></strong>

<div>

<span>by sumenon</span>

<i>at 2020-07-17T16:46:01+02:00</i>

</div>

<pre class="commit-message" style="white-space: pre-wrap; margin: 0;">ipatests: Increase timeout value in test_getcert_list_profile_using_subca

test_getcert_list_profile_using_subca test had a timeout value of 50

waiting for the cert to be in MONITORING state, this has now been

replaced with 300, since the certmonger request was in state SUBMITTING

instead of MONITORING causing the test to fail.

Reviewed-By: Florence Blanc-Renaud <flo@redhat.com>

</pre>

</li>

<li>

<strong><a href="https://salsa.debian.org/freeipa-team/freeipa/-/commit/28caa22a8e5b1fd402692cdc41fa4dd4a73f6698">28caa22a</a></strong>

<div>

<span>by Rob Crittenden</span>

<i>at 2020-07-17T14:49:41-04:00</i>

</div>

<pre class="commit-message" style="white-space: pre-wrap; margin: 0;">Don't delegate the TGT in ipa-join

Pre 3.0.0 IPA delegated the TGT to enforce access control in

389-ds. At the point that S4U2Proxy support was added there

were still IPA 2.0.x servers in use so this delegation was

left in place in ipa-join so that enrollment would work.

Those days are long gone, remove that support in the XML and

JSON RPC requests.

https://pagure.io/freeipa/issue/8405

Signed-off-by: Rob Crittenden <rcritten@redhat.com>

Reviewed-By: Florence Blanc-Renaud <frenaud@redhat.com>

</pre>

</li>

<li>

<strong><a href="https://salsa.debian.org/freeipa-team/freeipa/-/commit/eff65495f38b2e3b3c09d3646a52f13d9495e320">eff65495</a></strong>

<div>

<span>by Christian Heimes</span>

<i>at 2020-07-20T09:46:16+02:00</i>

</div>

<pre class="commit-message" style="white-space: pre-wrap; margin: 0;">Teach pylint how dnspython 2.x works

pylint does not understand pylint's

globals().update(RdataType.__members__) trick.

Fixes: https://pagure.io/freeipa/issue/8419

Signed-off-by: Christian Heimes <cheimes@redhat.com>

Reviewed-By: Rob Crittenden <rcritten@redhat.com>

</pre>

</li>

<li>

<strong><a href="https://salsa.debian.org/freeipa-team/freeipa/-/commit/abfe4bfe459ff4f7329d0b0ec674a8cb9c7d99cc">abfe4bfe</a></strong>

<div>

<span>by Christian Heimes</span>

<i>at 2020-07-20T08:33:40-04:00</i>

</div>

<pre class="commit-message" style="white-space: pre-wrap; margin: 0;">Teach pylint how dnspython 2.x works

pylint does not understand pylint's

globals().update(RdataType.__members__) trick.

Fixes: https://pagure.io/freeipa/issue/8419

Signed-off-by: Christian Heimes <cheimes@redhat.com>

Reviewed-By: Rob Crittenden <rcritten@redhat.com>

</pre>

</li>

<li>

<strong><a href="https://salsa.debian.org/freeipa-team/freeipa/-/commit/6ff31dbf55cfea509289c72c6f97f945fb934f6c">6ff31dbf</a></strong>

<div>

<span>by sumenon</span>

<i>at 2020-07-20T22:45:45-04:00</i>

</div>

<pre class="commit-message" style="white-space: pre-wrap; margin: 0;">ipatests: Test for ipa-nis-manage CLI tool.

The testcases added check the various options of ipa-nis-manage CLI

tool as below

1. ipa-nis-mange enable

2. ipa-nis-manage disable

3. Enabling NIS pluging with invalid admin password

Reviewed-By: Mohammad Rizwan <myusuf@redhat.com>

Reviewed-By: Rob Crittenden <rcritten@redhat.com>

</pre>

</li>

<li>

<strong><a href="https://salsa.debian.org/freeipa-team/freeipa/-/commit/ab36d79adc3a061e34eeb528ac0ad2d35b417731">ab36d79a</a></strong>

<div>

<span>by sumenon</span>

<i>at 2020-07-21T14:39:38-04:00</i>

</div>

<pre class="commit-message" style="white-space: pre-wrap; margin: 0;">ipatests: Test for ipa-nis-manage CLI tool.

The testcases added check the various options of ipa-nis-manage CLI

tool as below

1. ipa-nis-mange enable

2. ipa-nis-manage disable

3. Enabling NIS pluging with invalid admin password

Reviewed-By: Mohammad Rizwan <myusuf@redhat.com>

Reviewed-By: Rob Crittenden <rcritten@redhat.com>

</pre>

</li>

<li>

<strong><a href="https://salsa.debian.org/freeipa-team/freeipa/-/commit/7f205b8946d071cb2d0e11977dfc1b5dc6d5e312">7f205b89</a></strong>

<div>

<span>by sumenon</span>

<i>at 2020-07-21T14:41:16-04:00</i>

</div>

<pre class="commit-message" style="white-space: pre-wrap; margin: 0;">ipatests: Increase timeout value in test_getcert_list_profile_using_subca

test_getcert_list_profile_using_subca test had a timeout value of 50

waiting for the cert to be in MONITORING state, this has now been

replaced with 300, since the certmonger request was in state SUBMITTING

instead of MONITORING causing the test to fail.

Reviewed-By: Florence Blanc-Renaud <frenaud@redhat.com>

</pre>

</li>

<li>

<strong><a href="https://salsa.debian.org/freeipa-team/freeipa/-/commit/27e9988fe2de33e9b833e59614dd151e83ff0336">27e9988f</a></strong>

<div>

<span>by François Cami</span>

<i>at 2020-07-23T23:32:11+02:00</i>

</div>

<pre class="commit-message" style="white-space: pre-wrap; margin: 0;">ipatests: xfail TestIpaClientAutomountFileRestore's final test

Due to a change in authselect, rolling back the installation

does not produce the same nsswitch.conf as on a clean install.

Mark the test xfail until ipa-client-install is enhanced to

use authselect profile backup/restore.

Related: https://pagure.io/freeipa/issue/8189

Signed-off-by: François Cami <fcami@redhat.com>

Reviewed-By: Rob Crittenden <rcritten@redhat.com>

</pre>

</li>

<li>

<strong><a href="https://salsa.debian.org/freeipa-team/freeipa/-/commit/fcc99813f58825efb093f477544076e272c62ea9">fcc99813</a></strong>

<div>

<span>by sumenon</span>

<i>at 2020-07-24T08:48:17-04:00</i>

</div>

<pre class="commit-message" style="white-space: pre-wrap; margin: 0;">ipatests: Test to check IPACAChainExpirationCheck when IPA cacrt is renamed

This testcase checks that ERROR message is displayed

by IPACAChainExpirationCheck when ipa ca crt file is renamed.

Reviewed-By: Rob Crittenden <rcritten@redhat.com>

Reviewed-By: Mohammad Rizwan <myusuf@redhat.com>

</pre>

</li>

<li>

<strong><a href="https://salsa.debian.org/freeipa-team/freeipa/-/commit/a52aa06e1a6220c18a3b4c8f51f1b2efb3596bfa">a52aa06e</a></strong>

<div>

<span>by sumenon</span>

<i>at 2020-07-24T14:10:06-04:00</i>

</div>

<pre class="commit-message" style="white-space: pre-wrap; margin: 0;">ipatests: Test to check IPACAChainExpirationCheck when IPA cacrt is renamed

This testcase checks that ERROR message is displayed

by IPACAChainExpirationCheck when ipa ca crt file is renamed.

Reviewed-By: Rob Crittenden <rcritten@redhat.com>

Reviewed-By: Mohammad Rizwan <myusuf@redhat.com>

</pre>

</li>

<li>

<strong><a href="https://salsa.debian.org/freeipa-team/freeipa/-/commit/020905338423f0539f79f61772f117764ef88717">02090533</a></strong>

<div>

<span>by François Cami</span>

<i>at 2020-07-24T14:11:04-04:00</i>

</div>

<pre class="commit-message" style="white-space: pre-wrap; margin: 0;">ipatests: xfail TestIpaClientAutomountFileRestore's final test

Due to a change in authselect, rolling back the installation

does not produce the same nsswitch.conf as on a clean install.

Mark the test xfail until ipa-client-install is enhanced to

use authselect profile backup/restore.

Related: https://pagure.io/freeipa/issue/8189

Signed-off-by: François Cami <fcami@redhat.com>

Reviewed-By: Rob Crittenden <rcritten@redhat.com>

Reviewed-By: Rob Crittenden <rcritten@redhat.com>

</pre>

</li>

<li>

<strong><a href="https://salsa.debian.org/freeipa-team/freeipa/-/commit/78acf0bcfcf594d56725f88426df3bf63a95fc4f">78acf0bc</a></strong>

<div>

<span>by Rob Crittenden</span>

<i>at 2020-07-27T09:47:27-04:00</i>

</div>

<pre class="commit-message" style="white-space: pre-wrap; margin: 0;">Add fips-mode-setup to ipaplatform.paths to determine FIPS status

This will be used by freeipa-healthcheck to report FIPS config

status. It is added here to avoid duplicating platform independence

in a sister project.

https://pagure.io/freeipa/issue/8429

Signed-off-by: Rob Crittenden <rcritten@redhat.com>

Reviewed-By: Francois Cami <fcami@redhat.com>

</pre>

</li>

<li>

<strong><a href="https://salsa.debian.org/freeipa-team/freeipa/-/commit/1fc1947c4875595edf48000ef3a01d0ae9ffd3c1">1fc1947c</a></strong>

<div>

<span>by Florence Blanc-Renaud</span>

<i>at 2020-07-27T15:58:15-04:00</i>

</div>

<pre class="commit-message" style="white-space: pre-wrap; margin: 0;">ipatests: fix TestUnprivilegedUserPermissions

A new test has been added to TestUnprivilegedUserPermissions that

duplicates the steps done in the precedent test. As the tests

are usually run sequentially, no need to duplicate.

Fixes: https://pagure.io/freeipa/issue/8413

Reviewed-By: Mohammad Rizwan <myusuf@redhat.com>

Reviewed-By: Rob Crittenden <rcritten@redhat.com>

</pre>

</li>

<li>

<strong><a href="https://salsa.debian.org/freeipa-team/freeipa/-/commit/062e18c4f0c3febcac7db99e8a7e4c690684db60">062e18c4</a></strong>

<div>

<span>by Florence Blanc-Renaud</span>

<i>at 2020-07-27T15:58:15-04:00</i>

</div>

<pre class="commit-message" style="white-space: pre-wrap; margin: 0;">ipatests: Fix TestReplicaPromotionLevel1

A new test was added to TestReplicaPromotionLevel1 but was run

after the replica uninstallation. As the new test checks

the content of /etc/sssd/sssd.conf on the replica, merge it with the

previous test, when the replica is still installed.

Fixes: https://pagure.io/freeipa/issue/8414

Reviewed-By: Mohammad Rizwan <myusuf@redhat.com>

Reviewed-By: Rob Crittenden <rcritten@redhat.com>

</pre>

</li>

<li>

<strong><a href="https://salsa.debian.org/freeipa-team/freeipa/-/commit/819bcacb81f942ac31691638beb64f77c0e74a40">819bcacb</a></strong>

<div>

<span>by Florence Blanc-Renaud</span>

<i>at 2020-07-28T09:00:46+02:00</i>

</div>

<pre class="commit-message" style="white-space: pre-wrap; margin: 0;">ipatests: fix TestUnprivilegedUserPermissions

A new test has been added to TestUnprivilegedUserPermissions that

duplicates the steps done in the precedent test. As the tests

are usually run sequentially, no need to duplicate.

Fixes: https://pagure.io/freeipa/issue/8413

Reviewed-By: Rob Crittenden <rcritten@redhat.com>

Reviewed-By: Mohammad Rizwan <myusuf@redhat.com>

</pre>

</li>

<li>

<strong><a href="https://salsa.debian.org/freeipa-team/freeipa/-/commit/3c53c7036a8a214eeb93c241d730d5c737950cd1">3c53c703</a></strong>

<div>

<span>by Florence Blanc-Renaud</span>

<i>at 2020-07-28T09:00:46+02:00</i>

</div>

<pre class="commit-message" style="white-space: pre-wrap; margin: 0;">ipatests: Fix TestReplicaPromotionLevel1

A new test was added to TestReplicaPromotionLevel1 but was run

after the replica uninstallation. As the new test checks

the content of /etc/sssd/sssd.conf on the replica, merge it with the

previous test, when the replica is still installed.

Fixes: https://pagure.io/freeipa/issue/8414

Reviewed-By: Rob Crittenden <rcritten@redhat.com>

Reviewed-By: Mohammad Rizwan <myusuf@redhat.com>

</pre>

</li>

<li>

<strong><a href="https://salsa.debian.org/freeipa-team/freeipa/-/commit/428d215fa023b7182e5056ceba4ee7366c650a1b">428d215f</a></strong>

<div>

<span>by Timo Aaltonen</span>

<i>at 2020-07-28T16:56:07+03:00</i>

</div>

<pre class="commit-message" style="white-space: pre-wrap; margin: 0;">Merge branch 'upstream'

</pre>

</li>

<li>

<strong><a href="https://salsa.debian.org/freeipa-team/freeipa/-/commit/449cb579bb07501955c8cc787514375a52abc196">449cb579</a></strong>

<div>

<span>by Timo Aaltonen</span>

<i>at 2020-07-28T16:57:28+03:00</i>

</div>

<pre class="commit-message" style="white-space: pre-wrap; margin: 0;">bump the version

</pre>

</li>

<li>

<strong><a href="https://salsa.debian.org/freeipa-team/freeipa/-/commit/ad2c34625dfbb0fc426ed457cc7edcbb026cacbb">ad2c3462</a></strong>

<div>

<span>by Timo Aaltonen</span>

<i>at 2020-07-28T17:28:39+03:00</i>

</div>

<pre class="commit-message" style="white-space: pre-wrap; margin: 0;">write-out-only-one-cert-per-file.diff, tasks-fixes.diff: Dropped, upstream.

</pre>

</li>

<li>

<strong><a href="https://salsa.debian.org/freeipa-team/freeipa/-/commit/2bc4ad7dbcbb75e02f9fe637349c52feed013a01">2bc4ad7d</a></strong>

<div>

<span>by Timo Aaltonen</span>

<i>at 2020-07-28T18:52:12+03:00</i>

</div>

<pre class="commit-message" style="white-space: pre-wrap; margin: 0;">control: Replace node-uglify build-dependency with python3-rjsmin.

</pre>

</li>

<li>

<strong><a href="https://salsa.debian.org/freeipa-team/freeipa/-/commit/2b6d7cc807434c24f0b4e6c56e02913c1a385c97">2b6d7cc8</a></strong>

<div>

<span>by Timo Aaltonen</span>

<i>at 2020-07-28T19:27:15+03:00</i>

</div>

<pre class="commit-message" style="white-space: pre-wrap; margin: 0;">control: Add freeipa-client-epn package.

</pre>

</li>

<li>

<strong><a href="https://salsa.debian.org/freeipa-team/freeipa/-/commit/d5faabcfc3f2f7526173558b3809d1ee3aa805f7">d5faabcf</a></strong>

<div>

<span>by Timo Aaltonen</span>

<i>at 2020-07-28T19:27:33+03:00</i>

</div>

<pre class="commit-message" style="white-space: pre-wrap; margin: 0;">.install: Updated.

</pre>

</li>

<li>

<strong><a href="https://salsa.debian.org/freeipa-team/freeipa/-/commit/3546fef0bbefba59c754f2fb18f4eeac2c3437ce">3546fef0</a></strong>

<div>

<span>by François Cami</span>

<i>at 2020-07-28T19:33:11+02:00</i>

</div>

<pre class="commit-message" style="white-space: pre-wrap; margin: 0;">ipatests: test_commands: test_login_wrong_password: look farther in time

Sometimes test_login_wrong_password fails because the log window the

string message is searched in is too narrow.

Broaden the window by looking at the past 10 seconds.

Fixes: https://pagure.io/freeipa/issue/8432

Signed-off-by: François Cami <fcami@redhat.com>

Reviewed-By: Rob Crittenden <rcritten@redhat.com>

Reviewed-By: Florence Blanc-Renaud <frenaud@redhat.com>

</pre>

</li>

<li>

<strong><a href="https://salsa.debian.org/freeipa-team/freeipa/-/commit/cc06361907c8fdb986a581eb3e20abf8a7c1c476">cc063619</a></strong>

<div>

<span>by Rob Crittenden</span>

<i>at 2020-07-29T06:09:36+02:00</i>

</div>

<pre class="commit-message" style="white-space: pre-wrap; margin: 0;">Add fips-mode-setup to ipaplatform.paths to determine FIPS status

This will be used by freeipa-healthcheck to report FIPS config

status. It is added here to avoid duplicating platform independence

in a sister project.

https://pagure.io/freeipa/issue/8429

Signed-off-by: Rob Crittenden <rcritten@redhat.com>

Reviewed-By: Francois Cami <fcami@redhat.com>

</pre>

</li>

<li>

<strong><a href="https://salsa.debian.org/freeipa-team/freeipa/-/commit/f7ed159769de26b24a0df86786eecdd07fe5e224">f7ed1597</a></strong>

<div>

<span>by François Cami</span>

<i>at 2020-07-29T09:00:26+02:00</i>

</div>

<pre class="commit-message" style="white-space: pre-wrap; margin: 0;">ipatests: re-enable test_sss_ssh_authorizedkeys

Re-enable test_sss_ssh_authorizedkeys.

Related: https://pagure.io/freeipa/issue/8151

Signed-off-by: François Cami <fcami@redhat.com>

Reviewed-By: Armando Neto <abiagion@redhat.com>

</pre>

</li>

<li>

<strong><a href="https://salsa.debian.org/freeipa-team/freeipa/-/commit/178d80969c52fbd0c6de28729d9c5281e9ca2578">178d8096</a></strong>

<div>

<span>by François Cami</span>

<i>at 2020-07-29T09:00:26+02:00</i>

</div>

<pre class="commit-message" style="white-space: pre-wrap; margin: 0;">ipatests: test_sss_ssh_authorizedkeys

Add debug information to the ssh invocation.

Related: https://pagure.io/freeipa/issue/8151

Signed-off-by: François Cami <fcami@redhat.com>

Reviewed-By: Armando Neto <abiagion@redhat.com>

</pre>

</li>

<li>

<strong><a href="https://salsa.debian.org/freeipa-team/freeipa/-/commit/d5148c65412d92a7d586cefec66cbabb099fc22f">d5148c65</a></strong>

<div>

<span>by François Cami</span>

<i>at 2020-07-29T13:53:52+02:00</i>

</div>

<pre class="commit-message" style="white-space: pre-wrap; margin: 0;">tasks: add run_ssh_cmd

Paramiko is not compatible with FIPS.

A replacement is needed, and since what clients use is "ssh",

create a shim over it so that tests can leverage it.

Fixes: https://pagure.io/freeipa/issue/8129

Signed-off-by: François Cami <fcami@redhat.com>

Reviewed-By: Mohammad Rizwan <myusuf@redhat.com>

Reviewed-By: Michal Polovka <mpolovka@redhat.com>

</pre>

</li>

<li>

<strong><a href="https://salsa.debian.org/freeipa-team/freeipa/-/commit/73ae4c77f38a7453fa166a01a683c6cd638f2746">73ae4c77</a></strong>

<div>

<span>by François Cami</span>

<i>at 2020-07-29T13:53:52+02:00</i>

</div>

<pre class="commit-message" style="white-space: pre-wrap; margin: 0;">ipatests: test_commands: test_ssh_key_connection: Paramiko=>OpenSSH

Paramiko is not compatible with FIPS.

Migrate test_ssh_key_connection to the OpenSSH CLI SSH(1).

Rationale: this is exactly what clients use.

Fixes: https://pagure.io/freeipa/issue/8129

Signed-off-by: François Cami <fcami@redhat.com>

Reviewed-By: Mohammad Rizwan <myusuf@redhat.com>

Reviewed-By: Michal Polovka <mpolovka@redhat.com>

</pre>

</li>

<li>

<strong><a href="https://salsa.debian.org/freeipa-team/freeipa/-/commit/5cc7a2b703b1514112da1d93ee2e3edf24cfb1f7">5cc7a2b7</a></strong>

<div>

<span>by François Cami</span>

<i>at 2020-07-29T13:53:52+02:00</i>

</div>

<pre class="commit-message" style="white-space: pre-wrap; margin: 0;">ipatests: test_user_permissions: test_selinux_user_optimized Paramiko=>OpenSSH

Paramiko is not compatible with FIPS.

Migrate test_selinux_user_optimized to the OpenSSH CLI SSH(1).

Rationale: this is exactly what clients use.

Fixes: https://pagure.io/freeipa/issue/8129

Signed-off-by: François Cami <fcami@redhat.com>

Reviewed-By: Mohammad Rizwan <myusuf@redhat.com>

Reviewed-By: Michal Polovka <mpolovka@redhat.com>

</pre>

</li>

<li>

<strong><a href="https://salsa.debian.org/freeipa-team/freeipa/-/commit/27ed8260ba6307fdc22beb10d6f25d13b336ded8">27ed8260</a></strong>

<div>

<span>by François Cami</span>

<i>at 2020-07-29T13:53:52+02:00</i>

</div>

<pre class="commit-message" style="white-space: pre-wrap; margin: 0;">ipatests: test_commands: test_ssh_from_controller: refactor

test_ssh_from_controller does not use methods provided by tasks.py.

Refactor using those methods.

Related: https://pagure.io/freeipa/issue/8129

Signed-off-by: François Cami <fcami@redhat.com>

Signed-off-by: François Cami <fcami@redhat.com>

Reviewed-By: Mohammad Rizwan <myusuf@redhat.com>

Reviewed-By: Michal Polovka <mpolovka@redhat.com>

</pre>

</li>

<li>

<strong><a href="https://salsa.debian.org/freeipa-team/freeipa/-/commit/112386f76a4e3bfec9962013ac8ebaadf950ff6f">112386f7</a></strong>

<div>

<span>by François Cami</span>

<i>at 2020-07-29T13:53:52+02:00</i>

</div>

<pre class="commit-message" style="white-space: pre-wrap; margin: 0;">ipatests: test_commands: test_ssh_from_controller: Paramiko=>OpenSSH

Paramiko is not compatible with FIPS.

Migrate test_ssh_from_controller to the OpenSSH CLI SSH(1).

Rationale: this is exactly what clients use.

Fixes: https://pagure.io/freeipa/issue/8129

Signed-off-by: François Cami <fcami@redhat.com>

Reviewed-By: Mohammad Rizwan <myusuf@redhat.com>

Reviewed-By: Michal Polovka <mpolovka@redhat.com>

</pre>

</li>

<li>

<strong><a href="https://salsa.debian.org/freeipa-team/freeipa/-/commit/326e13347c89f2a3287209e95e2b7cd00aa3d80c">326e1334</a></strong>

<div>

<span>by François Cami</span>

<i>at 2020-07-29T13:53:52+02:00</i>

</div>

<pre class="commit-message" style="white-space: pre-wrap; margin: 0;">ipatests: test_commands: test_login_wrong_password: Paramiko=>OpenSSH

Paramiko is not compatible with FIPS.

Migrate test_login_wrong_password to the OpenSSH CLI SSH(1).

Rationale: this is exactly what clients use.

Fixes: https://pagure.io/freeipa/issue/8129

Signed-off-by: François Cami <fcami@redhat.com>

Reviewed-By: Mohammad Rizwan <myusuf@redhat.com>

Reviewed-By: Michal Polovka <mpolovka@redhat.com>

</pre>

</li>

<li>

<strong><a href="https://salsa.debian.org/freeipa-team/freeipa/-/commit/a9f055787ac389e4164f3de5369bade1d4b218b0">a9f05578</a></strong>

<div>

<span>by François Cami</span>

<i>at 2020-07-29T13:53:52+02:00</i>

</div>

<pre class="commit-message" style="white-space: pre-wrap; margin: 0;">ipatests: ui_driver: convert run_cmd_on_ui_host to tasks.py::run_ssh_cmd

Paramiko is not compatible with FIPS.

Migrate run_cmd_on_ui_host to the OpenSSH CLI SSH(1) using

tasks.py's run_ssh_cmd.

Rationale: this is exactly what clients use.

Fixes: https://pagure.io/freeipa/issue/8129

Signed-off-by: François Cami <fcami@redhat.com>

Reviewed-By: Mohammad Rizwan <myusuf@redhat.com>

Reviewed-By: Michal Polovka <mpolovka@redhat.com>

</pre>

</li>

<li>

<strong><a href="https://salsa.debian.org/freeipa-team/freeipa/-/commit/763d3b059bccc37744764985b57d97554a2a6947">763d3b05</a></strong>

<div>

<span>by François Cami</span>

<i>at 2020-07-29T13:53:52+02:00</i>

</div>

<pre class="commit-message" style="white-space: pre-wrap; margin: 0;">ipatests: test_otp: convert test_2fa_enable_single_prompt to run_ssh_cmd

Paramiko is not compatible with FIPS.

Migrate test_2fa_enable_single_prompt to the OpenSSH CLI SSH(1).

Rationale: this is exactly what clients use.

Also add a warning when test_2fa_disable_single_prompt is executed in FIPS mode.

Fixes: https://pagure.io/freeipa/issue/8129

Signed-off-by: François Cami <fcami@redhat.com>

Reviewed-By: Mohammad Rizwan <myusuf@redhat.com>

Reviewed-By: Michal Polovka <mpolovka@redhat.com>

</pre>

</li>

<li>

<strong><a href="https://salsa.debian.org/freeipa-team/freeipa/-/commit/b25bccc59a99255bf8b67c6843b120923d2a89e5">b25bccc5</a></strong>

<div>

<span>by Serhii Tsymbaliuk</span>

<i>at 2020-07-29T14:06:55+02:00</i>

</div>

<pre class="commit-message" style="white-space: pre-wrap; margin: 0;">WebUI: Fix issue with opening links in new tab/window

- fix table item links reference

- fix global menu links reference

- fix API browser side panel links

- fix tab links reference

Ticket: https://pagure.io/freeipa/issue/7137

Signed-off-by: Serhii Tsymbaliuk <stsymbal@redhat.com>

Reviewed-By: Petr Vobornik <pvoborni@redhat.com>

</pre>

</li>

<li>

<strong><a href="https://salsa.debian.org/freeipa-team/freeipa/-/commit/d452e45ff0e4293aa835e57c3d4dce82956e4baa">d452e45f</a></strong>

<div>

<span>by Serhii Tsymbaliuk</span>

<i>at 2020-07-29T14:06:55+02:00</i>

</div>

<pre class="commit-message" style="white-space: pre-wrap; margin: 0;">WebUI tests: Change navigation tests to find menu items using data-name instead of href

Since menu pseudo-links was replaced with real one, navigation tests must be changed to not use href

for searching items.

Ticket: https://pagure.io/freeipa/issue/7137

Signed-off-by: Serhii Tsymbaliuk <stsymbal@redhat.com>

Reviewed-By: Petr Vobornik <pvoborni@redhat.com>

</pre>

</li>

<li>

<strong><a href="https://salsa.debian.org/freeipa-team/freeipa/-/commit/86251e5d4120bc780ef857576ec1e4afb35f13fb">86251e5d</a></strong>

<div>

<span>by Timo Aaltonen</span>

<i>at 2020-07-29T17:35:41+03:00</i>

</div>

<pre class="commit-message" style="white-space: pre-wrap; margin: 0;">control: Drop libnss3-dev from build-depends, use libssl for util & libotp.

</pre>

</li>

<li>

<strong><a href="https://salsa.debian.org/freeipa-team/freeipa/-/commit/1502cb47df39f58082967012d4f9e227d6971652">1502cb47</a></strong>

<div>

<span>by Serhii Tsymbaliuk</span>

<i>at 2020-07-29T17:11:10+02:00</i>

</div>

<pre class="commit-message" style="white-space: pre-wrap; margin: 0;">WebUI: Fix issue with opening links in new tab/window

- fix table item links reference

- fix global menu links reference

- fix API browser side panel links

- fix tab links reference

Ticket: https://pagure.io/freeipa/issue/7137

Signed-off-by: Serhii Tsymbaliuk <stsymbal@redhat.com>

Reviewed-By: Petr Vobornik <pvoborni@redhat.com>

</pre>

</li>

<li>

<strong><a href="https://salsa.debian.org/freeipa-team/freeipa/-/commit/a9e3e40f6910d34aaabadeb4a4e1f30d83a29a5d">a9e3e40f</a></strong>

<div>

<span>by Serhii Tsymbaliuk</span>

<i>at 2020-07-29T17:11:10+02:00</i>

</div>

<pre class="commit-message" style="white-space: pre-wrap; margin: 0;">WebUI tests: Change navigation tests to find menu items using data-name instead of href

Since menu pseudo-links was replaced with real one, navigation tests must be changed to not use href

for searching items.

Ticket: https://pagure.io/freeipa/issue/7137

Signed-off-by: Serhii Tsymbaliuk <stsymbal@redhat.com>

Reviewed-By: Petr Vobornik <pvoborni@redhat.com>

</pre>

</li>

<li>

<strong><a href="https://salsa.debian.org/freeipa-team/freeipa/-/commit/59ad3ae4227fa20f0cd0e76b446bb4cfdc08debf">59ad3ae4</a></strong>

<div>

<span>by François Cami</span>

<i>at 2020-07-29T17:17:15+02:00</i>

</div>

<pre class="commit-message" style="white-space: pre-wrap; margin: 0;">ipatests: re-enable test_sss_ssh_authorizedkeys

Re-enable test_sss_ssh_authorizedkeys.

Related: https://pagure.io/freeipa/issue/8151

Signed-off-by: François Cami <fcami@redhat.com>

Reviewed-By: Armando Neto <abiagion@redhat.com>

</pre>

</li>

<li>

<strong><a href="https://salsa.debian.org/freeipa-team/freeipa/-/commit/cf6877a4864cebc15833b1b6638dcd53cc643712">cf6877a4</a></strong>

<div>

<span>by François Cami</span>

<i>at 2020-07-29T17:17:15+02:00</i>

</div>

<pre class="commit-message" style="white-space: pre-wrap; margin: 0;">ipatests: test_sss_ssh_authorizedkeys

Add debug information to the ssh invocation.

Related: https://pagure.io/freeipa/issue/8151

Signed-off-by: François Cami <fcami@redhat.com>

Reviewed-By: Armando Neto <abiagion@redhat.com>

</pre>

</li>

<li>

<strong><a href="https://salsa.debian.org/freeipa-team/freeipa/-/commit/64ef1a8e727689cd434888ba555a003934986d13">64ef1a8e</a></strong>

<div>

<span>by François Cami</span>

<i>at 2020-07-29T17:22:32+02:00</i>

</div>

<pre class="commit-message" style="white-space: pre-wrap; margin: 0;">ipatests: test_commands: test_login_wrong_password: look farther in time

Sometimes test_login_wrong_password fails because the log window the

string message is searched in is too narrow.

Broaden the window by looking at the past 10 seconds.

Fixes: https://pagure.io/freeipa/issue/8432

Signed-off-by: François Cami <fcami@redhat.com>

Reviewed-By: Rob Crittenden <rcritten@redhat.com>

Reviewed-By: Florence Blanc-Renaud <frenaud@redhat.com>

Reviewed-By: Rob Crittenden <rcritten@redhat.com>

Reviewed-By: Florence Blanc-Renaud <frenaud@redhat.com>

</pre>

</li>

<li>

<strong><a href="https://salsa.debian.org/freeipa-team/freeipa/-/commit/55b7787ef5e71200632bcd2751f228b57312fcb0">55b7787e</a></strong>

<div>

<span>by Stanislav Levin</span>

<i>at 2020-07-29T15:10:00-04:00</i>

</div>

<pre class="commit-message" style="white-space: pre-wrap; margin: 0;">ipatests: Don't turn Pytest IPA deprecation warnings into errors

With new Pytest 6.0 [0]:

> PytestDeprecationWarning are now errors by default.

Following our plan to remove deprecated features with as little disruption as

possible, all warnings of type PytestDeprecationWarning now generate errors

instead of warning messages.

PytestWarnings are no longer marked as the part of public API, but as

internal warnings. It's unsafe to use bare PytestDeprecationWarning,

which is turned into the error on major releases.

[0]: https://github.com/pytest-dev/pytest/releases/tag/6.0.0

Fixes: https://pagure.io/freeipa/issue/8435

Signed-off-by: Stanislav Levin <slev@altlinux.org>

Reviewed-By: Rob Crittenden <rcritten@redhat.com>

</pre>

</li>

<li>

<strong><a href="https://salsa.debian.org/freeipa-team/freeipa/-/commit/66216e908546b45974a4fbf81804b8184d603b78">66216e90</a></strong>

<div>

<span>by Stanislav Levin</span>

<i>at 2020-07-30T10:52:57+02:00</i>

</div>

<pre class="commit-message" style="white-space: pre-wrap; margin: 0;">ipatests: Don't turn Pytest IPA deprecation warnings into errors

With new Pytest 6.0 [0]:

> PytestDeprecationWarning are now errors by default.

Following our plan to remove deprecated features with as little disruption as

possible, all warnings of type PytestDeprecationWarning now generate errors

instead of warning messages.

PytestWarnings are no longer marked as the part of public API, but as

internal warnings. It's unsafe to use bare PytestDeprecationWarning,

which is turned into the error on major releases.

[0]: https://github.com/pytest-dev/pytest/releases/tag/6.0.0

Fixes: https://pagure.io/freeipa/issue/8435

Signed-off-by: Stanislav Levin <slev@altlinux.org>

Reviewed-By: Rob Crittenden <rcritten@redhat.com>

</pre>

</li>

<li>

<strong><a href="https://salsa.debian.org/freeipa-team/freeipa/-/commit/5dd566951198c3bcf0e5860deea4e76a9b8a6dc0">5dd56695</a></strong>

<div>

<span>by Rob Crittenden</span>

<i>at 2020-07-30T10:57:35+02:00</i>

</div>

<pre class="commit-message" style="white-space: pre-wrap; margin: 0;">Replace SSLCertVerificationError with CertificateError for py36

This exception was added in python 3.7. Use CertificateError

instead which is an alias and will work with older python releases.

https://bugzilla.redhat.com/show_bug.cgi?id=1858318

Reviewed-By: Florence Blanc-Renaud <flo@redhat.com>

</pre>

</li>

<li>

<strong><a href="https://salsa.debian.org/freeipa-team/freeipa/-/commit/eec5c9d8206f8ca612677369fdd3fce39205fa32">eec5c9d8</a></strong>

<div>

<span>by Christian Heimes</span>

<i>at 2020-07-30T11:38:25+02:00</i>

</div>

<pre class="commit-message" style="white-space: pre-wrap; margin: 0;">Allow to override ipaplatform with env var

The ipaplatform provider module can now be overriden by setting

IPAPLATFORM_OVERRIDE environment variable.

Fixes: https://pagure.io/freeipa/issue/8401

Signed-off-by: Christian Heimes <cheimes@redhat.com>

Reviewed-By: Alexander Bokovoy <abokovoy@redhat.com>

Reviewed-By: Francois Cami <fcami@redhat.com>

</pre>

</li>

<li>

<strong><a href="https://salsa.debian.org/freeipa-team/freeipa/-/commit/02986ff42b97dceb689abb32cf937da993880ddd">02986ff4</a></strong>

<div>

<span>by Christian Heimes</span>

<i>at 2020-07-30T11:38:25+02:00</i>

</div>

<pre class="commit-message" style="white-space: pre-wrap; margin: 0;">Add ipaplatform for Fedora and RHEL container

Container platforms for Fedora and RHEL simplify FreeIPA container

effort. Paths are based on patches from

https://github.com/freeipa/freeipa-container

Fixes: https://pagure.io/freeipa/issue/8401

Signed-off-by: Christian Heimes <cheimes@redhat.com>

Reviewed-By: Alexander Bokovoy <abokovoy@redhat.com>

Reviewed-By: Francois Cami <fcami@redhat.com>

</pre>

</li>

<li>

<strong><a href="https://salsa.debian.org/freeipa-team/freeipa/-/commit/64b20aad283c6a0a9557e77993b09679a72efa88">64b20aad</a></strong>

<div>

<span>by Christian Heimes</span>

<i>at 2020-07-30T11:38:25+02:00</i>

</div>

<pre class="commit-message" style="white-space: pre-wrap; margin: 0;">Write state dir to smb.conf

smb.conf now sets state and cache directory, then includes the registry.

This also allows us to write the final smb.conf before importing

remaining settings into the Samba registry.

Fixes: https://pagure.io/freeipa/issue/8401

Signed-off-by: Christian Heimes <cheimes@redhat.com>

Reviewed-By: Alexander Bokovoy <abokovoy@redhat.com>

Reviewed-By: Francois Cami <fcami@redhat.com>

</pre>

</li>

<li>

<strong><a href="https://salsa.debian.org/freeipa-team/freeipa/-/commit/664007e031bec3b1c6f4a9518f427e139b026a1e">664007e0</a></strong>

<div>

<span>by Christian Heimes</span>

<i>at 2020-07-30T11:38:25+02:00</i>

</div>

<pre class="commit-message" style="white-space: pre-wrap; margin: 0;">Explicitly pass keytab to ipa-join

ipa-join defaults to /etc/krb5.keytab. Use ``-k paths.KRB5_KEYTAB`` to

write the keytab to /data share in containers.

Signed-off-by: Christian Heimes <cheimes@redhat.com>

Reviewed-By: Alexander Bokovoy <abokovoy@redhat.com>

Reviewed-By: Francois Cami <fcami@redhat.com>

</pre>

</li>

<li>

<strong><a href="https://salsa.debian.org/freeipa-team/freeipa/-/commit/8f6502db03576c92b25f4460fb98d75e0fe68f28">8f6502db</a></strong>

<div>

<span>by Christian Heimes</span>

<i>at 2020-07-30T11:38:25+02:00</i>

</div>

<pre class="commit-message" style="white-space: pre-wrap; margin: 0;">Convert ipa-httpd-pwdreader into Python script

and use paths from ipaplatform.

Fixes: https://pagure.io/freeipa/issue/8401

Signed-off-by: Christian Heimes <cheimes@redhat.com>

Reviewed-By: Alexander Bokovoy <abokovoy@redhat.com>

Reviewed-By: Francois Cami <fcami@redhat.com>

</pre>

</li>

<li>

<strong><a href="https://salsa.debian.org/freeipa-team/freeipa/-/commit/66a5a0efd538e31a190ca6ecb775bc1dfc4ee232">66a5a0ef</a></strong>

<div>

<span>by Rob Crittenden</span>

<i>at 2020-07-30T13:00:52+02:00</i>

</div>

<pre class="commit-message" style="white-space: pre-wrap; margin: 0;">Replace SSLCertVerificationError with CertificateError for py36

This exception was added in python 3.7. Use CertificateError

instead which is an alias and will work with older python releases.

https://bugzilla.redhat.com/show_bug.cgi?id=1858318

Reviewed-By: Florence Blanc-Renaud <flo@redhat.com>

</pre>

</li>

<li>

<strong><a href="https://salsa.debian.org/freeipa-team/freeipa/-/commit/bb2dfbbf0b0e3daf7207bf6605b9f23edb115be5">bb2dfbbf</a></strong>

<div>

<span>by sumenon</span>

<i>at 2020-07-30T13:03:46+02:00</i>

</div>

<pre class="commit-message" style="white-space: pre-wrap; margin: 0;">ipatests: Test IPACertNSSTrust check when trust attributes is modified for specific cert

This test modifies the trust attribute of Server-Cert

and checks that healthcheck tool reports correct status

Reviewed-By: Rob Crittenden <rcritten@redhat.com>

</pre>

</li>

<li>

<strong><a href="https://salsa.debian.org/freeipa-team/freeipa/-/commit/90ae22b8e54fc6108e39ad93f26035446ab728f1">90ae22b8</a></strong>

<div>

<span>by Christian Heimes</span>

<i>at 2020-07-30T13:06:01+02:00</i>

</div>

<pre class="commit-message" style="white-space: pre-wrap; margin: 0;">Allow to override ipaplatform with env var

The ipaplatform provider module can now be overriden by setting

IPAPLATFORM_OVERRIDE environment variable.

Fixes: https://pagure.io/freeipa/issue/8401

Signed-off-by: Christian Heimes <cheimes@redhat.com>

Reviewed-By: Alexander Bokovoy <abokovoy@redhat.com>

Reviewed-By: Francois Cami <fcami@redhat.com>

</pre>

</li>

<li>

<strong><a href="https://salsa.debian.org/freeipa-team/freeipa/-/commit/61807788f40c2596686b79f4bbd4e0e766e995dd">61807788</a></strong>

<div>

<span>by Christian Heimes</span>

<i>at 2020-07-30T13:06:01+02:00</i>

</div>

<pre class="commit-message" style="white-space: pre-wrap; margin: 0;">Add ipaplatform for Fedora and RHEL container

Container platforms for Fedora and RHEL simplify FreeIPA container

effort. Paths are based on patches from

https://github.com/freeipa/freeipa-container

Fixes: https://pagure.io/freeipa/issue/8401

Signed-off-by: Christian Heimes <cheimes@redhat.com>

Reviewed-By: Alexander Bokovoy <abokovoy@redhat.com>

Reviewed-By: Francois Cami <fcami@redhat.com>

</pre>

</li>

<li>

<strong><a href="https://salsa.debian.org/freeipa-team/freeipa/-/commit/c3bf50b1b2611f0dfea699ae7ba134c2857187d9">c3bf50b1</a></strong>

<div>

<span>by Christian Heimes</span>

<i>at 2020-07-30T13:06:01+02:00</i>

</div>

<pre class="commit-message" style="white-space: pre-wrap; margin: 0;">Write state dir to smb.conf

smb.conf now sets state and cache directory, then includes the registry.

This also allows us to write the final smb.conf before importing

remaining settings into the Samba registry.

Fixes: https://pagure.io/freeipa/issue/8401

Signed-off-by: Christian Heimes <cheimes@redhat.com>

Reviewed-By: Alexander Bokovoy <abokovoy@redhat.com>

Reviewed-By: Francois Cami <fcami@redhat.com>

</pre>

</li>

<li>

<strong><a href="https://salsa.debian.org/freeipa-team/freeipa/-/commit/305deb450c564e561b5facafee8ed6966de7bc83">305deb45</a></strong>

<div>

<span>by Christian Heimes</span>

<i>at 2020-07-30T13:06:01+02:00</i>

</div>

<pre class="commit-message" style="white-space: pre-wrap; margin: 0;">Explicitly pass keytab to ipa-join

ipa-join defaults to /etc/krb5.keytab. Use ``-k paths.KRB5_KEYTAB`` to

write the keytab to /data share in containers.

Signed-off-by: Christian Heimes <cheimes@redhat.com>

Reviewed-By: Alexander Bokovoy <abokovoy@redhat.com>

Reviewed-By: Francois Cami <fcami@redhat.com>

</pre>

</li>

<li>

<strong><a href="https://salsa.debian.org/freeipa-team/freeipa/-/commit/c68d14b6be858523c06939c2e7f4f4e3de3221de">c68d14b6</a></strong>

<div>

<span>by Christian Heimes</span>

<i>at 2020-07-30T13:06:01+02:00</i>

</div>

<pre class="commit-message" style="white-space: pre-wrap; margin: 0;">Convert ipa-httpd-pwdreader into Python script

and use paths from ipaplatform.

Fixes: https://pagure.io/freeipa/issue/8401

Signed-off-by: Christian Heimes <cheimes@redhat.com>

Reviewed-By: Alexander Bokovoy <abokovoy@redhat.com>

Reviewed-By: Francois Cami <fcami@redhat.com>

</pre>

</li>

<li>

<strong><a href="https://salsa.debian.org/freeipa-team/freeipa/-/commit/550fbc0b9ff682d15a4f4a89974d0e506430fa8e">550fbc0b</a></strong>

<div>

<span>by Rob Crittenden</span>

<i>at 2020-07-30T13:08:18+02:00</i>

</div>

<pre class="commit-message" style="white-space: pre-wrap; margin: 0;">ipatests: Test cases for healthcheck File checker(s)

These check for modified file ownership (user and group) and

too permissive and restrictive permissions across the three

types of files checked by the healthcheck FileCheck.

This replaces an existing test for TomcatFileCheck which adds

more functionality and consolidates all file checks together.

Signed-off-by: Rob Crittenden <rcritten@redhat.com>

Reviewed-By: Mohammad Rizwan <myusuf@redhat.com>

</pre>

</li>

<li>

<strong><a href="https://salsa.debian.org/freeipa-team/freeipa/-/commit/f12d37724f7801b4bae4feee7c2c4db5474d142e">f12d3772</a></strong>

<div>

<span>by Florence Blanc-Renaud</span>

<i>at 2020-07-30T13:10:39+02:00</i>

</div>

<pre class="commit-message" style="white-space: pre-wrap; margin: 0;">ipa-client-install: use the authselect backup during uninstall

When ipa-client-install is run on a system with no existing

authselect configuration (for instance a fedora 31 new install),

uninstallation is picking sssd profile but this may lead to

a configuration with differences compared to the pre-ipa-client

state.

Now that authselect provides an option to backup the existing

configuration prior to setting a profile, the client install

can save the backup name and uninstall is able to apply the

backup in order to go back to the pre-ipa-client state.

Fixes: https://pagure.io/freeipa/issue/8189

Reviewed-By: Michal Polovka <mpolovka@redhat.com>

Reviewed-By: Francois Cami <fcami@redhat.com>

</pre>

</li>

<li>

<strong><a href="https://salsa.debian.org/freeipa-team/freeipa/-/commit/aac570bb4558798ef0b868a88a3b796361c400ba">aac570bb</a></strong>

<div>

<span>by Florence Blanc-Renaud</span>

<i>at 2020-07-30T13:10:39+02:00</i>

</div>

<pre class="commit-message" style="white-space: pre-wrap; margin: 0;">ipatests: remove the xfail for test_nfs.py

Related: https://pagure.io/freeipa/issue/8189

Reviewed-By: Michal Polovka <mpolovka@redhat.com>

Reviewed-By: Francois Cami <fcami@redhat.com>

</pre>

</li>

<li>

<strong><a href="https://salsa.debian.org/freeipa-team/freeipa/-/commit/143b23cb7598ad51d68be8e08e39b4382d182fee">143b23cb</a></strong>

<div>

<span>by Florence Blanc-Renaud</span>

<i>at 2020-07-30T13:10:39+02:00</i>

</div>

<pre class="commit-message" style="white-space: pre-wrap; margin: 0;">ipatests: fix test_authselect

Before the code fix, install/uninstall on a config without

any authselect profile was not able to restore the exact

state but configured sssd profile instead.

Now that the code is doing a pre-install backup, uninstall

restores the exact state and the test needs to be updated

accordingly.

Related: https://pagure.io/freeipa/issue/8189

Reviewed-By: Michal Polovka <mpolovka@redhat.com>

Reviewed-By: Francois Cami <fcami@redhat.com>

</pre>

</li>

<li>

<strong><a href="https://salsa.debian.org/freeipa-team/freeipa/-/commit/5d9d6348c17f683bf2bda986d2ca0d785a3def17">5d9d6348</a></strong>

<div>

<span>by Serhii Tsymbaliuk</span>

<i>at 2020-07-30T14:24:26+03:00</i>

</div>

<pre class="commit-message" style="white-space: pre-wrap; margin: 0;">WebUI: Fix error "unknown command 'idoverrideuser_add_member'"

There was wrong IPA.associator class used for 'Groups' -> 'User ID overrides' association,

as a result a wrong command was sent to the server.

Ticket: https://pagure.io/freeipa/issue/8416

Signed-off-by: Serhii Tsymbaliuk <stsymbal@redhat.com>

Reviewed-By: Petr Vobornik <pvoborni@redhat.com>

Reviewed-By: Alexander Bokovoy <abokovoy@redhat.com>

</pre>

</li>

<li>

<strong><a href="https://salsa.debian.org/freeipa-team/freeipa/-/commit/bcae2094048609a6cfaecf73d9b611d3d90af44b">bcae2094</a></strong>

<div>

<span>by Serhii Tsymbaliuk</span>

<i>at 2020-07-30T14:24:26+03:00</i>

</div>

<pre class="commit-message" style="white-space: pre-wrap; margin: 0;">WebUI tests: Add test case to cover user ID override feature

The test case includes adding an user ID override to Default Trust View

and adding the ID override to some IPA group.

Ticket: https://pagure.io/freeipa/issue/8416

Signed-off-by: Serhii Tsymbaliuk <stsymbal@redhat.com>

Reviewed-By: Petr Vobornik <pvoborni@redhat.com>

Reviewed-By: Alexander Bokovoy <abokovoy@redhat.com>

</pre>

</li>

<li>

<strong><a href="https://salsa.debian.org/freeipa-team/freeipa/-/commit/06b33007a733861a4e262e001af0a3f10b7061b8">06b33007</a></strong>

<div>

<span>by sumenon</span>

<i>at 2020-07-30T15:53:04+02:00</i>

</div>

<pre class="commit-message" style="white-space: pre-wrap; margin: 0;">ipatests: Test IPACertNSSTrust check when trust attributes is modified for specific cert

This test modifies the trust attribute of Server-Cert

and checks that healthcheck tool reports correct status

Reviewed-By: Rob Crittenden <rcritten@redhat.com>

</pre>

</li>

<li>

<strong><a href="https://salsa.debian.org/freeipa-team/freeipa/-/commit/ca880cfb117fc870a6e2710b9e31b2f67d5651e1">ca880cfb</a></strong>

<div>

<span>by Florence Blanc-Renaud</span>

<i>at 2020-07-30T15:54:48+02:00</i>

</div>

<pre class="commit-message" style="white-space: pre-wrap; margin: 0;">ipa-client-install: use the authselect backup during uninstall

When ipa-client-install is run on a system with no existing

authselect configuration (for instance a fedora 31 new install),

uninstallation is picking sssd profile but this may lead to

a configuration with differences compared to the pre-ipa-client

state.

Now that authselect provides an option to backup the existing

configuration prior to setting a profile, the client install

can save the backup name and uninstall is able to apply the

backup in order to go back to the pre-ipa-client state.

Fixes: https://pagure.io/freeipa/issue/8189

Reviewed-By: Francois Cami <fcami@redhat.com>

Reviewed-By: Michal Polovka <mpolovka@redhat.com>

</pre>

</li>

<li>

<strong><a href="https://salsa.debian.org/freeipa-team/freeipa/-/commit/3eaab97e317584bc47d4a27a607267ed90df7ff7">3eaab97e</a></strong>

<div>

<span>by Florence Blanc-Renaud</span>

<i>at 2020-07-30T15:54:48+02:00</i>

</div>

<pre class="commit-message" style="white-space: pre-wrap; margin: 0;">ipatests: remove the xfail for test_nfs.py

Related: https://pagure.io/freeipa/issue/8189

Reviewed-By: Francois Cami <fcami@redhat.com>

Reviewed-By: Michal Polovka <mpolovka@redhat.com>

</pre>

</li>

<li>

<strong><a href="https://salsa.debian.org/freeipa-team/freeipa/-/commit/4baf6b292f28481ece483bb8ecbd6a0807d9d45a">4baf6b29</a></strong>

<div>

<span>by Florence Blanc-Renaud</span>

<i>at 2020-07-30T15:54:48+02:00</i>

</div>

<pre class="commit-message" style="white-space: pre-wrap; margin: 0;">ipatests: fix test_authselect

Before the code fix, install/uninstall on a config without

any authselect profile was not able to restore the exact

state but configured sssd profile instead.

Now that the code is doing a pre-install backup, uninstall

restores the exact state and the test needs to be updated

accordingly.

Related: https://pagure.io/freeipa/issue/8189

Reviewed-By: Francois Cami <fcami@redhat.com>

Reviewed-By: Michal Polovka <mpolovka@redhat.com>

</pre>

</li>

<li>

<strong><a href="https://salsa.debian.org/freeipa-team/freeipa/-/commit/034526a4bd6a9547cd394d19e5275d24f7f00362">034526a4</a></strong>

<div>

<span>by François Cami</span>

<i>at 2020-07-30T18:02:19+02:00</i>

</div>

<pre class="commit-message" style="white-space: pre-wrap; margin: 0;">tasks: add run_ssh_cmd

Paramiko is not compatible with FIPS.

A replacement is needed, and since what clients use is "ssh",

create a shim over it so that tests can leverage it.

Fixes: https://pagure.io/freeipa/issue/8129

Signed-off-by: François Cami <fcami@redhat.com>

Reviewed-By: Mohammad Rizwan <myusuf@redhat.com>

Reviewed-By: Michal Polovka <mpolovka@redhat.com>

Reviewed-By: Mohammad Rizwan <myusuf@redhat.com>

Reviewed-By: Michal Polovka <mpolovka@redhat.com>

</pre>

</li>

<li>

<strong><a href="https://salsa.debian.org/freeipa-team/freeipa/-/commit/326ddff25e8c45da5ae708e036bfa6315d449672">326ddff2</a></strong>

<div>

<span>by François Cami</span>

<i>at 2020-07-30T18:02:19+02:00</i>

</div>

<pre class="commit-message" style="white-space: pre-wrap; margin: 0;">ipatests: test_commands: test_ssh_key_connection: Paramiko=>OpenSSH

Paramiko is not compatible with FIPS.

Migrate test_ssh_key_connection to the OpenSSH CLI SSH(1).

Rationale: this is exactly what clients use.

Fixes: https://pagure.io/freeipa/issue/8129

Signed-off-by: François Cami <fcami@redhat.com>

Reviewed-By: Mohammad Rizwan <myusuf@redhat.com>

Reviewed-By: Michal Polovka <mpolovka@redhat.com>

Reviewed-By: Mohammad Rizwan <myusuf@redhat.com>

Reviewed-By: Michal Polovka <mpolovka@redhat.com>

</pre>

</li>

<li>

<strong><a href="https://salsa.debian.org/freeipa-team/freeipa/-/commit/26e58031d1f0c63f6e62a59c52d1da80a85ce9bd">26e58031</a></strong>

<div>

<span>by François Cami</span>

<i>at 2020-07-30T18:02:19+02:00</i>

</div>

<pre class="commit-message" style="white-space: pre-wrap; margin: 0;">ipatests: test_user_permissions: test_selinux_user_optimized Paramiko=>OpenSSH

Paramiko is not compatible with FIPS.

Migrate test_selinux_user_optimized to the OpenSSH CLI SSH(1).

Rationale: this is exactly what clients use.

Fixes: https://pagure.io/freeipa/issue/8129

Signed-off-by: François Cami <fcami@redhat.com>

Reviewed-By: Mohammad Rizwan <myusuf@redhat.com>

Reviewed-By: Michal Polovka <mpolovka@redhat.com>

Reviewed-By: Mohammad Rizwan <myusuf@redhat.com>

Reviewed-By: Michal Polovka <mpolovka@redhat.com>

</pre>

</li>

<li>

<strong><a href="https://salsa.debian.org/freeipa-team/freeipa/-/commit/262a7121046132fbb7bb101ecf7d595814757819">262a7121</a></strong>

<div>

<span>by François Cami</span>

<i>at 2020-07-30T18:02:19+02:00</i>

</div>

<pre class="commit-message" style="white-space: pre-wrap; margin: 0;">ipatests: test_commands: test_ssh_from_controller: refactor

test_ssh_from_controller does not use methods provided by tasks.py.

Refactor using those methods.

Related: https://pagure.io/freeipa/issue/8129

Signed-off-by: François Cami <fcami@redhat.com>

Signed-off-by: François Cami <fcami@redhat.com>

Reviewed-By: Mohammad Rizwan <myusuf@redhat.com>

Reviewed-By: Michal Polovka <mpolovka@redhat.com>

Reviewed-By: Mohammad Rizwan <myusuf@redhat.com>

Reviewed-By: Michal Polovka <mpolovka@redhat.com>

</pre>

</li>

<li>

<strong><a href="https://salsa.debian.org/freeipa-team/freeipa/-/commit/ee57dd230191be40a39ef9677b308dee35fa183e">ee57dd23</a></strong>

<div>

<span>by François Cami</span>

<i>at 2020-07-30T18:02:19+02:00</i>

</div>

<pre class="commit-message" style="white-space: pre-wrap; margin: 0;">ipatests: test_commands: test_ssh_from_controller: Paramiko=>OpenSSH

Paramiko is not compatible with FIPS.

Migrate test_ssh_from_controller to the OpenSSH CLI SSH(1).

Rationale: this is exactly what clients use.

Fixes: https://pagure.io/freeipa/issue/8129

Signed-off-by: François Cami <fcami@redhat.com>

Reviewed-By: Mohammad Rizwan <myusuf@redhat.com>

Reviewed-By: Michal Polovka <mpolovka@redhat.com>

Reviewed-By: Mohammad Rizwan <myusuf@redhat.com>

Reviewed-By: Michal Polovka <mpolovka@redhat.com>

</pre>

</li>

<li>

<strong><a href="https://salsa.debian.org/freeipa-team/freeipa/-/commit/17759ec76aeac450ce9c85704b68100df75c8af5">17759ec7</a></strong>

<div>

<span>by François Cami</span>

<i>at 2020-07-30T18:02:19+02:00</i>

</div>

<pre class="commit-message" style="white-space: pre-wrap; margin: 0;">ipatests: test_commands: test_login_wrong_password: Paramiko=>OpenSSH

Paramiko is not compatible with FIPS.

Migrate test_login_wrong_password to the OpenSSH CLI SSH(1).

Rationale: this is exactly what clients use.

Fixes: https://pagure.io/freeipa/issue/8129

Signed-off-by: François Cami <fcami@redhat.com>

Reviewed-By: Mohammad Rizwan <myusuf@redhat.com>

Reviewed-By: Michal Polovka <mpolovka@redhat.com>

Reviewed-By: Mohammad Rizwan <myusuf@redhat.com>

Reviewed-By: Michal Polovka <mpolovka@redhat.com>

</pre>

</li>

<li>

<strong><a href="https://salsa.debian.org/freeipa-team/freeipa/-/commit/027d0bbe1c0bafc326815b6ecc224a8f8fc5bd55">027d0bbe</a></strong>

<div>

<span>by François Cami</span>

<i>at 2020-07-30T18:02:19+02:00</i>

</div>

<pre class="commit-message" style="white-space: pre-wrap; margin: 0;">ipatests: ui_driver: convert run_cmd_on_ui_host to tasks.py::run_ssh_cmd

Paramiko is not compatible with FIPS.

Migrate run_cmd_on_ui_host to the OpenSSH CLI SSH(1) using

tasks.py's run_ssh_cmd.

Rationale: this is exactly what clients use.

Fixes: https://pagure.io/freeipa/issue/8129

Signed-off-by: François Cami <fcami@redhat.com>

Reviewed-By: Mohammad Rizwan <myusuf@redhat.com>

Reviewed-By: Michal Polovka <mpolovka@redhat.com>

Reviewed-By: Mohammad Rizwan <myusuf@redhat.com>

Reviewed-By: Michal Polovka <mpolovka@redhat.com>

</pre>

</li>

<li>

<strong><a href="https://salsa.debian.org/freeipa-team/freeipa/-/commit/b0d4db548cfa14fbc596a40e742db96cd9ec00bb">b0d4db54</a></strong>

<div>

<span>by François Cami</span>

<i>at 2020-07-30T18:02:19+02:00</i>

</div>

<pre class="commit-message" style="white-space: pre-wrap; margin: 0;">ipatests: test_otp: convert test_2fa_enable_single_prompt to run_ssh_cmd

Paramiko is not compatible with FIPS.

Migrate test_2fa_enable_single_prompt to the OpenSSH CLI SSH(1).

Rationale: this is exactly what clients use.

Also add a warning when test_2fa_disable_single_prompt is executed in FIPS mode.

Fixes: https://pagure.io/freeipa/issue/8129

Signed-off-by: François Cami <fcami@redhat.com>

Reviewed-By: Mohammad Rizwan <myusuf@redhat.com>

Reviewed-By: Michal Polovka <mpolovka@redhat.com>

Reviewed-By: Mohammad Rizwan <myusuf@redhat.com>

Reviewed-By: Michal Polovka <mpolovka@redhat.com>

</pre>

</li>

<li>

<strong><a href="https://salsa.debian.org/freeipa-team/freeipa/-/commit/3d3e8a4eabd8112954e7c6bfe9024595b02aee6a">3d3e8a4e</a></strong>

<div>

<span>by Rob Crittenden</span>

<i>at 2020-07-30T18:09:12+02:00</i>

</div>

<pre class="commit-message" style="white-space: pre-wrap; margin: 0;">ipatests: Test cases for healthcheck File checker(s)

These check for modified file ownership (user and group) and

too permissive and restrictive permissions across the three

types of files checked by the healthcheck FileCheck.

This replaces an existing test for TomcatFileCheck which adds

more functionality and consolidates all file checks together.

Signed-off-by: Rob Crittenden <rcritten@redhat.com>

Reviewed-By: Mohammad Rizwan <myusuf@redhat.com>

</pre>

</li>

<li>

<strong><a href="https://salsa.debian.org/freeipa-team/freeipa/-/commit/f6c460aee8542d4d81cd9970d71051c240156973">f6c460ae</a></strong>

<div>

<span>by Serhii Tsymbaliuk</span>

<i>at 2020-07-30T18:10:31+02:00</i>

</div>

<pre class="commit-message" style="white-space: pre-wrap; margin: 0;">WebUI: Fix error "unknown command 'idoverrideuser_add_member'"

There was wrong IPA.associator class used for 'Groups' -> 'User ID overrides' association,

as a result a wrong command was sent to the server.

Ticket: https://pagure.io/freeipa/issue/8416

Signed-off-by: Serhii Tsymbaliuk <stsymbal@redhat.com>

Reviewed-By: Petr Vobornik <pvoborni@redhat.com>

Reviewed-By: Alexander Bokovoy <abokovoy@redhat.com>

</pre>

</li>

<li>

<strong><a href="https://salsa.debian.org/freeipa-team/freeipa/-/commit/e35739b7e9f6bb016b37abbd92bdaee71a59a288">e35739b7</a></strong>

<div>

<span>by Serhii Tsymbaliuk</span>

<i>at 2020-07-30T18:10:31+02:00</i>

</div>

<pre class="commit-message" style="white-space: pre-wrap; margin: 0;">WebUI tests: Add test case to cover user ID override feature

The test case includes adding an user ID override to Default Trust View

and adding the ID override to some IPA group.

Ticket: https://pagure.io/freeipa/issue/8416

Signed-off-by: Serhii Tsymbaliuk <stsymbal@redhat.com>

Reviewed-By: Petr Vobornik <pvoborni@redhat.com>

Reviewed-By: Alexander Bokovoy <abokovoy@redhat.com>

</pre>

</li>

<li>

<strong><a href="https://salsa.debian.org/freeipa-team/freeipa/-/commit/c84b1db80954c4a963f268c62924b69d8ab5c1a2">c84b1db8</a></strong>

<div>

<span>by Rob Crittenden</span>

<i>at 2020-07-30T18:15:05+02:00</i>

</div>

<pre class="commit-message" style="white-space: pre-wrap; margin: 0;">ipatests: Test that healthcheck detects and reports expiration

Set the date forward to while the certificates are still valid and

run healthcheck to confirm that an appropriate warning is made.

This validates two separate checks, one that relies on certmonger

to report expiration and one that relies on the data on disk to

determine expiration in case certmonger is out-of-date for some

reason (belt and suspenders).

Signed-off-by: Rob Crittenden <rcritten@redhat.com>

Reviewed-By: Florence Blanc-Renaud <flo@redhat.com>

</pre>

</li>

<li>

<strong><a href="https://salsa.debian.org/freeipa-team/freeipa/-/commit/07bc5e2598abfd97ac182acef40c3a08e0477009">07bc5e25</a></strong>

<div>

<span>by Rob Crittenden</span>

<i>at 2020-07-30T23:02:24+02:00</i>

</div>

<pre class="commit-message" style="white-space: pre-wrap; margin: 0;">ipatests: Add healthcheck test for FileSystemSpaceCheck

Create a large file in one of the checked filesystems beyond

the allowed threshold and ensure that both the minimum space

and minimum percent errors are reported.

Signed-off-by: Rob Crittenden <rcritten@redhat.com>

Reviewed-By: Mohammad Rizwan <myusuf@redhat.com>

Reviewed-By: Florence Blanc-Renaud <flo@redhat.com>

</pre>

</li>

<li>

<strong><a href="https://salsa.debian.org/freeipa-team/freeipa/-/commit/e1027cc8b14b5ae0bdcc265c640f802800fa8b2a">e1027cc8</a></strong>

<div>

<span>by Rob Crittenden</span>

<i>at 2020-07-30T23:04:03+02:00</i>

</div>

<pre class="commit-message" style="white-space: pre-wrap; margin: 0;">ipatests: verify that all services can be detected by healthcheck

Add fixture to handle restarting services so that if something

goes wrong in the test the service(s) will all be restarted

so that subsequent tests can pass. Services are restarted in

reverse order.

Reviewed-By: Francois Cami <fcami@redhat.com>

Reviewed-By: Florence Blanc-Renaud <flo@redhat.com>

</pre>

</li>

<li>

<strong><a href="https://salsa.debian.org/freeipa-team/freeipa/-/commit/40fe3542054a8543f8ba1f2ec469ef2e44fcd576">40fe3542</a></strong>

<div>

<span>by Rob Crittenden</span>

<i>at 2020-07-30T17:24:49-04:00</i>

</div>

<pre class="commit-message" style="white-space: pre-wrap; margin: 0;">ipatests: Test that healthcheck detects and reports expiration

Set the date forward to while the certificates are still valid and

run healthcheck to confirm that an appropriate warning is made.

This validates two separate checks, one that relies on certmonger

to report expiration and one that relies on the data on disk to

determine expiration in case certmonger is out-of-date for some

reason (belt and suspenders).

Signed-off-by: Rob Crittenden <rcritten@redhat.com>

Reviewed-By: Florence Blanc-Renaud <frenaud@redhat.com>

</pre>

</li>

<li>

<strong><a href="https://salsa.debian.org/freeipa-team/freeipa/-/commit/bdd0c4a7fc589124fa588288bed2c6982e6479e8">bdd0c4a7</a></strong>

<div>

<span>by Rob Crittenden</span>

<i>at 2020-07-31T09:11:28+02:00</i>

</div>

<pre class="commit-message" style="white-space: pre-wrap; margin: 0;">ipatests: verify that all services can be detected by healthcheck

Add fixture to handle restarting services so that if something

goes wrong in the test the service(s) will all be restarted

so that subsequent tests can pass. Services are restarted in

reverse order.

Reviewed-By: Francois Cami <fcami@redhat.com>

Reviewed-By: Florence Blanc-Renaud <flo@redhat.com>

Reviewed-By: Francois Cami <fcami@redhat.com>

Reviewed-By: Florence Blanc-Renaud <flo@redhat.com>

</pre>

</li>

<li>

<strong><a href="https://salsa.debian.org/freeipa-team/freeipa/-/commit/81949c2dda7abb768c0dc23c885f45591d6b787f">81949c2d</a></strong>

<div>

<span>by Rob Crittenden</span>

<i>at 2020-07-31T09:13:08+02:00</i>

</div>

<pre class="commit-message" style="white-space: pre-wrap; margin: 0;">ipatests: Add healthcheck test for FileSystemSpaceCheck

Create a large file in one of the checked filesystems beyond

the allowed threshold and ensure that both the minimum space

and minimum percent errors are reported.

Signed-off-by: Rob Crittenden <rcritten@redhat.com>

Reviewed-By: Mohammad Rizwan <myusuf@redhat.com>

Reviewed-By: Florence Blanc-Renaud <flo@redhat.com>

</pre>

</li>

<li>

<strong><a href="https://salsa.debian.org/freeipa-team/freeipa/-/commit/d238fb4f2bb6525367a73c42a8a238843d5c8b43">d238fb4f</a></strong>

<div>

<span>by Rob Crittenden</span>

<i>at 2020-07-31T12:47:00-04:00</i>

</div>

<pre class="commit-message" style="white-space: pre-wrap; margin: 0;">ipatests: lib389 is now providing healthchecks, update naming

Reviewed-By: Francois Cami <fcami@redhat.com>

</pre>

</li>

<li>

<strong><a href="https://salsa.debian.org/freeipa-team/freeipa/-/commit/61c71e4a62347cd7188e407acc69ce8362857cb4">61c71e4a</a></strong>

<div>

<span>by Rob Crittenden</span>

<i>at 2020-07-31T12:47:00-04:00</i>

</div>

<pre class="commit-message" style="white-space: pre-wrap; margin: 0;">ipatests: Use healthcheck namespacing in stopped server test

The test_run_with_stopped_master() test runs ipactl stop

and then verifies that all the errors relate to the services

not being available. The newly integrated PKI tests also

report errors in this case.

Use the namespacing introduced in freeipa-healthcheck-0.6

to limit the execution to the ipahealthcheck.meta checks

to avoid the spurious PKI errors.

Signed-off-by: Rob Crittenden <rcritten@redhat.com>

Reviewed-By: Francois Cami <fcami@redhat.com>

</pre>

</li>

<li>

<strong><a href="https://salsa.debian.org/freeipa-team/freeipa/-/commit/cf8ef6fd2d275ea50758770c72db7faf4cedf0e3">cf8ef6fd</a></strong>

<div>

<span>by Peter Keresztes Schmidt</span>

<i>at 2020-07-31T17:38:39-04:00</i>

</div>

<pre class="commit-message" style="white-space: pre-wrap; margin: 0;">ipa-backup/restore: remove remaining chdir calls

Closes: https://pagure.io/freeipa/issue/7416

Reviewed-By: Rob Crittenden <rcritten@redhat.com>

</pre>

</li>

<li>

<strong><a href="https://salsa.debian.org/freeipa-team/freeipa/-/commit/d0cdae4836418272d69e572f0327a66a6fd81b35">d0cdae48</a></strong>

<div>

<span>by Rob Crittenden</span>

<i>at 2020-07-31T17:40:22-04:00</i>

</div>

<pre class="commit-message" style="white-space: pre-wrap; margin: 0;">ipatests: lib389 is now providing healthchecks, update naming

Reviewed-By: Francois Cami <fcami@redhat.com>

</pre>

</li>

<li>

<strong><a href="https://salsa.debian.org/freeipa-team/freeipa/-/commit/e91c7bcd76cd41e6dd82bb5571a8299d4ccf67ee">e91c7bcd</a></strong>

<div>

<span>by Rob Crittenden</span>

<i>at 2020-07-31T17:40:22-04:00</i>

</div>

<pre class="commit-message" style="white-space: pre-wrap; margin: 0;">ipatests: Use healthcheck namespacing in stopped server test

The test_run_with_stopped_master() test runs ipactl stop

and then verifies that all the errors relate to the services

not being available. The newly integrated PKI tests also

report errors in this case.

Use the namespacing introduced in freeipa-healthcheck-0.6

to limit the execution to the ipahealthcheck.meta checks

to avoid the spurious PKI errors.

Signed-off-by: Rob Crittenden <rcritten@redhat.com>

Reviewed-By: Francois Cami <fcami@redhat.com>

</pre>

</li>

<li>

<strong><a href="https://salsa.debian.org/freeipa-team/freeipa/-/commit/0a3c98d236758274a719c2beeca2080df1390594">0a3c98d2</a></strong>

<div>

<span>by Florence Blanc-Renaud</span>

<i>at 2020-08-03T19:16:32+02:00</i>

</div>

<pre class="commit-message" style="white-space: pre-wrap; margin: 0;">ipatests: increase test_trust timeout

The integration test test_trust is often failing on timeout.

Add 30 minutes to increase the chances of completion.

Signed-off-by: Florence Blanc-Renaud <flo@redhat.com>

Reviewed-By: Francois Cami <fcami@redhat.com>

</pre>

</li>

<li>

<strong><a href="https://salsa.debian.org/freeipa-team/freeipa/-/commit/9335bd9299e54928a057cbd31de40aca0ef207b2">9335bd92</a></strong>

<div>

<span>by Florence Blanc-Renaud</span>

<i>at 2020-08-03T18:00:08-04:00</i>

</div>

<pre class="commit-message" style="white-space: pre-wrap; margin: 0;">CAless installation: set the perms on KDC cert file

In CA less installation, the KDC certificate file does not have

the expected 644 permissions. As a consequence, WebUI login

fails.

The fix makes sure that the KDC cert file is saved with 644 perms.

Fixes: https://pagure.io/freeipa/issue/8440

Reviewed-By: Rob Crittenden <rcritten@redhat.com>

</pre>

</li>

<li>

<strong><a href="https://salsa.debian.org/freeipa-team/freeipa/-/commit/a26e0ba558aa76323d90b807f2201992d6ee58b4">a26e0ba5</a></strong>

<div>

<span>by Florence Blanc-Renaud</span>

<i>at 2020-08-03T18:00:08-04:00</i>

</div>

<pre class="commit-message" style="white-space: pre-wrap; margin: 0;">ipatests: check KDC cert permissions in CA less install

The KDC certificate file must be stored with 644 permissions.

Add a test checking the file permissions on server + replica.

Related: https://pagure.io/freeipa/issue/8440

Reviewed-By: Rob Crittenden <rcritten@redhat.com>

</pre>

</li>

<li>

<strong><a href="https://salsa.debian.org/freeipa-team/freeipa/-/commit/44259e8e68582e7116f8d5bee6e2c454254de69f">44259e8e</a></strong>

<div>

<span>by Mark Reynolds</span>

<i>at 2020-08-04T10:54:57+03:00</i>

</div>

<pre class="commit-message" style="white-space: pre-wrap; margin: 0;">Issue 8407 - Support changelog integration into main database

Description: Add support for both the old and new replication changelogs.

             First try to get and update the new entry, if it's not found

             then we know we need to update the old global changelog entry.

Fixes: https://pagure.io/freeipa/issue/8407

Signed-off-by: Mark Reynolds <mreynolds@redhat.com>

Fix missing self, and missing arg

Fix copy/paste error

Reviewed-By: Alexander Bokovoy <abokovoy@redhat.com>

</pre>

</li>

<li>

<strong><a href="https://salsa.debian.org/freeipa-team/freeipa/-/commit/81c955e561dd42ab70a39bf636c90e82a9d7d899">81c955e5</a></strong>

<div>

<span>by Florence Blanc-Renaud</span>

<i>at 2020-08-04T09:56:19+02:00</i>

</div>

<pre class="commit-message" style="white-space: pre-wrap; margin: 0;">CAless installation: set the perms on KDC cert file

In CA less installation, the KDC certificate file does not have

the expected 644 permissions. As a consequence, WebUI login

fails.

The fix makes sure that the KDC cert file is saved with 644 perms.

Fixes: https://pagure.io/freeipa/issue/8440

Reviewed-By: Rob Crittenden <rcritten@redhat.com>

</pre>

</li>

<li>

<strong><a href="https://salsa.debian.org/freeipa-team/freeipa/-/commit/295dd4235f693b7b4b4270b46a28cb6e7b3d00b4">295dd423</a></strong>

<div>

<span>by Florence Blanc-Renaud</span>

<i>at 2020-08-04T09:56:19+02:00</i>

</div>

<pre class="commit-message" style="white-space: pre-wrap; margin: 0;">ipatests: check KDC cert permissions in CA less install

The KDC certificate file must be stored with 644 permissions.

Add a test checking the file permissions on server + replica.

Related: https://pagure.io/freeipa/issue/8440

Reviewed-By: Rob Crittenden <rcritten@redhat.com>

</pre>

</li>

<li>

<strong><a href="https://salsa.debian.org/freeipa-team/freeipa/-/commit/55144ab6a18f275ec1472313755e2d07b71bee03">55144ab6</a></strong>

<div>

<span>by Florence Blanc-Renaud</span>

<i>at 2020-08-04T10:06:01+02:00</i>

</div>

<pre class="commit-message" style="white-space: pre-wrap; margin: 0;">ipatests: increase test_trust timeout

The integration test test_trust is often failing on timeout.

Add 30 minutes to increase the chances of completion.

Signed-off-by: Florence Blanc-Renaud <flo@redhat.com>

Reviewed-By: Francois Cami <fcami@redhat.com>

Reviewed-By: Francois Cami <fcami@redhat.com>

</pre>

</li>

<li>

<strong><a href="https://salsa.debian.org/freeipa-team/freeipa/-/commit/0a83d8201a8a7ca56c6173fb643733b350ef5b9b">0a83d820</a></strong>

<div>

<span>by Mark Reynolds</span>

<i>at 2020-08-04T14:39:54+03:00</i>

</div>

<pre class="commit-message" style="white-space: pre-wrap; margin: 0;">Issue 8407 - Support changelog integration into main database

Description: Add support for both the old and new replication changelogs.

             First try to get and update the new entry, if it's not found

             then we know we need to update the old global changelog entry.

Fixes: https://pagure.io/freeipa/issue/8407

Signed-off-by: Mark Reynolds <mreynolds@redhat.com>

Fix missing self, and missing arg

Fix copy/paste error

Reviewed-By: Alexander Bokovoy <abokovoy@redhat.com>

</pre>

</li>

<li>

<strong><a href="https://salsa.debian.org/freeipa-team/freeipa/-/commit/3a42bc0960b8151961dbbce0013c3e28d4078526">3a42bc09</a></strong>

<div>

<span>by Alexander Bokovoy</span>

<i>at 2020-08-04T18:43:22+03:00</i>

</div>

<pre class="commit-message" style="white-space: pre-wrap; margin: 0;">extdom-extop: refactor tests to use unshare+chroot to override nss_files configuration

Unit tests for ipa-extdom-extop plugin use nss_files.so.2 module to test the

functionality instead of relying on SSSD API or nss_sss.so.2 module. The latter

two cannot be used in build environment.

nss_files.so.2 always tries to open /etc/passwd and /etc/group. In past, we

overloaded 'fopen()' to change the path to opened file but this stops working

after glibc consolidate file opening in nss_files with the code starting at

https://sourceware.org/git/?p=glibc.git;a=commitdiff;h=299210c1fa67e2dfb564475986fce11cd33db9ad,

this method is not usable anymore and builds against glibc 2.31.9000+ fail in

cmocka unit test execution in Rawhide.

Apply an alternative approach that uses a new user namespace to unshare the

test from its parent and chroot to the test data where expected /etc/passwd and

/etc/group are provided. This method works only on Linux, thus only run the

unit test on Linux.

In case unshare() or chroot() fail, we have to skip tests that use

nss_files.so.2.

Fixes: https://pagure.io/freeipa/issue/8437

Signed-off-by: Alexander Bokovoy <abokovoy@redhat.com>

Reviewed-By: Rob Crittenden <rcritten@redhat.com>

</pre>

</li>

<li>

<strong><a href="https://salsa.debian.org/freeipa-team/freeipa/-/commit/d55e339df32f35e5e37aad78eebe1bdb0fd2361d">d55e339d</a></strong>

<div>

<span>by Florence Blanc-Renaud</span>

<i>at 2020-08-04T13:34:56-04:00</i>

</div>

<pre class="commit-message" style="white-space: pre-wrap; margin: 0;">ipatests: fix test_ipahealthcheck.py::TestIpaHealthCheck

test_ipa_healthcheck_expiring is assuming that it's executed

on a KRA-less installation, but the test is executed after

test_ipa_healthcheck_no_errors that configures the KRA.

With a KRA install, 12 certs are monitored instead of 9.

Fixes: https://pagure.io/freeipa/issue/8439

Reviewed-By: Rob Crittenden <rcritten@redhat.com>

</pre>

</li>

<li>

<strong><a href="https://salsa.debian.org/freeipa-team/freeipa/-/commit/c81cac70acd304f34f875af5096c407a44f1395b">c81cac70</a></strong>

<div>

<span>by Stanislav Levin</span>

<i>at 2020-08-04T13:47:28-04:00</i>

</div>

<pre class="commit-message" style="white-space: pre-wrap; margin: 0;">pylint: Fix warning and error

- fixed W0612(unused-variable)

- added missing dependency on python-yaml

Fixes: https://pagure.io/freeipa/issue/8442

Signed-off-by: Stanislav Levin <slev@altlinux.org>

Reviewed-By: Rob Crittenden <rcritten@redhat.com>

</pre>

</li>

<li>

<strong><a href="https://salsa.debian.org/freeipa-team/freeipa/-/commit/2fa03c5f583dad5f654669eb59255b0fc2991837">2fa03c5f</a></strong>

<div>

<span>by Florence Blanc-Renaud</span>

<i>at 2020-08-04T15:52:28-04:00</i>

</div>

<pre class="commit-message" style="white-space: pre-wrap; margin: 0;">ipatests: fix test_ipahealthcheck.py::TestIpaHealthCheck

test_ipa_healthcheck_expiring is assuming that it's executed

on a KRA-less installation, but the test is executed after

test_ipa_healthcheck_no_errors that configures the KRA.

With a KRA install, 12 certs are monitored instead of 9.

Fixes: https://pagure.io/freeipa/issue/8439

Reviewed-By: Rob Crittenden <rcritten@redhat.com>

</pre>

</li>

<li>

<strong><a href="https://salsa.debian.org/freeipa-team/freeipa/-/commit/96aa09b947d2b1e50c694853debf2f349197d8a0">96aa09b9</a></strong>

<div>

<span>by Alexander Bokovoy</span>

<i>at 2020-08-04T15:53:12-04:00</i>

</div>

<pre class="commit-message" style="white-space: pre-wrap; margin: 0;">extdom-extop: refactor tests to use unshare+chroot to override nss_files configuration

Unit tests for ipa-extdom-extop plugin use nss_files.so.2 module to test the

functionality instead of relying on SSSD API or nss_sss.so.2 module. The latter

two cannot be used in build environment.

nss_files.so.2 always tries to open /etc/passwd and /etc/group. In past, we

overloaded 'fopen()' to change the path to opened file but this stops working

after glibc consolidate file opening in nss_files with the code starting at

https://sourceware.org/git/?p=glibc.git;a=commitdiff;h=299210c1fa67e2dfb564475986fce11cd33db9ad,

this method is not usable anymore and builds against glibc 2.31.9000+ fail in

cmocka unit test execution in Rawhide.

Apply an alternative approach that uses a new user namespace to unshare the

test from its parent and chroot to the test data where expected /etc/passwd and

/etc/group are provided. This method works only on Linux, thus only run the

unit test on Linux.

In case unshare() or chroot() fail, we have to skip tests that use

nss_files.so.2.

Fixes: https://pagure.io/freeipa/issue/8437

Signed-off-by: Alexander Bokovoy <abokovoy@redhat.com>

Reviewed-By: Rob Crittenden <rcritten@redhat.com>

</pre>

</li>

<li>

<strong><a href="https://salsa.debian.org/freeipa-team/freeipa/-/commit/e4c753dc03c48b8c3509e6077dd7fa5074f73670">e4c753dc</a></strong>

<div>

<span>by Stanislav Levin</span>

<i>at 2020-08-05T11:33:42+03:00</i>

</div>

<pre class="commit-message" style="white-space: pre-wrap; margin: 0;">pylint: Fix warning and error

- fixed W0612(unused-variable)

- added missing dependency on python-yaml

Fixes: https://pagure.io/freeipa/issue/8442

Signed-off-by: Stanislav Levin <slev@altlinux.org>

Reviewed-By: Rob Crittenden <rcritten@redhat.com>

</pre>

</li>

<li>

<strong><a href="https://salsa.debian.org/freeipa-team/freeipa/-/commit/606f1abd05e0cb89ae7bba26272065bc51ea3d1c">606f1abd</a></strong>

<div>

<span>by Florence Blanc-Renaud</span>

<i>at 2020-08-05T14:02:37-04:00</i>

</div>

<pre class="commit-message" style="white-space: pre-wrap; margin: 0;">ipatests: collect IPA_RENEWAL_LOCK file

In order to troubleshoot certmonger timeouts, collect the

file /run/ipa/renewal.lock that is used as cross-process lock

by ipa-server-guard.

Reviewed-By: Rob Crittenden <rcritten@redhat.com>

Reviewed-By: Alexander Bokovoy <abokovoy@redhat.com>

</pre>

</li>

<li>

<strong><a href="https://salsa.debian.org/freeipa-team/freeipa/-/commit/61db3527e31b1d7c7cda15c034c666cc95c17775">61db3527</a></strong>

<div>

<span>by Rob Crittenden</span>

<i>at 2020-08-05T14:04:57-04:00</i>

</div>

<pre class="commit-message" style="white-space: pre-wrap; margin: 0;">ipatests: Test healthcheck revocation checker

Revoke the Apache certificate and ensure that healthcheck properly

reports the problem.

Reviewed-By: Mohammad Rizwan <myusuf@redhat.com>

Reviewed-By: Alexander Bokovoy <abokovoy@redhat.com>

</pre>

</li>

<li>

<strong><a href="https://salsa.debian.org/freeipa-team/freeipa/-/commit/ea288b014414c62389d7b3a7572a665fefc11b0f">ea288b01</a></strong>

<div>

<span>by Rob Crittenden</span>

<i>at 2020-08-05T18:31:38-04:00</i>

</div>

<pre class="commit-message" style="white-space: pre-wrap; margin: 0;">ipatests: Test healthcheck revocation checker

Revoke the Apache certificate and ensure that healthcheck properly

reports the problem.

Reviewed-By: Mohammad Rizwan <myusuf@redhat.com>

Reviewed-By: Alexander Bokovoy <abokovoy@redhat.com>

</pre>

</li>

<li>

<strong><a href="https://salsa.debian.org/freeipa-team/freeipa/-/commit/07341990d962643e421ec1e7f6dd027cf428e0dc">07341990</a></strong>

<div>

<span>by Sergey Orlov</span>

<i>at 2020-08-05T18:33:22-04:00</i>

</div>

<pre class="commit-message" style="white-space: pre-wrap; margin: 0;">Fix password file permission

Invalid permission makes file unreadable by owner if he is not root.

Reviewed-By: Alexander Bokovoy <abokovoy@redhat.com>

</pre>

</li>

<li>

<strong><a href="https://salsa.debian.org/freeipa-team/freeipa/-/commit/ec2b1462899a6b0226dbb68fc7c5ee47db3e33f5">ec2b1462</a></strong>

<div>

<span>by Sergey Orlov</span>

<i>at 2020-08-05T21:39:32-04:00</i>

</div>

<pre class="commit-message" style="white-space: pre-wrap; margin: 0;">Fix password file permission

Invalid permission makes file unreadable by owner if he is not root.

Reviewed-By: Alexander Bokovoy <abokovoy@redhat.com>

</pre>

</li>

<li>

<strong><a href="https://salsa.debian.org/freeipa-team/freeipa/-/commit/ec367aa4792fb14ee21ebd5a8593ed287b598229">ec367aa4</a></strong>

<div>

<span>by Rob Crittenden</span>

<i>at 2020-08-06T12:49:51+02:00</i>

</div>

<pre class="commit-message" style="white-space: pre-wrap; margin: 0;">Set mode of /etc/ipa/ca.crt to 0644 in CA-less installations

It was previously being set to 0444 which triggered a warning

in freeipa-healthcheck.

Even root needs DAC_OVERRIDE capability to write to a 0o444 file

which may not be available in some environments.

https://pagure.io/freeipa/issue/8441

Reviewed-By: Alexander Bokovoy <abokovoy@redhat.com>

</pre>

</li>

<li>

<strong><a href="https://salsa.debian.org/freeipa-team/freeipa/-/commit/7e37b45e029d33ebd865724e7d690a29b30a8ef4">7e37b45e</a></strong>

<div>

<span>by Rob Crittenden</span>

<i>at 2020-08-06T12:49:51+02:00</i>

</div>

<pre class="commit-message" style="white-space: pre-wrap; margin: 0;">ipatests: Check permissions of /etc/ipa/ca.crt new installations

It should be 0644 root:root for both CA-ful and CA-less installs.

https://pagure.io/freeipa/issue/8441

Reviewed-By: Alexander Bokovoy <abokovoy@redhat.com>

</pre>

</li>

<li>

<strong><a href="https://salsa.debian.org/freeipa-team/freeipa/-/commit/0fa8686918f6b79d09ac8fa959fe988f6db633b2">0fa86869</a></strong>

<div>

<span>by Rob Crittenden</span>

<i>at 2020-08-06T14:11:27+02:00</i>

</div>

<pre class="commit-message" style="white-space: pre-wrap; margin: 0;">Simplify determining if an IPA server installation is complete

When asking the quesiton "is my IPA server configured?" right now

we look at whether the installation backed up any files and set

any state. This isn't exactly precise.

Instead set a new state, installation, to True as soon as IPA

is restarted at the end of the installer.

On upgrades existing installations will automatically get this

state.

This relies on the fact that get_state returns None if no state

at all is set. This indicates that this "new" option isn't available

and when upgrading an existing installation we can assume the

install at least partly works.

The value is forced to False at the beginning of a fresh install

so if it fails, or is in a transient state like with an external

CA, we know that the installation is not complete.

https://pagure.io/freeipa/issue/8384

Signed-off-by: Rob Crittenden <rcritten@redhat.com>

Reviewed-By: Alexander Bokovoy <abokovoy@redhat.com>

Reviewed-By: Francois Cami <fcami@redhat.com>

</pre>

</li>

<li>

<strong><a href="https://salsa.debian.org/freeipa-team/freeipa/-/commit/4758db121ea0c555dab89bc1781c8752f188e414">4758db12</a></strong>

<div>

<span>by Rob Crittenden</span>

<i>at 2020-08-06T14:11:27+02:00</i>

</div>

<pre class="commit-message" style="white-space: pre-wrap; margin: 0;">Simplify determining if IPA client configuration is complete

When asking the quesiton "is my IPA client configured?" right now

we look at whether the installation backed up any files and

/etc/ipa/default.conf exists.

Instead set a new state, installation, to True as soon as the

client installation finishes.

Unlike the server there is no upgrade process for clients so this

isn't going to be all that useful for quite some time unless that

changes because upgrading an existing install won't set this

to True.

https://pagure.io/freeipa/issue/8384

Signed-off-by: Rob Crittenden <rcritten@redhat.com>

Reviewed-By: Alexander Bokovoy <abokovoy@redhat.com>

Reviewed-By: Francois Cami <fcami@redhat.com>

</pre>

</li>

<li>

<strong><a href="https://salsa.debian.org/freeipa-team/freeipa/-/commit/d7a4756dac5140d4416312ed92270eb3249c83e3">d7a4756d</a></strong>

<div>

<span>by Rob Crittenden</span>

<i>at 2020-08-06T14:11:27+02:00</i>

</div>

<pre class="commit-message" style="white-space: pre-wrap; margin: 0;">Create a common place to retrieve facts about an IPA installation

This is common to both client and server. Start with whether the

client or server is configured.

https://pagure.io/freeipa/issue/8384

Signed-off-by: Rob Crittenden <rcritten@redhat.com>

Reviewed-By: Alexander Bokovoy <abokovoy@redhat.com>

Reviewed-By: Francois Cami <fcami@redhat.com>

</pre>

</li>

<li>

<strong><a href="https://salsa.debian.org/freeipa-team/freeipa/-/commit/5e027134815512862ad6ae77867e74a83aee2b59">5e027134</a></strong>

<div>

<span>by Rob Crittenden</span>

<i>at 2020-08-06T14:11:27+02:00</i>

</div>

<pre class="commit-message" style="white-space: pre-wrap; margin: 0;">Don't use the has_files() to know if client/server is configured

Use the is_ipa_configure() and is_ipa_client_configured() utilities

instead which are much more robust.

https://pagure.io/freeipa/issue/8384

Signed-off-by: Rob Crittenden <rcritten@redhat.com>

Reviewed-By: Alexander Bokovoy <abokovoy@redhat.com>

Reviewed-By: Francois Cami <fcami@redhat.com>

</pre>

</li>

<li>

<strong><a href="https://salsa.debian.org/freeipa-team/freeipa/-/commit/2c3a042c06b919ff754bfce2ce6e40b9f1827e97">2c3a042c</a></strong>

<div>

<span>by Rob Crittenden</span>

<i>at 2020-08-06T14:11:27+02:00</i>

</div>

<pre class="commit-message" style="white-space: pre-wrap; margin: 0;">Update check_client_configuration to use new client fact

check_client_configuration differs from is_ipa_client_configured

in that it raises an exception if not configured so is a nice

convenience in AdminTool scripts. Port it to call to

is_ipa_client_configured() instead of determining the install

state on its own.

https://pagure.io/freeipa/issue/8384

Signed-off-by: Rob Crittenden <rcritten@redhat.com>

Reviewed-By: Alexander Bokovoy <abokovoy@redhat.com>

Reviewed-By: Francois Cami <fcami@redhat.com>

</pre>

</li>

<li>

<strong><a href="https://salsa.debian.org/freeipa-team/freeipa/-/commit/999485909a0bc654570f05cd2127d86d14d6f25a">99948590</a></strong>

<div>

<span>by Christian Heimes</span>

<i>at 2020-08-06T14:20:54+02:00</i>

</div>

<pre class="commit-message" style="white-space: pre-wrap; margin: 0;">Don't configure authselect in containers

freeipa-container images come with authselect pre-configured. There is

no need to configure, migrate, or restore authselect. The --mkhomedir

option is not supported, too.

Related: https://pagure.io/freeipa/issue/8401

Signed-off-by: Christian Heimes <cheimes@redhat.com>

Reviewed-By: Alexander Bokovoy <abokovoy@redhat.com>

</pre>

</li>

<li>

<strong><a href="https://salsa.debian.org/freeipa-team/freeipa/-/commit/4a97145c3a76a4d9ebf52b3905410a0bd7bec856">4a97145c</a></strong>

<div>

<span>by Rob Crittenden</span>

<i>at 2020-08-06T10:10:50-04:00</i>

</div>

<pre class="commit-message" style="white-space: pre-wrap; margin: 0;">Set mode of /etc/ipa/ca.crt to 0644 in CA-less installations

It was previously being set to 0444 which triggered a warning

in freeipa-healthcheck.

Even root needs DAC_OVERRIDE capability to write to a 0o444 file

which may not be available in some environments.

https://pagure.io/freeipa/issue/8441

Reviewed-By: Alexander Bokovoy <abokovoy@redhat.com>

</pre>

</li>

<li>

<strong><a href="https://salsa.debian.org/freeipa-team/freeipa/-/commit/da2079ce2cc841aec56da872131112eb24326f81">da2079ce</a></strong>

<div>

<span>by Rob Crittenden</span>

<i>at 2020-08-06T10:10:50-04:00</i>

</div>

<pre class="commit-message" style="white-space: pre-wrap; margin: 0;">ipatests: Check permissions of /etc/ipa/ca.crt new installations

It should be 0644 root:root for both CA-ful and CA-less installs.

https://pagure.io/freeipa/issue/8441

Reviewed-By: Alexander Bokovoy <abokovoy@redhat.com>

</pre>

</li>

<li>

<strong><a href="https://salsa.debian.org/freeipa-team/freeipa/-/commit/06a344a5d932db148b1921c03906d2843b3622cb">06a344a5</a></strong>

<div>

<span>by Stanislav Levin</span>

<i>at 2020-08-06T10:13:52-04:00</i>

</div>

<pre class="commit-message" style="white-space: pre-wrap; margin: 0;">ipatests: Add compatibility against python-cryptography 3.0

The recently released python-cryptography 3.0 has backward incompatible

changes. One of them [0] breaks FreeIPA self-tests.

Note: this requires python-cryptography 2.7+.

[0] https://github.com/pyca/cryptography/commit/3b2102af549c1095d5478bb1243ee4cf76b9762b

Fixes: https://pagure.io/freeipa/issue/8428

Signed-off-by: Stanislav Levin <slev@altlinux.org>

Reviewed-By: Christian Heimes <cheimes@redhat.com>

Reviewed-By: Rob Crittenden <rcritten@redhat.com>

Reviewed-By: Alexander Bokovoy <abokovoy@redhat.com>

</pre>

</li>

<li>

<strong><a href="https://salsa.debian.org/freeipa-team/freeipa/-/commit/592f3fe65986077ec0a19158d061a371c86307c7">592f3fe6</a></strong>

<div>

<span>by Kaleemullah Siddiqui</span>

<i>at 2020-08-06T18:43:53+02:00</i>

</div>

<pre class="commit-message" style="white-space: pre-wrap; margin: 0;">Tests for fake_mname parameter setup

fake_mname can be set through dnsserver-mod's --soa-mname-override

option which was not doable through same parameter setup in

/etc/named.conf

https://bugzilla.redhat.com/show_bug.cgi?id=1488732

Signed-off-by: Kaleemullah Siddiqui <ksiddiqu@redhat.com>

Reviewed-By: Alexander Bokovoy <abokovoy@redhat.com>

Reviewed-By: Florence Blanc-Renaud <flo@redhat.com>

</pre>

</li>

<li>

<strong><a href="https://salsa.debian.org/freeipa-team/freeipa/-/commit/6926131f258d82b9a8634e3b292c6ecf83f2a5be">6926131f</a></strong>

<div>

<span>by Christian Heimes</span>

<i>at 2020-08-06T18:46:38+02:00</i>

</div>

<pre class="commit-message" style="white-space: pre-wrap; margin: 0;">Don't configure authselect in containers

freeipa-container images come with authselect pre-configured. There is

no need to configure, migrate, or restore authselect. The --mkhomedir

option is not supported, too.

Related: https://pagure.io/freeipa/issue/8401

Signed-off-by: Christian Heimes <cheimes@redhat.com>

Reviewed-By: Alexander Bokovoy <abokovoy@redhat.com>

</pre>

</li>

<li>

<strong><a href="https://salsa.debian.org/freeipa-team/freeipa/-/commit/a55ccdb12de3f39c49513fea3ed695e4900916f5">a55ccdb1</a></strong>

<div>

<span>by Stanislav Levin</span>

<i>at 2020-08-06T18:49:09+02:00</i>

</div>

<pre class="commit-message" style="white-space: pre-wrap; margin: 0;">ipatests: Add compatibility against python-cryptography 3.0

The recently released python-cryptography 3.0 has backward incompatible

changes. One of them [0] breaks FreeIPA self-tests.

Note: this requires python-cryptography 2.7+.

[0] https://github.com/pyca/cryptography/commit/3b2102af549c1095d5478bb1243ee4cf76b9762b

Fixes: https://pagure.io/freeipa/issue/8428

Signed-off-by: Stanislav Levin <slev@altlinux.org>

Reviewed-By: Christian Heimes <cheimes@redhat.com>

Reviewed-By: Rob Crittenden <rcritten@redhat.com>

Reviewed-By: Alexander Bokovoy <abokovoy@redhat.com>

</pre>

</li>

<li>

<strong><a href="https://salsa.debian.org/freeipa-team/freeipa/-/commit/fbea7a9e232cd5f0d143584871f3798e08bd3d4c">fbea7a9e</a></strong>

<div>

<span>by Timo Aaltonen</span>

<i>at 2020-08-06T22:13:20+03:00</i>

</div>

<pre class="commit-message" style="white-space: pre-wrap; margin: 0;">fix-sssd-socket-activation.diff: Don't add a 'services =' line on sssd.conf. (LP: #1879083)

</pre>

</li>

<li>

<strong><a href="https://salsa.debian.org/freeipa-team/freeipa/-/commit/1a47748499256544e6692ef0578073938015f7ea">1a477484</a></strong>

<div>

<span>by Rob Crittenden</span>

<i>at 2020-08-07T11:12:43+02:00</i>

</div>

<pre class="commit-message" style="white-space: pre-wrap; margin: 0;">Simplify determining if an IPA server installation is complete

When asking the quesiton "is my IPA server configured?" right now

we look at whether the installation backed up any files and set

any state. This isn't exactly precise.

Instead set a new state, installation, to True as soon as IPA

is restarted at the end of the installer.

On upgrades existing installations will automatically get this

state.

This relies on the fact that get_state returns None if no state

at all is set. This indicates that this "new" option isn't available

and when upgrading an existing installation we can assume the

install at least partly works.

The value is forced to False at the beginning of a fresh install

so if it fails, or is in a transient state like with an external

CA, we know that the installation is not complete.

https://pagure.io/freeipa/issue/8384

Signed-off-by: Rob Crittenden <rcritten@redhat.com>

Reviewed-By: Alexander Bokovoy <abokovoy@redhat.com>

Reviewed-By: Francois Cami <fcami@redhat.com>

Reviewed-By: Alexander Bokovoy <abokovoy@redhat.com>

Reviewed-By: Francois Cami <fcami@redhat.com>

Reviewed-By: Florence Blanc-Renaud <flo@redhat.com>

</pre>

</li>

<li>

<strong><a href="https://salsa.debian.org/freeipa-team/freeipa/-/commit/80a7e346a514530ea3af75d2cc338c18ec211537">80a7e346</a></strong>

<div>

<span>by Rob Crittenden</span>

<i>at 2020-08-07T11:12:43+02:00</i>

</div>

<pre class="commit-message" style="white-space: pre-wrap; margin: 0;">Simplify determining if IPA client configuration is complete

When asking the quesiton "is my IPA client configured?" right now

we look at whether the installation backed up any files and

/etc/ipa/default.conf exists.

Instead set a new state, installation, to True as soon as the

client installation finishes.

Unlike the server there is no upgrade process for clients so this

isn't going to be all that useful for quite some time unless that

changes because upgrading an existing install won't set this

to True.

https://pagure.io/freeipa/issue/8384

Signed-off-by: Rob Crittenden <rcritten@redhat.com>

Reviewed-By: Alexander Bokovoy <abokovoy@redhat.com>

Reviewed-By: Francois Cami <fcami@redhat.com>

Reviewed-By: Alexander Bokovoy <abokovoy@redhat.com>

Reviewed-By: Francois Cami <fcami@redhat.com>

Reviewed-By: Florence Blanc-Renaud <flo@redhat.com>

</pre>

</li>

<li>

<strong><a href="https://salsa.debian.org/freeipa-team/freeipa/-/commit/ee755a580c1f136b2501a395116ddf7e43c913b6">ee755a58</a></strong>

<div>

<span>by Rob Crittenden</span>

<i>at 2020-08-07T11:12:43+02:00</i>

</div>

<pre class="commit-message" style="white-space: pre-wrap; margin: 0;">Create a common place to retrieve facts about an IPA installation

This is common to both client and server. Start with whether the

client or server is configured.

https://pagure.io/freeipa/issue/8384

Signed-off-by: Rob Crittenden <rcritten@redhat.com>

Reviewed-By: Alexander Bokovoy <abokovoy@redhat.com>

Reviewed-By: Francois Cami <fcami@redhat.com>

Reviewed-By: Alexander Bokovoy <abokovoy@redhat.com>

Reviewed-By: Francois Cami <fcami@redhat.com>

Reviewed-By: Florence Blanc-Renaud <flo@redhat.com>

</pre>

</li>

<li>

<strong><a href="https://salsa.debian.org/freeipa-team/freeipa/-/commit/cb6c48b21118abb198066126647709b7c9e26e10">cb6c48b2</a></strong>

<div>

<span>by Rob Crittenden</span>

<i>at 2020-08-07T11:12:43+02:00</i>

</div>

<pre class="commit-message" style="white-space: pre-wrap; margin: 0;">Don't use the has_files() to know if client/server is configured

Use the is_ipa_configure() and is_ipa_client_configured() utilities

instead which are much more robust.

https://pagure.io/freeipa/issue/8384

Signed-off-by: Rob Crittenden <rcritten@redhat.com>

Reviewed-By: Alexander Bokovoy <abokovoy@redhat.com>

Reviewed-By: Francois Cami <fcami@redhat.com>

Reviewed-By: Alexander Bokovoy <abokovoy@redhat.com>

Reviewed-By: Francois Cami <fcami@redhat.com>

Reviewed-By: Florence Blanc-Renaud <flo@redhat.com>

</pre>

</li>

<li>

<strong><a href="https://salsa.debian.org/freeipa-team/freeipa/-/commit/b9e4c686634f5ba41f50f0aa0f75b5e214e25a4d">b9e4c686</a></strong>

<div>

<span>by Rob Crittenden</span>

<i>at 2020-08-07T11:12:43+02:00</i>

</div>

<pre class="commit-message" style="white-space: pre-wrap; margin: 0;">Update check_client_configuration to use new client fact

check_client_configuration differs from is_ipa_client_configured

in that it raises an exception if not configured so is a nice

convenience in AdminTool scripts. Port it to call to

is_ipa_client_configured() instead of determining the install

state on its own.

https://pagure.io/freeipa/issue/8384

Signed-off-by: Rob Crittenden <rcritten@redhat.com>

Reviewed-By: Alexander Bokovoy <abokovoy@redhat.com>

Reviewed-By: Francois Cami <fcami@redhat.com>

Reviewed-By: Alexander Bokovoy <abokovoy@redhat.com>

Reviewed-By: Francois Cami <fcami@redhat.com>

Reviewed-By: Florence Blanc-Renaud <flo@redhat.com>

</pre>

</li>

<li>

<strong><a href="https://salsa.debian.org/freeipa-team/freeipa/-/commit/4454af4bf31b73550eb5be2ed14be3e15c585ca3">4454af4b</a></strong>

<div>

<span>by Rob Crittenden</span>

<i>at 2020-08-07T11:12:43+02:00</i>

</div>

<pre class="commit-message" style="white-space: pre-wrap; margin: 0;">Address legacy pylint issues in sysrestore.py

These were triggered because of the movement of sysrestore.py in

the tree

https://pagure.io/freeipa/issue/8384

Reviewed-By: Alexander Bokovoy <abokovoy@redhat.com>

Reviewed-By: Francois Cami <fcami@redhat.com>

Reviewed-By: Florence Blanc-Renaud <flo@redhat.com>

</pre>

</li>

<li>

<strong><a href="https://salsa.debian.org/freeipa-team/freeipa/-/commit/b93f2a70d09f44a64a320ad558c76536e9b625ad">b93f2a70</a></strong>

<div>

<span>by Kaleemullah Siddiqui</span>

<i>at 2020-08-07T12:40:23+02:00</i>

</div>

<pre class="commit-message" style="white-space: pre-wrap; margin: 0;">Tests for fake_mname parameter setup

fake_mname can be set through dnsserver-mod's --soa-mname-override

option which was not doable through same parameter setup in

/etc/named.conf

https://bugzilla.redhat.com/show_bug.cgi?id=1488732

Signed-off-by: Kaleemullah Siddiqui <ksiddiqu@redhat.com>

Reviewed-By: Alexander Bokovoy <abokovoy@redhat.com>

Reviewed-By: Florence Blanc-Renaud <flo@redhat.com>

Signed-off-by: Kaleemullah Siddiqui <ksiddiqu@redhat.com>

Reviewed-By: Alexander Bokovoy <abbra@users.noreply.github.com>

</pre>

</li>

<li>

<strong><a href="https://salsa.debian.org/freeipa-team/freeipa/-/commit/df5526fbc71e9215456287dac396ca8a4d8082e3">df5526fb</a></strong>

<div>

<span>by Peter Keresztes Schmidt</span>

<i>at 2020-08-07T12:42:50+02:00</i>

</div>

<pre class="commit-message" style="white-space: pre-wrap; margin: 0;">WebUI: Make object_class_evaluator evaluator compatible with batch responses

Use data adapter in evaluator to be able to deal with batch

RPC responses.

Related: https://pagure.io/freeipa/issue/8336

Reviewed-By: Alexander Bokovoy <abbra@users.noreply.github.com>

Reviewed-By: Petr Vobornik <pvoborni@redhat.com>

</pre>

</li>

<li>

<strong><a href="https://salsa.debian.org/freeipa-team/freeipa/-/commit/2d87cd4ae1bf0bd7814fb53bcfb8540e479d842b">2d87cd4a</a></strong>

<div>

<span>by Peter Keresztes Schmidt</span>

<i>at 2020-08-07T12:42:50+02:00</i>

</div>

<pre class="commit-message" style="white-space: pre-wrap; margin: 0;">WebUI: Unify adapter property definition for state evaluators

Move adapter property definition to IPA.state_evaluator since it

is used by all evaluators

Related: https://pagure.io/freeipa/issue/8336

Reviewed-By: Alexander Bokovoy <abbra@users.noreply.github.com>

Reviewed-By: Petr Vobornik <pvoborni@redhat.com>

</pre>

</li>

<li>

<strong><a href="https://salsa.debian.org/freeipa-team/freeipa/-/commit/e1750e2a18ed0e537608cfdee7eed3ffa090d443">e1750e2a</a></strong>

<div>

<span>by François Cami</span>

<i>at 2020-08-07T12:50:25+02:00</i>

</div>

<pre class="commit-message" style="white-space: pre-wrap; margin: 0;">ipatests: tasks.py: fix ipa-epn invocation

tasks.py::ipa_epn would previously fail to invoke ipa-epn with

from_nbdays=0.

Related: https://pagure.io/freeipa/issue/8449

Signed-off-by: François Cami <fcami@redhat.com>

Reviewed-By: Rob Crittenden <rcritten@redhat.com>

Reviewed-By: Florence Blanc-Renaud <flo@redhat.com>

</pre>

</li>

<li>

<strong><a href="https://salsa.debian.org/freeipa-team/freeipa/-/commit/41333b631d3ffa8d32d5bd5c2b69f2f51bb62c21">41333b63</a></strong>

<div>

<span>by François Cami</span>

<i>at 2020-08-07T12:50:25+02:00</i>

</div>

<pre class="commit-message" style="white-space: pre-wrap; margin: 0;">ipatests: test_epn: test_EPN_nbdays enhancements

Enhance test_EPN_nbdays so that it checks:

* that no emails get sent when using --dry-run

* that --from-nbdays implies --dry-run

* that --to-nbdays requires --from-nbdays

* illegal inputs for nbdays:

** from-nbdays > to-nbdays

** non-numerical input

** decimal input

Fixes: https://pagure.io/freeipa/issue/8449

Signed-off-by: François Cami <fcami@redhat.com>

Reviewed-By: Rob Crittenden <rcritten@redhat.com>

Reviewed-By: Florence Blanc-Renaud <flo@redhat.com>

</pre>

</li>

<li>

<strong><a href="https://salsa.debian.org/freeipa-team/freeipa/-/commit/2b85bfb03052b56591b06abe62c71e36170dc9a0">2b85bfb0</a></strong>

<div>

<span>by Stanislav Levin</span>

<i>at 2020-08-07T17:49:31+03:00</i>

</div>

<pre class="commit-message" style="white-space: pre-wrap; margin: 0;">Azure: Switch to dockerhub provider

`registry.fedoraproject.org/f32/fedora-toolbox` image is used to build

packages on Azure Pipelines.

registry.fedoraproject.org experiences an availability problem and makes

unstable FreeIPA CI.

Fedora also distributes its official images on https://hub.docker.com/_/fedora.

`fedora:32` is already used by FreeIPA CI to build the image for tests.

Signed-off-by: Stanislav Levin <slev@altlinux.org>

Reviewed-By: Alexander Bokovoy <abokovoy@redhat.com>

Reviewed-By: Francois Cami <fcami@redhat.com>

</pre>

</li>

<li>

<strong><a href="https://salsa.debian.org/freeipa-team/freeipa/-/commit/e5c09675f3c7c2ecb105df4c4ecf846a2d3ffdc4">e5c09675</a></strong>

<div>

<span>by Stanislav Levin</span>

<i>at 2020-08-07T17:49:31+03:00</i>

</div>

<pre class="commit-message" style="white-space: pre-wrap; margin: 0;">ipatests: Skip keyring tests on containerized platforms

The kernel keyrings are not namespaced yet.

Signed-off-by: Stanislav Levin <slev@altlinux.org>

Reviewed-By: Alexander Bokovoy <abokovoy@redhat.com>

Reviewed-By: Francois Cami <fcami@redhat.com>

</pre>

</li>

<li>

<strong><a href="https://salsa.debian.org/freeipa-team/freeipa/-/commit/e89b40071356b1c3050accee54f8332531d9bac2">e89b4007</a></strong>

<div>

<span>by Christian Heimes</span>

<i>at 2020-08-07T17:54:06+03:00</i>

</div>

<pre class="commit-message" style="white-space: pre-wrap; margin: 0;">Treat container subplatforms like main platform

ipa-server-upgrade does not like platform mismatches. Upgrade from an

old container to recent container fails with error message:

```

  IPA server upgrade failed: Inspect /var/log/ipaupgrade.log and run command ipa-server-upgrade manually.

  ("Unable to execute IPA upgrade: platform mismatch (expected 'fedora', current 'fedora_container')", 1)

```

Upgrade state now treats a container subplatform like its main platform.

``fedora_container`` is really a ``fedora`` platform with some paths

redirected to ``/data`` partition.

The patch also enhances debug logging for installer and upgrader.

Related: https://pagure.io/freeipa/issue/8401

Signed-off-by: Christian Heimes <cheimes@redhat.com>

Reviewed-By: Rob Crittenden <rcritten@redhat.com>

Reviewed-By: Alexander Bokovoy <abokovoy@redhat.com>

</pre>

</li>

<li>

<strong><a href="https://salsa.debian.org/freeipa-team/freeipa/-/commit/c89718a60113d1c72fecc3b1549341f2050d6922">c89718a6</a></strong>

<div>

<span>by Stanislav Levin</span>

<i>at 2020-08-07T14:23:07-04:00</i>

</div>

<pre class="commit-message" style="white-space: pre-wrap; margin: 0;">Azure: Switch to dockerhub provider

`registry.fedoraproject.org/f32/fedora-toolbox` image is used to build

packages on Azure Pipelines.

registry.fedoraproject.org experiences an availability problem and makes

unstable FreeIPA CI.

Fedora also distributes its official images on https://hub.docker.com/_/fedora.

`fedora:32` is already used by FreeIPA CI to build the image for tests.

Signed-off-by: Stanislav Levin <slev@altlinux.org>

Reviewed-By: Alexander Bokovoy <abokovoy@redhat.com>

Reviewed-By: Francois Cami <fcami@redhat.com>

</pre>

</li>

<li>

<strong><a href="https://salsa.debian.org/freeipa-team/freeipa/-/commit/50cf90f09398c949797f7fe71ae2075799e14a7f">50cf90f0</a></strong>

<div>

<span>by Stanislav Levin</span>

<i>at 2020-08-07T14:23:07-04:00</i>

</div>

<pre class="commit-message" style="white-space: pre-wrap; margin: 0;">ipatests: Skip keyring tests on containerized platforms

The kernel keyrings are not namespaced yet.

Signed-off-by: Stanislav Levin <slev@altlinux.org>

Reviewed-By: Alexander Bokovoy <abokovoy@redhat.com>

Reviewed-By: Francois Cami <fcami@redhat.com>

</pre>

</li>

<li>

<strong><a href="https://salsa.debian.org/freeipa-team/freeipa/-/commit/9479a393a71fe1de7d62ca2b50a7d3d8698d4ba1">9479a393</a></strong>

<div>

<span>by François Cami</span>

<i>at 2020-08-07T14:24:22-04:00</i>

</div>

<pre class="commit-message" style="white-space: pre-wrap; margin: 0;">ipatests: tasks.py: fix ipa-epn invocation

tasks.py::ipa_epn would previously fail to invoke ipa-epn with

from_nbdays=0.

Related: https://pagure.io/freeipa/issue/8449

Signed-off-by: François Cami <fcami@redhat.com>

Reviewed-By: Rob Crittenden <rcritten@redhat.com>

Reviewed-By: Florence Blanc-Renaud <frenaud@redhat.com>

</pre>

</li>

<li>

<strong><a href="https://salsa.debian.org/freeipa-team/freeipa/-/commit/3b8fdd87760cfb8ec739c67298f012cf0bd3ac39">3b8fdd87</a></strong>

<div>

<span>by François Cami</span>

<i>at 2020-08-07T14:24:22-04:00</i>

</div>

<pre class="commit-message" style="white-space: pre-wrap; margin: 0;">ipatests: test_epn: test_EPN_nbdays enhancements

Enhance test_EPN_nbdays so that it checks:

* that no emails get sent when using --dry-run

* that --from-nbdays implies --dry-run

* that --to-nbdays requires --from-nbdays

* illegal inputs for nbdays:

** from-nbdays > to-nbdays

** non-numerical input

** decimal input

Fixes: https://pagure.io/freeipa/issue/8449

Signed-off-by: François Cami <fcami@redhat.com>

Reviewed-By: Rob Crittenden <rcritten@redhat.com>

Reviewed-By: Florence Blanc-Renaud <frenaud@redhat.com>

</pre>

</li>

<li>

<strong><a href="https://salsa.debian.org/freeipa-team/freeipa/-/commit/0dc084a34fbc6d86348a3a381cb8fa4fd4af43f1">0dc084a3</a></strong>

<div>

<span>by Rob Crittenden</span>

<i>at 2020-08-07T16:44:28-04:00</i>

</div>

<pre class="commit-message" style="white-space: pre-wrap; margin: 0;">Address legacy pylint issues in sysrestore.py

These were triggered because of the movement of sysrestore.py in

the tree

https://pagure.io/freeipa/issue/8384

Reviewed-By: Florence Blanc-Renaud <frenaud@redhat.com>

Reviewed-By: Francois Cami <fcami@redhat.com>

</pre>

</li>

<li>

<strong><a href="https://salsa.debian.org/freeipa-team/freeipa/-/commit/508c5e5d3bd003a854090bae7ebd3dccf74cd6a9">508c5e5d</a></strong>

<div>

<span>by Christian Heimes</span>

<i>at 2020-08-07T16:45:39-04:00</i>

</div>

<pre class="commit-message" style="white-space: pre-wrap; margin: 0;">Treat container subplatforms like main platform

ipa-server-upgrade does not like platform mismatches. Upgrade from an

old container to recent container fails with error message:

```

  IPA server upgrade failed: Inspect /var/log/ipaupgrade.log and run command ipa-server-upgrade manually.

  ("Unable to execute IPA upgrade: platform mismatch (expected 'fedora', current 'fedora_container')", 1)

```

Upgrade state now treats a container subplatform like its main platform.

``fedora_container`` is really a ``fedora`` platform with some paths

redirected to ``/data`` partition.

The patch also enhances debug logging for installer and upgrader.

Related: https://pagure.io/freeipa/issue/8401

Signed-off-by: Christian Heimes <cheimes@redhat.com>

Reviewed-By: Rob Crittenden <rcritten@redhat.com>

Reviewed-By: Alexander Bokovoy <abokovoy@redhat.com>

</pre>

</li>

<li>

<strong><a href="https://salsa.debian.org/freeipa-team/freeipa/-/commit/a0518f7ff6ddc37887970af91c2575c15812fca8">a0518f7f</a></strong>

<div>

<span>by Peter Keresztes Schmidt</span>

<i>at 2020-08-07T16:48:06-04:00</i>

</div>

<pre class="commit-message" style="white-space: pre-wrap; margin: 0;">WebUI: Make object_class_evaluator evaluator compatible with batch responses

Use data adapter in evaluator to be able to deal with batch

RPC responses.

Related: https://pagure.io/freeipa/issue/8336

Reviewed-By: Alexander Bokovoy <abokovoy@redhat.com>

Reviewed-By: Petr Vobornik <pvoborni@redhat.com>

</pre>

</li>

<li>

<strong><a href="https://salsa.debian.org/freeipa-team/freeipa/-/commit/6f9c20ba7585e8f110806596806d292891682932">6f9c20ba</a></strong>

<div>

<span>by Peter Keresztes Schmidt</span>

<i>at 2020-08-07T16:48:06-04:00</i>

</div>

<pre class="commit-message" style="white-space: pre-wrap; margin: 0;">WebUI: Unify adapter property definition for state evaluators

Move adapter property definition to IPA.state_evaluator since it

is used by all evaluators

Related: https://pagure.io/freeipa/issue/8336

Reviewed-By: Alexander Bokovoy <abokovoy@redhat.com>

Reviewed-By: Petr Vobornik <pvoborni@redhat.com>

</pre>

</li>

<li>

<strong><a href="https://salsa.debian.org/freeipa-team/freeipa/-/commit/5fc526b1af9c14cf2809986c0d74d1a2343767b5">5fc526b1</a></strong>

<div>

<span>by François Cami</span>

<i>at 2020-08-07T17:14:24-04:00</i>

</div>

<pre class="commit-message" style="white-space: pre-wrap; margin: 0;">IPA-EPN: Use a helper to retrieve LDAP attributes from an entry

Allow for empty attributes.

Reviewed-By: Francois Cami <fcami@redhat.com>

</pre>

</li>

<li>

<strong><a href="https://salsa.debian.org/freeipa-team/freeipa/-/commit/3bd03ea9d16bbaf66f84e08dffc5c165897bce41">3bd03ea9</a></strong>

<div>

<span>by François Cami</span>

<i>at 2020-08-07T17:14:24-04:00</i>

</div>

<pre class="commit-message" style="white-space: pre-wrap; margin: 0;">IPA-EPN: fix configuration file typo

Signed-off-by: François Cami <fcami@redhat.com>

Reviewed-By: Francois Cami <fcami@redhat.com>

</pre>

</li>

<li>

<strong><a href="https://salsa.debian.org/freeipa-team/freeipa/-/commit/a2bf5958efce503b7655db3c2807f0f8399d5b29">a2bf5958</a></strong>

<div>

<span>by Rob Crittenden</span>

<i>at 2020-08-07T17:14:24-04:00</i>

</div>

<pre class="commit-message" style="white-space: pre-wrap; margin: 0;">IPA-EPN: Test that users without givenname and/or mail are handled

The admin user does not have a givenname by default, allow for that.

Report errors for users without a default e-mail address.

Update the SHA256 hash with the typo fix.

Reviewed-By: Francois Cami <fcami@redhat.com>

</pre>

</li>

<li>

<strong><a href="https://salsa.debian.org/freeipa-team/freeipa/-/commit/f2711321679f99be9a8521f07c81e715bad74b06">f2711321</a></strong>

<div>

<span>by Florence Blanc-Renaud</span>

<i>at 2020-08-10T12:04:41+02:00</i>

</div>

<pre class="commit-message" style="white-space: pre-wrap; margin: 0;">ipatests: fix TestIpaHealthCheckWithoutDNS failure

TestIpaHealthCheckWithoutDNS is launched after

TestIpaHealthCheck::test_ipa_healthcheck_expiring that is playing with

the date. At the end of test_ipa_healthcheck_expiring, the date is

reset using systemctl start chronyd but the date may need time to adjust

and the subsequent tests may be launched with a system date set in the

future.

When this happens, dnf install fails because the certificate for

the package repo is seen as expired, and TestIpaHealthCheckWithoutDNS

fails.

In order to avoid this issue, reset the date to the value saved at the

beginning of the test.

Fixes: https://pagure.io/freeipa/issue/8447

Reviewed-By: Rob Crittenden <rcritten@redhat.com>

</pre>

</li>

<li>

<strong><a href="https://salsa.debian.org/freeipa-team/freeipa/-/commit/b95817e35716bbab000633043817202e17d7c53e">b95817e3</a></strong>

<div>

<span>by François Cami</span>

<i>at 2020-08-10T12:06:59+02:00</i>

</div>

<pre class="commit-message" style="white-space: pre-wrap; margin: 0;">IPA-EPN: Use a helper to retrieve LDAP attributes from an entry

Allow for empty attributes.

Reviewed-By: Francois Cami <fcami@redhat.com>

</pre>

</li>

<li>

<strong><a href="https://salsa.debian.org/freeipa-team/freeipa/-/commit/8e810d8cf38ec60d76178bd673e218fb05d56c8e">8e810d8c</a></strong>

<div>

<span>by François Cami</span>

<i>at 2020-08-10T12:06:59+02:00</i>

</div>

<pre class="commit-message" style="white-space: pre-wrap; margin: 0;">IPA-EPN: fix configuration file typo

Signed-off-by: François Cami <fcami@redhat.com>

Reviewed-By: Francois Cami <fcami@redhat.com>

</pre>

</li>

<li>

<strong><a href="https://salsa.debian.org/freeipa-team/freeipa/-/commit/1b1dbcbe9d83ba35f3cfdd01399f123816ec6e5b">1b1dbcbe</a></strong>

<div>

<span>by Rob Crittenden</span>

<i>at 2020-08-10T12:06:59+02:00</i>

</div>

<pre class="commit-message" style="white-space: pre-wrap; margin: 0;">IPA-EPN: Test that users without givenname and/or mail are handled

The admin user does not have a givenname by default, allow for that.

Report errors for users without a default e-mail address.

Update the SHA256 hash with the typo fix.

Reviewed-By: Francois Cami <fcami@redhat.com>

</pre>

</li>

<li>

<strong><a href="https://salsa.debian.org/freeipa-team/freeipa/-/commit/c4bd1f17a8aaa65482a6b28c1d6ed0f8ee94f667">c4bd1f17</a></strong>

<div>

<span>by Florence Blanc-Renaud</span>

<i>at 2020-08-10T13:41:27+02:00</i>

</div>

<pre class="commit-message" style="white-space: pre-wrap; margin: 0;">ipatests: fix TestIpaHealthCheckWithoutDNS failure

TestIpaHealthCheckWithoutDNS is launched after

TestIpaHealthCheck::test_ipa_healthcheck_expiring that is playing with

the date. At the end of test_ipa_healthcheck_expiring, the date is

reset using systemctl start chronyd but the date may need time to adjust

and the subsequent tests may be launched with a system date set in the

future.

When this happens, dnf install fails because the certificate for

the package repo is seen as expired, and TestIpaHealthCheckWithoutDNS

fails.

In order to avoid this issue, reset the date to the value saved at the

beginning of the test.

Fixes: https://pagure.io/freeipa/issue/8447

Reviewed-By: Rob Crittenden <rcritten@redhat.com>

</pre>

</li>

<li>

<strong><a href="https://salsa.debian.org/freeipa-team/freeipa/-/commit/6edf648d7bb368b1703bd2796d4cb090db64577a">6edf648d</a></strong>

<div>

<span>by François Cami</span>

<i>at 2020-08-10T09:02:59-04:00</i>

</div>

<pre class="commit-message" style="white-space: pre-wrap; margin: 0;">ipatests: test_epn: add test_EPN_connection_refused

Add a test for EPN behavior when the configured SMTP does not

accept connections.

Fixes: https://pagure.io/freeipa/issue/8445

Signed-off-by: François Cami <fcami@redhat.com>

Reviewed-By: Florence Blanc-Renaud <frenaud@redhat.com>

Reviewed-By: Rob Crittenden <rcritten@redhat.com>

</pre>

</li>

<li>

<strong><a href="https://salsa.debian.org/freeipa-team/freeipa/-/commit/22cf65b09a56d94857aa8253ae2b79c34f82b0b8">22cf65b0</a></strong>

<div>

<span>by François Cami</span>

<i>at 2020-08-10T09:02:59-04:00</i>

</div>

<pre class="commit-message" style="white-space: pre-wrap; margin: 0;">IPA-EPN: Fix SMTP connection error handling

Enhance error message when SMTP is down.

Fixes: https://pagure.io/freeipa/issue/8445

Signed-off-by: François Cami <fcami@redhat.com>

Reviewed-By: Florence Blanc-Renaud <frenaud@redhat.com>

Reviewed-By: Rob Crittenden <rcritten@redhat.com>

</pre>

</li>

<li>

<strong><a href="https://salsa.debian.org/freeipa-team/freeipa/-/commit/c5853768a778069945237e0a039715d89e16a94e">c5853768</a></strong>

<div>

<span>by Rob Crittenden</span>

<i>at 2020-08-10T11:49:57-04:00</i>

</div>

<pre class="commit-message" style="white-space: pre-wrap; margin: 0;">ipatests: CLI validation of ipa-healthcheck command

Test for illegal input values.

Reviewed-By: Mohammad Rizwan <myusuf@redhat.com>

</pre>

</li>

<li>

<strong><a href="https://salsa.debian.org/freeipa-team/freeipa/-/commit/143dea18fe9bc2ebc65a8dbdcfa44d331adc161c">143dea18</a></strong>

<div>

<span>by Rob Crittenden</span>

<i>at 2020-08-10T11:49:57-04:00</i>

</div>

<pre class="commit-message" style="white-space: pre-wrap; margin: 0;">Added negative test case for --list-sources option

Negative test test_append_arguments_to_list_sources added

to --list-sources

Signed-off-by: Kaleemullah Siddiqui <ksiddiqu@redhat.com>

Reviewed-By: Mohammad Rizwan <myusuf@redhat.com>

</pre>

</li>

<li>

<strong><a href="https://salsa.debian.org/freeipa-team/freeipa/-/commit/3cf7fb1014ae40fd5a5278f27577a8196a4af051">3cf7fb10</a></strong>

<div>

<span>by François Cami</span>

<i>at 2020-08-10T11:52:07-04:00</i>

</div>

<pre class="commit-message" style="white-space: pre-wrap; margin: 0;">ipatests: test_epn: add test_EPN_connection_refused

Add a test for EPN behavior when the configured SMTP does not

accept connections.

Fixes: https://pagure.io/freeipa/issue/8445

Signed-off-by: François Cami <fcami@redhat.com>

Reviewed-By: Florence Blanc-Renaud <frenaud@redhat.com>

Reviewed-By: Rob Crittenden <rcritten@redhat.com>

</pre>

</li>

<li>

<strong><a href="https://salsa.debian.org/freeipa-team/freeipa/-/commit/53f330b053740b169d211aa16b3b36fb61157bbd">53f330b0</a></strong>

<div>

<span>by François Cami</span>

<i>at 2020-08-10T11:52:07-04:00</i>

</div>

<pre class="commit-message" style="white-space: pre-wrap; margin: 0;">IPA-EPN: Fix SMTP connection error handling

Enhance error message when SMTP is down.

Fixes: https://pagure.io/freeipa/issue/8445

Signed-off-by: François Cami <fcami@redhat.com>

Reviewed-By: Florence Blanc-Renaud <frenaud@redhat.com>

Reviewed-By: Rob Crittenden <rcritten@redhat.com>

</pre>

</li>

<li>

<strong><a href="https://salsa.debian.org/freeipa-team/freeipa/-/commit/8e460c68569074a59463771291dcff6a13fa9796">8e460c68</a></strong>

<div>

<span>by Rob Crittenden</span>

<i>at 2020-08-10T15:36:47-04:00</i>

</div>

<pre class="commit-message" style="white-space: pre-wrap; margin: 0;">ipatests: CLI validation of ipa-healthcheck command

Test for illegal input values.

Reviewed-By: Mohammad Rizwan <myusuf@redhat.com>

</pre>

</li>

<li>

<strong><a href="https://salsa.debian.org/freeipa-team/freeipa/-/commit/d6c425613f4a978bd77f6f6a6b94a910f9fa3fe0">d6c42561</a></strong>

<div>

<span>by Rob Crittenden</span>

<i>at 2020-08-10T15:36:47-04:00</i>

</div>

<pre class="commit-message" style="white-space: pre-wrap; margin: 0;">Added negative test case for --list-sources option

Negative test test_append_arguments_to_list_sources added

to --list-sources

Signed-off-by: Kaleemullah Siddiqui <ksiddiqu@redhat.com>

Reviewed-By: Mohammad Rizwan <myusuf@redhat.com>

</pre>

</li>

<li>

<strong><a href="https://salsa.debian.org/freeipa-team/freeipa/-/commit/97006786dfed7947aaa96737201ef7e0e53dd952">97006786</a></strong>

<div>

<span>by François Cami</span>

<i>at 2020-08-12T09:02:08-04:00</i>

</div>

<pre class="commit-message" style="white-space: pre-wrap; margin: 0;">IPA-EPN: enhance input validation

Enhance input validation:

* make sure --from-nbdays and --to-nbdays are integer

* make sure --from-nbdays < --to-nbdays

Fixes: https://pagure.io/freeipa/issue/8444

Signed-off-by: François Cami <fcami@redhat.com>

Reviewed-By: Rob Crittenden <rcritten@redhat.com>

Reviewed-By: Florence Blanc-Renaud <frenaud@redhat.com>

</pre>

</li>

<li>

<strong><a href="https://salsa.debian.org/freeipa-team/freeipa/-/commit/5452f020f93d57a48c4ae34675cc7e480b66fccf">5452f020</a></strong>

<div>

<span>by François Cami</span>

<i>at 2020-08-12T09:02:08-04:00</i>

</div>

<pre class="commit-message" style="white-space: pre-wrap; margin: 0;">ipatests: test_epn: update error messages

Update error messages in the test.

Fixes: https://pagure.io/freeipa/issue/8449

Signed-off-by: François Cami <fcami@redhat.com>

Reviewed-By: Rob Crittenden <rcritten@redhat.com>

Reviewed-By: Florence Blanc-Renaud <frenaud@redhat.com>

</pre>

</li>

<li>

<strong><a href="https://salsa.debian.org/freeipa-team/freeipa/-/commit/6755af97a0c889c705e76207fb0db5656e97e62a">6755af97</a></strong>

<div>

<span>by Timo Aaltonen</span>

<i>at 2020-08-15T10:19:42+03:00</i>

</div>

<pre class="commit-message" style="white-space: pre-wrap; margin: 0;">fix freeipa-client-epn dependencies

</pre>

</li>

<li>

<strong><a href="https://salsa.debian.org/freeipa-team/freeipa/-/commit/045e0c81c1ee3524f945a1fe4cd305ddb1730968">045e0c81</a></strong>

<div>

<span>by Timo Aaltonen</span>

<i>at 2020-08-15T10:20:00+03:00</i>

</div>

<pre class="commit-message" style="white-space: pre-wrap; margin: 0;">sources: Fix some lintian errors.

</pre>

</li>

<li>

<strong><a href="https://salsa.debian.org/freeipa-team/freeipa/-/commit/b4266023e04729db12de2f7e0de4da9e1d00db38">b4266023</a></strong>

<div>

<span>by François Cami</span>

<i>at 2020-08-16T16:11:06-04:00</i>

</div>

<pre class="commit-message" style="white-space: pre-wrap; margin: 0;">ipatests: test_epn: update error messages

Update error messages in the test.

Fixes: https://pagure.io/freeipa/issue/8449

Signed-off-by: François Cami <fcami@redhat.com>

Reviewed-By: Rob Crittenden <rcritten@redhat.com>

Reviewed-By: Florence Blanc-Renaud <frenaud@redhat.com>

Reviewed-By: Rob Crittenden <rcritten@redhat.com>

Reviewed-By: Florence Blanc-Renaud <frenaud@redhat.com>

</pre>

</li>

<li>

<strong><a href="https://salsa.debian.org/freeipa-team/freeipa/-/commit/2809084a44e3b174fa48a611e79f04358e1d6dca">2809084a</a></strong>

<div>

<span>by François Cami</span>

<i>at 2020-08-16T16:11:06-04:00</i>

</div>

<pre class="commit-message" style="white-space: pre-wrap; margin: 0;">IPA-EPN: enhance input validation

Enhance input validation:

* make sure --from-nbdays and --to-nbdays are integer

* make sure --from-nbdays < --to-nbdays

Fixes: https://pagure.io/freeipa/issue/8444

Signed-off-by: François Cami <fcami@redhat.com>

Reviewed-By: Rob Crittenden <rcritten@redhat.com>

Reviewed-By: Florence Blanc-Renaud <frenaud@redhat.com>

Reviewed-By: Rob Crittenden <rcritten@redhat.com>

Reviewed-By: Florence Blanc-Renaud <frenaud@redhat.com>

</pre>

</li>

<li>

<strong><a href="https://salsa.debian.org/freeipa-team/freeipa/-/commit/400ef3aa2c1ea74da22547aa7ca1c20fdc6cb211">400ef3aa</a></strong>

<div>

<span>by sumenon</span>

<i>at 2020-08-17T09:07:12+02:00</i>

</div>

<pre class="commit-message" style="white-space: pre-wrap; margin: 0;">ipatests: Tests for ipahealthcheck tool with IPA external

This testsuite checks whether the healthcheck tool reports

correct status in a scenario when IPA server is setup with

external self-signed CA. Below are the checks covered

IPACRLManagerCheck

IPACertmongerCA

IPAOpenSSLChainValidation

IPANSSChainValidation

IPARAAgent

Reviewed-By: Rob Crittenden <rcritten@redhat.com>

Reviewed-By: Florence Blanc-Renaud <flo@redhat.com>

Reviewed-By: Mohammad Rizwan <myusuf@redhat.com>

</pre>

</li>

<li>

<strong><a href="https://salsa.debian.org/freeipa-team/freeipa/-/commit/7642ce35828025cd292f0e7785b93455ae4684d2">7642ce35</a></strong>

<div>

<span>by sumenon</span>

<i>at 2020-08-17T09:07:12+02:00</i>

</div>

<pre class="commit-message" style="white-space: pre-wrap; margin: 0;">Modified nightly YAML files to include ipa-healthcheck ExternalCA Tests

Reviewed-By: Rob Crittenden <rcritten@redhat.com>

Reviewed-By: Florence Blanc-Renaud <flo@redhat.com>

Reviewed-By: Mohammad Rizwan <myusuf@redhat.com>

</pre>

</li>

<li>

<strong><a href="https://salsa.debian.org/freeipa-team/freeipa/-/commit/777147e051d71ebfbac23269cf78fcb23a3b1f43">777147e0</a></strong>

<div>

<span>by Stanislav Levin</span>

<i>at 2020-08-17T10:40:44+02:00</i>

</div>

<pre class="commit-message" style="white-space: pre-wrap; margin: 0;">rpm-spec: Don't fail on missing /etc/ssh/ssh_config

openssh-clients is not a strict requirement of freeipa-client

package and if it's missing then this case should be handled in

post scriptlet of freeipa-client package. Otherwise, the remaining

part of that scriptlet will not be run at all.

Fixes: https://pagure.io/freeipa/issue/8459

Signed-off-by: Stanislav Levin <slev@altlinux.org>

Reviewed-By: Rob Crittenden <rcritten@redhat.com>

Reviewed-By: Alexander Bokovoy <abokovoy@redhat.com>

</pre>

</li>

<li>

<strong><a href="https://salsa.debian.org/freeipa-team/freeipa/-/commit/b9ae7c45b8b99a3c8aefc0c962e4563c43e51e99">b9ae7c45</a></strong>

<div>

<span>by Mark Reynolds</span>

<i>at 2020-08-17T10:44:03+02:00</i>

</div>

<pre class="commit-message" style="white-space: pre-wrap; margin: 0;">Issue 8456 - Add new aci's for the new replication changelog entries

Description:  We need a read and a write aci for the new changelog location,

              which was moved from cn=changelog5,cn=config to

              cn=changelog,cn=BACKEND,cn=ldbm database,cn=plguins,cn=config

              The read aci allows the replica hostgroup entry to find and

              read the changelog confguration, and the write allows the replica

              to update the changelog with a proper trimming settings.

Fixes: https://pagure.io/freeipa/issue/8456

Signed-off-by: Mark Reynolds <mreynolds@redhat.com>

Reviewed-By: Rob Crittenden <rcritten@redhat.com>

Reviewed-By: Florence Blanc-Renaud <flo@redhat.com>

Reviewed-By: Alexander Bokovoy <abokovoy@redhat.com>

</pre>

</li>

<li>

<strong><a href="https://salsa.debian.org/freeipa-team/freeipa/-/commit/89d86dac0a13063a11deaa8ef31f9fb2fcbc1ff7">89d86dac</a></strong>

<div>

<span>by Stanislav Levin</span>

<i>at 2020-08-17T10:46:23+02:00</i>

</div>

<pre class="commit-message" style="white-space: pre-wrap; margin: 0;">uninstall: Don't fail on missing /var/lib/samba

On some distros freeipa-server package may not depend on

`/var/lib/samba` directory. In this case an uninstallation of

ipaserver fails.

Fixes: https://pagure.io/freeipa/issue/8461

Signed-off-by: Stanislav Levin <slev@altlinux.org>

Reviewed-By: Alexander Bokovoy <abokovoy@redhat.com>

</pre>

</li>

<li>

<strong><a href="https://salsa.debian.org/freeipa-team/freeipa/-/commit/5c1e44830048f5b13656349c63b5319a536e3a8d">5c1e4483</a></strong>

<div>

<span>by Stanislav Levin</span>

<i>at 2020-08-17T10:46:23+02:00</i>

</div>

<pre class="commit-message" style="white-space: pre-wrap; margin: 0;">uninstall: Clean up no longer used flag

The `_server_trust_ad_installed` was added as a flag which

indicates that `freeipa-server-trust-ad` package is installed.

Later, `ipaserver/install/adtrustinstance.py` module was moved out

into `freeipa-server` package and the import became unconditionally

successful.

Fixes: https://pagure.io/freeipa/issue/8461

Signed-off-by: Stanislav Levin <slev@altlinux.org>

Reviewed-By: Alexander Bokovoy <abokovoy@redhat.com>

</pre>

</li>

<li>

<strong><a href="https://salsa.debian.org/freeipa-team/freeipa/-/commit/03a5e5f35ff09b34474d28b5ec3704a2aa0b31b8">03a5e5f3</a></strong>

<div>

<span>by Stanislav Levin</span>

<i>at 2020-08-17T10:46:23+02:00</i>

</div>

<pre class="commit-message" style="white-space: pre-wrap; margin: 0;">spec: Move ipa-cldap plugin out to freeipa-server-trust-ad package

This ns-slapd plugin is used as a CLDAP server which responses to

AD DCs with an information about IPA domain. So, logically it

belongs to freeipa-server-trust-ad package.

Signed-off-by: Stanislav Levin <slev@altlinux.org>

Reviewed-By: Alexander Bokovoy <abokovoy@redhat.com>

</pre>

</li>

<li>

<strong><a href="https://salsa.debian.org/freeipa-team/freeipa/-/commit/8f19233d910237fbfd68c2c50bd31e13a49f8ff3">8f19233d</a></strong>

<div>

<span>by sumenon</span>

<i>at 2020-08-17T09:59:24-04:00</i>

</div>

<pre class="commit-message" style="white-space: pre-wrap; margin: 0;">ipatests: Tests for ipahealthcheck tool with IPA external

This testsuite checks whether the healthcheck tool reports

correct status in a scenario when IPA server is setup with

external self-signed CA. Below are the checks covered

IPACRLManagerCheck

IPACertmongerCA

IPAOpenSSLChainValidation

IPANSSChainValidation

IPARAAgent

Reviewed-By: Rob Crittenden <rcritten@redhat.com>

Reviewed-By: Florence Blanc-Renaud <flo@redhat.com>

Reviewed-By: Mohammad Rizwan <myusuf@redhat.com>

Reviewed-By: Rob Crittenden <rcritten@redhat.com>

Reviewed-By: Florence Blanc-Renaud <frenaud@redhat.com>

Reviewed-By: Mohammad Rizwan <myusuf@redhat.com>

</pre>

</li>

<li>

<strong><a href="https://salsa.debian.org/freeipa-team/freeipa/-/commit/4da4dd8d7b03164c29e25e6a2b58c9e8fda39062">4da4dd8d</a></strong>

<div>

<span>by sumenon</span>

<i>at 2020-08-17T09:59:24-04:00</i>

</div>

<pre class="commit-message" style="white-space: pre-wrap; margin: 0;">Modified YAML files to include healthcheck externalCA tests

Reviewed-By: Rob Crittenden <rcritten@redhat.com>

Reviewed-By: Florence Blanc-Renaud <frenaud@redhat.com>

Reviewed-By: Mohammad Rizwan <myusuf@redhat.com>

</pre>

</li>

<li>

<strong><a href="https://salsa.debian.org/freeipa-team/freeipa/-/commit/dbf1d858449ff37dbbe73f3853f98578b236615a">dbf1d858</a></strong>

<div>

<span>by Stanislav Levin</span>

<i>at 2020-08-17T14:32:53-04:00</i>

</div>

<pre class="commit-message" style="white-space: pre-wrap; margin: 0;">rpm-spec: Don't fail on missing /etc/ssh/ssh_config

openssh-clients is not a strict requirement of freeipa-client

package and if it's missing then this case should be handled in

post scriptlet of freeipa-client package. Otherwise, the remaining

part of that scriptlet will not be run at all.

Fixes: https://pagure.io/freeipa/issue/8459

Signed-off-by: Stanislav Levin <slev@altlinux.org>

Reviewed-By: Rob Crittenden <rcritten@redhat.com>

Reviewed-By: Alexander Bokovoy <abokovoy@redhat.com>

</pre>

</li>

<li>

<strong><a href="https://salsa.debian.org/freeipa-team/freeipa/-/commit/c2f8c84a74c2aa007027261f052131fcc7041cb4">c2f8c84a</a></strong>

<div>

<span>by Mark Reynolds</span>

<i>at 2020-08-17T14:35:05-04:00</i>

</div>

<pre class="commit-message" style="white-space: pre-wrap; margin: 0;">Issue 8456 - Add new aci's for the new replication changelog entries

Description:  We need a read and a write aci for the new changelog location,

              which was moved from cn=changelog5,cn=config to

              cn=changelog,cn=BACKEND,cn=ldbm database,cn=plguins,cn=config

              The read aci allows the replica hostgroup entry to find and

              read the changelog confguration, and the write allows the replica

              to update the changelog with a proper trimming settings.

Fixes: https://pagure.io/freeipa/issue/8456

Signed-off-by: Mark Reynolds <mreynolds@redhat.com>

Reviewed-By: Rob Crittenden <rcritten@redhat.com>

Reviewed-By: Florence Blanc-Renaud <frenaud@redhat.com>

Reviewed-By: Alexander Bokovoy <abokovoy@redhat.com>

</pre>

</li>

<li>

<strong><a href="https://salsa.debian.org/freeipa-team/freeipa/-/commit/f7a6c468ca25073f9cb83c174851a9e17779b943">f7a6c468</a></strong>

<div>

<span>by Florence Blanc-Renaud</span>

<i>at 2020-08-17T14:36:16-04:00</i>

</div>

<pre class="commit-message" style="white-space: pre-wrap; margin: 0;">ipatests: remove xfail from test_dnssec

The nightly test test_dnssec.py::TestInstallDNSSECFirst::test_chain_of_trust

used to fail because of https://github.com/rthalley/dnspython/issues/343,

but the issue has been fixed upstream and does not happen any more since

PRCI is using python3-dns-1.16.0-7.

Remove the xfail.

Reviewed-By: Mohammad Rizwan <myusuf@redhat.com>

</pre>

</li>

<li>

<strong><a href="https://salsa.debian.org/freeipa-team/freeipa/-/commit/af5138c2aa80c85b9994eb2891d2f1ec1e2cad01">af5138c2</a></strong>

<div>

<span>by Rob Crittenden</span>

<i>at 2020-08-18T11:06:04+02:00</i>

</div>

<pre class="commit-message" style="white-space: pre-wrap; margin: 0;">IPA-EPN: Test that EPN can be install, uninstalled and re-installed

Verify that no cruft is left over that will prevent reinstallation

if it is uninstalled.

Reviewed-By: Francois Cami <fcami@redhat.com>

Reviewed-By: Alexander Bokovoy <abbra@users.noreply.github.com>

</pre>

</li>

<li>

<strong><a href="https://salsa.debian.org/freeipa-team/freeipa/-/commit/a8d5e6bbfe03070925c85793ac898299d543a3d4">a8d5e6bb</a></strong>

<div>

<span>by Rob Crittenden</span>

<i>at 2020-08-18T11:11:26+02:00</i>

</div>

<pre class="commit-message" style="white-space: pre-wrap; margin: 0;">Fall back to old server installation detection when needed

If there is no installation section the the install pre-dated

this new method of detecting a successful installation, fall back

to that.

https://pagure.io/freeipa/issue/8458

Reviewed-By: Florence Blanc-Renaud <flo@redhat.com>

Reviewed-By: Stanislav Levin <slev@altlinux.org>

Reviewed-By: Alexander Bokovoy <abbra@users.noreply.github.com>

</pre>

</li>

<li>

<strong><a href="https://salsa.debian.org/freeipa-team/freeipa/-/commit/2bdb18d56fd65e0058ee302502f68a37decc55e8">2bdb18d5</a></strong>

<div>

<span>by Rob Crittenden</span>

<i>at 2020-08-18T11:11:26+02:00</i>

</div>

<pre class="commit-message" style="white-space: pre-wrap; margin: 0;">Use is_ipa_configured from ipalib.facts

A couple of places still used the deprecated installutils version.

https://pagure.io/freeipa/issue/8458

Reviewed-By: Florence Blanc-Renaud <flo@redhat.com>

Reviewed-By: Stanislav Levin <slev@altlinux.org>

Reviewed-By: Alexander Bokovoy <abbra@users.noreply.github.com>

</pre>

</li>

<li>

<strong><a href="https://salsa.debian.org/freeipa-team/freeipa/-/commit/25e042d3d1e04972d4536b1fa793811e6b047559">25e042d3</a></strong>

<div>

<span>by Rob Crittenden</span>

<i>at 2020-08-18T11:11:26+02:00</i>

</div>

<pre class="commit-message" style="white-space: pre-wrap; margin: 0;">ipatests: Add test for is_ipa_configured

Validate that is_ipa_configured() returns True when using either

the original and the new configuration methods. This will allow

older installs to successfully upgrade.

https://pagure.io/freeipa/issue/8458

Reviewed-By: Florence Blanc-Renaud <flo@redhat.com>

Reviewed-By: Stanislav Levin <slev@altlinux.org>

Reviewed-By: Alexander Bokovoy <abbra@users.noreply.github.com>

</pre>

</li>

<li>

<strong><a href="https://salsa.debian.org/freeipa-team/freeipa/-/commit/3919c9c8d7c2187e4d2a00b8276b241bf23f52b0">3919c9c8</a></strong>

<div>

<span>by Florence Blanc-Renaud</span>

<i>at 2020-08-18T11:18:38+02:00</i>

</div>

<pre class="commit-message" style="white-space: pre-wrap; margin: 0;">ipatests: remove xfail from test_dnssec

The nightly test test_dnssec.py::TestInstallDNSSECFirst::test_chain_of_trust

used to fail because of https://github.com/rthalley/dnspython/issues/343,

but the issue has been fixed upstream and does not happen any more since

PRCI is using python3-dns-1.16.0-7.

Remove the xfail.

Reviewed-By: Mohammad Rizwan Yusuf <myusuf@redhat.com>

</pre>

</li>

<li>

<strong><a href="https://salsa.debian.org/freeipa-team/freeipa/-/commit/6f09f97791035cad01e237ed084ffc44f1ff7e85">6f09f977</a></strong>

<div>

<span>by Rob Crittenden</span>

<i>at 2020-08-18T10:01:54-04:00</i>

</div>

<pre class="commit-message" style="white-space: pre-wrap; margin: 0;">IPA-EPN: Test that EPN can be install, uninstalled and re-installed

Verify that no cruft is left over that will prevent reinstallation

if it is uninstalled.

Reviewed-By: Francois Cami <fcami@redhat.com>

Reviewed-By: Alexander Bokovoy <abokovoy@redhat.com>

</pre>

</li>

<li>

<strong><a href="https://salsa.debian.org/freeipa-team/freeipa/-/commit/18a8a4158051cf6b5b809605dd88dd8090f3485f">18a8a415</a></strong>

<div>

<span>by Rob Crittenden</span>

<i>at 2020-08-19T13:59:11-04:00</i>

</div>

<pre class="commit-message" style="white-space: pre-wrap; margin: 0;">Improve performance of ipa-server-guard

* Drop support for python 2

* Only import traceback and syslog when needed

* Only import ipaserver.install.certs when the lock is needed

* Only import ipautil when run is needed

For the unsupported operations case this improves performance by

95%

For the supported operations that don't require a lock the

improvement is about 50%.

For the supported operations that require a lock the improvement

is about 20%

When configuring a CA certmonger calls its helper with the

following operations:

IDENTIFY

FETCH-ROOTS

GET-SUPPORTED-TEMPLATES

GET-DEFAULT-TEMPLATE

GET-NEW-REQUEST-REQUIREMENTS

GET-RENEW-REQUEST-REQUIREMENTS

FETCH-SCEP-CA-CAPS

FETCH-SCEP-CA-CERTS

Only IDENTIFY, FETCH-ROOTS and GET-NEW-REQUEST-REQUIREMENTS are

supported by ipa-submit, along with the request options SUBMIT and

POLL.

Which means every time the IPA CA in certmonger is updated

eight calls to ipa-server-guard are made so the savings are

cumulative.

The savings when executing these eight operations is a 73% decrease

(.7 sec vs 2.5 sec).

https://pagure.io/freeipa/issue/8425

Reviewed-By: Alexander Bokovoy <abokovoy@redhat.com>

Reviewed-By: Florence Blanc-Renaud <frenaud@redhat.com>

</pre>

</li>

<li>

<strong><a href="https://salsa.debian.org/freeipa-team/freeipa/-/commit/454e023ad8f0821e8a7c2400485a4d270cf4d3ea">454e023a</a></strong>

<div>

<span>by Rob Crittenden</span>

<i>at 2020-08-19T14:01:01-04:00</i>

</div>

<pre class="commit-message" style="white-space: pre-wrap; margin: 0;">ipatests: stop the CA during healthcheck expiration test

Time is moved during the test to ensure that ipa-healthcheck

finds expired certificates. It's possible that certmonger will also

wake up and renew the certificates before ipa-healthcheck can

execute so shut down the CA during the test.

https://pagure.io/freeipa/issue/8463

Reviewed-By: Florence Blanc-Renaud <frenaud@redhat.com>

Reviewed-By: Kaleemullah Siddiqui <ksiddiqu@redhat.com>

</pre>

</li>

<li>

<strong><a href="https://salsa.debian.org/freeipa-team/freeipa/-/commit/c08c7e115682eaf5a605043c8fd10b1e080365ac">c08c7e11</a></strong>

<div>

<span>by Mark Reynolds</span>

<i>at 2020-08-19T14:02:27-04:00</i>

</div>

<pre class="commit-message" style="white-space: pre-wrap; margin: 0;">Increase replication changelog trimming to 30 days

A long time ago the DS team recommended that the changelog trimming interval be set to 7 days.  However, more recently we tend to see more time skews on certain platforms, and issues where it appears changes were trimmed too early (which can break replication).

It would be better to set the trimming interval to 30 days.  This still prevents the changelog from getting too large, and it should help with some of the other issues we are now seeing.

Fixes: https://pagure.io/freeipa/issue/8464

Signed-off-by: Mark Reynolds <mreynolds@redhat.com>

Reviewed-By: Florence Blanc-Renaud <frenaud@redhat.com>

</pre>

</li>

<li>

<strong><a href="https://salsa.debian.org/freeipa-team/freeipa/-/commit/abd0cbfcfdb913e4576721bc9c5acd43bdd2bae2">abd0cbfc</a></strong>

<div>

<span>by Mohammad Rizwan</span>

<i>at 2020-08-19T14:04:43-04:00</i>

</div>

<pre class="commit-message" style="white-space: pre-wrap; margin: 0;">ipatests: Test certmonger rekey command works fine

Certmonger's rekey command was throwing an error as

unrecognized command. Test is to check if it is working fine.

related: https://bugzilla.redhat.com/show_bug.cgi?id=1249165

Signed-off-by: Mohammad Rizwan <myusuf@redhat.com>

Reviewed-By: Kaleemullah Siddiqui <ksiddiqu@redhat.com>

Reviewed-By: Rob Crittenden <rcritten@redhat.com>

</pre>

</li>

<li>

<strong><a href="https://salsa.debian.org/freeipa-team/freeipa/-/commit/602f3f3151e58084ebd9b10d3997efeae5417d12">602f3f31</a></strong>

<div>

<span>by Stanislav Levin</span>

<i>at 2020-08-20T11:50:35+03:00</i>

</div>

<pre class="commit-message" style="white-space: pre-wrap; margin: 0;">uninstall: Don't fail on missing /var/lib/samba

On some distros freeipa-server package may not depend on

`/var/lib/samba` directory. In this case an uninstallation of

ipaserver fails.

Fixes: https://pagure.io/freeipa/issue/8461

Signed-off-by: Stanislav Levin <slev@altlinux.org>

Reviewed-By: Alexander Bokovoy <abokovoy@redhat.com>

</pre>

</li>

<li>

<strong><a href="https://salsa.debian.org/freeipa-team/freeipa/-/commit/bba69960f6c26b5b97e72359bc382e25a8ca8ec9">bba69960</a></strong>

<div>

<span>by Stanislav Levin</span>

<i>at 2020-08-20T11:50:35+03:00</i>

</div>

<pre class="commit-message" style="white-space: pre-wrap; margin: 0;">uninstall: Clean up no longer used flag

The `_server_trust_ad_installed` was added as a flag which

indicates that `freeipa-server-trust-ad` package is installed.

Later, `ipaserver/install/adtrustinstance.py` module was moved out

into `freeipa-server` package and the import became unconditionally

successful.

Fixes: https://pagure.io/freeipa/issue/8461

Signed-off-by: Stanislav Levin <slev@altlinux.org>

Reviewed-By: Alexander Bokovoy <abokovoy@redhat.com>

</pre>

</li>

<li>

<strong><a href="https://salsa.debian.org/freeipa-team/freeipa/-/commit/3084930e596b5d6e9b2b81cf9ce6532feb620b02">3084930e</a></strong>

<div>

<span>by Stanislav Levin</span>

<i>at 2020-08-20T11:50:35+03:00</i>

</div>

<pre class="commit-message" style="white-space: pre-wrap; margin: 0;">spec: Move ipa-cldap plugin out to freeipa-server-trust-ad package

This ns-slapd plugin is used as a CLDAP server which responses to

AD DCs with an information about IPA domain. So, logically it

belongs to freeipa-server-trust-ad package.

Signed-off-by: Stanislav Levin <slev@altlinux.org>

Reviewed-By: Alexander Bokovoy <abokovoy@redhat.com>

</pre>

</li>

<li>

<strong><a href="https://salsa.debian.org/freeipa-team/freeipa/-/commit/aac717988f63ab4b8b808a6d48ee01e8fcb0c9e7">aac71798</a></strong>

<div>

<span>by Rob Crittenden</span>

<i>at 2020-08-20T11:52:34+03:00</i>

</div>

<pre class="commit-message" style="white-space: pre-wrap; margin: 0;">Improve performance of ipa-server-guard

* Drop support for python 2

* Only import traceback and syslog when needed

* Only import ipaserver.install.certs when the lock is needed

* Only import ipautil when run is needed

For the unsupported operations case this improves performance by

95%

For the supported operations that don't require a lock the

improvement is about 50%.

For the supported operations that require a lock the improvement

is about 20%

When configuring a CA certmonger calls its helper with the

following operations:

IDENTIFY

FETCH-ROOTS

GET-SUPPORTED-TEMPLATES

GET-DEFAULT-TEMPLATE

GET-NEW-REQUEST-REQUIREMENTS

GET-RENEW-REQUEST-REQUIREMENTS

FETCH-SCEP-CA-CAPS

FETCH-SCEP-CA-CERTS

Only IDENTIFY, FETCH-ROOTS and GET-NEW-REQUEST-REQUIREMENTS are

supported by ipa-submit, along with the request options SUBMIT and

POLL.

Which means every time the IPA CA in certmonger is updated

eight calls to ipa-server-guard are made so the savings are

cumulative.

The savings when executing these eight operations is a 73% decrease

(.7 sec vs 2.5 sec).

https://pagure.io/freeipa/issue/8425

Reviewed-By: Alexander Bokovoy <abokovoy@redhat.com>

Reviewed-By: Florence Blanc-Renaud <frenaud@redhat.com>

</pre>

</li>

<li>

<strong><a href="https://salsa.debian.org/freeipa-team/freeipa/-/commit/715ec234373fc8b4aa0d00a4e9e0126522f38de1">715ec234</a></strong>

<div>

<span>by Rob Crittenden</span>

<i>at 2020-08-20T11:53:56+03:00</i>

</div>

<pre class="commit-message" style="white-space: pre-wrap; margin: 0;">ipatests: stop the CA during healthcheck expiration test

Time is moved during the test to ensure that ipa-healthcheck

finds expired certificates. It's possible that certmonger will also

wake up and renew the certificates before ipa-healthcheck can

execute so shut down the CA during the test.

https://pagure.io/freeipa/issue/8463

Reviewed-By: Florence Blanc-Renaud <frenaud@redhat.com>

Reviewed-By: Kaleemullah Siddiqui <ksiddiqu@redhat.com>

</pre>

</li>

<li>

<strong><a href="https://salsa.debian.org/freeipa-team/freeipa/-/commit/14f27d284f4d9a37f2bd599f98602fb2eb84edd1">14f27d28</a></strong>

<div>

<span>by Mark Reynolds</span>

<i>at 2020-08-20T11:54:41+03:00</i>

</div>

<pre class="commit-message" style="white-space: pre-wrap; margin: 0;">Increase replication changelog trimming to 30 days

A long time ago the DS team recommended that the changelog trimming interval be set to 7 days.  However, more recently we tend to see more time skews on certain platforms, and issues where it appears changes were trimmed too early (which can break replication).

It would be better to set the trimming interval to 30 days.  This still prevents the changelog from getting too large, and it should help with some of the other issues we are now seeing.

Fixes: https://pagure.io/freeipa/issue/8464

Signed-off-by: Mark Reynolds <mreynolds@redhat.com>

Reviewed-By: Florence Blanc-Renaud <frenaud@redhat.com>

</pre>

</li>

<li>

<strong><a href="https://salsa.debian.org/freeipa-team/freeipa/-/commit/9b52ba606d2f0e3ff8f8f5dd7bbe87e6b9d2cfbe">9b52ba60</a></strong>

<div>

<span>by Mohammad Rizwan</span>

<i>at 2020-08-20T11:56:01+03:00</i>

</div>

<pre class="commit-message" style="white-space: pre-wrap; margin: 0;">ipatests: Test certmonger rekey command works fine

Certmonger's rekey command was throwing an error as

unrecognized command. Test is to check if it is working fine.

related: https://bugzilla.redhat.com/show_bug.cgi?id=1249165

Signed-off-by: Mohammad Rizwan <myusuf@redhat.com>

Reviewed-By: Kaleemullah Siddiqui <ksiddiqu@redhat.com>

Reviewed-By: Rob Crittenden <rcritten@redhat.com>

</pre>

</li>

<li>

<strong><a href="https://salsa.debian.org/freeipa-team/freeipa/-/commit/20ece52b9a1cad43c4fa99e37b1748608c9ce926">20ece52b</a></strong>

<div>

<span>by Alexander Bokovoy</span>

<i>at 2020-08-20T13:01:49+03:00</i>

</div>

<pre class="commit-message" style="white-space: pre-wrap; margin: 0;">master: update po/ipa.pot

Signed-off-by: Alexander Bokovoy <abokovoy@redhat.com>

</pre>

</li>

<li>

<strong><a href="https://salsa.debian.org/freeipa-team/freeipa/-/commit/4fdf69adf288102633bb733620e5009684d134ce">4fdf69ad</a></strong>

<div>

<span>by Alexander Bokovoy</span>

<i>at 2020-08-20T13:05:57+03:00</i>

</div>

<pre class="commit-message" style="white-space: pre-wrap; margin: 0;">Add alternative email to the mailmap for myself

Signed-off-by: Alexander Bokovoy <abokovoy@redhat.com>

</pre>

</li>

<li>

<strong><a href="https://salsa.debian.org/freeipa-team/freeipa/-/commit/11a64478b32985e3c92258aecdd97a28b2351176">11a64478</a></strong>

<div>

<span>by Alexander Bokovoy</span>

<i>at 2020-08-20T13:09:14+03:00</i>

</div>

<pre class="commit-message" style="white-space: pre-wrap; margin: 0;">Add new contributors

Signed-off-by: Alexander Bokovoy <abokovoy@redhat.com>

</pre>

</li>

<li>

<strong><a href="https://salsa.debian.org/freeipa-team/freeipa/-/commit/8492ba16e31523db024b154eb30d81dcfecdadb7">8492ba16</a></strong>

<div>

<span>by Alexander Bokovoy</span>

<i>at 2020-08-20T13:10:25+03:00</i>

</div>

<pre class="commit-message" style="white-space: pre-wrap; margin: 0;">Add alternative email to the mailmap for myself

Signed-off-by: Alexander Bokovoy <abokovoy@redhat.com>

</pre>

</li>

<li>

<strong><a href="https://salsa.debian.org/freeipa-team/freeipa/-/commit/2c1fb997e99a90e42118b9022eea95d07138a7fc">2c1fb997</a></strong>

<div>

<span>by Alexander Bokovoy</span>

<i>at 2020-08-20T13:10:25+03:00</i>

</div>

<pre class="commit-message" style="white-space: pre-wrap; margin: 0;">ipa-4-8: update po/ipa.pot

Signed-off-by: Alexander Bokovoy <abokovoy@redhat.com>

</pre>

</li>

<li>

<strong><a href="https://salsa.debian.org/freeipa-team/freeipa/-/commit/26d8267244fd232b3c075677a10d41fada3484aa">26d82672</a></strong>

<div>

<span>by Alexander Bokovoy</span>

<i>at 2020-08-20T13:10:25+03:00</i>

</div>

<pre class="commit-message" style="white-space: pre-wrap; margin: 0;">ipa-4-8: Add new contributors

Signed-off-by: Alexander Bokovoy <abokovoy@redhat.com>

</pre>

</li>

<li>

<strong><a href="https://salsa.debian.org/freeipa-team/freeipa/-/commit/c409fc65df4108c7f8ba06bdcf5f61275a16c8d7">c409fc65</a></strong>

<div>

<span>by Alexander Bokovoy</span>

<i>at 2020-08-20T13:10:25+03:00</i>

</div>

<pre class="commit-message" style="white-space: pre-wrap; margin: 0;">Become FreeIPA 4.8.9

Signed-off-by: Alexander Bokovoy <abokovoy@redhat.com>

</pre>

</li>

<li>

<strong><a href="https://salsa.debian.org/freeipa-team/freeipa/-/commit/e058c4d47ce9bb66ad93421b73f85fd5954e95d0">e058c4d4</a></strong>

<div>

<span>by Alexander Bokovoy</span>

<i>at 2020-08-20T13:34:58+03:00</i>

</div>

<pre class="commit-message" style="white-space: pre-wrap; margin: 0;">Return to git snapshots

Signed-off-by: Alexander Bokovoy <abokovoy@redhat.com>

</pre>

</li>

<li>

<strong><a href="https://salsa.debian.org/freeipa-team/freeipa/-/commit/de105aa8fc8281c28c359d607c2b43154103a399">de105aa8</a></strong>

<div>

<span>by Stanislav Levin</span>

<i>at 2020-08-23T09:16:18+03:00</i>

</div>

<pre class="commit-message" style="white-space: pre-wrap; margin: 0;">pylint: Teach pylint about more RRs types

There are many types of RRs which are provided by dnspython.

This is not all, but enough for now to fix linting errors

caused by new dnspython 2.0.

Fixes: https://pagure.io/freeipa/issue/8468

Signed-off-by: Stanislav Levin <slev@altlinux.org>

Reviewed-By: Alexander Bokovoy <abokovoy@redhat.com>

</pre>

</li>

<li>

<strong><a href="https://salsa.debian.org/freeipa-team/freeipa/-/commit/6e85872528251ba34a45c9639beb0ccda2ac82f1">6e858725</a></strong>

<div>

<span>by Stanislav Levin</span>

<i>at 2020-08-23T09:16:18+03:00</i>

</div>

<pre class="commit-message" style="white-space: pre-wrap; margin: 0;">pylint: Fix warning W0612(unused-variable)

New warnings were found by new pylint (2.5.3).

Fixes: https://pagure.io/freeipa/issue/8468

Signed-off-by: Stanislav Levin <slev@altlinux.org>

Reviewed-By: Alexander Bokovoy <abokovoy@redhat.com>

</pre>

</li>

<li>

<strong><a href="https://salsa.debian.org/freeipa-team/freeipa/-/commit/ec6369ca009139af69aa4214e82fc411184b428f">ec6369ca</a></strong>

<div>

<span>by Stanislav Levin</span>

<i>at 2020-08-23T09:16:18+03:00</i>

</div>

<pre class="commit-message" style="white-space: pre-wrap; margin: 0;">pylint: Ignore `super-with-arguments`

Pylint 2.6.0 added new check:

> Add super-with-arguments check for flagging instances of Python 2

style super calls.

According to PEP 3135 this form of `super` is syntactic sugar and

is not mandatory. Right now there are 566 affected `super`s.

http://pylint.pycqa.org/en/latest/whatsnew/changelog.html#what-s-new-in-pylint-2-6-0

https://www.python.org/dev/peps/pep-3135/

Fixes: https://pagure.io/freeipa/issue/8468

Signed-off-by: Stanislav Levin <slev@altlinux.org>

Reviewed-By: Alexander Bokovoy <abokovoy@redhat.com>

</pre>

</li>

<li>

<strong><a href="https://salsa.debian.org/freeipa-team/freeipa/-/commit/8831b9b6498b834c77dce2e0b96854be105810f9">8831b9b6</a></strong>

<div>

<span>by Stanislav Levin</span>

<i>at 2020-08-23T09:16:18+03:00</i>

</div>

<pre class="commit-message" style="white-space: pre-wrap; margin: 0;">pylint: Ignore `raise-missing-from`

Pylint 2.6.0 introduces new check:

> Add raise-missing-from check for exceptions that should have a

cause.

According to PEP 3134 the implicit exception chaining is valid and

can be used.

http://pylint.pycqa.org/en/latest/whatsnew/changelog.html#what-s-new-in-pylint-2-6-0

https://www.python.org/dev/peps/pep-3134/

Fixes: https://pagure.io/freeipa/issue/8468

Signed-off-by: Stanislav Levin <slev@altlinux.org>

Reviewed-By: Alexander Bokovoy <abokovoy@redhat.com>

</pre>

</li>

<li>

<strong><a href="https://salsa.debian.org/freeipa-team/freeipa/-/commit/8c7414a51ea1895292dccf203f8c5e0aa1c00d2c">8c7414a5</a></strong>

<div>

<span>by Stanislav Levin</span>

<i>at 2020-08-24T09:58:24+03:00</i>

</div>

<pre class="commit-message" style="white-space: pre-wrap; margin: 0;">pylint: Teach pylint about more RRs types

There are many types of RRs which are provided by dnspython.

This is not all, but enough for now to fix linting errors

caused by new dnspython 2.0.

Fixes: https://pagure.io/freeipa/issue/8468

Signed-off-by: Stanislav Levin <slev@altlinux.org>

Reviewed-By: Alexander Bokovoy <abokovoy@redhat.com>

</pre>

</li>

<li>

<strong><a href="https://salsa.debian.org/freeipa-team/freeipa/-/commit/a283196b3da8aaa537fd506c50edbddb0ff2f045">a283196b</a></strong>

<div>

<span>by Stanislav Levin</span>

<i>at 2020-08-24T09:58:24+03:00</i>

</div>

<pre class="commit-message" style="white-space: pre-wrap; margin: 0;">pylint: Fix warning W0612(unused-variable)

New warnings were found by new pylint (2.5.3).

Fixes: https://pagure.io/freeipa/issue/8468

Signed-off-by: Stanislav Levin <slev@altlinux.org>

Reviewed-By: Alexander Bokovoy <abokovoy@redhat.com>

</pre>

</li>

<li>

<strong><a href="https://salsa.debian.org/freeipa-team/freeipa/-/commit/31e16f7216a5e66f372a1759c39a6a254a94a210">31e16f72</a></strong>

<div>

<span>by Stanislav Levin</span>

<i>at 2020-08-24T09:58:24+03:00</i>

</div>

<pre class="commit-message" style="white-space: pre-wrap; margin: 0;">pylint: Ignore `super-with-arguments`

Pylint 2.6.0 added new check:

> Add super-with-arguments check for flagging instances of Python 2

style super calls.

According to PEP 3135 this form of `super` is syntactic sugar and

is not mandatory. Right now there are 566 affected `super`s.

http://pylint.pycqa.org/en/latest/whatsnew/changelog.html#what-s-new-in-pylint-2-6-0

https://www.python.org/dev/peps/pep-3135/

Fixes: https://pagure.io/freeipa/issue/8468

Signed-off-by: Stanislav Levin <slev@altlinux.org>

Reviewed-By: Alexander Bokovoy <abokovoy@redhat.com>

</pre>

</li>

<li>

<strong><a href="https://salsa.debian.org/freeipa-team/freeipa/-/commit/ffbbc30146e3f0f9e995a99031860e6130847a4c">ffbbc301</a></strong>

<div>

<span>by Stanislav Levin</span>

<i>at 2020-08-24T09:58:24+03:00</i>

</div>

<pre class="commit-message" style="white-space: pre-wrap; margin: 0;">pylint: Ignore `raise-missing-from`

Pylint 2.6.0 introduces new check:

> Add raise-missing-from check for exceptions that should have a

cause.

According to PEP 3134 the implicit exception chaining is valid and

can be used.

http://pylint.pycqa.org/en/latest/whatsnew/changelog.html#what-s-new-in-pylint-2-6-0

https://www.python.org/dev/peps/pep-3134/

Fixes: https://pagure.io/freeipa/issue/8468

Signed-off-by: Stanislav Levin <slev@altlinux.org>

Reviewed-By: Alexander Bokovoy <abokovoy@redhat.com>

</pre>

</li>

<li>

<strong><a href="https://salsa.debian.org/freeipa-team/freeipa/-/commit/b3d7a70ee00bb5e8a0f1781a378dc169ee455624">b3d7a70e</a></strong>

<div>

<span>by Mohammad Rizwan</span>

<i>at 2020-08-24T10:00:05+03:00</i>

</div>

<pre class="commit-message" style="white-space: pre-wrap; margin: 0;">ipatests: Add PTR record for IP SAN

If PTR record is missing for an IP address then cert request

with SAN option throws an error. This fix is to add the PTR

record so that cert request doesn't throw an error.

Signed-off-by: Mohammad Rizwan <myusuf@redhat.com>

Reviewed-By: Kaleemullah Siddiqui <ksiddiqu@redhat.com>

</pre>

</li>

<li>

<strong><a href="https://salsa.debian.org/freeipa-team/freeipa/-/commit/bddbfb79e4749713dd2b22445fb95e3e53d080e8">bddbfb79</a></strong>

<div>

<span>by Mohammad Rizwan</span>

<i>at 2020-08-24T10:00:05+03:00</i>

</div>

<pre class="commit-message" style="white-space: pre-wrap; margin: 0;">ipatests: add --skip-overlap-check option to prepare_reverse_zone()

add --skip-overlap-check in case it overlap with an existing zone

or with dnszone outside of IPA.

Reviewed-By: Kaleemullah Siddiqui <ksiddiqu@redhat.com>

</pre>

</li>

<li>

<strong><a href="https://salsa.debian.org/freeipa-team/freeipa/-/commit/1abeb85fbadfaff66694aedc9abfe9229cd3c5d8">1abeb85f</a></strong>

<div>

<span>by Mohammad Rizwan</span>

<i>at 2020-08-24T10:00:05+03:00</i>

</div>

<pre class="commit-message" style="white-space: pre-wrap; margin: 0;">PEP8 fixes

PEP8 fixes for visual indent, line > 79, blank line required etc

Reviewed-By: Kaleemullah Siddiqui <ksiddiqu@redhat.com>

</pre>

</li>

<li>

<strong><a href="https://salsa.debian.org/freeipa-team/freeipa/-/commit/3f5f68e770bc720b130a8f7fb6d54d2ae62e6f4c">3f5f68e7</a></strong>

<div>

<span>by Sumedh Sidhaye</span>

<i>at 2020-08-24T10:22:02+02:00</i>

</div>

<pre class="commit-message" style="white-space: pre-wrap; margin: 0;">test_cert.py is timing out due to newly added test test_cert.py::TestCertmongerRekey which needs more time to execute. Adding additional 30 mins to the timeout in order to complete the test run

Failing test run:

http://freeipa-org-pr-ci.s3-website.eu-central-1.amazonaws.com/jobs/249e30e4-e349-11ea-ac03-fa163e1ffcbd

Signed-off-by: Sumedh Sidhaye <ssidhaye@redhat.com>

Reviewed-By: Florence Blanc-Renaud <flo@redhat.com>

</pre>

</li>

<li>

<strong><a href="https://salsa.debian.org/freeipa-team/freeipa/-/commit/32b1242549f8f558edfebd22b5ffbc0d84a8aa6a">32b12425</a></strong>

<div>

<span>by Mohammad Rizwan</span>

<i>at 2020-08-24T11:26:16+03:00</i>

</div>

<pre class="commit-message" style="white-space: pre-wrap; margin: 0;">ipatests: Add PTR record for IP SAN

If PTR record is missing for an IP address then cert request

with SAN option throws an error. This fix is to add the PTR

record so that cert request doesn't throw an error.

Signed-off-by: Mohammad Rizwan <myusuf@redhat.com>

Reviewed-By: Kaleemullah Siddiqui <ksiddiqu@redhat.com>

</pre>

</li>

<li>

<strong><a href="https://salsa.debian.org/freeipa-team/freeipa/-/commit/6b0f065729ecbb393ab79ce99d6e2cf83e62529c">6b0f0657</a></strong>

<div>

<span>by Mohammad Rizwan</span>

<i>at 2020-08-24T11:26:16+03:00</i>

</div>

<pre class="commit-message" style="white-space: pre-wrap; margin: 0;">ipatests: add --skip-overlap-check option to prepare_reverse_zone()

add --skip-overlap-check in case it overlap with an existing zone

or with dnszone outside of IPA.

Reviewed-By: Kaleemullah Siddiqui <ksiddiqu@redhat.com>

</pre>

</li>

<li>

<strong><a href="https://salsa.debian.org/freeipa-team/freeipa/-/commit/19ec19c037a679a8320112800565ae7758599f08">19ec19c0</a></strong>

<div>

<span>by Mohammad Rizwan</span>

<i>at 2020-08-24T11:26:16+03:00</i>

</div>

<pre class="commit-message" style="white-space: pre-wrap; margin: 0;">PEP8 fixes

PEP8 fixes for visual indent, line > 79, blank line required etc

Reviewed-By: Kaleemullah Siddiqui <ksiddiqu@redhat.com>

</pre>

</li>

<li>

<strong><a href="https://salsa.debian.org/freeipa-team/freeipa/-/commit/0a01f576e0b32b38bfd57498d154a061f84ff728">0a01f576</a></strong>

<div>

<span>by Alexander Bokovoy</span>

<i>at 2020-08-24T11:55:46+02:00</i>

</div>

<pre class="commit-message" style="white-space: pre-wrap; margin: 0;">test_smb: make sure both smbserver and smbclient use IPA master for DNS

test_smb test suite sets up IPA master, AD forest, and two clients.

The clients are used as an SMB server and an SMB client and they need to

resolve and authenticate AD users with Kerberos.

Previously, the test only configured SMB client to use IPA master as its

DNS server. SMB server wasn't using IPA master and thus any attempt to

resolve SRV records from AD DNS zone was failing.

Make sure that both SMB client's and SMB server's DNS resolution is set

up in the same way.

Fixes: https://pagure.io/freeipa/issue/8344

Signed-off-by: Alexander Bokovoy <abokovoy@redhat.com>

Reviewed-By: Francois Cami <fcami@redhat.com>

Reviewed-By: Sergey Orlov <sorlov@redhat.com>

</pre>

</li>

<li>

<strong><a href="https://salsa.debian.org/freeipa-team/freeipa/-/commit/b279b3a7c91a1cf1de4b5cc5884912a4ca854d4c">b279b3a7</a></strong>

<div>

<span>by Armando Neto</span>

<i>at 2020-08-24T09:03:41-03:00</i>

</div>

<pre class="commit-message" style="white-space: pre-wrap; margin: 0;">ipatests: Bump PR-CI templates

New template images for ci-master-f32 to include latest packages.

Signed-off-by: Armando Neto <abiagion@redhat.com>

Reviewed-By: Alexander Bokovoy <abbra@users.noreply.github.com>

</pre>

</li>

<li>

<strong><a href="https://salsa.debian.org/freeipa-team/freeipa/-/commit/6662f5fdf5b1e65e786fb26a1f037deba0fbe283">6662f5fd</a></strong>

<div>

<span>by Sumedh Sidhaye</span>

<i>at 2020-08-24T17:05:03+02:00</i>

</div>

<pre class="commit-message" style="white-space: pre-wrap; margin: 0;">This is a manual backport of https://github.com/freeipa/freeipa/pull/5053/

Increase test_cert.py timeout from 3600 to 5400

to accomodate newly added tests that need more time

to execute

Signed-off-by: Sumedh Sidhaye <ssidhaye@redhat.com>

Reviewed-By: Alexander Bokovoy <abbra@users.noreply.github.com>

</pre>

</li>

<li>

<strong><a href="https://salsa.debian.org/freeipa-team/freeipa/-/commit/fc9840d83e2cd329281c1d42d75e4dbc4d4c0145">fc9840d8</a></strong>

<div>

<span>by Alexander Bokovoy</span>

<i>at 2020-08-24T17:07:29+02:00</i>

</div>

<pre class="commit-message" style="white-space: pre-wrap; margin: 0;">test_smb: make sure both smbserver and smbclient use IPA master for DNS

test_smb test suite sets up IPA master, AD forest, and two clients.

The clients are used as an SMB server and an SMB client and they need to

resolve and authenticate AD users with Kerberos.

Previously, the test only configured SMB client to use IPA master as its

DNS server. SMB server wasn't using IPA master and thus any attempt to

resolve SRV records from AD DNS zone was failing.

Make sure that both SMB client's and SMB server's DNS resolution is set

up in the same way.

Fixes: https://pagure.io/freeipa/issue/8344

Signed-off-by: Alexander Bokovoy <abokovoy@redhat.com>

Reviewed-By: Francois Cami <fcami@redhat.com>

Reviewed-By: Sergey Orlov <sorlov@redhat.com>

</pre>

</li>

<li>

<strong><a href="https://salsa.debian.org/freeipa-team/freeipa/-/commit/57ea534c39232f65e8a4f0dc9917bd55331c8436">57ea534c</a></strong>

<div>

<span>by Armando Neto</span>

<i>at 2020-08-24T17:09:11+02:00</i>

</div>

<pre class="commit-message" style="white-space: pre-wrap; margin: 0;">ipatests: Bump PR-CI templates

New template images for ci-ipa-4-8-f32 to include latest packages.

Signed-off-by: Armando Neto <abiagion@redhat.com>

Reviewed-By: Alexander Bokovoy <abbra@users.noreply.github.com>

</pre>

</li>

<li>

<strong><a href="https://salsa.debian.org/freeipa-team/freeipa/-/commit/4a89da5352314cad4417ee42eac2cd8ad7cdc057">4a89da53</a></strong>

<div>

<span>by Rob Crittenden</span>

<i>at 2020-08-25T10:31:19-04:00</i>

</div>

<pre class="commit-message" style="white-space: pre-wrap; margin: 0;">ipatests: Add option/arg parsing tests for the cli

A typo in passing in options would result in an exception.

For example -verbose was treated as: -v -e rbose

-v and -e are valid options. rbose on its own has no value in the

name-value pair so an exception would result.

https://pagure.io/freeipa/issue/6115

Reviewed-By: Alexander Bokovoy <abokovoy@redhat.com>

</pre>

</li>

<li>

<strong><a href="https://salsa.debian.org/freeipa-team/freeipa/-/commit/12dfb0fc96ad6db3aa2cd5a56b6cbc8cd092751a">12dfb0fc</a></strong>

<div>

<span>by Rob Crittenden</span>

<i>at 2020-08-25T10:31:19-04:00</i>

</div>

<pre class="commit-message" style="white-space: pre-wrap; margin: 0;">cli: When parsing options require name/value pairs

If single-option values are combined together with invalid options

an exception would be raised.

For example -verbose was treated as -v -e rbose. Since rbose isn't

a name/value pair things would blow up. This is now caught and

a somewhat more reable error returned. The -v and -e are consumed,

not much we can do about that, but at least a more usable error is

returned.

https://pagure.io/freeipa/issue/6115

Reviewed-By: Alexander Bokovoy <abokovoy@redhat.com>

</pre>

</li>

<li>

<strong><a href="https://salsa.debian.org/freeipa-team/freeipa/-/commit/6f4f7c616628a6200f7d3b56969d6e6204d3aea5">6f4f7c61</a></strong>

<div>

<span>by Rob Crittenden</span>

<i>at 2020-08-25T12:38:11-04:00</i>

</div>

<pre class="commit-message" style="white-space: pre-wrap; margin: 0;">ipatests: Add option/arg parsing tests for the cli

A typo in passing in options would result in an exception.

For example -verbose was treated as: -v -e rbose

-v and -e are valid options. rbose on its own has no value in the

name-value pair so an exception would result.

https://pagure.io/freeipa/issue/6115

Reviewed-By: Alexander Bokovoy <abokovoy@redhat.com>

</pre>

</li>

<li>

<strong><a href="https://salsa.debian.org/freeipa-team/freeipa/-/commit/dce5b1c854382058c62cb7c7155edf715088ca0a">dce5b1c8</a></strong>

<div>

<span>by Rob Crittenden</span>

<i>at 2020-08-25T12:38:11-04:00</i>

</div>

<pre class="commit-message" style="white-space: pre-wrap; margin: 0;">cli: When parsing options require name/value pairs

If single-option values are combined together with invalid options

an exception would be raised.

For example -verbose was treated as -v -e rbose. Since rbose isn't

a name/value pair things would blow up. This is now caught and

a somewhat more reable error returned. The -v and -e are consumed,

not much we can do about that, but at least a more usable error is

returned.

https://pagure.io/freeipa/issue/6115

Reviewed-By: Alexander Bokovoy <abokovoy@redhat.com>

</pre>

</li>

<li>

<strong><a href="https://salsa.debian.org/freeipa-team/freeipa/-/commit/fe783b632a0649f1894416dbd74a2a074c64b5ba">fe783b63</a></strong>

<div>

<span>by Rob Crittenden</span>

<i>at 2020-08-26T11:12:07+03:00</i>

</div>

<pre class="commit-message" style="white-space: pre-wrap; margin: 0;">Fall back to old server installation detection when needed

If there is no installation section the the install pre-dated

this new method of detecting a successful installation, fall back

to that.

https://pagure.io/freeipa/issue/8458

Reviewed-By: Florence Blanc-Renaud <flo@redhat.com>

Reviewed-By: Stanislav Levin <slev@altlinux.org>

Reviewed-By: Alexander Bokovoy <abbra@users.noreply.github.com>

Reviewed-By: Alexander Bokovoy <abokovoy@redhat.com>

</pre>

</li>

<li>

<strong><a href="https://salsa.debian.org/freeipa-team/freeipa/-/commit/774bbb1703cb37b5b0623a987738efd5207d65d6">774bbb17</a></strong>

<div>

<span>by Rob Crittenden</span>

<i>at 2020-08-26T11:12:07+03:00</i>

</div>

<pre class="commit-message" style="white-space: pre-wrap; margin: 0;">Use is_ipa_configured from ipalib.facts

A couple of places still used the deprecated installutils version.

https://pagure.io/freeipa/issue/8458

Reviewed-By: Florence Blanc-Renaud <flo@redhat.com>

Reviewed-By: Stanislav Levin <slev@altlinux.org>

Reviewed-By: Alexander Bokovoy <abbra@users.noreply.github.com>

Reviewed-By: Alexander Bokovoy <abokovoy@redhat.com>

</pre>

</li>

<li>

<strong><a href="https://salsa.debian.org/freeipa-team/freeipa/-/commit/2057b330f8c3d89078ce2008660a799721ab3c57">2057b330</a></strong>

<div>

<span>by Rob Crittenden</span>

<i>at 2020-08-26T11:12:07+03:00</i>

</div>

<pre class="commit-message" style="white-space: pre-wrap; margin: 0;">ipatests: Add test for is_ipa_configured

Validate that is_ipa_configured() returns True when using either

the original and the new configuration methods. This will allow

older installs to successfully upgrade.

https://pagure.io/freeipa/issue/8458

Reviewed-By: Florence Blanc-Renaud <flo@redhat.com>

Reviewed-By: Stanislav Levin <slev@altlinux.org>

Reviewed-By: Alexander Bokovoy <abbra@users.noreply.github.com>

Reviewed-By: Alexander Bokovoy <abokovoy@redhat.com>

</pre>

</li>

<li>

<strong><a href="https://salsa.debian.org/freeipa-team/freeipa/-/commit/4420ae81ae6c42a945d7b4d2cc6df5e381052e7b">4420ae81</a></strong>

<div>

<span>by Sergey Orlov</span>

<i>at 2020-08-26T13:30:19-04:00</i>

</div>

<pre class="commit-message" style="white-space: pre-wrap; margin: 0;">ipatests: refactor test for login using cifs alias principal

The test had two problems:

* if it was failing,  samba services were not started and all other

tests also failed

* Utility for copying keys obscured fatal problems i.e. if file does not

exist or can not be parsed.

Fixed by moving the check to separate test and raising exceptions in

KerberosKeyCopier on any unexpected problem.

Reviewed-By: Alexander Bokovoy <abokovoy@redhat.com>

</pre>

</li>

<li>

<strong><a href="https://salsa.debian.org/freeipa-team/freeipa/-/commit/6da5cc32d743d75b11a874a027d812603432ce45">6da5cc32</a></strong>

<div>

<span>by Sergey Orlov</span>

<i>at 2020-08-26T13:30:19-04:00</i>

</div>

<pre class="commit-message" style="white-space: pre-wrap; margin: 0;">ipatests: simplify fixture

Fixture enable_smb_client_dns_lookup_kdc had an unobvious structure

"contextmanage inside pytest fixture". Replaced with simple pytest

fixture.

Reviewed-By: Alexander Bokovoy <abokovoy@redhat.com>

</pre>

</li>

<li>

<strong><a href="https://salsa.debian.org/freeipa-team/freeipa/-/commit/d560505567da92e749b08b8a0a4295a5b2d5d8f6">d5605055</a></strong>

<div>

<span>by Sergey Orlov</span>

<i>at 2020-08-27T10:45:21+03:00</i>

</div>

<pre class="commit-message" style="white-space: pre-wrap; margin: 0;">ipatests: refactor test for login using cifs alias principal

The test had two problems:

* if it was failing,  samba services were not started and all other

tests also failed

* Utility for copying keys obscured fatal problems i.e. if file does not

exist or can not be parsed.

Fixed by moving the check to separate test and raising exceptions in

KerberosKeyCopier on any unexpected problem.

Reviewed-By: Alexander Bokovoy <abokovoy@redhat.com>

</pre>

</li>

<li>

<strong><a href="https://salsa.debian.org/freeipa-team/freeipa/-/commit/f3c6fb3a6c03e8ef6586fb61acc2d66d2416d0ec">f3c6fb3a</a></strong>

<div>

<span>by Sergey Orlov</span>

<i>at 2020-08-27T10:45:21+03:00</i>

</div>

<pre class="commit-message" style="white-space: pre-wrap; margin: 0;">ipatests: simplify fixture

Fixture enable_smb_client_dns_lookup_kdc had an unobvious structure

"contextmanage inside pytest fixture". Replaced with simple pytest

fixture.

Reviewed-By: Alexander Bokovoy <abokovoy@redhat.com>

</pre>

</li>

<li>

<strong><a href="https://salsa.debian.org/freeipa-team/freeipa/-/commit/ec67022af204f1d34bb2da302aa0e3b874812399">ec67022a</a></strong>

<div>

<span>by Florence Blanc-Renaud</span>

<i>at 2020-08-28T14:45:15+02:00</i>

</div>

<pre class="commit-message" style="white-space: pre-wrap; margin: 0;">ipatests: run test_ipahealthcheck.py::TestIpaHealthCheck separately

The test is changing the date back and forth. Due to PRCI

infra issue, chronyd is not able to connect to the default

NTP servers from the fedora pool, and the date is not

synchronized any more after this test.

To avoid polluting other tests, run this one separately.

Fixes: https://pagure.io/freeipa/issue/8472

Signed-off-by: Florence Blanc-Renaud <flo@redhat.com>

Reviewed-By: Kaleemullah Siddiqui <ksiddiqu@redhat.com>

</pre>

</li>

<li>

<strong><a href="https://salsa.debian.org/freeipa-team/freeipa/-/commit/2c15e996943ca6789c29f2be1db96a5b37479fcb">2c15e996</a></strong>

<div>

<span>by Florence Blanc-Renaud</span>

<i>at 2020-08-28T14:45:15+02:00</i>

</div>

<pre class="commit-message" style="white-space: pre-wrap; margin: 0;">ipatests: add missing healthcheck test in PRCI nightlies

Signed-off-by: Florence Blanc-Renaud <flo@redhat.com>

Reviewed-By: Kaleemullah Siddiqui <ksiddiqu@redhat.com>

</pre>

</li>

<li>

<strong><a href="https://salsa.debian.org/freeipa-team/freeipa/-/commit/2ce880e900423cedbf7c7a9dd422585e8e1522b1">2ce880e9</a></strong>

<div>

<span>by Florence Blanc-Renaud</span>

<i>at 2020-08-31T09:41:02+03:00</i>

</div>

<pre class="commit-message" style="white-space: pre-wrap; margin: 0;">ipatests: run test_ipahealthcheck.py::TestIpaHealthCheck separately

The test is changing the date back and forth. Due to PRCI

infra issue, chronyd is not able to connect to the default

NTP servers from the fedora pool, and the date is not

synchronized any more after this test.

To avoid polluting other tests, run this one separately.

Fixes: https://pagure.io/freeipa/issue/8472

Signed-off-by: Florence Blanc-Renaud <flo@redhat.com>

Reviewed-By: Rob Crittenden <rcritten@redhat.com>

</pre>

</li>

<li>

<strong><a href="https://salsa.debian.org/freeipa-team/freeipa/-/commit/ab6811a131190d89c5ef8c55a2edb8b73499280a">ab6811a1</a></strong>

<div>

<span>by Florence Blanc-Renaud</span>

<i>at 2020-08-31T09:41:02+03:00</i>

</div>

<pre class="commit-message" style="white-space: pre-wrap; margin: 0;">ipatests: add missing healthcheck test in PRCI nightlies

Signed-off-by: Florence Blanc-Renaud <flo@redhat.com>

Reviewed-By: Rob Crittenden <rcritten@redhat.com>

</pre>

</li>

<li>

<strong><a href="https://salsa.debian.org/freeipa-team/freeipa/-/commit/173cd9b91b1048e852dca9c39dbbd38304367dd1">173cd9b9</a></strong>

<div>

<span>by Stanislav Levin</span>

<i>at 2020-08-31T09:42:31+03:00</i>

</div>

<pre class="commit-message" style="white-space: pre-wrap; margin: 0;">spec: Require ldns-utils

drill util helps to get information about DNSSEC for testing.

Fixes: https://pagure.io/freeipa/issue/8094

Signed-off-by: Stanislav Levin <slev@altlinux.org>

Reviewed-By: Alexander Bokovoy <abokovoy@redhat.com>

Reviewed-By: Christian Heimes <cheimes@redhat.com>

</pre>

</li>

<li>

<strong><a href="https://salsa.debian.org/freeipa-team/freeipa/-/commit/a9334ce5e5fbedfb22a5779ce90e367c13979747">a9334ce5</a></strong>

<div>

<span>by Stanislav Levin</span>

<i>at 2020-08-31T09:42:31+03:00</i>

</div>

<pre class="commit-message" style="white-space: pre-wrap; margin: 0;">named: Remove no longer used paths

Fixes: https://pagure.io/freeipa/issue/8094

Signed-off-by: Stanislav Levin <slev@altlinux.org>

Reviewed-By: Alexander Bokovoy <abokovoy@redhat.com>

Reviewed-By: Christian Heimes <cheimes@redhat.com>

</pre>

</li>

<li>

<strong><a href="https://salsa.debian.org/freeipa-team/freeipa/-/commit/5c907e34ae4496482151cd9c8271d9931ac4056d">5c907e34</a></strong>

<div>

<span>by Stanislav Levin</span>

<i>at 2020-08-31T09:42:31+03:00</i>

</div>

<pre class="commit-message" style="white-space: pre-wrap; margin: 0;">named: Allow using of a custom OpenSSL engine for BIND

For now Debian, Fedora, RHEL, etc. build BIND with 'native PKCS11'

support. Till recently, that was the strict requirement of DNSSEC.

The problem is that this restricts cross-platform features of FreeIPA.

With the help of libp11, which provides `pkcs11` engine plugin for

the OpenSSL library for accessing PKCS11 modules in a semi-

transparent way, FreeIPA could utilize OpenSSL version of BIND.

BIND in turn provides ability to specify the OpenSSL engine on the

command line of `named` and all the BIND `dnssec-*` tools by using

the `-E engine_name`.

Fixes: https://pagure.io/freeipa/issue/8094

Signed-off-by: Stanislav Levin <slev@altlinux.org>

Reviewed-By: Alexander Bokovoy <abokovoy@redhat.com>

Reviewed-By: Christian Heimes <cheimes@redhat.com>

</pre>

</li>

<li>

<strong><a href="https://salsa.debian.org/freeipa-team/freeipa/-/commit/bed09b7f85a2abf73e2dfec58ea8a094ae847d29">bed09b7f</a></strong>

<div>

<span>by Stanislav Levin</span>

<i>at 2020-08-31T09:42:31+03:00</i>

</div>

<pre class="commit-message" style="white-space: pre-wrap; margin: 0;">DNSKeySyncInstance: Populate named/ods uid/gid on instantiation

Fixes: https://pagure.io/freeipa/issue/8094

Signed-off-by: Stanislav Levin <slev@altlinux.org>

Reviewed-By: Alexander Bokovoy <abokovoy@redhat.com>

Reviewed-By: Christian Heimes <cheimes@redhat.com>

</pre>

</li>

<li>

<strong><a href="https://salsa.debian.org/freeipa-team/freeipa/-/commit/85ed106d78b0393aac7929cd2713f1097fb8a67d">85ed106d</a></strong>

<div>

<span>by Stanislav Levin</span>

<i>at 2020-08-31T09:42:31+03:00</i>

</div>

<pre class="commit-message" style="white-space: pre-wrap; margin: 0;">upgrade: Handle migration of BIND OpenSSL engine

Fixes: https://pagure.io/freeipa/issue/8094

Signed-off-by: Stanislav Levin <slev@altlinux.org>

Reviewed-By: Alexander Bokovoy <abokovoy@redhat.com>

Reviewed-By: Christian Heimes <cheimes@redhat.com>

</pre>

</li>

<li>

<strong><a href="https://salsa.debian.org/freeipa-team/freeipa/-/commit/721435cf7f2ed41fe807c34022fed31c792b4497">721435cf</a></strong>

<div>

<span>by Stanislav Levin</span>

<i>at 2020-08-31T09:42:31+03:00</i>

</div>

<pre class="commit-message" style="white-space: pre-wrap; margin: 0;">named: Make use of 'pkcs11' OpenSSL engine for BIND on Fedora31

Fixes: https://pagure.io/freeipa/issue/8094

Signed-off-by: Stanislav Levin <slev@altlinux.org>

Reviewed-By: Alexander Bokovoy <abokovoy@redhat.com>

Reviewed-By: Christian Heimes <cheimes@redhat.com>

</pre>

</li>

<li>

<strong><a href="https://salsa.debian.org/freeipa-team/freeipa/-/commit/53b341f94b2ba5f39696995e4ad772ffe757e495">53b341f9</a></strong>

<div>

<span>by Stanislav Levin</span>

<i>at 2020-08-31T09:42:31+03:00</i>

</div>

<pre class="commit-message" style="white-space: pre-wrap; margin: 0;">spec: Bump required openssl-pkcs11 and softhsm

Fixes: https://pagure.io/freeipa/issue/8094

Signed-off-by: Stanislav Levin <slev@altlinux.org>

Reviewed-By: Alexander Bokovoy <abokovoy@redhat.com>

Reviewed-By: Christian Heimes <cheimes@redhat.com>

</pre>

</li>

<li>

<strong><a href="https://salsa.debian.org/freeipa-team/freeipa/-/commit/8716881fc41909d0ab5a32d2db79313d7b81ee49">8716881f</a></strong>

<div>

<span>by Stanislav Levin</span>

<i>at 2020-08-31T09:42:31+03:00</i>

</div>

<pre class="commit-message" style="white-space: pre-wrap; margin: 0;">service: Allow service to clean up its state

Fixes: https://pagure.io/freeipa/issue/8094

Signed-off-by: Stanislav Levin <slev@altlinux.org>

Reviewed-By: Alexander Bokovoy <abokovoy@redhat.com>

Reviewed-By: Christian Heimes <cheimes@redhat.com>

</pre>

</li>

<li>

<strong><a href="https://salsa.debian.org/freeipa-team/freeipa/-/commit/ecfaf897b937e2333296d32960b2cc13843048f9">ecfaf897</a></strong>

<div>

<span>by Stanislav Levin</span>

<i>at 2020-08-31T09:42:31+03:00</i>

</div>

<pre class="commit-message" style="white-space: pre-wrap; margin: 0;">named: Don't override custom command line options for named

Custom options can be supplied by a vendor via 'OPTIONS' env

variable(platform specific) and IPA installer will override them

in this case. Thus, at least, the base parsing of existing options

is required.

Current named command line options:

NS_MAIN_ARGS "46A:c:C:d:D:E:fFgi:lL:M:m:n:N:p:P:sS:t:T:U:u:vVx:X:"

If there are several same options the last passed wins.

Fixes: https://pagure.io/freeipa/issue/8094

Signed-off-by: Stanislav Levin <slev@altlinux.org>

Reviewed-By: Alexander Bokovoy <abokovoy@redhat.com>

Reviewed-By: Christian Heimes <cheimes@redhat.com>

</pre>

</li>

<li>

<strong><a href="https://salsa.debian.org/freeipa-team/freeipa/-/commit/e2030b8cad9eaf8760ec107f370be3b71ffbe2f4">e2030b8c</a></strong>

<div>

<span>by Stanislav Levin</span>

<i>at 2020-08-31T09:42:31+03:00</i>

</div>

<pre class="commit-message" style="white-space: pre-wrap; margin: 0;">named: Include crypto policy in openssl config

On platforms which have system-wide crypto policy the latter has

to be included in openssl config.

Fixes: https://pagure.io/freeipa/issue/8094

Signed-off-by: Stanislav Levin <slev@altlinux.org>

Reviewed-By: Alexander Bokovoy <abokovoy@redhat.com>

Reviewed-By: Christian Heimes <cheimes@redhat.com>

</pre>

</li>

<li>

<strong><a href="https://salsa.debian.org/freeipa-team/freeipa/-/commit/92157bc880600be137c634d5def788c1bf8c5e8a">92157bc8</a></strong>

<div>

<span>by Stanislav Levin</span>

<i>at 2020-08-31T09:42:31+03:00</i>

</div>

<pre class="commit-message" style="white-space: pre-wrap; margin: 0;">ipa-dnskeysyncd: Raise loglevel to DEBUG

Previously, the logging level of StreamHandler for ipa-dnskeysyncd

was restricted to INFO via `standard_logging_setup(verbose=False)`.

Thus, it was impossible to get messages having lower level.

This also sets the loglevel for ipa-dnskeysyncd to DEBUG for

troubleshooting.

Fixes: https://pagure.io/freeipa/issue/8094

Signed-off-by: Stanislav Levin <slev@altlinux.org>

Reviewed-By: Alexander Bokovoy <abokovoy@redhat.com>

Reviewed-By: Christian Heimes <cheimes@redhat.com>

</pre>

</li>

<li>

<strong><a href="https://salsa.debian.org/freeipa-team/freeipa/-/commit/0d326a9097c6fe5f1eb6d30340aedbe9200c3d37">0d326a90</a></strong>

<div>

<span>by Stanislav Levin</span>

<i>at 2020-08-31T09:46:03+03:00</i>

</div>

<pre class="commit-message" style="white-space: pre-wrap; margin: 0;">Azure: Add Rawhide definitions

- allow override variables template file with an externally

provided one. This allows to add new Azure Pipeline which will

point to a custom platform definition. Note: Azure's WebUI

variables are runtime variables and not available at parsing time,

that's why it's impossible to override template from WebUI in

this case.

- add Rawhide templates

- add Dockerfile for build Rawhie Docker image for tests phase

Note: 'fedora:rawhide' is too old, use for now

'registry.fedoraproject.org/fedora:rawhide'.

See, https://bugzilla.redhat.com/show_bug.cgi?id=1869612

Signed-off-by: Stanislav Levin <slev@altlinux.org>

Reviewed-By: Alexander Bokovoy <abokovoy@redhat.com>

</pre>

</li>

<li>

<strong><a href="https://salsa.debian.org/freeipa-team/freeipa/-/commit/60ff2841cd74706a5ebd40924f11ad3defaa1750">60ff2841</a></strong>

<div>

<span>by Stanislav Levin</span>

<i>at 2020-08-31T09:46:03+03:00</i>

</div>

<pre class="commit-message" style="white-space: pre-wrap; margin: 0;">Azure: Drop dependency on UsePythonVersion task

Python is provided by the Docker container image and it's no

longer needed to bind mount host's Python into container.

Signed-off-by: Stanislav Levin <slev@altlinux.org>

Reviewed-By: Alexander Bokovoy <abokovoy@redhat.com>

</pre>

</li>

<li>

<strong><a href="https://salsa.debian.org/freeipa-team/freeipa/-/commit/a5b23287aeddd32b129d4c97e6354900c8b931ec">a5b23287</a></strong>

<div>

<span>by Stanislav Levin</span>

<i>at 2020-08-31T09:46:03+03:00</i>

</div>

<pre class="commit-message" style="white-space: pre-wrap; margin: 0;">Azure: base: Collect both install and uninstall logs

Some applications remove their logs on uninstallation.

As a result of this, Azure lost `install` logs.

Signed-off-by: Stanislav Levin <slev@altlinux.org>

Reviewed-By: Alexander Bokovoy <abokovoy@redhat.com>

</pre>

</li>

<li>

<strong><a href="https://salsa.debian.org/freeipa-team/freeipa/-/commit/a102cfe5faf28b801d2ad3570477ef9dd5c0d5f1">a102cfe5</a></strong>

<div>

<span>by Stanislav Levin</span>

<i>at 2020-08-31T09:46:03+03:00</i>

</div>

<pre class="commit-message" style="white-space: pre-wrap; margin: 0;">nss: Raise exception earlier on unsupported DB type

For now FreeIPA handles explicit migration of NSS DB (dbm->sql).

But Mozilla's NSS can be built without the support of legacy database

(DBM). This implies that neither implicit nor explicit DB migration

to SQL will work. So, eventually, this support will be removed from

FreeIPA.

With this patch, the instantiation of NSS with legacy db(if not

supported by NSS) is forbidden.

Fixes: https://pagure.io/freeipa/issue/8474

Signed-off-by: Stanislav Levin <slev@altlinux.org>

Reviewed-By: Alexander Bokovoy <abokovoy@redhat.com>

</pre>

</li>

<li>

<strong><a href="https://salsa.debian.org/freeipa-team/freeipa/-/commit/f3d10871300498150c41f3acc154688f1ee48ceb">f3d10871</a></strong>

<div>

<span>by Stanislav Levin</span>

<i>at 2020-08-31T09:46:03+03:00</i>

</div>

<pre class="commit-message" style="white-space: pre-wrap; margin: 0;">deps: Require `nss-tools` for make's fasttest target

Otherwise, tests fail with:

```

E               FileNotFoundError: [Errno 2] No such file or directory: '/usr/bin/certutil'

...

=================================== short test summary info ===================================

FAILED test_ipapython/test_certdb.py::test_dbm_tmp - FileNotFoundError: [Errno 2] No such fi...

FAILED test_ipapython/test_certdb.py::test_sql_tmp - FileNotFoundError: [Errno 2] No such fi...

FAILED test_ipapython/test_certdb.py::test_convert_db - FileNotFoundError: [Errno 2] No such...

FAILED test_ipapython/test_certdb.py::test_convert_db_nokey - FileNotFoundError: [Errno 2] N...

FAILED test_ipapython/test_certdb.py::test_auto_db - FileNotFoundError: [Errno 2] No such fi...

FAILED test_ipapython/test_certdb.py::test_delete_cert_and_key - FileNotFoundError: [Errno 2...

FAILED test_ipapython/test_certdb.py::test_check_validity - FileNotFoundError: [Errno 2] No ...

...

```

Signed-off-by: Stanislav Levin <slev@altlinux.org>

Reviewed-By: Alexander Bokovoy <abokovoy@redhat.com>

</pre>

</li>

<li>

<strong><a href="https://salsa.debian.org/freeipa-team/freeipa/-/commit/30cf59d0ae39e83f3590152aec19e466dbc3623a">30cf59d0</a></strong>

<div>

<span>by Stanislav Levin</span>

<i>at 2020-08-31T09:46:03+03:00</i>

</div>

<pre class="commit-message" style="white-space: pre-wrap; margin: 0;">Azure: Increase verbosity for Tox task

This allows to debug issues happened during packages installation:

> -v, --verbose     increase verbosity of reporting output.

-vv mode turns off output redirection for package installation,

above level two verbosity flags are passed through to pip (with two less

level) (default: 0)

Signed-off-by: Stanislav Levin <slev@altlinux.org>

Reviewed-By: Alexander Bokovoy <abokovoy@redhat.com>

</pre>

</li>

<li>

<strong><a href="https://salsa.debian.org/freeipa-team/freeipa/-/commit/fdb227e55ab976fb26ef417df1e4a842d3280f5c">fdb227e5</a></strong>

<div>

<span>by Stanislav Levin</span>

<i>at 2020-08-31T09:46:03+03:00</i>

</div>

<pre class="commit-message" style="white-space: pre-wrap; margin: 0;">tox: Don't expand symlinks

`virtualenv` < 20.0.0 copies system python binary into virt

environment and then links `python` to it. While

`virtualenv` >= 20.0.0 directly links `python` to system python

binary (without copying).

`realpath` by default expands symlinks. Thereby, pip attempts to

install packages into the system's site-packages and

fails with 'Permission denied' (non-privileged user).

Fixes: https://pagure.io/freeipa/issue/8475

Signed-off-by: Stanislav Levin <slev@altlinux.org>

Reviewed-By: Alexander Bokovoy <abokovoy@redhat.com>

</pre>

</li>

<li>

<strong><a href="https://salsa.debian.org/freeipa-team/freeipa/-/commit/49e643783d22ded7a44d84599020af4e8a3d4d5a">49e64378</a></strong>

<div>

<span>by Stanislav Levin</span>

<i>at 2020-08-31T09:46:03+03:00</i>

</div>

<pre class="commit-message" style="white-space: pre-wrap; margin: 0;">dnspython: Add compatibility shim

`dnspython` 2.0.0 has many changes and several deprecations like:

```

> dns.resolver.resolve() has been added, allowing control of whether

search lists are used. dns.resolver.query() is retained for backwards

compatibility, but deprecated. The default for search list behavior can

be set at in the resolver object with the use_search_by_default

parameter. The default is False.

> dns.resolver.resolve_address() has been added, allowing easy

address-to-name lookups.

```

The new class `DNSResolver`:

- provides the compatibility layer

- defaults the previous behavior (the search list configured in the

  system's resolver configuration is used for relative names)

- defaults lifetime to 15sec (determines the number of seconds

  to spend trying to get an answer to the question)

Fixes: https://pagure.io/freeipa/issue/8383

Signed-off-by: Stanislav Levin <slev@altlinux.org>

Reviewed-By: Alexander Bokovoy <abokovoy@redhat.com>

</pre>

</li>

<li>

<strong><a href="https://salsa.debian.org/freeipa-team/freeipa/-/commit/b450c9bd324a3c89ea03d898592cfed832184802">b450c9bd</a></strong>

<div>

<span>by Stanislav Levin</span>

<i>at 2020-08-31T17:24:40+03:00</i>

</div>

<pre class="commit-message" style="white-space: pre-wrap; margin: 0;">dns: Make use of `resolve_address` of a current resolver instead of the global one

For now, `resolve_address` for dnspython < 2.0.0 is actually

the instance method of the global DNSResolver object and is not

the instance method of the corresponding object from which it was

called. This can result in unexpected behavior.

Signed-off-by: Stanislav Levin <slev@altlinux.org>

Reviewed-By: Alexander Bokovoy <abokovoy@redhat.com>

</pre>

</li>

<li>

<strong><a href="https://salsa.debian.org/freeipa-team/freeipa/-/commit/5d13ef9bfe52442af7d8d39113a8b0a01f5f0bff">5d13ef9b</a></strong>

<div>

<span>by Stanislav Levin</span>

<i>at 2020-09-01T17:25:54+03:00</i>

</div>

<pre class="commit-message" style="white-space: pre-wrap; margin: 0;">Azure: Add Rawhide definitions

- allow override variables template file with an externally

provided one. This allows to add new Azure Pipeline which will

point to a custom platform definition. Note: Azure's WebUI

variables are runtime variables and not available at parsing time,

that's why it's impossible to override template from WebUI in

this case.

- add Rawhide templates

- add Dockerfile for build Rawhie Docker image for tests phase

Note: 'fedora:rawhide' is too old, use for now

'registry.fedoraproject.org/fedora:rawhide'.

See, https://bugzilla.redhat.com/show_bug.cgi?id=1869612

Signed-off-by: Stanislav Levin <slev@altlinux.org>

Reviewed-By: Alexander Bokovoy <abokovoy@redhat.com>

</pre>

</li>

<li>

<strong><a href="https://salsa.debian.org/freeipa-team/freeipa/-/commit/ae219dffbcb71f6ab12b4e4831a1c02e4279f0b8">ae219dff</a></strong>

<div>

<span>by Stanislav Levin</span>

<i>at 2020-09-01T17:25:54+03:00</i>

</div>

<pre class="commit-message" style="white-space: pre-wrap; margin: 0;">Azure: Drop dependency on UsePythonVersion task

Python is provided by the Docker container image and it's no

longer needed to bind mount host's Python into container.

Signed-off-by: Stanislav Levin <slev@altlinux.org>

Reviewed-By: Alexander Bokovoy <abokovoy@redhat.com>

</pre>

</li>

<li>

<strong><a href="https://salsa.debian.org/freeipa-team/freeipa/-/commit/0ff6b6ee55bfb633b1aee7948c885dfa3f711168">0ff6b6ee</a></strong>

<div>

<span>by Stanislav Levin</span>

<i>at 2020-09-01T17:25:54+03:00</i>

</div>

<pre class="commit-message" style="white-space: pre-wrap; margin: 0;">Azure: base: Collect both install and uninstall logs

Some applications remove their logs on uninstallation.

As a result of this, Azure lost `install` logs.

Signed-off-by: Stanislav Levin <slev@altlinux.org>

Reviewed-By: Alexander Bokovoy <abokovoy@redhat.com>

</pre>

</li>

<li>

<strong><a href="https://salsa.debian.org/freeipa-team/freeipa/-/commit/0a8997ff0be5b3ce67172da9b123a461be83f1e6">0a8997ff</a></strong>

<div>

<span>by Stanislav Levin</span>

<i>at 2020-09-01T17:25:54+03:00</i>

</div>

<pre class="commit-message" style="white-space: pre-wrap; margin: 0;">nss: Raise exception earlier on unsupported DB type

For now FreeIPA handles explicit migration of NSS DB (dbm->sql).

But Mozilla's NSS can be built without the support of legacy database

(DBM). This implies that neither implicit nor explicit DB migration

to SQL will work. So, eventually, this support will be removed from

FreeIPA.

With this patch, the instantiation of NSS with legacy db(if not

supported by NSS) is forbidden.

Fixes: https://pagure.io/freeipa/issue/8474

Signed-off-by: Stanislav Levin <slev@altlinux.org>

Reviewed-By: Alexander Bokovoy <abokovoy@redhat.com>

</pre>

</li>

<li>

<strong><a href="https://salsa.debian.org/freeipa-team/freeipa/-/commit/ee661dc7223bf107d30dda39184c402964f2982f">ee661dc7</a></strong>

<div>

<span>by Stanislav Levin</span>

<i>at 2020-09-01T17:25:54+03:00</i>

</div>

<pre class="commit-message" style="white-space: pre-wrap; margin: 0;">deps: Require `nss-tools` for make's fasttest target

Otherwise, tests fail with:

```

E               FileNotFoundError: [Errno 2] No such file or directory: '/usr/bin/certutil'

...

=================================== short test summary info ===================================

FAILED test_ipapython/test_certdb.py::test_dbm_tmp - FileNotFoundError: [Errno 2] No such fi...

FAILED test_ipapython/test_certdb.py::test_sql_tmp - FileNotFoundError: [Errno 2] No such fi...

FAILED test_ipapython/test_certdb.py::test_convert_db - FileNotFoundError: [Errno 2] No such...

FAILED test_ipapython/test_certdb.py::test_convert_db_nokey - FileNotFoundError: [Errno 2] N...

FAILED test_ipapython/test_certdb.py::test_auto_db - FileNotFoundError: [Errno 2] No such fi...

FAILED test_ipapython/test_certdb.py::test_delete_cert_and_key - FileNotFoundError: [Errno 2...

FAILED test_ipapython/test_certdb.py::test_check_validity - FileNotFoundError: [Errno 2] No ...

...

```

Signed-off-by: Stanislav Levin <slev@altlinux.org>

Reviewed-By: Alexander Bokovoy <abokovoy@redhat.com>

</pre>

</li>

<li>

<strong><a href="https://salsa.debian.org/freeipa-team/freeipa/-/commit/428373f127f69b4fee45b356c765e7a227c8788b">428373f1</a></strong>

<div>

<span>by Stanislav Levin</span>

<i>at 2020-09-01T17:25:54+03:00</i>

</div>

<pre class="commit-message" style="white-space: pre-wrap; margin: 0;">Azure: Increase verbosity for Tox task

This allows to debug issues happened during packages installation:

> -v, --verbose     increase verbosity of reporting output.

-vv mode turns off output redirection for package installation,

above level two verbosity flags are passed through to pip (with two less

level) (default: 0)

Signed-off-by: Stanislav Levin <slev@altlinux.org>

Reviewed-By: Alexander Bokovoy <abokovoy@redhat.com>

</pre>

</li>

<li>

<strong><a href="https://salsa.debian.org/freeipa-team/freeipa/-/commit/76502144dd71c957954ac44002d034e691713cb3">76502144</a></strong>

<div>

<span>by Stanislav Levin</span>

<i>at 2020-09-01T17:25:54+03:00</i>

</div>

<pre class="commit-message" style="white-space: pre-wrap; margin: 0;">tox: Don't expand symlinks

`virtualenv` < 20.0.0 copies system python binary into virt

environment and then links `python` to it. While

`virtualenv` >= 20.0.0 directly links `python` to system python

binary (without copying).

`realpath` by default expands symlinks. Thereby, pip attempts to

install packages into the system's site-packages and

fails with 'Permission denied' (non-privileged user).

Fixes: https://pagure.io/freeipa/issue/8475

Signed-off-by: Stanislav Levin <slev@altlinux.org>

Reviewed-By: Alexander Bokovoy <abokovoy@redhat.com>

</pre>

</li>

<li>

<strong><a href="https://salsa.debian.org/freeipa-team/freeipa/-/commit/ae8b723c1e0f5d66b0fa5e618b7274d872e918d3">ae8b723c</a></strong>

<div>

<span>by Stanislav Levin</span>

<i>at 2020-09-01T17:25:54+03:00</i>

</div>

<pre class="commit-message" style="white-space: pre-wrap; margin: 0;">dnspython: Add compatibility shim

`dnspython` 2.0.0 has many changes and several deprecations like:

```

> dns.resolver.resolve() has been added, allowing control of whether

search lists are used. dns.resolver.query() is retained for backwards

compatibility, but deprecated. The default for search list behavior can

be set at in the resolver object with the use_search_by_default

parameter. The default is False.

> dns.resolver.resolve_address() has been added, allowing easy

address-to-name lookups.

```

The new class `DNSResolver`:

- provides the compatibility layer

- defaults the previous behavior (the search list configured in the

  system's resolver configuration is used for relative names)

- defaults lifetime to 15sec (determines the number of seconds

  to spend trying to get an answer to the question)

Fixes: https://pagure.io/freeipa/issue/8383

Signed-off-by: Stanislav Levin <slev@altlinux.org>

Reviewed-By: Alexander Bokovoy <abokovoy@redhat.com>

</pre>

</li>

<li>

<strong><a href="https://salsa.debian.org/freeipa-team/freeipa/-/commit/30ec6c8e393697f97857a8dca0eb4a1dd11533c0">30ec6c8e</a></strong>

<div>

<span>by Timo Aaltonen</span>

<i>at 2020-09-02T08:05:57+03:00</i>

</div>

<pre class="commit-message" style="white-space: pre-wrap; margin: 0;">releasing package freeipa version 4.8.8-1

</pre>

</li>

<li>

<strong><a href="https://salsa.debian.org/freeipa-team/freeipa/-/commit/530af23af195f8d697b9f84fd2eb834ef8dfde5c">530af23a</a></strong>

<div>

<span>by Timo Aaltonen</span>

<i>at 2020-09-02T09:47:13+03:00</i>

</div>

<pre class="commit-message" style="white-space: pre-wrap; margin: 0;">copyright: Fix duplicate-globbing-patterns lintian error.

</pre>

</li>

<li>

<strong><a href="https://salsa.debian.org/freeipa-team/freeipa/-/commit/b0fa995326039e5dbb5095575f03195ff6008d89">b0fa9953</a></strong>

<div>

<span>by Timo Aaltonen</span>

<i>at 2020-09-02T11:06:01+03:00</i>

</div>

<pre class="commit-message" style="white-space: pre-wrap; margin: 0;">releasing package freeipa version 4.8.8-2

</pre>

</li>

<li>

<strong><a href="https://salsa.debian.org/freeipa-team/freeipa/-/commit/656aa91215d2c9142755fc0962dc13668e6f8f3c">656aa912</a></strong>

<div>

<span>by Stanislav Levin</span>

<i>at 2020-09-03T13:54:04+02:00</i>

</div>

<pre class="commit-message" style="white-space: pre-wrap; margin: 0;">dns: Make use of `resolve_address` of a current resolver instead of the global one

For now, `resolve_address` for dnspython < 2.0.0 is actually

the instance method of the global DNSResolver object and is not

the instance method of the corresponding object from which it was

called. This can result in unexpected behavior.

Signed-off-by: Stanislav Levin <slev@altlinux.org>

Reviewed-By: Alexander Bokovoy <abbra@users.noreply.github.com>

</pre>

</li>

<li>

<strong><a href="https://salsa.debian.org/freeipa-team/freeipa/-/commit/b54d936487202a16031e5fdc23f5dfabde28af58">b54d9364</a></strong>

<div>

<span>by Fraser Tweedale</span>

<i>at 2020-09-03T13:56:45+02:00</i>

</div>

<pre class="commit-message" style="white-space: pre-wrap; margin: 0;">delete unused subroutine get_host_name()

Commit a42a711394178a459bde006e6b49ed799a7cce1a, from September

2018, removed the only call site of installutils.get_host_name().

Delete the definition.

Reviewed-By: Alexander Bokovoy <abokovoy@redhat.com>

</pre>

</li>

<li>

<strong><a href="https://salsa.debian.org/freeipa-team/freeipa/-/commit/9094dfc294ff0fc85e153bd7ae2cdbcbac423c3b">9094dfc2</a></strong>

<div>

<span>by Fraser Tweedale</span>

<i>at 2020-09-03T13:58:59+02:00</i>

</div>

<pre class="commit-message" style="white-space: pre-wrap; margin: 0;">install: simplify host name verification

Perform a small refactor to the installer code that chooses and

verifies the hostname.  In particular:

- choice of hostname is separate from validation

- read_host_name no longer performs validation

- verify_fqdn is now called from one place

- if/else branches are now "balanced"

Reviewed-By: Alexander Bokovoy <abokovoy@redhat.com>

</pre>

</li>

<li>

<strong><a href="https://salsa.debian.org/freeipa-team/freeipa/-/commit/15f168c10342a48c67e6f37737b60bab05dad04a">15f168c1</a></strong>

<div>

<span>by Sudhir Menon</span>

<i>at 2020-09-03T15:56:15+02:00</i>

</div>

<pre class="commit-message" style="white-space: pre-wrap; margin: 0;">ipatests: Install healthcheck pkg for TestIpaHealthCheckWithADtrust

Tests for TestIpaHealthCheckWithADtrust are failing since

package is not installed, this patch installs

healthcheck pkg on the IPA Master.

Patch to install healthcheck package for TestIpaHealthCheckWithExternalCA

Signed-off-by: Sudhir Menon <sumenon@redhat.com>

Reviewed-By: Florence Blanc-Renaud <flo@redhat.com>

</pre>

</li>

<li>

<strong><a href="https://salsa.debian.org/freeipa-team/freeipa/-/commit/0a7fc535345892ee93aa736dcd94a4f23c544f61">0a7fc535</a></strong>

<div>

<span>by Sudhir Menon</span>

<i>at 2020-09-04T08:41:39+02:00</i>

</div>

<pre class="commit-message" style="white-space: pre-wrap; margin: 0;">ipatests: Install healthcheck pkg for TestIpaHealthCheckWithADtrust

Tests for TestIpaHealthCheckWithADtrust are failing since

package is not installed, this patch installs

healthcheck pkg on the IPA Master.

Patch to install healthcheck package for TestIpaHealthCheckWithExternalCA

Signed-off-by: Sudhir Menon <sumenon@redhat.com>

Reviewed-By: Florence Blanc-Renaud <flo@redhat.com>

</pre>

</li>

<li>

<strong><a href="https://salsa.debian.org/freeipa-team/freeipa/-/commit/50fdc8089a4f7970d6dfa3dc843b75b3e6f31d3c">50fdc808</a></strong>

<div>

<span>by Florence Blanc-Renaud</span>

<i>at 2020-09-07T09:25:25+02:00</i>

</div>

<pre class="commit-message" style="white-space: pre-wrap; margin: 0;">ipatests: fix bind service name

With the commit 721435cf7f2ed41fe807c34022fed31c792b4497

the service name for bind is now 'named' instead of

'named-pkcs11' on fedora. The ipa-healthcheck test was hardcoding

the service name but it should instead use the name stored in

knownservices.named.systemd_name as it varies depending on

the OS.

Fixes: https://pagure.io/freeipa/issue/8482

Reviewed-By: Alexander Bokovoy <abokovoy@redhat.com>

</pre>

</li>

<li>

<strong><a href="https://salsa.debian.org/freeipa-team/freeipa/-/commit/68328299c881df497dab32b145157d6e0e42d6c6">68328299</a></strong>

<div>

<span>by François Cami</span>

<i>at 2020-09-09T17:49:23-04:00</i>

</div>

<pre class="commit-message" style="white-space: pre-wrap; margin: 0;">SELinux Policy: let custodia replicate keys

Enhance the SELinux policy so that custodia can replicate sub-CA keys

and certificates:

allow ipa_custodia_t self:tcp_socket { bind create };

allow ipa_custodia_t node_t:tcp_socket node_bind;

allow ipa_custodia_t pki_tomcat_cert_t:dir remove_name;

allow ipa_custodia_t pki_tomcat_cert_t:file create;

allow ipa_custodia_t pki_tomcat_cert_t:file unlink;

allow ipa_custodia_t self:process execmem;

Found by: test_replica_promotion::TestSubCAkeyReplication

Fixes: https://pagure.io/freeipa/issue/8488

Signed-off-by: François Cami <fcami@redhat.com>

Reviewed-By: Rob Crittenden <rcritten@redhat.com>

</pre>

</li>

<li>

<strong><a href="https://salsa.debian.org/freeipa-team/freeipa/-/commit/438285470610dee4aa6a56523df22307840ede87">43828547</a></strong>

<div>

<span>by François Cami</span>

<i>at 2020-09-10T08:58:26+02:00</i>

</div>

<pre class="commit-message" style="white-space: pre-wrap; margin: 0;">SELinux Policy: let custodia replicate keys

Enhance the SELinux policy so that custodia can replicate sub-CA keys

and certificates:

allow ipa_custodia_t self:tcp_socket { bind create };

allow ipa_custodia_t node_t:tcp_socket node_bind;

allow ipa_custodia_t pki_tomcat_cert_t:dir remove_name;

allow ipa_custodia_t pki_tomcat_cert_t:file create;

allow ipa_custodia_t pki_tomcat_cert_t:file unlink;

allow ipa_custodia_t self:process execmem;

Found by: test_replica_promotion::TestSubCAkeyReplication

Fixes: https://pagure.io/freeipa/issue/8488

Signed-off-by: François Cami <fcami@redhat.com>

Reviewed-By: Rob Crittenden <rcritten@redhat.com>

</pre>

</li>

<li>

<strong><a href="https://salsa.debian.org/freeipa-team/freeipa/-/commit/dbc7881e36fa67d4ae648c1f55f96a43850de557">dbc7881e</a></strong>

<div>

<span>by Florence Blanc-Renaud</span>

<i>at 2020-09-10T09:14:50+02:00</i>

</div>

<pre class="commit-message" style="white-space: pre-wrap; margin: 0;">dnsforwardzone-add: support dnspython 2.0

The command dnsforwardzone-add is assuming that the dns.rrset.RRset

type stores "items" as a list. With dnspython 2.0 this is not true

as a dict is used instead.

As a consequence, in order to get the first record, it is not possible

to use items[0]. As dict and list are both iterables, next(iter(items))

can be used in order to be compatible with dnspython 1.16 and 2.0.

Fixes: https://pagure.io/freeipa/issue/8481

Reviewed-By: Alexander Bokovoy <abokovoy@redhat.com>

Reviewed-By: Rob Crittenden <rcritten@redhat.com>

</pre>

</li>

<li>

<strong><a href="https://salsa.debian.org/freeipa-team/freeipa/-/commit/040d48fa61eb4902f43dfe7fa10257de1e3818b6">040d48fa</a></strong>

<div>

<span>by Rob Crittenden</span>

<i>at 2020-09-10T09:21:25+02:00</i>

</div>

<pre class="commit-message" style="white-space: pre-wrap; margin: 0;">ipatests: test ipa_server_certinstall with an IPA-issued cert

ipa-server-certinstall takes a slightly different code path if

the replacement certificate is IPA-issued so exercise that path.

This replaces the Apache cert with itself which is a bit of a no-op

but it still goes through the motions.

https://pagure.io/freeipa/issue/8204

Signed-off-by: Rob Crittenden <rcritten@redhat.com>

Reviewed-By: Fraser Tweedale <ftweedal@redhat.com>

</pre>

</li>

<li>

<strong><a href="https://salsa.debian.org/freeipa-team/freeipa/-/commit/f249c51bf4342341378e63953386e9ac4070be54">f249c51b</a></strong>

<div>

<span>by Rob Crittenden</span>

<i>at 2020-09-10T09:21:25+02:00</i>

</div>

<pre class="commit-message" style="white-space: pre-wrap; margin: 0;">Set the certmonger subject with a string, not an object

ipa-server-certinstall goes through a slightly different code path

if the replacement certificate is issued by IPA. This was setting

the subject using cert.subject which is a Name object and not the

string representation of that object. This was failing in the

dbus call to certmonger.

https://pagure.io/freeipa/issue/8204

Signed-off-by: Rob Crittenden <rcritten@redhat.com>

Reviewed-By: Fraser Tweedale <ftweedal@redhat.com>

</pre>

</li>

<li>

<strong><a href="https://salsa.debian.org/freeipa-team/freeipa/-/commit/fefaeb4bf9f8ca0c64dd8ccb242ac7727ae4b70f">fefaeb4b</a></strong>

<div>

<span>by Florence Blanc-Renaud</span>

<i>at 2020-09-10T11:32:03+02:00</i>

</div>

<pre class="commit-message" style="white-space: pre-wrap; margin: 0;">dnsforwardzone-add: support dnspython 2.0

The command dnsforwardzone-add is assuming that the dns.rrset.RRset

type stores "items" as a list. With dnspython 2.0 this is not true

as a dict is used instead.

As a consequence, in order to get the first record, it is not possible

to use items[0]. As dict and list are both iterables, next(iter(items))

can be used in order to be compatible with dnspython 1.16 and 2.0.

Fixes: https://pagure.io/freeipa/issue/8481

Reviewed-By: Alexander Bokovoy <abokovoy@redhat.com>

Reviewed-By: Rob Crittenden <rcritten@redhat.com>

</pre>

</li>

<li>

<strong><a href="https://salsa.debian.org/freeipa-team/freeipa/-/commit/099ab6c7156202cb1bd0fb6b27dc389dc56c82f7">099ab6c7</a></strong>

<div>

<span>by Rob Crittenden</span>

<i>at 2020-09-10T12:14:33+02:00</i>

</div>

<pre class="commit-message" style="white-space: pre-wrap; margin: 0;">ipatests: test ipa_server_certinstall with an IPA-issued cert

ipa-server-certinstall takes a slightly different code path if

the replacement certificate is IPA-issued so exercise that path.

This replaces the Apache cert with itself which is a bit of a no-op

but it still goes through the motions.

https://pagure.io/freeipa/issue/8204

Signed-off-by: Rob Crittenden <rcritten@redhat.com>

Reviewed-By: Fraser Tweedale <ftweedal@redhat.com>

</pre>

</li>

<li>

<strong><a href="https://salsa.debian.org/freeipa-team/freeipa/-/commit/2a5a2a0bf3e99ab8aa11235c3d01fbac51e33176">2a5a2a0b</a></strong>

<div>

<span>by Rob Crittenden</span>

<i>at 2020-09-10T12:14:33+02:00</i>

</div>

<pre class="commit-message" style="white-space: pre-wrap; margin: 0;">Set the certmonger subject with a string, not an object

ipa-server-certinstall goes through a slightly different code path

if the replacement certificate is issued by IPA. This was setting

the subject using cert.subject which is a Name object and not the

string representation of that object. This was failing in the

dbus call to certmonger.

https://pagure.io/freeipa/issue/8204

Signed-off-by: Rob Crittenden <rcritten@redhat.com>

Reviewed-By: Fraser Tweedale <ftweedal@redhat.com>

</pre>

</li>

<li>

<strong><a href="https://salsa.debian.org/freeipa-team/freeipa/-/commit/d00106b34de231bc67cdee904dbdccc21c8fcbc6">d00106b3</a></strong>

<div>

<span>by Alexander Bokovoy</span>

<i>at 2020-09-10T11:57:14-04:00</i>

</div>

<pre class="commit-message" style="white-space: pre-wrap; margin: 0;">ipa-kdb: support getprincs request in kadmin.local

kadmin.local getprincs command results in passing '*' as a principal to

KDB driver function that looks up the principals.

The whole filter looks like this

 (&(|

    (objectclass=krbprincipalaux)

    (objectclass=krbprincipal)

    (objectclass=ipakrbprincipal))

   (|(ipakrbprincipalalias=*)

     (krbprincipalname:caseIgnoreIA5Match:=*)))

There are two parts of the LDAP filter we use to look up principals, the

part with 'krbprincipalname' uses extensible filter syntax of RFC 4515

section 3:

      extensible     = ( attr [dnattrs]

                           [matchingrule] COLON EQUALS assertionvalue )

                       / ( [dnattrs]

                            matchingrule COLON EQUALS assertionvalue )

In case we've got a principal name as '*' we have to follow RFC 4515

section 3 and reencode it using <valueencoding> rule from RFC 4511

section 4.1.6 but only to the part of the filter that does use assertion

value.

Fixes: https://pagure.io/freeipa/issue/8490

Signed-off-by: Alexander Bokovoy <abokovoy@redhat.com>

Reviewed-By: Rob Crittenden <rcritten@redhat.com>

</pre>

</li>

<li>

<strong><a href="https://salsa.debian.org/freeipa-team/freeipa/-/commit/ba1a7b97c192221af8f4823b82ea1bcf9a2b491c">ba1a7b97</a></strong>

<div>

<span>by Alexander Bokovoy</span>

<i>at 2020-09-10T11:57:14-04:00</i>

</div>

<pre class="commit-message" style="white-space: pre-wrap; margin: 0;">ipa-kdb: test kadmin.local getprincs command

Fixes: https://pagure.io/freeipa/issue/8490

Signed-off-by: Alexander Bokovoy <abokovoy@redhat.com>

Reviewed-By: Rob Crittenden <rcritten@redhat.com>

</pre>

</li>

<li>

<strong><a href="https://salsa.debian.org/freeipa-team/freeipa/-/commit/21186540f0425840e544a3cead8da909744aeac0">21186540</a></strong>

<div>

<span>by Armando Neto</span>

<i>at 2020-09-10T18:36:25+02:00</i>

</div>

<pre class="commit-message" style="white-space: pre-wrap; margin: 0;">ipatests: Bump PR-CI templates

New templates with a previously working version of `geckodriver`.

Issue: https://pagure.io/freeipa/issue/8473

Signed-off-by: Armando Neto <abiagion@redhat.com>

Reviewed-By: Florence Blanc-Renaud <flo@redhat.com>

</pre>

</li>

<li>

<strong><a href="https://salsa.debian.org/freeipa-team/freeipa/-/commit/fe9f4a86ca27c56ec9f4db85f9aea0dae8880638">fe9f4a86</a></strong>

<div>

<span>by Armando Neto</span>

<i>at 2020-09-10T18:37:37+02:00</i>

</div>

<pre class="commit-message" style="white-space: pre-wrap; margin: 0;">ipatests: Bump PR-CI templates

New templates with a previously working version of `geckodriver`.

Issue: https://pagure.io/freeipa/issue/8473

Signed-off-by: Armando Neto <abiagion@redhat.com>

Reviewed-By: Florence Blanc-Renaud <flo@redhat.com>

</pre>

</li>

<li>

<strong><a href="https://salsa.debian.org/freeipa-team/freeipa/-/commit/ec8a560392c89da96a805e9779eaa2041dd992c1">ec8a5603</a></strong>

<div>

<span>by Alexander Bokovoy</span>

<i>at 2020-09-10T15:34:00-04:00</i>

</div>

<pre class="commit-message" style="white-space: pre-wrap; margin: 0;">ipa-kdb: support getprincs request in kadmin.local

kadmin.local getprincs command results in passing '*' as a principal to

KDB driver function that looks up the principals.

The whole filter looks like this

 (&(|

    (objectclass=krbprincipalaux)

    (objectclass=krbprincipal)

    (objectclass=ipakrbprincipal))

   (|(ipakrbprincipalalias=*)

     (krbprincipalname:caseIgnoreIA5Match:=*)))

There are two parts of the LDAP filter we use to look up principals, the

part with 'krbprincipalname' uses extensible filter syntax of RFC 4515

section 3:

      extensible     = ( attr [dnattrs]

                           [matchingrule] COLON EQUALS assertionvalue )

                       / ( [dnattrs]

                            matchingrule COLON EQUALS assertionvalue )

In case we've got a principal name as '*' we have to follow RFC 4515

section 3 and reencode it using <valueencoding> rule from RFC 4511

section 4.1.6 but only to the part of the filter that does use assertion

value.

Fixes: https://pagure.io/freeipa/issue/8490

Signed-off-by: Alexander Bokovoy <abokovoy@redhat.com>

Reviewed-By: Rob Crittenden <rcritten@redhat.com>

</pre>

</li>

<li>

<strong><a href="https://salsa.debian.org/freeipa-team/freeipa/-/commit/f316d0118b8b00207e8d005f20d5de837c46a220">f316d011</a></strong>

<div>

<span>by Alexander Bokovoy</span>

<i>at 2020-09-10T15:34:00-04:00</i>

</div>

<pre class="commit-message" style="white-space: pre-wrap; margin: 0;">ipa-kdb: test kadmin.local getprincs command

Fixes: https://pagure.io/freeipa/issue/8490

Signed-off-by: Alexander Bokovoy <abokovoy@redhat.com>

Reviewed-By: Rob Crittenden <rcritten@redhat.com>

</pre>

</li>

<li>

<strong><a href="https://salsa.debian.org/freeipa-team/freeipa/-/commit/0a2b6ca6ee4d62e5d69cadd9eca21fb95d243c8d">0a2b6ca6</a></strong>

<div>

<span>by Christian Heimes</span>

<i>at 2020-09-11T13:22:42-04:00</i>

</div>

<pre class="commit-message" style="white-space: pre-wrap; margin: 0;">Only restart DS when duplicate cacrt was found

The update_fix_duplicate_cacrt_in_ldap plugin no longer restarts DS when

CA is disabled or no duplicate cacrt entry was dedected.

Related: https://pagure.io/freeipa/issue/7125

Signed-off-by: Christian Heimes <cheimes@redhat.com>

Reviewed-By: Florence Blanc-Renaud <frenaud@redhat.com>

</pre>

</li>

<li>

<strong><a href="https://salsa.debian.org/freeipa-team/freeipa/-/commit/be7efc4dfbe16cb8d700ec16bbc1177b4fcbe3df">be7efc4d</a></strong>

<div>

<span>by Christian Heimes</span>

<i>at 2020-09-11T15:55:30-04:00</i>

</div>

<pre class="commit-message" style="white-space: pre-wrap; margin: 0;">Only restart DS when duplicate cacrt was found

The update_fix_duplicate_cacrt_in_ldap plugin no longer restarts DS when

CA is disabled or no duplicate cacrt entry was dedected.

Related: https://pagure.io/freeipa/issue/7125

Signed-off-by: Christian Heimes <cheimes@redhat.com>

Reviewed-By: Florence Blanc-Renaud <frenaud@redhat.com>

</pre>

</li>

<li>

<strong><a href="https://salsa.debian.org/freeipa-team/freeipa/-/commit/2265cb86cf71f7cbdcb969b790991c26491c753c">2265cb86</a></strong>

<div>

<span>by Rob Crittenden</span>

<i>at 2020-09-14T09:14:37+03:00</i>

</div>

<pre class="commit-message" style="white-space: pre-wrap; margin: 0;">Don't allow both a zone name and --name-from-ip to be provided

--name-from-ip will generate a zone name so there is no point in

the user providing one. If one is provided and doesn't match the

generated name then a validation exception is raised.

https://pagure.io/freeipa/issue/8446

Signed-off-by: Rob Crittenden <rcritten@redhat.com>

Reviewed-By: Alexander Bokovoy <abokovoy@redhat.com>

Reviewed-By: Rafael Guterres Jeffman <rjeffman@redhat.com>

</pre>

</li>

<li>

<strong><a href="https://salsa.debian.org/freeipa-team/freeipa/-/commit/e92a4ba4aeee60b80ac361b9c4858cd54484ace8">e92a4ba4</a></strong>

<div>

<span>by Rob Crittenden</span>

<i>at 2020-09-14T09:14:37+03:00</i>

</div>

<pre class="commit-message" style="white-space: pre-wrap; margin: 0;">ipatests: test that a zone name and name-from-ip will be rejected

If a zone name is provided then name-from-ip makes little sense,

don't allow it.

https://pagure.io/freeipa/issue/8446

Signed-off-by: Rob Crittenden <rcritten@redhat.com>

Reviewed-By: Alexander Bokovoy <abokovoy@redhat.com>

Reviewed-By: Rafael Guterres Jeffman <rjeffman@redhat.com>

</pre>

</li>

<li>

<strong><a href="https://salsa.debian.org/freeipa-team/freeipa/-/commit/cdf830af189ceac4b0e8606fb3b538d17d90aaf6">cdf830af</a></strong>

<div>

<span>by Rob Crittenden</span>

<i>at 2020-09-14T09:15:59+03:00</i>

</div>

<pre class="commit-message" style="white-space: pre-wrap; margin: 0;">De-duplicate ACI attributes and permissions

Ensure uniqueuess in attributes and permissions in the ACI class.

A set() is not used because it doesn't guarantee order which ends up

causing cascading and unpredictable test failures. Since all we

really need is de-duplication and not a true mathematical set iterating

through the list is sufficiently fast, particularly since the number

of elements will always be low.

https://pagure.io/freeipa/issue/8443

Signed-off-by: Rob Crittenden <rcritten@redhat.com>

Reviewed-By: Alexander Bokovoy <abokovoy@redhat.com>

</pre>

</li>

<li>

<strong><a href="https://salsa.debian.org/freeipa-team/freeipa/-/commit/2656c4687b09f8eb2fe847e5e9901df1dbb3335e">2656c468</a></strong>

<div>

<span>by Rob Crittenden</span>

<i>at 2020-09-14T09:15:59+03:00</i>

</div>

<pre class="commit-message" style="white-space: pre-wrap; margin: 0;">Use ACI class set_permissions() method to set permissions

This will ensure uniqueuess and that the ACI has the right

datatype without the caller worrying about it.

https://pagure.io/freeipa/issue/8443

Signed-off-by: Rob Crittenden <rcritten@redhat.com>

Reviewed-By: Alexander Bokovoy <abokovoy@redhat.com>

</pre>

</li>

<li>

<strong><a href="https://salsa.debian.org/freeipa-team/freeipa/-/commit/2e4431af7066ce298008973b6caddc170645c98d">2e4431af</a></strong>

<div>

<span>by Rob Crittenden</span>

<i>at 2020-09-14T09:15:59+03:00</i>

</div>

<pre class="commit-message" style="white-space: pre-wrap; margin: 0;">ipatests: Add test for ACI attribute and permission uniqueness

https://pagure.io/freeipa/issue/8443

Signed-off-by: Rob Crittenden <rcritten@redhat.com>

Reviewed-By: Alexander Bokovoy <abokovoy@redhat.com>

</pre>

</li>

<li>

<strong><a href="https://salsa.debian.org/freeipa-team/freeipa/-/commit/cfad7af35dd5a2cdd4081d1e9ac7c245f47f1dce">cfad7af3</a></strong>

<div>

<span>by Rob Crittenden</span>

<i>at 2020-09-14T09:17:33+03:00</i>

</div>

<pre class="commit-message" style="white-space: pre-wrap; margin: 0;">Require at least 1.6Gb of available RAM to install the server

Verify that there is at least 1.6Gb of usable RAM on the system. Swap

is not considered. While swap would allow a user to minimally install

IPA it would not be a great experience.

Using any proc-based method to check for available RAM does not

work in containers unless /proc is re-mounted so use cgroups

instead. This also handles the case if the container has memory

constraints on it (-m).

There are envs which mount 'proc' with enabled hidepid option 1

so don't assume that is readable.

Add a switch to skip this memory test if the user is sure they

know what they are doing.

is_hidepid() contributed by Stanislav Levin <slev@altlinux.org>

https://pagure.io/freeipa/issue/8404

Reviewed-By: Alexander Bokovoy <abokovoy@redhat.com>

Reviewed-By: Stanislav Levin <slev@altlinux.org>

</pre>

</li>

<li>

<strong><a href="https://salsa.debian.org/freeipa-team/freeipa/-/commit/fc271a55bb6c942ec5268f190dca72dbb6cb8387">fc271a55</a></strong>

<div>

<span>by Rob Crittenden</span>

<i>at 2020-09-14T09:17:33+03:00</i>

</div>

<pre class="commit-message" style="white-space: pre-wrap; margin: 0;">ipatests: Add tests for checking available memory

The tests always force container or no container so they should

run the same in any environment.

The following cases are handled:

- container, no cgroups

- container, insufficent RAM

- container, sufficient RAM for no CA

- container, insufficient RAM with CA

- non-container, sufficient RAM

- non-container, insufficient RAM

https://pagure.io/freeipa/issue/8404

Reviewed-By: Alexander Bokovoy <abokovoy@redhat.com>

Reviewed-By: Stanislav Levin <slev@altlinux.org>

</pre>

</li>

<li>

<strong><a href="https://salsa.debian.org/freeipa-team/freeipa/-/commit/20b55f4017ab42113f1ced829a4b4afa17839b55">20b55f40</a></strong>

<div>

<span>by Rob Crittenden</span>

<i>at 2020-09-14T09:19:01+03:00</i>

</div>

<pre class="commit-message" style="white-space: pre-wrap; margin: 0;">Add index for more trust-related attributes

Add index for ipaNTTrustPartner, ipaNTSecurityIdentifier and

krbprincipalname

https://pagure.io/freeipa/issue/8491

Signed-off-by: Rob Crittenden <rcritten@redhat.com>

Reviewed-By: Alexander Bokovoy <abokovoy@redhat.com>

</pre>

</li>

<li>

<strong><a href="https://salsa.debian.org/freeipa-team/freeipa/-/commit/31bc0df6a2a7fe2a7cc965436411e75844aebbe0">31bc0df6</a></strong>

<div>

<span>by Alexander Bokovoy</span>

<i>at 2020-09-14T14:00:20+03:00</i>

</div>

<pre class="commit-message" style="white-space: pre-wrap; margin: 0;">Specify memory limits as strings for docker compose

Fixes the following error in Azure Pipelines CI after upgrade of Docker

setup:

[2020-09-14 06:50:07] The Compose file './docker-compose.yml' is invalid because:

[2020-09-14 06:50:07] services.client.mem_limit contains an invalid type, it should be a string

Fixes: https://pagure.io/freeipa/issue/8494

Signed-off-by: Alexander Bokovoy <abokovoy@redhat.com>

Reviewed-By: Stanislav Levin <slev@altlinux.org>

Reviewed-By: Christian Heimes <cheimes@redhat.com>

</pre>

</li>

<li>

<strong><a href="https://salsa.debian.org/freeipa-team/freeipa/-/commit/9bb734a8bea050b0b5e401fa2b4ac78233b3a2ba">9bb734a8</a></strong>

<div>

<span>by Timo Aaltonen</span>

<i>at 2020-09-14T14:40:04+03:00</i>

</div>

<pre class="commit-message" style="white-space: pre-wrap; margin: 0;">control: Build freeipa-client-epn only where nodejs is available. (Closes: #970230)

</pre>

</li>

<li>

<strong><a href="https://salsa.debian.org/freeipa-team/freeipa/-/commit/54e61a228f17052b22d3f973ac2ebdccf94cda97">54e61a22</a></strong>

<div>

<span>by Timo Aaltonen</span>

<i>at 2020-09-14T15:11:07+03:00</i>

</div>

<pre class="commit-message" style="white-space: pre-wrap; margin: 0;">install: ipa-print-pac belongs to the server instead of -client-epn.

</pre>

</li>

<li>

<strong><a href="https://salsa.debian.org/freeipa-team/freeipa/-/commit/93fff042f4bf78541e69371eeaef05c49e8f9463">93fff042</a></strong>

<div>

<span>by Alexander Bokovoy</span>

<i>at 2020-09-14T13:03:56-04:00</i>

</div>

<pre class="commit-message" style="white-space: pre-wrap; margin: 0;">Specify memory limits as strings for docker compose

Fixes the following error in Azure Pipelines CI after upgrade of Docker

setup:

[2020-09-14 06:50:07] The Compose file './docker-compose.yml' is invalid because:

[2020-09-14 06:50:07] services.client.mem_limit contains an invalid type, it should be a string

Fixes: https://pagure.io/freeipa/issue/8494

Signed-off-by: Alexander Bokovoy <abokovoy@redhat.com>

Reviewed-By: Christian Heimes <cheimes@redhat.com>

Reviewed-By: Stanislav Levin <slev@altlinux.org>

</pre>

</li>

<li>

<strong><a href="https://salsa.debian.org/freeipa-team/freeipa/-/commit/2a0c00c3c7bfa7b4270eb7a8b91fac2e8155140d">2a0c00c3</a></strong>

<div>

<span>by Rob Crittenden</span>

<i>at 2020-09-14T17:57:39-04:00</i>

</div>

<pre class="commit-message" style="white-space: pre-wrap; margin: 0;">Don't allow both a zone name and --name-from-ip to be provided

--name-from-ip will generate a zone name so there is no point in

the user providing one. If one is provided and doesn't match the

generated name then a validation exception is raised.

https://pagure.io/freeipa/issue/8446

Signed-off-by: Rob Crittenden <rcritten@redhat.com>

Reviewed-By: Alexander Bokovoy <abokovoy@redhat.com>

Reviewed-By: Rafael Guterres Jeffman <rjeffman@redhat.com>

</pre>

</li>

<li>

<strong><a href="https://salsa.debian.org/freeipa-team/freeipa/-/commit/8f19411a2e166120b53155e9ae85896990750d2e">8f19411a</a></strong>

<div>

<span>by Rob Crittenden</span>

<i>at 2020-09-14T17:57:39-04:00</i>

</div>

<pre class="commit-message" style="white-space: pre-wrap; margin: 0;">ipatests: test that a zone name and name-from-ip will be rejected

If a zone name is provided then name-from-ip makes little sense,

don't allow it.

https://pagure.io/freeipa/issue/8446

Signed-off-by: Rob Crittenden <rcritten@redhat.com>

Reviewed-By: Alexander Bokovoy <abokovoy@redhat.com>

Reviewed-By: Rafael Guterres Jeffman <rjeffman@redhat.com>

</pre>

</li>

<li>

<strong><a href="https://salsa.debian.org/freeipa-team/freeipa/-/commit/1fd4440a2d49118c9be4f6a6bb9d90ca3abd7c53">1fd4440a</a></strong>

<div>

<span>by Rob Crittenden</span>

<i>at 2020-09-14T17:58:49-04:00</i>

</div>

<pre class="commit-message" style="white-space: pre-wrap; margin: 0;">Require at least 1.6Gb of available RAM to install the server

Verify that there is at least 1.6Gb of usable RAM on the system. Swap

is not considered. While swap would allow a user to minimally install

IPA it would not be a great experience.

Using any proc-based method to check for available RAM does not

work in containers unless /proc is re-mounted so use cgroups

instead. This also handles the case if the container has memory

constraints on it (-m).

There are envs which mount 'proc' with enabled hidepid option 1

so don't assume that is readable.

Add a switch to skip this memory test if the user is sure they

know what they are doing.

is_hidepid() contributed by Stanislav Levin <slev@altlinux.org>

https://pagure.io/freeipa/issue/8404

Reviewed-By: Alexander Bokovoy <abokovoy@redhat.com>

Reviewed-By: Stanislav Levin <slev@altlinux.org>

</pre>

</li>

<li>

<strong><a href="https://salsa.debian.org/freeipa-team/freeipa/-/commit/9fa534c92c31488d7dbf7fb84ec0ed934e0376a8">9fa534c9</a></strong>

<div>

<span>by Rob Crittenden</span>

<i>at 2020-09-14T17:58:49-04:00</i>

</div>

<pre class="commit-message" style="white-space: pre-wrap; margin: 0;">ipatests: Add tests for checking available memory

The tests always force container or no container so they should

run the same in any environment.

The following cases are handled:

- container, no cgroups

- container, insufficent RAM

- container, sufficient RAM for no CA

- container, insufficient RAM with CA

- non-container, sufficient RAM

- non-container, insufficient RAM

https://pagure.io/freeipa/issue/8404

Reviewed-By: Alexander Bokovoy <abokovoy@redhat.com>

Reviewed-By: Stanislav Levin <slev@altlinux.org>

</pre>

</li>

<li>

<strong><a href="https://salsa.debian.org/freeipa-team/freeipa/-/commit/4e5ba24bcf99daa4764b43093ff6a6dbcde52485">4e5ba24b</a></strong>

<div>

<span>by Rob Crittenden</span>

<i>at 2020-09-14T19:01:37-04:00</i>

</div>

<pre class="commit-message" style="white-space: pre-wrap; margin: 0;">De-duplicate ACI attributes and permissions

Ensure uniqueuess in attributes and permissions in the ACI class.

A set() is not used because it doesn't guarantee order which ends up

causing cascading and unpredictable test failures. Since all we

really need is de-duplication and not a true mathematical set iterating

through the list is sufficiently fast, particularly since the number

of elements will always be low.

https://pagure.io/freeipa/issue/8443

Signed-off-by: Rob Crittenden <rcritten@redhat.com>

Reviewed-By: Alexander Bokovoy <abokovoy@redhat.com>

</pre>

</li>

<li>

<strong><a href="https://salsa.debian.org/freeipa-team/freeipa/-/commit/939a72f47c4f9ddd55fd703fbe26dad847ab8d1e">939a72f4</a></strong>

<div>

<span>by Rob Crittenden</span>

<i>at 2020-09-14T19:01:37-04:00</i>

</div>

<pre class="commit-message" style="white-space: pre-wrap; margin: 0;">Use ACI class set_permissions() method to set permissions

This will ensure uniqueuess and that the ACI has the right

datatype without the caller worrying about it.

https://pagure.io/freeipa/issue/8443

Signed-off-by: Rob Crittenden <rcritten@redhat.com>

Reviewed-By: Alexander Bokovoy <abokovoy@redhat.com>

</pre>

</li>

<li>

<strong><a href="https://salsa.debian.org/freeipa-team/freeipa/-/commit/a572df9616c1da69611ed5a172fd638011ba161f">a572df96</a></strong>

<div>

<span>by Rob Crittenden</span>

<i>at 2020-09-14T19:01:37-04:00</i>

</div>

<pre class="commit-message" style="white-space: pre-wrap; margin: 0;">ipatests: Add test for ACI attribute and permission uniqueness

https://pagure.io/freeipa/issue/8443

Signed-off-by: Rob Crittenden <rcritten@redhat.com>

Reviewed-By: Alexander Bokovoy <abokovoy@redhat.com>

</pre>

</li>

<li>

<strong><a href="https://salsa.debian.org/freeipa-team/freeipa/-/commit/53a952f0cb55c8bd9cc0cd13adf24303d036bafd">53a952f0</a></strong>

<div>

<span>by Rob Crittenden</span>

<i>at 2020-09-14T19:02:22-04:00</i>

</div>

<pre class="commit-message" style="white-space: pre-wrap; margin: 0;">Add index for more trust-related attributes

Add index for ipaNTTrustPartner, ipaNTSecurityIdentifier and

krbprincipalname

https://pagure.io/freeipa/issue/8491

Signed-off-by: Rob Crittenden <rcritten@redhat.com>

Reviewed-By: Alexander Bokovoy <abokovoy@redhat.com>

</pre>

</li>

<li>

<strong><a href="https://salsa.debian.org/freeipa-team/freeipa/-/commit/05da1f7f7fcfc3963f6d2764a192fb45e08f480b">05da1f7f</a></strong>

<div>

<span>by Christian Heimes</span>

<i>at 2020-09-15T08:58:28+03:00</i>

</div>

<pre class="commit-message" style="white-space: pre-wrap; margin: 0;">Add krbPrincipalName pres index correctly

See: 20b55f4017ab42113f1ced829a4b4afa17839b55

See: https://pagure.io/freeipa/issue/8491

Signed-off-by: Christian Heimes <cheimes@redhat.com>

Reviewed-By: Rob Crittenden <rcritten@redhat.com>

</pre>

</li>

<li>

<strong><a href="https://salsa.debian.org/freeipa-team/freeipa/-/commit/26ae95f4b492b98078b5deb16825df3fd525f305">26ae95f4</a></strong>

<div>

<span>by Armando Neto</span>

<i>at 2020-09-15T09:11:21-03:00</i>

</div>

<pre class="commit-message" style="white-space: pre-wrap; margin: 0;">ipatests: Add nightly definitions for enforcing mode

Duplicates the scenario for nightly_latest.yaml and

nightly_latest_testing.yaml setting `selinux_enforcing` parameter

as True.

Indentation for all definitions have been fixed.

Issue: https://github.com/freeipa/freeipa-pr-ci/issues/391

Signed-off-by: Armando Neto <abiagion@redhat.com>

Reviewed-By: Florence Blanc-Renaud <frenaud@redhat.com>

</pre>

</li>

<li>

<strong><a href="https://salsa.debian.org/freeipa-team/freeipa/-/commit/02698275bc2b0a39058329f9cb7060a35d896eb3">02698275</a></strong>

<div>

<span>by Armando Neto</span>

<i>at 2020-09-15T14:59:37-03:00</i>

</div>

<pre class="commit-message" style="white-space: pre-wrap; margin: 0;">ipatests: Add nightly definitions for enforcing mode

Duplicates the scenario for nightly_ipa-4-8_latest.yaml and

sets `selinux_enforcing` parameter as True.

Indentation for all definitions have been fixed.

Issue: freeipa/freeipa-pr-ci#391

Signed-off-by: Armando Neto <abiagion@redhat.com>

Reviewed-By: Florence Blanc-Renaud <frenaud@redhat.com>

</pre>

</li>

<li>

<strong><a href="https://salsa.debian.org/freeipa-team/freeipa/-/commit/672fe14dfa49b8a15fb3c0353415425302924e07">672fe14d</a></strong>

<div>

<span>by Christian Heimes</span>

<i>at 2020-09-16T11:17:54+02:00</i>

</div>

<pre class="commit-message" style="white-space: pre-wrap; margin: 0;">Add krbPrincipalName pres index correctly

See: 20b55f4017ab42113f1ced829a4b4afa17839b55

See: https://pagure.io/freeipa/issue/8491

Signed-off-by: Christian Heimes <cheimes@redhat.com>

Reviewed-By: Rob Crittenden <rcritten@redhat.com>

</pre>

</li>

<li>

<strong><a href="https://salsa.debian.org/freeipa-team/freeipa/-/commit/97c3d017e2556ffa1e4a93e8de1824031e40948b">97c3d017</a></strong>

<div>

<span>by Timo Aaltonen</span>

<i>at 2020-09-17T12:23:43+03:00</i>

</div>

<pre class="commit-message" style="white-space: pre-wrap; margin: 0;">Merge tag 'release-4-8-8' into m

Tagging FreeIPA 4.8.8

</pre>

</li>

<li>

<strong><a href="https://salsa.debian.org/freeipa-team/freeipa/-/commit/b84efa8282193c5be1cc689fa105607700cc025a">b84efa82</a></strong>

<div>

<span>by Timo Aaltonen</span>

<i>at 2020-09-17T12:23:49+03:00</i>

</div>

<pre class="commit-message" style="white-space: pre-wrap; margin: 0;">Merge branch 'master' into m

</pre>

</li>

<li>

<strong><a href="https://salsa.debian.org/freeipa-team/freeipa/-/commit/0610bcd0f3d3abccd2524ec9b659133d3ad698a4">0610bcd0</a></strong>

<div>

<span>by Timo Aaltonen</span>

<i>at 2020-09-17T12:24:48+03:00</i>

</div>

<pre class="commit-message" style="white-space: pre-wrap; margin: 0;">bump the version

</pre>

</li>

<li>

<strong><a href="https://salsa.debian.org/freeipa-team/freeipa/-/commit/c31bf3d430763ef5b0ef28510995af48dccde287">c31bf3d4</a></strong>

<div>

<span>by François Cami</span>

<i>at 2020-09-17T15:59:00+02:00</i>

</div>

<pre class="commit-message" style="white-space: pre-wrap; margin: 0;">ipatests: check that pkispawn log is not empty

Since commits:

https://github.com/dogtagpki/pki/commit/0102d836f4eac0fcea0adddb4c98d5ea05e4e8f6

https://github.com/dogtagpki/pki/commit/de217557a642d799b1c4c390efa55493707c738e

pkispawn will not honor the pki_log_level configuration item.

All 10.9 Dogtag versions have these commits.

This affects FreeIPA in that it makes debugging Dogtag installation issues next

to impossible.

Adding --debug to the pkispawn CLI is required to revert to the previous

behavior.

Therefore check that the log is not empty and contains DEBUG+INFO lines.

Fixes: https://pagure.io/freeipa/issue/8503

Signed-off-by: François Cami <fcami@redhat.com>

Reviewed-By: Thomas Woerner <twoerner@redhat.com>

Reviewed-By: Christian Heimes <cheimes@redhat.com>

Reviewed-By: Rob Crittenden <rcritten@redhat.com>

</pre>

</li>

<li>

<strong><a href="https://salsa.debian.org/freeipa-team/freeipa/-/commit/be7bf98b3b8cb1db9d4baa5548991ac72049ade8">be7bf98b</a></strong>

<div>

<span>by François Cami</span>

<i>at 2020-09-17T15:59:00+02:00</i>

</div>

<pre class="commit-message" style="white-space: pre-wrap; margin: 0;">dogtaginstance.py: add --debug to pkispawn

Since commits:

https://github.com/dogtagpki/pki/commit/0102d836f4eac0fcea0adddb4c98d5ea05e4e8f6

https://github.com/dogtagpki/pki/commit/de217557a642d799b1c4c390efa55493707c738e

pkispawn will not honor the pki_log_level configuration item.

All 10.9 Dogtag versions have these commits.

This affects FreeIPA in that it makes debugging Dogtag installation issues next

to impossible.

Adding --debug to the pkispawn CLI is required to revert to the previous

behavior.

Fixes: https://pagure.io/freeipa/issue/8503

Signed-off-by: François Cami <fcami@redhat.com>

Reviewed-By: Thomas Woerner <twoerner@redhat.com>

Reviewed-By: Christian Heimes <cheimes@redhat.com>

Reviewed-By: Rob Crittenden <rcritten@redhat.com>

</pre>

</li>

<li>

<strong><a href="https://salsa.debian.org/freeipa-team/freeipa/-/commit/d1c860e59b5237178066ed963cc2fa50d99cd690">d1c860e5</a></strong>

<div>

<span>by François Cami</span>

<i>at 2020-09-17T18:43:24+02:00</i>

</div>

<pre class="commit-message" style="white-space: pre-wrap; margin: 0;">ipatests: check that pkispawn log is not empty

Since commits:

https://github.com/dogtagpki/pki/commit/0102d836f4eac0fcea0adddb4c98d5ea05e4e8f6

https://github.com/dogtagpki/pki/commit/de217557a642d799b1c4c390efa55493707c738e

pkispawn will not honor the pki_log_level configuration item.

All 10.9 Dogtag versions have these commits.

This affects FreeIPA in that it makes debugging Dogtag installation issues next

to impossible.

Adding --debug to the pkispawn CLI is required to revert to the previous

behavior.

Therefore check that the log is not empty and contains DEBUG+INFO lines.

Fixes: https://pagure.io/freeipa/issue/8503

Signed-off-by: François Cami <fcami@redhat.com>

Reviewed-By: Thomas Woerner <twoerner@redhat.com>

Reviewed-By: Christian Heimes <cheimes@redhat.com>

Reviewed-By: Rob Crittenden <rcritten@redhat.com>

Reviewed-By: Thomas Woerner <twoerner@redhat.com>

Reviewed-By: Christian Heimes <cheimes@redhat.com>

Reviewed-By: Rob Crittenden <rcritten@redhat.com>

</pre>

</li>

<li>

<strong><a href="https://salsa.debian.org/freeipa-team/freeipa/-/commit/97c6d2d2c2359b8ff5585afa0d2e5f5599cd5048">97c6d2d2</a></strong>

<div>

<span>by François Cami</span>

<i>at 2020-09-17T18:43:24+02:00</i>

</div>

<pre class="commit-message" style="white-space: pre-wrap; margin: 0;">dogtaginstance.py: add --debug to pkispawn

Since commits:

https://github.com/dogtagpki/pki/commit/0102d836f4eac0fcea0adddb4c98d5ea05e4e8f6

https://github.com/dogtagpki/pki/commit/de217557a642d799b1c4c390efa55493707c738e

pkispawn will not honor the pki_log_level configuration item.

All 10.9 Dogtag versions have these commits.

This affects FreeIPA in that it makes debugging Dogtag installation issues next

to impossible.

Adding --debug to the pkispawn CLI is required to revert to the previous

behavior.

Fixes: https://pagure.io/freeipa/issue/8503

Signed-off-by: François Cami <fcami@redhat.com>

Reviewed-By: Thomas Woerner <twoerner@redhat.com>

Reviewed-By: Christian Heimes <cheimes@redhat.com>

Reviewed-By: Rob Crittenden <rcritten@redhat.com>

Reviewed-By: Thomas Woerner <twoerner@redhat.com>

Reviewed-By: Christian Heimes <cheimes@redhat.com>

Reviewed-By: Rob Crittenden <rcritten@redhat.com>

</pre>

</li>

<li>

<strong><a href="https://salsa.debian.org/freeipa-team/freeipa/-/commit/c0461eb37ccf0b87b05f81380cf60dffdd26a3dc">c0461eb3</a></strong>

<div>

<span>by Fraser Tweedale</span>

<i>at 2020-09-18T14:17:03-04:00</i>

</div>

<pre class="commit-message" style="white-space: pre-wrap; margin: 0;">spec: require pki-acme if pki-ca >= 10.10

We can use conditional dependencies (described at [1]) to require

the pki-acme package if pki-ca >= 10.10.0 (the version at which the

ACME service was separated to a subpackage).

[1] https://rpm.org/user_doc/boolean_dependencies.html

I have tested this with repos having only pki-10.9.x (and therefore

no pki-acme package), and dnf is happy.  I have also testing package

installation with pki-10.10 packages installed, but /without/

pki-acme installed. pki-acme was seen as a missing dependency and

installed alongside the freeipa packages.  This change seems to

satisfy all the scenarios.

Related: https://github.com/dogtagpki/pki/pull/513

Reviewed-By: Florence Blanc-Renaud <frenaud@redhat.com>

</pre>

</li>

<li>

<strong><a href="https://salsa.debian.org/freeipa-team/freeipa/-/commit/b606fa6cca87706730fa20bfa437956194398c82">b606fa6c</a></strong>

<div>

<span>by Christian Heimes</span>

<i>at 2020-09-18T14:20:08-04:00</i>

</div>

<pre class="commit-message" style="white-space: pre-wrap; margin: 0;">Duplicate CA CRT: ignore expected cert

When search for duplicate CA certs ignore the one expected entry.

Related: https://pagure.io/freeipa/issue/7125

Signed-off-by: Christian Heimes <cheimes@redhat.com>

Reviewed-By: Florence Blanc-Renaud <frenaud@redhat.com>

</pre>

</li>

<li>

<strong><a href="https://salsa.debian.org/freeipa-team/freeipa/-/commit/d7f39287dac7ada64719330ac3da66c8cbbef757">d7f39287</a></strong>

<div>

<span>by Christian Heimes</span>

<i>at 2020-09-21T18:11:00-04:00</i>

</div>

<pre class="commit-message" style="white-space: pre-wrap; margin: 0;">Duplicate CA CRT: ignore expected cert

When search for duplicate CA certs ignore the one expected entry.

Related: https://pagure.io/freeipa/issue/7125

Signed-off-by: Christian Heimes <cheimes@redhat.com>

Reviewed-By: Florence Blanc-Renaud <frenaud@redhat.com>

</pre>

</li>

<li>

<strong><a href="https://salsa.debian.org/freeipa-team/freeipa/-/commit/8ba15027d4fdca6aabda00494d29a528e1ce53d4">8ba15027</a></strong>

<div>

<span>by Florence Blanc-Renaud</span>

<i>at 2020-09-21T18:12:03-04:00</i>

</div>

<pre class="commit-message" style="white-space: pre-wrap; margin: 0;">test_smb: skip test_smb_service_s4u2self for fed31

The test test_integration/test_smb.py::TestSMB::test_smb_service_s4u2self

is expected to fail in Fedora <= 31 as it requires krb >= 1.18

that is shipped from fedora 32 only.

Skip the test depending on the fedora version.

Fixes: https://pagure.io/freeipa/issue/8505

Reviewed-By: Rob Crittenden <rcritten@redhat.com>

</pre>

</li>

<li>

<strong><a href="https://salsa.debian.org/freeipa-team/freeipa/-/commit/3c86baf0ade9c9045cc0f3b3c7fb0e7c580e29a4">3c86baf0</a></strong>

<div>

<span>by Christian Heimes</span>

<i>at 2020-09-21T18:13:51-04:00</i>

</div>

<pre class="commit-message" style="white-space: pre-wrap; margin: 0;">Don't create DS SSCA and self-signed cert

Instruct lib389 to not create its self-signed CA and temporary

self-signed certificate. FreeIPA uses local connections and Unix socket

for bootstrapping.

Fixes: https://pagure.io/freeipa/issue/8502

Signed-off-by: Christian Heimes <cheimes@redhat.com>

Reviewed-By: Rob Crittenden <rcritten@redhat.com>

</pre>

</li>

<li>

<strong><a href="https://salsa.debian.org/freeipa-team/freeipa/-/commit/707823a3703c4777dba5a260c391dc5887ae69d3">707823a3</a></strong>

<div>

<span>by Florence Blanc-Renaud</span>

<i>at 2020-09-22T08:39:57+02:00</i>

</div>

<pre class="commit-message" style="white-space: pre-wrap; margin: 0;">test_smb: skip test_smb_service_s4u2self for fed31

The test test_integration/test_smb.py::TestSMB::test_smb_service_s4u2self

is expected to fail in Fedora <= 31 as it requires krb >= 1.18

that is shipped from fedora 32 only.

Skip the test depending on the fedora version.

Fixes: https://pagure.io/freeipa/issue/8505

Reviewed-By: Rob Crittenden <rcritten@redhat.com>

</pre>

</li>

<li>

<strong><a href="https://salsa.debian.org/freeipa-team/freeipa/-/commit/87cf2a3c789929337abc3ae38192ee64cfd6c9e3">87cf2a3c</a></strong>

<div>

<span>by Christian Heimes</span>

<i>at 2020-09-22T09:21:00-04:00</i>

</div>

<pre class="commit-message" style="white-space: pre-wrap; margin: 0;">Add ldap_update() helper to service class

The new _ldap_update() helper methods makes it easier to apply LDAP

update files from a service instance.

Signed-off-by: Christian Heimes <cheimes@redhat.com>

Reviewed-By: Rob Crittenden <rcritten@redhat.com>

</pre>

</li>

<li>

<strong><a href="https://salsa.debian.org/freeipa-team/freeipa/-/commit/99a40cbbe95b629ccfd49cb3c809889731148779">99a40cbb</a></strong>

<div>

<span>by Christian Heimes</span>

<i>at 2020-09-22T09:21:00-04:00</i>

</div>

<pre class="commit-message" style="white-space: pre-wrap; margin: 0;">Simplify LDAPUpdater

- drop unused dm_password and ldapi arguments

- remove online feature that was never implemented

- allow passing of api object that is used to populate substitution

  dictionary

- simplify substitution dictionary updates

- remove unused instances vars

Signed-off-by: Christian Heimes <cheimes@redhat.com>

Reviewed-By: Rob Crittenden <rcritten@redhat.com>

</pre>

</li>

<li>

<strong><a href="https://salsa.debian.org/freeipa-team/freeipa/-/commit/72fb4e60c8d8eec854b4986e00037ff3a85e4389">72fb4e60</a></strong>

<div>

<span>by Christian Heimes</span>

<i>at 2020-09-22T09:23:18-04:00</i>

</div>

<pre class="commit-message" style="white-space: pre-wrap; margin: 0;">Add user and group wrappers

New classes for user and group names provide a convenient way to access

the uid and primary gid of a user / gid of a group. The classes also

provide chown() and chgrp() methods to simplify common operations.

The wrappers are subclasses of builtin str type and behave like ordinary

strings with additional features. The pwd and grp structs are retrieved

once and then cached.

Signed-off-by: Christian Heimes <cheimes@redhat.com>

Reviewed-By: Rob Crittenden <rcritten@redhat.com>

</pre>

</li>

<li>

<strong><a href="https://salsa.debian.org/freeipa-team/freeipa/-/commit/b19d20e2db9441334ef412dcdefa06bd5c790216">b19d20e2</a></strong>

<div>

<span>by Christian Heimes</span>

<i>at 2020-09-22T09:23:18-04:00</i>

</div>

<pre class="commit-message" style="white-space: pre-wrap; margin: 0;">Use new classes for run_command and Service

User and Group now return unmodified instance when they are called with

an instance of themselves: User(user) is user.

run_command() and Service class accept either names or User object.

Signed-off-by: Christian Heimes <cheimes@redhat.com>

Reviewed-By: Rob Crittenden <rcritten@redhat.com>

</pre>

</li>

<li>

<strong><a href="https://salsa.debian.org/freeipa-team/freeipa/-/commit/bc128cae471dae6e070953333d5d76f211aa7688">bc128cae</a></strong>

<div>

<span>by Christian Heimes</span>

<i>at 2020-09-22T09:23:18-04:00</i>

</div>

<pre class="commit-message" style="white-space: pre-wrap; margin: 0;">Add User and Group to all ipaplatform.constants

Signed-off-by: Christian Heimes <cheimes@redhat.com>

Reviewed-By: Rob Crittenden <rcritten@redhat.com>

</pre>

</li>

<li>

<strong><a href="https://salsa.debian.org/freeipa-team/freeipa/-/commit/dfeea1644a35307d95a62fd47a71e9c97f20e066">dfeea164</a></strong>

<div>

<span>by François Cami</span>

<i>at 2020-09-22T18:05:38+02:00</i>

</div>

<pre class="commit-message" style="white-space: pre-wrap; margin: 0;">ipatests: enhance TestSubCAkeyReplication

enhance the test suite so that it covers:

- deleting subCAs (disabling them first)

- checking what happens when creating a dozen+ subCAs at a time

- adding a subCA that already exists and expect failure

Related: https://pagure.io/freeipa/issue/8488

Signed-off-by: François Cami <fcami@redhat.com>

Reviewed-By: Alexander Bokovoy <abokovoy@redhat.com>

Reviewed-By: Christian Heimes <cheimes@redhat.com>

Reviewed-By: Rob Crittenden <rcritten@redhat.com>

Reviewed-By: Ondrej Mosnacek <omosnace@redhat.com>

Reviewed-By: Lukas Vrabec <lvrabec@redhat.com>

Reviewed-By: Zdenek Pytela <zpytela@redhat.com>

Reviewed-By: Thomas Woerner <twoerner@redhat.com>

</pre>

</li>

<li>

<strong><a href="https://salsa.debian.org/freeipa-team/freeipa/-/commit/7823da0630379d642f4a19b3ae0c063963041a82">7823da06</a></strong>

<div>

<span>by François Cami</span>

<i>at 2020-09-22T18:05:38+02:00</i>

</div>

<pre class="commit-message" style="white-space: pre-wrap; margin: 0;">SELinux: Add dedicated policy for ipa-pki-retrieve-key

Add proper labeling, transition and policy for ipa-pki-retrieve-key.

Make sure tomcat_t can execute ipa-pki-retrieve-key.

Fixes: https://pagure.io/freeipa/issue/8488

Signed-off-by: Christian Heimes <cheimes@redhat.com>

Signed-off-by: François Cami <fcami@redhat.com>

Reviewed-By: Alexander Bokovoy <abokovoy@redhat.com>

Reviewed-By: Christian Heimes <cheimes@redhat.com>

Reviewed-By: Rob Crittenden <rcritten@redhat.com>

Reviewed-By: Ondrej Mosnacek <omosnace@redhat.com>

Reviewed-By: Lukas Vrabec <lvrabec@redhat.com>

Reviewed-By: Zdenek Pytela <zpytela@redhat.com>

Reviewed-By: Thomas Woerner <twoerner@redhat.com>

</pre>

</li>

<li>

<strong><a href="https://salsa.debian.org/freeipa-team/freeipa/-/commit/ea9db4a9032b768486b0a93e4222a087053f87bb">ea9db4a9</a></strong>

<div>

<span>by François Cami</span>

<i>at 2020-09-22T18:05:38+02:00</i>

</div>

<pre class="commit-message" style="white-space: pre-wrap; margin: 0;">SELinux Policy: let custodia_t map custodia_tmp_t

This is used by the JVM perf counters.

Related: https://pagure.io/freeipa/issue/8488

Signed-off-by: François Cami <fcami@redhat.com>

Reviewed-By: Alexander Bokovoy <abokovoy@redhat.com>

Reviewed-By: Christian Heimes <cheimes@redhat.com>

Reviewed-By: Rob Crittenden <rcritten@redhat.com>

Reviewed-By: Ondrej Mosnacek <omosnace@redhat.com>

Reviewed-By: Lukas Vrabec <lvrabec@redhat.com>

Reviewed-By: Zdenek Pytela <zpytela@redhat.com>

Reviewed-By: Thomas Woerner <twoerner@redhat.com>

</pre>

</li>

<li>

<strong><a href="https://salsa.debian.org/freeipa-team/freeipa/-/commit/820beca4ac2aaa00a713e0bf5e50ecf79fe89dfc">820beca4</a></strong>

<div>

<span>by François Cami</span>

<i>at 2020-09-22T18:05:38+02:00</i>

</div>

<pre class="commit-message" style="white-space: pre-wrap; margin: 0;">SELinux Policy: ipa_pki_retrieve_key_exec_t => ipa_pki_retrieve_key_t

Grant pki_manage_tomcat_etc_rw to ipa_pki_retrieve_key_t instead of

ipa_pki_retrieve_key_exec_t.

As suggested by Ondrej Mosnáček.

Fixes: https://pagure.io/freeipa/issue/8488

Signed-off-by: François Cami <fcami@redhat.com>

Reviewed-By: Alexander Bokovoy <abokovoy@redhat.com>

Reviewed-By: Christian Heimes <cheimes@redhat.com>

Reviewed-By: Rob Crittenden <rcritten@redhat.com>

Reviewed-By: Ondrej Mosnacek <omosnace@redhat.com>

Reviewed-By: Lukas Vrabec <lvrabec@redhat.com>

Reviewed-By: Zdenek Pytela <zpytela@redhat.com>

Reviewed-By: Thomas Woerner <twoerner@redhat.com>

</pre>

</li>

<li>

<strong><a href="https://salsa.debian.org/freeipa-team/freeipa/-/commit/09816f4dbcb00e6c58754c2d74a6d8072e2871c3">09816f4d</a></strong>

<div>

<span>by François Cami</span>

<i>at 2020-09-22T18:05:38+02:00</i>

</div>

<pre class="commit-message" style="white-space: pre-wrap; margin: 0;">SELinux Policy: ipa_custodia_pki_tomcat_exec_t => ipa_custodia_pki_tomcat_t

ipa_custodia_pki_tomcat_exec_t was granted java_exec by mistake ; replace by

ipa_custodia_pki_tomcat_t.

As suggested by Ondrej Mosnáček.

Fixes: https://pagure.io/freeipa/issue/8488

Signed-off-by: François Cami <fcami@redhat.com>

Reviewed-By: Alexander Bokovoy <abokovoy@redhat.com>

Reviewed-By: Christian Heimes <cheimes@redhat.com>

Reviewed-By: Rob Crittenden <rcritten@redhat.com>

Reviewed-By: Ondrej Mosnacek <omosnace@redhat.com>

Reviewed-By: Lukas Vrabec <lvrabec@redhat.com>

Reviewed-By: Zdenek Pytela <zpytela@redhat.com>

Reviewed-By: Thomas Woerner <twoerner@redhat.com>

</pre>

</li>

<li>

<strong><a href="https://salsa.debian.org/freeipa-team/freeipa/-/commit/4b3c4b84d4ca80019d27a7643fcb1a03bb208072">4b3c4b84</a></strong>

<div>

<span>by François Cami</span>

<i>at 2020-09-22T18:05:38+02:00</i>

</div>

<pre class="commit-message" style="white-space: pre-wrap; margin: 0;">SELinux Policy: flag ipa_pki_retrieve_key_exec_t as domain_type

Fixes: https://pagure.io/freeipa/issue/8488

Signed-off-by: François Cami <fcami@redhat.com>

Reviewed-By: Alexander Bokovoy <abokovoy@redhat.com>

Reviewed-By: Christian Heimes <cheimes@redhat.com>

Reviewed-By: Rob Crittenden <rcritten@redhat.com>

Reviewed-By: Ondrej Mosnacek <omosnace@redhat.com>

Reviewed-By: Lukas Vrabec <lvrabec@redhat.com>

Reviewed-By: Zdenek Pytela <zpytela@redhat.com>

Reviewed-By: Thomas Woerner <twoerner@redhat.com>

</pre>

</li>

<li>

<strong><a href="https://salsa.debian.org/freeipa-team/freeipa/-/commit/f774642b6384c5e2da644c1c812d8dd48946dacc">f774642b</a></strong>

<div>

<span>by François Cami</span>

<i>at 2020-09-22T18:05:38+02:00</i>

</div>

<pre class="commit-message" style="white-space: pre-wrap; margin: 0;">SELinux Policy: make interfaces for kernel modules non-optional

Interfaces for kernel modules do not need to be in an optional module.

Also make sure ipa_custodia_t can log.

Suggested by Lukas Vrabec.

Fixes: https://pagure.io/freeipa/issue/8488

Signed-off-by: François Cami <fcami@redhat.com>

Reviewed-By: Alexander Bokovoy <abokovoy@redhat.com>

Reviewed-By: Christian Heimes <cheimes@redhat.com>

Reviewed-By: Rob Crittenden <rcritten@redhat.com>

Reviewed-By: Ondrej Mosnacek <omosnace@redhat.com>

Reviewed-By: Lukas Vrabec <lvrabec@redhat.com>

Reviewed-By: Zdenek Pytela <zpytela@redhat.com>

Reviewed-By: Thomas Woerner <twoerner@redhat.com>

</pre>

</li>

<li>

<strong><a href="https://salsa.debian.org/freeipa-team/freeipa/-/commit/2f2bce43108db5f1fa651a63eea38b33242495cf">2f2bce43</a></strong>

<div>

<span>by François Cami</span>

<i>at 2020-09-22T18:05:38+02:00</i>

</div>

<pre class="commit-message" style="white-space: pre-wrap; margin: 0;">SELinux Policy: Allow tomcat_t to read kerberos keytabs

This is required to fix:

avc: denied  { search } for  pid=1930 comm="ipa-pki-retriev" name="krb5" dev="dm-0" ino=8620822 scontext=system_u:system_r:tomcat_t:s0 tcontext=system_u:object_r:krb5_keytab_t:s0 tclass=dir permissive=0

Macros suggested by: Ondrej Mosnacek

Fixes: https://pagure.io/freeipa/issue/8488

Signed-off-by: François Cami <fcami@redhat.com>

Reviewed-By: Alexander Bokovoy <abokovoy@redhat.com>

Reviewed-By: Christian Heimes <cheimes@redhat.com>

Reviewed-By: Rob Crittenden <rcritten@redhat.com>

Reviewed-By: Ondrej Mosnacek <omosnace@redhat.com>

Reviewed-By: Lukas Vrabec <lvrabec@redhat.com>

Reviewed-By: Zdenek Pytela <zpytela@redhat.com>

Reviewed-By: Thomas Woerner <twoerner@redhat.com>

</pre>

</li>

<li>

<strong><a href="https://salsa.debian.org/freeipa-team/freeipa/-/commit/52929cbadf0252fcac1019b74663a2808061ea1b">52929cba</a></strong>

<div>

<span>by François Cami</span>

<i>at 2020-09-22T23:41:35+02:00</i>

</div>

<pre class="commit-message" style="white-space: pre-wrap; margin: 0;">ipatests: enhance TestSubCAkeyReplication

enhance the test suite so that it covers:

- deleting subCAs (disabling them first)

- checking what happens when creating a dozen+ subCAs at a time

- adding a subCA that already exists and expect failure

Related: https://pagure.io/freeipa/issue/8488

Signed-off-by: François Cami <fcami@redhat.com>

Reviewed-By: Alexander Bokovoy <abokovoy@redhat.com>

Reviewed-By: Christian Heimes <cheimes@redhat.com>

Reviewed-By: Rob Crittenden <rcritten@redhat.com>

Reviewed-By: Ondrej Mosnacek <omosnace@redhat.com>

Reviewed-By: Lukas Vrabec <lvrabec@redhat.com>

Reviewed-By: Zdenek Pytela <zpytela@redhat.com>

Reviewed-By: Thomas Woerner <twoerner@redhat.com>

Reviewed-By: Alexander Bokovoy <abokovoy@redhat.com>

Reviewed-By: Christian Heimes <cheimes@redhat.com>

Reviewed-By: Rob Crittenden <rcritten@redhat.com>

Reviewed-By: Ondrej Mosnacek <omosnace@redhat.com>

Reviewed-By: Lukas Vrabec <lvrabec@redhat.com>

Reviewed-By: Zdenek Pytela <zpytela@redhat.com>

Reviewed-By: Thomas Woerner <twoerner@redhat.com>

</pre>

</li>

<li>

<strong><a href="https://salsa.debian.org/freeipa-team/freeipa/-/commit/5a5962426d8174212f0b7efef1a9e53aaecb5901">5a596242</a></strong>

<div>

<span>by François Cami</span>

<i>at 2020-09-22T23:41:35+02:00</i>

</div>

<pre class="commit-message" style="white-space: pre-wrap; margin: 0;">SELinux: Add dedicated policy for ipa-pki-retrieve-key

Add proper labeling, transition and policy for ipa-pki-retrieve-key.

Make sure tomcat_t can execute ipa-pki-retrieve-key.

Fixes: https://pagure.io/freeipa/issue/8488

Signed-off-by: Christian Heimes <cheimes@redhat.com>

Signed-off-by: François Cami <fcami@redhat.com>

Reviewed-By: Alexander Bokovoy <abokovoy@redhat.com>

Reviewed-By: Christian Heimes <cheimes@redhat.com>

Reviewed-By: Rob Crittenden <rcritten@redhat.com>

Reviewed-By: Ondrej Mosnacek <omosnace@redhat.com>

Reviewed-By: Lukas Vrabec <lvrabec@redhat.com>

Reviewed-By: Zdenek Pytela <zpytela@redhat.com>

Reviewed-By: Thomas Woerner <twoerner@redhat.com>

Reviewed-By: Alexander Bokovoy <abokovoy@redhat.com>

Reviewed-By: Christian Heimes <cheimes@redhat.com>

Reviewed-By: Rob Crittenden <rcritten@redhat.com>

Reviewed-By: Ondrej Mosnacek <omosnace@redhat.com>

Reviewed-By: Lukas Vrabec <lvrabec@redhat.com>

Reviewed-By: Zdenek Pytela <zpytela@redhat.com>

Reviewed-By: Thomas Woerner <twoerner@redhat.com>

</pre>

</li>

<li>

<strong><a href="https://salsa.debian.org/freeipa-team/freeipa/-/commit/c126610ea6605a1ff36cecf2e2f5b2cb97130831">c126610e</a></strong>

<div>

<span>by François Cami</span>

<i>at 2020-09-22T23:41:35+02:00</i>

</div>

<pre class="commit-message" style="white-space: pre-wrap; margin: 0;">SELinux Policy: let custodia_t map custodia_tmp_t

This is used by the JVM perf counters.

Related: https://pagure.io/freeipa/issue/8488

Signed-off-by: François Cami <fcami@redhat.com>

Reviewed-By: Alexander Bokovoy <abokovoy@redhat.com>

Reviewed-By: Christian Heimes <cheimes@redhat.com>

Reviewed-By: Rob Crittenden <rcritten@redhat.com>

Reviewed-By: Ondrej Mosnacek <omosnace@redhat.com>

Reviewed-By: Lukas Vrabec <lvrabec@redhat.com>

Reviewed-By: Zdenek Pytela <zpytela@redhat.com>

Reviewed-By: Thomas Woerner <twoerner@redhat.com>

Reviewed-By: Alexander Bokovoy <abokovoy@redhat.com>

Reviewed-By: Christian Heimes <cheimes@redhat.com>

Reviewed-By: Rob Crittenden <rcritten@redhat.com>

Reviewed-By: Ondrej Mosnacek <omosnace@redhat.com>

Reviewed-By: Lukas Vrabec <lvrabec@redhat.com>

Reviewed-By: Zdenek Pytela <zpytela@redhat.com>

Reviewed-By: Thomas Woerner <twoerner@redhat.com>

</pre>

</li>

<li>

<strong><a href="https://salsa.debian.org/freeipa-team/freeipa/-/commit/310dbd6eec337f0747d73fa87363083a742fc5dc">310dbd6e</a></strong>

<div>

<span>by François Cami</span>

<i>at 2020-09-22T23:41:35+02:00</i>

</div>

<pre class="commit-message" style="white-space: pre-wrap; margin: 0;">SELinux Policy: ipa_pki_retrieve_key_exec_t => ipa_pki_retrieve_key_t

Grant pki_manage_tomcat_etc_rw to ipa_pki_retrieve_key_t instead of

ipa_pki_retrieve_key_exec_t.

As suggested by Ondrej Mosnáček.

Fixes: https://pagure.io/freeipa/issue/8488

Signed-off-by: François Cami <fcami@redhat.com>

Reviewed-By: Alexander Bokovoy <abokovoy@redhat.com>

Reviewed-By: Christian Heimes <cheimes@redhat.com>

Reviewed-By: Rob Crittenden <rcritten@redhat.com>

Reviewed-By: Ondrej Mosnacek <omosnace@redhat.com>

Reviewed-By: Lukas Vrabec <lvrabec@redhat.com>

Reviewed-By: Zdenek Pytela <zpytela@redhat.com>

Reviewed-By: Thomas Woerner <twoerner@redhat.com>

Reviewed-By: Alexander Bokovoy <abokovoy@redhat.com>

Reviewed-By: Christian Heimes <cheimes@redhat.com>

Reviewed-By: Rob Crittenden <rcritten@redhat.com>

Reviewed-By: Ondrej Mosnacek <omosnace@redhat.com>

Reviewed-By: Lukas Vrabec <lvrabec@redhat.com>

Reviewed-By: Zdenek Pytela <zpytela@redhat.com>

Reviewed-By: Thomas Woerner <twoerner@redhat.com>

</pre>

</li>

<li>

<strong><a href="https://salsa.debian.org/freeipa-team/freeipa/-/commit/0518c63768b50973f3d3129547f5b4b95335f4a8">0518c637</a></strong>

<div>

<span>by François Cami</span>

<i>at 2020-09-22T23:41:35+02:00</i>

</div>

<pre class="commit-message" style="white-space: pre-wrap; margin: 0;">SELinux Policy: ipa_custodia_pki_tomcat_exec_t => ipa_custodia_pki_tomcat_t

ipa_custodia_pki_tomcat_exec_t was granted java_exec by mistake ; replace by

ipa_custodia_pki_tomcat_t.

As suggested by Ondrej Mosnáček.

Fixes: https://pagure.io/freeipa/issue/8488

Signed-off-by: François Cami <fcami@redhat.com>

Reviewed-By: Alexander Bokovoy <abokovoy@redhat.com>

Reviewed-By: Christian Heimes <cheimes@redhat.com>

Reviewed-By: Rob Crittenden <rcritten@redhat.com>

Reviewed-By: Ondrej Mosnacek <omosnace@redhat.com>

Reviewed-By: Lukas Vrabec <lvrabec@redhat.com>

Reviewed-By: Zdenek Pytela <zpytela@redhat.com>

Reviewed-By: Thomas Woerner <twoerner@redhat.com>

Reviewed-By: Alexander Bokovoy <abokovoy@redhat.com>

Reviewed-By: Christian Heimes <cheimes@redhat.com>

Reviewed-By: Rob Crittenden <rcritten@redhat.com>

Reviewed-By: Ondrej Mosnacek <omosnace@redhat.com>

Reviewed-By: Lukas Vrabec <lvrabec@redhat.com>

Reviewed-By: Zdenek Pytela <zpytela@redhat.com>

Reviewed-By: Thomas Woerner <twoerner@redhat.com>

</pre>

</li>

<li>

<strong><a href="https://salsa.debian.org/freeipa-team/freeipa/-/commit/25cf7af0d41bbd34621f37c95802675b42baeae9">25cf7af0</a></strong>

<div>

<span>by François Cami</span>

<i>at 2020-09-22T23:41:35+02:00</i>

</div>

<pre class="commit-message" style="white-space: pre-wrap; margin: 0;">SELinux Policy: flag ipa_pki_retrieve_key_exec_t as domain_type

Fixes: https://pagure.io/freeipa/issue/8488

Signed-off-by: François Cami <fcami@redhat.com>

Reviewed-By: Alexander Bokovoy <abokovoy@redhat.com>

Reviewed-By: Christian Heimes <cheimes@redhat.com>

Reviewed-By: Rob Crittenden <rcritten@redhat.com>

Reviewed-By: Ondrej Mosnacek <omosnace@redhat.com>

Reviewed-By: Lukas Vrabec <lvrabec@redhat.com>

Reviewed-By: Zdenek Pytela <zpytela@redhat.com>

Reviewed-By: Thomas Woerner <twoerner@redhat.com>

Reviewed-By: Alexander Bokovoy <abokovoy@redhat.com>

Reviewed-By: Christian Heimes <cheimes@redhat.com>

Reviewed-By: Rob Crittenden <rcritten@redhat.com>

Reviewed-By: Ondrej Mosnacek <omosnace@redhat.com>

Reviewed-By: Lukas Vrabec <lvrabec@redhat.com>

Reviewed-By: Zdenek Pytela <zpytela@redhat.com>

Reviewed-By: Thomas Woerner <twoerner@redhat.com>

</pre>

</li>

<li>

<strong><a href="https://salsa.debian.org/freeipa-team/freeipa/-/commit/7ad04841245668e3126cb1718ef7ec1b744526e8">7ad04841</a></strong>

<div>

<span>by François Cami</span>

<i>at 2020-09-22T23:41:35+02:00</i>

</div>

<pre class="commit-message" style="white-space: pre-wrap; margin: 0;">SELinux Policy: make interfaces for kernel modules non-optional

Interfaces for kernel modules do not need to be in an optional module.

Also make sure ipa_custodia_t can log.

Suggested by Lukas Vrabec.

Fixes: https://pagure.io/freeipa/issue/8488

Signed-off-by: François Cami <fcami@redhat.com>

Reviewed-By: Alexander Bokovoy <abokovoy@redhat.com>

Reviewed-By: Christian Heimes <cheimes@redhat.com>

Reviewed-By: Rob Crittenden <rcritten@redhat.com>

Reviewed-By: Ondrej Mosnacek <omosnace@redhat.com>

Reviewed-By: Lukas Vrabec <lvrabec@redhat.com>

Reviewed-By: Zdenek Pytela <zpytela@redhat.com>

Reviewed-By: Thomas Woerner <twoerner@redhat.com>

Reviewed-By: Alexander Bokovoy <abokovoy@redhat.com>

Reviewed-By: Christian Heimes <cheimes@redhat.com>

Reviewed-By: Rob Crittenden <rcritten@redhat.com>

Reviewed-By: Ondrej Mosnacek <omosnace@redhat.com>

Reviewed-By: Lukas Vrabec <lvrabec@redhat.com>

Reviewed-By: Zdenek Pytela <zpytela@redhat.com>

Reviewed-By: Thomas Woerner <twoerner@redhat.com>

</pre>

</li>

<li>

<strong><a href="https://salsa.debian.org/freeipa-team/freeipa/-/commit/6a31605c1d249416ed7627755bca23a1cc45a581">6a31605c</a></strong>

<div>

<span>by François Cami</span>

<i>at 2020-09-22T23:41:35+02:00</i>

</div>

<pre class="commit-message" style="white-space: pre-wrap; margin: 0;">SELinux Policy: Allow tomcat_t to read kerberos keytabs

This is required to fix:

avc: denied  { search } for  pid=1930 comm="ipa-pki-retriev" name="krb5" dev="dm-0" ino=8620822 scontext=system_u:system_r:tomcat_t:s0 tcontext=system_u:object_r:krb5_keytab_t:s0 tclass=dir permissive=0

Macros suggested by: Ondrej Mosnacek

Fixes: https://pagure.io/freeipa/issue/8488

Signed-off-by: François Cami <fcami@redhat.com>

Reviewed-By: Alexander Bokovoy <abokovoy@redhat.com>

Reviewed-By: Christian Heimes <cheimes@redhat.com>

Reviewed-By: Rob Crittenden <rcritten@redhat.com>

Reviewed-By: Ondrej Mosnacek <omosnace@redhat.com>

Reviewed-By: Lukas Vrabec <lvrabec@redhat.com>

Reviewed-By: Zdenek Pytela <zpytela@redhat.com>

Reviewed-By: Thomas Woerner <twoerner@redhat.com>

Reviewed-By: Alexander Bokovoy <abokovoy@redhat.com>

Reviewed-By: Christian Heimes <cheimes@redhat.com>

Reviewed-By: Rob Crittenden <rcritten@redhat.com>

Reviewed-By: Ondrej Mosnacek <omosnace@redhat.com>

Reviewed-By: Lukas Vrabec <lvrabec@redhat.com>

Reviewed-By: Zdenek Pytela <zpytela@redhat.com>

Reviewed-By: Thomas Woerner <twoerner@redhat.com>

</pre>

</li>

<li>

<strong><a href="https://salsa.debian.org/freeipa-team/freeipa/-/commit/84bbf68781715e2e574d28d7e6d2c6d75afee59e">84bbf687</a></strong>

<div>

<span>by Rob Crittenden</span>

<i>at 2020-09-22T19:30:03-04:00</i>

</div>

<pre class="commit-message" style="white-space: pre-wrap; margin: 0;">Require a matching server package for the selinux subpackage

Ensure that the selinux subpackage is upgraded along with the

rest of IPA if it is built.

https://pagure.io/freeipa/issue/8511

Signed-off-by: Rob Crittenden <rcritten@redhat.com>

Reviewed-By: Francois Cami <fcami@redhat.com>

</pre>

</li>

<li>

<strong><a href="https://salsa.debian.org/freeipa-team/freeipa/-/commit/80f66b751fda25cc48f3cf4727c2b55f6aa39a33">80f66b75</a></strong>

<div>

<span>by Rob Crittenden</span>

<i>at 2020-09-22T22:50:15-04:00</i>

</div>

<pre class="commit-message" style="white-space: pre-wrap; margin: 0;">Require a matching server package for the selinux subpackage

Ensure that the selinux subpackage is upgraded along with the

rest of IPA if it is built.

https://pagure.io/freeipa/issue/8511

Signed-off-by: Rob Crittenden <rcritten@redhat.com>

Reviewed-By: Francois Cami <fcami@redhat.com>

</pre>

</li>

<li>

<strong><a href="https://salsa.debian.org/freeipa-team/freeipa/-/commit/36c6a2e7493f8135b0adaaf1c056486a9d576c84">36c6a2e7</a></strong>

<div>

<span>by François Cami</span>

<i>at 2020-09-23T14:47:06+02:00</i>

</div>

<pre class="commit-message" style="white-space: pre-wrap; margin: 0;">SELinux: do not double-define node_t and pki_tomcat_cert_t

node_t and pki_tomcat_cert_t are defined in other modules.

Do not double-define them.

Fixes: https://pagure.io/freeipa/issue/8513

Signed-off-by: François Cami <fcami@redhat.com>

Reviewed-By: Christian Heimes <cheimes@redhat.com>

</pre>

</li>

<li>

<strong><a href="https://salsa.debian.org/freeipa-team/freeipa/-/commit/cc5d9a8c9de3db863ca181348bfb01506f74302d">cc5d9a8c</a></strong>

<div>

<span>by Rob Crittenden</span>

<i>at 2020-09-23T14:48:29+02:00</i>

</div>

<pre class="commit-message" style="white-space: pre-wrap; margin: 0;">Clean up entire /run/ipa/ccaches directory not just files

If there are any sub-directories in the ccaches directory

then cleaning it up will fail.

Instead remove the whole directory and allow systemd-tmpfiles

to re-create it.

https://pagure.io/freeipa/issue/8248

Signed-off-by: Rob Crittenden <rcritten@redhat.com>

Reviewed-By: Christian Heimes <cheimes@redhat.com>

</pre>

</li>

<li>

<strong><a href="https://salsa.debian.org/freeipa-team/freeipa/-/commit/9f9dcfe88acb27c6ac734af18dc4015e8cb5c327">9f9dcfe8</a></strong>

<div>

<span>by Rob Crittenden</span>

<i>at 2020-09-23T14:48:29+02:00</i>

</div>

<pre class="commit-message" style="white-space: pre-wrap; margin: 0;">Test that ccaches are cleaned up during installation

Create a random file and directory in the ccaches directory

prior to installation then confirm that they were removed.

https://pagure.io/freeipa/issue/8248

Signed-off-by: Rob Crittenden <rcritten@redhat.com>

Reviewed-By: Christian Heimes <cheimes@redhat.com>

</pre>

</li>

<li>

<strong><a href="https://salsa.debian.org/freeipa-team/freeipa/-/commit/80fca8d7010ab8ed2190ef8fb57d882c61e89723">80fca8d7</a></strong>

<div>

<span>by Christian Heimes</span>

<i>at 2020-09-23T14:49:15+02:00</i>

</div>

<pre class="commit-message" style="white-space: pre-wrap; margin: 0;">Delay import of psutil to avoid AVC

Commit cfad7af35dd5a2cdd4081d1e9ac7c245f47f1dce added a check to ensure a

system has sufficient amount of memory. The feature uses psutil to get

available memory. On import psutil opens files in /proc which can result in

an SELinux violations and Python exception.

     PermissionError: [Errno 13] Permission denied: '/proc/stat'

Fixes: https://pagure.io/freeipa/issue/8512

Signed-off-by: Christian Heimes <cheimes@redhat.com>

Reviewed-By: Alexander Bokovoy <abokovoy@redhat.com>

</pre>

</li>

<li>

<strong><a href="https://salsa.debian.org/freeipa-team/freeipa/-/commit/644bd0e46b405fde889952eecb2e8ab34913bbc3">644bd0e4</a></strong>

<div>

<span>by Christian Heimes</span>

<i>at 2020-09-23T14:49:56+02:00</i>

</div>

<pre class="commit-message" style="white-space: pre-wrap; margin: 0;">Make git a build requirement

FreeIPA uses git in its build process. In the past git was automatically

pulled in. On Fedora 33 builds are failing because git is missing.

Signed-off-by: Christian Heimes <cheimes@redhat.com>

Reviewed-By: Christian Heimes <cheimes@redhat.com>

</pre>

</li>

<li>

<strong><a href="https://salsa.debian.org/freeipa-team/freeipa/-/commit/7651d335b3fe7c644ae9b8de2590b315303375cf">7651d335</a></strong>

<div>

<span>by Zdenek Pytela</span>

<i>at 2020-09-23T15:23:28+02:00</i>

</div>

<pre class="commit-message" style="white-space: pre-wrap; margin: 0;">Add ipa_pki_retrieve_key_exec() interface

The ipa_pki_retrieve_key_exec() interface is needed to allow other

domains execute ipa-pki-retrieve-key.

Related: https://pagure.io/freeipa/issue/8488

Signed-off-by: Zdenek Pytela <zpytela@redhat.com>

Reviewed-By: Christian Heimes <cheimes@redhat.com>

</pre>

</li>

<li>

<strong><a href="https://salsa.debian.org/freeipa-team/freeipa/-/commit/96edff0b8c526763d75dc45d26841dc2cd1a70cf">96edff0b</a></strong>

<div>

<span>by Christian Heimes</span>

<i>at 2020-09-23T16:44:26+02:00</i>

</div>

<pre class="commit-message" style="white-space: pre-wrap; margin: 0;">Add helpers for resolve1 and nameservers

detect_resolve1_resolv_conf() detects if systemd-resolved is enabled and

manages /etc/resolv.conf.

get_resolve1_nameservers() gets upstream DNS servers from

systemd-resolved's D-Bus interface.

get_dnspython_nameservers() gets upstream DNS servers from

/etc/resolv.conf via dns.python.

get_nameservers() gets a list of unique, non-loopback DNS server IP

addresses.

Also fixes setup.py to include D-Bus for ipalib instead of ipapython.

See: https://pagure.io/freeipa/issue/8275

Signed-off-by: Christian Heimes <cheimes@redhat.com>

Reviewed-By: Alexander Bokovoy <abokovoy@redhat.com>

</pre>

</li>

<li>

<strong><a href="https://salsa.debian.org/freeipa-team/freeipa/-/commit/e64f27fdf8970c22052ec010f3b7bada084c743b">e64f27fd</a></strong>

<div>

<span>by Christian Heimes</span>

<i>at 2020-09-23T16:44:26+02:00</i>

</div>

<pre class="commit-message" style="white-space: pre-wrap; margin: 0;">Configure NetworkManager to use systemd-resolved

zzz-ipa.conf now enables NetworkManager's systemd-resolved plugin when

systemd-resolved is detected.

See: https://pagure.io/freeipa/issue/8275

Signed-off-by: Christian Heimes <cheimes@redhat.com>

Reviewed-By: Alexander Bokovoy <abokovoy@redhat.com>

</pre>

</li>

<li>

<strong><a href="https://salsa.debian.org/freeipa-team/freeipa/-/commit/528c519cb5a30df691f00edba6ef6f3a6ab7df56">528c519c</a></strong>

<div>

<span>by Christian Heimes</span>

<i>at 2020-09-23T16:44:26+02:00</i>

</div>

<pre class="commit-message" style="white-space: pre-wrap; margin: 0;">Use new API for auto-forwarders

Auto-forwarders and manual configuration now use the new API to get a

list of DNS servers. Manual installer refuses loopback, too.

See: https://pagure.io/freeipa/issue/8275

Signed-off-by: Christian Heimes <cheimes@redhat.com>

Reviewed-By: Alexander Bokovoy <abokovoy@redhat.com>

</pre>

</li>

<li>

<strong><a href="https://salsa.debian.org/freeipa-team/freeipa/-/commit/d12f1b4b39ef514c2bcb75b55c3f300767aca64d">d12f1b4b</a></strong>

<div>

<span>by Christian Heimes</span>

<i>at 2020-09-23T16:44:26+02:00</i>

</div>

<pre class="commit-message" style="white-space: pre-wrap; margin: 0;">Configure systemd-resolved to use IPA's BIND

IPA installer now instructs systemd-resolved to use IPA's BIND DNS

server as primary DNS server.

Fixes: https://pagure.io/freeipa/issue/8275

Signed-off-by: Christian Heimes <cheimes@redhat.com>

Reviewed-By: Alexander Bokovoy <abokovoy@redhat.com>

</pre>

</li>

<li>

<strong><a href="https://salsa.debian.org/freeipa-team/freeipa/-/commit/79b9982b86b68c708275afaaf1927c24db7c2eb1">79b9982b</a></strong>

<div>

<span>by Christian Heimes</span>

<i>at 2020-09-23T16:44:26+02:00</i>

</div>

<pre class="commit-message" style="white-space: pre-wrap; margin: 0;">Create systemd-resolved configuration on update

Create systemd-resolved drop-in and restart the service when the drop-in

config file is missing and /etc/resolv.conf points to stub resolver

config file.

Signed-off-by: Christian Heimes <cheimes@redhat.com>

Reviewed-By: Alexander Bokovoy <abokovoy@redhat.com>

</pre>

</li>

<li>

<strong><a href="https://salsa.debian.org/freeipa-team/freeipa/-/commit/58c3343a67a3922dcc84d3d4b1deca515c48a6f8">58c3343a</a></strong>

<div>

<span>by François Cami</span>

<i>at 2020-09-23T18:37:35+02:00</i>

</div>

<pre class="commit-message" style="white-space: pre-wrap; margin: 0;">SELinux: do not double-define node_t and pki_tomcat_cert_t

node_t and pki_tomcat_cert_t are defined in other modules.

Do not double-define them.

Fixes: https://pagure.io/freeipa/issue/8513

Signed-off-by: François Cami <fcami@redhat.com>

Reviewed-By: Christian Heimes <cheimes@redhat.com>

</pre>

</li>

<li>

<strong><a href="https://salsa.debian.org/freeipa-team/freeipa/-/commit/c029eb7e732ee8b631c12ae17a154605ef2575e5">c029eb7e</a></strong>

<div>

<span>by Zdenek Pytela</span>

<i>at 2020-09-23T21:48:05+02:00</i>

</div>

<pre class="commit-message" style="white-space: pre-wrap; margin: 0;">Add ipa_pki_retrieve_key_exec() interface

The ipa_pki_retrieve_key_exec() interface is needed to allow other

domains execute ipa-pki-retrieve-key.

Related: https://pagure.io/freeipa/issue/8488

Signed-off-by: Zdenek Pytela <zpytela@redhat.com>

Reviewed-By: Christian Heimes <cheimes@redhat.com>

</pre>

</li>

<li>

<strong><a href="https://salsa.debian.org/freeipa-team/freeipa/-/commit/439170633f1e577561af289ec99d7426699adf95">43917063</a></strong>

<div>

<span>by Christian Heimes</span>

<i>at 2020-09-24T08:15:35+02:00</i>

</div>

<pre class="commit-message" style="white-space: pre-wrap; margin: 0;">Make git a build requirement

FreeIPA uses git in its build process. In the past git was automatically

pulled in. On Fedora 33 builds are failing because git is missing.

Signed-off-by: Christian Heimes <cheimes@redhat.com>

Reviewed-By: Alexander Bokovoy <abokovoy@redhat.com>

</pre>

</li>

<li>

<strong><a href="https://salsa.debian.org/freeipa-team/freeipa/-/commit/b47ddb0186eae69bca09d93035d69a24e7a03595">b47ddb01</a></strong>

<div>

<span>by Rob Crittenden</span>

<i>at 2020-09-24T08:20:48+02:00</i>

</div>

<pre class="commit-message" style="white-space: pre-wrap; margin: 0;">Reduce the memory requirement from 1.6 to 1.2 GB

We know from practical experience in PR-CI and Azure that 1.2

is the absolute minimum necessary for a base installation.

https://pagure.io/freeipa/issue/8404

Signed-off-by: Rob Crittenden <rcritten@redhat.com>

Reviewed-By: Christian Heimes <cheimes@redhat.com>

</pre>

</li>

<li>

<strong><a href="https://salsa.debian.org/freeipa-team/freeipa/-/commit/202d7da8df37b9e5fb58d4546ef996825021137a">202d7da8</a></strong>

<div>

<span>by Christian Heimes</span>

<i>at 2020-09-24T08:22:18+02:00</i>

</div>

<pre class="commit-message" style="white-space: pre-wrap; margin: 0;">Delay import of psutil to avoid AVC

Commit cfad7af35dd5a2cdd4081d1e9ac7c245f47f1dce added a check to ensure a

system has sufficient amount of memory. The feature uses psutil to get

available memory. On import psutil opens files in /proc which can result in

an SELinux violations and Python exception.

     PermissionError: [Errno 13] Permission denied: '/proc/stat'

Fixes: https://pagure.io/freeipa/issue/8512

Signed-off-by: Christian Heimes <cheimes@redhat.com>

Reviewed-By: Alexander Bokovoy <abokovoy@redhat.com>

</pre>

</li>

<li>

<strong><a href="https://salsa.debian.org/freeipa-team/freeipa/-/commit/489ddc6d872b00fe5cddd1e9234fbb3e26f4aa0f">489ddc6d</a></strong>

<div>

<span>by Christian Heimes</span>

<i>at 2020-09-24T09:04:01+02:00</i>

</div>

<pre class="commit-message" style="white-space: pre-wrap; margin: 0;">Add helpers for resolve1 and nameservers

detect_resolve1_resolv_conf() detects if systemd-resolved is enabled and

manages /etc/resolv.conf.

get_resolve1_nameservers() gets upstream DNS servers from

systemd-resolved's D-Bus interface.

get_dnspython_nameservers() gets upstream DNS servers from

/etc/resolv.conf via dns.python.

get_nameservers() gets a list of unique, non-loopback DNS server IP

addresses.

Also fixes setup.py to include D-Bus for ipalib instead of ipapython.

See: https://pagure.io/freeipa/issue/8275

Signed-off-by: Christian Heimes <cheimes@redhat.com>

Reviewed-By: Alexander Bokovoy <abokovoy@redhat.com>

</pre>

</li>

<li>

<strong><a href="https://salsa.debian.org/freeipa-team/freeipa/-/commit/d6827f52b629d2a6afdd1b60ad190efae0d55a3e">d6827f52</a></strong>

<div>

<span>by Christian Heimes</span>

<i>at 2020-09-24T09:04:01+02:00</i>

</div>

<pre class="commit-message" style="white-space: pre-wrap; margin: 0;">Configure NetworkManager to use systemd-resolved

zzz-ipa.conf now enables NetworkManager's systemd-resolved plugin when

systemd-resolved is detected.

See: https://pagure.io/freeipa/issue/8275

Signed-off-by: Christian Heimes <cheimes@redhat.com>

Reviewed-By: Alexander Bokovoy <abokovoy@redhat.com>

</pre>

</li>

<li>

<strong><a href="https://salsa.debian.org/freeipa-team/freeipa/-/commit/6dc5566c7b1edfd40722a5740e9bf9f33d74a609">6dc5566c</a></strong>

<div>

<span>by Christian Heimes</span>

<i>at 2020-09-24T09:04:01+02:00</i>

</div>

<pre class="commit-message" style="white-space: pre-wrap; margin: 0;">Use new API for auto-forwarders

Auto-forwarders and manual configuration now use the new API to get a

list of DNS servers. Manual installer refuses loopback, too.

See: https://pagure.io/freeipa/issue/8275

Signed-off-by: Christian Heimes <cheimes@redhat.com>

Reviewed-By: Alexander Bokovoy <abokovoy@redhat.com>

</pre>

</li>

<li>

<strong><a href="https://salsa.debian.org/freeipa-team/freeipa/-/commit/c67aba230fafd1ad9aded64fdac25081b4cd532d">c67aba23</a></strong>

<div>

<span>by Christian Heimes</span>

<i>at 2020-09-24T09:04:01+02:00</i>

</div>

<pre class="commit-message" style="white-space: pre-wrap; margin: 0;">Configure systemd-resolved to use IPA's BIND

IPA installer now instructs systemd-resolved to use IPA's BIND DNS

server as primary DNS server.

Fixes: https://pagure.io/freeipa/issue/8275

Signed-off-by: Christian Heimes <cheimes@redhat.com>

Reviewed-By: Alexander Bokovoy <abokovoy@redhat.com>

</pre>

</li>

<li>

<strong><a href="https://salsa.debian.org/freeipa-team/freeipa/-/commit/3b3cb99dc15d826b825701fd04b00d74617e526e">3b3cb99d</a></strong>

<div>

<span>by Christian Heimes</span>

<i>at 2020-09-24T09:04:01+02:00</i>

</div>

<pre class="commit-message" style="white-space: pre-wrap; margin: 0;">Create systemd-resolved configuration on update

Create systemd-resolved drop-in and restart the service when the drop-in

config file is missing and /etc/resolv.conf points to stub resolver

config file.

Signed-off-by: Christian Heimes <cheimes@redhat.com>

Reviewed-By: Alexander Bokovoy <abokovoy@redhat.com>

</pre>

</li>

<li>

<strong><a href="https://salsa.debian.org/freeipa-team/freeipa/-/commit/8255bc7b92db44d375819857fed12faa85609c3a">8255bc7b</a></strong>

<div>

<span>by Rob Crittenden</span>

<i>at 2020-09-24T10:38:42+02:00</i>

</div>

<pre class="commit-message" style="white-space: pre-wrap; margin: 0;">Reduce the memory requirement from 1.6 to 1.2 GB

We know from practical experience in PR-CI and Azure that 1.2

is the absolute minimum necessary for a base installation.

https://pagure.io/freeipa/issue/8404

Signed-off-by: Rob Crittenden <rcritten@redhat.com>

Reviewed-By: Christian Heimes <cheimes@redhat.com>

</pre>

</li>

<li>

<strong><a href="https://salsa.debian.org/freeipa-team/freeipa/-/commit/ade428f51909b79a7ec0ced8f9810ce459aba1d3">ade428f5</a></strong>

<div>

<span>by Rob Crittenden</span>

<i>at 2020-09-24T11:35:32+02:00</i>

</div>

<pre class="commit-message" style="white-space: pre-wrap; margin: 0;">Clean up entire /run/ipa/ccaches directory not just files

If there are any sub-directories in the ccaches directory

then cleaning it up will fail.

Instead remove the whole directory and allow systemd-tmpfiles

to re-create it.

https://pagure.io/freeipa/issue/8248

Signed-off-by: Rob Crittenden <rcritten@redhat.com>

Reviewed-By: Christian Heimes <cheimes@redhat.com>

</pre>

</li>

<li>

<strong><a href="https://salsa.debian.org/freeipa-team/freeipa/-/commit/7cfd03db48060c61e6a7fecbb72d9995a7de2511">7cfd03db</a></strong>

<div>

<span>by Rob Crittenden</span>

<i>at 2020-09-24T11:35:32+02:00</i>

</div>

<pre class="commit-message" style="white-space: pre-wrap; margin: 0;">Test that ccaches are cleaned up during installation

Create a random file and directory in the ccaches directory

prior to installation then confirm that they were removed.

https://pagure.io/freeipa/issue/8248

Signed-off-by: Rob Crittenden <rcritten@redhat.com>

Reviewed-By: Christian Heimes <cheimes@redhat.com>

</pre>

</li>

<li>

<strong><a href="https://salsa.debian.org/freeipa-team/freeipa/-/commit/29b41aef0a49d5460631a8543f0f6620d4696790">29b41aef</a></strong>

<div>

<span>by Serhii Tsymbaliuk</span>

<i>at 2020-09-24T16:21:04+02:00</i>

</div>

<pre class="commit-message" style="white-space: pre-wrap; margin: 0;">WebUI: Fix jQuery DOM manipulation issues

The commit includes the following jQuery patches:

- Manipulation: Make jQuery.htmlPrefilter an identity function

  (https://github.com/jquery/jquery/pull/4642)

- Manipulation: Skip the select wrapper for <option> outside of IE 9

  (https://github.com/jquery/jquery/pull/4647)

In addition there is included a script that helps to patch and build

the new version of jQuery:

  $ install/ui/util/make-jquery.js 3.4.1

Ticket: https://pagure.io/freeipa/issue/8507

Signed-off-by: Serhii Tsymbaliuk <stsymbal@redhat.com>

Reviewed-By: Alexander Bokovoy <abokovoy@redhat.com>

</pre>

</li>

<li>

<strong><a href="https://salsa.debian.org/freeipa-team/freeipa/-/commit/69ebe41525116639ec512205319197dd278e15e6">69ebe415</a></strong>

<div>

<span>by Christian Heimes</span>

<i>at 2020-09-24T17:03:00+02:00</i>

</div>

<pre class="commit-message" style="white-space: pre-wrap; margin: 0;">Fix nsslapd-db-lock tuning of BDB backend

nsslapd-db-lock was moved from cn=config,cn=ldbm database,cn=plugins,cn=config

entry to cn=bdb subentry. Manual patching of dse.ldif was no longer

working. Installations with 389-DS 1.4.3 and newer are affected.

Low lock count can affect performance during high load, e.g. mass-import

of users or lots of concurrent connections.

Bump minimal DS version to 1.4.3. Fedora 32 and RHEL 8.3 have 1.4.3.

Fixes: https://pagure.io/freeipa/issue/8515

See: https://pagure.io/freeipa/issue/5914

Signed-off-by: Christian Heimes <cheimes@redhat.com>

Reviewed-By: Francois Cami <fcami@redhat.com>

</pre>

</li>

<li>

<strong><a href="https://salsa.debian.org/freeipa-team/freeipa/-/commit/87e5c0500b76b7cbeecedc0c28d44095c7063186">87e5c050</a></strong>

<div>

<span>by Christian Heimes</span>

<i>at 2020-09-24T18:07:55+02:00</i>

</div>

<pre class="commit-message" style="white-space: pre-wrap; margin: 0;">Fix nsslapd-db-lock tuning of BDB backend

nsslapd-db-lock was moved from cn=config,cn=ldbm database,cn=plugins,cn=config

entry to cn=bdb subentry. Manual patching of dse.ldif was no longer

working. Installations with 389-DS 1.4.3 and newer are affected.

Low lock count can affect performance during high load, e.g. mass-import

of users or lots of concurrent connections.

Bump minimal DS version to 1.4.3. Fedora 32 and RHEL 8.3 have 1.4.3.

Fixes: https://pagure.io/freeipa/issue/8515

See: https://pagure.io/freeipa/issue/5914

Signed-off-by: Christian Heimes <cheimes@redhat.com>

Reviewed-By: Francois Cami <fcami@redhat.com>

Reviewed-By: Francois Cami <fcami@redhat.com>

</pre>

</li>

<li>

<strong><a href="https://salsa.debian.org/freeipa-team/freeipa/-/commit/090a222879e5beb6a913821a903d49190401b847">090a2228</a></strong>

<div>

<span>by Serhii Tsymbaliuk</span>

<i>at 2020-09-24T20:39:55+02:00</i>

</div>

<pre class="commit-message" style="white-space: pre-wrap; margin: 0;">WebUI: Fix jQuery DOM manipulation issues

The commit includes the following jQuery patches:

- Manipulation: Make jQuery.htmlPrefilter an identity function

  (https://github.com/jquery/jquery/pull/4642)

- Manipulation: Skip the select wrapper for <option> outside of IE 9

  (https://github.com/jquery/jquery/pull/4647)

In addition there is included a script that helps to patch and build

the new version of jQuery:

  $ install/ui/util/make-jquery.js 3.4.1

Ticket: https://pagure.io/freeipa/issue/8507

Signed-off-by: Serhii Tsymbaliuk <stsymbal@redhat.com>

Reviewed-By: Alexander Bokovoy <abokovoy@redhat.com>

</pre>

</li>

<li>

<strong><a href="https://salsa.debian.org/freeipa-team/freeipa/-/commit/67f42f902a643c4a438aaa29a3947129a19b16f3">67f42f90</a></strong>

<div>

<span>by Timo Aaltonen</span>

<i>at 2020-09-25T11:18:43+03:00</i>

</div>

<pre class="commit-message" style="white-space: pre-wrap; margin: 0;">control, pkcs11-openssl-for-bind.diff: Add support for bind 9.16. (LP: #1874568)

</pre>

</li>

<li>

<strong><a href="https://salsa.debian.org/freeipa-team/freeipa/-/commit/77045522ed0062b26ead0b23173165b4b4b043ef">77045522</a></strong>

<div>

<span>by Timo Aaltonen</span>

<i>at 2020-09-25T11:18:59+03:00</i>

</div>

<pre class="commit-message" style="white-space: pre-wrap; margin: 0;">fix-chrony-service-name.diff: Map to correct chrony service name. (Closes: #968428)

</pre>

</li>

<li>

<strong><a href="https://salsa.debian.org/freeipa-team/freeipa/-/commit/cde5e9976d8c354ade8a597d89451ffe98a957cc">cde5e997</a></strong>

<div>

<span>by Timo Aaltonen</span>

<i>at 2020-09-25T11:18:59+03:00</i>

</div>

<pre class="commit-message" style="white-space: pre-wrap; margin: 0;">freeipa-client-epn.install: Add epn.conf.

</pre>

</li>

<li>

<strong><a href="https://salsa.debian.org/freeipa-team/freeipa/-/commit/1b34abd605c4a1cd3751539440e7b7bb90f078a0">1b34abd6</a></strong>

<div>

<span>by Timo Aaltonen</span>

<i>at 2020-09-25T11:47:56+03:00</i>

</div>

<pre class="commit-message" style="white-space: pre-wrap; margin: 0;">CI relax bind-dyndb-ldap dep

</pre>

</li>

<li>

<strong><a href="https://salsa.debian.org/freeipa-team/freeipa/-/commit/54dff05cd29dc8ef473a7c6a3056d30d5cb1982d">54dff05c</a></strong>

<div>

<span>by Oğuz Ersen</span>

<i>at 2020-09-26T10:25:19+03:00</i>

</div>

<pre class="commit-message" style="white-space: pre-wrap; margin: 0;">Translated using Weblate (Turkish)

Currently translated at 7.6% (357 of 4654 strings)

Translation: freeipa/master

Translate-URL: https://translate.fedoraproject.org/projects/freeipa/master/tr/

Translated using Weblate (Turkish)

Currently translated at 7.3% (342 of 4654 strings)

Translation: freeipa/master

Translate-URL: https://translate.fedoraproject.org/projects/freeipa/master/tr/

Translated using Weblate (Turkish)

Currently translated at 4.6% (216 of 4654 strings)

Translation: freeipa/master

Translate-URL: https://translate.fedoraproject.org/projects/freeipa/master/tr/

Translated using Weblate (Turkish)

Currently translated at 0.7% (34 of 4654 strings)

Translation: freeipa/master

Translate-URL: https://translate.fedoraproject.org/projects/freeipa/master/tr/

Added translation using Weblate (Turkish)

Co-authored-by: Oğuz Ersen <oguzersen@protonmail.com>

Reviewed-By: Alexander Bokovoy <abokovoy@redhat.com>

</pre>

</li>

<li>

<strong><a href="https://salsa.debian.org/freeipa-team/freeipa/-/commit/a2f7e917a13a99bcdc7daa5171fe234a971e913c">a2f7e917</a></strong>

<div>

<span>by Weblate</span>

<i>at 2020-09-26T10:25:19+03:00</i>

</div>

<pre class="commit-message" style="white-space: pre-wrap; margin: 0;">Update translation files

Updated by "Update PO files to match POT (msgmerge)" hook in Weblate.

Update translation files

Updated by "Update PO files to match POT (msgmerge)" hook in Weblate.

Co-authored-by: Weblate <noreply@weblate.org>

Translate-URL: https://translate.fedoraproject.org/projects/freeipa/master/

Translation: freeipa/master

Reviewed-By: Alexander Bokovoy <abokovoy@redhat.com>

</pre>

</li>

<li>

<strong><a href="https://salsa.debian.org/freeipa-team/freeipa/-/commit/1eaa5974e4cd03724f8a43a59a5de4ab1568f769">1eaa5974</a></strong>

<div>

<span>by Rafael Fontenelle</span>

<i>at 2020-09-26T10:25:19+03:00</i>

</div>

<pre class="commit-message" style="white-space: pre-wrap; margin: 0;">Translated using Weblate (Portuguese (Brazil))

Currently translated at 3.2% (153 of 4654 strings)

Co-authored-by: Rafael Fontenelle <rafaelff@gnome.org>

Translate-URL: https://translate.fedoraproject.org/projects/freeipa/master/pt_BR/

Translation: freeipa/master

Reviewed-By: Alexander Bokovoy <abokovoy@redhat.com>

</pre>

</li>

<li>

<strong><a href="https://salsa.debian.org/freeipa-team/freeipa/-/commit/89d85182667d137c2ee8d68b2f1b8d6f7d1da38e">89d85182</a></strong>

<div>

<span>by Weblate</span>

<i>at 2020-09-26T10:25:19+03:00</i>

</div>

<pre class="commit-message" style="white-space: pre-wrap; margin: 0;">Update translation files

Updated by "Update PO files to match POT (msgmerge)" hook in Weblate.

Update translation files

Updated by "Update PO files to match POT (msgmerge)" hook in Weblate.

Co-authored-by: Weblate <noreply@weblate.org>

Translate-URL: https://translate.fedoraproject.org/projects/freeipa/master/

Translation: freeipa/master

Reviewed-By: Alexander Bokovoy <abokovoy@redhat.com>

</pre>

</li>

<li>

<strong><a href="https://salsa.debian.org/freeipa-team/freeipa/-/commit/a330adae8a1814f1f0e2482354189a3b59ad88fd">a330adae</a></strong>

<div>

<span>by Yuri Chornoivan</span>

<i>at 2020-09-26T10:25:19+03:00</i>

</div>

<pre class="commit-message" style="white-space: pre-wrap; margin: 0;">Translated using Weblate (Ukrainian)

Currently translated at 100.0% (4654 of 4654 strings)

Translated using Weblate (Ukrainian)

Currently translated at 98.8% (4600 of 4654 strings)

Co-authored-by: Yuri Chornoivan <yurchor@ukr.net>

Translate-URL: https://translate.fedoraproject.org/projects/freeipa/master/uk/

Translation: freeipa/master

Reviewed-By: Alexander Bokovoy <abokovoy@redhat.com>

</pre>

</li>

<li>

<strong><a href="https://salsa.debian.org/freeipa-team/freeipa/-/commit/90c1a00f046b7cd2e54c27039db98ac795595304">90c1a00f</a></strong>

<div>

<span>by Weblate</span>

<i>at 2020-09-26T10:25:19+03:00</i>

</div>

<pre class="commit-message" style="white-space: pre-wrap; margin: 0;">Update translation files

Updated by "Update PO files to match POT (msgmerge)" hook in Weblate.

Co-authored-by: Weblate <noreply@weblate.org>

Translate-URL: https://translate.fedoraproject.org/projects/freeipa/master/

Translation: freeipa/master

Reviewed-By: Alexander Bokovoy <abokovoy@redhat.com>

</pre>

</li>

<li>

<strong><a href="https://salsa.debian.org/freeipa-team/freeipa/-/commit/11828cf87ca3def972839cdec290d0ea91df4733">11828cf8</a></strong>

<div>

<span>by Daniel Lara Souza</span>

<i>at 2020-09-26T10:25:19+03:00</i>

</div>

<pre class="commit-message" style="white-space: pre-wrap; margin: 0;">Translated using Weblate (Portuguese (Brazil))

Currently translated at 3.5% (167 of 4654 strings)

Co-authored-by: Daniel Lara Souza <daniellarasouza@yahoo.com.br>

Translate-URL: https://translate.fedoraproject.org/projects/freeipa/master/pt_BR/

Translation: freeipa/master

Reviewed-By: Alexander Bokovoy <abokovoy@redhat.com>

</pre>

</li>

<li>

<strong><a href="https://salsa.debian.org/freeipa-team/freeipa/-/commit/afa0f5d1877d297a455d1dfec7e0304031ad5078">afa0f5d1</a></strong>

<div>

<span>by Weblate</span>

<i>at 2020-09-26T10:25:19+03:00</i>

</div>

<pre class="commit-message" style="white-space: pre-wrap; margin: 0;">Update translation files

Updated by "Update PO files to match POT (msgmerge)" hook in Weblate.

Co-authored-by: Weblate <noreply@weblate.org>

Translate-URL: https://translate.fedoraproject.org/projects/freeipa/master/

Translation: freeipa/master

Reviewed-By: Alexander Bokovoy <abokovoy@redhat.com>

</pre>

</li>

<li>

<strong><a href="https://salsa.debian.org/freeipa-team/freeipa/-/commit/abc416407ebd1e9136436395638e6f43eab4e1b0">abc41640</a></strong>

<div>

<span>by Yuri Chornoivan</span>

<i>at 2020-09-26T10:25:19+03:00</i>

</div>

<pre class="commit-message" style="white-space: pre-wrap; margin: 0;">Translated using Weblate (Ukrainian)

Currently translated at 100.0% (4676 of 4676 strings)

Translated using Weblate (Ukrainian)

Currently translated at 100.0% (4676 of 4676 strings)

Co-authored-by: Yuri Chornoivan <yurchor@ukr.net>

Translate-URL: https://translate.fedoraproject.org/projects/freeipa/master/uk/

Translation: freeipa/master

Reviewed-By: Alexander Bokovoy <abokovoy@redhat.com>

</pre>

</li>

<li>

<strong><a href="https://salsa.debian.org/freeipa-team/freeipa/-/commit/0464a5ffff35fbb37e7d0561c39d9d8e8c65b496">0464a5ff</a></strong>

<div>

<span>by Oğuz Ersen</span>

<i>at 2020-09-26T10:25:19+03:00</i>

</div>

<pre class="commit-message" style="white-space: pre-wrap; margin: 0;">Translated using Weblate (Turkish)

Currently translated at 7.6% (358 of 4676 strings)

Co-authored-by: Oğuz Ersen <oguzersen@protonmail.com>

Translate-URL: https://translate.fedoraproject.org/projects/freeipa/master/tr/

Translation: freeipa/master

Reviewed-By: Alexander Bokovoy <abokovoy@redhat.com>

</pre>

</li>

<li>

<strong><a href="https://salsa.debian.org/freeipa-team/freeipa/-/commit/4cc9c942d121e06edfca734b5e69c035dff7c9c5">4cc9c942</a></strong>

<div>

<span>by Emilio Herrera</span>

<i>at 2020-09-26T10:25:19+03:00</i>

</div>

<pre class="commit-message" style="white-space: pre-wrap; margin: 0;">Translated using Weblate (Spanish)

Currently translated at 60.8% (2845 of 4676 strings)

Translated using Weblate (Spanish)

Currently translated at 60.8% (2844 of 4676 strings)

Co-authored-by: Emilio Herrera <ehespinosa57@gmail.com>

Translate-URL: https://translate.fedoraproject.org/projects/freeipa/master/es/

Translation: freeipa/master

Reviewed-By: Alexander Bokovoy <abokovoy@redhat.com>

</pre>

</li>

<li>

<strong><a href="https://salsa.debian.org/freeipa-team/freeipa/-/commit/4e30a48d3cde4cab57a711503764bb9dddf2d53b">4e30a48d</a></strong>

<div>

<span>by Christian Heimes</span>

<i>at 2020-09-26T10:41:32+03:00</i>

</div>

<pre class="commit-message" style="white-space: pre-wrap; margin: 0;">trust-add: Catch correct exception when chown SSSD

Commit 72fb4e6 introduced a regression. SSSD_USER.chown() raises

ValueError instead of KeyError when SSSD user does not exist.

Fixes: https://pagure.io/freeipa/issue/8516

Signed-off-by: Christian Heimes <cheimes@redhat.com>

Reviewed-By: Florence Blanc-Renaud <flo@redhat.com>

</pre>

</li>

<li>

<strong><a href="https://salsa.debian.org/freeipa-team/freeipa/-/commit/6fde06ac303ca1acecfc51a4cbbcfe41fc650e08">6fde06ac</a></strong>

<div>

<span>by Christian Heimes</span>

<i>at 2020-09-26T10:43:42+03:00</i>

</div>

<pre class="commit-message" style="white-space: pre-wrap; margin: 0;">Fix compiler warning in ipa-pwd-extop

cast const error message to non-const char*. I tried to make errMesg a

const char* but it gets passed down to slapi_send_ldap_result() which

accepts a char*.

Signed-off-by: Christian Heimes <cheimes@redhat.com>

Reviewed-By: Alexander Bokovoy <abokovoy@redhat.com>

</pre>

</li>

<li>

<strong><a href="https://salsa.debian.org/freeipa-team/freeipa/-/commit/7de2c9bc82c5ffb5ab68adbf13a130aac009ff11">7de2c9bc</a></strong>

<div>

<span>by Christian Heimes</span>

<i>at 2020-09-26T10:43:42+03:00</i>

</div>

<pre class="commit-message" style="white-space: pre-wrap; margin: 0;">Fix compiler warnings in libotp

Remove unused variable declarations

Signed-off-by: Christian Heimes <cheimes@redhat.com>

Reviewed-By: Alexander Bokovoy <abokovoy@redhat.com>

</pre>

</li>

<li>

<strong><a href="https://salsa.debian.org/freeipa-team/freeipa/-/commit/6c52ef2b64e510dae9cee29eaa05b18859a063b7">6c52ef2b</a></strong>

<div>

<span>by Christian Heimes</span>

<i>at 2020-09-26T10:43:42+03:00</i>

</div>

<pre class="commit-message" style="white-space: pre-wrap; margin: 0;">Fix compiler warning in ipa-kdb

Make assertion_value a const char*

Signed-off-by: Christian Heimes <cheimes@redhat.com>

Reviewed-By: Alexander Bokovoy <abokovoy@redhat.com>

</pre>

</li>

<li>

<strong><a href="https://salsa.debian.org/freeipa-team/freeipa/-/commit/a44bb2e0682e0a1e061bdd6673d04f511807fb34">a44bb2e0</a></strong>

<div>

<span>by Alexander Bokovoy</span>

<i>at 2020-09-26T10:57:07+03:00</i>

</div>

<pre class="commit-message" style="white-space: pre-wrap; margin: 0;">Become IPA 4.8.10

Signed-off-by: Alexander Bokovoy <abokovoy@redhat.com>

</pre>

</li>

<li>

<strong><a href="https://salsa.debian.org/freeipa-team/freeipa/-/commit/2c393c09e0ca6b180841ab89b5259c623de91e15">2c393c09</a></strong>

<div>

<span>by Alexander Bokovoy</span>

<i>at 2020-09-28T08:47:31+02:00</i>

</div>

<pre class="commit-message" style="white-space: pre-wrap; margin: 0;">Pre-populate IP addresses for the name server upgrades

Setting up resolv.conf in BIND instance expects IP addresses of the

server to be provided. This is done wiht BindInstance.setup() method

call. However, when reusing resolver setup during upgrade BIND instance

has no IP addresses configured and fails with an assert in

tasks.configure_dns_resolver().

Pass through the server's IP addresses during upgrade.

Fixes: https://pagure.io/freeipa/issue/8518

Signed-off-by: Alexander Bokovoy <abokovoy@redhat.com>

Reviewed-By: Christian Heimes <cheimes@redhat.com>

</pre>

</li>

<li>

<strong><a href="https://salsa.debian.org/freeipa-team/freeipa/-/commit/ee25a47cd9305c716042b59a9e2089cfbb3ccc26">ee25a47c</a></strong>

<div>

<span>by Timo Aaltonen</span>

<i>at 2020-09-28T11:04:33+03:00</i>

</div>

<pre class="commit-message" style="white-space: pre-wrap; margin: 0;">Merge branch 'upstream'

</pre>

</li>

<li>

<strong><a href="https://salsa.debian.org/freeipa-team/freeipa/-/commit/e8987b4be7ef874aa9d5d3107c9ba5b735016392">e8987b4b</a></strong>

<div>

<span>by Timo Aaltonen</span>

<i>at 2020-09-28T11:05:05+03:00</i>

</div>

<pre class="commit-message" style="white-space: pre-wrap; margin: 0;">bump the version

</pre>

</li>

<li>

<strong><a href="https://salsa.debian.org/freeipa-team/freeipa/-/commit/b47b82b9df2f7e85e76485467ec997c7ee28da8d">b47b82b9</a></strong>

<div>

<span>by Timo Aaltonen</span>

<i>at 2020-09-28T11:42:37+03:00</i>

</div>

<pre class="commit-message" style="white-space: pre-wrap; margin: 0;">refresh pkcs11-openssl-for-bind.diff

</pre>

</li>

<li>

<strong><a href="https://salsa.debian.org/freeipa-team/freeipa/-/commit/0d0ccc773c06bcfb07c0ab295f0840cba5a38768">0d0ccc77</a></strong>

<div>

<span>by Timo Aaltonen</span>

<i>at 2020-09-28T13:12:34+03:00</i>

</div>

<pre class="commit-message" style="white-space: pre-wrap; margin: 0;">releasing package freeipa version 4.8.10-1

</pre>

</li>

<li>

<strong><a href="https://salsa.debian.org/freeipa-team/freeipa/-/commit/34e47778b47748e94792455699b35e8c126c5db7">34e47778</a></strong>

<div>

<span>by Christian Heimes</span>

<i>at 2020-09-28T14:33:15+02:00</i>

</div>

<pre class="commit-message" style="white-space: pre-wrap; margin: 0;">Ensure that resolved.conf.d is accessible

systemd-resolved runs as user systemd-resolve. Ensure that

resolved.conf.d drop-in directory is accessible when installer runs with

restricted umask. Also ensure the file and directory has correct SELinux

context.

The parent directory /etc/systemd exists on all platforms.

Fixes: https://pagure.io/freeipa/issue/8275

Signed-off-by: Christian Heimes <cheimes@redhat.com>

Reviewed-By: Alexander Bokovoy <abokovoy@redhat.com>

</pre>

</li>

<li>

<strong><a href="https://salsa.debian.org/freeipa-team/freeipa/-/commit/ced1dcb1d9343a6fd0b021551eaf0b2c1d92a2c9">ced1dcb1</a></strong>

<div>

<span>by Christian Heimes</span>

<i>at 2020-09-28T14:33:15+02:00</i>

</div>

<pre class="commit-message" style="white-space: pre-wrap; margin: 0;">Also backup DNS config drop-ins

/etc/NetworkManager/conf.d and /etc/systemd/resolved.conf.d drop-in

files were not backed up.

Related: https://pagure.io/freeipa/issue/8275

Signed-off-by: Christian Heimes <cheimes@redhat.com>

Reviewed-By: Alexander Bokovoy <abokovoy@redhat.com>

</pre>

</li>

<li>

<strong><a href="https://salsa.debian.org/freeipa-team/freeipa/-/commit/e46c3792f3419f807864adc1cb36887fe6c9e36c">e46c3792</a></strong>

<div>

<span>by Christian Heimes</span>

<i>at 2020-09-29T12:05:20+02:00</i>

</div>

<pre class="commit-message" style="white-space: pre-wrap; margin: 0;">Use single update LDIF for indices

Index definitions were split across four files. indices.ldif contained

the initial subset of indices. Three update files partly duplicated the

indices and partly added new indices.

All indices are now defined in a single update file that is sorted

alphanumerically.

The changeset avoids two additional index tasks and reduces installation

time by 5 to 10 seconds.

Fixes: https://pagure.io/freeipa/issue/8493

Signed-off-by: Christian Heimes <cheimes@redhat.com>

Reviewed-By: Alexander Bokovoy <abokovoy@redhat.com>

</pre>

</li>

<li>

<strong><a href="https://salsa.debian.org/freeipa-team/freeipa/-/commit/9f0ec27e9f13ed40b8e58162d99bf9b0e8b4afd5">9f0ec27e</a></strong>

<div>

<span>by Christian Heimes</span>

<i>at 2020-09-29T12:05:20+02:00</i>

</div>

<pre class="commit-message" style="white-space: pre-wrap; margin: 0;">Add more indices

ipaCASubjectDN is used by lightweight sub CA feature.

ipaExternalMember is used by KRB driver to assemble MS-PAC records.

ipaNTSecurityIdentifier was only index for "pres" and was missing an

index on "eq". Samba and ipasam perform queries with SID string.

memberPrincipal is used by S4U2Proxy constrained delegation and by

ipa-custodia.

Also note that dnaHostname, ipServiceProtocol, ipaCertSubject, and

ipaKeyUsage are currently not index because an index would rarely used

or have a poor selectivity.

Signed-off-by: Christian Heimes <cheimes@redhat.com>

Reviewed-By: Alexander Bokovoy <abokovoy@redhat.com>

</pre>

</li>

<li>

<strong><a href="https://salsa.debian.org/freeipa-team/freeipa/-/commit/1684b0f2c3de8f6dd3d15945c87bfe7e887f966c">1684b0f2</a></strong>

<div>

<span>by Christian Heimes</span>

<i>at 2020-09-29T12:06:24+02:00</i>

</div>

<pre class="commit-message" style="white-space: pre-wrap; margin: 0;">Add missing fedora_container platform members

The fedora_container platform was missing User and Group members.

Add test case to verify that all known platforms define correct module

API.

Fixes: https://pagure.io/freeipa/issue/8519

Signed-off-by: Christian Heimes <cheimes@redhat.com>

Reviewed-By: Alexander Bokovoy <abokovoy@redhat.com>

</pre>

</li>

<li>

<strong><a href="https://salsa.debian.org/freeipa-team/freeipa/-/commit/aac67a17a739ef9fb4739cbc30fa49586f619e68">aac67a17</a></strong>

<div>

<span>by Timo Aaltonen</span>

<i>at 2020-09-29T18:01:20+03:00</i>

</div>

<pre class="commit-message" style="white-space: pre-wrap; margin: 0;">client: Drop obsolete nssdb migration, which is now causing an error. (Closes: #971363)

</pre>

</li>

<li>

<strong><a href="https://salsa.debian.org/freeipa-team/freeipa/-/commit/aa67177f4cbea0f51574e890c3a8543ff603d5d2">aa67177f</a></strong>

<div>

<span>by Christian Heimes</span>

<i>at 2020-09-30T09:52:08+02:00</i>

</div>

<pre class="commit-message" style="white-space: pre-wrap; margin: 0;">Add helper for poll/sleep loops with timeout

The Sleeper class is a helper that makes poll/sleep loops with timeout

easier to write. It takes care of edge cases and does not oversleep

timeout deadline.

Related: https://pagure.io/freeipa/issue/8521

Signed-off-by: Christian Heimes <cheimes@redhat.com>

Reviewed-By: Rob Crittenden <rcritten@redhat.com>

</pre>

</li>

<li>

<strong><a href="https://salsa.debian.org/freeipa-team/freeipa/-/commit/b79191f7107fbc1890631f4c65be48b646798131">b79191f7</a></strong>

<div>

<span>by Christian Heimes</span>

<i>at 2020-09-30T09:52:08+02:00</i>

</div>

<pre class="commit-message" style="white-space: pre-wrap; margin: 0;">Faster certmonger wait_for_request()

wait_for_request() now waits 0.5 instead of 5 seconds. This shoves off

15 to 20 seconds from ipa-server-install while marginally increased

load on the system.

request_and_wait_for_cert() now uses correct certmonger_wait_timeout

instead of http_timeout.

Related: https://pagure.io/freeipa/issue/8521

Signed-off-by: Christian Heimes <cheimes@redhat.com>

Reviewed-By: Rob Crittenden <rcritten@redhat.com>

</pre>

</li>

<li>

<strong><a href="https://salsa.debian.org/freeipa-team/freeipa/-/commit/1921d33d41f5b0e1632f7876a0acbde5462ea8be">1921d33d</a></strong>

<div>

<span>by Christian Heimes</span>

<i>at 2020-09-30T09:52:08+02:00</i>

</div>

<pre class="commit-message" style="white-space: pre-wrap; margin: 0;">Drop unused extended sleep feature from Sleeper

The extended sleep feature is not used at the moment.

Related: https://pagure.io/freeipa/issue/8521

Signed-off-by: Christian Heimes <cheimes@redhat.com>

Reviewed-By: Rob Crittenden <rcritten@redhat.com>

</pre>

</li>

<li>

<strong><a href="https://salsa.debian.org/freeipa-team/freeipa/-/commit/38d083e344c63287d1080c44ef3841a85a61f1b5">38d083e3</a></strong>

<div>

<span>by Christian Heimes</span>

<i>at 2020-09-30T09:56:04+02:00</i>

</div>

<pre class="commit-message" style="white-space: pre-wrap; margin: 0;">configure_dns_resolver: call self.restore_context

Use the platform implementation of restore_context() instead of the base

implementation.

Fixes: https://pagure.io/freeipa/issue/8518

Signed-off-by: Christian Heimes <cheimes@redhat.com>

Reviewed-By: Alexander Bokovoy <abokovoy@redhat.com>

</pre>

</li>

<li>

<strong><a href="https://salsa.debian.org/freeipa-team/freeipa/-/commit/3ab3ed5ff29bb389c28feb1d5398e76d4b04926c">3ab3ed5f</a></strong>

<div>

<span>by Christian Heimes</span>

<i>at 2020-09-30T17:01:01+02:00</i>

</div>

<pre class="commit-message" style="white-space: pre-wrap; margin: 0;">Retry chronyc waitsync only once

It's unlikely that a third chrony synchronization attempt is going to

succeed after the the first two attempts have failed. Perform more

retries with smaller timeout.

This speed up installer by 11 seconds on systems without fully

configured chronyd or no chronyd (e.g. containers).

Related: https://pagure.io/freeipa/issue/8521

Signed-off-by: Christian Heimes <cheimes@redhat.com>

Reviewed-By: Francois Cami <fcami@redhat.com>

</pre>

</li>

<li>

<strong><a href="https://salsa.debian.org/freeipa-team/freeipa/-/commit/a96b89388d222db607edd57486b5dde16568fdda">a96b8938</a></strong>

<div>

<span>by Piotr Drąg</span>

<i>at 2020-09-30T11:18:37-04:00</i>

</div>

<pre class="commit-message" style="white-space: pre-wrap; margin: 0;">Translated using Weblate (Polish)

Currently translated at 9.6% (451 of 4676 strings)

Co-authored-by: Piotr Drąg <piotrdrag@gmail.com>

Translate-URL: https://translate.fedoraproject.org/projects/freeipa/master/pl/

Translation: freeipa/master

Reviewed-By: Alexander Bokovoy <abokovoy@redhat.com>

</pre>

</li>

<li>

<strong><a href="https://salsa.debian.org/freeipa-team/freeipa/-/commit/165b649d05cf5bf477231726dca184e0b2c16563">165b649d</a></strong>

<div>

<span>by Timo Aaltonen</span>

<i>at 2020-10-01T13:53:49+03:00</i>

</div>

<pre class="commit-message" style="white-space: pre-wrap; margin: 0;">Move ipa-epn service to -client-epn package.

</pre>

</li>

<li>

<strong><a href="https://salsa.debian.org/freeipa-team/freeipa/-/commit/fbb6484dbe31cc8ae4efb9729e3417f001a6637c">fbb6484d</a></strong>

<div>

<span>by Christian Heimes</span>

<i>at 2020-10-05T14:24:55+02:00</i>

</div>

<pre class="commit-message" style="white-space: pre-wrap; margin: 0;">Check ca_wrapped in ipa-custodia-check

ca_wrapped uses Dogtag's pki tool (written in Java) to wrap key

material. Add checks to custodia to verify that key wrapping works.

Related: https://pagure.io/freeipa/issue/8488

Signed-off-by: Christian Heimes <cheimes@redhat.com>

Reviewed-By: Francois Cami <fcami@redhat.com>

</pre>

</li>

<li>

<strong><a href="https://salsa.debian.org/freeipa-team/freeipa/-/commit/9a9cd30255bc42e2c9ea5d6c4e3cca550f567f99">9a9cd302</a></strong>

<div>

<span>by Christian Heimes</span>

<i>at 2020-10-05T14:24:55+02:00</i>

</div>

<pre class="commit-message" style="white-space: pre-wrap; margin: 0;">Verify freeipa-selinux's ipa module is loaded

ipa-custodia tests will fail if the ipa.pp override module from

freeipa-selinux is not correctly installed, loaded, and enabled.

Signed-off-by: Christian Heimes <cheimes@redhat.com>

Reviewed-By: Francois Cami <fcami@redhat.com>

</pre>

</li>

<li>

<strong><a href="https://salsa.debian.org/freeipa-team/freeipa/-/commit/37a0af6a8cc716acd589b6295039af8ae20720fa">37a0af6a</a></strong>

<div>

<span>by Christian Heimes</span>

<i>at 2020-10-05T15:02:14+02:00</i>

</div>

<pre class="commit-message" style="white-space: pre-wrap; margin: 0;">Remove root-autobind configuration

The new lib389-based installer configured 389-DS with LDAPI support and

autobind for root. nsslapd-ldapiautobind is enabled by lib389.

cn=root-autobind,cn=config entry is no longer needed.

nsslapd-ldapimaptoentries is kept enabled for future use.

Related: https://pagure.io/freeipa/issue/8521

Signed-off-by: Christian Heimes <cheimes@redhat.com>

Reviewed-By: Rob Crittenden <rcritten@redhat.com>

</pre>

</li>

<li>

<strong><a href="https://salsa.debian.org/freeipa-team/freeipa/-/commit/daec8049610ad7bbe0718276d2e7d6ffc1a7f66e">daec8049</a></strong>

<div>

<span>by Christian Heimes</span>

<i>at 2020-10-05T15:02:14+02:00</i>

</div>

<pre class="commit-message" style="white-space: pre-wrap; margin: 0;">Remove magic sleep from create_index_task

11 years ago 5ad91a0781 added a magic sleep to work around a rare deadlock

bug in memberOf plugin. Thierry is not aware of any outstanding issues

with memberOf plugin that could lead to a deadlock.

Related: https://pagure.io/freeipa/issue/8521

Signed-off-by: Christian Heimes <cheimes@redhat.com>

Reviewed-By: Rob Crittenden <rcritten@redhat.com>

</pre>

</li>

<li>

<strong><a href="https://salsa.debian.org/freeipa-team/freeipa/-/commit/9eccaf62697f5281729c7d0f38265c66a7264e25">9eccaf62</a></strong>

<div>

<span>by Christian Heimes</span>

<i>at 2020-10-05T15:02:14+02:00</i>

</div>

<pre class="commit-message" style="white-space: pre-wrap; margin: 0;">Skip offline dse.ldif patching by default

The installer now stop and patches dse.ldif only when the option

--dirsrv-config-file is used. LDBM nsslapd-db-locks are increased in a

new step.

This speeds up installer by 4 or more seconds on a fast system.

Related: https://pagure.io/freeipa/issue/8521

Signed-off-by: Christian Heimes <cheimes@redhat.com>

Reviewed-By: Rob Crittenden <rcritten@redhat.com>

</pre>

</li>

<li>

<strong><a href="https://salsa.debian.org/freeipa-team/freeipa/-/commit/8882680ee167c535e7539fe0452892aae617aac3">8882680e</a></strong>

<div>

<span>by Christian Heimes</span>

<i>at 2020-10-05T15:04:43+02:00</i>

</div>

<pre class="commit-message" style="white-space: pre-wrap; margin: 0;">Dogtag: Remove set_audit_renewal step

The step set_audit_renewal modifies Dogtag's caSignedLogCert.cfg to bump

renewal to 2 years. The problem was fixed in Dogtag upstream in 2012 before

Dogtag 10.0 came out, see

https://github.com/dogtagpki/pki/commit/f5b8ea5b087f642a0208c228dce6f700cd7d91c1

The update step would also no longer work. Profiles have been migrated

to LDAP several FreeIPA releases ago. pkispawn populates LDAP with all

of Dogtag's default profiles. FreeIPA does not overwrite any existing

profiles.

Related: https://pagure.io/freeipa/issue/8521

Signed-off-by: Christian Heimes <cheimes@redhat.com>

Reviewed-By: Rob Crittenden <rcritten@redhat.com>

</pre>

</li>

<li>

<strong><a href="https://salsa.debian.org/freeipa-team/freeipa/-/commit/942fe07eb53dbbacb33352bbb67039abf73b2544">942fe07e</a></strong>

<div>

<span>by Christian Heimes</span>

<i>at 2020-10-05T15:04:43+02:00</i>

</div>

<pre class="commit-message" style="white-space: pre-wrap; margin: 0;">Spawn PKI: Execute more steps early

Move several steps to an earlier phase of CA spawn. RA and ACME agent

ACLs are now configured while the server is down. This avoids yet

another restart and saves between 11 and 50 seconds per installation.

Related: https://pagure.io/freeipa/issue/8521

Signed-off-by: Christian Heimes <cheimes@redhat.com>

Reviewed-By: Rob Crittenden <rcritten@redhat.com>

</pre>

</li>

<li>

<strong><a href="https://salsa.debian.org/freeipa-team/freeipa/-/commit/6860c6376087cf4a3b099444232baf2a6a4d3945">6860c637</a></strong>

<div>

<span>by Christian Heimes</span>

<i>at 2020-10-06T15:35:35+02:00</i>

</div>

<pre class="commit-message" style="white-space: pre-wrap; margin: 0;">Use separate install logs for AD and DNS instance

ipa-dns-install and ipa-adtrust-install no longer overwrite

ipaserver-install.log. Instead they use a separate log file.

Add AD-Trust, DNS, KRA, and replica log files to backups.

Fixes: https://pagure.io/freeipa/issue/8528

Signed-off-by: Christian Heimes <cheimes@redhat.com>

Reviewed-By: Alexander Bokovoy <abokovoy@redhat.com>

Reviewed-By: Francois Cami <fcami@redhat.com>

</pre>

</li>

<li>

<strong><a href="https://salsa.debian.org/freeipa-team/freeipa/-/commit/4ed21bba4d41edea8a84924287c92d048a102d1c">4ed21bba</a></strong>

<div>

<span>by Christian Heimes</span>

<i>at 2020-10-07T15:14:16+02:00</i>

</div>

<pre class="commit-message" style="white-space: pre-wrap; margin: 0;">Replace sudo with runuser

runuser is in util-linux and does not require sudo package.

Related: https://pagure.io/freeipa/issue/8530

Signed-off-by: Christian Heimes <cheimes@redhat.com>

Reviewed-By: Alexander Bokovoy <abokovoy@redhat.com>

</pre>

</li>

<li>

<strong><a href="https://salsa.debian.org/freeipa-team/freeipa/-/commit/6ba5a6a46e8f9e47cad82efa37a4ea79e5428dd6">6ba5a6a4</a></strong>

<div>

<span>by Christian Heimes</span>

<i>at 2020-10-08T08:32:08+02:00</i>

</div>

<pre class="commit-message" style="white-space: pre-wrap; margin: 0;">Require(post) systemd with resolved enabled on F33

FreeIPA's systemd-resolved integration for Fedora 33 depends on a

working and fully configured systemd-resolved service. Ensure that

systemd's post installation RPM hook runs before FreeIPA's post hook.

Note: Other systemd version numbers are current versions on Fedora 32 and

RHEL 8.2.0.

Related: https://pagure.io/freeipa/issue/8275

Signed-off-by: Christian Heimes <cheimes@redhat.com>

Reviewed-By: Alexander Bokovoy <abokovoy@redhat.com>

</pre>

</li>

<li>

<strong><a href="https://salsa.debian.org/freeipa-team/freeipa/-/commit/814328ea3c9173c5e89c1b8370f2459fa67ae763">814328ea</a></strong>

<div>

<span>by Christian Heimes</span>

<i>at 2020-10-08T08:32:08+02:00</i>

</div>

<pre class="commit-message" style="white-space: pre-wrap; margin: 0;">Don't add 127.0.0.1 to resolv.conf twice

On systems with multiple IP addresses the update code could add

::1 and 127.0.0.1 multiple times.

Related: https://pagure.io/freeipa/issue/8275

Signed-off-by: Christian Heimes <cheimes@redhat.com>

Reviewed-By: Alexander Bokovoy <abokovoy@redhat.com>

</pre>

</li>

<li>

<strong><a href="https://salsa.debian.org/freeipa-team/freeipa/-/commit/a3abae825ce09ac7976969f61fb41ab448f1699f">a3abae82</a></strong>

<div>

<span>by Christian Heimes</span>

<i>at 2020-10-08T08:32:08+02:00</i>

</div>

<pre class="commit-message" style="white-space: pre-wrap; margin: 0;">Simplify update code

resolve_ip_addresses_nss(host) is equivalent to

get_server_ip_address(api.env.host, True, False, []). The function

get_server_ip_address() is designed to perform interactive checks that

should not be triggered in automatic upgrade code.

Related: https://pagure.io/freeipa/issue/8275

Signed-off-by: Christian Heimes <cheimes@redhat.com>

Reviewed-By: Alexander Bokovoy <abokovoy@redhat.com>

</pre>

</li>

<li>

<strong><a href="https://salsa.debian.org/freeipa-team/freeipa/-/commit/01c6b8a8475fbb62249b70a8fb51ee6f5ec4fe67">01c6b8a8</a></strong>

<div>

<span>by Sudhir Menon</span>

<i>at 2020-10-09T08:48:12+02:00</i>

</div>

<pre class="commit-message" style="white-space: pre-wrap; margin: 0;">ipatests: ipa-healthcheck test fixes running on RHEL

1. Added function in tasks.py to get healthcheck version.

2. Added if else condition to certain tests to

check healthcheck version and then assert the expected test output

Signed-off-by: Sudhir Menon <sumenon@redhat.com>

Reviewed-By: Florence Blanc-Renaud <flo@redhat.com>

</pre>

</li>

<li>

<strong><a href="https://salsa.debian.org/freeipa-team/freeipa/-/commit/a63eeaaec6dfa939faa2958354aa41da46a07cee">a63eeaae</a></strong>

<div>

<span>by François Cami</span>

<i>at 2020-10-09T08:51:02+02:00</i>

</div>

<pre class="commit-message" style="white-space: pre-wrap; margin: 0;">ipatests: add check_if_sssd_is_online

Split wait_for_sssd_domain_status_online so that we can easily check

that SSSD considers the IPA domain online with check_if_sssd_is_online.

Related: https://pagure.io/freeipa/issue/8510

Signed-off-by: François Cami <fcami@redhat.com>

Reviewed-By: Florence Blanc-Renaud <flo@redhat.com>

</pre>

</li>

<li>

<strong><a href="https://salsa.debian.org/freeipa-team/freeipa/-/commit/884e0d36e9f655d0456229d0e259592e65714660">884e0d36</a></strong>

<div>

<span>by François Cami</span>

<i>at 2020-10-09T08:51:02+02:00</i>

</div>

<pre class="commit-message" style="white-space: pre-wrap; margin: 0;">ipatests: add get_kdcinfo

get_kdcinfo(host) retrieves /var/lib/sss/pubconf/kdcinfo.$REALM on host.

It also logs whether SSSD considers the IPA domain as Online or not before

and after retrieving the file.

Related: https://pagure.io/freeipa/issue/8510

Signed-off-by: François Cami <fcami@redhat.com>

Reviewed-By: Florence Blanc-Renaud <flo@redhat.com>

</pre>

</li>

<li>

<strong><a href="https://salsa.debian.org/freeipa-team/freeipa/-/commit/e0586f33a60a44e340889ec5adea0800bde21592">e0586f33</a></strong>

<div>

<span>by François Cami</span>

<i>at 2020-10-09T08:51:02+02:00</i>

</div>

<pre class="commit-message" style="white-space: pre-wrap; margin: 0;">ipatests: create_active_user improvements

Use get_kdcinfo before and after kinit if krb5_trace in create_active_user.

This will help determine how SSSD was selecting which KRB5KDC to use.

Fixes: https://pagure.io/freeipa/issue/8510

Signed-off-by: François Cami <fcami@redhat.com>

Reviewed-By: Florence Blanc-Renaud <flo@redhat.com>

</pre>

</li>

<li>

<strong><a href="https://salsa.debian.org/freeipa-team/freeipa/-/commit/5d95794edfc41ffc61bd2eb38621837dbdb01e85">5d95794e</a></strong>

<div>

<span>by François Cami</span>

<i>at 2020-10-09T08:51:02+02:00</i>

</div>

<pre class="commit-message" style="white-space: pre-wrap; margin: 0;">ipatests: kinit_as_user improvements

Use get_kdcinfo before and after kinit if krb5_trace in kinit_as_user.

This will help determine how SSSD was selecting which KRB5KDC to use.

Fixes: https://pagure.io/freeipa/issue/8510

Signed-off-by: François Cami <fcami@redhat.com>

Reviewed-By: Florence Blanc-Renaud <flo@redhat.com>

</pre>

</li>

<li>

<strong><a href="https://salsa.debian.org/freeipa-team/freeipa/-/commit/731c5b211041ee18940082b29e6a21b3f084fc57">731c5b21</a></strong>

<div>

<span>by Christian Heimes</span>

<i>at 2020-10-10T12:54:06+02:00</i>

</div>

<pre class="commit-message" style="white-space: pre-wrap; margin: 0;">Lookup ipa-ca record with NSS

DNS data management now uses NSS's getaddrinfo() instead of direct DNS

queries to resolve the ipa-ca record. This fixes missing ipa-ca records

when the current hostname is not resolvable in DNS but has correct

records in /etc/hosts.

Reduce timeout to 15 seconds and tighten timeout loop.

The changeset can speed up installation by almost 60 seconds.

ipa-server-install without built-in DNS calls into DNS data management

twice with a timeout of 30 seconds for each call.

Fixes: https://pagure.io/freeipa/issue/8529

Related: https://pagure.io/freeipa/issue/8521

Related: https://pagure.io/freeipa/issue/8501

Signed-off-by: Christian Heimes <cheimes@redhat.com>

Reviewed-By: Alexander Bokovoy <abokovoy@redhat.com>

</pre>

</li>

<li>

<strong><a href="https://salsa.debian.org/freeipa-team/freeipa/-/commit/58d8af0433e1cfc1b3d14acfe2c1bb9d73946e54">58d8af04</a></strong>

<div>

<span>by Florence Blanc-Renaud</span>

<i>at 2020-10-13T09:57:32+02:00</i>

</div>

<pre class="commit-message" style="white-space: pre-wrap; margin: 0;">ipatests: add tests to 389ds regression

The following tests can be used to detect regressions with 389-ds:

- test_integration/test_replica_promotion.py::TestHiddenReplicaPromotion

- test_integration/test_dns_locations.py

Reviewed-By: Alexander Bokovoy <abokovoy@redhat.com>

</pre>

</li>

<li>

<strong><a href="https://salsa.debian.org/freeipa-team/freeipa/-/commit/fbd7d7718948245e1b47ca921136eca03b3f52c2">fbd7d771</a></strong>

<div>

<span>by Florence Blanc-Renaud</span>

<i>at 2020-10-13T10:03:47+02:00</i>

</div>

<pre class="commit-message" style="white-space: pre-wrap; margin: 0;">rpmspec: ensure ipa snippet for sshd is always included

Whn openssh-server > 8.2 is installed, ipa rpmspec moves its

configuration directives to /etc/ssh/sshd_config.d/04-ipa.conf

but doesn't check that the 04-ipa.conf is included from

/etc/ssh/sshd_config.

The fixes ensures that the snippet is always included, either

through the line Include /etc/ssh/sshd_config.d/*.conf or

directly with Include /etc/ssh/sshd_config.d/04-ipa.conf

Fixes: https://pagure.io/freeipa/issue/8535

Reviewed-By: Rob Crittenden <rcritten@redhat.com>

Reviewed-By: Alexander Bokovoy <abokovoy@redhat.com>

</pre>

</li>

<li>

<strong><a href="https://salsa.debian.org/freeipa-team/freeipa/-/commit/7bbb997150fedf8ac5d8ef106414a0ffcf9e921b">7bbb9971</a></strong>

<div>

<span>by François Cami</span>

<i>at 2020-10-13T10:07:45+02:00</i>

</div>

<pre class="commit-message" style="white-space: pre-wrap; margin: 0;">ipatests: tasks: add user_del

Add an "ipa user-del" frontend to tasks.py.

Related: https://pagure.io/freeipa/issue/8536

Signed-off-by: François Cami <fcami@redhat.com>

Reviewed-By: Florence Blanc-Renaud <flo@redhat.com>

Reviewed-By: Kaleemullah Siddiqui <ksiddiqu@redhat.com>

</pre>

</li>

<li>

<strong><a href="https://salsa.debian.org/freeipa-team/freeipa/-/commit/5de67028d07b998da0adf5d13ac70bef7c03e7a7">5de67028</a></strong>

<div>

<span>by François Cami</span>

<i>at 2020-10-13T10:07:45+02:00</i>

</div>

<pre class="commit-message" style="white-space: pre-wrap; margin: 0;">ipatests: run freeipa-healthcheck on hidden replica

Run freeipa-healthcheck on a FreeIPA clusters with a

hidden replica to make sure a hidden replica is considered

fully healthy.

Fixes: https://pagure.io/freeipa/issue/8536

Signed-off-by: François Cami <fcami@redhat.com>

Reviewed-By: Florence Blanc-Renaud <flo@redhat.com>

Reviewed-By: Kaleemullah Siddiqui <ksiddiqu@redhat.com>

</pre>

</li>

<li>

<strong><a href="https://salsa.debian.org/freeipa-team/freeipa/-/commit/cb7d09642205cba07ef614065d106f7f84d8921b">cb7d0964</a></strong>

<div>

<span>by Florence Blanc-Renaud</span>

<i>at 2020-10-13T16:51:32+02:00</i>

</div>

<pre class="commit-message" style="white-space: pre-wrap; margin: 0;">ipatests: properly handle journalctl return code

The test test_installation.py::TestInstallMaster::test_selinux_avcs

is failing when no AVCs are detected because it is calling

journalctl --full --grep=AVC--since=yesterday

and the command exits with return code 1.

Call the command with raiseonerr=False to support this case.

Fixes: https://pagure.io/freeipa/issue/8541

Reviewed-By: Mohammad Rizwan Yusuf <myusuf@redhat.com>

Reviewed-By: Francois Cami <fcami@redhat.com>

</pre>

</li>

<li>

<strong><a href="https://salsa.debian.org/freeipa-team/freeipa/-/commit/a9d34c8e66590c6ddb18a227fa0201cacdc7d72d">a9d34c8e</a></strong>

<div>

<span>by Christian Heimes</span>

<i>at 2020-10-19T09:53:29+02:00</i>

</div>

<pre class="commit-message" style="white-space: pre-wrap; margin: 0;">Speed up cainstance.migrate_profiles_to_ldap

The ra_certprofile API is slow. It takes ~200ms to migrate and enable a

profile even when the profile already available. The migration step

slows down the installer and upgrader by about 12 to 15 seconds.

Skip all profiles that have been imported by Dogtag already.

Related: https://pagure.io/freeipa/issue/8522

Related: https://pagure.io/freeipa/issue/8521

Signed-off-by: Christian Heimes <cheimes@redhat.com>

Reviewed-By: Fraser Tweedale <ftweedal@redhat.com>

Reviewed-By: Alexander Bokovoy <abokovoy@redhat.com>

</pre>

</li>

<li>

<strong><a href="https://salsa.debian.org/freeipa-team/freeipa/-/commit/fa58071221bfb37159db6d6dc4f3bcfd088d80b1">fa580712</a></strong>

<div>

<span>by Christian Heimes</span>

<i>at 2020-10-19T09:53:29+02:00</i>

</div>

<pre class="commit-message" style="white-space: pre-wrap; margin: 0;">Reuse main LDAP connection

cainstance and krainstance now reuse the main LDAP connection

api.Backend.ldap2 in all helper functions. Some functions used to create

and tear down their own LDAP connection. This was a remnant of the old

CA LDAP instance in FreeIPA 3.x.

Related: https://pagure.io/freeipa/issue/8521

Signed-off-by: Christian Heimes <cheimes@redhat.com>

Reviewed-By: Fraser Tweedale <ftweedal@redhat.com>

Reviewed-By: Alexander Bokovoy <abokovoy@redhat.com>

</pre>

</li>

<li>

<strong><a href="https://salsa.debian.org/freeipa-team/freeipa/-/commit/139d60d74706d2ba9855db5faefee322b23b0ba5">139d60d7</a></strong>

<div>

<span>by Rob Crittenden</span>

<i>at 2020-10-19T12:56:22-04:00</i>

</div>

<pre class="commit-message" style="white-space: pre-wrap; margin: 0;">Don't restart certmonger after stopping tracking in uninstall

certmonger was later restarted to remove the custom CA entries

and the startup delay sometimes caused uninstallation to fail.

certmonger is stopped in cainstance.py::uninstall() so it will

still be stopped post-install.

https://pagure.io/freeipa/issue/8533

Reviewed-By: Fraser Tweedale <ftweedal@redhat.com>

Reviewed-By: Alexander Bokovoy <abokovoy@redhat.com>

</pre>

</li>

<li>

<strong><a href="https://salsa.debian.org/freeipa-team/freeipa/-/commit/41021c278ae572ff5b1b3dea828a7dd93fe1ffff">41021c27</a></strong>

<div>

<span>by Rob Crittenden</span>

<i>at 2020-10-23T09:32:52-04:00</i>

</div>

<pre class="commit-message" style="white-space: pre-wrap; margin: 0;">Add LDAP schema for new libpwquality attributes

Add new attributes for the maxrepeat, maxsequence, dictcheck and

usercheck features of libpwquality.

https://pagure.io/freeipa/issue/6964

https://pagure.io/freeipa/issue/5948

https://pagure.io/freeipa/issue/2445

https://pagure.io/freeipa/issue/298

Signed-off-by: Rob Crittenden <rcritten@redhat.com>

Reviewed-By: Alexander Bokovoy <abokovoy@redhat.com>

Reviewed-By: Christian Heimes <cheimes@redhat.com>

</pre>

</li>

<li>

<strong><a href="https://salsa.debian.org/freeipa-team/freeipa/-/commit/6b452e54045bb957e6f787209b4498eefc5df779">6b452e54</a></strong>

<div>

<span>by Rob Crittenden</span>

<i>at 2020-10-23T09:32:52-04:00</i>

</div>

<pre class="commit-message" style="white-space: pre-wrap; margin: 0;">Extend IPA pwquality plugin to include libpwquality support

Add options to support maxrepeat, maxsequence, dictcheck and

usercheck pwquality options.

https://pagure.io/freeipa/issue/6964

https://pagure.io/freeipa/issue/5948

https://pagure.io/freeipa/issue/2445

https://pagure.io/freeipa/issue/298

Signed-off-by: Rob Crittenden <rcritten@redhat.com>

Reviewed-By: Alexander Bokovoy <abokovoy@redhat.com>

Reviewed-By: Christian Heimes <cheimes@redhat.com>

</pre>

</li>

<li>

<strong><a href="https://salsa.debian.org/freeipa-team/freeipa/-/commit/c03b4862b84d52ddc91c5a3fb885b0ebf753d8f2">c03b4862</a></strong>

<div>

<span>by Rob Crittenden</span>

<i>at 2020-10-23T09:32:52-04:00</i>

</div>

<pre class="commit-message" style="white-space: pre-wrap; margin: 0;">Add new pwpolicy objectclass to test_xmprpc/objectclasses.py

This defines the expected set of objectclasses in the XMLRPC

tests.

https://pagure.io/freeipa/issue/6964

https://pagure.io/freeipa/issue/5948

https://pagure.io/freeipa/issue/2445

https://pagure.io/freeipa/issue/298

Signed-off-by: Rob Crittenden <rcritten@redhat.com>

Reviewed-By: Alexander Bokovoy <abokovoy@redhat.com>

Reviewed-By: Christian Heimes <cheimes@redhat.com>

</pre>

</li>

<li>

<strong><a href="https://salsa.debian.org/freeipa-team/freeipa/-/commit/3fc2eda4e15e9592132062036d70acad3bab401c">3fc2eda4</a></strong>

<div>

<span>by Rob Crittenden</span>

<i>at 2020-10-23T09:32:52-04:00</i>

</div>

<pre class="commit-message" style="white-space: pre-wrap; margin: 0;">Require libpwolicy and configure it in the build system

https://pagure.io/freeipa/issue/6964

https://pagure.io/freeipa/issue/5948

https://pagure.io/freeipa/issue/2445

https://pagure.io/freeipa/issue/298

Signed-off-by: Rob Crittenden <rcritten@redhat.com>

Reviewed-By: Alexander Bokovoy <abokovoy@redhat.com>

Reviewed-By: Christian Heimes <cheimes@redhat.com>

</pre>

</li>

<li>

<strong><a href="https://salsa.debian.org/freeipa-team/freeipa/-/commit/c4cca53e88e78bfe512ebe59898ede0f94ec24ff">c4cca53e</a></strong>

<div>

<span>by Rob Crittenden</span>

<i>at 2020-10-23T09:32:52-04:00</i>

</div>

<pre class="commit-message" style="white-space: pre-wrap; margin: 0;">Extend password policy to evaluate passwords using libpwpolicy

Enable checking:

maxrepeat - reject passwrods which contain more than N consecutive

            characters.

maxsequence - rejected passwords which contain character sequences

              (abcde).

dictcheck - check passwords using cracklib

usercheck - check whether the password contains the user name.

The class checking provided by libpwpolicy is not used because this

overlaps with the existing IPA checking. This includes the options

dcredit, ucredit, lcredit, ocredit, minclass and maxclassrepeat.

The pwquality min length is fixed at 6 so if there is a conflict between

the system policy and pwquality log that length is enforced at 6.

https://pagure.io/freeipa/issue/6964

https://pagure.io/freeipa/issue/5948

https://pagure.io/freeipa/issue/2445

https://pagure.io/freeipa/issue/298

Signed-off-by: Rob Crittenden <rcritten@redhat.com>

Reviewed-By: Alexander Bokovoy <abokovoy@redhat.com>

Reviewed-By: Christian Heimes <cheimes@redhat.com>

</pre>

</li>

<li>

<strong><a href="https://salsa.debian.org/freeipa-team/freeipa/-/commit/46d0096218488a961125b6d97a9210b68e5434e5">46d00962</a></strong>

<div>

<span>by Rob Crittenden</span>

<i>at 2020-10-23T09:32:52-04:00</i>

</div>

<pre class="commit-message" style="white-space: pre-wrap; margin: 0;">Add a unit test for libpwquality-based password policy

- with all policies disabled passwords are not evaluated

- the pwpolicy minimum overrides the existing IPA minimum

- max character repeats

- max character sequences (12345)

- palindrome

- dictionary check

- user name in the password check

https://pagure.io/freeipa/issue/6964

https://pagure.io/freeipa/issue/5948

https://pagure.io/freeipa/issue/2445

https://pagure.io/freeipa/issue/298

Signed-off-by: Rob Crittenden <rcritten@redhat.com>

Reviewed-By: Alexander Bokovoy <abokovoy@redhat.com>

Reviewed-By: Christian Heimes <cheimes@redhat.com>

</pre>

</li>

<li>

<strong><a href="https://salsa.debian.org/freeipa-team/freeipa/-/commit/6da070e655c5d084a825607ed3be604c809b12f0">6da070e6</a></strong>

<div>

<span>by Rob Crittenden</span>

<i>at 2020-10-23T09:32:52-04:00</i>

</div>

<pre class="commit-message" style="white-space: pre-wrap; margin: 0;">Pass the user to the password policy check in the kdb driver

If the entry contains a uid then pass that into the policy checker

for the usercheck policy check.

https://pagure.io/freeipa/issue/6964

https://pagure.io/freeipa/issue/5948

https://pagure.io/freeipa/issue/2445

https://pagure.io/freeipa/issue/298

Signed-off-by: Rob Crittenden <rcritten@redhat.com>

Reviewed-By: Alexander Bokovoy <abokovoy@redhat.com>

Reviewed-By: Christian Heimes <cheimes@redhat.com>

</pre>

</li>

<li>

<strong><a href="https://salsa.debian.org/freeipa-team/freeipa/-/commit/be2efc12d37018794200fee874f27d83e0442ea4">be2efc12</a></strong>

<div>

<span>by Rob Crittenden</span>

<i>at 2020-10-23T09:32:52-04:00</i>

</div>

<pre class="commit-message" style="white-space: pre-wrap; margin: 0;">Add a raiseonerr option to ldappasswd_user_change

This is so on tests for bad password one can catch the error

message.

https://pagure.io/freeipa/issue/6964

https://pagure.io/freeipa/issue/5948

https://pagure.io/freeipa/issue/2445

https://pagure.io/freeipa/issue/298

Signed-off-by: Rob Crittenden <rcritten@redhat.com>

Reviewed-By: Alexander Bokovoy <abokovoy@redhat.com>

Reviewed-By: Christian Heimes <cheimes@redhat.com>

</pre>

</li>

<li>

<strong><a href="https://salsa.debian.org/freeipa-team/freeipa/-/commit/fe44835970eca197543eb3c908c51a240204d846">fe448359</a></strong>

<div>

<span>by Rob Crittenden</span>

<i>at 2020-10-23T09:32:52-04:00</i>

</div>

<pre class="commit-message" style="white-space: pre-wrap; margin: 0;">ipatests: add test for password policies

Primarily testing integration of libpwpolicy but it also

exercises some of the existing policy.

https://pagure.io/freeipa/issue/6964

https://pagure.io/freeipa/issue/5948

https://pagure.io/freeipa/issue/2445

https://pagure.io/freeipa/issue/298

Signed-off-by: Rob Crittenden <rcritten@redhat.com>

Reviewed-By: Alexander Bokovoy <abokovoy@redhat.com>

Reviewed-By: Christian Heimes <cheimes@redhat.com>

</pre>

</li>

<li>

<strong><a href="https://salsa.debian.org/freeipa-team/freeipa/-/commit/68aa7c05542422aca05bec4967133be09a32496e">68aa7c05</a></strong>

<div>

<span>by Rob Crittenden</span>

<i>at 2020-10-23T09:32:52-04:00</i>

</div>

<pre class="commit-message" style="white-space: pre-wrap; margin: 0;">Add SELinux policy so kadmind can read the crackdb dictionary

https://pagure.io/freeipa/issue/6964

https://pagure.io/freeipa/issue/5948

https://pagure.io/freeipa/issue/2445

https://pagure.io/freeipa/issue/298

Signed-off-by: Rob Crittenden <rcritten@redhat.com>

Reviewed-By: Alexander Bokovoy <abokovoy@redhat.com>

Reviewed-By: Christian Heimes <cheimes@redhat.com>

</pre>

</li>

<li>

<strong><a href="https://salsa.debian.org/freeipa-team/freeipa/-/commit/f602da4b28fcf8822225b80df241eed6b624bf8e">f602da4b</a></strong>

<div>

<span>by Rob Crittenden</span>

<i>at 2020-10-23T09:32:52-04:00</i>

</div>

<pre class="commit-message" style="white-space: pre-wrap; margin: 0;">Requirements and design for libpwquality integration

https://pagure.io/freeipa/issue/6964

https://pagure.io/freeipa/issue/5948

https://pagure.io/freeipa/issue/2445

https://pagure.io/freeipa/issue/298

Signed-off-by: Rob Crittenden <rcritten@redhat.com>

Reviewed-By: Alexander Bokovoy <abokovoy@redhat.com>

Reviewed-By: Christian Heimes <cheimes@redhat.com>

</pre>

</li>

<li>

<strong><a href="https://salsa.debian.org/freeipa-team/freeipa/-/commit/5155280bb4a92eb3dfdee5ca3f3a332f0159d568">5155280b</a></strong>

<div>

<span>by Rob Crittenden</span>

<i>at 2020-10-23T09:32:52-04:00</i>

</div>

<pre class="commit-message" style="white-space: pre-wrap; margin: 0;">ipatests: Add test_pwpolicy to nightly runs

389ds testing is included since this exercises LDAP password

policy. pki testing is skipped since this is unrelated to

whether there is a CA or not.

https://pagure.io/freeipa/issue/6964

https://pagure.io/freeipa/issue/5948

https://pagure.io/freeipa/issue/2445

https://pagure.io/freeipa/issue/298

Signed-off-by: Rob Crittenden <rcritten@redhat.com>

Reviewed-By: Alexander Bokovoy <abokovoy@redhat.com>

Reviewed-By: Christian Heimes <cheimes@redhat.com>

</pre>

</li>

<li>

<strong><a href="https://salsa.debian.org/freeipa-team/freeipa/-/commit/e28ec76898a0240e416910b9cfea24e82e7d91ba">e28ec768</a></strong>

<div>

<span>by Christian Heimes</span>

<i>at 2020-10-26T17:11:19+11:00</i>

</div>

<pre class="commit-message" style="white-space: pre-wrap; margin: 0;">Unify access to FQDN

FreeIPA's Python and C code used different approaches to get the FQDN of

the host. Some places assumed that gethostname() returns a FQDN. Other

code paths used glibc's resolver to resolve the current node name to a

FQDN.

Python code now uses the ipalib.constants.FQDN where a fully qualified

domain name is expected. The variable is initialized only once and avoids

potential DNS lookups.

C code uses a new helper function ipa_gethostfqdn() in util package. The

function implements similar logic as gethostfqdn() except it uses more

modern getaddrinfo(). The result is cached as well.

Fixes: https://pagure.io/freeipa/issue/8501

Signed-off-by: Christian Heimes <cheimes@redhat.com>

Reviewed-By: Fraser Tweedale <ftweedal@redhat.com>

</pre>

</li>

<li>

<strong><a href="https://salsa.debian.org/freeipa-team/freeipa/-/commit/5d4ed65b83f6ed8bb7f3da05561698cbea692bb3">5d4ed65b</a></strong>

<div>

<span>by Christian Heimes</span>

<i>at 2020-10-26T17:11:19+11:00</i>

</div>

<pre class="commit-message" style="white-space: pre-wrap; margin: 0;">Replace nodename with ipa_gethostfqdn()

ipa_kdb and ipa-join now use ipa_gethostfqdn() instead of uname()'s nodename.

The code for hostname in ipa-join is simplified. Now the hostname is

auto-detected and verified in main(). All sub functions can now use the

hostname without additional checks. This removes a bunch of strdup(),

NULL checks, and free() calls.

Fixes: https://pagure.io/freeipa/issue/8501

Signed-off-by: Christian Heimes <cheimes@redhat.com>

Reviewed-By: Fraser Tweedale <ftweedal@redhat.com>

</pre>

</li>

<li>

<strong><a href="https://salsa.debian.org/freeipa-team/freeipa/-/commit/b66b961fdd3d0b7f3c37bd245decf700e720708c">b66b961f</a></strong>

<div>

<span>by Christian Heimes</span>

<i>at 2020-10-26T17:11:19+11:00</i>

</div>

<pre class="commit-message" style="white-space: pre-wrap; margin: 0;">Remove problematic optimization from gethostfqdn()

Reviewed-By: Fraser Tweedale <ftweedal@redhat.com>

</pre>

</li>

<li>

<strong><a href="https://salsa.debian.org/freeipa-team/freeipa/-/commit/3d796a7e5102eded524e4847f8f9dd26f508ae94">3d796a7e</a></strong>

<div>

<span>by Christian Heimes</span>

<i>at 2020-10-26T17:11:19+11:00</i>

</div>

<pre class="commit-message" style="white-space: pre-wrap; margin: 0;">Update debug strings to reflect new calls

Signed-off-by: Christian Heimes <cheimes@redhat.com>

Reviewed-By: Fraser Tweedale <ftweedal@redhat.com>

</pre>

</li>

<li>

<strong><a href="https://salsa.debian.org/freeipa-team/freeipa/-/commit/727a2ffb9336a050c26c790989edaf41864c6911">727a2ffb</a></strong>

<div>

<span>by Christian Heimes</span>

<i>at 2020-10-26T17:11:19+11:00</i>

</div>

<pre class="commit-message" style="white-space: pre-wrap; margin: 0;">Easier to use ipa_gethostfqdn()

ipa_gethostfqdn() now returns a pointer to a statically allocated buffer

or NULL in case of an error. The caller no longer has to supply a

correctly allocated buffer.

Rename IPA_HOST_HOST to_LEN IPA_HOST_FQDN_LEN and use IPA_HOST_FQDN_LEN

wherever code copies a hostname supplied from ipa_gethostfqdn().

Clarify that MAXHOSTNAMELEN and MAXHOSTFQDNLEN are different things.

Signed-off-by: Christian Heimes <cheimes@redhat.com>

Reviewed-By: Fraser Tweedale <ftweedal@redhat.com>

</pre>

</li>

<li>

<strong><a href="https://salsa.debian.org/freeipa-team/freeipa/-/commit/3f59118ffcce07cbd74360f9ce8047e0b35960be">3f59118f</a></strong>

<div>

<span>by Fraser Tweedale</span>

<i>at 2020-10-26T17:11:19+11:00</i>

</div>

<pre class="commit-message" style="white-space: pre-wrap; margin: 0;">ipa_sam: do not modify static buffer holding fqdn

ipa_sam was modifying the buffer returned by ipa_gethostfqdn().

Subsequent calls to ipa_gethostfqdn() returned the corrupt data,

causing other operations to fail.

Update ipa_sam to copy the string and modify the copy.  Also

document this characteristic of ipa_gethostfqdn() and explain that

callers must not modify the returned data.

Part of: https://pagure.io/freeipa/issue/8501

Reviewed-By: Fraser Tweedale <ftweedal@redhat.com>

</pre>

</li>

<li>

<strong><a href="https://salsa.debian.org/freeipa-team/freeipa/-/commit/8b6d1ab854387840f7526d6d59ddc7102231957f">8b6d1ab8</a></strong>

<div>

<span>by Alexander Bokovoy</span>

<i>at 2020-10-26T15:55:02-04:00</i>

</div>

<pre class="commit-message" style="white-space: pre-wrap; margin: 0;">ipa-kdb: support subordinate/superior UPN suffixes

[MS-ADTS] 6.1.6.9.3.2 requires msDS-TrustForestTrustInfo attribute of

trusted domain information in Active Directory to conform certain rules.

One side-effect of those rules is that list of UPN suffixes reported

through the netr_DsRGetForestTrustInformation function is dynamically

filtered to deduplicate subordinate suffixes.

It means that if list of UPN suffixes contains the following top level

names (TLNs):

  fabrikam.com

  sub.fabrikam.com

then netr_DsRGetForestTrustInformation would only return 'fabrikam.com'

as the TLN, fully filtering 'sub.fabrikam.com'.

IPA KDB driver used exact comparison of the UPN suffixes so any

subordinate had to be specified exactly.

Modify logic so that if exact check does not succeed, we validate a

realm to test being a subordinate of the known UPN suffixes. The

subordinate check is done by making sure UPN suffix is at the end of the

test realm and is immediately preceded with a dot.

Because the function to check suffixes potentially called for every

Kerberos principal, precalculate and cache length for each UPN suffix at

the time we retrieve the list of them.

Fixes: https://pagure.io/freeipa/issue/8554

Signed-off-by: Alexander Bokovoy <abokovoy@redhat.com>

Reviewed-By: Rob Crittenden <rcritten@redhat.com>

Reviewed-By: Robbie Harwood <rharwood@redhat.com>

</pre>

</li>

<li>

<strong><a href="https://salsa.debian.org/freeipa-team/freeipa/-/commit/2f8eb73f588c96b391be57020ecf0b247c646d19">2f8eb73f</a></strong>

<div>

<span>by Rob Crittenden</span>

<i>at 2020-10-27T15:50:19-04:00</i>

</div>

<pre class="commit-message" style="white-space: pre-wrap; margin: 0;">Use a state to determine if a 389-ds upgrade is in progress

When applying update files to 389 the listeners are disabled.

There is a large try/except around this so that if a failure

happens then the configuration should be automatically

restored.

We've seen multiple cases where this doesn't occur. Best guess

is that users are killing or ^C breaking out of the script.

What happens in that case is that when the next upgrade is run

the configuration is backed up again overwriting the original

values. This leaves dirsrv with no listener on 389.

Add a new state, upgrade-in-progress, so that the backup of the

config information can be skipped when the upgrader is executed

again after a failure.

The idea behind using a new state value is that if additional

attributes are ever backed up we don't need to remember to update

the list of possible saved values to check to decide if the

upgrade is in progress.

https://pagure.io/freeipa/issue/7534

Signed-off-by: Rob Crittenden <rcritten@redhat.com>

Reviewed-By: Alexander Bokovoy <abokovoy@redhat.com>

</pre>

</li>

<li>

<strong><a href="https://salsa.debian.org/freeipa-team/freeipa/-/commit/9ba0494c266a3c918dba5d3c8ead8e06be819f3b">9ba0494c</a></strong>

<div>

<span>by Alexander Bokovoy</span>

<i>at 2020-10-30T12:48:22-04:00</i>

</div>

<pre class="commit-message" style="white-space: pre-wrap; margin: 0;">pylint: remove unused variable

Signed-off-by: Alexander Bokovoy <abokovoy@redhat.com>

Reviewed-By: Rob Crittenden <rcritten@redhat.com>

</pre>

</li>

<li>

<strong><a href="https://salsa.debian.org/freeipa-team/freeipa/-/commit/b8b46779dc239cf5b007ad11b5b8c9cf51e34ed0">b8b46779</a></strong>

<div>

<span>by Alexander Bokovoy</span>

<i>at 2020-10-30T12:48:22-04:00</i>

</div>

<pre class="commit-message" style="white-space: pre-wrap; margin: 0;">rpcserver: fallback to non-armored kinit in case of trusted domains

MIT Kerberos implements FAST negotiation as specified in RFC 6806

section 11. The implementation relies on the caller to provide a hint

whether FAST armoring must be used.

FAST armor can only be used when both client and KDC have a shared

secret. When KDC is from a trusted domain, there is no way to have a

shared secret between a generic Kerberos client and that KDC.

[MS-KILE] section 3.2.5.4 'Using FAST When the Realm Supports FAST'

allows KILE clients (Kerberos clients) to have local settings that

direct it to enforce use of FAST. This is equal to the current

implementation of 'kinit' utility in MIT Kerberos requiring to use FAST

if armor cache (option '-T') is provided.

[MS-KILE] section 3.3.5.7.4 defines a way for a computer from a

different realm to use compound identity TGS-REQ to create FAST TGS-REQ

explicitly armored with the computer's TGT. However, this method is not

available to IPA framework as we don't have access to the IPA server's

host key. In addition, 'kinit' utility does not support this method.

Active Directory has a policy to force use of FAST when client

advertizes its use. Since we cannot know in advance whether a principal

to obtain initial credentials for belongs to our realm or to a trusted

one due to enterprise principal canonicalization, we have to try to

kinit. Right now we fail unconditionally if FAST couldn't be used and

libkrb5 communication with a KDC from the user realm (e.g. from a

trusted forest) causes enforcement of a FAST.

In the latter case, as we cannot use FAST anyway, try to kinit again

without advertizing FAST. This works even in the situations when FAST

enforcement is enabled on Active Directory side: if client doesn't

advertize FAST capability, it is not required. Additionally, FAST cannot

be used for any practical need for a trusted domain's users yet.

Signed-off-by: Alexander Bokovoy <abokovoy@redhat.com>

Reviewed-By: Rob Crittenden <rcritten@redhat.com>

</pre>

</li>

<li>

<strong><a href="https://salsa.debian.org/freeipa-team/freeipa/-/commit/abefd6e19b5f6b1f5defe613d8bccd5292c65ea4">abefd6e1</a></strong>

<div>

<span>by Sudhir Menon</span>

<i>at 2020-10-30T12:50:22-04:00</i>

</div>

<pre class="commit-message" style="white-space: pre-wrap; margin: 0;">ipatests: ipa-healthcheck fixes for tests running on RHEL

Below tests have been modified accordingly

TestIpaHealthCheckFileCheck::test_ipa_filecheck_bad_owner

TestIpaHealthCheckFileCheck::test_ipa_filecheck_bad_group

TestIpaHealthCheckFileCheck::test_ipa_filecheck_bad_too_restrictive

TestIpaHealthCheckFileCheck::test_ipa_filecheck_too_permissive

TestIpaHealthCheckFileCheck::test_nssdb_filecheck_bad_owner

TestIpaHealthCheckWithExternalCA::test_opensslchainvalidation_ipa_ca_cert

TestIpaHealthCheckWithExternalCA::test_nsschainvalidation_ipa_invalid_chain

TestIpaHealthCheckWithExternalCA::test_ipahealthcheck_iparaagent

TestIpaHealthCheckWithExternalCA::test_ipahealthcheck_iparaagent_bad_serial

Signed-off-by: Sudhir Menon <sumenon@redhat.com>

Reviewed-By: Rob Crittenden <rcritten@redhat.com>

</pre>

</li>

<li>

<strong><a href="https://salsa.debian.org/freeipa-team/freeipa/-/commit/9a41966a250a97e7df204b4e66a4e7e9546d78aa">9a41966a</a></strong>

<div>

<span>by Sudhir Menon</span>

<i>at 2020-10-30T12:52:01-04:00</i>

</div>

<pre class="commit-message" style="white-space: pre-wrap; margin: 0;">ipatests: ipa-healthcheck test for DS BackendsCheck

This testcase checks that the BackendsCheck reports

the CRITICAL status when dse.ldif present in the

DS instance directory is renamed/moved.

Signed-off-by: Sudhir Menon <sumenon@redhat.com>

Reviewed-By: Rob Crittenden <rcritten@redhat.com>

</pre>

</li>

<li>

<strong><a href="https://salsa.debian.org/freeipa-team/freeipa/-/commit/563d0a07293f8d06a394c3ba6cfb85990099d711">563d0a07</a></strong>

<div>

<span>by Alexander Bokovoy</span>

<i>at 2020-10-30T19:06:11+02:00</i>

</div>

<pre class="commit-message" style="white-space: pre-wrap; margin: 0;">rpcserver: fix exception handling for FAST armor failure

Signed-off-by: Alexander Bokovoy <abokovoy@redhat.com>

</pre>

</li>

<li>

<strong><a href="https://salsa.debian.org/freeipa-team/freeipa/-/commit/b8a2a0f3013139574ac42ae69eb3e37c9ff56fba">b8a2a0f3</a></strong>

<div>

<span>by Sudhir Menon</span>

<i>at 2020-10-30T15:24:03-04:00</i>

</div>

<pre class="commit-message" style="white-space: pre-wrap; margin: 0;">ipatests: ipa-healthcheck test for EncryptionCheck

This testcase checks that EncryptionCheck reports ERROR status when DS tls version is

modified to TLS1.0

Signed-off-by: Sudhir Menon <sumenon@redhat.com>

Reviewed-By: Rob Crittenden <rcritten@redhat.com>

</pre>

</li>

<li>

<strong><a href="https://salsa.debian.org/freeipa-team/freeipa/-/commit/686414d2017b8122df04b04493909a12db8ccd66">686414d2</a></strong>

<div>

<span>by Sudhir Menon</span>

<i>at 2020-11-02T11:24:12+01:00</i>

</div>

<pre class="commit-message" style="white-space: pre-wrap; margin: 0;">ipatests: ipa-healthcheck test for DS RIPluginCheck

This testcase modifies the update value set on RI Plugin

to -1 as a result checks that RIPluginCheck reports warning message

Signed-off-by: Sudhir Menon <sumenon@redhat.com>

Reviewed-By: Rob Crittenden <rcritten@redhat.com>

</pre>

</li>

<li>

<strong><a href="https://salsa.debian.org/freeipa-team/freeipa/-/commit/2ef53196c6a012ad7d02aed5672d69fbcb5d0a4e">2ef53196</a></strong>

<div>

<span>by Rob Crittenden</span>

<i>at 2020-11-02T10:43:57-05:00</i>

</div>

<pre class="commit-message" style="white-space: pre-wrap; margin: 0;">Enable importing LDIF files not shipped by IPA

This is to be able to import ACME schema provided by dogtag.

https://pagure.io/freeipa/issue/8524

Signed-off-by: Rob Crittenden <rcritten@redhat.com>

Reviewed-By: Fraser Tweedale <ftweedal@redhat.com>

Reviewed-By: Christian Heimes <cheimes@redhat.com>

Reviewed-By: Alexander Bokovoy <abokovoy@redhat.com>

Reviewed-By: Rob Crittenden <rcritten@redhat.com>

Reviewed-By: Mohammad Rizwan <myusuf@redhat.com>

</pre>

</li>

<li>

<strong><a href="https://salsa.debian.org/freeipa-team/freeipa/-/commit/e13d058a066bdbd8a81b794b6f18ca8eca1f31c8">e13d058a</a></strong>

<div>

<span>by Rob Crittenden</span>

<i>at 2020-11-02T10:43:57-05:00</i>

</div>

<pre class="commit-message" style="white-space: pre-wrap; margin: 0;">Let dogtag.py be imported if the api is not initialized

This allows non-plugin components to import the RestClient

classes.

Removed code that only imported pki if in_server was True. This

was legacy code from when the plugins were also loaded in the

client.

Left the ra_plugin stanza for now. This is part of the old

abstraction that allowed for different CA plugins.

https://pagure.io/freeipa/issue/8524

Signed-off-by: Rob Crittenden <rcritten@redhat.com>

Reviewed-By: Fraser Tweedale <ftweedal@redhat.com>

Reviewed-By: Christian Heimes <cheimes@redhat.com>

Reviewed-By: Alexander Bokovoy <abokovoy@redhat.com>

Reviewed-By: Rob Crittenden <rcritten@redhat.com>

Reviewed-By: Mohammad Rizwan <myusuf@redhat.com>

</pre>

</li>

<li>

<strong><a href="https://salsa.debian.org/freeipa-team/freeipa/-/commit/c0d55ce6de5e41a98b1e37e23e8bdb339e772c0f">c0d55ce6</a></strong>

<div>

<span>by Rob Crittenden</span>

<i>at 2020-11-02T10:43:57-05:00</i>

</div>

<pre class="commit-message" style="white-space: pre-wrap; margin: 0;">Centralize enable/disable of the ACME service

The initial implementation of ACME in dogtag and IPA required

that ACME be manually enabled on each CA.

dogtag added a REST API that can be access directly or through

the `pki acme` CLI tool to enable or disable the service.

It also abstracted the database connection and introduced the

concept of a realm which defines the DIT for ACME users and

groups, the URL and the identity. This is configured in realm.conf.

A new group was created, Enterprise ACME Administrators, that

controls the users allowed to modify ACME configuration.

The IPA RA is added to this group for the ipa-acme-manage tool

to authenticate to the API to enable/disable ACME.

Related dogtag installation documentation:

https://github.com/dogtagpki/pki/blob/master/docs/installation/acme/Configuring_ACME_Database.md

https://github.com/dogtagpki/pki/blob/master/docs/installation/acme/Configuring_ACME_Realm.md

https://github.com/dogtagpki/pki/blob/master/docs/installation/acme/Installing_PKI_ACME_Responder.md

ACME REST API:

https://github.com/dogtagpki/pki/wiki/PKI-ACME-Enable-REST-API

https://pagure.io/freeipa/issue/8524

Signed-off-by: Rob Crittenden <rcritten@redhat.com>

Reviewed-By: Fraser Tweedale <ftweedal@redhat.com>

Reviewed-By: Christian Heimes <cheimes@redhat.com>

Reviewed-By: Alexander Bokovoy <abokovoy@redhat.com>

Reviewed-By: Rob Crittenden <rcritten@redhat.com>

Reviewed-By: Mohammad Rizwan <myusuf@redhat.com>

</pre>

</li>

<li>

<strong><a href="https://salsa.debian.org/freeipa-team/freeipa/-/commit/92c3ea4e293a4fca58269265b7fbf511024dab59">92c3ea4e</a></strong>

<div>

<span>by Rob Crittenden</span>

<i>at 2020-11-02T10:43:57-05:00</i>

</div>

<pre class="commit-message" style="white-space: pre-wrap; margin: 0;">Don't install ACME if full support is not available

The initial ACME support required that each server individually

enable/disable the service. PKI 10.10.0 stores this state in LDAP

so global enable/disable is available and the IPA code relies on

this.

Parse the VERSION file shipped with PKI to determine the version.

https://pagure.io/freeipa/issue/8524

Signed-off-by: Rob Crittenden <rcritten@redhat.com>

Reviewed-By: Fraser Tweedale <ftweedal@redhat.com>

Reviewed-By: Christian Heimes <cheimes@redhat.com>

Reviewed-By: Alexander Bokovoy <abokovoy@redhat.com>

Reviewed-By: Rob Crittenden <rcritten@redhat.com>

Reviewed-By: Mohammad Rizwan <myusuf@redhat.com>

</pre>

</li>

<li>

<strong><a href="https://salsa.debian.org/freeipa-team/freeipa/-/commit/69ae48c8b614a23f530ec6ed33c9019e0b491e50">69ae48c8</a></strong>

<div>

<span>by Rob Crittenden</span>

<i>at 2020-11-02T10:43:57-05:00</i>

</div>

<pre class="commit-message" style="white-space: pre-wrap; margin: 0;">Add a status option to ipa-acme-manage

It's handy in general and good for testing to be able to

detect the current ACME status without having to revert

to using curl.

https://pagure.io/freeipa/issue/8524

Signed-off-by: Rob Crittenden <rcritten@redhat.com>

Reviewed-By: Fraser Tweedale <ftweedal@redhat.com>

Reviewed-By: Christian Heimes <cheimes@redhat.com>

Reviewed-By: Alexander Bokovoy <abokovoy@redhat.com>

Reviewed-By: Rob Crittenden <rcritten@redhat.com>

Reviewed-By: Mohammad Rizwan <myusuf@redhat.com>

</pre>

</li>

<li>

<strong><a href="https://salsa.debian.org/freeipa-team/freeipa/-/commit/e7fd791579eca8b7a1c30b4f17bfac7c4fafe2a7">e7fd7915</a></strong>

<div>

<span>by Mohammad Rizwan</span>

<i>at 2020-11-02T10:43:57-05:00</i>

</div>

<pre class="commit-message" style="white-space: pre-wrap; margin: 0;">ipatests: Check if ACME is enabled on all CA servers

Test if ACME service is enabled on replica if eabled on

server. This is to check the centralize enable/disable

from single host.

ipatests: Test if ACME is enabled on replica when converted from CA-less to CA-full

Deployment where one server is deployed as CA-less and acme is enabled, when converted

to CA full, should have ACME enabled by default.

ipatests: Test ACME with CA-less replica when converted to CA-full

Deployment have one ca-less replica and ACME is not enabled.

After converting ca-less replica to ca-full, ACME can be

enabled or disabled.

related:

https://pagure.io/freeipa/issue/8524

Signed-off-by: Mohammad Rizwan <myusuf@redhat.com>

Reviewed-By: Fraser Tweedale <ftweedal@redhat.com>

Reviewed-By: Christian Heimes <cheimes@redhat.com>

Reviewed-By: Alexander Bokovoy <abokovoy@redhat.com>

Reviewed-By: Rob Crittenden <rcritten@redhat.com>

Reviewed-By: Mohammad Rizwan <myusuf@redhat.com>

</pre>

</li>

<li>

<strong><a href="https://salsa.debian.org/freeipa-team/freeipa/-/commit/d4ef64b229541200564131e927cd0b4b32662fe2">d4ef64b2</a></strong>

<div>

<span>by Rob Crittenden</span>

<i>at 2020-11-02T10:43:57-05:00</i>

</div>

<pre class="commit-message" style="white-space: pre-wrap; margin: 0;">ipatests: Collect the let's encrypt log

Collect the let's encrypt client log for any potential

debug purposes.

https://pagure.io/freeipa/issue/8524

Signed-off-by: Rob Crittenden <rcritten@redhat.com>

Reviewed-By: Fraser Tweedale <ftweedal@redhat.com>

Reviewed-By: Christian Heimes <cheimes@redhat.com>

Reviewed-By: Alexander Bokovoy <abokovoy@redhat.com>

Reviewed-By: Rob Crittenden <rcritten@redhat.com>

Reviewed-By: Mohammad Rizwan <myusuf@redhat.com>

</pre>

</li>

<li>

<strong><a href="https://salsa.debian.org/freeipa-team/freeipa/-/commit/43ea80ae913d7213ec6595b46b2b532bb04dbb64">43ea80ae</a></strong>

<div>

<span>by Sudhir Menon</span>

<i>at 2020-11-02T17:34:38+01:00</i>

</div>

<pre class="commit-message" style="white-space: pre-wrap; margin: 0;">ipatests: Fix for test_ipahealthcheck_ds_encryption

Nightly test failure was seen for test_ipahealthcheck_ds_encryption

The test was failing since @pytest.fixture was not specified before

the function modify_tls

Ref: https://pagure.io/freeipa/issue/8560

Reviewed-By: Mohammad Rizwan Yusuf <myusuf@redhat.com>

Reviewed-By: Florence Blanc-Renaud <flo@redhat.com>

</pre>

</li>

<li>

<strong><a href="https://salsa.debian.org/freeipa-team/freeipa/-/commit/9c4785f042feb1fddbe579d07ff591a532e4f24d">9c4785f0</a></strong>

<div>

<span>by Mark Reynolds</span>

<i>at 2020-11-02T13:42:37-05:00</i>

</div>

<pre class="commit-message" style="white-space: pre-wrap; margin: 0;">Reorder creation of the CA mapping tree and database backend

New validation efforts in 389-ds-base require that the backend entry for

a database be created before the mapping tree entry. This enforces that

the mapping tree entry (the suffix) actually belongs to an existing backend.

For IPA we simply need to reverse the order of the backend vs mapping tree

creation in cainstance.py -> __create_ds_db()

Fixes: https://pagure.io/freeipa/issue/8558

Reviewed-By: Alexander Bokovoy <abokovoy@redhat.com>

Reviewed-By: Rob Crittenden <rcritten@redhat.com>

</pre>

</li>

<li>

<strong><a href="https://salsa.debian.org/freeipa-team/freeipa/-/commit/2768b0dbaf0e07bc632a4867b13ef4c5ac875372">2768b0db</a></strong>

<div>

<span>by Rob Crittenden</span>

<i>at 2020-11-02T14:01:05-05:00</i>

</div>

<pre class="commit-message" style="white-space: pre-wrap; margin: 0;">Require an ipa-ca SAN on 3rd party certs if ACME is enabled

ACME requires an ipa-ca SAN to have a fixed URL to connect to.

If the Apache certificate is replaced by a 3rd party cert then

it must provide this SAN otherwise it will break ACME.

https://pagure.io/freeipa/issue/8498

Signed-off-by: Rob Crittenden <rcritten@redhat.com>

Reviewed-By: Fraser Tweedale <ftweedal@redhat.com>

Reviewed-By: Mohammad Rizwan <myusuf@redhat.com>

</pre>

</li>

<li>

<strong><a href="https://salsa.debian.org/freeipa-team/freeipa/-/commit/e0ff82c884356a6c9fcd0fef66580de30ec5af87">e0ff82c8</a></strong>

<div>

<span>by Rob Crittenden</span>

<i>at 2020-11-02T14:01:05-05:00</i>

</div>

<pre class="commit-message" style="white-space: pre-wrap; margin: 0;">Change the return codes of ipa-acme-manage

Traditionally in IPA 0 = success, 1 = error and then

specific error messages follow from that. Shift the

ipa-acme-manage return codes for "not installed" and

"not a CA" up by one.

https://pagure.io/freeipa/issue/8498

Signed-off-by: Rob Crittenden <rcritten@redhat.com>

Reviewed-By: Fraser Tweedale <ftweedal@redhat.com>

Reviewed-By: Mohammad Rizwan <myusuf@redhat.com>

</pre>

</li>

<li>

<strong><a href="https://salsa.debian.org/freeipa-team/freeipa/-/commit/c8f13cd85503f2713c616eccfd7c37e52792c7ef">c8f13cd8</a></strong>

<div>

<span>by Rob Crittenden</span>

<i>at 2020-11-02T14:01:05-05:00</i>

</div>

<pre class="commit-message" style="white-space: pre-wrap; margin: 0;">ipatests: Add tests for requiring ipa-ca SAN when ACME is enabled

Test that:

1. With ACME enabled, SAN is required

2. With ACME disabled, SAN is not required

Also verify the ipa-acme-manage status command.

https://pagure.io/freeipa/issue/8498

Signed-off-by: Rob Crittenden <rcritten@redhat.com>

Reviewed-By: Fraser Tweedale <ftweedal@redhat.com>

Reviewed-By: Mohammad Rizwan <myusuf@redhat.com>

</pre>

</li>

<li>

<strong><a href="https://salsa.debian.org/freeipa-team/freeipa/-/commit/c053b5e0d6a06ad17b1d427a8345bca792981b47">c053b5e0</a></strong>

<div>

<span>by Florence Blanc-Renaud</span>

<i>at 2020-11-03T09:49:22+02:00</i>

</div>

<pre class="commit-message" style="white-space: pre-wrap; margin: 0;">ipatests: curl outputs the cookie in stderr and not in sdtout

The integration test test_trust.py::TestTrust::test_password_login_as_aduser

is expecting curl to output the cookie obtained after password login

in stdout but should use stderr instead.

Fixes: https://pagure.io/freeipa/issue/8559

Reviewed-By: Alexander Bokovoy <abokovoy@redhat.com>

Reviewed-By: Rob Crittenden <rcritten@redhat.com>

</pre>

</li>

<li>

<strong><a href="https://salsa.debian.org/freeipa-team/freeipa/-/commit/2b1230e5b083084eecf3aeb027223d5501a45924">2b1230e5</a></strong>

<div>

<span>by Sudhir Menon</span>

<i>at 2020-11-04T09:23:41+01:00</i>

</div>

<pre class="commit-message" style="white-space: pre-wrap; margin: 0;">ipatests: Fix for test_ipahealthcheck_ds_riplugincheck

Fix for Nightly test failure in

test_ipahealthcheck.py::TestIpaHealthCheck::test_ipahealthcheck_ds_riplugincheck

Pagure: https://pagure.io/freeipa/issue/8563

Signed-off-by: Sudhir Menon <sumenon@redhat.com>

Reviewed-By: Florence Blanc-Renaud <flo@redhat.com>

</pre>

</li>

<li>

<strong><a href="https://salsa.debian.org/freeipa-team/freeipa/-/commit/b60d2d975d79856b1c149ee2136aa813342d39ed">b60d2d97</a></strong>

<div>

<span>by Rob Crittenden</span>

<i>at 2020-11-06T16:29:41-05:00</i>

</div>

<pre class="commit-message" style="white-space: pre-wrap; margin: 0;">Add ipwpwdpolicy objectclass to all policies on upgrade

ipapwdpolicy is the objectclass which defines the libpwquality

attributes. For older sytems it isn't strictly necessary (or

visible) but not having it included will result in policies

not being visible with pwpolicy-find.

https://pagure.io/freeipa/issue/8555

Signed-off-by: Rob Crittenden <rcritten@redhat.com>

Reviewed-By: Florence Blanc-Renaud <frenaud@redhat.com>

</pre>

</li>

<li>

<strong><a href="https://salsa.debian.org/freeipa-team/freeipa/-/commit/f86250a9a592f2549bc1446c8e3493b256618107">f86250a9</a></strong>

<div>

<span>by Rob Crittenden</span>

<i>at 2020-11-06T16:29:41-05:00</i>

</div>

<pre class="commit-message" style="white-space: pre-wrap; margin: 0;">Test that ipapwpolicy objectclass is added on upgrade

Use ldapmodify to remove the objectclass from the default

global policy then run ipa-server-upgrade to confirm

that it is properly added.

https://pagure.io/freeipa/issue/8555

Signed-off-by: Rob Crittenden <rcritten@redhat.com>

Reviewed-By: Florence Blanc-Renaud <frenaud@redhat.com>

</pre>

</li>

<li>

<strong><a href="https://salsa.debian.org/freeipa-team/freeipa/-/commit/69b42f0c80f392b20526b5ff8155fc1aa633dd7d">69b42f0c</a></strong>

<div>

<span>by Rob Crittenden</span>

<i>at 2020-11-06T16:29:41-05:00</i>

</div>

<pre class="commit-message" style="white-space: pre-wrap; margin: 0;">Catch EmptyResult exception in update_idranges

If no results are returned then find_entries will raise

EmptyResult and not NotFound. NotFound is returned if

the search base doesn't exist.

The test for not entries can be removed as well since this

is the EmptyResult case. In case of a NotFound this will

be handled by the ExecutionError clause.

Found with https://pagure.io/freeipa/issue/8555

Signed-off-by: Rob Crittenden <rcritten@redhat.com>

Reviewed-By: Florence Blanc-Renaud <frenaud@redhat.com>

</pre>

</li>

<li>

<strong><a href="https://salsa.debian.org/freeipa-team/freeipa/-/commit/81cbee4e3ff2e667946e0d41097b402257608b7e">81cbee4e</a></strong>

<div>

<span>by Alexander Bokovoy</span>

<i>at 2020-11-06T16:32:42-05:00</i>

</div>

<pre class="commit-message" style="white-space: pre-wrap; margin: 0;">ipa-kdb: fix crash in MS-PAC cache init code

When initializing UPN suffixes, we calculate their sizes and didn't use

the right variable to allocate their size. This affects us if there are

more than one UPN suffix available for a trust due to memory corruption

while filling in sizes.

Add unit test for multiple UPN suffixes.

Fixes: https://pagure.io/freeipa/issue/8566

Signed-off-by: Alexander Bokovoy <abokovoy@redhat.com>

Reviewed-By: Rob Crittenden <rcritten@redhat.com>

Reviewed-By: Robbie Harwood <rharwood@redhat.com>

</pre>

</li>

<li>

<strong><a href="https://salsa.debian.org/freeipa-team/freeipa/-/commit/91706690e0c894864c93716c4fbecb285722e77d">91706690</a></strong>

<div>

<span>by Alexander Bokovoy</span>

<i>at 2020-11-06T16:38:37-05:00</i>

</div>

<pre class="commit-message" style="white-space: pre-wrap; margin: 0;">wgi/plugins.py: ignore empty plugin directories

Dynamic plugin registry returns as a plugin any folder within the

plugins directory. Web UI then attempts to load for each plugin 'foo' a

JavaScript file named 'foo/foo.js'. The problem is that if 'foo/foo.js'

does not exist, Web UI breaks and it is impossible to recover until the

empty folder is removed or 'foo/foo.js' (even empty) is created at the

server side.

Check that 'foo/foo.js' actual exists when including a plugin into the

registry.

Test the registry generator by creating fake plugins and removing them

during the test.

Fixes: https://pagure.io/freeipa/issue/8567

Signed-off-by: Alexander Bokovoy <abokovoy@redhat.com>

Reviewed-By: Florence Blanc-Renaud <frenaud@redhat.com>

</pre>

</li>

<li>

<strong><a href="https://salsa.debian.org/freeipa-team/freeipa/-/commit/b7be1a2470c220da30154305e869149d808c0ec2">b7be1a24</a></strong>

<div>

<span>by Sudhir Menon</span>

<i>at 2020-11-09T09:06:11+01:00</i>

</div>

<pre class="commit-message" style="white-space: pre-wrap; margin: 0;">ipatests: ipa-healthcheck tests for DS checks

1. test_ipahealthcheck_ds_configcheck

   checks ensures that warning message is displayed by ConfigCheck

   when high resolution timestamp is disabled

2. test_ipahealthcheck_ds_fschecks

   Test has been now moved under Class TestIpaHealthCheckFileCheck

   This testcase checks that when permission of pwdfile.txt is changed

   to other than 400, FSCheck returns CRITICAL status

3. test_ds_configcheck_passwordstorage

   This test checks that critical status is displayed by

   ConfigCheck when rootpwstoragescheme is set to MD5 instead

   of the required PBKDF2_SHA256

4. test_ipahealthcheck_topology_with_ipactl_stop

   This testcase ensures that ipahealthcheck.ipa.topology check

   doesnot display 'source not found' on a system when ipactl

   stop is run

5. Modified testcase name

   the testcase name and description have been modified to match

   the actual testcase executed

Signed-off-by: Sudhir Menon <sumenon@redhat.com>

Reviewed-By: Florence Blanc-Renaud <flo@redhat.com>

Reviewed-By: Rob Crittenden <rcritten@redhat.com>

</pre>

</li>

<li>

<strong><a href="https://salsa.debian.org/freeipa-team/freeipa/-/commit/617f7824ca56c040bd5c5ad60dc23f228df70b63">617f7824</a></strong>

<div>

<span>by Sudhir Menon</span>

<i>at 2020-11-09T09:06:11+01:00</i>

</div>

<pre class="commit-message" style="white-space: pre-wrap; margin: 0;">Added nsslapd-logging-hr-timestamps-enabled attribute in _SINGLE_VALUE_OVERRIDE table

In ipa-healthcheck ds-related tests i.e

test_ipahealthcheck.py::TestIpaHealthCheck::test_ipahealthcheck_ds_configcheck

there exists a scenario of modifying the "nsslapd-logging-hr-timestamps-enabled" attribute to off

The tests are failing with the below error

"ipalib.errors.MidairCollision: change collided with another change"

The test audit log displays that the attribute is deleted first and then added.

changetype: modify

delete: nsslapd-logging-hr-timestamps-enabled

nsslapd-logging-hr-timestamps-enabled: on

-

add: nsslapd-logging-hr-timestamps-enabled

nsslapd-logging-hr-timestamps-enabled: off

Adding the nsslapd-logging-hr-timestamps-enabled attribute in _SINGLE_VALUE_OVERRIDE table

to check if we generate a replace instead of add and delete.

Signed-off-by: Sudhir Menon <sumenon@redhat.com>

Reviewed-By: Florence Blanc-Renaud <flo@redhat.com>

Reviewed-By: Rob Crittenden <rcritten@redhat.com>

</pre>

</li>

<li>

<strong><a href="https://salsa.debian.org/freeipa-team/freeipa/-/commit/26b9a697844c3bb66bdf83dad3a9738b3cb65361">26b9a697</a></strong>

<div>

<span>by Rob Crittenden</span>

<i>at 2020-11-09T09:41:27-05:00</i>

</div>

<pre class="commit-message" style="white-space: pre-wrap; margin: 0;">Wrap libpwquality PKG_CHECK_MODULES in ENABLE_SERVER test

libpwquality is only needed when building a server. Don't test

for it in a client build.

https://pagure.io/freeipa/issue/6964

https://pagure.io/freeipa/issue/5948

https://pagure.io/freeipa/issue/2445

https://pagure.io/freeipa/issue/298

Signed-off-by: Rob Crittenden <rcritten@redhat.com>

Reviewed-By: Alexander Bokovoy <abokovoy@redhat.com>

</pre>

</li>

<li>

<strong><a href="https://salsa.debian.org/freeipa-team/freeipa/-/commit/ab9ef13f278bf02fc018e20a4aefb20976049e71">ab9ef13f</a></strong>

<div>

<span>by Florence Blanc-Renaud</span>

<i>at 2020-11-09T16:05:43-05:00</i>

</div>

<pre class="commit-message" style="white-space: pre-wrap; margin: 0;">ipatests: IPADNSSystemRecordsCheck also checks for AAAA records

With commit 02c3b27 that has been included in ipa-healthcheck 0.7,

IPADNSSystemRecordsCheck also checks the presence of an AAAA record

for ipa-ca.

The test needs to handle this case and expect an error message for

missing ipa-ca AAAA record.

Fixes: https://pagure.io/freeipa/issue/8573

Reviewed-By: Rob Crittenden <rcritten@redhat.com>

</pre>

</li>

<li>

<strong><a href="https://salsa.debian.org/freeipa-team/freeipa/-/commit/3d2a4f25f777db69f5b314bf62bee6ec95fb3317">3d2a4f25</a></strong>

<div>

<span>by Florence Blanc-Renaud</span>

<i>at 2020-11-09T16:06:40-05:00</i>

</div>

<pre class="commit-message" style="white-space: pre-wrap; margin: 0;">ipatests: ipa-acme-manage status returns 3 on a CA-less server

test_acme.py::TestACMECALess::test_enable_caless_to_cafull_replica is

running ipa-acme-manage status on a CA-less server and wrongly

expects retcode =1. According to the man page, the command returns 3

when executed on a server where the CA is not installed.

Fixes: https://pagure.io/freeipa/issue/8572

Reviewed-By: Rob Crittenden <rcritten@redhat.com>

</pre>

</li>

<li>

<strong><a href="https://salsa.debian.org/freeipa-team/freeipa/-/commit/5915031830125246b51346dddcadc8fc892e1793">59150318</a></strong>

<div>

<span>by Andika Triwidada</span>

<i>at 2020-11-11T10:20:47+02:00</i>

</div>

<pre class="commit-message" style="white-space: pre-wrap; margin: 0;">Translated using Weblate (Indonesian)

Currently translated at 6.8% (321 of 4676 strings)

Translated using Weblate (Indonesian)

Currently translated at 2.9% (136 of 4676 strings)

Co-authored-by: Andika Triwidada <andika@gmail.com>

Translate-URL: https://translate.fedoraproject.org/projects/freeipa/master/id/

Translation: freeipa/master

Reviewed-By: Alexander Bokovoy <abokovoy@redhat.com>

</pre>

</li>

<li>

<strong><a href="https://salsa.debian.org/freeipa-team/freeipa/-/commit/b153b23c75a8ddd4170c3ba47774ced219bf20aa">b153b23c</a></strong>

<div>

<span>by Fraser Tweedale</span>

<i>at 2020-11-11T10:24:38+02:00</i>

</div>

<pre class="commit-message" style="white-space: pre-wrap; margin: 0;">dns: allow PTR records in arbitrary zones

PTR records in zones other than in-addr.arpa and in6.arpa are legal,

e.g. DNS-SD [RFC6763] uses such records.  If in a reverse zone

proceed with the existing checks, otherwise just accept the record.

Fixes: https://pagure.io/freeipa/issue/5566

Reviewed-By: Alexander Bokovoy <abokovoy@redhat.com>

</pre>

</li>

<li>

<strong><a href="https://salsa.debian.org/freeipa-team/freeipa/-/commit/3ab3578b36bc7b8ce777e38ba764649d1b684ce5">3ab3578b</a></strong>

<div>

<span>by Rob Crittenden</span>

<i>at 2020-11-11T10:29:25+02:00</i>

</div>

<pre class="commit-message" style="white-space: pre-wrap; margin: 0;">On password reset also set krbLastAdminUnlock to unlock account

This fixes the case where an account is locked on one or more servers

and the password is reset by an administrator. The account would

remain locked on those servers for the duration of the lockout.

This is done by setting krbLastAdminUnlock to the current date and

time. The lockout plugin will see this and unlock the account. Since

the value should be replicated along with the password any server

that has the new password will also be unlocked.

This does incur an additional attribute that must be replicated,

whether it is needed or not, but since lockout is computed

per-server this is the only guaranteed way to be sure that the

account will be unlocked everywhere.

My original thought was to grab password replication events and detect

whether the user was locked out and unlock them. On any given server

you can only know if the user is locked out on that server by

computing it. Doing this would require generalizing the lockout code

so it could be computed on password change. krbLastFailedAuth could

be wiped which would unlock the account on that master (the attribute

is not replicated by default).

So it is complexity vs additional replication. Assuming that admin

reset is relatively rare let's start with that. This doesn't lock

us into this solution for the future.

We could set this attribute on user-driven password changes as

well but the original ask and my thinking are that if you forgot

your password and got locked out, how can you change it yourself?

Upon reflection I guess a user could fat-finger it a bunch of times

against one IPA server then have a revelation and log in against a

different server. So they would still be locked out for the duration

on the first one. I'm not sure the extra replication is worth it for

user-generated password changes or that users would be saavy enough

to try another server for the change.

https://pagure.io/freeipa/issue/8551

Signed-off-by: Rob Crittenden <rcritten@redhat.com>

Reviewed-By: Alexander Bokovoy <abokovoy@redhat.com>

</pre>

</li>

<li>

<strong><a href="https://salsa.debian.org/freeipa-team/freeipa/-/commit/ca6fc689ba92ee2db6945f37429ee7fe8d75a4b6">ca6fc689</a></strong>

<div>

<span>by Rob Crittenden</span>

<i>at 2020-11-11T10:29:25+02:00</i>

</div>

<pre class="commit-message" style="white-space: pre-wrap; margin: 0;">ipatests: Test that password reset unlocks users too

The basic idea is:

* add a user with a password

* kinit with a bad password for the user until lockout

* on another server administratively reset the password

* wait for replication to finish

* kinit on the original server again and the user should

  be able to kinit again meaning the lockout was removed

https://pagure.io/freeipa/issue/8551

Signed-off-by: Rob Crittenden <rcritten@redhat.com>

Reviewed-By: Alexander Bokovoy <abokovoy@redhat.com>

</pre>

</li>

<li>

<strong><a href="https://salsa.debian.org/freeipa-team/freeipa/-/commit/bbe990128811c99f777aa04bbd39ea0bbc29611d">bbe99012</a></strong>

<div>

<span>by Fraser Tweedale</span>

<i>at 2020-11-11T14:08:35+02:00</i>

</div>

<pre class="commit-message" style="white-space: pre-wrap; margin: 0;">mailmap: add ftweedal

I noticed from draft release notes that some commits with a

different email address slipped in.  Add myself to mailmap so that I

do not have doppelganger.

Reviewed-By: Alexander Bokovoy <abokovoy@redhat.com>

</pre>

</li>

<li>

<strong><a href="https://salsa.debian.org/freeipa-team/freeipa/-/commit/9dccf17a6c6ce023661a33fdb1f65314ef6a053f">9dccf17a</a></strong>

<div>

<span>by Mohammad Rizwan</span>

<i>at 2020-11-12T15:14:12-05:00</i>

</div>

<pre class="commit-message" style="white-space: pre-wrap; margin: 0;">External-CA scenarios for ACME service

Inherited the TestACME class by overriding install()

to install the ipa master with external CA. It will

setup the External-CA and will call all the test

method from TestACME class.

related: https://pagure.io/freeipa/issue/4751

Signed-off-by: Mohammad Rizwan <myusuf@redhat.com>

Reviewed-By: Fraser Tweedale <ftweedal@redhat.com>

Reviewed-By: Rob Crittenden <rcritten@redhat.com>

</pre>

</li>

<li>

<strong><a href="https://salsa.debian.org/freeipa-team/freeipa/-/commit/cbbfcd9b1e9bbcce864957423085d362e6d44c72">cbbfcd9b</a></strong>

<div>

<span>by Mohammad Rizwan</span>

<i>at 2020-11-12T15:14:12-05:00</i>

</div>

<pre class="commit-message" style="white-space: pre-wrap; margin: 0;">PEP8 fixes for test_acme.py

Reviewed-By: Fraser Tweedale <ftweedal@redhat.com>

Reviewed-By: Rob Crittenden <rcritten@redhat.com>

</pre>

</li>

<li>

<strong><a href="https://salsa.debian.org/freeipa-team/freeipa/-/commit/c4a6b0e5662f539b8438cdbc593eb713ea8c6da2">c4a6b0e5</a></strong>

<div>

<span>by Mohammad Rizwan</span>

<i>at 2020-11-12T15:14:12-05:00</i>

</div>

<pre class="commit-message" style="white-space: pre-wrap; margin: 0;">Move acme client installation part to classmethod

Moved the acme client installation part to classmethod

so that it can be leveraged further.

Reviewed-By: Fraser Tweedale <ftweedal@redhat.com>

Reviewed-By: Rob Crittenden <rcritten@redhat.com>

</pre>

</li>

<li>

<strong><a href="https://salsa.debian.org/freeipa-team/freeipa/-/commit/3722013dcd6d03d3adbdfb518c733b1a90e5af39">3722013d</a></strong>

<div>

<span>by Armando Neto</span>

<i>at 2020-11-16T09:26:48-03:00</i>

</div>

<pre class="commit-message" style="white-space: pre-wrap; margin: 0;">ipatests: Update PRCI Fedora 32 templates

Updating templates with upgraded packages installed.

Signed-off-by: Armando Neto <abiagion@redhat.com>

Reviewed-By: Florence Blanc-Renaud <frenaud@redhat.com>

Reviewed-By: Alexander Bokovoy <abokovoy@redhat.com>

</pre>

</li>

<li>

<strong><a href="https://salsa.debian.org/freeipa-team/freeipa/-/commit/1512acc7de5b6c2ea3f9edbe661d6d1e2bdc5889">1512acc7</a></strong>

<div>

<span>by Serhii Tsymbaliuk</span>

<i>at 2020-11-16T16:04:40+01:00</i>

</div>

<pre class="commit-message" style="white-space: pre-wrap; margin: 0;">WebUI: Fix topology graph navigation crash

Add get_navigation_options method to all facet variations to unify forming facet links.

Ticket: https://pagure.io/freeipa/issue/8523

Signed-off-by: Serhii Tsymbaliuk <stsymbal@redhat.com>

Reviewed-By: Petr Vobornik <pvoborni@redhat.com>

</pre>

</li>

<li>

<strong><a href="https://salsa.debian.org/freeipa-team/freeipa/-/commit/69368fccdb8786fca63341a780f9c48a91c84f5e">69368fcc</a></strong>

<div>

<span>by Serhii Tsymbaliuk</span>

<i>at 2020-11-16T16:04:40+01:00</i>

</div>

<pre class="commit-message" style="white-space: pre-wrap; margin: 0;">WebUI tests: Add simple test to check topology graph page is available

Ticket: https://pagure.io/freeipa/issue/8523

Signed-off-by: Serhii Tsymbaliuk <stsymbal@redhat.com>

Reviewed-By: Petr Vobornik <pvoborni@redhat.com>

</pre>

</li>

<li>

<strong><a href="https://salsa.debian.org/freeipa-team/freeipa/-/commit/a33530f2f6cc7933edc537eb5055d4f147741654">a33530f2</a></strong>

<div>

<span>by Florence Blanc-Renaud</span>

<i>at 2020-11-17T08:39:59+01:00</i>

</div>

<pre class="commit-message" style="white-space: pre-wrap; margin: 0;">ipatests: temporarily remove test_dnssec.py::TestInstallDNSSECFirst from gating

The test test_dnssec.py::TestInstallDNSSECFirst is failing due to known

issue https://pagure.io/freeipa/issue/8496

currently under investigation by 389ds team.

In the meantime, remove the test from gating to avoid blocking the PRs.

Related: https://pagure.io/freeipa/issue/8496

Reviewed-By: Stanislav Levin <slev@altlinux.org>

Reviewed-By: Alexander Bokovoy <abokovoy@redhat.com>

</pre>

</li>

<li>

<strong><a href="https://salsa.debian.org/freeipa-team/freeipa/-/commit/be006ad6c4e36fd53212a5e573524d1c96dfab39">be006ad6</a></strong>

<div>

<span>by Stanislav Levin</span>

<i>at 2020-11-17T14:25:39+02:00</i>

</div>

<pre class="commit-message" style="white-space: pre-wrap; margin: 0;">ipatests: Respect platform's openssl dir

There are different build configurations of OpenSSL from one distro

to another. For example,

Debian: '--openssldir=/usr/lib/ssl',

Fedora: '--openssldir=/etc/pki/tls',

openSUSE: '--openssldir=/etc/ssl',

ALTLinux: '--openssldir=/var/lib/ssl'.

Signed-off-by: Stanislav Levin <slev@altlinux.org>

Reviewed-By: Rob Crittenden <rcritten@redhat.com>

Reviewed-By: Alexander Bokovoy <abokovoy@redhat.com>

</pre>

</li>

<li>

<strong><a href="https://salsa.debian.org/freeipa-team/freeipa/-/commit/94adee3c73f039fc2d985afd1681cd64ece55116">94adee3c</a></strong>

<div>

<span>by Stanislav Levin</span>

<i>at 2020-11-17T14:25:39+02:00</i>

</div>

<pre class="commit-message" style="white-space: pre-wrap; margin: 0;">EPN: Don't downgrade security

If an administrator requests `smtp_security=starttls`, but SMTP

server disables STARTTLS, then EPN downgrade security to `none`,

which means plain text. Administrator doesn't expect such behavior.

Fixes: https://pagure.io/freeipa/issue/8578

Signed-off-by: Stanislav Levin <slev@altlinux.org>

Reviewed-By: Rob Crittenden <rcritten@redhat.com>

Reviewed-By: Alexander Bokovoy <abokovoy@redhat.com>

</pre>

</li>

<li>

<strong><a href="https://salsa.debian.org/freeipa-team/freeipa/-/commit/977063a56ef8f11c75a4cdd836f8692155337c7b">977063a5</a></strong>

<div>

<span>by Stanislav Levin</span>

<i>at 2020-11-17T14:25:39+02:00</i>

</div>

<pre class="commit-message" style="white-space: pre-wrap; margin: 0;">test_epn: Standardize EPN configs for deduplication

Signed-off-by: Stanislav Levin <slev@altlinux.org>

Reviewed-By: Rob Crittenden <rcritten@redhat.com>

Reviewed-By: Alexander Bokovoy <abokovoy@redhat.com>

</pre>

</li>

<li>

<strong><a href="https://salsa.debian.org/freeipa-team/freeipa/-/commit/32aa1540f0f25864816eced0b2f569a6cdfd3973">32aa1540</a></strong>

<div>

<span>by Stanislav Levin</span>

<i>at 2020-11-17T14:25:39+02:00</i>

</div>

<pre class="commit-message" style="white-space: pre-wrap; margin: 0;">EPN: Enable certificate validation and hostname checking

https://pagure.io/freeipa/issue/8579

Signed-off-by: Stanislav Levin <slev@altlinux.org>

Reviewed-By: Rob Crittenden <rcritten@redhat.com>

Reviewed-By: Alexander Bokovoy <abokovoy@redhat.com>

</pre>

</li>

<li>

<strong><a href="https://salsa.debian.org/freeipa-team/freeipa/-/commit/17f430efc4cf438b6c052465b8252688bc5822f9">17f430ef</a></strong>

<div>

<span>by Stanislav Levin</span>

<i>at 2020-11-17T14:25:39+02:00</i>

</div>

<pre class="commit-message" style="white-space: pre-wrap; margin: 0;">EPN: Allow authentication by SMTP client's certificate

SMTP server may ask or require client's certificate for verification.

To support this the underlying Python's functionality is used [0].

Added 3 new options(corresponds to `load_cert_chain`):

- smtp_client_cert - the path to a single file in PEM format containing the

  certificate.

- smtp_client_key - the path to a file containing the private key in.

- smtp_client_key_pass - the password for decrypting the private key.

[0]: https://docs.python.org/3/library/ssl.html#ssl.SSLContext.load_cert_chain

Fixes: https://pagure.io/freeipa/issue/8580

Signed-off-by: Stanislav Levin <slev@altlinux.org>

Reviewed-By: Rob Crittenden <rcritten@redhat.com>

Reviewed-By: Alexander Bokovoy <abokovoy@redhat.com>

</pre>

</li>

<li>

<strong><a href="https://salsa.debian.org/freeipa-team/freeipa/-/commit/82e69008ad43b993a2d3664b3ea35d9f84f2679a">82e69008</a></strong>

<div>

<span>by Stanislav Levin</span>

<i>at 2020-11-17T14:25:39+02:00</i>

</div>

<pre class="commit-message" style="white-space: pre-wrap; margin: 0;">ipatests: Collect EPN log for debugging

Signed-off-by: Stanislav Levin <slev@altlinux.org>

Reviewed-By: Rob Crittenden <rcritten@redhat.com>

Reviewed-By: Alexander Bokovoy <abokovoy@redhat.com>

</pre>

</li>

<li>

<strong><a href="https://salsa.debian.org/freeipa-team/freeipa/-/commit/249097c62414abc99256af9dc622c284745081e4">249097c6</a></strong>

<div>

<span>by Robbie Harwood</span>

<i>at 2020-11-17T14:27:28+02:00</i>

</div>

<pre class="commit-message" style="white-space: pre-wrap; margin: 0;">Update kdcpolicy design doc for jitter implementation

Signed-off-by: Robbie Harwood <rharwood@redhat.com>

Reviewed-By: Rob Crittenden <rcritten@redhat.com>

Reviewed-By: Alexander Bokovoy <abokovoy@redhat.com>

</pre>

</li>

<li>

<strong><a href="https://salsa.debian.org/freeipa-team/freeipa/-/commit/0d67180f7d2d0c6b5856db7061c44521f6a13c23">0d67180f</a></strong>

<div>

<span>by Robbie Harwood</span>

<i>at 2020-11-17T14:27:28+02:00</i>

</div>

<pre class="commit-message" style="white-space: pre-wrap; margin: 0;">ipa-kdb: implement AS-REQ lifetime jitter

Jitter is always enabled, so there is no additional configuration.

An earlier version of this patch was authored by Becky Shanley.

Fixes: https://pagure.io/freeipa/issue/8010

Signed-off-by: Robbie Harwood <rharwood@redhat.com>

Reviewed-By: Rob Crittenden <rcritten@redhat.com>

Reviewed-By: Alexander Bokovoy <abokovoy@redhat.com>

</pre>

</li>

<li>

<strong><a href="https://salsa.debian.org/freeipa-team/freeipa/-/commit/f513a55ded8c7806970c715f6dc3fe0d5ed3d1f7">f513a55d</a></strong>

<div>

<span>by Alexander Bokovoy</span>

<i>at 2020-11-17T18:48:24+02:00</i>

</div>

<pre class="commit-message" style="white-space: pre-wrap; margin: 0;">ipa-kdb: fix gcc complaints

In file included from /usr/include/string.h:519,

                 from /usr/include/lber.h:30,

                 from /usr/include/ldap.h:30,

                 from ipa_kdb.h:37,

                 from ipa_kdb_mspac.c:26:

In function 'strncpy',

    inlined from 'get_server_netbios_name' at ipa_kdb_mspac.c:2358:5,

    inlined from 'ipadb_reinit_mspac' at ipa_kdb_mspac.c:2813:39:

/usr/include/bits/string_fortified.h:91:10: warning: 'strncpy' specified bound 255 equals destination size [-Wstringop-truncation]

   91 |   return __builtin___strncpy_chk (__dest, __src, __len, __bos (__dest));

      |          ^~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~

Fixes: https://pagure.io/freeipa/issue/8585

Signed-off-by: Alexander Bokovoy <abokovoy@redhat.com>

Reviewed-By: Rob Crittenden <rcritten@redhat.com>

</pre>

</li>

<li>

<strong><a href="https://salsa.debian.org/freeipa-team/freeipa/-/commit/fc11c56544ccdde96889d0f866899a9abea83b3e">fc11c565</a></strong>

<div>

<span>by Alexander Bokovoy</span>

<i>at 2020-11-17T18:48:24+02:00</i>

</div>

<pre class="commit-message" style="white-space: pre-wrap; margin: 0;">ipa-kdb: fix gcc complaints in kdb tests

We use string_to_sid() from internal Samba libraries, so we have to link

to it properly.

In addition, size_t is (long unsigned int), just cast to (int) in

asprintf.

Fixes: https://pagure.io/freeipa/issue/8585

Signed-off-by: Alexander Bokovoy <abokovoy@redhat.com>

Reviewed-By: Rob Crittenden <rcritten@redhat.com>

</pre>

</li>

<li>

<strong><a href="https://salsa.debian.org/freeipa-team/freeipa/-/commit/d99b7d0b0131d6474696bdab67375c4606137d9e">d99b7d0b</a></strong>

<div>

<span>by Alexander Bokovoy</span>

<i>at 2020-11-17T18:48:24+02:00</i>

</div>

<pre class="commit-message" style="white-space: pre-wrap; margin: 0;">ipa-sam: fix gcc complaints on Rawhide

 In file included from /usr/include/string.h:519,

                  from /usr/include/lber.h:30,

                  from /usr/include/ldap.h:30,

                  from ipa_sam.c:12:

 In function 'strncpy',

     inlined from 'save_sid_to_secret' at ipa_sam.c:4478:2,

     inlined from 'pdb_init_ipasam' at ipa_sam.c:4985:12:

 /usr/include/bits/string_fortified.h:91:10: warning: 'strncpy' specified bound 255 equals destination size [-Wstringop-truncation]

    91 |   return __builtin___strncpy_chk (__dest, __src, __len, __bos (__dest));

       |          ^~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~

Fixes: https://pagure.io/freeipa/issue/8585

Signed-off-by: Alexander Bokovoy <abokovoy@redhat.com>

Reviewed-By: Rob Crittenden <rcritten@redhat.com>

</pre>

</li>

<li>

<strong><a href="https://salsa.debian.org/freeipa-team/freeipa/-/commit/b36f224892152af786e69bb166497e6fd9c44cd6">b36f2248</a></strong>

<div>

<span>by Alexander Bokovoy</span>

<i>at 2020-11-17T18:48:24+02:00</i>

</div>

<pre class="commit-message" style="white-space: pre-wrap; margin: 0;">ipa-otpd: fix gcc complaints in Rawhide

In file included from /usr/include/string.h:519,

                 from /usr/include/lber.h:30,

                 from /usr/include/ldap.h:30,

                 from internal.h:27,

                 from main.c:31:

In function 'strncpy',

    inlined from 'main' at main.c:237:5:

/usr/include/bits/string_fortified.h:91:10: warning: 'strncpy' specified bound 255 equals destination size [-Wstringop-truncation]

   91 |   return __builtin___strncpy_chk (__dest, __src, __len, __bos (__dest));

      |          ^~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~

Fixes: https://pagure.io/freeipa/issue/8585

Signed-off-by: Alexander Bokovoy <abokovoy@redhat.com>

Reviewed-By: Rob Crittenden <rcritten@redhat.com>

</pre>

</li>

<li>

<strong><a href="https://salsa.debian.org/freeipa-team/freeipa/-/commit/935a46158251d52b16f6e0f531a8851778795c67">935a4615</a></strong>

<div>

<span>by Alexander Bokovoy</span>

<i>at 2020-11-17T18:48:24+02:00</i>

</div>

<pre class="commit-message" style="white-space: pre-wrap; margin: 0;">ipa-acme-manage: user a cookie created for the communication with dogtag REST endpoints

The cookie in ACME processing was supposed to be passed as a part of the

REST request but we did not pass those additional headers. Pylint on

Rawhide noticed that headers objects were left unused.

2020-11-13T11:26:46.1038078Z Please wait ...

2020-11-13T11:26:46.1038385Z

2020-11-13T11:28:02.8563776Z ************* Module ipaserver.install.ipa_acme_manage

2020-11-13T11:28:02.8565974Z ipaserver/install/ipa_acme_manage.py:50: [W0612(unused-variable), acme_state.__exit__] Unused variable 'headers')

2020-11-13T11:28:02.8567071Z ipaserver/install/ipa_acme_manage.py:57: [W0612(unused-variable), acme_state.enable] Unused variable 'headers')

2020-11-13T11:28:02.8568031Z ipaserver/install/ipa_acme_manage.py:63: [W0612(unused-variable), acme_state.disable] Unused variable 'headers')

Fixes: https://pagure.io/freeipa/issue/8584

Signed-off-by: Alexander Bokovoy <abokovoy@redhat.com>

Reviewed-By: Rob Crittenden <rcritten@redhat.com>

</pre>

</li>

<li>

<strong><a href="https://salsa.debian.org/freeipa-team/freeipa/-/commit/6e1eaad873d69baa9b2d0250d91aaadc7c69c6a5">6e1eaad8</a></strong>

<div>

<span>by Alexander Bokovoy</span>

<i>at 2020-11-17T18:48:24+02:00</i>

</div>

<pre class="commit-message" style="white-space: pre-wrap; margin: 0;">Azure CI: use Ubuntu-20.04 image by default

Ubuntu 20.04 image is available in Azure Pipelines, migrate to it.

https://github.com/actions/virtual-environments/blob/main/images/linux/Ubuntu2004-README.md

Signed-off-by: Alexander Bokovoy <abokovoy@redhat.com>

Reviewed-By: Rob Crittenden <rcritten@redhat.com>

</pre>

</li>

<li>

<strong><a href="https://salsa.debian.org/freeipa-team/freeipa/-/commit/1bf0d628281f33693a1f6c6e156b0c258eee929e">1bf0d628</a></strong>

<div>

<span>by Alexander Bokovoy</span>

<i>at 2020-11-17T18:48:24+02:00</i>

</div>

<pre class="commit-message" style="white-space: pre-wrap; margin: 0;">Azure CI: use PPA to provide newer libseccomp version

Linux 5.8 made faccessat2() system call available in August 2020. This

system call is used now by GNU libc to implement more precisely

faccessat() system call. GNU glibc does compile-time check for the

kernel version and uses faccessat2() unconditionally in case it is

available. If kernel responds with ENOSYS error code, GNU libc will

attempt to use older, less flexible, faccessat(() system call.

When running on a system where libseccomp does not know about the new

syscall, the default action in seccomp filters in Docker and other

container runtimes is to respond with EPERM error code. This breaks GNU

libc's implementation of the faccessat() function -- as well as other

newer syscall implementations (e.g. statx()).

libseccomp started to support faccessat2() in July 2020 with

https://github.com/seccomp/libseccomp/commit/5696c896409c1feb37eb502df33cf36efb2e8e01

(version 2.5.0: https://github.com/seccomp/libseccomp/releases/tag/v2.5.0)

With Ubuntu 20.04 as a host, use PPA abbra/freeipa-libseccomp which

provides libseccomp 2.5.0 rebuild from Debian Sid.

Signed-off-by: Alexander Bokovoy <abokovoy@redhat.com>

Reviewed-By: Rob Crittenden <rcritten@redhat.com>

</pre>

</li>

<li>

<strong><a href="https://salsa.debian.org/freeipa-team/freeipa/-/commit/2e382cdd02807ed5f145b79bb68a4ba279126a8a">2e382cdd</a></strong>

<div>

<span>by Robbie Harwood</span>

<i>at 2020-11-17T18:48:24+02:00</i>

</div>

<pre class="commit-message" style="white-space: pre-wrap; margin: 0;">Drop upper bound on krb5 version in freeipa.spec

This check is no longer needed now that krb5 exports the KDB version.

Signed-off-by: Robbie Harwood <rharwood@redhat.com>

Reviewed-By: Rob Crittenden <rcritten@redhat.com>

</pre>

</li>

<li>

<strong><a href="https://salsa.debian.org/freeipa-team/freeipa/-/commit/39d0dd332c798044f95b5cc2c24b5eece57f5555">39d0dd33</a></strong>

<div>

<span>by Alexander Bokovoy</span>

<i>at 2020-11-17T18:48:24+02:00</i>

</div>

<pre class="commit-message" style="white-space: pre-wrap; margin: 0;">spec: use pkgconf to find out krb5 version

In Fedora 33 RPM migrated to use SQLITE as its database format. When

COPR builders run on Fedora 33 and build a package for older Fedora

version that uses RPM with BDB backend, RPM inside the build environment

will not be able to open its own database (SQLITE).

Replace use of RPM to discover krb5 version by use of pkgconf which

provides the same output but doesn't need to look into RPM database.

Signed-off-by: Alexander Bokovoy <abokovoy@redhat.com>

Reviewed-By: Rob Crittenden <rcritten@redhat.com>

</pre>

</li>

<li>

<strong><a href="https://salsa.debian.org/freeipa-team/freeipa/-/commit/f977629182324d0511dfab89cebfa5decd97353e">f9776291</a></strong>

<div>

<span>by Alexander Bokovoy</span>

<i>at 2020-11-17T18:48:24+02:00</i>

</div>

<pre class="commit-message" style="white-space: pre-wrap; margin: 0;">Azure CI: mask chronyd in the container

Signed-off-by: Alexander Bokovoy <abokovoy@redhat.com>

Reviewed-By: Rob Crittenden <rcritten@redhat.com>

</pre>

</li>

<li>

<strong><a href="https://salsa.debian.org/freeipa-team/freeipa/-/commit/ff79c0cea54c0bd3ce3883927da156360f516e5d">ff79c0ce</a></strong>

<div>

<span>by Alexander Bokovoy</span>

<i>at 2020-11-17T19:00:52+02:00</i>

</div>

<pre class="commit-message" style="white-space: pre-wrap; margin: 0;">Add contributors from translations project at Weblate

Signed-off-by: Alexander Bokovoy <abokovoy@redhat.com>

</pre>

</li>

<li>

<strong><a href="https://salsa.debian.org/freeipa-team/freeipa/-/commit/038645d8c24c67b9136859b6b9d7c159c33148f5">038645d8</a></strong>

<div>

<span>by Alexander Bokovoy</span>

<i>at 2020-11-17T19:03:07+02:00</i>

</div>

<pre class="commit-message" style="white-space: pre-wrap; margin: 0;">Translations: update translations template

Signed-off-by: Alexander Bokovoy <abokovoy@redhat.com>

</pre>

</li>

<li>

<strong><a href="https://salsa.debian.org/freeipa-team/freeipa/-/commit/a1f3e3b836f357cd3fe8698a4ecdc92c919a6306">a1f3e3b8</a></strong>

<div>

<span>by Alexander Bokovoy</span>

<i>at 2020-11-17T19:07:03+02:00</i>

</div>

<pre class="commit-message" style="white-space: pre-wrap; margin: 0;">Become FreeIPA 4.9.0 release candidate 1

</pre>

</li>

<li>

<strong><a href="https://salsa.debian.org/freeipa-team/freeipa/-/commit/25eebb21a2f85817691ce65c431d6b5de3bebe3b">25eebb21</a></strong>

<div>

<span>by Mohammad Rizwan</span>

<i>at 2020-11-18T11:44:18-05:00</i>

</div>

<pre class="commit-message" style="white-space: pre-wrap; margin: 0;">ipatests: Test certmonger IPA responder switched to JSONRPC

This is to test if certmonger IPA responder swithed to JSONRPC

from XMLRPC

related: https://pagure.io/freeipa/issue/3299

Signed-off-by: Mohammad Rizwan <myusuf@redhat.com>

Reviewed-By: Rob Crittenden <rcritten@redhat.com>

Reviewed-By: Kaleemullah Siddiqui <ksiddiqu@redhat.com>

</pre>

</li>

<li>

<strong><a href="https://salsa.debian.org/freeipa-team/freeipa/-/commit/1a09ce9f3fa503eeefe394856be538892652accf">1a09ce9f</a></strong>

<div>

<span>by Rob Crittenden</span>

<i>at 2020-11-18T12:40:32-05:00</i>

</div>

<pre class="commit-message" style="white-space: pre-wrap; margin: 0;">Use host keytab to obtain credentials needed for ipa-certupdate

This command doesn't require any permissions that a host doesn't

already have and it simplifies overall credential handling.

It also corrects the case where the server API cache is out of

date and there are no credentials available to refresh it which

can lead to a confusing error message.

Also switch to MEMORY-based ccache rather than file to avoid

having to clean up the filesystem.

https://pagure.io/freeipa/issue/8531

Signed-off-by: Rob Crittenden <rcritten@redhat.com>

Reviewed-By: Fraser Tweedale <ftweedal@redhat.com>

</pre>

</li>

<li>

<strong><a href="https://salsa.debian.org/freeipa-team/freeipa/-/commit/4941d3d4b1ba10ccddf5429463debcefac6fbd9f">4941d3d4</a></strong>

<div>

<span>by Rob Crittenden</span>

<i>at 2020-11-18T12:40:32-05:00</i>

</div>

<pre class="commit-message" style="white-space: pre-wrap; margin: 0;">ipatests: Test that ipa-certupdate can run without credentials

https://pagure.io/freeipa/issue/8531

Signed-off-by: Rob Crittenden <rcritten@redhat.com>

Reviewed-By: Fraser Tweedale <ftweedal@redhat.com>

</pre>

</li>

<li>

<strong><a href="https://salsa.debian.org/freeipa-team/freeipa/-/commit/244704cc156dba0731671c55661d82073f970c9b">244704cc</a></strong>

<div>

<span>by Alexander Bokovoy</span>

<i>at 2020-11-18T13:32:16-05:00</i>

</div>

<pre class="commit-message" style="white-space: pre-wrap; margin: 0;">util: Fix client-only build

Commit 26b9a697844c3bb66bdf83dad3a9738b3cb65361 did not fully fix the

client-only build as util/ipa_pwd.c unconditionally includes

pwquality.h.

Make sure we define USE_PWQUALITY in the full server configuration and

if that one is defined, include libpwquality use.

Fixes: https://pagure.io/freeipa/issue/8587

Signed-off-by: Alexander Bokovoy <abokovoy@redhat.com>

Reviewed-By: Rob Crittenden <rcritten@redhat.com>

</pre>

</li>

<li>

<strong><a href="https://salsa.debian.org/freeipa-team/freeipa/-/commit/46f114d9e751b2a092b975b909f0e890257a507d">46f114d9</a></strong>

<div>

<span>by Sudhir Menon</span>

<i>at 2020-11-20T15:19:24-05:00</i>

</div>

<pre class="commit-message" style="white-space: pre-wrap; margin: 0;">ipatests: Tests for ipahealthcheck.ds.nss_ssl

test_nsscheck_cert_expiring is moved under test_ipa_healthcheck_expiring

This patch checks that the 'ipahealthcheck.ds.nss_ssl' check in

healthcheck tool reports the correct status for the "Server-Cert"

about to expire and already expired respectively.

Signed-off-by: Sudhir Menon <sumenon@redhat.com>

Reviewed-By: Florence Blanc-Renaud <frenaud@redhat.com>

</pre>

</li>

<li>

<strong><a href="https://salsa.debian.org/freeipa-team/freeipa/-/commit/54824b32e5744fc233809d5a455b7208411276d6">54824b32</a></strong>

<div>

<span>by Timo Aaltonen</span>

<i>at 2020-11-23T20:44:57+02:00</i>

</div>

<pre class="commit-message" style="white-space: pre-wrap; margin: 0;">control: Rebuild against new krb5.

</pre>

</li>

<li>

<strong><a href="https://salsa.debian.org/freeipa-team/freeipa/-/commit/e0b7f7cb780395ca2094ef08e81b31537906aa3f">e0b7f7cb</a></strong>

<div>

<span>by Timo Aaltonen</span>

<i>at 2020-11-23T20:49:03+02:00</i>

</div>

<pre class="commit-message" style="white-space: pre-wrap; margin: 0;">releasing package freeipa version 4.8.10-2

</pre>

</li>

<li>

<strong><a href="https://salsa.debian.org/freeipa-team/freeipa/-/commit/f0ca9df3283d89eb35ff7dd3201da6e710b249ef">f0ca9df3</a></strong>

<div>

<span>by Timo Aaltonen</span>

<i>at 2020-11-23T20:53:30+02:00</i>

</div>

<pre class="commit-message" style="white-space: pre-wrap; margin: 0;">bump krb5 deps properly

</pre>

</li>

<li>

<strong><a href="https://salsa.debian.org/freeipa-team/freeipa/-/commit/a525b2ebf01ffff83d0a5925035f4be0fc5c700c">a525b2eb</a></strong>

<div>

<span>by Rob Crittenden</span>

<i>at 2020-11-24T11:14:42-05:00</i>

</div>

<pre class="commit-message" style="white-space: pre-wrap; margin: 0;">Create IPA ssh client configuration and move ProxyCommand

The ProxyCommand is non-executable if the user does not have

a valid shell (like /sbin/nologin) so skip it in that case.

https://pagure.io/freeipa/issue/7676

Signed-off-by: Rob Crittenden <rcritten@redhat.com>

Reviewed-By: Alexander Bokovoy <abokovoy@redhat.com>

</pre>

</li>

<li>

<strong><a href="https://salsa.debian.org/freeipa-team/freeipa/-/commit/d89e3abf2714092baae1607afd83da1c944d6c9f">d89e3abf</a></strong>

<div>

<span>by Rob Crittenden</span>

<i>at 2020-11-24T11:14:42-05:00</i>

</div>

<pre class="commit-message" style="white-space: pre-wrap; margin: 0;">ipatests: Test that Match ProxyCommand masks on no shell exec

Accounts without a shell should not execute ProxyCommand

otherwise the authorization will fail.

https://pagure.io/freeipa/issue/7676

Signed-off-by: Rob Crittenden <rcritten@redhat.com>

Reviewed-By: Alexander Bokovoy <abokovoy@redhat.com>

</pre>

</li>

<li>

<strong><a href="https://salsa.debian.org/freeipa-team/freeipa/-/commit/3cd6b81a68be98ae9f60da67d2bc640831f0cf0c">3cd6b81a</a></strong>

<div>

<span>by Rob Crittenden</span>

<i>at 2020-11-25T20:42:49-03:00</i>

</div>

<pre class="commit-message" style="white-space: pre-wrap; margin: 0;">ipatests: call the CALess install method to generate the CA

https://pagure.io/freeipa/issue/8581

Signed-off-by: Rob Crittenden <rcritten@redhat.com>

Reviewed-By: Florence Blanc-Renaud <frenaud@redhat.com>

Reviewed-By: Mohammad Rizwan <myusuf@redhat.com>

Reviewed-By: Armando Neto <abiagion@redhat.com>

</pre>

</li>

<li>

<strong><a href="https://salsa.debian.org/freeipa-team/freeipa/-/commit/de5baf8516cde060f1606070b2a8824f71178f16">de5baf85</a></strong>

<div>

<span>by Rob Crittenden</span>

<i>at 2020-11-25T20:42:49-03:00</i>

</div>

<pre class="commit-message" style="white-space: pre-wrap; margin: 0;">ipatests: Configure a replica in TestACMEwithExternalCA

This subclasses TestACME which installs and configures a

replica in order to verify global enable/disable of ACME.

https://pagure.io/freeipa/issue/8581

Signed-off-by: Rob Crittenden <rcritten@redhat.com>

Reviewed-By: Florence Blanc-Renaud <frenaud@redhat.com>

Reviewed-By: Mohammad Rizwan <myusuf@redhat.com>

Reviewed-By: Armando Neto <abiagion@redhat.com>

</pre>

</li>

<li>

<strong><a href="https://salsa.debian.org/freeipa-team/freeipa/-/commit/5d286e79515c8a6c856a5acde6300271422acfac">5d286e79</a></strong>

<div>

<span>by Rob Crittenden</span>

<i>at 2020-11-25T20:42:49-03:00</i>

</div>

<pre class="commit-message" style="white-space: pre-wrap; margin: 0;">ipatests: Clean up existing ACME registration and certs

The same base class is used for ACME setup and configuration.

Be sure to clean up any existing registraton prior to continuing

otherwise ACME register will complain.

https://pagure.io/freeipa/issue/8581

Signed-off-by: Rob Crittenden <rcritten@redhat.com>

Reviewed-By: Florence Blanc-Renaud <frenaud@redhat.com>

Reviewed-By: Mohammad Rizwan <myusuf@redhat.com>

Reviewed-By: Armando Neto <abiagion@redhat.com>

</pre>

</li>

<li>

<strong><a href="https://salsa.debian.org/freeipa-team/freeipa/-/commit/b474b263ed0161ba8411cc84014e4d08a44ac15f">b474b263</a></strong>

<div>

<span>by Rob Crittenden</span>

<i>at 2020-11-25T20:42:49-03:00</i>

</div>

<pre class="commit-message" style="white-space: pre-wrap; margin: 0;">ipatests: configure MDStoreDir for mod_md ACME test

This directory defines the location for ACME-related files

used by mod_md. Specify and create it rather than relying

on defaults to both fix a test failure and to make the

files accessable for debugging purposes.

https://pagure.io/freeipa/issue/8581

Signed-off-by: Rob Crittenden <rcritten@redhat.com>

Reviewed-By: Florence Blanc-Renaud <frenaud@redhat.com>

Reviewed-By: Mohammad Rizwan <myusuf@redhat.com>

Reviewed-By: Armando Neto <abiagion@redhat.com>

</pre>

</li>

<li>

<strong><a href="https://salsa.debian.org/freeipa-team/freeipa/-/commit/75ad5757528491616f7f4e596bb9f6b152944d99">75ad5757</a></strong>

<div>

<span>by Rob Crittenden</span>

<i>at 2020-11-25T20:42:49-03:00</i>

</div>

<pre class="commit-message" style="white-space: pre-wrap; margin: 0;">ipatests: honor class inheritance in TestACMEwithExternalCA

TestACMEwithExternalCA subclasses TestACME which subclasses

CALessBase.

CALessBase is necessary to generate the certificates for the

test_third_party_certs() test.

This means that the TestACME install classmethod needs to be

called by its subclasses. But the install actually does the

installation of the servers as well so needs to be aborted

at that point in the case of a subclass.

https://pagure.io/freeipa/issue/8581

Signed-off-by: Rob Crittenden <rcritten@redhat.com>

Reviewed-By: Florence Blanc-Renaud <frenaud@redhat.com>

Reviewed-By: Mohammad Rizwan <myusuf@redhat.com>

Reviewed-By: Armando Neto <abiagion@redhat.com>

</pre>

</li>

<li>

<strong><a href="https://salsa.debian.org/freeipa-team/freeipa/-/commit/17f293e9da0375bac4871c0100c6146a8c2f8e55">17f293e9</a></strong>

<div>

<span>by Rob Crittenden</span>

<i>at 2020-11-25T20:42:49-03:00</i>

</div>

<pre class="commit-message" style="white-space: pre-wrap; margin: 0;">ipatests: Increase timeout for ACME in gating.yaml

Increase to 7200 from 3600 to match other executions.

Related: https://pagure.io/freeipa/issue/8581

Signed-off-by: Rob Crittenden <rcritten@redhat.com>

Reviewed-By: Florence Blanc-Renaud <frenaud@redhat.com>

Reviewed-By: Mohammad Rizwan <myusuf@redhat.com>

Reviewed-By: Armando Neto <abiagion@redhat.com>

</pre>

</li>

<li>

<strong><a href="https://salsa.debian.org/freeipa-team/freeipa/-/commit/a3c5c71925b5fd8faa56379d92fa19631d230108">a3c5c719</a></strong>

<div>

<span>by Armando Neto</span>

<i>at 2020-11-25T20:42:49-03:00</i>

</div>

<pre class="commit-message" style="white-space: pre-wrap; margin: 0;">ipatests: Bump PR-CI templates

Update box to force update dependencies on pki-* and

selinux-policy.

Signed-off-by: Armando Neto <abiagion@redhat.com>

Reviewed-By: Florence Blanc-Renaud <frenaud@redhat.com>

Reviewed-By: Mohammad Rizwan <myusuf@redhat.com>

Reviewed-By: Armando Neto <abiagion@redhat.com>

</pre>

</li>

<li>

<strong><a href="https://salsa.debian.org/freeipa-team/freeipa/-/commit/17a4198a666453dbec55409d4e2acc37a37b57ac">17a4198a</a></strong>

<div>

<span>by Robbie Harwood</span>

<i>at 2020-11-26T14:09:50+01:00</i>

</div>

<pre class="commit-message" style="white-space: pre-wrap; margin: 0;">Fix krbtpolicy tests

0d67180f7d2d0c6b5856db7061c44521f6a13c23 introduced the with_admin

fixture using class scope, which caused test failures as pytest

instantiated it before the multihost fixture.

It additionally failed to account for jitter - the issued ticket becomes

within a window of the expected lifetime, so we need to include the

ticket lifetime jitter into that calculation.

Finally, the PKINIT test could not have ever worked because PKINIT is

not set up as part of policy testing.

Related: https://pagure.io/freeipa/issue/8590

Also-authored-by: Rob Crittenden <rcritten@redhat.com>

Signed-off-by: Robbie Harwood <rharwood@redhat.com>

Signed-off-by: Rob Crittenden <rcritten@redhat.com>

Reviewed-By: Rob Crittenden <rcritten@redhat.com>

</pre>

</li>

<li>

<strong><a href="https://salsa.debian.org/freeipa-team/freeipa/-/commit/7e605e958ef6d41584afc238433669c15458ac67">7e605e95</a></strong>

<div>

<span>by Sudhir Menon</span>

<i>at 2020-11-26T16:31:16+01:00</i>

</div>

<pre class="commit-message" style="white-space: pre-wrap; margin: 0;">ipatests: support subordinate upn suffixes

This test adds new UPN Suffix on the AD side

within the ad.test subtree i.e new.ad.test and this

UPN is then assigned to aduser and then try to

kinit using aduser along with the UPN set, to ensure

that the kinit succeeds

Signed-off-by: Sudhir Menon <sumenon@redhat.com>

Reviewed-By: Alexander Bokovoy <abokovoy@redhat.com>

</pre>

</li>

<li>

<strong><a href="https://salsa.debian.org/freeipa-team/freeipa/-/commit/381cc5e8eae1b7437fc15cb699983887d398f498">381cc5e8</a></strong>

<div>

<span>by Alexander Bokovoy</span>

<i>at 2020-11-26T16:31:16+01:00</i>

</div>

<pre class="commit-message" style="white-space: pre-wrap; margin: 0;">ad trust: accept subordinate domains of the forest trust root

Commit 8b6d1ab854387840f7526d6d59ddc7102231957f added support for

subordinate UPN suffixes but missed the case where subordinate UPN is a

subdomain of the forest root domain and not mentioned in the UPN

suffixes list.

Correct this situation by applying the same check to the trusted domain

name as well.

Fixes: https://pagure.io/freeipa/issue/8554

Signed-off-by: Alexander Bokovoy <abokovoy@redhat.com>

Reviewed-By: Alexander Bokovoy <abokovoy@redhat.com>

</pre>

</li>

<li>

<strong><a href="https://salsa.debian.org/freeipa-team/freeipa/-/commit/08bbd0a2d712a5a7f1a02999390c4be2a9df3f0e">08bbd0a2</a></strong>

<div>

<span>by Antonio Torres Moríñigo</span>

<i>at 2020-11-27T08:41:55+01:00</i>

</div>

<pre class="commit-message" style="white-space: pre-wrap; margin: 0;">ipa-client-install manpage: add ipa.p11-kit to list of files created

Add missing ipa.p11-kit file to list of files created in

ipa-client-install manpage.

https://pagure.io/freeipa/issue/8424

Signed-off-by: Antonio Torres Moríñigo <atorresm@protonmail.com>

Reviewed-By: Rob Crittenden <rcritten@redhat.com>

</pre>

</li>

<li>

<strong><a href="https://salsa.debian.org/freeipa-team/freeipa/-/commit/06a7db1838ad9b9ebbe565dbbde126968f9c296f">06a7db18</a></strong>

<div>

<span>by Florence Blanc-Renaud</span>

<i>at 2020-12-01T08:40:36+01:00</i>

</div>

<pre class="commit-message" style="white-space: pre-wrap; margin: 0;">Always define the path DNSSEC_OPENSSL_CONF

The variable was None by default and set to /etc/ipa/dnssec/openssl.cnf

for fedora only because the code is specific to the support of pkcs11

engine for bind. As a consequence ipa-backup had a "None" value in the

list of files to backup and failed on Exception.

ipa-backup code is able to handle missing files, and the code using

the pkcs11 engine is called only when NAMED_OPENSSL_ENGINE is set

(only in fedora so far). It is safe to always define a value for

DNSSEC_OPENSSL_CONF even on os where it does not exist.

The fix also improves the method used to verify that a path exists.

Fixes: https://pagure.io/freeipa/issue/8597

Reviewed-By: Alexander Bokovoy <abbra@users.noreply.github.com>

</pre>

</li>

<li>

<strong><a href="https://salsa.debian.org/freeipa-team/freeipa/-/commit/826dccc9cb99f4bce8bd24b47c531f918f19d8d6">826dccc9</a></strong>

<div>

<span>by Mark Reynolds</span>

<i>at 2020-12-01T11:34:37+01:00</i>

</div>

<pre class="commit-message" style="white-space: pre-wrap; margin: 0;">Accept 389-ds JSON replication status messages

389-ds now stores a replication agreement status message in a JSON

string in a new attribute:

                  replicaLastInitStatusJSON

                  replicaLastUpdateStatusJSON

The original status attributes' values are not changing at this time,

but there are plans to do so eventually as the old status format is

confusing.

http://www.port389.org/docs/389ds/design/repl-agmt-status-design.html

Fixes: https://pagure.io/freeipa/issue/7975

Signed-off-by: Mark Reynolds <mreynolds@redhat.com>

Reviewed-By: Alexander Bokovoy <abokovoy@redhat.com>

Reviewed-By: Rob Crittenden <rcritten@redhat.com>

</pre>

</li>

<li>

<strong><a href="https://salsa.debian.org/freeipa-team/freeipa/-/commit/a9e1c014f601a567f4aa5135d02883c498835268">a9e1c014</a></strong>

<div>

<span>by Rob Crittenden</span>

<i>at 2020-12-01T13:05:40-05:00</i>

</div>

<pre class="commit-message" style="white-space: pre-wrap; margin: 0;">Change KRA profiles in certmonger tracking so they can renew

Internal profiles were assigned which prevented rewewals.

dogtag is providing a new profile for the audit signing cert,

caAuditSigningCert.

There are existing profiles for the transport (caTransportCert)

and storage (caStorageCert) certificates.

https://pagure.io/freeipa/issue/8545

Signed-off-by: Rob Crittenden <rcritten@redhat.com>

Reviewed-By: Florence Blanc-Renaud <frenaud@redhat.com>

</pre>

</li>

<li>

<strong><a href="https://salsa.debian.org/freeipa-team/freeipa/-/commit/bd4771d75f8549fe1790540764f23d47bf3d187c">bd4771d7</a></strong>

<div>

<span>by Rob Crittenden</span>

<i>at 2020-12-01T13:05:40-05:00</i>

</div>

<pre class="commit-message" style="white-space: pre-wrap; margin: 0;">Test that the KRA profiles can renewal its three certificates

The KRA was previously configured with Internal CA profiles

which did not work with the IPA RA.

Use public, common profiles to manage renewal of the KRA

subsystem certificates.

https://pagure.io/freeipa/issue/8545

Signed-off-by: Rob Crittenden <rcritten@redhat.com>

Reviewed-By: Florence Blanc-Renaud <frenaud@redhat.com>

</pre>

</li>

<li>

<strong><a href="https://salsa.debian.org/freeipa-team/freeipa/-/commit/3e530e93c37ee71a560714e26285cd85e71557c9">3e530e93</a></strong>

<div>

<span>by Rob Crittenden</span>

<i>at 2020-12-01T13:05:40-05:00</i>

</div>

<pre class="commit-message" style="white-space: pre-wrap; margin: 0;">Require PKI 10.10+ for KRA profile and ACME support

https://pagure.io/freeipa/issue/8545

https://pagure.io/freeipa/issue/8524

Signed-off-by: Rob Crittenden <rcritten@redhat.com>

Reviewed-By: Florence Blanc-Renaud <frenaud@redhat.com>

</pre>

</li>

<li>

<strong><a href="https://salsa.debian.org/freeipa-team/freeipa/-/commit/0d6caf5d0eae315797b36abfe8444827bdd71fb7">0d6caf5d</a></strong>

<div>

<span>by Rob Crittenden</span>

<i>at 2020-12-02T10:20:31-05:00</i>

</div>

<pre class="commit-message" style="white-space: pre-wrap; margin: 0;">Remove test for minimum ACME support and rely on package deps

This method was added temporarily while the required packages

were still under development and not available in stable

repositories.

Signed-off-by: Rob Crittenden <rcritten@redhat.com>

Reviewed-By: Alexander Bokovoy <abokovoy@redhat.com>

</pre>

</li>

<li>

<strong><a href="https://salsa.debian.org/freeipa-team/freeipa/-/commit/ea67962d5d2b4812234bb6c22c85b7716951b2f9">ea67962d</a></strong>

<div>

<span>by Rob Crittenden</span>

<i>at 2020-12-02T10:20:31-05:00</i>

</div>

<pre class="commit-message" style="white-space: pre-wrap; margin: 0;">Reorder when ACME is enabled to fix failure on upgrade

On upgrading a server without ACME to one with ACME

the RA Agent DN needs to be added as a member of the

ACME Enterprise Users group. This was previously

done as part of the creation of that entry.

So on upgrade the RA Agent wouldn't be a member so

ipa-acme-manage didn't have access to operate against

the CA REST API.

In order to add the RA Agent to this group during installation

the ACME provisioning has to come after that step so it is

moved from the middle of an installation to the end and

the group addition moved into the setup_acme() method.

https://pagure.io/freeipa/issue/8603

Signed-off-by: Rob Crittenden <rcritten@redhat.com>

Reviewed-By: Alexander Bokovoy <abokovoy@redhat.com>

</pre>

</li>

<li>

<strong><a href="https://salsa.debian.org/freeipa-team/freeipa/-/commit/20055ddaf169787c041f0baf0bd0cdca1f5fe7b5">20055dda</a></strong>

<div>

<span>by Rob Crittenden</span>

<i>at 2020-12-02T14:30:38-05:00</i>

</div>

<pre class="commit-message" style="white-space: pre-wrap; margin: 0;">Move where the restore state is marked during IPA server upgrade

There is still some exposure to killing in a bad place. This was

reproduced by killing the process in the parser.parse() call within

__restore_config (line 230) so the values were restored from the

backup but the new dse.ldif never written or copied. But the values

had already been restored from the state file.

I'm not sure this can ever be 100% bullet-proof since it can be

externally killed but if rather than calling restore_state() on the

values in __restore_config we use get_state() which will peek at the

values in the state file without removing them. Then the last step

is to pop upgrade-in-progress and then the rest.

If the values have been restored and the new ldif written and copied

then it's only upgrade-in-progress that really matters. The rest will

be overwritten.

https://pagure.io/freeipa/issue/7534

Signed-off-by: Rob Crittenden <rcritten@redhat.com>

Reviewed-By: Alexander Bokovoy <abokovoy@redhat.com>

</pre>

</li>

<li>

<strong><a href="https://salsa.debian.org/freeipa-team/freeipa/-/commit/4ba6a0371b6d12adf46a654356468e52bf3ee33f">4ba6a037</a></strong>

<div>

<span>by Rob Crittenden</span>

<i>at 2020-12-02T14:32:26-05:00</i>

</div>

<pre class="commit-message" style="white-space: pre-wrap; margin: 0;">Allow Apache to answer to ipa-ca requests without a redirect

Any request other than the FQDN is redirected with a permanent

move (301). Allowing ipa-ca as a valid name saves a round-trip.

This is only allowed on /ca, /kra, /pki, /acme and /ipa/crl.

https://pagure.io/freeipa/issue/8595

Signed-off-by: Rob Crittenden <rcritten@redhat.com>

Reviewed-By: Alexander Bokovoy <abokovoy@redhat.com>

</pre>

</li>

<li>

<strong><a href="https://salsa.debian.org/freeipa-team/freeipa/-/commit/b478bf99d9f158dabae145169f242b2b5d26404c">b478bf99</a></strong>

<div>

<span>by Rob Crittenden</span>

<i>at 2020-12-02T14:32:26-05:00</i>

</div>

<pre class="commit-message" style="white-space: pre-wrap; margin: 0;">ipatests: Test that ipa-ca.$domain can retrieve CRLs without redirect

https://pagure.io/freeipa/issue/8595

Signed-off-by: Rob Crittenden <rcritten@redhat.com>

Reviewed-By: Alexander Bokovoy <abokovoy@redhat.com>

</pre>

</li>

<li>

<strong><a href="https://salsa.debian.org/freeipa-team/freeipa/-/commit/bf1d652ff946e448a5b97a12df926ae4a7d9db01">bf1d652f</a></strong>

<div>

<span>by Florence Blanc-Renaud</span>

<i>at 2020-12-03T10:31:45+02:00</i>

</div>

<pre class="commit-message" style="white-space: pre-wrap; margin: 0;">ipatests: fix TestTrust::test_subordinate_suffix

The test test_subordinate_suffix is failing when configuring the DNS

for the trust, because the dnsforwardzone already exists. It was

configured during the previous test for nonposix trust.

At the end of the tests for nonposix trust, unconfigure the DNS

and the trust before calling the subordinate_suffix test, and add

a test cleaning up subordinate_suffix test.

Fixes: https://pagure.io/freeipa/issue/8601

Reviewed-By: Alexander Bokovoy <abokovoy@redhat.com>

</pre>

</li>

<li>

<strong><a href="https://salsa.debian.org/freeipa-team/freeipa/-/commit/614a84da0040489a11d308d0334d480ed0f1a640">614a84da</a></strong>

<div>

<span>by Timo Aaltonen</span>

<i>at 2020-12-03T17:30:43+02:00</i>

</div>

<pre class="commit-message" style="white-space: pre-wrap; margin: 0;">control: Drop obsolete depends on python3-nss.

</pre>

</li>

<li>

<strong><a href="https://salsa.debian.org/freeipa-team/freeipa/-/commit/b1e5befe2a32a21d3f569723112e5cfc669a2112">b1e5befe</a></strong>

<div>

<span>by Timo Aaltonen</span>

<i>at 2020-12-03T23:34:08+02:00</i>

</div>

<pre class="commit-message" style="white-space: pre-wrap; margin: 0;">Merge tag 'release-4-8-10' into master-next

Tagging IPA 4.8.10

</pre>

</li>

<li>

<strong><a href="https://salsa.debian.org/freeipa-team/freeipa/-/commit/f002442499b63eb479a796e3419a073563dcde0d">f0024424</a></strong>

<div>

<span>by Timo Aaltonen</span>

<i>at 2020-12-03T23:34:14+02:00</i>

</div>

<pre class="commit-message" style="white-space: pre-wrap; margin: 0;">Merge branch 'master' into master-next

</pre>

</li>

<li>

<strong><a href="https://salsa.debian.org/freeipa-team/freeipa/-/commit/f156d32230f2d6193dfccdcf51d60d1ec0decb22">f156d322</a></strong>

<div>

<span>by Timo Aaltonen</span>

<i>at 2020-12-03T23:35:49+02:00</i>

</div>

<pre class="commit-message" style="white-space: pre-wrap; margin: 0;">bump the version

</pre>

</li>

<li>

<strong><a href="https://salsa.debian.org/freeipa-team/freeipa/-/commit/f504c03c7a48c01faee3f649ffee074889e949cd">f504c03c</a></strong>

<div>

<span>by Timo Aaltonen</span>

<i>at 2020-12-03T23:46:38+02:00</i>

</div>

<pre class="commit-message" style="white-space: pre-wrap; margin: 0;">pkcs11-openssl-for-bind.diff: Dropped, upstream.

</pre>

</li>

<li>

<strong><a href="https://salsa.debian.org/freeipa-team/freeipa/-/commit/4b56a4cbaa3bb71260ffbc35f304ddf5ee31baed">4b56a4cb</a></strong>

<div>

<span>by Alexander Bokovoy</span>

<i>at 2020-12-03T16:55:15-05:00</i>

</div>

<pre class="commit-message" style="white-space: pre-wrap; margin: 0;">freeipa.spec.in: unify spec files across upstream RHEL, and Fedora

In order to reduce maintenance burden and to be able to use automatic

build tools, bring up the differences between RPM spec files in

upstream, RHEL, and Fedora to a minimum.

This gives us an opportunity to:

- start using proper conditional macros (%bcond_with/%bcond_without)

- remove old cruft where Fedora 31+ and RHEL8+ are already the same

- remove Group lines which already deprecated in Fedora packaging

  policy

- remove buildroot cleanup

- support release candidate designations: mostly affects downstreams but

  it is better to have macro support in the common spec file.

There is also a special handling of the %SOURCE1 (detached tarball

signature). In developer builds we wouldn't have the signature generated

but RPM needs all files mentioned as sources and patches to exist. The

solution is to filter out detached signature if the final component of

the IPA_VERSION starts with 'dev'. This should cover both in-source

builds (also used in Azure CI and COPR) and PR CI.

Signed-off-by: Alexander Bokovoy <abokovoy@redhat.com>

Reviewed-By: Thomas Woerner <twoerner@redhat.com>

Reviewed-By: Christian Heimes <cheimes@redhat.com>

Reviewed-By: Rob Crittenden <rcritten@redhat.com>

Reviewed-By: Armando Neto <abiagion@redhat.com>

</pre>

</li>

<li>

<strong><a href="https://salsa.debian.org/freeipa-team/freeipa/-/commit/2e1cbcb7783704ef5d6c883e55003acac4ee1553">2e1cbcb7</a></strong>

<div>

<span>by Rob Crittenden</span>

<i>at 2020-12-03T16:55:15-05:00</i>

</div>

<pre class="commit-message" style="white-space: pre-wrap; margin: 0;">VERSION: back to git snapshots

Signed-off-by: Rob Crittenden <rcritten@redhat.com>

Reviewed-By: Thomas Woerner <twoerner@redhat.com>

Reviewed-By: Christian Heimes <cheimes@redhat.com>

Reviewed-By: Rob Crittenden <rcritten@redhat.com>

Reviewed-By: Armando Neto <abiagion@redhat.com>

</pre>

</li>

<li>

<strong><a href="https://salsa.debian.org/freeipa-team/freeipa/-/commit/848dffb59273493ef3abde2a86864e85c8d19eff">848dffb5</a></strong>

<div>

<span>by Rob Crittenden</span>

<i>at 2020-12-03T19:46:43-05:00</i>

</div>

<pre class="commit-message" style="white-space: pre-wrap; margin: 0;">Convert reset_to_default_policy into a pytest fixture

This ensures that the ticket policy will be reset even on

failure.

https://pagure.io/freeipa/issue/8589

Signed-off-by: Rob Crittenden <rcritten@redhat.com>

Reviewed-By: Alexander Bokovoy <abokovoy@redhat.com>

Reviewed-By: Francois Cami <fcami@redhat.com>

</pre>

</li>

<li>

<strong><a href="https://salsa.debian.org/freeipa-team/freeipa/-/commit/51b186b6033bafaa39a2b0544b5cdc9c0298208c">51b186b6</a></strong>

<div>

<span>by Rob Crittenden</span>

<i>at 2020-12-03T19:46:43-05:00</i>

</div>

<pre class="commit-message" style="white-space: pre-wrap; margin: 0;">Generate a unique cache for each connection

Rather than having a shared ccache per user, configure

mod_auth_gssapi to create a unique one. This requires cleanup

to remove expired caches. A new script is added,

ipa-ccache-sweeper to do this. It will be invoked by a

new service, ipa-ccache-sweep, which will be executed every

12 hours by an equally-named timer.

https://pagure.io/freeipa/issue/8589

Signed-off-by: Rob Crittenden <rcritten@redhat.com>

Reviewed-By: Alexander Bokovoy <abokovoy@redhat.com>

Reviewed-By: Francois Cami <fcami@redhat.com>

</pre>

</li>

<li>

<strong><a href="https://salsa.debian.org/freeipa-team/freeipa/-/commit/22fa1a7e5c49a677b55f71d95d47cc58e0f29c57">22fa1a7e</a></strong>

<div>

<span>by Rob Crittenden</span>

<i>at 2020-12-03T19:46:43-05:00</i>

</div>

<pre class="commit-message" style="white-space: pre-wrap; margin: 0;">ipatests: test that stale caches are removed using the sweeper

- Force wipe all existing ccaches

- Set the ticket policy to a short value, 30 seconds.

- Do a series of kinit, ipa command, kdestroy to generate ccaches

- sleep(30)

- Run the sweeper

- Verify that all ccaches are gone

https://pagure.io/freeipa/issue/8589

Signed-off-by: Rob Crittenden <rcritten@redhat.com>

Reviewed-By: Alexander Bokovoy <abokovoy@redhat.com>

Reviewed-By: Francois Cami <fcami@redhat.com>

</pre>

</li>

<li>

<strong><a href="https://salsa.debian.org/freeipa-team/freeipa/-/commit/068d08577d97258267917f81363a1a033a681803">068d0857</a></strong>

<div>

<span>by Rob Crittenden</span>

<i>at 2020-12-03T19:46:43-05:00</i>

</div>

<pre class="commit-message" style="white-space: pre-wrap; margin: 0;">Enable the ccache sweep systemd timer

The associated service doesn't need to be enabled. Enabling the

timer is suffient for it to execute. It requires the timers

service so will be ready automatically to run on the configured

period.

https://pagure.io/freeipa/issue/8589

Signed-off-by: Rob Crittenden <rcritten@redhat.com>

Reviewed-By: Alexander Bokovoy <abokovoy@redhat.com>

Reviewed-By: Francois Cami <fcami@redhat.com>

</pre>

</li>

<li>

<strong><a href="https://salsa.debian.org/freeipa-team/freeipa/-/commit/28ed75ca0251724e34a447174ae775edca9763e2">28ed75ca</a></strong>

<div>

<span>by Rob Crittenden</span>

<i>at 2020-12-03T19:46:43-05:00</i>

</div>

<pre class="commit-message" style="white-space: pre-wrap; margin: 0;">Increase timeout for krbtpolicy to 4800

The addition of test_ccache_sweep includes a number of sleeps

to force cache expiration.

https://pagure.io/freeipa/issue/8589

Signed-off-by: Rob Crittenden <rcritten@redhat.com>

Reviewed-By: Alexander Bokovoy <abokovoy@redhat.com>

Reviewed-By: Francois Cami <fcami@redhat.com>

</pre>

</li>

<li>

<strong><a href="https://salsa.debian.org/freeipa-team/freeipa/-/commit/2d576d5b4b1e9e0c43aafde7636c6a25b5ca294f">2d576d5b</a></strong>

<div>

<span>by Rob Crittenden</span>

<i>at 2020-12-04T13:01:49+02:00</i>

</div>

<pre class="commit-message" style="white-space: pre-wrap; margin: 0;">Skip the ACME mod_md test when the client is in enforcing mode

mod_md requires its own SELinux policy which is only available

in the upstream github. It is beyond the scope of this test to

maintain SELinux policy only for the scenario so skip it

if the client is in enforcing.

Note that no check needs to be done on OS because that is

already handled by the outer skipif for skip_mod_md_tests.

https://pagure.io/freeipa/issue/8514

Signed-off-by: Rob Crittenden <rcritten@redhat.com>

Reviewed-By: Alexander Bokovoy <abokovoy@redhat.com>

</pre>

</li>

<li>

<strong><a href="https://salsa.debian.org/freeipa-team/freeipa/-/commit/5f36ee51e4f9d270cc65668d9ab4666e0ac8c07f">5f36ee51</a></strong>

<div>

<span>by Alexander Bokovoy</span>

<i>at 2020-12-04T13:11:23+02:00</i>

</div>

<pre class="commit-message" style="white-space: pre-wrap; margin: 0;">Update contributors

Signed-off-by: Alexander Bokovoy <abokovoy@redhat.com>

</pre>

</li>

<li>

<strong><a href="https://salsa.debian.org/freeipa-team/freeipa/-/commit/e74d6409902b83fb81a0aec251280375a90d6f07">e74d6409</a></strong>

<div>

<span>by Alexander Bokovoy</span>

<i>at 2020-12-04T13:12:54+02:00</i>

</div>

<pre class="commit-message" style="white-space: pre-wrap; margin: 0;">Become FreeIPA 4.9.0rc2

Signed-off-by: Alexander Bokovoy <abokovoy@redhat.com>

</pre>

</li>

<li>

<strong><a href="https://salsa.debian.org/freeipa-team/freeipa/-/commit/cd80ecccab03ea93881c53d7d2ddb0f061e36d27">cd80eccc</a></strong>

<div>

<span>by Timo Aaltonen</span>

<i>at 2020-12-07T22:56:31+02:00</i>

</div>

<pre class="commit-message" style="white-space: pre-wrap; margin: 0;">Merge branch 'upstream-next' into master-next

</pre>

</li>

<li>

<strong><a href="https://salsa.debian.org/freeipa-team/freeipa/-/commit/a609d35469bd7ef1359cbce4caccbfa4cdd5e1a7">a609d354</a></strong>

<div>

<span>by Timo Aaltonen</span>

<i>at 2020-12-07T22:57:02+02:00</i>

</div>

<pre class="commit-message" style="white-space: pre-wrap; margin: 0;">bump the version

</pre>

</li>

</ul>

<h4>30 changed files:</h4>

<ul>

<li class="file-stats">

<a href="#eae40b507f9c3502accc6d7f8a39c9a7d9936b6f">

<span class="new-file">

+

.copr/Makefile

</span>

</a>

</li>

<li class="file-stats">

<a href="#7744672931d53c15312a2c9c7d0f21ab84030488">

<span class="new-file">

+

.github/stale.yml

</span>

</a>

</li>

<li class="file-stats">

<a href="#a5cc2925ca8258af241be7e5b0381edf30266302">

.gitignore

</a>

</li>

<li class="file-stats">

<a href="#5da93d3ebfbadd620ae081fc5aa64ac8ac77097b">

.lgtm.yml

</a>

</li>

<li class="file-stats">

<a href="#d0e9cb1fab10296d90ef8e144f981f659bbd59ad">

.mailmap

</a>

</li>

<li class="file-stats">

<a href="#b9d1853a1785388cebd4dc3ba4a473c163eed9f5">

<span class="deleted-file">

−

.test_runner_config.yaml

</span>

</a>

</li>

<li class="file-stats">

<a href="#736f0a5824e80bc5bc350a146522854b95f1d407">

.tox-install.sh

</a>

</li>

<li class="file-stats">

<a href="#dea01dd89a3b602828e630677fde5d77c06441c8">

<span class="deleted-file">

−

.travis.yml

</span>

</a>

</li>

<li class="file-stats">

<a href="#b0bdd6bd019961475f1feba50bf1618195b21467">

<span class="deleted-file">

−

.travis_run_task.sh

</span>

</a>

</li>

<li class="file-stats">

<a href="#4831b637d596df850dfe2919331d9904c0403eaa">

ACI.txt

</a>

</li>

<li class="file-stats">

<a href="#9dcdfc1feccc97e073d5d4710f3da3b5f37ad1f5">

API.txt

</a>

</li>

<li class="file-stats">

<a href="#2c5c5ed7d77485b627b5ba2e90b2f87baf64be55">

BUILD.txt

</a>

</li>

<li class="file-stats">

<a href="#d7ed7e35d7791778850754d99281016a9bacb652">

Contributors.txt

</a>

</li>

<li class="file-stats">

<a href="#d5b4de16d947214ec306bd57bed1bd23a939b5f9">

Makefile.am

</a>

</li>

<li class="file-stats">

<a href="#cb7aabd616315f2839dea6a9ea51cbc1dff56d3f">

Makefile.pythonscripts.am

</a>

</li>

<li class="file-stats">

<a href="#438c41c93b7f0c8b476c65c3eb42284f234bd810">

VERSION.m4

</a>

</li>

<li class="file-stats">

<a href="#521b4492ed13326bcb633dcdd0e7a0b876d266aa">

client/Makefile.am

</a>

</li>

<li class="file-stats">

<a href="#c2ba9cd401a4e000ff7f1f608060b0f64a4e3364">

<span class="new-file">

+

client/certbot-dns-ipa.in

</span>

</a>

</li>

<li class="file-stats">

<a href="#20f3a9ec579a24371e2aa0f0f5eb68dda6421ec8">

client/ipa-client-common.h

</a>

</li>

<li class="file-stats">

<a href="#fe9b63771f3ec16f424353afc87d821fb9763bb7">

ipatests/test_integration/test_ordering.py

→

client/ipa-epn.in

</a>

</li>

<li class="file-stats">

<a href="#8a84dc1127a684b319557e6204cc81b9909b144c">

client/ipa-getkeytab.c

</a>

</li>

<li class="file-stats">

<a href="#e4eba71132ec40f9516ea0fa207f3b4601f7e665">

client/ipa-join.c

</a>

</li>

<li class="file-stats">

<a href="#7026e9354407b628378a2ff149a4bf6a1ef17d85">

client/man/Makefile.am

</a>

</li>

<li class="file-stats">

<a href="#26616f952ef398b6ae9eb7d8687721b05028074d">

client/man/default.conf.5

</a>

</li>

<li class="file-stats">

<a href="#afe90542f4b6de49a3da1dff8d7667da4892974e">

<span class="new-file">

+

client/man/epn.conf.5

</span>

</a>

</li>

<li class="file-stats">

<a href="#24d08149069d49a01ad6ec82eec3333757be12bf">

client/man/ipa-client-install.1

</a>

</li>

<li class="file-stats">

<a href="#5bb28820be8979ff1f083ff242278cf186827464">

<span class="new-file">

+

client/man/ipa-epn.1

</span>

</a>

</li>

<li class="file-stats">

<a href="#e5d2277e0d16da52a4ae8ec255fb546233366f49">

client/man/ipa-getkeytab.1

</a>

</li>

<li class="file-stats">

<a href="#f70f207ef425c21231653c53e989b0e96a0fc938">

client/man/ipa-join.1

</a>

</li>

<li class="file-stats">

<a href="#dd969454de251db1435d9fd37e48469170f6ca94">

client/share/Makefile.am

</a>

</li>

</ul>

<h5>The diff was not included because it is too large.</h5>

</div>

<div class="footer" style="margin-top: 10px;">

<p style="font-size: small; color: #666;">

—

<br>

<a href="https://salsa.debian.org/freeipa-team/freeipa/-/compare/2311af0ddf8e5b98e658a210aa847132e2f9d889...a609d35469bd7ef1359cbce4caccbfa4cdd5e1a7">View it on GitLab</a>.

<br>

You're receiving this email because of your account on salsa.debian.org.

If you'd like to receive fewer emails, you can

adjust your notification settings.

</p>

</div>

</body>

</html>