При обновлении контроллера домена возникает ошибка «Error updating rbtaSubsystemLog»

Если при обновлении контроллера домена обнаружена ошибка вида:

[INFO ] EVENT: Error updating rbtaSubsystemLog: {'desc': 'Insufficient access', 'info': "Insufficient 'write' privilege to the 'rbtasubsystemlog' attribute of entry 'fqdn=dc02.corp.lan,cn=computers,cn=accounts,dc=corp,dc=lan'.\n"}

необходимо проверить регистр атрибутов rbtaSubsystem на контроллере домена, у которого произошел сбой обновления, командой ldapsearch.

Пример:

ldapsearch -b cn=computers,cn=accounts,dc=corp,dc=lan 'fqdn=dc02.corp.lan' | grep -i rbtasub

где dc02.corp.lan - FQDN необновленного контроллера домена.

В результате выполнения команды выводятся все атрибуты rbtaSubsystem, которые должны содержать буквы верхнего регистра, например:

rbtaSubsystemConfig: {"is_master": false, "setup_gc": false, "setup_pkiproxy": true, "setup_syncer": false}
rbtaSubsystemRole: dc
rbtaSubsystemSite:: 0JPQvtC70L7QstC90L7QuSDQvtGE0LjRgQ==

Если в результате выполнения команды все атрибуты rbtaSubsystem содержат буквы только нижнего регистра, например:

rbtasubsystemConfig: {"is_master": false, "setup_gc": false, "setup_pkiproxy": true, "setup_syncer": false}
rbtasubsystemRole: dc
rbtasubsystemSite:: 0JPQvtC70L7QstC90L7QuSDQvtGE0LjRgQ==

необходимо выполнить на необновленном контроллере домена переинициализацию:

sudo ipa-replica-manage re-initialize --from=dc01.corp.lan

где dc01.corp.lan - FQDN первого контроллера домена.

После переинициализации необходимо убедиться, что все атрибуты rbtaSubsystem содержат буквы верхнего регистра, повторив команду ldapsearch.

Пример:

ldapsearch -b cn=computers,cn=accounts,dc=corp,dc=lan 'fqdn=dc02.corp.lan' | grep -i rbtasub

При необходимости выполнить переинициализацию повторно.

Корректный вывод после переинициализации выглядит, например, так:

rbtaSubsystemConfig: {"is_master": false, "setup_gc": false, "setup_pkiproxy": true, "setup_syncer": false}
rbtaSubsystemRole: dc r
btaSubsystemSite:: 0JPQvtC70L7QstC90L7QuSDQvtGE0LjRgQ==

После корректного завершения переинициализации необходимо выполнить перезапуск служб IPA и повторный запуск обновления командами:

sudo ipactl restart
sudo aldpro-gpupdate --pm
sudo aldpro-gpupdate --gp
sudo aldpro-roles --iud --action update