<html xmlns:v="urn:schemas-microsoft-com:vml" xmlns:o="urn:schemas-microsoft-com:office:office" xmlns:w="urn:schemas-microsoft-com:office:word" xmlns:m="http://schemas.microsoft.com/office/2004/12/omml" xmlns="http://www.w3.org/TR/REC-html40"><head><meta http-equiv=Content-Type content="text/html; charset=us-ascii"><meta name=Generator content="Microsoft Word 12 (filtered medium)"><style></style></head><body lang=EN-US link=blue vlink=purple><div class=WordSection1>Hi,<o:p></o:p><o:p> </o:p>I am trying to install client on one of the machine I’m getting following error:<o:p></o:p><o:p> </o:p>-------------------------------- Cannot obtain CA certificate<o:p></o:p>'ldap://ipa1.example.com' doesn't have a certificate.<o:p></o:p>Installation failed. Rolling back changes.<o:p></o:p>IPA client is not configured on this system. --------------------------------<o:p></o:p><o:p> </o:p>I am able to install same on other clients.<o:p></o:p><o:p> </o:p>Output of running in debug<o:p></o:p>------------------------------------- /usr/sbin/ipa-client-install was invoked with options: {'domain': 'EXAMPLE.COM', 'force': False, 'krb5_offline_passwords': True, 'primary': True, 'mkhomedir': False, 'create_sshfp': True, 'conf_sshd': True, 'on_master': False, 'conf_ntp': True, 'ca_cert_file': None, 'ntp_server': None, 'principal': None, 'hostname': None, 'no_ac': False, 'unattended': None, 'sssd': True, 'trust_sshfp': False, 'dns_updates': False, 'realm_name': None, 'conf_ssh': True, 'server': ['ipa1.example.com', 'ipa2.example.com'], 'prompt_password': False, 'permit': False, 'debug': True, 'preserve_sssd': False, 'uninstall': False}<o:p></o:p>missing options might be asked for interactively later<o:p></o:p>Loading Index file from '/var/lib/ipa-client/sysrestore/sysrestore.index'<o:p></o:p>Loading StateFile from '/var/lib/ipa-client/sysrestore/sysrestore.state'<o:p></o:p>[IPA Discovery]<o:p></o:p>Starting IPA discovery with domain=EXAMPLE.COM, server=['ipa1.example.com', 'ipa2.example.com'], hostname=perf-fe1.example.com<o:p></o:p>Server and domain forced<o:p></o:p>[Kerberos realm search]<o:p></o:p>Search DNS for TXT record of _kerberos.EXAMPLE.COM.<o:p></o:p>No DNS record found<o:p></o:p>[LDAP server check]<o:p></o:p>Verifying that ipa1.example.com (realm None) is an IPA server<o:p></o:p>Init LDAP connection with: ldap://ipa1.example.com:389<o:p></o:p>Search LDAP server for IPA base DN<o:p></o:p>Check if naming context 'dc=example,dc=com' is for IPA<o:p></o:p>Naming context 'dc=example,dc=com' is a valid IPA context<o:p></o:p>Search for (objectClass=krbRealmContainer) in dc=example,dc=com (sub)<o:p></o:p>Found: cn=EXAMPLE.COM,cn=kerberos,dc=example,dc=com<o:p></o:p>Discovery result: Success; server=ipa1.example.com, domain=EXAMPLE.COM, ipa=None, basedn=dc=example,dc=com<o:p></o:p>will use discovered domain: EXAMPLE.COM<o:p></o:p>Using servers from command line, disabling DNS discovery<o:p></o:p>will use provided server: ipa1.example.com, ipa2.example.com<o:p></o:p>Autodiscovery of servers for failover cannot work with this configuration.<o:p></o:p>If you proceed with the installation, services will be configured to always access the discovered server for all operations and will not fail over to other servers in case of failure.<o:p></o:p>Proceed with fixed values and no DNS discovery? [no]: yes<o:p></o:p>will use discovered realm: EXAMPLE.COM<o:p></o:p>will use discovered basedn: dc=example,dc=com<o:p></o:p>[IPA Discovery]<o:p></o:p>Starting IPA discovery with domain=EXAMPLE.COM, server=ipa2.example.com, hostname=perf-fe1.example.com<o:p></o:p>Server and domain forced<o:p></o:p>[Kerberos realm search]<o:p></o:p>Search DNS for TXT record of _kerberos.EXAMPLE.COM.<o:p></o:p>No DNS record found<o:p></o:p>[LDAP server check]<o:p></o:p>Verifying that ipa2.example.com (realm None) is an IPA server<o:p></o:p>Init LDAP connection with: ldap://ipa2.example.com:389<o:p></o:p>Search LDAP server for IPA base DN<o:p></o:p>Check if naming context 'dc=example,dc=com' is for IPA<o:p></o:p>Naming context 'dc=example,dc=com' is a valid IPA context<o:p></o:p>Search for (objectClass=krbRealmContainer) in dc=example,dc=com (sub)<o:p></o:p>Found: cn=EXAMPLE.COM,cn=kerberos,dc=example,dc=com<o:p></o:p>Discovery result: Success; server=ipa2.example.com, domain=EXAMPLE.COM, ipa=None, basedn=dc=example,dc=com<o:p></o:p>Hostname: perf-fe1.example.com<o:p></o:p>Hostname source: Machine's FQDN<o:p></o:p>Realm: EXAMPLE.COM<o:p></o:p>Realm source: Discovered from LDAP DNS records in ipa1.example.com<o:p></o:p>DNS Domain: EXAMPLE.COM<o:p></o:p>DNS Domain source: Forced<o:p></o:p>IPA Server: ipa1.example.com, ipa2.example.com<o:p></o:p>IPA Server source: Provided as option<o:p></o:p>BaseDN: dc=example,dc=com<o:p></o:p>BaseDN source: >From IPA server ldap://ipa1.example.com:389<o:p></o:p><o:p> </o:p>Continue to configure the system with these values? [no]: yes<o:p></o:p>args=/usr/sbin/ipa-rmkeytab -k /etc/krb5.keytab -r EXAMPLE.COM<o:p></o:p>stdout=<o:p></o:p>stderr=Failed to open keytab '/etc/krb5.keytab': No such file or directory<o:p></o:p><o:p> </o:p>User authorized to enroll computers: admin<o:p></o:p>Synchronizing time with KDC...<o:p></o:p>Search DNS for SRV record of _ntp._udp.EXAMPLE.COM.<o:p></o:p>No DNS record found<o:p></o:p>args=/usr/sbin/ntpdate -U ntp -s -b -v ipa1.example.com<o:p></o:p>stdout=<o:p></o:p>stderr=<o:p></o:p>args=/usr/sbin/ntpdate -U ntp -s -b -v ipa1.example.com<o:p></o:p>stdout=<o:p></o:p>stderr=<o:p></o:p>args=/usr/sbin/ntpdate -U ntp -s -b -v ipa1.example.com<o:p></o:p>stdout=<o:p></o:p>stderr=<o:p></o:p>Unable to sync time with IPA NTP server, assuming the time is in sync. Please check that 123 UDP port is opened.<o:p></o:p>Writing Kerberos configuration to /tmp/tmpune77A:<o:p></o:p>#File modified by ipa-client-install<o:p></o:p><o:p> </o:p>includedir /var/lib/sss/pubconf/krb5.include.d/<o:p></o:p><o:p> </o:p>[libdefaults]<o:p></o:p> default_realm = EXAMPLE.COM<o:p></o:p> dns_lookup_realm = false<o:p></o:p> dns_lookup_ipa = false<o:p></o:p> rdns = false<o:p></o:p> ticket_lifetime = 24h<o:p></o:p> forwardable = yes<o:p></o:p><o:p> </o:p>[realms]<o:p></o:p> EXAMPLE.COM = {<o:p></o:p> ipa = ipa1.example.com:88<o:p></o:p> master_ipa = ipa1.example.com:88<o:p></o:p> admin_server = ipa1.example.com:749<o:p></o:p> ipa = ipa2.example.com:88<o:p></o:p> master_ipa = ipa2.example.com:88<o:p></o:p> admin_server = ipa2.example.com:749<o:p></o:p> default_domain = EXAMPLE.COM<o:p></o:p> pkinit_anchors = FILE:/etc/ipa/ca.crt<o:p></o:p> }<o:p></o:p><o:p> </o:p>[domain_realm]<o:p></o:p> .EXAMPLE.COM = EXAMPLE.COM<o:p></o:p> EXAMPLE.COM = EXAMPLE.COM<o:p></o:p> .example.com = EXAMPLE.COM<o:p></o:p> example.com = EXAMPLE.COM<o:p></o:p><o:p> </o:p>Password for admin@EXAMPLE.COM:<o:p></o:p><o:p> </o:p>args=kinit admin@EXAMPLE.COM<o:p></o:p>stdout=Password for admin@EXAMPLE.COM:<o:p></o:p><o:p> </o:p>stderr=<o:p></o:p>trying to retrieve CA cert via LDAP from ldap://ipa1.example.com<o:p></o:p>get_ca_cert_from_ldap() error: Unknown authentication method SASL(-4): no mechanism available: No worthy mechs found<o:p></o:p>{'info': 'SASL(-4): no mechanism available: No worthy mechs found', 'desc': 'Unknown authentication method'}<o:p></o:p>Cannot obtain CA certificate<o:p></o:p>'ldap://ipa1.example.com' doesn't have a certificate.<o:p></o:p>Installation failed. Rolling back changes.<o:p></o:p>IPA client is not configured on this system.<o:p></o:p>-------------------------------------<o:p></o:p><o:p> </o:p>Seeing above it seems that LDAP is not running on SSL I have verified it following command ‘ldapsearch -Y GSSAPI -b "dc=example,dc=com" uid=admin’ and it does return the results.<o:p></o:p><o:p> </o:p>Any help/info will be really helpful.<o:p></o:p><o:p> </o:p>Regards,<o:p></o:p><o:p> </o:p>Mohan<o:p></o:p><o:p> </o:p></div></body></html>