<div dir="ltr">The problem with 'foreman-prepare-realm' and freeipa was that it claimed that a few o thef permissions required did not exist when it tried to add them to the 'smart proxy host management' privilege.<div><br></div><div>I think it was because the permissions were all in lower case without the 'System: ' prefix. This is just an assumption since I did not get to work even after adding them manually. So I figured to try it again after reverting back to 3.3.5.<br><div><br></div><div>After downgrading I learned that it did not work due to a bug in a ruby script. (fixed by commenting out line 505-506 in /usr/share/ruby/xmlrpc/client.rb on the katello host, see <a href="https://bugs.ruby-lang.org/issues/8182">https://bugs.ruby-lang.org/issues/8182</a> and <a href="https://bugzilla.redhat.com/show_bug.cgi?id=1071187">https://bugzilla.redhat.com/show_bug.cgi?id=1071187</a> ) </div><div><br><div>After which I tried the upgrade again.</div><div><br></div><div>regarding <a href="https://fedorahosted.org/bind-dyndb-ldap/wiki/BIND9/NamedCannotStart">https://fedorahosted.org/bind-dyndb-ldap/wiki/BIND9/NamedCannotStart</a> </div><div>I did look again using the kredentials as mentioned in step 4. and saw only 3 objects (1x idnsConfigObject 2x nsContainer)</div><div>When using admin credentials I saw all the dns zone entries.</div><div><br></div><div>I can see the zone entries in the ipa gui.</div><div><br></div><div>Also when I look at the permissions in ipa there are no longer any permissions that have the 'System: ' prefix.</div><div><br></div><div>Rob</div></div></div></div><div class="gmail_extra"><br><div class="gmail_quote">2014-11-04 15:52 GMT+01:00 Petr Spacek <span dir="ltr"><<a href="mailto:pspacek@redhat.com" target="_blank">pspacek@redhat.com</a>></span>:<br><blockquote class="gmail_quote" style="margin:0 0 0 .8ex;border-left:1px #ccc solid;padding-left:1ex"><span class="">On 4.11.2014 15:27, Rob Verduijn wrote:<br>
<blockquote class="gmail_quote" style="margin:0 0 0 .8ex;border-left:1px #ccc solid;padding-left:1ex">
Hello again,<br>
<br>
I've managed to integrate my katello configuration with freeipa.<br>
Now I not only use freeipa authentication in katello but also when a host<br>
is defined in katello it automagically gets created in the freeipa realm ,<br>
certs, otp,dns all working great.<br>
<br>
however, to obtain all this integration greatness I had to downgrade my<br>
freeipa to 3.3.5 again (revert snapshot) because the katello realm<br>
integration tool (foreman-prepare-realm) is not capable of dealing with 4.X<br>
versions of freeipa.<br>
</blockquote></span>
It would be nice if you could get tell us more details about the problem you had with Katello, AFAIK we are not aware of any.<span class=""><br>
<br>
<blockquote class="gmail_quote" style="margin:0 0 0 .8ex;border-left:1px #ccc solid;padding-left:1ex">
And now the named-pkcs11 again does not see my internal zones.<br>
<br>
This page<br>
<a href="https://fedorahosted.org/bind-dyndb-ldap/wiki/BIND9/NamedCannotStart" target="_blank">https://fedorahosted.org/bind-<u></u>dyndb-ldap/wiki/BIND9/<u></u>NamedCannotStart</a> thinks<br>
I should contact the freeipa-users list<br>
</blockquote>
<br></span>
Do I understand correctly that you did all the steps 0-4 successfully and then you found out that you can't see DNS objects in LDAP (step 5) when using ldapsearch with DNS principal?<br>
<br>
Can you see the objects in IPA web UI or CLI? If it is the case then we will need help from LDAP ACI expert (pviktori? :-).<br>
<br>
Petr^2 Spacek<div class="HOEnZb"><div class="h5"><br>
<br>
<blockquote class="gmail_quote" style="margin:0 0 0 .8ex;border-left:1px #ccc solid;padding-left:1ex">
The command 'ipa-ldap-updater<br>
/usr/share/ipa/updates/55-<u></u>pbacmemberof.update' didn't fix it.<br>
and the command 'ipa-ldap-updater' didn't fix it either.<br>
<br>
So I am now stuck at freeipa 3.3.5 again (with a working katello<br>
integration, so I got some mixed emotions about it)<br>
Any ideas anyone ?<br>
Rob<br>
<br>
<br>
<br>
<br>
<br>
<br>
2014-10-29 22:14 GMT+01:00 Rob Verduijn <<a href="mailto:rob.verduijn@gmail.com" target="_blank">rob.verduijn@gmail.com</a>>:<br>
<br>
<blockquote class="gmail_quote" style="margin:0 0 0 .8ex;border-left:1px #ccc solid;padding-left:1ex">
Hello,<br>
<br>
I've tested the update again.<br>
<br>
The bind-utils conflict is still there when I issue "yum update<br>
freeipa-server" ( as indicated on the freeipa 4.1 download page<br>
<a href="http://www.freeipa.org/page/Downloads#Upgrading" target="_blank">http://www.freeipa.org/page/<u></u>Downloads#Upgrading</a> )<br>
<br>
'yum update' works fine<br>
<br>
My internal zones didn't resolv after the update<br>
ipa-ldap-updater /usr/share/ipa/updates/55-<u></u>pbacmemberof.update didn't fix<br>
it<br>
ipa-ldap-updater did fix the 'access control instructions' and my internal<br>
dns zones started to resolv again :-)<br>
<br>
Cheers<br>
Rob<br>
<br>
<br>
2014-10-29 18:14 GMT+01:00 Petr Spacek <<a href="mailto:pspacek@redhat.com" target="_blank">pspacek@redhat.com</a>>:<br>
<br>
<blockquote class="gmail_quote" style="margin:0 0 0 .8ex;border-left:1px #ccc solid;padding-left:1ex">
On 29.10.2014 16:46, Rob Verduijn wrote:<br>
<br>
<blockquote class="gmail_quote" style="margin:0 0 0 .8ex;border-left:1px #ccc solid;padding-left:1ex">
Hello,<br>
<br>
# ipa-ldap-updater /usr/share/ipa/updates/55-<u></u>pbacmemberof.update<br>
   fixes the problem.<br>
<br>
I can resolv my internal dns zones again:-)<br>
<br>
Many thanx.<br>
<br>
Since this problem happened every time I tried to update the freeipa<br>
server.<br>
I could re-run the update with some debug options if you like so you can<br>
pinpoint what goes wrong with the update script if you like.<br>
<br>
</blockquote>
<br>
I have re-build some packages in mkosek's CORP so now you should not see<br>
encounter dependency problems. Simple 'yum upgrade' should give you all the<br>
required packages.<br>
<br>
We are looking at other problems in upgrade process right now so there is<br>
not much to test except package dependencies.<br>
<br>
--<br>
Petr^2 Spacek<br>
</blockquote></blockquote></blockquote>
</div></div></blockquote></div><br></div>