Bug 34355

Значит, в PAM-стеке passwd какая-то лажа, у меня выводит
passwd: Authentication failure.

[root@zerg system-preset]# l /etc/pam.d/system-auth
lrwxrwxrwx 1 root root 16 окт 20 10:40 /etc/pam.d/system-auth -> system-auth-ldap
[root@zerg system-preset]# cat /etc/pam.d/system-auth
#%PAM-1.0
auth            [success=2 default=ignore]      pam_tcb.so shadow fork prefix=$2y$ count=8 nullok
auth            requisite       pam_succeed_if.so uid >= 500 quiet
auth            required        pam_ldap.so use_first_pass
auth            required        pam_permit.so

account         [success=2 default=ignore]      pam_tcb.so shadow fork
account         requisite       pam_succeed_if.so uid >= 500 quiet
account         required        pam_ldap.so
account         required        pam_permit.so

password        required        pam_passwdqc.so config=/etc/passwdqc.conf
password        [success=2 default=ignore]      pam_tcb.so use_authtok shadow fork prefix=$2y$ count=8 nullok write_to=tcb
password        requisite       pam_succeed_if.so uid >= 500 quiet
password        required        pam_ldap.so use_authtok

session         [success=2 default=ignore]      pam_tcb.so
session         requisite       pam_succeed_if.so uid >= 500 quiet
session         required        pam_ldap.so
session         required        pam_mktemp.so
session         required        pam_mkhomedir.so silent
session         required        pam_limits.so

Отсутсвовал пакет pam_ldap

(In reply to comment #3)
> Отсутсвовал пакет pam_ldap

Если обязательный модуль отстутствовал, то сообщение правильное.

(В ответ на комментарий №4)
> Если обязательный модуль отстутствовал,
Это правильно?

> то сообщение правильное.
Нет никаких упомнаний, что сообщение НЕ относится к смене пароля, т.е. все равно не правильное.

(In reply to comment #5)
> (В ответ на комментарий №4)
> > Если обязательный модуль отстутствовал,
> Это правильно?

Тот, кто переключил конфигурацию, должен был установить.
Сейчас несколько разных конфигураций у нас в одном пакете, и ты не захочешь, чтобы этот пакет приобрёл зависимости на всё, что эти разные конфигурации поддерживают.

> > то сообщение правильное.
> Нет никаких упомнаний, что сообщение НЕ относится к смене пароля, т.е. все
> равно не правильное.

Это сообщение от PAM'а, что в стеке упомянут отсутствующий обязательный модуль.
Мне очевидно, что оно не относится непосредственно к смене пароля.

(В ответ на комментарий №6)
> Сейчас несколько разных конфигураций у нас в одном пакете, и ты не захочешь,
> чтобы этот пакет приобрёл зависимости на всё, что эти разные конфигурации
> поддерживают.
Да. к тому же посмотрел, что pam_ldap.so не один и механизма типа альтернатив никто не будет делать, скорее всего.

(В ответ на комментарий №6)
> Это сообщение от PAM'а, что в стеке упомянут отсутствующий обязательный модуль.
Нет. В сообщении однозначно указано, что оно от passwd.

> Мне очевидно, что оно не относится непосредственно к смене пароля.
Было бы странно, если бы для тебя это было по другому. ;-)
Надо, чтобы для пользователя это было очевидно. Там никаких зацепок нет.

(В ответ на комментарий №6)
> в стеке упомянут отсутствующий обязательный
А таких слов там вообще нет.

Если что, предложения того, как лучше представить пользователю ошибку "Module is unknown", равно как и любую другую, приветствуются.

Хорошо бы показать какой-то более конкретный источник ошибки.
Например,
pam: Module pam_ldap.so is unknown.

(In reply to Sergey V Turchin from comment #11)
> Хорошо бы показать какой-то более конкретный источник ошибки.
> Например,
> pam: Module pam_ldap.so is unknown.

Информация о том, с каким именно модулем проблемы, недоступна.
Но можно написать, например, system configuration error.

(Ответ для Dmitry V. Levin на комментарий #12)
> Информация о том, с каким именно модулем проблемы, недоступна.
> Но можно написать, например, system configuration error.
А
pam: Module is unknown.
?

(In reply to Sergey V Turchin from comment #13)
> (Ответ для Dmitry V. Levin на комментарий #12)
> > Информация о том, с каким именно модулем проблемы, недоступна.
> > Но можно написать, например, system configuration error.
> А
> pam: Module is unknown.
> ?

Предлагаешь добавлять префикс "pam: " к сообщению о любой ошибке, которую вернул pam?

(Ответ для Dmitry V. Levin на комментарий #14)
> Предлагаешь добавлять префикс "pam: " к сообщению о любой ошибке, которую
> вернул pam?
Да. Это проще всего, но уже хотя бы видно, куда копать.

(Ответ для Sergey V Turchin на комментарий #15)
> хотя бы видно, куда копать.
Ещё не видно?

(Ответ для Dmitry V. Levin на комментарий #14)
> Предлагаешь добавлять префикс "pam: " к сообщению о любой ошибке,
> которую вернул pam?
Так, почему бы не сделать?