Erreur Filter failed OpenLDAP

De EjnTricks

Lors d'une mise à jour de la machine Ubuntu, passage depuis 14.04 vers 15.04, des messages d'erreurs ont été constatés dans les logs système.

Cet article présente la cause et la solution trouvée.


Hand-icon.png Votre avis

Nobody voted on this yet

 You need to enable JavaScript to vote


Study icon.png Analyse

Les messages d'erreur sont constatés dans le fichier /var/log/syslog. Dans celle-ci, les messages suivants ont été observés:

May  5 20:44:06 etienne-server kernel: [32005.130202] audit: type=1400 audit(1430851446.537:1022): apparmor="DENIED" operation="file_perm" profile="/usr/sbin/slapd" 
name="/run/slapd/ldapi" pid=1576 comm="slapd" requested_mask="r" denied_mask="r" fsuid=119 ouid=0
May  5 20:44:06 etienne-server kernel: [32005.130210] audit: type=1400 audit(1430851446.537:1023): apparmor="DENIED" operation="file_perm" profile="/usr/sbin/slapd" 
name="/run/slapd/ldapi" pid=1576 comm="slapd" requested_mask="r" denied_mask="r" fsuid=119 ouid=0
May  5 20:44:06 etienne-server kernel: [32005.130454] audit: type=1400 audit(1430851446.537:1024): apparmor="DENIED" operation="file_perm" profile="/usr/sbin/slapd" 
name="/run/slapd/ldapi" pid=1576 comm="slapd" requested_mask="r" denied_mask="r" fsuid=119 ouid=0
May  5 20:44:06 etienne-server kernel: [32005.130462] audit: type=1400 audit(1430851446.537:1025): apparmor="DENIED" operation="file_perm" profile="/usr/sbin/slapd" 
name="/run/slapd/ldapi" pid=1576 comm="slapd" requested_mask="r" denied_mask="r" fsuid=119 ouid=0
May  5 20:44:07 etienne-server kernel: [32006.132086] audit: type=1400 audit(1430851447.537:1026): apparmor="DENIED" operation="file_perm" profile="/usr/sbin/slapd" 
name="/run/slapd/ldapi" pid=1583 comm="slapd" requested_mask="r" denied_mask="r" fsuid=119 ouid=0
May  5 20:44:07 etienne-server kernel: [32006.132111] audit: type=1400 audit(1430851447.537:1027): apparmor="DENIED" operation="file_perm" profile="/usr/sbin/slapd" 
name="/run/slapd/ldapi" pid=1583 comm="slapd" requested_mask="r" denied_mask="r" fsuid=119 ouid=0

Le message est explicite, l'application AppArmor refuse l'accès en lecture au fichier /run/slapd/ldapi. La configuration se trouve dans le fichier /etc/apparmor.d/usr.sbin.slapd dont le contenu est:

Donc les restrictions mises en place ne permettent pas à l'application /usr/sbin/slapd d'accéder au fichier /run/slapd/ldapi.

Mais comme souvent, un point d'entrée a été mise en place afin d'étendre la configuration, à travers l'instruction #include <local/usr.sbin.slapd>. Attention, le caractère # devant l'instruction include n'est pas utilisé pour démarrer un commentaire. Il ne faut pas le supprimer.


Icon-Configuration-Settings.png Correctif

Une fois les messages d'erreur identifié, il est aisé d'appliquer un correctif. D'après les deux messages d'erreur, OpenLDAP essaye d'accéder aux fichier:

  • /run/slapd/ldapi en lecture uniquement.

Le fichier /etc/apparmor.d/local/usr.sbin.slapd est donc modifié pour rajouter les droits d'accès aux fichiers:

# Site-specific additions and overrides for usr.sbin.slapd.
# For more details, please see /etc/apparmor.d/local/README.

  /run/slapd/ldapi r,

Afin que cela soit pris en compte, il faut recharger le service AppArmor:

#sudo service apparmor restart