Maverick server Probleme avec les KEYCHAINS, des users réseau: corruption

[roseau]

Bonjour,

Je viens vers vous pour un pb
J'ai passé un bon moment a chercher, hier, pourquoi un user réseaux après qui avait relevé ses mails une première fois, ne pouvait plus le faire après un logout et login.
La solution semble être Iici
Je n'ai pas bien compris la méthode utilisée dans le sujet apple ( sript au démarage?), et je voudrais savoir si vous avez été confronté à ce problème et comment vous l'avez traité

d'avance merci

[trouspinette]

Hello,

Jamais eu ce cas (je ne traite pas non plus des tonnes de clients de ce profil) mais tout ceci semble ressembler (de plus ou moins près ou de loin) aux soucis que l'on peut rencontrer avec des logiciels qui présentent des comportements bizarres sur des volumes réseau, en l’occurrence un HomeDirectory réseau : est ce ton cas ?

J'ai rencontré dans le passé des fonctionnements totalement erratiques avec Acrobat et/ou SuitCase Fusion.

Il fallait créer un LoginHook qui permettait de déplacer le dossier de Préfs Acrobat dans /Users/Shared/, avant l'ouverture de session. Le script effectuait du ménage dans un premier temps, puis créait les nouveaux chemins d'accès dans /Users/Shared, le tout à travers un lien symbolique dans ~/Library/Application Support/Adobe/etc..etc...

Bref, un vrai bordel :-(

Dans ton cas, c'est visiblement un processus non tué à la fermeture de session (à la lecture du fil de discussion Apple).

Je ne sais pas si tout ceci t'aidera, mais voici le script LoginHook de l'époque.

Code

#!/bin/csh -fx
echo "-------------------"
echo "We Start the Script :" >> /var/log/trace_Hook.txt
/bin/date >> /var/log/trace_Hook.txt
#
set user=`glob ~$1`
rm -rf "${user}/Library/Application Support/Adobe/Acrobat/9.0_"*
if (  -e /Users/Shared/Acrobat/9.0_x86) then
   rm -rf /Users/Shared/Acrobat/9.0_x86
endif
if (  -e /Users/Shared/Acrobat/9.0_ppc) then
   rm -rf /Users/Shared/Acrobat/9.0_ppc
endif
mkdir -p -m 777 /Users/Shared/Acrobat/9.0_x86
mkdir -p -m 777 /Users/Shared/Acrobat/9.0_ppc
chown -R $1 /Users/Shared/Acrobat/9.0_*
chmod -R 777 /Users/Shared/Acrobat/9.0_*
ln -s /Users/Shared/Acrobat/9.0_x86 "${user}/Library/Application Support/Adobe/Acrobat/9.0_x86"
ln -s /Users/Shared/Acrobat/9.0_ppc "${user}/Library/Application Support/Adobe/Acrobat/9.0_ppc"
touch /Users/Shared/$1
#
echo "Script was done at :" >> /var/log/trace_Hook.txt
/bin/date >> /var/log/trace_Hook.txt
#
exit

Un peu de lecture :

https://afp548.com/static/mactips/loginhooks.html
https://developer.apple.com/library/mac/doc...ustomLogin.html

[roseau]

cher Trouspinette Merci,
j'ai trouve ca à faire, comme je ne suis pas un expert des script si tu pouvais m'aider:

#*i had success creating a simple "script" which kills the security daemon each time a user logs into a client machine.

#**the script is triggered via lauchd. secd is restarted by the system as needed, which normally means immediately .

#**This does the trick for me and enables me to log in different users without loosing mail passwords.

#*The kill script is somewhat simple:


killall -SIGHUP secd

#*i called it "kill_secd.sh".
#*the script which triggers it is somewhat more complex :

<?xml version="1.0" encoding="UTF-8"?>
<!DOCTYPE plist PUBLIC "-//Apple Computer//DTD PLIST
1.0//EN" "http://www.apple.com/DTDs/PropertyList-1.0.dtd">
<plist version="1.0">
<dict>
<key>Label</key>
<string>kill_secd</string>
<key>ProgramArguments</key>
<array>
<string>/usr/local/scripts/kill_secd.sh</string>
</array>
<key>RunAtLoad</key>
<true/>
<key>UserName</key>
<string>root</string>
<key>GroupName</key>
<string>wheel</string>
</dict>
</plist>
#*lets call it something like apple would like it to be named: tld.domain.name.plist. it has tot be placed in /Library/LaunchAgents/.
#*Both scripts have to be executable. Execute

chmod 777 filename

#*on both. As you can see in the second script i put the first one in /usr/local/scripts/, but that one is up to you.

#*this does work in Mavericks and Yosemite

est ce que le script kill_secd.sh qui tue le process secd suffit par lui même en le mettant via le gestionnaire de profile ou bien faut il l'encapsuler dans le avec le plist décrit?

en tout cas le script fonctionne
resultat sur 10.5:
~ moi$ /Volumes/Utilisateur/Users/jeanlucetfrance/Documents/informatique/kill_secd.sh ; exit;
No matching processes belonging to you were found
logout

[Opération terminée]


faudrait que je lise la doc à ce sujet!!!

Ce message a été modifié par roseau - 15 Jun 2015, 19:31.

[trouspinette]

Tu commences par créer le script kill_secd.sh que tu colles dans /usr/local/scripts

Code

#!/bin/bash

# Script pour relancer secd process

# Fichier de log
LOGFILE="/var/log/secd_kill.log"

# DATE
DATESTART=`/bin/date +%Y-%m-%d\ - %H:%M:%S`

# Fonction qui trace si erreur
function quit_error {
    /bin/echo " Le $DATESTART : Echec du script kill_secd.sh !!!" >> $LOGFILE
    /bin/echo " ##############################################" >> $LOGFILE
    exit
}

# Kill SECD :-)
/usr/bin/killall -SIGHUP secd || quit_error

exit 0

Ensuite, il faut créer un LaunchAgent copié dans /Library/LaunchAgents.
Tu nommes ton LaunchAgent comme tu veux, com.mondomaine.killsecd.plist par exemple

Code

<?xml version="1.0" encoding="UTF-8"?>
<!DOCTYPE plist PUBLIC "-//Apple Computer//DTD PLIST
1.0//EN" "http://www.apple.com/DTDs/PropertyList-1.0.dtd">
<plist version="1.0">
<dict>
<key>Label</key>
<string>kill_secd</string>
<key>ProgramArguments</key>
<array>
<string>/usr/local/scripts/kill_secd.sh</string>
</array>
<key>RunAtLoad</key>
<true/>
<key>UserName</key>
<string>root</string>
<key>GroupName</key>
<string>wheel</string>
</dict>
</plist>

Pense à donner les bons droits aux fichiers :

sudo chmod 644 /Library/LaunchAgents/com.mondomaine.killsecd.plist
sudo chmod 777 /usr/local/scripts/kill_secd.sh

Tu peux ensuite stopper/activer ton LaunchAgent à l'aide d'un :

sudo launchctl unload /Library/LaunchDaemons/com.mondomaine.killsecd.plist
sudo launchctl load /Library/LaunchDaemons/com.mondomaine.killsecd.plist

Puis tu nous tiens au courant :-), sinon on détruit ton post

[roseau]

merci

c'est un peu tard pour essayer, mais comme d'hab je vous ferais un CR.
mais demain en rentrant

Dans le gestionnaire de profil, pour les appareils inscrits il y a possibilité de mettre un script a l'ouverture et/ou à la fermeture
mais il est dit aussi qu'il faut gérer le fichier com.apple.loginwindowsplist pour y mettre certaines valeurs
ce biais est il aussi efficace?

Fichier(s) joint(s)

 gestionnaire_de_profile.tiff ( 46.58 Ko ) Nombre de téléchargements : 3

 

[roseau]

Bonjour,

Je n'avais pas pu ouvrir hier le site AFp548, (connexion securisé non supporté par mon navigateur léopard?)
ce matin c'est chose faite
Donc il semble que la gestion par le gestionnaire de profil ne soit pas complète il faut aller bidouiller ( on est sur macbidouille quand même ) le fichier de config
/Library/Preferences/com.apple.loginwindow.plist pour y rajouter les entrées suivantes:
•LoginHook (POSIX path)
•LogoutHook (POSIX path)
ou bien comme il est dit dans le gestionnaire de profile ajouter les valeurs
car elle ne sont pas dans le fichier de base
a propos du payload general et loginhook
je ferais ça ce soir
et vous tiens informé

A propos j'ai oublié comment est activé le user root sur yosemite ?

Ce message a été modifié par roseau - 16 Jun 2015, 08:07.

[fmereo]

A propos j'ai oublié comment est activé le user root sur yosemite ?

J'ai mis en route mon MacPro sous Yosemite juste pour toi

Alors tu ouvres l'utilitaire d'annuaire (qui se trouve dans /Système/Bibliothèque/CoreServices/Applications) et dedans tu choisis le menu "Edition" pour choisir l'item "Activer l'utilisateur root"…

De mémoire la méthode est d'ailleurs la même sous Maverick.

Ce message a été modifié par fmereo - 16 Jun 2015, 17:22.

[roseau]

merci beaucoup, je ne l'avais pas vu

[roseau]

bonjour, la méthode via le gestionnaire de travail , ne fonctionne pas terrible, il me reste à implanter la solution de Trouspinette, ce que j'aurais du faire dès le début

[roseau]

j'ai implanté le la solution de Trouspinette, mais j'ai du rater quelque chose, ça ne fonctionne pas, le sript ne fait rien.
En fait je pense qu'il se lance à l'ouverture du système et après n'est plus appelé.
Alors que j'aurais aimé qu'il s'execute à la deconexion

[trouspinette]

j'ai implanté le la solution de Trouspinette, mais j'ai du rater quelque chose, ça ne fonctionne pas, le sript ne fait rien.
En fait je pense qu'il se lance à l'ouverture du système et après n'est plus appelé.
Alors que j'aurais aimé qu'il s'execute à la deconexion

Ce que tu peux envisager, c'est de tracer le PID avant et après l’exécution du kill : tu pourras ainsi vérifier si le PID a bien changé.

Ensuite, une voie à suivre ??? => http://apple.stackexchange.com/questions/1...k/151492#151492

j'ai implanté le la solution de Trouspinette, mais j'ai du rater quelque chose, ça ne fonctionne pas, le sript ne fait rien.

Il y avait une boulette dans le script, remplace le DATE par ceci :

DATESTART=`/bin/date "+Le %d/%m/%Y a %HH%M"`

[roseau]

merci beaucoup
pour la date , je l'avais passer en commentaire.

En fait j'ai vu le lancement du script dans les logs, j'avais fait une erreur de path, mais j'ai l'impression que ça ne fait rien
lancer l'agent à la main quitte bien le process qui se recrée immédiatement donc c'est vrai difficile à traquer!! je n'ai pas penser à regarder le n° du PID arès ouverture

[trouspinette]

je n'ai pas penser à regarder le n° du PID arès ouverture

Tu fais un :

/usr/bin/pgrep secd

Avant et après.

[roseau]

bon visiblement ç fonctionne, le pid utilisateur change,
Trouspinette tu m'as montré comment logguer les erreur mas quid du bon déroulement?
merci d'avance

[trouspinette]

Trouspinette tu m'as montré comment logguer les erreur mas quid du bon déroulement?
merci d'avance

Tu vires le
exit 0
dans le script et tu mets exit à la place.

Juste avant, tu mets la ligne suivante :

/bin/echo "Le `/bin/date` secd a bien ete relance avec le PID `/usr/bin/pgrep secd`" >> /var/log/trace_script_secd.log

Si /var/log/trace_script_secd.log contient des entrées, c'est que le déroulement est OK.

Pour être précis, exit 0 renvoie le code de retour forcé sans erreur.

Si le script produit une erreur, le code de retour est ≥ 0, c'est qu'il a eu une erreur. Mais il ne faut pas avoir exit 0 en fin de script :-)

Mais il y a des subtilités => RTFM !

[roseau]

Merci beaucoup
via load et unload ça marche ( log)
mais acune trace à l'ouverture
j'y perd mon latin, le process est bien tué et relancé mais pas par ce script!!!
faudra que je regarde pour charger notre script dans le gestionnaire de travail

[roseau]

Bon le processus SECD est tué et relance a chaque fois, je ne sais pas par quel script ou action vu que je n'ai aucune trace

En définitive ca marchotte, parce que si l'utilisateur ne perd plus ses mails il faut quand même s'y reprendre à deux fois et relever manuellement

j'ai un problème d'autorisation lors de la lecture de "compte internet" , ça n'a plus tellement à voir avec un serveur

J'ai réparé plusieurs fois sans succès. Peux être que 10.3.4 vas régler le pb