Problema di self-service in seguito all'aggiornamento WAPT 2.7

yoann.montouchet · 8 ottobre 2026 - 15:12

Buongiorno,
Ieri abbiamo aggiornato il nostro server (licenza enterprise) alla versione 2.7.19598. Il server utilizza Debian 13 Trixie (anch'esso aggiornato ieri; in precedenza utilizzavamo Debian 11 e poi Debian 12).
A seguito di questa transizione, si è verificato un cambiamento nel comportamento relativo al self-service; il sistema di autenticazione che utilizzavamo non è più funzionante.
Questo è in qualche modo correlato a questo argomento: viewtopic.php?t=4581 che non avevamo proseguito.
All'epoca, per i Mac che stavamo implementando, abbiamo infine deciso di non integrarli nella nostra directory AD (che non offriva alcun vantaggio pratico) e, per abilitare il self-service, abbiamo configurato tutti gli agenti (Windows e macOS) con:
service_auth_type=waptserver-ldap
use_kerberos = False

Con questa configurazione, all'apertura dell'area self-service, il sistema self-service richiedeva nome utente e password, che venivano poi verificati dal server tramite Active Directory (samba-ad). Nel complesso, questa soluzione ha funzionato bene per noi.
Il server WAPT è correttamente autenticato con AD; sono stato in grado di richiedere un ticket Kerberos e quindi autenticarmi con esso (tramite "curl -v --negotiate -u: https://si-wapt-01.ad.xxx.fr/api/v3/login_kerberos -k" senza preoccupazioni:

Codice: Seleziona tutto

{"success":true,"msg":"Authentication OK","request_time":0.04843854904175,"result":{"auth_result":{"auth_method":"kerb","user":"yoann.montouchet@ad.xxx.fr","auth_date":"2026-10-08T12:58:39.508967+00:00","roles":[],"auth_otp_validated":false},"server_uuid":"xxx","version":"2.7.0.19598","server_domain":"ad.xxx.fr","edition":"enterprise","user_acls":{},"token":null}}

Dopo l'aggiornamento di versione, con la stessa configurazione (waptserver-ldap e senza Kerberos), sui computer Windows riscontriamo il seguente errore:

: Screenshot 2026-10-08 150108.png (11,35 KB) Visualizzato 6258 volte

Su Mac:

: Screenshot 2026-10-08 150225.png (55,57 KB) Visualizzato 6258 volte

Mantenendo waptserver-ldap e abilitando Kerberos, non si verificano più errori sul lato Windows, ma i pacchetti non sono visibili.
E si è verificato un errore sul lato Mac:

: Screenshot 2026-10-08 150436.png (48,22 KB) Visualizzato 6242 volte

Abbiamo provato altre combinazioni (system, waptagent-ldap) senza successo e l'unica che sembra ripristinare il lato Windows sarebbe quella di inserirlo in filetoken, lì troviamo il contenuto previsto nel self-service, ma sul Mac continuiamo a non vedere nulla, come credo già dallo scorso marzo.

Insomma, sono un po' perso e non so più dove cercare, e ci ritroviamo con poco meno di venti Mac che non riescono ad aprire il sistema di self-service da ieri.

Avete idea di quale possa essere la causa e come risolverla?

MODIFICA: Informazione importante, ma il test "testing-ldap-connectivity.sh" è OK:

Codice: Seleziona tutto

----------------------------------------------------------------
Test SSO SELFSERVICE LDAP with ldap_account_service_login
----------------------------------------------------------------
Username : yoann.montouchet
Group test member : Domain Users
----------------------------------------------------------------
[OK] Test SSO SELFSERVICE LDAP with ldap_account_service_login
----------------------------------------------------------------
Test ldap with direct Login
----------------------------------------------------------------
Username ldap: yoann.montouchet
Password ldap:
Group test member : Domain Users
--------
ALL GOOD
--------

MODIFICA 2: Ho una prima spiegazione; il mio sistema self-service utilizza "nomi di gruppo" abbreviati e non nomi completigroupname@ad.xxx.fr".
Aggiungendo un gruppo di questo tipo nella configurazione di waptserver-ldap+kerberos, sul lato Windows vedo i pacchetti arrivare nel self-service.
Ma sul Mac continua a comparire un errore...

AGGIORNAMENTO 3: Un'altra informazione potenzialmente interessante, ma sul lato Mac, l'autenticazione Kerberos sembra funzionare correttamente:

Codice: Seleziona tutto

yoann.montouchet@XXX~ % kinit yoann.montouchet@ad.xxx.fr
yoann.montouchet@ad.xxx.fr's password: 
yoann.montouchet@XXX~ % klist
Credentials cache: API:91B80912-6A34-4F3E-A1EC-B450011A2DAA
        Principal: yoann.montouchet@AD.XXX.FR

  Issued                Expires               Principal
Oct  8 16:05:17 2026  Oct  9 02:05:12 2026  krbtgt/ad.xxx.fr@AD.XXX.FR

yoann.montouchet · 8 ottobre 2026 - 16:43

Ho fatto qualche progresso; devi usare il nome Kerberos in lettere maiuscole: yoann.montocket@AD.XXX.FR a livello di kinit, e usa un file temporaneo per memorizzare il token ed esporta il percorso del token:
kinit -c FILE:/tmp/krb5cc_$(id -u) yoann.montocket@AD.XXX.FR
esporta KRB5CCNAME=FILE:/tmp/krb5cc_$(id -u)

quindi avviare manualmente nello stesso terminale:
/Applicazioni/WAPT/WAPT\ Self-service.app/Contenuti/MacOS/waptself

A quel punto, l'area self-service si è aperta correttamente con i pacchi previsti. Ma non c'era nessun pulsante per gestire i pacchi!

: Screenshot 2026-10-08 162907 (Small).png (143,38 KB) Visualizzato 6163 volte

Chiaramente, sarà estremamente difficile industrializzare questi passaggi per i colleghi... Hai per caso un'idea migliore?

12 ottobre 2026 - 10:47

Ciao Yoann,

riguardo al bug di visualizzazione nell'interfaccia self-service, lo abbiamo riprodotto e lo stiamo risolvendo (il problema è dovuto a una differenza di comportamento tra Mac con processori Intel e Mac con processori ARM).

Per quanto riguarda il problema di autenticazione/recupero del gruppo nel self-service, venerdì è stata rilasciata una patch nella nightly build per risolvere alcuni problemi. Verificherò con i miei colleghi se risolve anche il problema dei computer non appartenenti al dominio che utilizzano l'autenticazione con nome utente e password di dominio.

Detto questo, personalmente consiglio di aggiungere macOS al dominio (funziona bene ultimamente, anche se non è sempre stato così

). Questo garantisce in particolare la rotazione delle password.

Stiamo eseguendo un'ultima serie di test e rilasceremo un aggiornamento a breve.

Cordiali saluti,

Denis

yoann.montouchet · 13 ottobre 2026 - 09:07

Ciao Denis,
il problema nel nostro caso con i Mac è che il nostro dominio non è accessibile ai computer quando effettuano l'accesso, ma solo tramite una VPN che si attiva solo una volta aperta la sessione.
Di conseguenza, la rotazione delle password non funziona, tra le altre cose.
Abbiamo dovuto implementare un sistema MDM su questi computer specificamente per gestire la rotazione delle password e distribuire policy come farebbe Active Directory su un computer Windows (ma non su un Mac).
Quindi non abbiamo visto alcun motivo per continuare a cercare di integrarli in Active Directory...
Avevamo un esempio di un Mac integrato nel nostro Active Directory; la password dell'account veniva ancora riconosciuta e accettata sul Mac nonostante una modifica in Active Directory, anche diverse settimane dopo la modifica, e nonostante la VPN fosse connessa (dopo l'accesso).
In breve, siamo aperti a una soluzione. Come ultima risorsa, abbiamo creato una soluzione alternativa che consente di aggiornare un token Kerberos localmente prima di avviare il self-service. L'abbiamo impacchettata e distribuita tramite Wapt e sembra funzionare come soluzione di ripiego temporanea.