Auto respondendo este caso, qualquer outra pessoa fica confusa com isso.
Essa mensagem de erro acabou sendo um pouco enganosa. Na verdade, era um problema de permissões (como esperado), mas não em nenhum dos diretórios tmp relacionados às variáveis de rpm.
Usando strace com
strace -p 'ps --no-headers -fC rpmsign | awk '{print $2}'' -e trace=open,close
Strace mostrou que depois de todo o trabalho dentro do diretório tmp (/ var / tmp neste caso), ele tentou fazer uma versão alterada do rpm no mesmo diretório que o rpm, antes (suponho) movê-lo no lugar. Esse rpm era o "temporário" a que se referia.
Então, depois de tudo isso, esse usuário simplesmente não tinha permissões de gravação para onde o rpm estava localizado ao ser assinado.
Ugh.