<!DOCTYPE HTML PUBLIC "-//W3C//DTD HTML 3.2//EN">
<HTML>
<HEAD>
<META HTTP-EQUIV="Content-Type" CONTENT="text/html; charset=utf-8">
<META NAME="Generator" CONTENT="MS Exchange Server version 6.5.7654.12">
<TITLE>Re: [SSSD] Group results.</TITLE>
</HEAD>
<BODY>
<!-- Converted from text/plain format -->

<P><FONT SIZE=2>&gt;'memberOf' is the reverse of 'member', not of 'memberuid'. AD doesn't<BR>
&gt; create the 'memberOf' backlink for entries specified by 'memberuid'<BR>
&gt; (because 'memberuid' members are also not required to be in the<BR>
central<BR>
&gt; server; they can be local accounts or accounts provided by a different<BR>
&gt; directory like NIS)<BR>
Ok, understood.<BR>
<BR>
&gt; I'm not sure what the relevance is to that statement. If you're using<BR>
&gt; 'ldap_schema = rfc2307', then it should be adding all members that<BR>
&gt; appear as 'memberuid' in the group.<BR>
&gt;<BR>
&gt; I guess I don't understand what your question is here. It looks like<BR>
&gt; things are behaving as expected.<BR>
Well, the group aapp has 6 memberUid, but only three of them is added by<BR>
sssd, how is that correct ? Or what am I missing ?<BR>
<BR>
Here are the users according to ldapsearch,<BR>
dn: CN=aapp,OU=Groups,DC=xx,DC=xx,DC=xx<BR>
memberUid: a001721<BR>
memberUid: a000569<BR>
memberUid: a000680<BR>
memberUid: a001406<BR>
memberUid: a000898<BR>
memberUid: a000590<BR>
<BR>
Here are the users beeing added by sssd,<BR>
a001721<BR>
a001406<BR>
a000898<BR>
<BR>
And that is with ldap_schema = rfc2307 in the config.<BR>
<BR>
/Patrik Martinsson<BR>
<BR>
<BR>
<BR>
<BR>
<BR>
<BR>
<BR>
<BR>
<BR>
<BR>
On Fri, 2010-12-10 at 12:20 -0500, Stephen Gallagher wrote:<BR>
&gt; -----BEGIN PGP SIGNED MESSAGE-----<BR>
&gt; Hash: SHA1<BR>
&gt;<BR>
&gt; On 12/10/2010 10:56 AM, Patrik Martinsson wrote:<BR>
&gt; &gt; Ok, Cool.<BR>
&gt; &gt;<BR>
&gt; &gt; So, I stopped sssd, removed the cachefile for my domain, started it with<BR>
&gt; &gt; logging to file.<BR>
&gt; &gt; Since I'm not comfortable with exposing our whole ad to the internet I<BR>
&gt; &gt; pasted a snippet out of the logfile, please tell me if you need anything<BR>
&gt; &gt; more.<BR>
&gt; &gt;<BR>
&gt; &gt; But the behavior is the same, here is an example,<BR>
&gt; &gt; I have a group called aapp,<BR>
&gt; &gt;<BR>
&gt; &gt; ldapsearch 'ou=Groups,dc=xx,dc=xx,dc=xx' &quot;(&amp;(objectclass=*)(cn=aapp))&quot;<BR>
&gt; &gt; returns,<BR>
&gt; &gt;<BR>
&gt; &gt; ------<BR>
&gt; &gt; member: CN=xxxx,OU=People,DC=xx,DC=xx,DC=xx<BR>
&gt; &gt; member: CN=xxxx,OU=People,DC=xx,DC=xx,DC=xx<BR>
&gt; &gt; member: CN=xxxx,OU=People,DC=xx,DC=xx,DC=xx<BR>
&gt; &gt; memberUid: xxxx<BR>
&gt; &gt; memberUid: xxxx<BR>
&gt; &gt; memberUid: xxxx<BR>
&gt; &gt; memberUid: xxxx<BR>
&gt; &gt; memberUid: xxxx<BR>
&gt; &gt; memberUid: a000590<BR>
&gt; &gt; ------<BR>
&gt; &gt;<BR>
&gt; &gt; ldapsearch 'ou=People,dc=xx,dc=xx,dc=xx'<BR>
&gt; &gt; &quot;(&amp;(objectclass=*)(cn=a000590))&quot; | grep -i memberof returns a list of<BR>
&gt; &gt; groups, however _not_ aapp.<BR>
&gt; &gt;<BR>
&gt; &gt; So, the &quot;groupobject&quot; lists a000590 as a memberUid, but the &quot;userobject&quot;<BR>
&gt; &gt; dosn't list aapp as a memberOf. First of all, is that right ?<BR>
&gt; &gt;<BR>
&gt;<BR>
&gt; 'memberOf' is the reverse of 'member', not of 'memberuid'. AD doesn't<BR>
&gt; create the 'memberOf' backlink for entries specified by 'memberuid'<BR>
&gt; (because 'memberuid' members are also not required to be in the central<BR>
&gt; server; they can be local accounts or accounts provided by a different<BR>
&gt; directory like NIS)<BR>
&gt;<BR>
&gt;<BR>
&gt;<BR>
&gt; &gt; Here's sssd log snippets, (tell me if you need anything else).<BR>
&gt; &gt;<BR>
&gt; &gt; (Fri Dec 10 16:38:12 2010) [sssd[be[xx]]] [sdap_parse_entry] (9):<BR>
&gt; &gt; OriginalDN: [CN=aapp,OU=Groups,DC=xx,DC=xx,DC=xx].<BR>
&gt; &gt; (Fri Dec 10 16:38:12 2010) [sssd[be[xx]]] [sdap_process_result] (8):<BR>
&gt; &gt; Trace: sh[0xae77a0], connected[1], ops[0xae80f0], ldap[0xae79c0]<BR>
&gt; &gt; (Fri Dec 10 16:38:22 2010) [sssd[be[xx]]] [sdap_save_group_send] (7):<BR>
&gt; &gt; Adding original DN [CN=aapp,OU=Groups,DC=xx,DC=xx,DC=xx] to attributes<BR>
&gt; &gt; of [aapp].<BR>
&gt; &gt; (Fri Dec 10 16:38:22 2010) [sssd[be[xx]]] [sdap_save_group_send] (6):<BR>
&gt; &gt; Storing info for group aapp<BR>
&gt; &gt; (Fri Dec 10 16:38:22 2010) [sssd[be[xx]]] [sysdb_search_entry_done] (6):<BR>
&gt; &gt; Error: Entry not Found!<BR>
&gt; &gt; (Fri Dec 10 16:38:22 2010) [sssd[be[xx]]] [sysdb_search_entry_done] (6):<BR>
&gt; &gt; Error: Entry not Found!<BR>
&gt; &gt; (Fri Dec 10 16:38:22 2010) [sssd[be[xx]]] [sdap_save_groups_loop] (9):<BR>
&gt; &gt; Group 592 processed!<BR>
&gt; &gt; (Fri Dec 10 16:39:05 2010) [sssd[be[xx]]] [sdap_save_grpmem_send] (7):<BR>
&gt; &gt; Adding member users to group [aapp]<BR>
&gt; &gt; (Fri Dec 10 16:39:05 2010) [sssd[be[xx]]] [sdap_fill_memberships] (9):<BR>
&gt; &gt; [IPA or AD Schema]<BR>
&gt; &gt; (Fri Dec 10 16:39:05 2010) [sssd[be[xx]]] [sdap_fill_memberships]<BR>
&gt; &gt; (7):&nbsp;&nbsp;&nbsp;&nbsp; member #0 (CN=xx,OU=People,DC=ad,DC=smhi,DC=se):<BR>
&gt; &gt; [name=xx,cn=users,cn=xx,cn=sysdb]<BR>
&gt; &gt; (Fri Dec 10 16:39:05 2010) [sssd[be[xx]]] [sdap_fill_memberships]<BR>
&gt; &gt; (7):&nbsp;&nbsp;&nbsp;&nbsp; member #1 (CN=xx,OU=People,DC=ad,DC=smhi,DC=se):<BR>
&gt; &gt; [name=xx,cn=users,cn=xx,cn=sysdb]<BR>
&gt; &gt; (Fri Dec 10 16:39:05 2010) [sssd[be[xx]]] [sdap_fill_memberships]<BR>
&gt; &gt; (7):&nbsp;&nbsp;&nbsp;&nbsp; member #2 (CN=xx,OU=People,DC=ad,DC=smhi,DC=se):<BR>
&gt; &gt; [name=xx,cn=users,cn=xx,cn=sysdb]<BR>
&gt; &gt; (Fri Dec 10 16:39:05 2010) [sssd[be[xx]]] [sdap_save_grpmem_send] (6):<BR>
&gt; &gt; Storing members for group aapp<BR>
&gt; &gt;<BR>
&gt; &gt; The users beeing added to the group aapp here in the log have both<BR>
&gt; &gt; 'member' and 'memberUid' attributes, does that makes sence ?<BR>
&gt; &gt;<BR>
&gt;<BR>
&gt; I'm not sure what the relevance is to that statement. If you're using<BR>
&gt; 'ldap_schema = rfc2307', then it should be adding all members that<BR>
&gt; appear as 'memberuid' in the group.<BR>
&gt;<BR>
&gt; I guess I don't understand what your question is here. It looks like<BR>
&gt; things are behaving as expected.<BR>
&gt;<BR>
&gt; - --<BR>
&gt; Stephen Gallagher<BR>
&gt; RHCE 804006346421761<BR>
&gt;<BR>
&gt; Delivering value year after year.<BR>
&gt; Red Hat ranks #1 in value among software vendors.<BR>
&gt; <A HREF="http://www.redhat.com/promo/vendor/">http://www.redhat.com/promo/vendor/</A><BR>
&gt; -----BEGIN PGP SIGNATURE-----<BR>
&gt; Version: GnuPG v1.4.11 (GNU/Linux)<BR>
&gt; Comment: Using GnuPG with Fedora - <A HREF="http://enigmail.mozdev.org/">http://enigmail.mozdev.org/</A><BR>
&gt;<BR>
&gt; iEYEARECAAYFAk0CYUYACgkQeiVVYja6o6Ov2wCfVRkI07wxdIu7puLxAXkse5RP<BR>
&gt; b4oAnRaOFSPSdXh+WBzHNdDn+Ws+aecx<BR>
&gt; =7Dz5<BR>
&gt; -----END PGP SIGNATURE-----<BR>
<BR>
</FONT>
</P>

</BODY>
</HTML>