Stephen, I installed the packages you sent me. Here is the new log output:<br><br>(Thu Feb 10 14:26:30 2011) [sssd[be[default]]] [simple_bind_send] (4): Executing simple bind as: uid=testuser,ou=people,dc=mydomain,dc=com<br>
(Thu Feb 10 14:26:30 2011) [sssd[be[default]]] [simple_bind_send] (8): ldap simple bind sent, msgid = 2<br>(Thu Feb 10 14:26:30 2011) [sssd[be[default]]] [sdap_process_result] (8): Trace: sh[0x8f6900], connected[1], ops[0xe3b510], ldap[0xc3b000]<br>
(Thu Feb 10 14:26:30 2011) [sssd[be[default]]] [sdap_process_result] (4): ldap_result gave -1, something bad happened!<br>(Thu Feb 10 14:26:30 2011) [sssd[be[default]]] [sdap_process_result] (4): ldap_result failed: [(null)]<br>
(Thu Feb 10 14:26:30 2011) [sssd[be[default]]] [sdap_handle_release] (8): Trace: sh[0x8f6900], connected[1], ops[0xe3b510], ldap[0xc3b000], destructor_lock[0], release_memory[0]<br>(Thu Feb 10 14:26:30 2011) [sssd[be[default]]] [remove_connection_callback] (9): Successfully removed connection callback.<br>
<br>To get authentication to work with sssd I found that i have to edit sssd.conf in a couple of places. One, change the ldap_uri to <a href="http://ldap.mydomain.com">ldap.mydomain.com</a> and Two, change ldap_tls_reqcert to &quot;never&quot;. When ldap_tls_reqcert is set to default (hard/demand) authentication fails. I decided to tail access logs on our ldap server to look at the difference in a request from my test machine that works (over 389/ldap) and one that fails (over 686/ldaps)<br>
<br>Failed request:<br><br>[10/Feb/2011:14:23:05 -0500] conn=581553 op=9 msgId=11 - SRCH base=&quot;ou=people,dc=mydomain,dc=com&quot; scope=2 filter=&quot;(&amp;(uid=testuser)(objectClass=posixAccount))&quot; attrs=&quot;objectClass uid userPassword uidNumber gidNumber gecos homeDirectory loginShell krbprincipalname cn modifyTimestamp shadowLastChange shadowMin shadowMax shadowWarning shadowInactive shadowExpire shadowFlag krblastpwdchange krbpasswordexpiration pwdAttribute&quot;<br>
[10/Feb/2011:14:23:05 -0500] conn=581553 op=9 msgId=11 - RESULT err=0 tag=101 nentries=1 etime=0<br><br><br>Successful request:<br><br>[10/Feb/2011:14:33:43 -0500] conn=581558 op=27 msgId=29 - SRCH base=&quot;ou=people,dc=mydomain,dc=com&quot; scope=2 filter=&quot;(&amp;(uid=testuser)(objectClass=posixAccount))&quot; attrs=&quot;objectClass uid userPassword uidNumber gidNumber gecos homeDirectory loginShell krbprincipalname cn modifyTimestamp shadowLastChange shadowMin shadowMax shadowWarning shadowInactive shadowExpire shadowFlag krblastpwdchange krbpasswordexpiration pwdAttribute&quot;<br>
[10/Feb/2011:14:33:43 -0500] conn=581558 op=27 msgId=29 - RESULT err=0 tag=101 nentries=1 etime=0<br><br>The requests seem to yeild the same results so im confused as to why one is failing and the other is not.<br><br>I should note that in the ssl cert directory i am using the same cert that we use on all of the other systems in our environment (mostly RHEL5.3) and i have run cacertdir_rehash on the directory as it says in the sssd-ldap(5) man page.<br>
<br>Any suggestions? Thank you for your help so far.<br><br><br><br><div class="gmail_quote">On Thu, Feb 10, 2011 at 1:59 PM, Stephen Gallagher <span dir="ltr">&lt;<a href="mailto:sgallagh@redhat.com">sgallagh@redhat.com</a>&gt;</span> wrote:<br>
<blockquote class="gmail_quote" style="border-left: 1px solid rgb(204, 204, 204); margin: 0pt 0pt 0pt 0.8ex; padding-left: 1ex;"><div class="im">-----BEGIN PGP SIGNED MESSAGE-----<br>
Hash: SHA1<br>
<br>
</div><div class="im">On 02/10/2011 01:53 PM, sssd help wrote:<br>
&gt; Thank you for the reply Stephen. I will begin work on the build you<br>
&gt; provided.<br>
&gt;<br>
&gt; To answer your question about TLS vs SSL, we cant use TLS in our<br>
&gt; environment because of a number of tools we use that need to<br>
&gt; authenticate to ldap and do not support TLS. So for the time being LDAPS<br>
&gt; is the only way to go for us.<br>
&gt;<br>
&gt; I also didnt realize that we were using a slightly outdated version of<br>
&gt; sssd. Ill do some upgrade testing as well and let you know.<br>
&gt;<br>
&gt; Thanks again!<br>
<br>
</div>There should be no upgrade issues from 1.2.1-28 to 1.2.1-28.4. There are<br>
just a few bugfixes.<br>
<br>
I based the scratch-build I sent you on 1.2.1-28.4 (with the extra<br>
logging patch included)<br>
<br>
- --<br>
<div class="im">Stephen Gallagher<br>
RHCE 804006346421761<br>
<br>
Delivering value year after year.<br>
Red Hat ranks #1 in value among software vendors.<br>
<a href="http://www.redhat.com/promo/vendor/" target="_blank">http://www.redhat.com/promo/vendor/</a><br>
-----BEGIN PGP SIGNATURE-----<br>
Version: GnuPG v1.4.11 (GNU/Linux)<br>
Comment: Using GnuPG with Fedora - <a href="http://enigmail.mozdev.org/" target="_blank">http://enigmail.mozdev.org/</a><br>
<br>
</div>iEYEARECAAYFAk1UNZQACgkQeiVVYja6o6OFhwCgpMCAwD5LlY2gA0Aesn+mhc/M<br>
UL4An2CNSB/XbtuoEAcSkFI69eNJULzm<br>
=XaBq<br>
<div><div></div><div class="h5">-----END PGP SIGNATURE-----<br>
_______________________________________________<br>
sssd-devel mailing list<br>
<a href="mailto:sssd-devel@lists.fedorahosted.org">sssd-devel@lists.fedorahosted.org</a><br>
<a href="https://fedorahosted.org/mailman/listinfo/sssd-devel" target="_blank">https://fedorahosted.org/mailman/listinfo/sssd-devel</a><br>
</div></div></blockquote></div><br>