Simo,<br><br>What surprised me was that it also works for sudo rules that are delivered via LDAP.<br>We don&#39;t have a local sudoers file, but all sudo rules are in LDAP. <br><br>Which means, that when a users logs in on the system, the sudo rules for that user must be cached also by SSSD. <br>

<br><br>cheers,<br>Andy<br><br><div class="gmail_quote">2011/4/29 Simo Sorce <span dir="ltr">&lt;<a href="mailto:ssorce@redhat.com">ssorce@redhat.com</a>&gt;</span><br><blockquote class="gmail_quote" style="margin:0 0 0 .8ex;border-left:1px #ccc solid;padding-left:1ex;">

<div><div></div><div class="h5">On Fri, 2011-04-29 at 09:47 +0200, Andy Kannberg wrote:<br>
&gt; Hi all,<br>
&gt;<br>
&gt; Currently, we run SSSD on a RHEL5 update 4 box. SSSD version is 1.2.1.<br>
&gt; For the main purpose we need it, caching credentials, it works like a<br>
&gt; charm.<br>
&gt; Now, we have a custom compiled sudo version (sudo 1.6) which does<br>
&gt; query LDAP for the sudo rules.<br>
&gt;<br>
&gt;  I was testing if sudo still worked while using cached credentials.<br>
&gt; (Which is one of the requirements of the project, as users are not<br>
&gt; allowed root access)<br>
&gt; and it did work. I simply pulled the network cable out of the network<br>
&gt; interface, rebooted the machine, logged in with cached credentials and<br>
&gt; tried a sudo su - (Which I am allowed to do). And it worked. Is this<br>
&gt; intended behaviour, am I looking at the wrong things or did I discover<br>
&gt; a &#39;hidden feature/anomaly&#39;due to the custom sudo version ?<br>
&gt;<br>
&gt; I tried searching on sudo and sssd with google, I only read articles<br>
&gt; that sudo and sssd are not integrated yet(but in the works), so I am<br>
&gt; wondering how this works.<br>
<br>
</div></div>Andy,<br>
sssd will allow authentication through PAM for any process, sudo<br>
included, and, if offline, it will allow authentication through offlined<br>
credentials.<br>
<br>
If you have NOPASSWD set in your sudo configuration for the su - command<br>
it won&#39;t ask you a password nor talk with any other component of the<br>
box.<br>
If you don&#39;t have NOPASSWD then it will ask for your normal user<br>
password and go through the PAM stack to sssd_pam, which may allow you<br>
to authenticate through offline credentials, if offline, or by doing a<br>
normal online password check.<br>
<br>
What is it that surprised you ? It looks like normal behavior to me<br>
(from the sssd pov).<br>
<br>
Simo.<br>
<font color="#888888"><br>
--<br>
Simo Sorce * Red Hat, Inc * New York<br>
<br>
_______________________________________________<br>
sssd-devel mailing list<br>
<a href="mailto:sssd-devel@lists.fedorahosted.org">sssd-devel@lists.fedorahosted.org</a><br>
<a href="https://fedorahosted.org/mailman/listinfo/sssd-devel" target="_blank">https://fedorahosted.org/mailman/listinfo/sssd-devel</a><br>
</font></blockquote></div><br>