<br>After a discussion between my mentor, we decided to support the NOPASSWD option. We are planning to delay the pam authentication after the evaluation of sudo rules.<br><div class="gmail_quote">On Thu, Jul 28, 2011 at 7:31 PM, Gowrishankar Rajaiyan <span dir="ltr">&lt;<a href="mailto:gsr@redhat.com">gsr@redhat.com</a>&gt;</span> wrote:<br>
<blockquote class="gmail_quote" style="margin:0 0 0 .8ex;border-left:1px #ccc solid;padding-left:1ex;"><div class="im">On 07/28/2011 06:58 PM, arun scaria wrote:<br>
&gt;<br>
&gt;<br>
&gt; On Thu, Jul 28, 2011 at 2:10 PM, Gowrishankar Rajaiyan &lt;<a href="mailto:gsr@redhat.com">gsr@redhat.com</a><br>
</div><div class="im">&gt; &lt;mailto:<a href="mailto:gsr@redhat.com">gsr@redhat.com</a>&gt;&gt; wrote:<br>
&gt;<br>
&gt;     On 07/28/2011 07:22 AM, arun scaria wrote:<br>
&gt;      &gt; Hi all,<br>
&gt;      &gt; I&#39;v created my write-up on SUDO responder/cache behavior at<br>
&gt;      &gt;<br>
&gt;     <a href="https://fedorahosted.org/sssd/wiki/DesignDocs/SudoSupport/SudoResponderCacheBehavior" target="_blank">https://fedorahosted.org/sssd/wiki/DesignDocs/SudoSupport/SudoResponderCacheBehavior</a>.<br>
&gt;      &gt; I&#39;d love to hear your opinion on it. Please take a review and<br>
&gt;     comment.<br>
&gt;      &gt;<br>
&gt;<br>
&gt;     One question:<br>
&gt;     How do we plan to include &quot;sudoOption=!authenticate&quot; (where<br>
&gt;     !authenticate=NOPASSWD) in a sudorule during offline?<br>
&gt;<br>
&gt; The option !authenticate is not specified anywhere in the standard sudo<br>
&gt; schema at <a href="http://www.gratisoft.us/sudo/man/1.8.1/sudoers.ldap.man.html" target="_blank">http://www.gratisoft.us/sudo/man/1.8.1/sudoers.ldap.man.html</a>.<br>
<br>
</div>If you use &quot;sudoers2ldif&quot; tool provided by the sudo package to convert<br>
an existing /etc/sudoers file to an ldif format, the &quot;!authenticate&quot;<br>
value is used.<br>
<br>
/usr/share/doc/sudo-1.7.4p5/sudoers2ldif:<br>
&lt;snip&gt;<br>
     # if NOPASSWD: directive found, mark entire entry as not requiring<br>
     s/NOPASSWD:\s*// &amp;&amp; push @options,&quot;!authenticate&quot;;<br>
     s/PASSWD:\s*// &amp;&amp; push @options,&quot;authenticate&quot;;<br>
&lt;/snip&gt;<br>
<div class="im"><br>
&gt; But this option is found in all the blogs and tutorials as the<br>
&gt; alternative to the NOPASSWD option in the sudoers file. In the current<br>
&gt; implementation of sudo plugin we are doing the  pam authentication with<br>
&gt; sudo pam config file. This is done before we query the sssd for<br>
&gt; authentication for sudo. So that the user will be requested password<br>
&gt; even if the !authenticate  sudoOption is enabled.<br>
&gt;<br>
<br>
</div>IMO expecting a password for a runasuser from a sudorule where<br>
sudoOption is set to !authenticate is not an expected behaviour.<br>
<div><div></div><div class="h5">_______________________________________________<br>
sssd-devel mailing list<br>
<a href="mailto:sssd-devel@lists.fedorahosted.org">sssd-devel@lists.fedorahosted.org</a><br>
<a href="https://fedorahosted.org/mailman/listinfo/sssd-devel" target="_blank">https://fedorahosted.org/mailman/listinfo/sssd-devel</a><br>
</div></div></blockquote></div><br><br clear="all"><br>-- <br>Arun Scaria<br>Chairman    |  MEC Association of Computer Students (MACS)<br>Junior Under Graduate, Computer Science and Engineering (2008-2012)<br>Govt. Model Engineering College<br>
Cochin-21.<br>(M) +918089528527.<br><a href="mailto:arunscaria91@gmail.com" target="_blank">arunscaria91@gmail.com</a><br><div><span style="font-family:verdana,arial;font-size:12px;line-height:16px"><a href="mailto:arunscaria@acm.org" target="_blank">arunscaria@acm.org</a><br>
<a href="mailto:arun.scaria@arbitron.com" target="_blank">arun.scaria@arbitron.com</a><br></span></div><br>