<!DOCTYPE HTML PUBLIC "-//W3C//DTD HTML 4.01 Transitional//EN">
<html>
  <head>
    <meta content="text/html; charset=UTF-8" http-equiv="Content-Type">
  </head>
  <body bgcolor="#ffffff" text="#000066">
    <br>
    <blockquote
      cite="mid:20110817164923.GC15002@zeppelin.brq.redhat.com"
      type="cite">
      <pre wrap="">
Let's identify it and get it filed.

Can you paste the relevant part of your config file? Feel free to
sanitize sensitive parts like hostnames, etc. What is the desired order
of resolving? SRV first, then hardcoded host name?
</pre>
    </blockquote>
    <br>
    Ok, I can not replicate the problem - my bad. However I have
    discovered something else. When doing the SRV lookup, a multiple
    servers are returned. It would be good if we prefer the one in the
    same subnet (i.e. something like DC locator function in Samba). Now
    what happens is, that a server on a different continent is happily
    used which is probably not a best thing to do...<br>
    <br>
    <blockquote
      cite="mid:20110817164923.GC15002@zeppelin.brq.redhat.com"
      type="cite">
      <pre wrap="">Please note that the difference in requiring the realm in the LDAP and
Kerberos providers in tracked by <a class="moz-txt-link-freetext" href="https://fedorahosted.org/sssd/ticket/570">https://fedorahosted.org/sssd/ticket/570</a>
which is currently deferred, but maybe it is time to reconsider it given
it is confusing our users.

</pre>
      <br>
    </blockquote>
    Yes, it is quite confusing to me.....<br>
    <blockquote
      cite="mid:20110817164923.GC15002@zeppelin.brq.redhat.com"
      type="cite">
      <pre wrap="">Given the TXT realm discovery can potentionally be dangerous, I think it
needs to be explicitly turned on by specifying 'krb5_realm = _txt_'
similar to how can one specify SRV lookups.
</pre>
    </blockquote>
    <br>
    No, I did not mean realm discovery using TXT records, I mean simply
    assuming that dns_discovery_domain = realm. I believe it is safe to
    assume this (at least in both IPA and Active Directory domains). See
    my setup:<br>
    <br>
    <tt>[domain/default]<br>
      ldap_id_use_start_tls = False<br>
      ldap_search_base = dc=dublin,dc=ad,dc=s3group,dc=com<br>
      id_provider = ldap<br>
      auth_provider = krb5<br>
      chpass_provider = krb5<br>
      cache_credentials = True<br>
      ldap_sasl_authid = <a class="moz-txt-link-abbreviated" href="mailto:draco$@DUBLIN.AD.S3GROUP.COM">draco$@DUBLIN.AD.S3GROUP.COM</a><br>
      dns_discovery_domain = dublin.ad.s3group.com<br>
      krb5_realm = DUBLIN.AD.S3GROUP.COM<br>
      ldap_sasl_mech = GSSAPI<br>
      ldap_user_object_class = user<br>
      ldap_group_object_class = group<br>
      ldap_tls_cacertdir = /etc/openldap/cacerts<br>
      ldap_schema = rfc2307bis<br>
    </tt><br>
    It should not be necessary to specify krb5_realm. Let's assume
    krb5_realm = dns_discovery_domain (if not specified explicitly of
    course). What do you think?<br>
    <br>
    Thanks,<br>
    Ondrej<br>
  <BR><HR>
The information contained in this e-mail and in any attachments is confidential and is designated solely for the attention of the intended recipient(s). If you are not an intended recipient, you must not use, disclose, copy, distribute or retain this e-mail or any part thereof. If you have received this e-mail in error, please notify the sender by return e-mail and delete all copies of this e-mail from your computer system(s).
Please direct any additional queries to: communications@s3group.com.
Thank You.
Silicon and Software Systems Limited (S3 Group). Registered in Ireland no. 378073.
Registered Office: South County Business Park, Leopardstown, Dublin 18
<BR><HR><BR></body>
</html>