<div dir="ltr"><div><div><div><div><div><div><div>Hello,<br><br></div>We are trying to setup Kerberos authentication for our linux VMs on an Active Directory.<br><br></div>We use Red Hat 6.2, the sssd version is 1.5.1.-66.el6.<br>
<br></div>getent retrieve the domain users and groups.<br><br></div>If I try to ssh into the VM I am disconnected with &quot;pam_sss(sshd:account) access denied for user&quot;. The pam authentication module succeed as seen in the log but the account management module reject me each time.<br>
<br></div>If I comment the line &quot;account [default=bad success=ok user_unknown=ignore] pam_sss.so&quot; in the /etc/pam.d/password-auth fileI can login via ssh. If I comment it in the /etc/pam.d/system-auth file I can log in locally.<br>
<br></div>I can&#39;t find the reason why this pam_sss account management module rejects me. I didn&#39;t find anything interesting in the logs. I looked in the /var/log/secure, /var/log/sssd/sssd_pam.log /var/log/sssd/sssd_<i>domain</i>.log, I even searched in the source code but to no avail.<br>
<br></div><div>In the /var/log/secure file when I try a local login, I get <br></div><div style="margin-left:40px">login: pam_unix(login:auth): authentication failure; logname=LOGIN uid=0 euid=0 tty=tty1 ruser= rhost=  user=yiqevm@AOP<br>
login: pam_sss(login:auth): authentication success; logname=LOGIN uid=0 euid=0 tty=tty1 ruser= rhost= user=yiqevm@AOP<br>login: pam_sss(login:account): Access denied for user yiqevm@AOP: 6 (Permission denied)<br>login: Permission denied<br>
<br></div>And when I try to ssh :<br><div style="margin-left:40px">sshd[8685]: pam_unix(sshd:auth): authentication failure; logname= uid=0 euid=0 tty=ssh ruser= rhost=172.34.155.223  user=yiqevm@aop<br>sshd[8685]: pam_sss(sshd:auth): authentication success; logname= uid=0 euid=0 tty=ssh ruser= rhost=172.34.155.223 user=yiqevm@aop<br>
sshd[8685]: pam_sss(sshd:account): Access denied for user yiqevm@aop: 6 (Permission denied)<br>sshd[8685]: Failed password for yiqevm@aop from 172.34.155.223 port 51922 ssh2<br>sshd[8688]: fatal: Access denied for user yiqevm@aop by PAM account configuration<br>
</div><div><div><div><br><br></div>In the sssd_domain.log I get :<br><div style="margin-left:40px">(Wed Jun 26 12:27:39 2013) [sssd[be[AOP]]] [pam_print_data] (4): command: PAM_AUTHENTICATE<br>(Wed Jun 26 12:27:39 2013) [sssd[be[AOP]]] [pam_print_data] (4): domain: AOP<br>
(Wed Jun 26 12:27:39 2013) [sssd[be[AOP]]] [pam_print_data] (4): user: yiqevm<br>(Wed Jun 26 12:27:39 2013) [sssd[be[AOP]]] [pam_print_data] (4): service: sshd<br>(Wed Jun 26 12:27:39 2013) [sssd[be[AOP]]] [pam_print_data] (4): tty: ssh<br>
(Wed Jun 26 12:27:39 2013) [sssd[be[AOP]]] [pam_print_data] (4): ruser: <br>(Wed Jun 26 12:27:39 2013) [sssd[be[AOP]]] [pam_print_data] (4): rhost: localhost<br>(Wed Jun 26 12:27:39 2013) [sssd[be[AOP]]] [pam_print_data] (4): authtok type: 1<br>
(Wed Jun 26 12:27:39 2013) [sssd[be[AOP]]] [pam_print_data] (4): authtok size: 12<br>(Wed Jun 26 12:27:39 2013) [sssd[be[AOP]]] [pam_print_data] (4): newauthtok type: 0<br>(Wed Jun 26 12:27:39 2013) [sssd[be[AOP]]] [pam_print_data] (4): newauthtok size: 0<br>
(Wed Jun 26 12:27:39 2013) [sssd[be[AOP]]] [pam_print_data] (4): priv: 0<br>(Wed Jun 26 12:27:39 2013) [sssd[be[AOP]]] [pam_print_data] (4): cli_pid: 8734<br>(Wed Jun 26 12:27:39 2013) [sssd[be[AOP]]] [check_if_ccache_file_is_used] (5): User [777778] is not active<br>
(Wed Jun 26 12:27:39 2013) [sssd[be[AOP]]] [check_for_valid_tgt] (3): TGT is valid.<br>(Wed Jun 26 12:27:39 2013) [sssd[be[AOP]]] [fo_resolve_service_send] (4): Trying to resolve service &#39;KERBEROS&#39;<br>(Wed Jun 26 12:27:39 2013) [sssd[be[AOP]]] [be_resolve_server_done] (4): Found address for server auth1.aop.chorus.aife: [172.34.154.86] TTL 3443<br>
(Wed Jun 26 12:27:39 2013) [sssd[be[AOP]]] [fo_resolve_service_send] (4): Trying to resolve service &#39;KPASSWD&#39;<br>(Wed Jun 26 12:27:39 2013) [sssd[be[AOP]]] [be_resolve_server_done] (4): Found address for server auth1.aop.chorus.aife: [172.34.154.86] TTL 3443<br>
(Wed Jun 26 12:27:39 2013) [sssd[be[AOP]]] [write_pipe_handler] (6): All data has been sent!<br>(Wed Jun 26 12:27:39 2013) [sssd[be[AOP]]] [read_pipe_handler] (6): EOF received, client finished<br>(Wed Jun 26 12:27:39 2013) [sssd[be[AOP]]] [fo_set_port_status] (4): Marking port 0 of server &#39;auth1.aop.chorus.aife&#39; as &#39;working&#39;<br>
(Wed Jun 26 12:27:39 2013) [sssd[be[AOP]]] [set_server_common_status] (4): Marking server &#39;auth1.aop.chorus.aife&#39; as &#39;working&#39;<br>(Wed Jun 26 12:27:39 2013) [sssd[be[AOP]]] [fo_set_port_status] (4): Marking port 88 of server &#39;auth1.aop.chorus.aife&#39; as &#39;working&#39;<br>
(Wed Jun 26 12:27:39 2013) [sssd[be[AOP]]] [set_server_common_status] (4): Marking server &#39;auth1.aop.chorus.aife&#39; as &#39;working&#39;<br>(Wed Jun 26 12:27:39 2013) [sssd[be[AOP]]] [be_pam_handler_callback] (4): Backend returned: (0, 0, &lt;NULL&gt;) [Success]<br>
(Wed Jun 26 12:27:39 2013) [sssd[be[AOP]]] [be_pam_handler_callback] (4): Sending result [0][AOP]<br>(Wed Jun 26 12:27:39 2013) [sssd[be[AOP]]] [be_pam_handler_callback] (4): Sent result [0][AOP]<br>(Wed Jun 26 12:27:39 2013) [sssd[be[AOP]]] [child_sig_handler] (4): child [8738] finished successfully.<br>
(Wed Jun 26 12:27:39 2013) [sssd[be[AOP]]] [be_pam_handler] (4): Got request with the following data<br>(Wed Jun 26 12:27:39 2013) [sssd[be[AOP]]] [pam_print_data] (4): command: PAM_ACCT_MGMT<br>(Wed Jun 26 12:27:39 2013) [sssd[be[AOP]]] [pam_print_data] (4): domain: AOP<br>
(Wed Jun 26 12:27:39 2013) [sssd[be[AOP]]] [pam_print_data] (4): user: yiqevm<br>(Wed Jun 26 12:27:39 2013) [sssd[be[AOP]]] [pam_print_data] (4): service: sshd<br>(Wed Jun 26 12:27:39 2013) [sssd[be[AOP]]] [pam_print_data] (4): tty: ssh<br>
(Wed Jun 26 12:27:39 2013) [sssd[be[AOP]]] [pam_print_data] (4): ruser: <br>(Wed Jun 26 12:27:39 2013) [sssd[be[AOP]]] [pam_print_data] (4): rhost: localhost<br>(Wed Jun 26 12:27:39 2013) [sssd[be[AOP]]] [pam_print_data] (4): authtok type: 0<br>
(Wed Jun 26 12:27:39 2013) [sssd[be[AOP]]] [pam_print_data] (4): authtok size: 0<br>(Wed Jun 26 12:27:39 2013) [sssd[be[AOP]]] [pam_print_data] (4): newauthtok type: 0<br>(Wed Jun 26 12:27:39 2013) [sssd[be[AOP]]] [pam_print_data] (4): newauthtok size: 0<br>
(Wed Jun 26 12:27:39 2013) [sssd[be[AOP]]] [pam_print_data] (4): priv: 0<br>(Wed Jun 26 12:27:39 2013) [sssd[be[AOP]]] [pam_print_data] (4): cli_pid: 8734<br>(Wed Jun 26 12:27:39 2013) [sssd[be[AOP]]] [write_pipe_handler] (6): All data has been sent!<br>
(Wed Jun 26 12:27:39 2013) [sssd[be[AOP]]] [read_pipe_handler] (6): EOF received, client finished<br>(Wed Jun 26 12:27:39 2013) [sssd[be[AOP]]] [be_pam_handler_callback] (4): Backend returned: (0, 6, &lt;NULL&gt;) [Success]<br>
(Wed Jun 26 12:27:39 2013) [sssd[be[AOP]]] [be_pam_handler_callback] (4): Sending result [6][AOP]<br>(Wed Jun 26 12:27:39 2013) [sssd[be[AOP]]] [be_pam_handler_callback] (4): Sent result [6][AOP]<br>(Wed Jun 26 12:27:39 2013) [sssd[be[AOP]]] [child_sig_handler] (4): child [8739] finished successfully.<br>
</div><div><br></div><div>Any help, would be appreciated.<br><br>Thanks<br></div><div><br></div></div></div></div>