<div dir="ltr"><div><div><div>Hi, thanks for your reply.<br><br></div>Unfortunately, we can&#39;t upgrade the red hat version now. This decision would involve hundreds of virtual machines which run production applications. Hence it would require a long and costly impact study before upgrading.<br>
<br></div>I attached the sssd_AOP.log in its state after a &quot;service sssd start&quot; and I typed &quot;getent netgroup -s sss Linux.Global&quot;.<br><br></div>Regards<br>Mathieu<br></div><div class="gmail_extra"><br>
<br><div class="gmail_quote">2013/7/8 Jakub Hrozek <span dir="ltr">&lt;<a href="mailto:jhrozek@redhat.com" target="_blank">jhrozek@redhat.com</a>&gt;</span><br><blockquote class="gmail_quote" style="margin:0 0 0 .8ex;border-left:1px #ccc solid;padding-left:1ex">
<div class="im">On Fri, Jul 05, 2013 at 03:54:57PM +0200, Mathieu Bouillaguet wrote:<br>
&gt; Hello,<br>
&gt;<br>
&gt; We are trying to get sssd to resolv netgroups. Our goal is to be able to<br>
&gt; specify group of hosts in sudo rules. The sudo configuration is held in the<br>
&gt; Active Directory DC. The only way to do that in our environment seems to be<br>
&gt; by using host netgroups.<br>
&gt;<br>
&gt; We use Red Hat 6.2, the sssd version is 1.5.1.-66.el6.<br>
<br>
</div>Hi Mathieu,<br>
<br>
this is quite an old version, I think you should really upgrade.<br>
<div><div class="h5"><br>
&gt;<br>
&gt; We have a working configuration with auth_provider=krb5, id_provider=ldap<br>
&gt; and access_provider=ldap.<br>
&gt;<br>
&gt; In nsswitch.conf passwd, group and shadow have &quot;files sss&quot; and getent<br>
&gt; return the expected information.<br>
&gt;<br>
&gt; For netgroup, I have also put &quot;files sss&quot; but I cannot resolv any netgroup.<br>
&gt;<br>
&gt; When I type : getent netgroup -s sss &lt;NetGroup&gt;<br>
&gt; I see the following logs in sssd_nss.log :<br>
&gt;<br>
&gt; (Fri Jul  5 15:48:04 2013) [sssd[nss]] [sbus_dispatch] (9): dbus conn:<br>
&gt; 6560B0<br>
&gt; (Fri Jul  5 15:48:04 2013) [sssd[nss]] [sbus_dispatch] (9): Dispatching.<br>
&gt; (Fri Jul  5 15:48:04 2013) [sssd[nss]] [sbus_message_handler] (9): Received<br>
&gt; SBUS method [ping]<br>
&gt; (Fri Jul  5 15:48:04 2013) [sssd[nss]] [get_client_cred] (9): Client creds:<br>
&gt; euid[0] egid[0] pid[18938].<br>
&gt; (Fri Jul  5 15:48:04 2013) [sssd[nss]] [accept_fd_handler] (4): Client<br>
&gt; connected!<br>
&gt; (Fri Jul  5 15:48:04 2013) [sssd[nss]] [sss_cmd_get_version] (5): Received<br>
&gt; client version [1].<br>
&gt; (Fri Jul  5 15:48:04 2013) [sssd[nss]] [sss_cmd_get_version] (5): Offered<br>
&gt; version [1].<br>
&gt; (Fri Jul  5 15:48:04 2013) [sssd[nss]] [setnetgrent_send] (4): Requesting<br>
&gt; info for netgroup [Linux.Global] from [&lt;ALL&gt;]<br>
&gt; (Fri Jul  5 15:48:04 2013) [sssd[nss]] [sss_ncache_check_str] (8): Checking<br>
&gt; negative cache for [NCE/NETGR/LOCAL/Linux.Global]<br>
&gt; (Fri Jul  5 15:48:04 2013) [sssd[nss]] [lookup_netgr_step] (4): Requesting<br>
&gt; info for [Linux.Global@LOCAL]<br>
&gt; (Fri Jul  5 15:48:04 2013) [sssd[nss]] [ldb] (9): tevent: Added timed event<br>
&gt; &quot;ltdb_callback&quot;: 0x65dc80<br>
&gt; (Fri Jul  5 15:48:04 2013) [sssd[nss]] [ldb] (9): tevent: Added timed event<br>
&gt; &quot;ltdb_timeout&quot;: 0x652170<br>
&gt; (Fri Jul  5 15:48:04 2013) [sssd[nss]] [ldb] (9): tevent: Destroying timer<br>
&gt; event 0x652170 &quot;ltdb_timeout&quot;<br>
&gt; (Fri Jul  5 15:48:04 2013) [sssd[nss]] [ldb] (9): tevent: Ending timer<br>
&gt; event 0x65dc80 &quot;ltdb_callback&quot;<br>
&gt; (Fri Jul  5 15:48:04 2013) [sssd[nss]] [lookup_netgr_step] (2): No matching<br>
&gt; domain found for [Linux.Global], fail!<br>
&gt; (Fri Jul  5 15:48:04 2013) [sssd[nss]] [nss_cmd_setnetgrent] (0): Fatal<br>
&gt; error calling setnetgrent_send<br>
&gt; (Fri Jul  5 15:48:04 2013) [sssd[nss]] [client_recv] (5): Client<br>
&gt; disconnected!<br>
&gt; (Fri Jul  5 15:48:04 2013) [sssd[nss]] [get_client_cred] (9): Client creds:<br>
&gt; euid[0] egid[0] pid[18938].<br>
&gt; (Fri Jul  5 15:48:04 2013) [sssd[nss]] [accept_fd_handler] (4): Client<br>
&gt; connected!<br>
&gt; (Fri Jul  5 15:48:04 2013) [sssd[nss]] [sss_cmd_get_version] (5): Received<br>
&gt; client version [1].<br>
&gt; (Fri Jul  5 15:48:04 2013) [sssd[nss]] [sss_cmd_get_version] (5): Offered<br>
&gt; version [1].<br>
&gt; (Fri Jul  5 15:48:04 2013) [sssd[nss]] [client_recv] (5): Client<br>
&gt; disconnected!<br>
&gt; (Fri Jul  5 15:48:14 2013) [sssd[nss]] [sbus_dispatch] (9): dbus conn:<br>
&gt; 6560B0<br>
&gt; (Fri Jul  5 15:48:14 2013) [sssd[nss]] [sbus_dispatch] (9): Dispatching.<br>
&gt; (Fri Jul  5 15:48:14 2013) [sssd[nss]] [sbus_message_handler] (9): Received<br>
&gt; SBUS method [ping]<br>
&gt; (Fri Jul  5 15:48:24 2013) [sssd[nss]] [sbus_dispatch] (9): dbus conn:<br>
&gt; 6560B0<br>
&gt; (Fri Jul  5 15:48:24 2013) [sssd[nss]] [sbus_dispatch] (9): Dispatching.<br>
&gt; (Fri Jul  5 15:48:24 2013) [sssd[nss]] [sbus_message_handler] (9): Received<br>
&gt; SBUS method [ping]<br>
&gt;<br>
&gt; Notably, I can see that it appears as if sssd cannot find the right domain<br>
&gt; to query netgroups.<br>
&gt;<br>
<br>
</div></div>The error message actually means that the SSSD tried to search the<br>
configured domain and didn&#39;t find the netgroup. But the logs you paste<br>
are only from the nss process which doesn&#39;t actually perform the<br>
searches.<br>
<br>
Can you put debug_level=10 into the [domain] section in sssd.conf, restart<br>
the SSSD and check the /var/log/sssd/sssd_$domain.log ?<br>
_______________________________________________<br>
sssd-devel mailing list<br>
<a href="mailto:sssd-devel@lists.fedorahosted.org">sssd-devel@lists.fedorahosted.org</a><br>
<a href="https://lists.fedorahosted.org/mailman/listinfo/sssd-devel" target="_blank">https://lists.fedorahosted.org/mailman/listinfo/sssd-devel</a><br>
</blockquote></div><br></div>