<div dir="ltr"><div><div>Thank you for your response and I accept your explanation.<br><br>Here&#39;s why I&#39;m concerned: this particular internal site has SSH client users who will be confused by an apparent successful authentication (password accepted without feedback) followed by an abrupt, uninformative disconnect.<br>
<br></div>FYI, with the pam_ldap-185-11.el6.x86_64 based configured with the following in /etc/pam_ldap.conf on RHEL 6.4<br><br><div style="margin-left:40px"><span style="font-family:courier new,monospace">pam_groupdn cn=GoodUsers,ou=x,ou=y,o=z</span><br>
</div><br></div>and the same sshd package, I get the following when the test group isn&#39;t available in the LDAP tree:<br><br><div><div><div>[test-client Desktop]$ ssh test-server<br><b>You must be a member of cn=GoodUsers,ou=x,ou=y,o=z to login.</b><br>
Connection closed by 111.222.123.45<br>[test-client Desktop]$ <br><br></div><div>But when /etc/security/access.conf is configured with precedence in /etc/pam.d/ files, the disconnect is also abrupt like SSS.<br><br></div>
</div></div></div><div class="gmail_extra"><br><br><div class="gmail_quote">On Mon, Aug 19, 2013 at 8:23 AM, Simo Sorce <span dir="ltr">&lt;<a href="mailto:simo@redhat.com" target="_blank">simo@redhat.com</a>&gt;</span> wrote:<br>
<blockquote class="gmail_quote" style="margin:0 0 0 .8ex;border-left:1px #ccc solid;padding-left:1ex"><div class="im">On Thu, 2013-08-15 at 12:06 -0400, Sophit4 wrote:<br>
&gt; SSH Server is running on a RHEL 6.4 system with version<br>
&gt; sssd-1.9.2-82.7.el6_4.x86_64.<br>
&gt;<br>
&gt; I&#39;m using access_provider = ldap in sssd.conf and ldap_access_filter =<br>
&gt; memberOf=cn=GoodUsers,ou=x,ou=y,o=z<br>
&gt;<br>
&gt;<br>
&gt; This is working as intended but remote ssh users not in group<br>
&gt; GoodUsers are simply disconnected with no error message after<br>
&gt; successfully authenticating via authorized_keys or LDAP password.<br>
&gt;<br>
&gt;<br>
&gt; Is there a way to better inform the end user the general reason for<br>
&gt; the disconnect?<br>
<br>
<br>
</div>I do not think SSH will allow you to do that. The author sees dropping<br>
any further communication as soon as the user is denied as a security<br>
feature I believe.<br>
<br>
They do the same on password changes.<br>
<br>
Simo.<br>
<div class="im">&gt;<br>
&gt; Current behavior:<br>
&gt;<br>
&gt;<br>
&gt; [usr1@test-client Desktop]$ ssh test-server<br>
&gt; Connection closed by 192.168.1.22<br>
&gt;<br>
&gt; [root@test-server ~]# tail -1 /var/log/secure<br>
&gt;<br>
&gt; Aug 15 11:40:20 test-server sshd[5562]: fatal: Access denied for user<br>
&gt; usr1 by PAM account configuration<br>
&gt;<br>
&gt;<br>
&gt;<br>
&gt; Thanks in advance.<br>
&gt;<br>
</div>&gt; _______________________________________________<br>
&gt; sssd-devel mailing list<br>
&gt; <a href="mailto:sssd-devel@lists.fedorahosted.org">sssd-devel@lists.fedorahosted.org</a><br>
&gt; <a href="https://lists.fedorahosted.org/mailman/listinfo/sssd-devel" target="_blank">https://lists.fedorahosted.org/mailman/listinfo/sssd-devel</a><br>
<span class="HOEnZb"><font color="#888888"><br>
<br>
--<br>
Simo Sorce * Red Hat, Inc * New York<br>
<br>
_______________________________________________<br>
sssd-devel mailing list<br>
<a href="mailto:sssd-devel@lists.fedorahosted.org">sssd-devel@lists.fedorahosted.org</a><br>
<a href="https://lists.fedorahosted.org/mailman/listinfo/sssd-devel" target="_blank">https://lists.fedorahosted.org/mailman/listinfo/sssd-devel</a><br>
</font></span></blockquote></div><br></div>