<div dir="ltr"><br><div class="gmail_extra"><br><br><div class="gmail_quote">2013/10/17 Lukas Slebodnik <span dir="ltr">&lt;<a href="mailto:lslebodn@redhat.com" target="_blank">lslebodn@redhat.com</a>&gt;</span><br><blockquote class="gmail_quote" style="margin:0px 0px 0px 0.8ex;border-left-width:1px;border-left-color:rgb(204,204,204);border-left-style:solid;padding-left:1ex">
<div class=""><div class="h5">On (17/10/13 13:59), Benjamin Franzke wrote:<br>
&gt;2013/10/17 Stephen Gallagher &lt;<a href="mailto:sgallagh@redhat.com">sgallagh@redhat.com</a>&gt;<br>
&gt;<br>
&gt;&gt; -----BEGIN PGP SIGNED MESSAGE-----<br>
&gt;&gt; Hash: SHA1<br>
&gt;&gt;<br>
&gt;&gt; On 10/17/2013 07:35 AM, Benjamin Franzke wrote:<br>
&gt;&gt; &gt; Hi list,<br>
&gt;&gt; &gt;<br>
&gt;&gt; &gt; I&#39;ve tried to use sssd with heimdal, there were some fixes to be<br>
&gt;&gt; &gt; done. Are you intrested in reviewing and integrating them?<br>
&gt;&gt; &gt;<br>
&gt;&gt; &gt; They are available at: <a href="https://git.bnfr.net/sssd/log/?h=heimdal-1" target="_blank">https://git.bnfr.net/sssd/log/?h=heimdal-1</a><br>
&gt;&gt; &gt; Note: They are on top of other build fixes i&#39;ve send to the list<br>
&gt;&gt; &gt; (but thats visible in the log).<br>
&gt;&gt; &gt;<br>
&gt;&gt; &gt; This compiles without warnings and passes all make tests. Actually<br>
&gt;&gt; &gt; i&#39;ve added alternatives for deprecated (in terms of heimdal)<br>
&gt;&gt; &gt; kerberos functions to avoid warnings there.<br>
&gt;&gt; &gt;<br>
&gt;&gt; &gt; I&#39;ve tested this in a samba 4 environment (with the sssd-ad<br>
&gt;&gt; &gt; module).<br>
&gt;&gt; &gt;<br>
&gt;&gt;<br>
&gt;&gt; Just for the record, Heimdal support has come up before. Historically,<br>
&gt;&gt; our answer has been this: &quot;SSSD upstream does not officially support<br>
&gt;&gt; using SSSD with Heimdal. This is because the SSSD upstream works<br>
&gt;&gt; closely with the MIT Kerberos upstream to have features that we need<br>
&gt;&gt; incorporated there.&quot;<br>
&gt;&gt;<br>
&gt;&gt; In the past, we&#39;ve allowed the community to contribute patches to work<br>
&gt;&gt; with Heimdal because there are some platforms out there that seem to<br>
&gt;&gt; prefer it, but the people who have contributed this have a habit of<br>
&gt;&gt; disappearing. We&#39;ve always held to the idea that it&#39;s not the<br>
&gt;&gt; responsibility of the core upstream to maintain the Heimdal patches.<br>
&gt;&gt;<br>
&gt;&gt; As move further along and the IPA and AD providers rely on<br>
&gt;&gt; ever-increasing MIT-specific features, I think the value of supporting<br>
&gt;&gt; Heimdal at all upstream continues to decrease.<br>
&gt;&gt;<br>
&gt;&gt; I&#39;d honestly prefer to propose that SSSD drops its Heimdal support<br>
&gt;&gt; entirely and stop giving the impression that it might work. If we<br>
&gt;&gt; don&#39;t do this, a secondary option would be to add a new configure flag<br>
&gt;&gt; for Heimdal usage that makes it clear that Heimdal support is largely<br>
&gt;&gt; incomplete.<br>
&gt;&gt;<br>
&gt;&gt;<br>
&gt;&gt; I&#39;d honestly be more interested in taking a samba-like approach here<br>
&gt;&gt; and making it possible to statically build-in a copy of MIT Kerberos<br>
&gt;&gt; for those platforms that only have Heimdal (such as the BSDs), since<br>
&gt;&gt; this would allow those platforms to enjoy all of the advance<br>
&gt;&gt; functionality that SSSD-with-MIT can offer (such as FreeIPA<br>
&gt;&gt; cross-realm trusts).<br>
&gt;&gt;<br>
&gt;&gt;<br>
&gt;&gt; Benjamin: Please do not take this as an attack on you. This is a<br>
&gt;&gt; long-standing issue upstream and one that just keeps coming up.<br>
&gt;&gt;<br>
&gt;<br>
&gt;No problem ;) I understand that position.<br>
&gt;My main motivation was to be able to build it on my<br>
&gt;main machine (gentoo) where i have samba4 installed as well.<br>
&gt;So that i can read the sssd man pages here.<br>
&gt;<br>
&gt;Also I think that if you dont want to support heimdal, maybe there should<br>
&gt;be a configure check<br>
&gt;that errors out if people try to compile against heimdal.<br>
&gt;<br>
&gt;<br>
</div></div>Or you can try to update samba4 portage with possibility to compile<br>
with MIT krb5 :-)<br></blockquote><div><br></div><div>Yes, with samba4 client side, but I wanted DC support, and updating heimdal support in sssd was easier than trying to do this:</div><div> <a href="http://gitweb.samba.org/?p=samba.git;a=blob;f=source4/auth/kerberos/kerberos-porting-to-mit-notes.txt">http://gitweb.samba.org/?p=samba.git;a=blob;f=source4/auth/kerberos/kerberos-porting-to-mit-notes.txt</a></div>
<blockquote class="gmail_quote" style="margin:0px 0px 0px 0.8ex;border-left-width:1px;border-left-color:rgb(204,204,204);border-left-style:solid;padding-left:1ex">
<span class=""><font color="#888888"><br>
LS<br>
</font></span><div class=""><div class="h5">_______________________________________________<br>
sssd-devel mailing list<br>
<a href="mailto:sssd-devel@lists.fedorahosted.org">sssd-devel@lists.fedorahosted.org</a><br>
<a href="https://lists.fedorahosted.org/mailman/listinfo/sssd-devel" target="_blank">https://lists.fedorahosted.org/mailman/listinfo/sssd-devel</a><br>
</div></div></blockquote></div><br></div></div>