<html xmlns:v="urn:schemas-microsoft-com:vml" xmlns:o="urn:schemas-microsoft-com:office:office" xmlns:w="urn:schemas-microsoft-com:office:word" xmlns:m="http://schemas.microsoft.com/office/2004/12/omml" xmlns="http://www.w3.org/TR/REC-html40">
<head>
<meta http-equiv="Content-Type" content="text/html; charset=us-ascii">
<meta name="Generator" content="Microsoft Word 12 (filtered medium)">
<style><!--
/* Font Definitions */
@font-face
        {font-family:"Cambria Math";
        panose-1:2 4 5 3 5 4 6 3 2 4;}
@font-face
        {font-family:Calibri;
        panose-1:2 15 5 2 2 2 4 3 2 4;}
/* Style Definitions */
p.MsoNormal, li.MsoNormal, div.MsoNormal
        {margin:0cm;
        margin-bottom:.0001pt;
        font-size:11.0pt;
        font-family:"Calibri","sans-serif";}
a:link, span.MsoHyperlink
        {mso-style-priority:99;
        color:blue;
        text-decoration:underline;}
a:visited, span.MsoHyperlinkFollowed
        {mso-style-priority:99;
        color:purple;
        text-decoration:underline;}
span.EmailStyle17
        {mso-style-type:personal-compose;
        font-family:"Calibri","sans-serif";
        color:windowtext;}
.MsoChpDefault
        {mso-style-type:export-only;}
@page WordSection1
        {size:612.0pt 792.0pt;
        margin:72.0pt 72.0pt 72.0pt 72.0pt;}
div.WordSection1
        {page:WordSection1;}
--></style><!--[if gte mso 9]><xml>
<o:shapedefaults v:ext="edit" spidmax="1026" />
</xml><![endif]--><!--[if gte mso 9]><xml>
<o:shapelayout v:ext="edit">
<o:idmap v:ext="edit" data="1" />
</o:shapelayout></xml><![endif]-->
</head>
<body lang="EN-AU" link="blue" vlink="purple">
<div class="WordSection1">
<p class="MsoNormal">Hi All,<o:p></o:p></p>
<p class="MsoNormal">&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp; I&#8217;m after some help tracking this problem down. I am seeing this from a few different OSes all with the same AD realm: CentOS 6.4, SLES 11SP3 and opensuse 13.1 all of which run sssd 1.9.x and SLES 11 SP2 running sssd 1.5.11.
 The ldap side of things seems to be working OK as getent passwd is returning what I expect. The kerberos side of things is not, although kinit as a user works:<o:p></o:p></p>
<p class="MsoNormal"><o:p>&nbsp;</o:p></p>
<p class="MsoNormal">client:/var/log/sssd # kinit user<o:p></o:p></p>
<p class="MsoNormal">Password for user@DOM.COMPANY.COM:<o:p></o:p></p>
<p class="MsoNormal">client:/var/log/sssd #<o:p></o:p></p>
<p class="MsoNormal"><o:p>&nbsp;</o:p></p>
<p class="MsoNormal">It looks like the realm is being truncated somehow so DOM.COMPANY.COM is getting truncated to COMPANY.COM for the kerberos lookups. I see this in the krb5_child.log file:<o:p></o:p></p>
<p class="MsoNormal"><o:p>&nbsp;</o:p></p>
<p class="MsoNormal">(Thu Nov 28 18:17:38 2013) [[sssd[krb5_child[24911]]]] [main] (0x0400): krb5_child started.<o:p></o:p></p>
<p class="MsoNormal">(Thu Nov 28 18:17:38 2013) [[sssd[krb5_child[24911]]]] [unpack_buffer] (0x1000): total buffer size: [104]<o:p></o:p></p>
<p class="MsoNormal">(Thu Nov 28 18:17:38 2013) [[sssd[krb5_child[24911]]]] [unpack_buffer] (0x0100): cmd [241] uid [67657] gid [67657] validate [false] offline [false]<o:p></o:p></p>
<p class="MsoNormal">UPN [user@COMPANY.COM]<o:p></o:p></p>
<p class="MsoNormal">(Thu Nov 28 18:17:38 2013) [[sssd[krb5_child[24911]]]] [unpack_buffer] (0x0100): ccname: [FILE:/tmp/krb5cc_67657_XXXXXX] keytab: [/etc/krb5.keytab]<o:p></o:p></p>
<p class="MsoNormal">(Thu Nov 28 18:17:38 2013) [[sssd[krb5_child[24911]]]] [krb5_child_setup] (0x0400): Will perform online auth<o:p></o:p></p>
<p class="MsoNormal">(Thu Nov 28 18:17:38 2013) [[sssd[krb5_child[24911]]]] [sss_child_set_krb5_tracing] (0x0100): krb5 tracing is not available<o:p></o:p></p>
<p class="MsoNormal">(Thu Nov 28 18:17:38 2013) [[sssd[krb5_child[24911]]]] [krb5_child_setup] (0x0100): Cannot read [SSSD_KRB5_RENEWABLE_LIFETIME] from environment.<o:p></o:p></p>
<p class="MsoNormal">(Thu Nov 28 18:17:38 2013) [[sssd[krb5_child[24911]]]] [krb5_child_setup] (0x0100): Cannot read [SSSD_KRB5_LIFETIME] from environment.<o:p></o:p></p>
<p class="MsoNormal">(Thu Nov 28 18:17:38 2013) [[sssd[krb5_child[24911]]]] [krb5_set_canonicalize] (0x0100): SSSD_KRB5_CANONICALIZE is set to [false]<o:p></o:p></p>
<p class="MsoNormal">(Thu Nov 28 18:17:38 2013) [[sssd[krb5_child[24911]]]] [sss_krb5_get_init_creds_opt_set_canonicalize] (0x0040): Kerberos principal canonicalization<o:p></o:p></p>
<p class="MsoNormal">is not available!<o:p></o:p></p>
<p class="MsoNormal">(Thu Nov 28 18:17:38 2013) [[sssd[krb5_child[24911]]]] [krb5_child_setup] (0x0100): Not using FAST.<o:p></o:p></p>
<p class="MsoNormal">(Thu Nov 28 18:17:38 2013) [[sssd[krb5_child[24911]]]] [tgt_req_child] (0x1000): Attempting to get a TGT<o:p></o:p></p>
<p class="MsoNormal">(Thu Nov 28 18:17:38 2013) [[sssd[krb5_child[24911]]]] [sss_krb5_get_init_creds_opt_set_expire_callback] (0x0200): krb5_get_init_creds_opt_set_expi<o:p></o:p></p>
<p class="MsoNormal">re_callback not available.<o:p></o:p></p>
<p class="MsoNormal">(Thu Nov 28 18:17:38 2013) [[sssd[krb5_child[24911]]]] [get_and_save_tgt] (0x0400): Attempting kinit for realm [COMPANY.COM]<o:p></o:p></p>
<p class="MsoNormal">(Thu Nov 28 18:17:38 2013) [[sssd[krb5_child[24911]]]] [get_and_save_tgt] (0x0020): 977: [-1765328230][Cannot find KDC for requested realm]<o:p></o:p></p>
<p class="MsoNormal">(Thu Nov 28 18:17:38 2013) [[sssd[krb5_child[24911]]]] [kerr_handle_error] (0x0020): 1030: [-1765328230][Cannot find KDC for requested realm]<o:p></o:p></p>
<p class="MsoNormal">(Thu Nov 28 18:17:38 2013) [[sssd[krb5_child[24911]]]] [prepare_response_message] (0x0400): Building response for result [-1765328230]<o:p></o:p></p>
<p class="MsoNormal">(Thu Nov 28 18:17:38 2013) [[sssd[krb5_child[24911]]]] [pack_response_packet] (0x2000): response packet size: [48]<o:p></o:p></p>
<p class="MsoNormal">(Thu Nov 28 18:17:38 2013) [[sssd[krb5_child[24911]]]] [sendresponse] (0x4000): Response sent.<o:p></o:p></p>
<p class="MsoNormal">(Thu Nov 28 18:17:38 2013) [[sssd[krb5_child[24911]]]] [main] (0x0400): krb5_child completed successfully<o:p></o:p></p>
<p class="MsoNormal"><o:p>&nbsp;</o:p></p>
<p class="MsoNormal">sssd.conf:<o:p></o:p></p>
<p class="MsoNormal">[sssd]<o:p></o:p></p>
<p class="MsoNormal">config_file_version = 2<o:p></o:p></p>
<p class="MsoNormal">debug_level = 10<o:p></o:p></p>
<p class="MsoNormal">reconnection_retries = 3<o:p></o:p></p>
<p class="MsoNormal">sbus_timeout = 30<o:p></o:p></p>
<p class="MsoNormal">services = nss,pam<o:p></o:p></p>
<p class="MsoNormal">domains = DOM.COMPANY.COM<o:p></o:p></p>
<p class="MsoNormal"><o:p>&nbsp;</o:p></p>
<p class="MsoNormal">[nss]<o:p></o:p></p>
<p class="MsoNormal">filter_groups = root<o:p></o:p></p>
<p class="MsoNormal">filter_users = root<o:p></o:p></p>
<p class="MsoNormal">reconnection_retries = 3<o:p></o:p></p>
<p class="MsoNormal"><o:p>&nbsp;</o:p></p>
<p class="MsoNormal">[pam]<o:p></o:p></p>
<p class="MsoNormal">reconnection_retries = 3<o:p></o:p></p>
<p class="MsoNormal">debug_level = 10<o:p></o:p></p>
<p class="MsoNormal">offline_credentials_expiration = 3<o:p></o:p></p>
<p class="MsoNormal"><o:p>&nbsp;</o:p></p>
<p class="MsoNormal">[domain/DOM.COMPANY.COM]<o:p></o:p></p>
<p class="MsoNormal">debug_level = 10<o:p></o:p></p>
<p class="MsoNormal">filter_groups = root<o:p></o:p></p>
<p class="MsoNormal">filter_users = root<o:p></o:p></p>
<p class="MsoNormal">description = LDAP domain with AD server<o:p></o:p></p>
<p class="MsoNormal">cache_credentials = false<o:p></o:p></p>
<p class="MsoNormal">enumerate = false<o:p></o:p></p>
<p class="MsoNormal">min_id = 65537<o:p></o:p></p>
<p class="MsoNormal">ldap_uri = ldap://dc1.dom.comany.com<o:p></o:p></p>
<p class="MsoNormal">ldap_sasl_mech = GSSAPI<o:p></o:p></p>
<p class="MsoNormal">ldap_krb5_keytab = /etc/krb5.keytab<o:p></o:p></p>
<p class="MsoNormal">ldap_sasl_authid = CLIENT$@DOM.COMPANY.COM<o:p></o:p></p>
<p class="MsoNormal">ldap_search_base = dc=dom,dc=company,dc=com<o:p></o:p></p>
<p class="MsoNormal">ldap_schema = rfc2307bis<o:p></o:p></p>
<p class="MsoNormal">id_provider = ldap<o:p></o:p></p>
<p class="MsoNormal">ldap_user_search_base = ou=People,dc=dom,dc=company,dc=com<o:p></o:p></p>
<p class="MsoNormal">ldap_group_search_base = ou=Groups,dc=dom,dc=company,dc=com<o:p></o:p></p>
<p class="MsoNormal">ldap_group_name = msSFU30Name<o:p></o:p></p>
<p class="MsoNormal">ldap_group_nesting_level = 5<o:p></o:p></p>
<p class="MsoNormal">ldap_user_object_class = user<o:p></o:p></p>
<p class="MsoNormal">ldap_user_home_directory = unixHomeDirectory<o:p></o:p></p>
<p class="MsoNormal">ldap_user_principal = userPrincipalName<o:p></o:p></p>
<p class="MsoNormal">ldap_group_object_class = group<o:p></o:p></p>
<p class="MsoNormal">ldap_force_upper_case_realm = true<o:p></o:p></p>
<p class="MsoNormal">auth_provider = krb5<o:p></o:p></p>
<p class="MsoNormal">krb5_realm = DOM.COMPANY.COM<o:p></o:p></p>
<p class="MsoNormal">krb5_server = dc.dom.company.com<o:p></o:p></p>
<p class="MsoNormal"><o:p>&nbsp;</o:p></p>
<p class="MsoNormal"><o:p>&nbsp;</o:p></p>
<p class="MsoNormal">krb5.conf:<o:p></o:p></p>
<p class="MsoNormal">[libdefaults]<o:p></o:p></p>
<p class="MsoNormal">&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp; clockskew = 300<o:p></o:p></p>
<p class="MsoNormal">&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp; default_realm = DOM.COMPANY.COM<o:p></o:p></p>
<p class="MsoNormal">&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp; dns_lookup_realm = false<o:p></o:p></p>
<p class="MsoNormal">&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp; dns_lookup_kdc = false<o:p></o:p></p>
<p class="MsoNormal">&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp; ticket_lifetime = 24h<o:p></o:p></p>
<p class="MsoNormal">&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp; renew_lifetime = 7d<o:p></o:p></p>
<p class="MsoNormal">&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp; forwardable = true<o:p></o:p></p>
<p class="MsoNormal">&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp; default_tgs_enctypes = RC4-HMAC DES-CBC-CRC DES-CBC-MD5<o:p></o:p></p>
<p class="MsoNormal">&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp; default_tkt_enctypes = RC4-HMAC DES-CBC-CRC DES-CBC-MD5<o:p></o:p></p>
<p class="MsoNormal">&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp; preferred_enctypes = RC4-HMAC DES-CBC-MD5 DES-CBC-CRC<o:p></o:p></p>
<p class="MsoNormal"><o:p>&nbsp;</o:p></p>
<p class="MsoNormal">[realms]<o:p></o:p></p>
<p class="MsoNormal">&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp; DOM.COMPANY.COM = {<o:p></o:p></p>
<p class="MsoNormal">&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp; default_domain = dom.company.com<o:p></o:p></p>
<p class="MsoNormal">&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp; admin_server = dc1.dom.company.com<o:p></o:p></p>
<p class="MsoNormal">&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp; kpasswd_server = dc1.dom.company.com<o:p></o:p></p>
<p class="MsoNormal">&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp; kdc = dc1.dom.company.com<o:p></o:p></p>
<p class="MsoNormal">&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp; }<o:p></o:p></p>
<p class="MsoNormal"><o:p>&nbsp;</o:p></p>
<p class="MsoNormal">[domain_realm]<o:p></o:p></p>
<p class="MsoNormal">&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp; .dom.company.com = DOM.COMPANY.COM<o:p></o:p></p>
<p class="MsoNormal">&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp; dom.company.com = DOM.COMPANY.COM<o:p></o:p></p>
<p class="MsoNormal"><o:p>&nbsp;</o:p></p>
<p class="MsoNormal">[logging]<o:p></o:p></p>
<p class="MsoNormal">&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp; default = SYSLOG:NOTICE:DAEMON<o:p></o:p></p>
<p class="MsoNormal"><o:p>&nbsp;</o:p></p>
<p class="MsoNormal">[appdefaults]<o:p></o:p></p>
<p class="MsoNormal">&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp; pam = {<o:p></o:p></p>
<p class="MsoNormal">&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp; ticket_lifetime = 1d<o:p></o:p></p>
<p class="MsoNormal">&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp; renew_lifetime = 1d<o:p></o:p></p>
<p class="MsoNormal">&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp; forwardable = true<o:p></o:p></p>
<p class="MsoNormal">&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp; debug = true<o:p></o:p></p>
<p class="MsoNormal">&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp; krb4_convert = false<o:p></o:p></p>
<p class="MsoNormal">&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp; }<o:p></o:p></p>
<p class="MsoNormal"><o:p>&nbsp;</o:p></p>
</div>
</body>
</html>