<div>Hello, </div>
<div> </div>
<div>I was told by a user in <a href="http://linuxquestions.org">linuxquestions.org</a> to try this list for help.</div>
<div> </div>
<div>So we&#39;ve been trying to get SSSD working with AD on RHEL 6 for about a week now. we&#39;ve been trying to following <a href="http://www.redhat.com/resourcelibrary/reference-architectures/integrating-red-hat-enterprise-linux-6-with-active-directory">http://www.redhat.com/resourcelibrary/reference-architectures/integrating-red-hat-enterprise-linux-6-with-active-directory</a></div>

<div> </div>
<div>As 1.8.0-32 is part of the latest install of RHEL 6, that&#39;s the version we need to use. </div>
<div><br>We can get configuration number 6.4 kerboros/ldap working just fine and SSH with that, but we want option 6.3 SSSD/kerboros/ldap for the caching features. <br><br>When 6.3 option is enabled, we can do a ldapsearch just fine with<br>
ldapsearch -Y GSSAPI -N &quot;(sAMAccountName=username)&quot;<br><br>It&#39;s when we try to SSH on the server is when we are unable to get it to work. We do ssh -vvvv username@servername and get a permission denied when we do the password<br>
<br>In /var/log/messages we get:<br>GSSAPI Error: Unspecified GSS failure. Minor code may prove more information (Matching credential not found)<br><br>In /var/log/secure, we get:<br>Invalid user username from ipaddress<br>
input_userauth_request: invalid user username<br>pam_unix(sshd:auth): check pass; user unknown<br>pam_unix(sshd:auth: authentication failure; logname= uid=0 euid=0 tty=ssh ruser= rhost=servername<br>pam_succeed_if(sshd:auth): error retriving information about user username<br>
Failed password for invalid user username from ipaddress port portid SSH2<br><br>Here is the /var/sssd/sssd.conf file:<br>[sssd]<br>services = nss, pam<br>config_file_version = 2<br>debug_level = 9<br>domains = default<br>
<br>[nss]<br><br>[pam]<br><br>[domain/default]</div>
<div>debug_level = 9<br>enumerate = false<br>id_provider = ldap<br>chpass_provider = krb5</div>
<div>case_sensitive = false<br>ldap_uri = ldap://ldapservername.domain.domain.domain<br>ldap_search_base = dc=domain,dc=domain,dc=domain<br>ldap_user_search_base = dc=domain,dc=domain,dc=domain<br>ldap_group_search_base = dc=domain,dc=domain,dc=domain<br>
ldap_id_use_start_tls = true<br>ldap_schema = rfc2307bis<br>ldap_sasl_mech = GSSAPI<br>ldap_force_upper_case_realm = true<br>ldap_krb5_keytab = /etc/krb5.keytab<br>ldap_sasl_authid = host/servername.domain.domain.domain@DOMAIN.DOMAIN.DOMAIN<br>
<br>auth_provider = krb5<br>cache_credentials = true<br>krb5_realm = DOMAIN.DOMAIN.DOMAIN<br>krb5_server = ldapservername.DOMAIN.DOMAIN.DOMAIN<br>krb5_ccachedir = /tmp<br>krb5_auth_timeout = 15<br><br>ldap_user_object_class = user<br>
ldap_user_modify_timestamp = whenChanged<br>ldap_user_home_directory = unixHomeDirectory<br>ldap_user_princical = userPrincipalName<br>ldap_user_name = sAMAccountName<br>ldap_user_shell = loginShell<br>ldap_user_uid_number = uidNumber<br>
ldap_user_gid_number = gidNumber<br>ldap_group_object_class = group<br>ldap_group_modify_timestamp = whenChanged<br>ldap_group_name = sAMAccountName<br>ldap_group_gid_number = gidNumber<br><br>krb5_kpasswd = ldapservername.domain.domain.domain<br>
<br>access_provider = ldap<br>ldap_access_order = expire<br>ldap_account_expire_policy = ad<br>ldap_tls_cacertdir = /etc/openldap/cacerts<br>ldap_disable_referrals = true<br><br>[sudo]<br><br>[autofs]<br><br>[ssh]<br><br>
I&#39;ve tried changing around access_provider to simple or permit and it didn&#39;t work. I tried added ladp_access_filter to allow my id and tried objectClass=user and it didn&#39;t work. I modified the sssd.conf file based on another one I found at <a href="http://zews.org/rhel6-active-directory">zews.org/rhel6-active-directory</a><br>
<br>Here is the password_auth file:<br>auth required pam_env.so<br>auth sufficient <a href="http://pam.unix.so">pam.unix.so</a> nullok try_first_pass<br>auth requisite pam_succeed_if.so uid &gt;= 500 quiet<br>auth sufficient pam_sss.so use_first_pass<br>
auth required pam_deny.so<br><br>account required pam_unix.so broken_shadow<br>account sufficient pam_localuser.so<br>account sufficient pam_succeed_if.so uid &lt; 500 quiet<br>account [default=bad success=ok user_unknown=ignore] pam_sss.so<br>
account required pam_permit.so<br><br>password requisite pam_cracklib.so try_first_pass retry_3 type=<br>password sufficient pam_unix.so shadow nullok try_first_pass use_authtok<br>password sufficient pam_sss.so use_authtok<br>
password required pam_deny.so<br><br>session optional pam_keyinit.so revoke<br>session required pam_limits.so<br>session optional pam_oddjob_mkhomedir.so<br>session [success=1 default=ignore] pam_succeed_if.so service in crond quiet use_uid<br>
session required pam_unix.so<br>session optional pam_sss.so<br><br>nsswitch.conf has the following:<br>passwd: files sss<br>shadow: files sss<br>group: files sss </div>
<div> </div>
<div>ldap_child.log gives me the following:<br>[unpack_buffer] (0x1000): total buffer size 94<br>[unpack_buffer] (0x1000): realm_str size: 15<br>[unpack_buffer] (0x1000): got realm_str: DOMAIN.DOMAIN.DOMAIN<br>[unpack_buffer] (0x1000): princ_str size: 47<br>
[unpack_buffer] (0x1000): got princ_str: host/server.domain.domain.domain@DOMAIN.DOMAIN.DOMAIN<br>[unpack_buffer] (0x1000): keytab_name size = 16<br>[unpack_buffer] (0x1000): got keytab_name: /etc/krb5.keytab<br>[unpack_buffer] (0x1000): lifetime: 86400<br>
[ldap_child_get_tgt_sync] (0x0100): Principal name is: [host/server.domain.domain.domain@DOMAIN.DOMAIN.DOMAIN]<br><br>That&#39;s it. The AD side sees that we are doing the query and doesn&#39;t see anything on their end in terms of errors and such.<br>
<br>At a loss right now on what configuration we are doing wrong that works with option 6.3. We have a working key tab for kerboros. We know we can see AD with ldapsearch. We just can&#39;t get it to work with SSSD and SSH.</div>