<div dir="ltr"><div><div>I have an LDAP server that is configured to serve up groups, and only groups, using the rfc2307 schema.  I have available to me a separate ldap authentication server.  I want sssd to get identity information from both sources.  It is not possible to just put the groups into the existing server, as &quot;they&quot; will not grant me write access nor will they agree to manage the groups.  <br>
<br></div><div>sssd.conf is set up with two domains.  The first (ldapr) is both auth and id provider.  The second (groupldap) is simply an id provider (with auth_provider=none).  <br><br></div><div>The problem is that initgroups() only seems to be running for the first domain.<br>
<br></div><div>In the first domain, gidNumber = uidNumber but there is no group with this gidNumber.<br><br></div><div>The groupldap DOES have a group with this gidNumber.  It is successfully obtained with the nss_cmd_getgrgid_search call before the initgroups call finishes for USERNAME@ldapr.<br>
<br></div><div>The information flow is basically:<br></div><div>Issue initgroups for ALL<br></div><div>begin initgroups for ldapr<br></div><div>get missing information from groupldap<br></div><div>complete initgroups for ldapr<br>
<br></div><div>Here, it seems to me that it should continue with an initgroups for groupldap.  It does not.  <br></div><div><br></div><div>There are other groups on groupldap that have memberUid=USERNAME.  There is never any search for groups with memberUid=USERNAME coming from the server (in the logs on the ldap server, or in the sssd logs), and initgroups is never called on the second domain (groupldap).  <br>
<br></div><div>To make things more confusing, if I:<br>getent -s sss group SOMEGROUP<br>I get:<br></div><div>SOMEGROUP:*:12345:USERNAME:otheruser:...<br></div><div><br></div><div>where SOMEGROUP is a posixGroup on groupldap.<br>
</div><div><br></div><div>So, it CAN get the group information from the groupldap domain, but it doesn&#39;t. <br></div><div><br></div><div>Is this a bug, or the expected behavior?  If this is expected, how do you get it to search both?  <br>
<br></div><div>Any help would be greatly appreciated.<br><br></div><div>-Zach<br></div><div><br></div></div></div>