<html>
<head>
<style><!--
.hmmessage P
{
margin:0px;
padding:0px
}
body.hmmessage
{
font-size: 12pt;
font-family:Calibri
}
--></style></head>
<body class='hmmessage'><div dir='ltr'><br><br><div>&gt; Date: Mon, 16 Sep 2013 15:59:09 +0200<br>&gt; From: jhrozek@redhat.com<br>&gt; To: sssd-users@lists.fedorahosted.org<br>&gt; Subject: Re: [SSSD-users] authenticating against all sub-domains in AD forest<br>&gt; <br>&gt; On Mon, Sep 16, 2013 at 01:45:17PM +0000, a t wrote:<br>&gt; &gt; <br>&gt; &gt; <br>&gt; &gt; &gt; Date: Mon, 16 Sep 2013 15:22:47 +0200<br>&gt; &gt; &gt; From: jhrozek@redhat.com<br>&gt; &gt; &gt; To: sssd-users@lists.fedorahosted.org<br>&gt; &gt; &gt; Subject: Re: [SSSD-users] authenticating against all sub-domains in AD forest<br>&gt; &gt; &gt; <br>&gt; &gt; &gt; On Mon, Sep 16, 2013 at 01:17:22PM +0000, a t wrote:<br>&gt; &gt; &gt; &gt; Hi,<br>&gt; &gt; &gt; &gt; <br>&gt; &gt; &gt; &gt; I am testing find a standard config for Linux authentication against Active Directory and I am testing with Centos 6. I have decided on a SSSD/Kerberos/LDAP configuration as described in RedHats "Integrating Red Hat Enterprise Linux 6 with Active Directory" section 6.3.<br>&gt; &gt; &gt; &gt; http://www.redhat.com/rhecm/rest-rhecm/jcr/repository/collaboration/jcr:system/jcr:versionStorage/ae40084d0a052601783f1ea42715cdef/26/jcr:frozenNode/rh:resourceFile<br>&gt; &gt; &gt; &gt; <br>&gt; &gt; &gt; &gt; It works very well but for the one domain in our forest i.e. b.domain.org. However, users of other domains in the forest can not be authenticated. This is understandable as I have pointed all the config files at the child domains DC's, i.e. dc1.b.domain.org rather than dc1.domain.org. I have been searching for example configurations which will authenticate any user in the forest even though the Linux installation is joined to a different child domain but not found any. <br>&gt; &gt; &gt; &gt; <br>&gt; &gt; &gt; &gt; Scenario I would like to implement;<br>&gt; &gt; &gt; &gt; <br>&gt; &gt; &gt; &gt; Linux installation hostname = lin1lin1 joined to domain b.domain.orgusers from b.domain.org can login to lin1.b.doamin.orgusers from all child domains of domain.org can log into lin1.b.domain.org. for example a.domain.org, c.domain.org or z.domain.org <br>&gt; &gt; &gt; &gt; <br>&gt; &gt; &gt; &gt; I have attached my current config files as a reference. They work for a single domain rather than the whole forest. I suppose I am stuck whether to add each AD child domain as separate domains in SSSD and REALMS in kerberos or if I can get it to see the whole forest.<br>&gt; &gt; &gt; &gt; <br>&gt; &gt; &gt; &gt; <br>&gt; &gt; &gt; &gt; Thanks for any help / pointers,<br>&gt; &gt; &gt; &gt; <br>&gt; &gt; &gt; &gt; <br>&gt; &gt; &gt; &gt; Matthew<br>&gt; &gt; &gt; &gt; <br>&gt; &gt; &gt; &gt;                                                <br>&gt; &gt; &gt; <br>&gt; &gt; &gt; Hi Matthew,<br>&gt; &gt; &gt; <br>&gt; &gt; &gt; this feature is only supported starting with 1.10 upstream..<br>&gt; &gt; &gt; <br>&gt; &gt; &gt; Even on RHEL-6 I would recommend trying out the AD provider, not the<br>&gt; &gt; &gt; AD/Kerberos provider combo.<br>&gt; &gt; &gt; _______________________________________________<br>&gt; &gt; &gt; sssd-users mailing list<br>&gt; &gt; &gt; sssd-users@lists.fedorahosted.org<br>&gt; &gt; &gt; https://lists.fedorahosted.org/mailman/listinfo/sssd-users<br>&gt; &gt; <br>&gt; &gt; Thank you very much for the speedy reply. I'll take another look at the AD provider and keep an eye on future sssd versions.<br>&gt; &gt;                                                <br>&gt; <br>&gt; If you're mostly interested in testing, we build our nighlies even for<br>&gt; RHEL6:<br>&gt; http://jdennis.fedorapeople.org/ipa-devel/ipa-devel-rhel.repo<br>&gt; <br>&gt; But tread lightly, it's really a development snapshot :)<br>&gt; _______________________________________________<br>&gt; sssd-users mailing list<br>&gt; sssd-users@lists.fedorahosted.org<br>&gt; https://lists.fedorahosted.org/mailman/listinfo/sssd-users<br><br>Hi Jakub,<br><br>I installed sssd.x86_64 1.11.1-0.20130912T1711Zgit10bc88a.el6 from the repo you mentioned above. I installed on the same machine using the same config files. All works as expected with no issues I can see. <br><br>I am going to try to setup sssd with AD provider on a clean VM. 2 questions;<br>&nbsp; 1) I want a certain amount of SSO - mounting a windows share with no manual authentication based on windows permissions. According to <a href="http://www.freeipa.org/images/d/dd/Freeipa30_sssd-ad-provider.pdf" target="_blank">http://www.freeipa.org/images/d/dd/Freeipa30_sssd-ad-provider.pdf</a> this is not available until 1.10. I see there is a stable 1.11 in a repo or would I need to build from source? I am happy to use the nightly build repo for now and testing but if I roll it out I would obviously want to use a stable version.<br>&nbsp; 2) Are the example configs in <a href="http://www.freeipa.org/images/d/dd/Freeipa30_sssd-ad-provider.pdf" target="_blank">http://www.freeipa.org/images/d/dd/Freeipa30_sssd-ad-provider.pdf</a> still valid in 1.10+ for an AD provider set-up?<br><br>Thanks for your help!<br><br>Matthew<br></div>                                               </div></body>
</html>