<html>
<head>
</head>
<body class='hmmessage'><div dir='ltr'>

<style><!--
.hmmessage P
{
margin:0px;
padding:0px
}
body.hmmessage
{
font-size: 12pt;
font-family:Calibri
}
--></style>
<div dir="ltr"><br><br><div>&gt; Date: Wed, 18 Sep 2013 10:34:03 +0200<br>&gt; From: jhrozek@redhat.com<br>&gt; To: sssd-users@lists.fedorahosted.org<br>&gt; Subject: Re: [SSSD-users] authenticating against all sub-domains in AD forest<br>&gt; <br>&gt; On Tue, Sep 17, 2013 at 01:50:15PM +0000, a t wrote:<br>&gt; &gt; <br>&gt; &gt; <br>&gt; &gt; &gt; Date: Mon, 16 Sep 2013 15:59:09 +0200<br>&gt; &gt; &gt; From: jhrozek@redhat.com<br>&gt; &gt; &gt; To: sssd-users@lists.fedorahosted.org<br>&gt; &gt; &gt; Subject: Re: [SSSD-users] authenticating against all sub-domains in AD forest<br>&gt; &gt; &gt; <br>&gt; &gt; &gt; On Mon, Sep 16, 2013 at 01:45:17PM +0000, a t wrote:<br>&gt; &gt; &gt; &gt; <br>&gt; &gt; &gt; &gt; <br>&gt; &gt; &gt; &gt; &gt; Date: Mon, 16 Sep 2013 15:22:47 +0200<br>&gt; &gt; &gt; &gt; &gt; From: jhrozek@redhat.com<br>&gt; &gt; &gt; &gt; &gt; To: sssd-users@lists.fedorahosted.org<br>&gt; &gt; &gt; &gt; &gt; Subject: Re: [SSSD-users] authenticating against all sub-domains in AD forest<br>&gt; &gt; &gt; &gt; &gt; <br>&gt; &gt; &gt; &gt; &gt; On Mon, Sep 16, 2013 at 01:17:22PM +0000, a t wrote:<br>&gt; &gt; &gt; &gt; &gt; &gt; Hi,<br>&gt; &gt; &gt; &gt; &gt; &gt; <br>&gt; &gt; &gt; &gt; &gt; &gt; I am testing find a standard config for Linux authentication against Active Directory and I am testing with Centos 6. I have decided on a SSSD/Kerberos/LDAP configuration as described in RedHats "Integrating Red Hat Enterprise Linux 6 with Active Directory" section 6.3.<br>&gt; &gt; &gt; &gt; &gt; &gt; http://www.redhat.com/rhecm/rest-rhecm/jcr/repository/collaboration/jcr:system/jcr:versionStorage/ae40084d0a052601783f1ea42715cdef/26/jcr:frozenNode/rh:resourceFile<br>&gt; &gt; &gt; &gt; &gt; &gt; <br>&gt; &gt; &gt; &gt; &gt; &gt; It works very well but for the one domain in our forest i.e. b.domain.org. However, users of other domains in the forest can not be authenticated. This is understandable as I have pointed all the config files at the child domains DC's, i.e. dc1.b.domain.org rather than dc1.domain.org. I have been searching for example configurations which will authenticate any user in the forest even though the Linux installation is joined to a different child domain but not found any. <br>&gt; &gt; &gt; &gt; &gt; &gt; <br>&gt; &gt; &gt; &gt; &gt; &gt; Scenario I would like to implement;<br>&gt; &gt; &gt; &gt; &gt; &gt; <br>&gt; &gt; &gt; &gt; &gt; &gt; Linux installation hostname = lin1lin1 joined to domain b.domain.orgusers from b.domain.org can login to lin1.b.doamin.orgusers from all child domains of domain.org can log into lin1.b.domain.org. for example a.domain.org, c.domain.org or z.domain.org <br>&gt; &gt; &gt; &gt; &gt; &gt; <br>&gt; &gt; &gt; &gt; &gt; &gt; I have attached my current config files as a reference. They work for a single domain rather than the whole forest. I suppose I am stuck whether to add each AD child domain as separate domains in SSSD and REALMS in kerberos or if I can get it to see the whole forest.<br>&gt; &gt; &gt; &gt; &gt; &gt; <br>&gt; &gt; &gt; &gt; &gt; &gt; <br>&gt; &gt; &gt; &gt; &gt; &gt; Thanks for any help / pointers,<br>&gt; &gt; &gt; &gt; &gt; &gt; <br>&gt; &gt; &gt; &gt; &gt; &gt; <br>&gt; &gt; &gt; &gt; &gt; &gt; Matthew<br>&gt; &gt; &gt; &gt; &gt; &gt; <br>&gt; &gt; &gt; &gt; &gt; &gt;                                                <br>&gt; &gt; &gt; &gt; &gt; <br>&gt; &gt; &gt; &gt; &gt; Hi Matthew,<br>&gt; &gt; &gt; &gt; &gt; <br>&gt; &gt; &gt; &gt; &gt; this feature is only supported starting with 1.10 upstream..<br>&gt; &gt; &gt; &gt; &gt; <br>&gt; &gt; &gt; &gt; &gt; Even on RHEL-6 I would recommend trying out the AD provider, not the<br>&gt; &gt; &gt; &gt; &gt; AD/Kerberos provider combo.<br>&gt; &gt; &gt; &gt; &gt; _______________________________________________<br>&gt; &gt; &gt; &gt; &gt; sssd-users mailing list<br>&gt; &gt; &gt; &gt; &gt; sssd-users@lists.fedorahosted.org<br>&gt; &gt; &gt; &gt; &gt; https://lists.fedorahosted.org/mailman/listinfo/sssd-users<br>&gt; &gt; &gt; &gt; <br>&gt; &gt; &gt; &gt; Thank you very much for the speedy reply. I'll take another look at the AD provider and keep an eye on future sssd versions.<br>&gt; &gt; &gt; &gt;                                                <br>&gt; &gt; &gt; <br>&gt; &gt; &gt; If you're mostly interested in testing, we build our nighlies even for<br>&gt; &gt; &gt; RHEL6:<br>&gt; &gt; &gt; http://jdennis.fedorapeople.org/ipa-devel/ipa-devel-rhel.repo<br>&gt; &gt; &gt; <br>&gt; &gt; &gt; But tread lightly, it's really a development snapshot :)<br>&gt; &gt; &gt; _______________________________________________<br>&gt; &gt; &gt; sssd-users mailing list<br>&gt; &gt; &gt; sssd-users@lists.fedorahosted.org<br>&gt; &gt; &gt; https://lists.fedorahosted.org/mailman/listinfo/sssd-users<br>&gt; &gt; <br>&gt; &gt; Hi Jakub,<br>&gt; &gt; <br>&gt; &gt; I installed sssd.x86_64 1.11.1-0.20130912T1711Zgit10bc88a.el6 from the repo you mentioned above. I installed on the same machine using the same config files. All works as expected with no issues I can see. <br>&gt; &gt; <br>&gt; &gt; I am going to try to setup sssd with AD provider on a clean VM. 2 questions;<br>&gt; &gt;   1) I want a certain amount of SSO - mounting a windows share with<br>&gt; &gt; no manual authentication based on windows permissions. According to<br>&gt; &gt; http://www.freeipa.org/images/d/dd/Freeipa30_sssd-ad-provider.pdf this is not<br>&gt; &gt; available until 1.10.<br>&gt; <br>&gt; Ah, I see you're referring to slide #11. I think the answer depends on<br>&gt; what your requirements are.<br>&gt; <br>&gt; Login with SSSD gives you a TGT. If there is a client side<br>&gt; infrastructure to mount a windows share based on Kerberos<br>&gt; authentication, everything should just work. I think that's what you're<br>&gt; referring to as SSO?<br>&gt; <br>&gt; But currently cifs-utils still require winbind for some tasks like modifying<br>&gt; ACLs. Integrating with cifs-utils in order to avoid the winbind dependency<br>&gt; completely is on the roadmap for 1.12 currently (the slides are about a<br>&gt; year old and we shuffled the priorities a bit)<br>&gt; <br>&gt; See:<br>&gt; https://fedorahosted.org/sssd/wiki/DesignDocs/IntegrateSSSDWithCIFSClient<br>&gt; <br>&gt; &gt; I see there is a stable 1.11 in a repo or would I need<br>&gt; &gt; to build from source? I am happy to use the nightly build repo for now and<br>&gt; &gt; testing but if I roll it out I would obviously want to use a stable version.<br>&gt; <br>&gt; Currently I'm not aware of a plan to rebase to a newer version in<br>&gt; RHEL-6. I would say that backporting individual bugfixes or features is<br>&gt; more likely.<br>&gt; <br>&gt; &gt;   2) Are the example configs in http://www.freeipa.org/images/d/dd/Freeipa30_sssd-ad-provider.pdf still valid in 1.10+ for an AD provider set-up?<br>&gt; <br>&gt; Yes they are. You might also want to take a look at adcli from EPEL.<br>&gt; (and realmd on Fedora and RHEL-7). These make configuring AD client<br>&gt; really simple and user friendly.<br>&gt; _______________________________________________<br>&gt; sssd-users mailing list<br>&gt; sssd-users@lists.fedorahosted.org<br>&gt; https://lists.fedorahosted.org/mailman/listinfo/sssd-users<br><br>Hi ,<br><br>Thansk. I have the new VM setup with the ad_provider. Much simpler config! <br><br>The authentication for users on the local domain that the installation is joined to works great. However I am in the same situation with other trusted domains in the forest not being able to authenticate. Our domain structure is one parent domain which have a number of sub-domains. Those sub-domains do not have any sub-domains themselves. All users are in the subdomains. The parent domain only has the odd Admin and service user.<br><img src="data:image/png;base64,iVBORw0KGgoAAAANSUhEUgAAAWYAAAB1CAIAAADycdzAAAAIhklEQVR4nO2dv28TVxzA84/RDiwVw3kqQ4ZulEqR6gxdgOmWSpGopQwpTkURBIZWsiXKQJe4UlyhXqiKUDlhqqbygEs5uY1EcYcIoetw5+dfd459nP295+/nozcgxzm/+7x7H589hLUQAGBm1qQnAAA2QTKs5Pj1yfbdp5u7hyW3YePY2Pnpas1/9vyVtEiYG5JhH8evT9a3DsS3fS7jSftYWifMB8mwj6s1X3yr5zU2dw+ldcJ8kAz7uLD9QHyr5zikdcJ8kAz7EN/kJEMzJMM+xDc5ydAMybAP8U1OMjRDMuxDfJOTDM2QDPsQ3+QkQzMkwz7ENznJ0AzJsA/xTU4yNEMy7EN8k5MMzZAM+xDf5CRDMyTDPsQ3OcnQDMmwD/FNTjI0QzLsQ3yTkwzNkAz7EN/kJEMzJMM+xDc5ydAMybAP8U1OMjRDMuxj+g50XK/W7dWq77qTHdf3wqBCMmAUkmEfy0nG0oa0TpgPkmEfaXuv0op+3uv0k9F/JAxbfsltONV2pxV48SPtWjcMwzDstsvRj8LRJ/fvMkZ/a/xvCA6/xOCZLd9xfc8csNsuk4xVgWTYR/LNRT0Y2uq9WrXh1AOzVyut0KtHXQgq8XNCr55wS+K4Xq1rntNPRnTAySePvUQzPn70o07TK7mNcrPn1bnLWB1Ihn0kbrxysxdtUbOxzSPmp0613YmzEneh5DYqLZMD8woTyRh0YSQZ4y/RCswzh+4yTvlCREYiZIVk2Mccdxn9zxGDu4y0ZPRvCpLvMlKSMf4SzcEzT725IBmWQjLsIzkZg9uEwGtN+S4j7S7D3BT0Oqclw3zASfguI+EuIzR3IiRjBSAZ9jHLW7f4MPcjjut7fP25QpAM+xDPwSzDqQdmwnz9uUqQDPsQz0G+Q1onzAfJsA/xTU4yNEMy7EN8k5MMzZAM+xDf5CRDMyTDPsQ3OcnQDMmwD/FNTjI0QzLsQ3yTkwzNkAz7EN/kJEMzJMM+xDc5ydAMybAP8U1OMjRDMuxDfJOTDM2QDPsQ3+QkQzMkwz7ENznJ0AzJsA/xTU4yNEMy7GN960B8n5MMtZAM+7hy65H4Ps9rrG8dSOuE+SAZ9tH0X4pv9bzG3v6RtE6YD5JhJY3HL1bg48ne/tHJm7fSLmE+SAYIQCnshWRAAucv3T5Xvn6ufP3ej0+l5wLFgmRAAmc+/jIal3fuS88FigXJgARIBqRBMiABkgFpkAxIgGRAGiQDEiAZkAbJgARIBqRBMiABkgFpLDsZf/3976Pf/mQkjv2ff/+28WsRhknGR+434pOJhvjqFHb4f7xc5hZeajLufP+LuRYZE2NHegIMW8eHl27/8+q/5ezipSbj7MauuFwGYyXH/Qet5ezipSbDnN6nX3zHGBtGzrnNr8XH2Y3d9y5ee/+T6gflIkzmqzMXr525eO385Tviy1S0UfrspopkLPNFbQE5ady49zAyc+PeQ+m5FI7Pb/5AMpSCnDRIxhRIhl6QkwbJmALJ0Aty0iAZUyAZekFOGiRjCiRDL8hJg2RMYcWTAQC2QzIAYA5IBgDMwSAZx69Ptu8+3dw9FP9b9ZnHxs5PV2v+s+evcteEHOQgJzqjNXNiK/D/YpjxpH2c76ojBznIieTEybha88UnlOPY3D3MceGRgxzkGDlxMi5sPxCfUL4jx4VHDnKQY+TEyRCfyiLOLS/EzwU5yCnICEmG2oVHDnKyySEZShceOcjJJodkKF145CAnmxySoXThkYOcbHJIhtKFRw5ysskhGUoXHjnIySaHZChdeOQgJ5sckqF04ZGDnGxySIbShUcOcrLJIRlKFx45yMkmh2QoXXjkICebHJKhdOGRg5xsckiG0oVHDnKyySEZShceOcjJJidjMhzXq3V7teq7zsBxfS8MKos5t0UsvFNtd7rtMnKS5HDlvIuc4pspFSEZixsLWvhlJsM6ObMM5NhrppSWDKfa7piTbo3/JbJK/B+s9Dr906u0Rp7sVNudVuDFj7Rr3TAMw7DbLicdOS7iyK/4SS83cfCW77i+Z442sY0XtPBOtd3p9jopL7oQOeO/NaOfYPlyxqbk1QskR/7KqQfR9MrNXqfpFcfM7JdNajIGJ+l6te7IHY45bcf1vbBXqzacemAOXWmFXj06h6ASPyf06gn5NEceJCM62ugzpxw8+mmkvtzsjV2di01GfwLRlBYuJ37R+fyIyBmWkPa4mJym8JUzmMaoH3kzM182qclwXC/OWBiGox+KTCDNJIaTGf3bqcZShotTaZmpjxx5kIzBOQzOLfng/WcOvVckfHJb0MIPT2Ds7WJRckZfdEY/InImnRRITiuQvXJKQ3u4WGZmvmzSk9Evzax3Gf1qDoqVdnoTR56ejOSDD+3YxBAuLRkz3WW8u5z0tZ/iR0TO2JQSHxeT05S+cqIi1Me/C5M3M/Nlk56MQWl6na65w4lmY5IWeP1JJH0uSivixJFTkmFeMeHgCe8V4eQ726IWfvi7DDOlhcqZXPv6yIejRD8ickqjUxq9oxaWI37lmPf2wRt7MczMftmkJsOWYcLpuL633G/4ij+Qg5zczZRsT4ZTD8zaLPNLLCsGcpCTu5mS7cmYPjQvPHKQszg5JEPpwiMHOdnkkAylC48c5GSTQzKULjxykJNNDslQuvDIQU42OSRD6cIjBznZ5JAMpQuPHORkk0MylC48cpCTTQ7JULrwyEFONjkkQ+nCIwc52eSQDKULjxzkZJNDMpQuPHKQk00OyVC68MhBTjY5JEPpwiMHOdnkxMlY3zoQn03u55YXyEEOcoycOBlXbj0Sn02OY33rIMeFRw5ykGPkxMlo+i/FJ5Tj2Ns/ynHhkYMc5Bg5a+b0Go9frMZ91N7+0cmbtzkuPHKQgxwjZ+3Uc7aI3Nd7lUDOFJAzhTE5/wPaGeppONAsrQAAAABJRU5ErkJggg==" alt=""><br>&lt;image of domain structure&gt;<br><br>the installation lin1 is joined to b.domain.org. Users from b.domain.org can login. Users from a.domain.org, c.domain.org or x.domain.org cannot login. I have tried adding domains to sssd.conf and realms to krb5.conf but cannot get it to authenticate users from other child domains.<br><br>krb5.conf, sssd.conf and smb.conf attached. Slao attached a portion of the sssd domain log that occurs when trying an # id c\\user.name.<br><br>Thanks,<br><br>Matthew<br><br><br></div></div>
                                               </div></body>
</html>