<html>
  <head>
    <meta content="text/html; charset=UTF-8" http-equiv="Content-Type">
  </head>
  <body bgcolor="#FFFFFF" text="#000000">
    On 09/25/2013 09:41 AM, Stephen Gallagher wrote:<br>
    <blockquote type="cite">On 09/25/2013 08:40 AM, Michael Gliwinski
      wrote:<br>
      &gt; Hi all,<br>
      <br>
      &gt; Currently SSSD (when configured with krb5_renew_interval,
      etc.)<br>
      &gt; will only renew tickets it itself created.  Is it possible to<br>
      &gt; somehow tell it to also look after some other ccaches?<br>
      <br>
      &gt; The use case I have is for sessions started e.g. via sudo -u
      +<br>
      &gt; manual kinit or SSH PKI or SSH GSS-API (i.e. passwordless
      logins).<br>
      &gt; Those are sometimes long- running, but the tickets won't be
      renewed<br>
      &gt; automatically currently.<br>
      <br>
      &gt; If not currently possible, I was thinking of creating some
      simple<br>
      &gt; program that would call SSSD functions to "register" a
      specified<br>
      &gt; ccache path (krb5_save_ccname + add_tgt_to_renew_table?).  Do
      you<br>
      &gt; see any problems with this approach?  Would those functions
      be<br>
      &gt; somehow accessible from Python API?<br>
      <br>
      <br>
      The SSSD team has been considering handling this for some time.
      The<br>
      tickets tracking it are:<br>
      <br>
      <a class="moz-txt-link-freetext" href="https://fedorahosted.org/sssd/ticket/1497">https://fedorahosted.org/sssd/ticket/1497</a> (targeted for 1.13)<br>
      and<br>
      <a class="moz-txt-link-freetext" href="https://fedorahosted.org/sssd/ticket/1723">https://fedorahosted.org/sssd/ticket/1723</a> (currently deferred)<br>
    </blockquote>
    <br>
    <br>
    I think the use case is a bit different.<br>
    If you are using automated logins then it is better to have special
    user and give him a keytab. You can then use a cron job to kinit
    periodically using this keytab. <br>
    Starting Kerberos 1.11 (F19, RHEL7) every GSSAPI connection would
    automatically force underlaying kerberos library to reacquire ticket
    for the user if it is not available so cron job can be just removed.
    Also we recommend using GSS proxy (F19, RHEL7) in this case for the
    better access control and privilege separation.
    <a class="moz-txt-link-freetext" href="https://fedorahosted.org/gss-proxy/">https://fedorahosted.org/gss-proxy/</a><br>
    <br>
    <span style="white-space: pre;">&gt;
      _______________________________________________<br>
      &gt; sssd-users mailing list<br>
      &gt; <a class="moz-txt-link-abbreviated" href="mailto:sssd-users@lists.fedorahosted.org">sssd-users@lists.fedorahosted.org</a><br>
      &gt; <a class="moz-txt-link-freetext" href="https://lists.fedorahosted.org/mailman/listinfo/sssd-users">https://lists.fedorahosted.org/mailman/listinfo/sssd-users</a></span><br>
    <br>
    -- <br>
    Thank you,<br>
    Dmitri Pal<br>
    <br>
    Sr. Engineering Manager for IdM portfolio<br>
    Red Hat Inc.<br>
    <br>
    <br>
    -------------------------------<br>
    Looking to carve out IT costs?<br>
    <a class="moz-txt-link-abbreviated" href="http://www.redhat.com/carveoutcosts/">www.redhat.com/carveoutcosts/</a><br>
    <br>
    <br>
    <br>
  </body>
</html>