<div dir="ltr"><div>Hello, all this to inform you all of the solution to the problem I encountered.</div><div><br></div><div>It of course follows what is often said on this list, don&#39;t add ldap parameters unless you really know what you&#39;re doing.</div>
<div><br></div><div>I had an ldap_search_base that was set to an OU, and SSSD needed access to a lower level of the AD structure than was allowed by my search base setting.</div><div><br></div><div>I of course thought setting that would optimize the queries to AD, as all the accounts were below the OU I had specified. I was incorrect. </div>
<div><br></div><div>Sumit from RedHat helped me out and suggested removing the search base.</div><div><br></div><div>Thanks!</div><div>Chris</div></div><div class="gmail_extra"><br><br><div class="gmail_quote">On Fri, Jan 10, 2014 at 3:06 AM, Chris Gray <span dir="ltr">&lt;<a href="mailto:fathed@gmail.com" target="_blank">fathed@gmail.com</a>&gt;</span> wrote:<br>
<blockquote class="gmail_quote" style="margin:0 0 0 .8ex;border-left:1px #ccc solid;padding-left:1ex"><div dir="ltr">I&#39;ll check with my security team, and hopefully be able to send them to you tomorrow. I might do so from my work email account, but I&#39;ll mention my gmail address on there as well.<div>
<br></div><div>
I assume you&#39;ll want a copy the configuration files, so I&#39;ll send those with the logs if I&#39;m able.</div><div><br></div><div>Unfortunately gmail didn&#39;t notify me of your response (or I missed it), while I was sending that one. </div>

<div><br></div><div>Thanks again!</div><span class="HOEnZb"><font color="#888888"><div>Chris</div></font></span></div><div class="gmail_extra"><div><div class="h5"><br><br><div class="gmail_quote">On Fri, Jan 10, 2014 at 3:01 AM, Sumit Bose <span dir="ltr">&lt;<a href="mailto:sbose@redhat.com" target="_blank">sbose@redhat.com</a>&gt;</span> wrote:<br>

<blockquote class="gmail_quote" style="margin:0px 0px 0px 0.8ex;padding-left:1ex;border-left-color:rgb(204,204,204);border-left-width:1px;border-left-style:solid"><div>On Fri, Jan 10, 2014 at 02:32:48AM -0800, Chris Gray wrote:<br>

&gt; I&#39;ll install the ldb-tools tomorrow (I went home) and try that out.<br>
&gt;<br>
&gt; The SID and the RID are correct, verified visually and used a windows<br>
&gt; utility to search the domain based on the SID to verify it was correct and<br>
&gt; returning the correct account from AD (psgetsid.exe). I&#39;m also working on<br>
&gt; converting the SID and RID to reverse hex so I can use ldapsearch on the<br>
&gt; linux machine to triple verify, but I haven&#39;t completed that yet.<br>
&gt;<br>
&gt; The computers with SSSD version 1.9 correctly show the RID as the last<br>
&gt; digits of the unix UID. My default domain group is Domain Users as well,<br>
&gt; which always has a RID of 0513, and that correctly shows as the last 4<br>
&gt; digits unix GID on the computers with 1.9.<br>
&gt;<br>
&gt; Reading those bug reports more may had lead to a solution.<br>
&gt;<br>
&gt;          ldap_idmap_default_domain_sid (string)<br>
&gt;                Specify the domain SID of the default domain. This will<br>
&gt;                guarantee that this domain will always be assigned to slice<br>
&gt;                zero in the ID map, bypassing the murmurhash algorithm<br>
&gt;                described above.<br>
&gt;<br>
&gt;                Default: not set<br>
&gt;<br>
&gt;            ldap_idmap_default_domain (string)<br>
&gt;                Specify the name of the default domain.<br>
&gt;<br>
&gt;                Default: not set<br>
&gt;<br>
<br>
</div>Please note that those options have a special purpose and should not be<br>
needed in your setup. Nevertheless they might lead to a working<br>
solution by hiding the original issue. With those two option a domain is<br>
pre-created in the idmapping code. If the SID matches the domain SID of<br>
your user the user will get a POSIX ID and you won&#39;t see the errors you<br>
posted earlier. But in general the AD provider is able to auto-detect all<br>
domain in your forest and create the needed idmapping entries<br>
automatically. I assume that there is an issue to detect of domain and<br>
its domain SID or to create the needed idmapping entries. This is why I<br>
asekd for the full logs.<br>
<br>
bye,<br>
Sumit<br>
<div><br>
&gt;<br>
&gt;<br>
&gt; I&#39;ll try those out tomorrow as well. I&#39;m not sure they&#39;ll work since I<br>
&gt; got them from version 1.9 docs. I don&#39;t have them set on the computers<br>
&gt; I have that use SSSD 1.9, and they don&#39;t exhibit the problem.<br>
&gt;<br>
&gt;<br>
&gt; Thanks again,<br>
&gt;<br>
&gt; Chris<br>
<br>
</div><div><div>&gt; _______________________________________________<br>
&gt; sssd-users mailing list<br>
&gt; <a href="mailto:sssd-users@lists.fedorahosted.org" target="_blank">sssd-users@lists.fedorahosted.org</a><br>
&gt; <a href="https://lists.fedorahosted.org/mailman/listinfo/sssd-users" target="_blank">https://lists.fedorahosted.org/mailman/listinfo/sssd-users</a><br>
<br>
_______________________________________________<br>
sssd-users mailing list<br>
<a href="mailto:sssd-users@lists.fedorahosted.org" target="_blank">sssd-users@lists.fedorahosted.org</a><br>
<a href="https://lists.fedorahosted.org/mailman/listinfo/sssd-users" target="_blank">https://lists.fedorahosted.org/mailman/listinfo/sssd-users</a><br>
</div></div></blockquote></div><br><br clear="all"><div><br></div></div></div><div class="im">-- <br>Intelligence is a matter of opinion.
</div></div>
</blockquote></div><br><br clear="all"><br>-- <br>Intelligence is a matter of opinion.
</div>