<div dir="ltr">Unfortuneately im tied to current debian stable in this setup and backporting sssd does not seem possible. Thanx Steve.</div><div class="gmail_extra"><br><br><div class="gmail_quote">On Fri, May 2, 2014 at 10:44 AM, steve <span dir="ltr">&lt;<a href="mailto:steve@steve-ss.com" target="_blank">steve@steve-ss.com</a>&gt;</span> wrote:<br>
<blockquote class="gmail_quote" style="margin:0 0 0 .8ex;border-left:1px #ccc solid;padding-left:1ex">On Fri, 2014-05-02 at 10:38 +0200, Jakub Hrozek wrote:<br>
<div><div class="h5">&gt; On Fri, May 02, 2014 at 10:32:10AM +0200, steve wrote:<br>
&gt; &gt; On Fri, 2014-05-02 at 08:47 +0200, Paul Liljenberg wrote:<br>
&gt; &gt; &gt;<br>
&gt; &gt; &gt;<br>
&gt; &gt; &gt; &gt;On Wed, Apr 23, 2014 at 08:10:47AM +0200, Paul Liljenberg wrote:<br>
&gt; &gt; &gt; &gt;&gt; Notice: I sent this email to the list using another mail address, which i<br>
&gt; &gt; &gt; &gt;&gt; believe whas not verified properly. If this emali is properly sent to the<br>
&gt; &gt; &gt; &gt;&gt; list you can disregard moderating the message.<br>
&gt; &gt; &gt; &gt;&gt;<br>
&gt; &gt; &gt; &gt;&gt; Hello<br>
&gt; &gt; &gt; &gt;&gt;<br>
&gt; &gt; &gt; &gt;&gt; Im setting up a single signon solution for about 1200 servers. The<br>
&gt; &gt; &gt; &gt;&gt; situation as it seems is that we are setting up all users in a windows 2008<br>
&gt; &gt; &gt; &gt;&gt; r2 active directory, adding proper unix permissions. A user with proper<br>
&gt; &gt; &gt; &gt;&gt; priveliges to read active directory is being used by sssd to read which<br>
&gt; &gt; &gt; &gt;&gt; users is allowed in and not. If the users does not have a home directory<br>
&gt; &gt; &gt; &gt;&gt; they are being created automatically. So whats the issue here? Access to<br>
&gt; &gt; &gt; &gt;&gt; the system does not happen instantanely and i believe its because sssd is<br>
&gt; &gt; &gt; &gt;&gt; polling active directory every 120 seconds. It seems as if it has issues<br>
&gt; &gt; &gt; &gt;&gt; remaining its state and it is just as if it would loose its local database.<br>
&gt; &gt; &gt; &gt;&gt; I would like to be able to have users being logged directly after a user is<br>
&gt; &gt; &gt; &gt;&gt; being added to active directory. Is this possible and how could this be<br>
&gt; &gt; &gt; &gt;&gt; achieved?<br>
&gt; &gt; &gt;<br>
&gt; &gt; &gt; &gt;I would encourage you to turn enumeration off. Enumeration is a background<br>
&gt; &gt; &gt; &gt;task that periodically downloads and saves all users from the server,<br>
&gt; &gt; &gt; &gt;which can be very intensitve especially for large environments.<br>
&gt; &gt; &gt;<br>
&gt; &gt; &gt; &gt;Also, is there a reason to use a bind user and a password and not a<br>
&gt; &gt; &gt; &gt;keytab and then leverage GSSAPI?<br>
&gt; &gt; &gt;<br>
&gt; &gt; &gt; &gt;We have some howtos on enrolling a client with AD for pre-1.9 clients:<br>
&gt; &gt; &gt; &gt;<a href="https://fedorahosted.org/sssd/wiki/Configuring%20sssd%20to%20authenticate%20with%20a%20Windows%202008%20Domain%20Servero" target="_blank">https://fedorahosted.org/sssd/wiki/Configuring%20sssd%20to%20authenticate%20with%20a%20Windows%202008%20Domain%20Servero</a><br>

&gt; &gt; &gt;<br>
&gt; &gt; &gt; &gt;And also for 1.9 and later (recommended):<br>
&gt; &gt; &gt; &gt;<a href="https://fedorahosted.org/sssd/wiki/Configuring_sssd_with_ad_server" target="_blank">https://fedorahosted.org/sssd/wiki/Configuring_sssd_with_ad_server</a><br>
&gt; &gt; &gt;<br>
&gt; &gt; &gt;<br>
&gt; &gt; &gt; Ive edit the configuration to not use enumeration. The goal is to use<br>
&gt; &gt; &gt; GSSAPI to. For some reason it refuses logins. It does not give me any<br>
&gt; &gt; &gt; helpful ouput to fix it.<br>
&gt; &gt; &gt;<br>
&gt; &gt; &gt;<br>
&gt; &gt; &gt; conf:<br>
&gt; &gt; &gt;<br>
&gt; &gt; &gt;<br>
&gt; &gt; &gt; [sssd]<br>
&gt; &gt; &gt; config_file_version = 2<br>
&gt; &gt; &gt; domains = INT.HOME.LAN<br>
&gt; &gt; &gt; services = nss, pam<br>
&gt; &gt; &gt; debug_level = 0<br>
&gt; &gt; &gt;<br>
&gt; &gt; &gt;<br>
&gt; &gt; &gt; [nss]<br>
&gt; &gt; &gt; filter_groups = root<br>
&gt; &gt; &gt; filter_users = root<br>
&gt; &gt; &gt; reconnection_retries = 3<br>
&gt; &gt; &gt;<br>
&gt; &gt; &gt;<br>
&gt; &gt; &gt; [pam]<br>
&gt; &gt; &gt; reconnection_retries = 3<br>
&gt; &gt; &gt;<br>
&gt; &gt; &gt;<br>
&gt; &gt; &gt; [domain/INT.HOME.LAN]<br>
&gt; &gt; &gt; # Unless you know you need referrals, turn them off<br>
&gt; &gt; &gt; ldap_referrals = false<br>
&gt; &gt; &gt; # Uncomment if you need offline logins<br>
&gt; &gt; &gt; cache_credentials = true<br>
&gt; &gt; &gt; enumerate = false<br>
&gt; &gt; &gt;<br>
&gt; &gt; &gt;<br>
&gt; &gt; &gt; id_provider = ldap<br>
&gt; &gt; &gt; auth_provider = krb5<br>
&gt; &gt; &gt; chpass_provider = krb5<br>
&gt; &gt; &gt; access_provider = ldap<br>
&gt; &gt; &gt;<br>
&gt; &gt; &gt;<br>
&gt; &gt; &gt; # Uncomment if service discovery is not working<br>
&gt; &gt; &gt; ldap_uri = ldap://vagrant-2008r2.int.home.lan<br>
&gt; &gt; &gt;<br>
&gt; &gt; &gt;<br>
&gt; &gt; &gt; # Comment out if not using SASL/GSSAPI to bind<br>
&gt; &gt; &gt; ldap_sasl_mech = GSSAPI<br>
&gt; &gt; &gt; # Uncomment and adjust if the default principal host/fqdn at REALM is<br>
&gt; &gt; &gt; not available<br>
&gt; &gt; &gt; #ldap_sasl_authid = nfs/<a href="http://client.ad.example.com" target="_blank">client.ad.example.com</a> at <a href="http://AD.EXAMPLE.COM" target="_blank">AD.EXAMPLE.COM</a><br>
&gt; &gt; &gt;<br>
&gt; &gt; &gt;<br>
&gt; &gt; &gt; # Define these only if anonymous binds are not allowed and no keytab<br>
&gt; &gt; &gt; is available<br>
&gt; &gt; &gt; # Enabling use_start_tls is very important, otherwise the bind<br>
&gt; &gt; &gt; password is transmitted<br>
&gt; &gt; &gt; # over the network in the clear<br>
&gt; &gt; &gt; #ldap_id_use_start_tls = True<br>
&gt; &gt; &gt; #ldap_default_bind_dn = CN=test,CN=Users,DC=int,DC=home,DC=local<br>
&gt; &gt; &gt; #ldap_default_authtok_type = password<br>
&gt; &gt; &gt; #ldap_default_authtok = secretpassword<br>
&gt; &gt; &gt;<br>
&gt; &gt; &gt;<br>
&gt; &gt; &gt; ldap_schema = rfc2307bis<br>
&gt; &gt; &gt;<br>
&gt; &gt; &gt;<br>
&gt; &gt; &gt; ldap_user_search_base = CN=Users,DC=int,DC=home,DC=lan<br>
&gt; &gt; &gt; ldap_user_object_class = user<br>
&gt; &gt; &gt;<br>
&gt; &gt; &gt;<br>
&gt; &gt; &gt; ldap_user_home_directory = unixHomeDirectory<br>
&gt; &gt; &gt; ldap_user_principal = userPrincipalName<br>
&gt; &gt; &gt;<br>
&gt; &gt; &gt;<br>
&gt; &gt; &gt; ldap_group_search_base = CN=linuxadmins,DC=int,DC=home,DC=lan<br>
&gt; &gt; &gt; ldap_group_object_class = group<br>
&gt; &gt; &gt;<br>
&gt; &gt; &gt;<br>
&gt; &gt; &gt; #ldap_access_filter = memberOf=cn=linuxadmins,dc=int,dc=home,dc=lan<br>
&gt; &gt; &gt;<br>
&gt; &gt; &gt;<br>
&gt; &gt; &gt; ldap_access_order = expire<br>
&gt; &gt; &gt; ldap_account_expire_policy = ad<br>
&gt; &gt; &gt; ldap_force_upper_case_realm = true<br>
&gt; &gt; &gt; #ldap_krb5_init_creds = true<br>
&gt; &gt; &gt;<br>
&gt; &gt; &gt;<br>
&gt; &gt; &gt; # Uncomment if dns discovery of your AD servers isn&#39;t working.<br>
&gt; &gt; &gt; #krb5_server = 192.168.3.11<br>
&gt; &gt; &gt; krb5_realm = INT.HOME.LAN<br>
&gt; &gt; &gt; #krb5_keytab = /etc/krb5.keytab<br>
&gt; &gt; &gt;<br>
&gt; &gt; &gt;<br>
&gt; &gt; &gt; # Probably required with sssd 1.8.x and newer<br>
&gt; &gt; &gt; krb5_canonicalize = false<br>
&gt; &gt; &gt;<br>
&gt; &gt; &gt;<br>
&gt; &gt; &gt; # Perhaps you need to redirect to certain attributes?<br>
&gt; &gt; &gt; #ldap_user_object_class = user<br>
&gt; &gt; &gt; #ldap_user_name = sAMAccountName<br>
&gt; &gt; &gt; #ldap_user_uid_number = msSFU30UidNumber<br>
&gt; &gt; &gt; #ldap_user_gid_number = msSFU30GidNumber<br>
&gt; &gt; &gt; #ldap_user_gecos = displayName<br>
&gt; &gt; &gt; #ldap_user_home_directory = msSFU30HomeDirectory<br>
&gt; &gt; &gt; #ldap_user_shell = msSFU30LoginShell<br>
&gt; &gt; &gt; #ldap_user_principal = userPrincipalName<br>
&gt; &gt; &gt; #ldap_group_object_class = group<br>
&gt; &gt; &gt; #ldap_group_name = cn<br>
&gt; &gt; &gt; #ldap_group_gid_number = msSFU30GidNumber<br>
&gt; &gt;<br>
&gt; &gt; Hi<br>
&gt; &gt; Can you upgrade to a more recent version and use the new ad backend?<br>
&gt; &gt;<br>
&gt; &gt; If not, remember that the older versions didn&#39;t map the ad attributes to<br>
&gt; &gt; something we could recognise. sAMAccountName as being the Linux username<br>
&gt; &gt; is one I remember off the top of my head. Also, don&#39;t assume defaults.<br>
&gt; &gt; uncomment the lines until you get it working. We&#39;ve a 1.9 config against<br>
&gt; &gt; AD here:<br>
&gt; &gt; <a href="http://linuxcostablanca.blogspot.com.es/2013/04/sssd-in-samba-40.html" target="_blank">http://linuxcostablanca.blogspot.com.es/2013/04/sssd-in-samba-40.html</a><br>
&gt; &gt; HTH<br>
&gt; &gt; Steve<br>
&gt;<br>
</div></div>&gt; Right, the mappings might need to be adjusted, depending on the<br>
&gt; environment. The upstream guide for the LDAP provider is here:<br>
&gt; <a href="https://fedorahosted.org/sssd/wiki/Configuring%20sssd%20to%20authenticate%20with%20a%20Windows%202008%20Domain%20Server" target="_blank">https://fedorahosted.org/sssd/wiki/Configuring%20sssd%20to%20authenticate%20with%20a%20Windows%202008%20Domain%20Server</a><br>

<br>
No. That&#39;s the guide the OP used for his config. All the AD attrs are<br>
commented so the user never gets authenticated.<br>
<div class="HOEnZb"><div class="h5"><br>
<br>
_______________________________________________<br>
sssd-users mailing list<br>
<a href="mailto:sssd-users@lists.fedorahosted.org">sssd-users@lists.fedorahosted.org</a><br>
<a href="https://lists.fedorahosted.org/mailman/listinfo/sssd-users" target="_blank">https://lists.fedorahosted.org/mailman/listinfo/sssd-users</a><br>
</div></div></blockquote></div><br><br clear="all"><div><br></div>-- <br><div dir="ltr">Vänliga Hälsningar / Best Regards<div>Paul Liljenberg</div></div>
</div>