<div dir="ltr"><br><div class="gmail_extra"><br><pre style="white-space:pre-wrap;color:rgb(0,0,0)">&gt;On Wed, Apr 23, 2014 at 08:10:47AM +0200, Paul Liljenberg wrote:
&gt;&gt;<i> Notice: I sent this email to the list using another mail address, which i
</i>&gt;&gt;<i> believe whas not verified properly. If this emali is properly sent to the
</i>&gt;&gt;<i> list you can disregard moderating the message.
</i>&gt;&gt;<i> 
</i>&gt;&gt;<i> Hello
</i>&gt;&gt;<i> 
</i>&gt;&gt;<i> Im setting up a single signon solution for about 1200 servers. The
</i>&gt;&gt;<i> situation as it seems is that we are setting up all users in a windows 2008
</i>&gt;&gt;<i> r2 active directory, adding proper unix permissions. A user with proper
</i>&gt;&gt;<i> priveliges to read active directory is being used by sssd to read which
</i>&gt;&gt;<i> users is allowed in and not. If the users does not have a home directory
</i>&gt;&gt;<i> they are being created automatically. So whats the issue here? Access to
</i>&gt;&gt;<i> the system does not happen instantanely and i believe its because sssd is
</i>&gt;&gt;<i> polling active directory every 120 seconds. It seems as if it has issues
</i>&gt;&gt;<i> remaining its state and it is just as if it would loose its local database.
</i>&gt;&gt;<i> I would like to be able to have users being logged directly after a user is
</i>&gt;&gt;<i> being added to active directory. Is this possible and how could this be
</i>&gt;&gt;<i> achieved?
</i>
&gt;I would encourage you to turn enumeration off. Enumeration is a background
&gt;task that periodically downloads and saves all users from the server,
&gt;which can be very intensitve especially for large environments.

&gt;Also, is there a reason to use a bind user and a password and not a
&gt;keytab and then leverage GSSAPI?

&gt;We have some howtos on enrolling a client with AD for pre-1.9 clients:
&gt;<a href="https://fedorahosted.org/sssd/wiki/Configuring%20sssd%20to%20authenticate%20with%20a%20Windows%202008%20Domain%20Servero">https://fedorahosted.org/sssd/wiki/Configuring%20sssd%20to%20authenticate%20with%20a%20Windows%202008%20Domain%20Servero</a>

&gt;And also for 1.9 and later (recommended):
&gt;<a href="https://fedorahosted.org/sssd/wiki/Configuring_sssd_with_ad_server">https://fedorahosted.org/sssd/wiki/Configuring_sssd_with_ad_server</a></pre><div class="gmail_quote"><br></div><div class="gmail_quote">Ive edit the configuration to not use enumeration. The goal is to use GSSAPI to. For some reason it refuses logins. It does not give me any helpful ouput to fix it.</div>
<div class="gmail_quote"><br></div><div class="gmail_quote">conf:</div><div class="gmail_quote"><br></div><div class="gmail_quote"><div style="font-family:arial,sans-serif;font-size:13px">[sssd]</div><div style="font-family:arial,sans-serif;font-size:13px">
config_file_version = 2</div><div style="font-family:arial,sans-serif;font-size:13px">domains = INT.HOME.LAN</div><div style="font-family:arial,sans-serif;font-size:13px">services = nss, pam</div><div style="font-family:arial,sans-serif;font-size:13px">
debug_level = 0</div><div style="font-family:arial,sans-serif;font-size:13px"><br></div><div style="font-family:arial,sans-serif;font-size:13px">[nss]</div><div style="font-family:arial,sans-serif;font-size:13px">filter_groups = root</div>
<div style="font-family:arial,sans-serif;font-size:13px">filter_users = root</div><div style="font-family:arial,sans-serif;font-size:13px">reconnection_retries = 3</div><div style="font-family:arial,sans-serif;font-size:13px">
<br></div><div style="font-family:arial,sans-serif;font-size:13px">[pam]</div><div style="font-family:arial,sans-serif;font-size:13px">reconnection_retries = 3</div><div style="font-family:arial,sans-serif;font-size:13px">
<br></div><div style="font-family:arial,sans-serif;font-size:13px">[domain/INT.HOME.LAN]</div><div style="font-family:arial,sans-serif;font-size:13px"># Unless you know you need referrals, turn them off</div><div style="font-family:arial,sans-serif;font-size:13px">
ldap_referrals = false</div><div style="font-family:arial,sans-serif;font-size:13px"># Uncomment if you need offline logins</div><div style="font-family:arial,sans-serif;font-size:13px">cache_credentials = true</div><div style="font-family:arial,sans-serif;font-size:13px">
enumerate = false</div><div style="font-family:arial,sans-serif;font-size:13px"><br></div><div style="font-family:arial,sans-serif;font-size:13px">id_provider = ldap</div><div style="font-family:arial,sans-serif;font-size:13px">
auth_provider = krb5</div><div style="font-family:arial,sans-serif;font-size:13px">chpass_provider = krb5</div><div style="font-family:arial,sans-serif;font-size:13px">access_provider = ldap</div><div style="font-family:arial,sans-serif;font-size:13px">
<br></div><div style="font-family:arial,sans-serif;font-size:13px"># Uncomment if service discovery is not working</div><div style="font-family:arial,sans-serif;font-size:13px">ldap_uri = ldap://vagrant-2008r2.int.home.lan</div>
<div style="font-family:arial,sans-serif;font-size:13px"><br></div><div style="font-family:arial,sans-serif;font-size:13px"># Comment out if not using SASL/GSSAPI to bind</div><div style="font-family:arial,sans-serif;font-size:13px">
ldap_sasl_mech = GSSAPI</div><div style="font-family:arial,sans-serif;font-size:13px"># Uncomment and adjust if the default principal host/fqdn at REALM is not available</div><div style="font-family:arial,sans-serif;font-size:13px">
#ldap_sasl_authid = nfs/<a href="http://client.ad.example.com/" target="_blank">client.ad.example.com</a> at <a href="http://ad.example.com/" target="_blank">AD.EXAMPLE.COM</a></div><div style="font-family:arial,sans-serif;font-size:13px">
<br></div><div style="font-family:arial,sans-serif;font-size:13px"># Define these only if anonymous binds are not allowed and no keytab is available</div><div style="font-family:arial,sans-serif;font-size:13px"># Enabling use_start_tls is very important, otherwise the bind password is transmitted</div>
<div style="font-family:arial,sans-serif;font-size:13px"># over the network in the clear</div><div style="font-family:arial,sans-serif;font-size:13px">#ldap_id_use_start_tls = True</div><div style="font-family:arial,sans-serif;font-size:13px">
#ldap_default_bind_dn = CN=test,CN=Users,DC=int,DC=home,DC=local</div><div style="font-family:arial,sans-serif;font-size:13px">#ldap_default_authtok_type = password</div><div style="font-family:arial,sans-serif;font-size:13px">
#ldap_default_authtok = secretpassword</div><div style="font-family:arial,sans-serif;font-size:13px"><br></div><div style="font-family:arial,sans-serif;font-size:13px">ldap_schema = rfc2307bis</div><div style="font-family:arial,sans-serif;font-size:13px">
<br></div><div style="font-family:arial,sans-serif;font-size:13px">ldap_user_search_base = CN=Users,DC=int,DC=home,DC=lan</div><div style="font-family:arial,sans-serif;font-size:13px">ldap_user_object_class = user</div><div style="font-family:arial,sans-serif;font-size:13px">
<br></div><div style="font-family:arial,sans-serif;font-size:13px">ldap_user_home_directory = unixHomeDirectory</div><div style="font-family:arial,sans-serif;font-size:13px">ldap_user_principal = userPrincipalName</div><div style="font-family:arial,sans-serif;font-size:13px">
<br></div><div style="font-family:arial,sans-serif;font-size:13px">ldap_group_search_base = CN=linuxadmins,DC=int,DC=home,DC=lan</div><div style="font-family:arial,sans-serif;font-size:13px">ldap_group_object_class = group</div>
<div style="font-family:arial,sans-serif;font-size:13px"><br></div><div style="font-family:arial,sans-serif;font-size:13px">#ldap_access_filter = memberOf=cn=linuxadmins,dc=int,dc=home,dc=lan</div><div style="font-family:arial,sans-serif;font-size:13px">
<br></div><div style="font-family:arial,sans-serif;font-size:13px">ldap_access_order = expire</div><div style="font-family:arial,sans-serif;font-size:13px">ldap_account_expire_policy = ad</div><div style="font-family:arial,sans-serif;font-size:13px">
ldap_force_upper_case_realm = true</div><div style="font-family:arial,sans-serif;font-size:13px">#ldap_krb5_init_creds = true</div><div style="font-family:arial,sans-serif;font-size:13px"><br></div><div style="font-family:arial,sans-serif;font-size:13px">
# Uncomment if dns discovery of your AD servers isn&#39;t working.</div><div style="font-family:arial,sans-serif;font-size:13px">#krb5_server = 192.168.3.11</div><div style="font-family:arial,sans-serif;font-size:13px">krb5_realm = INT.HOME.LAN</div>
<div style="font-family:arial,sans-serif;font-size:13px">#krb5_keytab = /etc/krb5.keytab</div><div style="font-family:arial,sans-serif;font-size:13px"><br></div><div style="font-family:arial,sans-serif;font-size:13px"># Probably required with sssd 1.8.x and newer</div>
<div style="font-family:arial,sans-serif;font-size:13px">krb5_canonicalize = false</div><div style="font-family:arial,sans-serif;font-size:13px"><br></div><div style="font-family:arial,sans-serif;font-size:13px"># Perhaps you need to redirect to certain attributes?</div>
<div style="font-family:arial,sans-serif;font-size:13px">#ldap_user_object_class = user</div><div style="font-family:arial,sans-serif;font-size:13px">#ldap_user_name = sAMAccountName</div><div style="font-family:arial,sans-serif;font-size:13px">
#ldap_user_uid_number = msSFU30UidNumber</div><div style="font-family:arial,sans-serif;font-size:13px">#ldap_user_gid_number = msSFU30GidNumber</div><div style="font-family:arial,sans-serif;font-size:13px">#ldap_user_gecos = displayName</div>
<div style="font-family:arial,sans-serif;font-size:13px">#ldap_user_home_directory = msSFU30HomeDirectory</div><div style="font-family:arial,sans-serif;font-size:13px">#ldap_user_shell = msSFU30LoginShell</div><div style="font-family:arial,sans-serif;font-size:13px">
#ldap_user_principal = userPrincipalName</div><div style="font-family:arial,sans-serif;font-size:13px">#ldap_group_object_class = group</div><div style="font-family:arial,sans-serif;font-size:13px">#ldap_group_name = cn</div>
<div style="font-family:arial,sans-serif;font-size:13px">#ldap_group_gid_number = msSFU30GidNumber</div></div><br clear="all"><div><br></div><div>error output:</div><div><br></div><div><div>(Fri May  2 08:45:01 2014) [sssd[nss]] [nss_cmd_getpwnam] (0x0100): Requesting info for [paul1] from [&lt;ALL&gt;]</div>
<div>(Fri May  2 08:45:01 2014) [sssd[nss]] [nss_cmd_getpwnam_search] (0x0100): Requesting info for [paul1@INT.HOME.LAN]</div><div>(Fri May  2 08:45:01 2014) [sssd[be[INT.HOME.LAN]]] [be_get_account_info] (0x0100): Got request for [4097][1][name=paul1]</div>
<div>(Fri May  2 08:45:01 2014) [sssd[be[INT.HOME.LAN]]] [fo_resolve_service_send] (0x0100): Trying to resolve service &#39;LDAP&#39;</div><div>(Fri May  2 08:45:01 2014) [sssd[be[INT.HOME.LAN]]] [resolv_gethostbyname_files_send] (0x0100): Trying to resolve A record of &#39;vagrant-2008r2.int.home.lan&#39; in files</div>
<div>(Fri May  2 08:45:01 2014) [sssd[be[INT.HOME.LAN]]] [set_server_common_status] (0x0100): Marking server &#39;vagrant-2008r2.int.home.lan&#39; as &#39;resolving name&#39;</div><div>(Fri May  2 08:45:01 2014) [sssd[be[INT.HOME.LAN]]] [resolv_gethostbyname_files_send] (0x0100): Trying to resolve AAAA record of &#39;vagrant-2008r2.int.home.lan&#39; in files</div>
<div>(Fri May  2 08:45:01 2014) [sssd[be[INT.HOME.LAN]]] [resolv_gethostbyname_next] (0x0200): No more address families to retry</div><div>(Fri May  2 08:45:01 2014) [sssd[be[INT.HOME.LAN]]] [resolv_gethostbyname_dns_query] (0x0100): Trying to resolve A record of &#39;vagrant-2008r2.int.home.lan&#39; in DNS</div>
<div>(Fri May  2 08:45:01 2014) [sssd[be[INT.HOME.LAN]]] [set_server_common_status] (0x0100): Marking server &#39;vagrant-2008r2.int.home.lan&#39; as &#39;name resolved&#39;</div><div>(Fri May  2 08:45:01 2014) [sssd[be[INT.HOME.LAN]]] [be_resolve_server_done] (0x0200): Found address for server vagrant-2008r2.int.home.lan: [192.168.3.2] TTL 3600</div>
<div>(Fri May  2 08:45:01 2014) [sssd[be[INT.HOME.LAN]]] [get_naming_context] (0x0200): Using value from [defaultNamingContext] as naming context.</div><div>(Fri May  2 08:45:01 2014) [sssd[be[INT.HOME.LAN]]] [sdap_set_search_base] (0x0100): Setting option [ldap_search_base] to [DC=int,DC=home,DC=lan].</div>
<div>(Fri May  2 08:45:01 2014) [sssd[be[INT.HOME.LAN]]] [common_parse_search_base] (0x0100): Search base added: [DEFAULT][DC=int,DC=home,DC=lan][SUBTREE][]</div><div>(Fri May  2 08:45:01 2014) [sssd[be[INT.HOME.LAN]]] [sdap_set_search_base] (0x0100): Setting option [ldap_netgroup_search_base] to [DC=int,DC=home,DC=lan].</div>
<div>(Fri May  2 08:45:01 2014) [sssd[be[INT.HOME.LAN]]] [common_parse_search_base] (0x0100): Search base added: [NETGROUP][DC=int,DC=home,DC=lan][SUBTREE][]</div><div>(Fri May  2 08:45:01 2014) [sssd[be[INT.HOME.LAN]]] [sdap_set_search_base] (0x0100): Setting option [ldap_sudo_search_base] to [DC=int,DC=home,DC=lan].</div>
<div>(Fri May  2 08:45:01 2014) [sssd[be[INT.HOME.LAN]]] [common_parse_search_base] (0x0100): Search base added: [SUDO][DC=int,DC=home,DC=lan][SUBTREE][]</div><div>(Fri May  2 08:45:01 2014) [sssd[be[INT.HOME.LAN]]] [sdap_set_search_base] (0x0100): Setting option [ldap_service_search_base] to [DC=int,DC=home,DC=lan].</div>
<div>(Fri May  2 08:45:01 2014) [sssd[be[INT.HOME.LAN]]] [common_parse_search_base] (0x0100): Search base added: [SERVICE][DC=int,DC=home,DC=lan][SUBTREE][]</div><div>(Fri May  2 08:45:01 2014) [sssd[be[INT.HOME.LAN]]] [sdap_set_search_base] (0x0100): Setting option [ldap_autofs_search_base] to [DC=int,DC=home,DC=lan].</div>
<div>(Fri May  2 08:45:01 2014) [sssd[be[INT.HOME.LAN]]] [common_parse_search_base] (0x0100): Search base added: [AUTOFS][DC=int,DC=home,DC=lan][SUBTREE][]</div><div>(Fri May  2 08:45:01 2014) [sssd[be[INT.HOME.LAN]]] [fo_resolve_service_send] (0x0100): Trying to resolve service &#39;KERBEROS&#39;</div>
<div>(Fri May  2 08:45:01 2014) [sssd[be[INT.HOME.LAN]]] [resolv_gethostbyname_files_send] (0x0100): Trying to resolve A record of &#39;client&#39; in files</div><div>(Fri May  2 08:45:01 2014) [sssd[be[INT.HOME.LAN]]] [resolve_srv_cont] (0x0100): Searching for servers via SRV query &#39;_KERBEROS._udp.int.home.lan&#39;</div>
<div>(Fri May  2 08:45:01 2014) [sssd[be[INT.HOME.LAN]]] [resolv_getsrv_send] (0x0100): Trying to resolve SRV record of &#39;_KERBEROS._udp.int.home.lan&#39;</div><div>(Fri May  2 08:45:01 2014) [sssd[be[INT.HOME.LAN]]] [set_srv_data_status] (0x0100): Marking SRV lookup of service &#39;KERBEROS&#39; as &#39;resolved&#39;</div>
<div>(Fri May  2 08:45:01 2014) [sssd[be[INT.HOME.LAN]]] [be_resolve_server_done] (0x0200): Found address for server vagrant-2008r2.int.home.lan: [192.168.3.2] TTL 3600</div><div>(Fri May  2 08:45:01 2014) [[sssd[ldap_child[5745]]]] [select_principal_from_keytab] (0x0200): trying to select the most appropriate principal from keytab</div>
<div>(Fri May  2 08:45:01 2014) [[sssd[ldap_child[5745]]]] [select_principal_from_keytab] (0x0200): Selected principal: CLIENT$@INT.HOME.LAN</div><div>(Fri May  2 08:45:01 2014) [[sssd[ldap_child[5745]]]] [ldap_child_get_tgt_sync] (0x0100): Principal name is: [CLIENT$@INT.HOME.LAN]</div>
<div>(Fri May  2 08:45:01 2014) [[sssd[ldap_child[5745]]]] [ldap_child_get_tgt_sync] (0x0200): Loaded 4 enctypes from keytab for CLIENT$@INT.HOME.LAN</div><div>(Fri May  2 08:45:01 2014) [sssd[be[INT.HOME.LAN]]] [sasl_bind_send] (0x0100): Executing sasl bind mech: GSSAPI, user: (null)</div>
<div>(Fri May  2 08:45:01 2014) [sssd[be[INT.HOME.LAN]]] [child_sig_handler] (0x0100): child [5745] finished successfully.</div><div>(Fri May  2 08:45:01 2014) [sssd[be[INT.HOME.LAN]]] [fo_set_port_status] (0x0100): Marking port 389 of server &#39;vagrant-2008r2.int.home.lan&#39; as &#39;working&#39;</div>
<div>(Fri May  2 08:45:01 2014) [sssd[be[INT.HOME.LAN]]] [set_server_common_status] (0x0100): Marking server &#39;vagrant-2008r2.int.home.lan&#39; as &#39;working&#39;</div><div>(Fri May  2 08:45:01 2014) [sssd[nss]] [nss_cmd_getpwnam_search] (0x0100): Requesting info for [paul1@INT.HOME.LAN]</div>
<div>(Fri May  2 08:45:01 2014) [sssd[be[INT.HOME.LAN]]] [acctinfo_callback] (0x0100): Request processed. Returned 0,0,Success</div><div>(Fri May  2 08:45:04 2014) [sssd] [service_send_ping] (0x0100): Pinging INT.HOME.LAN</div>
<div>(Fri May  2 08:45:04 2014) [sssd] [service_send_ping] (0x0100): Pinging nss</div><div>(Fri May  2 08:45:04 2014) [sssd] [service_send_ping] (0x0100): Pinging pam</div></div><div><br></div><div><br></div>-- <br><div dir="ltr">
Vänliga Hälsningar / Best Regards<div>Paul Liljenberg</div></div>
</div></div>