<html>
  <head>
    <meta content="text/html; charset=UTF-8" http-equiv="Content-Type">
  </head>
  <body bgcolor="#FFFFFF" text="#000000">
    <br>
    -----BEGIN PGP SIGNED MESSAGE-----<br>
    Hash: SHA256<br>
    <br>
    Stephen,<br>
    <br>
    That worked just great, thank you!<br>
    <br>
    Best regards,<br>
    George Vasiliu<br>
    Security Admin<br>
    Hostopia, a Deluxe Company<br>
    E-Mail: <a class="moz-txt-link-abbreviated" href="mailto:gvasiliu@hostopia.com">gvasiliu@hostopia.com</a><br>
    Tel: 416-883-6785, Cell: 647-924-7257<br>
    Key ID: 0x2D0D7895<br>
    Key Server: keys.gnupg.net<br>
    On 05/13/2014 04:21 PM, Stephen Gallagher wrote:<br>
    <span style="white-space: pre;">&gt; On 05/13/2014 03:56 PM, George
      Vasiliu wrote:<br>
      &gt;<br>
      &gt; &gt; Hi,<br>
      &gt;<br>
      &gt; &gt; We're migrating from pam_ldap to sssd and so far
      everything works<br>
      &gt; &gt; as expected: ldapsearch, getent passwd &lt;user&gt;,
      getent group<br>
      &gt; &gt; &lt;group&gt;, tested offline caching, great product!<br>
      &gt;<br>
      &gt; &gt; From a security perspective, nslcd ( CentOS 6) is not
      able to get<br>
      &gt; &gt; any users that are not part of certain allowed groups by
      having<br>
      &gt; &gt; "filter passwd LDAP_FILTER" in /etc/nslcd.conf. Is there
      any<br>
      &gt; &gt; similar functionality I could use with SSSD to prevent
      exposing<br>
      &gt; &gt; whole ldap tree? Do filter_groups or/and filter_users
      work with<br>
      &gt; &gt; ldap filters?<br>
      &gt;<br>
      &gt;<br>
      &gt; Take a look at the sssd-ldap(5) manpage[1] and search on<br>
      &gt; 'ldap_search_base'. It has an optional component that allows
      you to<br>
      &gt; specify a filter limiting the lookups.<br>
      &gt;<br>
      &gt; In your specific case, you're probably looking for:<br>
      &gt;<br>
      &gt; ldap_user_search_base =<br>
      &gt;
ou=users,o=Example,dc=example,dc=com?subtree?(|(description=CN=prod,OU=groups,O=Example,DC=example,DC=com)(description=CN=sec,OU=groups,O=Example,DC=example,DC=com))<br>
      &gt;<br>
      &gt;<br>
      &gt; [1]<br>
      &gt;
      <a class="moz-txt-link-freetext" href="http://jhrozek.fedorapeople.org/sssd/1.11.5.1/man/sssd-ldap.5.html">http://jhrozek.fedorapeople.org/sssd/1.11.5.1/man/sssd-ldap.5.html</a><br>
      &gt;<br>
      &gt; _______________________________________________<br>
      &gt; sssd-users mailing list<br>
      &gt; <a class="moz-txt-link-abbreviated" href="mailto:sssd-users@lists.fedorahosted.org">sssd-users@lists.fedorahosted.org</a><br>
      &gt; <a class="moz-txt-link-freetext" href="https://lists.fedorahosted.org/mailman/listinfo/sssd-users">https://lists.fedorahosted.org/mailman/listinfo/sssd-users</a><br>
      &gt;</span><br>
    <br>
    -----BEGIN PGP SIGNATURE-----<br>
    Version: GnuPG v1<br>
    Comment: Using GnuPG with Thunderbird - <a class="moz-txt-link-freetext" href="http://www.enigmail.net/">http://www.enigmail.net/</a><br>
    <br>
    iF4EAREIAAYFAlNyg5sACgkQeQrbMxAIdW2EwwD9GY3NIRrVhQ8NuINDvL7PdRll<br>
    JZgRT6aaFSypXg8oUlYBAIE3DhsV4k5ogsckeVq9IUoq/KxdOwwnD9Vs8XNPZKOT<br>
    =RqZt<br>
    -----END PGP SIGNATURE-----<br>
    <br>
  </body>
</html>