<html>
<head>
<meta http-equiv="Content-Type" content="text/html; charset=utf-8">
</head>
<body style="word-wrap: break-word; -webkit-nbsp-mode: space; -webkit-line-break: after-white-space; color: rgb(0, 0, 0); font-size: 14px; font-family: Calibri, sans-serif;">
<div>Hello,</div>
<div><br>
</div>
<div>I’m configuring CentOS 6.5 server to authenticate users and sudo rights against local Samba 4.1.8 (compiled from source). Sssd is 1.9.2 from package repository. User authentication works OK, I can log in with user that exists only in Samba but sudoing
 with the same user fails. After hours of trying I still can’t get it right, sssd_sudo receives 0 rules from samba. Doing ldapsearch with criteria from logs do return sudoer entries as below. Am I missing something obvious?</div>
<div>Below are (in order) ldapsearch, ssssd.conf and sssd_default.log (part which I think relevant).</div>
<div><br>
</div>
<div>
<div>[root@dc1 sssd]# ldapsearch -h dc1 -Y GSSAPI -b OU=SUDOers,DC=teemu,DC=local '(&amp;(objectClass=sudoRole)(|(!(sudoHost=*))(sudoHost=ALL)(sudoHost=Host01)(sudoHost=Host01.example.com)(sudoHost=192.168.0.21)(sudoHost=192.168.0.0/24)(sudoHost=fe80::786b:f4ff:fe87:3314)(sudoHost=fe80::/64)(sudoHost=&#43;*)(|(sudoHost=*\\*)(sudoHost=*?*)(sudoHost=*\**)(sudoHost=*[*]*))))'</div>
<div>SASL/GSSAPI authentication started</div>
<div>SASL username: administrator@TEEMU.LOCAL</div>
<div>SASL SSF: 56</div>
<div>SASL data security layer installed.</div>
<div># extended LDIF</div>
<div>#</div>
<div># LDAPv3</div>
<div># base &lt;OU=SUDOers,DC=teemu,DC=local&gt; with scope subtree</div>
<div># filter: (&amp;(objectClass=sudoRole)(|(!(sudoHost=*))(sudoHost=ALL)(sudoHost=Host01)(sudoHost=Host01.example.com)(sudoHost=192.168.0.21)(sudoHost=192.168.0.0/24)(sudoHost=fe80::786b:f4ff:fe87:3314)(sudoHost=fe80::/64)(sudoHost=&#43;*)(|(sudoHost=*\\*)(sudoHost=*?*)(sudoHost=*\**)(sudoHost=*[*]*))))</div>
<div># requesting: ALL</div>
<div>#</div>
<div><br>
</div>
<div># defaults, SUDOers, teemu.local</div>
<div>dn: CN=defaults,OU=SUDOers,DC=teemu,DC=local</div>
<div>objectClass: top</div>
<div>objectClass: sudoRole</div>
<div>cn: defaults</div>
<div>description: Default sudoOption's go here</div>
<div>instanceType: 4</div>
<div>whenCreated: 20140625194645.0Z</div>
<div>whenChanged: 20140625194645.0Z</div>
<div>uSNCreated: 3798</div>
<div>uSNChanged: 3798</div>
<div>name: defaults</div>
<div>objectGUID:: vrCxbL/QkUGFyZWvELWj/w==</div>
<div>objectCategory: CN=sudoRole,CN=Schema,CN=Configuration,DC=teemu,DC=local</div>
<div>sudoOption: env_keep&#43;=SSH_AUTH_SOCK</div>
<div>distinguishedName: CN=defaults,OU=SUDOers,DC=teemu,DC=local</div>
<div><br>
</div>
<div># %wheel, SUDOers, teemu.local</div>
<div>dn: CN=%wheel,OU=SUDOers,DC=teemu,DC=local</div>
<div>objectClass: top</div>
<div>objectClass: sudoRole</div>
<div>cn: %wheel</div>
<div>instanceType: 4</div>
<div>whenCreated: 20140626094147.0Z</div>
<div>whenChanged: 20140626094147.0Z</div>
<div>uSNCreated: 3800</div>
<div>uSNChanged: 3800</div>
<div>name: %wheel</div>
<div>objectGUID:: jpGX5AmGUkimPw1yl&#43;oZkA==</div>
<div>objectCategory: CN=sudoRole,CN=Schema,CN=Configuration,DC=teemu,DC=local</div>
<div>sudoUser: %wheel</div>
<div>sudoHost: ALL</div>
<div>sudoCommand: ALL</div>
<div>distinguishedName: CN=%wheel,OU=SUDOers,DC=teemu,DC=local</div>
<div><br>
</div>
<div># reima, SUDOers, teemu.local</div>
<div>dn: CN=reima,OU=SUDOers,DC=teemu,DC=local</div>
<div>objectClass: top</div>
<div>objectClass: sudoRole</div>
<div>cn: reima</div>
<div>instanceType: 4</div>
<div>whenCreated: 20140625194650.0Z</div>
<div>whenChanged: 20140625194650.0Z</div>
<div>uSNCreated: 3799</div>
<div>uSNChanged: 3799</div>
<div>name: reima</div>
<div>objectGUID:: U1paZdVOSke2zmInSenFTg==</div>
<div>objectCategory: CN=sudoRole,CN=Schema,CN=Configuration,DC=teemu,DC=local</div>
<div>sudoUser: reima</div>
<div>sudoHost: ALL</div>
<div>sudoCommand: ALL</div>
<div>distinguishedName: CN=reima,OU=SUDOers,DC=teemu,DC=local</div>
<div><br>
</div>
<div># search result</div>
<div>search: 4</div>
<div>result: 0 Success</div>
<div><br>
</div>
<div># numResponses: 4</div>
<div># numEntries: 3</div>
<div><br>
</div>
</div>
<div><br>
</div>
<div><br>
</div>
<div>Sssd.conf:</div>
<div>
<div>[sssd]</div>
<div>services = nss, pam, sudo</div>
<div>config_file_version = 2</div>
<div>domains = default</div>
<div>debug_level = 10</div>
<div><br>
</div>
<div>[nss]</div>
<div><br>
</div>
<div>[pam]</div>
<div><br>
</div>
<div>[sudo]</div>
<div>debug_level = 10</div>
<div><br>
</div>
<div>[domain/default]</div>
<div>debug_level = 10</div>
<div>id_provider = ldap</div>
<div>sudo_provider = ldap</div>
<div>ldap_schema = rfc2307bis</div>
<div>ldap_referrals = false</div>
<div>ldap_uri = ldap://dc1.teemu.local</div>
<div>ldap_search_base = cn=Users,dc=teemu,dc=local</div>
<div>ldap_sudo_search_base = ou=sudoers,dc=teemu,dc=local</div>
<div>ldap_force_upper_case_realm = true</div>
<div><br>
</div>
<div># See man sssd-simple</div>
<div>access_provider = simple</div>
<div># Uncomment to check for account expiration in DC</div>
<div># access_provider = ldap</div>
<div># ldap_access_order = expire</div>
<div># ldap_account_expire_policy = ad</div>
<div><br>
</div>
<div># Enumeration is discouraged for performance reasons.</div>
<div># enumerate = true</div>
<div><br>
</div>
<div>ldap_default_bind_dn = cn=Administrator,cn=Users,dc=teemu,dc=local</div>
<div>ldap_default_authtok = XXXXXX</div>
<div><br>
</div>
<div>auth_provider = krb5</div>
<div>chpass_provider = krb5</div>
<div>ldap_sasl_mech = gssapi</div>
<div>ldap_sasl_authid = dc1$@TEEMU.LOCAL</div>
<div>krb5_realm = TEEMU.LOCAL</div>
<div>krb5_server = dc1.teemu.local</div>
<div>krb5_kpasswd = dc1.teemu.local</div>
<div>ldap_krb5_keytab = /etc/krb5.sssd.keytab</div>
<div><br>
</div>
<div>ldap_user_object_class = user</div>
<div>ldap_user_name = samAccountName</div>
<div>ldap_user_home_directory = unixHomeDirectory</div>
<div>ldap_user_principal = userPrincipalName</div>
<div>ldap_user_shell = loginShell</div>
<div><br>
</div>
<div>ldap_group_object_class = group</div>
<div><br>
</div>
</div>
<div>sssd_default.log:</div>
<div>
<div>(Fri Jun 27 14:56:27 2014) [sssd[be[default]]] [sdap_sudo_refresh_connect_done] (0x0400): SUDO LDAP connection successful</div>
<div>(Fri Jun 27 14:56:27 2014) [sssd[be[default]]] [sdap_sudo_load_sudoers_next_base] (0x0400): Searching for sudo rules with base [ou=sudoers,dc=teemu,dc=local]</div>
<div>(Fri Jun 27 14:56:27 2014) [sssd[be[default]]] [sdap_get_generic_ext_step] (0x0400): calling ldap_search_ext with [(&amp;(objectClass=sudoRole)(|(!(sudoHost=*))(sudoHost=ALL)\</div>
<div>(sudoHost=dc1)(sudoHost=dc1)(sudoHost=10.0.2.15)(sudoHost=10.0.2.0/24)(sudoHost=192.168.1.1)(sudoHost=192.168.1.0/24)(sudoHost=fe80::a00:27ff:fede:ba44)(sudoHost=fe80::/6\</div>
<div>4)(sudoHost=fe80::a00:27ff:fef3:dc1)(sudoHost=fe80::/64)(sudoHost=&#43;*)(|(sudoHost=*\\*)(sudoHost=*?*)(sudoHost=*\**)(sudoHost=*[*]*))))][ou=sudoers,dc=teemu,dc=local].</div>
<div>(Fri Jun 27 14:56:27 2014) [sssd[be[default]]] [sdap_get_generic_ext_step] (0x1000): Requesting attrs: [objectClass]</div>
<div>(Fri Jun 27 14:56:27 2014) [sssd[be[default]]] [sdap_get_generic_ext_step] (0x1000): Requesting attrs: [cn]</div>
<div>(Fri Jun 27 14:56:27 2014) [sssd[be[default]]] [sdap_get_generic_ext_step] (0x1000): Requesting attrs: [sudoCommand]</div>
<div>(Fri Jun 27 14:56:27 2014) [sssd[be[default]]] [sdap_get_generic_ext_step] (0x1000): Requesting attrs: [sudoHost]</div>
<div>(Fri Jun 27 14:56:27 2014) [sssd[be[default]]] [sdap_get_generic_ext_step] (0x1000): Requesting attrs: [sudoUser]</div>
<div>(Fri Jun 27 14:56:27 2014) [sssd[be[default]]] [sdap_get_generic_ext_step] (0x1000): Requesting attrs: [sudoOption]</div>
<div>(Fri Jun 27 14:56:27 2014) [sssd[be[default]]] [sdap_get_generic_ext_step] (0x1000): Requesting attrs: [sudoRunAsUser]</div>
<div>(Fri Jun 27 14:56:27 2014) [sssd[be[default]]] [sdap_get_generic_ext_step] (0x1000): Requesting attrs: [sudoRunAsGroup]</div>
<div>(Fri Jun 27 14:56:27 2014) [sssd[be[default]]] [sdap_get_generic_ext_step] (0x1000): Requesting attrs: [sudoNotBefore]</div>
<div>(Fri Jun 27 14:56:27 2014) [sssd[be[default]]] [sdap_get_generic_ext_step] (0x1000): Requesting attrs: [sudoNotAfter]</div>
<div>(Fri Jun 27 14:56:27 2014) [sssd[be[default]]] [sdap_get_generic_ext_step] (0x1000): Requesting attrs: [sudoOrder]</div>
<div>(Fri Jun 27 14:56:27 2014) [sssd[be[default]]] [sdap_get_generic_ext_step] (0x1000): Requesting attrs: [uSNChanged]</div>
<div>(Fri Jun 27 14:56:27 2014) [sssd[be[default]]] [sdap_get_generic_ext_step] (0x2000): ldap_search_ext called, msgid = 12</div>
<div>(Fri Jun 27 14:56:27 2014) [sssd[be[default]]] [sdap_process_result] (0x2000): Trace: sh[0xfed4e0], connected[1], ops[0xff7c20], ldap[0xfedba0]</div>
<div>(Fri Jun 27 14:56:27 2014) [sssd[be[default]]] [sdap_process_message] (0x4000): Message type: [LDAP_RES_SEARCH_RESULT]</div>
<div>(Fri Jun 27 14:56:27 2014) [sssd[be[default]]] [sdap_get_generic_ext_done] (0x0400): Search result: Success(0), no errmsg set</div>
<div>(Fri Jun 27 14:56:27 2014) [sssd[be[default]]] [sdap_get_generic_ext_done] (0x1000): Total count [0]</div>
<div>(Fri Jun 27 14:56:27 2014) [sssd[be[default]]] [sdap_sudo_load_sudoers_process] (0x0400): Receiving sudo rules with base [ou=sudoers,dc=teemu,dc=local]</div>
<div>(Fri Jun 27 14:56:27 2014) [sssd[be[default]]] [sdap_sudo_load_sudoers_done] (0x0400): Received 0 rules</div>
</div>
<div><br>
</div>
</body>
</html>