<div dir="ltr"><div>Hello <br><br>I&#39;m struggle with configuration of sssd to retrieve group information defined in a subdomain.<br>I would have your support to solve my issue.<br><br>Here is my AD configuration. There are 3 AD servers. <br>
<br>Root Domain    <a href="http://labroot.example.com">labroot.example.com</a> (just for top AD management)<br>Sub Domain    <a href="http://labsso.labroot.example.com">labsso.labroot.example.com</a> (user, global group and universal group are defined here)<br>
Subsub Domain    <a href="http://labbu.labsso.labroot.example.com">labbu.labsso.labroot.example.com</a> (local domain group is defined here)<br><br>I created a user and groups in those AD servers as below.<br><br>User/Groups in Domain <a href="http://sso.example.com">sso.example.com</a><br>
========================<br>User    test_user (MemberOf=G-Group-Server)<br>Group    G-Role-ISOps-Server (Type: Global Group, Members=test_user, MemberOf=U-Role-ISOps-Server)<br>Group    U-Role-ISOps-Server (Type: Universal Group, Members=G-Role-ISOps-Server)<br>
<br>User/Groups in Domain <a href="http://sso.example.com">sso.example.com</a><br>========================<br>Group    D-Role-Server (Type: Domain Local Group, Members=U-Role-ISOps-Server)<br><br>As for SSSD, I tried to use both &quot;1.11.6&quot; and &quot;1.12.1&quot; with &quot;AD provider&quot; as backend.<br>
<br>I expected to get all groups (G-Role-ISOps-Server, U-Role-ISOps-Server and D-ISOps-Server) as a result of<br></div><div>&quot;id test_user&quot; command.<br></div><div>But I could not find domain local group (D-Role-ISOps-Server) in groups of the user &quot;test_user&quot;.<br>
as the result of &quot;id test_user&quot; command.<br>I also could not find any members as the result of &quot;getent group D-Role-ISOps-Server&quot; command.<br></div><div>I tried to use single domain (sso-ad-ad) and multiple domains (sso-ad-ad and bu-ad-ad) in sssd configuration, but the result is the almost same. (when I use sso-ad-ad domain only, I could not get anything as result of &quot;getent group d-role-isops-server&quot;).<br>
</div><div><br># id test_user<br>uid=638201126(test_user) gid=638200513(domain users) 
groups=638200513(domain 
users),638201113(g-role-server),638201118(u-role-server),638200512(domain
 admins)<br><br># getent group d-role-isops-server<br>d-role-isops-server:*:927601110:<br><br></div><div>I&#39;m not sure how SSSD AD provider searches group information based on members/memberOf attributes, I suspect missing &quot;memberOf&quot; in universal group (U-Role-*) and &quot;member of domain local group&quot; (U-Role-ISOps-Server) is out of scope of LABBU domain might be clue of my issue.<br>
</div><div>Please advise me what&#39;s wrong on my configuration and resolution of my issue.<br><br>Thanks in advance.<br>Shoji<br></div><div><br></div><div><br></div><div>*** Configurations and LDAP search results ***<br>
</div><div><br></div><div>sssd.conf file<br></div><div>==========<br>[sssd]<br>config_file_version = 2<br>services = nss, pam<br>domains = sso-ad-ad, bu-ad-ad<br># domains = sso-ad-ad<br>[nss]<br>fallback_homedir = /home/SSO/%u<br>
default_shell = /bin/bash<br>[pam]<br>[domain/sso-ad-ad]<br>id_provider = ad<br>auth_provider = ad<br>access_provider = ad<br>ad_server = <a href="http://jpbw0-in00-is82.labsso.labroot.isops.example.com">jpbw0-in00-is82.labsso.labroot.isops.example.com</a><br>
ad_hostname =  <a href="http://jpbw0-in00-is82.labsso.labroot.isops.example.com">jpbw0-in00-is82.labsso.labroot.isops.example.com</a><br>ldap_schema = ad<br>ad_enable_gc = true<br>ldap_id_mapping = true<br>debug_level = 1<br>
[domain/bu-ad-ad]<br>id_provider = ad<br>auth_provider = ad<br>chpass_provider = ad<br>ad_server = <a href="http://jpbw0-in00-is81.labbu.labsso.labroot.isops.example.com">jpbw0-in00-is81.labbu.labsso.labroot.isops.example.com</a><br>
ad_hostname =  <a href="http://jpbw0-in00-is81.labbu.labsso.labroot.isops.example.com">jpbw0-in00-is81.labbu.labsso.labroot.isops.example.com</a><br>ldap_id_mapping = true<br>debug_level = 1<br><br>LDAP Search in Global Catalog of LABSSO <br>
==================================<br>I can search the domain local group in the global catalog.<br><br>[root@jpbl0-in00-is11 providers]# ldapsearch  -Y GSSAPI -LLL -H &quot;ldap://<a href="http://jpbw0-in00-is82.labsso.labroot.isops.example.com:3268">jpbw0-in00-is82.labsso.labroot.isops.example.com:3268</a>&quot; -b &quot;DC=labsso,DC=labroot,DC=isops,DC=example,DC=com&quot; &quot;(&amp;(name=d-role-isops-server)(objectclass=group)(name=*))&quot;<br>
SASL/GSSAPI authentication started<br>SASL username: host/<a href="mailto:jpbl0-in00-is11.lab.isops.ibm.com@LABSSO.LABROOT.ISOPS.EXAMPLE.COM">jpbl0-in00-is11.lab.isops.ibm.com@LABSSO.LABROOT.ISOPS.EXAMPLE.COM</a><br>SASL SSF: 56<br>
SASL data security layer installed.<br>dn: CN=D-Role-ISOps-Server,OU=BU0-ISOps,OU=Roles,DC=labbu,DC=labsso,DC=labroot,DC=isops,DC=example,DC=com<br>objectClass: top<br>objectClass: group<br>cn: D-Role-ISOps-Server<br>description: Server Team <br>
distinguishedName: CN=D-Role-ISOps-Server,OU=BU0-ISOps,OU=Roles,DC=labbu,DC=labsso,DC=labroot,DC=isops,DC=example,DC=com<br>instanceType: 0<br>whenCreated: 20131029185150.0Z<br>whenChanged: 20131029185448.0Z<br>uSNCreated: 17964<br>
uSNChanged: 18034<br>name: D-Role-ISOps-Server<br>objectGUID:: YflnJQk4IUK4YUAHO43J6w==<br>objectSid:: AQUAAAAAAAUVAAAAml0mRju+InNXWri7VgQAAA==<br>sAMAccountName: D-Role-ISOps-Server<br>sAMAccountType: 536870912<br>groupType: -2147483644<br>
objectCategory: CN=Group,CN=Schema,CN=Configuration,DC=labroot,DC=isops,DC=example,DC=com<br>dSCorePropagationData: 16010101000000.0Z<br><br><br>LDAP Search in LABSSO <br>====================<br>I can not search the domain local group in normal domain.<br>
<br>[root@jpbl0-in00-is11]# ldapsearch  -Y GSSAPI -LLL -H &quot;ldap://<a href="http://jpbw0-in00-is82.labsso.labroot.isops.example.com">jpbw0-in00-is82.labsso.labroot.isops.example.com</a>&quot; -b &quot;DC=labsso,DC=labroot,DC=isops,DC=example,DC=com&quot; &quot;(&amp;(name=d-role-isops-server)(objectclass=group)(name=*))&quot;<br>
SASL/GSSAPI authentication started<br>SASL username: host/<a href="mailto:jpbl0-in00-is11.lab.isops.example.com@LABSSO.LABROOT.ISOPS.EXAMPLE.COM">jpbl0-in00-is11.lab.isops.example.com@LABSSO.LABROOT.ISOPS.EXAMPLE.COM</a><br>
SASL SSF: 56<br>SASL data security layer installed.<br># refldap://<a href="http://labbu.labsso.labroot.isops.example.com/DC=labbu,DC=labsso,DC=labroot">labbu.labsso.labroot.isops.example.com/DC=labbu,DC=labsso,DC=labroot</a>,<br>
 DC=isops,DC=example,DC=com<br><br># refldap://<a href="http://DomainDnsZones.labsso.labroot.isops.example.com/DC=DomainDnsZones,DC=">DomainDnsZones.labsso.labroot.isops.example.com/DC=DomainDnsZones,DC=</a><br> labsso,DC=labroot,DC=isops,DC=example,DC=com<br>
<br><br></div></div>