<div dir="ltr"><div>So here is the step i had to get PAM+PASS SSSD working on centos5.10 <br></div><div>- Upgrade openldap to 2.4.39 (recent openldap lib other than 2.4.19 otherwise, sssd would segfault) , will need to install nss-tool </div>
<div>- Upgrade nss with nss-pem </div><div><br></div><div>For those who has tried and didnt have success with working cert with openldap + openssl/openssh </div><div><br></div></div><div class="gmail_extra"><br><br><div class="gmail_quote">
On Fri, Aug 22, 2014 at 4:35 PM, Daniel Jung <span dir="ltr">&lt;<a href="mailto:mimianddaniel@gmail.com" target="_blank">mimianddaniel@gmail.com</a>&gt;</span> wrote:<br><blockquote class="gmail_quote" style="margin:0 0 0 .8ex;border-left:1px #ccc solid;padding-left:1ex">
<div dir="ltr"><div><br></div>Hi Lukas, <div><br></div><div>By eliminating the link libs to SSSD, i rebuilt nss and noticed that there is no libnsspem.so from the src [0] which seems to be required for reading PEM cert.  </div>

<div><br></div><div>After rebuilding nss with nss_pem.git[1] for cento5 and PAM passwd + auth works now. </div><div class="gmail_extra"><div class="gmail_extra">Sat Aug 23 01:15:02:652979 2014) [sssd[be[LDAP]]] [sdap_ldap_connect_callback_add] (0x1000): New LDAP connection to with fd [27].</div>


<div class="gmail_extra">(Sat Aug 23 01:15:02:652999 2014) [sssd[be[LDAP]]] [sdap_sys_connect_done] (0x0100): Executing START TLS</div><div class="gmail_extra">(Sat Aug 23 01:15:02:653682 2014) [sssd[be[LDAP]]] [sdap_connect_done] (0x0080): START TLS result: Success(0), (null)</div>


<div><br></div><div>Openldap user land tools and openssh were able to create TLS connections to the ldap server without this rebuilt of NSS with libnsspem, which seems to indicate that when sssd was built it didnt have approprate dependency to read the pem file properly for centos5 &gt; 5.6. I havent heard from anyone on the list to say that PAM + AUTH + SSSD is working on centos 5.6 and up yet. I found this to be very unsettling. Could you please verify? </div>

<div><br></div><div>Thanks</div><div><br></div><div>[0]</div><div><a href="http://ftp.mozilla.org/pub/mozilla.org/security/nss/releases/NSS_3_16_4_RTM/src/nss-3.16.4.tar.gz" target="_blank">http://ftp.mozilla.org/pub/mozilla.org/security/nss/releases/NSS_3_16_4_RTM/src/nss-3.16.4.tar.gz</a><br>

</div><div><br></div></div><div class="gmail_extra">[1]</div><div class="gmail_extra"><a href="https://git.fedorahosted.org/cgit/nss-pem.git/" target="_blank">https://git.fedorahosted.org/cgit/nss-pem.git/</a><div><div class="h5">
<br>
<br><div class="gmail_quote">On Fri, Aug 22, 2014 at 3:23 PM, Lukas Slebodnik <span dir="ltr">&lt;<a href="mailto:lslebodn@redhat.com" target="_blank">lslebodn@redhat.com</a>&gt;</span> wrote:<br><blockquote class="gmail_quote" style="margin:0px 0px 0px 0.8ex;border-left-width:1px;border-left-color:rgb(204,204,204);border-left-style:solid;padding-left:1ex">


<div>On (22/08/14 15:17), Daniel Jung wrote:<br>
&gt;Have already tested on different LDAP servers but running same version, the<br>
&gt;latest avail from openldap, 2.4.39 and still same failure with TLS.<br>
&gt;<br>
</div>There should not be problem with openldap-server-2.4.39.<br>
Do you use the same valid certificate (even self-signed) on server and client?<br>
Could you send me log files with debug_level = 10?<br>
<div><div><br>
LS<br>
_______________________________________________<br>
sssd-users mailing list<br>
<a href="mailto:sssd-users@lists.fedorahosted.org" target="_blank">sssd-users@lists.fedorahosted.org</a><br>
<a href="https://lists.fedorahosted.org/mailman/listinfo/sssd-users" target="_blank">https://lists.fedorahosted.org/mailman/listinfo/sssd-users</a><br>
</div></div></blockquote></div><br></div></div></div></div>
</blockquote></div><br></div>