<div dir="ltr"><div>Hi,</div><div><br></div><div>My rhel version is:</div><div>[root@etl4 ~]# cat /etc/redhat-release</div><div>Red Hat Enterprise Linux Server release 6.2 (Santiago)</div><div>[root@etl4 ~]# uname -a</div>
<div>Linux etl4 2.6.32-279.19.1.el6.x86_64 #1 SMP Sat Nov 24 14:35:28 EST 2012 x86_64 x86_64 x86_64 GNU/Linux</div><div><br></div><div>Indeed I need to avoid joining the hosts to the domain.</div><div><br></div><div>To describe the group topology is quite difficult as it is a huge corporate domain and i am not strictly aware of all the groups.</div>
<div>Do you have more specific questions about that?</div><div><br></div><div>Thanks,</div><div><br></div><div>Kristjan</div><div><br></div><div><br></div><div><br></div><div><br></div></div><div class="gmail_extra"><br><br>
<div class="gmail_quote">On Thu, Aug 28, 2014 at 7:26 PM, Jakub Hrozek <span dir="ltr">&lt;<a href="mailto:jhrozek@redhat.com" target="_blank">jhrozek@redhat.com</a>&gt;</span> wrote:<br><blockquote class="gmail_quote" style="margin:0 0 0 .8ex;border-left:1px #ccc solid;padding-left:1ex">
<div class="HOEnZb"><div class="h5">On Thu, Aug 28, 2014 at 07:14:13PM +0300, Kristjan Elias wrote:<br>
&gt; Hi all,<br>
&gt;<br>
&gt; I have been having some trouble lately with our setup of sssd what i will<br>
&gt; try to describe for you now.<br>
&gt;<br>
&gt; For the past year we have been using sssd to authenticate our RHEL6 local<br>
&gt; users from Corporate MS AD.<br>
&gt; This has been working without any problems so far.<br>
&gt;<br>
&gt; Last week the last of our DC AD servers were upgraded to Windows server<br>
&gt; 2012R2 and now the problems started.<br>
&gt; Firstly AD performance enhancements were lost.<br>
&gt;<br>
&gt; Snippet from logs:<br>
&gt;<br>
&gt; (Wed Aug 20 12:21:17 2014) [sssd[be[MS_AD]]]<br>
&gt; [sdap_get_server_opts_from_rootdse] (0x0100): Setting AD compatibility<br>
&gt; level to [5]<br>
&gt;<br>
&gt; (Wed Aug 20 14:34:38 2014) [sssd[be[MS_AD]]]<br>
&gt; [sdap_get_server_opts_from_rootdse] (0x0100): Setting AD compatibility<br>
&gt; level to [5]<br>
&gt;<br>
&gt; (Wed Aug 20 15:22:52 2014) [sssd[be[MS_AD]]]<br>
&gt; [sdap_get_server_opts_from_rootdse] (0x0100): Setting AD compatibility<br>
&gt; level to [5]<br>
&gt;<br>
&gt; (Wed Aug 20 16:03:46 2014) [sssd[be[MS_AD]]]<br>
&gt; [sdap_get_server_opts_from_rootdse] (0x0100): Setting AD compatibility<br>
&gt; level to [5]<br>
&gt;<br>
&gt; (Wed Aug 20 16:24:53 2014) [sssd[be[MS_AD]]]<br>
&gt; [sdap_get_server_opts_from_rootdse] (0x0100): Setting AD compatibility<br>
&gt; level to [5]<br>
&gt;<br>
&gt; (Wed Aug 20 16:49:04 2014) [sssd[be[MS_AD]]]<br>
&gt; [sdap_get_server_opts_from_rootdse] (0x0100): Setting AD compatibility<br>
&gt; level to [5]<br>
&gt;<br>
&gt; (Wed Aug 20 17:45:55 2014) [sssd[be[MS_AD]]]<br>
&gt; [sdap_get_server_opts_from_rootdse] (0x0100): Setting AD compatibility<br>
&gt; level to [5]<br>
&gt;<br>
&gt; (Wed Aug 20 18:05:01 2014) [sssd[be[MS_AD]]]<br>
&gt; [sdap_get_server_opts_from_rootdse] (0x0100): Setting AD compatibility<br>
&gt; level to [5]<br>
&gt;<br>
&gt; (Thu Aug 21 02:20:38 2014) [sssd[be[MS_AD]]]<br>
&gt; [sdap_get_server_opts_from_rootdse] (0x0080): Received invalid value for AD<br>
&gt; compatibility level. Continuing without AD performance enhancements<br>
&gt;<br>
&gt; (Thu Aug 21 04:43:38 2014) [sssd[be[MS_AD]]]<br>
&gt; [sdap_get_server_opts_from_rootdse] (0x0080): Received invalid value for AD<br>
&gt; compatibility level. Continuing without AD performance enhancements<br>
&gt;<br>
&gt; (Thu Aug 21 10:27:18 2014) [sssd[be[MS_AD]]]<br>
&gt; [sdap_get_server_opts_from_rootdse] (0x0080): Received invalid value for AD<br>
&gt; compatibility level. Continuing without AD performance enhancements<br>
&gt;<br>
&gt; (Thu Aug 21 10:32:27 2014) [sssd[be[MS_AD]]]<br>
&gt; [sdap_get_server_opts_from_rootdse] (0x0080): Received invalid value for AD<br>
&gt; compatibility level. Continuing without AD performance enhancements<br>
&gt;<br>
&gt; (Thu Aug 21 10:52:46 2014) [sssd[be[MS_AD]]]<br>
&gt; [sdap_get_server_opts_from_rootdse] (0x0080): Received invalid value for AD<br>
&gt; compatibility level. Continuing without AD performance enhancements<br>
&gt;<br>
&gt; (Thu Aug 21 16:38:27 2014) [sssd[be[MS_AD]]]<br>
&gt; [sdap_get_server_opts_from_rootdse] (0x0080): Received invalid value for AD<br>
&gt; compatibility level. Continuing without AD performance enhancements<br>
&gt;<br>
&gt; (Thu Aug 21 17:08:06 2014) [sssd[be[MS_AD]]]<br>
&gt; [sdap_get_server_opts_from_rootdse] (0x0080): Received invalid value for AD<br>
&gt; compatibility level. Continuing without AD performance enhancements<br>
&gt;<br>
&gt; (Thu Aug 21 17:41:15 2014) [sssd[be[MS_AD]]]<br>
&gt; [sdap_get_server_opts_from_rootdse] (0x0080): Received invalid value for AD<br>
&gt; compatibility level. Continuing without AD performance enhancements<br>
&gt;<br>
&gt;<br>
&gt; For this i filed a bug:<br>
&gt;<br>
&gt; <a href="https://fedorahosted.org/sssd/ticket/2418" target="_blank">https://fedorahosted.org/sssd/ticket/2418</a><br>
<br>
</div></div>I have local patches for this issue. If you tell me your RHEL versions,<br>
I can build you test packages right away.<br>
<div><div class="h5"><br>
&gt;<br>
&gt;<br>
&gt;<br>
&gt; Secondly when running without AD performance enhancements all logins fail<br>
&gt; when going through the users parent groups.<br>
&gt;<br>
&gt; This errorĀ  disables the AD login for my RHEL servers.<br>
&gt;<br>
&gt; Here are the failure points in sssd log for 3 different users:<br>
&gt;<br>
&gt;<br>
&gt; From my login attempt:<br>
&gt; (Thu Aug 28 13:59:04 2014) [sssd[be[MS_AD]]] [sysdb_search_group_by_name]<br>
&gt; (0x0400): No such entry<br>
&gt;<br>
&gt; (Thu Aug 28 13:59:04 2014) [sssd[be[MS_AD]]] [sdap_add_incomplete_groups]<br>
&gt; (0x1000): Group #34 [SKYPEDWETL4] is not cached, need to add a fake entry<br>
&gt;<br>
&gt; (Thu Aug 28 13:59:04 2014) [sssd[be[MS_AD]]] [ldb] (0x4000): start ldb<br>
&gt; transaction (nesting: 2)<br>
&gt;<br>
&gt; (Thu Aug 28 13:59:04 2014) [sssd[be[MS_AD]]] [sdap_add_incomplete_groups]<br>
&gt; (0x1000): Mapping group [FTE_europe_2] objectSID to unix ID<br>
&gt;<br>
&gt; (Thu Aug 28 13:59:04 2014) [sssd[be[MS_AD]]] [sdap_attrs_get_sid_str]<br>
&gt; (0x0080): No [objectSID] attribute while id-mapping. [0][Success]<br>
&gt;<br>
&gt; (Thu Aug 28 13:59:04 2014) [sssd[be[MS_AD]]] [ldb] (0x4000): cancel ldb<br>
&gt; transaction (nesting: 2)<br>
&gt;<br>
&gt; (Thu Aug 28 13:59:04 2014) [sssd[be[MS_AD]]] [sdap_nested_groups_store]<br>
&gt; (0x0400): Could not add incomplete groups [2]: No such file or directory<br>
&gt;<br>
&gt; (Thu Aug 28 13:59:04 2014) [sssd[be[MS_AD]]] [ldb] (0x4000): cancel ldb<br>
&gt; transaction (nesting: 1)<br>
&gt;<br>
&gt; (Thu Aug 28 13:59:04 2014) [sssd[be[MS_AD]]] [save_rfc2307bis_groups]<br>
&gt; (0x0080): Could not save groups [2]: No such file or directory<br>
&gt;<br>
&gt; (Thu Aug 28 13:59:04 2014) [sssd[be[MS_AD]]] [sdap_initgr_rfc2307bis_done]<br>
&gt; (0x0080): Could not save groups memberships [2](Thu Aug 28 13:59:04 2014)<br>
&gt; [sssd[be[MS_AD]]] [ldb] (0x4000): cancel ldb transaction (nesting: 0)<br>
&gt;<br>
&gt; (Thu Aug 28 13:59:04 2014) [sssd[be[MS_AD]]] [sdap_get_initgr_done]<br>
&gt; (0x4000): Initgroups done<br>
&gt;<br>
&gt; (Thu Aug 28 13:59:04 2014) [sssd[be[MS_AD]]] [sdap_get_initgr_done]<br>
&gt; (0x4000): Error in initgroups: [2][No such file or directory]<br>
&gt;<br>
&gt; (Thu Aug 28 13:59:04 2014) [sssd[be[MS_AD]]] [sdap_id_op_done] (0x4000):<br>
&gt; releasing operation connection<br>
&gt;<br>
&gt; (Thu Aug 28 13:59:04 2014) [sssd[be[MS_AD]]] [sdap_process_result]<br>
&gt; (0x2000): Trace: sh[0x23dfc50], connected[1], ops[(nil)], ldap[0x23dead0]<br>
&gt;<br>
&gt; (Thu Aug 28 13:59:04 2014) [sssd[be[MS_AD]]] [sdap_process_result]<br>
&gt; (0x2000): Trace: ldap_result found nothing!<br>
<br>
</div></div>I didn&#39;t see this problem in my testing so far. Could you describe the<br>
group topology a bit so that we can reproduce locally?<br>
<br>
Sorry for the trouble you&#39;re seeing..<br>
<div><div class="h5"><br>
&gt;<br>
&gt;<br>
&gt;<br>
&gt; My colleague login attempt:<br>
&gt;<br>
&gt; (Thu Aug 28 15:22:11 2014) [sssd[be[MS_AD]]] [sysdb_search_group_by_name]<br>
&gt; (0x0400): No such entry<br>
&gt;<br>
&gt; (Thu Aug 28 15:22:11 2014) [sssd[be[MS_AD]]] [sdap_add_incomplete_groups]<br>
&gt; (0x1000): Group #32 [SKYPEDWETL4] is not cached, need to add a fake entry<br>
&gt;<br>
&gt; (Thu Aug 28 15:22:11 2014) [sssd[be[MS_AD]]] [ldb] (0x4000): start ldb<br>
&gt; transaction (nesting: 2)<br>
&gt;<br>
&gt; (Thu Aug 28 15:22:11 2014) [sssd[be[MS_AD]]] [sdap_add_incomplete_groups]<br>
&gt; (0x1000): Mapping group [SKYPE_ES_BI_FTE] objectSID to unix ID<br>
&gt;<br>
&gt; (Thu Aug 28 15:22:11 2014) [sssd[be[MS_AD]]] [sdap_attrs_get_sid_str]<br>
&gt; (0x0080): No [objectSID] attribute while id-mapping. [0][Success]<br>
&gt;<br>
&gt; (Thu Aug 28 15:22:11 2014) [sssd[be[MS_AD]]] [ldb] (0x4000): cancel ldb<br>
&gt; transaction (nesting: 2)<br>
&gt;<br>
&gt; (Thu Aug 28 15:22:11 2014) [sssd[be[MS_AD]]] [sdap_nested_groups_store]<br>
&gt; (0x0400): Could not add incomplete groups [2]: No such file or directory<br>
&gt;<br>
&gt; (Thu Aug 28 15:22:11 2014) [sssd[be[MS_AD]]] [ldb] (0x4000): cancel ldb<br>
&gt; transaction (nesting: 1)<br>
&gt;<br>
&gt; (Thu Aug 28 15:22:11 2014) [sssd[be[MS_AD]]] [save_rfc2307bis_groups]<br>
&gt; (0x0080): Could not save groups [2]: No such file or directory<br>
&gt;<br>
&gt; (Thu Aug 28 15:22:11 2014) [sssd[be[MS_AD]]] [sdap_initgr_rfc2307bis_done]<br>
&gt; (0x0080): Could not save groups memberships [2](Thu Aug 28 15:22:11 2014)<br>
&gt; [sssd[be[MS_AD]]] [ldb] (0x4000): cancel ldb transaction (nesting: 0)<br>
&gt;<br>
&gt; (Thu Aug 28 15:22:11 2014) [sssd[be[MS_AD]]] [sdap_get_initgr_done]<br>
&gt; (0x4000): Initgroups done<br>
&gt;<br>
&gt; (Thu Aug 28 15:22:11 2014) [sssd[be[MS_AD]]] [sdap_get_initgr_done]<br>
&gt; (0x4000): Error in initgroups: [2][No such file or directory]<br>
&gt;<br>
&gt; (Thu Aug 28 15:22:11 2014) [sssd[be[MS_AD]]] [sdap_id_op_done] (0x4000):<br>
&gt; releasing operation connection<br>
&gt;<br>
&gt; (Thu Aug 28 15:22:11 2014) [sssd[be[MS_AD]]] [sdap_process_result]<br>
&gt; (0x2000): Trace: sh[0x23dff60], connected[1], ops[(nil)], ldap[0x23de070]<br>
&gt;<br>
&gt; (Thu Aug 28 15:22:11 2014) [sssd[be[MS_AD]]] [sdap_process_result]<br>
&gt; (0x2000): Trace: ldap_result found nothing!<br>
&gt;<br>
&gt;<br>
&gt;<br>
&gt; Another collegue:<br>
&gt; (Thu Aug 28 15:31:57 2014) [sssd[be[MS_AD]]] [sysdb_search_group_by_name]<br>
&gt; (0x0400): No such entry<br>
&gt;<br>
&gt; (Thu Aug 28 15:31:57 2014) [sssd[be[MS_AD]]] [sdap_add_incomplete_groups]<br>
&gt; (0x1000): Group #34 [SKYPEDW_FILESHARE_TEST_TPUM_RO] is not cached, need to<br>
&gt; add a fake entry<br>
&gt;<br>
&gt; (Thu Aug 28 15:31:57 2014) [sssd[be[MS_AD]]] [ldb] (0x4000): start ldb<br>
&gt; transaction (nesting: 2)<br>
&gt;<br>
&gt; (Thu Aug 28 15:31:57 2014) [sssd[be[MS_AD]]] [sdap_add_incomplete_groups]<br>
&gt; (0x1000): Mapping group [SKYPE_ES_BI_FTE] objectSID to unix ID<br>
&gt;<br>
&gt; (Thu Aug 28 15:31:57 2014) [sssd[be[MS_AD]]] [sdap_attrs_get_sid_str]<br>
&gt; (0x0080): No [objectSID] attribute while id-mapping. [0][Success]<br>
&gt;<br>
&gt; (Thu Aug 28 15:31:57 2014) [sssd[be[MS_AD]]] [ldb] (0x4000): cancel ldb<br>
&gt; transaction (nesting: 2)<br>
&gt;<br>
&gt; (Thu Aug 28 15:31:57 2014) [sssd[be[MS_AD]]] [sdap_nested_groups_store]<br>
&gt; (0x0400): Could not add incomplete groups [2]: No such file or directory<br>
&gt;<br>
&gt; (Thu Aug 28 15:31:57 2014) [sssd[be[MS_AD]]] [ldb] (0x4000): cancel ldb<br>
&gt; transaction (nesting: 1)<br>
&gt;<br>
&gt; (Thu Aug 28 15:31:57 2014) [sssd[be[MS_AD]]] [save_rfc2307bis_groups]<br>
&gt; (0x0080): Could not save groups [2]: No such file or directory<br>
&gt;<br>
&gt; (Thu Aug 28 15:31:57 2014) [sssd[be[MS_AD]]] [sdap_initgr_rfc2307bis_done]<br>
&gt; (0x0080): Could not save groups memberships [2](Thu Aug 28 15:31:57 2014)<br>
&gt; [sssd[be[MS_AD]]] [ldb] (0x4000): cancel ldb transaction (nesting: 0)<br>
&gt;<br>
&gt; (Thu Aug 28 15:31:57 2014) [sssd[be[MS_AD]]] [sdap_get_initgr_done]<br>
&gt; (0x4000): Initgroups done<br>
&gt;<br>
&gt; (Thu Aug 28 15:31:57 2014) [sssd[be[MS_AD]]] [sdap_get_initgr_done]<br>
&gt; (0x4000): Error in initgroups: [2][No such file or directory]<br>
&gt;<br>
&gt; (Thu Aug 28 15:31:57 2014) [sssd[be[MS_AD]]] [sdap_id_op_done] (0x4000):<br>
&gt; releasing operation connection<br>
&gt;<br>
&gt; (Thu Aug 28 15:31:57 2014) [sssd[be[MS_AD]]] [sdap_process_result]<br>
&gt; (0x2000): Trace: sh[0x23dff60], connected[1], ops[(nil)], ldap[0x23de070]<br>
&gt;<br>
&gt; (Thu Aug 28 15:31:57 2014) [sssd[be[MS_AD]]] [sdap_process_result]<br>
&gt; (0x2000): Trace: ldap_result found nothing!<br>
&gt;<br>
&gt;<br>
&gt;<br>
&gt;<br>
&gt; My sssd.conf looks like this:<br>
&gt; ##########################################################<br>
&gt;<br>
&gt; [sssd]<br>
&gt;<br>
&gt; domains = MS_AD<br>
&gt;<br>
&gt; services = nss,pam<br>
&gt;<br>
&gt; config_file_version = 2<br>
&gt;<br>
&gt;<br>
&gt; [nss]<br>
&gt;<br>
&gt; filter_users = root,etl,gpadmin,nws<br>
&gt;<br>
&gt; filter_groups = root,etl,gpadmin,nws<br>
&gt;<br>
&gt; default_shell = /bin/bash<br>
&gt;<br>
&gt;<br>
&gt; [pam]<br>
&gt;<br>
&gt; reconnection_retries = 3<br>
&gt;<br>
&gt; offline_credentials_expiration = 1<br>
&gt;<br>
&gt; offline_failed_login_attempts = 1<br>
&gt;<br>
&gt;<br>
&gt; [domain/MS_AD]<br>
&gt;<br>
&gt; description = LDAP domain with MS AD server<br>
&gt;<br>
&gt; debug_level = 9<br>
&gt;<br>
&gt;<br>
&gt; # caching credentials<br>
&gt;<br>
&gt; enumerate = false<br>
&gt;<br>
&gt; cache_credentials = false<br>
&gt;<br>
&gt;<br>
&gt; min_id = 1000<br>
&gt;<br>
&gt;<br>
&gt; id_provider = ldap<br>
<br>
</div></div>I&#39;m curious, why don&#39;t you use id_provider=ad instead?<br>
<br>
Do you need to avoid joining the Linux machine to the AD domain?<br>
<br>
Please note that the AD provider is in many respects a superset of the<br>
LDAP provider, so all the ldap_* options would apply, with the exception<br>
of the bind DN. When using the AD provider, you need to use GSSAPI<br>
instead.<br>
<div><div class="h5"><br>
&gt;<br>
&gt; auth_provider = ldap<br>
&gt;<br>
&gt; chpass_provider = ldap<br>
&gt;<br>
&gt;<br>
&gt; ldap_tls_reqcert = never<br>
&gt;<br>
&gt;<br>
&gt; ldap_id_mapping = True<br>
&gt;<br>
&gt; ldap_schema = ad<br>
&gt;<br>
&gt; ldap_idmap_range_min = 10000<br>
&gt;<br>
&gt; ldap_idmap_range_max = 2000100000<br>
&gt;<br>
&gt; ldap_idmap_range_size = 20000000<br>
&gt;<br>
&gt;<br>
&gt; ldap_uri = ldap://adserveraddress/<br>
&gt;<br>
&gt; ldap_search_base = OU=UserAccounts,DC=something,DC=something<br>
&gt; ,DC=something,DC=com<br>
&gt;<br>
&gt; ldap_default_bind_dn = CN=Bind User Name,OU=UserAccounts,DC=something,DC=<br>
&gt; something,DC=something,DC=com<br>
&gt;<br>
&gt; ldap_default_authtok_type = password<br>
&gt;<br>
&gt; ldap_default_authtok = passwordgoeshere<br>
&gt;<br>
&gt; ldap_user_object_class = user<br>
&gt;<br>
&gt; ldap_group_object_class = group<br>
&gt;<br>
&gt; ldap_user_name = sAMAccountName<br>
&gt;<br>
&gt; ldap_user_objectsid = objectSid<br>
&gt;<br>
&gt; ldap_group_objectsid = objectGUID<br>
&gt;<br>
&gt; ldap_user_search_filter = memberOf=CN=SKYPEDWETL4,OU=UserAccounts,DC=<br>
&gt; something,DC=something,DC=something,DC=com<br>
&gt;<br>
&gt; override_homedir = /home/%u<br>
&gt;<br>
&gt;<br>
&gt; # performance<br>
&gt;<br>
&gt; ldap_disable_referrals = true<br>
&gt;<br>
&gt; ##########################################################<br>
&gt;<br>
&gt;<br>
&gt;<br>
&gt;<br>
&gt; Have any of you had experiences with errors like this?<br>
&gt;<br>
&gt; Many thanks for your attention!<br>
&gt;<br>
&gt;<br>
&gt; Thanks,<br>
&gt;<br>
&gt;<br>
&gt; Kristjan Elias<br>
<br>
</div></div>&gt; _______________________________________________<br>
&gt; sssd-users mailing list<br>
&gt; <a href="mailto:sssd-users@lists.fedorahosted.org">sssd-users@lists.fedorahosted.org</a><br>
&gt; <a href="https://lists.fedorahosted.org/mailman/listinfo/sssd-users" target="_blank">https://lists.fedorahosted.org/mailman/listinfo/sssd-users</a><br>
<br>
_______________________________________________<br>
sssd-users mailing list<br>
<a href="mailto:sssd-users@lists.fedorahosted.org">sssd-users@lists.fedorahosted.org</a><br>
<a href="https://lists.fedorahosted.org/mailman/listinfo/sssd-users" target="_blank">https://lists.fedorahosted.org/mailman/listinfo/sssd-users</a><br>
</blockquote></div><br></div>