<div dir="ltr"><div>We have integrated the SUSE Linux (version 11 Patch level 2) with the Microsoft Active Directory(AD) using the SSSD utility(version 1.9.4) for making AD groups available to the Linux OS subsystem (we do not use SSSD for authentication) </div><div><br></div><div>We have added the &quot;sss&quot; as the sources for &quot;passwd&quot;, &quot;group&quot;, &quot;shadow&quot; within the &quot;/etc/nsswitch.conf&quot; file.</div><div><br></div><div>We are facing some inconsistency issues from SSSD while fetching the User/Group information through &quot;id&quot; command. It appears that we are facing this inconsistency only while SSSD interacts with Domain Controller with version Windows Server 2008 R2, and not while SSSD is interacting with Windows Server 2003 R2 based domain controller.</div><div><br></div><div>Please find the response/output from Linux host (terminal) as below:</div><div><br></div><div>1) For Windows Server 2008 R2 based Domain Controller</div><div>controller@indelappvm02:~&gt; id user_hadoop_3001 </div><div>uid=2763510(user_hadoop_3001) gid=100513(Domain Users) groups=100513(Domain Users),2816151(Mygroups-hadoop-GED_KPI),2115887,2812298(Mygroups-hadoop-</div><div><br></div><div>DAS_ANALYST),2812208(Mygroups-hadoop-CV_US),2809985(Mygroups-hadoop-DB_TICKET),2816149(Mygroups-hadoop-TLM),2827118(Mygroups-hadoop-DAS_ALL),2819228(Mygroups-hadoop-IMAGINE_GED_LON),2820642(Mygroups-hadoop-IMHOTEP),2812212(Mygroups-hadoop-OPEX),2024985,2356240,2358411,2100126,2115932,2099 968,2337579,1743308,1463380,2100236,1881724,170745 6 </div><div><br></div><div>As can be seen above, certain GIDs are displayed though these are not relevant to the user.</div><div><br></div><div>2) For Windows Server 2003 R2 based Domain Controller</div><div>controller@indelappvm02:~&gt; id user_hadoop_3001</div><div>uid=2763510(user_hadoop_3001) gid=100513(Domain Users) groups=100513(Domain Users),2816151(Mygroups-hadoop-GED_KPI),2812208(Mygroups-hadoop-CV_US),2819228(Mygroups-</div><div><br></div><div>hadoop-IMAGINE_GED_LON),2827118(Mygroups-hadoop-DAS_ALL),2812298(Mygroups-hadoop-DAS_ANALYST),2809985(Mygroups-hadoop-DB_TICKET),2816149(Mygroups-hadoop-TLM),2820642</div><div><br></div><div>(Mygroups-hadoop-IMHOTEP),2812212(Mygroups-hadoop-OPEX) </div><div><br></div><div><br></div><div>Below is the configuration of /etc/sssd/sssd.conf</div><div><br></div><div>################################################## ############</div><div>[sssd]</div><div>debug_level = 5</div><div>config_file_version = 2</div><div>reconnection_retries = 3</div><div>sbus_timeout = 10</div><div>services = nss,pam</div><div>domains = mytest</div><div><br></div><div>[nss]</div><div>debug_level = 5</div><div>filter_groups = root</div><div>filter_users = root</div><div>reconnection_retries = 3</div><div>entry_cache_timeout = 300</div><div>entry_cache_nowait_percentage = 75</div><div><br></div><div>[pam]</div><div>debug_level = 0</div><div>reconnection_retries = 3</div><div>offline_credentials_expiration = 0</div><div>offline_failed_login_attempts = 0</div><div>offline_failed_login_delay = 5</div><div><br></div><div>[domain/local]</div><div>id_provider = local</div><div>min_id = 1</div><div>max_id = 499</div><div>enumerate = False</div><div><br></div><div>[domain/mytest]</div><div>debug_level = 9</div><div>description = Kerberos 5 domain with Active Directory servers</div><div>id_provider = ldap</div><div>auth_provider = krb5</div><div>access_provider = ldap</div><div>min_id = 500</div><div>enumerate = False</div><div>timeout = 10</div><div>cache_credentials = True</div><div>entry_cache_timeout = 300</div><div>krb5_canonicalize = False</div><div><br></div><div># General -----------------------</div><div># LDAP</div><div>ldap_uri = ldap://<a href="http://inddelvm25.mytest.com">inddelvm25.mytest.com</a></div><div>ldap_default_authtok_type = password</div><div>ldap_default_bind_dn = <a href="mailto:linux@mytest.com">linux@mytest.com</a></div><div>ldap_default_authtok = *******</div><div><br></div><div>ldap_id_mapping = True</div><div>ldap_user_objectsid = objectSid</div><div>ldap_idmap_range_min = 100000</div><div>ldap_idmap_range_max = 2000100000</div><div>ldap_idmap_range_size = 2000000000</div><div><br></div><div>ldap_access_filter = (cn=*)</div><div>ldap_user_search_base = DC=mytest,DC=com</div><div>ldap_group_search_base = DC=mytest,DC=com?subtree?(|(CN=Mygroups-hadoop-*)(CN=Domain Users))</div><div>ldap_referrals = False</div><div>ldap_search_timeout = 20</div><div>ldap_network_timeout = 20</div><div><br></div><div># KRB5</div><div>chpass_provider = krb5</div><div>ldap_force_upper_case_realm = True</div><div>krb5_server = <a href="http://inddelvm25.mytest.com">inddelvm25.mytest.com</a></div><div>krb5_realm = <a href="http://mytest.com">mytest.com</a></div><div>krb5_store_password_if_offline = True</div><div>krb5_auth_timeout = 15</div><div><br></div><div># Mapping --------------------</div><div>ldap_schema = ad</div><div>ldap_user_object_class = user</div><div>ldap_group_object_class = group</div><div>ldap_user_name = sAMAccountName</div><div>ldap_group_name = sAMAccountName</div><div>ldap_id_use_start_tls = False</div><div>krb5_kdcip = <a href="http://inddelvm25.mytest.com">inddelvm25.mytest.com</a></div><div><br></div><div>################################################## ############</div><div><br></div><div>When we set debug level = 5, we get errors like range maximum exceeds the global maximum, no free slices in situations where SSSD is returning the wrong results. When the right results are returned, there are no errors. </div><div><br></div><div>Would appreciate your inputs on this issue.</div><div><br></div><div>Best Regards,<br>Prajwal Kumar<br><br></div>
</div>