<html xmlns:v="urn:schemas-microsoft-com:vml" xmlns:o="urn:schemas-microsoft-com:office:office" xmlns:w="urn:schemas-microsoft-com:office:word" xmlns:m="http://schemas.microsoft.com/office/2004/12/omml" xmlns="http://www.w3.org/TR/REC-html40">
<head>
<meta http-equiv="Content-Type" content="text/html; charset=utf-8">
<meta name="Generator" content="Microsoft Word 14 (filtered medium)">
<style><!--
/* Font Definitions */
@font-face
        {font-family:Calibri;
        panose-1:2 15 5 2 2 2 4 3 2 4;}
/* Style Definitions */
p.MsoNormal, li.MsoNormal, div.MsoNormal
        {margin:0cm;
        margin-bottom:.0001pt;
        font-size:11.0pt;
        font-family:"Calibri","sans-serif";
        mso-fareast-language:EN-US;}
a:link, span.MsoHyperlink
        {mso-style-priority:99;
        color:blue;
        text-decoration:underline;}
a:visited, span.MsoHyperlinkFollowed
        {mso-style-priority:99;
        color:purple;
        text-decoration:underline;}
span.EmailStyle17
        {mso-style-type:personal-compose;
        font-family:"Calibri","sans-serif";
        color:windowtext;}
.MsoChpDefault
        {mso-style-type:export-only;
        font-family:"Calibri","sans-serif";
        mso-fareast-language:EN-US;}
@page WordSection1
        {size:612.0pt 792.0pt;
        margin:3.0cm 2.0cm 3.0cm 2.0cm;}
div.WordSection1
        {page:WordSection1;}
--></style><!--[if gte mso 9]><xml>
<o:shapedefaults v:ext="edit" spidmax="1026" />
</xml><![endif]--><!--[if gte mso 9]><xml>
<o:shapelayout v:ext="edit">
<o:idmap v:ext="edit" data="1" />
</o:shapelayout></xml><![endif]-->
</head>
<body lang="DA" link="blue" vlink="purple">
<div class="WordSection1">
<p class="MsoNormal"><o:p>&nbsp;</o:p></p>
<p class="MsoNormal"><span lang="EN-US">Hi,<o:p></o:p></span></p>
<p class="MsoNormal"><span lang="EN-US">We have problems with authorization to the nfs mounted share with sec=krb5 in multi domain AD forest environment.<o:p></o:p></span></p>
<p class="MsoNormal"><span lang="EN-US"><o:p>&nbsp;</o:p></span></p>
<p class="MsoNormal"><span lang="EN-US">When server, client and user are from the same native domain, user’s&nbsp; login,nfs&#43;krb mount and access to nfs mounted share works fine.<o:p></o:p></span></p>
<p class="MsoNormal"><span lang="EN-US">server@nat.c.example.com<o:p></o:p></span></p>
<p class="MsoNormal"><span lang="EN-US">client@nat.c.example.com<o:p></o:p></span></p>
<p class="MsoNormal"><span lang="EN-US">user-n@nat.c.example.com<o:p></o:p></span></p>
<p class="MsoNormal"><span lang="EN-US"><o:p>&nbsp;</o:p></span></p>
<p class="MsoNormal"><span lang="EN-US">When user is from another domain, login(via ssh, GUI) and&nbsp; nfs&#43;krb mount works; User gets ‘Permission denied ‘ to the nfsshare for rw<o:p></o:p></span></p>
<p class="MsoNormal"><span lang="EN-US">server@nat.c.example.com<o:p></o:p></span></p>
<p class="MsoNormal"><span lang="EN-US">client@nat.c.example.com<o:p></o:p></span></p>
<p class="MsoNormal"><span lang="EN-US">user-a@adm.c.example.com<o:p></o:p></span></p>
<p class="MsoNormal"><span lang="EN-US"><o:p>&nbsp;</o:p></span></p>
<p class="MsoNormal"><span lang="EN-US">AD user test accounts (user-n, user-a) have Posix attributes ;
<o:p></o:p></span></p>
<p class="MsoNormal"><span lang="EN-US">&nbsp;AD groups for Posix enabled users have Posix gids;<o:p></o:p></span></p>
<p class="MsoNormal"><span lang="EN-US"><o:p>&nbsp;</o:p></span></p>
<p class="MsoNormal"><span lang="EN-US">Test users are members &nbsp;of universal group usr-sdu-glu@c.example.com;<o:p></o:p></span></p>
<p class="MsoNormal"><span lang="EN-US"><o:p>&nbsp;</o:p></span></p>
<p class="MsoNormal"><span lang="EN-US">SSSD is configured identically on client and server:<o:p></o:p></span></p>
<p class="MsoNormal"><span lang="EN-US"><o:p>&nbsp;</o:p></span></p>
<p class="MsoNormal"><span lang="EN-US"><o:p>&nbsp;</o:p></span></p>
<p class="MsoNormal"><span lang="EN-US">[sssd]<o:p></o:p></span></p>
<p class="MsoNormal"><span lang="EN-US">domains = nat.c.example.com<o:p></o:p></span></p>
<p class="MsoNormal"><span lang="EN-US">config_file_version = 2<o:p></o:p></span></p>
<p class="MsoNormal"><span lang="EN-US">services = nss, pam<o:p></o:p></span></p>
<p class="MsoNormal"><span lang="EN-US"><o:p>&nbsp;</o:p></span></p>
<p class="MsoNormal"><span lang="EN-US">[pam]<o:p></o:p></span></p>
<p class="MsoNormal"><span lang="EN-US">pam_verbosity = 3<o:p></o:p></span></p>
<p class="MsoNormal"><span lang="EN-US">debug_level = 9<o:p></o:p></span></p>
<p class="MsoNormal"><span lang="EN-US"><o:p>&nbsp;</o:p></span></p>
<p class="MsoNormal"><span lang="EN-US">[domain/nat.c.example.com]<o:p></o:p></span></p>
<p class="MsoNormal"><span lang="EN-US"><o:p>&nbsp;</o:p></span></p>
<p class="MsoNormal"><span lang="EN-US">debug_level = 9<o:p></o:p></span></p>
<p class="MsoNormal"><span lang="EN-US">ad_domain = nat.c.example.com<o:p></o:p></span></p>
<p class="MsoNormal"><span lang="EN-US">ad_hostname = host.nat.c.example.com<o:p></o:p></span></p>
<p class="MsoNormal"><span lang="EN-US">krb5_realm = NAT.C.EXAMPLE.COM<o:p></o:p></span></p>
<p class="MsoNormal"><span lang="EN-US">#cache_credentials = True<o:p></o:p></span></p>
<p class="MsoNormal"><span lang="EN-US">id_provider = ad<o:p></o:p></span></p>
<p class="MsoNormal"><span lang="EN-US">access_provider = ad<o:p></o:p></span></p>
<p class="MsoNormal"><span lang="EN-US">chpass_provider = ad<o:p></o:p></span></p>
<p class="MsoNormal">auth_provider = ad<o:p></o:p></p>
<p class="MsoNormal">#<o:p></o:p></p>
<p class="MsoNormal"><span lang="EN-US">krb5_store_password_if_offline = True<o:p></o:p></span></p>
<p class="MsoNormal"><span lang="EN-US">default_shell = /bin/bash<o:p></o:p></span></p>
<p class="MsoNormal"><span lang="EN-US">ldap_id_mapping = False<o:p></o:p></span></p>
<p class="MsoNormal"><span lang="EN-US">use_fully_qualified_names = False<o:p></o:p></span></p>
<p class="MsoNormal"><span lang="EN-US">#use_fully_qualified_names = True<o:p></o:p></span></p>
<p class="MsoNormal"><span lang="EN-US">fallback_homedir = /home-local/%d/%u<o:p></o:p></span></p>
<p class="MsoNormal"><span lang="EN-US">ldap_user_principal = userPrincipalName<o:p></o:p></span></p>
<p class="MsoNormal"><span lang="EN-US"><o:p>&nbsp;</o:p></span></p>
<p class="MsoNormal"><span lang="EN-US">------<o:p></o:p></span></p>
<p class="MsoNormal"><span lang="EN-US">On client machine , in the “Permission denied” session, all AD groups, ids are shown correctly using id, getent ;<o:p></o:p></span></p>
<p class="MsoNormal"><span lang="EN-US"><o:p>&nbsp;</o:p></span></p>
<p class="MsoNormal"><span lang="EN-US">Obviousely configuring nfs idmaping&nbsp; requires special attention in multi domain trust ( doesn’t seem trivial using UMICH method!).<o:p></o:p></span></p>
<p class="MsoNormal"><span lang="EN-US">May be some other AD specifics should be considered as well .<o:p></o:p></span></p>
<p class="MsoNormal"><span lang="EN-US"><o:p>&nbsp;</o:p></span></p>
<p class="MsoNormal"><span lang="EN-US">In the SSSD documentation is mentioned PAC service.<o:p></o:p></span></p>
<p class="MsoNormal"><span lang="EN-US">Here come my questions:<o:p></o:p></span></p>
<p class="MsoNormal"><span lang="EN-US"><o:p>&nbsp;</o:p></span></p>
<p class="MsoNormal"><span lang="EN-US">Do we need PAC service enabled to get properly resolved AD groups in Kerberos context&nbsp; between domains?<o:p></o:p></span></p>
<p class="MsoNormal"><span lang="EN-US"><o:p>&nbsp;</o:p></span></p>
<p class="MsoNormal"><span lang="EN-US">IS it possible in the 1.11.7 version and with&nbsp; (kernel 3.13.0-44) to &nbsp;integrate&nbsp; SSSD plugin&nbsp; nfsidmap_sss.so introduced first in 1.12.1?<o:p></o:p></span></p>
<p class="MsoNormal"><span lang="EN-US"><o:p>&nbsp;</o:p></span></p>
<p class="MsoNormal">Best,<o:p></o:p></p>
<p class="MsoNormal">Longina<o:p></o:p></p>
<p class="MsoNormal"><o:p>&nbsp;</o:p></p>
<p class="MsoNormal"><o:p>&nbsp;</o:p></p>
</div>
</body>
</html>