<html><head>
<meta content="text/html; charset=UTF-8" http-equiv="Content-Type">
</head><body bgcolor="#FFFFFF" text="#000000">sssd gpo supports all what
 pam supports, so you can have users able to login locally , but not ssh
 or the other way round.<br>
<br>
Why not change the login shell:<br>
<br>
the user might be a web admin, so needs access to a range of linux 
boxes, running webservers, but not on the mail servers for example.<br>
if you have to maintain a lot of machines, it is just easier and less 
error prone to also be able to manage the access from a central point.<br>
<br>
This way, it is just a matter of moving the web servers in the right OU 
and all web admins have automatically access to the web servers, etc...<br>
<br>
if you only have a few machines, you might as well change it on the 
machine itself.<br>
In my specific situation: I create a lot of virtual machines from 1 or 2
 templates <br>
When I get sssd-ad and GPO working, I dont need any modification 
whatsoever. I just assign the machine to a specific department and all 
the right people have access to only their set of machines.<br>
<br>
Regards, Koen<br>
<blockquote style="border: 0px none;" 
cite="mid:54C2C30A.3010408@gmail.com" type="cite">
  <div style="margin:30px 25px 10px 25px;" class="__pbConvHr"><div 
style="display:table;width:100%;border-top:1px solid 
#EDEEF0;padding-top:5px">         <div 
style="display:table-cell;vertical-align:middle;padding-right:6px;"><img
 photoaddress="repenny241155@gmail.com" photoname="Rowland Penny" 
src="cid:part1.00020509.07070002@galaxystudios.com" 
name="compose-unknown-contact.jpg" height="25px" width="25px"></div>   <div
 
style="display:table-cell;white-space:nowrap;vertical-align:middle;width:100%">
           <a moz-do-not-send="true" href="mailto:repenny241155@gmail.com" 
style="color:#737F92 
!important;padding-right:6px;font-weight:bold;text-decoration:none 
!important;">Rowland Penny</a></div>   <div 
style="display:table-cell;white-space:nowrap;vertical-align:middle;">   
  <font color="#9FA2A5"><span style="padding-left:6px">23 Jan 2015 22:54</span></font></div></div></div>
  <div style="color:#888888;margin-left:24px;margin-right:24px;" 
__pbrmquotes="true" class="__pbConvBody"><br>
<br>OK, what about user walking up to unix machine and logging in ? what
 
about ssh ? wouldn't it be easier to just change the users login shell 
to /bin/false ?
<br>
<br>Rowland
<br>_______________________________________________
<br>sssd-users mailing list
<br><a class="moz-txt-link-abbreviated" href="mailto:sssd-users@lists.fedorahosted.org">sssd-users@lists.fedorahosted.org</a>
<br><a class="moz-txt-link-freetext" href="https://lists.fedorahosted.org/mailman/listinfo/sssd-users">https://lists.fedorahosted.org/mailman/listinfo/sssd-users</a>
<br></div>
  <div style="margin:30px 25px 10px 25px;" class="__pbConvHr"><div 
style="display:table;width:100%;border-top:1px solid 
#EDEEF0;padding-top:5px">         <div 
style="display:table-cell;vertical-align:middle;padding-right:6px;"><img
 photoaddress="lslebodn@redhat.com" photoname="Lukas Slebodnik" 
src="cid:part1.00020509.07070002@galaxystudios.com" 
name="compose-unknown-contact.jpg" height="25px" width="25px"></div>   <div
 
style="display:table-cell;white-space:nowrap;vertical-align:middle;width:100%">
           <a moz-do-not-send="true" href="mailto:lslebodn@redhat.com" 
style="color:#737F92 
!important;padding-right:6px;font-weight:bold;text-decoration:none 
!important;">Lukas Slebodnik</a></div>   <div 
style="display:table-cell;white-space:nowrap;vertical-align:middle;">   
  <font color="#9FA2A5"><span style="padding-left:6px">23 Jan 2015 22:31</span></font></div></div></div>
  <div style="color:#888888;margin-left:24px;margin-right:24px;" 
__pbrmquotes="true" class="__pbConvBody"><div><!----><br>There is a 
design document[1] for GPO and pdf attachement in mail[2]<br>contains 
"gpo data flow diagram".<br><br>All this information can be too 
technical.<br><br>HTH<br><br>LS<br><br>[1] 
<a class="moz-txt-link-freetext" href="https://fedorahosted.org/sssd/wiki/DesignDocs/ActiveDirectoryGPOIntegration">https://fedorahosted.org/sssd/wiki/DesignDocs/ActiveDirectoryGPOIntegration</a><br>[2]
 
<a class="moz-txt-link-freetext" href="https://lists.fedorahosted.org/pipermail/sssd-devel/2014-September/020758.html">https://lists.fedorahosted.org/pipermail/sssd-devel/2014-September/020758.html</a><br>_______________________________________________<br>sssd-users
 mailing list<br><a class="moz-txt-link-abbreviated" href="mailto:sssd-users@lists.fedorahosted.org">sssd-users@lists.fedorahosted.org</a><br><a class="moz-txt-link-freetext" href="https://lists.fedorahosted.org/mailman/listinfo/sssd-users">https://lists.fedorahosted.org/mailman/listinfo/sssd-users</a><br></div></div>
  <div style="margin:30px 25px 10px 25px;" class="__pbConvHr"><div 
style="display:table;width:100%;border-top:1px solid 
#EDEEF0;padding-top:5px">         <div 
style="display:table-cell;vertical-align:middle;padding-right:6px;"><img
 photoaddress="repenny241155@gmail.com" photoname="Rowland Penny" 
src="cid:part1.00020509.07070002@galaxystudios.com" 
name="compose-unknown-contact.jpg" height="25px" width="25px"></div>   <div
 
style="display:table-cell;white-space:nowrap;vertical-align:middle;width:100%">
           <a moz-do-not-send="true" href="mailto:repenny241155@gmail.com" 
style="color:#737F92 
!important;padding-right:6px;font-weight:bold;text-decoration:none 
!important;">Rowland Penny</a></div>   <div 
style="display:table-cell;white-space:nowrap;vertical-align:middle;">   
  <font color="#9FA2A5"><span style="padding-left:6px">23 Jan 2015 22:24</span></font></div></div></div>
  <div style="color:#888888;margin-left:24px;margin-right:24px;" 
__pbrmquotes="true" class="__pbConvBody">
  
    <meta http-equiv="Content-Type" content="text/html; charset=UTF-8">
  
    <div class="moz-cite-prefix">On 23/01/15 21:10, Koen de Boeve wrote:<br>
    </div>
    
    <br>
    OK, I'll believe you, now could someone explain how sssd can read a
    GPO that is supposed to (as far as I know) alter the registry on a
    windows machine and use those settings on a Linux machine that does
    have anything like a registry ?<br>
    <br>
    Rowland<br>
  <div>_______________________________________________<br>sssd-users 
mailing list<br><a class="moz-txt-link-abbreviated" href="mailto:sssd-users@lists.fedorahosted.org">sssd-users@lists.fedorahosted.org</a><br><a class="moz-txt-link-freetext" href="https://lists.fedorahosted.org/mailman/listinfo/sssd-users">https://lists.fedorahosted.org/mailman/listinfo/sssd-users</a><br></div></div>
  <div style="margin:30px 25px 10px 25px;" class="__pbConvHr"><div 
style="display:table;width:100%;border-top:1px solid 
#EDEEF0;padding-top:5px">         <div 
style="display:table-cell;vertical-align:middle;padding-right:6px;"><img
 photoaddress="repenny241155@gmail.com" photoname="Rowland Penny" 
src="cid:part1.00020509.07070002@galaxystudios.com" 
name="compose-unknown-contact.jpg" height="25px" width="25px"></div>   <div
 
style="display:table-cell;white-space:nowrap;vertical-align:middle;width:100%">
           <a moz-do-not-send="true" href="mailto:repenny241155@gmail.com" 
style="color:#737F92 
!important;padding-right:6px;font-weight:bold;text-decoration:none 
!important;">Rowland Penny</a></div>   <div 
style="display:table-cell;white-space:nowrap;vertical-align:middle;">   
  <font color="#9FA2A5"><span style="padding-left:6px">23 Jan 2015 22:01</span></font></div></div></div>
  <div style="color:#888888;margin-left:24px;margin-right:24px;" 
__pbrmquotes="true" class="__pbConvBody">
  
    <meta http-equiv="Content-Type" content="text/html; charset=UTF-8">
  
    <div class="moz-cite-prefix">On 23/01/15 20:58, Koen de Boeve wrote:<br>
    </div>
    
    <br>
    Thought so, forget it, Linux knows absolutely nothing about GPO's<br>
    <br>
    Rowland<br>
    <br>
  <div>_______________________________________________<br>sssd-users 
mailing list<br><a class="moz-txt-link-abbreviated" href="mailto:sssd-users@lists.fedorahosted.org">sssd-users@lists.fedorahosted.org</a><br><a class="moz-txt-link-freetext" href="https://lists.fedorahosted.org/mailman/listinfo/sssd-users">https://lists.fedorahosted.org/mailman/listinfo/sssd-users</a><br></div></div>
  <div style="margin:30px 25px 10px 25px;" class="__pbConvHr"><div 
style="display:table;width:100%;border-top:1px solid 
#EDEEF0;padding-top:5px">         <div 
style="display:table-cell;vertical-align:middle;padding-right:6px;"><img
 photoaddress="koen@galaxystudios.com" photoname="Koen de Boeve" 
src="cid:part1.00020509.07070002@galaxystudios.com" 
name="compose-unknown-contact.jpg" height="25px" width="25px"></div>   <div
 
style="display:table-cell;white-space:nowrap;vertical-align:middle;width:100%">
           <a moz-do-not-send="true" href="mailto:koen@galaxystudios.com" 
style="color:#737F92 
!important;padding-right:6px;font-weight:bold;text-decoration:none 
!important;">Koen de Boeve</a></div>   <div 
style="display:table-cell;white-space:nowrap;vertical-align:middle;">   
  <font color="#9FA2A5"><span style="padding-left:6px">23 Jan 2015 21:58</span></font></div></div></div>
  <div style="color:#888888;margin-left:24px;margin-right:24px;" 
__pbrmquotes="true" class="__pbConvBody">
<meta http-equiv="Content-Type" content="text/html; charset=UTF-8">
Yes I am Rowland, well it 
is a separate Policy specifically for linux machines.<br>
<br>
<br>
Regards, Koen<br>
<br>

  </div>
</blockquote>
</body></html>