<html><head>
<meta content="text/html; charset=UTF-8" http-equiv="Content-Type">
</head><body bgcolor="#FFFFFF" text="#000000"><br>
hmm weird, the logs say that there s no access to the GPT.INI file...<br>
<br>
when I use smbclient \\\\&lt;servername\\SysVol -Utestuser1<br>
<br>
I can browse and get 
GLXTMP.COM/Policies/{AC4A550E-DCD5-4C06-8B5C-29E51CD03164}/GPT.INI<br>
without a problem...<br>
<br>
but attached is the gpo_child.log<br>
<br>
Regards, Koen<br>
<blockquote style="border: 0px none;" 
cite="mid:20150126102555.GE31960@p.redhat.com" type="cite">
  <div style="margin:30px 25px 10px 25px;" class="__pbConvHr"><div 
style="display:table;width:100%;border-top:1px solid 
#EDEEF0;padding-top:5px">         <div 
style="display:table-cell;vertical-align:middle;padding-right:6px;"><img
 photoaddress="sbose@redhat.com" photoname="Sumit Bose" 
src="cid:part1.00060202.03070408@galaxystudios.com" 
name="compose-unknown-contact.jpg" height="25px" width="25px"></div>   <div
 
style="display:table-cell;white-space:nowrap;vertical-align:middle;width:100%">
           <a moz-do-not-send="true" href="mailto:sbose@redhat.com" 
style="color:#737F92 
!important;padding-right:6px;font-weight:bold;text-decoration:none 
!important;">Sumit Bose</a></div>   <div 
style="display:table-cell;white-space:nowrap;vertical-align:middle;">   
  <font color="#9FA2A5"><span style="padding-left:6px">26 Jan 2015 11:25</span></font></div></div></div>
  <div style="color:#888888;margin-left:24px;margin-right:24px;" 
__pbrmquotes="true" class="__pbConvBody"><div><!----><br>"[child_sig_handler]
 (0x0020): child [18130] failed with status [1]."<br><br>Can you send 
the gpo child logs as well?<br><br>bye,    <br>Sumit<br>_______________________________________________<br>sssd-users
 mailing list<br><a class="moz-txt-link-abbreviated" href="mailto:sssd-users@lists.fedorahosted.org">sssd-users@lists.fedorahosted.org</a><br><a class="moz-txt-link-freetext" href="https://lists.fedorahosted.org/mailman/listinfo/sssd-users">https://lists.fedorahosted.org/mailman/listinfo/sssd-users</a><br></div></div>
  <div style="margin:30px 25px 10px 25px;" class="__pbConvHr"><div 
style="display:table;width:100%;border-top:1px solid 
#EDEEF0;padding-top:5px">         <div 
style="display:table-cell;vertical-align:middle;padding-right:6px;"><img
 photoaddress="koen@galaxystudios.com" photoname="Koen de Boeve" 
src="cid:part1.00060202.03070408@galaxystudios.com" 
name="compose-unknown-contact.jpg" height="25px" width="25px"></div>   <div
 
style="display:table-cell;white-space:nowrap;vertical-align:middle;width:100%">
           <a moz-do-not-send="true" href="mailto:koen@galaxystudios.com" 
style="color:#737F92 
!important;padding-right:6px;font-weight:bold;text-decoration:none 
!important;">Koen de Boeve</a></div>   <div 
style="display:table-cell;white-space:nowrap;vertical-align:middle;">   
  <font color="#9FA2A5"><span style="padding-left:6px">26 Jan 2015 10:54</span></font></div></div></div>
  <div style="color:#888888;margin-left:24px;margin-right:24px;" 
__pbrmquotes="true" class="__pbConvBody">
<meta http-equiv="Content-Type" content="text/html; charset=UTF-8">
Hi Jacub,<br>
<br>
I have a windows AD setup now (Windows 2012 R2). But it still isnt 
working( different error though).<br>
I Have setup another CentOS 7 box with sssd version 1.12.3 and bound it 
to this domain.<br>
<br>
This is the sssd.conf:<br>
<br>
[sssd]<br>
domains = GLXTMP.COM<br>
config_file_version = 2<br>
services = nss, pam<br>
<br>
[domain/GLXTMP.COM]<br>
ad_domain = GLXTMP.COM<br>
krb5_realm = GLXTMP.COM<br>
realmd_tags = manages-system joined-with-samba<br>
cache_credentials = True<br>
id_provider = ad<br>
krb5_store_password_if_offline = True<br>
default_shell = /bin/bash<br>
ldap_id_mapping = False<br>
use_fully_qualified_names = False<br>
fallback_homedir = /home/%u<br>
<br>
debug_level = 9<br>
<br>
enumerate = True<br>
<br>
access_provider = ad<br>
id_provider = ad<br>
auth_provider = ad<br>
chpass_provider = ad<br>
ad_gpo_access_control = permissive<br>
<br>
<br>
=========================<br>
<br>
Now the log file finds a GPO that is applicable:<br>
<br>
(Mon Jan 26 10:26:02 2015) [sssd[be[GLXTMP.COM]]] 
[ad_gpo_filter_gpos_by_dacl] (0x4000): examining dacl 
candidate_gpo_guid:{31B2F340-016D-11D2-945F-00C04FB984F9}<br>
(Mon Jan 26 10:26:02 2015) [sssd[be[GLXTMP.COM]]] 
[ad_gpo_filter_gpos_by_dacl] (0x4000): GPO not applicable to target per 
security filtering<br>
(Mon Jan 26 10:26:02 2015) [sssd[be[GLXTMP.COM]]] 
[ad_gpo_filter_gpos_by_dacl] (0x4000): examining dacl 
candidate_gpo_guid:{AC4A550E-DCD5-4C06-8B5C-29E51CD03164}<br>
(Mon Jan 26 10:26:02 2015) [sssd[be[GLXTMP.COM]]] 
[ad_gpo_filter_gpos_by_dacl] (0x4000): GPO applicable to target per 
security filtering<br>
(Mon Jan 26 10:26:02 2015) [sssd[be[GLXTMP.COM]]] 
[ad_gpo_process_gpo_done] (0x0400): dacl_filtered_gpos[0]-&gt;gpo_guid 
is {AC4A550E-DCD5-4C06-8B5C-29E51CD03164}<br>
(Mon Jan 26 10:26:02 2015) [sssd[be[GLXTMP.COM]]] 
[ad_gpo_filter_gpos_by_cse_guid] (0x4000): examining cse 
candidate_gpo_guid: {AC4A550E-DCD5-4C06-8B5C-29E51CD03164}<br>
(Mon Jan 26 10:26:02 2015) [sssd[be[GLXTMP.COM]]] 
[ad_gpo_filter_gpos_by_cse_guid] (0x4000): GPO applicable to target per 
cse_guid filtering<br>
(Mon Jan 26 10:26:02 2015) [sssd[be[GLXTMP.COM]]] 
[ad_gpo_process_gpo_done] (0x0400): cse_filtered_gpos[0]-&gt;gpo_guid is
 {AC4A550E-DCD5-4C06-8B5C-29E51CD03164}<br>
(Mon Jan 26 10:26:02 2015) [sssd[be[GLXTMP.COM]]] 
[ad_gpo_process_gpo_done] (0x0400): num_cse_filtered_gpos: 1<br>
(Mon Jan 26 10:26:02 2015) [sssd[be[GLXTMP.COM]]] [ldb] (0x4000): start 
ldb transaction (nesting: 0)<br>
(Mon Jan 26 10:26:02 2015) [sssd[be[GLXTMP.COM]]] 
[sysdb_gpo_get_gpo_result_object] (0x4000): 
cn=gpos,cn=ad,cn=custom,cn=GLXTMP.COM,cn=sysdb<br>
(Mon Jan 26 10:26:02 2015) [sssd[be[GLXTMP.COM]]] [ldb] (0x4000): Added 
timed event "ltdb_callback": 0x7f96c0717020<br>
<br>
(Mon Jan 26 10:26:02 2015) [sssd[be[GLXTMP.COM]]] [ldb] (0x4000): Added 
timed event "ltdb_timeout": 0x7f96c0716220<br>
<br>
(Mon Jan 26 10:26:02 2015) [sssd[be[GLXTMP.COM]]] [ldb] (0x4000): 
Running timer event 0x7f96c0717020 "ltdb_callback"<br>
<br>
(Mon Jan 26 10:26:02 2015) [sssd[be[GLXTMP.COM]]] [ldb] (0x4000): 
Destroying timer event 0x7f96c0716220 "ltdb_timeout"<br>
<br>
(Mon Jan 26 10:26:02 2015) [sssd[be[GLXTMP.COM]]] [ldb] (0x4000): Ending
 timer event 0x7f96c0717020 "ltdb_callback"<br>
<br>
(Mon Jan 26 10:26:02 2015) [sssd[be[GLXTMP.COM]]] 
[sysdb_gpo_get_gpo_result_object] (0x4000): No GPO Result object.<br>
(Mon Jan 26 10:26:02 2015) [sssd[be[GLXTMP.COM]]] [ldb] (0x4000): commit
 ldb transaction (nesting: 0)<br>
(Mon Jan 26 10:26:02 2015) [sssd[be[GLXTMP.COM]]] [ad_gpo_cse_step] 
(0x0400): cse filtered_gpos[0]-&gt;gpo_guid is 
{AC4A550E-DCD5-4C06-8B5C-29E51CD03164}<br>
(Mon Jan 26 10:26:02 2015) [sssd[be[GLXTMP.COM]]] [ad_gpo_cse_step] 
(0x4000): cse_filtered_gpos[0]-&gt;gpo_cse_guids[0]-&gt;gpo_guid is 
{827D319E-6EAC-11D2-A4EA-00C04F79F83A}<br>
(Mon Jan 26 10:26:02 2015) [sssd[be[GLXTMP.COM]]] [ad_gpo_cse_step] 
(0x0400): smb_server: <a moz-do-not-send="true" 
href="smb://win-leje3vd828k.glxtmp.com" class="moz-txt-link-freetext">smb://win-leje3vd828k.glxtmp.com</a><br>
(Mon Jan 26 10:26:02 2015) [sssd[be[GLXTMP.COM]]] [ad_gpo_cse_step] 
(0x0400): smb_share: /SysVol<br>
(Mon Jan 26 10:26:02 2015) [sssd[be[GLXTMP.COM]]] [ad_gpo_cse_step] 
(0x0400): smb_path: 
/GLXTMP.COM/Policies/{AC4A550E-DCD5-4C06-8B5C-29E51CD03164}<br>
(Mon Jan 26 10:26:02 2015) [sssd[be[GLXTMP.COM]]] [ad_gpo_cse_step] 
(0x0400): gpo_guid: {AC4A550E-DCD5-4C06-8B5C-29E51CD03164}<br>
(Mon Jan 26 10:26:02 2015) [sssd[be[GLXTMP.COM]]] [ad_gpo_cse_step] 
(0x0400): retrieving GPO from cache 
[{AC4A550E-DCD5-4C06-8B5C-29E51CD03164}]<br>
(Mon Jan 26 10:26:02 2015) [sssd[be[GLXTMP.COM]]] 
[sysdb_gpo_get_gpo_by_guid] (0x4000): 
cn=gpos,cn=ad,cn=custom,cn=GLXTMP.COM,cn=sysdb<br>
<br>
But finally it is failing anyway:<br>
<br>
<br>
(Mon Jan 26 10:26:02 2015) [sssd[be[GLXTMP.COM]]] [ldb] (0x4000): Added 
timed event "ltdb_callback": 0x7f96c071b260<br>
<br>
(Mon Jan 26 10:26:02 2015) [sssd[be[GLXTMP.COM]]] [ldb] (0x4000): Added 
timed event "ltdb_timeout": 0x7f96c07134d0<br>
<br>
(Mon Jan 26 10:26:02 2015) [sssd[be[GLXTMP.COM]]] [ldb] (0x4000): 
Running timer event 0x7f96c071b260 "ltdb_callback"<br>
<br>
(Mon Jan 26 10:26:02 2015) [sssd[be[GLXTMP.COM]]] [ldb] (0x4000): 
Destroying timer event 0x7f96c07134d0 "ltdb_timeout"<br>
<br>
(Mon Jan 26 10:26:02 2015) [sssd[be[GLXTMP.COM]]] [ldb] (0x4000): Ending
 timer event 0x7f96c071b260 "ltdb_callback"<br>
<br>
(Mon Jan 26 10:26:02 2015) [sssd[be[GLXTMP.COM]]] 
[sysdb_gpo_get_gpo_by_guid] (0x4000): No such entry.<br>
(Mon Jan 26 10:26:02 2015) [sssd[be[GLXTMP.COM]]] [ad_gpo_cse_step] 
(0x0400): ENOENT<br>
(Mon Jan 26 10:26:02 2015) [sssd[be[GLXTMP.COM]]] [ad_gpo_cse_step] 
(0x0400): send_to_child: 1<br>
(Mon Jan 26 10:26:02 2015) [sssd[be[GLXTMP.COM]]] [ad_gpo_cse_step] 
(0x0400): cached_gpt_version: -1<br>
(Mon Jan 26 10:26:02 2015) [sssd[be[GLXTMP.COM]]] 
[create_cse_send_buffer] (0x4000): buffer size: 167<br>
(Mon Jan 26 10:26:02 2015) [sssd[be[GLXTMP.COM]]] [child_handler_setup] 
(0x2000): Setting up signal handler up for pid [18130]<br>
(Mon Jan 26 10:26:02 2015) [sssd[be[GLXTMP.COM]]] [child_handler_setup] 
(0x2000): Signal handler set up for pid [18130]<br>
(Mon Jan 26 10:26:02 2015) [sssd[be[GLXTMP.COM]]] [sdap_process_result] 
(0x2000): Trace: sh[0x7f96c06d7260], connected[1], ops[(nil)], 
ldap[0x7f96c06a3d10]<br>
(Mon Jan 26 10:26:02 2015) [sssd[be[GLXTMP.COM]]] [sdap_process_result] 
(0x2000): Trace: ldap_result found nothing!<br>
(Mon Jan 26 10:26:02 2015) [sssd[be[GLXTMP.COM]]] [write_pipe_handler] 
(0x0400): All data has been sent!<br>
(Mon Jan 26 10:26:03 2015) [sssd[be[GLXTMP.COM]]] [read_pipe_handler] 
(0x0400): EOF received, client finished<br>
(Mon Jan 26 10:26:03 2015) [sssd[be[GLXTMP.COM]]] [gpo_cse_done] 
(0x0020): ad_gpo_parse_gpo_child_response failed: [22][Invalid argument]<br>
(Mon Jan 26 10:26:03 2015) [sssd[be[GLXTMP.COM]]] [ad_gpo_cse_done] 
(0x0400): gpo_guid: {AC4A550E-DCD5-4C06-8B5C-29E51CD03164}<br>
(Mon Jan 26 10:26:03 2015) [sssd[be[GLXTMP.COM]]] [ad_gpo_cse_done] 
(0x0040): Unable to retrieve policy data: [22](Invalid argument}<br>
(Mon Jan 26 10:26:03 2015) [sssd[be[GLXTMP.COM]]] [ad_gpo_access_done] 
(0x0040): GPO-based access control failed.<br>
(Mon Jan 26 10:26:03 2015) [sssd[be[GLXTMP.COM]]] [ad_gpo_access_done] 
(0x0040): Ignoring error: [22](Invalid argument); GPO-based access 
control failed, but GPO is not in enforcing mode.<br>
<br>
I added the full sssd log in case you want a look in there.<br>
<br>
<br>
<blockquote type="cite" cite="mid:54C2B5A1.40504@galaxystudios.com" 
style="border: 0px none;"><div class="__pbConvHr" style="margin:30px 
25px 10px 25px;"><div style="display:table;width:100%;border-top:1px 
solid 
#EDEEF0;padding-top:5px">         <div 
style="display:table-cell;vertical-align:middle;padding-right:6px;"><img
 moz-do-not-send="true" name="compose-unknown-contact.jpg" 
src="cid:part1.00060202.03070408@galaxystudios.com" photoname="Koen de 
Boeve" photoaddress="koen@galaxystudios.com" height="25px" width="25px"></div>
   <div 
style="display:table-cell;white-space:nowrap;vertical-align:middle;width:100%">
           <a style="color:#737F92 
!important;padding-right:6px;font-weight:bold;text-decoration:none 
!important;" href="mailto:koen@galaxystudios.com" moz-do-not-send="true">Koen
 de Boeve</a></div>   <div 
style="display:table-cell;white-space:nowrap;vertical-align:middle;">   
  <font color="#9FA2A5"><span style="padding-left:6px">23 Jan 2015 21:57</span></font></div></div></div>
  <div class="__pbConvBody" __pbrmquotes="true" style="color: rgb(136, 
136, 136); margin-left: 24px; 
margin-right: 24px;">
<meta content="text/html; charset=UTF-8" http-equiv="Content-Type">
Hi Jacub,<br>
<br>

<blockquote style="border: 0px 
none;" cite="mid:20150123200301.GU12004@hendrix.redhat.com" type="cite"><div
 style="color: 
rgb(136, 136, 136); margin-left: 24px; margin-right: 24px;" 
__pbrmquotes="true" class="__pbConvBody">
Hi Koen,

I don't have a complete answer, but I'll try to help and maybe we can
work out some details. 

First, do you have an actual AD server around to test with? In the past
we've seen bugs with Samba that didn't occur with AD and I'm not sure if
anyone tried the GPO integration with Samba..

The SSSD version you're running is pretty recent, </div></blockquote></div>
</blockquote>
<blockquote type="cite" cite="mid:54C2B5A1.40504@galaxystudios.com" 
style="border: 0px none;"><div class="__pbConvBody" __pbrmquotes="true" 
style="color:#888888;margin-left:24px;margin-right:24px;">
    <blockquote style="border: 0px 
none;" cite="mid:20150123200301.GU12004@hendrix.redhat.com" type="cite"><div
 style="color: 
rgb(136, 136, 136); margin-left: 24px; 
margin-right: 24px;" __pbrmquotes="true" class="__pbConvBody">the only 
GPO-related
bug after the 1.12.3 release was
<a class="moz-txt-link-freetext" 
href="https://fedorahosted.org/sssd/ticket/2543" moz-do-not-send="true">https://fedorahosted.org/sssd/ticket/2543</a>

  </div>

    </blockquote>

Pretty sure it has nothing to do with unresolvable LDAP uri :-)<br>
<br>
<span>I don't have a Windows AD, but I can definitely try to set up one 
on our test environment.<br>
<br>
But that s gonna take some time. <br>
</span>
<blockquote style="border: 0px 
none;" cite="mid:20150123200301.GU12004@hendrix.redhat.com" type="cite"><div
 style="color: 
rgb(136, 136, 136); margin-left: 24px; 
margin-right: 24px;" __pbrmquotes="true" class="__pbConvBody"><span 
style="font-family: monospace;"></span><pre wrap=""><!---->
I would advice against enumerate=True in large environments.
</pre></div>
</blockquote>
We dont have a large environment, and I put it there, on purpose, to see
 if it worked :-)<br>
Once I have everything working as it should I will revise the settings 
before I deploy it on all our linux machines.<br>
<blockquote style="border: 0px 
none;" cite="mid:20150123200301.GU12004@hendrix.redhat.com" type="cite"><div
 style="color: 
rgb(136, 136, 136); margin-left: 24px; 
margin-right: 24px;" __pbrmquotes="true" class="__pbConvBody"><pre wrap="">You can drop ldap_schema=ad, it's already the default for id_provider=ad</pre></div>
</blockquote>
OK good to know, thanks for that !
<blockquote style="border: 0px 
none;" cite="mid:20150123200301.GU12004@hendrix.redhat.com" type="cite"><div
 style="color: 
rgb(136, 136, 136); margin-left: 24px; 
margin-right: 24px;" __pbrmquotes="true" class="__pbConvBody"><pre wrap=""><!---->
Can you confirm that the GUIDs of the GPOs SSSD downloads correspond to
those you defined on the sever side?</pre></div>
</blockquote>
<br>
[root@pdc Policies]# ls<br>
{31B2F340-016D-11D2-945F-00C04FB984F9}  - This is the Default Policy ( 
empty )<br>
{691A69C9-FEF3-4A42-8129-64E8741F9D2C}  - Other Policy, not for this OU<br>
{6AC1786C-016F-11D2-945F-00C04FB984F9}  - Same<br>
{D49E3752-2ECB-42F6-A418-2AE1F3092929}  - This is the Policy containing 
the deny rules for user Testuser (Deny log on locally and Deny log on 
through Remote Desktop )<br>
{E55C6360-FBC1-485A-8EFF-A7D9392514D2} - Other Policy, not for this OU <br>
<blockquote style="border: 0px 
none;" cite="mid:20150123200301.GU12004@hendrix.redhat.com" type="cite">
  <div style="color: rgb(136, 
136, 136); margin-left: 24px; 
margin-right: 24px;" __pbrmquotes="true" class="__pbConvBody"><pre wrap="">Note that func_versions is 2 and flags is 0, same for the other GPO.
</pre></div>
</blockquote>
What does that mean? :-)<br>
<blockquote style="border: 0px 
none;" cite="mid:20150123200301.GU12004@hendrix.redhat.com" type="cite">
  <div style="color: rgb(136, 
136, 136); margin-left: 24px; 
margin-right: 24px;" __pbrmquotes="true" class="__pbConvBody"><pre wrap="">OK, access was denied but since both the flags and the func_version were
value we expect, I presume the code made it all the way to
ad_gpo_evaluate_ace() where the GPO is really evaluated. Unfortunately
there's not much logging there. I wonder if the GUIDs are correct? If
so, we can proceed with debugging, maybe with some instrumented build..</pre></div>
</blockquote>
<br>
<span>There is one SID I cant figure out: <span>[ad_gpo_parse_machine_ext_names]


 (0x4000): gpo_cse_guids[0] is 
{827D319E-6EAC-11D2-A4EA-00C04F79F83A}  </span></span>
<div style="color:#888888;margin-left:24px;margin-right:24px;" 
__pbrmquotes="true" class="__pbConvBody">
  <pre wrap="">btw did you also try the other way around, only allow access? 
</pre>
</div>
<span>Yes, same issue<br>
  <br>
</span>Regards and thanks for the help!, Koen<br>
  </div>
  <div class="__pbConvHr" style="margin:30px 25px 10px 25px;"><div 
style="display:table;width:100%;border-top:1px solid 
#EDEEF0;padding-top:5px">         <div 
style="display:table-cell;vertical-align:middle;padding-right:6px;"><img
 moz-do-not-send="true" name="compose-unknown-contact.jpg" 
src="cid:part1.00060202.03070408@galaxystudios.com" photoname="Jakub 
Hrozek" photoaddress="jhrozek@redhat.com" height="25px" width="25px"></div>
   <div 
style="display:table-cell;white-space:nowrap;vertical-align:middle;width:100%">
           <a style="color:#737F92 
!important;padding-right:6px;font-weight:bold;text-decoration:none 
!important;" href="mailto:jhrozek@redhat.com" moz-do-not-send="true">Jakub
 Hrozek</a></div>   <div 
style="display:table-cell;white-space:nowrap;vertical-align:middle;">   
  <font color="#9FA2A5"><span style="padding-left:6px">23 Jan 2015 21:03</span></font></div></div></div>
  <div class="__pbConvBody" __pbrmquotes="true" 
style="color:#888888;margin-left:24px;margin-right:24px;"><pre wrap="">On Fri, Jan 23, 2015 at 04:10:12PM +0100, Koen de Boeve wrote:
</pre><blockquote type="cite"><pre wrap="">Hi all,

I am having issues getting remote and local GPO restrictions to work

I am using:

- 2 Samba 4.1.16  PDC's on CentOS 6.5 64bit
- 1 CentOS 7 installation with sssd 1.12.3. as testclient.

other GPO's are working fine for windows machines.

Authentication against the Samba4 Domain on the testclient with sssd is
working fine too.
I am now trying to use a Group Policy to deny access for 'testuser' for both
local login as well as remote login ( ssh and xrdp )

This is not working at all.

I created a GPO which I linked to OU=Linux,OU=Servers,DC=mydomain,DC=com
in there, I have one machine, called ITCOPY.
the GPO sets Deny Logon and Deny Remote Desktop access for MYDOMAIN\testuser

The GPO is set to be Enforced and the Security target is Authenticated
Users.

as you can see, I set access_control back to permissive, so I should see
some indication that the GPO is working in the log file.

Any help would be much appreciated!

Regards, Koen
</pre></blockquote><pre wrap=""><!---->
Hi Koen,

I don't have a complete answer, but I'll try to help and maybe we can
work out some details. 

First, do you have an actual AD server around to test with? In the past
we've seen bugs with Samba that didn't occur with AD and I'm not sure if
anyone tried the GPO integration with Samba..

The SSSD version you're running is pretty recent, the only GPO-related
bug after the 1.12.3 release was
<a moz-do-not-send="true" href="https://fedorahosted.org/sssd/ticket/2543" class="moz-txt-link-freetext">https://fedorahosted.org/sssd/ticket/2543</a>

</pre><blockquote type="cite"><pre wrap="">My sssd conf:
# =========================================
[sssd]
domains = mydomain.com
config_file_version = 2
services = nss, pam

[domain/mydomain.com]
ad_domain = mydomain.com
ad_server = pdc.mydomain.com
krb5_realm = mydomain.com
realmd_tags = manages-system joined-with-samba
cache_credentials = True
id_provider = ad
krb5_store_password_if_offline = True
default_shell = /bin/bash
ldap_id_mapping = False
use_fully_qualified_names = False
fallback_homedir = /home/%u
debug_level = 9

enumerate = True
</pre></blockquote><pre wrap=""><!---->
I would advice against enumerate=True in large environments.

</pre><blockquote type="cite"><pre wrap="">access_provider = ad
#ad_access_filter =
(&amp;(memberOf=CN=linuxadmin,CN=Users,DC=mydomain,DC=com)(unixHomeDirectory=*))
id_provider = ad
auth_provider = ad
chpass_provider = ad
ad_gpo_access_control = permissive

ldap_schema = ad
</pre></blockquote><pre wrap=""><!---->
You can drop ldap_schema=ad, it's already the default for id_provider=ad

</pre><blockquote type="cite"><pre wrap="">dyndns_update = true
dyndns_refresh_interval = 43200
dyndns_update_ptr = true
dyndns_ttl = 3600

ad_gpo_map_remote_interactive = +xrdp-sesman
# =====================================

This is part of the sssd log file:

(Fri Jan 23 14:21:23 2015) [sssd[be[mydomain.com]]] [ad_gpo_access_send]
(0x0400): service sshd maps to Remote Interactive
(Fri Jan 23 14:21:23 2015) [sssd[be[mydomain.com]]] [ad_gpo_access_send]
(0x4000): server_hostname from uri: pdc.mydomain.com
(Fri Jan 23 14:21:23 2015) [sssd[be[mydomain.com]]] [ad_gpo_connect_done]
(0x0400): sam_account_name is ITCOPY$
(Fri Jan 23 14:21:23 2015) [sssd[be[mydomain.com]]]
[ad_gpo_site_dn_retrieval_done] (0x0400): som_list[0]-&gt;som_dn is
OU=Linux,OU=Servers,DC=mydomain,DC=com
(Fri Jan 23 14:21:23 2015) [sssd[be[mydomain.com]]]
[ad_gpo_site_dn_retrieval_done] (0x0400): som_list[1]-&gt;som_dn is
OU=Servers,DC=mydomain,DC=com
(Fri Jan 23 14:21:23 2015) [sssd[be[mydomain.com]]]
[ad_gpo_site_dn_retrieval_done] (0x0400): som_list[2]-&gt;som_dn is
DC=mydomain,DC=com
(Fri Jan 23 14:21:23 2015) [sssd[be[mydomain.com]]]
[ad_gpo_site_dn_retrieval_done] (0x0400): som_list[3]-&gt;som_dn is
cn=Default-First-Site-Name,cn=Sites,CN=Configuration,DC=mydomain,DC=com
(Fri Jan 23 14:21:23 2015) [sssd[be[mydomain.com]]]
[ad_gpo_get_som_attrs_done] (0x4000): gpoptions attr not found or has no
value; defaults to 0
(Fri Jan 23 14:21:23 2015) [sssd[be[mydomain.com]]]
[ad_gpo_populate_gplink_list] (0x0400): som_dn:
OU=Linux,OU=Servers,DC=mydomain,DC=com
(Fri Jan 23 14:21:23 2015) [sssd[be[mydomain.com]]]
[ad_gpo_populate_gplink_list] (0x4000): gplink_list[0]: [cn={D49E3752-2ECB-42F6-A418-2AE1F3092929},cn=policies,cn=system,DC=mydomain,DC=com;
2]
(Fri Jan 23 14:21:23 2015) [sssd[be[mydomain.com]]]
[ad_gpo_get_som_attrs_done] (0x4000): gpoptions attr not found or has no
value; defaults to 0
(Fri Jan 23 14:21:23 2015) [sssd[be[mydomain.com]]]
[ad_gpo_populate_gplink_list] (0x0400): som_dn:
OU=Servers,DC=mydomain,DC=com
(Fri Jan 23 14:21:23 2015) [sssd[be[mydomain.com]]]
[ad_gpo_populate_gplink_list] (0x4000): gplink_list[0]: [cn={691A69C9-FEF3-4A42-8129-64E8741F9D2C},cn=policies,cn=system,DC=mydomain,DC=com;
1]
(Fri Jan 23 14:21:23 2015) [sssd[be[mydomain.com]]]
[ad_gpo_populate_gplink_list] (0x4000): ignored gpo skipped
(Fri Jan 23 14:21:23 2015) [sssd[be[mydomain.com]]]
[ad_gpo_get_som_attrs_done] (0x4000): gpoptions attr not found or has no
value; defaults to 0
(Fri Jan 23 14:21:23 2015) [sssd[be[mydomain.com]]]
[ad_gpo_populate_gplink_list] (0x0400): som_dn: DC=mydomain,DC=com
(Fri Jan 23 14:21:23 2015) [sssd[be[mydomain.com]]]
[ad_gpo_populate_gplink_list] (0x4000): gplink_list[0]: [CN={31B2F340-016D-11D2-945F-00C04FB984F9},CN=Policies,CN=System,DC=mydomain,DC=com;
0]
(Fri Jan 23 14:21:23 2015) [sssd[be[mydomain.com]]]
[ad_gpo_get_som_attrs_done] (0x0040): no attrs found for SOM; try next SOM
(Fri Jan 23 14:21:23 2015) [sssd[be[mydomain.com]]]
[ad_gpo_populate_candidate_gpos] (0x0400): candidate_gpos[0]-&gt;gpo_dn: CN={31B2F340-016D-11D2-945F-00C04FB984F9},CN=Policies,CN=System,DC=mydomain,DC=com
(Fri Jan 23 14:21:23 2015) [sssd[be[mydomain.com]]]
[ad_gpo_populate_candidate_gpos] (0x0400): candidate_gpos[1]-&gt;gpo_dn: cn={D49E3752-2ECB-42F6-A418-2AE1F3092929},cn=policies,cn=system,DC=mydomain,DC=com
</pre></blockquote><pre wrap=""><!---->
Can you confirm that the GUIDs of the GPOs SSSD downloads correspond to
those you defined on the sever side?

</pre><blockquote type="cite"><pre wrap="">(Fri Jan 23 14:21:23 2015) [sssd[be[mydomain.com]]]
[ad_gpo_get_gpo_attrs_done] (0x4000): populating attrs for gpo_guid:
{31B2F340-016D-11D2-945F-00C04FB984F9}
(Fri Jan 23 14:21:23 2015) [sssd[be[mydomain.com]]]
[ad_gpo_extract_smb_components] (0x4000): input_path: \\mydomain.com\sysvol\mydomain.com\Policies\{31B2F340-016D-11D2-945F-00C04FB984F9}
(Fri Jan 23 14:21:23 2015) [sssd[be[mydomain.com]]]
[ad_gpo_get_gpo_attrs_done] (0x4000): smb_server: <a moz-do-not-send="true" href="smb://pdc.mydomain.com" class="moz-txt-link-freetext">smb://pdc.mydomain.com</a>
(Fri Jan 23 14:21:23 2015) [sssd[be[mydomain.com]]]
[ad_gpo_get_gpo_attrs_done] (0x4000): smb_share: /sysvol
(Fri Jan 23 14:21:23 2015) [sssd[be[mydomain.com]]]
[ad_gpo_get_gpo_attrs_done] (0x4000): smb_path:
/mydomain.com/Policies/{31B2F340-016D-11D2-945F-00C04FB984F9}
(Fri Jan 23 14:21:23 2015) [sssd[be[mydomain.com]]]
[ad_gpo_get_gpo_attrs_done] (0x4000): gpo_func_version: 2
(Fri Jan 23 14:21:23 2015) [sssd[be[mydomain.com]]]
[ad_gpo_get_gpo_attrs_done] (0x4000): gpo_flags: 0
(Fri Jan 23 14:21:23 2015) [sssd[be[mydomain.com]]]
[ad_gpo_parse_machine_ext_names] (0x4000): num_gpo_cse_guids: 3
(Fri Jan 23 14:21:23 2015) [sssd[be[mydomain.com]]]
[ad_gpo_parse_machine_ext_names] (0x4000): gpo_cse_guids[0] is
{35378EAC-683F-11D2-A89A-00C04FBBCFA2}
(Fri Jan 23 14:21:23 2015) [sssd[be[mydomain.com]]]
[ad_gpo_parse_machine_ext_names] (0x4000): gpo_cse_guids[1] is
{827D319E-6EAC-11D2-A4EA-00C04F79F83A}
(Fri Jan 23 14:21:23 2015) [sssd[be[mydomain.com]]]
[ad_gpo_parse_machine_ext_names] (0x4000): gpo_cse_guids[2] is
{B1BE8D72-6EAC-11D2-A4EA-00C04F79F83A}
(Fri Jan 23 14:21:23 2015) [sssd[be[mydomain.com]]]
[ad_gpo_get_gpo_attrs_done] (0x4000): populating attrs for gpo_guid:
{D49E3752-2ECB-42F6-A418-2AE1F3092929}
(Fri Jan 23 14:21:23 2015) [sssd[be[mydomain.com]]]
[ad_gpo_extract_smb_components] (0x4000): input_path: \\mydomain.com\SysVol\mydomain.com\Policies\{D49E3752-2ECB-42F6-A418-2AE1F3092929}
(Fri Jan 23 14:21:23 2015) [sssd[be[mydomain.com]]]
[ad_gpo_get_gpo_attrs_done] (0x4000): smb_server: <a moz-do-not-send="true" href="smb://pdc.mydomain.com" class="moz-txt-link-freetext">smb://pdc.mydomain.com</a>
(Fri Jan 23 14:21:23 2015) [sssd[be[mydomain.com]]]
[ad_gpo_get_gpo_attrs_done] (0x4000): smb_share: /SysVol
(Fri Jan 23 14:21:23 2015) [sssd[be[mydomain.com]]]
[ad_gpo_get_gpo_attrs_done] (0x4000): smb_path:
/mydomain.com/Policies/{D49E3752-2ECB-42F6-A418-2AE1F3092929}
(Fri Jan 23 14:21:23 2015) [sssd[be[mydomain.com]]]
[ad_gpo_get_gpo_attrs_done] (0x4000): gpo_func_version: 2
(Fri Jan 23 14:21:23 2015) [sssd[be[mydomain.com]]]
[ad_gpo_get_gpo_attrs_done] (0x4000): gpo_flags: 0
</pre></blockquote><pre wrap=""><!---->
Note that func_versions is 2 and flags is 0, same for the other GPO.

</pre><blockquote type="cite"><pre wrap="">(Fri Jan 23 14:21:23 2015) [sssd[be[mydomain.com]]]
[ad_gpo_parse_machine_ext_names] (0x4000): num_gpo_cse_guids: 1
(Fri Jan 23 14:21:23 2015) [sssd[be[mydomain.com]]]
[ad_gpo_parse_machine_ext_names] (0x4000): gpo_cse_guids[0] is
{827D319E-6EAC-11D2-A4EA-00C04F79F83A}
(Fri Jan 23 14:21:23 2015) [sssd[be[mydomain.com]]]
[ad_gpo_filter_gpos_by_dacl] (0x4000): examining dacl
candidate_gpo_guid:{31B2F340-016D-11D2-945F-00C04FB984F9}
(Fri Jan 23 14:21:23 2015) [sssd[be[mydomain.com]]]
[ad_gpo_filter_gpos_by_dacl] (0x4000): GPO not applicable to target per
security filtering
(Fri Jan 23 14:21:23 2015) [sssd[be[mydomain.com]]]
[ad_gpo_filter_gpos_by_dacl] (0x4000): examining dacl
candidate_gpo_guid:{D49E3752-2ECB-42F6-A418-2AE1F3092929}
(Fri Jan 23 14:21:23 2015) [sssd[be[mydomain.com]]]
[ad_gpo_filter_gpos_by_dacl] (0x4000): GPO not applicable to target per
security filtering
</pre></blockquote><pre wrap=""><!---->
OK, access was denied but since both the flags and the func_version were
value we expect, I presume the code made it all the way to
ad_gpo_evaluate_ace() where the GPO is really evaluated. Unfortunately
there's not much logging there. I wonder if the GUIDs are correct? If
so, we can proceed with debugging, maybe with some instrumented build..

btw did you also try the other way around, only allow access? 
_______________________________________________
sssd-users mailing list
<a moz-do-not-send="true" href="mailto:sssd-users@lists.fedorahosted.org" class="moz-txt-link-abbreviated">sssd-users@lists.fedorahosted.org</a>
<a moz-do-not-send="true" href="https://lists.fedorahosted.org/mailman/listinfo/sssd-users" class="moz-txt-link-freetext">https://lists.fedorahosted.org/mailman/listinfo/sssd-users</a>
</pre></div>
  <div class="__pbConvHr" style="margin:30px 25px 10px 25px;"><div 
style="display:table;width:100%;border-top:1px solid 
#EDEEF0;padding-top:5px">         <div 
style="display:table-cell;vertical-align:middle;padding-right:6px;"><img
 moz-do-not-send="true" name="compose-unknown-contact.jpg" 
src="cid:part1.00060202.03070408@galaxystudios.com" photoname="Koen de 
Boeve" photoaddress="koen@galaxystudios.com" height="25px" width="25px"></div>
   <div 
style="display:table-cell;white-space:nowrap;vertical-align:middle;width:100%">
           <a style="color:#737F92 
!important;padding-right:6px;font-weight:bold;text-decoration:none 
!important;" href="mailto:koen@galaxystudios.com" moz-do-not-send="true">Koen
 de Boeve</a></div>   <div 
style="display:table-cell;white-space:nowrap;vertical-align:middle;">   
  <font color="#9FA2A5"><span style="padding-left:6px">23 Jan 2015 16:10</span></font></div></div></div>
  <div class="__pbConvBody" __pbrmquotes="true" 
style="color:#888888;margin-left:24px;margin-right:24px;">Hi all,
<br>
<br>I am having issues getting remote and local GPO restrictions to work
<br>
<br>I am using:
<br>
<br>- 2 Samba 4.1.16  PDC's on CentOS 6.5 64bit
<br>- 1 CentOS 7 installation with sssd 1.12.3. as testclient.
<br>
<br>other GPO's are working fine for windows machines.
<br>
<br>Authentication against the Samba4 Domain on the testclient with sssd
 is 
working fine too.
<br>I am now trying to use a Group Policy to deny access for 'testuser' 
for 
both local login as well as remote login ( ssh and xrdp )
<br>
<br>This is not working at all.
<br>
<br>I created a GPO which I linked to 
OU=Linux,OU=Servers,DC=mydomain,DC=com
<br>in there, I have one machine, called ITCOPY.
<br>the GPO sets Deny Logon and Deny Remote Desktop access for 
MYDOMAIN\testuser
<br>
<br>The GPO is set to be Enforced and the Security target is 
Authenticated 
Users.
<br>
<br>as you can see, I set access_control back to permissive, so I should
 see 
some indication that the GPO is working in the log file.
<br>
<br>Any help would be much appreciated!
<br>
<br>Regards, Koen
<br>
<br>
<br>My sssd conf:
<br># =========================================
<br>[sssd]
<br>domains = mydomain.com
<br>config_file_version = 2
<br>services = nss, pam
<br>
<br>[domain/mydomain.com]
<br>ad_domain = mydomain.com
<br>ad_server = pdc.mydomain.com
<br>krb5_realm = mydomain.com
<br>realmd_tags = manages-system joined-with-samba
<br>cache_credentials = True
<br>id_provider = ad
<br>krb5_store_password_if_offline = True
<br>default_shell = /bin/bash
<br>ldap_id_mapping = False
<br>use_fully_qualified_names = False
<br>fallback_homedir = /home/%u
<br>debug_level = 9
<br>
<br>enumerate = True
<br>
<br>access_provider = ad
<br>#ad_access_filter = 
(&amp;(memberOf=CN=linuxadmin,CN=Users,DC=mydomain,DC=com)(unixHomeDirectory=*))
<br>id_provider = ad
<br>auth_provider = ad
<br>chpass_provider = ad
<br>ad_gpo_access_control = permissive
<br>
<br>ldap_schema = ad
<br>
<br>dyndns_update = true
<br>dyndns_refresh_interval = 43200
<br>dyndns_update_ptr = true
<br>dyndns_ttl = 3600
<br>
<br>ad_gpo_map_remote_interactive = +xrdp-sesman
<br># =====================================
<br>
<br>This is part of the sssd log file:
<br>
<br>(Fri Jan 23 14:21:23 2015) [sssd[be[mydomain.com]]] 
[ad_gpo_access_send] 
(0x0400): service sshd maps to Remote Interactive
<br>(Fri Jan 23 14:21:23 2015) [sssd[be[mydomain.com]]] 
[ad_gpo_access_send] 
(0x4000): server_hostname from uri: pdc.mydomain.com
<br>(Fri Jan 23 14:21:23 2015) [sssd[be[mydomain.com]]] 
[ad_gpo_connect_done] (0x0400): sam_account_name is ITCOPY$
<br>(Fri Jan 23 14:21:23 2015) [sssd[be[mydomain.com]]] 
[ad_gpo_site_dn_retrieval_done] (0x0400): som_list[0]-&gt;som_dn is 
OU=Linux,OU=Servers,DC=mydomain,DC=com
<br>(Fri Jan 23 14:21:23 2015) [sssd[be[mydomain.com]]] 
[ad_gpo_site_dn_retrieval_done] (0x0400): som_list[1]-&gt;som_dn is 
OU=Servers,DC=mydomain,DC=com
<br>(Fri Jan 23 14:21:23 2015) [sssd[be[mydomain.com]]] 
[ad_gpo_site_dn_retrieval_done] (0x0400): som_list[2]-&gt;som_dn is 
DC=mydomain,DC=com
<br>(Fri Jan 23 14:21:23 2015) [sssd[be[mydomain.com]]] 
[ad_gpo_site_dn_retrieval_done] (0x0400): som_list[3]-&gt;som_dn is 
cn=Default-First-Site-Name,cn=Sites,CN=Configuration,DC=mydomain,DC=com
<br>(Fri Jan 23 14:21:23 2015) [sssd[be[mydomain.com]]] 
[ad_gpo_get_som_attrs_done] (0x4000): gpoptions attr not found or has no
 
value; defaults to 0
<br>(Fri Jan 23 14:21:23 2015) [sssd[be[mydomain.com]]] 
[ad_gpo_populate_gplink_list] (0x0400): som_dn: 
OU=Linux,OU=Servers,DC=mydomain,DC=com
<br>(Fri Jan 23 14:21:23 2015) [sssd[be[mydomain.com]]] 
[ad_gpo_populate_gplink_list] (0x4000): gplink_list[0]: 
[cn={D49E3752-2ECB-42F6-A418-2AE1F3092929},cn=policies,cn=system,DC=mydomain,DC=com;

 
2]
<br>(Fri Jan 23 14:21:23 2015) [sssd[be[mydomain.com]]] 
[ad_gpo_get_som_attrs_done] (0x4000): gpoptions attr not found or has no
 
value; defaults to 0
<br>(Fri Jan 23 14:21:23 2015) [sssd[be[mydomain.com]]] 
[ad_gpo_populate_gplink_list] (0x0400): som_dn: 
OU=Servers,DC=mydomain,DC=com
<br>(Fri Jan 23 14:21:23 2015) [sssd[be[mydomain.com]]] 
[ad_gpo_populate_gplink_list] (0x4000): gplink_list[0]: 
[cn={691A69C9-FEF3-4A42-8129-64E8741F9D2C},cn=policies,cn=system,DC=mydomain,DC=com;

 
1]
<br>(Fri Jan 23 14:21:23 2015) [sssd[be[mydomain.com]]] 
[ad_gpo_populate_gplink_list] (0x4000): ignored gpo skipped
<br>(Fri Jan 23 14:21:23 2015) [sssd[be[mydomain.com]]] 
[ad_gpo_get_som_attrs_done] (0x4000): gpoptions attr not found or has no
 
value; defaults to 0
<br>(Fri Jan 23 14:21:23 2015) [sssd[be[mydomain.com]]] 
[ad_gpo_populate_gplink_list] (0x0400): som_dn: DC=mydomain,DC=com
<br>(Fri Jan 23 14:21:23 2015) [sssd[be[mydomain.com]]] 
[ad_gpo_populate_gplink_list] (0x4000): gplink_list[0]: 
[CN={31B2F340-016D-11D2-945F-00C04FB984F9},CN=Policies,CN=System,DC=mydomain,DC=com;

 
0]
<br>(Fri Jan 23 14:21:23 2015) [sssd[be[mydomain.com]]] 
[ad_gpo_get_som_attrs_done] (0x0040): no attrs found for SOM; try next 
SOM
<br>(Fri Jan 23 14:21:23 2015) [sssd[be[mydomain.com]]] 
[ad_gpo_populate_candidate_gpos] (0x0400): candidate_gpos[0]-&gt;gpo_dn:
 
CN={31B2F340-016D-11D2-945F-00C04FB984F9},CN=Policies,CN=System,DC=mydomain,DC=com
<br>(Fri Jan 23 14:21:23 2015) [sssd[be[mydomain.com]]] 
[ad_gpo_populate_candidate_gpos] (0x0400): candidate_gpos[1]-&gt;gpo_dn:
 
cn={D49E3752-2ECB-42F6-A418-2AE1F3092929},cn=policies,cn=system,DC=mydomain,DC=com
<br>(Fri Jan 23 14:21:23 2015) [sssd[be[mydomain.com]]] 
[ad_gpo_get_gpo_attrs_done] (0x4000): populating attrs for gpo_guid: 
{31B2F340-016D-11D2-945F-00C04FB984F9}
<br>(Fri Jan 23 14:21:23 2015) [sssd[be[mydomain.com]]] 
[ad_gpo_extract_smb_components] (0x4000): input_path: 
\\mydomain.com\sysvol\mydomain.com\Policies\{31B2F340-016D-11D2-945F-00C04FB984F9}
<br>(Fri Jan 23 14:21:23 2015) [sssd[be[mydomain.com]]] 
[ad_gpo_get_gpo_attrs_done] (0x4000): smb_server: <a 
moz-do-not-send="true" href="smb://pdc.mydomain.com" 
class="moz-txt-link-freetext">smb://pdc.mydomain.com</a>
<br>(Fri Jan 23 14:21:23 2015) [sssd[be[mydomain.com]]] 
[ad_gpo_get_gpo_attrs_done] (0x4000): smb_share: /sysvol
<br>(Fri Jan 23 14:21:23 2015) [sssd[be[mydomain.com]]] 
[ad_gpo_get_gpo_attrs_done] (0x4000): smb_path: 
/mydomain.com/Policies/{31B2F340-016D-11D2-945F-00C04FB984F9}
<br>(Fri Jan 23 14:21:23 2015) [sssd[be[mydomain.com]]] 
[ad_gpo_get_gpo_attrs_done] (0x4000): gpo_func_version: 2
<br>(Fri Jan 23 14:21:23 2015) [sssd[be[mydomain.com]]] 
[ad_gpo_get_gpo_attrs_done] (0x4000): gpo_flags: 0
<br>(Fri Jan 23 14:21:23 2015) [sssd[be[mydomain.com]]] 
[ad_gpo_parse_machine_ext_names] (0x4000): num_gpo_cse_guids: 3
<br>(Fri Jan 23 14:21:23 2015) [sssd[be[mydomain.com]]] 
[ad_gpo_parse_machine_ext_names] (0x4000): gpo_cse_guids[0] is 
{35378EAC-683F-11D2-A89A-00C04FBBCFA2}
<br>(Fri Jan 23 14:21:23 2015) [sssd[be[mydomain.com]]] 
[ad_gpo_parse_machine_ext_names] (0x4000): gpo_cse_guids[1] is 
{827D319E-6EAC-11D2-A4EA-00C04F79F83A}
<br>(Fri Jan 23 14:21:23 2015) [sssd[be[mydomain.com]]] 
[ad_gpo_parse_machine_ext_names] (0x4000): gpo_cse_guids[2] is 
{B1BE8D72-6EAC-11D2-A4EA-00C04F79F83A}
<br>(Fri Jan 23 14:21:23 2015) [sssd[be[mydomain.com]]] 
[ad_gpo_get_gpo_attrs_done] (0x4000): populating attrs for gpo_guid: 
{D49E3752-2ECB-42F6-A418-2AE1F3092929}
<br>(Fri Jan 23 14:21:23 2015) [sssd[be[mydomain.com]]] 
[ad_gpo_extract_smb_components] (0x4000): input_path: 
\\mydomain.com\SysVol\mydomain.com\Policies\{D49E3752-2ECB-42F6-A418-2AE1F3092929}
<br>(Fri Jan 23 14:21:23 2015) [sssd[be[mydomain.com]]] 
[ad_gpo_get_gpo_attrs_done] (0x4000): smb_server: <a 
moz-do-not-send="true" href="smb://pdc.mydomain.com" 
class="moz-txt-link-freetext">smb://pdc.mydomain.com</a>
<br>(Fri Jan 23 14:21:23 2015) [sssd[be[mydomain.com]]] 
[ad_gpo_get_gpo_attrs_done] (0x4000): smb_share: /SysVol
<br>(Fri Jan 23 14:21:23 2015) [sssd[be[mydomain.com]]] 
[ad_gpo_get_gpo_attrs_done] (0x4000): smb_path: 
/mydomain.com/Policies/{D49E3752-2ECB-42F6-A418-2AE1F3092929}
<br>(Fri Jan 23 14:21:23 2015) [sssd[be[mydomain.com]]] 
[ad_gpo_get_gpo_attrs_done] (0x4000): gpo_func_version: 2
<br>(Fri Jan 23 14:21:23 2015) [sssd[be[mydomain.com]]] 
[ad_gpo_get_gpo_attrs_done] (0x4000): gpo_flags: 0
<br>(Fri Jan 23 14:21:23 2015) [sssd[be[mydomain.com]]] 
[ad_gpo_parse_machine_ext_names] (0x4000): num_gpo_cse_guids: 1
<br>(Fri Jan 23 14:21:23 2015) [sssd[be[mydomain.com]]] 
[ad_gpo_parse_machine_ext_names] (0x4000): gpo_cse_guids[0] is 
{827D319E-6EAC-11D2-A4EA-00C04F79F83A}
<br>(Fri Jan 23 14:21:23 2015) [sssd[be[mydomain.com]]] 
[ad_gpo_filter_gpos_by_dacl] (0x4000): examining dacl 
candidate_gpo_guid:{31B2F340-016D-11D2-945F-00C04FB984F9}
<br>(Fri Jan 23 14:21:23 2015) [sssd[be[mydomain.com]]] 
[ad_gpo_filter_gpos_by_dacl] (0x4000): GPO not applicable to target per 
security filtering
<br>(Fri Jan 23 14:21:23 2015) [sssd[be[mydomain.com]]] 
[ad_gpo_filter_gpos_by_dacl] (0x4000): examining dacl 
candidate_gpo_guid:{D49E3752-2ECB-42F6-A418-2AE1F3092929}
<br>(Fri Jan 23 14:21:23 2015) [sssd[be[mydomain.com]]] 
[ad_gpo_filter_gpos_by_dacl] (0x4000): GPO not applicable to target per 
security filtering
<br>(Fri Jan 23 14:21:23 2015) [sssd[be[mydomain.com]]] 
[ad_gpo_process_gpo_done] (0x0400): no applicable gpos found after dacl 
filtering
<br>(Fri Jan 23 14:21:23 2015) [sssd[be[mydomain.com]]] 
[ad_gpo_access_done] 
(0x0400): GPO-based access control successful.
<br></div>
</blockquote>
  </div>
  <div style="margin:30px 25px 10px 25px;" class="__pbConvHr"><div 
style="display:table;width:100%;border-top:1px solid 
#EDEEF0;padding-top:5px">         <div 
style="display:table-cell;vertical-align:middle;padding-right:6px;"><img
 photoaddress="koen@galaxystudios.com" photoname="Koen de Boeve" 
src="cid:part1.00060202.03070408@galaxystudios.com" 
name="compose-unknown-contact.jpg" height="25px" width="25px"></div>   <div
 
style="display:table-cell;white-space:nowrap;vertical-align:middle;width:100%">
           <a moz-do-not-send="true" href="mailto:koen@galaxystudios.com" 
style="color:#737F92 
!important;padding-right:6px;font-weight:bold;text-decoration:none 
!important;">Koen de Boeve</a></div>   <div 
style="display:table-cell;white-space:nowrap;vertical-align:middle;">   
  <font color="#9FA2A5"><span style="padding-left:6px">23 Jan 2015 21:57</span></font></div></div></div>
  <div style="color:#888888;margin-left:24px;margin-right:24px;" 
__pbrmquotes="true" class="__pbConvBody">
<meta http-equiv="Content-Type" content="text/html; charset=UTF-8">
Hi Jacub,<br>
<br>

<blockquote type="cite" 
cite="mid:20150123200301.GU12004@hendrix.redhat.com" style="border: 0px 
none;">
  <div class="__pbConvBody" __pbrmquotes="true" style="color: rgb(136, 
136, 136); margin-left: 24px; 
margin-right: 24px;">
Hi Koen,

I don't have a complete answer, but I'll try to help and maybe we can
work out some details. 

First, do you have an actual AD server around to test with? In the past
we've seen bugs with Samba that didn't occur with AD and I'm not sure if
anyone tried the GPO integration with Samba..

The SSSD version you're running is pretty recent, the only GPO-related
bug after the 1.12.3 release was
<a moz-do-not-send="true" 
href="https://fedorahosted.org/sssd/ticket/2543" 
class="moz-txt-link-freetext">https://fedorahosted.org/sssd/ticket/2543</a>

  </div>
</blockquote>
Pretty sure it has nothing to do with unresolvable LDAP uri :-)<br>
<br>
<span>I don't have a Windows AD, but I can definitely try to set up one 
on our test environment.<br>
<br>
But that s gonna take some time. <br>
</span>
<blockquote type="cite" 
cite="mid:20150123200301.GU12004@hendrix.redhat.com" style="border: 0px 
none;">
  <div class="__pbConvBody" __pbrmquotes="true" style="color: rgb(136, 
136, 136); margin-left: 24px; 
margin-right: 24px;"><span style="font-family: monospace;"></span><pre wrap=""><!---->
I would advice against enumerate=True in large environments.
</pre></div>
</blockquote>
We dont have a large environment, and I put it there, on purpose, to see
 if it worked :-)<br>
Once I have everything working as it should I will revise the settings 
before I deploy it on all our linux machines.<br>
<blockquote type="cite" 
cite="mid:20150123200301.GU12004@hendrix.redhat.com" style="border: 0px 
none;">
  <div class="__pbConvBody" __pbrmquotes="true" style="color: rgb(136, 
136, 136); margin-left: 24px; 
margin-right: 24px;"><pre wrap="">You can drop ldap_schema=ad, it's already the default for id_provider=ad</pre></div>
</blockquote>
OK good to know, thanks for that !
<blockquote type="cite" 
cite="mid:20150123200301.GU12004@hendrix.redhat.com" style="border: 0px 
none;">
  <div class="__pbConvBody" __pbrmquotes="true" style="color: rgb(136, 
136, 136); margin-left: 24px; 
margin-right: 24px;"><pre wrap=""><!---->
Can you confirm that the GUIDs of the GPOs SSSD downloads correspond to
those you defined on the sever side?</pre></div>
</blockquote>
<br>
[root@pdc Policies]# ls<br>
{31B2F340-016D-11D2-945F-00C04FB984F9}  - This is the Default Policy ( 
empty )<br>
{691A69C9-FEF3-4A42-8129-64E8741F9D2C}  - Other Policy, not for this OU<br>
{6AC1786C-016F-11D2-945F-00C04FB984F9}  - Same<br>
{D49E3752-2ECB-42F6-A418-2AE1F3092929}  - This is the Policy containing 
the deny rules for user Testuser (Deny log on locally and Deny log on 
through Remote Desktop )<br>
{E55C6360-FBC1-485A-8EFF-A7D9392514D2} - Other Policy, not for this OU <br>
<blockquote type="cite" 
cite="mid:20150123200301.GU12004@hendrix.redhat.com" style="border: 0px 
none;">
  <div class="__pbConvBody" __pbrmquotes="true" style="color: rgb(136, 
136, 136); margin-left: 24px; 
margin-right: 24px;"><pre wrap="">Note that func_versions is 2 and flags is 0, same for the other GPO.
</pre></div>
</blockquote>
What does that mean? :-)<br>
<blockquote type="cite" 
cite="mid:20150123200301.GU12004@hendrix.redhat.com" style="border: 0px 
none;">
  <div class="__pbConvBody" __pbrmquotes="true" style="color: rgb(136, 
136, 136); margin-left: 24px; 
margin-right: 24px;"><pre wrap="">OK, access was denied but since both the flags and the func_version were
value we expect, I presume the code made it all the way to
ad_gpo_evaluate_ace() where the GPO is really evaluated. Unfortunately
there's not much logging there. I wonder if the GUIDs are correct? If
so, we can proceed with debugging, maybe with some instrumented build..</pre></div>
</blockquote>
<br>
<span>There is one SID I cant figure out: <span>[ad_gpo_parse_machine_ext_names]

 (0x4000): gpo_cse_guids[0] is 
{827D319E-6EAC-11D2-A4EA-00C04F79F83A}  </span></span>
<div class="__pbConvBody" __pbrmquotes="true" 
style="color:#888888;margin-left:24px;margin-right:24px;">
  <pre wrap="">btw did you also try the other way around, only allow access? 
</pre>
</div>
<span>Yes, same issue<br>
  <br>
</span>Regards and thanks for the help!, Koen<br>
  </div>
  <div style="margin:30px 25px 10px 25px;" class="__pbConvHr"><div 
style="display:table;width:100%;border-top:1px solid 
#EDEEF0;padding-top:5px">         <div 
style="display:table-cell;vertical-align:middle;padding-right:6px;"><img
 photoaddress="jhrozek@redhat.com" photoname="Jakub Hrozek" 
src="cid:part1.00060202.03070408@galaxystudios.com" 
name="compose-unknown-contact.jpg" height="25px" width="25px"></div>   <div
 
style="display:table-cell;white-space:nowrap;vertical-align:middle;width:100%">
           <a moz-do-not-send="true" href="mailto:jhrozek@redhat.com" 
style="color:#737F92 
!important;padding-right:6px;font-weight:bold;text-decoration:none 
!important;">Jakub Hrozek</a></div>   <div 
style="display:table-cell;white-space:nowrap;vertical-align:middle;">   
  <font color="#9FA2A5"><span style="padding-left:6px">23 Jan 2015 21:03</span></font></div></div></div>
  <div style="color:#888888;margin-left:24px;margin-right:24px;" 
__pbrmquotes="true" class="__pbConvBody"><pre wrap="">On Fri, Jan 23, 2015 at 04:10:12PM +0100, Koen de Boeve wrote:
</pre><blockquote type="cite"><pre wrap="">Hi all,

I am having issues getting remote and local GPO restrictions to work

I am using:

- 2 Samba 4.1.16  PDC's on CentOS 6.5 64bit
- 1 CentOS 7 installation with sssd 1.12.3. as testclient.

other GPO's are working fine for windows machines.

Authentication against the Samba4 Domain on the testclient with sssd is
working fine too.
I am now trying to use a Group Policy to deny access for 'testuser' for both
local login as well as remote login ( ssh and xrdp )

This is not working at all.

I created a GPO which I linked to OU=Linux,OU=Servers,DC=mydomain,DC=com
in there, I have one machine, called ITCOPY.
the GPO sets Deny Logon and Deny Remote Desktop access for MYDOMAIN\testuser

The GPO is set to be Enforced and the Security target is Authenticated
Users.

as you can see, I set access_control back to permissive, so I should see
some indication that the GPO is working in the log file.

Any help would be much appreciated!

Regards, Koen
</pre></blockquote><pre wrap=""><!---->
Hi Koen,

I don't have a complete answer, but I'll try to help and maybe we can
work out some details. 

First, do you have an actual AD server around to test with? In the past
we've seen bugs with Samba that didn't occur with AD and I'm not sure if
anyone tried the GPO integration with Samba..

The SSSD version you're running is pretty recent, the only GPO-related
bug after the 1.12.3 release was
<a class="moz-txt-link-freetext" href="https://fedorahosted.org/sssd/ticket/2543">https://fedorahosted.org/sssd/ticket/2543</a>

</pre><blockquote type="cite"><pre wrap="">My sssd conf:
# =========================================
[sssd]
domains = mydomain.com
config_file_version = 2
services = nss, pam

[domain/mydomain.com]
ad_domain = mydomain.com
ad_server = pdc.mydomain.com
krb5_realm = mydomain.com
realmd_tags = manages-system joined-with-samba
cache_credentials = True
id_provider = ad
krb5_store_password_if_offline = True
default_shell = /bin/bash
ldap_id_mapping = False
use_fully_qualified_names = False
fallback_homedir = /home/%u
debug_level = 9

enumerate = True
</pre></blockquote><pre wrap=""><!---->
I would advice against enumerate=True in large environments.

</pre><blockquote type="cite"><pre wrap="">access_provider = ad
#ad_access_filter =
(&amp;(memberOf=CN=linuxadmin,CN=Users,DC=mydomain,DC=com)(unixHomeDirectory=*))
id_provider = ad
auth_provider = ad
chpass_provider = ad
ad_gpo_access_control = permissive

ldap_schema = ad
</pre></blockquote><pre wrap=""><!---->
You can drop ldap_schema=ad, it's already the default for id_provider=ad

</pre><blockquote type="cite"><pre wrap="">dyndns_update = true
dyndns_refresh_interval = 43200
dyndns_update_ptr = true
dyndns_ttl = 3600

ad_gpo_map_remote_interactive = +xrdp-sesman
# =====================================

This is part of the sssd log file:

(Fri Jan 23 14:21:23 2015) [sssd[be[mydomain.com]]] [ad_gpo_access_send]
(0x0400): service sshd maps to Remote Interactive
(Fri Jan 23 14:21:23 2015) [sssd[be[mydomain.com]]] [ad_gpo_access_send]
(0x4000): server_hostname from uri: pdc.mydomain.com
(Fri Jan 23 14:21:23 2015) [sssd[be[mydomain.com]]] [ad_gpo_connect_done]
(0x0400): sam_account_name is ITCOPY$
(Fri Jan 23 14:21:23 2015) [sssd[be[mydomain.com]]]
[ad_gpo_site_dn_retrieval_done] (0x0400): som_list[0]-&gt;som_dn is
OU=Linux,OU=Servers,DC=mydomain,DC=com
(Fri Jan 23 14:21:23 2015) [sssd[be[mydomain.com]]]
[ad_gpo_site_dn_retrieval_done] (0x0400): som_list[1]-&gt;som_dn is
OU=Servers,DC=mydomain,DC=com
(Fri Jan 23 14:21:23 2015) [sssd[be[mydomain.com]]]
[ad_gpo_site_dn_retrieval_done] (0x0400): som_list[2]-&gt;som_dn is
DC=mydomain,DC=com
(Fri Jan 23 14:21:23 2015) [sssd[be[mydomain.com]]]
[ad_gpo_site_dn_retrieval_done] (0x0400): som_list[3]-&gt;som_dn is
cn=Default-First-Site-Name,cn=Sites,CN=Configuration,DC=mydomain,DC=com
(Fri Jan 23 14:21:23 2015) [sssd[be[mydomain.com]]]
[ad_gpo_get_som_attrs_done] (0x4000): gpoptions attr not found or has no
value; defaults to 0
(Fri Jan 23 14:21:23 2015) [sssd[be[mydomain.com]]]
[ad_gpo_populate_gplink_list] (0x0400): som_dn:
OU=Linux,OU=Servers,DC=mydomain,DC=com
(Fri Jan 23 14:21:23 2015) [sssd[be[mydomain.com]]]
[ad_gpo_populate_gplink_list] (0x4000): gplink_list[0]: [cn={D49E3752-2ECB-42F6-A418-2AE1F3092929},cn=policies,cn=system,DC=mydomain,DC=com;
2]
(Fri Jan 23 14:21:23 2015) [sssd[be[mydomain.com]]]
[ad_gpo_get_som_attrs_done] (0x4000): gpoptions attr not found or has no
value; defaults to 0
(Fri Jan 23 14:21:23 2015) [sssd[be[mydomain.com]]]
[ad_gpo_populate_gplink_list] (0x0400): som_dn:
OU=Servers,DC=mydomain,DC=com
(Fri Jan 23 14:21:23 2015) [sssd[be[mydomain.com]]]
[ad_gpo_populate_gplink_list] (0x4000): gplink_list[0]: [cn={691A69C9-FEF3-4A42-8129-64E8741F9D2C},cn=policies,cn=system,DC=mydomain,DC=com;
1]
(Fri Jan 23 14:21:23 2015) [sssd[be[mydomain.com]]]
[ad_gpo_populate_gplink_list] (0x4000): ignored gpo skipped
(Fri Jan 23 14:21:23 2015) [sssd[be[mydomain.com]]]
[ad_gpo_get_som_attrs_done] (0x4000): gpoptions attr not found or has no
value; defaults to 0
(Fri Jan 23 14:21:23 2015) [sssd[be[mydomain.com]]]
[ad_gpo_populate_gplink_list] (0x0400): som_dn: DC=mydomain,DC=com
(Fri Jan 23 14:21:23 2015) [sssd[be[mydomain.com]]]
[ad_gpo_populate_gplink_list] (0x4000): gplink_list[0]: [CN={31B2F340-016D-11D2-945F-00C04FB984F9},CN=Policies,CN=System,DC=mydomain,DC=com;
0]
(Fri Jan 23 14:21:23 2015) [sssd[be[mydomain.com]]]
[ad_gpo_get_som_attrs_done] (0x0040): no attrs found for SOM; try next SOM
(Fri Jan 23 14:21:23 2015) [sssd[be[mydomain.com]]]
[ad_gpo_populate_candidate_gpos] (0x0400): candidate_gpos[0]-&gt;gpo_dn: CN={31B2F340-016D-11D2-945F-00C04FB984F9},CN=Policies,CN=System,DC=mydomain,DC=com
(Fri Jan 23 14:21:23 2015) [sssd[be[mydomain.com]]]
[ad_gpo_populate_candidate_gpos] (0x0400): candidate_gpos[1]-&gt;gpo_dn: cn={D49E3752-2ECB-42F6-A418-2AE1F3092929},cn=policies,cn=system,DC=mydomain,DC=com
</pre></blockquote><pre wrap=""><!---->
Can you confirm that the GUIDs of the GPOs SSSD downloads correspond to
those you defined on the sever side?

</pre><blockquote type="cite"><pre wrap="">(Fri Jan 23 14:21:23 2015) [sssd[be[mydomain.com]]]
[ad_gpo_get_gpo_attrs_done] (0x4000): populating attrs for gpo_guid:
{31B2F340-016D-11D2-945F-00C04FB984F9}
(Fri Jan 23 14:21:23 2015) [sssd[be[mydomain.com]]]
[ad_gpo_extract_smb_components] (0x4000): input_path: \\mydomain.com\sysvol\mydomain.com\Policies\{31B2F340-016D-11D2-945F-00C04FB984F9}
(Fri Jan 23 14:21:23 2015) [sssd[be[mydomain.com]]]
[ad_gpo_get_gpo_attrs_done] (0x4000): smb_server: <a class="moz-txt-link-freetext" href="smb://pdc.mydomain.com">smb://pdc.mydomain.com</a>
(Fri Jan 23 14:21:23 2015) [sssd[be[mydomain.com]]]
[ad_gpo_get_gpo_attrs_done] (0x4000): smb_share: /sysvol
(Fri Jan 23 14:21:23 2015) [sssd[be[mydomain.com]]]
[ad_gpo_get_gpo_attrs_done] (0x4000): smb_path:
/mydomain.com/Policies/{31B2F340-016D-11D2-945F-00C04FB984F9}
(Fri Jan 23 14:21:23 2015) [sssd[be[mydomain.com]]]
[ad_gpo_get_gpo_attrs_done] (0x4000): gpo_func_version: 2
(Fri Jan 23 14:21:23 2015) [sssd[be[mydomain.com]]]
[ad_gpo_get_gpo_attrs_done] (0x4000): gpo_flags: 0
(Fri Jan 23 14:21:23 2015) [sssd[be[mydomain.com]]]
[ad_gpo_parse_machine_ext_names] (0x4000): num_gpo_cse_guids: 3
(Fri Jan 23 14:21:23 2015) [sssd[be[mydomain.com]]]
[ad_gpo_parse_machine_ext_names] (0x4000): gpo_cse_guids[0] is
{35378EAC-683F-11D2-A89A-00C04FBBCFA2}
(Fri Jan 23 14:21:23 2015) [sssd[be[mydomain.com]]]
[ad_gpo_parse_machine_ext_names] (0x4000): gpo_cse_guids[1] is
{827D319E-6EAC-11D2-A4EA-00C04F79F83A}
(Fri Jan 23 14:21:23 2015) [sssd[be[mydomain.com]]]
[ad_gpo_parse_machine_ext_names] (0x4000): gpo_cse_guids[2] is
{B1BE8D72-6EAC-11D2-A4EA-00C04F79F83A}
(Fri Jan 23 14:21:23 2015) [sssd[be[mydomain.com]]]
[ad_gpo_get_gpo_attrs_done] (0x4000): populating attrs for gpo_guid:
{D49E3752-2ECB-42F6-A418-2AE1F3092929}
(Fri Jan 23 14:21:23 2015) [sssd[be[mydomain.com]]]
[ad_gpo_extract_smb_components] (0x4000): input_path: \\mydomain.com\SysVol\mydomain.com\Policies\{D49E3752-2ECB-42F6-A418-2AE1F3092929}
(Fri Jan 23 14:21:23 2015) [sssd[be[mydomain.com]]]
[ad_gpo_get_gpo_attrs_done] (0x4000): smb_server: <a class="moz-txt-link-freetext" href="smb://pdc.mydomain.com">smb://pdc.mydomain.com</a>
(Fri Jan 23 14:21:23 2015) [sssd[be[mydomain.com]]]
[ad_gpo_get_gpo_attrs_done] (0x4000): smb_share: /SysVol
(Fri Jan 23 14:21:23 2015) [sssd[be[mydomain.com]]]
[ad_gpo_get_gpo_attrs_done] (0x4000): smb_path:
/mydomain.com/Policies/{D49E3752-2ECB-42F6-A418-2AE1F3092929}
(Fri Jan 23 14:21:23 2015) [sssd[be[mydomain.com]]]
[ad_gpo_get_gpo_attrs_done] (0x4000): gpo_func_version: 2
(Fri Jan 23 14:21:23 2015) [sssd[be[mydomain.com]]]
[ad_gpo_get_gpo_attrs_done] (0x4000): gpo_flags: 0
</pre></blockquote><pre wrap=""><!---->
Note that func_versions is 2 and flags is 0, same for the other GPO.

</pre><blockquote type="cite"><pre wrap="">(Fri Jan 23 14:21:23 2015) [sssd[be[mydomain.com]]]
[ad_gpo_parse_machine_ext_names] (0x4000): num_gpo_cse_guids: 1
(Fri Jan 23 14:21:23 2015) [sssd[be[mydomain.com]]]
[ad_gpo_parse_machine_ext_names] (0x4000): gpo_cse_guids[0] is
{827D319E-6EAC-11D2-A4EA-00C04F79F83A}
(Fri Jan 23 14:21:23 2015) [sssd[be[mydomain.com]]]
[ad_gpo_filter_gpos_by_dacl] (0x4000): examining dacl
candidate_gpo_guid:{31B2F340-016D-11D2-945F-00C04FB984F9}
(Fri Jan 23 14:21:23 2015) [sssd[be[mydomain.com]]]
[ad_gpo_filter_gpos_by_dacl] (0x4000): GPO not applicable to target per
security filtering
(Fri Jan 23 14:21:23 2015) [sssd[be[mydomain.com]]]
[ad_gpo_filter_gpos_by_dacl] (0x4000): examining dacl
candidate_gpo_guid:{D49E3752-2ECB-42F6-A418-2AE1F3092929}
(Fri Jan 23 14:21:23 2015) [sssd[be[mydomain.com]]]
[ad_gpo_filter_gpos_by_dacl] (0x4000): GPO not applicable to target per
security filtering
</pre></blockquote><pre wrap=""><!---->
OK, access was denied but since both the flags and the func_version were
value we expect, I presume the code made it all the way to
ad_gpo_evaluate_ace() where the GPO is really evaluated. Unfortunately
there's not much logging there. I wonder if the GUIDs are correct? If
so, we can proceed with debugging, maybe with some instrumented build..

btw did you also try the other way around, only allow access? 
_______________________________________________
sssd-users mailing list
<a class="moz-txt-link-abbreviated" href="mailto:sssd-users@lists.fedorahosted.org">sssd-users@lists.fedorahosted.org</a>
<a class="moz-txt-link-freetext" href="https://lists.fedorahosted.org/mailman/listinfo/sssd-users">https://lists.fedorahosted.org/mailman/listinfo/sssd-users</a>
</pre></div>
  <div style="margin:30px 25px 10px 25px;" class="__pbConvHr"><div 
style="display:table;width:100%;border-top:1px solid 
#EDEEF0;padding-top:5px">         <div 
style="display:table-cell;vertical-align:middle;padding-right:6px;"><img
 photoaddress="koen@galaxystudios.com" photoname="Koen de Boeve" 
src="cid:part1.00060202.03070408@galaxystudios.com" 
name="compose-unknown-contact.jpg" height="25px" width="25px"></div>   <div
 
style="display:table-cell;white-space:nowrap;vertical-align:middle;width:100%">
           <a moz-do-not-send="true" href="mailto:koen@galaxystudios.com" 
style="color:#737F92 
!important;padding-right:6px;font-weight:bold;text-decoration:none 
!important;">Koen de Boeve</a></div>   <div 
style="display:table-cell;white-space:nowrap;vertical-align:middle;">   
  <font color="#9FA2A5"><span style="padding-left:6px">23 Jan 2015 16:10</span></font></div></div></div>
  <div style="color:#888888;margin-left:24px;margin-right:24px;" 
__pbrmquotes="true" class="__pbConvBody">Hi all,
<br>
<br>I am having issues getting remote and local GPO restrictions to work
<br>
<br>I am using:
<br>
<br>- 2 Samba 4.1.16  PDC's on CentOS 6.5 64bit
<br>- 1 CentOS 7 installation with sssd 1.12.3. as testclient.
<br>
<br>other GPO's are working fine for windows machines.
<br>
<br>Authentication against the Samba4 Domain on the testclient with sssd
 is 
working fine too.
<br>I am now trying to use a Group Policy to deny access for 'testuser' 
for 
both local login as well as remote login ( ssh and xrdp )
<br>
<br>This is not working at all.
<br>
<br>I created a GPO which I linked to 
OU=Linux,OU=Servers,DC=mydomain,DC=com
<br>in there, I have one machine, called ITCOPY.
<br>the GPO sets Deny Logon and Deny Remote Desktop access for 
MYDOMAIN\testuser
<br>
<br>The GPO is set to be Enforced and the Security target is 
Authenticated 
Users.
<br>
<br>as you can see, I set access_control back to permissive, so I should
 see 
some indication that the GPO is working in the log file.
<br>
<br>Any help would be much appreciated!
<br>
<br>Regards, Koen
<br>
<br>
<br>My sssd conf:
<br># =========================================
<br>[sssd]
<br>domains = mydomain.com
<br>config_file_version = 2
<br>services = nss, pam
<br>
<br>[domain/mydomain.com]
<br>ad_domain = mydomain.com
<br>ad_server = pdc.mydomain.com
<br>krb5_realm = mydomain.com
<br>realmd_tags = manages-system joined-with-samba
<br>cache_credentials = True
<br>id_provider = ad
<br>krb5_store_password_if_offline = True
<br>default_shell = /bin/bash
<br>ldap_id_mapping = False
<br>use_fully_qualified_names = False
<br>fallback_homedir = /home/%u
<br>debug_level = 9
<br>
<br>enumerate = True
<br>
<br>access_provider = ad
<br>#ad_access_filter = 
(&amp;(memberOf=CN=linuxadmin,CN=Users,DC=mydomain,DC=com)(unixHomeDirectory=*))
<br>id_provider = ad
<br>auth_provider = ad
<br>chpass_provider = ad
<br>ad_gpo_access_control = permissive
<br>
<br>ldap_schema = ad
<br>
<br>dyndns_update = true
<br>dyndns_refresh_interval = 43200
<br>dyndns_update_ptr = true
<br>dyndns_ttl = 3600
<br>
<br>ad_gpo_map_remote_interactive = +xrdp-sesman
<br># =====================================
<br>
<br>This is part of the sssd log file:
<br>
<br>(Fri Jan 23 14:21:23 2015) [sssd[be[mydomain.com]]] 
[ad_gpo_access_send] 
(0x0400): service sshd maps to Remote Interactive
<br>(Fri Jan 23 14:21:23 2015) [sssd[be[mydomain.com]]] 
[ad_gpo_access_send] 
(0x4000): server_hostname from uri: pdc.mydomain.com
<br>(Fri Jan 23 14:21:23 2015) [sssd[be[mydomain.com]]] 
[ad_gpo_connect_done] (0x0400): sam_account_name is ITCOPY$
<br>(Fri Jan 23 14:21:23 2015) [sssd[be[mydomain.com]]] 
[ad_gpo_site_dn_retrieval_done] (0x0400): som_list[0]-&gt;som_dn is 
OU=Linux,OU=Servers,DC=mydomain,DC=com
<br>(Fri Jan 23 14:21:23 2015) [sssd[be[mydomain.com]]] 
[ad_gpo_site_dn_retrieval_done] (0x0400): som_list[1]-&gt;som_dn is 
OU=Servers,DC=mydomain,DC=com
<br>(Fri Jan 23 14:21:23 2015) [sssd[be[mydomain.com]]] 
[ad_gpo_site_dn_retrieval_done] (0x0400): som_list[2]-&gt;som_dn is 
DC=mydomain,DC=com
<br>(Fri Jan 23 14:21:23 2015) [sssd[be[mydomain.com]]] 
[ad_gpo_site_dn_retrieval_done] (0x0400): som_list[3]-&gt;som_dn is 
cn=Default-First-Site-Name,cn=Sites,CN=Configuration,DC=mydomain,DC=com
<br>(Fri Jan 23 14:21:23 2015) [sssd[be[mydomain.com]]] 
[ad_gpo_get_som_attrs_done] (0x4000): gpoptions attr not found or has no
 
value; defaults to 0
<br>(Fri Jan 23 14:21:23 2015) [sssd[be[mydomain.com]]] 
[ad_gpo_populate_gplink_list] (0x0400): som_dn: 
OU=Linux,OU=Servers,DC=mydomain,DC=com
<br>(Fri Jan 23 14:21:23 2015) [sssd[be[mydomain.com]]] 
[ad_gpo_populate_gplink_list] (0x4000): gplink_list[0]: 
[cn={D49E3752-2ECB-42F6-A418-2AE1F3092929},cn=policies,cn=system,DC=mydomain,DC=com;
 
2]
<br>(Fri Jan 23 14:21:23 2015) [sssd[be[mydomain.com]]] 
[ad_gpo_get_som_attrs_done] (0x4000): gpoptions attr not found or has no
 
value; defaults to 0
<br>(Fri Jan 23 14:21:23 2015) [sssd[be[mydomain.com]]] 
[ad_gpo_populate_gplink_list] (0x0400): som_dn: 
OU=Servers,DC=mydomain,DC=com
<br>(Fri Jan 23 14:21:23 2015) [sssd[be[mydomain.com]]] 
[ad_gpo_populate_gplink_list] (0x4000): gplink_list[0]: 
[cn={691A69C9-FEF3-4A42-8129-64E8741F9D2C},cn=policies,cn=system,DC=mydomain,DC=com;
 
1]
<br>(Fri Jan 23 14:21:23 2015) [sssd[be[mydomain.com]]] 
[ad_gpo_populate_gplink_list] (0x4000): ignored gpo skipped
<br>(Fri Jan 23 14:21:23 2015) [sssd[be[mydomain.com]]] 
[ad_gpo_get_som_attrs_done] (0x4000): gpoptions attr not found or has no
 
value; defaults to 0
<br>(Fri Jan 23 14:21:23 2015) [sssd[be[mydomain.com]]] 
[ad_gpo_populate_gplink_list] (0x0400): som_dn: DC=mydomain,DC=com
<br>(Fri Jan 23 14:21:23 2015) [sssd[be[mydomain.com]]] 
[ad_gpo_populate_gplink_list] (0x4000): gplink_list[0]: 
[CN={31B2F340-016D-11D2-945F-00C04FB984F9},CN=Policies,CN=System,DC=mydomain,DC=com;
 
0]
<br>(Fri Jan 23 14:21:23 2015) [sssd[be[mydomain.com]]] 
[ad_gpo_get_som_attrs_done] (0x0040): no attrs found for SOM; try next 
SOM
<br>(Fri Jan 23 14:21:23 2015) [sssd[be[mydomain.com]]] 
[ad_gpo_populate_candidate_gpos] (0x0400): candidate_gpos[0]-&gt;gpo_dn:
 
CN={31B2F340-016D-11D2-945F-00C04FB984F9},CN=Policies,CN=System,DC=mydomain,DC=com
<br>(Fri Jan 23 14:21:23 2015) [sssd[be[mydomain.com]]] 
[ad_gpo_populate_candidate_gpos] (0x0400): candidate_gpos[1]-&gt;gpo_dn:
 
cn={D49E3752-2ECB-42F6-A418-2AE1F3092929},cn=policies,cn=system,DC=mydomain,DC=com
<br>(Fri Jan 23 14:21:23 2015) [sssd[be[mydomain.com]]] 
[ad_gpo_get_gpo_attrs_done] (0x4000): populating attrs for gpo_guid: 
{31B2F340-016D-11D2-945F-00C04FB984F9}
<br>(Fri Jan 23 14:21:23 2015) [sssd[be[mydomain.com]]] 
[ad_gpo_extract_smb_components] (0x4000): input_path: 
\\mydomain.com\sysvol\mydomain.com\Policies\{31B2F340-016D-11D2-945F-00C04FB984F9}
<br>(Fri Jan 23 14:21:23 2015) [sssd[be[mydomain.com]]] 
[ad_gpo_get_gpo_attrs_done] (0x4000): smb_server: <a class="moz-txt-link-freetext" href="smb://pdc.mydomain.com">smb://pdc.mydomain.com</a>
<br>(Fri Jan 23 14:21:23 2015) [sssd[be[mydomain.com]]] 
[ad_gpo_get_gpo_attrs_done] (0x4000): smb_share: /sysvol
<br>(Fri Jan 23 14:21:23 2015) [sssd[be[mydomain.com]]] 
[ad_gpo_get_gpo_attrs_done] (0x4000): smb_path: 
/mydomain.com/Policies/{31B2F340-016D-11D2-945F-00C04FB984F9}
<br>(Fri Jan 23 14:21:23 2015) [sssd[be[mydomain.com]]] 
[ad_gpo_get_gpo_attrs_done] (0x4000): gpo_func_version: 2
<br>(Fri Jan 23 14:21:23 2015) [sssd[be[mydomain.com]]] 
[ad_gpo_get_gpo_attrs_done] (0x4000): gpo_flags: 0
<br>(Fri Jan 23 14:21:23 2015) [sssd[be[mydomain.com]]] 
[ad_gpo_parse_machine_ext_names] (0x4000): num_gpo_cse_guids: 3
<br>(Fri Jan 23 14:21:23 2015) [sssd[be[mydomain.com]]] 
[ad_gpo_parse_machine_ext_names] (0x4000): gpo_cse_guids[0] is 
{35378EAC-683F-11D2-A89A-00C04FBBCFA2}
<br>(Fri Jan 23 14:21:23 2015) [sssd[be[mydomain.com]]] 
[ad_gpo_parse_machine_ext_names] (0x4000): gpo_cse_guids[1] is 
{827D319E-6EAC-11D2-A4EA-00C04F79F83A}
<br>(Fri Jan 23 14:21:23 2015) [sssd[be[mydomain.com]]] 
[ad_gpo_parse_machine_ext_names] (0x4000): gpo_cse_guids[2] is 
{B1BE8D72-6EAC-11D2-A4EA-00C04F79F83A}
<br>(Fri Jan 23 14:21:23 2015) [sssd[be[mydomain.com]]] 
[ad_gpo_get_gpo_attrs_done] (0x4000): populating attrs for gpo_guid: 
{D49E3752-2ECB-42F6-A418-2AE1F3092929}
<br>(Fri Jan 23 14:21:23 2015) [sssd[be[mydomain.com]]] 
[ad_gpo_extract_smb_components] (0x4000): input_path: 
\\mydomain.com\SysVol\mydomain.com\Policies\{D49E3752-2ECB-42F6-A418-2AE1F3092929}
<br>(Fri Jan 23 14:21:23 2015) [sssd[be[mydomain.com]]] 
[ad_gpo_get_gpo_attrs_done] (0x4000): smb_server: <a class="moz-txt-link-freetext" href="smb://pdc.mydomain.com">smb://pdc.mydomain.com</a>
<br>(Fri Jan 23 14:21:23 2015) [sssd[be[mydomain.com]]] 
[ad_gpo_get_gpo_attrs_done] (0x4000): smb_share: /SysVol
<br>(Fri Jan 23 14:21:23 2015) [sssd[be[mydomain.com]]] 
[ad_gpo_get_gpo_attrs_done] (0x4000): smb_path: 
/mydomain.com/Policies/{D49E3752-2ECB-42F6-A418-2AE1F3092929}
<br>(Fri Jan 23 14:21:23 2015) [sssd[be[mydomain.com]]] 
[ad_gpo_get_gpo_attrs_done] (0x4000): gpo_func_version: 2
<br>(Fri Jan 23 14:21:23 2015) [sssd[be[mydomain.com]]] 
[ad_gpo_get_gpo_attrs_done] (0x4000): gpo_flags: 0
<br>(Fri Jan 23 14:21:23 2015) [sssd[be[mydomain.com]]] 
[ad_gpo_parse_machine_ext_names] (0x4000): num_gpo_cse_guids: 1
<br>(Fri Jan 23 14:21:23 2015) [sssd[be[mydomain.com]]] 
[ad_gpo_parse_machine_ext_names] (0x4000): gpo_cse_guids[0] is 
{827D319E-6EAC-11D2-A4EA-00C04F79F83A}
<br>(Fri Jan 23 14:21:23 2015) [sssd[be[mydomain.com]]] 
[ad_gpo_filter_gpos_by_dacl] (0x4000): examining dacl 
candidate_gpo_guid:{31B2F340-016D-11D2-945F-00C04FB984F9}
<br>(Fri Jan 23 14:21:23 2015) [sssd[be[mydomain.com]]] 
[ad_gpo_filter_gpos_by_dacl] (0x4000): GPO not applicable to target per 
security filtering
<br>(Fri Jan 23 14:21:23 2015) [sssd[be[mydomain.com]]] 
[ad_gpo_filter_gpos_by_dacl] (0x4000): examining dacl 
candidate_gpo_guid:{D49E3752-2ECB-42F6-A418-2AE1F3092929}
<br>(Fri Jan 23 14:21:23 2015) [sssd[be[mydomain.com]]] 
[ad_gpo_filter_gpos_by_dacl] (0x4000): GPO not applicable to target per 
security filtering
<br>(Fri Jan 23 14:21:23 2015) [sssd[be[mydomain.com]]] 
[ad_gpo_process_gpo_done] (0x0400): no applicable gpos found after dacl 
filtering
<br>(Fri Jan 23 14:21:23 2015) [sssd[be[mydomain.com]]] 
[ad_gpo_access_done] 
(0x0400): GPO-based access control successful.
<br></div>
</blockquote>
</body></html>