<html>
  <head>
    <meta content="text/html; charset=UTF-8" http-equiv="Content-Type">
  </head>
  <body text="#000000" bgcolor="#FFFFFF">
    <div class="moz-cite-prefix">On 02/24/2015 10:10 AM, Longina
      Przybyszewska wrote:<br>
    </div>
    <blockquote
cite="mid:84B3E55FE25BE542A37420D946B1372F148F9061@ADM-EXMBX10B.adm.c.sdu.dk"
      type="cite">
      <meta http-equiv="Content-Type" content="text/html; charset=UTF-8">
      <meta name="Generator" content="Microsoft Word 14 (filtered
        medium)">
      <style><!--
/* Font Definitions */
@font-face
        {font-family:Calibri;
        panose-1:2 15 5 2 2 2 4 3 2 4;}
/* Style Definitions */
p.MsoNormal, li.MsoNormal, div.MsoNormal
        {margin:0cm;
        margin-bottom:.0001pt;
        font-size:11.0pt;
        font-family:"Calibri","sans-serif";
        mso-fareast-language:EN-US;}
a:link, span.MsoHyperlink
        {mso-style-priority:99;
        color:blue;
        text-decoration:underline;}
a:visited, span.MsoHyperlinkFollowed
        {mso-style-priority:99;
        color:purple;
        text-decoration:underline;}
span.EmailStyle17
        {mso-style-type:personal-compose;
        font-family:"Calibri","sans-serif";
        color:windowtext;}
.MsoChpDefault
        {mso-style-type:export-only;
        font-family:"Calibri","sans-serif";
        mso-fareast-language:EN-US;}
@page WordSection1
        {size:612.0pt 792.0pt;
        margin:3.0cm 2.0cm 3.0cm 2.0cm;}
div.WordSection1
        {page:WordSection1;}
--></style><!--[if gte mso 9]><xml>
<o:shapedefaults v:ext="edit" spidmax="1026" />
</xml><![endif]--><!--[if gte mso 9]><xml>
<o:shapelayout v:ext="edit">
<o:idmap v:ext="edit" data="1" />
</o:shapelayout></xml><![endif]-->
      <div class="WordSection1">
        <p class="MsoNormal"><span lang="EN-US">Hi,<o:p></o:p></span></p>
        <p class="MsoNormal"><span lang="EN-US"><o:p> </o:p></span></p>
        <p class="MsoNormal"><span lang="EN-US">We have a problem with
            the way SSSD tries to find out where to send DDNS updates.
            The problem is that SSSD doesn’t use DNS to find the
            authoritative name server for a given zone, but assume that
            it must be the Active Directory Domain Controller to which
            it is connected.<o:p></o:p></span></p>
        <p class="MsoNormal"><span lang="EN-US"><o:p> </o:p></span></p>
        <p class="MsoNormal"><span lang="EN-US">In our case this is not
            correct in any way.<o:p></o:p></span></p>
        <p class="MsoNormal"><span lang="EN-US"><o:p> </o:p></span></p>
        <p class="MsoNormal"><span lang="EN-US">Our DNS setup is like
            this:<o:p></o:p></span></p>
        <p class="MsoNormal"><span lang="EN-US"><o:p> </o:p></span></p>
        <p class="MsoNormal"><span lang="EN-US">DNS-PTR.example.com is
            Authoritative for all our DNS PTR/reverse records
            (xxx.in-addr.arpa) and for the forward zone example.com with
            the exception of local.example.com (and subdomains), which
            is delegated to localserver1.local.example.com.<o:p></o:p></span></p>
        <p class="MsoNormal"><span lang="EN-US">(This is purely internal
            – external we have another DNS service let’s call it
            DNS-external.example.com, but it doesn’t matter in this
            example/problem).<o:p></o:p></span></p>
        <p class="MsoNormal"><span lang="EN-US"><o:p> </o:p></span></p>
        <p class="MsoNormal"><span lang="EN-US">Our Active directory is
            a forrest named local.example.com with subdomains
            a.local.example.com, b.local.example.com, etc. each Active
            directory subdomain has it’s own domain controllers let’s
            say localserverA.a.local.example.com,
            localserverB.b.local.example.com, etc.<o:p></o:p></span></p>
        <p class="MsoNormal"><span lang="EN-US"><o:p> </o:p></span></p>
        <p class="MsoNormal"><span lang="EN-US">Active Directory
            computer objects (accounts) are located in sub-domains ex.
            nfsserverA.a.local.example.com,
            nfsclientB.b.local.example.com, etc.<o:p></o:p></span></p>
        <p class="MsoNormal"><span lang="EN-US">Just for your
            information: Active Directory user objects (accounts) are
            located in all Active Directory domains – including top
            domain local.example.com.<o:p></o:p></span></p>
        <p class="MsoNormal"><span lang="EN-US"><o:p> </o:p></span></p>
        <p class="MsoNormal"><span lang="EN-US">The problem:<o:p></o:p></span></p>
        <p class="MsoNormal"><span lang="EN-US"><o:p> </o:p></span></p>
        <p class="MsoNormal"><span lang="EN-US">When
            nfsserverA.a.local.example.com is trying to update it’s DNS
            record it’s sending the update to the Active Directory
            Domain Controller localserverA.a.local.example.com, which is
            only running Active Directory Services (Domain Controller,
            Global Catalog, etc.) and not a DNS service, because it
            assumes that the Active Directory Domain Controller also is
            running DNS service.<o:p></o:p></span></p>
        <p class="MsoNormal"><span lang="EN-US"><o:p> </o:p></span></p>
        <p class="MsoNormal"><span lang="EN-US">If SSSD had done a DNS
            lookup for the DNS Name Server record for
            a.local.example.com it’s told that the DNS Name Server is
            localserver1.local.example.com. And if it’s looking for the
            responsible DNS name server for the reverse zone 
            x.y.10.in-addr.arpa. (we are running 10.0.0.0/8 divided into
            /24 subnets as our internal IP subnets) it’s told to that
            the responsible server is DNS-PTR.example.com (only
            accessible from our internal network).
            <o:p></o:p></span></p>
        <p class="MsoNormal"><span lang="EN-US"><o:p> </o:p></span></p>
        <p class="MsoNormal"><span lang="EN-US">PS: I have seen the
            comments in
            <a class="moz-txt-link-freetext" href="https://lists.fedorahosted.org/pipermail/sssd-users/2014-June/001878.html">https://lists.fedorahosted.org/pipermail/sssd-users/2014-June/001878.html</a>
            talking about creating an option in sssd.conf called
            something like fallback_dns_master, but I find that very
            inflexible and not the right way to go … because, if we move
            the DNS service form one server to another we’ll have to
            change a lot of local client configuration. Another argument
            is that we actually have multiple servers authoritative for
            local.example.com and I suppose that it’s only possible to
            configure one server in the suggested attribute
            “fallback_dns_master”.<o:p></o:p></span></p>
        <p class="MsoNormal"><span lang="EN-US"><o:p> </o:p></span></p>
        <p class="MsoNormal"><span lang="EN-US"><o:p> </o:p></span></p>
        <p class="MsoNormal"><span style="mso-fareast-language:DA">Best,<o:p></o:p></span></p>
        <p class="MsoNormal"><span style="mso-fareast-language:DA">Longina<o:p></o:p></span></p>
        <p class="MsoNormal"><o:p> </o:p></p>
      </div>
      <br>
      <fieldset class="mimeAttachmentHeader"></fieldset>
      <br>
      <pre wrap="">_______________________________________________
sssd-users mailing list
<a class="moz-txt-link-abbreviated" href="mailto:sssd-users@lists.fedorahosted.org">sssd-users@lists.fedorahosted.org</a>
<a class="moz-txt-link-freetext" href="https://lists.fedorahosted.org/mailman/listinfo/sssd-users">https://lists.fedorahosted.org/mailman/listinfo/sssd-users</a>
</pre>
    </blockquote>
    <br>
    Sounds like and RFE. Please file a ticket.<br>
    <br>
    <pre class="moz-signature" cols="72">-- 
Thank you,
Dmitri Pal

Sr. Engineering Manager IdM portfolio
Red Hat, Inc.</pre>
  </body>
</html>