<html><head><meta http-equiv="Content-Type" content="text/html; charset=utf-8"></head><body><div><div style="font-family: Calibri,sans-serif; font-size: 11pt;">Your search både looks wrong<br><br>ldap_search_base = cn=users,cn=users,dc=intra,dc=domain-a,dc=com<br><br>And is a mismatch the path the bind DN uses<br><br>Regards<br>Davor<br><br>-- Skickat från mobilusken! --<br></div></div><div dir="ltr"><hr><span style="font-family: Calibri,sans-serif; font-size: 11pt; font-weight: bold;">Från: </span><span style="font-family: Calibri,sans-serif; font-size: 11pt;"><a href="mailto:dethegeek@gmail.com">thierry DeTheGeek</a></span><br><span style="font-family: Calibri,sans-serif; font-size: 11pt; font-weight: bold;">Skickat: </span><span style="font-family: Calibri,sans-serif; font-size: 11pt;">‎2015-‎06-‎13 20:25</span><br><span style="font-family: Calibri,sans-serif; font-size: 11pt; font-weight: bold;">Till: </span><span style="font-family: Calibri,sans-serif; font-size: 11pt;"><a href="mailto:sssd-users@lists.fedorahosted.org">sssd-users@lists.fedorahosted.org</a></span><br><span style="font-family: Calibri,sans-serif; font-size: 11pt; font-weight: bold;">Ämne: </span><span style="font-family: Calibri,sans-serif; font-size: 11pt;">[SSSD-users] get_and_save_tgt :Preauthentication failed on debian 7 +sssd 1.8.4 againts a samba 4 host</span><br><br></div><div dir="ltr"><div><div><div><div>Hi<br><br></div>I'm working on a centalized user accounts setup, thanks to samba 4<br></div><br></div><div>SSSD is setup on a Debian 7 host, version 1.8.4 as provided by the repository. This host will authenticate users agains several domains : <a href="http://INTRA.DOMAIN-A.COM">INTRA.DOMAIN-A.COM</a> and <a href="http://INTRA.DOMAIN-B.COM">INTRA.DOMAIN-B.COM</a>. The later domain is not set up yet because this work will be nearly a copy/paste from the first one.<br><br></div><div>I need to make my users authenticate with a login in the form <a href="mailto:jdoe@domain-a.com">jdoe@domain-a.com</a> . This will prevent a conflict if the user jdoe exists on both domains.<br><br></div><div>Notice I want to drop the "intra." part in the login; making my users not bored with technical details.<br><br></div><div>I built successfully a sssd.conf in a Debian Jessie host, but when reproducing the setup on Debian 7, user authentication fails.<br><br></div><div>Here is the sssd.conf file, with password and domain not revealed, <br><br><div style="margin-left: 40px;">[sssd]<br>config_file_version = 2<br>reconnection_retries = 3<br>sbus_timeout = 30<br>services = nss, pam<br>domains = <a href="http://domain-a.com">domain-a.com</a><br><br>[nss]<br>filter_groups = root<br>filter_users = root<br>reconnection_retries = 3<br># entry_cache_nowait_percentage = 300<br><br>[pam]<br>reconnection_retries = 3<br><br># Example LOCAL domain that stores all users natively in the SSSD internal<br># directory. These local users and groups are not visible in /etc/passwd; it<br># now contains only root and system accounts.<br># [domain/LOCAL]<br># description = LOCAL Users domain<br># id_provider = local<br># enumerate = true<br># min_id = 500<br># max_id = 999<br><br>[domain/<a href="http://domain-a.com">domain-a.com</a>]<br>; Using enumerate = true leads to high load and slow response<br>enumerate = true<br>cache_credentials = false<br>entry_cache_timeout = 5400<br># account_cache_expiration = 365<br><br>id_provider = ldap<br>auth_provider = krb5<br>chpass_provider = krb5<br><br>ldap_uri = ldap://<a href="http://intra.domain-a.com">intra.domain-a.com</a><br>ldap_tls_reqcert = demand<br>ldap_tls_cacert = /etc/ssl/certs/ca-certificates.crt<br>ldap_schema = rfc2307bis<br>ldap_default_bind_dn = cn=ldap-deb7,cn=users,dc=intra,dc=domain-a,dc=com<br>ldap_default_authok_type = password<br>ldap_default_authtok = p@ssw0rd<br>ldap_search_base = cn=users,cn=users,dc=intra,dc=domain-a,dc=com<br>ldap_user_object_class = person<br>#ldap_user_principal = userPrincipalName<br>ldap_user_principal = sAMAccountname<br>ldap_group_object_class = group<br>ldap_user_home_directory = unixHomeDirectory<br>ldap_force_upper_case_realm = true<br><br>krb5_server = <a href="http://intra.domain-a.com">intra.domain-a.com</a><br>krb5_realm = <a href="http://INTRA.DOMAIN-A.COM">INTRA.DOMAIN-A.COM</a><br>krb5_changepw_principle = kadmin/changepw<br>krb5_auth_timeout = 15<br>use_fully_qualified_names = true<br># re_expression = ((intra\.(?P&lt;domain&gt;[^\\]+)\\(?P&lt;name&gt;.+$))|((?P&lt;name&gt;[^@]+)@$<br># full_name_format = %1$s@intra.%2$s<br># not available on Wheezy - sssd &lt; 1.9.0<br># override_shell = /usr/sbin/nologin<br>override_homedir = /media/homedrive/%d/users/%u<br><br></div>- gentent passwd shows my users<br></div><div>- kinit <a href="mailto:jdoe@INTRA.DOMAIN-A.COM">jdoe@INTRA.DOMAIN-A.COM</a> asks for password and succeeds<br></div><div>- If logged as root, su <a href="mailto:jdoe@intra.domain-a.com">jdoe@intra.domain-a.com</a> succeeds<br></div><div>- ssh localhost -l <a href="mailto:jdoe@domain-a.com">jdoe@domain-a.com</a> fails<br><br></div><div>running sssd -i -d 0xFFF0 shows a huge amount of log, and it appears that kerberos authentication fails.<br><br><div style="margin-left: 40px;">(Sat Jun 13 20:16:10 2015) [sssd[be[<a href="http://domain-a.com">domain-a.com</a>]]] [become_user] (0x4000): Trying to become user [10000][10001].<br>(Sat Jun 13 20:16:10 2015) [sssd[be[<a href="http://domain-a.com">domain-a.com</a>]]] [child_handler_setup] (0x2000): Signal handler set up for pid [30421]<br>(Sat Jun 13 20:16:10 2015) [sssd[be[<a href="http://domain-a.com">domain-a.com</a>]]] [write_pipe_handler] (0x0400): All data has been sent!<br>(Sat Jun 13 20:16:10 2015) [[sssd[krb5_child[30421]]]] [main] (0x0400): krb5_child started.<br>(Sat Jun 13 20:16:10 2015) [[sssd[krb5_child[30421]]]] [krb5_child_setup] (0x1000): Cannot read [SSSD_KRB5_RENEWABLE_LIFETIME] from environment.<br>(Sat Jun 13 20:16:10 2015) [[sssd[krb5_child[30421]]]] [krb5_child_setup] (0x1000): Cannot read [SSSD_KRB5_LIFETIME] from environment.<br>(Sat Jun 13 20:16:10 2015) [[sssd[krb5_child[30421]]]] [krb5_child_setup] (0x4000): Not using FAST.<br>(Sat Jun 13 20:16:11 2015) [[sssd[krb5_child[30421]]]] [get_and_save_tgt] (0x0020): 682: [-1765328360][Preauthentication failed]<br>(Sat Jun 13 20:16:11 2015) [[sssd[krb5_child[30421]]]] [tgt_req_child] (0x0020): 944: [-1765328360][Preauthentication failed]<br>(Sat Jun 13 20:16:11 2015) [sssd[be[<a href="http://domain-a.com">domain-a.com</a>]]] [read_pipe_handler] (0x0400): EOF received, client finished<br>(Sat Jun 13 20:16:11 2015) [sssd[be[<a href="http://domain-a.com">domain-a.com</a>]]] [krb5_child_done] (0x4000): child response [17][1][25].<br>(Sat Jun 13 20:16:11 2015) [sssd[be[<a href="http://domain-a.com">domain-a.com</a>]]] [check_wait_queue] (0x1000): Wait queue for user [jdoe] is empty.<br>(Sat Jun 13 20:16:11 2015) [sssd[be[<a href="http://domain-a.com">domain-a.com</a>]]] [be_pam_handler_callback] (0x0100): Backend returned: (0, 17, &lt;NULL&gt;) [Success]<br>(Sat Jun 13 20:16:11 2015) [sssd[be[<a href="http://domain-a.com">domain-a.com</a>]]] [be_pam_handler_callback] (0x0100): Sending result [17][<a href="http://domain-a.com">domain-a.com</a>]<br>(Sat Jun 13 20:16:11 2015) [sssd[be[<a href="http://domain-a.com">domain-a.com</a>]]] [be_pam_handler_callback] (0x0100): Sent result [17][<a href="http://domain-a.com">domain-a.com</a>]<br><br></div>I think my issue is here, but I don't know how to check the kerberos authenticationn. I'm suspecting sssd sends something with the wrong domain part.<br></div><div><div style="margin-left: 40px;"><br></div>I got a LXC container running Debian 8, and this setup seems to work exactly as I'm expecting.<br><br></div><div>Any idea on how to trouble shoot my issue ?<br><br></div><div>Regards,<br></div></div></div>
</body></html>