<div dir="ltr"><div><div><div>Hi<br><br></div>I compiled SSSD 1.12.5 and tried it, but several things needs to be disabled to be successfully compiled on Wheezy. I then tried SSSD 1.9.7, and after installation there is  some more work on some .so not linked into .so.0. I need to find out what has not been done in make install.<br><br></div>In the mean time I built a VM with the exact same setup as the one which bugs me : a wheezy host (with my appliance) and a LXC container running Jessie and samba 4 (same domain, passwords, and my test  user acccount). After a copy paste of my sssd.conf, it runs at my first try !<br><br></div><div>This proves there is no bug in SSSD preventing my setup to run. This is rather an issue somewhere in ldap our krb ? Would be useful I check some mandatory packages ?<br><br></div><div>Can I have more details on how SSSD works with krb5 ?<br><br></div></div><div class="gmail_extra"><br><div class="gmail_quote">2015-06-14 19:30 GMT+02:00 thierry DeTheGeek <span dir="ltr">&lt;<a href="mailto:dethegeek@gmail.com" target="_blank">dethegeek@gmail.com</a>&gt;</span>:<br><blockquote class="gmail_quote" style="margin:0 0 0 .8ex;border-left:1px #ccc solid;padding-left:1ex"><div dir="ltr"><div><div><div><div>Hi Davor<br><br></div>Yes, I noticed that when comparing several versions of my sssd.conf with my email <br><br></div>I did this mistake while writing the mail, and replacing my real domain by the dummy ones. In the server cn=users appears only once. This is confirmed un the logs of sssd : the LDAP queries are successful and getent passwd returns my users.<br><br></div>By the way I tried to build a fresh LXC container with Debian 7 (without my appliance because it cannot run in a container) and installed sssd with my config file. it works, ant it was unexpected. Now I think my issue should be in my operating system (package or some config) rather than sssd.<br><br></div><div>I&#39;m following the advice of Lukas, and I began to compile sssd 1.12. I&#39;ll feedback th results.<br></div><br></div><div class="gmail_extra"><br><div class="gmail_quote"><div><div class="h5">2015-06-14 17:13 GMT+02:00 Davor Vusir <span dir="ltr">&lt;<a href="mailto:davortvusir@gmail.com" target="_blank">davortvusir@gmail.com</a>&gt;</span>:<br></div></div><blockquote class="gmail_quote" style="margin:0 0 0 .8ex;border-left:1px #ccc solid;padding-left:1ex"><div><div class="h5"><div><div><div style="font-family:Calibri,sans-serif;font-size:11pt">Your search både looks wrong<br><br>ldap_search_base = cn=users,cn=users,dc=intra,dc=domain-a,dc=com<br><br>And is a mismatch the path the bind DN uses<br><br>Regards<br>Davor<br><br>-- Skickat från mobilusken! --<br></div></div><div dir="ltr"><hr><span style="font-family:Calibri,sans-serif;font-size:11pt;font-weight:bold">Från: </span><span style="font-family:Calibri,sans-serif;font-size:11pt"><a href="mailto:dethegeek@gmail.com" target="_blank">thierry DeTheGeek</a></span><br><span style="font-family:Calibri,sans-serif;font-size:11pt;font-weight:bold">Skickat: </span><span style="font-family:Calibri,sans-serif;font-size:11pt">‎2015-‎06-‎13 20:25</span><br><span style="font-family:Calibri,sans-serif;font-size:11pt;font-weight:bold">Till: </span><span style="font-family:Calibri,sans-serif;font-size:11pt"><a href="mailto:sssd-users@lists.fedorahosted.org" target="_blank">sssd-users@lists.fedorahosted.org</a></span><br><span style="font-family:Calibri,sans-serif;font-size:11pt;font-weight:bold">Ämne: </span><span style="font-family:Calibri,sans-serif;font-size:11pt">[SSSD-users] get_and_save_tgt :Preauthentication failed on debian 7 +sssd 1.8.4 againts a samba 4 host</span><br><br></div><div><div><div dir="ltr"><div><div><div><div>Hi<br><br></div>I&#39;m working on a centalized user accounts setup, thanks to samba 4<br></div><br></div><div>SSSD is setup on a Debian 7 host, version 1.8.4 as provided by the repository. This host will authenticate users agains several domains : <a href="http://INTRA.DOMAIN-A.COM" target="_blank">INTRA.DOMAIN-A.COM</a> and <a href="http://INTRA.DOMAIN-B.COM" target="_blank">INTRA.DOMAIN-B.COM</a>. The later domain is not set up yet because this work will be nearly a copy/paste from the first one.<br><br></div><div>I need to make my users authenticate with a login in the form <a href="mailto:jdoe@domain-a.com" target="_blank">jdoe@domain-a.com</a> . This will prevent a conflict if the user jdoe exists on both domains.<br><br></div><div>Notice I want to drop the &quot;intra.&quot; part in the login; making my users not bored with technical details.<br><br></div><div>I built successfully a sssd.conf in a Debian Jessie host, but when reproducing the setup on Debian 7, user authentication fails.<br><br></div><div>Here is the sssd.conf file, with password and domain not revealed, <br><br><div style="margin-left:40px">[sssd]<br>config_file_version = 2<br>reconnection_retries = 3<br>sbus_timeout = 30<br>services = nss, pam<br>domains = <a href="http://domain-a.com" target="_blank">domain-a.com</a><br><br>[nss]<br>filter_groups = root<br>filter_users = root<br>reconnection_retries = 3<br># entry_cache_nowait_percentage = 300<br><br>[pam]<br>reconnection_retries = 3<br><br># Example LOCAL domain that stores all users natively in the SSSD internal<br># directory. These local users and groups are not visible in /etc/passwd; it<br># now contains only root and system accounts.<br># [domain/LOCAL]<br># description = LOCAL Users domain<br># id_provider = local<br># enumerate = true<br># min_id = 500<br># max_id = 999<br><br>[domain/<a href="http://domain-a.com" target="_blank">domain-a.com</a>]<br>; Using enumerate = true leads to high load and slow response<br>enumerate = true<br>cache_credentials = false<br>entry_cache_timeout = 5400<br># account_cache_expiration = 365<br><br>id_provider = ldap<br>auth_provider = krb5<br>chpass_provider = krb5<br><br>ldap_uri = ldap://<a href="http://intra.domain-a.com" target="_blank">intra.domain-a.com</a><br>ldap_tls_reqcert = demand<br>ldap_tls_cacert = /etc/ssl/certs/ca-certificates.crt<br>ldap_schema = rfc2307bis<br>ldap_default_bind_dn = cn=ldap-deb7,cn=users,dc=intra,dc=domain-a,dc=com<br>ldap_default_authok_type = password<br>ldap_default_authtok = p@ssw0rd<br>ldap_search_base = cn=users,cn=users,dc=intra,dc=domain-a,dc=com<br>ldap_user_object_class = person<br>#ldap_user_principal = userPrincipalName<br>ldap_user_principal = sAMAccountname<br>ldap_group_object_class = group<br>ldap_user_home_directory = unixHomeDirectory<br>ldap_force_upper_case_realm = true<br><br>krb5_server = <a href="http://intra.domain-a.com" target="_blank">intra.domain-a.com</a><br>krb5_realm = <a href="http://INTRA.DOMAIN-A.COM" target="_blank">INTRA.DOMAIN-A.COM</a><br>krb5_changepw_principle = kadmin/changepw<br>krb5_auth_timeout = 15<br>use_fully_qualified_names = true<br># re_expression = ((intra\.(?P&lt;domain&gt;[^\\]+)\\(?P&lt;name&gt;.+$))|((?P&lt;name&gt;[^@]+)@$<br># full_name_format = %1$s@intra.%2$s<br># not available on Wheezy - sssd &lt; 1.9.0<br># override_shell = /usr/sbin/nologin<br>override_homedir = /media/homedrive/%d/users/%u<br><br></div>- gentent passwd shows my users<br></div><div>- kinit <a href="mailto:jdoe@INTRA.DOMAIN-A.COM" target="_blank">jdoe@INTRA.DOMAIN-A.COM</a> asks for password and succeeds<br></div><div>- If logged as root, su <a href="mailto:jdoe@intra.domain-a.com" target="_blank">jdoe@intra.domain-a.com</a> succeeds<br></div><div>- ssh localhost -l <a href="mailto:jdoe@domain-a.com" target="_blank">jdoe@domain-a.com</a> fails<br><br></div><div>running sssd -i -d 0xFFF0 shows a huge amount of log, and it appears that kerberos authentication fails.<br><br><div style="margin-left:40px">(Sat Jun 13 20:16:10 2015) [sssd[be[<a href="http://domain-a.com" target="_blank">domain-a.com</a>]]] [become_user] (0x4000): Trying to become user [10000][10001].<br>(Sat Jun 13 20:16:10 2015) [sssd[be[<a href="http://domain-a.com" target="_blank">domain-a.com</a>]]] [child_handler_setup] (0x2000): Signal handler set up for pid [30421]<br>(Sat Jun 13 20:16:10 2015) [sssd[be[<a href="http://domain-a.com" target="_blank">domain-a.com</a>]]] [write_pipe_handler] (0x0400): All data has been sent!<br>(Sat Jun 13 20:16:10 2015) [[sssd[krb5_child[30421]]]] [main] (0x0400): krb5_child started.<br>(Sat Jun 13 20:16:10 2015) [[sssd[krb5_child[30421]]]] [krb5_child_setup] (0x1000): Cannot read [SSSD_KRB5_RENEWABLE_LIFETIME] from environment.<br>(Sat Jun 13 20:16:10 2015) [[sssd[krb5_child[30421]]]] [krb5_child_setup] (0x1000): Cannot read [SSSD_KRB5_LIFETIME] from environment.<br>(Sat Jun 13 20:16:10 2015) [[sssd[krb5_child[30421]]]] [krb5_child_setup] (0x4000): Not using FAST.<br>(Sat Jun 13 20:16:11 2015) [[sssd[krb5_child[30421]]]] [get_and_save_tgt] (0x0020): 682: [-1765328360][Preauthentication failed]<br>(Sat Jun 13 20:16:11 2015) [[sssd[krb5_child[30421]]]] [tgt_req_child] (0x0020): 944: [-1765328360][Preauthentication failed]<br>(Sat Jun 13 20:16:11 2015) [sssd[be[<a href="http://domain-a.com" target="_blank">domain-a.com</a>]]] [read_pipe_handler] (0x0400): EOF received, client finished<br>(Sat Jun 13 20:16:11 2015) [sssd[be[<a href="http://domain-a.com" target="_blank">domain-a.com</a>]]] [krb5_child_done] (0x4000): child response [17][1][25].<br>(Sat Jun 13 20:16:11 2015) [sssd[be[<a href="http://domain-a.com" target="_blank">domain-a.com</a>]]] [check_wait_queue] (0x1000): Wait queue for user [jdoe] is empty.<br>(Sat Jun 13 20:16:11 2015) [sssd[be[<a href="http://domain-a.com" target="_blank">domain-a.com</a>]]] [be_pam_handler_callback] (0x0100): Backend returned: (0, 17, &lt;NULL&gt;) [Success]<br>(Sat Jun 13 20:16:11 2015) [sssd[be[<a href="http://domain-a.com" target="_blank">domain-a.com</a>]]] [be_pam_handler_callback] (0x0100): Sending result [17][<a href="http://domain-a.com" target="_blank">domain-a.com</a>]<br>(Sat Jun 13 20:16:11 2015) [sssd[be[<a href="http://domain-a.com" target="_blank">domain-a.com</a>]]] [be_pam_handler_callback] (0x0100): Sent result [17][<a href="http://domain-a.com" target="_blank">domain-a.com</a>]<br><br></div>I think my issue is here, but I don&#39;t know how to check the kerberos authenticationn. I&#39;m suspecting sssd sends something with the wrong domain part.<br></div><div><div style="margin-left:40px"><br></div>I got a LXC container running Debian 8, and this setup seems to work exactly as I&#39;m expecting.<br><br></div><div>Any idea on how to trouble shoot my issue ?<br><br></div><div>Regards,<br></div></div></div>
</div></div></div><br></div></div><span class="">_______________________________________________<br>
sssd-users mailing list<br>
<a href="mailto:sssd-users@lists.fedorahosted.org" target="_blank">sssd-users@lists.fedorahosted.org</a><br>
<a href="https://lists.fedorahosted.org/mailman/listinfo/sssd-users" rel="noreferrer" target="_blank">https://lists.fedorahosted.org/mailman/listinfo/sssd-users</a><br>
<br></span></blockquote></div><br></div>
</blockquote></div><br></div>