F17.<br><br><div class="gmail_quote">On Wed, Oct 31, 2012 at 2:04 PM, Rob Crittenden <span dir="ltr"><<a href="mailto:rcritten@redhat.com" target="_blank">rcritten@redhat.com</a>></span> wrote:<br><blockquote class="gmail_quote" style="margin:0 0 0 .8ex;border-left:1px #ccc solid;padding-left:1ex">
<div class="im">Bret Wortman wrote:<br>
<blockquote class="gmail_quote" style="margin:0 0 0 .8ex;border-left:1px #ccc solid;padding-left:1ex">
I had enabled debugging of sudo but am not clear on where that debugging<br>
is going. It's not stdout, and I'm not seeing anything in /var/log/messages.<br>
<br>
I'll try switching to SSS and see what that gets me.<br>
</blockquote>
<br></div>
What distro is this? If it is RHEL 6.3 then put the configuration into /etc/sudo-ldap.conf instead of /etc/nslcd. The docs are incorrect (we are working on getting them fixed).<br>
<br>
rob<br>
<br>
<blockquote class="gmail_quote" style="margin:0 0 0 .8ex;border-left:1px #ccc solid;padding-left:1ex"><div class="im">
<br>
<br>
On Wed, Oct 31, 2012 at 1:33 PM, Stephen Gallagher <<a href="mailto:sgallagh@redhat.com" target="_blank">sgallagh@redhat.com</a><br></div><div class="im">
<mailto:<a href="mailto:sgallagh@redhat.com" target="_blank">sgallagh@redhat.com</a>>> wrote:<br>
<br>
    On Wed 31 Oct 2012 11:53:15 AM EDT, Bret Wortman wrote:<br>
<br>
        I'm pretty certain there's a painfully simple solution to this that<br>
        I'm not seeing, but my current configuration isn't picking up the<br>
        freeipa sudoer rule that I've set.<br>
<br>
        /etc/nsswitch.conf specifies:<br>
          sudoers:    files ldap<br>
<br>
        /etc/nslcd.conf contains:<br>
<br></div>
        binddn uid=sudo,cn=sysaccounts,cn=__<u></u>etc,dc=wedgeofli,dc=me<div><div class="h5"><br>
        bindpw password<br>
<br>
        ssl start_tls<br>
        tls_cacertfile /etc/ipa/ca.crt<br>
        tls_checkpeer yes<br>
<br>
        bind_timelimit 5<br>
        timelimit 15<br>
<br>
        uri ldap://<a href="http://fs1.wedgeofli.me" target="_blank">fs1.wedgeofli.me</a> <<a href="http://fs1.wedgeofli.me" target="_blank">http://fs1.wedgeofli.me</a>><br>
        <<a href="http://fs1.wedgeofli.me" target="_blank">http://fs1.wedgeofli.me</a>><br>
<br>
        sudoers_base ou=SUDOers,dc=wedgeofli,dc=me<br>
<br>
<br>
        The sssd_DOMAIN.log file contains this when I try to sudo:<br>
<br>
<br>
    <snip><br>
<br>
    The SSSD logs aren't showing anything wrong because they have<br>
    nothing to do with the execution of the SUDO rules in this<br>
    situation. All the SSSD is doing is verifying the authentication<br>
    (when sudo prompts you for your password).<br>
<br>
    The problem with the rule is most likely happening inside SUDO<br>
    itself. When you specify 'sudoers: files, ldap' in nsswitch.conf,<br>
    it's telling SUDO to use its own internal LDAP driver to look up the<br>
    rules. So you need to check sudo logs to see what's happening<br>
    (probably you will need to enable debug logging in /etc/sudo.conf).<br>
<br>
    Recent versions of SUDO (1.8.6 and later) have support for setting<br>
    'sudoers: files, sss' in nsswitch.conf which DOES use SSSD (1.9.0<br>
    and later) for lookups (and caching) of sudo rules.<br>
<br>
<br>
<br>
<br>
--<br>
Bret Wortman<br>
The Damascus Group<br>
Fairfax, VA<br>
<a href="http://bretwortman.com/" target="_blank">http://bretwortman.com/</a><br>
<a href="http://twitter.com/BretWortman" target="_blank">http://twitter.com/BretWortman</a><br>
<br>
<br>
<br>
<br>
--<br>
Bret Wortman<br>
The Damascus Group<br>
Fairfax, VA<br>
<a href="http://bretwortman.com/" target="_blank">http://bretwortman.com/</a><br>
<a href="http://twitter.com/BretWortman" target="_blank">http://twitter.com/BretWortman</a><br>
<br>
<br>
<br></div></div>
______________________________<u></u>_________________<br>
Freeipa-users mailing list<br>
<a href="mailto:Freeipa-users@redhat.com" target="_blank">Freeipa-users@redhat.com</a><br>
<a href="https://www.redhat.com/mailman/listinfo/freeipa-users" target="_blank">https://www.redhat.com/<u></u>mailman/listinfo/freeipa-users</a><br>
<br>
</blockquote>
<br>
</blockquote></div><br><br clear="all"><div><br></div>-- <br><div>Bret Wortman</div><div>The Damascus Group</div><div>Fairfax, VA</div><div><a href="http://bretwortman.com/" target="_blank">http://bretwortman.com/</a></div>
<div><a href="http://twitter.com/BretWortman" target="_blank">http://twitter.com/BretWortman</a></div><br>