<div dir="ltr"><br><div class="gmail_extra">Hey Chris, Thanks for your answer;</div><div class="gmail_extra"><br><br><div class="gmail_quote">On Tue, May 14, 2013 at 3:12 PM, Chris Hudson <span dir="ltr"><<a href="mailto:chris@redhat.com" target="_blank">chris@redhat.com</a>></span> wrote:<br>
<blockquote class="gmail_quote" style="margin:0px 0px 0px 0.8ex;border-left-width:1px;border-left-color:rgb(204,204,204);border-left-style:solid;padding-left:1ex"><div><div style="font-size:12pt;font-family:'times new roman','new york',times,serif">
<div class="im"><div><span name="x"></span><br></div><blockquote style="padding-left:5px;font-size:12pt;font-style:normal;margin-left:5px;font-family:Helvetica,Arial,sans-serif;text-decoration:none;font-weight:normal;border-left-width:2px;border-left-style:solid;border-left-color:rgb(16,16,255)">
Hello all,<div dir="ltr"><div><br></div><div>I have been playing with trying to set up synchronization between windows AD --> IPA  following the instructions at</div><div><a href="https://access.redhat.com/site/documentation/en-US/Red_Hat_Enterprise_Linux/6/html/Identity_Management_Guide/index.html" target="_blank">https://access.redhat.com/site/documentation/en-US/Red_Hat_Enterprise_Linux/6/html/Identity_Management_Guide/index.html</a><br>
</div><div><br></div><div>A few questions arise;</div><div><br></div><div>1.) The documentation (specifically on <a href="https://access.redhat.com/site/documentation/en-US/Red_Hat_Enterprise_Linux/6/html/Identity_Management_Guide/managing-sync-agmt.html" target="_blank">https://access.redhat.com/site/documentation/en-US/Red_Hat_Enterprise_Linux/6/html/Identity_Management_Guide/managing-sync-agmt.html</a>), (under table 9.2) talks about options to the "ipa-replica-manage connect" command. Among others, --bindpw and --passsync.  With --binddn we specify the "full user DN of the synchronization identity" (and it's password with --bindpw ... but I fail to understand which users password should be used for "--passsync"??  Is it the same user?</div>
</div></blockquote></div><div>The "--passsync" password is the password that you *will* use for the "passsync" user should you install the password synchronization package on your AD controllers. You are essentially setting this password preemptively.<br>
</div></div></div></blockquote><div><br></div><div style>ok, thanks for clearing that up. </div><blockquote class="gmail_quote" style="margin:0px 0px 0px 0.8ex;border-left-width:1px;border-left-color:rgb(204,204,204);border-left-style:solid;padding-left:1ex">
<div><div style="font-size:12pt;font-family:'times new roman','new york',times,serif"><div></div><div class="im"><blockquote style="padding-left:5px;font-size:12pt;font-style:normal;margin-left:5px;font-family:Helvetica,Arial,sans-serif;text-decoration:none;font-weight:normal;border-left-width:2px;border-left-style:solid;border-left-color:rgb(16,16,255)">
<div dir="ltr"><div><br></div><div>2.) The documentation says that the "synchronization identity" (see also above) must exist in the AD domain and "must have replicator, read, search and write permissions on the AD subtree.  What I am trying to do is create a one way sync from AD --> IPA  and I would really like to avoid using a user (for synching) that has write permissions (in the AD).  All my tries in setting up synchronization fails unless I add the synch-user to the group "Administrators". I have tried (and failed) using "account admins" etc.   Any pointers here would be great. Sorry for my ignorance when it comes to Windows. I am sure I am missing something obvious.</div>
</div></blockquote></div><div><br>Someone else can probably comment on this, but the IPA server will need to bind to the AD controller and pull the necessary information from the directory...which makes these rights a necessity.<br>
</div></div></div></blockquote><div><br></div><div style>it's just that the ipa-replica-manage manpage (under "WINSYNC") says:</div><div style><br></div><div style>"The  following examples use the AD administrator account as the synchronization user. This is not mandatory but the user must have read-access to the subtree."</div>
<div style><br></div><div style>(but then, the redhat docs say also _write_ permissions (in the AD) are required.) .....  To do  one-way synching   AD ---> IPA, I don't see why write permissions in the AD would be necessary?  Or am I missing something? </div>
<div style><br></div><div style>Ideally, I'd like to use a useraccount that has _only_ read permissions in the AD for the synchronization.</div><div><br></div><div style><br></div><div style><br></div><div style> </div>
<blockquote class="gmail_quote" style="margin:0px 0px 0px 0.8ex;border-left-width:1px;border-left-color:rgb(204,204,204);border-left-style:solid;padding-left:1ex"><div><div style="font-size:12pt;font-family:'times new roman','new york',times,serif">
<div></div><div class="im"><blockquote style="padding-left:5px;font-size:12pt;font-style:normal;margin-left:5px;font-family:Helvetica,Arial,sans-serif;text-decoration:none;font-weight:normal;border-left-width:2px;border-left-style:solid;border-left-color:rgb(16,16,255)">
<div dir="ltr"><div><br></div><div>3.) I follow the instructions under "9.4.5" (<a href="https://access.redhat.com/site/documentation/en-US/Red_Hat_Enterprise_Linux/6/html/Identity_Management_Guide/managing-sync-agmt.html#unidirectional-sync" target="_blank">https://access.redhat.com/site/documentation/en-US/Red_Hat_Enterprise_Linux/6/html/Identity_Management_Guide/managing-sync-agmt.html#unidirectional-sync</a>) to setup Uni-directional sync. (only AD --> IPA), and yet, when I go to remove an account in IPA it gets removed also in the AD.  (This I really want to avoid, thus the need for a read-only user to do the synchronization - see question 2).</div>
</div></blockquote></div><div>I do not recall IPA ever removing users from AD. From what I remember, only certain attributes were bi-directional and deletes were not performed on AD. Has this changed?<br></div></div></div>
</blockquote><div><br></div><div><br></div><div style>Oh yeah, the user gets "removed" from the AD in the sense that when I click on the user --> properties it tells me that the user is deleted. (the stanza is still there but as far as the AD is concerned, the user is gone).    </div>
<div> </div><blockquote class="gmail_quote" style="margin:0px 0px 0px 0.8ex;border-left-width:1px;border-left-color:rgb(204,204,204);border-left-style:solid;padding-left:1ex"><div><div style="font-size:12pt;font-family:'times new roman','new york',times,serif">
<div></div><blockquote style="padding-left:5px;font-size:12pt;font-style:normal;margin-left:5px;font-family:Helvetica,Arial,sans-serif;text-decoration:none;font-weight:normal;border-left-width:2px;border-left-style:solid;border-left-color:rgb(16,16,255)">
<div class="im"><div dir="ltr"><div><br></div><div><br></div><div>All in all I think the FreeIPA project is amazing and it really gives us in the Linux community something we haven't had before.   If I can iron out the problems above I am sure it will become a great tool for me and my client.</div>
<div><br>Any input would be most appreciated.</div><div><br></div><div>Thanks</div><div><br></div><div>//James.</div></div><br></div>_______________________________________________<br>Freeipa-users mailing list<br><a href="mailto:Freeipa-users@redhat.com" target="_blank">Freeipa-users@redhat.com</a><br>
<a href="https://www.redhat.com/mailman/listinfo/freeipa-users" target="_blank">https://www.redhat.com/mailman/listinfo/freeipa-users</a></blockquote><div><br></div></div></div></blockquote></div><br></div></div>