<div dir="ltr"><br><div class="gmail_extra"><br><br><div class="gmail_quote">On Tue, May 14, 2013 at 3:56 PM, Joseph, Matthew (EXP) <span dir="ltr"><<a href="mailto:matthew.joseph@lmco.com" target="_blank">matthew.joseph@lmco.com</a>></span> wrote:<br>
<blockquote class="gmail_quote" style="margin:0px 0px 0px 0.8ex;border-left-width:1px;border-left-color:rgb(204,204,204);border-left-style:solid;padding-left:1ex"><div lang="EN-US" link="blue" vlink="purple"><div><p class="">
<span style="font-size:11pt;font-family:Calibri,sans-serif;color:rgb(31,73,125)">Hey James,<u></u><u></u></span></p><p class=""><span style="font-size:11pt;font-family:Calibri,sans-serif;color:rgb(31,73,125)"><u></u> <u></u></span></p>
<p class=""><span style="font-size:11pt;font-family:Calibri,sans-serif;color:rgb(31,73,125)">One more thing, what are the values in the registry for your password sync application</span></p></div></div></blockquote><blockquote class="gmail_quote" style="margin:0px 0px 0px 0.8ex;border-left-width:1px;border-left-color:rgb(204,204,204);border-left-style:solid;padding-left:1ex">
<div lang="EN-US" link="blue" vlink="purple"><div><p class=""><span style="font-size:11pt;font-family:Calibri,sans-serif;color:rgb(31,73,125)"><u></u><u></u></span></p><p class=""><span style="font-size:11pt;font-family:Calibri,sans-serif;color:rgb(31,73,125)">The default option for the User Name Field was wrong. It was set to userid (or something similar to that) when it should have been uid. I don’t think that’s your problem but who knows what else might be wrong.</span></p>
</div></div></blockquote><div><br></div><div><div>uuuhh.... registry? I am not sure exaclty what you mean by this?  I need to change some registry setting on the AD server?</div></div><div><br></div><div> </div><blockquote class="gmail_quote" style="margin:0px 0px 0px 0.8ex;border-left-width:1px;border-left-color:rgb(204,204,204);border-left-style:solid;padding-left:1ex">
<div lang="EN-US" link="blue" vlink="purple"><div><p class=""><span style="font-size:11pt;font-family:Calibri,sans-serif;color:rgb(31,73,125)"><u></u><u></u></span></p><p class=""><span style="font-size:11pt;font-family:Calibri,sans-serif;color:rgb(31,73,125)"><u></u> <u></u></span></p>
<p class=""><span style="font-size:11pt;font-family:Calibri,sans-serif;color:rgb(31,73,125)">Also is your IPA sync user in the same OU as your normal users?<u></u><u></u></span></p><p class=""><span style="font-size:11pt;font-family:Calibri,sans-serif;color:rgb(31,73,125)"><u></u> </span></p>
</div></div></blockquote><div><br></div><div style>Yes ... </div><div> </div><blockquote class="gmail_quote" style="margin:0px 0px 0px 0.8ex;border-left-width:1px;border-left-color:rgb(204,204,204);border-left-style:solid;padding-left:1ex">
<div lang="EN-US" link="blue" vlink="purple"><div><p class=""><span style="font-size:11pt;font-family:Calibri,sans-serif;color:rgb(31,73,125)"><u></u></span></p><p class=""><span style="font-size:11pt;font-family:Calibri,sans-serif;color:rgb(31,73,125)">Matt<u></u><u></u></span></p>
<p class=""><span style="font-size:11pt;font-family:Calibri,sans-serif;color:rgb(31,73,125)"><u></u> <u></u></span></p><div><div style="border-style:solid none none;border-top-color:rgb(181,196,223);border-top-width:1pt;padding:3pt 0in 0in">
<p class=""><b><span style="font-size:10pt;font-family:Tahoma,sans-serif">From:</span></b><span style="font-size:10pt;font-family:Tahoma,sans-serif"> <a href="mailto:freeipa-users-bounces@redhat.com" target="_blank">freeipa-users-bounces@redhat.com</a> [mailto:<a href="mailto:freeipa-users-bounces@redhat.com" target="_blank">freeipa-users-bounces@redhat.com</a>] <b>On Behalf Of </b>Joseph, Matthew (EXP)<br>
<b>Sent:</b> Tuesday, May 14, 2013 10:50 AM</span></p><div class="im"><br><b>To:</b> James A<br><b>Cc:</b> <a href="mailto:freeipa-users@redhat.com" target="_blank">freeipa-users@redhat.com</a><br></div><b>Subject:</b> Re: [Freeipa-users] EXTERNAL: Re: Syncing with AD<u></u><u></u><p>
</p></div></div><div><div class="h5"><p class=""><u></u> <u></u></p><p class=""><span style="font-size:11pt;font-family:Calibri,sans-serif;color:rgb(31,73,125)">Hey James,<u></u><u></u></span></p><p class=""><span style="font-size:11pt;font-family:Calibri,sans-serif;color:rgb(31,73,125)"><u></u> <u></u></span></p>
<p class=""><span style="font-size:11pt;font-family:Calibri,sans-serif;color:rgb(31,73,125)">Like I said the IPA user has read access at the domain level.<u></u><u></u></span></p><p class=""><span style="font-size:11pt;font-family:Calibri,sans-serif;color:rgb(31,73,125)">He is also a member of the domain users group.<u></u><u></u></span></p>
<p class=""><span style="font-size:11pt;font-family:Calibri,sans-serif;color:rgb(31,73,125)"><u></u> <u></u></span></p><p class=""><span style="font-size:11pt;font-family:Calibri,sans-serif;color:rgb(31,73,125)">I don’t know why it’s only working if you have him part of the administrator group.<u></u><u></u></span></p>
<p class=""><span style="font-size:11pt;font-family:Calibri,sans-serif;color:rgb(31,73,125)"><u></u> <u></u></span></p><p class=""><span style="font-size:11pt;font-family:Calibri,sans-serif;color:rgb(31,73,125)">What does it say in the passync log on the AD server?<u></u><u></u></span></p>
<p class=""><span style="font-size:11pt;font-family:Calibri,sans-serif;color:rgb(31,73,125)"><u></u> <u></u></span></p><p class=""><span style="font-size:11pt;font-family:Calibri,sans-serif;color:rgb(31,73,125)">I tried to do the uni-directional sync but it never worked for me the way it was intended and I just stumbled on giving the user only read access to the domain.<u></u><u></u></span></p>
<p class=""><span style="font-size:11pt;font-family:Calibri,sans-serif;color:rgb(31,73,125)"><u></u> <u></u></span></p><p class=""><span style="font-size:11pt;font-family:Calibri,sans-serif;color:rgb(31,73,125)">Matt<u></u><u></u></span></p>
<p class=""><span style="font-size:11pt;font-family:Calibri,sans-serif;color:rgb(31,73,125)"><u></u> <u></u></span></p><p class=""><b><span style="font-size:10pt;font-family:Tahoma,sans-serif">From:</span></b><span style="font-size:10pt;font-family:Tahoma,sans-serif"> James A [<a href="mailto:james@atia.se" target="_blank">mailto:james@atia.se</a>] <br>
<b>Sent:</b> Tuesday, May 14, 2013 10:42 AM<br><b>To:</b> Joseph, Matthew (EXP)<br><b>Cc:</b> Chris Hudson; <a href="mailto:freeipa-users@redhat.com" target="_blank">freeipa-users@redhat.com</a><br><b>Subject:</b> EXTERNAL: Re: Syncing with AD<u></u><u></u></span></p>
<p class=""><u></u> <u></u></p><div><p class=""><u></u> <u></u></p><div><p class="" style="margin-bottom:12pt"><u></u> <u></u></p><div><p class="">On Tue, May 14, 2013 at 3:30 PM, Joseph, Matthew (EXP) <<a href="mailto:matthew.joseph@lmco.com" target="_blank">matthew.joseph@lmco.com</a>> wrote:<u></u><u></u></p>
<div><div><p class=""><span style="font-size:11pt;font-family:Calibri,sans-serif;color:rgb(31,73,125)">Hey James,</span><u></u><u></u></p><p class=""><span style="font-size:11pt;font-family:Calibri,sans-serif;color:rgb(31,73,125)"> </span><u></u><u></u></p>
<p class=""><span style="font-size:11pt;font-family:Calibri,sans-serif;color:rgb(31,73,125)">I configured my IPA server with winsync and I was in the same boat as you.</span><u></u><u></u></p><p class=""><span style="font-size:11pt;font-family:Calibri,sans-serif;color:rgb(31,73,125)"> </span><u></u><u></u></p>
<p class=""><span style="font-size:11pt;font-family:Calibri,sans-serif;color:rgb(31,73,125)">The IPA user that is created for Active Directory does not require write access to AD.</span><u></u><u></u></p><p class=""><span style="font-size:11pt;font-family:Calibri,sans-serif;color:rgb(31,73,125)">My IPA user only has read permissions to the domain and my passwords sync just fine. When I delete a user from IPA it does not delete it from AD.</span><u></u><u></u></p>
</div></div><div><p class=""><u></u> <u></u></p></div><div><p class=""><u></u> <u></u></p></div><div><p class=""><u></u> <u></u></p></div><div><p class="">Thanks; good to know that there is a way to do this.  I really don't see where I am going wrong.  The user I use for synching will only work if I put it in the "administrator" group.  And when I do, I have a two way synch - if I remove an account on the IPA server, it "disappears" also in the AD - even though I did:<u></u><u></u></p>
</div><div><p class=""><a href="https://access.redhat.com/site/documentation/en-US/Red_Hat_Enterprise_Linux/6/html/Identity_Management_Guide/managing-sync-agmt.html#unidirectional-sync" target="_blank">https://access.redhat.com/site/documentation/en-US/Red_Hat_Enterprise_Linux/6/html/Identity_Management_Guide/managing-sync-agmt.html#unidirectional-sync</a><u></u><u></u></p>
</div><div><p class=""><u></u> <u></u></p></div><div><p class="">Do you by any chance have the specifics (permissions, groups etc.) of your user (in the AD) you use for synch'ing?<u></u><u></u></p></div><div><p class="">
<u></u> <u></u></p></div><div><p class="">thanks<u></u><u></u></p></div><div><p class=""><br>/J<u></u><u></u></p></div><div><p class=""><u></u> <u></u></p></div><div><p class=""><u></u> <u></u></p></div><div><p class=""><u></u> <u></u></p>
</div><div><p class=""> <u></u><u></u></p></div><blockquote style="border-style:none none none solid;border-left-color:rgb(204,204,204);border-left-width:1pt;padding:0in 0in 0in 6pt;margin:5pt 0in 5pt 4.8pt"><div><div><p class="">
<span style="font-size:11pt;font-family:Calibri,sans-serif;color:rgb(31,73,125)"> </span><u></u><u></u></p><p class=""><span style="font-size:11pt;font-family:Calibri,sans-serif;color:rgb(31,73,125)">Matt</span><u></u><u></u></p>
<p class=""><span style="font-size:11pt;font-family:Calibri,sans-serif;color:rgb(31,73,125)"> </span><u></u><u></u></p><div><div style="border-style:solid none none;border-top-color:rgb(181,196,223);border-top-width:1pt;padding:3pt 0in 0in">
<p class=""><b><span style="font-size:10pt;font-family:Tahoma,sans-serif">From:</span></b><span style="font-size:10pt;font-family:Tahoma,sans-serif"> <a href="mailto:freeipa-users-bounces@redhat.com" target="_blank">freeipa-users-bounces@redhat.com</a> [mailto:<a href="mailto:freeipa-users-bounces@redhat.com" target="_blank">freeipa-users-bounces@redhat.com</a>] <b>On Behalf Of </b>Chris Hudson<br>
<b>Sent:</b> Tuesday, May 14, 2013 10:13 AM<br><b>To:</b> James A<br><b>Cc:</b> <a href="mailto:freeipa-users@redhat.com" target="_blank">freeipa-users@redhat.com</a><br><b>Subject:</b> EXTERNAL: Re: [Freeipa-users] Syncing with AD</span><u></u><u></u></p>
</div></div><div><div><p class=""> <u></u><u></u></p><div><div><p class=""> <u></u><u></u></p></div><blockquote style="border-style:none none none solid;border-left-color:rgb(16,16,255);border-left-width:1.5pt;padding:0in 0in 0in 4pt;margin-left:3.75pt;margin-top:5pt;margin-bottom:5pt">
<p class=""><span style="font-family:Helvetica,sans-serif">Hello all,</span><u></u><u></u></p><div><div><p class=""><span style="font-family:Helvetica,sans-serif"> </span><u></u><u></u></p></div><div><p class=""><span style="font-family:Helvetica,sans-serif">I have been playing with trying to set up synchronization between windows AD --> IPA  following the instructions at</span><u></u><u></u></p>
</div><div><p class=""><span style="font-family:Helvetica,sans-serif"><a href="https://access.redhat.com/site/documentation/en-US/Red_Hat_Enterprise_Linux/6/html/Identity_Management_Guide/index.html" target="_blank">https://access.redhat.com/site/documentation/en-US/Red_Hat_Enterprise_Linux/6/html/Identity_Management_Guide/index.html</a></span><u></u><u></u></p>
</div><div><p class=""><span style="font-family:Helvetica,sans-serif"> </span><u></u><u></u></p></div><div><p class=""><span style="font-family:Helvetica,sans-serif">A few questions arise;</span><u></u><u></u></p></div><div>
<p class=""><span style="font-family:Helvetica,sans-serif"> </span><u></u><u></u></p></div><div><p class=""><span style="font-family:Helvetica,sans-serif">1.) The documentation (specifically on <a href="https://access.redhat.com/site/documentation/en-US/Red_Hat_Enterprise_Linux/6/html/Identity_Management_Guide/managing-sync-agmt.html" target="_blank">https://access.redhat.com/site/documentation/en-US/Red_Hat_Enterprise_Linux/6/html/Identity_Management_Guide/managing-sync-agmt.html</a>), (under table 9.2) talks about options to the "ipa-replica-manage connect" command. Among others, --bindpw and --passsync.  With --binddn we specify the "full user DN of the synchronization identity" (and it's password with --bindpw ... but I fail to understand which users password should be used for "--passsync"??  Is it the same user?</span><u></u><u></u></p>
</div></div></blockquote><div><p class="">The "--passsync" password is the password that you *will* use for the "passsync" user should you install the password synchronization package on your AD controllers. You are essentially setting this password preemptively.<u></u><u></u></p>
</div><blockquote style="border-style:none none none solid;border-left-color:rgb(16,16,255);border-left-width:1.5pt;padding:0in 0in 0in 4pt;margin-left:3.75pt;margin-top:5pt;margin-bottom:5pt"><div><div><p class=""><span style="font-family:Helvetica,sans-serif"> </span><u></u><u></u></p>
</div><div><p class=""><span style="font-family:Helvetica,sans-serif">2.) The documentation says that the "synchronization identity" (see also above) must exist in the AD domain and "must have replicator, read, search and write permissions on the AD subtree.  What I am trying to do is create a one way sync from AD --> IPA  and I would really like to avoid using a user (for synching) that has write permissions (in the AD).  All my tries in setting up synchronization fails unless I add the synch-user to the group "Administrators". I have tried (and failed) using "account admins" etc.   Any pointers here would be great. Sorry for my ignorance when it comes to Windows. I am sure I am missing something obvious.</span><u></u><u></u></p>
</div></div></blockquote><div><p class=""><br>Someone else can probably comment on this, but the IPA server will need to bind to the AD controller and pull the necessary information from the directory...which makes these rights a necessity.<u></u><u></u></p>
</div><blockquote style="border-style:none none none solid;border-left-color:rgb(16,16,255);border-left-width:1.5pt;padding:0in 0in 0in 4pt;margin-left:3.75pt;margin-top:5pt;margin-bottom:5pt"><div><div><p class=""><span style="font-family:Helvetica,sans-serif"> </span><u></u><u></u></p>
</div><div><p class=""><span style="font-family:Helvetica,sans-serif">3.) I follow the instructions under "9.4.5" (<a href="https://access.redhat.com/site/documentation/en-US/Red_Hat_Enterprise_Linux/6/html/Identity_Management_Guide/managing-sync-agmt.html#unidirectional-sync" target="_blank">https://access.redhat.com/site/documentation/en-US/Red_Hat_Enterprise_Linux/6/html/Identity_Management_Guide/managing-sync-agmt.html#unidirectional-sync</a>) to setup Uni-directional sync. (only AD --> IPA), and yet, when I go to remove an account in IPA it gets removed also in the AD.  (This I really want to avoid, thus the need for a read-only user to do the synchronization - see question 2).</span><u></u><u></u></p>
</div></div></blockquote><div><p class="">I do not recall IPA ever removing users from AD. From what I remember, only certain attributes were bi-directional and deletes were not performed on AD. Has this changed?<u></u><u></u></p>
</div><blockquote style="border-style:none none none solid;border-left-color:rgb(16,16,255);border-left-width:1.5pt;padding:0in 0in 0in 4pt;margin-left:3.75pt;margin-top:5pt;margin-bottom:5pt"><div><div><p class=""><span style="font-family:Helvetica,sans-serif"> </span><u></u><u></u></p>
</div><div><p class=""><span style="font-family:Helvetica,sans-serif"> </span><u></u><u></u></p></div><div><p class=""><span style="font-family:Helvetica,sans-serif">All in all I think the FreeIPA project is amazing and it really gives us in the Linux community something we haven't had before.   If I can iron out the problems above I am sure it will become a great tool for me and my client.</span><u></u><u></u></p>
</div><div><p class=""><span style="font-family:Helvetica,sans-serif"><br>Any input would be most appreciated.</span><u></u><u></u></p></div><div><p class=""><span style="font-family:Helvetica,sans-serif"> </span><u></u><u></u></p>
</div><div><p class=""><span style="font-family:Helvetica,sans-serif">Thanks</span><u></u><u></u></p></div><div><p class=""><span style="font-family:Helvetica,sans-serif"> </span><u></u><u></u></p></div><div><p class=""><span style="font-family:Helvetica,sans-serif">//James.</span><u></u><u></u></p>
</div></div><p class=""><span style="font-family:Helvetica,sans-serif"><br>_______________________________________________<br>Freeipa-users mailing list<br><a href="mailto:Freeipa-users@redhat.com" target="_blank">Freeipa-users@redhat.com</a><br>
<a href="https://www.redhat.com/mailman/listinfo/freeipa-users" target="_blank">https://www.redhat.com/mailman/listinfo/freeipa-users</a></span><u></u><u></u></p></blockquote><div><p class=""> <u></u><u></u></p></div></div>
</div></div></div></div></blockquote></div><p class=""><u></u> <u></u></p></div></div></div></div></div></div></blockquote></div><br></div></div>