<div dir="ltr"><div><div><div><div><div>I'm experiencing issues with HBAC and I think it's a bug in sssd. Not sure if better to report to here or sssd mailing list. Also sssd in pagure is bare and I didn't want to sully the blank slate.  ( <a href="https://pagure.io/sssd/issues">https://pagure.io/sssd/issues</a> )<br><br></div>The details:<br><br></div>env: CentOS 7.3, FreeIPA 4.4, sssd 1.15.1 from COPR<br><br></div>On the IPA server:<br><br>- "ipa hbactest ..." returns TRUE, so everything seems set up correctly.<br><br><br></div><div>When I try to login to the test client, I get denied.<br></div><div><br></div>On the test client:<br><br> - hbac_eval_user_element is returning a wrong value. This is seen in sssd_domain.log, it's returning 25. My test user is in 37 groups. This is seen on the IPA server via id username. On the test client id username returns 36 groups, the one missing is an IPA (not AD) group that was made for HBAC rules. I have sanitized logs available.<br></div><br> -  taking ldbsearch -H /var/lib/sss/db/cache_domain.com.ldb '(objectclass=user)' and finding the record in question shows the same 36 groups available. The missing group shouldn't affect ability to login via HBAC<br><div><div><div><div><div><br></div><div> - getent group (groupname) works as expected. Also worth noting that the group missing from id username shows that user in getent.<br></div><div><br></div><div>For reference, on the client the sssd service was stopped, the cache deleted, and the service started again the night before after which the server wasn't accessed by anyone. I find that this is necessary for the cache to populate.<br><br></div><div>Should I put in a bug report against SSSD or FreeIPA?<br><br></div><div>While HBAC is in FreeIPA, I think that this is an issue in SSSD (specifically ?<br><br></div><div></div><div><br></div><div>cheers<br></div><div>L.<br></div><div><br><br><br><br clear="all"><div><div><div><div><div class="gmail_signature"><div dir="ltr"><div>------<br>The most dangerous phrase in the language is, "We've always done it this way."<br><br>- Grace Hopper<br></div></div></div></div>
</div></div></div></div></div></div></div></div></div>