<div class="gmail_quote">I had enabled debugging of sudo but am not clear on where that debugging is going. It's not stdout, and I'm not seeing anything in /var/log/messages.<div><br></div><div>I'll try switching to SSS and see what that gets me.<div>
<div class="h5"><br>
<br><div class="gmail_quote">On Wed, Oct 31, 2012 at 1:33 PM, Stephen Gallagher <span dir="ltr"><<a href="mailto:sgallagh@redhat.com" target="_blank">sgallagh@redhat.com</a>></span> wrote:<br><blockquote class="gmail_quote" style="margin:0 0 0 .8ex;border-left:1px #ccc solid;padding-left:1ex">

<div>On Wed 31 Oct 2012 11:53:15 AM EDT, Bret Wortman wrote:<br>
</div><blockquote class="gmail_quote" style="margin:0 0 0 .8ex;border-left:1px #ccc solid;padding-left:1ex"><div>
I'm pretty certain there's a painfully simple solution to this that<br>
I'm not seeing, but my current configuration isn't picking up the<br>
freeipa sudoer rule that I've set.<br>
<br>
/etc/nsswitch.conf specifies:<br>
 sudoers:    files ldap<br>
<br>
/etc/nslcd.conf contains:<br>
<br>
binddn uid=sudo,cn=sysaccounts,cn=<u></u>etc,dc=wedgeofli,dc=me<br>
bindpw password<br>
<br>
ssl start_tls<br>
tls_cacertfile /etc/ipa/ca.crt<br>
tls_checkpeer yes<br>
<br>
bind_timelimit 5<br>
timelimit 15<br>
<br></div>
uri ldap://<a href="http://fs1.wedgeofli.me" target="_blank">fs1.wedgeofli.me</a> <<a href="http://fs1.wedgeofli.me" target="_blank">http://fs1.wedgeofli.me</a>><div><br>
sudoers_base ou=SUDOers,dc=wedgeofli,dc=me<br>
<br>
<br>
The sssd_DOMAIN.log file contains this when I try to sudo:<br>
<br>
</div></blockquote>
<br>
<snip><br>
<br>
The SSSD logs aren't showing anything wrong because they have nothing to do with the execution of the SUDO rules in this situation. All the SSSD is doing is verifying the authentication (when sudo prompts you for your password).<br>


<br>
The problem with the rule is most likely happening inside SUDO itself. When you specify 'sudoers: files, ldap' in nsswitch.conf, it's telling SUDO to use its own internal LDAP driver to look up the rules. So you need to check sudo logs to see what's happening (probably you will need to enable debug logging in /etc/sudo.conf).<br>


<br>
Recent versions of SUDO (1.8.6 and later) have support for setting 'sudoers: files, sss' in nsswitch.conf which DOES use SSSD (1.9.0 and later) for lookups (and caching) of sudo rules.<br>
</blockquote></div><br><br clear="all"><div><br></div></div></div><div class="im">-- <br><div>Bret Wortman</div><div>The Damascus Group</div><div>Fairfax, VA</div><div><a href="http://bretwortman.com/" target="_blank">http://bretwortman.com/</a></div>

<div><a href="http://twitter.com/BretWortman" target="_blank">http://twitter.com/BretWortman</a></div><br>
</div></div>
</div><br><br clear="all"><div><br></div>-- <br><div>Bret Wortman</div><div>The Damascus Group</div><div>Fairfax, VA</div><div><a href="http://bretwortman.com/" target="_blank">http://bretwortman.com/</a></div><div><a href="http://twitter.com/BretWortman" target="_blank">http://twitter.com/BretWortman</a></div>
<br>