<html xmlns:v="urn:schemas-microsoft-com:vml" xmlns:o="urn:schemas-microsoft-com:office:office" xmlns:w="urn:schemas-microsoft-com:office:word" xmlns:m="http://schemas.microsoft.com/office/2004/12/omml" xmlns="http://www.w3.org/TR/REC-html40"> <head> <meta http-equiv="Content-Type" content="text/html; charset=us-ascii"> <meta name="Generator" content="Microsoft Word 14 (filtered medium)"> <style></style> </head> <body lang="EN-US" link="blue" vlink="purple"> <div class="WordSection1"> <o:p> </o:p> <o:p> </o:p> Did anyone find a solution for this? I am having the same experience.<o:p></o:p> <o:p> </o:p> ipa sudorule-show my_sudo_rule<o:p></o:p> Rule name: my_sudo_rule<o:p></o:p> Enabled: TRUE<o:p></o:p> Command category: all<o:p></o:p> User Groups: ugroup1, ugroup2, ugroup3<o:p></o:p> Host Groups: hgroup1<o:p></o:p> <o:p> </o:p> ipa hostgroup-show hgroup1<o:p></o:p> Host-group: hgroup1<o:p></o:p> Description: Test host group<o:p></o:p> Member hosts: server1.my_domain.com, server2.my_domain.com,<o:p></o:p> server3.my_domain.com, server4.my_domain.com<o:p></o:p> Member of HBAC rule: hbac_rule1<o:p></o:p> Member of Sudo rule: my_sudo_rule<o:p></o:p> <o:p> </o:p> Only when I add the hosts directly into the sudo rule instead of indirectly through a host group does the sudo rule work.<o:p></o:p> <o:p> </o:p> Thanks,<o:p></o:p> -Mark<o:p></o:p> <o:p> </o:p> <o:p> </o:p> <o:p> </o:p> On Jun 5, 2013, at 1:47 PM, KodaK wrote:<o:p></o:p> <o:p> </o:p> Sorry, for some reason gmail makes me forget about "reply all."<o:p></o:p> <o:p> </o:p> On Wed, Jun 5, 2013 at 2:45 PM, Dmitri Pal <dpal redhat com<mailto:dpal redhat com>> wrote:<o:p></o:p> On 06/05/2013 11:20 AM, KodaK wrote:<o:p></o:p> I know this has been discussed before, but I didn't see anything with a cursory search.<o:p></o:p> <o:p> </o:p> There are bugs when using user and host groups with sudo rules. I have to split out my users and hosts into individual entries. I'm running ipa 3.0.0-26 on RHEL.<o:p></o:p> <o:p> </o:p> All I really want to know is if this is fixed upstream.<o:p></o:p> <o:p> </o:p> <o:p> </o:p> I am not sure I recall a bug you are referring to. A quick scan against the open tickets does not reveal anything like what you describe.<o:p></o:p> Can you provide the description of the issue or point to the earlier thread on the matter?<o:p></o:p> <o:p> </o:p> <o:p> </o:p> I'm going off of memory on seeing the previous bug. It very well could be a false memory.<o:p></o:p> <o:p> </o:p> I have a rule like this:<o:p></o:p> <o:p> </o:p> [jebalicki mo0033802 ~]$ ipa sudorule-show esolutions-sandbox-root-access<o:p></o:p> Rule name: esolutions-sandbox-root-access<o:p></o:p> Enabled: TRUE<o:p></o:p> Users: slfries, awellard<o:p></o:p> Hosts: slnessbxl01.unix.magellanhealth.com<o:p></o:p> Sudo Allow Commands: /bin/su -<o:p></o:p> <o:p> </o:p> This works. However, if I change the rule to use hostgroups instead of listing the hosts individually the rule will not work.<o:p></o:p> <o:p> </o:p> The groups still exist and look like this:<o:p></o:p> <o:p> </o:p> [jebalicki mo0033802 ~]$ ipa hostgroup-show esolutions-sandbox-hosts<o:p></o:p> Host-group: esolutions-sandbox-hosts<o:p></o:p> Description: esolutions sandbox hosts<o:p></o:p> Member hosts: slnessbxl01.unix.magellanhealth.com<o:p></o:p> Member of HBAC rule: esolutions-sandbox-access<o:p></o:p> <o:p> </o:p> [jebalicki mo0033802 ~]$ ipa group-show esolutions<o:p></o:p> Group name: esolutions<o:p></o:p> Description: esolutions group<o:p></o:p> GID: 1115600250<o:p></o:p> Member users: awellard, slfries<o:p></o:p> Member of HBAC rule: esolutions-sandbox-access<o:p></o:p> <o:p> </o:p> Client machine is pretty much default-out-of-the-box IRT IPA configuration, here's the installer output (installs during kickstart):<o:p></o:p> <o:p> </o:p> [root slnessbxl01 ~]# cat ks-post.log<o:p></o:p> Discovery was successful!<o:p></o:p> Hostname: slnessbxl01.unix.magellanhealth.com<o:p></o:p> Realm: UNIX.MAGELLANHEALTH.COM<o:p></o:p> DNS Domain: UNIX.MAGELLANHEALTH.COM<o:p></o:p> IPA Server: slpidml01.unix.magellanhealth.com<o:p></o:p> BaseDN: dc=unix,dc=magellanhealth,dc=com<o:p></o:p> <o:p> </o:p> <o:p> </o:p> Synchronizing time with KDC...<o:p></o:p> <o:p> </o:p> Enrolled in IPA realm UNIX.MAGELLANHEALTH.COM<o:p></o:p> Created /etc/ipa/default.conf<o:p></o:p> New SSSD config will be created.<o:p></o:p> Configured /etc/sssd/sssd.conf<o:p></o:p> Configured /etc/krb5.conf for IPA realm UNIX.MAGELLANHEALTH.COM<o:p></o:p> Warning: Hostname (slnessbxl01.unix.magellanhealth.com) not found in DNS<o:p></o:p> DNS server record set to: slnessbxl01.unix.magellanhealth.com -> 10.200.12.104<o:p></o:p> SSSD enabled<o:p></o:p> NTP enabled<o:p></o:p> Client configuration complete.<o:p></o:p> <o:p> </o:p> [root slnessbxl01 ~]# rpm -qa | grep ipa<o:p></o:p> python-iniparse-0.3.1-2.1.el6.noarch<o:p></o:p> libipa_hbac-python-1.8.0-32.el6.x86_64<o:p></o:p> libipa_hbac-1.8.0-32.el6.x86_64<o:p></o:p> ipa-client-2.2.0-16.el6.x86_64<o:p></o:p> ipa-python-2.2.0-16.el6.x86_64<o:p></o:p> [root slnessbxl01 ~]# cat /etc/redhat-release<o:p></o:p> Red Hat Enterprise Linux Server release 6.3 (Santiago)<o:p></o:p> [root slnessbxl01 ~]#<o:p></o:p> <o:p> </o:p> Troubleshooting:<o:p></o:p> <o:p> </o:p> Can you confirm that the output of the following commands:<o:p></o:p> 1. $ domainname<o:p></o:p> * does it match your domain?<o:p></o:p> 2. $ hostname<o:p></o:p> * does match match your fqdn?<o:p></o:p> 3. $ getent netgroup esolutions-sandbox-hosts<o:p></o:p> * does this list your host?<o:p></o:p> 4. Does /etc/nsswitch.conf contain the line: "netgroup: files sss"?<o:p></o:p> <o:p> </o:p> <o:p> </o:p> Another important Sudo Troubleshooting step is to edit: /etc/sudo-ldap.conf (or /etc/ldap.conf, depending on what version of RHEL/Sudo you're running):<o:p></o:p> <o:p> </o:p> At the top, add the line: sudoers_debug 2<o:p></o:p> <o:p> </o:p> Then try another sudo command. sudo -l for example.<o:p></o:p> <o:p> </o:p> This should result in a long list of search criteria and status. The last few lines should indicate where any matches occurred.<o:p></o:p> <o:p> </o:p> "Keeping your head in the cloud"<o:p></o:p> ~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~<o:p></o:p> JR Aquino<o:p></o:p> <o:p> </o:p> Senior Information Security Specialist, Technical Operations<o:p></o:p> T: +1 805 690 3478 | F: +1 805 879 3730 | M: +1 805 717 0365<o:p></o:p> GIAC Certified Exploit Researcher and Advanced Penetration Tester |<o:p></o:p> GIAC WebApplication Penetration Tester | GIAC Certified Incident Handler<o:p></o:p> JR Aquino citrix com<mailto:JR Aquino citrix com><o:p></o:p> <o:p> </o:p> [cid:image002.jpg@01CD4A37.5451DC00]<o:p></o:p> <o:p> </o:p> <o:p> </o:p> <o:p> </o:p> Powering mobile workstyles and cloud services<o:p></o:p> <o:p> </o:p> <o:p> </o:p> ________________________________________________________________<o:p></o:p> Mark Tovey - UNIX Engineer | Service Strategy & Design<o:p></o:p> <a href="http://www.go2uti.com/">UTi</a> | 400 SW Sixth Ave, Suite 1100 | Portland | Oregon | 97204 | USA<o:p></o:p> <a href="mailto:MTovey@go2uti.com">MTovey@go2uti.com</a> | O / C +1 503 953-1389 | Skype: mark.tovey2<o:p></o:p> <o:p> </o:p> </div> </body> </html>