<html><head><meta http-equiv="content-type" content="text/html; charset=utf-8"></head><body dir="auto"><div class="WordSection1" style="page: WordSection1;">All,<o:p></o:p><o:p style="background-color: rgba(255, 255, 255, 0);"> </o:p>This for anyone using AIX clients with freeipa. I have the client up and running just fine (No KRB5, AIX Bug); however I cannot seem to get the client to load the groups attributes properly. The users primary group shows up in the groups attribute from lsuser but not any subsequent groups the user is a member of in IPA. In the outputs below, I do a lookup for IPA user <a href="tel:0016751" x-apple-data-detectors="true" x-apple-data-detectors-type="telephone" x-apple-data-detectors-result="0">0016751</a>and I would expect the groups= attirbute to match those that are listed in the "Member of Groups" from freeipa.<o:p></o:p><o:p style="background-color: rgba(255, 255, 255, 0);"> </o:p>I experiemented with the groups attribute and mapping to the memberOf ldap attribute in the IPAuser.map file but that hasn't changed the outcome. If anyone has any pointers or advice it would ge greatly appreciated!<o:p></o:p><o:p style="background-color: rgba(255, 255, 255, 0);"> </o:p>AIX Client:<o:p></o:p><a href="tel:6100-09-04-1441" x-apple-data-detectors="true" x-apple-data-detectors-type="telephone" x-apple-data-detectors-result="1">6100-09-04-1441</a><o:p></o:p><o:p style="background-color: rgba(255, 255, 255, 0);"> </o:p>LDAP Client version:<o:p></o:p>idsldap.clt32bit61.rte 6.1.0.57 COMMITTED Directory Server - 32 bit<o:p></o:p>idsldap.clt_max_crypto32bit61.rte<o:p></o:p>idsldap.cltbase61.adt 6.1.0.57 COMMITTED Directory Server - Base Client<o:p></o:p>idsldap.cltbase61.rte 6.1.0.57 COMMITTED Directory Server - Base Client<o:p></o:p>idsldap.ent61.rte 6.1.0.26 COMMITTED Directory Server - Entitlement<o:p></o:p>idsldap.clt32bit61.rte 6.1.0.57 COMMITTED Directory Server - 32 bit<o:p></o:p>idsldap.cltbase61.rte 6.1.0.57 COMMITTED Directory Server - Base Client<o:p></o:p><o:p style="background-color: rgba(255, 255, 255, 0);"> </o:p><o:p style="background-color: rgba(255, 255, 255, 0);"> </o:p>IDM Server:<o:p></o:p>RHEL 6.6 x64<o:p></o:p>ipa-server-3.0.0-42<o:p></o:p><o:p style="background-color: rgba(255, 255, 255, 0);"> </o:p><o:p style="background-color: rgba(255, 255, 255, 0);"> </o:p><o:p style="background-color: rgba(255, 255, 255, 0);"> </o:p>AIX Client LDAP Config:<o:p></o:p>ldapservers:idm1-<a href="http://corp-p1.idm.abc.com/" x-apple-data-detectors="true" x-apple-data-detectors-type="link" x-apple-data-detectors-result="9">corp-p1.idm.abc.com</a>,<a href="http://idm2-corp-p1.idm.abc.com/" x-apple-data-detectors="true" x-apple-data-detectors-type="link" x-apple-data-detectors-result="10">idm2-corp-p1.idm.abc.com</a><o:p></o:p>binddn:uid=<a href="tel:0016751" x-apple-data-detectors="true" x-apple-data-detectors-type="telephone" x-apple-data-detectors-result="11">0016751</a>,cn=users,cn=accounts,dc=idm,dc=abc,dc=com<o:p></o:p>bindpwd:password<o:p></o:p>authtype:ldap_auth<o:p></o:p>userattrmappath:/etc/security/ldap/IPAuser.map<o:p></o:p>groupattrmappath:/etc/security/ldap/IPAgroup.map<o:p></o:p>userbasedn:cn=users,cn=accounts,dc=idm,dc=abc,dc=com<o:p></o:p>groupbasedn:cn=groups,cn=accounts,dc=idm,dc=abc,dc=com<o:p></o:p><o:p style="background-color: rgba(255, 255, 255, 0);"> </o:p><o:p style="background-color: rgba(255, 255, 255, 0);"> </o:p><o:p style="background-color: rgba(255, 255, 255, 0);"> </o:p>#IPAuser.map file<o:p></o:p>keyobjectclass SEC_CHAR posixaccount s na<o:p></o:p>username SEC_CHAR uid s na<o:p></o:p>id SEC_INT idnumber s na<o:p></o:p>pgrp SEC_CHAR gidnumber s na<o:p></o:p>#groups SEC_LIST memberOf m na<o:p></o:p>home SEC_CHAR homedirectory s na<o:p></o:p>shell SEC_CHAR loginshell s na<o:p></o:p>gecos SEC_CHAR gecos s na<o:p></o:p>spassword SEC_CHAR userpassword s na<o:p></o:p>lastupdate SEC_INT shadowlastchange s days<o:p></o:p><o:p style="background-color: rgba(255, 255, 255, 0);"> </o:p><o:p style="background-color: rgba(255, 255, 255, 0);"> </o:p><o:p style="background-color: rgba(255, 255, 255, 0);"> </o:p><o:p style="background-color: rgba(255, 255, 255, 0);"> </o:p>#IPAgroup.map file<o:p></o:p>groupname SEC_CHAR cn s na<o:p></o:p>id SEC_INT gidNumber s na<o:p></o:p>users SEC_LIST member m na<o:p></o:p><o:p style="background-color: rgba(255, 255, 255, 0);"> </o:p><o:p style="background-color: rgba(255, 255, 255, 0);"> </o:p><o:p style="background-color: rgba(255, 255, 255, 0);"> </o:p><o:p style="background-color: rgba(255, 255, 255, 0);"> </o:p>LDAP User lookup<o:p></o:p>root@aix:/home/root > lsuser -f -R LDAP <a href="tel:0016751" x-apple-data-detectors="true" x-apple-data-detectors-type="telephone" x-apple-data-detectors-result="12">0016751</a><o:p></o:p><a href="tel:0016751" x-apple-data-detectors="true" x-apple-data-detectors-type="telephone" x-apple-data-detectors-result="13">0016751</a>:<o:p></o:p> id=<a href="tel:1329001106" x-apple-data-detectors="true" x-apple-data-detectors-type="telephone" x-apple-data-detectors-result="14">1329001106</a><o:p></o:p> pgrp=<a href="tel:0016751" x-apple-data-detectors="true" x-apple-data-detectors-type="telephone" x-apple-data-detectors-result="15">0016751</a><o:p></o:p> groups=<a href="tel:0016751" x-apple-data-detectors="true" x-apple-data-detectors-type="telephone" x-apple-data-detectors-result="16">0016751</a><o:p></o:p> home=/home/0016751<o:p></o:p> shell=/bin/bash<o:p></o:p> gecos=David Beck<o:p></o:p> login=true<o:p></o:p> su=true<o:p></o:p> rlogin=true<o:p></o:p> daemon=true<o:p></o:p> admin=false<o:p></o:p> sugroups=ALL<o:p></o:p> admgroups=<o:p></o:p> tpath=nosak<o:p></o:p> ttys=ALL<o:p></o:p> expires=0<o:p></o:p> auth1=SYSTEM<o:p></o:p> auth2=NONE<o:p></o:p> umask=77<o:p></o:p> registry=LDAP<o:p></o:p> SYSTEM=compat or LDAP<o:p></o:p> logintimes=<o:p></o:p> loginretries=3<o:p></o:p> pwdwarntime=14<o:p></o:p> account_locked=false<o:p></o:p> <o:p></o:p><o:p style="background-color: rgba(255, 255, 255, 0);"> </o:p><o:p style="background-color: rgba(255, 255, 255, 0);"> </o:p><o:p style="background-color: rgba(255, 255, 255, 0);"> </o:p>LDAP Group lookup<o:p></o:p>root@aix:/home/root > lsgroup -R LDAP aix-admins<o:p></o:p>aix-admins id=<a href="tel:1329004961" x-apple-data-detectors="true" x-apple-data-detectors-type="telephone" x-apple-data-detectors-result="17">1329004961</a>users=<a href="tel:0016066,0016751,0002885,0016896,0016304,0014269,0015513,0015611,0016721" x-apple-data-detectors="true" x-apple-data-detectors-type="telephone" x-apple-data-detectors-result="18">0016066,0016751,0002885,0016896,0016304,0014269,0015513,0015611,0016721</a>registry=LDAP<o:p></o:p><o:p style="background-color: rgba(255, 255, 255, 0);"> </o:p>User Group lookup<o:p></o:p>root@aix:/home/root > groups <a href="tel:0016751" x-apple-data-detectors="true" x-apple-data-detectors-type="telephone" x-apple-data-detectors-result="19">0016751</a><o:p></o:p><a href="tel:0016751" x-apple-data-detectors="true" x-apple-data-detectors-type="telephone" x-apple-data-detectors-result="20">0016751</a> : <a href="tel:0016751" x-apple-data-detectors="true" x-apple-data-detectors-type="telephone" x-apple-data-detectors-result="21">0016751</a><o:p></o:p><o:p style="background-color: rgba(255, 255, 255, 0);"> </o:p><o:p style="background-color: rgba(255, 255, 255, 0);"> </o:p>From the IDM server:<o:p></o:p>[root@idm1-corp-p1 ~]# ipa user-show <a href="tel:0016751" x-apple-data-detectors="true" x-apple-data-detectors-type="telephone" x-apple-data-detectors-result="22">0016751</a><o:p></o:p> User login: <a href="tel:0016751" x-apple-data-detectors="true" x-apple-data-detectors-type="telephone" x-apple-data-detectors-result="23">0016751</a><o:p></o:p> First name: David<o:p></o:p> Last name: Beck<o:p></o:p> Home directory: /home/0016751<o:p></o:p> Login shell: /bin/bash<o:p></o:p> Email address: <a href="mailto:David.Beck@abc.com" x-apple-data-detectors="true" x-apple-data-detectors-type="link" x-apple-data-detectors-result="24/0">David.Beck@abc.com</a><o:p></o:p> UID: <a href="tel:1329001106" x-apple-data-detectors="true" x-apple-data-detectors-type="telephone" x-apple-data-detectors-result="24/1">1329001106</a><o:p></o:p> GID: <a href="tel:1329001106" x-apple-data-detectors="true" x-apple-data-detectors-type="telephone" x-apple-data-detectors-result="24/2">1329001106</a><o:p></o:p> Telephone Number: <a href="tel:555-555-5555" x-apple-data-detectors="true" x-apple-data-detectors-type="telephone" x-apple-data-detectors-result="25">555-555-5555</a><o:p></o:p> Job Title: <o:p></o:p> Account disabled: False<o:p></o:p> Password: True<o:p></o:p> Member of groups: unixss, linux-admins, aix-admins, smb-linfs-linadm, tam-admins<o:p></o:p> Roles: IPA Administration<o:p></o:p> Member of Sudo rule: nmap-intaudit<o:p></o:p> Member of HBAC rule: aix-sshd-test<o:p></o:p> Indirect Member of group: smb-linfs<o:p></o:p> Indirect Member of Sudo rule: serverAdmin<o:p></o:p> Indirect Member of HBAC rule: ssh_all, cvs_access<o:p></o:p> Kerberos keys available: True<o:p></o:p><o:p style="background-color: rgba(255, 255, 255, 0);"> </o:p></div></body></html>