<div dir="ltr">From the logs:<div>/var/log/dirsrv/slapd-DOMAIN-COM/errors</div><div>... a few warnings about cache size, NSACLPLugin and schema-compat-plugin<br><div><div>[04/Jan/2017:12:14:21.392642021 -0600] slapd started.  Listening on All Interfaces port 389 for LDAP requests</div></div><div><br></div><div>/var/log/dirsrv/slapd-DOMAIN-COM/access<br></div><div>... lots of entries, not sure what to look for some lines contain RESULT with err!=0</div></div><div><div>[04/Jan/2017:12:18:01.753400307 -0600] conn=5 op=243 RESULT err=32 tag=101 nentries=0 etime=0</div></div><div><div>[04/Jan/2017:12:18:01.786928085 -0600] conn=44 op=1 RESULT err=14 tag=97 nentries=0 etime=0, SASL bind in progress</div></div><div><br></div><div><div><div>/var/log/dirsrv/slapd-DOMAIN-COM/errors</div></div><div>[04/Jan/2017:12:19:25.566022098 -0600] slapd shutting down - signaling operation threads - op stack size 5 max work q size 2 max work q stack size 2</div><div>[04/Jan/2017:12:19:25.572566622 -0600] slapd shutting down - closing down internal subsystems and plugins</div></div><div><br></div></div><div class="gmail_extra"><br><div class="gmail_quote">2017-01-04 8:38 GMT-06:00 Daniel Schimpfoessl <span dir="ltr"><<a href="mailto:daniel@schimpfoessl.com" target="_blank">daniel@schimpfoessl.com</a>></span>:<br><blockquote class="gmail_quote" style="margin:0 0 0 .8ex;border-left:1px #ccc solid;padding-left:1ex"><div dir="ltr">Do you have a list of all log files involved in IPA?<div>Would be good to consolidate them into ELK for analysis.</div></div><div class="HOEnZb"><div class="h5"><div class="gmail_extra"><br><div class="gmail_quote">2017-01-04 2:48 GMT-06:00 Florence Blanc-Renaud <span dir="ltr"><<a href="mailto:flo@redhat.com" target="_blank">flo@redhat.com</a>></span>:<br><blockquote class="gmail_quote" style="margin:0 0 0 .8ex;border-left:1px #ccc solid;padding-left:1ex"><span>On 01/02/2017 07:24 PM, Daniel Schimpfoessl wrote:<br>
</span><blockquote class="gmail_quote" style="margin:0 0 0 .8ex;border-left:1px #ccc solid;padding-left:1ex"><span>
Thanks for your reply.<br>
<br>
This was the initial error I asked for help a while ago and did not get<br>
resolved. Further digging showed the recent errors.<br>
The service was running (using ipactl start --force) and only after a<br>
restart I am getting a stack trace for two primary messages:<br>
<br>
Could not connect to LDAP server host <a href="http://wwgwho01.webwim.com" rel="noreferrer" target="_blank">wwgwho01.webwim.com</a><br></span>
<<a href="http://wwgwho01.webwim.com" rel="noreferrer" target="_blank">http://wwgwho01.webwim.com</a>> port 636 Error netscape.ldap.LDAPException:<span><br>
Authentication failed (48)<br>
...<br>
<br>
Internal Database Error encountered: Could not connect to LDAP server<br></span>
host <a href="http://wwgwho01.webwim.com" rel="noreferrer" target="_blank">wwgwho01.webwim.com</a> <<a href="http://wwgwho01.webwim.com" rel="noreferrer" target="_blank">http://wwgwho01.webwim.com</a>> port 636 Error<span><br>
netscape.ldap.LDAPException: Authentication failed (48)<br>
...<br>
<br>
and finally:<br>
[02/Jan/2017:12:20:34][localho<wbr>st-startStop-1]: CMSEngine.shutdown()<br>
<br>
<br>
2017-01-02 3:45 GMT-06:00 Florence Blanc-Renaud <<a href="mailto:flo@redhat.com" target="_blank">flo@redhat.com</a><br></span>
<mailto:<a href="mailto:flo@redhat.com" target="_blank">flo@redhat.com</a>>>:<br>
<br>
    systemctl start pki-tomcatd@pki-tomcat.service<br>
<br>
<br>
<br>
</blockquote>
Hi Daniel,<br>
<br>
the next step would be to understand the root cause of this "Authentication failed (48)" error. Note the exact time of this log and look for a corresponding log in the LDAP server logs (/var/log/dirsrv/slapd-DOMAIN-<wbr>COM/access), probably a failing BIND with err=48. This may help diagnose the issue (if we can see which certificate is used for the bind or if there is a specific error message).<br>
<br>
For the record, a successful bind over SSL would produce this type of log where we can see the certificate subject and the user mapped to this certificate:<span><br>
[...] conn=47 fd=84 slot=84 SSL connection from 10.34.58.150 to 10.34.58.150<br></span>
[...] conn=47 TLS1.2 128-bit AES; client CN=CA Subsystem,O=<a href="http://DOMAIN.COM" rel="noreferrer" target="_blank">DOMAIN.COM</a>; issuer CN=Certificate Authority,O=<a href="http://DOMAIN.COM" rel="noreferrer" target="_blank">DOMAIN.COM</a><span><br>
[...] conn=47 TLS1.2 client bound as uid=pkidbuser,ou=people,o=ipac<wbr>a<br>
[...] conn=47 op=0 BIND dn="" method=sasl version=3 mech=EXTERNAL<br>
[...] conn=47 op=0 RESULT err=0 tag=97 nentries=0 etime=0 dn="uid=pkidbuser,ou=people,o=<wbr>ipaca"<br>
<br></span>
Flo<br>
</blockquote></div><br></div>
</div></div></blockquote></div><br></div>