<div dir="ltr"><div>Package: sssd</div><div>Version: 1.11.7-3</div><div>Severity: important</div><div><br></div><div>Hi,</div><div><br></div><div>I have SSSD configured to use the simple access provider and have restricted which Active Directory groups can login:</div><div><br></div><div>$ tail /etc/sssd/sssd.conf</div><div><br></div><div>access_provider = simple</div><div>simple_allow_groups = linux_domain_users</div><div><br></div><div>When I try to login using SSH with a user who is a member of that group, the connection closes on the server side and this error appears in sssd's log file:</div><div><br></div><div>[simple_check_process_group] (0x0020): There is no domain information for SID S-1-5-21-3129309019-3453757689-3676435247-1105</div><div><br></div><div>However, getent seems to work fine:</div><div><br></div><div>$ getent passwd bob</div><div><br></div><div>bob:*:1311401108:1311400513:Bob:/home/testing.home/bob:/bin/bash</div><div><br></div><div>$ getent group linux_domain_users</div><div><br></div><div>linux_domain_users:*:1311401105:bob </div><div><br></div><div>I am also able to su into the account as the root user.</div><div><br></div><div>SSSD logs from /var/log/sssd/sssd_testing.home.log:</div><div><br></div><div>(Sun Sep 25 17:59:46 2016) [sssd[be[testing.home]]] [be_get_account_info] (0x0100): Got request for [4097][1][name=bob]</div><div>(Sun Sep 25 17:59:46 2016) [sssd[be[testing.home]]] [sysdb_idmap_store_mapping] (0x0100): Adding new ID mapping [S-1-5-21-3129309019-3453757689-3676435247][S-1-5-21-3129309019-3453757689-3676435247][6556]</div><div>(Sun Sep 25 17:59:46 2016) [sssd[be[testing.home]]] [acctinfo_callback] (0x0100): Request processed. Returned 0,0,Success</div><div>(Sun Sep 25 17:59:49 2016) [sssd[be[testing.home]]] [be_get_account_info] (0x0100): Got request for [3][1][name=bob]</div><div>(Sun Sep 25 17:59:49 2016) [sssd[be[testing.home]]] [sysdb_store_group] (0x0080): A group with the same GID [1311400513] was removed from the cache</div><div>(Sun Sep 25 17:59:49 2016) [sssd[be[testing.home]]] [acctinfo_callback] (0x0100): Request processed. Returned 0,0,Success</div><div>(Sun Sep 25 17:59:49 2016) [sssd[be[testing.home]]] [be_pam_handler] (0x0100): Got request with the following data</div><div>(Sun Sep 25 17:59:49 2016) [sssd[be[testing.home]]] [pam_print_data] (0x0100): command: PAM_AUTHENTICATE</div><div>(Sun Sep 25 17:59:49 2016) [sssd[be[testing.home]]] [pam_print_data] (0x0100): domain: testing.home</div><div>(Sun Sep 25 17:59:49 2016) [sssd[be[testing.home]]] [pam_print_data] (0x0100): user: bob</div><div>(Sun Sep 25 17:59:49 2016) [sssd[be[testing.home]]] [pam_print_data] (0x0100): service: sshd</div><div>(Sun Sep 25 17:59:49 2016) [sssd[be[testing.home]]] [pam_print_data] (0x0100): tty: ssh</div><div>(Sun Sep 25 17:59:49 2016) [sssd[be[testing.home]]] [pam_print_data] (0x0100): ruser: </div><div>(Sun Sep 25 17:59:49 2016) [sssd[be[testing.home]]] [pam_print_data] (0x0100): rhost: ::1</div><div>(Sun Sep 25 17:59:49 2016) [sssd[be[testing.home]]] [pam_print_data] (0x0100): authtok type: 1</div><div>(Sun Sep 25 17:59:49 2016) [sssd[be[testing.home]]] [pam_print_data] (0x0100): newauthtok type: 0</div><div>(Sun Sep 25 17:59:49 2016) [sssd[be[testing.home]]] [pam_print_data] (0x0100): priv: 1</div><div>(Sun Sep 25 17:59:49 2016) [sssd[be[testing.home]]] [pam_print_data] (0x0100): cli_pid: 5198</div><div>(Sun Sep 25 17:59:49 2016) [sssd[be[testing.home]]] [fo_resolve_service_send] (0x0100): Trying to resolve service 'LDAP'</div><div>(Sun Sep 25 17:59:49 2016) [sssd[be[testing.home]]] [be_resolve_server_process] (0x0200): Found address for server addc.testing.home: [10.200.1.10] TTL 3600</div><div>(Sun Sep 25 17:59:49 2016) [sssd[be[testing.home]]] [fo_set_port_status] (0x0100): Marking port 636 of server 'addc.testing.home' as 'working'</div><div>(Sun Sep 25 17:59:49 2016) [sssd[be[testing.home]]] [set_server_common_status] (0x0100): Marking server 'addc.testing.home' as 'working'</div><div>(Sun Sep 25 17:59:49 2016) [sssd[be[testing.home]]] [simple_bind_send] (0x0100): Executing simple bind as: CN=Bob,CN=Users,DC=testing,DC=home</div><div>(Sun Sep 25 17:59:49 2016) [sssd[be[testing.home]]] [sdap_pam_auth_done] (0x0100): Password successfully cached for bob</div><div>(Sun Sep 25 17:59:49 2016) [sssd[be[testing.home]]] [be_pam_handler_callback] (0x0100): Backend returned: (0, 0, <NULL>) [Success]</div><div>(Sun Sep 25 17:59:49 2016) [sssd[be[testing.home]]] [be_pam_handler_callback] (0x0100): Sending result [0][testing.home]</div><div>(Sun Sep 25 17:59:49 2016) [sssd[be[testing.home]]] [be_pam_handler_callback] (0x0100): Sent result [0][testing.home]</div><div>(Sun Sep 25 17:59:49 2016) [sssd[be[testing.home]]] [be_pam_handler] (0x0100): Got request with the following data</div><div>(Sun Sep 25 17:59:49 2016) [sssd[be[testing.home]]] [pam_print_data] (0x0100): command: PAM_ACCT_MGMT</div><div>(Sun Sep 25 17:59:49 2016) [sssd[be[testing.home]]] [pam_print_data] (0x0100): domain: testing.home</div><div>(Sun Sep 25 17:59:49 2016) [sssd[be[testing.home]]] [pam_print_data] (0x0100): user: bob</div><div>(Sun Sep 25 17:59:49 2016) [sssd[be[testing.home]]] [pam_print_data] (0x0100): service: sshd</div><div>(Sun Sep 25 17:59:49 2016) [sssd[be[testing.home]]] [pam_print_data] (0x0100): tty: ssh</div><div>(Sun Sep 25 17:59:49 2016) [sssd[be[testing.home]]] [pam_print_data] (0x0100): ruser: </div><div>(Sun Sep 25 17:59:49 2016) [sssd[be[testing.home]]] [pam_print_data] (0x0100): rhost: ::1</div><div>(Sun Sep 25 17:59:49 2016) [sssd[be[testing.home]]] [pam_print_data] (0x0100): authtok type: 0</div><div>(Sun Sep 25 17:59:49 2016) [sssd[be[testing.home]]] [pam_print_data] (0x0100): newauthtok type: 0</div><div>(Sun Sep 25 17:59:49 2016) [sssd[be[testing.home]]] [pam_print_data] (0x0100): priv: 1</div><div>(Sun Sep 25 17:59:49 2016) [sssd[be[testing.home]]] [pam_print_data] (0x0100): cli_pid: 5198</div><div>(Sun Sep 25 17:59:49 2016) [sssd[be[testing.home]]] [simple_access_obtain_filter_lists] (0x0200): Allow users list is empty.</div><div>(Sun Sep 25 17:59:49 2016) [sssd[be[testing.home]]] [simple_access_obtain_filter_lists] (0x0200): Deny users list is empty.</div><div>(Sun Sep 25 17:59:49 2016) [sssd[be[testing.home]]] [simple_access_obtain_filter_lists] (0x0200): Deny groups list is empty.</div><div>(Sun Sep 25 17:59:49 2016) [sssd[be[testing.home]]] [simple_access_check_send] (0x0200): Simple access check for bob</div><div>(Sun Sep 25 17:59:49 2016) [sssd[be[testing.home]]] [simple_check_process_group] (0x0020): There is no domain information for SID S-1-5-21-3129309019-3453757689-3676435247-1105</div><div>(Sun Sep 25 17:59:49 2016) [sssd[be[testing.home]]] [be_pam_handler_callback] (0x0100): Backend returned: (0, 6, <NULL>) [Success]</div><div>(Sun Sep 25 17:59:49 2016) [sssd[be[testing.home]]] [be_pam_handler_callback] (0x0100): Sending result [6][testing.home]</div><div>(Sun Sep 25 17:59:49 2016) [sssd[be[testing.home]]] [be_pam_handler_callback] (0x0100): Sent result [6][testing.home]</div><div><br></div><div><br></div><div>SSHD logs from /var/log/auth.log:</div><div><br></div><div>Sep 25 17:59:49 debian-8 sshd[15919]: pam_unix(sshd:auth): authentication failure; logname= uid=0 euid=0 tty=ssh ruser= rhost=127.0.0.1  user=bob</div><div>Sep 25 17:59:49 debian-8 sshd[15919]: pam_sss(sshd:auth): authentication success; logname= uid=0 euid=0 tty=ssh ruser= rhost=127.0.0.1 user=bob</div><div>Sep 25 17:59:49 debian-8 sshd[15919]: pam_sss(sshd:account): Access denied for user bob: 6 (Permission denied)</div><div>Sep 25 17:59:49 debian-8 sshd[15919]: Failed password for bob from 127.0.0.1 port 36081 ssh2</div><div>Sep 25 17:59:49 debian-8 sshd[15919]: fatal: Access denied for user bob by PAM account configuration [preauth]</div><div><br></div><div><br></div><div>I am using Debian GNU/Linux 8 (jessie) and kernel 3.16.7-ckt20-1+deb8u4.</div><div><br></div><div>I have the exact same configuration set on CentOS 6 and 7, Ubuntu 14.04 and 16.04, and Fedora 24. Only observed this issue on Debian 8.3.</div></div>