La principale différence entre ces types de schéma est la façon dont les appartenances aux groupes sont enregistrés dans le serveur. Avec rfc2307, les membres du groupe sont répertoriées par nom dans l´attribut memberUid. Avec rfc2307bis et IPA, les membres du groupe sont répertoriés par DN et stockées dans l´attribut de member. Le type de schéma AD définit les attributs correspondant aux valeurs d´Active Directory 2008r2.

Par défaut : rfc2307

Les deux mécanismes actuellement pris en charge sont :

password

obfuscated_password

Par défaut : password

Par défaut : posixAccount

Par défaut : uid

par défaut : uidNumber

Par défaut : gidNumber

Par défaut : gecos

Par défaut : homeDirectory

Par défaut : loginShell

Par défaut : non défini dans le cas général, objectGUID pour AD et ipaUniqueID pour IPA

Default: objectSid for ActiveDirectory, not set for other servers.

Par défaut : modifyTimestamp

Par défaut : shadowLastChange

Par défaut : shadowMin

Par défaut : shadowMax

Par défaut : shadowWarning

Par défaut : shadowInactive

Par défaut : shadowExpire

Par défaut : krbLastPwdChange

Par défaut : krbPasswordExpiration

Par défaut : accountExpires

Par défaut : userAccountControl

Par défaut : nsAccountLock

Par défaut : loginDisabled

Par défaut : loginDisabled

Par défaut : loginAllowedTimeMap

Par défaut : krbPrincipalName

La liste ne peut contenir que des noms d´attributs LDAP, ou des tuples séparés par des virgules de nom d´attribut de cache et nom d´attribut LDAP. Dans le cas où seul le nom d´un attribut LDAP est indiqué, l´attribut est enregistré tel quel dans le cache. L´utilisation d´un nom d´attribut SSSD peut être nécessaire pour les environnements configurant plusieurs domaines SSSD utilisant des schémas LDAP différents.

Veuillez noter que plusieurs noms d´attributs sont réservés par SSSD, dont l´attribut “name”. SSSD émettrait une erreur si l´un des noms d´attributs réservés est utilisé par un nom d´attribut supplémentaire.

Exemples :

ldap_user_extra_attrs = telephoneNumber

Enregistrer l´attribut LDAP “telephoneNumber” en tant que “telephoneNumber” dans le cache.

ldap_user_extra_attrs = phone:telephoneNumber

Enregistrer l´attribut LDAP “telephoneNumber” en tant que “phone” dans le cache.

Par défaut : non défini

Par défaut : sshPublicKey

Par défaut : false

Par défaut : 300

Setting this option to zero will disable the cache cleanup operation. Please note that if enumeration is enabled, the cleanup task is required in order to detect entries removed from the server and can´t be disabled. By default, the cleanup task will run every 3 hours with enumeration enabled.

Par défaut : 0 (désactivé)

Par défaut : cn

Par défaut : memberOf

Le refus explicite (!svc) est résolu en premier. Ensuite, SSSD cherche une autorisation explicite (svc) et enfin allow_all (*).

Noter que l´option de configuration ldap_access_order doit inclure “authorized_service” de façon à permettre à l´option ldap_user_authorized_service de fonctionner.

Par défaut : authorizedService

Le refus explicite (!host) est résolu en premier. SSSD recherche ensuite les autorisations explicites (host) et enfin toutes les autorisations (*).

Noter que l´option de configuration ldap_access_order doit inclure “host” de façon à permettre à l´option ldap_user_authorized_host de fonctionner.

Par défaut : host

Default: no set in the general case, userCertificate;binary for IPA

Par défaut : posixGroup

Par défaut : cn

Par défaut : gidNumber

Par défaut : memberuid (rfc2307) / member (rfc2307bis)

Par défaut : non défini dans le cas général, objectGUID pour AD et ipaUniqueID pour IPA

Default: objectSid for ActiveDirectory, not set for other servers.

Par défaut : modifyTimestamp

Cet attribut est actuellement utilisé uniquement par le fournisseur AD pour déterminer si un groupe est un groupe de domaine local et doit être filtré hors des domaines approuvés.

Par défaut : groupType dans le fournisseur AD, non configuré pour les autres

Note: This option specifies the guaranteed level of nested groups to be processed for any lookup. However, nested groups beyond this limit may be returned if previous lookups already resolved the deeper nesting levels. Also, subsequent lookups for other groups may enlarge the result set for original lookup if re-queried.

If ldap_group_nesting_level is set to 0 then no nested groups are processed at all. However, when connected to Active-Directory Server 2008 and later using “id_provider=ad” it is furthermore required to disable usage of Token-Groups by setting ldap_use_tokengroups to false in order to restrict group nesting.

Par défaut : 2

Dans la plupart des cas, il est préférable de laisser cette option désactivée. Elle ne fournit une augmentation des performances que sur les imbrications très complexes.

Si cette option est activée, SSSD l´utilisera s´il détecte que le serveur la prend en charge au cours de la connexion initiale. Ainsi, « true » signifie essentiellement « auto-detect ».

Remarque : Cette fonctionnalité fonctionne uniquement avec Active Directory 2008 R1 et versions suivantes. Consulter la documentation de MSDN(TM)[1] pour plus de détails.

Par défaut : False

Si cette option est activée, SSSD l´utilisera s´il détecte que le serveur la prend en charge au cours de la connexion initiale. Ainsi, « true » signifie essentiellement « auto-detect ».

Remarque : Cette fonctionnalité fonctionne uniquement avec Active Directory 2008 R1 et versions suivantes. Consulter la documentation de MSDN(TM)[1] pour plus de détails.

Par défaut : False

Default: True for AD and IPA otherwise False.

Pour un fournisseur IPA, ipa_netgroup_object_class doit être utilisé à la place.

Par défaut : nisNetgroup

Dans le fournisseur IPA, ipa_netgroup_name doit être utilisé à la place.

Par défaut : cn

Dans le fournisseur IPA, ipa_netgroup_member doit être utilisé à la place.

Par défaut : memberNisNetgroup

Cette option n´est pas disponible dans le fournisseur IPA.

Par défaut : nisNetgroupTriple

Cette option n´est pas disponible dans le fournisseur IPA.

Par défaut : modifyTimestamp

Par défaut : ipService

Par défaut : cn

Par défaut : ipServicePort

Par défaut : ipServiceProtocol

syntaxe :

search_base[?scope?[filter][?search_base?scope?[filter]]*]

La portée peut être l´une des « base », « onelevel » ou « subtree ». Les fonctions de portée sont spécifiées dans la section 4.5.1.2 de http://tools.ietf.org/html/rfc4511

Le filtre doit être un filtre de recherche LDAP valide tel que spécifié par http://www.ietf.org/rfc/rfc2254.txt

Pour obtenir des exemples de cette syntaxe, reportez-vous à la section d´exemples “ldap_search_base”.

Par défaut : la valeur de ldap_search_base

Noter que la spécification de portée ou de filtre n´est pas prise en charge pour les recherches sur un serveur Active Directory qui serait susceptible de produire un grand nombre de résultats et de déclencher l´extension Range Retrieval dans sa réponse.

Note : cette option est susceptible de changer dans les prochaines version de SSSD. Elle sera sûrement remplacée par une série de délais d´attente pour différents types de recherches.

Par défaut : 6

Par défaut : 60

Par défaut : 6

Par défaut : 6

Par défaut : 900 (15 minutes)

Par défaut : 1000

Exemple : le serveurs OpenLDAP avec le module de contrôle de pagination installé sur le serveur mais non activé le signaleront dans RootDSE mais il sera impossible de l´utiliser.

Exemple : 389 DS a un bogue où il ne peut que soutenir qu´un seul contrôle de pagination à la fois sur une connexion donnée. Sur les clients chargés, cela peut entraîner l´échec de certaines demandes.

Par défaut : False

Active Directory limite le nombre de membres à récupérer par recherche à l´aide de la stratégie MaxValRange (qui prend la valeur par défaut de 1500 membres). Si un groupe contient plus de membres, la réponse inclura une extension de plage spécifique à Active Directory. Cette option désactive l´analyse de cette extension de plage, les groupes de grande taille apparaissant ainsi sans aucun membre.

Par défaut : False

Par défaut : Utiliser la valeur par défaut du système (généralement spécifié par ldap.conf)

Vous pouvez désactiver complètement les recherches de déréférencement en affectant la valeur 0.

Une recherche de déréférencement est un moyen pour récupérer tous les membres d´un groupe avec un seul appel LDAP. Plusieurs serveurs LDAP peuvent avoir différentes méthodes de déréférencement. Les serveurs actuellement acceptés sont 389/RHDS, OpenLDAP et Active Directory.

Remarque : Si l´une des bases de recherche spécifie un filtre de recherche, alors l´amélioration de la performance de recherche de déréférencement est désactivée indépendamment de ce paramètre.

Par défaut : 10

never : le client ne demandera ni ne vérifiera un quelconque certificat du serveur.

allow : le certificat serveur est demandé. Si aucun certificat n´est fournit, la session continue normalement. Si un mauvais certificat est fourni, il est ignoré et la session continue normalement.

try : le certificat serveur est demandé. Si aucun certificat n´est fourni, la session continue normalement. Si un mauvais certificat est fourni, la session se termine immédiatement.

demand : le certificat serveur est demandé. Si aucun certificat ou un mauvais certificat est fourni, la session se termine immédiatement.

hard : identique à “demand”

Par défaut : hard

Par défaut : utilise les paramètres par défaut de OpenLDAP, en général dans /etc/openldap/ldap.conf

Par défaut : utilise les paramètres par défaut de OpenLDAP, en général dans /etc/openldap/ldap.conf

Par défaut : non défini

Par défaut : non défini

Par défaut : utilise les paramètres par défaut de OpenLDAP, en général dans /etc/openldap/ldap.conf

Par défaut : false

Cette fonctionnalité ne prend actuellement en charge que la correspondance par objectSID avec Active Directory.

Par défaut : false

Par défaut : non indiqué (les deux options sont à 0)

Par défaut : non défini

Par défaut : host/hostname@REALM

Par défaut : la valeur de krb5_realm.

Défaut : false;

Par défaut : le fichier keytab du système, normalement /etc/krb5.keytab

Par défaut : true

Par défaut : 86400 (24 heures)

Lors de l´utilisation de découverte de services pour le KDC ou les serveurs kpasswd, SSSD recherche en premier les entrées DNS qui définissent _udp comme protocole, et passe sur _tcp si aucune entrée n´est trouvée.

Cette option s´appelait “krb5_kdcip” dans les versions précédentes de SSSD. Bien que ce nom soit toujours reconnu à l´heure actuelle, il est conseillé de migrer les fichiers de configuration vers l´utilisation de “krb5_server”.

Par défaut : valeur par défaut du système, voir /etc/krb5.conf

Par défaut : false

Consulter la page de manuel de sssd_krb5_locator_plugin(8) pour plus d´informations sur le greffon de localisation.

Par défaut : true

none : aucun évaluation du côté client. Cette option ne peut pas désactiver la politique sur les mots de passe du côté serveur.

shadow - Utiliser les attributs de style shadow(5) pour évaluer si le mot de passe a expiré.

mit_kerberos : utilise les attributs utilisés par MIT Kerberos pour déterminer si le mot de passe a expiré. Utiliser chpass_provider=krb5 afin de modifier ces attributs lorsque le mot de passe est changé.

Par défaut : aucun

Note : si une politique de mots de passe est configurée côté serveur, elle prend le pas sur la politique indiquée avec cette option.

Veuillez noter que sssd ne supporte que le déréférencement que lorsqu´il est compilé avec OpenLDAP version 2.4.13 ou supérieur.

La déréférenciation de références peut subir une altération notable des performances dans les environnements qui les utilisent fortement, un exemple notable étant Microsoft Active Directory. Si votre installation ne nécessite pas l´utilisation des références, affecter false à cette option devrait permettre d´améliorer de façon notable les performances.

Par défaut : true

Par défaut : ldap

Par défaut : non défini, c´est-à-dire que le service de découverte est désactivé.

Par défaut : False

Exemple:

access_provider = ldap
ldap_access_filter = (employeeType=admin)


                        

Cet exemple signifie que l´accès à cet hôte est restreint aux utilisateurs dont l´attribut employeeType est « admin ».

Le cache hors-ligne pour cette fonctionnalité est limité à la détermination du fait que la dernière connexion en ligne de l´utilisateur a été autorisée. Si tel était le cas, l´accès sera conservé en mode hors-ligne et vice-versa.

Par défaut : vide

Veuillez noter qu´il est toujours recommandé d´utiliser un contrôle d´accès du côté serveur, c´est-à-dire que le serveur LDAP doit refuser une requête de connexion avec un code erreur approprié même si le mot de passe est correct.

Les valeurs suivantes sont autorisées :

shadow : utiliser la valeur de ldap_user_shadow_expire pour déterminer si le compte a expiré.

ad : utilise la valeur du champ 32 bits ldap_user_ad_user_account_control et autorise l´accès si le deuxième bit n´est pas défini. Si l´attribut est manquant, l´accès est autorisé. La date d´expiration du compte est aussi vérifiée.

rhds, ipa, 389ds : utilise la valeur de ldap_ns_account_lock afin de vérifier si l´accès est autorisé ou non.

nds : les valeurs de ldap_user_nds_login_allowed_time_map, ldap_user_nds_login_disabled et ldap_user_nds_login_expiration_time sont utilisées pour vérifier si l´accès est autorisé. Si les deux attributs sont manquants, l´accès est autorisé. Il s´agit d´une fonctionnalité expérimentale, utiliser http://fedorahosted.org/sssd pour signaler les problèmes.

Noter que l´option de configuration ldap_access_order doit inclure “expire” de façon à permettre à l´option ldap_account_expire_policy de fonctionner.

Par défaut : vide

filter : utiliser ldap_access_filter

lockout: use account locking. If set, this option denies access in case that ldap attribute ´pwdAccountLockedTime´ is present and has value of ´000001010000Z´. Please see the option ldap_pwdlockout_dn. Please note that ´access_provider = ldap´ must be set for this feature to work.

Please note that this option is superseded by the “ppolicy” option and might be removed in a future release.

ppolicy: use account locking. If set, this option denies access in case that ldap attribute ´pwdAccountLockedTime´ is present and has value of ´000001010000Z´ or represents any time in the past. The value of the ´pwdAccountLockedTime´ attribute must end with ´Z´, which denotes the UTC time zone. Other time zones are not currently supported and will result in "access-denied" when users attempt to log in. Please see the option ldap_pwdlockout_dn. Please note that ´access_provider = ldap´ must be set for this feature to work.

expire: utiliser ldap_account_expire_policy

pwd_expire_policy_reject, pwd_expire_policy_warn, pwd_expire_policy_renew: These options are useful if users are interested in being warned that password is about to expire and authentication is based on using a different method than passwords - for example SSH keys.

The difference between these options is the action taken if user password is expired: pwd_expire_policy_reject - user is denied to log in, pwd_expire_policy_warn - user is still able to log in, pwd_expire_policy_renew - user is prompted to change his password immediately.

Note If user password is expired no explicit message is prompted by SSSD.

Please note that ´access_provider = ldap´ must be set for this feature to work. Also ´ldap_pwd_policy´ must be set to an appropriate password policy.

authorized_service : utiliser l´attribut authorizedService pour déterminer l´accès

host : utilise l´attribut host pour déterminer l´accès

Par défaut : filter

Veuillez noter qu´une valeur utilisée plusieurs fois résulte en une erreur de configuration.

Example: cn=ppolicy,ou=policies,dc=example,dc=com

Default: cn=ppolicy,ou=policies,$ldap_search_base

never : les alias ne sont jamais déréférencés.

searching : Les alias sont déréférencés comme des subordonnés de l´objet de base, mais pas en localisant l´objet de base de la recherche.

finding : les alias sont seulement déréférencés lors de la localisation de l´objet de base de la recherche.

always : les alias sont déréférencés à la fois pour la recherche et et la localisation de l´objet de base de la recherche.

Par défaut : vide (ceci est traité comme never par les bibliothèques clientes LDAP)

Dans certains environnements où le schéma RFC2307 est utilisé, les utilisateurs locaux deviennent membres du groupes LDAP en ajoutant leurs noms à l´attribut memberUid. La cohérence du domaine est compromise quand cela est fait, SSSD supprimerait normalement les utilisateurs « disparus » des appartenances aux groupes mises en cache dès que nsswitch essaie de récupérer des informations sur l´utilisateur via des appels à getpw*() ou initgoups().

Cette option vérifie en dernier recours si les utilisateurs locaux sont référencés et les met en cache afin que des appels ultérieurs à initgoups() ajoutent les utilisateurs locaux aux groupes LDAP.

Par défaut : false

At the moment, only the InfoPipe responder supports wildcard lookups.

Default: 1000 (often the size of one page)

search_base[?scope?[filter][?search_base?scope?[filter]]*]

search_base[?scope?[filter][?search_base?scope?[filter]]*]

search_base[?scope?[filter][?search_base?scope?[filter]]*]

search_base[?scope?[filter][?search_base?scope?[filter]]*]

search_base[?scope?[filter][?search_base?scope?[filter]]*]