När tjänsteupptäckt används för KDC eller kpasswd-servrar söker SSSD först efter DNS-poster som anger _udp som protokoll och provar sedan _tcp om inget hittas.

Dettas alternativ hade namnet “krb5_kdcip” i tidigare utgåvor av SSSD. Medan det äldre namnet känns igen tills vidare rekommenderas användare att migrera sina konfigurationsfiler till att använda “krb5_server” istället.

För mer information om reserver och serverredundans se avsnittet “RESERVER”. OBSERVERA: även om det inte finns några fler kpasswd-servrar att försöka med byter inte bakänden till att köra frånkopplat om autenticering mot KDC:n fortfarande är möjligt.

Standard: använd KDC:n

Standard: /tmp

%u

%U

%p

%r

%h

%d

%P

%%

Om mallen slutar med ”XXXXXX” används mkstemp(3) för att skapa ett unikt filnamn på ett säkert sätt.

När KEYRING-typer används är den enda mekanismen som stödjs “KEYRING:persistent:%U”, vilket använder Linuxkärnans nyckelring för att lagra kreditiv på per-UID-bas. Detta är också det rekommenderade valet, eftersom det är den säkraste och mest förutsägbara metoden.

Standardvärdet för namnet på kreditiv-cachen läses från profilen som fil sparad i den systemtäckande konfigurationsfilen krb5.conf i avsnittet [libdefaults]. Alternativnamnet är default_ccache_name. Se krb5.conf(5)s avsnitt PARAMETEREXPANSION för mer information om expansionsformatet som definieras av krb5.conf.

OBSERVERA: var medveten om att ccache-expansionsmallen för libkrb5 från krb5.conf(5) använder andra expansionssekvenser än SSSD.

Standard: (från libkrb5)

Standard: 6

Standard: false

Standard: /etc/krb5.keytab

OBS: denna funktion är endast tillgänglig på Linux. Lösenord som lagras på detta sätt hålls i klartext i kärnans nyckelring och är potentiellt åtkomliga för root-användaren (med svårighet).

Standard: false

s för sekunder

m för minuter

h för timmar

d för dagar.

Om ingen enhet anges antas s.

OBSERVERA: det är inte möjligt att blanda enheter. För att sätta den förnybara livslängden till en och en halv timma, använd ”90m” istället för ”1h30m”.

Standard: inte satt, d.v.s. TGT:en är inte förnybar

s för sekunder

m för minuter

h för timmar

d för dagar.

Om ingen enhet anges antas s.

OBSERVERA: det är inte möjligt att blanda enheter. För att sätta livslängden till en och en halv timma, använd ”90m” istället för ”1h30m”.

Standard: inte satt, d.v.s. biljettens stanardlivsläng konfigurerad på KDC:n.

s för sekunder

m för minuter

h för timmar

d för dagar.

Om ingen enhet anges antas s.

OBSERVERA: det är inte möjligt att blanda enheter. För att sätta den förnybara livslängden till en och en halv timma, använd ”90m” istället för ”1h30m”.

Om detta alternativ inte är satt eller är 0 är den automatiska förnyelsen avaktiverad.

Standard: inte satt

never använd aldrig FAST. Detta är ekvivalent med att inte ställa in denna This is ekvivalent med att inte sätta detta alterinativ alls.

try försök använda FAST. Om servern inte stödjer FAST, fortsätt då autentiseringen utan den.

demand kräv användning av FAST. Autentiseringen misslyckas om servern inte begär fast.

Standard: inte satt, d.v.s. FAST används inte.

OBSERVERA: en keytab krävs för att använda FAST.

OBSERVERA: SSSD stödjer endast FAST med MIT Kerberos version 1.8 och senare. Om SSSD används med en äldre version av MIT Kerberos är det ett konfigurationsfel att använda detta alternativ.

Standard: false

Se manualsidan sssd_krb5_locator_plugin(8) för mer information om lokaliseringsinsticksmodulen.

Standard: true

Alternativet krb5_kdcinfo_lookahead innehåller två tal separerade av ett kolon. Det första talet representerar antalet primärservrar som används och det andra talet anger antalet reservservrar.

Till exempel betyder 10:0 att upp till 10 primärservrar kommer lämnas tillsssd_krb5_locator_plugin(8). men inga reservservrar.

Standard: 3:1

Standard: false (AD-leverantör: true)

IPA-leverantören kommer sätta detta alternativ till ”true” om den upptäcker att servern klarar av att hantera företagshuvudmän och alternativet inte är uttryckligen satt i konfigurationsfilen.

exempel:

krb5_realm = RIKE
krb5_map_user = maria:manvnd,hasse:hans

“maria” och “hasse” är UNIX-användarnamn och “manvnd” och “hans” är primärer i kerberoshuvudmän. För användaren “maria” resp. “hasse” kommer SSSD försöka att göra kinit som “manvndr@RIKE” resp. “hans@RIKE”.

Standard: inte satt

[domain/APA]
auth_provider = krb5
krb5_server = 192.168.1.1
krb5_realm = EXEMPEL.SE