SSSD.CONF(5) | Формати файлів та правила | SSSD.CONF(5) |
NAME¶
sssd.conf - файл налаштування SSSD
ФОРМАТ ФАЙЛА¶
Файл складено з використанням синтаксичний конструкцій у стилі ini, він складається з розділів і окремих записів параметрів. Розділ починається з рядка назви розділу у квадратних дужках і продовжується до початку нового розділу. Приклад розділу з параметрами, які мають єдине і декілька значень:
[розділ] ключ = значення ключ2 = значення2,значення3
Типами даних є рядок (без символів лапок), ціле число і булеве значення (можливі два значення — “TRUE” і “FALSE”).
Рядок коментаря починається з символу решітки (“#”) або крапки з комою (“;”). Підтримки вбудованих коментарів не передбачено.
Для всіх розділів передбачено додатковий параметр description. Його призначено лише для позначення розділу.
sssd.conf має бути звичайним файлом, власником якого є користувач root. Права на читання та запис до цього файла повинен мати лише користувач root.
ФРАГМЕНТИ НАЛАШТУВАНЬ З КАТАЛОГУ ВКЛЮЧЕННЯ¶
До файла налаштувань sssd.conf буде включено фрагменти налаштувань з каталогу conf.d. Цією можливістю можна буде скористатися, якщо SSSD було зібрано із бібліотекою libini версії 1.3.0 або новішою.
Будь-який файл, розташований у conf.d, назва якого завершується на “.conf” і не починається з крапки (“.”), буде використано разом із sssd.conf для налаштовування SSSD.
Фрагменти налаштувань з conf.d мають вищий пріоритет за sssd.conf, вони мають вищий пріоритет за sssd.conf, якщо виникне конфлікт. Якщо у conf.d буде виявлено декілька фрагментів, їх буде включено за абеткою (на основі параметрів локалі). Файли, які включаються пізніше, мають вищий пріоритет. Числові префікси (01_фрагмент.conf, 02_фрагмент.conf тощо) можуть допомогти у візуалізації пріоритетності (більше число означає вищу пріоритетність).
Файли фрагментів мають належати одному користувачеві і мати однакові права доступу із файлом sssd.conf. Типовим власником є root:root, а типовими правами доступу — 0600.
ЗАГАЛЬНІ ПАРАМЕТРИ¶
Нижче наведено параметри, які можна використовувати у декількох розділах налаштувань.
Параметри, які можна використовувати у всіх розділах¶
debug_level (ціле число)
Будь ласка, зауважте, що кожна служба SSSD веде журнал у власному файлі. Також зауважте, що вмикання “debug_level” у розділі “[sssd]” вмикає діагностику лише для самого процесу sssd, а не для процесів відповідача чи надавача даних. Для отримання діагностичних повідомлень слід додати параметр «debug_level» до усіх розділів, для яких слід створювати журнал діагностичних повідомлень.
Окрім зміни рівня ведення журналу у файлі налаштувань за допомогою параметра «debug_level», який не змінюється під час роботи, але зміна якого потребує перезапуску SSSD, можна змінити режим діагностики без перезапуску за допомогою програми sss_debuglevel(8).
Рівні діагностики, передбачені у поточній версії:
0, 0x0010: критичні помилки з аварійним завершенням роботи. Всі помилки, які не дають SSSD змоги розпочати або продовжувати роботу.
1, 0x0020: критичні помилки. Помилки, які не призводять до аварійного завершення роботи SSSD, але означають, що одна з основних можливостей не працює належним чином.
2, 0x0040: серйозні помилки. Повідомлення про такі помилки означають, що не вдалося виконати певний запит або дію.
3, 0x0080: незначні помилки. Це помилки які можуть призвести до помилок під час виконання дій.
4, 0x0100: параметри налаштування.
5, 0x0200: дані функцій.
6, 0x0400: повідомлення трасування для функцій дій.
7, 0x1000: повідомлення трасування для функцій внутрішнього трасування.
8, 0x2000: вміст внутрішніх змінних функцій, який може бути цікавим.
9, 0x4000: дані трасування найнижчого рівня.
9, 0x20000: швидкодія і статистичні дані; будь ласка, зауважте, що через спосіб, у яких програма обробляє запити на внутрішньому рівні записаний до журналу час виконання запиту може бути довшим за справжній.
10, 0x10000: ще докладніші дані трасування libldb низького рівня. Навряд чи коли знадобляться.
Щоб до журналу було записано дані потрібних бітових масок рівнів діагностики, просто додайте відповідні числа, як це показано у наведених нижче прикладах:
Example: щоб до журналу було записано дані щодо критичних помилок з аварійним завершенням роботи, критичних помилок, серйозних помилок та дані функцій, скористайтеся рівнем діагностики 0x0270.
Приклад: щоб до журналу було записано критичні помилки з аварійним завершенням роботи, параметри налаштування, дані функцій та повідомлення трасування для функцій внутрішнього керування, скористайтеся рівнем 0x1310.
Зауваження: формат бітових масок для рівнів діагностики впроваджено у версії 1.7.0.
Типове значення: 0x0070 (тобто фатальні, критичні та серйозні помилки; відповідає встановленню значення 2 у десятковому записі)
debug (ціле число)
debug_timestamps (булеве значення)
Типове значення: true
debug_microseconds (булеве значення)
Типове значення: false
debug_backtrace_enabled (булеве значення)
Якщо SSSD запущено із debug_level меншим за 9, увесь журнал роботи буде записано у кільцевий буфер у пам'яті і скинуто до файла журналу при виявленні будь-якої помилки до рівня `min(0x0040, debug_level)` включно (тобто якщо debug_level явним чином встановлено у значення 0 або 1, лише помилки відповідних рівнів вмикатимуть зворотне трасування, інакше кажучи, помилки рівнів до 2).
Підтримку цієї можливості передбачено лише для `logger == files` (тобто, встановлення цього значення не впливає на інші типи журналювання).
Типове значення: true
Параметри які можна використовувати у розділах SERVICE та DOMAIN¶
timeout (ціле число)
Типове значення: 10
ОСОБЛИВІ РОЗДІЛИ¶
Розділ [sssd]¶
Окремі функції у SSSD виконуються особливими службами SSSD, які запускаються і зупиняються разом SSSD. Ці служби керуються окремою службою, яку часто називають «монітором». Розділ “[sssd]” використовується для налаштування монітора та деяких інших важливих параметрів, зокрема доменів профілів.
Параметри розділу
config_file_version (ціле число)
services
Підтримувані служби: nss, pam , sudo , autofs , ssh , pac , ifp
Типово усі служби вимкнено. Адміністратор має увімкнути дозволені до використання служби за допомогою такої команди: "systemctl enable sssd-@service@.socket".
reconnection_retries (ціле число)
Типове значення: 3
domains
re_expression (рядок)
Для кожного з доменів можна налаштувати окремий формальний вираз. Для деяких з засобів надання ідентифікаторів передбачено типові формальні вирази. Докладніше про ці формальні вирази можна дізнатися з довідки до РОЗДІЛІВ ДОМЕНІВ.
full_name_format (рядок)
Передбачено використання таких замінників:
%1$s
%2$s
%3$s
Для кожного з доменів можна налаштувати окремий рядок формату. Докладніше про ці рядки можна дізнатися з довідки до РОЗДІЛІВ ДОМЕНІВ.
monitor_resolv_conf (булеве значення)
Типове значення: true
try_inotify (булеве значення)
Зрідка бажано не вдаватися навіть до спроб скористатися inotify. У цих рідкісних випадках слід встановити для цього параметра значення «false».
Типове значення: «true» на платформах, де підтримується inotify. «false» на інших платформах.
Зауваження: цей параметр ні на що не вплине на платформах, де inotify недоступний. На цих платформах завжди використовуватиметься безпосереднє опитування файла.
krb5_rcache_dir (рядок)
Цей параметр приймає особливе значення __LIBKRB5_DEFAULTS__, за допомогою якого можна наказати SSSD надати змогу libkrb5 визначити відповідну адресу для кешу відтворення.
Типове значення: визначається дистрибутивом та вказується під час збирання. (__LIBKRB5_DEFAULTS__, якщо не вказано)
user (рядок)
This option does not work when running socket-activated services, as the user set up to run the processes is set up during compilation time. The way to override the systemd unit files is by creating the appropriate files in /etc/systemd/system/. Keep in mind that any change in the socket user, group or permissions may result in a non-usable SSSD. The same may occur in case of changes of the user running the NSS responder.
Типове значення: не встановлено, процес буде запущено від імені root
default_domain_suffix (рядок)
Please note that if this option is set all users from the primary domain have to use their fully qualified name, e.g. user@domain.name, to log in. Setting this option changes default of use_fully_qualified_names to True. It is not allowed to use this option together with use_fully_qualified_names set to False. One exception from this rule are domains with “id_provider=files” that always try to match the behaviour of nss_files and therefore their output is not qualified even when the default_domain_suffix option is used.
Типове значення: not set
override_space (рядок)
Будь ласка, зауважте, що використання символу-замінника, який може бути використано у іменах користувачів і назвах груп, є помилкою у налаштуваннях. Якщо назва містить символ-замінник, SSSD спробує повернути незмінену назву, але, загалом, результат пошуку буде невизначеним.
Типове значення: не встановлено (пробіли не замінятимуться)
certificate_verification (рядок)
no_ocsp
soft_ocsp
ocsp_dgst
Типове значення: sha1 (для уможливлення сумісності із відповідачем, який є сумісним із RFC5019)
no_verification
partial_chain
ocsp_default_responder=URL
ocsp_default_responder_signing_cert=НАЗВА
crl_file=/ШЛЯХ/ДО/ФАЙЛА/CRL
soft_crl
Обробник параметрів повідомлятиме про невідомі параметри і просто ігноруватиме їх.
Типове значення: не встановлено, тобто перевірка сертифікатів нічим не обмежуватиметься
disable_netlink (булеве значення)
Зміни стану SSSD, спричинені подіями netlink, можуть бути небажаними, їх можна вимкнути встановленням для цього параметра значення «true»
Типове значення: false (виявлення змін у netlink)
enable_files_domain (булеве значення)
Типове значення: false
domain_resolution_order
Please, note that when this option is set the output format of all commands is always fully-qualified even when using short names for input , for all users but the ones managed by the files provider. In case the administrator wants the output not fully-qualified, the full_name_format option can be used as shown below: “full_name_format=%1$s” However, keep in mind that during login, login applications often canonicalize the username by calling getpwnam(3) which, if a shortname is returned for a qualified input (while trying to reach a user which exists in multiple domains) might re-route the login attempt into the domain which uses shortnames, making this workaround totally not recommended in cases where usernames may overlap between domains.
Типове значення: не встановлено
implicit_pac_responder (булеве значення)
Типове значення: true
core_dumpable (булеве значення)
Типове значення: true
РОЗДІЛИ СЛУЖБ¶
У цьому розділі описано параметри, якими можна скористатися для налаштування різноманітних служб. Ці параметри має бути зібрано у розділах з назвами [$NAME]. Наприклад, параметри служби NSS зібрано у розділі “[nss]”
Загальні параметри налаштування служб¶
Цими параметрами можна скористатися для налаштування будь-яких служб.
reconnection_retries (ціле число)
Типове значення: 3
fd_limit
Типове значення: 8192 (або обмеження у limits.conf "hard")
client_idle_timeout
Типове значення: 60, KCM: 300
offline_timeout (ціле число)
new_delay = Minimum(old_delay * 2, offline_timeout_max) + random[0...offline_timeout_random_offset]
Типовим значенням offline_timeout є 60. Типовим значенням offline_timeout_max є 3600. Типовим значенням offline_timeout_random_offset є 30. Кінцевий результат є кількістю секунд до наступної повторної спроби.
Зауважте, що максимальна тривалість кожного з інтервалів визначається offline_timeout_max (окрім випадкової частини).
Типове значення: 60
offline_timeout_max (ціле число)
Значення 0 вимикає збільшення проміжку часу.
Значення цього параметра слід встановлювати у поєднанні зі значенням параметра offline_timeout.
Якщо для offline_timeout встановлено значення 60 (типове значення), немає сенсу встановлювати для offlinet_timeout_max значення, яке є меншим за 120, оскільки перший же крок збільшення призведе до перевищення максимального значення. Загальним правилом у цьому випадку має бути встановлення значення offline_timeout_max, яке є принаймні учетверо більшим за offline_timeout.
Хоча можна вказати будь-яке значення від 0 до offline_timeout, результатом стане перевизначення значення offline_timeout, тому не варто цього робити.
Типове значення: 3600
offline_timeout_random_offset (ціле число)
new_delay = Minimum(old_delay * 2, offline_timeout_max) + random[0...offline_timeout_random_offset]
Цей параметр керує значенням випадкового зсуву, яке буде використано у наведеному вище рівнянні. Остаточне значення random_offset буде випадковим числом у такому діапазоні:
[0 - offline_timeout_random_offset]
Значення 0 призводить до вимикання додавання випадкового зсуву.
Типове значення: 30
responder_idle_timeout
Типове значення: 300
cache_first
Типове значення: false
Параметри налаштування NSS¶
Цими параметрами можна скористатися для налаштування служби Name Service Switch (NSS або перемикання служби визначення назв).
enum_cache_timeout (ціле число)
Типове значення: 120
entry_cache_nowait_percentage (ціле число)
Наприклад, якщо entry_cache_timeout домену встановлено у значення 30s, а entry_cache_nowait_percentage — у значення 50 (у відсотках), записи, які надійдуть за 15 секунд після останнього оновлення кешу, буде повернуто одразу, але SSSD оновить власний кеш, отже наступні запити очікуватимуть на розблокування після оновлення кешу.
Коректними значеннями цього параметра є 0-99. Ці значення відповідають відсоткам entry_cache_timeout для кожного з доменів. З міркувань покращення швидкодії це відсоткове значення ніколи не зменшуватиме час очікування nowait до значення, меншого за 10 секунд. Визначення значення 0 вимкне цю можливість.
Типове значення: 50
entry_negative_timeout (ціле число)
Типове значення: 15
local_negative_timeout (ціле число)
Типове значення: 14400 (4 години)
filter_users, filter_groups (рядок)
ЗАУВАЖЕННЯ: параметр filter_groups не впливає на успадкованість вкладених записів групи, оскільки фільтрування відбувається після їх передавання для повернення за допомогою NSS. Наприклад, у списку групи, що містить вкладену групу, яку відфільтровано, залишатимуться записи користувачів відфільтрованої групи.
Типове значення: root
filter_users_in_groups (булеве значення)
Типове значення: true
override_homedir (рядок)
%u
%U
%d
%f
%l
%P
%o
%h
%H
%%
Значення цього параметра можна встановлювати для кожного з доменів окремо.
приклад:
override_homedir = /home/%u
Типове значення: не встановлено (SSSD використовуватиме значення, отримане від LDAP)
Будь ласка, зауважте, що домашній каталог для певного перевизначення для користувача, локально (див. sss_override(8)) або централізовано керованих перевизначень ідентифікаторів IPA, має вищий пріоритет, і його буде використано замість значення, вказаного в override_homedir.
homedir_substring (рядок)
Типове значення: /home
fallback_homedir (рядок)
Можливі варіанти значень для цього параметра збігаються з варіантами значень для параметра override_homedir.
приклад:
fallback_homedir = /home/%u
Типове значення: не встановлено (без замін для невстановлених домашніх каталогів)
override_shell (рядок)
Типове значення: не встановлено (SSSD використовуватиме значення, отримане від LDAP)
allowed_shells (рядок)
1. Якщо оболонку вказано у “/etc/shells”, її буде використано.
2. Якщо оболонку вказано у списку allowed_shells, але її немає у списку “/etc/shells”, буде використано значення параметра shell_fallback.
3. Якщо оболонку не вказано у списку allowed_shells і її немає у списку “/etc/shells”, буде використано оболонку nologin.
Для визначення будь-якої командної оболонки можна скористатися шаблоном заміни (*).
Значенням (*) варто користуватися, якщо ви хочете скористатися shell_fallback, коли командної оболонки користувача немає у «/etc/shells», а супровід списку усіх командних оболонок у allowed_shells є надто марудною справою.
Порожній рядок оболонки буде передано без обробки до libc.
Читання “/etc/shells” виконується лише під час запуску SSSD, тобто у разі встановлення нової оболонки слід перезапустити SSSD.
Типове значення: не встановлено. Автоматично використовується оболонка користувача.
vetoed_shells (рядок)
shell_fallback (рядок)
Типове значення: /bin/sh
default_shell
Типове значення: не встановлено (повернути NULL, якщо оболонку не встановлено і покластися на libc у визначенні потрібного програмі значення, зазвичай /bin/sh)
get_domains_timeout (ціле число)
Типове значення: 60
memcache_timeout (ціле число)
Типове значення: 300
Попередження: вимикання кешу у пам'яті значно погіршить швидкодію SSSD, ним варто користуватися лише для тестування.
ЗАУВАЖЕННЯ: якщо для змінної середовища SSS_NSS_USE_MEMCACHE встановлено значення «NO», клієнтські програми не використовуватимуть fast у кеші у пам’яті.
memcache_size_passwd (ціле число)
Типове значення: 8
Попередження: вимикання кешу у пам'яті або дуже малий його розмір можуть значно погіршити швидкодію SSSD.
ЗАУВАЖЕННЯ: якщо для змінної середовища SSS_NSS_USE_MEMCACHE встановлено значення «NO», клієнтські програми не використовуватимуть fast у кеші у пам’яті.
memcache_size_group (ціле число)
Типове значення: 6
Попередження: вимикання кешу у пам'яті або дуже малий його розмір можуть значно погіршити швидкодію SSSD.
ЗАУВАЖЕННЯ: якщо для змінної середовища SSS_NSS_USE_MEMCACHE встановлено значення «NO», клієнтські програми не використовуватимуть fast у кеші у пам’яті.
memcache_size_initgroups (ціле число)
Типове значення: 10
Попередження: вимикання кешу у пам'яті або дуже малий його розмір можуть значно погіршити швидкодію SSSD.
ЗАУВАЖЕННЯ: якщо для змінної середовища SSS_NSS_USE_MEMCACHE встановлено значення «NO», клієнтські програми не використовуватимуть fast у кеші у пам’яті.
memcache_size_sid (ціле число)
Типове значення: 6
Попередження: вимикання кешу у пам'яті або дуже малий його розмір можуть значно погіршити швидкодію SSSD.
ЗАУВАЖЕННЯ: якщо для змінної середовища SSS_NSS_USE_MEMCACHE встановлено значення «NO», клієнтські програми не використовуватимуть fast у кеші у пам’яті.
user_attributes (рядок)
Щоб полегшити налаштовування відповідач NSS перевірятиме параметр InfoPipe на те, чи не встановлено його для відповідача NSS.
Типове значення: не встановлено, резервне значення визначається за параметром InfoPipe
pwfield (рядок)
Типове значення: “*”
Зауваження: значення цього параметра можна встановлювати для кожного з доменів окремо. При цьому це значення матиме вищий пріоритет за значення у розділі [nss].
Default: “not set” (remote domains), “x” (the files domain), “x” (proxy domain with nss_files and sssd-shadowutils target)
Параметри налаштування PAM¶
Цими параметрами можна скористатися для налаштування служби Pluggable Authentication Module (PAM або блокового модуля розпізнавання).
offline_credentials_expiration (ціле число)
Типове значення: 0 (без обмежень)
offline_failed_login_attempts (ціле число)
Типове значення: 0 (без обмежень)
offline_failed_login_delay (ціле число)
Якщо встановлено значення 0, користувач не зможе пройти розпізнавання у автономному режимі, якщо буде досягнуто значення offline_failed_login_attempts. Лише успішне розпізнавання може знову увімкнути можливість автономного розпізнавання.
Типове значення: 5
pam_verbosity (ціле число)
У поточній версії sssd передбачено підтримку таких значень:
0: не показувати жодних повідомлень
1: показувати лише важливі повідомлення
2: показувати всі інформаційні повідомлення
3: показувати всі повідомлення та діагностичні дані
Типове значення: 1
pam_response_filter (рядок)
Хоча повідомленнями вже можна керувати за допомогою параметра pam_verbosity, за допомогою цього параметра можна відфільтрувати також інші типи повідомлень.
У поточній версії передбачено підтримку таких фільтрів:
ENV
ENV:назва_змінної
ENV:назва_змінної:служба
Список рядків може бути або списком фільтрів, які встановлюють список фільтрування і перевизначають типові фільтри, або до кожного елемента списку може бути додано префікс «+» або «-», який додасть фільтр до наявного типового фільтрування або вилучить його з наявного типового фільтрування, відповідно. Будь ласка, зауважте, або що усі елементи списку повинні мати префікси «+» або «-», або усі елементи списку не повинні містити префіксів. Змішування стилів вважається помилкою.
Типове значення: ENV:KRB5CCNAME:sudo, ENV:KRB5CCNAME:sudo-i
Приклад: -ENV:KRB5CCNAME:sudo-i вилучає фільтр зі списку типових
pam_id_timeout (ціле число)
Повний обмін даними сеансу PAM може включати декілька запитів PAM, зокрема для керування обліковими записами та відкриття сеансів. За допомогою цього параметра можна керувати (для окремих клієнтів-програм) тривалістю (у секундах) кешування даних профілю з метою уникнути повторних викликів засобу надання даних профілів.
Типове значення: 5
pam_pwd_expiration_warning (ціле число)
Будь ласка, зауважте, що сервер обробки має надати дані щодо часу завершення дії пароля. Якщо ці дані не буде виявлено, sssd не зможе показати попередження.
Якщо встановлено нульове значення, цей фільтр не застосовуватиметься, тобто якщо з сервера обробки надійде попередження щодо завершення строку дії, його буде автоматично показано.
Цей параметр може бути перевизначено встановленням параметра pwd_expiration_warning для окремого домену.
Типове значення: 0
get_domains_timeout (ціле число)
Типове значення: 60
pam_trusted_users (рядок)
Типове значення: типово усі користувачі вважаються надійними (довіреними)
Будь ласка, зауважте, що користувачеві з UID 0 завжди мають доступ до відповідача PAM, навіть якщо користувача немає у списку pam_trusted_users.
pam_public_domains (рядок)
Визначено два спеціальних значення параметра pam_public_domains:
all (Ненадійним користувачам відкрито доступ до усіх доменів у відповідачі PAM.)
none (Ненадійним користувачам заборонено доступ до усіх доменів PAM у відповідачі.)
Типове значення: none
pam_account_expired_message (рядок)
Зауваження: будь ласка, зверніть увагу на те, що повідомлення буде виведено для служби SSH, лише якщо pam_verbosity не встановлено у значення 3 (показувати усі повідомлення і діагностичні дані).
приклад:
pam_account_expired_message = Account expired, please contact help desk.
Типове значення: none
pam_account_locked_message (рядок)
приклад:
pam_account_locked_message = Account locked, please contact help desk.
Типове значення: none
pam_cert_auth (булеве значення)
Типове значення: False
pam_cert_db_path (рядок)
Типове значення:
pam_cert_verification (рядок)
приклад:
pam_cert_verification = partial_chain
Типове значення: не встановлено, тобто слід використовувати типовий параметр “certificate_verification”, який визначено у розділі “[sssd]”.
p11_child_timeout (ціле число)
Типове значення: 10
pam_app_services (рядок)
Типове значення: не встановлено
pam_p11_allowed_services (ціле число)
Можна додати іншу назву служби PAM до типового набору за допомогою конструкції «+назва_служби» або явним чином вилучити назву служби PAM з типового набору за допомогою конструкції «-назва_служби». Наприклад, щоб замінити типову назву служби PAM для розпізнавання за смарткарткою (наприклад, «login») з нетиповою назвою служби PAM (наприклад, «my_pam_service»), вам слід скористатися такими налаштуваннями:
pam_p11_allowed_services = +my_pam_service, -login
Типове значення: типовий набір назв служб PAM складається з таких значень:
p11_wait_for_card_timeout (ціле число)
Типове значення: 60
p11_uri (рядок)
Приклади:
p11_uri = pkcs11:slot-description=My%20Smartcard%20Reader
або
p11_uri = pkcs11:library-description=OpenSC%20smartcard%20framework;slot-id=2
Для визначення відповідної адреси, ознайомтеся із файлом діагностичних даних p11_child. Крім того, можна скористатися програмою GnuTLS p11tool, наприклад, із параметром --list-all, який покаже і адреси PKCS#11.
Типове значення: none
pam_initgroups_scheme
always
no_session
never
Типове значення: no_session
pam_gssapi_services
Щоб вимкнути розпізнавання за GSSAPI, встановіть для цього параметра значення “-” (дефіс).
Зауваження: значення цього параметра можна встановлювати для кожного з доменів окремо, при цьому перевизначивши значення у розділі [pam]. Його також можна встановити для довіреного домену, при цьому значення матиме вищий пріоритет за значення у розділі домену.
Приклад:
pam_gssapi_services = sudo, sudo-i
Типове значення: - (розпізнавання за GSSAPI вимкнено)
pam_gssapi_check_upn
Якщо має значення False, розпізнаними вважатимуться усі користувачі, які зможуть отримати бажаний квиток служби.
Зауваження: значення цього параметра можна встановлювати для кожного з доменів окремо, при цьому перевизначивши значення у розділі [pam]. Його також можна встановити для довіреного домену, при цьому значення матиме вищий пріоритет за значення у розділі домену.
Типове значення: True
pam_gssapi_indicators_map
Кожен з елементів списку може бути або назвою індикатора розпізнавання, або парою “служба:індикатор”. Для доступу до будь-якої служби PAM, яку налаштовано на використання з pam_gssapi_services будуть потрібні індикатори без префіксів назв служб PAM. Список-результат індикаторів для окремої служби PAM буде перевірено за індикаторами у квитку Kerberos під час розпізнавання у pam_sss_gss.so. Буд-який індикатор з квитка, який відповідає списку-результату індикаторів для служби PAM, отримає доступ. Якщо відповідність не буде встановлено для жодного з індикаторів, доступ буде заборонено. Якщо список-результат індикаторів для служби PAM є порожнім, перевірка не закриватиме доступ для жодного запису.
Щоб вимкнути перевірку за індикаторами для розпізнавання за GSSAPI, встановіть для цього параметра значення “-” (дефіс). Щоб вимкнути перевірку для певної служби PAM, додайте “служба:-”.
Зауваження: значення цього параметра можна встановлювати для кожного з доменів окремо, при цьому перевизначивши значення у розділі [pam]. Його також можна встановити для довіреного домену, при цьому значення матиме вищий пріоритет за значення у розділі домену.
У розгорнутих системах IPA з Kerberos передбачено підтримку таких індикаторів розпізнавання:
Приклад: щоб встановити обов'язковість для доступу до служб SUDO отримання користувачами їхніх квитків Kerberos із попереднім розпізнаванням за сертифікатом X.509 (PKINIT), встановіть
pam_gssapi_indicators_map = sudo:pkinit, sudo-i:pkinit
Типове значення: не встановлено (немає потреби у використанні індикаторів розпізнавання)
Параметри налаштування SUDO¶
Цими параметрами можна скористатися для налаштовування служби sudo. Докладні настанови щодо налаштовування sudo(8) на роботу з sssd(8) можна знайти на сторінці довідника sssd-sudo(5).
sudo_timed (булеве значення)
Типове значення: false
sudo_threshold (ціле число)
Типове значення: 50
Параметри налаштування AUTOFS¶
Цими параметрами можна скористатися для налаштування служби autofs.
autofs_negative_timeout (ціле число)
Типове значення: 15
Будь ласка, зауважте, що засіб автоматичного монтування читає основну карту лише під час запуску, отже якщо до ssd.conf внесено будь-які пов’язані з autofs зміни, типово слід перезапустити фонову службу автоматичного монтування після перезапуску SSSD.
Параметри налаштувань SSH¶
Цими параметрами можна скористатися для налаштування служби SSH.
ssh_hash_known_hosts (булеве значення)
Типове значення: false
ssh_known_hosts_timeout (ціле число)
Типове значення: 180
ssh_use_certificate_keys (булеве значення)
Типове значення: true
ssh_use_certificate_matching_rules (рядок)
Передбачено два спеціальних ключових слова «all_rules» та «no_rules», які вмикають або вимикають усі правила, відповідно. Останній випадок означає, що сертифікати не фільтруватимуться, а ключі ssh буде створено з усіх коректних сертифікатів.
Якщо не налаштовано жодного правила, «all_rules» увімкне типове правило, яке дозволяє використання усіх сертифікатів, які придатні для розпізнавання клієнта. Це та сама поведінка, що для відповідача PAM, якщо увімкнено розпізнавання за сертифікатом.
Визначення назви правила, якої не існує, вважатиметься помилкою. Якщо в результаті не буде вибрано жодного правила, усі сертифікати буде проігноровано.
Типове значення: не встановлено, рівнозначне до «all_rules» — буде використано усі знайдені правила або типове правило
ca_db (рядок)
Типове значення:
Параметри налаштування відповідача PAC¶
Відповідач PAC працює разом з додатком даних уповноваження для sssd_pac_plugin.so зі складу MIT Kerberos та засобу надання даних піддоменів. Цей додаток надсилає до відповідача PAC дані PAC під час розпізнавання за допомогою GSSAPI. Засіб надання даних піддоменів збирає дані щодо діапазонів SID і ID домену, до якого долучено клієнт, та віддалених надійних доменів з локального контролера доменів. Якщо PAC декодовано і визначено, виконуються деякі з таких дій:
Цими параметрами можна скористатися для налаштовування відповідача PAC.
allowed_uids (рядок)
Типове значення: 0 (доступ до відповідача PAC має лише адміністративний користувач (root))
Будь ласка, зауважте, що хоча типово використовується UID 0, значення UID буде перевизначено на основі цього параметра. Якщо ви хочете надати адміністративному користувачеві (root) доступ до відповідача PAC, що може бути типовим варіантом, вам слід додати до списку UID з правами доступу запис 0.
pac_lifetime (ціле число)
Типове значення: 300
pac_check (рядок)
Вказаними нижче параметрами можна скористатися окремо або у форматі списку відокремлених комами значень:
no_check
pac_present
check_upn
check_upn_allow_missing
У поточній версії цей параметр типово увімкнено, щоб уникнути регресій у подібних середовищах. До системного журналу та діагностичного журналу SSSD буде додано повідомлення у випадку виявлення UPN у PAC, але не у кеші SSSD. Щоб уникнути появи такого повідомлення, слід перевірити, чи можна вилучити параметр «ldap_user_principal». Якщо це неможливо, вилучення «check_upn» призведе до пропускання перевірки, і повідомлення зникне з журналу.
upn_dns_info_present
check_upn_dns_info_ex
upn_dns_info_ex_present
Типове значення: no_check (для надавачів AD та IPA — «check_upn, check_upn_allow_missing, check_upn_dns_info_ex»)
Параметри налаштовування запису сеансів¶
Запис сеансів працює у зв'язці з tlog-rec-session(8), частиною пакунка tlog, для запису даних, які бачать і вводять користувачі після входу до текстового термінала. Див. також sssd-session-recording(5).
Цими параметрами можна скористатися для налаштовування запису сеансів.
scope (рядок)
"none"
"some"
"all"
Типове значення: none
users (рядок)
Типове значення: порожнє. Не відповідає жодному користувачу.
groups (рядок)
Зауваження: використання цього параметра (встановлення для нього будь-якого значення) значно впливає на швидкодію, оскільки некешований запит щодо користувача потребує отримання і встановлення відповідності груп, до яких належить користувач.
Типове значення: порожнє. Не відповідає жодній групі.
exclude_users (рядок)
Типове значення: порожнє. Не виключати жодного користувача.
exclude_groups (рядок)
Зауваження: використання цього параметра (встановлення для нього будь-якого значення) значно впливає на швидкодію, оскільки некешований запит щодо користувача потребує отримання і встановлення відповідності груп, до яких належить користувач.
Типове значення: порожнє. Не виключати жодної групи.
РОЗДІЛИ ДОМЕНІВ¶
Ці параметри налаштування може бути вказано у розділі налаштування домену, тобто у розділі з назвою “[domain/НАЗВА]”
enabled
domain_type (рядок)
Дозволеними значеннями цього параметра є “posix” і “application”.
Домени POSIX доступні для усіх служб. Домени програм доступні лише з відповідача InfoPipe (див. sssd-ifp(5)) і відповідача PAM.
ЗАУВАЖЕННЯ: належне тестування у поточній версії виконано лише для доменів application з “id_provider=ldap”.
Щоб ознайомитися із простим способом налаштовування не-POSIX доменів, будь ласка, ознайомтеся із розділом “Домени програм”.
Типове значення: posix
min_id,max_id (ціле значення)
Для користувачів зміна цього параметра вплине на основне обмеження GID. Запис користувача не буде повернуто до NSS, якщо UID або основний GID не належать вказаному діапазону. Записи користувачів, які не є учасниками основної групи і належать діапазону, буде виведено у звичайному режимі.
Ці обмеження на ідентифікатори стосуються і збереження записів до кешу, не лише повернення записів за назвою або ідентифікатором.
Типові значення: 1 для min_id, 0 (без обмежень) для max_id
enumerate (булеве значення)
TRUE = користувачі і групи нумеруються
FALSE = не використовувати нумерацію для цього домену
Типове значення: FALSE
Нумерування домену потребує від SSSD отримання і зберігання усіх записів користувачів і груп із віддаленого сервера.
Зауваження: вмикання нумерації помірно знизить швидкодію SSSD на час виконання нумерації. Нумерація може тривати до декількох хвилин після запуску SSSD. Протягом виконання нумерації окремі запити щодо даних буде надіслано безпосередньо до LDAP, хоча і з уповільненням через навантаження системи виконанням нумерації. Збереження великої кількості записів до кешу після завершення нумерації може також значно навантажити процесор, оскільки повторне визначення параметрів участі також іноді є складним завданням. Це може призвести до проблем із отриманням відповіді від процесу “sssd_be” або навіть перезапуску усього засобу стеження.
Під час першого виконання нумерації запити щодо повних списків користувачів та груп можуть не повертати жодних результатів, аж доки нумерацію не буде завершено.
Крім того, вмикання нумерації може збільшити час, потрібний для виявлення того, що мережеве з’єднання розірвано, оскільки потрібне буде збільшення часу очікування для забезпечення успішного завершення пошуків нумерації. Щоб отримати додаткову інформацію, зверніться до сторінок довідника (man) відповідного використаного засобу обробки ідентифікаторів (id_provider).
З вказаних вище причин не рекомендуємо вам вмикати нумерацію, особливо у об’ємних середовищах.
subdomain_enumerate (рядок)
all
none
Якщо потрібно, можна вказати список з однієї або декількох назв надійних доменів, для яких буде увімкнено нумерацію.
Типове значення: none
entry_cache_timeout (ціле число)
Дані щодо часових позначок завершення строку дії записів кешу зберігаються як атрибути окремих об’єктів у кеші. Тому зміна часу очікування на дані у кеші впливає лише на нові записи та записи, строк дії яких вичерпано. Для примусового оновлення записів, які вже було кешовано, вам слід запустити програму sss_cache(8).
Типове значення: 5400
entry_cache_user_timeout (ціле число)
Типове значення: entry_cache_timeout
entry_cache_group_timeout (ціле число)
Типове значення: entry_cache_timeout
entry_cache_netgroup_timeout (ціле число)
Типове значення: entry_cache_timeout
entry_cache_service_timeout (ціле число)
Типове значення: entry_cache_timeout
entry_cache_resolver_timeout (ціле число)
Типове значення: entry_cache_timeout
entry_cache_sudo_timeout (ціле число)
Типове значення: entry_cache_timeout
entry_cache_autofs_timeout (ціле число)
Типове значення: entry_cache_timeout
entry_cache_ssh_host_timeout (ціле число)
Типове значення: entry_cache_timeout
entry_cache_computer_timeout (ціле число)
Типове значення: entry_cache_timeout
refresh_expired_interval (ціле число)
Під час фонового оновлення виконуватиметься обробка записів користувачів, груп та мережевих груп у кеші. для записів користувачів, для яких виконувалися дії з ініціювання груп (отримання даних щодо участі користувача у групах, які типово виконуються під час входу до системи), буде оновлено і запис користувача, і дані щодо участі у групах.
Цей параметр автоматично успадковується для усіх довірених доменів.
Варто визначити для цього параметра значення 3/4 * entry_cache_timeout.
Запис кешу буде оновлено фоновим завданням, якщо минуло 2/3 часу очікування на застарівання кешу. Якщо у кеші вже є записи, фонове завдання звернеться до значень часу очікування на застарівання початкових записів, а не поточного значення у налаштуваннях. Це може призвести до ситуації, у якій здаватиметься, що фонове завдання із оновлення записів не працює. Так зроблено спеціально для удосконалення роботи в автономному режимі і повторного використання наявних коректних записів у кеші. Щоб зробити використання внесеної зміни постійним, користувачу варто вручну скасувати чинність наявного кешу.
Типове значення: 0 (вимкнено)
cache_credentials (булеве значення)
Take a note that while credentials are stored as a salted SHA512 hash, this still potentially poses some security risk in case an attacker manages to get access to a cache file (normally requires privileged access) and to break a password using brute force attack.
Типове значення: FALSE
cache_credentials_minimal_first_factor_length (ціле число)
Таким чином забезпечується уникнення випадку, коли короткі PIN-коди заснованої на PIN-кодах схеми 2FA зберігаються у кеші, що робить їх простою мішенню атак із перебиранням паролів.
Типове значення: 8
account_cache_expiration (ціле число)
Типове значення: 0 (без обмежень)
pwd_expiration_warning (ціле число)
Якщо встановлено нульове значення, цей фільтр не застосовуватиметься, тобто якщо з сервера обробки надійде попередження щодо завершення строку дії, його буде автоматично показано.
Будь ласка, зауважте, що сервер обробки має надати дані щодо часу завершення дії пароля. Якщо ці дані не буде виявлено, sssd не зможе показати попередження. Крім того для цього сервера може бути вказано службу надання даних розпізнавання.
Типове значення: 7 (Kerberos), 0 (LDAP)
id_provider (рядок)
«proxy»: підтримка застарілого модуля надання даних NSS.
“files”: засіб надання даних FILES. Докладніше про те, як працює віддзеркалення локальних користувачів і груп у SSSD, можна дізнатися зі сторінки підручника sssd-files(5).
“ldap”: засіб LDAP. Докладніше про налаштовування LDAP можна дізнатися з довідки до sssd-ldap(5).
“ipa”: FreeIPA and Red Hat Identity Management provider. See sssd-ipa(5) for more information on configuring FreeIPA.
“ad”: засіб Active Directory. Докладніші відомості щодо налаштовування Active Directory викладено у довіднику з sssd-ad(5).
use_fully_qualified_names (булеве значення)
Якщо встановлено значення TRUE, всі запити до цього домену мають використовувати повні назви. Наприклад, якщо використано домен LOCAL, який містить запис користувача «test» user, getent passwd test не покаже користувача, а getent passwd test@LOCAL покаже.
ЗАУВАЖЕННЯ: цей параметр не впливатиме на пошук у мережевих групах через тенденцію до включення до таких груп вкладених мережевих груп. Для мережевих груп, якщо задано неповну назву, буде виконано пошук у всіх доменах.
Типове значення: FALSE (TRUE для довірених доменів і піддоменів або якщо використано default_domain_suffix)
ignore_group_members (булеве значення)
Якщо встановлено значення TRUE, сервер LDAP не запитуватиме дані щодо атрибутів участі у групах, а списки учасників груп не повертаються під час обробки запитів щодо пошуку груп, зокрема getgrnam(3) або getgrgid(3). Отже, “getent group $groupname” поверне запитану групу так, наче вона була порожня.
Вмикання цього параметра може також значно пришвидшити перевірки засобу надання доступу для участі у групі, особливо для груп, у яких багато учасників.
Цей параметр також може бути встановлено для окремого піддомену або успадковано за допомогою subdomain_inherit.
Типове значення: FALSE
auth_provider (рядок)
“ldap” — вбудоване розпізнавання LDAP. Докладніші відомості щодо налаштовування LDAP викладено у довіднику з sssd-ldap(5).
“krb5” — вбудоване розпізнавання Kerberos. Докладніші відомості щодо налаштовування Kerberos викладено у довіднику з sssd-krb5().
“ipa”: FreeIPA and Red Hat Identity Management provider. See sssd-ipa(5) for more information on configuring FreeIPA.
“ad”: засіб Active Directory. Докладніші відомості щодо налаштовування Active Directory викладено у довіднику з sssd-ad(5).
“proxy” — трансльоване розпізнавання у іншій системі PAM.
“none” — вимкнути розпізнавання повністю.
Типове значення: буде використано “id_provider”, якщо цей спосіб встановлено і можлива обробка запитів щодо розпізнавання.
access_provider (рядок)
“permit” дозволяти доступ завжди. Єдиний дозволений засіб доступу для локального домену.
“deny” — завжди забороняти доступ.
“ldap” — вбудоване розпізнавання LDAP. Докладніші відомості щодо налаштовування LDAP викладено у довіднику з sssd-ldap(5).
“ipa”: FreeIPA and Red Hat Identity Management provider. See sssd-ipa(5) for more information on configuring FreeIPA.
“ad”: засіб Active Directory. Докладніші відомості щодо налаштовування Active Directory викладено у довіднику з sssd-ad(5).
“simple” — керування доступом на основі списків дозволу або заборони. Докладніші відомості щодо налаштовування модуля доступу simple можна знайти у довідці до sssd-simple(5).
“krb5” — керування доступом на основі .k5login. Докладніші відомості щодо налаштовування Kerberos викладено у довіднику з sssd-krb5().
“proxy” — для трансляції керування доступом до іншого модуля PAM.
Типове значення: “permit”
chpass_provider (рядок)
“ldap” — змінити пароль, що зберігається на сервері LDAP. Докладніші відомості щодо налаштовування LDAP викладено у довіднику з sssd-ldap(5).
“krb5” — змінити пароль Kerberos. Докладніші відомості щодо налаштовування Kerberos викладено у довіднику з sssd-krb5().
“ipa”: FreeIPA and Red Hat Identity Management provider. See sssd-ipa(5) for more information on configuring FreeIPA.
“ad”: засіб Active Directory. Докладніші відомості щодо налаштовування Active Directory викладено у довіднику з sssd-ad(5).
“proxy” — трансльована зміна пароля у іншій системі PAM.
“none” — явно вимкнути можливість зміни пароля.
Типове значення: використовується «auth_provider», якщо встановлено значення цього параметра і якщо система здатна обробляти запити щодо паролів.
sudo_provider (рядок)
“ldap” для правил, що зберігаються у LDAP. Докладніше про налаштовування LDAP можна дізнатися з довідки до sssd-ldap(5).
“ipa” — те саме, що і “ldap”, але з типовими параметрами IPA.
“ad” — те саме, що і “ldap”, але з типовими параметрами AD.
“none” явним чином вимикає SUDO.
Типове значення: використовується значення “id_provider”, якщо його встановлено.
З докладними настановами щодо налаштовування sudo_provider можна ознайомитися за допомогою сторінки підручника (man) sssd-sudo(5). Передбачено доволі багато параметрів налаштовування, якими можна скористатися для коригування поведінки програми. Докладніший опис можна знайти у розділах щодо «ldap_sudo_*»" у підручнику з sssd-ldap(5).
Зауваження: правила sudo періодично отримуються у фоновому режимі, якщо постачальник даних sudo не вимкнено явним чином. Встановіть значення sudo_provider = None, щоб вимкнути усі дії, пов'язані із sudo у SSSD, якщо ви взагалі не хочете використовувати sudo у SSSD.
selinux_provider (рядок)
“ipa” для завантаження параметрів selinux з сервера IPA. Докладніші відомості щодо налаштовування IPA викладено у довіднику з sssd-ipa(5).
“none” явним чином забороняє отримання даних щодо параметрів SELinux.
Типове значення: буде використано “id_provider”, якщо цей спосіб встановлено і можлива обробка запитів щодо завантаження SELinux.
subdomains_provider (рядок)
“ipa” для завантаження списку піддоменів з сервера IPA. Докладніші відомості щодо налаштовування IPA викладено у довіднику з sssd-ipa(5).
«ad», з якої слід завантажувати список піддоменів з сервера Active Directory. Див. sssd-ad(5), щоб дізнатися більше про налаштовування засобу надання даних AD.
“none” забороняє ячним чином отримання даних піддоменів.
Типове значення: використовується значення “id_provider”, якщо його встановлено.
session_provider (рядок)
“ipa”, щоб дозволити пов'язані із сеансами користувачів завдання.
“none” — не виконувати жодних пов'язаних із сеансами користувачів завдань.
Типове значення: використовується значення “id_provider”, якщо його встановлено і дозволено виконувати пов'язані із сеансами завдання.
Зауваження: щоб ця можливість працювала як слід, SSSD має бути запущено від імені користувача root, а не якогось іншого непривілейованого користувача.
autofs_provider (рядок)
“ldap” — завантажити карти, що зберігаються у LDAP. Докладніше про налаштовування LDAP можна дізнатися з довідки до sssd-ldap(5).
“ipa” — завантажити карти, що зберігається на сервері IPA. Докладніші відомості щодо налаштовування IPA викладено у довіднику з sssd-ipa().
“ad” — завантажити карти, що зберігаються на сервері AD. Див. sssd-ad(5), щоб дізнатися більше про налаштовування засобу надання даних AD.
“none” вимикає autofs повністю.
Типове значення: використовується значення “id_provider”, якщо його встановлено.
hostid_provider (рядок)
“ipa” — завантажити профіль системи, що зберігається на сервері IPA. Докладніші відомості щодо налаштовування IPA викладено у довіднику з sssd-ipa().
“none” вимикає hostid повністю.
Типове значення: використовується значення “id_provider”, якщо його встановлено.
resolver_provider (рядок)
“proxy” для переспрямовування пошуків до іншої бібліотеки NSS. Див. “proxy_resolver_lib_name”
“ldap” — отримати записи вузлів і мереж, які зберігаються у LDAP. Докладніше про налаштовування LDAP можна дізнатися з довідки до sssd-ldap(5).
“ad” — отримати записи вузлів і мереж, які зберігаються на сервері AD. Див. sssd-ad(5), щоб дізнатися більше про налаштовування засобу надання даних AD.
“none” забороняє ячним чином отримання даних вузлів і мереж.
Типове значення: використовується значення “id_provider”, якщо його встановлено.
re_expression (рядок)
Default: “^((?P<name>.+)@(?P<domain>[^@]*)|(?P<name>[^@]+))$” which allows two different styles for user names:
Default for the AD and IPA provider: “^(((?P<domain>[^\\]+)\\(?P<name>.+))|((?P<name>.+)@(?P<domain>[^@]+))|((?P<name>[^@\\]+)))$” which allows three different styles for user names:
Перші два стилі відповідають загальним типовим стилям, а третій введено для того, щоб полегшити інтеграцію користувачів з доменів Windows.
The default re_expression uses the “@” character as a separator between the name and the domain. As a result of this setting the default does not accept the “@” character in short names (as it is allowed in Windows group names). If a user wishes to use short names with “@” they must create their own re_expression.
full_name_format (рядок)
Передбачено використання таких замінників:
%1$s
%2$s
%3$s
Типове значення: “%1$s@%2$s”.
lookup_family_order (рядок)
Передбачено підтримку таких значень:
ipv4_first: спробувати визначити адресу у форматі IPv4, у разі невдачі спробувати формат IPv6
ipv4_only: намагатися визначити назви вузлів лише у форматі адрес IPv4.
ipv6_first: спробувати визначити адресу у форматі IPv6, у разі невдачі спробувати формат IPv4
ipv6_only: намагатися визначити назви вузлів лише у форматі адрес IPv6.
Типове значення: ipv4_first
dns_resolver_server_timeout (ціле число)
Надавач даних AD використовуватиме цей параметр також для визначення часу очікування на відгук на луна-імпульс CLDAP.
Будь ласка, ознайомтеся із розділом “РЕЗЕРВ”, щоб дізнатися більше про розв'язування питань, пов'язаних із службами.
Типове значення: 1000
dns_resolver_op_timeout (ціле число)
Будь ласка, ознайомтеся із розділом “РЕЗЕРВ”, щоб дізнатися більше про розв'язування питань, пов'язаних із службами.
Типове значення: 3
dns_resolver_timeout (ціле число)
Будь ласка, ознайомтеся із розділом “РЕЗЕРВ”, щоб дізнатися більше про розв'язування питань, пов'язаних із службами.
Типове значення: 6
dns_resolver_use_search_list (булеве значення)
Якщо у налаштуваннях SSSD використано повні назви доменів (або _srv_), встановлення для цього параметра значення FALSE може запобігти непотрібним пошукам DNS у таких середовищах.
Типове значення: TRUE
dns_discovery_domain (рядок)
Типова поведінка: використовувати назву домену з назви вузла комп’ютера.
override_gid (ціле число)
case_sensitive (рядок)
True
False
Preserving
Якщо ви хочете встановити це значення для довіреного домену із надавачем даних IPA, вам доведеться встановити його на боці клієнта і SSSD на сервері.
Цей параметр також може бути встановлено для окремого піддомену або успадковано за допомогою subdomain_inherit.
Типове значення: True (False для засобу надання даних AD)
subdomain_inherit (рядок)
ldap_search_timeout
ldap_network_timeout
ldap_opt_timeout
ldap_offline_timeout
ldap_enumeration_refresh_timeout
ldap_enumeration_refresh_offset
ldap_purge_cache_timeout
ldap_purge_cache_offset
ldap_krb5_keytab (значення krb5_keytab буде використано, якщо ldap_krb5_keytab не встановлено явним чином)
ldap_krb5_ticket_lifetime
ldap_enumeration_search_timeout
ldap_connection_expire_timeout
ldap_connection_expire_offset
ldap_connection_idle_timeout
ldap_use_tokengroups
ldap_user_principal
ignore_group_members
auto_private_groups
case_sensitive
Приклад:
subdomain_inherit = ldap_purge_cache_timeout
Типове значення: none
Зауваження: цей параметр працює лише для засобів надання даних IPA і AD.
subdomain_homedir (рядок)
%F
Це значення може бути перевизначено параметром override_homedir.
Типове значення: /home/%d/%u
realmd_tags (рядок)
cached_auth_timeout (ціле число)
Значення цього параметра успадковується усіма довіреними доменами. У поточній версії не передбачено можливості встановлювати окремі різні значення для різних довірених доменів.
Спеціальне значення 0 означає, що цю можливість вимкнено.
Будь ласка, зауважте, що якщо “cached_auth_timeout” має більше значення за “pam_id_timeout”, модуль може бути викликано для обробки “initgroups”.
Типове значення: 0
local_auth_policy (string)
There are three possible values for this option: match, only, enable. “match” is used to match offline and online states for Kerberos methods. “only” ignores the online methods and only offer the local ones. enable allows explicitly defining the methods for local authentication. As an example, “enable:passkey”, only enables passkey for local authentication. Multiple enable values should be comma-separated, such as “enable:passkey, enable:smartcard”
Please note that if local Smartcard authentication is enabled and a Smartcard is present, Smartcard authentication will be preferred over the authentication methods supported by the backend. I.e. there will be a PIN prompt instead of e.g. a password prompt.
The following configuration example allows local users to authenticate locally using any enabled method (i.e. smartcard, passkey).
[domain/shadowutils] id_provider = proxy proxy_lib_name = files auth_provider = none local_auth_policy = only
It is expected that the “files” provider ignores the local_auth_policy option and supports Smartcard authentication by default.
Default: match
auto_private_groups (рядок)
true
Зауваження: оскільки номер GID і приватна група користувача успадковуються з номера UID, підтримки декількох записів із однаковим номером UID або GID у цьому параметрі не передбачено. Іншими словами, вмикання цього параметра примусово встановлює унікальність записів у просторі ідентифікаторів.
false
hybrid
Якщо UID і GID користувача є різними, значення GID має відповідати запису групи, інакше надійне визначення GID буде просто неможливим.
Ця можливість є корисною для середовищ, де бажаним є усування потреби у супроводі окремих об'єктів груп для користувачів у приватних групах, але зі збереженням наявних приватних груп для користувачів.
Для піддоменів типовим значенням є False для тих піддоменів, які пов'язано із ідентифікаторами POSIX, і True для тих піддоменів, для яких використовується автоматична прив'язка до ідентифікаторів.
Значення параметра auto_private_groups може встановлюватися або на рівні окремих піддоменів у підрозділі, приклад:
[domain/forest.domain/sub.domain] auto_private_groups = false
або на загальному рівні для усіх піддоменів у основному розділі домену за допомогою параметра subdomain_inherit:
[domain/forest.domain] subdomain_inherit = auto_private_groups auto_private_groups = false
Параметри, які є чинними для доменів проксі.
proxy_pam_target (рядок)
Default: not set by default, you have to take an existing pam configuration or create a new one and add the service name here. As an alternative you can enable local authentication with the local_auth_policy option.
proxy_lib_name (рядок)
proxy_resolver_lib_name (рядок)
proxy_fast_alias (булеве значення)
Типове значення: false
proxy_max_children (ціле число)
Типове значення: 10
Домени програм (application)¶
SSSD, з його інтерфейсом D-Bus (див. sssd-ifp(5)) є привабливим для програм як шлюз до каталогу LDAP, де зберігаються дані користувачів і груп. Втім, на відміну від традиційного формату роботи SSSD, де усі користувачі і групи або мають атрибути POSIX, або ці атрибути може бути успадковано з SID Windows, у багатьох випадках користувачі і групи у сценарії підтримки роботи програм не мають атрибутів POSIX. Замість визначення розділу “[domain/НАЗВА]” адміністратор може визначити розділ “[application/НАЗВА]”, який на внутрішньому рівні представляє домен типу “application”, який може успадковувати параметр з традиційного домену SSSD.
Будь ласка, зауважте, що домен програм має так само явним чином увімкнено у параметрі “domains”, отже порядок пошуку між доменом програм і його доменом-близнюком у POSIX має бути встановлено належним чином.
Параметри доменів програм
inherit_from (рядок)
Типове значення: не встановлено
У наведеному нижче прикладі проілюстровано використання домену програм. У цій конфігурації домен POSIX з'єднано із сервером LDAP, він використовується операційною системою через відповідач NSS. Крім того, домен програм також надсилає запит щодо атрибута telephoneNumber, зберігає його як атрибут phone у кеші і робить атрибут phone доступним через інтерфейс D-Bus.
[sssd] domains = appdom, posixdom [ifp] user_attributes = +phone [domain/posixdom] id_provider = ldap ldap_uri = ldap://ldap.example.com ldap_search_base = dc=example,dc=com [application/appdom] inherit_from = posixdom ldap_user_extra_attrs = phone:telephoneNumber
РОЗДІЛ ДОВІРЕНИХ ДОМЕНІВ¶
Деякі параметри, які використовуються у розділі домену, можна також використовувати у розділі довіреного домену, тобто у розділі, який називається “[domain/НАЗВА_ДОМЕНУ/НАЗВА_ДОВІРЕНОГО_ДОМЕНУ]”. Де НАЗВА_ДОМЕНУ є справжнім базовим доменом для долучення. Приклади наведено нижче. У поточній версії підтримуваними параметрами у розділі довіреного домену є такі параметри:
ldap_search_base,
ldap_user_search_base,
ldap_group_search_base,
ldap_netgroup_search_base,
ldap_service_search_base,
ldap_sasl_mech,
ad_server,
ad_backup_server,
ad_site,
use_fully_qualified_names
pam_gssapi_services
pam_gssapi_check_upn
Докладніший опис цих параметрів можна знайти у окремих описах на сторінці підручника.
РОЗДІЛ ПРИВЯЗКИ СЕРТИФІКАТІВ¶
Щоб уможливити розпізнавання за смарткартками та сертифікатами, SSSD повинна мати можливість пов'язувати сертифікати із записами користувачів. Забезпечити таку можливість можна додаванням повного сертифіката до об'єкта LDAP користувача або локальним перевизначенням. Хоча використання повного сертифіката є обов'язковим для використання можливості розпізнавання за смарткарткою у (див. sss_ssh_authorizedkeys(8), щоб дізнатися більше), додавання таких сертифікатів може бути марудною або навіть неможливою справою для загального випадку, коли локальні служби використовують для розпізнавання PAM.
Для додавання гнучкості прив'язкам у SSSD додано правила прив'язки і встановлення відповідності (докладніше про це у розділі sss-certmap(5)).
Правила пов'язування та відповідності можна додати до налаштувань SSSD у окремий розділ із назвою, подібною до “[certmap/НАЗВА_ДОМЕНУ/НАЗВА_ПРАВИЛА]”. У цьому розділі можна використовувати такі параметри:
matchrule (рядок)
Типове значення: KRB5:<EKU>clientAuth, тобто лише сертифікати, у яких Extended Key Usage (розширене використання ключа) дорівнює “clientAuth”
maprule (рядок)
Типове значення:
domains (рядок)
Типове значення: домен, який налаштовано у sssd.conf
priority (ціле число)
Типове значення: найнижча пріоритетність
Щоб спростити налаштовування із зменшити кількість параметрів налаштовування, у надавачі даних “files” передбачено декілька спеціальних властивостей:
РОЗДІЛ НАЛАШТОВУВАННЯ ЗАПИТІВ¶
Якщо існує спеціальний файл (/var/lib/sss/pubconf/pam_preauth_available), модуль PAM SSSD pam_sss надсилатиме запит до SSSD для визначення того, які методи розпізнавання доступні для користувача, який намагається увійти до системи. На основі отриманих результатів pam_sss надсилатиме запит до користувача щодо відповідних реєстраційних даних.
Зростання кількості способів розпізнавання та можливість того, що для окремого користувача передбачено декілька способів, призводить до того, що евристика, яка використовується pam_sss для вибору запиту може не спрацьовувати в усіх можливих випадках. Підвищення гнучкості системи у таких випадках мають забезпечити описані нижче параметри.
Each supported authentication method has its own configuration subsection under “[prompting/...]”. Currently there are:
[prompting/password]
password_prompt
[prompting/2fa]
first_prompt
second_prompt
single_prompt
Якщо другий фактор є необов'язковим і має бути збережено можливість входу або лише за паролем, або за двома факторами, має бути використано двокроковий запит.
Передбачено можливість додавання підрозділу для специфічних служб PAM, наприклад “[prompting/password/sshd]”, для окремої зміни запиту для цієї служби.
ПРИКЛАДИ¶
1. Нижче наведено приклад типових налаштувань SSSD. Налаштування самого домену не наведено, — щоб дізнатися більше про неї, ознайомтеся з документацією щодо налаштовування доменів.
[sssd] domains = LDAP services = nss, pam config_file_version = 2 [nss] filter_groups = root filter_users = root [pam] [domain/LDAP] id_provider = ldap ldap_uri = ldap://ldap.example.com ldap_search_base = dc=example,dc=com auth_provider = krb5 krb5_server = kerberos.example.com krb5_realm = EXAMPLE.COM cache_credentials = true min_id = 10000 max_id = 20000 enumerate = False
2. У наведеному нижче прикладі показано налаштування довіри AD у IPA, де ліс AD складається з двох доменів у структурі батьківський-дочірній. Нехай домен IPA (ipa.com) має стосунки довіри з доменом AD (ad.com). ad.com має дочірній домен (child.ad.com). Щоб увімкнути скорочені назви у дочірньому домені, слід скористатися наведеними нижче налаштуваннями.
[domain/ipa.com/child.ad.com] use_fully_qualified_names = false
3. The following example shows the configuration of a certificate mapping rule. It is valid for the configured domain “my.domain” and additionally for the subdomains “your.domain” and uses the full certificate in the search filter.
[certmap/my.domain/rule_name] matchrule = <ISSUER>^CN=My-CA,DC=MY,DC=DOMAIN$ maprule = (userCertificate;binary={cert!bin}) domains = my.domain, your.domain priority = 10
ТАКОЖ ПЕРЕГЛЯНЬТЕ¶
sssd(8), sssd.conf(5), sssd-ldap(5), sssd-ldap-attributes(5), sssd-krb5(5), sssd-simple(5), sssd-ipa(5), sssd-ad(5), sssd-files(5), sssd-sudo(5), sssd-session-recording(5), sss_cache(8), sss_debuglevel(8), sss_obfuscate(8), sss_seed(8), sssd_krb5_locator_plugin(8), sss_ssh_authorizedkeys(8), sss_ssh_knownhostsproxy(8), sssd-ifp(5), pam_sss(8). sss_rpcidmapd(5) sssd-systemtap(5)
AUTHORS¶
Основна гілка розробки SSSD — https://pagure.io/SSSD/sssd/
05/24/2024 | SSSD |