SSSD-LDAP(5) | Форматы файлов и рекомендации | SSSD-LDAP(5) |
NAME¶
sssd-ldap - Поставщик данных LDAP SSSD
ОПИСАНИЕ¶
На этой справочной странице представлено описание настройки доменов LDAP для sssd(8). Подробные сведения о синтаксисе доступны в разделе “ФОРМАТ ФАЙЛА” справочной страницы sssd.conf(5).
Возможно настроить SSSD на использование нескольких доменов LDAP.
LDAP back end supports id, auth, access and chpass providers. If you want to authenticate against an LDAP server either TLS/SSL or LDAPS is required. sssd does not support authentication over an unencrypted channel. Even if the LDAP server is used only as an identity provider, an encrypted channel is strongly recommended. Please refer to “ldap_access_filter” config option for more information about using LDAP as an access provider.
ПАРАМЕТРЫ КОНФИГУРАЦИИ¶
Все общие параметры конфигурации, которые применимы к доменам SSSD, также применимы и к доменам LDAP. Подробные сведения доступны в разделе “РАЗДЕЛЫ ДОМЕНА” справочной страницы sssd.conf(5). Обратите внимание, что описание атрибутов сопоставления LDAP SSSD LDAP приводится на справочной странице sssd-ldap-attributes(5).
ldap_uri, ldap_backup_uri (строка)
Формат URI должен соответствовать формату, определённому в RFC 2732:
ldap[s]://<host>[:port]
Для явного указания адресов IPv6 <host> необходимо заключать в скобки []
пример: ldap://[fc00::126:25]:389
ldap_chpass_uri, ldap_chpass_backup_uri (строка)
Для включения обнаружения служб необходимо установить значение параметра ldap_chpass_dns_service_name.
По умолчанию: пусто, то есть используется ldap_uri.
ldap_search_base (строка)
Начиная с версии 1.7.0, SSSD поддерживает несколько баз поиска. Используется следующий синтаксис:
search_base[?scope?[filter][?search_base?scope?[filter]]*]
Значением области может быть одно из следующих: «base», «onelevel» или «subtree».
Фильтр должен являться корректным фильтром поиска LDAP согласно спецификации http://www.ietf.org/rfc/rfc2254.txt
Примеры:
ldap_search_base = dc=example,dc=com (что эквивалентно) ldap_search_base = dc=example,dc=com?subtree?
ldap_search_base = cn=host_specific,dc=example,dc=com?subtree?(host=thishost)?dc=example.com?subtree?
Примечание: не поддерживается использование нескольких баз поиска, которые ссылаются на объекты с одинаковыми именами (например, на группы с одинаковым именем в двух разных базах поиска). Это приведёт к непредсказуемому поведению программы на клиентских компьютерах.
По умолчанию: если не задано, используется значение атрибута defaultNamingContext или namingContexts из RootDSE сервера LDAP. Если атрибут defaultNamingContext не существует или имеет пустое значение, используется значение namingContexts. Для работы этого параметра необходимо, чтобы атрибут namingContexts имел одно значение с DN базы поиска сервера LDAP. Использование нескольких значений не поддерживается.
ldap_schema (строка)
В настоящее время поддерживаются четыре типа схем:
Главное различие между этими типами схем заключается в способе записи участия в группах на сервере. В схеме rfc2307 записи участников групп упорядочиваются по имени в атрибуте memberUid. В схемах rfc2307bis и IPA записи участников групп упорядочиваются по DN и хранятся в атрибуте member. В схеме AD атрибуты будут соответствовать значениям 2008r2 Active Directory.
По умолчанию: rfc2307
ldap_pwmodify_mode (строка)
В настоящее время поддерживаются два режима:
Примечание: сначала устанавливается новое соединение для проверки текущего пароля путём привязки от имени пользователя, запросившего смену пароля. В случае успеха это соединение используется для смены пароля, следовательно, у пользователя должны быть права на запись в атрибут userPassword.
По умолчанию: exop
ldap_default_bind_dn (строка)
ldap_default_authtok_type (строка)
В настоящее время поддерживаются два механизма:
password
obfuscated_password
По умолчанию: password
Дополнительные сведения доступны на справочной странице sss_obfuscate(8).
ldap_default_authtok (строка)
ldap_force_upper_case_realm (логическое значение)
По умолчанию: false
ldap_enumeration_refresh_timeout (целое число)
Этот параметр также может быть задан для каждого поддомена отдельно или унаследован с помощью subdomain_inherit.
По умолчанию: 300
ldap_purge_cache_timeout (целое число)
Установка этого параметра в значение «0» отключит очистку кэша. Обратите внимание: если перечисление включено, задание очистки должно выполняться для определения записей, удалённых с сервера, и его нельзя отключить. По умолчанию задание очистки выполняется раз в 3 часа, когда перечисление включено.
Этот параметр также может быть задан для каждого поддомена отдельно или унаследован с помощью subdomain_inherit.
По умолчанию: 0 (отключено)
ldap_group_nesting_level (целое число)
Примечание: этот параметр задаёт гарантированный уровень вложенности групп, который будет обрабатываться при любом поиске. Тем не менее, в результатах поиска могут присутствовать вложенные группы, уровень вложенности которых превышает указанное значение, если при предыдущих поисках выполнялась обработка более глубоких уровней вложенности. Кроме того, последующие поиски других групп могут увеличить набор результатов исходного поиска, когда он будет выполнен повторно.
Если параметр ldap_group_nesting_level установлен в значение «0», обработка вложенных групп выполняться не будет. Тем не менее, если с помощью “id_provider=ad” установлено соединение с Active Directory Server 2008 и выше, также будет необходимо отключить использование групп маркеров путём установки параметра ldap_use_tokengroups в значение «false» для ограничения вложенности групп.
По умолчанию: 2
ldap_use_tokengroups
Этот параметр также может быть задан для каждого поддомена отдельно или унаследован с помощью subdomain_inherit.
По умолчанию: True для AD и IPA, в ином случае — False.
ldap_host_search_base (строка)
Сведения о настройке нескольких баз поиска доступны в описании параметра “ldap_search_base”.
По умолчанию: значение ldap_search_base
ldap_service_search_base (строка)
синтаксис:
search_base[?scope?[filter][?search_base?scope?[filter]]*]
Значением области может быть одно из следующих: «base», «onelevel» или «subtree». Описание работы области доступно в разделе 4.5.1.2 http://tools.ietf.org/html/rfc4511
Фильтр должен являться корректным фильтром поиска LDAP согласно спецификации http://www.ietf.org/rfc/rfc2254.txt
Примеры синтаксиса доступны в разделе примеров “ldap_search_base”.
По умолчанию: значение ldap_search_base
Обратите внимание, что указание области или фильтра не поддерживается для поиска на сервере Active Directory; он может привести к получению большого количества результатов и активировать расширение получения диапазонов (Range Retrieval) в ответе.
ldap_iphost_search_base (строка)
синтаксис:
search_base[?scope?[filter][?search_base?scope?[filter]]*]
Значением области может быть одно из следующих: «base», «onelevel» или «subtree». Описание работы области доступно в разделе 4.5.1.2 http://tools.ietf.org/html/rfc4511
Фильтр должен являться корректным фильтром поиска LDAP согласно спецификации http://www.ietf.org/rfc/rfc2254.txt
Примеры синтаксиса доступны в разделе примеров “ldap_search_base”.
По умолчанию: значение ldap_search_base
Обратите внимание, что указание области или фильтра не поддерживается для поиска на сервере Active Directory; он может привести к получению большого количества результатов и активировать расширение получения диапазонов (Range Retrieval) в ответе.
ldap_ipnetwork_search_base (строка)
синтаксис:
search_base[?scope?[filter][?search_base?scope?[filter]]*]
Значением области может быть одно из следующих: «base», «onelevel» или «subtree». Описание работы области доступно в разделе 4.5.1.2 http://tools.ietf.org/html/rfc4511
Фильтр должен являться корректным фильтром поиска LDAP согласно спецификации http://www.ietf.org/rfc/rfc2254.txt
Примеры синтаксиса доступны в разделе примеров “ldap_search_base”.
По умолчанию: значение ldap_search_base
Обратите внимание, что указание области или фильтра не поддерживается для поиска на сервере Active Directory; он может привести к получению большого количества результатов и активировать расширение получения диапазонов (Range Retrieval) в ответе.
ldap_search_timeout (целое число)
Примечание: этот параметр будет изменён в будущих версиях SSSD. Вероятно, его заменит ряд тайм-аутов для отдельных типов поиска.
Этот параметр также может быть задан для каждого поддомена отдельно или унаследован с помощью subdomain_inherit.
По умолчанию: 6
ldap_enumeration_search_timeout (целое число)
Этот параметр также может быть задан для каждого поддомена отдельно или унаследован с помощью subdomain_inherit.
По умолчанию: 60
ldap_network_timeout (целое число)
Этот параметр также может быть задан для каждого поддомена отдельно или унаследован с помощью subdomain_inherit.
По умолчанию: 6
ldap_opt_timeout (целое число)
Этот параметр также может быть задан для каждого поддомена отдельно или унаследован с помощью subdomain_inherit.
По умолчанию: 8
ldap_connection_expire_timeout (целое число)
Если соединение простаивает (активные операции не выполняются) в течение ldap_opt_timeout секунд после истечения срока действия, оно будет закрыто досрочно, чтобы гарантировать, что новый запрос не может требовать, чтобы соединение оставалось открытым после истечения срока его действия. Это означает, что соединения всегда будут закрываться немедленно, и не будут использоваться повторно, если ldap_connection_expire_timeout <= ldap_opt_timout
Этот тайм-аут может быть увеличен случайным значением, указанным с помощью параметра ldap_connection_expire_offset
Этот параметр также может быть задан для каждого поддомена отдельно или унаследован с помощью subdomain_inherit.
По умолчанию: 900 (15 минут)
ldap_connection_expire_offset (целое число)
Этот параметр также может быть задан для каждого поддомена отдельно или унаследован с помощью subdomain_inherit.
По умолчанию: 0
ldap_connection_idle_timeout (целое число)
Можно отключить этот тайм-аут, установив значение «0».
Этот параметр также может быть задан для каждого поддомена отдельно или унаследован с помощью subdomain_inherit.
По умолчанию: 900 (15 минут)
ldap_page_size (целое число)
По умолчанию: 1000
ldap_disable_paging (логическое значение)
Пример: серверы OpenLDAP с модулем управлением переходами между страницами, который установлен на сервере, но не включён, будут сообщать о нём в RootDSE, но не смогут использовать его.
Пример: в 389 DS есть внутренняя ошибка, из-за которой для одного подключения одновременно поддерживается только одно средство управления переходами между страницами. Если поступает много запросов, это может привести к отказам в выполнении некоторых из них.
По умолчанию: false
ldap_disable_range_retrieval (логическое значение)
Active Directory ограничивает количество участников, которые могут быть получены за один поиск, с помощью политики MaxValRange (значение по умолчанию — 1500 участников). Если группа содержит большее количество участников, ответ будет включать специфичное для AD расширение диапазона. Этот параметр отключает обработку расширения диапазона, следовательно, большие группы будут показаны как группы без участников.
По умолчанию: false
ldap_sasl_minssf (целое число)
По умолчанию: использовать стандартное системное значение (обычно указывается в ldap.conf)
ldap_sasl_maxssf (целое число)
По умолчанию: использовать стандартное системное значение (обычно указывается в ldap.conf)
ldap_deref_threshold (целое число)
Чтобы полностью отключить поиск с разыменованием, установите значение «0». Обратите внимание, что в коде SSSD, например коде поставщика данных HBAC IPA, имеются некоторые инструкции, которые реализуются только с использованием вызова разыменования. Даже если разыменование явно отключено, оно всё равно будет использоваться в этих частях кода, если сервер поддерживает его и объявляет управление разыменованием в объекте rootDSE.
Поиск с разыменованием позволяет получить всех участников групп за один вызов LDAP. На разных серверах LDAP могут быть реализованы разные методы разыменования. В настоящее время поддерживаются следующие серверы: 389/RHDS, OpenLDAP и Active Directory.
Примечание: если какая-либо из баз поиска задаёт фильтр поиска, то улучшение быстродействия поиска с разыменованием будет отключено,независимо от значения этого параметра.
По умолчанию: 10
ldap_ignore_unreadable_references (логическое значение)
Этот параметр может быть полезен, если используется поставщик данных AD, а учетная запись компьютера, используемая sssd для установления соединения с AD, не имеет доступа к определенной записи или поддереву LDAP из соображений безопасности.
По умолчанию: false
ldap_tls_reqcert (строка)
never = клиент не будет запрашивать или проверять сертификаты сервера.
allow = будет запрашиваться сертификат сервера. Если сертификат не предоставлен, сеанс продолжится в обычном режиме. Если предоставлен ошибочный сертификат, он будет проигнорирован, и сеанс продолжится в обычном режиме.
try = будет запрашиваться сертификат сервера. Если сертификат не предоставлен, сеанс продолжится в обычном режиме. Если предоставлен ошибочный сертификат, сеанс немедленно будет завершён.
demand = будет требоваться сертификат сервера. Если сертификат не предоставлен или предоставлен ошибочный сертификат, сеанс немедленно будет завершён.
hard = аналогично “demand”
По умолчанию: hard
ldap_tls_cacert (строка)
По умолчанию: использовать стандартные параметры OpenLDAP, которые обычно хранятся в /etc/openldap/ldap.conf
ldap_tls_cacertdir (строка)
По умолчанию: использовать стандартные параметры OpenLDAP, которые обычно хранятся в /etc/openldap/ldap.conf
ldap_tls_cert (строка)
По умолчанию: не задано
ldap_tls_key (строка)
По умолчанию: не задано
ldap_tls_cipher_suite (строка)
По умолчанию: использовать стандартные параметры OpenLDAP, которые обычно хранятся в /etc/openldap/ldap.conf
ldap_id_use_start_tls (логическое значение)
По умолчанию: false
ldap_id_mapping (логическое значение)
В настоящее время эта функциональная возможность поддерживает только сопоставление objectSID Active Directory.
По умолчанию: false
ldap_min_id, ldap_max_id (целое число)
По умолчанию: не задано (оба параметра установлены в значение 0)
ldap_sasl_mech (строка)
Если внутренний сервер поддерживает поддомены, значение ldap_sasl_mech автоматически наследуется поддоменами. Если для поддомена требуется использовать другое значение, это значение можно перезаписать, явно указав ldap_sasl_mech для этого поддомена. Для получения подробных сведений смотрите «РАЗДЕЛ ДОВЕРЕННЫХ ДОМЕНОВ» на справочной странице sssd.conf(5).
По умолчанию: не задано
ldap_sasl_authid (строка)
hostname@REALM netbiosname$@REALM host/hostname@REALM *$@REALM host/*@REALM host/*
Если они не найдены, возвращается первый участник из таблицы ключей.
По умолчанию: host/hostname@REALM
ldap_sasl_realm (строка)
По умолчанию: значение krb5_realm.
ldap_sasl_canonicalize (логическое значение)
По умолчанию: false;
ldap_krb5_keytab (строка)
Этот параметр также может быть задан для каждого поддомена отдельно или унаследован с помощью subdomain_inherit.
По умолчанию: системная таблица ключей, обычно /etc/krb5.keytab
ldap_krb5_init_creds (логическое значение)
По умолчанию: true
ldap_krb5_ticket_lifetime (целое число)
Этот параметр также может быть задан для каждого поддомена отдельно или унаследован с помощью subdomain_inherit.
По умолчанию: 86400 (24 часа)
krb5_server, krb5_backup_server (строка)
При использовании обнаружения служб для серверов KDC или kpasswd SSSD сначала выполняет поиск записей DNS, в которых в качестве протокола указан _udp. Если такие записи не удаётся найти, SSSD выполняет поиск записей DNS, в которых в качестве протокола указан _tcp.
В предыдущих версиях SSSD этот параметр назывался “krb5_kdcip”. Это устаревшее имя всё ещё распознаётся, но пользователям рекомендуется перейти на использование “krb5_server” в файлах конфигурации.
krb5_realm (строка)
По умолчанию: стандартные параметры системы, см. /etc/krb5.conf
krb5_canonicalize (логическое значение)
По умолчанию: false
krb5_use_kdcinfo (логическое значение)
Дополнительные сведения о модуле локатора доступны на справочной странице sssd_krb5_locator_plugin(8).
По умолчанию: true
ldap_pwd_policy (строка)
none — без оценки на стороне клиента. С помощью этого параметра нельзя отключить политики паролей на стороне сервера.
shadow — использовать атрибуты в стиле shadow(5) для проверки того, не истёк ли срок действия пароля. См. также опцию «ldap_chpass_update_last_change».
mit_kerberos — использовать атрибуты, которые используются MIT Kerberos, для определения того, не истёк ли срок действия пароля. Чтобы обновить эти атрибуты в случае смены пароля, воспользуйтесь chpass_provider=krb5.
По умолчанию: none
Примечание: если на стороне сервера настроена политика паролей, она всегда будет иметь приоритет над политикой, заданной с помощью этого параметра.
ldap_referrals (логическое значение)
Обратите внимание, что sssd поддерживает прослеживание ссылок только в том случае, если сервис собран с OpenLDAP версии 2.4.13 или выше.
Прослеживание ссылок может замедлять работу в средах, где оно широко применяется. Яркий пример такой среды — Microsoft Active Directory. Если в используемой среде нет реальной необходимости в прослеживании ссылок, можно установить этот параметр в значение «false»; это позволит заметно повысить производительность. Поэтому в том случае, когда поставщик данных LDAP SSSD используется совместно с Microsoft Active Directory в качестве внутреннего сервера, рекомендуется установить этот параметр в значение «false». Даже если бы у SSSD была возможность перейти по ссылке к другому контроллеру домена AD, это не позволило бы получить дополнительные данные.
По умолчанию: true
ldap_dns_service_name (строка)
По умолчанию: ldap
ldap_chpass_dns_service_name (строка)
По умолчанию: не задано, то есть обнаружение служб отключено
ldap_chpass_update_last_change (логическое значение)
Рекомендуется установить этот параметр явно, если используется «ldap_pwd_policy = shadow», чтобы сообщить SSSD, будет ли сервер LDAP автоматически обновлять атрибут shadowLastChange LDAP после смены пароля или SSSD должен обновить его.
По умолчанию: false
ldap_access_filter (строка)
Пример:
access_provider = ldap ldap_access_filter = (employeeType=admin)
В этом примере доступ к узлу представляется только тем пользователям, атрибут employeeType которых установлен в значение «admin».
Автономное кэширование для этой возможности ограничивается определением того, было ли предоставлено разрешение на доступ при последнем входе пользователя в сетевом режиме. Если при последнем входе пользователю был разрешён доступ, он также будет разрешён и в автономном режиме. Если же при последнем входе пользователю был запрещён доступ, он также будет запрещён и в автономном режиме.
По умолчанию: пусто
ldap_account_expire_policy (строка)
Обратите внимание, что всегда рекомендуется использовать управление доступом на стороне сервера, то есть сервер LDAP должен отклонять запрос привязки с соответствующим кодом ошибки, даже если пароль верен.
Допускаются следующие значения:
shadow: использовать значение ldap_user_shadow_expire для определения того, не истёк ли срок действия учётной записи.
ad: использовать значение 32-битного поля ldap_user_ad_user_account_control и разрешать доступ, если второй бит не задан. Если атрибут отсутствует, доступ предоставляется. Также проверяется, не истёк ли срок действия учётной записи.
rhds, ipa, 389ds: использовать значение ldap_ns_account_lock, чтобы проверить, разрешён ли доступ.
nds: использовать значения ldap_user_nds_login_allowed_time_map, ldap_user_nds_login_disabled и ldap_user_nds_login_expiration_time, чтобы проверить, разрешён ли доступ. Если все атрибуты отсутствуют, доступ предоставляется.
Обратите внимание, что параметр конфигурации ldap_access_order должен включать “expire”, чтобы можно было использовать параметр ldap_account_expire_policy.
По умолчанию: пусто
ldap_access_order (строка)
filter: использовать ldap_access_filter
lockout: использовать блокировку учётных записей. Если этот параметр установлен, он запрещает доступ, когда атрибут LDAP «pwdAccountLockedTime» присутствует и имеет значение «000001010000Z». Подробные сведения доступны в описании параметра ldap_pwdlockout_dn. Обратите внимание, что для работы этой возможности необходимо задать «access_provider = ldap».
Обратите внимание, что над этим параметром имеет приоритет параметр “ppolicy” и этот параметр может быть удалён в следующей версии.
ppolicy: использовать блокировку учётных записей. Если этот параметр установлен, он запрещает доступ, когда атрибут LDAP «pwdAccountLockedTime» присутствует и имеет значение «000001010000Z» или представляет любое время в прошлом. Значение атрибута «pwdAccountLockedTime» должно заканчиваться на «Z» (это означает часовой пояс UTC). В настоящее время не поддерживается использование других часовых поясов; если они будут заданы, при попытках пользователей войти в систему будет появляться сообщение об отказе в доступе. Подробные сведения доступны в описании параметра ldap_pwdlockout_dn. Обратите внимание, что для работы этой возможности необходимо задать «access_provider = ldap».
expire: использовать ldap_account_expire_policy
pwd_expire_policy_reject, pwd_expire_policy_warn, pwd_expire_policy_renew: эти параметры полезны, если пользователям нужно предупреждение о том, что срок действия пароля истекает, и для проверки подлинности используются не пароли, а, например, ключи SSH.
The difference between these options is the action taken if user password is expired:
Следует учитывать, что для работы этой возможности необходимо указать «access_provider = ldap». Также необходимо указать соответствующую политику паролей в качестве значения параметра «ldap_pwd_policy».
authorized_service: использовать атрибут authorizedService для определения возможности доступа
host: использовать атрибут host для определения возможности доступа
rhost: использовать атрибут rhost для определения возможности доступа удалённого узла
Обратите внимание, что значение поля rhost в pam устанавливается приложением; рекомендуется проверить, что приложение отправляет в pam, прежде чем включать этот параметр управления доступом
По умолчанию: filter
Обратите внимание, что использование значения более одного раза является ошибкой конфигурации.
ldap_pwdlockout_dn (строка)
Пример: cn=ppolicy,ou=policies,dc=example,dc=com
По умолчанию: cn=ppolicy,ou=policies,$ldap_search_base
ldap_deref (строка)
never: разыменование псевдонимов не выполняется.
searching: разыменование псевдонимов выполняется в подчиненных базового объекта, но не при определении расположения базового объекта поиска.
finding: разыменование псевдонимов выполняется только при определении расположения базового объекта поиска.
always: разыменование псевдонимов выполняется как при поиске, так и при определении расположения базового объекта поиска.
По умолчанию: пусто (обрабатывается как never клиентскими библиотеками LDAP)
ldap_rfc2307_fallback_to_local_users (логическое значение)
В некоторых средах, где используется схема RFC2307, локальных пользователей можно сделать участниками групп LDAP путём добавления их имён в атрибут memberUid. При этом нарушается внутренняя согласованность домена, поэтому SSSD обычно удаляет записи «отсутствующих» пользователей из кэшированных данных об участии в группах, как только nsswitch выполняет попытку получить информацию о пользователе через вызовы getpw*() или initgroups().
При использовании этого параметра программа возвращается к проверке наличия ссылок на локальных пользователей и кэширует их записи, чтобы последующие вызовы initgroups() расширяли список локальных пользователей дополнительными группами LDAP.
По умолчанию: false
wildcard_limit (целое число)
В настоящее время только ответчик InfoPipe поддерживает поиск с использованием подстановочных знаков.
По умолчанию: 1000 (часто размер одной страницы)
ldap_library_debug_level (целое число)
OpenLDAP использует битовую карту для включения отладки определённых компонентов, -1 включает полный отладочный вывод.
По умолчанию: 0 (отладка libldap отключена)
ПАРАМЕТРЫ SUDO¶
Подробные инструкции по настройке sudo_provider доступны на справочной странице sssd-sudo(5).
ldap_sudo_full_refresh_interval (целое число)
Это значение должно быть больше, чем ldap_sudo_smart_refresh_interval
Полное обновление можно отключить, установив этот параметр в значение «0». Но должно быть включено либо интеллектуальное, либо полное обновление.
По умолчанию: 21600 (6 часов)
ldap_sudo_smart_refresh_interval (целое число)
Если сервер не поддерживает атрибуты USN, используется атрибут modifyTimestamp.
Примечание: самое высокое значение USN может быть обновлено тремя заданиями: 1) полным и интеллектуальным обновлением sudo (если найдены обновлённые правила), 2) перечислением пользователей и групп (если оно включено и найдены обновлённые пользователи или группы) и 3) повторным подключением к серверу (по умолчанию каждые 15 минут, см. ldap_connection_expire_timeout).
Интеллектуальное обновление можно отключить, установив этот параметр в значение «0». Но должно быть включено либо интеллектуальное, либо полное обновление.
По умолчанию: 900 (15 минут)
ldap_sudo_random_offset (целое число)
Обратите внимание, что эта случайная задержка также применяется при первом запуске SSSD, что откладывает первое обновление правил sudo. Это увеличивает время, в течение которого правила sudo недоступны для использования.
Можно отключить эту задержку, установив значение «0».
По умолчанию: 0 (отключено)
ldap_sudo_use_host_filter (логическое значение)
По умолчанию: true
ldap_sudo_hostnames (строка)
Если этот параметр имеет пустое значение, SSSD будет пытаться автоматически обнаружить имя узла и полное доменное имя.
Если значением ldap_sudo_use_host_filter является false, этот параметр ни на что не влияет.
По умолчанию: не указано
ldap_sudo_ip (строка)
Если этот параметр имеет пустое значение, SSSD будет пытаться автоматически обнаружить адреса.
Если значением ldap_sudo_use_host_filter является false, этот параметр ни на что не влияет.
По умолчанию: не указано
ldap_sudo_include_netgroups (логическое значение)
Если значением ldap_sudo_use_host_filter является false, этот параметр ни на что не влияет.
По умолчанию: true
ldap_sudo_include_regexp (логическое значение)
Если значением ldap_sudo_use_host_filter является false, этот параметр ни на что не влияет.
Note
Использование подстановочного знака — крайне ресурсоёмкая вычислительная операция на стороне сервера LDAP!
На этой справочной странице содержится только описание сопоставления имён атрибутов. Подробные сведения о семантике атрибутов, связанных с sudo, доступны на справочной странице sudoers.ldap(5)
ПАРАМЕТРЫ AUTOFS¶
Некоторые из стандартных значений приведённых ниже параметров зависят от схемы LDAP.
ldap_autofs_map_master_name (строка)
По умолчанию: auto.master
ldap_autofs_map_object_class (строка)
По умолчанию: nisMap (rfc2307, autofs_provider=ad), в ином случае — automountMap
ldap_autofs_map_name (строка)
По умолчанию: nisMapName (rfc2307, autofs_provider=ad), в ином случае — automountMapName
ldap_autofs_entry_object_class (строка)
По умолчанию: nisObject (rfc2307, autofs_provider=ad), в ином случае — automount
ldap_autofs_entry_key (строка)
По умолчанию: cn (rfc2307, autofs_provider=ad), в ином случае — automountKey
ldap_autofs_entry_value (строка)
По умолчанию: nisMapEntry (rfc2307, autofs_provider=ad), в ином случае — automountInformation
Следует учитывать, что средство автоматического монтирования выполняет чтение основной карты только при запуске, поэтому в случае внесения каких-либо изменений, связанных с autofs, в файл sssd.conf, обычно также потребуется перезапустить внутреннюю службу автоматического монтирования после перезапуска SSSD.
ДОПОЛНИТЕЛЬНЫЕ ПАРАМЕТРЫ¶
Эти параметры поддерживаются доменами LDAP, но их следует использовать с осторожностью. Включайте их в конфигурацию, только если точно знаете, какой эффект это произведёт.
ldap_netgroup_search_base (строка)
синтаксис:
search_base[?scope?[filter][?search_base?scope?[filter]]*]
Значением области может быть одно из следующих: «base», «onelevel» или «subtree». Описание работы области доступно в разделе 4.5.1.2 http://tools.ietf.org/html/rfc4511
Фильтр должен являться корректным фильтром поиска LDAP согласно спецификации http://www.ietf.org/rfc/rfc2254.txt
Примеры синтаксиса доступны в разделе примеров “ldap_search_base”.
По умолчанию: значение ldap_search_base
Обратите внимание, что указание области или фильтра не поддерживается для поиска на сервере Active Directory; он может привести к получению большого количества результатов и активировать расширение получения диапазонов (Range Retrieval) в ответе.
ldap_user_search_base (строка)
синтаксис:
search_base[?scope?[filter][?search_base?scope?[filter]]*]
Значением области может быть одно из следующих: «base», «onelevel» или «subtree». Описание работы области доступно в разделе 4.5.1.2 http://tools.ietf.org/html/rfc4511
Фильтр должен являться корректным фильтром поиска LDAP согласно спецификации http://www.ietf.org/rfc/rfc2254.txt
Примеры синтаксиса доступны в разделе примеров “ldap_search_base”.
По умолчанию: значение ldap_search_base
Обратите внимание, что указание области или фильтра не поддерживается для поиска на сервере Active Directory; он может привести к получению большого количества результатов и активировать расширение получения диапазонов (Range Retrieval) в ответе.
ldap_group_search_base (строка)
синтаксис:
search_base[?scope?[filter][?search_base?scope?[filter]]*]
Значением области может быть одно из следующих: «base», «onelevel» или «subtree». Описание работы области доступно в разделе 4.5.1.2 http://tools.ietf.org/html/rfc4511
Фильтр должен являться корректным фильтром поиска LDAP согласно спецификации http://www.ietf.org/rfc/rfc2254.txt
Примеры синтаксиса доступны в разделе примеров “ldap_search_base”.
По умолчанию: значение ldap_search_base
Обратите внимание, что указание области или фильтра не поддерживается для поиска на сервере Active Directory; он может привести к получению большого количества результатов и активировать расширение получения диапазонов (Range Retrieval) в ответе.
Note
Если параметр “ldap_use_tokengroups” включён, к поиску в Active Directory не будут применяться какие-либо ограничения, он вернёт все данные об участии в группах, даже без сопоставления GID. Рекомендуется отключить эту возможность, если имена групп отображаются некорректно.
ldap_sudo_search_base (строка)
синтаксис:
search_base[?scope?[filter][?search_base?scope?[filter]]*]
Значением области может быть одно из следующих: «base», «onelevel» или «subtree». Описание работы области доступно в разделе 4.5.1.2 http://tools.ietf.org/html/rfc4511
Фильтр должен являться корректным фильтром поиска LDAP согласно спецификации http://www.ietf.org/rfc/rfc2254.txt
Примеры синтаксиса доступны в разделе примеров “ldap_search_base”.
По умолчанию: значение ldap_search_base
Обратите внимание, что указание области или фильтра не поддерживается для поиска на сервере Active Directory; он может привести к получению большого количества результатов и активировать расширение получения диапазонов (Range Retrieval) в ответе.
ldap_autofs_search_base (строка)
синтаксис:
search_base[?scope?[filter][?search_base?scope?[filter]]*]
Значением области может быть одно из следующих: «base», «onelevel» или «subtree». Описание работы области доступно в разделе 4.5.1.2 http://tools.ietf.org/html/rfc4511
Фильтр должен являться корректным фильтром поиска LDAP согласно спецификации http://www.ietf.org/rfc/rfc2254.txt
Примеры синтаксиса доступны в разделе примеров “ldap_search_base”.
По умолчанию: значение ldap_search_base
Обратите внимание, что указание области или фильтра не поддерживается для поиска на сервере Active Directory; он может привести к получению большого количества результатов и активировать расширение получения диапазонов (Range Retrieval) в ответе.
ОТРАБОТКА ОТКАЗА¶
Функция обработки отказа позволяет внутренним серверам автоматически переключаться на другой сервер в случае сбоя текущего сервера.
Синтаксис обработки отказа¶
Список серверов разделяется запятыми; рядом с запятыми допускается любое количество пробелов. Серверы перечислены в порядке приоритета. Список может содержать любое количество серверов.
Для каждого параметра конфигурации с поддержкой отработки отказа существуют два варианта: основной (primary) и резервный (backup). Смысл в том, что приоритет получают серверы из списка основных, а поиск резервных серверов выполняется только в том случае, если не удалось связаться с основными серверами. Если выбран резервный сервер, устанавливается 31-секундный тайм-аут. По его истечении SSSD будет периодически пытаться восстановить подключение к одному из основных серверов. Если попытка будет успешной, текущий активный (резервный) сервер будет заменён на основной.
Механизм отработки отказа¶
Механизм отработки отказа различает компьютеры и службы. Внутренний сервер сначала пытается разрешить имя узла указанного компьютера; если попытка разрешения завершается неудачей, компьютер считается работающим в автономном режиме. Дальнейшие попытки подключиться к этому компьютеру для доступа к другим службам не выполняются. Если попытка разрешения успешна, внутренний сервер пытается подключиться к службе на этом компьютере. Если попытка подключения к службе завершается неудачей, работающей в автономном режиме будет считаться только эта служба, и внутренний сервер автоматически переключится на следующую службу. Компьютер продолжает считаться находящимся в сети, возможны дальнейшие попытки подключения к другим службам на нём.
Дальнейшие попытки подключения к компьютерам или службам, обозначенным, как работающие в автономном режиме, выполняются по истечении определённого периода времени; в настоящее время это значения является жёстко заданным и составляет 30 секунд.
Если список компьютеров исчерпан, внутренний сервер целиком переключается на автономный режим и затем пытается восстановить подключение каждые 30 секунд.
Тайм-ауты и тонкая настройка отработки отказа¶
Разрешение имени сервера, к которому следует подключиться, может быть выполнено как за один запрос DNS, так и за несколько шагов, например, при поиске корректного сайта или переборе нескольких имён узлов, если некоторые из настроенных серверов недоступны. Для более сложных сценариев требуется больше времени, и SSSD требуется соблюсти баланс между предоставлением достаточного количества времени для завершения процесса разрешения и не слишком долгим ожиданием перед переходом в автономный режим. Если в журнале отладки SSSD есть данные о том, что время на разрешение сервера истекло до обращения к реальному серверу, рекомендуется изменить значения тайм-аутов.
В этом разделе перечислены доступные настраиваемые параметры. Их описание содержится на справочной странице sssd.conf(5).
dns_resolver_server_timeout
По умолчанию: 1000
dns_resolver_op_timeout
По умолчанию: 3
dns_resolver_timeout
По умолчанию: 6
Для поставщиков данных на основе LDAP операция разрешения выполняется как часть операции установления LDAP-соединения. Следовательно, тайм-аут “ldap_opt_timeout” также следует установить в большее значение, чем “dns_resolver_timeout”, который, в свою очередь, следует установить в большее значение, чем “dns_resolver_op_timeout”, который должен быть больше “dns_resolver_server_timeout”.
ОБНАРУЖЕНИЕ СЛУЖБ¶
Функция обнаружения служб позволяет внутренним серверам автоматически находить серверы, к которым следует подключиться, с помощью специального запроса DNS. Эта возможность не поддерживается для резервных серверов.
Конфигурация¶
Если серверы не указаны, внутренний сервер будет автоматически использовать обнаружение служб, чтобы попытаться найти сервер. Пользователь может (необязательно) задать использование сразу и фиксированных адресов серверов, и обнаружения служб, вставив в список серверов специальное ключевое слово “_srv_”. Обработка выполняется в порядке приоритета. Эта возможность полезна, например, если пользователь предпочитает использовать обнаружение служб всегда, когда это возможно, и подключаться к определённому серверу только в тех случаях, когда серверы не удалось обнаружить с помощью DNS.
Имя домена¶
Дополнительные сведения доступны в описании параметра “dns_discovery_domain” на справочной странице sssd.conf(5).
Протокол¶
В запросах обычно указан протокол _tcp. Исключения задокументированы в описаниях соответствующих параметров.
См. также¶
Дополнительные сведения о механизме обнаружения служб доступны в RFC 2782.
СОПОСТАВЛЕНИЕ ИДЕНТИФИКАТОРОВ¶
Возможность сопоставления идентификаторов позволяет SSSD выступать в роли клиента Active Directory, при этом администраторам не требуется расширять атрибуты пользователя с целью поддержки атрибутов POSIX для идентификаторов пользователей и групп.
ПРИМЕЧАНИЕ: когда сопоставление идентификаторов включено, атрибуты uidNumber и gidNumber игнорируются. Это позволяет избежать возможных конфликтов между значениями, назначенными автоматически, и значениями, назначенными вручную. Если требуется использовать значения, назначенные вручную, следует назначить вручную ВСЕ значения.
Обратите внимание, что изменение параметров конфигурации, связанных с сопоставлением идентификаторов, приведёт к изменению идентификаторов пользователей и групп. В настоящее время SSSD не поддерживает изменение идентификаторов, поэтому базу данных SSSD необходимо удалить. Так как кэшированные пароли также хранятся в в этой базе данных, её удаление должно выполняться только тогда, когда серверы проверки подлинности доступны; в ином случае пользователи могут быть заблокированы. Для кэширования пароля необходимо выполнить проверку подлинности. Для удаления базы данных недостаточно использовать sss_cache(8), на самом деле требуются следующие шаги:
Более того, поскольку смена идентификаторов может сделать необходимым изменение других свойств системы, таких как параметры владения файлами и каталогами, рекомендуется спланировать всё заранее и тщательно протестировать конфигурацию сопоставления идентификаторов.
Алгоритм сопоставления¶
Active Directory предоставляет objectSID для всех объектов пользователей и групп в каталоге. Этот objectSID можно разбить на компоненты, которые соответствуют идентификатору домена Active Directory и относительному идентификатору (RID) объекта пользователя или группы.
Алгоритм сопоставления идентификаторов SSSD берёт диапазон доступных UID и делит его на разделы равного размера — «срезы». Каждый срез представляет собой пространство, доступное домену Active Directory.
Когда запись пользователя или группы определённого домена встречается SSSD в первый раз, SSSD выделяет один из доступных срезов для этого домена. Чтобы такое назначение срезов воспроизводилось на разных клиентских компьютерах, предусмотрен следующий алгоритм выбора среза:
Строка SID передаётся через алгоритм murmurhash3 для её преобразования в 32-битное хэшированное значение. Затем для выбора среза это значение с общим количеством срезов берётся по модулю.
ПРИМЕЧАНИЕ: между хэшем и полученным далее модулем возможны конфликты. В таких случаях будет выбран следующий доступный срез, но на других компьютерах может быть невозможно воспроизвести точно такой же набор срезов (так как порядок, в котором они встречаются, определяет срез). В такой ситуации рекомендуется либо переключиться на использование явных атрибутов POSIX в Active Directory (отключить сопоставление идентификаторов), либо настроить стандартный домен, чтобы гарантировать согласованность хотя бы для одного. См. “Конфигурация”.
Конфигурация¶
Минимальная конфигурация (в разделе “[domain/DOMAINNAME]”):
ldap_id_mapping = True ldap_schema = ad
При стандартной конфигурации настраивается 10000 срезов, каждый из которых может содержать до 200000 идентификаторов, начиная от 200000 и до 2000200000. Этого должно быть достаточно для большинства вариантов развёртывания.
Дополнительная
конфигурация
ldap_idmap_range_min (целое число)
ПРИМЕЧАНИЕ: этот параметр отличается от “min_id”: “min_id” работает как фильтр ответов на запросы к этому домену, в то время как этот параметр управляет диапазоном назначения идентификаторов. Это тонкое различие, но рекомендуется устанавливать значение “min_id” меньшим или равным значению “ldap_idmap_range_min”
По умолчанию: 200000
ldap_idmap_range_max (целое число)
ПРИМЕЧАНИЕ: этот параметр отличается от “max_id”: “max_id” работает как фильтр ответов на запросы к этому домену, в то время как этот параметр управляет диапазоном назначения идентификаторов. Это тонкое различие, но рекомендуется устанавливать значение “max_id” большим или равным значению “ldap_idmap_range_max”
По умолчанию: 2000200000
ldap_idmap_range_size (целое число)
ПРИМЕЧАНИЕ: значение этого параметра должно быть не меньше значения максимального RID пользователя, запланированного для использования на сервере Active Directory. Поиск записи пользователя и вход завершатся неудачей для всех пользователей, RID которых превышает значение этого параметра.
Например, если у последнего добавленного пользователя Active Directory objectSid=S-1-5-21-2153326666-2176343378-3404031434-1107, значение“ldap_idmap_range_size” должно равняться минимум 1108, так как размер диапазона рассчитывается как максимальный SID минус минимальный SID плюс один (т.е. 1108 = 1107 - 0 + 1).
Для будущего расширения важно всё спланировать заранее,поскольку изменение этого значения приведёт к изменению всех сопоставлений идентификаторов в системе и, следовательно, изменению локальных идентификаторов пользователей.
По умолчанию: 200000
ldap_idmap_default_domain_sid (строка)
По умолчанию: не задано
ldap_idmap_default_domain (строка)
По умолчанию: не задано
ldap_idmap_autorid_compat (логическое значение)
When this option is configured, domains will be allocated starting with slice zero and increasing monotonically with each additional domain.
ПРИМЕЧАНИЕ: этот алгоритм является недетерминированным (он зависит от порядка, в котором запрашиваются пользователи и группы). Если этот режим требуется для обеспечения совместимости с компьютерами, где работает winbind, рекомендуется также использовать параметр “ldap_idmap_default_domain_sid”, чтобы гарантировать постоянное выделение хотя бы одного домена для нулевого среза.
По умолчанию: false
ldap_idmap_helper_table_size (целое число)
Примечание: дополнительные вторичные срезы могут быть созданы, когда выполняется сопоставление SID с идентификатором UNIX и часть RID SID находится за пределами диапазона для уже созданных вторичных срезов. Если значение параметра ldap_idmap_helper_table_size равно нулю, дополнительные вторичные срезы не будут созданы.
По умолчанию: 10
Известные SID¶
SSSD поддерживает поиск имён известных SID, то есть SID со специальным жёстко заданным значением. Так как типичные пользователи и группы, связанные с этими известными SID, не имеют аналогов в среде Linux/UNIX, для этих объектов недоступны идентификаторы POSIX.
Пространство имён SID организовано по центрам, которые можно рассматривать как разные домены. Для известных SID используются следующие центры
Записанные прописными буквами варианты этих имён используются в качестве имён доменов при возврате полных имён известных SID.
Так как некоторые утилиты позволяют изменять данные управления доступом на основе SID с помощью имени, а не непосредственного использования SID, SSSD также поддерживает поиск SID по имени. Чтобы избежать конфликтов, для поиска известных SID разрешается использовать только полные имена. Следовательно, нельзя использовать в качестве имён доменов в sssd.conf следующие названия: “NULL AUTHORITY”, “WORLD AUTHORITY”, “ LOCAL AUTHORITY”, “CREATOR AUTHORITY”, “MANDATORY LABEL AUTHORITY”, “AUTHENTICATION AUTHORITY”, “NT AUTHORITY” и “BUILTIN”.
ПРИМЕР¶
В следующем примере предполагается, что конфигурация SSSD корректна и что установка LDAP выполнена для одного из доменов в разделе [domains].
[domain/LDAP] id_provider = ldap auth_provider = ldap ldap_uri = ldap://ldap.mydomain.org ldap_search_base = dc=mydomain,dc=org ldap_tls_reqcert = demand cache_credentials = true
ПРИМЕР ФИЛЬТРА ДОСТУПА LDAP¶
В следующем примере предполагается, что конфигурация SSSD корректна и что используется ldap_access_order=lockout.
[domain/LDAP] id_provider = ldap auth_provider = ldap access_provider = ldap ldap_access_order = lockout ldap_pwdlockout_dn = cn=ppolicy,ou=policies,dc=mydomain,dc=org ldap_uri = ldap://ldap.mydomain.org ldap_search_base = dc=mydomain,dc=org ldap_tls_reqcert = demand cache_credentials = true
ПРИМЕЧАНИЯ¶
Описания некоторых параметров конфигурации на этой справочной странице основаны на справочной странице ldap.conf(5) из дистрибутива OpenLDAP 2.4.
СМ. ТАКЖЕ¶
sssd(8), sssd.conf(5), sssd-ldap(5), sssd-ldap-attributes(5), sssd-krb5(5), sssd-simple(5), sssd-ipa(5), sssd-ad(5), sssd-files(5), sssd-sudo(5), sssd-session-recording(5), sss_cache(8), sss_debuglevel(8), sss_obfuscate(8), sss_seed(8), sssd_krb5_locator_plugin(8), sss_ssh_authorizedkeys(8), sss_ssh_knownhostsproxy(8), sssd-ifp(5), pam_sss(8). sss_rpcidmapd(5) sssd-systemtap(5)
AUTHORS¶
Восходящий источник («апстрим») SSSD — https://github.com/SSSD/sssd/
05/24/2024 | SSSD |