SSSD.CONF(5)

Dateiformate und Konventionen

SSSD.CONF(5)

NAME¶

sssd.conf - die Konfigurationsdatei für SSSD

DATEIFORMAT¶

Die Datei hat eine Syntax im Ini-Stil. Sie besteht aus Abschnitten und Parametern. Ein Abschnitt beginnt mit dem Namen des Abschnitts in eckigen Klammern und dauert bis zum Anfang des nächsten Abschnitts. Ein Beispiel eines Abschnitts mit Parametern, die einzelne und mehrere Werte haben:

[section]
key = value
key2 = value2,value3

Die benutzten Datentypen sind Zeichenkette (keine Anführungszeichen nötig), Ganzzahl und Boolesch (mit den Werten »TRUE« und »FALSE«).

Eine Kommentarzeile beginnt mit einem Rautenzeichen (»#«) oder einem Strichpunkt (»;«). Kommentare innerhalb von Zeilen werden nicht unterstützt.

Alle Abschnitte können einen optionalen Parameter Beschreibung haben. Er dient nur als Beschriftung eines Abschnitts.

sssd.conf muss eine normale Datei sein, die Root gehört und die nur von Root gelesen oder geschrieben werden darf.

ALLGEMEINE OPTIONEN¶

Die folgenden Optionen sind in mehreren Konfigurationsabschnitten verfügbar.

In allen Abschnitten verfügbare Optionen¶

debug_level (Ganzzahl)

SSSD unterstützt zwei Darstellungsmodi für die Angabe der Debug-Stufe. Die einfachste ist die Angabe eines Dezimalwerts von 0 bis 9, welche die Aktivierung der Meldungen der entsprechenden Stufe und aller niederer Stufen bewirkt. Eine umfassendere Option ist die Angabe einer hexadezimalen Bitmaske, um spezifische Stufen zu aktivieren oder zu deaktivieren (wenn Sie beispielsweise eine Stufe unterdrücken wollen).

Please note that each SSSD service logs into its own log file. Also please note that enabling “debug_level” in the “[sssd]” section only enables debugging just for the sssd process itself, not for the responder or provider processes. The “debug_level” parameter should be added to all sections that you wish to produce debug logs from.

In addition to changing the log level in the config file using the “debug_level” parameter, which is persistent, but requires SSSD restart, it is also possible to change the debug level on the fly using the sss_debuglevel(8) tool.

derzeit unterstützte Debug-Stufen:

0, 0x0010: Schwerwiegende Fehler. Alles was SSSD am Start hindern oder es beenden könnte.

1, 0x0020: Kritische Fehler. Dies sind Fehler, die SSSD nicht gewaltsam beenden, aber mindestens eine Hauptfunktion nicht sauber arbeitet.

2, 0x0040: Ernsthafte Fehler. Dies sind Fehler, bei denen eine bestimmte Anfrage oder Operation fehlgeschlagen ist.

3, 0x0080: Kleinere Fehler. Dies sind Fehler, die von geringerer Bedeutung als die fehlgeschlagenen Operationen in der Stufe 2 sind.

4, 0x0100: Konfigurationseinstellungen.

5, 0x0200: Funktionsdaten.

6, 0x0400: Meldungen aus der Verfolgung von Operationsfunktionen.

7, 0x1000: Meldungen aus der Verfolgung interner Kontrollfunktionen.

8, 0x2000: Inhalte funktionsinterner Variablen, die von Interesse sein könnten.

9, 0x4000: Verfolgungsmeldungen extrem niederster Ebene.

Um die Debug-Stufen nach Bitmaske zu protokollieren, fügen Sie deren Nummern hinzu, wie in den folgenden Beispielen gezeigt:

Beispiel: Um fatale, kritische, schwerwiegende Fehler und Funktionsdaten zu protokollieren, benutzen Sie 0x0270.

Beispiel: Um fatale Fehler, Konfigurationseinstellungen, Funktionsdaten und Verfolgungsnachrichten für interne Steuerfunktionen zu protokollieren, benutzen Sie 0x1310.

Hinweis: Das Bitmasken-Format der Debug-Level wurde in 1.7.0 eingeführt.

Voreinstellung: 0

debug_timestamps (Boolesch)

Add a timestamp to the debug messages. If journald is enabled for SSSD debug logging this option is ignored.

Voreinstellung: »true«

debug_microseconds (Boolesch)

Add microseconds to the timestamp in debug messages. If journald is enabled for SSSD debug logging this option is ignored.

Voreinstellung: »false«

In den Abschnitten SERVICE und DOMAIN verwendbare Optionen¶

timeout (Ganzzahl)

Zeitüberschreitung in Sekunden zwischen Herzschlägen dieses Dienstes. Dies dient dazu, sicherzustellen, dass ein Prozess läuft und in der Lage ist, Anfragen zu beantworten.

Voreinstellung: 10

BESONDERE ABSCHNITTE¶

Der Abschnitt [sssd]¶

Individuelle Teile der SSSD-Funktionalität werden durch spezielle SSSD-Dienste bereitgestellt, die zusammen mit SSSD gestartet und gestoppt werden. Die Dienste werden durch einen speziellen Dienst, oft »Monitor« genannt, verwaltet. Der Abschnitt »[sssd]« wird sowohl zum Konfigurieren des Monitors als auch einiger anderer wichtiger Optionen wie den »Identity Domains« verwendet.

Abschnittsparameter

config_file_version (Ganzzahl)

gibt die Syntax der Konfigurationsdatei an. SSSD 0.6.0 und neuer benutzen Version 2.

Dienste

Durch Kommata getrennte Liste der Dienste, die beim Start von SSSD selbst gestartet werden.

Unterstützte Dienste sind: nss, pam , sudo , autofs , ssh , pac , ifp

reconnection_retries (Ganzzahl)

Anzahl der Versuche, die ein Dienst unternehmen sollte, um sich erneut zu verbinden, bevor er aufgibt, falls ein Datenanbieter abgestürzt ist oder neu startet.

Voreinstellung: 3

Domains

A domain is a database containing user information. SSSD can use more domains at the same time, but at least one must be configured or SSSD won´t start. This parameter described the list of domains in the order you want them to be queried. A domain name should only consist of alphanumeric ASCII characters, dashes, dots and underscores.

re_expression (Zeichenkette)

voreingestellter regulärer Ausdruck, der beschreibt, in welche Bestandteile die Zeichenkette mit Benutzernamen und Domain bei der Auswertung zerlegt werden sollen.

Für jede Domain kann ein individueller regulärer Ausdruck konfiguriert werden. Für einige ID-Anbieter gibt es auch voreingestellte reguläre Ausdrücke. Weitere Informationen über diese regulären Ausdrücke finden Sie unter DOMAIN-ABSCHNITTE.

full_name_format (Zeichenkette)

ein mit printf(3) kompatibles Format, das beschreibt, wie ein voll qualifizierter Name aus den Bestandteilen Benutzername und Domain-Name zusammengestellt wird.

Die folgenden Erweiterungen werden unterstützt:

%1$s

Benutzername

%2$s

Domain-Name, wie er durch die SSSD-Konfigurationsdatei angegeben wird

%3$s

flacher Name der Domain; meist für Active-Directory-Domains nützlich, sowohl direkt konfiguriert als auch über IPA-Trust

Für jede Domain kann eine individuelle Formatzeichenkette konfiguriert werden. Weitere Informationen über diese Option finden Sie unter DOMAIN-ABSCHNITTE.

try_inotify (Boolesch)

SSSD überwacht den Status der »resolv.conf«, um festzustellen, wann es seinen internen DNS-Resolver aktualisieren muss. Standardmäßig werden wir versuchen, dafür Inotify zu benutzen. Falls Inotify nicht benutzt werden kann, werden wir darauf zurückgreifen, alle fünf Sekunden »resolv.conf« abzufragen.

Es gibt ein paar begrenzte Situationen, in denen wir den Versuch, Inotify zu benutzen, vorzugsweise überspringen sollten. In diesen seltenen Fällen sollte diese Option auf »false« gesetzt werden.

Voreinstellung: »true« auf Plattformen, auf denen Inotify unterstützt wird, »false« auf anderen Plattformen.

Hinweis: Diese Option wird auf Plattformen, auf denen Inotify nicht verfügbar ist, keine Auswirkungen haben.

krb5_rcache_dir (Zeichenkette)

Verzeichnis auf dem Dateisystem, auf dem SSSD Dateien des Kerberos-Replay-Zwischenspeichers speichern sollte.

Diese Option akzeptiert einen besonderen Wert, __LIBKRB5_DEFAULTS__, der SSSD anweisen wird, Libkrb5 die Entscheidung zu überlassen, wo der geeignete Ort für den Replay-Zwischenspeicher ist.

Voreinstellung: ahängig von der Distribution und zur Bauzeit angegeben (__LIBKRB5_DEFAULTS__, falls nicht konfiguriert)

user (string)

The user to drop the privileges to where appropriate to avoid running as the root user.

Default: not set, process will run as root

default_domain_suffix (Zeichenkette)

Diese Zeichenkette wird als Standard-Domain-Name für alle Namen ohne einen Domain-Namensbestandteil benutzt. Hauptsächlich wird dies in Umgebungen benutzt, in denen die primäre Domain zur Verwaltung von Rechnerrichtlinien gedacht ist und sich alle Anwender in einer vertrauenswürdigen Domain befinden. Die Option ermöglicht diesen Anwendern die Anmeldung allein mit ihrem Benutzernamen ohne auch eine Domain anzugeben.

Please note that if this option is set all users from the primary domain have to use their fully qualified name, e.g. user@domain.name, to log in. Setting this option changes default of use_fully_qualified_names to True. It is not allowed to use this option together with use_fully_qualified_names set to False.

Voreinstellung: nicht gesetzt

override_space (string)

This parameter will replace spaces (space bar) with the given character for user and group names. e.g. (_). User name "john doe" will be "john_doe" This feature was added to help compatibility with shell scripts that have difficulty handling spaces, due to the default field separator in the shell.

Please note it is a configuration error to use a replacement character that might be used in user or group names. If a name contains the replacement character SSSD tries to return the unmodified name but in general the result of a lookup is undefined.

Default: not set (spaces will not be replaced)

certificate_verification (string)

With this parameter the certificate verification can be tuned with a comma separated list of options. Supported options are:

no_ocsp

Disables Online Certificate Status Protocol (OCSP) checks. This might be needed if the OCSP servers defined in the certificate are not reachable from the client.

Unknown options are reported but ignored.

Default: not set, i.e. do not restrict certificate vertification

DIENSTABSCHNITTE¶

Dieser Abschnitt beschreibt Einstellungen, die zum Konfigurieren mehrerer unterschiedlicher Dienste benutzt werden. Sie sollten im Abschnitt [$NAME] liegen, für den Dienst NSS wäre der Abschnitt zum Beispiel “[nss]”.

Allgemeine Optionen zum Konfigurieren von Diensten¶

Diese Optionen können zur Konfiguration jedes Dienstes benutzt werden.

reconnection_retries (Ganzzahl)

Anzahl der Versuche, die ein Dienst unternehmen sollte, um sich erneut zu verbinden, bevor er aufgibt, falls ein Datenanbieter abgestürzt ist oder neu startet.

Voreinstellung: 3

fd_limit

Diese Option gibt die maximale Anzahl von Dateideskriptoren an, die gleichzeitig durch diesen SSSD-Prozess geöffnet sein können. Auf Systemen, auf denen SSSD die Fähigkeit CAP_SYS_RESOURCE gewährt wird, wird dies eine absolute Einstellung sein. Auf Systemen ohne diese Fähigkeit wird der resultierende Wert der niedrigere Wert hiervon oder der der »harten« Begrenzung in der »limit.conf« sein.

Voreinstellung: 8192 (oder die »harte« Begrenzung der »limit.conf«)

client_idle_timeout

Diese Option gibt die Anzahl der Sekunden an, während der ein Client eines SSSD-Prozesses einen Dateideskriptor behalten kann, ohne damit zu kommunizieren. Dieser Wert wird begrenzt, um zu verhindern, dass Ressourcen des Systems blockiert werden.

Voreinstellung: 60

force_timeout (Ganzzahl)

Falls ein Dienst nicht auf Ping-Prüfungen antwortet (siehe die Option »timeout«), wird ihm zuerst das Signal SIGTERM gesendet, das ihn anweist anstandslos zu enden. Falls der Dienst sich nicht nach »force_timeout« Sekunden beendet, wird der Monitor sein Beenden durch Senden des Signals SIGKILL erzwingen.

Voreinstellung: 60

offline_timeout (Ganzzahl)

When SSSD switches to offline mode the amount of time before it tries to go back online will increase based upon the time spent disconnected. This value is in seconds and calculated by the following:

offline_timeout + random_offset

The random offset can increment up to 30 seconds. After each unsuccessful attempt to go online, the new interval is recalculated by the following:

new_interval = old_interval*2 + random_offset

Note that the maximum length of each interval is currently limited to one hour. If the calculated length of new_interval is greater than an hour, it will be forced to one hour.

Voreinstellung: 60

subdomain_inherit (string)

Specifies a list of configuration parameters that should be inherited by a subdomain. Please note that only selected parameters can be inherited. Currently the following options can be inherited:

ignore_group_members

ldap_purge_cache_timeout

ldap_use_tokengroups

ldap_user_principal

Example:

subdomain_inherit = ldap_purge_cache_timeout

Voreinstellung: none

NSS-Konfigurationsoptionen¶

Diese Optionen können zum Konfigurieren des »Name Service Switch« (NSS) benutzt werden

enum_cache_timeout (Ganzzahl)

Wieviele Sekunden soll »nss_sss« Aufzählungen (Abfragen von Informationen über alle Nutzer) zwischenspeichern?

Voreinstellung: 120

entry_cache_nowait_percentage (Ganzzahl)

Der Eintragszwischenspeicher kann auf automatisch im Hintergrund aktualisierte Einträge gestellt werden, falls sie jenseits eines Prozentsatzes des Wertes »entry_cache_timeout« für die Domain abgefragt werden.

Falls zum Beispiel die Zeitüberschreitung für den Eintragszwischenspeicher der Domain auf 30s und »entry_cache_nowait_percentage« auf 50 Prozent gesetzt wurde, werden Einträge, die in den letzten 15 Sekunden nach der letzen Zwischenspeicheraktualisierung hereinkamen, sofort zurückgegeben, SSSD wird aber den Zwischenspeicher selbst aktualisieren, so dass zukünftige Abfragen nicht blockiert werden müssen, um auf eine Zwischenspeicheraktualisierung zu warten.

Gültige Werte für diese Option sind 0-99. Sie geben die Prozentzahl des »entry_cache_timeout« für jede Domain an. Aus Leistungsgründen wird diese Prozentzahl die »nowait«-Zeitüberschreitung nie auf weniger als zehn Sekunden senken. (0 schaltet diese Funktionalität aus.)

Voreinstellung: 50

entry_negative_timeout (Ganzzahl)

gibt an, für wie viele Sekunden lang »nss_sss« negative Zwischenspeichertreffer zwischenspeichern soll (das heißt, Abfragen ungültiger Datenbankeinträge, wie solche, die nicht existieren), bevor das Backend erneut gefragt wird).

Voreinstellung: 15

filter_users, filter_groups (Zeichenkette)

schließt bestimmte Nutzer von der Abfrage aus der SSS-NSS-Datenbank aus, was insbesondere für Systemkonten nützlich ist. Diese Option kann auch pro Domain gesetzt werden oder voll qualifizierte Namen enthalten, um nur Nutzer von einer bestimmten Domain herauszufiltern.

Voreinstellung: root

filter_users_in_groups (Boolesch)

Falls Sie möchten, dass gefilterte Nutzer weiterhin Gruppenmitglieder sind, setzen Sie diese Option auf »false«.

Voreinstellung: »true«

override_homedir (Zeichenkette)

setzt das Home-Verzeichnis des Benutzers außer Kraft. Sie können entweder einen absoluten Wert oder eine Schablone bereitstellen. In der Schablone werden die folgenden Sequenzen ersetzt:

Anmeldename

UID-Nummer

Domain-Name

voll qualifizierter Benutzername (Benutzer@Domain)

UPN - User Principal Name (name@REALM)

das Original-Home-Verzeichnis, das vom Identitätsanbieter geholt wurde

Der Wert der Konfigurationsoption homedir_substring.

ein buchstäbliches »%«

Diese Option kann auch pro Domain gesetzt werden.

Beispiel:

override_homedir = /home/%u

Voreinstellung: nicht gesetzt (SSSD wird den von LDAP geholten Wert benutzen)

homedir_substring (Zeichenkette)

Der Wert dieser Option wird als Auflösung der Option override_homedir verwendet, falls die Vorlage die Formatzeichenkette %H enthält. Ein LDAP-Verzeichniseintrag kann diese Schablone direkt enthalten, so dass diese Option zum Auflösen des Pfades zum Home-Verzeichnis für jeden Client-Rechner (oder Betriebssystem) verwendet werden kann. Sie kann pro-Domain oder global im Abschnitt [nss] gesetzt werden. Ein im Domain-Abschnitt angegebener Wert setzt jenen im [nss]-Abschnitt außer Kraft.

Voreinstellung: /home

fallback_homedir (Zeichenkette)

setzt eine Standardschablone für das Home-Verzeichnis eines Nutzers, falls es nicht explizit durch den Datenanbieter der Domain angegeben wurde.

Die für diese Option verfügbaren Werte sind dieselben wie für »override_homedir«.

Beispiel:

fallback_homedir = /home/%u

Voreinstellung: nicht gesetzt (kein Ersetzen nicht gesetzter Home-Verzeichnisse)

override_shell (Zeichenkette)

Setzt die Anmeldeshell für alle Benutzer außer Kraft. Diese Option genießt Vorrecht vor allen anderen Shell-Optionen, falls sie Wirkung zeigt und kann entweder im Abschnitt [nss] oder für jede Domain gesetzt werden.

Voreinstellung: nicht gesetzt (SSSD wird den von LDAP erhaltenen Wert benutzen)

allowed_shells (Zeichenkette)

beschränkt die Shell des Nutzers auf eine der aufgeführten Werte. Die Reihenfolge der Auswertung ist:

1. Falls die Shell in »/etc/shells« vorhanden ist, wird sie benutzt.

2. Falls die Shell in der Liste »allowed_shells«, aber nicht in »/etc/shells« steht, wird der Wert des Parameters »shell_fallback« verwendet.

3. Falls die Shell weder in der Liste »allowed_shells« noch in »/etc/shells« steht, wird eine Nicht-Login-Shell benutzt.

The wildcard (*) can be used to allow any shell.

The (*) is useful if you want to use shell_fallback in case that user´s shell is not in “/etc/shells” and maintaining list of all allowed shells in allowed_shells would be to much overhead.

Eine leere Zeichenkette als Shell wird, so wie sie ist, an Libc übergeben.

»/etc/shells« wird nur beim Start von SSSD gelesen. Das bedeutet, dass im Fall einer neu installierten Shell ein Neustart von SSSD nötig ist.

Voreinstellung: nicht gesetzt. Die Benutzer-Shell wird automatisch verwendet.

vetoed_shells (Zeichenkette)

ersetzt jedwede Instanz dieser Shells durch die aus »shell_fallback«.

shell_fallback (Zeichenkette)

Die Standard-Shell, die benutzt werden soll, falls eine erlaubte Shell nicht auf dem Rechner installiert ist.

Voreinstellung: /bin/sh

default_shell

Die zu verwendende Vorgabeshell, falls der Anbieter während des Suchvorgangs nichts zurückgibt. Diese Option kann entweder im Abschnitt [nss] oder für jede Domain gesetzt werden.

Voreinstellung: nicht gesetzt (Falls keine Shell angegeben wurde, wird NULL zurückgegeben und darauf vertraut, dass Libc es, wenn nötig, durch etwas Vernünftiges, üblicherweise /bin/sh, ersetzt.)

get_domains_timeout (Ganzzahl)

gibt die Zeit in Sekunden an, während der die Liste der Subdomains als gültig erachtet wird.

Voreinstellung: 60

memcache_timeout (Ganzzahl)

Specifies time in seconds for which records in the in-memory cache will be valid.

Voreinstellung: 300

NOTE: If the environment variable SSS_NSS_USE_MEMCACHE is set to "NO", client applications will not use the fast in-memory cache.

user_attributes (Zeichenkette)

Some of the additional NSS responder requests can return more attributes than just the POSIX ones defined by the NSS interface. The list of attributes is controlled by this option. It is handled the same way as the “user_attributes” option of the InfoPipe responder (see sssd-ifp(5) for details) but with no default values.

To make configuration more easy the NSS responder will check the InfoPipe option if it is not set for the NSS responder.

Default: not set, fallback to InfoPipe option

PAM-Konfigurationsoptionen¶

Diese Optionen können benutzt werden, um den Dienst »Pluggable Authentication Module« (PAM) einzurichten.

offline_credentials_expiration (Ganzzahl)

Wie lange sollen zwischengespeicherte Anmeldungen erlaubt werden, falls der Authentifizierungsanbieter offline ist (in Tagen seit der letzten erfolgreichen Anmeldung)?

Voreinstellung: 0 (unbegrenzt)

offline_failed_login_attempts (Ganzzahl)

Wieviele fehlgeschlagene Anmeldeversuche sind erlaubt, falls der Authentifizierungsanbieter offline ist?

Voreinstellung: 0 (unbegrenzt)

offline_failed_login_delay (Ganzzahl)

die Zeit in Minuten, die nach dem Erreichen von »offline_failed_login_attempts« vergehen muss, bevor ein neuer Anmeldeversuch möglich ist.

Falls dies auf 0 gesetzt ist, kann der Benutzer sich nicht offline authentifizieren, wenn »offline_failed_login_attempts« erreicht wurde. Nur eine erfolgreiche Online-Authentifizierung kann die Offline-Authentifizierung reaktivieren.

Voreinstellung: 5

pam_verbosity (Ganzzahl)

steuert, welche Arten von Nachrichten während der Benutzerauthentifizierung angezeigt werden. Je höher die Zahl, desto mehr Nachrichten werden angezeigt.

Derzeit unterstützt SSSD folgende Werte:

0: keine Nachricht anzeigen

1: nur wichtige Nachrichten anzeigen

2: nur informative Nachrichten anzeigen

3: alle Nachrichten und Debug-Informationen anzeigen

Voreinstellung: 1

pam_id_timeout (Ganzzahl)

Für alle PAM-Anfragen, während SSSD online ist, wird SSSD versuchen, sofort die zwischengespeicherten Identitätsinformationen für den Benutzer zu aktualisieren. Dadurch wird sichergestellt, dass die Authentifizierung mit den neusten Informationen erfolgt.

Eine vollständige PAM-Konversation kann mehrere PAM-Abfragen durchführen, wie die Kontenverwaltung und das Öffnen von Sitzungen. Diese Option steuert (auf Basis von Client-Anwendungen) wie lange (in Sekunden) die Identitätsinformationen zwischengespeichert werden können, um übermäßig viele Abfragen der Identitätsanbieter zu vermeiden.

Voreinstellung: 5

pam_pwd_expiration_warning (Ganzzahl)

zeigt N Tage vor Ablauf des Passworts eine Warnung an.

Bitte beachten Sie, dass der Backend-Server Informationen über die Ablaufzeit des Passworts bereitstellen muss. Fehlt diese Information, kann SSSD keine Warnung anzeigen.

Falls dies auf Null gesetzt ist, wird dieser Filter nicht angewendet, d.h., falls die Ablaufwarnung vom Backend-Server empfangen wurde, wird sie automatisch angezeigt.

Diese Einstellung kann durch Setzen von pwd_expiration_warning für eine bestimmte Domain außer Kraft gesetzt werden.

Voreinstellung: 0

get_domains_timeout (Ganzzahl)

gibt die Zeit in Sekunden an, während der die Liste der Subdomains als gültig erachtet wird.

Voreinstellung: 60

pam_trusted_users (string)

Specifies the comma-separated list of UID values or user names that are allowed to access the PAM responder. User names are resolved to UIDs at startup.

Default: all (All users are allowed to access the PAM responder)

Please note that UID 0 is always allowed to access the PAM responder even in case it is not in the pam_trusted_users list.

pam_public_domains (string)

Specifies the comma-separated list of domain names that are accessible even to untrusted users.

Two special values for pam_public_domains option are defined:

all (Untrusted users are allowed to access all domains in PAM responder.)

none (Untrusted users are not allowed to access any domains PAM in responder.)

Voreinstellung: none

pam_account_expired_message (string)

If user is authenticating using SSH keys and account is expired then by default ´Permission denied´ is output. This output will be changed to content of this variable if it is set.

Beispiel:

pam_account_expired_message = Account expired, please call help desk.

Voreinstellung: none

p11_child_timeout (integer)

How many seconds will pam_sss wait for p11_child to finish.

Voreinstellung: 10

Sudo-Konfigurationsoptionen¶

Diese Optionen können zur Konfiguration des Sudo-Dienstes verwendet werden. Detaillierte Informationen zur Konfiguration von sudo(8) zur Verwendung mit sssd(8) finden Sie in der Handbuchseite zu sssd-sudo(5).

sudo_timed (Boolesch)

bestimmt, ob die Attribute »sudoNotBefore« und »sudoNotAfter«, die zeitabhängige »sudoers«-Einträge implementieren, ausgewertet werden oder nicht.

Voreinstellung: »false«

AUTOFS-Konfigurationsoptionen¶

Diese Optionen können zum Konfigurieren des Dienstes »autofs« benutzt werden.

autofs_negative_timeout (Ganzzahl)

gibt an, wie viele Sekunden der Autofs-Responder negative Treffer zwischenspeichert (das bedeutet, Abfragen ungültiger Abbildeinträge, wie nicht existierende), bevor das Backend erneut befragt wird.

Voreinstellung: 15

Bitte beachten Sie, dass der Automounter beim Start nur die Master-Abbildung liest. Daher müssen Sie normalerweise, falls irgendwelche zu Autofs gehörigen Änderungen in der »sssd.conf« vorgenommen wurden, den Automounter-Daemon nach dem SSSD-Neustart ebenfalls neu starten.

SSH-Konfigurationsoptionen¶

Diese Optionen können zum Konfigurieren des SSH-Dienstes benutzt werden.

ssh_hash_known_hosts (Boolesch)

bestimmt, ob Rechnernamen und Adressen in der verwalteten Datei »known_hosts« zusammengemischt werden oder nicht.

Voreinstellung: »true«

ssh_known_hosts_timeout (Ganzzahl)

bestimmt, wie viele Sekunden lang ein Rechner in der verwalteten Datei »known_hosts« behalten wird, bevor seine Rechnerschlüssel abgefragt werden.

Voreinstellung: 180

ca_db (string)

Path to a storage of trusted CA certificates. The option is used to validate user certificates before deriving public ssh keys from them.

Default: /etc/pki/nssdb

PAC-Responder-Konfigurationsoptionen¶

Der PAC-Responder arbeitet mit der Autorisierungsdatenerweiterung für »sssd_pac_plugin.so« von MIT Kerberos und einem Subdomain-Anbieter. Die Erweiterung sendet die PAC-Daten während einer GSSAPI-Authentifizierung an den PAC-Responder. Der Subdomain-Anbieter sammelt die SID- und ID-Bereiche der Domain, zu der der Client gehört, und die fernen vertrauenswürdigen Domains vom lokalen Domain-Controller. Falls der PAC entschlüsselt und ausgewertet wurde, werden einige der folgenden Transaktionen durchgeführt:

•Falls der ferne Benutzer nicht im Zwischenspeicher existiert, wird er erstellt. Die UID wird mithilfe der SID bestimmt, vertrauenswürdige Domains werden UPGs und GID denselben Wert wie die UID haben. Das Home-Verzeichnis wird auf Basis des Parameters »subdomain_homedir« gesetzt. Die Shell wird standardmäßig leer sein, d.h. die Voreinstellungen des Systems werden benutzt, können jedoch mit dem Parameter »default_shell« überschrieben werden.

•Falls es Gruppen-SIDs von Domains gibt, die SSSD kennt, wird der Benutzer zu diesen Gruppen hinzugefügt.

Diese Optionen können zur Konfiguration des PAC-Responders verwendet werden.

allowed_uids (Zeichenkette)

gibt die durch Kommata getrennte Liste von UID-Werten oder Benutzernamen an, denen der Zugriff auf den PAC-Responder erlaubt ist. Benutzernamen werden beim Starten zu UIDs aufgelöst.

Voreinstellung: 0 (Nur dem Benutzer Root ist der Zugriff auf den PAC-Responder gestattet.)

Bitte beachten Sie, dass, obwohl die UID 0 als Voreinstellung benutzt wird, diese Option sie überschriebt. Falls Sie weiterhin dem Benutzer Root Zugriff auf den PAC-Responder gewähren möchten, was der Normalfall ist, müssen Sie der Liste der erlaubten UIDs auch die 0 hinzufügen.

DOMAIN-ABSCHNITTE¶

Diese Konfigurationsoptionen können in einem Abschnitt einer Domain-Konfiguration vorhanden sein, das heißt, in einem Abschnitt namens “[domain/NAME]”

min_id,max_id (Ganzzahl)

UID- und GID-Beschränkungen für die Domain. Falls eine Domain einen Eintrag enthält, der jenseits dieser Beschränkungen liegt, wird er ignoriert.

Dies beeinflusst die Haupt-GID-Beschränkung für Benutzer. Der Benutzer wird nicht an NSS zurückgegeben, falls entweder die UID oder die Haupt-GID außerhalb des Bereichs liegt. Bei Mitgliedschaften in Nichthauptgruppen werden jene, die im Bereich liegen, wie erwartet gemeldet.

Diese ID-Beschränkungen beeinflussen sogar das Speichern von Einträgen in den Zwischenspeicher und nicht nur ihre Rückgabe über Name oder ID.

Voreinstellung: 1 für »min_id«, 0 (keine Beschränkung) für »max_id«

enumerate (Boolesch)

bestimmt, ob eine Domain aufgezählt werden kann. Dieser Parameter kann einen der folgenden Werte haben:

TRUE = Benutzer und Gruppen werden aufgezählt.

FALSE = keine Aufzählungen für diese Domain

Voreinstellung: FALSE

Hinweis: Aktivieren der Aufzählung hat mäßige Auswirkungen auf die Leistung von SSSD, während die Aufzählung läuft. Das Vervollständigen der Aufzählungen kann nach dem Start von SSSD mehrere Minuten dauern. Während dieser Zeit werden individuelle Abfragen von Informationen direkt an LDAP gehen, obwohl es aufgrund des Aufzählungsprozesses möglicherweise langsam ist. Speichern einer großen Menge von Einträgen in den Zwischenspeicher, nachdem die Aufzählung vollständig ist, kann ebenfalls CPU-lastig sein, da die Mitgliedschaften neu berechnet werden müssen.

Während die erste Aufzählung läuft, geben Anfragen nach vollständigen Benutzer- oder Gruppenlisten möglicherweise bis zur Fertigstellung keine Ergebnisse zurück.

Darüber hinaus kann das Aktivieren der Aufzählung dazu führen, dass Netzwerkausfälle erst später entdeckt werden. Dies kommt daher, dass längere Zeitüberschreitungen vonnöten sind, um sicherzustellen, dass das Nachschlagen von Aufzählungen vollständig erfolgreich war. Weitere Informationen finden Sie in den Handbuchseiten für den jeweils aktuell benutzten »id_provider«.

Aus den oben genannten Gründen wird das Aktivieren von Aufzählungen, insbesondere in großen Umgebungen, nicht empfohlen.

subdomain_enumerate (Zeichenkette)

Legt fest, ob eventuell automatisch erkannte vertrauenswürdige Domains aufgezählt werden sollen. Folgende Werte werden unterstützt:

all

Alle entdeckten vertrauenswürdigen Domains werden aufgezählt.

none

Keine der entdeckten vertrauenswürdigen Domains wird aufgezählt.

Optional wird eine Liste aus einer oder mehreren Domain-Namen die Aufzählung für genau diese vertrauenswürdigen Domains aktivieren.

Voreinstellung: none

force_timeout (Ganzzahl)

Voreinstellung: 60

entry_cache_timeout (Ganzzahl)

bestimmt, wie viele Sekunden lang »nss_sss« Einträge als gültig betrachten soll, bevor das Backend erneut abgefragt wird.

Die Ablaufzeitstempel werden als Attribute individueller Objekte im Zwischenspeicher gespeichert. Daher zeigt die Änderung der Ablaufzeiten im Zwischenspeicher nur Wirkung bei neu hinzugefügten oder abgelaufenen Einträgen. Sie sollten sss_cache(8) ausführen, um die Aktualisierung von Einträgen zu erzwingen, die bereits zwischengespeichert wurden.

Voreinstellung: 5400

entry_cache_user_timeout (Ganzzahl)

bestimmt, wie viele Sekunden lang »nss_sss« Benutzereinträge als gültig betrachten soll, bevor das Backend erneut abgefragt wird.