SSSD-LDAP(5)

Формати файлів та правила

SSSD-LDAP(5)

NAME¶

sssd-ldap - Модуль надання даних LDAP SSSD

ОПИС¶

На цій сторінці довідника описано налаштування доменів LDAP для sssd(8). Щоб дізнатися більше про синтаксис налаштування, зверніться до розділу «ФОРМАТ ФАЙЛІВ» сторінки довідника sssd.conf(5).

Ви можете налаштувати SSSD на використання декількох доменів LDAP.

У основному модулі LDAP передбачено підтримку засобів надання ідентифікатора (id), уповноважень (auth), доступу (access) та зміни паролів (chpass). Якщо ви бажаєте виконувати розпізнавання на сервері LDAP, потрібен TLS/SSL або LDAPS. У sssd не передбачено підтримки розпізнавання за допомогою шифрованого каналу обміну даними. Якщо сервер LDAP використовується лише для надання даних профілів, потреби у шифруванні каналу обміну даними немає. Будь ласка, зверніться до опису параметра налаштування “ldap_access_filter”, щоб дізнатися більше про використання LDAP, як засобу керування доступом.

ПАРАМЕТРИ НАЛАШТУВАННЯ¶

Всі загальні параметри налаштування, які стосуються доменів SSSD, також стосуються і доменів LDAP. Зверніться до розділу «РОЗДІЛИ ДОМЕНІВ» сторінки підручника sssd.conf(5), щоб дізнатися більше.

ldap_uri, ldap_backup_uri (рядок)

Визначає список адрес серверів LDAP, відокремлених комами, з якими SSSD має встановлювати з’єднання у порядку пріоритету. Зверніться до розділу «РЕЗЕРВ», щоб дізнатися більше про перемикання на резервні ресурси та додаткові сервери. Якщо не вказано, буде використано автоматичне виявлення служб. Докладніші відомості можна знайти у розділі «ПОШУК СЛУЖБ».

Формат адреси має відповідати формату, що визначається RFC 2732:

ldap[s]://<вузол>[:порт]

У явних адресах IPv6 <вузол> має бути вказано у квадратних дужках, []

приклад: ldap://[fc00::126:25]:389

ldap_chpass_uri, ldap_chpass_backup_uri (рядок)

Визначає список адрес серверів LDAP, відокремлених комами, з якими SSSD має встановлювати з’єднання у порядку пріоритету для зміни пароля користувача. Зверніться до розділу «РЕЗЕРВ», щоб дізнатися більше про перемикання на резервні ресурси та додаткові сервери.

Для того, щоб уможливити визначення служб, слід встановити значення параметра ldap_chpass_dns_service_name.

Типове значення: порожнє, тобто використовується ldap_uri.

ldap_search_base (рядок)

Типова базова назва домену, яку слід використовувати для виконання дій від імені користувача LDAP.

Починаючи з SSSD 1.7.0, у SSSD передбачено підтримку визначення декількох основ для пошуку за допомогою таких синтаксичних конструкцій:

основа_пошуку[?діапазон?[фільтр][?основа_пошуку?діапазон?[фільтр]]*]

Діапазоном може бути одне зі значень, «base» (основа), «onelevel» (окремий рівень) або «subtree» (піддерево).

Фільтром має бути коректний запис фільтрування LDAP, відповідно до специфікації http://www.ietf.org/rfc/rfc2254.txt

Приклади:

ldap_search_base = dc=example,dc=com (еквівалентне до) ldap_search_base = dc=example,dc=com?subtree?

ldap_search_base = cn=host_specific,dc=example,dc=com?subtree?(host=thishost)?dc=example.com?subtree?

Зауваження: підтримки визначення декількох основ пошуку з посиланням на об’єкти з однаковими назвами (наприклад груп з однаковою назвою у двох різних основах пошуку) не передбачено. Такі визначення можуть призвести до непередбачуваних результатів на клієнтських комп’ютерах.

Типове значення: якщо значення не встановлено, буде використано значення атрибута defaultNamingContext або namingContexts з RootDSE сервера LDAP. Якщо запису defaultNamingContext не існує або цей запис має порожнє значення, буде використано namingContexts. Для роботи системи потрібно, щоб атрибут namingContexts має єдине значення DN бази пошуку сервера LDAP. Підтримки визначення декількох значень не передбачено.

ldap_schema (рядок)

Визначає тип схеми, що використовується на сервері LDAP призначення. Відповідно до вибраної схеми, типові назви атрибутів, отриманих з сервера, можуть бути різними. Спосіб обробки атрибутів також може бути різним.

У поточній версії передбачено підтримку чотирьох типів схем:

•rfc2307

•rfc2307bis

•IPA

•AD

Основною відмінністю між цими типами схем є спосіб запису даних щодо участі у групах на сервері. Відповідно до rfc2307, список учасників груп впорядковується за користувачами у атрибуті memberUid. Відповідно до rfc2307bis і IPA, список учасників груп впорядковується за назвою домену (DN) і зберігається у атрибуті member. Відповідно до типу схеми AD, встановлюється відповідність зі значеннями Active Directory 2008r2.

Типове значення: rfc2307

ldap_default_bind_dn (рядок)

Типова назва домену прив’язки, яку слід використовувати для виконання дій LDAP.

ldap_default_authtok_type (рядок)

Тип розпізнавання для типової назви сервера прив’язки.

У поточній версії передбачено підтримку двох механізмів:

password

obfuscated_password

Типове значення: password

ldap_default_authtok (рядок)

Лексема розпізнавання типової назви сервера прив’язки. У поточній версії передбачено підтримку лише паролів у форматі звичайного тексту.

ldap_user_object_class (рядок)

Клас об’єктів запису користувача у LDAP.

Типове значення: posixAccount

ldap_user_name (рядок)

Атрибут LDAP, що відповідає назві облікового запису користувача.

Типове значення: uid

ldap_user_uid_number (рядок)

Атрибут LDAP, що відповідає ідентифікатору користувача.

Типове значення: uidNumber

ldap_user_gid_number (рядок)

Атрибут LDAP, що відповідає ідентифікатору основної групи користувача.

Типове значення: gidNumber

ldap_user_gecos (рядок)

Атрибут LDAP, що відповідає полю gecos користувача.

Типове значення: gecos

ldap_user_home_directory (рядок)

Атрибут LDAP, що містить назву домашнього каталогу користувача.

Типове значення: homeDirectory

ldap_user_shell (рядок)

Атрибут LDAP, що містить шлях до типової командної оболонки користувача.

Типове значення: loginShell

ldap_user_uuid (рядок)

Атрибут LDAP, що містить UUID/GUID об’єкта користувача LDAP.

Типове значення: не встановлено у загальному випадку, objectGUID для AD і ipaUniqueID для IPA

ldap_user_objectsid (рядок)

Атрибут LDAP, що містить objectSID об’єкта користувача LDAP. Зазвичай, потрібен лише для серверів ActiveDirectory.

Типове значення: objectSid для ActiveDirectory, не встановлено для інших серверів.

ldap_user_modify_timestamp (рядок)

Атрибут LDAP, що містить часову позначку останньої зміни батьківського об’єкта.

Типове значення: modifyTimestamp

ldap_user_shadow_last_change (рядок)

У разі використання ldap_pwd_policy=shadow цей параметр містить назву атрибута LDAP, який є відповідником параметра shadow(5) (дати останньої зміни пароля).

Типове значення: shadowLastChange

ldap_user_shadow_min (рядок)

У разі використання ldap_pwd_policy=shadow цей параметр містить назву атрибута LDAP, який є відповідником параметра shadow(5) (мінімального віку пароля).

Типове значення: shadowMin

ldap_user_shadow_max (рядок)

У разі використання ldap_pwd_policy=shadow цей параметр містить назву атрибута LDAP, який є відповідником параметра shadow(5) (максимального віку пароля).

Типове значення: shadowMax

ldap_user_shadow_warning (рядок)

У разі використання ldap_pwd_policy=shadow цей параметр містить назву атрибута LDAP, який є відповідником параметра shadow(5) (проміжку попередження щодо пароля).

Типове значення: shadowWarning

ldap_user_shadow_inactive (рядок)

У разі використання ldap_pwd_policy=shadow цей параметр містить назву атрибута LDAP, який є відповідником параметра shadow(5) (тривалості періоду невикористання пароля).

Типове значення: shadowInactive

ldap_user_shadow_expire (рядок)

У разі використання ldap_pwd_policy=shadow або ldap_account_expire_policy=shadow цей параметр містить назву атрибута LDAP, який є відповідником параметра shadow(5) (дати завершення строку дії пароля).

Типове значення: shadowExpire

ldap_user_krb_last_pwd_change (рядок)

Якщо використано значення ldap_pwd_policy=mit_kerberos, цей параметр містить назву атрибута LDAP, у якому зберігається дата і час останньої зміни пароля у kerberos.

Типове значення: krbLastPwdChange

ldap_user_krb_password_expiration (рядок)

Якщо використано значення ldap_pwd_policy=mit_kerberos, цей параметр містить назву атрибута LDAP, у якому зберігається дата і час завершення строку дії поточного пароля.

Типове значення: krbPasswordExpiration

ldap_user_ad_account_expires (рядок)

Якщо вказано ldap_account_expire_policy=ad, цей параметр містить назву атрибута LDAP, у якому зберігаються дані щодо строку завершення дії облікового запису.

Типове значення: accountExpires

ldap_user_ad_user_account_control (рядок)

Якщо вказано ldap_account_expire_policy=ad, цей параметр містить назву атрибута LDAP, у якому зберігаються дані щодо поля контрольного біта облікового запису користувача.

Типове значення: userAccountControl

ldap_ns_account_lock (рядок)

Якщо вказано ldap_account_expire_policy=rhds або еквівалентне налаштування, цей параметр визначає, заборонено чи дозволено доступ.

Типове значення: nsAccountLock

ldap_user_nds_login_disabled (рядок)

Якщо вказано ldap_account_expire_policy=nds, цей атрибут визначає, дозволено чи заборонено доступ.

Типове значення: loginDisabled

ldap_user_nds_login_expiration_time (рядок)

Якщо вказано ldap_account_expire_policy=nds, цей атрибут визначає дату, до якої надано доступ.

Типове значення: loginDisabled

ldap_user_nds_login_allowed_time_map (рядок)

Якщо вказано ldap_account_expire_policy=nds, цей атрибут визначає годити дня тижня, коли надається доступ.

Типове значення: loginAllowedTimeMap

ldap_user_principal (рядок)

Атрибут LDAP, що містить Kerberos User Principal Name (UPN) користувача.

Типове значення: krbPrincipalName

ldap_user_extra_attrs (рядок)

Відокремлений комами список атрибутів LDAP, які SSSD має отримувати разом зі звичайним набором атрибутів запису користувача.

Список може або містити лише назви атрибутів LDAP, або відокремлені двокрапками кортежі з назви атрибута кешу SSSD та назви атрибута LDAP. Якщо вказано лише назву атрибута LDAP, атрибут зберігається до кешу буквально. Використання нетипової назви атрибута SSSD може бути потрібним середовищам, де налаштовано декілька доменів SSSD з різними схемами LDAP.

Будь ласка, зауважте, що декілька назв атрибутів зарезервовано SSSD, зокрема атрибут «name». SSSD повідомить про помилку, якщо будь-які із зарезервованих назв атрибутів використано як назву додаткового атрибута.

Приклади:

ldap_user_extra_attrs = telephoneNumber

Зберегти атрибут «telephoneNumber» з LDAP як «telephoneNumber» до кешу.

ldap_user_extra_attrs = phone:telephoneNumber

Зберегти атрибут «telephoneNumber» з LDAP як «phone» до кешу.

Типове значення: not set

ldap_user_ssh_public_key (рядок)

Атрибут LDAP, який містить відкриті ключі SSH користувача.

Типове значення: sshPublicKey

ldap_force_upper_case_realm (булеве значення)

Деякі з серверів каталогів, наприклад Active Directory, можуть надавати частину області адреси UPN лише малими літерами (літерами нижнього регістру), що може призвести до невдалої спроби розпізнавання. Встановіть ненульове значення цього параметра, якщо ви бажаєте використовувати назву області у верхньому регістрі.

Типове значення: false

ldap_enumeration_refresh_timeout (ціле число)

Визначає кількість секунд, протягом яких SSSD має очікувати до оновлення свого кешу нумерованих записів.

Типове значення: 300

ldap_purge_cache_timeout (ціле число)

Визначає частоту пошуків у кеші неактивних записів (зокрема груп без учасників та користувачів, які ніколи не входили до системи) та вилучення цих записів з метою економії місця.

Встановлення нульового значення цього параметра вимикає дію з очищення кешу. Будь ласка, зауважте, що якщо увімкнено нумерацію, дія з очищення є необхідною з метою виявлення записів, вилучених із сервера, її не можна вимикати. Типово, дія з очищення, якщо увімкнено нумерацію, виконується кожні 3 години.

Типове значення: 0 (вимкнено)

ldap_user_fullname (рядок)

Атрибут LDAP, що відповідає повному імені користувача.

Типове значення: cn

ldap_user_member_of (рядок)

Атрибут LDAP зі списком груп, у яких бере участь користувач.

Типове значення: memberOf

ldap_user_authorized_service (рядок)

Якщо access_provider=ldap і ldap_access_order=authorized_service, SSSD використовуватиме наявність атрибута authorizedService у записі користувача LDAP для визначення прав доступу.

Спочатку визначаються явні заборони (!svc). Далі SSSD шукає явні дозволи (svc) і нарешті загальні дозволи або allow_all (*).

Будь ласка, зауважте, що параметр налаштування ldap_access_order має включати “authorized_service”, щоб система змогла скористатися параметром ldap_user_authorized_service.

Типове значення: authorizedService

ldap_user_authorized_host (рядок)

Якщо access_provider=ldap і ldap_access_order=host, SSSD використовуватиме наявність атрибута host у записі користувача LDAP для визначення прав доступу.

Спочатку визначаються явні заборони (!host). Далі SSSD шукає явні дозволи (host) і нарешті загальні дозволи або allow_all (*).

Будь ласка, зауважте, що параметр налаштування ldap_access_order має включати “host”, щоб можна було скористатися параметром ldap_user_authorized_host.

Типове значення: host

ldap_user_certificate (рядок)

Назва атрибута LDAP, що містить сертифікат X509 користувача.

Default: no set in the general case, userCertificate;binary for IPA

ldap_group_object_class (рядок)

Клас об’єктів запису групи у LDAP.

Типове значення: posixGroup

ldap_group_name (рядок)

Атрибут LDAP, що відповідає назві групи.

Типове значення: cn

ldap_group_gid_number (рядок)

Атрибут LDAP, що відповідає ідентифікатору групи.

Типове значення: gidNumber

ldap_group_member (рядок)

Атрибут LDAP, у якому містяться імена учасників групи.

Типове значення: memberuid (rfc2307) / member (rfc2307bis)

ldap_group_uuid (рядок)

Атрибут LDAP, що містить UUID/GUID об’єкта групи LDAP.

Типове значення: не встановлено у загальному випадку, objectGUID для AD і ipaUniqueID для IPA

ldap_group_objectsid (рядок)

Атрибут LDAP, що містить objectSID об’єкта групи LDAP. Зазвичай, потрібен лише для серверів ActiveDirectory.

Типове значення: objectSid для ActiveDirectory, не встановлено для інших серверів.

ldap_group_modify_timestamp (рядок)

Атрибут LDAP, що містить часову позначку останньої зміни батьківського об’єкта.

Типове значення: modifyTimestamp

ldap_group_type (ціле число)

Атрибут LDAP, що містить ціле значення і позначає тип групи, а також, можливо, інші прапорці.

Цей атрибут у поточній версії використовується лише засобом надання даних AD для визначення, чи є група локальною групою домену і чи має бути її відфільтровано у списку надійних (довірених) доменів.

Типове значення: groupType у засобі надання даних AD, у інших засобах не встановлено

ldap_group_nesting_level (ціле число)

Якщо ldap_schema встановлено у значення формату схеми, у якому передбачено підтримку вкладеності груп (наприклад RFC2307bis), цей параметр визначає кількість рівнів вкладеності, які оброблятимуться SSSD. Значення цього параметра буде проігноровано, якщо використано схему RFC2307.

Зауваження: за допомогою цього параметра визначається гарантований рівень вкладеності груп для обробки під час будь-якого пошуку. Втім, може бути повернуто і групи із більшим рівнем вкладеності, якщо під час попередніх пошуків відбувалася обробка вищих рівнів вкладеності. Крім того, послідовні пошуки інших груп можуть розширити набір результатів початкового пошуку, якщо запити щодо пошуку надходять повторно.

If ldap_group_nesting_level is set to 0 then no nested groups are processed at all. However, when connected to Active-Directory Server 2008 and later using “id_provider=ad” it is furthermore required to disable usage of Token-Groups by setting ldap_use_tokengroups to false in order to restrict group nesting.

Типове значення: 2

ldap_groups_use_matching_rule_in_chain

За допомогою цього параметра можна наказати SSSD скористатися перевагами специфічної для Active Directory можливості, яка надає змогу пришвидшити дії з пошуку груп у мережах зі складною системою груп або системою груп з високим рівнем вкладеності.

Здебільшого, не варто вмикати цю можливість. Пришвидшення за її допомогою можна буде спостерігати лише у дуже складних випадках вкладеності груп.

Якщо увімкнено цей параметр, SSSD використовуватиме можливість, якщо під час початкового сеансу з’єднання виявить, що на сервері передбачено підтримку можливості. Отже, насправді значення «True» означає «визначити автоматично».

Зауваження: відомо, що у поточній версії цією можливістю можна скористатися лише для Active Directory 2008 R1 та пізніших версій. Докладніше про це можна дізнатися з документації MSDN(TM)[1].

Типове значення: False

ldap_initgroups_use_matching_rule_in_chain

За допомогою цього параметра можна наказати SSSD скористатися перевагами специфічної для Active Directory можливості, яка може пришвидшити дії з початковими групами (initgroups). Особливо помітним таке пришвидшення є у системах зі складною системою груп або системою груп з високим рівнем вкладеності.

Типове значення: False

ldap_use_tokengroups

За допомогою цього параметра можна увімкнути або вимкнути використання атрибута Token-Groups під час виконання initgroup для користувачів Active Directory Server 2008 та новіших версій.

Типове значення: True для AD і IPA, інакше False.

ldap_netgroup_object_class (рядок)

Клас об’єктів запису мережевої групи (netgroup) у LDAP.

У надавачі даних IPA має бути використано ipa_netgroup_object_class.

Типове значення: nisNetgroup

ldap_netgroup_name (рядок)

Атрибут LDAP, що відповідає назві мережевої групи (netgroup).

У надавачі даних IPA має бути використано ipa_netgroup_name.

Типове значення: cn

ldap_netgroup_member (рядок)

Атрибут LDAP, у якому містяться імена учасників мережевої групи (netgroup).

У надавачі даних IPA має бути використано ipa_netgroup_member.

Типове значення: memberNisNetgroup

ldap_netgroup_triple (рядок)

Атрибут LDAP, що містить трійки мережевої групи (вузол, користувач, домен).

Цим параметром не можна скористатися у надавачі даних IPA.

Типове значення: nisNetgroupTriple

ldap_netgroup_modify_timestamp (рядок)

Атрибут LDAP, що містить часову позначку останньої зміни батьківського об’єкта.

Цим параметром не можна скористатися у надавачі даних IPA.

Типове значення: modifyTimestamp

ldap_service_object_class (рядок)

Клас об’єктів запису служби у LDAP.

Типове значення: ipService

ldap_service_name (рядок)

Атрибут LDAP, що містить назву атрибутів служби та замінників цих атрибутів.

Типове значення: cn

ldap_service_port (рядок)

Атрибут LDAP, що містить номер порту, яким керує ця служба.

Типове значення: ipServicePort

ldap_service_proto (рядок)

Атрибут LDAP, що містить протоколи, за яким може працювати ця служба.

Типове значення: ipServiceProtocol

ldap_service_search_base (рядок)

Додатковий основний DN, область пошуку і фільтр LDAP для обмеження пошуків LDAP цим типом атрибутів.

синтаксис:

search_base[?scope?[filter][?search_base?scope?[filter]]*]

Діапазоном може бути одне зі значень, «base» (основа), «onelevel» (окремий рівень) або «subtree» (піддерево). Докладніший опис діапазонів наведено у розділі 4.5.1.2 документа http://tools.ietf.org/html/rfc4511

Фільтром має бути коректний запис фільтрування LDAP, відповідно до специфікації http://www.ietf.org/rfc/rfc2254.txt

Приклади використання цих синтаксичних конструкцій можна знайти у розділі прикладів «ldap_search_base».

Типове значення: значення ldap_search_base

Будь ласка, зауважте, що підтримки визначення області або фільтра для пошуків на сервері Active Directory не передбачено. Це може призвести до отримання значної кількості результатів і викликати реакцію з боку розширення діапазону отримання (Range Retrieval).

ldap_search_timeout (ціле число)

Визначає час очікування на дані (у секундах) для виконання пошуків ldap, перш ніж пошук буде скасовано з поверненням кешованих даних (і переходом до автономного режиму роботи)

Зауваження: роботу цього параметра буде змінено у наступних версіях SSSD. Ймовірно, його буде колись замінено на послідовність часів очікування для окремих типів пошуків.

Типове значення: 6

ldap_enumeration_search_timeout (ціле число)

Визначає час очікування на дані (у секундах) для виконання пошуків номерів користувачів та груп у ldap, перш ніж пошук буде скасовано з поверненням кешованих даних (і переходом до автономного режиму роботи)

Типове значення: 60

ldap_network_timeout (ціле число)

Визначає час очікування (у секундах), після завершення якого poll(2)/select(2) з наступним connect(2) повертається до стану бездіяльності.

Типове значення: 6

ldap_opt_timeout (ціле число)

Визначає час очікування (у секундах), після завершення якого виклики до синхронних програмних інтерфейсів LDAP буде перервано, якщо не буде отримано відповіді. Також керує часом очікування під час обміну даними з KDC у випадку прив’язки SASL, часом очікування на дію з прив’язування LDAP, розширеної операції зі зміни пароля та дії StartTLS.

Типове значення: 6

ldap_connection_expire_timeout (ціле значення)

Визначає час очікування (у секундах), протягом якого підтримуватиметься з’єднання з сервером LDAP. По завершенню цього часу буде зроблено спробу повторно встановити з’єднання. У разі використання паралельно до SASL/GSSAPI буде використано перше за часом значення (це значення або значення строку дії TGT).

Типове значення: 900 (15 хвилин)

ldap_page_size (ціле число)

Визначити кількість записів, які слід отримати з LDAP у відповідь на один запит. На деяких серверах LDAP визначено обмеження максимальної кількості на один запит.

Типове значення: 1000

ldap_disable_paging (булеве значення)

Вимикає контроль сторінок LDAP. Цим параметром слід скористатися, якщо сервер LDAP повідомляє про підтримку контролю сторінок LDAP у своєму RootDSE, але цю підтримку не увімкнено або вона не працює належним чином.

Приклад: сервери OpenLDAP з модулем контролю сторінок, встановленим на сервері, але не увімкненим, повідомляють про підтримку у RootDSE, але цією підтримкою не можна скористатися.

Приклад: 389 DS має ваду, пов’язану з тим, що здатен підтримувати лише один процес контролю сторінок для одного з’єднання. У разі значного навантаження це може призвести до відмови у виконанні запитів.

Типове значення: False

ldap_disable_range_retrieval (булеве значення)

Вимкнути отримання діапазону Active Directory.

У Active Directory за допомогою правила MaxValRange (типове значення 1500 записів) обмежується кількість записів, які може бути отримано під час пошуку. Якщо у певній групі міститься більше записів учасників, до відповіді буде включено специфічне для AD розширення діапазону. За допомогою цього параметра можна вимкнути обробку розширення діапазону, отже великі групи буде представлено як такі, у яких немає учасників.

Типове значення: False

ldap_sasl_minssf (ціле значення)

Під час обміну даними з сервером LDAP за допомогою SASL визначає мінімальний рівень захисту, потрібний для встановлення з’єднання. Значення цього параметра визначається OpenLDAP.

Типове значення: типове для системи значення (зазвичай, визначається у ldap.conf)

ldap_deref_threshold (ціле число)

Вказує кількість учасників групи, записів яких має не вистачати у зовнішньому кеші для запуску загального пошуку з розіменуванням. Якщо пропущених записів буде менше за вказану кількість, пошук для них виконуватиметься окремо.

Ви можете повністю вимкнути пошуки з отриманням значення об’єкта (розіменуванням), якщо вкажете значення 0.

Пошук з розіменуванням — це отримання всіх записів учасників групи за одним викликом LDAP. У різних серверах LDAP може бути передбачено різні способи розіменування. У поточній версії передбачено підтримку серверів 389/RHDS, OpenLDAP та Active Directory.

Зауваження: якщо у одній з основ пошуку визначається фільтр пошуку, покращення швидкодії фільтрів розіменування буде вимкнено, незалежно від використання цього параметра.

Типове значення: 10

ldap_tls_reqcert (рядок)

Визначає перелік перевірок, які слід виконати для сертифікатів серверів у сеансі TLS, якщо такі перевірки слід виконувати. Може бути визначено одне з таких значень:

never = клієнт не надсилатиме запиту і не перевірятиме жодних сертифікатів сервера.

allow = надіслати запит щодо сертифіката сервера. Якщо сертифікат не буде надано, продовжити сеанс у звичайному режимі. Якщо буде надано помилковий сертифікат, ігнорувати і продовжити сеанс у звичайному режимі.

try = надіслати запит щодо сертифіката сервера. Якщо сертифікат не буде надано, продовжити сеанс у звичайному режимі. Якщо буде надано помилковий сертифікат, негайно перервати сеанс.

demand = надіслати запит щодо сертифіката сервера. Якщо сертифікат не буде надано або буде надано помилковий сертифікат, негайно перервати сеанс.

hard = те саме, що і “demand”

Типове значення: hard

ldap_tls_cacert (рядок)

Визначає файл, який містить сертифікати для всіх служб сертифікації, які розпізнаються sssd.

Типове значення: використовувати типові параметри OpenLDAP, що зберігаються у /etc/openldap/ldap.conf

ldap_tls_cacertdir (рядок)

Визначає шлях до каталогу, де у окремих файлах містяться сертифікати служб сертифікації (CA). Типовими назвами файлів є хеші сертифікатів з додаванням «.0». Для створення відповідних назв можна скористатися cacertdir_rehash, якщо ця програма є доступною.

Типове значення: використовувати типові параметри OpenLDAP, що зберігаються у /etc/openldap/ldap.conf

ldap_tls_cert (рядок)

Визначає файл, який містить сертифікат для ключа клієнта.

Типове значення: not set

ldap_tls_key (рядок)

Визначає файл, у якому міститься ключ клієнта.

Типове значення: not set

ldap_tls_cipher_suite (рядок)

Визначає прийнятні комплекти програм для шифрування. Записи у типовому списку слід відокремлювати комами. З форматом можна ознайомитися на сторінці довідника до ldap.conf(5).

Типове значення: використовувати типові параметри OpenLDAP, що зберігаються у /etc/openldap/ldap.conf

ldap_id_use_start_tls (булеве значення)

Визначає, що з’єднання id_provider має також використовувати tls для захисту каналу.

Типове значення: false

ldap_id_mapping (булеве значення)

Визначає, що SSSD має намагатися встановити відповідність ідентифікаторів користувача і групи на основі атрибутів ldap_user_objectsid та ldap_group_objectsid, замість атрибутів ldap_user_uid_number та ldap_group_gid_number.

У поточній версії у цій можливості передбачено підтримку лише встановлення відповідності objectSID у ActiveDirectory.

Типове значення: false

ldap_min_id, ldap_max_id (ціле число)

На відміну від прив’язування ідентифікаторів на основі SID, яке використовується, якщо параметр ldap_id_mapping має значення true, діапазон дозволених ідентифікаторів для ldap_user_uid_number і ldap_group_gid_number є необмеженим. У конфігураціях з піддоменами та довіреними доменами це може призвести до конфліктів ідентифікаторів. Щоб уникнути конфліктів, можна встановити значення ldap_min_id і ldap_max_id для обмеження дозволеного діапазону ідентифікаторів, які буде прочитано безпосередньо з сервера. Після цього піддомени можуть вибирати інші діапазони для прив’язування ідентифікаторів.

Типове значення: не встановлено (обидва параметри встановлено у значення 0)

ldap_sasl_mech (рядок)

Визначає механізм SASL, який слід використовувати. У поточній версії перевірено і підтримується лише механізм GSSAPI.

Типове значення: not set

ldap_sasl_authid (рядок)

Визначає ідентифікатор уповноваження SASL, який слід використовувати. Якщо використано GSSAPI, відповідає реєстраційному запису Kerberos, який використовується для розпізнавання під час доступу до каталогу. У цьому параметрів можуть зберігатися або реєстраційні дані повністю (наприклад host/myhost@EXAMPLE.COM) або лише назва реєстраційного запису (наприклад host/myhost).

Типове значення: вузол/назва_вузла@ОБЛАСТЬ

ldap_sasl_realm (рядок)

Визначає область SASL, яку слід використовувати. Якщо не вказано значення, типовим значенням цього параметра є значення krb5_realm. Якщо ldap_sasl_authid також містить запис області, цей параметр буде проігноровано.

Типове значення: значення krb5_realm.

ldap_sasl_canonicalize (булеве значення)

Якщо встановлено значення true (1), бібліотека LDAP виконувати зворотній пошук з метою переведення назв вузлів у канонічну форму під час прив’язки до SASL.

Типове значення: false;

ldap_krb5_keytab (рядок)

Визначає таблицю ключів, яку слід використовувати разом з SASL/GSSAPI.

Типове значення: системна таблиця ключів, зазвичай /etc/krb5.keytab

ldap_krb5_init_creds (булеве значення)

Визначає, що id_provider має ініціалізувати реєстраційні дані Kerberos (TGT). Цю дію буде виконано, лише якщо використовується SASL і вибрано механізм GSSAPI.

Типове значення: true

ldap_krb5_ticket_lifetime (ціле число)

Визначає строк дії (у секундах) TGT, якщо використовується GSSAPI.

Типове значення: 86400 (24 години)

krb5_server, krb5_backup_server (рядок)

Визначає список IP-адрес або назв вузлів, відокремлених комами, серверів Kerberos, з якими SSSD має встановлювати з’єднання. Список має бути впорядковано за пріоритетом. Докладніше про резервування та додаткові сервери можна дізнатися з розділу «РЕЗЕРВ». До адрес або назв вузлів може бути додано номер порту (перед номером слід вписати двокрапку). Якщо параметр матиме порожнє значення, буде увімкнено виявлення служб. Докладніше про виявлення служб можна дізнатися з розділу «ПОШУК СЛУЖБ».

Під час використання виявлення служб для серверів KDC або kpasswd SSSD спочатку намагається знайти записи DNS, у яких визначається протокол _udp. Використання протоколу _tcp відбувається, лише якщо таких записів не вдасться знайти.

У попередніх випусках SSSD цей параметр мав назву «krb5_kdcip». У поточній версії передбачено розпізнавання цієї застарілої назви, але користувачам варто перейти на використання «krb5_server» у файлах налаштувань.

krb5_realm (рядок)

Вказати область Kerberos (для розпізнавання за SASL/GSSAPI).

Типове значення: типове значення системи, див. /etc/krb5.conf

krb5_canonicalize (булеве значення)

Визначає, чи слід перетворювати реєстраційний запис вузла у канонічну форму під час встановлення з’єднання з сервером LDAP. Цю можливість передбачено з версії MIT Kerberos >= 1.7

Типове значення: false

krb5_use_kdcinfo (булеве значення)

Визначає, чи слід SSSD вказувати бібліотекам Kerberos, яку область і які значення KDC слід використовувати. Типово, дію параметра увімкнено. Якщо ви вимкнете його, вам слід налаштувати бібліотеку Kerberos за допомогою файла налаштувань krb5.conf(5).

Див. сторінку підручника (man) sssd_krb5_locator_plugin(8), щоб дізнатися більше про додаток пошуку.

Типове значення: true

ldap_pwd_policy (рядок)

Визначає правил оцінки строку дії пароля на боці клієнта. Можна використовувати такі значення:

none — не використовувати перевірки на боці клієнта. У разі використання цього варіанта перевірку на боці сервера вимкнено не буде.

shadow — використовувати атрибути у стилі shadow(5) для визначення того, чи чинним є пароль.

mit_kerberos — використовувати атрибути MIT Kerberos для визначення завершення строку дії пароля. У разі зміни пароля скористайтеся chpass_provider=krb5 для оновлення цих атрибутів.

Типове значення: none

Зауваження: якщо правила поводження з паролями налаштовано на боці сервера, ці правила мають пріоритет над правилами, встановленими за допомогою цього параметра.

ldap_referrals (булеве значення)

Визначає, чи має бути увімкнено автоматичне визначення напрямків пошуку.

Зауважте, що sssd підтримує визначення напрямків, лише якщо систему зібрано з версією OpenLDAP 2.4.13 або новішою версією.

Перехід за спрямуваннями може призвести до значних втрат швидкодії у середовищах, де такі спрямування використовуються широко. Прикладом такого середовища може бути Microsoft Active Directory. Якщо у вашому середовищі спрямування не є обов’язковими, встановлення для цього параметра значення «false» може значно пришвидшити роботу.

Типове значення: true

ldap_dns_service_name (рядок)

Визначає назву служби, яку буде використано у разі вмикання визначення служб.

Типове значення: ldap

ldap_chpass_dns_service_name (рядок)

Визначає назву служби, яку буде використано для пошуку сервера LDAP, який уможливлює зміну паролів, у разі вмикання визначення служб.

Типове значення: не встановлено, тобто пошук служб вимкнено

ldap_chpass_update_last_change (булеве значення)

Визначає, чи слід оновлювати атрибут ldap_user_shadow_last_change даними щодо кількості днів з часу виконання дії зі зміни пароля.

Типове значення: False

ldap_access_filter (рядок)

Якщо використовується access_provider = ldap та ldap_access_order = filter (типова поведінка), цей параметр є обов’язковим. Він вказує критерії фільтрування LDAP, яким має задовольняти запис користувача для надання доступу до цього вузла. Якщо визначено access_provider = ldap та ldap_access_order = filter, а цей параметр не встановлено, доступ буде заборонено всім користувачам. Щоб змінити таку типову поведінку системи, скористайтеся параметром access_provider = permit. Будь ласка, зауважте, що цей фільтр застосовуватиметься лише до запису користувача LDAP, отже фільтрування, засноване на вкладених групах може не працювати (наприклад, атрибут memberOf для записів AD вказує лише на безпосередні батьківські записи). Якщо вам потрібне фільтрування, засноване на вкладених групах, будь ласка, скористайтеся параметром sssd-simple(5).

Приклад:

access_provider = ldap
ldap_access_filter = (employeeType=admin)

У прикладі доступ до цього вузла обмежено користувачами, чий атрибут employeeType встановлено у значення «admin».

Автономне кешування для цієї можливості обмежено визначенням того, чи було надано користувачеві під час попередньої спроби увійти до системи з мережі права доступу. Якщо під час останньої спроби увійти такі права було надано, система продовжуватиме надавати права доступу у автономному режимі. Якщо ж таких прав не було надано, у автономному режимі їх також не буде надано.

Типове значення: порожній рядок

ldap_account_expire_policy (рядок)

За допомогою цього параметра може бути увімкнено визначення атрибутів керування доступом на боці клієнта.

Будь ласка, зауважте, що завжди варто використовувати керування доступом на боці сервера, тобто сервер LDAP має відмовляти у запитах щодо прив’язування з відповідним кодом помилки, навіть якщо вказано правильний пароль.

Можна використовувати такі значення:

shadow: це значення ldap_user_shadow_expire допомагає визначити, чи завершено строк дії облікового запису.

ad: скористатися значенням 32-бітового поля ldap_user_ad_user_account_control і дозволити доступ, якщо другий біт має нульове значення. Якщо атрибут не буде знайдено, доступ буде дозволено. Також буде перевірено, чи не вичерпано строк дії облікового запису.

rhds, ipa, 389ds: використовувати для перевірки доступу значення ldap_ns_account_lock.

nds: для перевірки доступу використовувати значення ldap_user_nds_login_allowed_time_map, ldap_user_nds_login_disabled і ldap_user_nds_login_expiration_time. Якщо не буде виявлено жодного з цих атрибутів, надати доступ. Цю можливість ще не перевірено достатнім чином. Будь ласка, якщо помітите якісь вади, повідомте про них за допомогою настанов на сторінці http://fedorahosted.org/sssd.

Будь ласка, зауважте, що параметр налаштування ldap_access_order має включати “expire”, щоб можна було користуватися параметром ldap_account_expire_policy.

Типове значення: порожній рядок

ldap_access_order (рядок)

Список відокремлених комами параметрів керування доступом. Можливі значення списку:

filter: використовувати ldap_access_filter

lockout: використовувати блокування облікових записів. Якщо встановлено, цей параметр забороняє доступ, якщо існує атрибут ldap «pwdAccountLockedTime» і його значенням є «000001010000Z». Будь ласка, ознайомтеся із документацією до параметра ldap_pwdlockout_dn. Зауважте, що для працездатності цієї можливості слід встановити «access_provider = ldap».

Будь ласка, зауважте, що цей параметр має нижчий пріоритет за параметр «ppolicy», його може бути вилучено у наступних випусках.

ppolicy: використовувати блокування облікових записів. Якщо встановлено, забороняє доступ у випадку наявності атрибута ldap «pwdAccountLockedTime» рівного «000001010000Z» або такого, що відповідає моменту часу у минулому. Значення атрибута «pwdAccountLockedTime» має завершуватися на «Z», що позначає часовий пояс UTC. Підтримки інших часових поясів у поточній версії не передбачено, їхнє використання призводитиме до появи повідомлення про заборону доступу, коли користувачі намагатимуться увійти до системи. Докладніший опис можна знайти у розділі щодо параметра ldap_pwdlockout_dn. Будь ласка, зауважте, що для працездатності цього параметра слід встановити значення «access_provider = ldap».

expire: використовувати ldap_account_expire_policy

pwd_expire_policy_reject, pwd_expire_policy_warn, pwd_expire_policy_renew: Ці параметри корисні, якщо користувачам потрібні попередження щодо скорого завершення строку дії пароля, і у випадках, коли розпізнавання засновано на відмінних від паролів методах, наприклад на ключах SSH.

Відмінність між цими параметрами полягає у дії, яку буде виконано, якщо строк дії пароля вичерпано: pwd_expire_policy_reject — користувачеві буде заборонено вхід до системи, pwd_expire_policy_warn — користувач ще зможе увійти до системи, pwd_expire_policy_renew — система попросить користувача негайно змінити пароль.

Зауважте, що якщо строк дії пароля вичерпано, запит із явним повідомленням від SSSD не надходитиме.

Будь ласка, зауважте, що для того, щоб цим можна було скористатися, слід встановити «access_provider = ldap». Крім того, слід встановити для параметра «ldap_pwd_policy» відповідні правила поводження із паролями.

authorized_service: використовувати для визначення можливості доступу атрибут authorizedService

host: за допомогою цього атрибута вузла можна визначити права доступу

Типове значення: filter

Зауважте, що програма повідомить про помилку, якщо одне значення було використано декілька разів.

ldap_pwdlockout_dn (рядок)

За допомогою цього параметра визначається DN запису правил поводження із паролями на сервері LDAP. Будь ласка, зауважте, що те, що цього параметра не буде у sssd.conf, у випадку увімкненого блокування облікових записів призведе до заборони доступу, оскільки атрибути ppolicy на сервері LDAP не можна буде перевірити належним чином.

Приклад: cn=ppolicy,ou=policies,dc=example,dc=com

Типове значення: cn=ppolicy,ou=policies,$ldap_search_base

ldap_deref (рядок)

Визначає спосіб виконання розіменовування псевдонімів під час виконання пошуку. Можливі такі варіанти:

never: ніколи не виконувати розіменування псевдонімів.

searching: розіменування псевдонімів відбувається у межах основного об’єкта, а не на основі визначення місця основного об’єкта пошуку.

finding: розіменування псевдонімів відбувається лише під час визначення місця основного об’єкта пошуку.

always: розіменування псевдонімів відбувається як під час пошуку, так і під час визначення місця основного об’єкта пошуку.

Типове значення: не встановлено (обробка бібліотеками LDAP клієнта за сценарієм never)

ldap_rfc2307_fallback_to_local_users (булеве значення)

Надає змогу зберігати локальних користувачів як учасників групи LDAP для серверів, у яких використовується схема RFC2307.

У деяких середовищах, де використовується схема RFC2307, локальних користувачів можна зробити учасниками груп LDAP додаванням імен цих користувачів до атрибута memberUid. Узгодженість домену може бути скомпрометовано, якщо буде виконано подібне додавання учасника, тому SSSD за звичайних умов вилучає записи користувачів, яких «не вистачає», з кешованих даних щодо участі у групах, щойно nsswitch спробує отримати дані щодо користувачів за допомогою виклику getpw*() або initgroups().

У разі використання цього параметра програма повертається до перевірки посилань на локальних користувачів і кешує їх так, що наступні виклики initgroups() розширюватимуть список локальних користувачів додатковими групами LDAP.

Типове значення: false

wildcart_limit (integer)

Specifies an upper limit on the number of entries that are downloaded during a wildcard lookup.

At the moment, only the InfoPipe responder supports wildcard lookups.

Default: 1000 (often the size of one page)

ПАРАМЕТРИ SUDO¶

Докладні настанов щодо налаштовування sudo_provider можна знайти на сторінці довідника (man) sssd-sudo(5).

ldap_sudorule_object_class (рядок)

Клас об’єктів запису правила sudo у LDAP.

Типове значення: sudoRole

ldap_sudorule_name (рядок)

Атрибут LDAP, що відповідає назві правила sudo.

Типове значення: cn

ldap_sudorule_command (рядок)

Атрибут LDAP, що відповідає назві команди.

Типове значення: sudoCommand

ldap_sudorule_host (рядок)

Атрибут LDAP, який відповідає назві вузла (або IP-адресі вузла, IP-мережі вузла, мережевій групі вузла)

Типове значення: sudoHost

ldap_sudorule_user (рядок)

Атрибут LDAP, що відповідає назві імені користувача (або UID, назві групи або назві мережевої групи користувача)

Типове значення: sudoUser

ldap_sudorule_option (рядок)

Атрибут LDAP, що відповідає параметрам sudo.

Типове значення: sudoOption

ldap_sudorule_runasuser (рядок)

Атрибут LDAP, що відповідає користувачеві, від імені якого можна виконувати команди.

Типове значення: sudoRunAsUser

ldap_sudorule_runasgroup (рядок)

Атрибут LDAP, що відповідає назві групи або GID, від імені якої можна виконувати команди.

Типове значення: sudoRunAsGroup

ldap_sudorule_notbefore (рядок)

Атрибут LDAP, що відповідає даті і часу набуття чинності правилом sudo.

Типове значення: sudoNotBefore

ldap_sudorule_notafter (рядок)

Атрибут LDAP, що відповідає даті і часу втрати чинності правилом sudo.

Типове значення: sudoNotAfter

ldap_sudorule_order (рядок)

Атрибут LDAP, що відповідає порядковому номеру правила.

Типове значення: sudoOrder

ldap_sudo_full_refresh_interval (ціле число)

Проміжок часу у секундах між послідовними повними оновленнями правил sudo SSSD у автоматичному режимі. Під час таких оновлень буде отримано повний набір правил, що зберігаються на сервері.

Це значення має перевищувати значення ldap_sudo_smart_refresh_interval

Типове значення: 21600 (6 годин)

ldap_sudo_smart_refresh_interval (ціле число)

Проміжок часу у секундах між послідовними кмітливими оновленнями правил sudo SSSD у автоматичному режимі. Під час таких оновлень буде отримано всі дані правил, USN яких перевищує найбільше значення USN у кешованих правилах.

Якщо підтримки атрибутів USN на сервері не передбачено, буде використано дані атрибута modifyTimestamp.

Типове значення: 900 (15 хвилин)

ldap_sudo_use_host_filter (булеве значення)

Якщо визначено значення true, SSSD отримуватиме лише правила, що стосуються цього комп’ютера (на основі адрес вузла або мережі у форматах IPv4 і IPv6 та назв вузлів).

Типове значення: true

ldap_sudo_hostnames (рядок)

Список назв вузлів або повних доменних назв, відокремлених пробілами, для фільтрування списку правил.

Якщо значення цього параметра є порожнім, SSSD намагатиметься визначити назву вузла та повну назву комп’ютера у домені у автоматичному режимі.

Якщо для ldap_sudo_use_host_filter встановлено значення false, цей параметр ні на що не впливатиме.

Типове значення: не вказано

ldap_sudo_ip (рядок)

Список адрес вузлів або мереж у форматах IPv4 і IPv6 для фільтрування списку правил.

Якщо значення цього параметра є порожнім, SSSD намагатиметься визначити адресу у автоматичному режимі.

Якщо для ldap_sudo_use_host_filter встановлено значення false, цей параметр ні на що не впливатиме.

Типове значення: не вказано

ldap_sudo_include_netgroups (булеве значення)

Якщо вказано значення true, SSSD отримуватиме всі правила, що містять мережеву групу (netgroup) у атрибуті sudoHost.

Якщо для ldap_sudo_use_host_filter встановлено значення false, цей параметр ні на що не впливатиме.

Типове значення: true

ldap_sudo_include_regexp (булеве значення)

Якщо вказано значення true, SSSD отримуватиме всі правила, що містять шаблон заміни у атрибуті sudoHost.

Якщо для ldap_sudo_use_host_filter встановлено значення false, цей параметр ні на що не впливатиме.

Типове значення: true

На цій сторінці довідника наведено дані щодо відповідності назв атрибутів. Докладний опис семантики атрибутів, пов’язаних з sudo, можна знайти у довідці з sudoers.ldap(5).

ПАРАМЕТРИ AUTOFS¶

Some of the defaults for the parameters below are dependent on the LDAP schema.

ldap_autofs_map_master_name (рядок)

Назва основної карти автоматичного монтування у LDAP.

Типове значення: auto.master

ldap_autofs_map_object_class (рядок)

Клас об’єктів запису карти автоматичного монтування у LDAP.

Типове значення: automountMap

ldap_autofs_map_name (рядок)

Назва запису карти автоматичного монтування у LDAP.

Default: ou (rfc2307), automountMapName (rfc2307bis, ipa, ad)

ldap_autofs_entry_object_class (рядок)

The object class of an automount entry in LDAP. The entry usually corresponds to a mount point.

Default: automount

ldap_autofs_entry_key (рядок)

Ключ запису автоматичного монтування LDAP. Цей запис зазвичай відповідає точні монтування.

Default: cn (rfc2307), automountKey (rfc2307bis, ipa, ad)

ldap_autofs_entry_value (рядок)

Ключ запису автоматичного монтування LDAP. Цей запис зазвичай відповідає точні монтування.

Типове значення: automountInformation

Будь ласка, зауважте, що засіб автоматичного монтування читає основну карту лише під час запуску, отже якщо до ssd.conf внесено будь-які пов’язані з autofs зміни, типово слід перезапустити фонову службу автоматичного монтування після перезапуску SSSD.

ДОДАТКОВІ ПАРАМЕТРИ¶

Підтримку цих параметрів передбачено доменами LDAP, але користуватися ними слід обережно. Будь ласка, використовуйте їх у налаштуваннях, лише якщо вам відомі наслідки ваших дій.

ldap_netgroup_search_base (рядок)

Додатковий основний DN, область пошуку і фільтр LDAP для обмеження пошуків LDAP цим типом атрибутів.

синтаксис:

search_base[?scope?[filter][?search_base?scope?[filter]]*]

Фільтром має бути коректний запис фільтрування LDAP, відповідно до специфікації http://www.ietf.org/rfc/rfc2254.txt

Приклади використання цих синтаксичних конструкцій можна знайти у розділі прикладів «ldap_search_base».

Типове значення: значення ldap_search_base

ldap_user_search_base (рядок)

Додатковий основний DN, область пошуку і фільтр LDAP для обмеження пошуків LDAP цим типом атрибутів.

синтаксис:

search_base[?scope?[filter][?search_base?scope?[filter]]*]

Фільтром має бути коректний запис фільтрування LDAP, відповідно до специфікації http://www.ietf.org/rfc/rfc2254.txt

Приклади використання цих синтаксичних конструкцій можна знайти у розділі прикладів «ldap_search_base».

Типове значення: значення ldap_search_base

ldap_group_search_base (рядок)

Додатковий основний DN, область пошуку і фільтр LDAP для обмеження пошуків LDAP цим типом атрибутів.

синтаксис:

search_base[?scope?[filter][?search_base?scope?[filter]]*]

Фільтром має бути коректний запис фільтрування LDAP, відповідно до специфікації http://www.ietf.org/rfc/rfc2254.txt

Приклади використання цих синтаксичних конструкцій можна знайти у розділі прикладів «ldap_search_base».

Типове значення: значення ldap_search_base

Note

Якщо увімкнено параметр «ldap_use_tokengroup», пошук у Active Directory не буде обмежуватися і повертатиме усі дані щодо участі у групах, навіть без прив’язки до gid. Рекомендуємо вимкнути цю можливість, якщо назви груп показуються неправильно.

ldap_sudo_search_base (рядок)

Додатковий основний DN, область пошуку і фільтр LDAP для обмеження пошуків LDAP цим типом атрибутів.

синтаксис:

search_base[?scope?[filter][?search_base?scope?[filter]]*]

Фільтром має бути коректний запис фільтрування LDAP, відповідно до специфікації http://www.ietf.org/rfc/rfc2254.txt

Приклади використання цих синтаксичних конструкцій можна знайти у розділі прикладів «ldap_search_base».

Типове значення: значення ldap_search_base

ldap_autofs_search_base (рядок)

Додатковий основний DN, область пошуку і фільтр LDAP для обмеження пошуків LDAP цим типом атрибутів.

синтаксис:

search_base[?scope?[filter][?search_base?scope?[filter]]*]

Фільтром має бути коректний запис фільтрування LDAP, відповідно до специфікації http://www.ietf.org/rfc/rfc2254.txt

Приклади використання цих синтаксичних конструкцій можна знайти у розділі прикладів «ldap_search_base».

Типове значення: значення ldap_search_base

РЕЗЕРВ¶

Можливість резервування надає змогу модулям обробки автоматично перемикатися на інші сервери, якщо спроба встановлення з’єднання з поточним сервером зазнає невдачі.

Синтаксичні конструкції визначення резервного сервера¶

Список записів серверів, відокремлених комами. Між комами можна використовувати довільну кількість пробілів. Порядок у списку визначає пріоритет. У списку може бути будь-яка кількість записів серверів.

Для кожного з параметрів налаштування з увімкненим резервним отриманням існує два варіанти: основний і резервний. Ідея полягає у тому, що сервери з основного списку мають вищий пріоритет за резервні сервери, пошук же на резервних серверах виконується, лише якщо не вдасться з’єднатися з жодним з основних серверів. Якщо буде вибрано резервний сервер, встановлюється час очікування у 31 секунду. Після завершення часу очікування SSSD періодично намагатиметься повторно встановити з’єднання з основними серверами. Якщо спроба буде успішною, поточний активний резервний сервер буде замінено на основний.

Механізм визначення резервного сервера¶

Механізмом резервного використання розрізняються окремі комп’ютери і служби. Спочатку модуль намагається визначити назву вузла вказаного комп’ютера. Якщо спроби визначення зазнають невдачі, комп’ютер вважатиметься від’єднаним від мережі. Подальших спроб встановити з’єднання з цим комп’ютером для всіх інших служб не виконуватиметься. Якщо вдасться виконати визначення, модуль зробити спробу встановити з’єднання зі службою на визначеному комп’ютері. Якщо спроба з’єднання зі службою не призведе до успіху, непрацездатною вважатиметься лише служба, модуль автоматично перемкнеться на наступну службу. Комп’ютер служби вважатиметься з’єднаним з мережею, можливі подальші спроби використання інших служб.

Подальші спроби встановлення з’єднання з комп’ютерами або службами, позначеними як такі, що перебувають поза мережею, буде виконано за певний проміжок часу. У поточній версії цей проміжок є незмінним і дорівнює 30 секундам.

Якщо список комп’ютерів буде вичерпано, основний модуль перейде у режим автономної роботи і повторюватиме спроби з’єднання кожні 30 секунд.

ПОШУК СЛУЖБ¶

За допомогою можливості виявлення служб основні модулі мають змогу автоматично визначати відповідні сервери для встановлення з’єднання на основі даних, отриманих у відповідь на спеціальний запит до DNS. Підтримки цієї можливості для резервних серверів не передбачено.

Налаштування¶

Якщо серверів не буде вказано, модуль автоматично використає визначення служб для пошуку сервера. Крім того, користувач може використовувати і фіксовані адреси серверів і виявлення служб. Для цього слід вставити особливе ключове слово, «_srv_», до списку серверів. Пріоритет визначається за вказаним порядком. Ця можливість є корисною, якщо, наприклад, користувач надає перевагу використанню виявлення служб, якщо це можливо, з поверненням до використання певного сервера, якщо за допомогою DNS не вдасться виявити жодного сервера.

Назва домену¶

З докладнішими відомостями щодо параметра «dns_discovery_domain» можна ознайомитися на сторінці підручника (man) sssd.conf(5).

Протокол¶

Запитами зазвичай визначається протокол _tcp. Виключення документовано у описі відповідного параметра.

Також прочитайте¶

Докладніші відомості щодо механізмів визначення служб можна знайти у RFC 2782.

ВСТАНОВЛЕННЯ ВІДПОВІДНОСТІ ІДЕНТИФІКАТОРІВ¶

Можливість встановлення відповідності ідентифікаторів надає SSSD змогу працювати у режимі клієнта Active Directory без потреби для адміністраторів розширювати атрибути користувача з метою підтримки атрибутів POSIX для ідентифікаторів користувачів та груп.

Зауваження: якщо увімкнено встановлення відповідності ідентифікаторів, атрибути uidNumber та gidNumber буде проігноровано. Так зроблено з метою уникання конфліктів між автоматично визначеними та визначеними вручну значеннями. Якщо вам потрібно призначити певні значення вручну, вручну доведеться призначати ВСІ значення.

Будь ласка, зауважте, що зміна параметрів налаштувань, пов’язаних із встановленням відповідності ідентифікаторів, призведе до зміни ідентифікаторів користувачів і груп. У поточній версії SSSD зміни ідентифікаторів не передбачено, отже, вам доведеться вилучити базу даних SSSD. Оскільки кешовані паролі також зберігаються у базі даних, вилучення бази даних слід виконувати, лише якщо сервери розпізнавання є доступними, інакше користувачі не зможуть отримати потрібного їм доступу. З метою кешування паролів слід виконати сеанс розпізнавання. Для вилучення бази даних недостатньо використання команди sss_cache(8), процедура має складатися з декількох кроків:

•Переконуємося, що віддалені сервери є доступними.

•Зупиняємо роботу служби SSSD

•Вилучаємо базу даних

•Запускаємо службу SSSD

Крім того, оскільки зміна ідентифікаторів може потребувати коригування інших властивостей системи, зокрема прав власності на файли і каталоги, варто спланувати усе наперед і ретельно перевірити налаштування встановлення відповідності ідентифікаторів.

Алгоритм встановлення відповідності¶

Active Directory надає значення objectSID для всіх об’єктів користувачів і груп у каталозі. Таке значення objectSID можна розбити на компоненти, які відповідають профілю домену Active Directory та відносному ідентифікатору (RID) об’єкта користувача або групи.

Алгоритмом встановлення відповідності ідентифікаторів SSSD передбачено поділ діапазону доступних UID на розділи однакових розмірів, які називаються «зрізами». Кожен зріз відповідає простору, доступному певному домену Active Directory.

Коли SSSD вперше зустрічає запис користувача або групи певного домену, SSSD віддає один з доступних зрізів під цей домен. З метою уможливлення відтворення такого призначення зрізів на різних клієнтських системах, зріз вибирається за таким алгоритмом:

Рядок SID передається алгоритмові murmurhash3 з метою перетворення його на хешоване 32-бітове значення. Для вибору зрізу використовується ціла частина від ділення цього значення на загальну кількість доступних зрізів.

Зауваження: за такого алгоритму можливі збіги за хешем та відповідною цілою частиною від ділення. У разі виявлення таких збігів буде вибрано наступний доступних зріз, але це може призвести до неможливості відтворити точно такий самий набір зрізів на інших комп’ютерах (оскільки в такому разі на вибір зрізів може вплинути порядок, у якому виконується обробка даних). Якщо ви зіткнулися з подібною ситуацією, рекомендуємо вам або перейти на використання явних атрибутів POSIX у Active Directory (вимкнути встановлення відповідності ідентифікаторів) або налаштувати типовий домен з метою гарантування того, що принаймні цей домен матиме еталонні дані. Докладніше про це у розділі «Налаштування».

Налаштування¶

Мінімальне налаштовування (у розділі “[domain/НАЗВА_ДОМЕНУ]”):

ldap_id_mapping = True
ldap_schema = ad

За типових налаштувань буде створено 10000 зрізів, кожен з яких може містити до 200000 ідентифікаторів, починаючи з 10001 і аж до 2000100000. Цього має вистачити для більшості розгорнутих середовищ.

Додаткові налаштування

ldap_idmap_range_min (ціле число)

Визначає нижню межу діапазону ідентифікаторів POSIX, які слід використовувати для встановлення відповідності SID користувачів і груп Active Directory.

Зауваження: цей параметр відрізняється від “min_id” тим, що “min_id” працює як фільтр відповідей на запити щодо цього домену, а цей параметр керує діапазоном призначення ідентифікаторів. Ця відмінність є мінімальною, але загалом варто визначати “min_id” меншим або рівним “ldap_idmap_range_min”

Типове значення: 200000

ldap_idmap_range_max (ціле число)

Визначає верхню межу діапазону ідентифікаторів POSIX, які слід використовувати для встановлення відповідності SID користувачів і груп Active Directory.

Зауваження: цей параметр відрізняється від “max_id” тим, що “max_id” працює як фільтр відповідей на запити щодо цього домену, а цей параметр керує діапазоном призначення ідентифікаторів. Ця відмінність є мінімальною, але загалом варто визначати “max_id” більшим або рівним “ldap_idmap_range_max”

Типове значення: 2000200000

ldap_idmap_range_size (ціле число)

Визначає кількість ідентифікаторів доступних на кожному зі зрізів. Якщо розмір діапазону не ділиться націло на мінімальне і максимальне значення, буде створено якомога більше повних зрізів.

ЗАУВАЖЕННЯ: значення цього параметра має бути не меншим за значення максимального запланованого до використання RID на сервері Active Directory. Пошук даних та вхід для будь-яких користувачів з RID, що перевищує це значення, буде неможливим.

Приклад: якщо найсвіжішим доданим користувачем Active Directory є користувач з objectSid=S-1-5-21-2153326666-2176343378-3404031434-1107, «ldap_idmap_range_size» повинне мати значення, яке є не меншим за 1107.

Для майбутнього можливого розширення важливо все спланувати наперед, оскільки зміна цього значення призведе до зміни усіх прив’язок ідентифікаторів у системі, отже зміни попередніх локальних ідентифікаторів користувачів.

Типове значення: 200000

ldap_idmap_default_domain_sid (рядок)

Визначає SID типового домену. За допомогою цього параметра можна гарантувати те, що цей домен буде завжди призначено до нульового зрізу у карті ідентифікаторів без використання алгоритму murmurhash описаного вище.

Типове значення: not set

ldap_idmap_default_domain (рядок)

Вказати назву типового домену.

Типове значення: not set

ldap_idmap_autorid_compat (булеве значення)

Змінює поведінку алгоритму встановлення відповідності ідентифікаторів так, щоб обчислення відбувалися за алгоритмом подібним до алгоритму “idmap_autorid” winbind.

Якщо встановлено цей параметр, домени призначатимуться, починаючи з нульового зрізу з поступовим зростанням номерів на кожен додатковий домен.

Зауваження: цей алгоритм є недетерміністичним (залежить від порядку записів користувачів та груп). Якщо з метою сумісності з системою, у якій запущено winbind, буде використано цей алгоритм, варто також скористатися параметром “ldap_idmap_default_domain_sid” з метою гарантування послідовного призначення принаймні одного домену до нульового зрізу.

Типове значення: False

Добре відомі SID¶

У SSSD передбачено підтримку пошуку назв за добре відомими (Well-Known) SID, тобто SID із особливим запрограмованим призначенням. Оскільки типові користувачі і групи, пов’язані із цими добре відомими SID не мають еквівалентів у середовищі Linux/UNIX, ідентифікаторів POSIX для цих об’єктів немає.

Простір назв SID упорядковано службами сертифікації, які виглядають як інші домени. Службами сертифікації для добре відомих (Well-Known) SID є

•Фіктивна служба сертифікації (Null Authority)

•Загальна служба сертифікації (World Authority)

•Локальна служба сертифікації (Local Authority)

•Авторська служба сертифікації (Creator Authority)

•Служба сертифікації NT (NT Authority)

•Вбудована (Built-in)

Написані літерами верхнього регістру ці назви буде використано як назви доменів для повернення повних назв добре відомих (Well-Known) SID.

Оскільки деякі з програм надають змогу змінювати дані щодо керування доступом на основі SID за допомогою назви, а не безпосереднього використання, у SSSD передбачено підтримку пошуку SID за назвою. Щоб уникнути конфліктів, для пошуку добре відомих (Well-Known) SID приймаються лише повні назви. Отже, не можна використовувати як назви доменів у sssd.conf такі назви: «NULL AUTHORITY», «WORLD AUTHORITY», «LOCAL AUTHORITY», «CREATOR AUTHORITY», «NT AUTHORITY» та «BUILTIN».

ПРИКЛАД¶

У наведеному нижче прикладі припускається, що SSSD налаштовано належним чином, а LDAP встановлено на один з доменів з розділу [domains].

[domain/LDAP]
id_provider = ldap
auth_provider = ldap
ldap_uri = ldap://ldap.mydomain.org
ldap_search_base = dc=mydomain,dc=org
ldap_tls_reqcert = demand
cache_credentials = true

ПРИКЛАД ФІЛЬТРА ДОСТУПУ LDAP¶

У наведеному нижче прикладі припускається, що SSSD налаштовано належним чином і використано ldap_access_order=lockout.

[domain/LDAP]
id_provider = ldap
auth_provider = ldap
access_provider = ldap
ldap_access_order = lockout
ldap_pwdlockout_dn = cn=ppolicy,ou=policies,dc=mydomain,dc=org
ldap_uri = ldap://ldap.mydomain.org
ldap_search_base = dc=mydomain,dc=org
ldap_tls_reqcert = demand
cache_credentials = true

ЗАУВАЖЕННЯ¶

Описи деяких з параметрів налаштування на цій сторінці підручника засновано на даних сторінки підручника (man) ldap.conf(5) з пакунка OpenLDAP 2.4.

ТАКОЖ ПЕРЕГЛЯНЬТЕ¶

sssd(8), sssd.conf(5), sssd-ldap(5), sssd-krb5(5), sssd-simple(5), sssd-ipa(5), sssd-ad(5), sssd-sudo(5), sss_cache(8), sss_debuglevel(8), sss_groupadd(8), sss_groupdel(8), sss_groupshow(8), sss_groupmod(8), sss_useradd(8), sss_userdel(8), sss_usermod(8), sss_obfuscate(8), sss_seed(8), sssd_krb5_locator_plugin(8), sss_ssh_authorizedkeys(8), sss_ssh_knownhostsproxy(8), sssd-ifp(5), pam_sss(8). sss_rpcidmapd(5)

AUTHORS¶

Основна гілка розробки SSSD — http://fedorahosted.org/sssd

NOTES¶

1.: документації MSDN(TM)

http://msdn.microsoft.com/en-us/library/windows/desktop/aa746475%28v=vs.85%29.aspx

01/16/2019

SSSD

Source file:	sssd-ldap.5.uk.gz (from sssd-ldap 1.13.3-60.el6_10.2)
Source last updated:	2019-01-10 10:30:16
Converted to HTML:	2024-06-22 22:05:55