Lors de l'utilisation de découverte de services pour le KDC ou les serveurs kpasswd, SSSD recherche en premier les entrées DNS qui définissent _udp comme protocole, et passe sur _tcp si aucune entrée n'est trouvée.

Cette option s'appelait “krb5_kdcip” dans les versions précédentes de SSSD. Bien que ce nom soit toujours reconnu à l'heure actuelle, il est conseillé de migrer les fichiers de configuration vers l'utilisation de “krb5_server”.

Pour plus d'information sur la bascule et la redondance de serveurs, voir la section “BASCULE”. Noter que même si il n'y a plus de serveurs kpasswd à essayer, le moteur ne passe pas en mode hors-ligne si l'authentification KDC est toujours possible.

Par défaut : utiliser le KDC

Par défaut : /tmp

%u

%U

%p

%r

%h

%d

%P

%%

If the template ends with 'XXXXXX' mkstemp(3) is used to create a unique filename in a safe way.

When using KEYRING types, the only supported mechanism is “KEYRING:persistent:%U”, which uses the Linux kernel keyring to store credentials on a per-UID basis. This is also the recommended choice, as it is the most secure and predictable method.

The default value for the credential cache name is sourced from the profile stored in the system wide krb5.conf configuration file in the [libdefaults] section. The option name is default_ccache_name. See krb5.conf(5)'s PARAMETER EXPANSION paragraph for additional information on the expansion format defined by krb5.conf.

NOTE: Please be aware that libkrb5 ccache expansion template from krb5.conf(5) uses different expansion sequences than SSSD.

Par défaut : (valeur provenant de libkrb5)

Par défaut : 6

Par défaut : false

Par défaut : /etc/krb5.keytab

NOTE : cette fonctionnalité n'est actuellement disponible que sur les plates-formes Linux. Les mots de passe stockés de cette manière sont conservés en texte brut dans le trousseau de clés du noyau et sont potentiellement accessibles à l'utilisateur root (avec difficulté).

Par défaut : false

s pour secondes

m pour minutes

h pour heures

d pour jours.

Si aucune unité n'est spécifiée, s est utilisé.

NOTE : il n'est pas possible de mélanger les unités. Pour indiquer une durée de vie renouvelable de une heure et trente minutes, utiliser « 90m » au lieu de « 1h30m ».

Par défaut : non défini, c'est-à-dire que le TGT n'est pas renouvelable

s pour secondes

m pour minutes

h pour heures

d pour jours.

Si aucune unité n'est spécifiée, s est utilisé.

NOTE : il n'est pas possible de mélanger les unités. Pour indiquer une durée de vie de une heure et trente minutes, utiliser « 90m » au lieu de « 1h30m ».

Par défaut : non défini, c'est-à-dire la durée de vie par défaut configurée dans le KDC.

s pour secondes

m pour minutes

h pour heures

d pour jours.

Si aucune unité n'est spécifiée, s est utilisé.

NOTE : il n'est pas possible de mélanger les unités. Pour indiquer une durée de vie renouvelable de une heure et trente minutes, utiliser « 90m » au lieu de « 1h30m ».

Si cette option n'est pas définie ou définie à 0, le renouvellement automatique est désactivé.

Par défaut : non défini

never : ne jamais utiliser FAST. Ceci équivaut à ne pas définir cette option.

try : eassyer d'utiliser FAST. Si le serveur ne prend pas en charge FAST, continuer l'authentification sans.

demander  : imposer d'utiliser FAST. L'authentification échoue si le serveur ne requiert pas FAST.

Par défaut : non défini, i.e. FAST n'est pas utilisé.

NOTE : un fichier keytab est requis pour utiliser FAST.

NOTE : SSSD prend en charge le paramètre FAST uniquement avec MIT Kerberos version 1.8 et au-delà. L'utilisation de SSSD avec une version antérieure de MIT Kerberos avec cette option est une erreur de configuration.

Par défaut : false

Consulter la page de manuel de sssd_krb5_locator_plugin(8) pour plus d'informations sur le greffon de localisation.

Par défaut : true

The krb5_kdcinfo_lookahead option contains two numbers seperated by a colon. The first number represents number of primary servers used and the second number specifies the number of backup servers.

For example 10:0 means that up to 10 primary servers will be handed to sssd_krb5_locator_plugin(8). but no backup servers.

Default: 3:1

Par défaut : false (AD provider : true)

The IPA provider will set to option to 'true' if it detects that the server is capable of handling enterprise principals and the option is not set explicitly in the config file.

exemple :

krb5_realm = REALM
krb5_map_user = joe:juser,dick:richard

“joe” and “dick” are UNIX user names and “juser” and “richard” are primaries of kerberos principals. For user “joe” resp. “dick” SSSD will try to kinit as “juser@REALM” resp. “richard@REALM”.

Par défaut : non défini

[domain/FOO]
auth_provider = krb5
krb5_server = 192.168.1.1
krb5_realm = EXAMPLE.COM