NAME¶

authselect-migration - Průvodce migrací z authconfig na authselect.

POPIS¶

Tato manuálová stránka vysvětluje hlavní rozdíl mezi authconfig, bývalý nástroj pro nastavení zdrojů systémové autentizace a totožnosti, a authselect, který ho nahrazuje. Stránka rovněž rozvádí, které akce je nutné provést pro migraci z authconfig na authselect.

HLAVNÍ ROZDÍLY¶

Authselect má zcela jiný přístup k systémové konfiguraci než bývalý nástroj authconfig.

Authconfig se snaží především zachovat vše na ručních změnách uživateli v souborech, které vytváří. Vytváří nejen konfigurační soubory PAM a nsswitch.conf (aby nastavil autentizační moduly a zdroje totožnosti), ale vytváří i jednoduché konfigurační soubory pro několik služeb, jako jsou LDAP a Kerberos.

Authselect takové věci neprovádí. Nevytváří žádné jiné konfigurační soubory kromě PAM a nsswitch.conf a přísně zakazuje jakékoliv ruční úpravy vytvořené konfigurace. Poskytuje sadu souborů nazývaných profily. Každý profil popisuje, jak by měla vypadat výsledná konfigurace a tu lze mírně pozměnit povolením či zákazem určitých volitelných vlastností. Nastane-li potřeba po jiném profilu než ten, který je poskytován společně s authselect, správce systému má možnost vytvořit zcela nový profil a používat ho s authselect. Více informací o profilech viz authselect-profiles(5).

Ačkoliv se to může zdát jako ohromná nevýhoda, opak je pravdou. Authconfig je velmi starý nástroj a aplikace poskytující požadované služby se během let velmi změnily. Např. není již více potřeba mít několik autentizačních modulů PAM a nsswitch.conf, neboť velká většina příkladů použití je pokryta SSSD. Proto není nutné je přidávat nebo odebírat po jednom. Existují rovněž lepší nástroje pro tvorbu konfigurace pro systémové démony, které usnadňují automatizaci procesu připojování ke vzdálené doméně, jako např. realm. Dále nám poskytované profily dávají vyčerpávající a pevně danou systémovou konfigurace, která lze zcela testovat a je méně náchylná k chybám. Je též mnohem snazší takovou konfiguraci distribuovat přes mnoho systémů.

Pravděpodobně nejvíce spornou změnou je to, že authselect poskytuje pouze profily pro poskytovatele sssd a winbind. Tyto dva poskytovatelé pokrývají všechny moderní případy použití, od poskytování místních uživatelů a historické domény LDAP po složitou konfiguraci s IPA nebo servery Active Directory. Profily již neobsahují podporu pro nss-pam-ldapd a uživatelé jsou povzbuzováni k přechodu na sssd.

PŘIPOJENÍ K DOMÉNÁM VZDÁLEN̶

Lze použít jak ipa-client-install, tak realm, abyste se připojily do domény IPA, a realm pro připojení do domény Active Directory. Tyto nástroje zajistí, že je vybrán správný profil authselect a všechny démony a služby jsou řádně nakonfigurovány.

PŘEVOD SKRIPTٶ

Použijete-li k připojení do domény ipa-client-install nebo realm, je možné odstranit ve vašich skriptech kterékoliv volání authconfig. Nemáte-li takovou možnost, potřebujete nahradit každé voláni authconfig ekvivalentem authselectu, abyste zvolili správný profil s požadovanými vlastnostmi. Potřebujete rovně zapsat konfigurační soubor pro vyžadovanou službu.

Table 1. Vztah voleb authconfig k profilům authselectu

Table 2. Vztah voleb authconfig k vlastnostem profilům authselectu

Příklady.

authconfig --enableldap --enableldapauth --enablefaillock --updateall
authselect select sssd with-faillock
authconfig --enablesssd --enablesssdauth --enablesmartcard --smartcardmodule=sssd --updateall
authselect select sssd with-smartcard
authconfig --enablepamaccess --updateall
authselect select sssd with-pamaccess
authconfig --enablewinbind --enablewinbindauth --winbindjoin=Administrator --updateall
realm join -U Administrator --client-software=winbind WINBINDDOMAIN

KONFIGURAčNí SOUBORY¶

Tato podkapitola obsahuje úryvky minimální konfigurace různých služeb.

# Nastavení výchozího bázového dn
BASE   dc=example,dc=com
# Nastavení výchozího serveru LDAP
URI    ldap://ldap.example.com ldap://ldap-master.example.com:666

[libdefaults]


 default_realm = MYREALM
[realms]


 MYREALM = {


  kdc = kdc.myrealm.org


 }
[domain_realm]


 myrealm.org = MYREALM


 .myrealm.org = MYREALM

[sssd]
config_file_version = 2
domains = default
[domain/default]
id_provider = ldap
ldap_uri = _srv_
dns_discovery_domain = myrealm

[sssd]
config_file_version = 2
domains = default
[domain/default]
id_provider = ldap
auth_provider = krb5
ldap_uri = _srv_
krb5_server = _srv_
krb5_realm = MYREALM
dns_discovery_domain = myrealm

domain mydomain broadcast
# or
# domain mydomain server myserver

NISDOMAIN=mydomain

$ domainname mydomain
$ setsebool -P allow_ypbind 1

SPOUŠTĚNÍ SLUŽEB¶

V závislosti na konfiguraci potřebujete ručně spustit požadované služby s pomocí systemd.

systemctl enable sssd.service ; systemctl start sssd.service

systemctl enable winbind.service ; systemctl start winbind.service

systemctl enable rpcbind.service ; systemctl start rpcbind.service
systemctl enable ypbind.service ; systemctl start ypbind.service

systemctl enable oddjobd.service ; systemctl start oddjobd.service

NÁSTROJE AUTHCONFIG¶

Authconfig poskytuje nástroj s názvem cacertdir_rehash. Pokud na tomto nástroji závisíte, prosíme, přejděte na původní příkaz openssl: openssl rehash <directory>, který slouží stejnému účelu.

VIZ TÉŽ¶

authselect(8), authselect-profiles(5), realm(8), ipa-client-install(1), sssd.conf(5), smb.conf(5), ldap.conf(5), krb5.conf(5)