ПРИОРИТЕТ¶

Правила обрабатываются в порядке приоритета. Ноль «0» означает наивысший приоритет. Чем больше число, тем выше приоритет. Отсутствие значения означает самый низкий приоритет. Обработка правил останавливается при обнаружении соответствующего условиям правила, и никакие другие правила уже не проверяются.

На внутреннем уровне приоритет обрабатывается как беззнаковое 32-битное целое. Использование значения приоритета, превышающего 4294967295, приведёт к ошибке.

Если несколько правил имеют одинаковый приоритет, но только одно соответствует связанным правилам установления соответствия, будет выбрано это правило. Если имеется несколько правил с одинаковым приоритетом, которые соответствуют, будет выбрано одно из них, но не будет определено, какое именно. Чтобы предотвратить такое неопределённое поведение, следует либо задать разный приоритет, либо сделать правила установления соответствия более чёткими (например, с помощью разных шаблонов <ISSUER>).

ПРАВИЛО УСТАНОВЛЕНИЯ СООТВЕТСТВИЯ¶

Правило установления соответствия используется для выбора сертификата, к которому следует применить правило сопоставления. В нём используется система, похожую на ту, которая используется в параметре “pkinit_cert_match” MIT Kerberos. Правило состоит из ключевого слова, расположенного между «<» и «>», которое идентифицирует определённую часть сертификата, и шаблона, который должен быть найден для установления соответствия правила. Несколько пар «ключевое слово — шаблон» можно соединить с помощью логического оператора «&&» (и) или «||» (или).

Given the similarity to MIT Kerberos the type prefix for this rule is 'KRB5'. But 'KRB5' will also be the default for “matching rules” so that "<SUBJECT>.*,DC=MY,DC=DOMAIN" and "KRB5:<SUBJECT>.*,DC=MY,DC=DOMAIN" are equivalent.

Доступные параметры:

<SUBJECT>регулярное_выражение

<ISSUER>регулярное_выражение

<KU>использование_ключа

<EKU>расширенное_использование_ключа

<SAN>регулярное_выражение

<SAN:Principal>регулярное_выражение

<SAN:ntPrincipalName>регулярное_выражение

<SAN:pkinit>регулярное_выражение

<SAN:dotted-decimal-oid>регулярное_выражение

<SAN:otherName>строка_base64

<SAN:rfc822Name>регулярное_выражение

<SAN:dNSName>регулярное_выражение

<SAN:x400Address>строка_base64

<SAN:directoryName>регулярное_выражение

<SAN:ediPartyName>строка_base64

<SAN:uniformResourceIdentifier>регулярное_выражение

<SAN:iPAddress>регулярное_выражение

<SAN:registeredID>регулярное_выражение

ПРАВИЛО СОПОСТАВЛЕНИЯ¶

Правило сопоставления используется для связывания сертификата с одной или несколькими учётными записями. После этого для прохождения проверки подлинности в качестве одной из этих учётных записей будет можно использовать смарт-карту с сертификатом и соответствующим закрытым ключом.

В настоящее время SSSD поддерживает поиск данных пользователей в основном только в LDAP (исключение — поставщик данных прокси, что несущественно в данном контексте). Поэтому правило сопоставления основано на синтаксисе фильтра поиска LDAP с шаблонами для добавления содержимого сертификата в фильтр. Ожидается, что фильтр будет содержать только определённые данные, необходимые для сопоставления, и что вызывающая сторона внедрит их в другой фильтр для выполнения фактического поиска. Поэтому строка фильтра должна, соответственно, начинаться символом «(» и заканчиваться символом «)».

В целом, рекомендуется использовать атрибуты из сертификата и добавлять их к специальным атрибутам объекта пользователя LDAP. Например, можно использовать атрибут «altSecurityIdentities» в AD или атрибут «ipaCertMapData» для IPA.

Это предпочтительнее чтения относящихся к пользователю данных из сертификата (например, адреса электронной почты) и поиска этих данных на сервере LDAP. Дело в том, что относящиеся к пользователю данные в LDAP могут меняться по ряду причин, и это приведёт к ошибке сопоставления. С другой стороны, сложно специально вызвать ошибку сопоставления для определённого пользователя.

The default “mapping rule” type is 'LDAP' which can be added as a prefix to a rule like e.g. 'LDAP:(userCertificate;binary={cert!bin})'. There is an extension called 'LDAPU1' which offer more templates for more flexibility. To allow older versions of this library to ignore the extension the prefix 'LDAPU1' must be used when using the new templates in a “mapping rule” otherwise the old version of this library will fail with a parsing error. The new templates are described in section the section called “LDAPU1 extension”.

Шаблоны для добавления данных сертификата в фильтр поиска основаны на строках форматирования в стиле Python. Они состоят из ключевого слова в фигурных скобках с необязательным указателем подкомпонента, который отделён знаком «.», или необязательным параметром преобразования/форматирования, который отделён знаком «!». Допустимые значения:

{issuer_dn[!((ad|ad_x500)|ad_ldap|nss_x500|(nss|nss_ldap))]}

{subject_dn[!((ad|ad_x500)|ad_ldap|nss_x500|(nss|nss_ldap))]}

{cert[!(bin|base64)]}

{subject_principal[.short_name]}

{subject_pkinit_principal[.short_name]}

{subject_nt_principal[.short_name]}

{subject_rfc822_name[.short_name]}

{subject_dns_name[.short_name]}

{subject_uri}

{subject_ip_address}

{subject_x400_address}

{subject_directory_name[!((ad|ad_x500)|ad_ldap|nss_x500|(nss|nss_ldap))]}

{subject_ediparty_name}

{subject_registered_id}

LDAPU1 extension

СПИСОК ДОМЕНОВ¶

Когда список доменов не пуст, поиск пользователей, сопоставленных указанному сертификату, будет выполняться не только в локальном домене, но также и в перечисленных в списке доменах, если они известны SSSD. Домены, которые неизвестны SSSD, будут игнорироваться.