Observera att varje SSSD-tjänst loggar till sin egen loggfil. Observera också att aktivering av “debug_level” i avsnittet “[sssd]” bara aktiverar felsökning just för själva sssd-processen, inte för respondent- eller leverantörsprocesser. Parametern “debug_level” skall läggas till i alla sektioner som man vill producera felsökningsloggar ifrån.

Utöver att ändra loggnivån i konfigurationsfilen med parametern “debug_level”, som är bestående, men kräver omstart av SSSD, är det även möjligt att ändra felsökningsnivån i farten med verktyget sss_debuglevel(8).

Felsökningsnivåer som för närvarande stödjs:

0, 0x0010: Ödesdigra fel. Allt som skulle hindra SSSD från att starta upp eller får den att sluta köra.

1, 0x0020: Kritiska fel. Ett fel som inte dödar SSSD, men ett som indikerar att åtminstone en viktig funktion inte kommer fungera korrekt.

2, 0x0040: Allvarliga fel. Ett fel som rapporterar att en viss begäran eller operation har misslyckats.

3, 0x0080: Smärre fel. Detta är fel som skulle kunna bubbla ner till att orsaka funktionsfelet 2.

4, 0x0100: Konfigurationsinställningar.

5, 0x0200: Funktionsdata.

6, 0x0400: Spårmeddelanden för åtgärdsfunktioner.

7, 0x1000: Spårmeddelanden för interna styrfunktioner.

8, 0x2000: Innehållet i interna variabler som kan vara intressant.

9, 0x4000: Spårningsinformation på extremt låg nivå.

9,0x20000: Prestanda och statistiska data, observera att på grund av hur förfrågningar behandlas internt kan den loggade exekveringstiden för en förfrågan vara längre än den faktiskt var.

10, 0x10000: Ännu mer lågnivå spårningsinformation om libldb. Det behövs nästan aldrig.

För att logga begärda bitmaskfelsökningsnivåer, lägg helt enkelt ihop deras tal som visas i följande exempel:

Exempel: För att logga ödesdigra fel, kritiska fel, allvarliga fel och funktionsdata, använd 0x0270.

Exempel: För att logga ödesdigra fel, konfigurationsinställningar, funktionsdata och spårmeddelanden för interna styrfunktioner, använd 0x1310.

Observera: bitmaskformatet för felsökningsnivåer introducerades i 1.7.0.

Standard: 0x0070 (d.v.s. ödesdigra, kritiska och allvarliga fel; motsvarar inställningen 2 i decimal notation)

Standard: true

Standard: false

Ifall SSSD körs med debug_level mindre än 9 loggas allting till en ringbuffert i minnet och skrivs till en loggfil när nägot fel upp till och inklusive ”min(0x0040, debug_level)” (d.v.s. om debug_level uttryckligen är satt till 0 eller 1 kommer endast dessa felnivåer att orsaka en spårning, annars upp till 2).

Funktionen stödjs endast för ”logger == files” (d.v.s. att sätta denna har ingen effekt för andra loggningstyper).

Standard: true

Standard: 10

Tjänster som stödjs: nss, pam , sudo , autofs , ssh , pac , ifp

Som standard är alla tjänster avaktiverade och administratören måste aktivera de tillåtna genom att köra: ”systemctl enable sssd-@service@.socket".

Standard: 3

Varje domän kan ha ett eget reguljärt uttryck konfigurerat. För några ID-leverantörer finns det också reguljära standarduttryck. Se DOMÄNSEKTIONER för mer information om dessa reguljära uttryck.

Följande utvidgningar stödjs:

%1$s

%2$s

%3$s

Varje domän kan ha en egen formatsträng konfigurerad. Se DOMÄNSEKTIONER för mer information om detta alternativ.

Standard: true

Det finns vissa situationer när det är att föredra att vi skall hoppa över att ens försöka att använda inotify. I dessa sällsynta fall skall detta alternativ sättas till ”false”

Standard: true på plattformar där inotify stödjs. False på andra plattformar.

Obs: detta alternativ kommer inte ha någon effekt på plattformar där inotify inte är tillgängligt. På dessa plattformar kommer pollning alltid användas.

Detta alternativ godtar ett specialvärde __LIBKRB5_DEFAULTS__ som kommer instruera SSSD att låta libkrb5 bestämma den lämpliga platsen för cachefilerna för återuppspelning.

Standard: distributionsspecifikt och anges vid byggtillfället. (__LIBKRB5_DEFAULTS__ om inte konfigurerat)

This option does not work when running socket-activated services, as the user set up to run the processes is set up during compilation time. The way to override the systemd unit files is by creating the appropriate files in /etc/systemd/system/. Keep in mind that any change in the socket user, group or permissions may result in a non-usable SSSD. The same may occur in case of changes of the user running the NSS responder.

Standard: inte angivet, processer kommer köra som root

Please note that if this option is set all users from the primary domain have to use their fully qualified name, e.g. user@domain.name, to log in. Setting this option changes default of use_fully_qualified_names to True. It is not allowed to use this option together with use_fully_qualified_names set to False. One exception from this rule are domains with “id_provider=files” that always try to match the behaviour of nss_files and therefore their output is not qualified even when the default_domain_suffix option is used.

Standard: inte satt

Observera att det är ett konfigurationsfel att använda ett ersättningstecken som kan användas i användar- eller gruppnamn. Om ett namn innehåller ersättningstecknet försöker SSSD att returnera det omodifierade namnet men i allmänhet är resultatet av en uppslagning odefinierat.

Standard: inte satt (blanka kommer inte ersättas)

no_ocsp

soft_ocsp

ocsp_dgst

no_verification

partial_chain

ocsp_default_responder=URL

ocsp_default_responder_signing_cert=NAMN

crl_file=/SÖKVÄG/TILL/CRL/FIL

soft_crl

Okända alternativ rapporteras men ignoreras.

Standard: inte satt, d.v.s begränsa inte certifikatverifieringen

Förändringar av SSSD-tillståndet från netlink-händelser kan vara opålitliga och kan avaktiveras genom att sätta detta alternativ till ”true”

Standard: false (netlink-förändringar detekteras)

Standard: false

Please, note that when this option is set the output format of all commands is always fully-qualified even when using short names for input , for all users but the ones managed by the files provider. In case the administrator wants the output not fully-qualified, the full_name_format option can be used as shown below: “full_name_format=%1$s” However, keep in mind that during login, login applications often canonicalize the username by calling getpwnam(3) which, if a shortname is returned for a qualified input (while trying to reach a user which exists in multiple domains) might re-route the login attempt into the domain which uses shortnames, making this workaround totally not recommended in cases where usernames may overlap between domains.

Standard: inte satt

Standard: true

Standard: true

Standard: 3

Standard: 8192 (eller den ”hårda” gränsen i limits.conf)

Standard: 60, KCM: 300

ny_fördröjning = Minimum(gammal_fördröjning * 2, offline_timeout_max) + slumpvärde[0...offline_timeout_random_offset]

Standardvärdet för offline_timeout är 60. Standardvärdet på offline_timeout_max är 3600. Standardvärdet på offline_timeout_random_offset är 30. Slutresultatet är antalet sekunder före nästa omförsök.

Observera att den maximala längde på varje intervall definieras av offline_timeout_max (förutom slumpdelen).

Standard: 60

Ett värde på 0 avaktiverar det ökande beteendet.

Värdet på denna parameter skall sättas i korrelation med parametervärdet offline_timeout.

Med offline_timout satt till 60 (standardvärdet) är det ingen poäng i att sätta ofline_timeout_max till mindre än 120 eftersom det kommer mättas omedelbart. En allmän regel här bör vara att sätta offline_timeout_max till åtminstone 4 gånger offline_timeout.

Även om ett värde mellan 0 och offline_timeout kan anges har det effekten att åsidosätta värdet offline_timeout så det är inte så användbart.

Standard: 3600

ny_fördröjning = Minimum(gammal_fördröjning * 2, offline_timeout_max) + slumpvärde[0...offline_timeout_random_offset]

Denna parameter styr värdet på den slumpvisa förskjutningen som används i ovanstående ekvation. Det slutliga random_offset-värdet kommer vara ett slumptal i intervallet:

[0 – offline_timeout_random_offset]

Ett värde på 0 avaktiverar tillägget av en slumpfördröjning.

Standard: 30

Standard: 300

Standard: false

Standard: 120

Till exempel, om domänens entry_cache_timeout är satt till 30 s och entry_cache_nowait_percentage är satt till 50 (procent) kommer poster som kommer in 15 sekunder efter den sista cacheuppdateringen returneras omedelbart, men SSSD kommer att ta och uppdatera cachen på egen hand, så att framtida begäranden kommer behöva blockera i väntan på en cacheuppdatering.

Giltiga värden för detta alternativ är 0-99 och representerar en procentsats av entry_cache_timeout för varje domän. Av prestandaskäl kommer denna procentsats aldrig reducera nowait-tidsgränser till mindre än 10 sekunder. (0 avaktiverar denna funktion)

Standard: 50

Standard: 15

Standard: 14400 (4 timmar)

OBS: alternativet filter_groups påverkar inte arvet av nästade gruppmedlemmar, eftersom filtrering sker efter att de propagerats för att returnera via NSS. T.ex. en grupp som har en medlemsgrupp bortfiltrerad kommer fortfarande ha medlemsanvändarna i den senare listade.

Standard: root

Standard: true

%u

%U

%d

%f

%l

%P

%o

%h

%H

%%

Detta alternativ kan även sättas per domän.

exempel:

override_homedir = /home/%u


        

Standard: Inte satt (SSSD kommer använda värdet som hämtas från LDAP)

Observera att hemkatalog från ett specifikt åsidosättande för användaren, antingen lokalt (se sss_override(8)) eller centralt hanterat IPA-id-åsidosättande, har en högre precedens och kommer användas istället för värdet gom ges av override_homedir.

Standard: /home

De tillgängliga värdena för detta alternativ är samma som för override_homedir.

exempel:

fallback_homedir = /home/%u


                            

Standard: inte satt (ingen ersättning för ej angivna hemkataloger)

Standard: inte angivet (SSSD kommer använda värdet som hämtats från LDAP)

1. Om skalet finns i “/etc/shells” används det.

2. Om skalet finns i listan allowed_shells men inte i “/etc/shells”, använd värdet på parametern shell_fallback.

3. Om skalet inte finns i listan allowed_shells och inte i “/etc/shells” används ett nologin-skal.

Jokertecknet (*) kan användas för att tillåta godtyckligt skal.

(*) är användbart om du vill använda shell_fallback ifall den användarens skal inte finns i “/etc/shells” och att underhålla listan över alla skal i allowed_shells skulle vara för mycket overhead.

En tom sträng som skal skickas som den är till libc.

“/etc/shells” läses bara vid uppstart av SSSD, vilket betyder att en omstart av SSSD behövs ifall ett nytt skal installeras.

Standard: inte satt. Användarens skal används automatiskt.

Standard: /bin/sh

Standard: inte satt (Returnera NULL om inget skal är angivet och lita på att libc ersätter med något rimligt när nödvändigt, vanligen /bin/sh)

Standard: 60

Standard: 300

VARNING: att avaktivera cachen i minnet kommer ha signifikant negativ påverkan på SSSD:s prestanda och skall bara användas för testning.

OBS: om miljövariabeln SSS_NSS_USE_MEMCACHE är satt till ”NO” kommer klientprogram inte använda den snabba cachen i minnet.

Standard: 8

VARNING: en avaktiverad eller för liten cache i minnet kan ha signifikant negativ påverkan på SSSD:s prestanda.

OBS: om miljövariabeln SSS_NSS_USE_MEMCACHE är satt till ”NO” kommer klientprogram inte använda den snabba cachen i minnet.

Standard: 6

VARNING: en avaktiverad eller för liten cache i minnet kan ha signifikant negativ påverkan på SSSD:s prestanda.

OBS: om miljövariabeln SSS_NSS_USE_MEMCACHE är satt till ”NO” kommer klientprogram inte använda den snabba cachen i minnet.

Standard: 10

VARNING: en avaktiverad eller för liten cache i minnet kan ha signifikant negativ påverkan på SSSD:s prestanda.

OBS: om miljövariabeln SSS_NSS_USE_MEMCACHE är satt till ”NO” kommer klientprogram inte använda den snabba cachen i minnet.

Standard: 6

VARNING: en avaktiverad eller för liten cache i minnet kan ha signifikant negativ påverkan på SSSD:s prestanda.

OBS: om miljövariabeln SSS_NSS_USE_MEMCACHE är satt till ”NO” kommer klientprogram inte använda den snabba cachen i minnet.

För att förenkla konfigurationen kommer NSS-respondenten kontrollera InfoPipe-alternativet om det inte är satt för NSS-respondenten.

Standard: inte satt, gå tillbaka till InfoPipe-alternativet

Standard: “*”

Observera: detta alternativ kan även sättas per domän vilket åsidosätter värdet i [nss]-sektionen.

Default: “not set” (remote domains), “x” (the files domain), “x” (proxy domain with nss_files and sssd-shadowutils target)

Standard: 0 (ingen gräns)

Standard: 0 (ingen gräns)

Om satt till 0 kan inte användaren autentisera om offline_failed_login_attempts har uppnåtts. Endast en lyckad uppkopplad autentisering kan aktivera autentisering utan uppkoppling igen.

Standard: 5

För närvarande stödjs följande värden:

0: visa inte några meddelanden

1: visa endast viktiga meddelanden

2: visa informationsmeddelanden

3: visa alla meddelanden och felsökningsinformation

Standard: 1

Medan meddelanden redan kan styras med hjälp av alternativet pam_verbosity gör detta alternativ att man kan filtrera ut andra sorters svar dessutom.

För närvarande stödjs följande filter:

ENV

ENV:varnamn

ENV:varnamn:tjänst

Listan av strängar kan antingen vara listan av filter vilka skulle sätta denna lista av filter och åsidosätta standardvärdet. Eller så kan varje element i listan ha ett tecken ”+” eller ”-” som prefix vilket skulle lägga till filtret till det befintliga standardvärdet respektive ta bort det från standardvärdet. Observera att antingen måste alla listelement ha ett ”+” eller ”-” eller inget av dem. Det ses som ett fel att blanda båda sätten.

Standard: ENV:KRB5CCNAME:sudo, ENV:KRB5CCNAME:sudo-i

Exempel: -ENV:KRB5CCNAME:sudo-i kommer ta bort det filtret från standardlistan

En fullständig PAM-konversation kan utföra flera PAM-begäranden såsom hantering av konto och öppning av en session. Detta alternativ styr (på per-klientprogrambasis) hur länge (i sekunder) vi kan cacha identitetsinformationen för att undvika överdrivna rundturer till identitetsleverantören.

Standard: 5

Observera att bakändeservern måste leverera information om utgångstiden för lösenordet. Om denna information saknas kan sssd inte visa någon varning.

Om noll anges tillämpas inte detta filter, d.v.s. om utgångsvarningen mottogs från bakändeserver kommer den automatiskt visas.

Denna inställning kan åsidosättas genom att sätta pwd_expiration_warning för en viss domän.

Standard: 0

Standard: 60

Standard: alla användare betraktas som betrodda som standard

Observera att AID 0 alltid tillåts komma åt PAM-respondenten även ifall den inte är i listan pam_trusted_users.

Två speciella värden för alternativet pam_public_domains är definierade:

all (Ej betrodda användare tillåts komma åt alla domäner i PAM-respondenten.)

none (Ej betrodda användare tillåts inte att komma åt några domäner i PAM-respondenten.)

Standard: none

Observera: var medveten om att meddelandet endast skrivs för tjänsten SSH om inte pam_verbosity är satt till 3 (visa alla meddelanden och felsökningsinformation).

exempel:

pam_account_expired_message = Kontot är utgånget, kontakta kundtjänsten.


                            

Standard: none

exempel:

pam_account_locked_message = Kontot är låst, kontakta kundtjänsten.


                            

Standard: none

Standard: False

Standard:

exempel:

pam_cert_verification = partial_chain


                            

Standard: inte satt, d.v.s. använd standardvärdet “certificate_verification” definierat i sektionen “[sssd]”.

Standard: 10

Standard: inte satt

Det är möjligt att lägga till ett annat PAM-tjänstenamn till standarduppsättningen genom att använda “+tjänstenamn” eller att uttryckligen ta bort ett PAM-tjänstenamn från standarduppsättningen genom att använda “-tjänstenamn”. Till exempel, för att byta ut ett standard-PAM-tjänstenamn för autentisering med smarta kort (t.ex. “login”) mot ett anpassat PAM-tjänstenamn (t.ex. “min_pam-tjänst”) skulle man använda följande konfiguration:

pam_p11_allowed_services = +min_pam-tjänst, -login


                            

Standard: standarduppsättningen av PAM-tjänstenamn innefattar:

Standard: 60

Exempel:

p11_uri = pkcs11:slot-description=Min%20smartkortsläsare


                            

eller

p11_uri = pkcs11:library-description=OpenSC%20smartkortsramverk;slot-id=2


                            

För att hitta en lämplig URI, kontrollera felsökningsutdata från p11_child. Som ett alternativ kommer GnuTLS-verktyget ”p11tool” med t.ex. ”--list-all” visa även PKCS#11 URI:er.

Standard: none

always

no_session

never

Standard: no_session

För att avaktivera GSSAPI-autentisering, sätt denna lista till “-” (streck).

Observera: denna flagga kan även sättas per domän vilket skriver över värdet i sektionen [pam]. Det kan också sättas för betrodda domäner vilket skriver över värdet i domänsektionen.

Exempel:

pam_gssapi_services = sudo, sudo-i


                            

Standard: - (GSSAPI-autentisering är avaktiverat)

Om falskt kommer varje användare som kan få den begärda biljetten att autentiseras.

Observera: denna flagga kan även sättas per domän vilket skriver över värdet i sektionen [pam]. Det kan också sättas för betrodda domäner vilket skriver över värdet i domänsektionen.

Standard: True

Varje element i listan kan antingen vara ett autentiseringsindikatornamn eller ett par “tjänst:indikator”. Indikatorer som inte har PAM-tjänsten som prefix kommer krävas för att komma åt någon PAM-tjänst alls som är konfigurerad att användas med pam_gssapi_services. En resulterande lista över indikatorer per PAM-tjänst kontrolleras sedan mot indikatorer i Kerberos-biljetten under autentisering via pam_sss_gss.so. Om någon indikator från biljetten matchar den resulterande listan av indikatorer för PAM-tjänsten så ges åtkomst. Om ingen av indikatorerna i listan matchar, kommer åtkomst nekas. Om den resulterande listan av indikatorer för PAM-tjänsten är tom kommer kontrollen inte att förhindra åtkomsten.

För att avaktivera indikatorkontrollen med GSSAPI-autentisering, sätt denna flagga till “-” (streck). För att avaktivera kontrollen för en specifik PAM-tjänst, lägg till “tjänst:-”.

Observera: denna flagga kan även sättas per domän vilket skriver över värdet i sektionen [pam]. Det kan också sättas för betrodda domäner vilket skriver över värdet i domänsektionen.

Följande autentiseringsindikatorer stödjs av IPA-Kerberosinstallationer:

Exempel: för att begära åtkomst till SUDO-tjänster endast för användare som fick sina Kerberos-biljetter med förautentisering med ett X.509-certifikat (PKINIT), sätt

pam_gssapi_indicators_map = sudo:pkinit, sudo-i:pkinit


                            

Standard: inte satt (användning av autentiseringsindikatorer krävs inte)

Standard: false

Standard: 50

Standard: 15

Standard: false

Standard: 180

Standard: true

Det finns två speciella nyckelord ”all_rules” och ”no_rules” som kommer aktivera alla respektive inga regler. Det senare betyder att inga certifikat kommer filtreras ut och att ssh-nycklar kommer genereras från alla giltiga certifikat.

Om inga regler är konfigurerade kommer att använda ”all_rules” aktivera en standardregel som aktiverar alla certifikat som passar klientautentiseringen. Detta är samma beteende som för PAM-respondenten om certifikatautentisering är aktiverat.

Ett namn på en regel som inte finns anses som ett fel. Om som ett resultat ingen regel blir vald kommer alla certifikat ignoreras.

Standard: inte satt, likvärdigt med ”all_rules”, alla regler som finns eller standardregeln används

Standard:

Standard: 0 (endast root-användaren tillåts komma åt PAC-respondenten)

Observera att även om AID 0 används som standard kommer det att skrivas över av detta alternativ. Om du fortfarande vill tillåta root-användaren att komma åt PAC-respondenten, vilket man typiskt vill, måste du lägga till även 0 i listan av tillåtna AID:er.

Standard: 300

Följande alternativ kan användas ensamma eller i en kommaseparerad lista:

no_check

pac_present

check_upn

check_upn_allow_missing

upn_dns_info_present

check_upn_dns_info_ex

upn_dns_info_ex_present

Standard: no_check (AD- och IPA-leverantörerna ”check_upn, check_upn_allow_missing, check_upn_dns_info_ex”)

”none”

”some”

”all”

Standard: ”none”

Standard: Tomt. Matchar inte några användare.

OBSERVERA: att använda detta alternativ (ha det satt till något) har en betydande prestandakostnad, ty varje begäran som inte cachas för en användare måste hämtas och matchas mot grupperna användaren är en medlem i.

Standard: Tom. Matchar inga grupper.

Standard: Tomt. Inga användare uteslutna.

OBSERVERA: att använda detta alternativ (ha det satt till något) har en betydande prestandakostnad, ty varje begäran som inte cachas för en användare måste hämtas och matchas mot grupperna användaren är en medlem i.

Standard: Tom. Inga grupper uteslutna.

Standard: inte satt

[sssd]
domains = progdom, posixdom
[ifp]
user_attributes = +telefon
[domain/posixdom]
id_provider = ldap
ldap_uri = ldap://ldap.example.com
ldap_search_base = dc=example,dc=com
[application/progdom]
inherit_from = posixdom
ldap_user_extra_attrs = telefon:telephoneNumber