NAME¶

authselect-migration - Een gids voor het migreren van authconfig naar authselect.

BESCHRIJVING¶

Deze handleidingspagina legt de belangrijkste verschillen uit tussen authconfig, het vorige gereedschap voor het configureren van systeemauthenticatie en identiteitsbronnen, en authselect die het vervangt. Het legt ook uit welke stappen moeten worden gezet voor het migreren van authconfig naar authselect.

BELANGRIJKSTE VERSCHILLEN¶

Authselect heeft een geheel andere benadering van systeemconfiguratie dan het vorige gereedschap authconfig.

Authconfig doet zijn best om de handmatige wijzigingen van de gebruiker te behouden in de bestanden die het aanmaakt. Het maakt niet alleen PAM-configuratiebestanden en nsswitch.conf aan (voor het instellen van authenticatiemodules en identiteitsbronnen) maar het genereert ook eenvoudige configuratiebestanden voor verscheidene diensten zoals LDAP en Kerberos.

Authselect doet dat allemaal niet. Het maakt naast PAM en nsswitch.conf geen andere configuratiebestanden aan en het belet elke handmatige verandering van de gegenereerde configuratie. Het levert een verzameling bestanden die profielen genoemd worden. Elk profiel beschrijft hoe de uiteindelijke configuratie er uit moet zien en elk profiel kan enigszins aangepast worden met het aan- of uitzetten van bepaalde functies. Als de behoefte ontstaat voor een ander profiel dan wat authselect meelevert, dan heeft de beheerder de mogelijkheid tot het aanmaken van een geheel nieuw profiel om dat met authselect te gebruiken. Zie authselect-profiles(5) voor meer informatie over de profielen.

Dit lijkt misschien een groot nadeel maar het tegengestelde is waar. Authconfig is een zeer oud gereedschap en de programma’s die de benodigde diensten aanbieden zijn met de jaren snel veranderd. Het is doorgaans niet meer nodig om meerdere authenticatiemodules te hebben in PAM en nsswitch.conf, omdat in de overgrote meerderheid van de gebruiksgevallen voorzien wordt door SSSD. Derhalve is het niet nodig ze specifiek toe te voegen of te verwijderen. Ook zijn er betere programma’s om de configuratie van systeemachtergrondprocessen te genereren die u kunnen helpen met het automatiseren van de procedure van toetreden naar een ander domein zoals realm. Tevens geven de meegeleverde profielen ons een complete en concrete systeemconfiguratie die volledig getest kan zijn en veel minder foutgevoelig is. Het is ook veel gemakkelijker een dergelijke configuratie te distribueren over vele systemen.

De meest controversiële verandering is waarschijnlijk dat authselect alleen profielen meelevert voor sssd- en winbind-aanbieders. Deze twee aanbieders ondersteunen alle moderne gebruiksgevallen, van het aanbieden van lokale gebruikers en het verouderde LDAP-domein tot complexe configuraties met IPA- of Active Directory-servers. Deze profielen ondersteunen geen nss-pam-ldapd meer en gebruikers worden aangemoedigd om over te gaan op sssd.

VERBINDEN MET AFGELEGEN DOMEINEN¶

U kunt ipa-client-install of realm gebruiken om te verbinden met een IPA-domein en realm om te verbinden met een Active Directory-domein. Deze gereedschappen zorgen ervoor dat het correcte authselect-profiel geselecteerd wordt en dat alle achtergrondprocessen en diensten juist geconfigureerd worden.

UW SCRIPTS CONVERTEREN¶

Als u ipa-client-install of realm gebruikt om te verbinden met een domein, kunt u gewoon elke authconfig-aanroep in uw scripts verwijderen. Als dit niet mogelijk is, moet u elke authconfig-aanroep vervangen door zijn gelijkwaardige authselect-aanroep om een correct profiel met de gewenste functies te selecteren. Dan moet u ook een configuratie-bestand schrijven voor de benodigde diensten.

Table 1. Relatie van authconfig-opties met authselect-profielen

Table 2. Relatie van authconfig-opties met profiel-functies van authselect

Voorbeelden.

authconfig --enableldap --enableldapauth --enablefaillock --updateall
authselect select sssd with-faillock
authconfig --enablesssd --enablesssdauth --enablesmartcard --smartcardmodule=sssd --updateall
authselect select sssd with-smartcard
authconfig --enablepamaccess --updateall
authselect select sssd with-pamaccess
authconfig --enablewinbind --enablewinbindauth --winbindjoin=Administrator --updateall
realm join -U Administrator --client-software=winbind WINBIND-DOMEIN

CONFIGURATIEBESTANDEN¶

Deze sectie bevat fragmenten voor minimale configuratie van verschillende services.

# Instellen van de standaard basis dn
BASE   dc=example,dc=com
# Instellen van de standaard LDAP-server
URI    ldap://ldap.example.com ldap://ldap-master.example.com:666

[libdefaults]


 default_realm = MYREALM
[realms]


 MYREALM = {


  kdc = kdc.myrealm.org


 }
[domain_realm]


 myrealm.org = MYREALM


 .myrealm.org = MYREALM

[sssd]
config_file_version = 2
domains = default
[domain/default]
id_provider = ldap
ldap_uri = _srv_
dns_discovery_domain = myrealm

[sssd]
config_file_version = 2
domains = default
[domain/default]
id_provider = ldap
auth_provider = krb5
ldap_uri = _srv_
krb5_server = _srv_
krb5_realm = MYREALM
dns_discovery_domain = myrealm

domain mydomain broadcast
# of
# domain mydomain server myserver

NISDOMAIN=mydomain

$ domainname mydomain
$ setsebool -P allow_ypbind 1

DIENSTEN OPSTARTEN¶

Afhankelijk van uw configuratie, moet u de benodigde diensten handmatig starten met systemd.

systemctl enable sssd.service ; systemctl start sssd.service

systemctl enable winbind.service ; systemctl start winbind.service

systemctl enable rpcbind.service ; systemctl start rpcbind.service
systemctl enable ypbind.service ; systemctl start ypbind.service

systemctl enable oddjobd.service ; systemctl start oddjobd.service

AUTHCONFIG-GEREEDSCHAPPEN¶

Authconfig leverde een gereedschap genaamd cacertdir_rehash mee. Als u afhankelijk bent van dit gereedschap, stapt u dan over op uw systeemeigen openssl commando: openssl rehash <directory> dat hetzelfde doel dient.

ZIE OOK¶

authselect(8), authselect-profiles(5), realm(8), ipa-client-install(1), sssd.conf(5), smb.conf(5), ldap.conf(5), krb5.conf(5)