ПРИОРИТЕТ¶

Правила обрабатываются в порядке приоритета. Ноль «0» означает наивысший приоритет. Чем больше число, тем выше приоритет. Отсутствие значения означает самый низкий приоритет. Обработка правил останавливается при обнаружении соответствующего условиям правила, и никакие другие правила уже не проверяются.

На внутреннем уровне приоритет обрабатывается как беззнаковое 32-битное целое. Использование значения приоритета, превышающего 4294967295, приведёт к ошибке.

Если несколько правил имеют одинаковый приоритет, но только одно соответствует связанным правилам установления соответствия, будет выбрано это правило. Если имеется несколько правил с одинаковым приоритетом, которые соответствуют, будет выбрано одно из них, но не будет определено, какое именно. Чтобы предотвратить такое неопределённое поведение, следует либо задать разный приоритет, либо сделать правила установления соответствия более чёткими (например, с помощью разных шаблонов <ISSUER>).

ПРАВИЛО УСТАНОВЛЕНИЯ СООТВЕТСТВИЯ¶

Правило установления соответствия используется для выбора сертификата, к которому следует применить правило сопоставления. В нём используется система, похожую на ту, которая используется в параметре “pkinit_cert_match” MIT Kerberos. Правило состоит из ключевого слова, расположенного между «<» и «>», которое идентифицирует определённую часть сертификата, и шаблона, который должен быть найден для установления соответствия правила. Несколько пар «ключевое слово — шаблон» можно соединить с помощью логического оператора «&&» (и) или «||» (или).

Учитывая сходство с MIT Kerberos, префиксом для этого правила является «KRB5». Но «KRB5» также будет использоваться по умолчанию для “правил установления соответствия”, поэтому «<SUBJECT>.*,DC=MY,DC=DOMAIN» и «KRB5:<SUBJECT>.*,DC= MY,DC=DOMAIN» эквивалентны.

Доступные параметры:

<SUBJECT>регулярное_выражение

<ISSUER>регулярное_выражение

<KU>использование_ключа

<EKU>расширенное_использование_ключа

<SAN>регулярное_выражение

<SAN:Principal>регулярное_выражение

<SAN:ntPrincipalName>регулярное_выражение

<SAN:pkinit>регулярное_выражение

<SAN:dotted-decimal-oid>регулярное_выражение

<SAN:otherName>строка_base64

<SAN:rfc822Name>регулярное_выражение

<SAN:dNSName>регулярное_выражение

<SAN:x400Address>строка_base64

<SAN:directoryName>регулярное_выражение

<SAN:ediPartyName>строка_base64

<SAN:uniformResourceIdentifier>регулярное_выражение

<SAN:iPAddress>регулярное_выражение

<SAN:registeredID>регулярное_выражение

ПРАВИЛО СОПОСТАВЛЕНИЯ¶

Правило сопоставления используется для связывания сертификата с одной или несколькими учётными записями. После этого для прохождения проверки подлинности в качестве одной из этих учётных записей будет можно использовать смарт-карту с сертификатом и соответствующим закрытым ключом.

В настоящее время SSSD поддерживает поиск данных пользователей в основном только в LDAP (исключение — поставщик данных прокси, что несущественно в данном контексте). Поэтому правило сопоставления основано на синтаксисе фильтра поиска LDAP с шаблонами для добавления содержимого сертификата в фильтр. Ожидается, что фильтр будет содержать только определённые данные, необходимые для сопоставления, и что вызывающая сторона внедрит их в другой фильтр для выполнения фактического поиска. Поэтому строка фильтра должна, соответственно, начинаться символом «(» и заканчиваться символом «)».

В целом, рекомендуется использовать атрибуты из сертификата и добавлять их к специальным атрибутам объекта пользователя LDAP. Например, можно использовать атрибут «altSecurityIdentities» в AD или атрибут «ipaCertMapData» для IPA.

Это предпочтительнее чтения относящихся к пользователю данных из сертификата (например, адреса электронной почты) и поиска этих данных на сервере LDAP. Дело в том, что относящиеся к пользователю данные в LDAP могут меняться по ряду причин, и это приведёт к ошибке сопоставления. С другой стороны, сложно специально вызвать ошибку сопоставления для определённого пользователя.

Типом “правила сопоставления” по умолчанию является «LDAP», который можно добавить в качестве префикса к правилу, например. 'LDAP:(userCertificate;binary={cert!bin})'. Расширение «LDAPU1» предоставляет дополнительные шаблоны для увеличения гибкости. Чтобы разрешить устаревшим версиям этой библиотеки игнорировать расширения, при использовании новых шаблонов в “правиле сопоставления” должен быть использован префикс «LDAPU1», иначе работа устаревшей версии этой библиотеки будет завершена с сообщением об ошибке при обработке входных данных. Новые шаблоны описаны в разделе the section called “Расширение LDAPU1”.

Шаблоны для добавления данных сертификата в фильтр поиска основаны на строках форматирования в стиле Python. Они состоят из ключевого слова в фигурных скобках с необязательным указателем подкомпонента, который отделён знаком «.», или необязательным параметром преобразования/форматирования, который отделён знаком «!». Допустимые значения:

{issuer_dn[!((ad|ad_x500)|ad_ldap|nss_x500|(nss|nss_ldap))]}

{subject_dn[!((ad|ad_x500)|ad_ldap|nss_x500|(nss|nss_ldap))]}

{cert[!(bin|base64)]}

{subject_principal[.short_name]}

{subject_pkinit_principal[.short_name]}

{subject_nt_principal[.short_name]}

{subject_rfc822_name[.short_name]}

{subject_dns_name[.short_name]}

{subject_uri}

{subject_ip_address}

{subject_x400_address}

{subject_directory_name[!((ad|ad_x500)|ad_ldap|nss_x500|(nss|nss_ldap))]}

{subject_ediparty_name}

{subject_registered_id}

Расширение LDAPU1

СПИСОК ДОМЕНОВ¶

Когда список доменов не пуст, поиск пользователей, сопоставленных указанному сертификату, будет выполняться не только в локальном домене, но также и в перечисленных в списке доменах, если они известны SSSD. Домены, которые неизвестны SSSD, будут игнорироваться.