ПРІОРИТЕТНІСТЬ¶

Правила оброблятимуться за пріоритетністю, номер «0» (нуль) відповідає найвищому рівню пріоритетності. Чим більшим є значення, тим нижчою є пріоритетність. Якщо значення не вказано, пріоритетність вважається найнижчою. Обробку правил буде зупинено, якщо вдасться знайти відповідність правилу, подальші правила не оброблятимуться.

На внутрішньому рівні пріоритетність визначається 32-бітовим цілим числом без знаку. Використання значення пріоритетності, що перевищує 4294967295, призводитиме до виведення повідомлення про помилку.

Якщо однакову пріоритетність мають декілька правил, а застосовувати можна лише одне із пов'язаних відповідних правил, буде вибрано це правило. Якщо існує декілька відповідних правил із однаковою пріоритетністю, буде вибрано одне, але яке само не визначено. Щоб уникнути цієї невизначеної поведінки або використовуйте різні пріоритетності, або зробіть правила відповідності специфічнішими, наприклад, скориставшись явними взірцями <ISSUER>.

ПРАВИЛО ВІДПОВІДНОСТІ¶

Правило встановлення відповідності використовується для вибору сертифіката, до якого слід застосовувати правило прив'язки. У цьому використовується система, подібна до використаної у параметрі “pkinit_cert_match” Kerberos MIT. Правило складається з ключового слова між символами «<» і «>», яке визначає певну частину сертифіката, і взірцем, який має бути знайдено, для встановлення відповідності правила. Декілька пар ключове слово-взірець можна сполучати за допомогою логічних операторів «&&» (та) або «||» (або).

Якщо задано подібність до MIT Kerberos, префіксом для цього правила є «KRB5». Втім, «KRB5» також буде типовим для “правил відповідності”, тому «<SUBJECT>.*,DC=MY,DC=DOMAIN» і «KRB5:<SUBJECT>.*,DC=MY,DC=DOMAIN» є рівнозначними.

Доступні варіанти:

<SUBJECT>формальний-вираз

<ISSUER>формальний-вираз

<KU>використання-ключа

<EKU>розширене-використання-ключа

<SAN>формальний-вираз

<SAN:Principal>формальний-вираз

<SAN:ntPrincipalName>формальний-вираз

<SAN:pkinit>формальний-вираз

<SAN:dotted-decimal-oid>формальний-вираз

<SAN:otherName>base64-string

<SAN:rfc822Name>формальний-вираз

<SAN:dNSName>формальний-вираз

<SAN:x400Address>рядок-base64

<SAN:directoryName>формальний-вираз

<SAN:ediPartyName>рядок-base64

<SAN:uniformResourceIdentifier>формальний-вираз

<SAN:iPAddress>формальний-вираз

<SAN:registeredID>формальний-вираз

ПРАВИЛО ПРИВʼЯЗУВАННЯ¶

Правило прив'язки використовується для пов'язування сертифіката із одним або декількома обліковими записами. Далі, смарткарткою із сертифікатом та відповідним закритим ключем можна скористатися для розпізнавання за одним з цих облікових записів.

У поточній версії SSSD на базовому рівні підтримує пошук даних користувачів лише у LDAP (винятком є лише засіб надання проксі, який у цьому контексті є недоречним). Через це правило прив'язки засновано на синтаксисі фільтрування пошуку LDAP з шаблонами для додавання вмісту сертифікатів до фільтра. Очікується, що цей фільтр міститиме лише специфічні дані, потрібні для прив'язки, яку функція виклику вбудовуватиме до іншого фільтра для виконання справжнього пошуку. Через це рядок фільтрування має починатися із завершуватися «(» і «)», відповідно.

Загалом, рекомендується використовувати атрибути з сертифіката і додати їх до спеціальних атрибутів об'єкта користувача LDAP. Наприклад, можна скористатися атрибутом «altSecurityIdentities» у AD або атрибутом «ipaCertMapData» для IPA.

Бажаним шляхом є читання із сертифіката специфічних для користувача даних, наприклад адреси електронної пошти, і пошук цих даних на сервері LDAP. Причиною є те, що специфічні для користувача дані у LDAP можу бути з різних причин змінено, що розірве прив'язку. З іншого боку, якщо скористатися бажаним шляхом, розірвати прив'язку буде важко.

Стандартним типом “правила прив'язки” є «LDAP». Цей запис може бути додано як префікс до правила. Ось так, наприклад: «LDAP:(userCertificate;binary={cert!bin})». Передбачено розширення, яке має назву «LDAPU1», і яке надає додаткові шаблони для збільшення гнучкості. Щоб дозволити застарілим версіям цієї бібліотеки ігнорувати розширення, при використанні нових шаблонів у “правилі прив'язки” має бути використано префікс «LDAPU1», інакше роботу застарілої версії цієї бібліотеки буде завершено із повідомленням про помилку при обробці вхідних даних. Нові шаблони описано у розділі the section called “Розширення LDAPU1”.

Шаблони для додавання даних сертифікатів до фільтра пошуку засновано на рядках форматування у стилі Python. Воли складаються з ключового слова у фігурних дужках із додатковим підкомпонентом-специфікатором, відокремленим «.», або додатковим параметром перетворення-форматування, відокремленим «!». Дозволені значення:

{issuer_dn[!((ad|ad_x500)|ad_ldap|nss_x500|(nss|nss_ldap))]}

{subject_dn[!((ad|ad_x500)|ad_ldap|nss_x500|(nss|nss_ldap))]}

{cert[!(bin|base64)]}

{subject_principal[.short_name]}

{subject_pkinit_principal[.short_name]}

{subject_nt_principal[.short_name]}

{subject_rfc822_name[.short_name]}

{subject_dns_name[.short_name]}

{subject_uri}

{subject_ip_address}

{subject_x400_address}

{subject_directory_name[!((ad|ad_x500)|ad_ldap|nss_x500|(nss|nss_ldap))]}

{subject_ediparty_name}

{subject_registered_id}

Розширення LDAPU1

СПИСОК ДОМЕНІВ¶

Якщо список доменів не є порожнім, записи користувачів, прив'язані до заданого сертифіката, шукаються не лише у локальному домені, а і у доменах зі списку, якщо вони відомі SSSD. Домени, які не відомі SSSD, буде проігноровано.