КЛЮЧІ З СЕРТИФІКАТІВ

Окрім відкрити ключів SSH для користувача КОРИСТУВАЧ, sss_ssh_authorizedkeys може повертати ключі SSH, які походять від відкритого ключа сертифіката X.509.

Щоб уможливити це, слід встановити для параметра “ssh_use_certificate_keys” значення true (типове значення) у розділі [ssh] файла sssd.conf. Якщо запис користувача містить сертифікати (див “ldap_user_certificate” на сторінці sssd-ldap(5), щоб дізнатися більше) або існує сертифікат у записі перевизначення для користувача (див. sss_override(8) або sssd-ipa(5), щоб дізнатися більше), а сертифікат є чинним, SSSD видобуде відкритий ключі з сертифіката і перетворить його до формату, який може використовувати sshd.

Окрім “ssh_use_certificate_keys”, може бути використано параметри

для керування способом встановлення чинності сертифікатів (докладніше див. sssd.conf(5)).

Перевірка чинності є перевагою використання сертифікатів X.509 замість ключів SSH безпосередньо, оскільки, наприклад, це поліпшує можливості керування часом придатності ключів. Якщо клієнт ssh налаштовано не використання закритих ключів з смарткартки за допомогою бібліотеки PKCS#11 спільного використання (див. ssh(1), щоб дізнатися більше), може дратувати те, що розпізнавання залишається працездатним, навіть якщо пов'язаний із ним сертифікат X.509 на смарткартці вже втратив чинність, оскільки ні ssh, ні sshd не братимуть сертифікат до уваги взагалі.

Слід зауважити, що похідний відкритий ключ SSH все одно можна додати до файла authorized_keys користувача, щоб обійти перевірку чинності сертифіката, якщо налаштування sshd надають змогу це робити.