SSSD-LDAP(5) Форматы файлов и рекомендации SSSD-LDAP(5)

sssd-ldap - Поставщик данных LDAP SSSD

ОПИСАНИЕ

На этой справочной странице представлено описание настройки доменов LDAP для sssd(8). Подробные сведения о синтаксисе доступны в разделе “ФОРМАТ ФАЙЛА” справочной страницы sssd.conf(5).

Возможно настроить SSSD на использование нескольких доменов LDAP.

LDAP back end supports id, auth, access and chpass providers. If you want to authenticate against an LDAP server either TLS/SSL or LDAPS is required. sssd does not support authentication over an unencrypted channel. Even if the LDAP server is used only as an identity provider, an encrypted channel is strongly recommended. Please refer to “ldap_access_filter” config option for more information about using LDAP as an access provider.

ПАРАМЕТРЫ КОНФИГУРАЦИИ

Все общие параметры конфигурации, которые применимы к доменам SSSD, также применимы и к доменам LDAP. Подробные сведения доступны в разделе “РАЗДЕЛЫ ДОМЕНА” справочной страницы sssd.conf(5). Обратите внимание, что описание атрибутов сопоставления LDAP SSSD LDAP приводится на справочной странице sssd-ldap-attributes(5).

ldap_uri, ldap_backup_uri (строка)

Разделённый запятыми список URI серверов LDAP, к которым SSSD следует подключаться в порядке приоритета. Дополнительные сведения об отработке отказа и избыточности сервера доступны в разделе “ОТРАБОТКА ОТКАЗА”. Если не указан ни один из параметров, будет включено обнаружение служб. Дополнительные сведения доступны в разделе “ОБНАРУЖЕНИЕ СЛУЖБ”.

Формат URI должен соответствовать формату, определённому в RFC 2732:

ldap[s]://<host>[:port]

Для явного указания адресов IPv6 <host> необходимо заключать в скобки []

пример: ldap://[fc00::126:25]:389

ldap_chpass_uri, ldap_chpass_backup_uri (строка)

Разделённый запятыми список URI серверов LDAP, к которым SSSD следует подключаться в порядке приоритета для смены пароля пользователя. Дополнительные сведения об отработке отказа и избыточности сервера доступны в разделе “ОТРАБОТКА ОТКАЗА”.

Для включения обнаружения служб необходимо установить значение параметра ldap_chpass_dns_service_name.

По умолчанию: пусто, то есть используется ldap_uri.

ldap_search_base (строка)

Стандартное base DN, которое следует использовать для выполнения действий от имени пользователя LDAP.

Начиная с версии 1.7.0, SSSD поддерживает несколько баз поиска. Используется следующий синтаксис:

search_base[?scope?[filter][?search_base?scope?[filter]]*]

Значением области может быть одно из следующих: «base», «onelevel» или «subtree».

Фильтр должен являться корректным фильтром поиска LDAP согласно спецификации http://www.ietf.org/rfc/rfc2254.txt

Примеры:

ldap_search_base = dc=example,dc=com (что эквивалентно) ldap_search_base = dc=example,dc=com?subtree?

ldap_search_base = cn=host_specific,dc=example,dc=com?subtree?(host=thishost)?dc=example.com?subtree?

Примечание: не поддерживается использование нескольких баз поиска, которые ссылаются на объекты с одинаковыми именами (например, на группы с одинаковым именем в двух разных базах поиска). Это приведёт к непредсказуемому поведению программы на клиентских компьютерах.

По умолчанию: если не задано, используется значение атрибута defaultNamingContext или namingContexts из RootDSE сервера LDAP. Если атрибут defaultNamingContext не существует или имеет пустое значение, используется значение namingContexts. Для работы этого параметра необходимо, чтобы атрибут namingContexts имел одно значение с DN базы поиска сервера LDAP. Использование нескольких значений не поддерживается.

ldap_schema (строка)

Указывает тип схемы, который используется на сервере LDAP цели. Стандартные имена атрибутов, получаемые с серверов, зависят от выбранной схемы. Также может различаться и способ обработки некоторых атрибутов.

В настоящее время поддерживаются четыре типа схем:

•rfc2307
•rfc2307bis
•IPA
•AD

Главное различие между этими типами схем заключается в способе записи участия в группах на сервере. В схеме rfc2307 записи участников групп упорядочиваются по имени в атрибуте memberUid. В схемах rfc2307bis и IPA записи участников групп упорядочиваются по DN и хранятся в атрибуте member. В схеме AD атрибуты будут соответствовать значениям 2008r2 Active Directory.

По умолчанию: rfc2307

ldap_pwmodify_mode (строка)

Позволяет указать действие, которое выполняется для смены пароля пользователя.

В настоящее время поддерживаются два режима:

•exop — расширенное действие по изменению пароля (RFC 3062)
•ldap_modify — прямое изменение userPassword (не рекомендуется).

Примечание: сначала устанавливается новое соединение для проверки текущего пароля путём привязки от имени пользователя, запросившего смену пароля. В случае успеха это соединение используется для смены пароля, следовательно, у пользователя должны быть права на запись в атрибут userPassword.

По умолчанию: exop

ldap_default_bind_dn (строка)

Стандартное DN привязки, которое следует использовать для выполнения действий LDAP.

ldap_default_authtok_type (строка)

Тип маркера проверки подлинности для bind DN по умолчанию.

В настоящее время поддерживаются два механизма:

password

obfuscated_password

По умолчанию: password

Дополнительные сведения доступны на справочной странице sss_obfuscate(8).

ldap_default_authtok (строка)

Маркер проверки подлинности стандартного DN привязки.

ldap_force_upper_case_realm (логическое значение)

Некоторые серверы каталогов, например Active Directory, могут предоставлять часть области UPN в нижнем регистре, что может привести к сбою проверки подлинности. Установите этот параметр в значение, отличное от нуля, если следует использовать название области в верхнем регистре.

По умолчанию: false

ldap_enumeration_refresh_timeout (целое число)

Указывает время ожидания SSSD (в секундах) перед обновлением своего кэша перечисленных записей.

Этот параметр также может быть задан для каждого поддомена отдельно или унаследован с помощью subdomain_inherit.

По умолчанию: 300

ldap_purge_cache_timeout (целое число)

Позволяет определить, как часто следует проверять кэш на наличие неактивных записей (таких, как группы без участников и пользователи, которые никогда не выполняли вход) и удалять эти записи для экономии места.

Установка этого параметра в значение «0» отключит очистку кэша. Обратите внимание: если перечисление включено, задание очистки должно выполняться для определения записей, удалённых с сервера, и его нельзя отключить. По умолчанию задание очистки выполняется раз в 3 часа, когда перечисление включено.

Этот параметр также может быть задан для каждого поддомена отдельно или унаследован с помощью subdomain_inherit.

По умолчанию: 0 (отключено)

ldap_group_nesting_level (целое число)

Если в качестве значения ldap_schema выбран формат схемы, который поддерживает вложенные группы (например, RFC2307bis), этот параметр определяет количество уровней вложенности, которое будет обрабатываться SSSD. Если используется схема RFC2307, этот параметр ни на что не влияет.

Примечание: этот параметр задаёт гарантированный уровень вложенности групп, который будет обрабатываться при любом поиске. Тем не менее, в результатах поиска могут присутствовать вложенные группы, уровень вложенности которых превышает указанное значение, если при предыдущих поисках выполнялась обработка более глубоких уровней вложенности. Кроме того, последующие поиски других групп могут увеличить набор результатов исходного поиска, когда он будет выполнен повторно.

Если параметр ldap_group_nesting_level установлен в значение «0», обработка вложенных групп выполняться не будет. Тем не менее, если с помощью “id_provider=ad” установлено соединение с Active Directory Server 2008 и выше, также будет необходимо отключить использование групп маркеров путём установки параметра ldap_use_tokengroups в значение «false» для ограничения вложенности групп.

По умолчанию: 2

ldap_use_tokengroups

Этот параметр включает или отключает использование атрибута групп маркеров при выполнении initgroup для пользователей Active Directory Server 2008 или выше.

Этот параметр также может быть задан для каждого поддомена отдельно или унаследован с помощью subdomain_inherit.

По умолчанию: True для AD и IPA, в ином случае — False.

ldap_host_search_base (строка)

Необязательный параметр. Использовать указанную строку как базу поиска объектов узлов.

Сведения о настройке нескольких баз поиска доступны в описании параметра “ldap_search_base”.

По умолчанию: значение ldap_search_base

ldap_service_search_base (строка)

Необязательное base DN, область поиска и фильтр LDAP для ограничения поисков LDAP для этого типа атрибутов.

синтаксис:

search_base[?scope?[filter][?search_base?scope?[filter]]*]

Значением области может быть одно из следующих: «base», «onelevel» или «subtree». Описание работы области доступно в разделе 4.5.1.2 http://tools.ietf.org/html/rfc4511

Фильтр должен являться корректным фильтром поиска LDAP согласно спецификации http://www.ietf.org/rfc/rfc2254.txt

Примеры синтаксиса доступны в разделе примеров “ldap_search_base”.

По умолчанию: значение ldap_search_base

Обратите внимание, что указание области или фильтра не поддерживается для поиска на сервере Active Directory; он может привести к получению большого количества результатов и активировать расширение получения диапазонов (Range Retrieval) в ответе.

ldap_iphost_search_base (строка)

Необязательное base DN, область поиска и фильтр LDAP для ограничения поисков LDAP для этого типа атрибутов.

синтаксис:

search_base[?scope?[filter][?search_base?scope?[filter]]*]

Значением области может быть одно из следующих: «base», «onelevel» или «subtree». Описание работы области доступно в разделе 4.5.1.2 http://tools.ietf.org/html/rfc4511

Фильтр должен являться корректным фильтром поиска LDAP согласно спецификации http://www.ietf.org/rfc/rfc2254.txt

Примеры синтаксиса доступны в разделе примеров “ldap_search_base”.

По умолчанию: значение ldap_search_base

Обратите внимание, что указание области или фильтра не поддерживается для поиска на сервере Active Directory; он может привести к получению большого количества результатов и активировать расширение получения диапазонов (Range Retrieval) в ответе.

ldap_ipnetwork_search_base (строка)

Необязательное base DN, область поиска и фильтр LDAP для ограничения поисков LDAP для этого типа атрибутов.

синтаксис:

search_base[?scope?[filter][?search_base?scope?[filter]]*]

Значением области может быть одно из следующих: «base», «onelevel» или «subtree». Описание работы области доступно в разделе 4.5.1.2 http://tools.ietf.org/html/rfc4511

Фильтр должен являться корректным фильтром поиска LDAP согласно спецификации http://www.ietf.org/rfc/rfc2254.txt

Примеры синтаксиса доступны в разделе примеров “ldap_search_base”.

По умолчанию: значение ldap_search_base

Обратите внимание, что указание области или фильтра не поддерживается для поиска на сервере Active Directory; он может привести к получению большого количества результатов и активировать расширение получения диапазонов (Range Retrieval) в ответе.

ldap_search_timeout (целое число)

Позволяет указать тайм-аут (в секундах) для выполнения поиска LDAP, по истечении которого поиск будет отменён и будут возвращены кэшированные результаты (и выполнен переход в автономный режим)

Примечание: этот параметр будет изменён в будущих версиях SSSD. Вероятно, его заменит ряд тайм-аутов для отдельных типов поиска.

Этот параметр также может быть задан для каждого поддомена отдельно или унаследован с помощью subdomain_inherit.

По умолчанию: 6

ldap_enumeration_search_timeout (целое число)

Позволяет указать тайм-аут (в секундах) для выполнения LDAP поиска перечислений пользователей и групп, по истечении которого поиск будет отменён и будут возвращены кэшированные результаты (и выполнен переход в автономный режим)

Этот параметр также может быть задан для каждого поддомена отдельно или унаследован с помощью subdomain_inherit.

По умолчанию: 60

ldap_network_timeout (целое число)

Позволяет указать тайм-аут (в секундах), по истечении которого в случае отсутствия активности возвращается poll(2)/select(2) после connect(2).

Этот параметр также может быть задан для каждого поддомена отдельно или унаследован с помощью subdomain_inherit.

По умолчанию: 6

ldap_opt_timeout (целое число)

Позволяет указать тайм-аут (в секундах), по истечении которого вызовы синхронных программных интерфейсов LDAP будут прекращены, если не будет получен ответ. Этот параметр также управляет тайм-аутом при обмене данными с KDC в случае использования привязки SASL, тайм-аутом операции привязки LDAP, расширенного действия по смене пароля и действия StartTLS.

Этот параметр также может быть задан для каждого поддомена отдельно или унаследован с помощью subdomain_inherit.

По умолчанию: 8

ldap_connection_expire_timeout (целое число)

Позволяет указать тайм-аут (в секундах), в течение которого будет поддерживаться соединение с сервером LDAP. По истечении этого времени будет предпринята попытка повторного подключения. Если параллельно используется SASL/GSSAPI, будет использоваться первое по времени наступления из этих двух значений (значение этого параметра или значение времени жизни TGT).

Если соединение простаивает (активные операции не выполняются) в течение ldap_opt_timeout секунд после истечения срока действия, оно будет закрыто досрочно, чтобы гарантировать, что новый запрос не может требовать, чтобы соединение оставалось открытым после истечения срока его действия. Это означает, что соединения всегда будут закрываться немедленно, и не будут использоваться повторно, если ldap_connection_expire_timeout <= ldap_opt_timout

Этот тайм-аут может быть увеличен случайным значением, указанным с помощью параметра ldap_connection_expire_offset

Этот параметр также может быть задан для каждого поддомена отдельно или унаследован с помощью subdomain_inherit.

По умолчанию: 900 (15 минут)

ldap_connection_expire_offset (целое число)

Случайная задержка от 0 до настроенного значения добавляется к ldap_connection_expire_timeout.

Этот параметр также может быть задан для каждого поддомена отдельно или унаследован с помощью subdomain_inherit.

По умолчанию: 0

ldap_connection_idle_timeout (целое число)

Позволяет указать тайм-аут (в секундах), в течение которого будет поддерживаться неактивное соединение с сервером LDAP. Если соединение бездействует дольше этого времени, соединение будет закрыто.

Можно отключить этот тайм-аут, установив значение «0».

Этот параметр также может быть задан для каждого поддомена отдельно или унаследован с помощью subdomain_inherit.

По умолчанию: 900 (15 минут)

ldap_page_size (целое число)

Позволяет указать количество записей для получения от LDAP в ответ на один запрос. На некоторых серверах LDAP задано ограничение максимального количества на один запрос.

По умолчанию: 1000

ldap_disable_paging (логическое значение)

Отключить управление переходами между страницами LDAP. Этот параметр следует использовать, если сервер LDAP сообщает о том, что поддерживает управление переходами между страницами LDAP в своём RootDSE, но оно не включено или не работает надлежащим образом.

Пример: серверы OpenLDAP с модулем управлением переходами между страницами, который установлен на сервере, но не включён, будут сообщать о нём в RootDSE, но не смогут использовать его.

Пример: в 389 DS есть внутренняя ошибка, из-за которой для одного подключения одновременно поддерживается только одно средство управления переходами между страницами. Если поступает много запросов, это может привести к отказам в выполнении некоторых из них.

По умолчанию: false

ldap_disable_range_retrieval (логическое значение)

Отключить получение диапазонов Active Directory.

Active Directory ограничивает количество участников, которые могут быть получены за один поиск, с помощью политики MaxValRange (значение по умолчанию — 1500 участников). Если группа содержит большее количество участников, ответ будет включать специфичное для AD расширение диапазона. Этот параметр отключает обработку расширения диапазона, следовательно, большие группы будут показаны как группы без участников.

По умолчанию: false

ldap_sasl_minssf (целое число)

Позволяет указать минимальный уровень безопасности, необходимый для установки соединения в случае обмена данными с сервером LDAP с помощью SASL. Значение этого параметра определяется OpenLDAP.

По умолчанию: использовать стандартное системное значение (обычно указывается в ldap.conf)

ldap_sasl_maxssf (целое число)

Позволяет указать максимальный уровень безопасности, необходимый для установки соединения в случае обмена данными с сервером LDAP с помощью SASL. Значение этого параметра определяется OpenLDAP.

По умолчанию: использовать стандартное системное значение (обычно указывается в ldap.conf)

ldap_deref_threshold (целое число)

Позволяет указать количество записей участников групп, которые должны отсутствовать во внутреннем кэше для активации поиска с разыменованием. Если отсутствует меньшее количество записей участников, поиск будет выполняться для каждого из них по отдельности.

Чтобы полностью отключить поиск с разыменованием, установите значение «0». Обратите внимание, что в коде SSSD, например коде поставщика данных HBAC IPA, имеются некоторые инструкции, которые реализуются только с использованием вызова разыменования. Даже если разыменование явно отключено, оно всё равно будет использоваться в этих частях кода, если сервер поддерживает его и объявляет управление разыменованием в объекте rootDSE.

Поиск с разыменованием позволяет получить всех участников групп за один вызов LDAP. На разных серверах LDAP могут быть реализованы разные методы разыменования. В настоящее время поддерживаются следующие серверы: 389/RHDS, OpenLDAP и Active Directory.

Примечание: если какая-либо из баз поиска задаёт фильтр поиска, то улучшение быстродействия поиска с разыменованием будет отключено,независимо от значения этого параметра.

По умолчанию: 10

ldap_ignore_unreadable_references (логическое значение)

Игнорировать нечитаемые записи LDAP, указанные в атрибуте участника группы. Если для этого параметра установлено значение «false», будет возвращено сообщение об ошибке, а действие завершится ошибкой вместо простого игнорирования нечитаемой записи.

Этот параметр может быть полезен, если используется поставщик данных AD, а учетная запись компьютера, используемая sssd для установления соединения с AD, не имеет доступа к определенной записи или поддереву LDAP из соображений безопасности.

По умолчанию: false

ldap_tls_reqcert (строка)

Позволяет указать, какие проверки следует выполнять для сертификатов сервера в сеансе TLS, если это требуется. Можно указать одно из следующих значений:

never = клиент не будет запрашивать или проверять сертификаты сервера.

allow = будет запрашиваться сертификат сервера. Если сертификат не предоставлен, сеанс продолжится в обычном режиме. Если предоставлен ошибочный сертификат, он будет проигнорирован, и сеанс продолжится в обычном режиме.

try = будет запрашиваться сертификат сервера. Если сертификат не предоставлен, сеанс продолжится в обычном режиме. Если предоставлен ошибочный сертификат, сеанс немедленно будет завершён.

demand = будет требоваться сертификат сервера. Если сертификат не предоставлен или предоставлен ошибочный сертификат, сеанс немедленно будет завершён.

hard = аналогично “demand”

По умолчанию: hard

ldap_tls_cacert (строка)

Позволяет указать файл, который содержит сертификаты для всех центров сертификации, которые распознаются sssd.

По умолчанию: использовать стандартные параметры OpenLDAP, которые обычно хранятся в /etc/openldap/ldap.conf

ldap_tls_cacertdir (строка)

Позволяет указать путь к каталогу, в котором хранятся сертификаты центра сертификации, каждый в своём файле. Обычно имена файлов — это хэш сертификата, за которым следует «.0». Для создания корректных имён можно использовать команду cacertdir_rehash, если она доступна.

По умолчанию: использовать стандартные параметры OpenLDAP, которые обычно хранятся в /etc/openldap/ldap.conf

ldap_tls_cert (строка)

Позволяет указать файл, который содержит сертификат для ключа клиента.

По умолчанию: не задано

ldap_tls_key (строка)

Позволяет указать файл, который содержит ключ клиента.

По умолчанию: не задано

ldap_tls_cipher_suite (строка)

Позволяет указать допустимые комплекты шифров. Обычно представляет собой список, разделённый двоеточиями. Описание формата доступно на справочной странице ldap.conf(5).

По умолчанию: использовать стандартные параметры OpenLDAP, которые обычно хранятся в /etc/openldap/ldap.conf

ldap_id_use_start_tls (логическое значение)

Specifies that the id_provider connection must also use tls to protect the channel. true is strongly recommended for security reasons.

По умолчанию: false

ldap_id_mapping (логическое значение)

Позволяет указать, что SSSD следует пытаться сопоставить идентификаторы пользователя и группы из атрибутов ldap_user_objectsid и ldap_group_objectsid, а не полагаться на ldap_user_uid_number и ldap_group_gid_number.

В настоящее время эта функциональная возможность поддерживает только сопоставление objectSID Active Directory.

По умолчанию: false

ldap_min_id, ldap_max_id (целое число)

В отличие от сопоставления идентификаторов на основе SID, которое используется, если параметр ldap_id_mapping установлен в значение «true», допустимый диапазон идентификаторов для ldap_user_uid_number и ldap_group_gid_number является неограниченным. В конфигурациях с поддоменами и доверенными доменами это может привести к конфликтам идентификаторов. Чтобы избежать конфликтов, можно указать параметры ldap_min_id и ldap_max_id для ограничения допустимого диапазона идентификаторов, чтение которых выполняется непосредственно с сервера. После этого поддомены могут выбрать другие диапазоны для сопоставления идентификаторов.

По умолчанию: не задано (оба параметра установлены в значение 0)

ldap_sasl_mech (строка)

Позволяет указать механизм SASL, который следует использовать. В настоящее время протестированы и поддерживаются только GSSAPI и GSS-SPNEGO.

Если внутренний сервер поддерживает поддомены, значение ldap_sasl_mech автоматически наследуется поддоменами. Если для поддомена требуется использовать другое значение, это значение можно перезаписать, явно указав ldap_sasl_mech для этого поддомена. Для получения подробных сведений смотрите «РАЗДЕЛ ДОВЕРЕННЫХ ДОМЕНОВ» на справочной странице sssd.conf(5).

По умолчанию: не задано

ldap_sasl_authid (строка)

Позволяет указать идентификатор проверки подлинности SASL, который следует использовать. Если используется GSSAPI/GSS-SPNEGO, он представляет собой участника Kerberos, который используется для проверки подлинности при доступе к каталогу. Этот параметр может содержать либо полное имя участника (например, host/myhost@EXAMPLE.COM), либо просто имя участника (например, host/myhost). По умолчанию это значение не задано, используются следующие участники: 
hostname@REALM
netbiosname$@REALM
host/hostname@REALM
*$@REALM
host/*@REALM
host/*

Если они не найдены, возвращается первый участник из таблицы ключей.

По умолчанию: host/hostname@REALM

ldap_sasl_realm (строка)

Позволяет указать область SASL, которую следует использовать. Если значение не указано, по умолчанию будет использоваться значение krb5_realm. Если ldap_sasl_authid также содержит область, этот параметр игнорируется.

По умолчанию: значение krb5_realm.

ldap_sasl_canonicalize (логическое значение)

Если установлено в значение «true», библиотека LDAP будет выполнять обратный просмотр для преобразования имени узла в каноническую форму во время привязки SASL.

По умолчанию: false;

ldap_krb5_keytab (строка)

Позволяет указать таблицу ключей, которую следует использовать при использовании проверки подлинности с помощью SASL/GSSAPI/GSS-SPNEGO.

Этот параметр также может быть задан для каждого поддомена отдельно или унаследован с помощью subdomain_inherit.

По умолчанию: системная таблица ключей, обычно /etc/krb5.keytab

ldap_krb5_init_creds (логическое значение)

Позволяет указать, что id_provider должен инициализировать учётные данные Kerberos (TGT). Это действие выполняется только в том случае, если используется SASL и выбран механизм GSSAPI или GSS-SPNEGO.

По умолчанию: true

ldap_krb5_ticket_lifetime (целое число)

Позволяет указать время жизни TGT (в секундах), если используется GSSAPI или GSS-SPNEGO.

Этот параметр также может быть задан для каждого поддомена отдельно или унаследован с помощью subdomain_inherit.

По умолчанию: 86400 (24 часа)

krb5_server, krb5_backup_server (строка)

Разделённый запятыми список IP-адресов или имён узлов серверов Kerberos, к которым SSSD следует подключаться в порядке приоритета. Дополнительные сведения об отработке отказа и избыточности сервера доступны в разделе “ОТРАБОТКА ОТКАЗА”. После адресов или имён узлов можно (необязательно) добавить номер порта (предварив его двоеточием). Если у параметра пустое значение, будет включено обнаружение служб — дополнительные сведения доступны в разделе “ОБНАРУЖЕНИЕ СЛУЖБ”.

При использовании обнаружения служб для серверов KDC или kpasswd SSSD сначала выполняет поиск записей DNS, в которых в качестве протокола указан _udp. Если такие записи не удаётся найти, SSSD выполняет поиск записей DNS, в которых в качестве протокола указан _tcp.

В предыдущих версиях SSSD этот параметр назывался “krb5_kdcip”. Это устаревшее имя всё ещё распознаётся, но пользователям рекомендуется перейти на использование “krb5_server” в файлах конфигурации.

krb5_realm (строка)

Позволяет указать область Kerberos (для проверки подлинности с помощью SASL/GSSAPI/GSS-SPNEGO).

По умолчанию: стандартные параметры системы, см. /etc/krb5.conf

krb5_canonicalize (логическое значение)

Позволяет указать, следует ли приводить в каноническую форму имя участника-узла при подключении к серверу LDAP. Эта возможность доступна в MIT Kerberos >= 1.7

По умолчанию: false

krb5_use_kdcinfo (логическое значение)

Позволяет указать, следует ли SSSD сообщать библиотекам, какую область и какие KDC нужно использовать. Этот параметр включён по умолчанию. Если отключить его, потребуется настроить библиотеку Kerberos с помощью файла конфигурации krb5.conf(5).

Дополнительные сведения о модуле локатора доступны на справочной странице sssd_krb5_locator_plugin(8).

По умолчанию: true

ldap_pwd_policy (строка)

Позволяет выбрать политику оценки истечения срока действия пароля на стороне клиента. Допускаются следующие значения:

none — без оценки на стороне клиента. С помощью этого параметра нельзя отключить политики паролей на стороне сервера.

shadow — использовать атрибуты в стиле shadow(5) для проверки того, не истёк ли срок действия пароля. См. также опцию «ldap_chpass_update_last_change».

mit_kerberos — использовать атрибуты, которые используются MIT Kerberos, для определения того, не истёк ли срок действия пароля. Чтобы обновить эти атрибуты в случае смены пароля, воспользуйтесь chpass_provider=krb5.

По умолчанию: none

Примечание: если на стороне сервера настроена политика паролей, она всегда будет иметь приоритет над политикой, заданной с помощью этого параметра.

ldap_referrals (логическое значение)

Позволяет указать, следует ли включить автоматическое прослеживание ссылок.

Обратите внимание, что sssd поддерживает прослеживание ссылок только в том случае, если сервис собран с OpenLDAP версии 2.4.13 или выше.

Прослеживание ссылок может замедлять работу в средах, где оно широко применяется. Яркий пример такой среды — Microsoft Active Directory. Если в используемой среде нет реальной необходимости в прослеживании ссылок, можно установить этот параметр в значение «false»; это позволит заметно повысить производительность. Поэтому в том случае, когда поставщик данных LDAP SSSD используется совместно с Microsoft Active Directory в качестве внутреннего сервера, рекомендуется установить этот параметр в значение «false». Даже если бы у SSSD была возможность перейти по ссылке к другому контроллеру домена AD, это не позволило бы получить дополнительные данные.

По умолчанию: true

ldap_dns_service_name (строка)

Позволяет указать имя службы, которое будет использоваться, когда включено обнаружение служб.

По умолчанию: ldap

ldap_chpass_dns_service_name (строка)

Позволяет указать имя службы для поиска сервера LDAP, который позволяет менять пароль, когда включено обнаружение служб.

По умолчанию: не задано, то есть обнаружение служб отключено

ldap_chpass_update_last_change (логическое значение)

Позволяет указать, следует ли обновлять атрибут ldap_user_shadow_last_change данными о количестве дней с момента выполнения действия по смены пароля.

Рекомендуется установить этот параметр явно, если используется «ldap_pwd_policy = shadow», чтобы сообщить SSSD, будет ли сервер LDAP автоматически обновлять атрибут shadowLastChange LDAP после смены пароля или SSSD должен обновить его.

По умолчанию: false

ldap_access_filter (строка)

При использовании access_provider = ldap и ldap_access_order = filter (по умолчанию) этот параметр является обязательным. Он задаёт условия фильтра поиска LDAP, при условии соблюдения которых пользователю будет предоставлен доступ к этому узлу. Если при использовании access_provider = ldap, ldap_access_order = filter этот параметр не задан, всем пользователям будет отказано в доступе. Чтобы изменить это стандартное поведение, используйте access_provider = permit. Обратите внимание, что этот фильтр применяется только к записи пользователя LDAP и, соответственно, может не работать фильтрация на основе вложенных групп (например, атрибут memberOf в записях AD указывает только на прямые родительские записи). Если фильтрацию на основе вложенных групп необходимо выполнять, ознакомьтесь со справочной страницей sssd-simple(5).

Пример:

access_provider = ldap
ldap_access_filter = (employeeType=admin)

В этом примере доступ к узлу представляется только тем пользователям, атрибут employeeType которых установлен в значение «admin».

Автономное кэширование для этой возможности ограничивается определением того, было ли предоставлено разрешение на доступ при последнем входе пользователя в сетевом режиме. Если при последнем входе пользователю был разрешён доступ, он также будет разрешён и в автономном режиме. Если же при последнем входе пользователю был запрещён доступ, он также будет запрещён и в автономном режиме.

По умолчанию: пусто

ldap_account_expire_policy (строка)

С помощью этого параметра можно включить оценку атрибутов управления доступом на стороне клиента.

Обратите внимание, что всегда рекомендуется использовать управление доступом на стороне сервера, то есть сервер LDAP должен отклонять запрос привязки с соответствующим кодом ошибки, даже если пароль верен.

Допускаются следующие значения:

shadow: использовать значение ldap_user_shadow_expire для определения того, не истёк ли срок действия учётной записи.

ad: использовать значение 32-битного поля ldap_user_ad_user_account_control и разрешать доступ, если второй бит не задан. Если атрибут отсутствует, доступ предоставляется. Также проверяется, не истёк ли срок действия учётной записи.

rhds, ipa, 389ds: использовать значение ldap_ns_account_lock, чтобы проверить, разрешён ли доступ.

nds: использовать значения ldap_user_nds_login_allowed_time_map, ldap_user_nds_login_disabled и ldap_user_nds_login_expiration_time, чтобы проверить, разрешён ли доступ. Если все атрибуты отсутствуют, доступ предоставляется.

Обратите внимание, что параметр конфигурации ldap_access_order должен включать “expire”, чтобы можно было использовать параметр ldap_account_expire_policy.

По умолчанию: пусто

ldap_access_order (строка)

Разделённый запятыми список параметров управления доступом. Допустимые значения:

filter: использовать ldap_access_filter

lockout: использовать блокировку учётных записей. Если этот параметр установлен, он запрещает доступ, когда атрибут LDAP «pwdAccountLockedTime» присутствует и имеет значение «000001010000Z». Подробные сведения доступны в описании параметра ldap_pwdlockout_dn. Обратите внимание, что для работы этой возможности необходимо задать «access_provider = ldap».

Обратите внимание, что над этим параметром имеет приоритет параметр “ppolicy” и этот параметр может быть удалён в следующей версии.

ppolicy: использовать блокировку учётных записей. Если этот параметр установлен, он запрещает доступ, когда атрибут LDAP «pwdAccountLockedTime» присутствует и имеет значение «000001010000Z» или представляет любое время в прошлом. Значение атрибута «pwdAccountLockedTime» должно заканчиваться на «Z» (это означает часовой пояс UTC). В настоящее время не поддерживается использование других часовых поясов; если они будут заданы, при попытках пользователей войти в систему будет появляться сообщение об отказе в доступе. Подробные сведения доступны в описании параметра ldap_pwdlockout_dn. Обратите внимание, что для работы этой возможности необходимо задать «access_provider = ldap».

expire: использовать ldap_account_expire_policy

pwd_expire_policy_reject, pwd_expire_policy_warn, pwd_expire_policy_renew: эти параметры полезны, если пользователям нужно предупреждение о том, что срок действия пароля истекает, и для проверки подлинности используются не пароли, а, например, ключи SSH.

The difference between these options is the action taken if user password is expired:

•pwd_expire_policy_reject - user is denied to log in,
•pwd_expire_policy_warn - user is still able to log in,
•pwd_expire_policy_renew - user is prompted to change their password immediately.

Следует учитывать, что для работы этой возможности необходимо указать «access_provider = ldap». Также необходимо указать соответствующую политику паролей в качестве значения параметра «ldap_pwd_policy».

authorized_service: использовать атрибут authorizedService для определения возможности доступа

host: использовать атрибут host для определения возможности доступа

rhost: использовать атрибут rhost для определения возможности доступа удалённого узла

Обратите внимание, что значение поля rhost в pam устанавливается приложением; рекомендуется проверить, что приложение отправляет в pam, прежде чем включать этот параметр управления доступом

По умолчанию: filter

Обратите внимание, что использование значения более одного раза является ошибкой конфигурации.

ldap_pwdlockout_dn (строка)

Этот параметр позволяет указать DN записи политики паролей на сервере LDAP. Обратите внимание: если в sssd.conf не будет этого параметра, когда используется блокировка учётных записей, в доступе будет отказано из-за невозможности надлежащим образом проверить атрибуты ppolicy на сервере LDAP.

Пример: cn=ppolicy,ou=policies,dc=example,dc=com

По умолчанию: cn=ppolicy,ou=policies,$ldap_search_base

ldap_deref (строка)

Позволяет указать, как осуществляется разыменование псевдонимов при выполнении поиска. Допустимые варианты:

never: разыменование псевдонимов не выполняется.

searching: разыменование псевдонимов выполняется в подчиненных базового объекта, но не при определении расположения базового объекта поиска.

finding: разыменование псевдонимов выполняется только при определении расположения базового объекта поиска.

always: разыменование псевдонимов выполняется как при поиске, так и при определении расположения базового объекта поиска.

По умолчанию: пусто (обрабатывается как never клиентскими библиотеками LDAP)

ldap_rfc2307_fallback_to_local_users (логическое значение)

Разрешает сохранять локальных пользователей как участников группы LDAP для серверов, которые используют схему RFC2307.

В некоторых средах, где используется схема RFC2307, локальных пользователей можно сделать участниками групп LDAP путём добавления их имён в атрибут memberUid. При этом нарушается внутренняя согласованность домена, поэтому SSSD обычно удаляет записи «отсутствующих» пользователей из кэшированных данных об участии в группах, как только nsswitch выполняет попытку получить информацию о пользователе через вызовы getpw*() или initgroups().

При использовании этого параметра программа возвращается к проверке наличия ссылок на локальных пользователей и кэширует их записи, чтобы последующие вызовы initgroups() расширяли список локальных пользователей дополнительными группами LDAP.

По умолчанию: false

wildcard_limit (целое число)

Позволяет указать верхний предел количества записей, загружаемых во время поиска с использованием подстановочных знаков.

В настоящее время только ответчик InfoPipe поддерживает поиск с использованием подстановочных знаков.

По умолчанию: 1000 (часто размер одной страницы)

ldap_library_debug_level (целое число)

Включает отладку libldap на указанном уровне. Сообщения отладки libldap записываются независимо от общего debug_level.

OpenLDAP использует битовую карту для включения отладки определённых компонентов, -1 включает полный отладочный вывод.

По умолчанию: 0 (отладка libldap отключена)

ПАРАМЕТРЫ SUDO

Подробные инструкции по настройке sudo_provider доступны на справочной странице sssd-sudo(5).

ldap_sudo_full_refresh_interval (целое число)

Интервал в секундах между полными обновлениями правил sudo SSSD (при которых загружаются все правила, которые хранятся на сервере).

Это значение должно быть больше, чем ldap_sudo_smart_refresh_interval

Полное обновление можно отключить, установив этот параметр в значение «0». Но должно быть включено либо интеллектуальное, либо полное обновление.

По умолчанию: 21600 (6 часов)

ldap_sudo_smart_refresh_interval (целое число)

Количество секунд, в течение которого SSSD ожидает перед выполнением интеллектуального обновления правил sudo (при котором загружаются все правила, USN которых больше самого высокого значения USN на сервере, которое в настоящее время известно SSSD).

Если сервер не поддерживает атрибуты USN, используется атрибут modifyTimestamp.

Примечание: самое высокое значение USN может быть обновлено тремя заданиями: 1) полным и интеллектуальным обновлением sudo (если найдены обновлённые правила), 2) перечислением пользователей и групп (если оно включено и найдены обновлённые пользователи или группы) и 3) повторным подключением к серверу (по умолчанию каждые 15 минут, см. ldap_connection_expire_timeout).

Интеллектуальное обновление можно отключить, установив этот параметр в значение «0». Но должно быть включено либо интеллектуальное, либо полное обновление.

По умолчанию: 900 (15 минут)

ldap_sudo_random_offset (целое число)

Случайная задержка от 0 до настроенного значения добавляется к периодам интеллектуального и полного обновления каждый раз при планировании периодического задания. Значение указывается в секундах.

Обратите внимание, что эта случайная задержка также применяется при первом запуске SSSD, что откладывает первое обновление правил sudo. Это увеличивает время, в течение которого правила sudo недоступны для использования.

Можно отключить эту задержку, установив значение «0».

По умолчанию: 0 (отключено)

ldap_sudo_use_host_filter (логическое значение)

Если параметр установлен в значение «true», SSSD будет загружать только те правила, которые применимы к этому компьютеру (на основе имён узлов и адресов узлов/сетей в формате IPv4 или IPv6).

По умолчанию: true

ldap_sudo_hostnames (строка)

Разделённый пробелами список имён узлов или полных доменных имён, которые следует использовать для фильтрации правил.

Если этот параметр имеет пустое значение, SSSD будет пытаться автоматически обнаружить имя узла и полное доменное имя.

Если значением ldap_sudo_use_host_filter является false, этот параметр ни на что не влияет.

По умолчанию: не указано

ldap_sudo_ip (строка)

Разделённый пробелами список адресов IPv4 или IPv6 узлов/сетей, которые следует использовать для фильтрации правил.

Если этот параметр имеет пустое значение, SSSD будет пытаться автоматически обнаружить адреса.

Если значением ldap_sudo_use_host_filter является false, этот параметр ни на что не влияет.

По умолчанию: не указано

ldap_sudo_include_netgroups (логическое значение)

Если параметр установлен в значение «true», SSSD будет загружать все правила, которые содержат сетевую группу в атрибуте sudoHost.

Если значением ldap_sudo_use_host_filter является false, этот параметр ни на что не влияет.

По умолчанию: true

ldap_sudo_include_regexp (логическое значение)

Если параметр установлен в значение «true», SSSD будет загружать все правила, которые содержат подстановочный знак в атрибуте sudoHost.

Если значением ldap_sudo_use_host_filter является false, этот параметр ни на что не влияет.


Note
Использование подстановочного знака — крайне ресурсоёмкая вычислительная операция на стороне сервера LDAP!
По умолчанию: false

На этой справочной странице содержится только описание сопоставления имён атрибутов. Подробные сведения о семантике атрибутов, связанных с sudo, доступны на справочной странице sudoers.ldap(5)

ПАРАМЕТРЫ AUTOFS

Некоторые из стандартных значений приведённых ниже параметров зависят от схемы LDAP.

ldap_autofs_map_master_name (строка)

Имя основной карты автоматического монтирования в LDAP.

По умолчанию: auto.master

ldap_autofs_map_object_class (строка)

Класс объектов записи карты автоматического монтирования в LDAP.

По умолчанию: nisMap (rfc2307, autofs_provider=ad), в ином случае — automountMap

ldap_autofs_map_name (строка)

Имя записи карты автоматического монтирования в LDAP.

По умолчанию: nisMapName (rfc2307, autofs_provider=ad), в ином случае — automountMapName

ldap_autofs_entry_object_class (строка)

Класс объектов записи автоматического монтирования в LDAP. Запись обычно соответствует точке монтирования.

По умолчанию: nisObject (rfc2307, autofs_provider=ad), в ином случае — automount

ldap_autofs_entry_key (строка)

Ключ записи автоматического монтирования в LDAP. Запись обычно соответствует точке монтирования.

По умолчанию: cn (rfc2307, autofs_provider=ad), в ином случае — automountKey

ldap_autofs_entry_value (строка)

Ключ записи автоматического монтирования в LDAP. Запись обычно соответствует точке монтирования.

По умолчанию: nisMapEntry (rfc2307, autofs_provider=ad), в ином случае — automountInformation

Следует учитывать, что средство автоматического монтирования выполняет чтение основной карты только при запуске, поэтому в случае внесения каких-либо изменений, связанных с autofs, в файл sssd.conf, обычно также потребуется перезапустить внутреннюю службу автоматического монтирования после перезапуска SSSD.

ДОПОЛНИТЕЛЬНЫЕ ПАРАМЕТРЫ

Эти параметры поддерживаются доменами LDAP, но их следует использовать с осторожностью. Включайте их в конфигурацию, только если точно знаете, какой эффект это произведёт.

ldap_netgroup_search_base (строка)

Необязательное base DN, область поиска и фильтр LDAP для ограничения поисков LDAP для этого типа атрибутов.

синтаксис:

search_base[?scope?[filter][?search_base?scope?[filter]]*]

Значением области может быть одно из следующих: «base», «onelevel» или «subtree». Описание работы области доступно в разделе 4.5.1.2 http://tools.ietf.org/html/rfc4511

Фильтр должен являться корректным фильтром поиска LDAP согласно спецификации http://www.ietf.org/rfc/rfc2254.txt

Примеры синтаксиса доступны в разделе примеров “ldap_search_base”.

По умолчанию: значение ldap_search_base

Обратите внимание, что указание области или фильтра не поддерживается для поиска на сервере Active Directory; он может привести к получению большого количества результатов и активировать расширение получения диапазонов (Range Retrieval) в ответе.

ldap_user_search_base (строка)

Необязательное base DN, область поиска и фильтр LDAP для ограничения поисков LDAP для этого типа атрибутов.

синтаксис:

search_base[?scope?[filter][?search_base?scope?[filter]]*]

Значением области может быть одно из следующих: «base», «onelevel» или «subtree». Описание работы области доступно в разделе 4.5.1.2 http://tools.ietf.org/html/rfc4511

Фильтр должен являться корректным фильтром поиска LDAP согласно спецификации http://www.ietf.org/rfc/rfc2254.txt

Примеры синтаксиса доступны в разделе примеров “ldap_search_base”.

По умолчанию: значение ldap_search_base

Обратите внимание, что указание области или фильтра не поддерживается для поиска на сервере Active Directory; он может привести к получению большого количества результатов и активировать расширение получения диапазонов (Range Retrieval) в ответе.

ldap_group_search_base (строка)

Необязательное base DN, область поиска и фильтр LDAP для ограничения поисков LDAP для этого типа атрибутов.

синтаксис:

search_base[?scope?[filter][?search_base?scope?[filter]]*]

Значением области может быть одно из следующих: «base», «onelevel» или «subtree». Описание работы области доступно в разделе 4.5.1.2 http://tools.ietf.org/html/rfc4511

Фильтр должен являться корректным фильтром поиска LDAP согласно спецификации http://www.ietf.org/rfc/rfc2254.txt

Примеры синтаксиса доступны в разделе примеров “ldap_search_base”.

По умолчанию: значение ldap_search_base

Обратите внимание, что указание области или фильтра не поддерживается для поиска на сервере Active Directory; он может привести к получению большого количества результатов и активировать расширение получения диапазонов (Range Retrieval) в ответе.


Note

Если параметр “ldap_use_tokengroups” включён, к поиску в Active Directory не будут применяться какие-либо ограничения, он вернёт все данные об участии в группах, даже без сопоставления GID. Рекомендуется отключить эту возможность, если имена групп отображаются некорректно.

ldap_sudo_search_base (строка)

Необязательное base DN, область поиска и фильтр LDAP для ограничения поисков LDAP для этого типа атрибутов.

синтаксис:

search_base[?scope?[filter][?search_base?scope?[filter]]*]

Значением области может быть одно из следующих: «base», «onelevel» или «subtree». Описание работы области доступно в разделе 4.5.1.2 http://tools.ietf.org/html/rfc4511

Фильтр должен являться корректным фильтром поиска LDAP согласно спецификации http://www.ietf.org/rfc/rfc2254.txt

Примеры синтаксиса доступны в разделе примеров “ldap_search_base”.

По умолчанию: значение ldap_search_base

Обратите внимание, что указание области или фильтра не поддерживается для поиска на сервере Active Directory; он может привести к получению большого количества результатов и активировать расширение получения диапазонов (Range Retrieval) в ответе.

ldap_autofs_search_base (строка)

Необязательное base DN, область поиска и фильтр LDAP для ограничения поисков LDAP для этого типа атрибутов.

синтаксис:

search_base[?scope?[filter][?search_base?scope?[filter]]*]

Значением области может быть одно из следующих: «base», «onelevel» или «subtree». Описание работы области доступно в разделе 4.5.1.2 http://tools.ietf.org/html/rfc4511

Фильтр должен являться корректным фильтром поиска LDAP согласно спецификации http://www.ietf.org/rfc/rfc2254.txt

Примеры синтаксиса доступны в разделе примеров “ldap_search_base”.

По умолчанию: значение ldap_search_base

Обратите внимание, что указание области или фильтра не поддерживается для поиска на сервере Active Directory; он может привести к получению большого количества результатов и активировать расширение получения диапазонов (Range Retrieval) в ответе.

ОТРАБОТКА ОТКАЗА

Функция обработки отказа позволяет внутренним серверам автоматически переключаться на другой сервер в случае сбоя текущего сервера.

Синтаксис обработки отказа

Список серверов разделяется запятыми; рядом с запятыми допускается любое количество пробелов. Серверы перечислены в порядке приоритета. Список может содержать любое количество серверов.

Для каждого параметра конфигурации с поддержкой отработки отказа существуют два варианта: основной (primary) и резервный (backup). Смысл в том, что приоритет получают серверы из списка основных, а поиск резервных серверов выполняется только в том случае, если не удалось связаться с основными серверами. Если выбран резервный сервер, устанавливается 31-секундный тайм-аут. По его истечении SSSD будет периодически пытаться восстановить подключение к одному из основных серверов. Если попытка будет успешной, текущий активный (резервный) сервер будет заменён на основной.

Механизм отработки отказа

Механизм отработки отказа различает компьютеры и службы. Внутренний сервер сначала пытается разрешить имя узла указанного компьютера; если попытка разрешения завершается неудачей, компьютер считается работающим в автономном режиме. Дальнейшие попытки подключиться к этому компьютеру для доступа к другим службам не выполняются. Если попытка разрешения успешна, внутренний сервер пытается подключиться к службе на этом компьютере. Если попытка подключения к службе завершается неудачей, работающей в автономном режиме будет считаться только эта служба, и внутренний сервер автоматически переключится на следующую службу. Компьютер продолжает считаться находящимся в сети, возможны дальнейшие попытки подключения к другим службам на нём.

Дальнейшие попытки подключения к компьютерам или службам, обозначенным, как работающие в автономном режиме, выполняются по истечении определённого периода времени; в настоящее время это значения является жёстко заданным и составляет 30 секунд.

Если список компьютеров исчерпан, внутренний сервер целиком переключается на автономный режим и затем пытается восстановить подключение каждые 30 секунд.

Тайм-ауты и тонкая настройка отработки отказа

Разрешение имени сервера, к которому следует подключиться, может быть выполнено как за один запрос DNS, так и за несколько шагов, например, при поиске корректного сайта или переборе нескольких имён узлов, если некоторые из настроенных серверов недоступны. Для более сложных сценариев требуется больше времени, и SSSD требуется соблюсти баланс между предоставлением достаточного количества времени для завершения процесса разрешения и не слишком долгим ожиданием перед переходом в автономный режим. Если в журнале отладки SSSD есть данные о том, что время на разрешение сервера истекло до обращения к реальному серверу, рекомендуется изменить значения тайм-аутов.

В этом разделе перечислены доступные настраиваемые параметры. Их описание содержится на справочной странице sssd.conf(5).

dns_resolver_server_timeout

Время (в миллисекундах), в течение которого SSSD будет обращаться к одному серверу DNS перед переходом к следующему.

По умолчанию: 1000

dns_resolver_op_timeout

Время (в секундах), в течение которого SSSD будет пытаться разрешить один запрос DNS (например, разрешение имени узла или записи SRV) перед переходом к следующему имени узла или домену обнаружения.

По умолчанию: 3

dns_resolver_timeout

Как долго SSSD будет пытаться разрешить резервную службу. Это разрешение службы может включать несколько внутренних шагов, например, при разрешении запросов SRV DNS или определении расположения сайта.

По умолчанию: 6

Для поставщиков данных на основе LDAP операция разрешения выполняется как часть операции установления LDAP-соединения. Следовательно, тайм-аут “ldap_opt_timeout” также следует установить в большее значение, чем “dns_resolver_timeout”, который, в свою очередь, следует установить в большее значение, чем “dns_resolver_op_timeout”, который должен быть больше “dns_resolver_server_timeout”.

ОБНАРУЖЕНИЕ СЛУЖБ

Функция обнаружения служб позволяет внутренним серверам автоматически находить серверы, к которым следует подключиться, с помощью специального запроса DNS. Эта возможность не поддерживается для резервных серверов.

Конфигурация

Если серверы не указаны, внутренний сервер будет автоматически использовать обнаружение служб, чтобы попытаться найти сервер. Пользователь может (необязательно) задать использование сразу и фиксированных адресов серверов, и обнаружения служб, вставив в список серверов специальное ключевое слово “_srv_”. Обработка выполняется в порядке приоритета. Эта возможность полезна, например, если пользователь предпочитает использовать обнаружение служб всегда, когда это возможно, и подключаться к определённому серверу только в тех случаях, когда серверы не удалось обнаружить с помощью DNS.

Имя домена

Дополнительные сведения доступны в описании параметра “dns_discovery_domain” на справочной странице sssd.conf(5).

Протокол

В запросах обычно указан протокол _tcp. Исключения задокументированы в описаниях соответствующих параметров.

См. также

Дополнительные сведения о механизме обнаружения служб доступны в RFC 2782.

СОПОСТАВЛЕНИЕ ИДЕНТИФИКАТОРОВ

Возможность сопоставления идентификаторов позволяет SSSD выступать в роли клиента Active Directory, при этом администраторам не требуется расширять атрибуты пользователя с целью поддержки атрибутов POSIX для идентификаторов пользователей и групп.

ПРИМЕЧАНИЕ: когда сопоставление идентификаторов включено, атрибуты uidNumber и gidNumber игнорируются. Это позволяет избежать возможных конфликтов между значениями, назначенными автоматически, и значениями, назначенными вручную. Если требуется использовать значения, назначенные вручную, следует назначить вручную ВСЕ значения.

Обратите внимание, что изменение параметров конфигурации, связанных с сопоставлением идентификаторов, приведёт к изменению идентификаторов пользователей и групп. В настоящее время SSSD не поддерживает изменение идентификаторов, поэтому базу данных SSSD необходимо удалить. Так как кэшированные пароли также хранятся в в этой базе данных, её удаление должно выполняться только тогда, когда серверы проверки подлинности доступны; в ином случае пользователи могут быть заблокированы. Для кэширования пароля необходимо выполнить проверку подлинности. Для удаления базы данных недостаточно использовать sss_cache(8), на самом деле требуются следующие шаги:

•Проверка доступности удалённых серверов
•Остановка службы SSSD
•Удаление базы данных
•Запуск службы SSSD

Более того, поскольку смена идентификаторов может сделать необходимым изменение других свойств системы, таких как параметры владения файлами и каталогами, рекомендуется спланировать всё заранее и тщательно протестировать конфигурацию сопоставления идентификаторов.

Алгоритм сопоставления

Active Directory предоставляет objectSID для всех объектов пользователей и групп в каталоге. Этот objectSID можно разбить на компоненты, которые соответствуют идентификатору домена Active Directory и относительному идентификатору (RID) объекта пользователя или группы.

Алгоритм сопоставления идентификаторов SSSD берёт диапазон доступных UID и делит его на разделы равного размера — «срезы». Каждый срез представляет собой пространство, доступное домену Active Directory.

Когда запись пользователя или группы определённого домена встречается SSSD в первый раз, SSSD выделяет один из доступных срезов для этого домена. Чтобы такое назначение срезов воспроизводилось на разных клиентских компьютерах, предусмотрен следующий алгоритм выбора среза:

Строка SID передаётся через алгоритм murmurhash3 для её преобразования в 32-битное хэшированное значение. Затем для выбора среза это значение с общим количеством срезов берётся по модулю.

ПРИМЕЧАНИЕ: между хэшем и полученным далее модулем возможны конфликты. В таких случаях будет выбран следующий доступный срез, но на других компьютерах может быть невозможно воспроизвести точно такой же набор срезов (так как порядок, в котором они встречаются, определяет срез). В такой ситуации рекомендуется либо переключиться на использование явных атрибутов POSIX в Active Directory (отключить сопоставление идентификаторов), либо настроить стандартный домен, чтобы гарантировать согласованность хотя бы для одного. См. “Конфигурация”.

Конфигурация

Минимальная конфигурация (в разделе “[domain/DOMAINNAME]”):

ldap_id_mapping = True
ldap_schema = ad

При стандартной конфигурации настраивается 10000 срезов, каждый из которых может содержать до 200000 идентификаторов, начиная от 200000 и до 2000200000. Этого должно быть достаточно для большинства вариантов развёртывания.

Дополнительная конфигурация

ldap_idmap_range_min (целое число)

Указывает нижнюю (включительно) границу диапазона идентификаторов POSIX, которые следует использовать для сопоставления SID пользователей и групп Active Directory. Это первый идентификатор POSIX, который можно использовать для сопоставления.

ПРИМЕЧАНИЕ: этот параметр отличается от “min_id”: “min_id” работает как фильтр ответов на запросы к этому домену, в то время как этот параметр управляет диапазоном назначения идентификаторов. Это тонкое различие, но рекомендуется устанавливать значение “min_id” меньшим или равным значению “ldap_idmap_range_min”

По умолчанию: 200000

ldap_idmap_range_max (целое число)

Указывает верхнюю (не включительно) границу диапазона идентификаторов POSIX, которые следует использовать для сопоставления идентификаторов SID пользователей и групп Active Directory. Это первый идентификатор POSIX, который нельзя использовать для сопоставления, т.е. данный идентификатор на единицу больше последнего, которым можно воспользоваться для сопоставления.

ПРИМЕЧАНИЕ: этот параметр отличается от “max_id”: “max_id” работает как фильтр ответов на запросы к этому домену, в то время как этот параметр управляет диапазоном назначения идентификаторов. Это тонкое различие, но рекомендуется устанавливать значение “max_id” большим или равным значению “ldap_idmap_range_max”

По умолчанию: 2000200000

ldap_idmap_range_size (целое число)

Указывает количество идентификаторов, доступных для каждого среза. Если размер диапазона не делится нацело на минимальное и максимальное значения, будет создано столько полных срезов, сколько возможно.

ПРИМЕЧАНИЕ: значение этого параметра должно быть не меньше значения максимального RID пользователя, запланированного для использования на сервере Active Directory. Поиск записи пользователя и вход завершатся неудачей для всех пользователей, RID которых превышает значение этого параметра.

Например, если у последнего добавленного пользователя Active Directory objectSid=S-1-5-21-2153326666-2176343378-3404031434-1107, значение“ldap_idmap_range_size” должно равняться минимум 1108, так как размер диапазона рассчитывается как максимальный SID минус минимальный SID плюс один (т.е. 1108 = 1107 - 0 + 1).

Для будущего расширения важно всё спланировать заранее,поскольку изменение этого значения приведёт к изменению всех сопоставлений идентификаторов в системе и, следовательно, изменению локальных идентификаторов пользователей.

По умолчанию: 200000

ldap_idmap_default_domain_sid (строка)

Позволяет указать SID стандартного домена. Это гарантирует, что этот домен всегда будет назначаться нулевому срезу в карте идентификаторов, в обход описанного выше алгоритма murmurhash.

По умолчанию: не задано

ldap_idmap_default_domain (строка)

Позволяет указать имена домена по умолчанию.

По умолчанию: не задано

ldap_idmap_autorid_compat (логическое значение)

Изменяет поведения алгоритма сопоставления идентификаторов, делая его более похожим на алгоритм “idmap_autorid” winbind.

When this option is configured, domains will be allocated starting with slice zero and increasing monotonically with each additional domain.

ПРИМЕЧАНИЕ: этот алгоритм является недетерминированным (он зависит от порядка, в котором запрашиваются пользователи и группы). Если этот режим требуется для обеспечения совместимости с компьютерами, где работает winbind, рекомендуется также использовать параметр “ldap_idmap_default_domain_sid”, чтобы гарантировать постоянное выделение хотя бы одного домена для нулевого среза.

По умолчанию: false

ldap_idmap_helper_table_size (целое число)

Максимальное количество вторичных срезов, которое можно использовать при сопоставлении идентификатору UNIX номера SID.

Примечание: дополнительные вторичные срезы могут быть созданы, когда выполняется сопоставление SID с идентификатором UNIX и часть RID SID находится за пределами диапазона для уже созданных вторичных срезов. Если значение параметра ldap_idmap_helper_table_size равно нулю, дополнительные вторичные срезы не будут созданы.

По умолчанию: 10

Известные SID

SSSD поддерживает поиск имён известных SID, то есть SID со специальным жёстко заданным значением. Так как типичные пользователи и группы, связанные с этими известными SID, не имеют аналогов в среде Linux/UNIX, для этих объектов недоступны идентификаторы POSIX.

Пространство имён SID организовано по центрам, которые можно рассматривать как разные домены. Для известных SID используются следующие центры

•Null Authority
•World Authority
•Local Authority
•Creator Authority
•Mandatory Label Authority
•Authentication Authority
•NT Authority
•Built-in

Записанные прописными буквами варианты этих имён используются в качестве имён доменов при возврате полных имён известных SID.

Так как некоторые утилиты позволяют изменять данные управления доступом на основе SID с помощью имени, а не непосредственного использования SID, SSSD также поддерживает поиск SID по имени. Чтобы избежать конфликтов, для поиска известных SID разрешается использовать только полные имена. Следовательно, нельзя использовать в качестве имён доменов в sssd.conf следующие названия: “NULL AUTHORITY”, “WORLD AUTHORITY”, “ LOCAL AUTHORITY”, “CREATOR AUTHORITY”, “MANDATORY LABEL AUTHORITY”, “AUTHENTICATION AUTHORITY”, “NT AUTHORITY” и “BUILTIN”.

ПРИМЕР

В следующем примере предполагается, что конфигурация SSSD корректна и что установка LDAP выполнена для одного из доменов в разделе [domains].

[domain/LDAP]
id_provider = ldap
auth_provider = ldap
ldap_uri = ldap://ldap.mydomain.org
ldap_search_base = dc=mydomain,dc=org
ldap_tls_reqcert = demand
cache_credentials = true

ПРИМЕР ФИЛЬТРА ДОСТУПА LDAP

В следующем примере предполагается, что конфигурация SSSD корректна и что используется ldap_access_order=lockout.

[domain/LDAP]
id_provider = ldap
auth_provider = ldap
access_provider = ldap
ldap_access_order = lockout
ldap_pwdlockout_dn = cn=ppolicy,ou=policies,dc=mydomain,dc=org
ldap_uri = ldap://ldap.mydomain.org
ldap_search_base = dc=mydomain,dc=org
ldap_tls_reqcert = demand
cache_credentials = true

ПРИМЕЧАНИЯ

Описания некоторых параметров конфигурации на этой справочной странице основаны на справочной странице ldap.conf(5) из дистрибутива OpenLDAP 2.4.

СМ. ТАКЖЕ

sssd(8), sssd.conf(5), sssd-ldap(5), sssd-ldap-attributes(5), sssd-krb5(5), sssd-simple(5), sssd-ipa(5), sssd-ad(5), sssd-files(5), sssd-sudo(5), sssd-session-recording(5), sss_cache(8), sss_debuglevel(8), sss_obfuscate(8), sss_seed(8), sssd_krb5_locator_plugin(8), sss_ssh_authorizedkeys(8), sss_ssh_knownhostsproxy(8), sssd-ifp(5), pam_sss(8). sss_rpcidmapd(5)

Восходящий источник («апстрим») SSSD — https://github.com/SSSD/sssd/

04/02/2024 SSSD