title: sssd-krb5(5)

summary: Поставщик данных Kerberos SSSD

text:
# sssd-krb5(5)

## NAME
sssd-krb5 - Поставщик данных Kerberos SSSD

## ОПИСАНИЕ
На этой справочной странице представлено описание настройки внутреннего сервера проверки подлинности Kerberos 5 для sssd(8). Подробные сведения о синтаксисе доступны в разделе “ФОРМАТ ФАЙЛА” справочной страницы sssd.conf(5).

Внутренний сервер проверки подлинности Kerberos 5 содержит поставщиков данных для проверки подлинности (auth) и смены пароля (chpass). Для корректной работы его необходимо использовать совместно с поставщиком данных идентификации (например, id_provider = ldap). Некоторые данные, которые требуются внутреннему серверу проверки подлинности Kerberos 5, должны предоставляться поставщиком данных идентификации (например, имя участника Kerberos пользователя (UPN)). В конфигурации поставщика данных идентификации должна быть запись с указанием UPN. Сведения о том, как выполнить такую настройку, доступны на справочной странице соответствующего поставщика данных идентификации.

Этот внутренний сервер также предоставляет возможность управления доступом на основе файла .k5login в домашнем каталоге пользователя. Дополнительные сведения доступны на справочной странице k5login(5). Обратите внимание, что пользователю будет отказано в доступе, если файл .k5login пуст. Чтобы активировать эту возможность, укажите «access_provider = krb5» в конфигурации SSSD.

Если на внутреннем сервере идентификации недоступен UPN, sssd создаст UPN в формате username@krb5_realm.

## ПАРАМЕТРЫ КОНФИГУРАЦИИ
Если в домене SSSD используется модуль проверки подлинности krb5, необходимо использовать следующие параметры. Сведения о конфигурации домена SSSD доступны на справочной странице sssd.conf(5), в разделе “РАЗДЕЛЫ ДОМЕНА”.

krb5_server, krb5_backup_server (строка)

Разделённый запятыми список IP-адресов или имён узлов серверов Kerberos, к которым SSSD следует подключаться в порядке приоритета. Дополнительные сведения об отработке отказа и избыточности сервера доступны в разделе “ОТРАБОТКА ОТКАЗА”. После адресов или имён узлов можно (необязательно) добавить номер порта (предварив его двоеточием). Если у параметра пустое значение, будет включено обнаружение служб — дополнительные сведения доступны в разделе “ОБНАРУЖЕНИЕ СЛУЖБ”. При использовании обнаружения служб для серверов KDC или kpasswd SSSD сначала выполняет поиск записей DNS, в которых в качестве протокола указан _udp. Если такие записи не удаётся найти, SSSD выполняет поиск записей DNS, в которых в качестве протокола указан _tcp.

В предыдущих версиях SSSD этот параметр назывался “krb5_kdcip”. Это устаревшее имя всё ещё распознаётся, но пользователям рекомендуется перейти на использование “krb5_server” в файлах конфигурации.

krb5_realm (строка)

Имя области Kerberos. Этот параметр является обязательным и должен быть указан.

krb5_kpasswd, krb5_backup_kpasswd (строка)

Если на KDC не запущена служба смены паролей, здесь можно задать альтернативные серверы. После адресов или имён узлов можно добавить необязательный номер порта (предварив его двоеточием). Дополнительные сведения об отработке отказа и избыточности сервера доступны в разделе “ОТРАБОТКА ОТКАЗА”. ПРИМЕЧАНИЕ: даже если список серверов kpasswd будет исчерпан, внутренний сервер не перейдёт в автономный режим работы, если всё ещё возможна проверка подлинности с помощью KDC.

По умолчанию: использовать KDC

krb5_ccachedir (строка)

Каталог для хранения кэшей учётных данных. Здесь также можно использовать все последовательности замещения krb5_ccname_template, за исключением %d и %P. Каталог создаётся как закрытый, его владельцем является пользователь, права доступа — 0700. По умолчанию: /tmp

krb5_ccname_template (строка)

Расположение кэша учётных данных пользователя. В настоящее время поддерживаются три типа кэша учётных данных: “FILE”, “DIR” и “KEYRING:persistent”. Кэш можно указать либо как TYPE:RESIDUAL, либо как абсолютный путь, что предполагает тип “FILE”. В шаблоне заменяются следующие последовательности: %u

имя для входа

%U

UID для входа

%p

имя участника

%r

имя области

%h

домашний каталог

%d

значение krb5_ccachedir

%P

идентификатор процесса клиента SSSD

%%

литерал «%»

Если шаблон заканчивается на «XXXXXX», для безопасного создания уникального имени файла используется mkstemp(3).

Если используются типы KEYRING, единственным поддерживаемым механизмом является “KEYRING:persistent:%U”, то есть использование набора ключей ядра Linux для хранения учётных данных на основе разделения по UID. Этот вариант также является рекомендуемым, так как этот способ обеспечивает наибольшую безопасность и предсказуемость.

Источником стандартного значения имени кэша учётных данных является профиль, который хранится в общесистемном файле конфигурации krb5.conf в разделе [libdefaults]. Имя параметра — default_ccache_name. Дополнительные сведения о формате расширения, определённом krb5.conf, доступны в абзаце о расширении параметров (PARAMETER EXPANSION) krb5.conf(5).

ПРИМЕЧАНИЕ: обратите внимание, что в шаблоне расширения ccache libkrb5 из krb5.conf(5) используются другие последовательности расширения, чем в SSSD.

По умолчанию: (из libkrb5)

krb5_keytab (строка)

Расположение таблицы ключей, которую следует использовать при проверке учётных данных, полученных от KDC. По умолчанию: системная таблица ключей, обычно /etc/krb5.keytab

krb5_store_password_if_offline (логическое значение)

Сохранять пароль пользователя, если поставщик не в сети, и использовать его для запроса TGT, когда поставщик снова появляется в сети. ПРИМЕЧАНИЕ: эта возможность доступна только в Linux. Пароли, сохранённые таким образом, хранятся как простой текст в наборе ключей ядра и потенциально доступны пользователю root (потребуются некоторые усилия).

По умолчанию: false

krb5_use_fast (строка)

Включает защищённое туннелирование гибкой проверки подлинности (FAST) для предварительной проверки подлинности Kerberos. Поддерживаются следующие параметры: never — никогда не использовать FAST. Это равнозначно тому варианту, когда значение этого параметра вообще не указано.

try — пытаться использовать FAST. Если сервер не поддерживает FAST, проверка подлинности будет продолжена без него.

demand — требовать использования FAST. Проверка подлинности будет неудачной, если сервер не требует использования FAST.

По умолчанию: не задано, то есть FAST не используется.

ПРИМЕЧАНИЕ: для использования FAST необходима таблица ключей или поддержка анонимного PKINIT.

ПРИМЕЧАНИЕ: SSSD поддерживает FAST только для MIT Kerberos версии 1.8 и выше. Если SSSD используется с более ранней версией MIT Kerberos, использование этого параметра является ошибкой конфигурации.

krb5_fast_principal (строка)

Указывает участник-сервер, который следует использовать для FAST.

krb5_fast_use_anonymous_pkinit (логическое значение)

Если установлено значение «true», попытаться воспользоваться анонимным PKINIT вместо таблицы ключей для получения необходимых учётных данных для FAST. В этом случае параметры krb5_fast_principal игнорируются. По умолчанию: false

krb5_use_kdcinfo (логическое значение)

Позволяет указать, следует ли SSSD сообщать библиотекам, какую область и какие KDC нужно использовать. Этот параметр включён по умолчанию. Если отключить его, потребуется настроить библиотеку Kerberos с помощью файла конфигурации krb5.conf(5). Дополнительные сведения о модуле локатора доступны на справочной странице sssd_krb5_locator_plugin(8).

По умолчанию: true

krb5_kdcinfo_lookahead (строка)

Когда параметр krb5_use_kdcinfo установлен в значение «true», можно ограничить количество серверов, которые передаются sssd_krb5_locator_plugin(8). Это может быть полезно, когда с помощью записи SRV обнаруживается слишком много серверов. Параметр krb5_kdcinfo_lookahead содержит два числа, разделённых двоеточием. Первое число представляет количество используемых основных серверов, а второе — количество резервных серверов.

Например, 10:0 означает, что sssd_krb5_locator_plugin(8) будут переданы 10 основных серверов, но ни одного резервного сервера.

По умолчанию: 3:1

krb5_use_enterprise_principal (логическое значение)

Позволяет указать, следует ли обрабатывать участника-пользователя как участника-предприятие. Дополнительные сведения об участниках-предприятиях доступны в разделе 5 RFC 6806. По умолчанию: false (поставщик данных AD: true)

Поставщик данных IPA установит этот параметр в значение «true», если определит, что сервер может обрабатывать участников-предприятия, и если этот параметр не задан в явном виде в файле конфигурации.

krb5_use_subdomain_realm (логическое значение)

Указывает использовать области поддоменов для проверки подлинности пользователей из доверенных доменов. Этот параметр можно установить в значение «true», если участники-предприятия используются с upnSuffixes, неизвестными KDC родительского домена. Если этот параметр установлен в значение «true», SSSD будет пытаться отправить запрос напрямую KDC того доверенного домена, из которого пришёл пользователь. По умолчанию: false

krb5_map_user (строка)

Перечень сопоставлений указывается в виде разделённого запятыми списка пар “username:primary”, где “username” — имя пользователя UNIX, а “primary” — часть пользователя в записи участника Kerberos. Это сопоставление задействуется, когда для проверки подлинности пользователя используется “auth_provider = krb5”. пример:

```
krb5_realm = REALM
krb5_map_user = joe:juser,dick:richard
```

“joe” и “dick” — имена пользователей UNIX, а “juser” и “richard” — основные части участников Kerberos. Для пользователей “joe” и “dick” SSSD попытается выполнить kinit как, соответственно, “juser@REALM” и “richard@REALM”.

По умолчанию: не задано

krb5_auth_timeout (целое число)

Тайм-аут в секундах после прерывания запроса проверки подлинности или смены пароля в сетевом режиме. Обработка запроса проверки подлинности будет продолжена в автономном режиме, если это возможно. По умолчанию: 6

krb5_validate (логическое значение)

Проверить с помощью krb5_keytab, что полученный TGT не был подменён. Проверка записей в таблице ключей выполняется последовательно, для проверки действительности используется первая запись с соответствующей областью. Если области не соответствует ни одна из записей, используется последняя запись в таблице ключей. Этот процесс можно использовать для проверки сред, где используются межобластные отношения доверия, поместив соответствующую запись таблицы ключей в качестве последней или единственной записи в файле таблицы ключей. По умолчанию: false (для поставщиков данных IPA и AD: true)

Обратите внимание, что проверка билета — это первый шаг при проверке PAC (дополнительные сведения доступны в описании параметра «pac_check» на справочной странице sssd.conf(5)). Если проверка билета отключена, проверки PAC также будут пропущены.

krb5_renewable_lifetime (строка)

Запросить обновляемый билет с общим временем жизни, указанным как целое число, сразу после которого следует единица измерения времени: s для секунд

m для минут

h для часов

d для дней.

Если единица измерения не указана, предполагается, что используется значение s.

ПРИМЕЧАНИЕ: единицы измерения нельзя смешивать. Чтобы установить обновляемое время жизни равным полутора часам, укажите «90m», а не «1h30m».

По умолчанию: не задано, то есть TGT не является обновляемым

krb5_lifetime (строка)

Запросить билет с временем жизни, указанным как целое число, сразу после которого следует единица измерения времени: s для секунд

m для минут

h для часов

d для дней.

Если единица измерения не указана, предполагается, что используется значение s.

ПРИМЕЧАНИЕ: единицы измерения нельзя смешивать. Чтобы установить время жизни равным полутора часам, укажите «90m», а не «1h30m».

По умолчанию: не задано, то есть стандартное время жизни билета, настроенное в параметрах KDC.

krb5_renew_interval (строка)

Время в секундах между двумя проверками того, следует ли обновить TGT. Обновление TGT выполняется в том случае, если прошла примерно половина времени жизни билета, указанного как целое число, сразу после которого следует единица измерения времени: s для секунд

m для минут

h для часов

d для дней.

Если единица измерения не указана, предполагается, что используется значение s.

ПРИМЕЧАНИЕ: единицы измерения нельзя смешивать. Чтобы установить обновляемое время жизни равным полутора часам, укажите «90m», а не «1h30m».

Если этот параметр не указан или установлен в значение «0», автоматическое обновление отключено.

По умолчанию: не задано

krb5_canonicalize (логическое значение)

Позволяет указать, следует ли приводить в каноническую форму имя участника-узла и участника-пользователя. Эта возможность доступна в MIT Kerberos 1.7 и выше. По умолчанию: false

## ОТРАБОТКА ОТКАЗА
Функция обработки отказа позволяет внутренним серверам автоматически переключаться на другой сервер в случае сбоя текущего сервера.

### Синтаксис обработки отказа
Список серверов разделяется запятыми; рядом с запятыми допускается любое количество пробелов. Серверы перечислены в порядке приоритета. Список может содержать любое количество серверов.

Для каждого параметра конфигурации с поддержкой отработки отказа существуют два варианта: основной (primary) и резервный (backup). Смысл в том, что приоритет получают серверы из списка основных, а поиск резервных серверов выполняется только в том случае, если не удалось связаться с основными серверами. Если выбран резервный сервер, устанавливается 31-секундный тайм-аут. По его истечении SSSD будет периодически пытаться восстановить подключение к одному из основных серверов. Если попытка будет успешной, текущий активный (резервный) сервер будет заменён на основной.

### Механизм отработки отказа
Механизм отработки отказа различает компьютеры и службы. Внутренний сервер сначала пытается разрешить имя узла указанного компьютера; если попытка разрешения завершается неудачей, компьютер считается работающим в автономном режиме. Дальнейшие попытки подключиться к этому компьютеру для доступа к другим службам не выполняются. Если попытка разрешения успешна, внутренний сервер пытается подключиться к службе на этом компьютере. Если попытка подключения к службе завершается неудачей, работающей в автономном режиме будет считаться только эта служба, и внутренний сервер автоматически переключится на следующую службу. Компьютер продолжает считаться находящимся в сети, возможны дальнейшие попытки подключения к другим службам на нём.

Дальнейшие попытки подключения к компьютерам или службам, обозначенным, как работающие в автономном режиме, выполняются по истечении определённого периода времени; в настоящее время это значения является жёстко заданным и составляет 30 секунд.

Если список компьютеров исчерпан, внутренний сервер целиком переключается на автономный режим и затем пытается восстановить подключение каждые 30 секунд.

### Тайм-ауты и тонкая настройка отработки отказа
Разрешение имени сервера, к которому следует подключиться, может быть выполнено как за один запрос DNS, так и за несколько шагов, например, при поиске корректного сайта или переборе нескольких имён узлов, если некоторые из настроенных серверов недоступны. Для более сложных сценариев требуется больше времени, и SSSD требуется соблюсти баланс между предоставлением достаточного количества времени для завершения процесса разрешения и не слишком долгим ожиданием перед переходом в автономный режим. Если в журнале отладки SSSD есть данные о том, что время на разрешение сервера истекло до обращения к реальному серверу, рекомендуется изменить значения тайм-аутов.

В этом разделе перечислены доступные настраиваемые параметры. Их описание содержится на справочной странице sssd.conf(5).

dns_resolver_server_timeout

Время (в миллисекундах), в течение которого SSSD будет обращаться к одному серверу DNS перед переходом к следующему. По умолчанию: 1000

dns_resolver_op_timeout

Время (в секундах), в течение которого SSSD будет пытаться разрешить один запрос DNS (например, разрешение имени узла или записи SRV) перед переходом к следующему имени узла или домену обнаружения. По умолчанию: 3

dns_resolver_timeout

Как долго SSSD будет пытаться разрешить резервную службу. Это разрешение службы может включать несколько внутренних шагов, например, при разрешении запросов SRV DNS или определении расположения сайта. По умолчанию: 6

Для поставщиков данных на основе LDAP операция разрешения выполняется как часть операции установления LDAP-соединения. Следовательно, тайм-аут “ldap_opt_timeout” также следует установить в большее значение, чем “dns_resolver_timeout”, который, в свою очередь, следует установить в большее значение, чем “dns_resolver_op_timeout”, который должен быть больше “dns_resolver_server_timeout”.

## ОБНАРУЖЕНИЕ СЛУЖБ
Функция обнаружения служб позволяет внутренним серверам автоматически находить серверы, к которым следует подключиться, с помощью специального запроса DNS. Эта возможность не поддерживается для резервных серверов.

### Конфигурация
Если серверы не указаны, внутренний сервер будет автоматически использовать обнаружение служб, чтобы попытаться найти сервер. Пользователь может (необязательно) задать использование сразу и фиксированных адресов серверов, и обнаружения служб, вставив в список серверов специальное ключевое слово “_srv_”. Обработка выполняется в порядке приоритета. Эта возможность полезна, например, если пользователь предпочитает использовать обнаружение служб всегда, когда это возможно, и подключаться к определённому серверу только в тех случаях, когда серверы не удалось обнаружить с помощью DNS.

### Имя домена
Дополнительные сведения доступны в описании параметра “dns_discovery_domain” на справочной странице sssd.conf(5).

### Протокол
В запросах обычно указан протокол _tcp. Исключения задокументированы в описаниях соответствующих параметров.

### См. также
Дополнительные сведения о механизме обнаружения служб доступны в RFC 2782.

## ПРИМЕР
В следующем примере предполагается, что конфигурация SSSD корректна и что FOO — один из доменов в разделе [sssd]. В примере показана только конфигурация проверки подлинности Kerberos; он не включает какого-либо поставщика данных идентификации.

```
[domain/FOO]
auth_provider = krb5
krb5_server = 192.168.1.1
krb5_realm = EXAMPLE.COM
```

## СМ. ТАКЖЕ
sssd(8), sssd.conf(5), sssd-ldap(5), sssd-ldap-attributes(5), sssd-krb5(5), sssd-simple(5), sssd-ipa(5), sssd-ad(5), sssd-sudo(5), sssd-session-recording(5), sss_cache(8), sss_debuglevel(8), sss_obfuscate(8), sss_seed(8), sssd_krb5_locator_plugin(8), sss_ssh_authorizedkeys(8), sss_ssh_knownhostsproxy(8), sssd-ifp(5), pam_sss(8). sss_rpcidmapd(5)

## AUTHORS
Восходящий источник («апстрим») SSSD — https://github.com/SSSD/sssd/


sssd-ldap

package: sssd-ldap

title: sssd-ldap(5)

summary: Поставщик данных LDAP SSSD

text:
# sssd-ldap(5)

## NAME
sssd-ldap - Поставщик данных LDAP SSSD

## ОПИСАНИЕ
На этой справочной странице представлено описание настройки доменов LDAP для sssd(8). Подробные сведения о синтаксисе доступны в разделе “ФОРМАТ ФАЙЛА” справочной страницы sssd.conf(5).

Возможно настроить SSSD на использование нескольких доменов LDAP.

LDAP back end supports id, auth, access and chpass providers. If you want to authenticate against an LDAP server either TLS/SSL or LDAPS is required. sssd does not support authentication over an unencrypted channel. Even if the LDAP server is used only as an identity provider, an encrypted channel is strongly recommended. Please refer to “ldap_access_filter” config option for more information about using LDAP as an access provider.

## ПАРАМЕТРЫ КОНФИГУРАЦИИ
Все общие параметры конфигурации, которые применимы к доменам SSSD, также применимы и к доменам LDAP. Подробные сведения доступны в разделе “РАЗДЕЛЫ ДОМЕНА” справочной страницы sssd.conf(5). Обратите внимание, что описание атрибутов сопоставления LDAP SSSD LDAP приводится на справочной странице sssd-ldap-attributes(5).

ldap_uri, ldap_backup_uri (строка)

Разделённый запятыми список URI серверов LDAP, к которым SSSD следует подключаться в порядке приоритета. Дополнительные сведения об отработке отказа и избыточности сервера доступны в разделе “ОТРАБОТКА ОТКАЗА”. Если не указан ни один из параметров, будет включено обнаружение служб. Дополнительные сведения доступны в разделе “ОБНАРУЖЕНИЕ СЛУЖБ”. Формат URI должен соответствовать формату, определённому в RFC 2732:

ldap[s]://<host>[:port]

Для явного указания адресов IPv6 <host> необходимо заключать в скобки []

пример: ldap://[fc00::126:25]:389

ldap_chpass_uri, ldap_chpass_backup_uri (строка)

Разделённый запятыми список URI серверов LDAP, к которым SSSD следует подключаться в порядке приоритета для смены пароля пользователя. Дополнительные сведения об отработке отказа и избыточности сервера доступны в разделе “ОТРАБОТКА ОТКАЗА”. Для включения обнаружения служб необходимо установить значение параметра ldap_chpass_dns_service_name.

По умолчанию: пусто, то есть используется ldap_uri.

ldap_search_base (строка)

Стандартное base DN, которое следует использовать для выполнения действий от имени пользователя LDAP. Начиная с версии 1.7.0, SSSD поддерживает несколько баз поиска. Используется следующий синтаксис:

search_base[?scope?[filter][?search_base?scope?[filter]]*]

Значением области может быть одно из следующих: «base», «onelevel» или «subtree».

Фильтр должен являться корректным фильтром поиска LDAP согласно спецификации http://www.ietf.org/rfc/rfc2254.txt

Примеры:

ldap_search_base = dc=example,dc=com (что эквивалентно) ldap_search_base = dc=example,dc=com?subtree?

ldap_search_base = cn=host_specific,dc=example,dc=com?subtree?(host=thishost)?dc=example.com?subtree?

Примечание: не поддерживается использование нескольких баз поиска, которые ссылаются на объекты с одинаковыми именами (например, на группы с одинаковым именем в двух разных базах поиска). Это приведёт к непредсказуемому поведению программы на клиентских компьютерах.

По умолчанию: если не задано, используется значение атрибута defaultNamingContext или namingContexts из RootDSE сервера LDAP. Если атрибут defaultNamingContext не существует или имеет пустое значение, используется значение namingContexts. Для работы этого параметра необходимо, чтобы атрибут namingContexts имел одно значение с DN базы поиска сервера LDAP. Использование нескольких значений не поддерживается.

ldap_read_rootdse (string)

SSSD reads RootDSE to get information about LDAP and its capabilities. By default, this is done anonymously. However, this may not be permitted by the LDAP server. In such cases we can use this option to influence SSSD behavior. Allowed values are:

•anonymous

•authenticated

•never

By default, using the "anonymous" option, SSSD tries to read RootDSE anonymously. If this fails SSSD retries the attempt with authentication.

Default: anonymous

ldap_schema (строка)

Указывает тип схемы, который используется на сервере LDAP цели. Стандартные имена атрибутов, получаемые с серверов, зависят от выбранной схемы. Также может различаться и способ обработки некоторых атрибутов. В настоящее время поддерживаются четыре типа схем:

•rfc2307

•rfc2307bis

•IPA

•AD

Главное различие между этими типами схем заключается в способе записи участия в группах на сервере. В схеме rfc2307 записи участников групп упорядочиваются по имени в атрибуте memberUid. В схемах rfc2307bis и IPA записи участников групп упорядочиваются по DN и хранятся в атрибуте member. В схеме AD атрибуты будут соответствовать значениям 2008r2 Active Directory.

По умолчанию: rfc2307

ldap_pwmodify_mode (строка)

Позволяет указать действие, которое выполняется для смены пароля пользователя. В настоящее время поддерживаются два режима:

•exop — расширенное действие по изменению пароля (RFC 3062)

•ldap_modify — прямое изменение userPassword (не рекомендуется).

•exop_force - Try Password Modify Extended Operation (RFC 3062) even if there are no grace logins left. Depending on the type and configuration of the LDAP server the password change might fail because an authenticated bind is not possible.

Примечание: сначала устанавливается новое соединение для проверки текущего пароля путём привязки от имени пользователя, запросившего смену пароля. В случае успеха это соединение используется для смены пароля, следовательно, у пользователя должны быть права на запись в атрибут userPassword.

По умолчанию: exop

ldap_default_bind_dn (строка)

Стандартное DN привязки, которое следует использовать для выполнения действий LDAP.

ldap_default_authtok_type (строка)

Тип маркера проверки подлинности для bind DN по умолчанию. В настоящее время поддерживаются два механизма:

password

obfuscated_password

По умолчанию: password

Дополнительные сведения доступны на справочной странице sss_obfuscate(8).

ldap_default_authtok (строка)

Маркер проверки подлинности стандартного DN привязки.

ldap_force_upper_case_realm (логическое значение)

Некоторые серверы каталогов, например Active Directory, могут предоставлять часть области UPN в нижнем регистре, что может привести к сбою проверки подлинности. Установите этот параметр в значение, отличное от нуля, если следует использовать название области в верхнем регистре. По умолчанию: false

ldap_enumeration_refresh_timeout (целое число)

Указывает время ожидания SSSD (в секундах) перед обновлением своего кэша перечисленных записей. Этот параметр также может быть задан для каждого поддомена отдельно или унаследован с помощью subdomain_inherit.

По умолчанию: 300

ldap_purge_cache_timeout (целое число)

Позволяет определить, как часто следует проверять кэш на наличие неактивных записей (таких, как группы без участников и пользователи, которые никогда не выполняли вход) и удалять эти записи для экономии места. Установка этого параметра в значение «0» отключит очистку кэша. Обратите внимание: если перечисление включено, задание очистки должно выполняться для определения записей, удалённых с сервера, и его нельзя отключить. По умолчанию задание очистки выполняется раз в 3 часа, когда перечисление включено.

Этот параметр также может быть задан для каждого поддомена отдельно или унаследован с помощью subdomain_inherit.

По умолчанию: 0 (отключено)

ldap_group_nesting_level (целое число)

Если в качестве значения ldap_schema выбран формат схемы, который поддерживает вложенные группы (например, RFC2307bis), этот параметр определяет количество уровней вложенности, которое будет обрабатываться SSSD. Если используется схема RFC2307, этот параметр ни на что не влияет. Примечание: этот параметр задаёт гарантированный уровень вложенности групп, который будет обрабатываться при любом поиске. Тем не менее, в результатах поиска могут присутствовать вложенные группы, уровень вложенности которых превышает указанное значение, если при предыдущих поисках выполнялась обработка более глубоких уровней вложенности. Кроме того, последующие поиски других групп могут увеличить набор результатов исходного поиска, когда он будет выполнен повторно.

Если параметр ldap_group_nesting_level установлен в значение «0», обработка вложенных групп выполняться не будет. Тем не менее, если с помощью “id_provider=ad” установлено соединение с Active Directory Server 2008 и выше, также будет необходимо отключить использование групп маркеров путём установки параметра ldap_use_tokengroups в значение «false» для ограничения вложенности групп.

По умолчанию: 2

ldap_use_tokengroups

Этот параметр включает или отключает использование атрибута групп маркеров при выполнении initgroup для пользователей Active Directory Server 2008 или выше. Этот параметр также может быть задан для каждого поддомена отдельно или унаследован с помощью subdomain_inherit.

По умолчанию: True для AD и IPA, в ином случае — False.

ldap_host_search_base (строка)

Необязательный параметр. Использовать указанную строку как базу поиска объектов узлов. Сведения о настройке нескольких баз поиска доступны в описании параметра “ldap_search_base”.

По умолчанию: значение ldap_search_base

ldap_service_search_base (строка)

Необязательное base DN, область поиска и фильтр LDAP для ограничения поисков LDAP для этого типа атрибутов. синтаксис:

```
search_base[?scope?[filter][?search_base?scope?[filter]]*]
```

Значением области может быть одно из следующих: «base», «onelevel» или «subtree». Описание работы области доступно в разделе 4.5.1.2 http://tools.ietf.org/html/rfc4511

Фильтр должен являться корректным фильтром поиска LDAP согласно спецификации http://www.ietf.org/rfc/rfc2254.txt

Примеры синтаксиса доступны в разделе примеров “ldap_search_base”.

По умолчанию: значение ldap_search_base

Обратите внимание, что указание области или фильтра не поддерживается для поиска на сервере Active Directory; он может привести к получению большого количества результатов и активировать расширение получения диапазонов (Range Retrieval) в ответе.

ldap_iphost_search_base (строка)

Необязательное base DN, область поиска и фильтр LDAP для ограничения поисков LDAP для этого типа атрибутов. синтаксис:

```
search_base[?scope?[filter][?search_base?scope?[filter]]*]
```

Значением области может быть одно из следующих: «base», «onelevel» или «subtree». Описание работы области доступно в разделе 4.5.1.2 http://tools.ietf.org/html/rfc4511

Фильтр должен являться корректным фильтром поиска LDAP согласно спецификации http://www.ietf.org/rfc/rfc2254.txt

Примеры синтаксиса доступны в разделе примеров “ldap_search_base”.

По умолчанию: значение ldap_search_base

Обратите внимание, что указание области или фильтра не поддерживается для поиска на сервере Active Directory; он может привести к получению большого количества результатов и активировать расширение получения диапазонов (Range Retrieval) в ответе.

ldap_ipnetwork_search_base (строка)

Необязательное base DN, область поиска и фильтр LDAP для ограничения поисков LDAP для этого типа атрибутов. синтаксис:

```
search_base[?scope?[filter][?search_base?scope?[filter]]*]
```

Значением области может быть одно из следующих: «base», «onelevel» или «subtree». Описание работы области доступно в разделе 4.5.1.2 http://tools.ietf.org/html/rfc4511

Фильтр должен являться корректным фильтром поиска LDAP согласно спецификации http://www.ietf.org/rfc/rfc2254.txt

Примеры синтаксиса доступны в разделе примеров “ldap_search_base”.

По умолчанию: значение ldap_search_base

Обратите внимание, что указание области или фильтра не поддерживается для поиска на сервере Active Directory; он может привести к получению большого количества результатов и активировать расширение получения диапазонов (Range Retrieval) в ответе.

ldap_search_timeout (целое число)

Позволяет указать тайм-аут (в секундах) для выполнения поиска LDAP, по истечении которого поиск будет отменён и будут возвращены кэшированные результаты (и выполнен переход в автономный режим) Примечание: этот параметр будет изменён в будущих версиях SSSD. Вероятно, его заменит ряд тайм-аутов для отдельных типов поиска.

Этот параметр также может быть задан для каждого поддомена отдельно или унаследован с помощью subdomain_inherit.

По умолчанию: 6

ldap_enumeration_search_timeout (целое число)

Позволяет указать тайм-аут (в секундах) для выполнения LDAP поиска перечислений пользователей и групп, по истечении которого поиск будет отменён и будут возвращены кэшированные результаты (и выполнен переход в автономный режим) Этот параметр также может быть задан для каждого поддомена отдельно или унаследован с помощью subdomain_inherit.

По умолчанию: 60

ldap_network_timeout (целое число)

Позволяет указать тайм-аут (в секундах), по истечении которого в случае отсутствия активности возвращается poll(2)/select(2) после connect(2). Этот параметр также может быть задан для каждого поддомена отдельно или унаследован с помощью subdomain_inherit.

По умолчанию: 6

ldap_opt_timeout (целое число)

Позволяет указать тайм-аут (в секундах), по истечении которого вызовы синхронных программных интерфейсов LDAP будут прекращены, если не будет получен ответ. Этот параметр также управляет тайм-аутом при обмене данными с KDC в случае использования привязки SASL, тайм-аутом операции привязки LDAP, расширенного действия по смене пароля и действия StartTLS. Этот параметр также может быть задан для каждого поддомена отдельно или унаследован с помощью subdomain_inherit.

По умолчанию: 8

ldap_connection_expire_timeout (целое число)

Позволяет указать тайм-аут (в секундах), в течение которого будет поддерживаться соединение с сервером LDAP. По истечении этого времени будет предпринята попытка повторного подключения. Если параллельно используется SASL/GSSAPI, будет использоваться первое по времени наступления из этих двух значений (значение этого параметра или значение времени жизни TGT). Если соединение простаивает (активные операции не выполняются) в течение ldap_opt_timeout секунд после истечения срока действия, оно будет закрыто досрочно, чтобы гарантировать, что новый запрос не может требовать, чтобы соединение оставалось открытым после истечения срока его действия. Это означает, что соединения всегда будут закрываться немедленно, и не будут использоваться повторно, если ldap_connection_expire_timeout <= ldap_opt_timout

Этот тайм-аут может быть увеличен случайным значением, указанным с помощью параметра ldap_connection_expire_offset

Этот параметр также может быть задан для каждого поддомена отдельно или унаследован с помощью subdomain_inherit.

По умолчанию: 900 (15 минут)

ldap_connection_expire_offset (целое число)

Случайная задержка от 0 до настроенного значения добавляется к ldap_connection_expire_timeout. Этот параметр также может быть задан для каждого поддомена отдельно или унаследован с помощью subdomain_inherit.

По умолчанию: 0

ldap_connection_idle_timeout (целое число)

Позволяет указать тайм-аут (в секундах), в течение которого будет поддерживаться неактивное соединение с сервером LDAP. Если соединение бездействует дольше этого времени, соединение будет закрыто. Можно отключить этот тайм-аут, установив значение «0».

Этот параметр также может быть задан для каждого поддомена отдельно или унаследован с помощью subdomain_inherit.

По умолчанию: 900 (15 минут)

ldap_page_size (целое число)

Позволяет указать количество записей для получения от LDAP в ответ на один запрос. На некоторых серверах LDAP задано ограничение максимального количества на один запрос. По умолчанию: 1000

ldap_disable_paging (логическое значение)

Отключить управление переходами между страницами LDAP. Этот параметр следует использовать, если сервер LDAP сообщает о том, что поддерживает управление переходами между страницами LDAP в своём RootDSE, но оно не включено или не работает надлежащим образом. Пример: серверы OpenLDAP с модулем управлением переходами между страницами, который установлен на сервере, но не включён, будут сообщать о нём в RootDSE, но не смогут использовать его.

Пример: в 389 DS есть внутренняя ошибка, из-за которой для одного подключения одновременно поддерживается только одно средство управления переходами между страницами. Если поступает много запросов, это может привести к отказам в выполнении некоторых из них.

По умолчанию: false

ldap_disable_range_retrieval (логическое значение)

Отключить получение диапазонов Active Directory. Active Directory limits the number of members that can be retrieved in a single lookup using the MaxValRange policy, which defaults to 1500 members. If a group contains more than 1500 members, the reply includes an AD-specific range extension. When enabled, this option prevents SSSD from parsing the range extension. As a result large groups will appear as they have no members. This option does not enable SSSD to read subsequent ranges. To retrieve all members of a group, you must increase the MaxValRange setting in Active Directory.

По умолчанию: false

ldap_sasl_minssf (целое число)

Позволяет указать минимальный уровень безопасности, необходимый для установки соединения в случае обмена данными с сервером LDAP с помощью SASL. Значение этого параметра определяется OpenLDAP. По умолчанию: использовать стандартное системное значение (обычно указывается в ldap.conf)

ldap_sasl_maxssf (целое число)

Позволяет указать максимальный уровень безопасности, необходимый для установки соединения в случае обмена данными с сервером LDAP с помощью SASL. Значение этого параметра определяется OpenLDAP. По умолчанию: использовать стандартное системное значение (обычно указывается в ldap.conf)

ldap_deref_threshold (целое число)

Позволяет указать количество записей участников групп, которые должны отсутствовать во внутреннем кэше для активации поиска с разыменованием. Если отсутствует меньшее количество записей участников, поиск будет выполняться для каждого из них по отдельности. Чтобы полностью отключить поиск с разыменованием, установите значение «0». Обратите внимание, что в коде SSSD, например коде поставщика данных HBAC IPA, имеются некоторые инструкции, которые реализуются только с использованием вызова разыменования. Даже если разыменование явно отключено, оно всё равно будет использоваться в этих частях кода, если сервер поддерживает его и объявляет управление разыменованием в объекте rootDSE.

Поиск с разыменованием позволяет получить всех участников групп за один вызов LDAP. На разных серверах LDAP могут быть реализованы разные методы разыменования. В настоящее время поддерживаются следующие серверы: 389/RHDS, OpenLDAP и Active Directory.

Примечание: если какая-либо из баз поиска задаёт фильтр поиска, то улучшение быстродействия поиска с разыменованием будет отключено,независимо от значения этого параметра.

По умолчанию: 10

ldap_ignore_unreadable_references (логическое значение)

Игнорировать нечитаемые записи LDAP, указанные в атрибуте участника группы. Если для этого параметра установлено значение «false», будет возвращено сообщение об ошибке, а действие завершится ошибкой вместо простого игнорирования нечитаемой записи. Этот параметр может быть полезен, если используется поставщик данных AD, а учетная запись компьютера, используемая sssd для установления соединения с AD, не имеет доступа к определенной записи или поддереву LDAP из соображений безопасности.

По умолчанию: false

ldap_tls_reqcert (строка)

Позволяет указать, какие проверки следует выполнять для сертификатов сервера в сеансе TLS, если это требуется. Можно указать одно из следующих значений: never = клиент не будет запрашивать или проверять сертификаты сервера.

allow = будет запрашиваться сертификат сервера. Если сертификат не предоставлен, сеанс продолжится в обычном режиме. Если предоставлен ошибочный сертификат, он будет проигнорирован, и сеанс продолжится в обычном режиме.

try = будет запрашиваться сертификат сервера. Если сертификат не предоставлен, сеанс продолжится в обычном режиме. Если предоставлен ошибочный сертификат, сеанс немедленно будет завершён.

demand = будет требоваться сертификат сервера. Если сертификат не предоставлен или предоставлен ошибочный сертификат, сеанс немедленно будет завершён.

hard = аналогично “demand”

По умолчанию: hard

ldap_tls_cacert (строка)

Позволяет указать файл, который содержит сертификаты для всех центров сертификации, которые распознаются sssd. По умолчанию: использовать стандартные параметры OpenLDAP, которые обычно хранятся в /etc/openldap/ldap.conf

ldap_tls_cacertdir (строка)

Specifies the path of a directory that contains Certificate Authority certificates in separate individual files. Typically the file names need to be the hash of the certificate followed by '.0'. If available, openssl rehash or c_rehash can be used to create the correct names. По умолчанию: использовать стандартные параметры OpenLDAP, которые обычно хранятся в /etc/openldap/ldap.conf

ldap_tls_cert (строка)

Позволяет указать файл, который содержит сертификат для ключа клиента. По умолчанию: не задано

ldap_tls_key (строка)

Позволяет указать файл, который содержит ключ клиента. По умолчанию: не задано

ldap_tls_cipher_suite (строка)

Позволяет указать допустимые комплекты шифров. Обычно представляет собой список, разделённый двоеточиями. Описание формата доступно на справочной странице ldap.conf(5). По умолчанию: использовать стандартные параметры OpenLDAP, которые обычно хранятся в /etc/openldap/ldap.conf

ldap_id_use_start_tls (логическое значение)

Specifies that the id_provider connection must also use tls to protect the channel. true is strongly recommended for security reasons. По умолчанию: false

ldap_id_mapping (логическое значение)

Позволяет указать, что SSSD следует пытаться сопоставить идентификаторы пользователя и группы из атрибутов ldap_user_objectsid и ldap_group_objectsid, а не полагаться на ldap_user_uid_number и ldap_group_gid_number. В настоящее время эта функциональная возможность поддерживает только сопоставление objectSID Active Directory.

По умолчанию: false

ldap_min_id, ldap_max_id (целое число)

В отличие от сопоставления идентификаторов на основе SID, которое используется, если параметр ldap_id_mapping установлен в значение «true», допустимый диапазон идентификаторов для ldap_user_uid_number и ldap_group_gid_number является неограниченным. В конфигурациях с поддоменами и доверенными доменами это может привести к конфликтам идентификаторов. Чтобы избежать конфликтов, можно указать параметры ldap_min_id и ldap_max_id для ограничения допустимого диапазона идентификаторов, чтение которых выполняется непосредственно с сервера. После этого поддомены могут выбрать другие диапазоны для сопоставления идентификаторов. По умолчанию: не задано (оба параметра установлены в значение 0)

ldap_sasl_mech (строка)

Позволяет указать механизм SASL, который следует использовать. В настоящее время протестированы и поддерживаются только GSSAPI и GSS-SPNEGO. Если внутренний сервер поддерживает поддомены, значение ldap_sasl_mech автоматически наследуется поддоменами. Если для поддомена требуется использовать другое значение, это значение можно перезаписать, явно указав ldap_sasl_mech для этого поддомена. Для получения подробных сведений смотрите «РАЗДЕЛ ДОВЕРЕННЫХ ДОМЕНОВ» на справочной странице sssd.conf(5).

По умолчанию: не задано

ldap_sasl_authid (строка)

Позволяет указать идентификатор проверки подлинности SASL, который следует использовать. Если используется GSSAPI/GSS-SPNEGO, он представляет собой участника Kerberos, который используется для проверки подлинности при доступе к каталогу. Этот параметр может содержать либо полное имя участника (например, host/myhost@EXAMPLE.COM), либо просто имя участника (например, host/myhost). По умолчанию это значение не задано, используются следующие участники:

```
hostname@REALM
netbiosname$@REALM
host/hostname@REALM
*$@REALM
host/*@REALM
host/*

```

Если они не найдены, возвращается первый участник из таблицы ключей.

По умолчанию: host/hostname@REALM

ldap_sasl_realm (строка)

Позволяет указать область SASL, которую следует использовать. Если значение не указано, по умолчанию будет использоваться значение krb5_realm. Если ldap_sasl_authid также содержит область, этот параметр игнорируется. По умолчанию: значение krb5_realm.

ldap_sasl_canonicalize (логическое значение)

Если установлено в значение «true», библиотека LDAP будет выполнять обратный просмотр для преобразования имени узла в каноническую форму во время привязки SASL. По умолчанию: false;

ldap_krb5_keytab (строка)

Позволяет указать таблицу ключей, которую следует использовать при использовании проверки подлинности с помощью SASL/GSSAPI/GSS-SPNEGO. Этот параметр также может быть задан для каждого поддомена отдельно или унаследован с помощью subdomain_inherit.

По умолчанию: системная таблица ключей, обычно /etc/krb5.keytab

ldap_krb5_init_creds (логическое значение)

Позволяет указать, что id_provider должен инициализировать учётные данные Kerberos (TGT). Это действие выполняется только в том случае, если используется SASL и выбран механизм GSSAPI или GSS-SPNEGO. По умолчанию: true

ldap_krb5_ticket_lifetime (целое число)

Позволяет указать время жизни TGT (в секундах), если используется GSSAPI или GSS-SPNEGO. Этот параметр также может быть задан для каждого поддомена отдельно или унаследован с помощью subdomain_inherit.

По умолчанию: 86400 (24 часа)

krb5_server, krb5_backup_server (строка)

Разделённый запятыми список IP-адресов или имён узлов серверов Kerberos, к которым SSSD следует подключаться в порядке приоритета. Дополнительные сведения об отработке отказа и избыточности сервера доступны в разделе “ОТРАБОТКА ОТКАЗА”. После адресов или имён узлов можно (необязательно) добавить номер порта (предварив его двоеточием). Если у параметра пустое значение, будет включено обнаружение служб — дополнительные сведения доступны в разделе “ОБНАРУЖЕНИЕ СЛУЖБ”. При использовании обнаружения служб для серверов KDC или kpasswd SSSD сначала выполняет поиск записей DNS, в которых в качестве протокола указан _udp. Если такие записи не удаётся найти, SSSD выполняет поиск записей DNS, в которых в качестве протокола указан _tcp.

В предыдущих версиях SSSD этот параметр назывался “krb5_kdcip”. Это устаревшее имя всё ещё распознаётся, но пользователям рекомендуется перейти на использование “krb5_server” в файлах конфигурации.

krb5_realm (строка)

Позволяет указать область Kerberos (для проверки подлинности с помощью SASL/GSSAPI/GSS-SPNEGO). По умолчанию: стандартные параметры системы, см. /etc/krb5.conf

krb5_canonicalize (логическое значение)

Позволяет указать, следует ли приводить в каноническую форму имя участника-узла при подключении к серверу LDAP. Эта возможность доступна в MIT Kerberos >= 1.7 По умолчанию: false

krb5_use_kdcinfo (логическое значение)

Позволяет указать, следует ли SSSD сообщать библиотекам, какую область и какие KDC нужно использовать. Этот параметр включён по умолчанию. Если отключить его, потребуется настроить библиотеку Kerberos с помощью файла конфигурации krb5.conf(5). Дополнительные сведения о модуле локатора доступны на справочной странице sssd_krb5_locator_plugin(8).

По умолчанию: true

ldap_pwd_policy (строка)

Позволяет выбрать политику оценки истечения срока действия пароля на стороне клиента. Допускаются следующие значения: none — без оценки на стороне клиента. С помощью этого параметра нельзя отключить политики паролей на стороне сервера.

shadow — использовать атрибуты в стиле shadow(5) для проверки того, не истёк ли срок действия пароля. См. также опцию «ldap_chpass_update_last_change».

mit_kerberos — использовать атрибуты, которые используются MIT Kerberos, для определения того, не истёк ли срок действия пароля. Чтобы обновить эти атрибуты в случае смены пароля, воспользуйтесь chpass_provider=krb5.

По умолчанию: none

Примечание: если на стороне сервера настроена политика паролей, она всегда будет иметь приоритет над политикой, заданной с помощью этого параметра.

ldap_referrals (логическое значение)

Позволяет указать, следует ли включить автоматическое прослеживание ссылок. Обратите внимание, что sssd поддерживает прослеживание ссылок только в том случае, если сервис собран с OpenLDAP версии 2.4.13 или выше.

Прослеживание ссылок может замедлять работу в средах, где оно широко применяется. Яркий пример такой среды — Microsoft Active Directory. Если в используемой среде нет реальной необходимости в прослеживании ссылок, можно установить этот параметр в значение «false»; это позволит заметно повысить производительность. Поэтому в том случае, когда поставщик данных LDAP SSSD используется совместно с Microsoft Active Directory в качестве внутреннего сервера, рекомендуется установить этот параметр в значение «false». Даже если бы у SSSD была возможность перейти по ссылке к другому контроллеру домена AD, это не позволило бы получить дополнительные данные.

По умолчанию: true

ldap_dns_service_name (строка)

Позволяет указать имя службы, которое будет использоваться, когда включено обнаружение служб. По умолчанию: ldap

ldap_chpass_dns_service_name (строка)

Позволяет указать имя службы для поиска сервера LDAP, который позволяет менять пароль, когда включено обнаружение служб. По умолчанию: не задано, то есть обнаружение служб отключено

ldap_chpass_update_last_change (логическое значение)

Позволяет указать, следует ли обновлять атрибут ldap_user_shadow_last_change данными о количестве дней с момента выполнения действия по смены пароля. Рекомендуется установить этот параметр явно, если используется «ldap_pwd_policy = shadow», чтобы сообщить SSSD, будет ли сервер LDAP автоматически обновлять атрибут shadowLastChange LDAP после смены пароля или SSSD должен обновить его.

По умолчанию: false

ldap_access_filter (строка)

При использовании access_provider = ldap и ldap_access_order = filter (по умолчанию) этот параметр является обязательным. Он задаёт условия фильтра поиска LDAP, при условии соблюдения которых пользователю будет предоставлен доступ к этому узлу. Если при использовании access_provider = ldap, ldap_access_order = filter этот параметр не задан, всем пользователям будет отказано в доступе. Чтобы изменить это стандартное поведение, используйте access_provider = permit. Обратите внимание, что этот фильтр применяется только к записи пользователя LDAP и, соответственно, может не работать фильтрация на основе вложенных групп (например, атрибут memberOf в записях AD указывает только на прямые родительские записи). Если фильтрацию на основе вложенных групп необходимо выполнять, ознакомьтесь со справочной страницей sssd-simple(5). Пример:

```
access_provider = ldap
ldap_access_filter = (employeeType=admin)

```

В этом примере доступ к узлу представляется только тем пользователям, атрибут employeeType которых установлен в значение «admin».

Автономное кэширование для этой возможности ограничивается определением того, было ли предоставлено разрешение на доступ при последнем входе пользователя в сетевом режиме. Если при последнем входе пользователю был разрешён доступ, он также будет разрешён и в автономном режиме. Если же при последнем входе пользователю был запрещён доступ, он также будет запрещён и в автономном режиме.

По умолчанию: пусто

ldap_account_expire_policy (строка)

С помощью этого параметра можно включить оценку атрибутов управления доступом на стороне клиента. Обратите внимание, что всегда рекомендуется использовать управление доступом на стороне сервера, то есть сервер LDAP должен отклонять запрос привязки с соответствующим кодом ошибки, даже если пароль верен.

Допускаются следующие значения:

shadow: использовать значение ldap_user_shadow_expire для определения того, не истёк ли срок действия учётной записи.

ad: использовать значение 32-битного поля ldap_user_ad_user_account_control и разрешать доступ, если второй бит не задан. Если атрибут отсутствует, доступ предоставляется. Также проверяется, не истёк ли срок действия учётной записи.

rhds, ipa, 389ds: использовать значение ldap_ns_account_lock, чтобы проверить, разрешён ли доступ.

nds: использовать значения ldap_user_nds_login_allowed_time_map, ldap_user_nds_login_disabled и ldap_user_nds_login_expiration_time, чтобы проверить, разрешён ли доступ. Если все атрибуты отсутствуют, доступ предоставляется.

Обратите внимание, что параметр конфигурации ldap_access_order должен включать “expire”, чтобы можно было использовать параметр ldap_account_expire_policy.

По умолчанию: пусто

ldap_access_order (строка)

Разделённый запятыми список параметров управления доступом. Допустимые значения: filter: использовать ldap_access_filter

lockout: использовать блокировку учётных записей. Если этот параметр установлен, он запрещает доступ, когда атрибут LDAP «pwdAccountLockedTime» присутствует и имеет значение «000001010000Z». Подробные сведения доступны в описании параметра ldap_pwdlockout_dn. Обратите внимание, что для работы этой возможности необходимо задать «access_provider = ldap».

Обратите внимание, что над этим параметром имеет приоритет параметр “ppolicy” и этот параметр может быть удалён в следующей версии.

ppolicy: использовать блокировку учётных записей. Если этот параметр установлен, он запрещает доступ, когда атрибут LDAP «pwdAccountLockedTime» присутствует и имеет значение «000001010000Z» или представляет любое время в прошлом. Значение атрибута «pwdAccountLockedTime» должно заканчиваться на «Z» (это означает часовой пояс UTC). В настоящее время не поддерживается использование других часовых поясов; если они будут заданы, при попытках пользователей войти в систему будет появляться сообщение об отказе в доступе. Подробные сведения доступны в описании параметра ldap_pwdlockout_dn. Обратите внимание, что для работы этой возможности необходимо задать «access_provider = ldap».

expire: использовать ldap_account_expire_policy

pwd_expire_policy_reject, pwd_expire_policy_warn, pwd_expire_policy_renew: эти параметры полезны, если пользователям нужно предупреждение о том, что срок действия пароля истекает, и для проверки подлинности используются не пароли, а, например, ключи SSH.

The difference between these options is the action taken if user password is expired:

•pwd_expire_policy_reject - user is denied to log in,

•pwd_expire_policy_warn - user is still able to log in,

•pwd_expire_policy_renew - user is prompted to change their password immediately.

Следует учитывать, что для работы этой возможности необходимо указать «access_provider = ldap». Также необходимо указать соответствующую политику паролей в качестве значения параметра «ldap_pwd_policy».

authorized_service: использовать атрибут authorizedService для определения возможности доступа

host: использовать атрибут host для определения возможности доступа

rhost: использовать атрибут rhost для определения возможности доступа удалённого узла

Обратите внимание, что значение поля rhost в pam устанавливается приложением; рекомендуется проверить, что приложение отправляет в pam, прежде чем включать этот параметр управления доступом

По умолчанию: filter

Обратите внимание, что использование значения более одного раза является ошибкой конфигурации.

ldap_pwdlockout_dn (строка)

Этот параметр позволяет указать DN записи политики паролей на сервере LDAP. Обратите внимание: если в sssd.conf не будет этого параметра, когда используется блокировка учётных записей, в доступе будет отказано из-за невозможности надлежащим образом проверить атрибуты ppolicy на сервере LDAP. Пример: cn=ppolicy,ou=policies,dc=example,dc=com

По умолчанию: cn=ppolicy,ou=policies,$ldap_search_base

ldap_deref (строка)

Позволяет указать, как осуществляется разыменование псевдонимов при выполнении поиска. Допустимые варианты: never: разыменование псевдонимов не выполняется.

searching: разыменование псевдонимов выполняется в подчиненных базового объекта, но не при определении расположения базового объекта поиска.

finding: разыменование псевдонимов выполняется только при определении расположения базового объекта поиска.

always: разыменование псевдонимов выполняется как при поиске, так и при определении расположения базового объекта поиска.

По умолчанию: пусто (обрабатывается как never клиентскими библиотеками LDAP)

ldap_rfc2307_fallback_to_local_users (логическое значение)

Разрешает сохранять локальных пользователей как участников группы LDAP для серверов, которые используют схему RFC2307. В некоторых средах, где используется схема RFC2307, локальных пользователей можно сделать участниками групп LDAP путём добавления их имён в атрибут memberUid. При этом нарушается внутренняя согласованность домена, поэтому SSSD обычно удаляет записи «отсутствующих» пользователей из кэшированных данных об участии в группах, как только nsswitch выполняет попытку получить информацию о пользователе через вызовы getpw*() или initgroups().

При использовании этого параметра программа возвращается к проверке наличия ссылок на локальных пользователей и кэширует их записи, чтобы последующие вызовы initgroups() расширяли список локальных пользователей дополнительными группами LDAP.

По умолчанию: false

wildcard_limit (целое число)

Позволяет указать верхний предел количества записей, загружаемых во время поиска с использованием подстановочных знаков. В настоящее время только ответчик InfoPipe поддерживает поиск с использованием подстановочных знаков.

По умолчанию: 1000 (часто размер одной страницы)

ldap_library_debug_level (целое число)

Включает отладку libldap на указанном уровне. Сообщения отладки libldap записываются независимо от общего debug_level. OpenLDAP использует битовую карту для включения отладки определённых компонентов, -1 включает полный отладочный вывод.

По умолчанию: 0 (отладка libldap отключена)

## ПАРАМЕТРЫ SUDO
Подробные инструкции по настройке sudo_provider доступны на справочной странице sssd-sudo(5).

ldap_sudo_full_refresh_interval (целое число)

Интервал в секундах между полными обновлениями правил sudo SSSD (при которых загружаются все правила, которые хранятся на сервере). Это значение должно быть больше, чем ldap_sudo_smart_refresh_interval

Полное обновление можно отключить, установив этот параметр в значение «0». Но должно быть включено либо интеллектуальное, либо полное обновление.

По умолчанию: 21600 (6 часов)

ldap_sudo_smart_refresh_interval (целое число)

Количество секунд, в течение которого SSSD ожидает перед выполнением интеллектуального обновления правил sudo (при котором загружаются все правила, USN которых больше самого высокого значения USN на сервере, которое в настоящее время известно SSSD). Если сервер не поддерживает атрибуты USN, используется атрибут modifyTimestamp.

Примечание: самое высокое значение USN может быть обновлено тремя заданиями: 1) полным и интеллектуальным обновлением sudo (если найдены обновлённые правила), 2) перечислением пользователей и групп (если оно включено и найдены обновлённые пользователи или группы) и 3) повторным подключением к серверу (по умолчанию каждые 15 минут, см. ldap_connection_expire_timeout).

Интеллектуальное обновление можно отключить, установив этот параметр в значение «0». Но должно быть включено либо интеллектуальное, либо полное обновление.

По умолчанию: 900 (15 минут)

ldap_sudo_random_offset (целое число)

Случайная задержка от 0 до настроенного значения добавляется к периодам интеллектуального и полного обновления каждый раз при планировании периодического задания. Значение указывается в секундах. Обратите внимание, что эта случайная задержка также применяется при первом запуске SSSD, что откладывает первое обновление правил sudo. Это увеличивает время, в течение которого правила sudo недоступны для использования.

Можно отключить эту задержку, установив значение «0».

По умолчанию: 0 (отключено)

ldap_sudo_use_host_filter (логическое значение)

Если параметр установлен в значение «true», SSSD будет загружать только те правила, которые применимы к этому компьютеру (на основе имён узлов и адресов узлов/сетей в формате IPv4 или IPv6). По умолчанию: true

ldap_sudo_hostnames (строка)

Разделённый пробелами список имён узлов или полных доменных имён, которые следует использовать для фильтрации правил. Если этот параметр имеет пустое значение, SSSD будет пытаться автоматически обнаружить имя узла и полное доменное имя.

Если значением ldap_sudo_use_host_filter является false, этот параметр ни на что не влияет.

По умолчанию: не указано

ldap_sudo_ip (строка)

Разделённый пробелами список адресов IPv4 или IPv6 узлов/сетей, которые следует использовать для фильтрации правил. Если этот параметр имеет пустое значение, SSSD будет пытаться автоматически обнаружить адреса.

Если значением ldap_sudo_use_host_filter является false, этот параметр ни на что не влияет.

По умолчанию: не указано

ldap_sudo_include_netgroups (логическое значение)

Если параметр установлен в значение «true», SSSD будет загружать все правила, которые содержат сетевую группу в атрибуте sudoHost. Если значением ldap_sudo_use_host_filter является false, этот параметр ни на что не влияет.

По умолчанию: true

ldap_sudo_include_regexp (логическое значение)

Если параметр установлен в значение «true», SSSD будет загружать все правила, которые содержат подстановочный знак в атрибуте sudoHost. Если значением ldap_sudo_use_host_filter является false, этот параметр ни на что не влияет.

Note

Использование подстановочного знака — крайне ресурсоёмкая вычислительная операция на стороне сервера LDAP!

По умолчанию: false

На этой справочной странице содержится только описание сопоставления имён атрибутов. Подробные сведения о семантике атрибутов, связанных с sudo, доступны на справочной странице sudoers.ldap(5)

## ПАРАМЕТРЫ AUTOFS
Некоторые из стандартных значений приведённых ниже параметров зависят от схемы LDAP.

ldap_autofs_map_master_name (строка)

Имя основной карты автоматического монтирования в LDAP. По умолчанию: auto.master

ldap_autofs_map_object_class (строка)

Класс объектов записи карты автоматического монтирования в LDAP. По умолчанию: nisMap (rfc2307, autofs_provider=ad), в ином случае — automountMap

ldap_autofs_map_name (строка)

Имя записи карты автоматического монтирования в LDAP. По умолчанию: nisMapName (rfc2307, autofs_provider=ad), в ином случае — automountMapName

ldap_autofs_entry_object_class (строка)

Класс объектов записи автоматического монтирования в LDAP. Запись обычно соответствует точке монтирования. По умолчанию: nisObject (rfc2307, autofs_provider=ad), в ином случае — automount

ldap_autofs_entry_key (строка)

Ключ записи автоматического монтирования в LDAP. Запись обычно соответствует точке монтирования. По умолчанию: cn (rfc2307, autofs_provider=ad), в ином случае — automountKey

ldap_autofs_entry_value (строка)

Ключ записи автоматического монтирования в LDAP. Запись обычно соответствует точке монтирования. По умолчанию: nisMapEntry (rfc2307, autofs_provider=ad), в ином случае — automountInformation

Следует учитывать, что средство автоматического монтирования выполняет чтение основной карты только при запуске, поэтому в случае внесения каких-либо изменений, связанных с autofs, в файл sssd.conf, обычно также потребуется перезапустить внутреннюю службу автоматического монтирования после перезапуска SSSD.

## ДОПОЛНИТЕЛЬНЫЕ ПАРАМЕТРЫ
Эти параметры поддерживаются доменами LDAP, но их следует использовать с осторожностью. Включайте их в конфигурацию, только если точно знаете, какой эффект это произведёт.

ldap_netgroup_search_base (строка)

Необязательное base DN, область поиска и фильтр LDAP для ограничения поисков LDAP для этого типа атрибутов. синтаксис:

```
search_base[?scope?[filter][?search_base?scope?[filter]]*]
```

Значением области может быть одно из следующих: «base», «onelevel» или «subtree». Описание работы области доступно в разделе 4.5.1.2 http://tools.ietf.org/html/rfc4511

Фильтр должен являться корректным фильтром поиска LDAP согласно спецификации http://www.ietf.org/rfc/rfc2254.txt

Примеры синтаксиса доступны в разделе примеров “ldap_search_base”.

По умолчанию: значение ldap_search_base

Обратите внимание, что указание области или фильтра не поддерживается для поиска на сервере Active Directory; он может привести к получению большого количества результатов и активировать расширение получения диапазонов (Range Retrieval) в ответе.

ldap_user_search_base (строка)

Необязательное base DN, область поиска и фильтр LDAP для ограничения поисков LDAP для этого типа атрибутов. синтаксис:

```
search_base[?scope?[filter][?search_base?scope?[filter]]*]
```

Значением области может быть одно из следующих: «base», «onelevel» или «subtree». Описание работы области доступно в разделе 4.5.1.2 http://tools.ietf.org/html/rfc4511

Фильтр должен являться корректным фильтром поиска LDAP согласно спецификации http://www.ietf.org/rfc/rfc2254.txt

Примеры синтаксиса доступны в разделе примеров “ldap_search_base”.

По умолчанию: значение ldap_search_base

Обратите внимание, что указание области или фильтра не поддерживается для поиска на сервере Active Directory; он может привести к получению большого количества результатов и активировать расширение получения диапазонов (Range Retrieval) в ответе.

ldap_group_search_base (строка)

Необязательное base DN, область поиска и фильтр LDAP для ограничения поисков LDAP для этого типа атрибутов. синтаксис:

```
search_base[?scope?[filter][?search_base?scope?[filter]]*]
```

Значением области может быть одно из следующих: «base», «onelevel» или «subtree». Описание работы области доступно в разделе 4.5.1.2 http://tools.ietf.org/html/rfc4511

Фильтр должен являться корректным фильтром поиска LDAP согласно спецификации http://www.ietf.org/rfc/rfc2254.txt

Примеры синтаксиса доступны в разделе примеров “ldap_search_base”.

По умолчанию: значение ldap_search_base

Обратите внимание, что указание области или фильтра не поддерживается для поиска на сервере Active Directory; он может привести к получению большого количества результатов и активировать расширение получения диапазонов (Range Retrieval) в ответе.

Note

Если параметр “ldap_use_tokengroups” включён, к поиску в Active Directory не будут применяться какие-либо ограничения, он вернёт все данные об участии в группах, даже без сопоставления GID. Рекомендуется отключить эту возможность, если имена групп отображаются некорректно.

ldap_sudo_search_base (строка)

Необязательное base DN, область поиска и фильтр LDAP для ограничения поисков LDAP для этого типа атрибутов. синтаксис:

```
search_base[?scope?[filter][?search_base?scope?[filter]]*]
```

Значением области может быть одно из следующих: «base», «onelevel» или «subtree». Описание работы области доступно в разделе 4.5.1.2 http://tools.ietf.org/html/rfc4511

Фильтр должен являться корректным фильтром поиска LDAP согласно спецификации http://www.ietf.org/rfc/rfc2254.txt

Примеры синтаксиса доступны в разделе примеров “ldap_search_base”.

По умолчанию: значение ldap_search_base

Обратите внимание, что указание области или фильтра не поддерживается для поиска на сервере Active Directory; он может привести к получению большого количества результатов и активировать расширение получения диапазонов (Range Retrieval) в ответе.

ldap_autofs_search_base (строка)

Необязательное base DN, область поиска и фильтр LDAP для ограничения поисков LDAP для этого типа атрибутов. синтаксис:

```
search_base[?scope?[filter][?search_base?scope?[filter]]*]
```

Значением области может быть одно из следующих: «base», «onelevel» или «subtree». Описание работы области доступно в разделе 4.5.1.2 http://tools.ietf.org/html/rfc4511

Фильтр должен являться корректным фильтром поиска LDAP согласно спецификации http://www.ietf.org/rfc/rfc2254.txt

Примеры синтаксиса доступны в разделе примеров “ldap_search_base”.

По умолчанию: значение ldap_search_base

Обратите внимание, что указание области или фильтра не поддерживается для поиска на сервере Active Directory; он может привести к получению большого количества результатов и активировать расширение получения диапазонов (Range Retrieval) в ответе.

## ОТРАБОТКА ОТКАЗА
Функция обработки отказа позволяет внутренним серверам автоматически переключаться на другой сервер в случае сбоя текущего сервера.

### Синтаксис обработки отказа
Список серверов разделяется запятыми; рядом с запятыми допускается любое количество пробелов. Серверы перечислены в порядке приоритета. Список может содержать любое количество серверов.

Для каждого параметра конфигурации с поддержкой отработки отказа существуют два варианта: основной (primary) и резервный (backup). Смысл в том, что приоритет получают серверы из списка основных, а поиск резервных серверов выполняется только в том случае, если не удалось связаться с основными серверами. Если выбран резервный сервер, устанавливается 31-секундный тайм-аут. По его истечении SSSD будет периодически пытаться восстановить подключение к одному из основных серверов. Если попытка будет успешной, текущий активный (резервный) сервер будет заменён на основной.

### Механизм отработки отказа
Механизм отработки отказа различает компьютеры и службы. Внутренний сервер сначала пытается разрешить имя узла указанного компьютера; если попытка разрешения завершается неудачей, компьютер считается работающим в автономном режиме. Дальнейшие попытки подключиться к этому компьютеру для доступа к другим службам не выполняются. Если попытка разрешения успешна, внутренний сервер пытается подключиться к службе на этом компьютере. Если попытка подключения к службе завершается неудачей, работающей в автономном режиме будет считаться только эта служба, и внутренний сервер автоматически переключится на следующую службу. Компьютер продолжает считаться находящимся в сети, возможны дальнейшие попытки подключения к другим службам на нём.

Дальнейшие попытки подключения к компьютерам или службам, обозначенным, как работающие в автономном режиме, выполняются по истечении определённого периода времени; в настоящее время это значения является жёстко заданным и составляет 30 секунд.

Если список компьютеров исчерпан, внутренний сервер целиком переключается на автономный режим и затем пытается восстановить подключение каждые 30 секунд.

### Тайм-ауты и тонкая настройка отработки отказа
Разрешение имени сервера, к которому следует подключиться, может быть выполнено как за один запрос DNS, так и за несколько шагов, например, при поиске корректного сайта или переборе нескольких имён узлов, если некоторые из настроенных серверов недоступны. Для более сложных сценариев требуется больше времени, и SSSD требуется соблюсти баланс между предоставлением достаточного количества времени для завершения процесса разрешения и не слишком долгим ожиданием перед переходом в автономный режим. Если в журнале отладки SSSD есть данные о том, что время на разрешение сервера истекло до обращения к реальному серверу, рекомендуется изменить значения тайм-аутов.

В этом разделе перечислены доступные настраиваемые параметры. Их описание содержится на справочной странице sssd.conf(5).

dns_resolver_server_timeout

Время (в миллисекундах), в течение которого SSSD будет обращаться к одному серверу DNS перед переходом к следующему. По умолчанию: 1000

dns_resolver_op_timeout

Время (в секундах), в течение которого SSSD будет пытаться разрешить один запрос DNS (например, разрешение имени узла или записи SRV) перед переходом к следующему имени узла или домену обнаружения. По умолчанию: 3

dns_resolver_timeout

Как долго SSSD будет пытаться разрешить резервную службу. Это разрешение службы может включать несколько внутренних шагов, например, при разрешении запросов SRV DNS или определении расположения сайта. По умолчанию: 6

Для поставщиков данных на основе LDAP операция разрешения выполняется как часть операции установления LDAP-соединения. Следовательно, тайм-аут “ldap_opt_timeout” также следует установить в большее значение, чем “dns_resolver_timeout”, который, в свою очередь, следует установить в большее значение, чем “dns_resolver_op_timeout”, который должен быть больше “dns_resolver_server_timeout”.

## ОБНАРУЖЕНИЕ СЛУЖБ
Функция обнаружения служб позволяет внутренним серверам автоматически находить серверы, к которым следует подключиться, с помощью специального запроса DNS. Эта возможность не поддерживается для резервных серверов.

### Конфигурация
Если серверы не указаны, внутренний сервер будет автоматически использовать обнаружение служб, чтобы попытаться найти сервер. Пользователь может (необязательно) задать использование сразу и фиксированных адресов серверов, и обнаружения служб, вставив в список серверов специальное ключевое слово “_srv_”. Обработка выполняется в порядке приоритета. Эта возможность полезна, например, если пользователь предпочитает использовать обнаружение служб всегда, когда это возможно, и подключаться к определённому серверу только в тех случаях, когда серверы не удалось обнаружить с помощью DNS.

### Имя домена
Дополнительные сведения доступны в описании параметра “dns_discovery_domain” на справочной странице sssd.conf(5).

### Протокол
В запросах обычно указан протокол _tcp. Исключения задокументированы в описаниях соответствующих параметров.

### См. также
Дополнительные сведения о механизме обнаружения служб доступны в RFC 2782.

## СОПОСТАВЛЕНИЕ ИДЕНТИФИКАТОРОВ
Возможность сопоставления идентификаторов позволяет SSSD выступать в роли клиента Active Directory, при этом администраторам не требуется расширять атрибуты пользователя с целью поддержки атрибутов POSIX для идентификаторов пользователей и групп.

ПРИМЕЧАНИЕ: когда сопоставление идентификаторов включено, атрибуты uidNumber и gidNumber игнорируются. Это позволяет избежать возможных конфликтов между значениями, назначенными автоматически, и значениями, назначенными вручную. Если требуется использовать значения, назначенные вручную, следует назначить вручную ВСЕ значения.

Обратите внимание, что изменение параметров конфигурации, связанных с сопоставлением идентификаторов, приведёт к изменению идентификаторов пользователей и групп. В настоящее время SSSD не поддерживает изменение идентификаторов, поэтому базу данных SSSD необходимо удалить. Так как кэшированные пароли также хранятся в в этой базе данных, её удаление должно выполняться только тогда, когда серверы проверки подлинности доступны; в ином случае пользователи могут быть заблокированы. Для кэширования пароля необходимо выполнить проверку подлинности. Для удаления базы данных недостаточно использовать sss_cache(8), на самом деле требуются следующие шаги:

•Проверка доступности удалённых серверов

•Остановка службы SSSD

•Удаление базы данных

•Запуск службы SSSD

Более того, поскольку смена идентификаторов может сделать необходимым изменение других свойств системы, таких как параметры владения файлами и каталогами, рекомендуется спланировать всё заранее и тщательно протестировать конфигурацию сопоставления идентификаторов.

### Алгоритм сопоставления
Active Directory предоставляет objectSID для всех объектов пользователей и групп в каталоге. Этот objectSID можно разбить на компоненты, которые соответствуют идентификатору домена Active Directory и относительному идентификатору (RID) объекта пользователя или группы.

The SSSD ID-mapping algorithm takes a range of available UIDs and divides it into equally-sized component sections - called "slices". Each slice represents the space available to an Active Directory domain.

Когда запись пользователя или группы определённого домена встречается SSSD в первый раз, SSSD выделяет один из доступных срезов для этого домена. Чтобы такое назначение срезов воспроизводилось на разных клиентских компьютерах, предусмотрен следующий алгоритм выбора среза:

Строка SID передаётся через алгоритм murmurhash3 для её преобразования в 32-битное хэшированное значение. Затем для выбора среза это значение с общим количеством срезов берётся по модулю.

ПРИМЕЧАНИЕ: между хэшем и полученным далее модулем возможны конфликты. В таких случаях будет выбран следующий доступный срез, но на других компьютерах может быть невозможно воспроизвести точно такой же набор срезов (так как порядок, в котором они встречаются, определяет срез). В такой ситуации рекомендуется либо переключиться на использование явных атрибутов POSIX в Active Directory (отключить сопоставление идентификаторов), либо настроить стандартный домен, чтобы гарантировать согласованность хотя бы для одного. См. “Конфигурация”.

### Конфигурация
Минимальная конфигурация (в разделе “[domain/DOMAINNAME]”):

```
ldap_id_mapping = True
ldap_schema = ad
```

При стандартной конфигурации настраивается 10000 срезов, каждый из которых может содержать до 200000 идентификаторов, начиная от 200000 и до 2000200000. Этого должно быть достаточно для большинства вариантов развёртывания.

Дополнительная конфигурация

ldap_idmap_range_min (целое число)

Указывает нижнюю (включительно) границу диапазона идентификаторов POSIX, которые следует использовать для сопоставления SID пользователей и групп Active Directory. Это первый идентификатор POSIX, который можно использовать для сопоставления. ПРИМЕЧАНИЕ: этот параметр отличается от “min_id”: “min_id” работает как фильтр ответов на запросы к этому домену, в то время как этот параметр управляет диапазоном назначения идентификаторов. Это тонкое различие, но рекомендуется устанавливать значение “min_id” меньшим или равным значению “ldap_idmap_range_min”

По умолчанию: 200000

ldap_idmap_range_max (целое число)

Указывает верхнюю (не включительно) границу диапазона идентификаторов POSIX, которые следует использовать для сопоставления идентификаторов SID пользователей и групп Active Directory. Это первый идентификатор POSIX, который нельзя использовать для сопоставления, т.е. данный идентификатор на единицу больше последнего, которым можно воспользоваться для сопоставления. ПРИМЕЧАНИЕ: этот параметр отличается от “max_id”: “max_id” работает как фильтр ответов на запросы к этому домену, в то время как этот параметр управляет диапазоном назначения идентификаторов. Это тонкое различие, но рекомендуется устанавливать значение “max_id” большим или равным значению “ldap_idmap_range_max”

По умолчанию: 2000200000

ldap_idmap_range_size (целое число)

Указывает количество идентификаторов, доступных для каждого среза. Если размер диапазона не делится нацело на минимальное и максимальное значения, будет создано столько полных срезов, сколько возможно. ПРИМЕЧАНИЕ: значение этого параметра должно быть не меньше значения максимального RID пользователя, запланированного для использования на сервере Active Directory. Поиск записи пользователя и вход завершатся неудачей для всех пользователей, RID которых превышает значение этого параметра.

For example, if your most recently-added Active Directory user has objectSid=S-1-5-21-2153326666-2176343378-3404031434-1107, “ldap_idmap_range_size” must be at least 1108 as range size is equal to maximal RID minus minimal RID plus one (e.g. 1108 = 1107 - 0 + 1).

Для будущего расширения важно всё спланировать заранее,поскольку изменение этого значения приведёт к изменению всех сопоставлений идентификаторов в системе и, следовательно, изменению локальных идентификаторов пользователей.

По умолчанию: 200000

ldap_idmap_default_domain_sid (строка)

Позволяет указать SID стандартного домена. Это гарантирует, что этот домен всегда будет назначаться нулевому срезу в карте идентификаторов, в обход описанного выше алгоритма murmurhash. По умолчанию: не задано

ldap_idmap_default_domain (строка)

Позволяет указать имена домена по умолчанию. По умолчанию: не задано

ldap_idmap_autorid_compat (логическое значение)

Изменяет поведения алгоритма сопоставления идентификаторов, делая его более похожим на алгоритм “idmap_autorid” winbind. When this option is configured, domains will be allocated starting with slice zero and increasing monotonically with each additional domain.

ПРИМЕЧАНИЕ: этот алгоритм является недетерминированным (он зависит от порядка, в котором запрашиваются пользователи и группы). Если этот режим требуется для обеспечения совместимости с компьютерами, где работает winbind, рекомендуется также использовать параметр “ldap_idmap_default_domain_sid”, чтобы гарантировать постоянное выделение хотя бы одного домена для нулевого среза.

По умолчанию: false

ldap_idmap_helper_table_size (целое число)

Максимальное количество вторичных срезов, которое можно использовать при сопоставлении идентификатору UNIX номера SID. Примечание: дополнительные вторичные срезы могут быть созданы, когда выполняется сопоставление SID с идентификатором UNIX и часть RID SID находится за пределами диапазона для уже созданных вторичных срезов. Если значение параметра ldap_idmap_helper_table_size равно нулю, дополнительные вторичные срезы не будут созданы.

По умолчанию: 10

### Известные SID
SSSD поддерживает поиск имён известных SID, то есть SID со специальным жёстко заданным значением. Так как типичные пользователи и группы, связанные с этими известными SID, не имеют аналогов в среде Linux/UNIX, для этих объектов недоступны идентификаторы POSIX.

Пространство имён SID организовано по центрам, которые можно рассматривать как разные домены. Для известных SID используются следующие центры

•Null Authority

•World Authority

•Local Authority

•Creator Authority

•Mandatory Label Authority

•Authentication Authority

•NT Authority

•Built-in

Записанные прописными буквами варианты этих имён используются в качестве имён доменов при возврате полных имён известных SID.

Так как некоторые утилиты позволяют изменять данные управления доступом на основе SID с помощью имени, а не непосредственного использования SID, SSSD также поддерживает поиск SID по имени. Чтобы избежать конфликтов, для поиска известных SID разрешается использовать только полные имена. Следовательно, нельзя использовать в качестве имён доменов в sssd.conf следующие названия: “NULL AUTHORITY”, “WORLD AUTHORITY”, “ LOCAL AUTHORITY”, “CREATOR AUTHORITY”, “MANDATORY LABEL AUTHORITY”, “AUTHENTICATION AUTHORITY”, “NT AUTHORITY” и “BUILTIN”.

## ПРИМЕР
В следующем примере предполагается, что конфигурация SSSD корректна и что установка LDAP выполнена для одного из доменов в разделе [domains].

```
[domain/LDAP]
id_provider = ldap
auth_provider = ldap
ldap_uri = ldap://ldap.mydomain.org
ldap_search_base = dc=mydomain,dc=org
ldap_tls_reqcert = demand
cache_credentials = true
```

## ПРИМЕР ФИЛЬТРА ДОСТУПА LDAP
В следующем примере предполагается, что конфигурация SSSD корректна и что используется ldap_access_order=lockout.

```
[domain/LDAP]
id_provider = ldap
auth_provider = ldap
access_provider = ldap
ldap_access_order = lockout
ldap_pwdlockout_dn = cn=ppolicy,ou=policies,dc=mydomain,dc=org
ldap_uri = ldap://ldap.mydomain.org
ldap_search_base = dc=mydomain,dc=org
ldap_tls_reqcert = demand
cache_credentials = true
```

## ПРИМЕЧАНИЯ
Описания некоторых параметров конфигурации на этой справочной странице основаны на справочной странице ldap.conf(5) из дистрибутива OpenLDAP 2.4.

## СМ. ТАКЖЕ
sssd(8), sssd.conf(5), sssd-ldap(5), sssd-ldap-attributes(5), sssd-krb5(5), sssd-simple(5), sssd-ipa(5), sssd-ad(5), sssd-sudo(5), sssd-session-recording(5), sss_cache(8), sss_debuglevel(8), sss_obfuscate(8), sss_seed(8), sssd_krb5_locator_plugin(8), sss_ssh_authorizedkeys(8), sss_ssh_knownhostsproxy(8), sssd-ifp(5), pam_sss(8). sss_rpcidmapd(5)

## AUTHORS
Восходящий источник («апстрим») SSSD — https://github.com/SSSD/sssd/


sssd-ldap-attributes

title: sssd-ldap-attributes(5)

text:
# sssd-ldap-attributes(5)

## NAME
sssd-ldap-attributes - Поставщик данных LDAP SSSD: атрибуты сопоставления

## ОПИСАНИЕ
На этой справочной странице представлено описание атрибутов сопоставления поставщика данных LDAP SSSD sssd-ldap(5). Подробные сведения о параметрах настройки поставщика данных LDAP SSSD доступны на справочной странице sssd-ldap(5).

## АТРИБУТЫ ПОЛЬЗОВАТЕЛЯ
ldap_user_object_class (строка)

Класс объектов записи пользователя в LDAP. По умолчанию: posixAccount

ldap_user_name (строка)

Атрибут LDAP, соответствующий имени пользователя для входа. По умолчанию: uid (rfc2307, rfc2307bis и IPA), sAMAccountName (AD)

ldap_user_uid_number (строка)

Атрибут LDAP, соответствующий идентификатору пользователя. По умолчанию: uidNumber

ldap_user_gid_number (строка)

Атрибут LDAP, соответствующий идентификатору основной группы пользователя. По умолчанию: gidNumber

ldap_user_primary_group (строка)

Атрибут основной группы Active Directory для сопоставления ID. Обратите внимание, что этот атрибут следует устанавливать только вручную, если запущен поставщик “ldap” с сопоставлением ID. По умолчанию: не задано (LDAP), primaryGroupID (AD)

ldap_user_gecos (строка)

Атрибут LDAP, соответствующий полю gecos пользователя. По умолчанию: gecos

ldap_user_home_directory (строка)

Атрибут LDAP, который содержит имя домашнего каталога пользователя. По умолчанию: homeDirectory (LDAP и IPA), unixHomeDirectory (AD)

ldap_user_shell (строка)

Атрибут LDAP, который содержит путь к стандартной оболочке пользователя. По умолчанию: loginShell

ldap_user_uuid (строка)

Атрибут LDAP, который содержит UUID/GUID объекта пользователя LDAP. По умолчанию: не задано в общем случае, objectGUID для AD и ipaUniqueID для IPA

ldap_user_objectsid (строка)

Атрибут LDAP, который содержит objectSID объекта пользователя LDAP. Обычно требуется только для серверов Active Directory. По умолчанию: objectSid для Active Directory, не задано для других серверов.

ldap_user_modify_timestamp (строка)

Атрибут LDAP, который содержит отметку времени последнего изменения родительского объекта. По умолчанию: modifyTimestamp

ldap_user_shadow_last_change (строка)

Если используется ldap_pwd_policy=shadow, этот параметр содержит имя атрибута LDAP, соответствующего сопряжённому shadow(5) (дата последней смены пароля). По умолчанию: shadowLastChange

ldap_user_shadow_min (строка)

Если используется ldap_pwd_policy=shadow, этот параметр содержит имя атрибута LDAP, соответствующего сопряжённому shadow(5) (минимальный срок действия пароля). По умолчанию: shadowMin

ldap_user_shadow_max (строка)

Если используется ldap_pwd_policy=shadow, этот параметр содержит имя атрибута LDAP, соответствующего сопряжённому shadow(5) (максимальный срок действия пароля). По умолчанию: shadowMax

ldap_user_shadow_warning (строка)

Если используется ldap_pwd_policy=shadow, этот параметр содержит имя атрибута LDAP, соответствующего сопряжённому shadow(5) (срок предупреждения о пароле). По умолчанию: shadowWarning

ldap_user_shadow_inactive (строка)

Если используется ldap_pwd_policy=shadow, этот параметр содержит имя атрибута LDAP, соответствующего сопряжённому shadow(5) (срок неактивности пароля). По умолчанию: shadowInactive

ldap_user_shadow_expire (строка)

Если используется ldap_pwd_policy=shadow или ldap_account_expire_policy=shadow, этот параметр содержит имя атрибута LDAP, соответствующего сопряжённому shadow(5) (дата истечения срока действия учётной записи). По умолчанию: shadowExpire

ldap_user_krb_last_pwd_change (строка)

Если используется ldap_pwd_policy=mit_kerberos, этот параметр содержит имя атрибута LDAP, хранящего дату и время последней смены пароля в kerberos. По умолчанию: krbLastPwdChange

ldap_user_krb_password_expiration (строка)

Если используется ldap_pwd_policy=mit_kerberos, этот параметр содержит имя атрибута LDAP, хранящего дату и время истечения срока действия текущего пароля. По умолчанию: krbPasswordExpiration

ldap_user_ad_account_expires (строка)

Если используется ldap_account_expire_policy=ad, этот параметр содержит имя атрибута LDAP, хранящего время истечения срока действия учётной записи. По умолчанию: accountExpires

ldap_user_ad_user_account_control (строка)

Если используется ldap_account_expire_policy=ad, этот параметр содержит имя атрибута LDAP, хранящего битовое поле управления учётной записью пользователя. По умолчанию: userAccountControl

ldap_ns_account_lock (строка)

Если используется ldap_account_expire_policy=rhds или эквивалент, этот параметр определяет, разрешён ли доступ. По умолчанию: nsAccountLock

ldap_user_nds_login_disabled (строка)

Если используется ldap_account_expire_policy=nds, этот атрибут определяет, разрешён ли доступ. По умолчанию: loginDisabled

ldap_user_nds_login_expiration_time (строка)

Если используется ldap_account_expire_policy=nds, этот атрибут определяет, до какой даты предоставляется доступ. По умолчанию: loginDisabled

ldap_user_nds_login_allowed_time_map (строка)

Если используется ldap_account_expire_policy=nds, этот атрибут определяет, в какие часы дней недели предоставляется доступ. По умолчанию: loginAllowedTimeMap

ldap_user_principal (строка)

Атрибут LDAP, который содержит имя участника-пользователя Kerberos (UPN) пользователя. По умолчанию: krbPrincipalName

ldap_user_extra_attrs (строка)

Разделённый запятыми список атрибутов LDAP, которые SSSD получит вместе с обычным набором атрибутов пользователя. Список может содержать либо только имена атрибутов LDAP, либо разделённые двоеточиями кортежи с именем атрибута кэша SSSD и именем атрибута LDAP. Если указано только имя атрибута LDAP, атрибут сохраняется в кэш буквально. В средах, где настроено несколько доменов SSSD с разными схемами LDAP, может быть необходимо использование пользовательского имени атрибута SSSD.

Обратите внимание, что несколько имён атрибутов зарезервировано SSSD (в частности, атрибут “name”). SSSD сообщит об ошибке, если какие-либо из них будут использованы в качестве имени дополнительного атрибута.

Примеры:

ldap_user_extra_attrs = telephoneNumber

Сохранить атрибут “telephoneNumber” из LDAP в кэш как “telephoneNumber”.

ldap_user_extra_attrs = phone:telephoneNumber

Сохранить атрибут “telephoneNumber” из LDAP в кэш как “phone”.

По умолчанию: не задано

ldap_user_ssh_public_key (строка)

Атрибут LDAP, который содержит открытые ключи SSH пользователя. По умолчанию: sshPublicKey

ldap_user_fullname (строка)

Атрибут LDAP, соответствующий полному имени пользователя. По умолчанию: cn

ldap_user_member_of (строка)

Атрибут LDAP со списком групп, участником которых является пользователь. По умолчанию: memberOf

ldap_user_authorized_service (строка)

Если access_provider=ldap и ldap_access_order=authorized_service, SSSD будет использовать наличие атрибута authorizedService в записи пользователя LDAP для определения привилегий доступа. Сначала определяются явные запреты (!svc). Затем SSSD выполняет поиск явных разрешений (svc), а после этого — поиск общих разрешений, allow_all (*).

Обратите внимание, что параметр конфигурации ldap_access_order должен включать “authorized_service”, чтобы можно было использовать параметр ldap_user_authorized_service.

В некоторых дистрибутивах (например, Fedora-29+ или RHEL-8) служба PAM “systemd-user” всегда является частью процесса входа в систему. Следовательно, когда используется управление доступом на основе данных служб, следует добавить службу “systemd-user” в список разрешённых служб.

По умолчанию: authorizedService

ldap_user_authorized_host (строка)

Если access_provider=ldap и ldap_access_order=host, SSSD будет использовать наличие атрибута host в записи пользователя LDAP для определения привилегий доступа. Сначала определяются явные запреты (!host). Затем SSSD выполняет поиск явных разрешений (host), а после этого — поиск общих разрешений, allow_all (*).

Обратите внимание, что параметр конфигурации ldap_access_order должен включать “host”, чтобы можно было использовать параметр ldap_user_authorized_host.

По умолчанию: host

ldap_user_authorized_rhost (строка)

Если access_provider=ldap и ldap_access_order=rhost, SSSD будет использовать наличие атрибута rhost в записи пользователя LDAP для определения привилегий доступа. Аналогично процессу проверки узла. Сначала определяются явные запреты (!rhost). Затем SSSD выполняет поиск явных разрешений (rhost), а после этого — поиск общих разрешений, allow_all (*).

Обратите внимание, что параметр конфигурации ldap_access_order должен включать “rhost”, чтобы можно было использовать параметр ldap_user_authorized_rhost.

По умолчанию: rhost

ldap_user_certificate (строка)

Имя атрибута LDAP, содержащего сертификат X509 пользователя. По умолчанию: userCertificate;binary

ldap_user_email (строка)

Имя атрибута LDAP, который содержит адрес электронной почты пользователя. Note: If an email address of a user conflicts with an email address or fully qualified name of another user, then SSSD will not be able to serve those users properly. This option allows users to login by (1) username, and (2) e-mail address. If for some reason several users need to share the same email address then set this option to a nonexistent attribute name in order to disable user lookup/login by email.

По умолчанию: mail

ldap_user_passkey (string)

Name of the LDAP attribute containing the passkey mapping data of the user. Default: passkey (LDAP), ipaPassKey (IPA), altSecurityIdentities (AD)

## АТРИБУТЫ ГРУППЫ
ldap_group_object_class (строка)

Класс объектов записи группы в LDAP. По умолчанию: posixGroup

ldap_group_name (строка)

The LDAP attribute that corresponds to the group name. In an environment with nested groups, this value must be an LDAP attribute which has a unique name for every group. This requirement includes non-POSIX groups in the tree of nested groups. По умолчанию: cn (rfc2307, rfc2307bis и IPA), sAMAccountName (AD)

ldap_group_gid_number (строка)

Атрибут LDAP, соответствующий идентификатору группы. По умолчанию: gidNumber

ldap_group_member (строка)

Атрибут LDAP, который содержит имена участников группы. По умолчанию: memberuid (rfc2307) / member (rfc2307bis)

ldap_group_uuid (строка)

Атрибут LDAP, который содержит UUID/GUID объекта группы LDAP. По умолчанию: не задано в общем случае, objectGUID для AD и ipaUniqueID для IPA

ldap_group_objectsid (строка)

Атрибут LDAP, который содержит objectSID объекта группы LDAP. Обычно требуется только для серверов Active Directory. По умолчанию: objectSid для Active Directory, не задано для других серверов.

ldap_group_modify_timestamp (строка)

Атрибут LDAP, который содержит отметку времени последнего изменения родительского объекта. По умолчанию: modifyTimestamp

ldap_group_type (строка)

Атрибут LDAP, который содержит целое значение, обозначающее тип группы, и, возможно, другие флаги. Этот атрибут в настоящее время используется только поставщиком данных AD для определения того, является ли группа группой, локальной в домене, и должна ли быть отфильтрована для доверенных доменов.

По умолчанию: groupType для поставщика данных AD, в ином случае не задано

ldap_group_external_member (строка)

Атрибут LDAP, который ссылается на участников группы, которые определены во внешнем домене. В настоящее время поддерживаются только внешние участники IPA. По умолчанию: ipaExternalMember для поставщика данных IPA, в ином случае не задано.

## АТРИБУТЫ СЕТЕВОЙ ГРУППЫ
ldap_netgroup_object_class (строка)

Класс объектов записи сетевой группы в LDAP. В поставщике данных IPA следует использовать ipa_netgroup_object_class.

По умолчанию: nisNetgroup

ldap_netgroup_name (строка)

Атрибут LDAP, соответствующий имени сетевой группы. В поставщике данных IPA следует использовать ipa_netgroup_name.

По умолчанию: cn

ldap_netgroup_member (строка)

Атрибут LDAP, который содержит имена участников сетевой группы. В поставщике данных IPA следует использовать ipa_netgroup_member.

По умолчанию: memberNisNetgroup

ldap_netgroup_triple (строка)

Атрибут LDAP, который содержит тройки (узел, пользователь, домен) сетевых групп. Этот параметр недоступен в поставщике данных IPA.

По умолчанию: nisNetgroupTriple

ldap_netgroup_modify_timestamp (строка)

Атрибут LDAP, который содержит отметку времени последнего изменения родительского объекта. Этот параметр недоступен в поставщике данных IPA.

По умолчанию: modifyTimestamp

## АТРИБУТЫ УЗЛА
ldap_host_object_class (строка)

Класс объектов записи узла в LDAP. По умолчанию: ipService

ldap_host_name (строка)

Атрибут LDAP, соответствующий имени узла. По умолчанию: cn

ldap_host_fqdn (строка)

Атрибут LDAP, соответствующий полному доменному имени узла. По умолчанию: fqdn

ldap_host_serverhostname (строка)

Атрибут LDAP, соответствующий имени узла. По умолчанию: serverHostname

ldap_host_member_of (строка)

Атрибут LDAP со списком групп, участником которых является узел. По умолчанию: memberOf

ldap_host_ssh_public_key (строка)

Атрибут LDAP, который содержит открытые ключи SSH узла. По умолчанию: sshPublicKey

ldap_host_uuid (строка)

Атрибут LDAP, который содержит UUID/GUID объекта узла LDAP. По умолчанию: не задано

## АТРИБУТЫ СЛУЖБЫ
ldap_service_object_class (строка)

Класс объектов записи службы в LDAP. По умолчанию: ipService

ldap_service_name (строка)

Атрибут LDAP, который содержит имя атрибутов службы и их псевдонимы. По умолчанию: cn

ldap_service_port (строка)

Атрибут LDAP, который содержит порт, управляемый этой службой. По умолчанию: ipServicePort

ldap_service_proto (строка)

Атрибут LDAP, который содержит протоколы, поддерживаемые этой службой. По умолчанию: ipServiceProtocol

## АТРИБУТЫ SUDO
ldap_sudorule_object_class (строка)

Класс объектов записи правила sudo в LDAP. По умолчанию: sudoRole

ldap_sudorule_name (строка)

Атрибут LDAP, соответствующий имени правила sudo. По умолчанию: cn

ldap_sudorule_command (строка)

Атрибут LDAP, соответствующий имени команды. По умолчанию: sudoCommand

ldap_sudorule_host (строка)

Атрибут LDAP, соответствующий имени узла (или IP-адресу узла, IP-сети узла или сетевой группе узла) По умолчанию: sudoHost

ldap_sudorule_user (строка)

Атрибут LDAP, соответствующий имени пользователя (или UID, имени группы или сетевой группе пользователя) По умолчанию: sudoUser

ldap_sudorule_option (строка)

Атрибут LDAP, соответствующий параметрам SUDO. По умолчанию: sudoOption

ldap_sudorule_runasuser (строка)

Атрибут LDAP, соответствующий имени пользователя, от имени которого могут выполняться команды. По умолчанию: sudoRunAsUser

ldap_sudorule_runasgroup (строка)

Атрибут LDAP, соответствующий имени группы или GID группы, от имени которой могут выполняться команды. По умолчанию: sudoRunAsGroup

ldap_sudorule_notbefore (строка)

Атрибут LDAP, соответствующий дате и времени начала действия правила SUDO. По умолчанию: sudoNotBefore

ldap_sudorule_notafter (строка)

Атрибут LDAP, соответствующий дате и времени истечения срока действия правила sudo. По умолчанию: sudoNotAfter

ldap_sudorule_order (строка)

Атрибут LDAP, соответствующий порядковому номеру правила. По умолчанию: sudoOrder

## АТРИБУТЫ AUTOFS
ldap_autofs_map_object_class (строка)

Класс объектов записи карты автоматического монтирования в LDAP. По умолчанию: nisMap (rfc2307, autofs_provider=ad), в ином случае — automountMap

ldap_autofs_map_name (строка)

Имя записи карты автоматического монтирования в LDAP. По умолчанию: nisMapName (rfc2307, autofs_provider=ad), в ином случае — automountMapName

ldap_autofs_entry_object_class (строка)

Класс объектов записи автоматического монтирования в LDAP. Запись обычно соответствует точке монтирования. По умолчанию: nisObject (rfc2307, autofs_provider=ad), в ином случае — automount

ldap_autofs_entry_key (строка)

Ключ записи автоматического монтирования в LDAP. Запись обычно соответствует точке монтирования. По умолчанию: cn (rfc2307, autofs_provider=ad), в ином случае — automountKey

ldap_autofs_entry_value (строка)

Ключ записи автоматического монтирования в LDAP. Запись обычно соответствует точке монтирования. По умолчанию: nisMapEntry (rfc2307, autofs_provider=ad), в ином случае — automountInformation

## АТРИБУТЫ IP-УЗЛА
ldap_iphost_object_class (строка)

Класс объектов записи IP-узла в LDAP. По умолчанию: ipHost

ldap_iphost_name (строка)

Атрибут LDAP, который содержит имя атрибутов IP-узла и их псевдонимы. По умолчанию: cn

ldap_iphost_number (строка)

Атрибут LDAP, который содержит адрес IP-узла. По умолчанию: ipHostNumber

## АТРИБУТЫ IP-СЕТИ
ldap_ipnetwork_object_class (строка)

Класс объектов записи IP-сети в LDAP. По умолчанию: ipNetwork

ldap_ipnetwork_name (строка)

Атрибут LDAP, который содержит имя атрибутов IP-сети и их псевдонимы. По умолчанию: cn

ldap_ipnetwork_number (строка)

Атрибут LDAP, который содержит адрес IP-сети. По умолчанию: ipNetworkNumber

## СМ. ТАКЖЕ
sssd(8), sssd.conf(5), sssd-ldap(5), sssd-ldap-attributes(5), sssd-krb5(5), sssd-simple(5), sssd-ipa(5), sssd-ad(5), sssd-sudo(5), sssd-session-recording(5), sss_cache(8), sss_debuglevel(8), sss_obfuscate(8), sss_seed(8), sssd_krb5_locator_plugin(8), sss_ssh_authorizedkeys(8), sss_ssh_knownhostsproxy(8), sssd-ifp(5), pam_sss(8). sss_rpcidmapd(5)

## AUTHORS
Восходящий источник («апстрим») SSSD — https://github.com/SSSD/sssd/