semanage-user

title: semanage-user(8)

text:
# semanage-user(8)

## ИМЯ
semanage-user - утилита для управления политикой SELinux, предназначенная для сопоставления пользователей

## ОБЗОР
semanage user [-h] [-n] [-N] [-S STORE] [ --add ( -L LEVEL -R ROLES -r RANGE SEUSER) | --delete SEUSER | --deleteall | --extract | --list [-C] | --modify ( -L LEVEL -R ROLES -r RANGE SEUSER ) ]

## ОПИСАНИЕ
semanage используется для настройки определённых элементов политики SELinux без необходимости изменения или перекомпиляции исходного текста политики. Команда semanage user управляет сопоставлением пользователей SELinux с ролями и уровнями MLS/MCS.

## ПАРАМЕТРЫ
-h, --help

показать это справочное сообщение и выйти

-n, --noheading

не показывать заголовок при выводе указанного типа объекта

-N, --noreload

не перезагружать политику после фиксации

-S STORE, --store STORE

выбрать для управления альтернативное хранилище политики SELinux

-C, --locallist

вывести список локальных настроек

-a, --add

добавить запись указанного типа объекта

-d, --delete

удалить запись указанного типа объекта

-m, --modify

изменить запись указанного типа объекта

-l, --list

вывести список записей указанного типа объекта

-E, --extract

извлечь настраиваемые команды для использования в транзакции

-D, --deleteall

удалить все локальные настройки

-L LEVEL, --level LEVEL

уровень SELinux по умолчанию для пользователя SELinux, s0 (только для систем с поддержкой MLS/MCS)

-r RANGE, --range RANGE

диапазон безопасности MLS/MCS (только для систем с поддержкой MLS/MCS). По умолчанию SELinux-диапазон для сопоставления имени входа SELinux принимает значение диапазона записи пользователя SELinux. По умолчанию SELinux-диапазон для пользователя SELinux принимает значение s0.

-R [ROLES], --roles [ROLES]

роли SELinux. Если ролей несколько, их необходимо перечислить через пробелы и заключить этот перечень в кавычки. Или можно несколько раз указать -R.

## ПРИМЕР

```
Вывести список пользователей SELinux
# semanage user -l
Изменить группы для пользователя staff_u
# semanage user -m -R "system_r unconfined_r staff_r" staff_u
Добавить уровень для пользователей TopSecret
# semanage user -a -R "staff_r" -rs0-TopSecret topsecret_u
```

## СМОТРИТЕ ТАКЖЕ
selinux(8), semanage(8), semanage-login(8)

## АВТОРЫ
Эта man-страница была написана Daniel Walsh <dwalsh@redhat.com>. Перевод на русский язык выполнила Герасименко Олеся <gammaray@basealt.ru>.


semodule

package: policycoreutils

title: semodule(8)

summary: управление модулями политики SELinux.

text:
# semodule(8)

## ИМЯ
semodule - управление модулями политики SELinux.

## ОБЗОР
semodule [option]... MODE...

## ОПИСАНИЕ
semodule - это утилита, которая используется для управления модулями политики SELinux, включая установку, обновление, вывод списка и удаление модулей. semodule также можно использовать для принудительной пересборки политики из хранилища модулей и/или для принудительной перезагрузки политики без выполнения других транзакций. semodule применяется к пакетам модулей, созданным с помощью semodule_package. По соглашению эти файлы имеют суффикс .pp (пакет политики), хотя это никак не регламентируется.

## MODES
-R, --reload

принудительно перезагрузить политику

-B, --build

принудительно пересобрать политику (также выполнит перезагрузку, если не используется -n)

-D, --disable_dontaudit

временно удалить правила dontaudit из политики (изменения отменяются при пересборке политики)

-i,--install=MODULE_PKG

установить/заменить пакет модуля

-u,--upgrade=MODULE_PKG

устарел, псевдоним для --install

-b,--base=MODULE_PKG

устарел, псевдоним для --install

-r,--remove=MODULE_NAME

удалить существующий модуль с указанным приоритетом (по умолчанию: -X 400)

-l[KIND],--list-modules[=KIND]

вывести список установленных модулей (отличных от базовых)

KIND:

standard

вывести модули с высшим приоритетом, включённые, небазовые

full

вывести все модули

-X,--priority=PRIORITY

установить приоритет для следующих операций (1-999)

-e,--enable=MODULE_NAME

включить модуль

-d,--disable=MODULE_NAME

отключить модуль

-E,--extract=MODULE_PKG

извлечь модуль из хранилища в текущий каталог как файл HLL или CIL. По умолчанию модуль извлекается как файл HLL. Имя записываемого модуля - <module-name>.<lang_ext>

## ПАРАМЕТРЫ
-s,--store

имя хранилища, над которым следует выполнить операцию

-n,--noreload,-N

не перезагружать политику после фиксации

-h,--help

вывести справочное сообщение и выйти

-P,--preserve_tunables

сохранить настраиваемые параметры в политике

-C,--ignore-module-cache

перекомпилировать модули CIL, собранные из файлов HLL

-p,--path

использовать альтернативный путь для корневого расположения политики

-S,--store-path

использовать альтернативный путь для корневого расположения хранилища политики

-v,--verbose

подробно

-c,--cil

извлечь модуль как файл CIL. Это влияет только на параметр --extract и модули, перечисленные в --extract после этого параметра.

-H,--hll

извлечь модуль как файл HLL. Это влияет только на параметр --extract и модули, перечисленные в --extract после этого параметра.

## ПРИМЕР

```
# Установить или заменить базовый пакет политики.
$ semodule -b base.pp
# Установить или заменить небазовый пакет политики.
$ semodule -i httpd.pp
# Установить или заменить все небазовые модули в текущем каталоге.
# Этот синтаксис можно использовать с -i/u/r/E, но после имён модулей нельзя вводить какие-либо другие параметры.
$ semodule -i *.pp
# Установить или заменить все модули в текущем каталоге.
$ ls *.pp | grep -Ev "base.pp|enableaudit.pp" | xargs /usr/sbin/semodule -b base.pp -i
# Вывести список небазовых модулей.
$ semodule -l
# Вывести список всех модулей, включая их приоритет.
$ semodule -lfull
# Удалить модуль с приоритетом 100.
$ semodule -X 100 -r wireshark
# Включить все сообщения кэша вектора доступа (AVC), для которых SELinux сейчас использует правила "dontaudit".
$ semodule -DB
# Включить правила "dontaudit" обратно.
$ semodule -B
# Отключить модуль (будут отключены все экземпляры данного модуля независимо от их приоритета).
$ semodule -d alsa
# Установить модуль с указанным приоритетом.
$ semodule -X 100 -i alsa.pp
# Вывести список всех модулей.
$ semodule --list=full
# Установить альтернативный путь для корневого расположения политики.
$ semodule -B -p "/tmp"
# Установить альтернативный путь для корневого расположения хранилища политики.
$ semodule -B -S "/tmp/var/lib/selinux"
# Записать HLL-версию модуля puppet и CIL-версию модуля wireshark
# с приоритетом 400 в текущий рабочий каталог
$ semodule -X 400 --hll -E puppet --cil -E wireshark
```

## СМОТРИТЕ ТАКЖЕ
checkmodule(8), semodule_package(8)

## АВТОРЫ

```
Эта страница руководства была написана Dan Walsh <dwalsh@redhat.com>.
Программа была написана Karl MacMillan <kmacmillan@tresys.com>, Joshua Brindle <jbrindle@tresys.com>, Jason Tang <jtang@tresys.com>.
Перевод на русский язык выполнила Герасименко Олеся <gammaray@basealt.ru>
```


title: semodule_package(8)

summary: создать пакет модуля политики SELinux

text:
# semodule_package(8)

## ИМЯ
semodule_package - создать пакет модуля политики SELinux

## ОБЗОР
semodule_package -o <output file> -m <module> [-f <file contexts>]

## ОПИСАНИЕ
semodule_package - утилита, которая используется для создания пакета модуля политики SELinux из двоичного модуля политики и (необязательно) других данных, таких как контексты файлов. Команда semodule_package упаковывает двоичные модули политики, созданные с помощью checkmodule. Пакет политики, созданный с помощью semodule_package, затем можно установить через semodule.

## ПРИМЕР

```
# Собрать пакет политики для базового модуля.
$ semodule_package -o base.pp -m base.mod -f file_contexts
# Собрать пакет политики для модуля httpd.
$ semodule_package -o httpd.pp -m httpd.mod -f httpd.fc
# Собрать пакет политики для локальных правил принудительного присвоения типов, не включая контексты файлов.
$ semodule_package -o local.pp -m local.mod
```

## ПАРАМЕТРЫ
-o --outfile <output file>

Файл пакета модуля политики, созданный этим средством.

-s --seuser <seuser file>

Файл seuser, который следует включить в пакет.

-u --user_extra <user extra file>

Файл user_extra, который следует включить в пакет.

-m --module <Module file>

Файл модуля политики, который следует включить в пакет.

-f --fc <File context file>

Файл контекстов файлов для модуля (необязательно).

-n --nc <netfilter context file>

Файл контекста netfilter, который следует включить в пакет.

## СМОТРИТЕ ТАКЖЕ
checkmodule(8), semodule(8), semodule_unpackage(8)

## АВТОРЫ

```
Эта страница руководства была написана Dan Walsh <dwalsh@redhat.com>.
Программа была написана Karl MacMillan <kmacmillan@tresys.com>.
Перевод на русский язык выполнила Герасименко Олеся <gammaray@basealt.ru>.
```


sestatus

title: sestatus(8)

summary: утилита для просмотра состояния SELinux

text:
# sestatus(8)

## ИМЯ
sestatus - утилита для просмотра состояния SELinux

## ОБЗОР
sestatus [-v] [-b]

Эта утилита используется для получения состояния системы, в которой работает SELinux.

## ОПИСАНИЕ
Эта страница руководства содержит описание программы sestatus.

Эта утилита используется для получения состояния системы, в которой работает SELinux. Она показывает сведения о том, включён или отключён SELinux, расположение ключевых каталогов, а также загруженную политику и её состояние. Пример:

> sestatus

SELinux status: enabled

SELinuxfs mount: /selinux

SELinux root directory: /etc/selinux

Loaded policy name: targeted

Current mode: permissive

Mode from config file: enforcing

Policy MLS status: enabled

Policy deny_unknown status: allow

Memory protection checking: actual (secure)

Max kernel policy version: 26

sestatus также можно использовать, чтобы просмотреть:

-

Контексты безопасности файлов и процессов, перечисленные в файле /etc/sestatus.conf. Описание формата этого файла содержится в sestatus.conf(5).

-

Состояние логических переключателей.

## ПАРАМЕТРЫ
-v

Показать контексты файлов и процессов, перечисленные в файле /etc/sestatus.conf. Также проверяет, является ли файл символической ссылкой (если является, то также будет показан контекст целевого файла). Всегда будут показаны следующие контексты:

Контекст текущего процесса

Контекст процесса init

Контекст файла управляющего терминала

-b

Показать текущее состояние логических переключателей.

## ФАЙЛЫ
/etc/sestatus.conf

## СМОТРИТЕ ТАКЖЕ
selinux(8), sestatus.conf(5)

## АВТОРЫ
Эта страница руководства была написана Daniel Walsh <dwalsh@redhat.com>.

Программа была написана Chris PeBenito <pebenito@gentoo.org>.

Перевод на русский язык выполнила Герасименко Олеся <gammaray@basealt.ru>.


setfiles

title: setfiles(8)

text:
# setfiles(8)

## ИМЯ
setfiles - установить SELinux-контексты безопасности файлов.

## ОБЗОР
setfiles [-c policy] [-d] [-l] [-m] [-n] [-e directory] [-p] [-s] [-v] [-W] [-F] [-I|-D] spec_file pathname ...

## ОПИСАНИЕ
На этой странице руководства приводится описание программы setfiles.

Эта программа используется в основном для инициализации полей контекста безопасности (расширенных атрибутов) в одной или нескольких файловых системах (или их частях). Обычно она впервые запускается как часть процесса установки SELinux (этап, который называется проставлением меток).

Также можно запустить её в любой другой момент, чтобы исправить некорректные метки, добавить поддержку для недавно установленной политики или, используя параметр -n , пассивно проверить, соответствуют ли установленные контексты файлов тем контекстам, которые указаны в активной политике (поведение по умолчанию) или в какой-либо другой политике (см. параметр -c ).

Если объект файла не имеет контекста, setfiles запишет контекст по умолчанию в расширенные атрибуты объекта файла. Если объект файла имеет контекст, setfiles изменит только ту часть контекста безопасности, которая относится к типу. Параметр -F позволяет принудительно заменить контекст целиком.

## ПАРАМЕТРЫ
-c

проверить действительность контекстов относительно указанной двоичной политики.

-d

показать, какая спецификация соответствует каждому из файлов.

-e directory

исключить каталог (чтобы исключить более одного каталога, этот параметр необходимо использовать соответствующее количество раз).

-f infilename

infilename содержит список файлов для обработки. Используйте “-” для stdin.

-F

принудительно сбросить контекст, чтобы обеспечить соответствие file_context для настраиваемых файлов и соответствие контексту файлов по умолчанию для остальных файлов (меняются части контекста, связанные с пользователем, ролью, диапазоном, а также тип).

-h, -?

показать сведения об использовании и выйти.

-i

игнорировать файлы, которые не существуют.

-I

игнорировать дайджест, чтобы принудительно проверить метки, даже если хранимый дайджест SHA1 соответствует дайджесту SHA1 файлов спецификации. Затем (при условии отсутствия ошибок) дайджест будет обновлён. Более подробные сведения доступны в разделе ПРИМЕЧАНИЯ.

-D

установить или обновить дайджесты SHA1 для любых каталогов. Используйте этот параметр, чтобы включить использование расширенного атрибута security.restorecon_last.

-l

записывать изменения меток файлов в системный журнал.

-m

не выполнять чтение /proc/mounts для получения списка монтирований без seclabel, которые следует исключить из проверок с повторным проставлением меток. Установка этого параметра полезна при наличии смонтированной файловой системы без seclabel, в которой в расположенном ниже каталоге смонтирована файловая система с seclabel.

-n

не изменять метки файлов (пассивная проверка).

-o outfilename

этот параметр устарел и больше не поддерживается.

-p

показывать ход выполнения, выводя количество обработанных файлов (единица измерения - блок размером 1 КБ (то есть 1000 файлов)). Если выполняется повторное проставление меток во всей ОС, будет показан примерный процент выполнения. Обратите внимание, что параметры -p и -v являются взаимоисключающими.

-q

этот параметр устарел, ранее использовался для прекращения вывода параметров ассоциаций индексных дескрипторов (inode).

-r rootpath

использовать альтернативный корневой путь. Используется в meta-selinux для сборок OpenEmbedded/Yocto, чтобы проставить метки для файлов в каталоге rootpath таким образом, как если бы они были в /

-s

взять список файлов из стандартного ввода, а не использовать путь из командной строки (эквивалентно “-f -” ).

-v

показать изменения меток для файлов и вывести параметры ассоциаций индексных дескрипторов (inode). Обратите внимание, что параметры -v и -p являются взаимоисключающими.

-W

показать предупреждения о записях, для которых не обнаружены соответствующие файлы, с помощью вывода результатов selabel_stats(3).

-0

предполагается, что разделителем для элементов ввода является символ нуля (вместо пробела). Символы кавычек и обратной косой черты также считаются обычными символами, которые могут формировать допустимый ввод. Этот параметр также отключает строку конца файла (end-of-file string), она обрабатывается, как любой другой аргумент. Это полезно, если элементы ввода содержат пробелы, кавычки или обратные косые черты. Параметр -print0 GNU find производит ввод, подходящий для этого режима.

## АРГУМЕНТЫ
spec_file

Файл спецификации, содержащий строки следующего вида:

regexp [type] context | <<none>> Регулярное выражение привязывается с обоих концов. Необязательное поле type указывает тип файла (показывается в поле режима по команде ls(1) ), например, -- для соответствия только обычным файлам или -d для соответствия только каталогам. context может быть обычным контекстом безопасности или строкой <<none>> (чтобы указать, что контекст файла не следует изменять).

Используется последняя соответствующая спецификация. Если на файл имеется несколько жёстких ссылок, которые соответствуют разным спецификациям, и эти спецификации означают разные контексты безопасности, будет показано предупреждение, но для файла всё равно будет проставлена метка на основе последней соответствующей спецификации, отличной от <<none>>.

pathname ...

Путь к корневому каталогу каждой файловой системы, в которой следует повторно проставить метки, или конкретный каталог в файловой системе, по которому следует рекурсивно спуститься и повторно проставить метки, или путь к файлу, для которого следует повторно проставить метку. Не используется, если используется параметр -f или -s .

## ПРИМЕЧАНИЯ
1.

setfiles следует по символическим ссылкам и рекурсивно применяется к каталогам.

2.

Если в pathname указан корневой каталог, установлен параметр -v , а также запущена система аудита, в журнал с меткой сообщения FS_RELABEL автоматически записывается событие аудита, которое содержит сообщение о том, что произошло "массовое повторное проставление меток".

3.

Для повышения производительности при рекурсивном повторном проставлении меток в файловых системах используется параметр -D команды setfiles . Он обеспечивает сохранение дайджеста SHA1 файла спецификации spec_file в расширенном атрибуте с именем security.restorecon_last для каталога, указанного в соответствующем пути pathname ... , после успешного завершения повторного проставления меток. Этот дайджест будет проверен, если команда setfiles -D будет перезапущена с теми же параметрами spec_file и pathname Подробные сведения доступны в selinux_restorecon(3). Параметр -I позволяет игнорировать дайджест SHA1 из каждого каталога, указанного в pathname ... , и, при условии, что НЕ установлен параметр -n , для файлов будут необходимым образом повторно проставлены метки, а дайджест затем будет обновлён (если не будет ошибок).

## СМОТРИТЕ ТАКЖЕ
restorecon(8), load_policy(8), checkpolicy(8)

## АВТОРЫ
Эта man-страница была написана Russell Coker <russell@coker.com.au>. Программа была написана Stephen Smalley <sds@tycho.nsa.gov>. Перевод на русский язык выполнила Герасименко Олеся <gammaray@basealt.ru>


setsebool

title: setsebool(8)

text:
# setsebool(8)

## ИМЯ
setsebool - установить значение логического переключателя SELinux

## ОБЗОР
setsebool [ -PNV ] boolean value | bool1=val1 bool2=val2 ...

## ОПИСАНИЕ
setsebool устанавливает текущее состояние отдельного логического переключателя SELinux или списка логических переключателей в указанное значение. Это значение может быть либо 1, true или on (включает логический переключатель), либо 0, false или off (отключает логический переключатель).

Если параметр -P не указан, будет изменено только текущее значение логического переключателя; параметры загрузки по умолчанию останутся без изменений.

Если параметр -P указан, все ожидающие значения записываются в файл политики на диске. Поэтому они не будут сбрасываться после перезагрузок.

Если параметр -N указан, политика на диске не перезагружается в ядро.

Если параметр -V указан, показываются подробные сообщения об ошибках из библиотек semanage.

## СМОТРИТЕ ТАКЖЕ
getsebool(8), booleans(8), togglesebool(8), semanage(8)

## АВТОРЫ
Эта страница руководства была написана Dan Walsh <dwalsh@redhat.com>. Программа была написана Tresys Technology. Перевод на русский язык выполнила Герасименко Олеся <gammaray@basealt.ru>.


package: policycoreutils-devel

title: semodule_expand(8)

summary: расширить пакет модуля политики SELinux

text:
# semodule_expand(8)

## ИМЯ
semodule_expand - расширить пакет модуля политики SELinux

## ОБЗОР
semodule_expand [-V ] [ -a ] [ -c [version]] basemodpkg outputfile

## ОПИСАНИЕ
semodule_expand - утилита разработки для ручного расширения пакета базового модуля политики в двоичный файл политики ядра. Это средство не является необходимым для нормальной работы SELinux. Обычно такое расширение выполняется libsemanage внутренним образом в ответ на команды semodule. Пакеты базовых модулей политики можно создавать непосредственно с помощью semodule_package или semodule_link (при связывании набора пакетов в один пакет).

## ПАРАМЕТРЫ
-V

Показать версию

-c [version]

Версия политики, которую следует создать

-a

Не проверять утверждения. При использовании этого параметра политика не будет проверять запрещающие правила (neverallow).

## СМОТРИТЕ ТАКЖЕ
checkmodule(8), semodule_package(8), semodule(8), semodule_link(8) (8),

## АВТОРЫ

```
Эта страница руководства была написана Dan Walsh <dwalsh@redhat.com>.
Программа была написана Karl MacMillan <kmacmillan@tresys.com>, Joshua Brindle <jbrindle@tresys.com>.
Перевод на русский язык выполнила Герасименко Олеся <gammaray@basealt.ru>.
```


title: semodule_link(8)

text:
# semodule_link(8)

## ИМЯ
semodule_link - связать вместе пакеты модулей политики SELinux

## ОБЗОР
semodule_link [-Vv] [-o outfile] basemodpkg modpkg1 [modpkg2]...

## ОПИСАНИЕ
semodule_link - утилита разработки для ручного связывания набора пакетов модулей политики SELinux в один пакет модулей политики. Это средство не является необходимым для нормальной работы SELinux. Обычно такое связывание выполняется libsemanage внутренним образом в ответ на команды semodule. Пакеты модулей создаются с помощью semodule_package.

## ПАРАМЕТРЫ
-V

Показать версию

-v

Подробный режим

-o <output file>

Связанный пакет модулей политики, созданный с помощью этого средства

## СМОТРИТЕ ТАКЖЕ
checkmodule(8), semodule_package(8), semodule(8), semodule_expand(8) (8),

## АВТОРЫ

```
Эта страница руководства была написана Dan Walsh <dwalsh@redhat.com>.
Программа была написана Karl MacMillan <kmacmillan@tresys.com>.
Перевод на русский язык выполнила Герасименко Олеся <gammaray@basealt.ru>.
```


title: semodule_unpackage(8)

text:
# semodule_unpackage(8)

## ИМЯ
semodule_unpackage - извлечь модуль политики и файл контекстов файлов из пакета модуля политики SELinux

## ОБЗОР
semodule_unpackage ppfile modfile [fcfile]

## ОПИСАНИЕ
semodule_unpackage - утилита, которая используется для извлечения файла модуля политики SELinux и файла контекстов файлов из пакета политики SELinux.

## ПРИМЕР

```
# Извлечь файл модуля httpd из пакета политики httpd.
$ semodule_unpackage httpd.pp httpd.mod httpd.fc
```

## СМОТРИТЕ ТАКЖЕ
semodule_package(8)

## АВТОРЫ

```
Эта страница руководства была написана Dan Walsh <dwalsh@redhat.com>.
Программа была написана Stephen Smalley <sds@tycho.nsa.gov>.
Перевод на русский язык выполнила Герасименко Олеся <gammaray@basealt.ru>.
```


sepolicy

title: sepolicy(8)

summary: утилита анализа политики SELinux

text:
# sepolicy(8)

## ИМЯ
sepolicy - утилита анализа политики SELinux

## ОБЗОР
sepolicy [-h] [-P policy_path ] {booleans,communicate,generate,interface,manpage,network,transition} OPTIONS

Аргументы:

booleans

Отправить запрос к политике SELinux, чтобы просмотреть описание логических переключателей sepolicy-boolean(8)

communicate

Отправить запрос к политике SELinux, чтобы узнать, могут ли домены связываться друг с другом sepolicy-communicate(8)

generate

Создать шаблон модуля политики SELinux sepolicy-generate(8)

gui

Запустить графический интерфейс пользователя политики SELinux (требуется пакет policycoreutils-gui) sepolicy-gui(8)

interface

Вывести сведения интерфейса политики SELinux sepolicy-interface(8)

manpage

Создать man-страницы SELinux sepolicy-manpage(8)

network

Запросить сведения о сети политики SELinux sepolicy-network(8)

transition

Отправить запрос к политике SELinux, чтобы узнать, как исходный домен процесса может перейти в целевой домен процесса sepolicy-transition(8)

## ОПИСАНИЕ
sepolicy - это набор средств, опрашивающих установленную политику SELinux и создающих полезные отчёты, man-страницы или даже новые модули политики. Параметры и их описание доступны на man-страницах соответствующих аргументов.

## ПАРАМЕТРЫ
-P, --policy

Альтернативная политика для анализа. (По умолчанию: текущая установленная политика /sys/fs/selinux/policy)

-h, --help

Показать справочное сообщение

## СМОТРИТЕ ТАКЖЕ
selinux(8), sepolicy-booleans(8), sepolicy-communicate(8), sepolicy-generate(8),sepolicy-gui(8), sepolicy-interface(8), sepolicy-network(8), sepolicy-manpage(8), sepolicy-transition(8)

## АВТОРЫ
Эта man-страница была написана Daniel Walsh <dwalsh@redhat.com>. Перевод на русский язык выполнила Герасименко Олеся <gammaray@basealt.ru>.


sepolicy-booleans

title: sepolicy-booleans(8)

text:
# sepolicy-booleans(8)

## ИМЯ
sepolicy-booleans - запросить описание логических переключателей из политики SELinux

## ОБЗОР
sepolicy booleans [-h] [ -a | -b booleanname ... ]

## ОПИСАНИЕ
Утилита sepolicy booleans показывает все логические переключатели и их описание (либо можно вывести описание для отдельных логических переключателей)

## ПАРАМЕТРЫ
-h, --help

показать справочное сообщение

-a, --all

показать все описания логических переключателей

-b, --boolean

логический переключатель, для которого следует получить описание

## СМОТРИТЕ ТАКЖЕ
sepolicy(8), selinux(8), getsebool(8), setsebool(8)

## АВТОРЫ
Эта man-страница была написана Daniel Walsh <dwalsh@redhat.com>. Перевод на русский язык выполнила Герасименко Олеся <gammaray@basealt.ru>.


sepolicy-communicate

title: sepolicy-communicate(8)

text:
# sepolicy-communicate(8)

## ИМЯ
sepolicy-communicate - создать отчёт, который покажет, могут ли связываться два домена политики SELinux

## ОБЗОР
sepolicy communicate [-h] -s SOURCE -t TARGET [-c TCLASS] [-S SOURCEACCESS] [-T TARGETACCESS]

## ОПИСАНИЕ
Команда sepolicy communicate позволяет проанализировать политику SELinux, чтобы узнать, может ли исходный домен SELinux связываться с целевым доменом SELinux. Команда по умолчанию проверяет, имеются ли какие-либо типы файлов, которые может записывать исходный домен и читать целевой домен.

## ПАРАМЕТРЫ
-c, --class

Указать класс SELinux, который исходный домен попытается использовать для связи с целевым доменом. По умолчанию: file.

-h, --help

Показать справочное сообщение

-s, --source

Указать тип исходного домена SELinux

-S, --sourceaccess

Указать список доступов, используемых типом исходного домена SELinux для связи с целевым доменом. По умолчанию: Open, Write.

-t, --target

Указать тип целевого домена SELinux

-T, --targetaccess

Указать список доступов, используемых типом целевого домена SELinux для получения обращений от исходного домена. По умолчанию: Open, Read.

## СМОТРИТЕ ТАКЖЕ
sepolicy(8), selinux(8)

## АВТОРЫ
Эта man-страница была написана Daniel Walsh <dwalsh@redhat.com>. Перевод на русский язык выполнила Герасименко Олеся <gammaray@basealt.ru>.


sepolicy-generate

title: sepolicy-generate(8)

text:
# sepolicy-generate(8)

## ИМЯ
sepolicy-generate - создать исходный шаблон модуля политики SELinux.

## ОБЗОР
Общие параметры

sepolicy generate [-h ] [-p PATH]

Ограниченные приложения

sepolicy generate --application [-n NAME] [-u USER ]command [-w WRITE_PATH ]

sepolicy generate --cgi [-n NAME] command [-w WRITE_PATH ]

sepolicy generate --dbus [-n NAME] command [-w WRITE_PATH ]

sepolicy generate --inetd [-n NAME] command [-w WRITE_PATH ]

sepolicy generate --init [-n NAME] command [-w WRITE_PATH ]

Ограниченные пользователи

sepolicy generate --admin_user [-r TRANSITION_ROLE] -n NAME

sepolicy generate --confined_admin -n NAME [-a ADMIN_DOMAIN] [-u USER] [-n NAME] [-w WRITE_PATH]

sepolicy generate --desktop_user -n NAME [-w WRITE_PATH]

sepolicy generate --term_user -n NAME [-w WRITE_PATH]

sepolicy generate --x_user -n NAME [-w WRITE_PATH]

Разное

sepolicy generate --customize -d DOMAIN -n NAME [-a ADMIN_DOMAIN]

sepolicy generate --newtype -t type -n NAME

sepolicy generate --sandbox -n NAME

## ОПИСАНИЕ
Используйте команду sepolicy generate для создания модуля политики SELinux.

sepolicy generate создаст 5 файлов.

При указании confined application необходимо указать путь. Команда sepolicy generate будет использовать полезную нагрузку rpm-пакета приложения вместе с nm -D APPLICATION, чтобы создать типы и правила политики для ваших файлов политики.

Файл принудительного назначения типов NAME.te

Этот файл можно использовать, чтобы определить для конкретного домена все правила типов.

Примечание: Политика, созданная с помощью команды sepolicy generate, автоматически добавит разрешительный домен (DOMAIN) в ваш файл .te. Когда вы закончите настройку политики, из файла .te будет необходимо удалить разрешительную строку, чтобы запустить домен в принудительном режиме.

Файл интерфейсов NAME.if

Этот файл определяет интерфейсы для созданных в файле .te типов, которые могут использоваться другими доменами политики.

Контексты файлов NAME.fc

Этот файл определяет контексты файлов по умолчанию для системы; он берёт типы файлов, созданные в файле .te, и связывает пути файлов с этими типами. Такие утилиты, как restorecon и RPM, будут использовать эти пути для проставления меток.

Файл спецификации RPM NAME_selinux.spec

Этот файл - файл СПЕЦИФИКАЦИИ, который можно использовать для установки политики SELinux на компьютеры и настройки проставления меток. Файл спецификации также устанавливает файл интерфейсов и man-страницу с описанием политики. Для создания man-страницы можно использовать команду sepolicy manpage -d NAME.

Файл оболочки NAME.sh

Это вспомогательный сценарий оболочки для компиляции, установки и исправления меток в тестовой системе. Он также создаёт man-страницу на основе установленной политики, компилирует и собирает RPM, который подходит для установки на других компьютерах.

Если создание возможно, эта утилита выведет на экран все пути создания из исходного домена в целевой домен

## ПАРАМЕТРЫ
-h, --help

Показать справочное сообщение

-d, --domain

Ввести тип домена, который будет расширен

-n, --name

Указать альтернативное имя политики. По умолчанию: указанный исполняемый файл или имя.

-p, --path

Указать каталог для сохранения созданных файлов политики. По умолчанию: текущий рабочий каталог. Необязательные аргументы:

-r, --role

Ввести роль (роли), в которую перейдёт этот администратор

-t, --type

Ввести тип (типы), для которого создаётся новое определение и правило (правила)

-u, --user

Пользователь (пользователи) SELinux, который перейдёт в этот домен

-w, --writepath

Путь (пути), который требуется для записи ограниченным процессам

-a, --admin

Домен (домены), который будет администрировать ограниченный администратор

--admin_user

Создать политику для роли авторизации администратора

--application

Создать политику для приложения пользователя

--cgi

Создать политику для веб-приложения/сценария (CGI)

--confined_admin

Создать политику для роли ограниченного администратора root

--customize

Создать политику для типа существующего домена

--dbus

Создать политику для системной внутренней службы DBUS

--desktop_user

Создать политику для роли авторизации на рабочем столе

--inetd

Создать политику для внутренней службы Интернет-служб

--init

Создать политику для стандартной внутренней службы init (по умолчанию)

--newtype

Создать политику для новых типов, которые будут добавлены в существующую политику.

--sandbox

Создать политику для изолированной среды

--term_user

Создать политику для минимальной роли авторизации пользователя терминала

--x_user

Создать политику для минимальной роли авторизации пользователя X Windows

## ПРИМЕР
> sepolicy generate --init /usr/sbin/rwhod

Создание политики для /usr/sbin/rwhod с именем rwhod

Созданы следующие файлы:

rwhod.te # файл принудительного присвоения типов

rwhod.if # файл интерфейсов

rwhod.fc # файл контекстов файлов

rwhod_selinux.spec # файл спецификации

rwhod.sh # сценарий настройки

## СМОТРИТЕ ТАКЖЕ
sepolicy(8), selinux(8)

## АВТОРЫ
Эта man-страница была написана Daniel Walsh <dwalsh@redhat.com>. Перевод на русский язык выполнила Герасименко Олеся <gammaray@basealt.ru>.


sepolicy-interface

title: sepolicy-interface(8)

text:
# sepolicy-interface(8)

## ИМЯ
sepolicy-interface - вывести сведения об интерфейсах на основе установленной политики SELinux

## ОБЗОР
sepolicy interface [-h] [-c] [-v] [-a | -u | -l | -i INTERFACE [INTERFACE ... ]]

## ОПИСАНИЕ
Используйте утилиту sepolicy interface для вывода сведений об интерфейсах на основе политики SELinux.

## ПАРАМЕТРЫ
-a, --list_admin

Вывести список всех доменов с интерфейсом администратора

-c, --compile

Проверить сборку интерфейсов

-h, --help

Показать справочное сообщение

-i, --interface

Интерфейс (интерфейсы), которые следует показать

-l, --list

Вывести список всех интерфейсов

-u, --list_user

Вывести список всех доменов с интерфейсом роли пользователя SELinux

-v, --verbose

Показать расширенные сведения об интерфейсе, включая параметры и описание (если доступно).

## СМОТРИТЕ ТАКЖЕ
sepolicy(8), selinux(8)

## АВТОРЫ
Эта man-страница была написана Daniel Walsh <dwalsh@redhat.com>. Перевод на русский язык выполнила Герасименко Олеся <gammaray@basealt.ru>.


sepolicy-manpage

title: sepolicy-manpage(8)

text:
# sepolicy-manpage(8)

## ИМЯ
sepolicy-manpage - создать man-страницу на основе установленной политики SELinux

## ОБЗОР
sepolicy manpage [-w] [-h] [-p PATH ] [-r ROOTDIR ] [-a | -d ]

## ОПИСАНИЕ
Используйте утилиту sepolicy manpage для создания man-страниц на основе политики SELinux.

## ПАРАМЕТРЫ
-a, --all

Создать man-страницы для всех доменов

-d, --domain

Создать man-страницу для указанного домена. (Поддерживает несколько команд)

-h, --help

Показать справочное сообщение

-p, --path

Указать каталог для сохранения созданных man-страниц. (По умолчанию: /tmp)

-r, --root

Указать альтернативный корневой каталог для создания man-страниц. (По умолчанию: /)

-w, --web

Создать дополнительные man-страницы в формате HTML для указанного домена (доменов).

## СМОТРИТЕ ТАКЖЕ
sepolicy(8), selinux(8)

## АВТОРЫ
Эта man-страница была написана Daniel Walsh <dwalsh@redhat.com>. Перевод на русский язык выполнила Герасименко Олеся <gammaray@basealt.ru>.


sepolicy-network

title: sepolicy-network(8)

text:
# sepolicy-network(8)

## ИМЯ
sepolicy-network - проанализировать политику SELinux и создать отчёт о сети

## ОБЗОР
sepolicy network [-h] (-l | -a application [application ...] | -p PORT [PORT ...] | -t TYPE [TYPE ...] | -d DOMAIN [DOMAIN ...])

## ОПИСАНИЕ
Используйте команду sepolicy network для анализа политики SELinux и создания отчётов о сети.

## ПАРАМЕТРЫ
-a, --application

Создать отчёт с перечнем портов, к которым разрешено подключение и/или привязка указанного приложения инициализации.

-d, --domain

Создать отчёт с перечнем портов, к которым разрешено подключение и/или привязка указанного домена.

-l, --list

Вывести список всех типов сетевых портов, определённых в политике SELinux

-h, --help

Показать справочное сообщение

-t, --type

Создать отчёт с перечнем номеров портов, связанных с указанным типом портов SELinux.

-p, --port

Создать отчёт с перечнем типов портов SELinux, связанных с указанным номером порта.

## ПРИМЕРЫ
sepolicy network -p 22

22: tcp ssh_port_t 22

22: udp reserved_port_t 1-511

22: tcp reserved_port_t 1-511

sepolicy network -a /usr/sbin/sshd

sshd_t: tcp name_connect

111 (portmap_port_t)

53 (dns_port_t)

88, 750, 4444 (kerberos_port_t)

9080 (ocsp_port_t)

9180, 9701, 9443-9447 (pki_ca_port_t)

32768-61000 (ephemeral_port_t)

all ports < 1024 (reserved_port_type)

all ports with out defined types (port_t)

sshd_t: tcp name_bind

22 (ssh_port_t)

5900-5983, 5985-5999 (vnc_port_t)

6000-6020 (xserver_port_t)

32768-61000 (ephemeral_port_t)

all ports > 500 and < 1024 (rpc_port_type)

all ports with out defined types (port_t)

sshd_t: udp name_bind

32768-61000 (ephemeral_port_t)

all ports > 500 and < 1024 (rpc_port_type)

all ports with out defined types (port_t)

## СМОТРИТЕ ТАКЖЕ
sepolicy(8), selinux(8), semanage(8)

## АВТОРЫ
Эта man-страница была написана Daniel Walsh <dwalsh@redhat.com>. Перевод на русский язык выполнила Герасименко Олеся <gammaray@basealt.ru>.


sepolicy-transition

title: sepolicy-transition(8)

text:
# sepolicy-transition(8)

## ИМЯ
sepolicy-transition - проанализировать политику SELinux и создать отчёт о переходах процессов

## ОБЗОР
sepolicy transition [-h] -s SOURCE

sepolicy transition [-h] -s SOURCE -t TARGET

## ОПИСАНИЕ
Утилита sepolicy transition покажет все домены, в которые может перейти указанный исходный домен SELinux, включая точку входа.

Если указан целевой домен, команда sepolicy transition проанализирует политику на предмет наличия путей перехода из исходного домена в целевой домен и выведет список этих путей. Если переход возможен, эта утилита выведет все пути перехода из исходного домена в целевой домен.

## ПАРАМЕТРЫ
-h, --help

Показать справочное сообщение

-s, --source

Указать тип исходного домена SELinux

-t, --target

Указать тип целевого домена SELinux

## СМОТРИТЕ ТАКЖЕ
sepolicy(8), selinux(8)

## АВТОРЫ
Эта man-страница была написана Daniel Walsh <dwalsh@redhat.com>. Перевод на русский язык выполнила Герасименко Олеся <gammaray@basealt.ru>.


selinux-polgengui

package: policycoreutils-gui

title: selinux-polgengui(8)

summary: утилита для создания политики SELinux

text:
# selinux-polgengui(8)

## ИМЯ
selinux-polgengui - утилита для создания политики SELinux

## ОБЗОР
selinux-polgengui

## ОПИСАНИЕ
selinux-polgengui - графическая утилита, которую можно использовать, чтобы создать платформу для сборки политики SELinux.

## ПАРАМЕТРЫ
Нет

## ФАЙЛЫ
/usr/bin/selinux-polgengui

## Примеры
Чтобы запустить программу, введите:

selinux-polgengui

## СМОТРИТЕ ТАКЖЕ
selinux(1), sepolicy(8), sepolicy-generate(8)

## СООБЩЕНИЯ ОБ ОШИБКАХ
Отправляйте сообщения об ошибках по адресу <http://bugzilla.redhat.com>.

## ЛИЦЕНЗИЯ И АВТОРЫ
selinux-polgengui распространяется на условиях Стандартной Общественной Лицензии GNU, авторские права принадлежат Red Hat, Inc.

Эта man-страница была написана Daniel Walsh <dwalsh@redhat.com>. Перевод на русский язык выполнила Герасименко Олеся <gammaray@basealt.ru>.


sepolicy-gui

title: sepolicy-gui(8)

text:
# sepolicy-gui(8)

## ИМЯ
sepolicy-gui - графический интерфейс пользователя политики SELinux

## ОБЗОР
Общие параметры

sepolicy gui [-h ] [ -d DOMAIN ]

## ОПИСАНИЕ
Используйте утилиту sepolicy gui для запуска графического интерфейса пользователя, с помощью которого можно посмотреть, как SELinux ограничивает различные домены процессов.

## ПАРАМЕТРЫ
-h, --help

Показать справочное сообщение

-d, --domain

Инициализировать для выбранного домена графический интерфейс пользователя

## СМОТРИТЕ ТАКЖЕ
sepolicy(8), selinux(8)

## АВТОРЫ
Эта man-страница была написана Daniel Walsh <dwalsh@redhat.com>. Перевод на русский язык выполнила Герасименко Олеся <gammaray@basealt.ru>.


system-config-selinux

title: system-config-selinux(8)

summary: утилита для управления SELinux

text:
# system-config-selinux(8)

## ИМЯ
system-config-selinux - утилита для управления SELinux

## ОБЗОР
system-config-selinux

## ОПИСАНИЕ
Утилита system-config-selinux предоставляет графический интерфейс для управления конфигурацией SELinux.

## ПАРАМЕТРЫ
Нет

## ФАЙЛЫ
/usr/bin/system-config-selinux

## Примеры
Чтобы запустить программу, введите:

system-config-selinux

## СМОТРИТЕ ТАКЖЕ
selinux(1), semanage(8)

## СООБЩЕНИЯ ОБ ОШИБКАХ
Отправляйте сообщения об ошибках по адресу <http://bugzilla.redhat.com>.

## ЛИЦЕНЗИЯ И АВТОРЫ
system-config-selinux распространяется на условиях Стандартной Общественной Лицензии GNU, авторские права принадлежат Red Hat, Inc.

Эта man-страница была написана Daniel Walsh <dwalsh@redhat.com>. Перевод на русский язык выполнила Герасименко Олеся <gammaray@basealt.ru>.


mcs

package: policycoreutils-mcstransd

title: mcs(8)

summary: мультикатегорийная система

text:
# mcs(8)

## ИМЯ
mcs - мультикатегорийная система

## ОПИСАНИЕ
MCS (мультикатегорийная система) позволяет пользователям проставлять в своей системе метки для файлов внутри определённых администратором категорий. Затем эта система использует принудительное управление доступом SELinux, чтобы защитить эти файлы. MCS - дискреционная модель, которая позволяет пользователям отмечать свои данные дополнительными тегами, накладывая дальнейшие ограничения доступа. Обязательным является только один аспект - авторизовывать пользователей для категорий, определяя их уровень допуска в политике. MCS похожа на MLS, выполняет те же самые пути кода и использует ту же самую инфраструктуру поддержки. Они отличаются между собой только спецификой настройки.

Файл конфигурации /etc/selinux/{SELINUXTYPE}/setrans.conf преобразовывает метки на диске в удобную для прочтения человеком форму. В этом файле администраторы могут определить любые необходимые метки. Некоторые приложения, такие как вывод на экран и аудит, будут использовать эти метки для идентификации файлов. Если для файла будет задана категория, другие приложения/службы не получат к нему доступ.

Примеры меток файлов: PatientRecord, CompanyConfidential и так далее.

## СМОТРИТЕ ТАКЖЕ
selinux(8), chcon(1)

## ФАЙЛЫ
/etc/selinux/{SELINUXTYPE}/setrans.conf

## АВТОРЫ
Перевод на русский язык выполнила Герасименко Олеся <gammaray@basealt.ru>


mcstransd

title: mcstransd(8)

text:
# mcstransd(8)

## ИМЯ
mcstransd - внутренняя служба MCS (мультикатегорийная система). Переводит метки MCS/MLS SELinux в удобную для прочтения человеком форму.

## ОБЗОР
mcstransd [-f] [-h]

## ОПИСАНИЕ
Эта страница руководства содержит описание программы mcstransd.

Эта внутренняя служба выполняет чтение файла конфигурации /etc/selinux/{SELINUXTYPE}/setrans.conf и связывается с libselinux через сокет в /var/run/setrans.

## ПАРАМЕТРЫ
-f

Запустить mcstransd на переднем плане. Не запускать как внутреннюю службу.

-h

Вывести краткое описание доступных параметров командной строки.

## ФАЙЛЫ
/etc/selinux/{SELINUXTYPE}/setrans.conf

## СМОТРИТЕ ТАКЖЕ
setrans.conf(5),mcs(8)

## АВТОРЫ
Эта man-страница написана Dan Walsh <dwalsh@redhat.com>. Исходная версия программы написана Dan Walsh <dwalsh@redhat.com>. Программа улучшена/переписана Joe Nall <joe@nall.com>. Перевод на русский язык выполнила Герасименко Олеся <gammaray@basealt.ru>.


restorecond

package: policycoreutils-restorecond

title: restorecond(8)

text:
# restorecond(8)

## ИМЯ
restorecond - внутренняя служба, которая отслеживает создание файлов и затем задаёт для них SELinux-контекст по умолчанию

## ОБЗОР
restorecond [-d] [-h] [-f restorecond_file ] [-u] [-v]

## ОПИСАНИЕ
Эта страница руководства содержит описание программы restorecond.

Эта внутренняя служба использует inotify для отслеживания файлов, перечисленных в /etc/selinux/restorecond.conf. После создания этих файлов эта служба обеспечивает присвоение им правильного контекста, связанного с политикой.

## ПАРАМЕТРЫ
-d

Включить режим отладки. Приложение останется на переднем плане, будет показано много отладочных сообщений.

-h

Вывести сведения об использовании.

-f restorecond_file

Использовать альтернативный файл restorecond.conf.

-u

Включить пользовательский режим. Запускает restorecond в сеансе пользователя и выполняет чтение /etc/selinux/restorecond_user.conf. Использует dbus, чтобы удостовериться, что в одном сеансе пользователя запущен только один экземпляр restorecond.

-v

Включить отладку с подробным выводом. (Сообщать об отсутствующих файлах)

## ФАЙЛЫ
/etc/selinux/restorecond.conf /etc/selinux/restorecond_user.conf

## СМОТРИТЕ ТАКЖЕ
restorecon(8)

## АВТОРЫ
Эта man-страница и программа были написаны Dan Walsh <dwalsh@redhat.com>. Перевод на русский язык выполнила Герасименко Олеся <gammaray@basealt.ru>.


sandbox

package: policycoreutils-sandbox

title: sandbox(8)

text:
# sandbox(8)

## ИМЯ
sandbox - выполнить приложение cmd в изолированной среде SELinux

## ОБЗОР
sandbox [-C] [-s] [ -d DPI ] [-l level ] [[-M | -X] -H homedir -T tempdir ] [-I includefile ] [ -W windowmanager ] [ -w windowsize ] [[-i file ]...] [ -t type ] cmd

sandbox [-C] [-s] [ -d DPI ] [-l level ] [[-M | -X] -H homedir -T tempdir ] [-I includefile ] [ -W windowmanager ] [ -w windowsize ] [[-i file ]...] [ -t type ] -S

## ОПИСАНИЕ
Выполнить приложение cmd в строго ограниченном домене SELinux. По умолчанию в домене изолированной среды приложения могут только читать и записывать stdin, stdout и любые другие передаваемые дескрипторы файлов. Открывать другие файлы нельзя. Параметр -M позволяет смонтировать альтернативные домашний каталог и временный каталог, которые будут использоваться изолированной средой.

Если установлен пакет policycoreutils-sandbox, можно использовать параметр -X и параметр -M. sandbox -X позволяет запускать приложения X в изолированной среде. Эти приложения запускаются на своём собственном X-сервере и создают временные домашний каталог и каталог /tmp. Политика SELinux по умолчанию не разрешает использовать какие-либо средства для управления привилегиями или осуществлять доступ к сети. Она также предотвращает доступ к другим процессам и файлам пользователей. Указанные в команде файлы, которые находятся в домашнем каталоге или каталоге /tmp, будут скопированы в каталоги изолированной среды.

Если каталоги указаны с параметром -H или -T, их контекст будет изменён chcon(1) (если только с помощью параметра -l не указан уровень). Если уровень безопасности MLS/MCS указан, пользователь должен установить правильные метки.

-h --help

Показать сведения об использовании

-H --homedir

Указать альтернативный домашний каталог для монтирования вместо вашего домашнего каталога. По умолчанию используется временный каталог. Требуется -X или -M.

-i --include

Копировать этот файл в соответствующий временный каталог изолированной среды. Команду можно повторять.

-I --includefile

Копировать все файлы, перечисленные во входном файле (inputfile), в соответствующие временные каталоги изолированной среды.

-l --level

Указать уровень безопасности MLS/MCS, с которым следует запускать изолированную среду. По умолчанию используется случайное значение.

-M --mount

Создать изолированную среду с временными файлами для $HOME и /tmp.

-s --shred

Уничтожить временные файлы, созданные в $HOME в /tmp, перед удалением.

-t --type

Использовать альтернативный тип изолированной среды. По умолчанию: sandbox_t или sandbox_x_t для -X. Примеры:

sandbox_t - без X, без доступа к сети, без открытия, чтение/запись передаются в дескрипторах файлов.

sandbox_min_t - без доступа к сети

sandbox_x_t - порты для X-приложений, которые следует запустить локально

sandbox_web_t - порты, необходимые для работы в Интернете

sandbox_net_t - сетевые порты (для серверного ПО)

sandbox_net_client_t - все сетевые порты

-T --tmpdir

Использовать альтернативный временный каталог для монтирования в /tmp. По умолчанию: tmpfs. Требуется -X или -M.

-S --session

Запустить полный сеанс рабочего стола. Требуется уровень, домашний каталог и временный каталог.

-w --windowsize

Указать размер окна при создании изолированной среды на основе X. По умолчанию: 1000x700.

-W --windowmanager

Выбрать альтернативный диспетчер окон для запуска в sandbox -X. По умолчанию: /usr/bin/openbox.

-X

Создать изолированную среду на основе X для приложений графического интерфейса пользователя, временные файлы для $HOME и /tmp, дополнительный X-сервер. По умолчанию: sandbox_x_t

-d --dpi

Указать значение разрешения (DPI) для X-сервера изолированной среды. По умолчанию используется значение разрешения текущего X-сервера.

-C --capabilities

Использовать средства для управления привилегиями внутри изолированной среды. По умолчанию приложениям, которые выполняются в изолированной среде, запрещено использовать средства для управления привилегиями (setuid apps), но с флагом -C можно использовать программы, которым необходимы средства для управления привилегиями.

## СМОТРИТЕ ТАКЖЕ
runcon(1), seunshare(8), selinux(8)

## АВТОРЫ
Эта страница руководства была написана Dan Walsh <dwalsh@redhat.com> и Thomas Liu <tliu@fedoraproject.org>. Перевод на русский язык выполнила Герасименко Олеся <gammaray@basealt.ru>.


seunshare

title: seunshare(8)

text:
# seunshare(8)

## ИМЯ
seunshare - выполнить cmd с другим домашним каталогом (homedir), временным каталогом (tmpdir) и/или контекстом SELinux

## ОБЗОР
seunshare [ -v ] [ -C ] [ -k ] [ -t tmpdir ] [ -h homedir ] [ -Z context ] -- executable [args]

## ОПИСАНИЕ
Запустите исполняемый файл executable в указанном контексте, используя альтернативный домашний каталог и каталог /tmp. Команда seunshare отменяет общий доступ из пространства имён по умолчанию, затем монтирует указанные домашний каталог и временный каталог вместо домашнего каталога и временного каталога по умолчанию. После этого команда сообщает ядру, что следует выполнить приложение в указанном контексте SELinux.

-h homedir

Альтернативный домашний каталог для использования приложением. Пользователь должен быть владельцем домашнего каталога.

-t tmpdir

Использовать альтернативный временный каталог для монтирования в /tmp. Пользователь должен быть владельцем временного каталога.

-C --capabilities

Разрешить приложениям, исполняемым в пространстве имён, использовать средства для управления привилегиям. По умолчанию использование средств для управления привилегиями запрещено.

-k --kill

Завершить все процессы с соответствующим уровнем MCS.

-Z context

Использовать альтернативный контекст SELinux при запуске исполняемого файла.

-v

Подробный вывод

## СМОТРИТЕ ТАКЖЕ
runcon(1), sandbox(8), selinux(8)

## АВТОРЫ
Эта страница руководства была написана Dan Walsh <dwalsh@redhat.com> и Thomas Liu <tliu@fedoraproject.org>. Перевод на русский язык выполнила Герасименко Олеся <gammaray@basealt.ru>.


package: sssd

title: sss_cache(8)

summary: выполнить очистку кэша

text:
# sss_cache(8)

## NAME
sss_cache - выполнить очистку кэша

## SYNOPSIS
sss_cache [options]

## ОПИСАНИЕ
sss_cache объявляет недействительными записи в кэше SSSD. Объявленные недействительными записи принудительно повторно загружаются с сервера, как только соответствующий внутренний сервер SSSD появляется в сети. Параметры, объявляющие недействительность одного объекта, принимают только один предоставленный аргумент.

## ОПЦИИ
-E,--everything

Объявить недействительными все кэшированные записи.

-u,--user login

Объявить недействительным определённого пользователя.

-U,--users

Объявить недействительными все записи пользователей. Этот параметр имеет приоритет над параметром, который объявляет недействительным определённого пользователя, если он также был задан.

-g,--group group

Объявить недействительной определённую группу.

-G,--groups

Объявить недействительными все записи групп. Этот параметр имеет приоритет над параметром, который объявляет недействительной определённую группу, если он также был задан.

-n,--netgroup netgroup

Объявить недействительной определённую сетевую группу.

-N,--netgroups

Объявить недействительными все записи сетевых групп. Этот параметр имеет приоритет над параметром, который объявляет недействительной определённую сетевую группу, если он также был задан.

-s,--service service

Объявить недействительной определённую службу.

-S,--services

Объявить недействительными все записи служб. Этот параметр имеет приоритет над параметром, который объявляет недействительной определённую службу, если он также был задан.

-a,--autofs-map autofs-map

Объявить недействительной определённую карту autofs.

-A,--autofs-maps

Объявить недействительными все карты autofs. Этот параметр имеет приоритет над параметром, который объявляет недействительной определённую карту autofs, если он также был задан.

-h,--ssh-host hostname

Объявить недействительными открытые ключи SSH определённого узла.

-H,--ssh-hosts

Объявить недействительными открытые ключи SSH всех узлов. Этот параметр имеет приоритет над параметром, который объявляет недействительными открытые ключи SSH определённого узла, если он также был задан.

-r,--sudo-rule rule

Объявить недействительным определённое правило sudo.

-R,--sudo-rules

Объявить недействительными все кэшированные правила sudo. Этот параметр имеет приоритет над параметром, который объявляет недействительным определённое правило sudo, если он также был задан.

-d,--domain domain

Ограничить процесс объявления недействительности определённым доменом.

-?,--help

Показать справочное сообщение и выйти.

## ВЛИЯНИЕ НА КЭШ В СВЕРХОПЕРАТИВНОЙ ПАМЯТИ
sss_cache также объявляет недействительным кэш в памяти. Так как кэш в памяти является файлом, который сопоставляется с памятью каждого процесса, который вызывал SSSD для разрешения пользователей или групп, этот файл не может быть усечён. В заголовке файла указывается специальный флаг, который обозначает недействительность содержимого, и затем ответчик NSS SSSD выполняет отмену связи этого файла, после чего создаётся новый файл кэша. Теперь, когда процесс выполняет новый поиск пользователя или группы, он видит флаг, закрывает старый файл кэша в памяти и сопоставляет со своей памятью новый файл. Когда все процессы, которые открывали старый файл кэша в памяти, закроют его при поиске пользователя или группы, ядро сможет освободить занятое пространство на диске и старый файл кэша в памяти будет полностью удалён.

Особый случай представляют длительно выполняемые процессы, которые осуществляют поиск пользователей или групп только при запуске (например, чтобы определить имя пользователя, от имени которого запущен процесс). Для такого поиска файл кэша в памяти сопоставляется с памятью процесса. Но, так как дальнейшего поиска не будет, этот процесс никогда не определит, был ли объявлен недействительным файл кэша в памяти, и поэтому он будет оставлен в памяти и будет занимать пространство на диске до тех пор, пока процесс не остановится. Следовательно, вызов sss_cache может увеличить использование места на диске, потому что старые файлы кэша в памяти не могут быть удалены с диска, так как они всё ещё сопоставляются длительно выполняемыми процессами.

Чтобы обойти эту проблему для длительно выполняемых процессов, которые выполняют поиск пользователей и групп только при запуске или очень редко, можно запускать их с переменной среды SSS_NSS_USE_MEMCACHE, установленной в значение «NO»: в этом случае они вообще не будут использовать кэш в памяти и не будут сопоставлять файл кэша в памяти с памятью. В целом, лучшим решением проблемы будет настроить параметры тайм-аута кэша таким образом, чтобы они соответствовали локальным ожиданиям и не требовался вызов sss_cache.

## СМ. ТАКЖЕ
sssd(8), sssd.conf(5), sssd-ldap(5), sssd-ldap-attributes(5), sssd-krb5(5), sssd-simple(5), sssd-ipa(5), sssd-ad(5), sssd-sudo(5), sssd-session-recording(5), sss_cache(8), sss_debuglevel(8), sss_obfuscate(8), sss_seed(8), sssd_krb5_locator_plugin(8), sss_ssh_authorizedkeys(8), sss_ssh_knownhostsproxy(8), sssd-ifp(5), pam_sss(8). sss_rpcidmapd(5)

## AUTHORS
Восходящий источник («апстрим») SSSD — https://github.com/SSSD/sssd/


sssd

title: sssd(8)

summary: cервис SSSD

text:
# sssd(8)

## NAME
sssd - cервис SSSD

## SYNOPSIS
sssd [options]

## ОПИСАНИЕ
SSSD предоставляет набор внутренних служб для управления доступом к удалённым каталогам и механизмам проверки подлинности. Этот сервис предоставляет интерфейс NSS и PAM к операционной системе и систему подключаемых внутренних серверов для установки соединения с несколькими разными источниками учётных записей, а также интерфейс D-Bus. Также он является основой сервисов аудита и политики доступа клиентов для таких проектов, как FreeIPA. SSSD предоставляет более надёжную базу данных для хранения локальных пользователей, а также расширенных пользовательских данных.

## ОПЦИИ
-d,--debug-level LEVEL

В SSSD предусмотрены два представления для указания уровня отладки. Более простое представление позволяет указать десятичное значение в диапазоне от 0 до 9, которое будет включать соответствующий уровень и все более низкие уровни сообщений отладки. Более сложное представление позволяет указать шестнадцатеричную битовую маску для включения или отключения (подавления) отдельных уровней. Обратите внимание, что каждая служба SSSD ведёт журнал в своём собственном файле. Также следует учитывать, что включение параметра “debug_level” в разделе “[sssd]” включает отладку только для самого процесса sssd, а не для процессов ответчика или поставщика данных. Параметр “debug_level” следует добавить во все разделы, для которых требуется создать журналы отладки.

Уровень отладки можно изменить не только с помощью параметра “debug_level” в файле конфигурации (этот параметр является постоянным, но требует перезапуска SSSD), но и «на лету», с помощью инструмента sss_debuglevel(8).

В настоящее время поддерживаются следующие уровни отладки:

0, 0x0010: фатальные ошибки. Всё, что не позволяет выполнить запуск SSSD или вызывает прекращение работы сервиса.

1, 0x0020: критические ошибки. Ошибка, которая не прекращает работу SSSD, но означает, что как минимум одна важная функциональная возможность не будет работать надлежащим образом.

2, 0x0040: серьёзные ошибки. Ошибка, которая сообщает о завершении неудачей определённого запроса или действия.

3, 0x0080: незначительные ошибки. Это ошибки, которые могут стать причиной ошибок 2-го уровня (ошибок при выполнении действий).

4, 0x0100: параметры конфигурации.

5, 0x0200: данные функций.

6, 0x0400: сообщения трассировки для функций действий.

7, 0x1000: сообщения трассировки для функций внутреннего управления.

8, 0x2000: содержимое внутренних переменных функций, которое может представлять интерес.

9, 0x4000: информация трассировки крайне низкого уровня.

9, 0x20000: быстродействие и статистические данные. Пожалуйста, обратите внимание, что из-за способа обработки запросов на внутреннем уровне, записанное в журнал время выполнения запроса может быть больше, чем оно было на самом деле.

10, 0x10000: информация трассировки libldb ещё более низкого уровня. Практически никогда не требуется.

Чтобы выполнять ведение журнала для необходимых уровней отладки, указанных в представлении битовых масок, просто сложите их номера, как показано в следующих примерах:

Пример: используйте 0x0270, чтобы вести журнал данных фатальных ошибок, критических ошибок, серьёзных ошибок и данных функций.

Пример: используйте 0x1310, чтобы вести журнал данных фатальных ошибок, параметров конфигурации, данных функций, сообщений трассировки для функций внутреннего управления.

Примечание: формат битовых масок уровней отладки был введён в версии 1.7.0.

По умолчанию: 0x0070 (то есть фатальные, критические и серьёзные ошибки; соответствует указанию значения «2» в десятичной записи)

--debug-timestamps=mode

1: добавить отметку времени к сообщениям отладки 0: отключить отметку времени в сообщениях отладки

По умолчанию: 1

--debug-microseconds=mode

1: добавить микросекунды в отметку времени в сообщениях отладки 0: отключить микросекунды в отметке времени

По умолчанию: 0

--logger=value

Расположение, в которое SSSD будет отправлять сообщения журнала. stderr: перенаправлять сообщения отладки в стандартный поток ошибок.

files: перенаправлять сообщения отладки в файлы журнала. По умолчанию файлы журнала хранятся в /var/log/sssd и представляют собой отдельные файлы для каждой службы и домена SSSD.

journald: перенаправлять сообщения отладки в systemd-journald

По умолчанию: не задано (использовать journald, если это возможно, в ином случае — stderr)

-D,--daemon

Запускаться в качестве службы.

-i,--interactive

Запускаться интерактивно, не в качестве службы.

-c,--config

Позволяет указать файл конфигурации, отличный от стандартного. Стандартным является /etc/sssd/sssd.conf. Сведения о синтаксисе и параметрах файла конфигурации доступны на справочной странице sssd.conf(5).

-g,--genconf

Не запускать SSSD, но обновить базу данных конфигурации содержимым /etc/sssd/sssd.conf и выйти.

-s,--genconf-section

Аналогично “--genconf”, но будет выполнено обновление только одного раздела файла конфигурации. Этот параметр полезен главным образом при вызове из файлов модулей systemd с целью позволить ответчикам, которые активируются с помощью сокетов, обновлять свою конфигурацию без необходимости в перезапуске всего сервиса SSSD администратором.

-?,--help

Показать справочное сообщение и выйти.

--version

Вывести номер версии и выйти.

## Сигналы
SIGTERM/SIGINT

Сообщает SSSD, что следует постепенно завершить все дочерние процессы и затем отключить монитор.

SIGHUP

Сообщает SSSD, что следует прекратить запись в текущие дескрипторы файлов отладки, закрыть их и затем открыть снова. Это должно облегчить свёртывание журнала с помощью таких программ, как logrotate.

SIGUSR1

Сообщает SSSD, что следует имитировать работу в автономном режиме в течение времени, заданного параметром “offline_timeout”. Это полезно при тестировании. Сигнал можно отправить либо процессу sssd, либо напрямую любому процессу sssd_be.

SIGUSR2

Сообщает SSSD, что следует немедленно перейти в сетевой режим. Это полезно при тестировании. Сигнал можно отправить либо процессу sssd, либо напрямую любому процессу sssd_be.

## ПРИМЕЧАНИЯ
Если переменная среды SSS_NSS_USE_MEMCACHE установлена в значение «NO», клиентские приложения не будут использовать быстрый кэш в памяти.

## СМ. ТАКЖЕ
sssd(8), sssd.conf(5), sssd-ldap(5), sssd-ldap-attributes(5), sssd-krb5(5), sssd-simple(5), sssd-ipa(5), sssd-ad(5), sssd-sudo(5), sssd-session-recording(5), sss_cache(8), sss_debuglevel(8), sss_obfuscate(8), sss_seed(8), sssd_krb5_locator_plugin(8), sss_ssh_authorizedkeys(8), sss_ssh_knownhostsproxy(8), sssd-ifp(5), pam_sss(8). sss_rpcidmapd(5)

## AUTHORS
Восходящий источник («апстрим») SSSD — https://github.com/SSSD/sssd/


package: sssd-client

title: pam_sss(8)

summary: модуль PAM для SSSD

text:
# pam_sss(8)

## NAME
pam_sss - модуль PAM для SSSD

## SYNOPSIS
pam_sss.so [quiet] [forward_pass] [use_first_pass] [use_authtok] [retry=N] [ignore_unknown_user] [ignore_authinfo_unavail] [domains=X] [allow_missing_name] [prompt_always] [try_cert_auth] [require_cert_auth]

## ОПИСАНИЕ
pam_sss.so — это интерфейс PAM к сервису SSSD. Ошибки и результаты записываются в журнал посредством syslog(3) с LOG_AUTHPRIV.

## ОПЦИИ
quiet

Подавлять сообщения журнала для неизвестных пользователей.

forward_pass

Если параметр forward_pass задан, введённый пароль будет помещён в стек для использования другими модулями PAM.

use_first_pass

Использование аргумента use_first_pass позволяет указать модулю принудительно использовать пароль ранее добавленного в стек модуля и никогда не запрашивать его у пользователя — если пароль недоступен или некорректен, пользователю будет отказано в доступе.

use_authtok

Если этот параметр задан, при смене пароля модуль установит в качестве нового пароля тот пароль, который предоставлен ранее добавленным в стек модулем обработки паролей.

retry=N

Если этот параметр задан, в случае неудачной проверки подлинности у пользователя будет N раз запрашиваться пароль. Значение по умолчанию — 0. Обратите внимание, что этот параметр может не работать ожидаемым образом, если приложение, которое вызывает PAM, самостоятельно обрабатывает диалог с пользователем. Типичный пример: sshd с PasswordAuthentication.

ignore_unknown_user

Если этот параметр указан и пользователь не существует, модуль PAM вернёт PAM_IGNORE. В результате платформа PAM игнорирует этот модуль.

ignore_authinfo_unavail

Позволяет указать, что модуль PAM должен вернуть PAM_IGNORE, если ему не удаётся связаться с сервисом SSSD. В результате платформа PAM игнорирует этот модуль.

domains

Позволяет администратору ограничить перечень доменов, в которых может проходить проверку подлинности определённая служба PAM. Формат: разделённый запятыми список имён доменов SSSD, в том виде, в котором они указаны в файле sssd.conf. ПРИМЕЧАНИЕ: при использовании для службы, которая запущена не от имени пользователя root (например, для веб-сервера), этот параметр необходимо использовать совместно с параметрами “pam_trusted_users” и “pam_public_domains”. Дополнительные сведения об этих двух параметрах ответчика PAM доступны на справочной странице sssd.conf(5).

allow_missing_name

Основная задача этого параметра — разрешить SSSD определять имя пользователя на основе дополнительной информации (например, сертификата со смарт-карты). В настоящее время используется диспетчерами входа, которые могут отслеживать события карты на устройстве чтения смарт-карт. При вставке смарт-карты диспетчер входа вызовет стек PAM, который включает строку наподобие

```
auth sufficient pam_sss.so allow_missing_name

```

В этом случае SSSD попытается определить имя пользователя на основе содержимого смарт-карты, потом вернёт его pam_sss, который затем поместит его в стек PAM.

prompt_always

Всегда запрашивать учётные данные у пользователя. Если этот параметр включён, учётные данные, запрошенные другими модулями PAM (обычно это пароль), будут игнорироваться и pam_sss будет запрашивать учётные данные снова. В зависимости от ответа предварительной проверки подлинности, полученного от SSSD, pam_sss может запросить пароль, PIN-код смарт-карты или другие учётные данные.

try_cert_auth

Пытаться применить проверку подлинности на основе сертификата, то есть проверку подлинности с помощью смарт-карты или аналогичных устройств. Если смарт-карта доступна и для службы разрешена проверка подлинности по смарт-карте, у пользователя будет запрошен PIN-код, после чего проверка подлинности на основе сертификата будет продолжена Если смарт-карта недоступна или для текущей службы не разрешена проверка подлинности на основе сертификата, возвращается PAM_AUTHINFO_UNAVAIL.

require_cert_auth

Выполнять проверку подлинности на основе сертификата, то есть проверку подлинности с помощью смарт-карты или аналогичных устройств. Если смарт-карта недоступна, пользователю будет предложено вставить её. SSSD будет ожидать вставки смарт-карты до истечения тайм-аута, определённого параметром p11_wait_for_card_timeout, подробные сведения доступны на справочной странице sssd.conf(5). Если смарт-карта недоступна по истечении тайм-аута или для текущей службы не разрешена проверка подлинности на основе сертификата, возвращается PAM_AUTHINFO_UNAVAIL.

## ПРЕДОСТАВЛЯЕМЫЕ ТИПЫ МОДУЛЕЙ
Предоставляются все типы модулей (account, auth, password и session).

Если ответчик PAM SSSD не запущен (например, когда недоступен сокет ответчика PAM), pam_sss вернёт PAM_USER_UNKNOWN при вызове в качестве модуля account, чтобы избежать проблем с пользователями из других источников во время управления доступом.

## ВОЗВРАЩАЕМЫЕ ЗНАЧЕНИЯ
PAM_SUCCESS

Операция PAM успешно завершена.

PAM_USER_UNKNOWN

Пользователь неизвестен службе проверки подлинности или не запущен ответчик PAM SSSD.

PAM_AUTH_ERR

Сбой при проверке подлинности. Кроме того, может быть возвращено в случае проблемы с получением сертификата.

PAM_PERM_DENIED

Доступ запрещён. В журнале SSSD могут быть дополнительные сведения об этой ошибке.

PAM_IGNORE

Смотрите описание параметров ignore_unknown_user и ignore_authinfo_unavail.

PAM_AUTHTOK_ERR

Не удалось получить новый маркер проверки подлинности. Кроме того, может быть возвращено, когда пользователь проходит проверку подлинности с помощью сертификатов и доступно несколько сертификатов, но установленная версия GDM не поддерживает выбор из нескольких сертификатов.

PAM_AUTHINFO_UNAVAIL

Не удалось получить доступ к данным проверки подлинности. Это может быть связано со сбоем сети или оборудования.

PAM_BUF_ERR

Произошла ошибка памяти. Кроме того, может быть возвращено в том случае, если заданы параметры use_first_pass или use_authtok, но не был найден пароль, предоставленный ранее добавленным в стек модулем PAM.

PAM_SYSTEM_ERR

Произошла системная ошибка. В журнале SSSD могут быть дополнительные сведения об этой ошибке.

PAM_CRED_ERR

Не удалось задать учётные данные пользователя.

PAM_CRED_INSUFFICIENT

Приложение не располагает учётными данными, достаточными для проверки подлинности пользователя. Например, отсутствует PIN-код при проверке подлинности по смарт-карте или отсутствует фактор при двухфакторной проверке подлинности.

PAM_SERVICE_ERR

Ошибка в модуле службы.

PAM_NEW_AUTHTOK_REQD

Срок действия маркера проверки подлинности пользователя истёк.

PAM_ACCT_EXPIRED

Срок действия учётной записи пользователя истёк.

PAM_SESSION_ERR

Не удалось получить правила профилей рабочего стола IPA или информацию о пользователе.

PAM_CRED_UNAVAIL

Не удалось получить учётные данные пользователя Kerberos.

PAM_NO_MODULE_DATA

Kerberos не был найден способ проверки подлинности. Это могло произойти, если для записи пользователя назначена смарт-карта, но на клиенте недоступен модуль pkint.

PAM_CONV_ERR

Сбой обмена данными.

PAM_AUTHTOK_LOCK_BUSY

Нет доступных KDC, которые подходят для смены пароля.

PAM_ABORT

Неизвестный вызов PAM.

PAM_MODULE_UNKNOWN

Неподдерживаемое задание или команда PAM.

PAM_BAD_ITEM

Модулю проверки подлинности не удалось обработать учётные данные со смарт-карты.

## ФАЙЛЫ
Когда не удаётся выполнить сброс пароля от имени пользователя root из-за того, что соответствующий поставщик SSSD не поддерживает сброс пароля, может быть показано отдельное сообщение. Это сообщение может, например, содержать инструкции по сбросу пароля.

Это сообщение читается из файла pam_sss_pw_reset_message.LOC, где LOC обозначает строку локали, возвращённую setlocale(3). Если такого файла нет, отображается содержимое pam_sss_pw_reset_message.txt. Владельцем файлов должен быть пользователь root, при этом права на чтение и запись могут быть только у пользователя root, а у всех остальных пользователей должны быть права только на чтение.

Поиск этих файлов выполняется в каталоге /etc/sssd/customize/DOMAIN_NAME/. Если соответствующего файла нет, будет показано общее сообщение.

## СМ. ТАКЖЕ
sssd(8), sssd.conf(5), sssd-ldap(5), sssd-ldap-attributes(5), sssd-krb5(5), sssd-simple(5), sssd-ipa(5), sssd-ad(5), sssd-sudo(5), sssd-session-recording(5), sss_cache(8), sss_debuglevel(8), sss_obfuscate(8), sss_seed(8), sssd_krb5_locator_plugin(8), sss_ssh_authorizedkeys(8), sss_ssh_knownhostsproxy(8), sssd-ifp(5), pam_sss(8). sss_rpcidmapd(5)

## AUTHORS
Восходящий источник («апстрим») SSSD — https://github.com/SSSD/sssd/


title: pam_sss_gss(8)

text:
# pam_sss_gss(8)

## NAME
pam_sss_gss - Модуль PAM для проверки подлинности с помощью GSSAPI в SSSD

## SYNOPSIS
pam_sss_gss.so [debug]

## ОПИСАНИЕ
pam_sss_gss.so выполняет проверку подлинности пользователя с помощью GSSAPI совместно с SSSD.

Этот модуль пытается проверить подлинность пользователя с помощью имени серверной службы GSSAPI host@hostname, при разрешении которого получается участник Kerberos host/hostname@REALM. Часть REALM имени участника Kerberos определяется с помощью внутренних механизмов Kerberos. Её можно указать в явном виде в конфигурации раздела [domain_realm] в /etc/krb5.conf.

SSSD используется для предоставления имени нужной службы и проверки учётных данных пользователя с помощью вызовов GSSAPI. Если билет службы уже присутствует в кэше учётных данных Kerberos или если билет пользователя на получение билетов может быть использован для получения билета соответствующей службы, проверка подлинности пользователя будет выполнена.

Если параметр pam_gssapi_check_upn установлен в значение «True» (по умолчанию), SSSD будет требоваться возможность сопоставления пользователю тех учётных данных, которые были использованы для получения билетов службы. Это означает, что участник, который является владельцем учётных данных Kerberos, должен соответствовать имени участника-пользователя, определённому в LDAP.

Чтобы включить в SSSD проверку подлинности с помощью GSSAPI, задайте параметр pam_gssapi_services в разделе [pam] или домена sssd.conf. Учётные данные службы должны храниться в таблице ключей SSSD (она уже присутствует, если используется поставщик данных IPA или AD). Расположение таблицы ключей можно указать с помощью параметра krb5_keytab. Подробные сведения об этих параметрах доступны на справочных страницах sssd.conf(5) и sssd-krb5(5).

Некоторых развёрнутые системы Kerberos позволяют связывать индикаторы проверки подлинности с определённым способом предварительной проверки подлинности, используемым для получения пользователем билета на получение билетов. pam_sss_gss.so позволяет принудительно установить обязательность наличия индикаторов проверки подлинности в билетах службы для получения возможности доступа к определённой службе PAM.

Если параметр pam_gssapi_indicators_map задан в разделе [pam] или домена sssd.conf, SSSD будет проверять билет службы на наличие настроенных индикаторов.

## ОПЦИИ
debug

Вывести данные отладки.

## ПРЕДОСТАВЛЯЕМЫЕ ТИПЫ МОДУЛЕЙ
Предоставляется только модуль типа auth.

## ВОЗВРАЩАЕМЫЕ ЗНАЧЕНИЯ
PAM_SUCCESS

Операция PAM успешно завершена.

PAM_USER_UNKNOWN

Пользователь неизвестен службе проверки подлинности или не поддерживается проверка подлинности с помощью GSSAPI.

PAM_AUTH_ERR

Сбой при проверке подлинности.

PAM_AUTHINFO_UNAVAIL

Не удалось получить доступ к данным проверки подлинности. Это может быть связано со сбоем сети или оборудования.

PAM_SYSTEM_ERR

Произошла системная ошибка. В журнале SSSD могут быть дополнительные сведения об этой ошибке.

## ПРИМЕРЫ
Основной вариант использования — обеспечить проверку подлинности без пароля в sudo, но без необходимости отключать проверку подлинности полностью. Для достижения такого результата следует сначала включить проверку подлинности с помощью GSSAPI для sudo в sssd.conf:

```
[domain/MYDOMAIN]
pam_gssapi_services = sudo, sudo-i

```

А затем следует включить модуль в нужном стеке PAM (например, /etc/pam.d/sudo и /etc/pam.d/sudo-i).

```
...
auth sufficient pam_sss_gss.so
...

```

## УСТРАНЕНИЕ НЕПОЛАДОК
Журнал SSSD, отладочный вывод pam_sss_gss и системный журнал могут содержать полезные сведения об ошибке. Вот некоторые распространённые проблемы:

1. Переменная среды KRB5CCNAME задана, и проверка подлинности не работает: в зависимости от используемой версии sudo, возможно, что sudo не передаёт эту переменную среде PAM. Попробуйте добавить KRB5CCNAME в раздел env_keep в /etc/sudoers или в стандартные параметры правил sudo для LDAP.

2. Проверка подлинности не работает, и в системном журнале есть запись «Server not found in Kerberos database»: вероятно, Kerberos не удалось определить корректную область для билета службы на основе имени узла. Попробуйте добавить имя узла непосредственно в раздел [domain_realm] в /etc/krb5.conf следующим образом:

3. Проверка подлинности не работает, и в системном журнале есть запись «No Kerberos credentials available»: отсутствуют учётные данные, которые можно было бы использовать для получения необходимого билета службы. Используйте kinit или пройдите проверку подлинности с помощью SSSD для получения этих учётных данных.

4. Проверка подлинности не работает, и в журнале sssd-pam SSSD есть запись «User with UPN [$UPN] was not found.» или «UPN [$UPN] does not match target user [$username].»: используются учётные данные, которые нельзя сопоставить тому пользователю, проверка подлинности которого проводится. Попробуйте использовать kswitch для выбора другого участника, убедитесь, что проверка подлинности с помощью SSSD пройдена, или отключите pam_gssapi_check_upn.

```
[domain_realm]
.myhostname = MYREALM

```

## СМ. ТАКЖЕ
sssd(8), sssd.conf(5), sssd-ldap(5), sssd-ldap-attributes(5), sssd-krb5(5), sssd-simple(5), sssd-ipa(5), sssd-ad(5), sssd-sudo(5), sssd-session-recording(5), sss_cache(8), sss_debuglevel(8), sss_obfuscate(8), sss_seed(8), sssd_krb5_locator_plugin(8), sss_ssh_authorizedkeys(8), sss_ssh_knownhostsproxy(8), sssd-ifp(5), pam_sss(8). sss_rpcidmapd(5)

## AUTHORS
Восходящий источник («апстрим») SSSD — https://github.com/SSSD/sssd/


title: sssd_krb5_localauth_plugin(8)

summary: Модуль локальной авторизации Kerberos

text:
# sssd_krb5_localauth_plugin(8)

## NAME
sssd_krb5_localauth_plugin - Модуль локальной авторизации Kerberos

## ОПИСАНИЕ
Подключаемый модуль локальной авторизации Kerberos sssd_krb5_localauth_plugin используется libkrb5 либо для поиска локального имени для данного принципала Kerberos, либо для проверки того, связаны ли данное локальное имя и данный принципал Kerberos друг с другом.

SSSD обрабатывает локальные имена пользователей из удаленного источника, а также может считывать имя пользователя (UPN) Kerberos из удаленного источника. С помощью этой информации SSSD может легко обрабатывать сопоставления, упомянутые выше, даже если локальное имя и принципал Kerberos значительно различаются.

Кроме того, благодаря информации, считанной с удаленного источника, SSSD может предотвратить неожиданные или нежелательные привязки в случае, если пользовательская часть принципала Kerberos случайно совпадает с локальным именем другого пользователя. По умолчанию libkrb5 может просто удалить из регистрационной записи Kerberos часть, связанную с областью действия, для получения локального имени, что в этом случае может привести к ошибочным привязкам.

## КОНФИГУРАЦИЯ
Подключаемый модуль локальной авторизации Kerberos должен быть явно включен в конфигурации Kerberos, см. krb5.conf(5). SSSD автоматически создаст фрагмент конфигурации, например, с таким содержимым:

```
[plugins]

 localauth = {

  module = sssd:/usr/lib64/sssd/modules/sssd_krb5_localauth_plugin.so

 }
```

в общедоступном каталоге фрагментов конфигурации SSSD Kerberos. Если этот каталог включен в локальную конфигурацию Kerberos, подключаемый модуль будет включен автоматически.

## СМ. ТАКЖЕ
sssd(8), sssd.conf(5), sssd-ldap(5), sssd-ldap-attributes(5), sssd-krb5(5), sssd-simple(5), sssd-ipa(5), sssd-ad(5), sssd-sudo(5), sssd-session-recording(5), sss_cache(8), sss_debuglevel(8), sss_obfuscate(8), sss_seed(8), sssd_krb5_locator_plugin(8), sss_ssh_authorizedkeys(8), sss_ssh_knownhostsproxy(8), sssd-ifp(5), pam_sss(8). sss_rpcidmapd(5)

## AUTHORS
Восходящий источник («апстрим») SSSD — https://github.com/SSSD/sssd/


title: sssd_krb5_locator_plugin(8)

summary: Модуль локатора Kerberos

text:
# sssd_krb5_locator_plugin(8)

## NAME
sssd_krb5_locator_plugin - Модуль локатора Kerberos

## ОПИСАНИЕ
Модуль локатора Kerberos sssd_krb5_locator_plugin используется libkrb5 для поиска KDC для указанной области Kerberos. SSSD предоставляет этот модуль для направления всех клиентов Kerberos в системе в один KDC. В целом, не имеет значения, с каким KDC обменивается данными клиентский процесс. Но в некоторых случаях (например, после смены пароля) не все KDC находятся в одинаковом состоянии, поскольку для этого сначала необходимо выполнить репликацию новых данных. Чтобы избежать неожиданных сбоев проверки подлинности и, возможно, даже блокировки учётных записей, следует как можно дольше выполнять обмен данными с одним KDC.

libkrb5 выполнит поиск модуля локатора в подкаталоге libkrb5 каталога модулей Kerberos (см. plugin_base_dir в krb5.conf(5)). Модуль можно отключить, только удалив соответствующий файл модуля. В конфигурации Kerberos не предусмотрен параметр для его отключения. Но для отдельных команд модуль можно отключить с помощью переменной среды SSSD_KRB5_LOCATOR_DISABLE. Либо можно использовать параметр SSSD krb5_use_kdcinfo=False, чтобы не создавать данные, которые требуются для работы модуля. В этом случае модуль по-прежнему будет вызываться, но не предоставит данные вызывающей стороне, поэтому libkrb5 перейдёт к использованию других методов, определённых в krb5.conf.

Модуль выполняет чтение информации о KDC указанной области из файла kdcinfo.REALM. Этот файл должен содержать одно или несколько DNS-имён или IP-адресов (либо в десятичной записи IPv4, либо в шестнадцатеричной записи IPv6). В конце можно (необязательно) добавить номер порта, отделив его двоеточием; в этом случае адрес IPv6 необходимо, как и обычно, заключить в квадратные скобки. Корректные записи:

•kdc.example.com

•kdc.example.com:321

•1.2.3.4

•5.6.7.8:99

•2001:db8:85a3::8a2e:370:7334

•[2001:db8:85a3::8a2e:370:7334]:321

Поставщик данных проверки подлинности krb5 SSSD, который также используется поставщиками данных IPA и AD, добавляет в этот файл адрес текущего KDC или контроллера домена, который используется SSSD.

В средах с доступными только для чтения и доступными для чтения и записи KDC, где, как ожидается, клиенты будут использовать для общих операций экземпляры, доступные только для чтения, а для изменений конфигурации, таких как смена пароля, — только KDC, доступные для чтения и записи, также используется файл kpasswdinfo.REALM для идентификации доступных для чтения и записи KDC. Если этот файл существует для указанной области, его содержимое будет использовано модулем для ответа на запросы по серверу kpasswd или kadmin или определённому основному KDC MIT Kerberos. Если адрес содержит номер порта, для последнего будет использоваться стандартный порт KDC 88.

## ПРИМЕЧАНИЯ
Не все реализации Kerberos поддерживают использование модулей. Если в системе нет sssd_krb5_locator_plugin, необходимо отредактировать файл /etc/krb5.conf в соответствии с используемой версией Kerberos.

Если переменная среды SSSD_KRB5_LOCATOR_DEBUG установлена в какое-либо значение, сообщения отладки будут отправляться в stderr.

Если переменная среды SSSD_KRB5_LOCATOR_DISABLE установлена в какое-либо значение, модуль отключён и просто вернёт вызывающей стороне KRB5_PLUGIN_NO_HANDLE.

Если переменная среды SSSD_KRB5_LOCATOR_IGNORE_DNS_FAILURES установлена в какое-либо значение, модуль будет пытаться разрешить все DNS-имена в файле kdcinfo. По умолчанию модуль возвращает вызывающей стороне KRB5_PLUGIN_NO_HANDLE сразу после первой неудачи при разрешении DNS.

## СМ. ТАКЖЕ
sssd(8), sssd.conf(5), sssd-ldap(5), sssd-ldap-attributes(5), sssd-krb5(5), sssd-simple(5), sssd-ipa(5), sssd-ad(5), sssd-sudo(5), sssd-session-recording(5), sss_cache(8), sss_debuglevel(8), sss_obfuscate(8), sss_seed(8), sssd_krb5_locator_plugin(8), sss_ssh_authorizedkeys(8), sss_ssh_knownhostsproxy(8), sssd-ifp(5), pam_sss(8). sss_rpcidmapd(5)

## AUTHORS
Восходящий источник («апстрим») SSSD — https://github.com/SSSD/sssd/


sssd-kcm

package: sssd-kcm

title: sssd-kcm(8)

summary: Диспетчер кэшей Kerberos SSSD

text:
# sssd-kcm(8)

## NAME
sssd-kcm - Диспетчер кэшей Kerberos SSSD

## ОПИСАНИЕ
На этой справочной странице представлено описание настройки диспетчера кэшей Kerberos SSSD (Kerberos Cache Manager или KCM). KCM — это процесс, который хранит кэши учётных данных Kerberos, отслеживает эти кэши и управляет ими. Он был создан на основе проекта Heimdal Kerberos, хотя библиотека MIT Kerberos также предоставляет поддержку со стороны клиента (подробнее об этом далее) для кэша учётных данных KCM.

В конфигурации, где кэшами Kerberos управляет KCM, библиотека Kerberos (обычно используемая через приложение, например kinit(1)) является “клиентом KCM”, а внутренняя служба KCM называется “сервером KCM”. Клиент и сервер обмениваются данными с помощью сокета UNIX.

Сервер KCM следит за всеми владельцами кэшей учётных данных и осуществляет управление проверками прав доступа на основе UID и GID клиента KCM. Пользователь root имеет доступ ко всем кэшам учётных данных.

Кэш учётных данных KCM обладает несколькими интересными свойствами:

•так как процесс выполняется в пространстве пользователей, он подлежит ограничениям по пространству имён UID, в отличие от набора ключей ядра

•в отличие от кэша на основе набора ключей ядра, который является общим для всех контейнеров, сервер KCM представляет собой отдельный процесс, точкой входа которого является сокет UNIX

•реализация SSSD сохраняет данные ccache в базе данных (обычно она находится по адресу /var/lib/sss/secrets), что позволяет не терять эти данные при перезапусках сервера KCM или перезагрузках компьютера.

Это позволяет системе использовать кэш учётных данных с учётом сбора, одновременно делая кэш учётных данных общим для нескольких контейнеров (или для никаких контейнеров вообще) путём привязки-монтирования сокета.

Тайм-аут простоя клиента KCM по умолчанию составляет 5 минут, что предоставляет больше времени на взаимодействие пользователя с инструментами командной строки, например kinit.

## ИСПОЛЬЗОВАНИЕ КЭША УЧЁТНЫХ ДАННЫХ KCM
Чтобы использовать кэш учётных данных KCM, необходимо выбрать его в качестве стандартного типа учётных данных в krb5.conf(5). Именем кэша учётных данных может быть только “KCM:”, без каких-либо расширений шаблонов. Например:

```
[libdefaults]

    default_ccache_name = KCM:

```

Далее следует указать одинаковый путь к сокету UNIX для клиентских библиотек Kerberos и сервера KCM. По умолчанию и для библиотек, и для сервера используется путь /var/run/.heim_org.h5l.kcm-socket. Чтобы настроить библиотеку Kerberos, измените её параметр “kcm_socket”, описание которого приводится на справочной странице krb5.conf(5).

И наконец, следует убедиться, что с сервером KCM SSSD можно связаться. Служба KCM обычно активируется systemd(1) с помощью сокета. В отличие от других служб SSSD, её нельзя запустить, добавив строку “kcm” к инструкции “service”.

```
systemctl start sssd-kcm.socket
systemctl enable sssd-kcm.socket

```

Обратите внимание, что в дистрибутиве уже может быть выполнена соответствующая настройка модулей.

## ХРАНИЛИЩЕ КЭША УЧЁТНЫХ ДАННЫХ
Кэши учётных данных хранятся в базе данных, что очень похоже на хранение кэшей записей пользователей и групп SSSD. Обычно эта база данных находится по адресу “/var/lib/sss/secrets”.

## ПОЛУЧЕНИЕ ЖУРНАЛА ОТЛАДКИ
Служба sssd-kcm обычно активируется на сокете systemd(1). Для генерации журнала отладки добавьте следующее либо непосредственно в файл /etc/sssd/sssd.conf, либо как фрагмент конфигурации в каталог /etc/sssd/conf.d/:

```
[kcm]
debug_level = 10

```

Затем перезапустите службу sssd-kcm:

```
systemctl restart sssd-kcm.service

```

И выполните те действия, которые не приводят к желаемым результатам. Журнал KCM будет записан в /var/log/sssd/sssd_kcm.log. Когда в работе службы отладки больше не будет необходимости, рекомендуется отключить журнал отладки, так как служба sssd-kcm может генерировать довольно большое количество данных отладки.

Обратите внимание, что в настоящее время фрагменты конфигурации обрабатываются только в том случае, если основной файл конфигурации по пути /etc/sssd/sssd.conf существует.

## ПАРАМЕТРЫ КОНФИГУРАЦИИ
Служба KCM настраивается в разделе “kcm” файла sssd.conf. Обратите внимание: так как служба KCM обычно активируется с помощью сокета, достаточно просто перезапустить службу “sssd-kcm” после изменения параметров в разделе “kcm” sssd.conf:

```
systemctl restart sssd-kcm.service

```

Настройки службы KCM выполняются с помощью “kcm”. Подробные сведения о синтаксисе доступны в разделе “ФОРМАТ ФАЙЛА” справочной страницы sssd.conf(5).

Службе kcm можно передавать типовые параметры сервиса SSSD, такие как “debug_level” или“fd_limit”. Полный список параметров доступен на справочной странице sssd.conf(5). Кроме того, предусмотрено несколько специфичных для KCM параметров.

socket_path (строка)

Сокет, на котором будет ожидать передачи данных служба KCM. По умолчанию: /var/run/.heim_org.h5l.kcm-socket

Примечание: на платформах, которые поддерживают systemd, путь к сокету перезаписан путём, который определён в файле модуля sssd-kcm.socket.

max_ccaches (целое число)

Сколько кэшей учётных данных может содержать база данных KCM для всех пользователей. По умолчанию: 0 (без ограничений, принудительно применяется только квота для отдельного UID)

max_uid_ccaches (целое число)

Сколько кэшей учётных данных может содержать база данных KCM для одного UID. Это эквивалентно “количеству участников, инициализацию которых можно выполнить с помощью kinit”. По умолчанию: 64

max_ccache_size (целое число)

Максимальный размер кэша учётных данных для отдельного ccache. Эта квота вычисляется сразу для всех билетов служб. По умолчанию: 65536

krb5_auth_timeout (целое число)

Тайм-аут в секундах после прерывания запроса проверки подлинности или смены пароля в сетевом режиме. Обработка запроса проверки подлинности будет продолжена в автономном режиме, если это возможно. По умолчанию: 6

krb5_validate (логическое значение)

Проверить с помощью krb5_keytab, что полученный TGT не был подменён. Проверка записей в таблице ключей выполняется последовательно, для проверки действительности используется первая запись с соответствующей областью. Если области не соответствует ни одна из записей, используется последняя запись в таблице ключей. Этот процесс можно использовать для проверки сред, где используются межобластные отношения доверия, поместив соответствующую запись таблицы ключей в качестве последней или единственной записи в файле таблицы ключей. По умолчанию: false (для поставщиков данных IPA и AD: true)

Обратите внимание, что проверка билета — это первый шаг при проверке PAC (дополнительные сведения доступны в описании параметра «pac_check» на справочной странице sssd.conf(5)). Если проверка билета отключена, проверки PAC также будут пропущены.

krb5_renewable_lifetime (строка)

Запросить обновляемый билет с общим временем жизни, указанным как целое число, сразу после которого следует единица измерения времени: s для секунд

m для минут

h для часов

d для дней.

Если единица измерения не указана, предполагается, что используется значение s.

ПРИМЕЧАНИЕ: единицы измерения нельзя смешивать. Чтобы установить обновляемое время жизни равным полутора часам, укажите «90m», а не «1h30m».

По умолчанию: не задано, то есть TGT не является обновляемым

krb5_lifetime (строка)

Запросить билет с временем жизни, указанным как целое число, сразу после которого следует единица измерения времени: s для секунд

m для минут

h для часов

d для дней.

Если единица измерения не указана, предполагается, что используется значение s.

ПРИМЕЧАНИЕ: единицы измерения нельзя смешивать. Чтобы установить время жизни равным полутора часам, укажите «90m», а не «1h30m».

По умолчанию: не задано, то есть стандартное время жизни билета, настроенное в параметрах KDC.

krb5_renew_interval (строка)

Время в секундах между двумя проверками того, следует ли обновить TGT. Обновление TGT выполняется в том случае, если прошла примерно половина времени жизни билета, указанного как целое число, сразу после которого следует единица измерения времени: s для секунд

m для минут

h для часов

d для дней.

Если единица измерения не указана, предполагается, что используется значение s.

ПРИМЕЧАНИЕ: единицы измерения нельзя смешивать. Чтобы установить обновляемое время жизни равным полутора часам, укажите «90m», а не «1h30m».

Если этот параметр не указан или установлен в значение «0», автоматическое обновление отключено.

По умолчанию: не задано

krb5_canonicalize (логическое значение)

Позволяет указать, следует ли приводить в каноническую форму имя участника-узла и участника-пользователя. Эта возможность доступна в MIT Kerberos 1.7 и выше. По умолчанию: false

## СМ. ТАКЖЕ
sssd(8), sssd.conf(5),

## AUTHORS
Восходящий источник («апстрим») SSSD — https://github.com/SSSD/sssd/


package: sssd-tools

title: sss_debuglevel(8)

text:
# sss_debuglevel(8)

## NAME
sss_debuglevel - [НЕ РЕКОМЕНДУЕТСЯ] изменить уровень отладки во время работы SSSD

## SYNOPSIS
sss_debuglevel [параметры] НОВЫЙ_УРОВЕНЬ_ОТЛАДКИ

## ОПИСАНИЕ
sss_debuglevel устарела и заменена командой debug-level sssctl. Дополнительные сведения об использовании sssctl доступны на man-странице sssctl.

## СМ. ТАКЖЕ
sssd(8), sssd.conf(5), sssd-ldap(5), sssd-ldap-attributes(5), sssd-krb5(5), sssd-simple(5), sssd-ipa(5), sssd-ad(5), sssd-sudo(5), sssd-session-recording(5), sss_cache(8), sss_debuglevel(8), sss_obfuscate(8), sss_seed(8), sssd_krb5_locator_plugin(8), sss_ssh_authorizedkeys(8), sss_ssh_knownhostsproxy(8), sssd-ifp(5), pam_sss(8). sss_rpcidmapd(5)

## AUTHORS
Восходящий источник («апстрим») SSSD — https://github.com/SSSD/sssd/


title: sss_obfuscate(8)

summary: скрыть открытый пароль

text:
# sss_obfuscate(8)

## NAME
sss_obfuscate - скрыть открытый пароль

## SYNOPSIS
sss_obfuscate [параметры] [ПАРОЛЬ]

## ОПИСАНИЕ
sss_obfuscate преобразует указанный пароль в формат, нечитаемый человеком, и помещает его в соответствующем разделе домена файла конфигурации SSSD.

Открытый пароль читается из потока стандартного ввода или вводится в интерактивном режиме. Скрытый пароль помещается в параметр “ldap_default_authtok” указанного домена SSSD, и параметр “ldap_default_authtok_type” устанавливается в значение “obfuscated_password”. Дополнительные сведения об этих параметрах доступны на справочной странице sssd-ldap(5).

Обратите внимание, что скрытие пароля на самом деле не повышает уровень безопасности, так как злоумышленник всё равно сможет реконструировать пароль. Настоятельно рекомендуется использовать более совершенные механизмы проверки подлинности (например, сертификаты на стороне клиента или GSSAPI).

## ОПЦИИ
-h,--help

Показать справочное сообщение и выйти.

-s,--stdin

Пароль для скрытия будет прочитан из потока стандартного ввода.

-d,--domain DOMAIN

Домен SSSD, в котором используется пароль. Имя по умолчанию: “default”.

-f,--file FILE

Прочитать файл конфигурации, указанный с помощью позиционного параметра. По умолчанию: /etc/sssd/sssd.conf

## СМ. ТАКЖЕ
sssd(8), sssd.conf(5), sssd-ldap(5), sssd-ldap-attributes(5), sssd-krb5(5), sssd-simple(5), sssd-ipa(5), sssd-ad(5), sssd-sudo(5), sssd-session-recording(5), sss_cache(8), sss_debuglevel(8), sss_obfuscate(8), sss_seed(8), sssd_krb5_locator_plugin(8), sss_ssh_authorizedkeys(8), sss_ssh_knownhostsproxy(8), sssd-ifp(5), pam_sss(8). sss_rpcidmapd(5)

## AUTHORS
Восходящий источник («апстрим») SSSD — https://github.com/SSSD/sssd/


title: sss_override(8)

text:
# sss_override(8)

## NAME
sss_override - создать локальные переопределения атрибутов пользователя и группы

## SYNOPSIS
sss_override КОМАНДА [параметры]

## ОПИСАНИЕ
sss_override позволяет создать представление на стороне клиента и изменить выбранные значения для определённых пользователей и групп. Изменения будут применены только на локальном компьютере.

Данные переопределений хранятся в кэше SSSD. При удалении кэша все локальные переопределения будут потеряны. Обратите внимание, что после создания первого переопределения с помощью любой из следующих команд: user-add, group-add, user-import или group-import, необходимо перезапустить SSSD для вступления изменений в силу. Когда требуется перезапуск, sss_override отображает соответствующее сообщение.

ПРИМЕЧАНИЕ: представленные на этой справочной странице параметры работают только для значений “ldap” и “AD” параметра “ id_provider”. Переопределениями IPA можно управлять централизованно на сервере IPA.

## ДОСТУПНЫЕ КОМАНДЫ
Аргумент NAME — это имя исходного объекта во всех командах. Невозможно переопределить uid или gid в значение «0».

user-add NAME [-n,--name NAME] [-u,--uid UID] [-g,--gid GID] [-h,--home HOME] [-s,--shell SHELL] [-c,--gecos GECOS] [-x,--certificate BASE64 ENCODED CERTIFICATE]

Переопределить атрибуты пользователя. Следует учитывать, что при вызове этой команды для указанного по имени (NAME) пользователя будет заменено предыдущее переопределение, если таковое имеется.

user-del NAME

Удалить переопределения пользователя. Необходимо учитывать, что переопределённые атрибуты могут быть возвращены из кэша в памяти. Подробные сведения доступны в описании параметра SSSD memcache_timeout.

user-find [-d,--domain DOMAIN]

Вывести список всех пользователей, для которых заданы переопределения. Если параметр DOMAIN задан, будут показаны только пользователи из указанного домена.

user-show NAME

Показать переопределения пользователя.

user-import FILE

Импортировать переопределения пользователя из FILE. Формат данных аналогичен стандартному файлу passwd. Формат: original_name:name:uid:gid:gecos:home:shell:base64_encoded_certificate

где original_name — исходное имя пользователя, атрибуты которого следует переопределить. Остальные поля соответствуют новым значениям. Чтобы не указывать значение, просто оставьте соответствующее поле пустым.

Примеры:

ckent:superman::::::

ckent@krypton.com::501:501:Superman:/home/earth:/bin/bash:

user-export FILE

Экспортировать все переопределённые атрибуты и сохранить их в FILE. Сведения о формате данных доступны в описании команды user-import.

group-add NAME [-n,--name NAME] [-g,--gid GID]

Переопределить атрибуты группы. Следует учитывать, что при вызове этой команды для указанной по имени (NAME) группы будет заменено предыдущее переопределение, если таковое имеется.

group-del NAME

Удалить переопределения группы. Необходимо учитывать, что переопределённые атрибуты могут быть возвращены из кэша в памяти. Подробные сведения доступны в описании параметра SSSD memcache_timeout.

group-find [-d,--domain DOMAIN]

Вывести список всех групп, для которых заданы переопределения. Если параметр DOMAIN задан, будут показаны только группы из указанного домена.

group-show NAME

Показать переопределения группы.

group-import FILE

Импортировать переопределения группы из FILE. Формат данных аналогичен стандартному файлу group. Формат: original_name:name:gid

где original_name — исходное имя группы, атрибуты которой следует переопределить. Остальные поля соответствуют новым значениям. Чтобы не указывать значение, просто оставьте соответствующее поле пустым.

Примеры:

admins:administrators:

Domain Users:Users:501

group-export FILE

Экспортировать все переопределённые атрибуты и сохранить их в FILE. Сведения о формате данных доступны в описании команды group-import.

## ОБЩИЕ ПАРАМЕТРЫ
Эти параметры доступны для всех команд.

--debug LEVEL

В SSSD предусмотрены два представления для указания уровня отладки. Более простое представление позволяет указать десятичное значение в диапазоне от 0 до 9, которое будет включать соответствующий уровень и все более низкие уровни сообщений отладки. Более сложное представление позволяет указать шестнадцатеричную битовую маску для включения или отключения (подавления) отдельных уровней. В настоящее время поддерживаются следующие уровни отладки:

0, 0x0010: фатальные ошибки. Всё, что не позволяет выполнить запуск SSSD или вызывает прекращение работы сервиса.

1, 0x0020: критические ошибки. Ошибка, которая не прекращает работу SSSD, но означает, что как минимум одна важная функциональная возможность не будет работать надлежащим образом.

2, 0x0040: серьёзные ошибки. Ошибка, которая сообщает о завершении неудачей определённого запроса или действия.

3, 0x0080: незначительные ошибки. Это ошибки, которые могут стать причиной ошибок 2-го уровня (ошибок при выполнении действий).

4, 0x0100: параметры конфигурации.

5, 0x0200: данные функций.

6, 0x0400: сообщения трассировки для функций действий.

7, 0x1000: сообщения трассировки для функций внутреннего управления.

8, 0x2000: содержимое внутренних переменных функций, которое может представлять интерес.

9, 0x4000: информация трассировки крайне низкого уровня.

10, 0x10000: информация трассировки libldb ещё более низкого уровня. Практически никогда не требуется.

Чтобы выполнять ведение журнала для необходимых уровней отладки, указанных в представлении битовых масок, просто сложите их номера, как показано в следующих примерах:

Пример: используйте 0x0270, чтобы вести журнал данных фатальных ошибок, критических ошибок, серьёзных ошибок и данных функций.

Пример: используйте 0x1310, чтобы вести журнал данных фатальных ошибок, параметров конфигурации, данных функций, сообщений трассировки для функций внутреннего управления.

Примечание: формат битовых масок уровней отладки был введён в версии 1.7.0.

По умолчанию: 0x0070 (то есть фатальные, критические и серьёзные ошибки; соответствует указанию значения «2» в десятичной записи)

## СМ. ТАКЖЕ
sssd(8), sssd.conf(5), sssd-ldap(5), sssd-ldap-attributes(5), sssd-krb5(5), sssd-simple(5), sssd-ipa(5), sssd-ad(5), sssd-sudo(5), sssd-session-recording(5), sss_cache(8), sss_debuglevel(8), sss_obfuscate(8), sss_seed(8), sssd_krb5_locator_plugin(8), sss_ssh_authorizedkeys(8), sss_ssh_knownhostsproxy(8), sssd-ifp(5), pam_sss(8). sss_rpcidmapd(5)

## AUTHORS
Восходящий источник («апстрим») SSSD — https://github.com/SSSD/sssd/