vzctl

title: vzctl(8)

summary: менеджер виртуальных сред

text:
# vzctl(8)

## ИМЯ
vzctl - менеджер виртуальных сред

## ОБЗОР
vzctl [flags] create идентификатор-среды --ostemplate имя] [--config имя] [--private путь] [--root путь] [--ipadd адрес] [--hostname имя]

vzctl [flags] set идентификатор-среды [параметры] [--save]

vzctl [flags] destroy | mount | umount | start | stop | restart | status | enter идентификатор-среды

vzctl [flags] exec | exec2 идентификатор-среды команда [аргумент ...]

vzctl runscript идентификатор-среды сценарий

vzctl --help | --version

## ОПИСАНИЕ
Утилита vzctl запускается на физическом компьютере (Hardware Node - HN) и позволяет управлять виртуальными средами (Virtual Environment - VE).

Виртуальная среда идентифицируется либо по числовому идентификатору-среды, либо по имени (см. ключ --name). Идентификаторы <= 100 зарезервированы для внутреннего использования OpenVZ.

## ОПЦИИ

### Флаги
Следующие флаги можно использовать практически с любыми другими ключами.

--quiet

Не выводить сообщения на экран и в протокол.

--verbose

Выводить максимально подробные сообщения.

### Настройка параметров виртуальных сред
set идентификатор-среды [параметры] [--save]

Эта команда позволяет изменять различные параметры виртуальной среды с указанным идентификатором. Флаг --save включает сохранение параметров в файле конфигурации виртуальной среды vps.conf(5). Если виртуальная среда запущена, изменения вступают в силу незамедлительно. С командой set можно указывать следующие опции:

Общие параметры

--onboot yes|no

Запускать ли виртуальную среду при загрузке системы. По умолчанию это не происходит и для изменения этого поведения укажите значение yes.

--root путь

Корневой каталог для данной виртуальной среды. По сути это точка монтирования корневого каталога виртуальной среды. В значении должна содержаться последовательность $VEID, которая будет заменена на идентификатор среды. Изменять этот параметр не рекомендуется, вместо этого лучше внести изменения в глобальный файл конфигурации vz(5).

--userpasswd пользователь:пароль

Задать пароль для данного пользователя в виртуальной среде. Если пользователь не существует, он будет создан. Этот параметр не влияет на файл конфигурации. (следовательно указание --save не имеет смысла). Вместо этого изменяются файлы /etc/passwd и /etc/shadow в виртуальной среде. Если корневой каталог виртуальной среды не смонтирован, то он предварительно монтируется. После внесения изменений в файлы выполняется размонтирование.

Данная опция требует, чтобы область виртуальной среды существовала заранее.

--disabled yes|no

Запретить запуск виртуальной среды. Для принудительного её запуска выполните vzctl start с опцией --force.

--name имя

Присвоить имя виртуальной среде. Его затем можно будет использовать вместо идентификатора. Среде можно присвоить несколько имён.

--setmode restart|ignore

Перезапускать ли виртуальную среду после изменения параметров требующих этого.

Параметры работы с сетью

--ipadd адрес

Назначить IP-адрес виртуальной среде. Среде можно назначить несколько адресов.

--ipdel адрес | all

Отменить назначение IP-адреса виртуальной среде. Для отмены всех назначений адресов данной среде укажите --ipdel all.

--hostname имя

Задать имя хоста виртуальной среды. Оно записывается в соответствующий файл в самой среде, имя которого зависит от дистрибутива.

--nameserver адрес

IP-адрес сервера DNS, который должен использоваться виртуальной средой. Несколько серверов DNS необходимо задавать одной командой, используя данную опцию несколько раз Все IP-адреса серверов DNS, которые имелись в конфигурации до вызова команды, удаляются.

--searchdomain имя

Домены для поиска DNS. Несколько доменов необходимо задавать одной командой, используя данную опцию несколько раз Все домены, которые имелись в конфигурации до вызова команды, удаляются.

--netif_add интерфейс[,mac,интерфейс-хоста,mac-хоста]

Добавить виртуальное устройство ethernet (veth) в виртуальную среду. интерфейс - будущее имя устройства ethernet в среде, mac - MAC-адрес, интерфейс-хоста - имя устройства ethernet на хосте, mac-хоста - MAC-адрес там же. Формат MAC-адресов: XX:XX:XX:XX:XX:XX. Все параметры кроме интерфейс необязательны и генерируются автоматически если не указаны.

Настройка интерфейса

Следующие опции позволяют изменять параметры уже существующих интерфейсов ethernet. Настраиваемый интерфейс указывается через --ifname имя.

--mac XX:XX:XX:XX:XX:XX - MAC-адрес интерфейса в виртуальной среде.

--host_ifname имя - интерфейс в VE0.

--host_mac XX:XX:XX:XX:XX:XX - MAC-адрес интерфейса в VE0.

--netif_del устройство|all

Удалить виртуальное устройство ethernet из среды. Для удаления всех устройств укажите all.

Ограничение использования ресурсов

Следующие опции позволяют наложить ограничения на использование тех или иных ресурсов. Каждая из них требует один или два аргумента. Если указывается один аргумент, vzctl устанавливает строгое ограничение. Если указываются два значения (через двоеточие), первый считается нестрогим ограничением (барьером), а второй - строгим (лимитом).

Единицы - элементы, страницы и байты. Размер страницы зависит от архитектуры, например на IA32 это 4096 байт.

Для всех параметров set, не начинающихся на num, можно указывать приставки единиц. Например, vzctl set идентификатор-среды --privvmpages 5M:6M задаст нестрогое ограничение на максимальный общий размер частных виртуальных страниц памяти (privvmpages) в 5 Мб и строгое - в 6 Мб.

Допустимые приставки:

g, G -- гигабайты.

m, M -- мегабайты.

k, K -- килобайты.

p, P -- страницы (4096 байт на x86).

--numproc число[:число]

Ограничение на число процессов и потоков на уровне ядра. Указание нестрогого ограничения не имеет смысла.

--numtcpsock число[:число]

Ограничение на число сокетов TCP, а, следовательно, и на число клиентов, которых может обслуживать сервер одновременно. Указание нестрогого ограничения не имеет смысла.

--numothersock число[:число]

Ограничение на число сокетов, отличных от сокетов TCP (т.е. локальных, UDP и прочих). Указание нестрогого ограничения не имеет смысла.

--vmguarpages число-страниц[:число-страниц]

Объём памяти, гарантированно доступный виртуальной среде. Нестрогое ограничение - это объём памяти который может быть выделен приложению. Смысл строгого ограничения на данный момент не определён. Он должен быть установлен в 2147483647.

--kmemsize число-байт[:число-байт]

Объём памяти доступной ядру. Этот параметр имеет отношение также к --numproc. Каждый процесс потребляет некоторую часть блока памяти ядра

- как минимум 16 кб и обычно на уровне 30-50 кб. Некоторым процессам требуется больше. Между строгим и нестрогим ограничениями должен быть достаточный зазор, иначе в некоторый момент времени ядру придётся удалять уже существующие процессы для выполнения строгого ограничения kmemsize.

--tcpsndbuf число-байт[:число-байт]

Ограничение на объём памяти, занимаемой буферами отправки TCP. Не должно быть меньше 64 кб, и разница между строгим и нестрогим ограничениями должна быть не меньше значения numtcpsock умноженного на 2,5 кб.

--tcprcvbuf число-байт[:число-байт]

Ограничение на объём памяти, занимаемой буферами приёма TCP. Не должно быть меньше 64 кб, и разница между строгим и нестрогим ограничениями должна быть не меньше значения numtcpsock умноженного на 2,5 кб.

--othersockbuf число-байт[:число-байт]

Ограничение на объём памяти, занимаемой буферами отправки других сокетов. Если процессам виртуальной среды требуется посылать большие датаграммы, установите соответствующее нестрогое ограничение. Увеличение строгого ограничения необходимо для повышение производительности при работе через локальные (UNIX) сокеты.

--dgramrcvbuf число-байт[:число-байт]

Ограничение на объём памяти занимаемой буферами приёма других сокетов. Если процессам виртуальной среды требуется посылать большие датаграммы, установите соответствующее нестрогое ограничение. Указание нестрогого лимита не требуется.

--oomguarpages число-страниц[:число-страниц]

Гарантированный предел для OOM kill (удаление одного процесса для освобождения памяти). Под этим значением понимается общий объём оперативной памяти и раздела подкачки используемой процессами среды. Значение нестрогого ограничения является пределом "out-of-memory" (ситуация нехватки памяти). Если текущее значение oomguarpages ниже указанного, процессы определённо не будут удаляться по условию "out-of-memory". Смысл строгого ограничения не определён и должен быть равен 2147483647.

--lockedpages число-страниц[:число-страниц]

Ограничение на число страниц, получаемых функцией mlock(2).

--privvmpages число-страниц[:число-страниц]

Позволяет контролировать объём памяти, выделяемой приложениям. Виртуальная среда действительно использующая общую страницу (отмеченную как MAP_SHARED) "платит" за неё только частично (в зависимости от общего количества сред, использующих данную страницу). За теоретически частную страницу (отмеченную как MAP_PRIVATE) виртуальная среда платит либо часть, либо полностью, если физические страницы, связанные с выделенным адресным пространством, могут быть в оперативной памяти, разделе подкачки или вообще не существовать на данном этапе. Ограничение, определяемое данным параметром, относится к общему объёму выделенной памяти. Обратите внимание, что виртуальная среда необязательно сможет запросить указанный объём памяти. Основной механизм контроля выделения памяти - --vmguarpages.

--shmpages число-страниц[:число-страниц]

Ограничение на размер сегмента совместно используемой памяти IPC. Указание нестрогого ограничения не имеет смысла.

--numfile число[:число]

Ограничение на количество открываемых файлов. Указание нестрогого ограничения не имеет смысла.

--numflock число[:число]

Ограничение на число блокировок для файлов. Необходимо наличие промежутка между нестрогим и строгим значениями.

--numpty число[:число]

Число псевдо-терминалов. В OpenVZ каждая виртуальная среда может иметь не больше 255 терминалов. (PTY). Указание нестрогого ограничения не имеет смысла.

--numsiginfo число[:число]

Количество структур siginfo. Указание нестрогого ограничения не имеет смысла.

--dcachesize число-байт[:число-байт]

Ограничение на размер кэша файловой системы, в т.ч. структур dentry (для каталогов) и inode (для файлов). Позволяет отказывать приложениям заранее, а не во время критических операций с файлами. Необходимо наличие промежутка между нестрогим и строгим значениями.

--numiptent число[:число]

Число записей iptables (netfilter). Указание нестрогого ограничения не имеет смысла.

--physpages число-страниц[:число-страниц]

Используется только для статистики. Показывает использование оперативной памяти данной средой. Нестрогое ограничение должно быть равно 0, а строгое - в 2147483647.

Параметры распределения процессорного времени

Следующие параметры позволяют контролировать использование процессора виртуальными средами.

--cpuunits число

Вес виртуальной среды. Положительное целое число, передаваемое планировщику центрального ядра. Чем больше число, тем больше процессорного времени будет выделяться данной виртуальной среде. Максимальное значение - 500000, минимальное - 8. Значение по умолчанию - 1000. Вес VE0 (физической среды) также можно задавать (vzctl set 0 --cpuunits число). Обычно он задаётся сценарием initscript (/etc/init.d/vz).

--cpulimit число[%]

Ограничение на загрузку процессора виртуальной средой в процентах. Если в компьютере имеется два процессора, то максимальное значение - 200%. Значение по умолчанию - 0 (без ограничений). --cpus число устанавливает число процессов, доступных в виртуальной среде.

Информирование о доступной памяти

Этот параметр определяет содержание /proc/meminfo в виртуальной среде.

--meminfo none

Выводить /proc/meminfo физической системы.

--meminfo режим:значение

Задать выводимый общий объём памяти. Свободная память вычисляется в зависимости от выбранного режима.

Доступны следующие режимы:

pages:значение - задать общий объём памяти в страницах

privvmpages:значение - задать общий объём памяти как privvmpages * значение Значение по умолчанию - privvmpages:1.

Параметры касающиеся iptables

--iptables имя

Запретить доступ к модулям iptables из виртуальной среды (по умолчанию доступны все модули iptables загруженные в физической системе). Список модулей: iptable_filter, iptable_mangle, ipt_limit, ipt_multiport, ipt_tos, ipt_TOS, ipt_REJECT, ipt_TCPMSS, ipt_tcpmss, ipt_ttl, ipt_LOG, ipt_length, ip_conntrack, ip_conntrack_ftp, ip_conntrack_irc, ipt_conntrack, ipt_state, ipt_helper, iptable_nat, ip_nat_ftp, ip_nat_irc, ipt_REDIRECT xt_mac.

Сетевые устройства

--netdev_add имя

Переместить сетевое устройство из VE0 в указанную среду.

--netdev_del имя

Удалить сетевое устройство из указанной среды.

Параметры квотирования дискового пространства

--diskspace число[:число]

Строгая и нестрогая квоты в блоках. Один блок на данный момент равен 1 кб. Допустимы также приставки G, M и K (см. Ограничение использования ресурсов).

--diskinodes число[:число]

Строгая и нестрогая квоты в inode.

--quotatime число-секунд

Допустимый период злоупотребления дисковым пространством (т.е. время когда превышена нестрогая квота - "период отсрочки").

--quotaugidlimit число

Максимальное число идентификаторов пользователей и групп в виртуальной среде для которых будет применяться квотирование в среде. При значении 0 такое квотирование не будет выполняться вообще. Если ранее данный параметр был установлен в 0, повторное его изменение во время работы среды не будет вступать в силу немедленно.

Параметры монтирования

--noatime yes|no

Отключить запись данных в времени доступа к inode (фактически - к файлам) на файловой системе.

Системные возможности

--capability имя:on|off

Включить/выключить системную возможность в виртуальной среде. Для вступления изменений в силу необходим перезапуск среды. Для виртуальных сред предусмотрена стандартная конфигурация системных возможностей, и данный ключ позволяет изменять эту конфигурацию по принципу "логического И". Имеются следующие системные возможности: chown, dac_override, dac_read_search, fowner, fsetid, kill, setgid, setuid, setpcap, linux_immutable, net_bind_service, net_broadcast, net_admin, net_raw, ipc_lock, ipc_owner, sys_module, sys_rawio, sys_chroot, sys_ptrace, sys_pacct, sys_admin, sys_boot, sys_nice, sys_resource, sys_time, sys_tty_config, mknod, lease, setveid, ve_admin.

ВНИМАНИЕ: включение некоторых системных возможностей может отрицательно повлиять на защиту, поэтому не изменяйте конфигурацию, если вы не знаете точно что делаете. Установка setpcap:on скорее всего приведёт к невозможности запуска среды.

Доступ к устройствам

--devnodes устройство:r|w|rw|none

Дать виртуальной среде доступ (r - чтение, w - запись, rw - чтение и запись, none - запретить доступ) к устройству с адресом /dev/устройство. Файл устройства в виртуальной среде создаётся автоматически.

--devices b|c:главный-номер:дополнительный-номер|all:[r|w|rw|none]

Дать виртуальной среде доступ к блочному (block) или символьному (character) устройству с главным номером главный-номер вторым номером дополнительный-номер. Файлы устройств необходимо создавать вручную.

Компоненты

--features имя:on|off

Включить или выключить функцию виртуальной среды. Имеющиеся функции: sysfs, nfs.

Применение параметров из файла конфигурации

--applyconfig имя

Считать параметры виртуальной среды из образцового файла конфигурации /etc/vz/conf/ve-имя.conf-sample, и применить их. Если также указана опция --save, сохранить в файле конфигурации среды. Изменения не затрагивают следующие параметры: HOSTNAME, IP_ADDRESS, OSTEMPLATE, VE_ROOT и VE_PRIVATE.

--applyconfig_map имя

Применить параметры из группы имя. Восстановить имя среды по переменной NAME в файле её конфигурации.

Приоритет операций ввода-вывода

--ioprio приоритет

Определить для среды приоритет ввода-вывода. Допустимый диапазон - 0-7. Чем больше приоритет, тем больше времени для операций ввода-вывода выделяется среде. Приоритет по умолчанию - 4.

### Создание точек восстановления
OpenVZ позволяет полностью сохранять состояние работающей виртуальной среды с возможностью последующего возврата к нему.

chkpnt идентификатор-среды [--dumpfile имя]

Сохранить полное состояние работающей среды в файл-дамп, и остановить её. Если опция --dumpfile не указана, для файла дампа используется имя /vz/dump/Dump.идентификатор-среды.

restore идентификатор-среды [--dumpfile имя]

Восстановить виртуальную среду из дампа, созданного командой chkpnt.

### Управление виртуальными средами
create идентификатор-среды [--ostemplate имя] [--config имя] [--private путь] [--root путь] [--ipadd адрес] [--hostname имя]

Создать область для новой виртуальной среды. Эту команду необходимо выполнить один раз до первого запуска среды. Если опция --config указана, в файл конфигурации среды будут перенесены значения из файла образца /etc/vz/conf/ve-имя.conf-sample. Если файл конфигурации уже существует, он предварительно удаляется (автоматически).

Опция --root путь определяет каталог, который будет использоваться как корневой каталог в виртуальной среде (по умолчанию значение переменной VE_ROOT в файле vz(5)). $VEID в аргументе заменяется на числовой идентификатор среды.

Опция --private путь задаёт каталог, в котором должны храниться файлы и каталоги, относящиеся к данной среде (по умолчанию - значение переменной VE_PRIVATE в файле vz(5)). $VEID в аргументе заменяется на числовой идентификатор среды.

Опция --ipadd адрес позволяет назначить среде IP-адрес. Возможно назначение нескольких адресов указанием данной опции несколько раз.

Для задания имени хоста для среды воспользуйтесь --hostname имя.

destroy

Удалить область среды - удалить все файлы каталоги и файлы конфигурации указанной среды.

start [--wait] [--force]

Монтировать (если это необходимо) и запустить виртуальную среду. Если опция --wait не указана, vzctl передаст управление оболочке немедленно, иначе будет ожидать перехода среды в основной режим выполнения (runlevel). Для запуска отключенной среды укажите --force (см. --disabled).

stop

Остановить и отмонтировать виртуальную среду.

restart

Перезапустить среду: остановить, если она работает, и запустить (снова).

status

Вывести информацию о состоянии среды. Сведения выводятся в виде строки из нескольких значений через пробел. Первое - слово VEID. Второе - числовой идентификатор среды. Третье сообщает о существовании среды (exist или deleted). Четвёртое - состояние файловой системы среды (mounted или unmounted). Пятое - работает ли среда в данный момент (running или down). Эта команда может быть полезна при написании сценариев.

mount

Монтировать частную область среды.

umount

Отмонтировать частную область среды. Заметьте, что при выполнении команды stop размонтирование происходит автоматически.

exec идентификатор-среды команда

Запустить команду в среде. Переменные оболочки не задаются в виртуальной среде. Обработка сигналов может быть отличной от стандартной. Если команда указана как -, то собственно команды считываются со стандартного ввода.

exec2 идентификатор-среды команда

Аналогично exec, но код возврата совпадает с кодом возврата команды.

runscript

Выполнить указанный сценарий в среде. Если она не выполняется, то будет запущена автоматически.

enter

Войти в виртуальную среду. Это своеобразный чёрный вход для администратора физического компьютера.

### Другие опции
--help

Вывести краткое описание допустимый опций.

--version

Вывести версию vzctl.

## ДИАГНОСТИКА
Если при выполнении команды ошибок не возникло, программа возвращает 0.

## ПРИМЕРЫ
Создать и запустить виртуальную среду "basic", с идентификатором 1000, используя шаблон altlinux и IP-адрес 192.168.10.200:

vzctl create 1000 --ostemplate altlinux --config vps.basic

vzctl set 1000 --ipadd 192.168.10.200 --save

vzctl start 1000

Задать ограничения на число работающих процессов (80/100) и открытых терминалов PTY (16/20):

vzctl set 1000 --numproc 80:100 -t 16:20 --save

Выполнить команду ls -la в этой же среде:

vzctl exec 1000 /bin/ls -la

Выполнить команду оболочки, задействующую конвейеры, ls -l / | sort:

vzctl exec 1000 'ls -l / | sort'

Остановить среду:

vzctl stop 1000

Удалить среду:

vzctl destroy 1000

## ФАЙЛЫ
/etc/vz/vz.conf

/etc/vz/conf/veid.conf

/proc/vz/veinfo

/proc/vz/vzquota

/proc/user_beancounters

/proc/fairsched

## СМ. ТАКЖЕ
vz.conf(5), vps.conf(5), vzquota(8),

## АВТОРСКИЕ ПРАВА
Copyright (C) 2000-2007 SWsoft. Распространяется на условиях лицензии GNU GPL v2.

## ПЕРЕВОД
Николай Шафоростов <shafff@ukr.net> 2007


vzlist

package: man-pages-ru-extra

title: vzlist(8)

summary: вывод списка виртуальных сред.

text:
# vzlist(8)

## ИМЯ
vzlist - вывод списка виртуальных сред.

## ОБЗОР
vzlist [-a] [-o имя[,имя...]]

[-s [-]имя] [-h шаблон]

[-H] [-S] [-n] [-N <-шаблон>]

[идентификатор [идентификатор ..] | -1]

vzlist -L

## ОПИСАНИЕ
Эта программа используется для получения списка виртуальных сред. По умолчанию выводятся только работающие в данный момент виртуальные среды. Для того, чтобы получить только идентификаторы VE (один на строку), используйте -1 в качестве значения идентификатора VE.

## ФЛАГИ
--all, -a

показать все VE.

--sort, -s

указывает порядок сортировки. '-' перед значением параметра обозначает сортировку в обратном направлении.

--hostname, -h <шаблон>

показать только те VE, для которых имя хоста соответствует указанному шаблону. Следующие символы подстановки могут быть использованы в шаблоне: *, ?, []. Обратите внимание, что символы шаблона должны быть правильно экранированы, чтобы предотвратить их интерпретацию командной оболочкой.

--name, -n

показывать имена VE.

--name_filter, -N <шаблон>

выводить только те VE, имена которых соответствуют шаблону.

--no-header, -H

не выводить заголовок

--stopped -S

показать только остановленные VE.

--list -L

показать все спецификаторы формата.

### СТАНДАРТНЫЕ СПЕЦИФИКАТОРЫ ФОРМАТА
Следующие спецификаторы могут быть использованы для контролирования как формата вывода, так сортировки.

Суффикс

Описание

.m

наибольшее достигнутое значение (maxheld)

.b

барьер (barrier)

.l

квота (limit)

.f

число ошибок (failcnt)

.s

нестрогая квота (softlimit)

.h

строгая квота (hardlimit)

Пример:

vzlist -o veid,kmemsize,kmemsize.l -s kmemsize

Полно

Кратко

veid

VEID

hostname

HOSTNAME

name

NAME

ip

IP_ADDR

status

STATUS

kmemsize

KMEMSIZE

kmemsize.m

KMEMSIZE.M

kmemsize.b

KMEMSIZE.B

kmemsize.l

KMEMSIZE.L

kmemsize.f

KMEMSIZE.F

lockedpages

LOCKEDP

lockedpages.m

LOCKEDP.M

lockedpages.b

LOCKEDP.B

lockedpages.l

LOCKEDP.L

lockedpages.f

LOCKEDP.F

privvmpages

PRIVVMP

privvmpages.m

PRIVVMP.M

privvmpages.b

PRIVVMP.B

privvmpages.l

PRIVVMP.L

privvmpages.f

PRIVVMP.F

shmpages

SHMP

shmpages.m

SHMP.M

shmpages.b

SHMP.B

shmpages.l

SHMP.L

shmpages.f

SHMP.F

numproc

NPROC

numproc.m

NPROC.M

numproc.b

NPROC.B

numproc.l

NPROC.L

numproc.f

NPROC.F

physpages

PHYSP

physpages.m

PHYSP.M

physpages.b

PHYSP.B

physpages.l

PHYSP.L

physpages.f

PHYSP.F

vmguarpages

VMGUARP

vmguarpages.m

VMGUARP.M

vmguarpages.b

VMGUARP.B

vmguarpages.l

VMGUARP.L

vmguarpages.f

VMGUARP.F

oomguarpages

OOMGUARP

oomguarpages.m

OOMGUARP.M

oomguarpages.b

OOMGUARP.B

oomguarpages.l

OOMGUARP.L

oomguarpages.f

OOMGUARP.F

numtcpsock

NTCPSOCK

numtcpsock.m

NTCPSOCK.M

numtcpsock.b

NTCPSOCK.B

numtcpsock.l

NTCPSOCK.L

numtcpsock.f

NTCPSOCK.F

numflock

NFLOCK

numflock.m

NFLOCK.M

numflock.b

NFLOCK.B

numflock.l

NFLOCK.L

numflock.f

NFLOCK.F

numpty

NPTY

numpty.m

NPTY.M

numpty.b

NPTY.B

numpty.l

NPTY.L

numpty.f

NPTY.F

numsiginfo

NSIGINFO

numsiginfo.m

NSIGINFO.M

numsiginfo.b

NSIGINFO.B

numsiginfo.l

NSIGINFO.L

numsiginfo.f

NSIGINFO.F

tcpsndbuf

TCPSNDB

tcpsndbuf.m

TCPSNDB.M

tcpsndbuf.b

TCPSNDB.B

tcpsndbuf.l

TCPSNDB.L

tcpsndbuf.f

TCPSNDB.F

tcprcvbuf

TCPRCVB

tcprcvbuf.m

TCPRCVB.M

tcprcvbuf.b

TCPRCVB.B

tcprcvbuf.l

TCPRCVB.L

tcprcvbuf.f

TCPRCVB.F

othersockbuf

OTHSOCKB

othersockbuf.m

OTHSOCKB.M

othersockbuf.b

OTHSOCKB.B

othersockbuf.l

OTHSOCKB.L

othersockbuf.f

OTHSOCKB.F

dgramrcvbuf

DGRAMRRB

dgramrcvbuf.m

DGRAMRRB.M

dgramrcvbuf.b

DGRAMRRB.B

dgramrcvbuf.l

DGRAMRRB.L

dgramrcvbuf.f

DGRAMRRB.F

numothersock

NOTHSOCK

numothersock.m

NOTHSOCK.M

numothersock.b

NOTHSOCK.B

numothersock.l

NOTHSOCK.L

numothersock.f

NOTHSOCK.F

dcachesize

DCACHESZ

dcachesize.m

DCACHESZ.M

dcachesize.b

DCACHESZ.B

dcachesize.l

DCACHESZ.L

dcachesize.f

DCACHESZ.F

numfile

NFILE

numfile.m

NFILE.M

numfile.b

NFILE.B

numfile.l

NFILE.L

numfile.f

NFILE.F

numiptent

NIPTENT

numiptent.m

NIPTENT.M

numiptent.b

NIPTENT.B

numiptent.l

NIPTENT.L

numiptent.f

NIPTENT.F

diskspace

DQBLOCKS

diskspace.s

DQBLOCKS.S

diskspace.h

DQBLOCKS.H

diskinodes

DQINODES

diskinodes.s

DQINODES.S

diskinodes.h

DQINODES.H

laverage

LAVERAGE

cpulimit

CPULIM

cpuunits

CPUUNI

## ВОЗВРАЩАЕМОЕ ЗНАЧЕНИЕ
Возвращает 0 при успешном завершении.

## АВТОРСКИЕ ПРАВА
Copyright (C) 2000-2007, SWsoft. Распространяется на условиях GNU GPL.

## ПЕРЕВОД
Перевод с английского Виктор Ерёмин <ErV2005@rambler.ru> 2007


vzmemcheck

title: vzmemcheck(8)

text:
# vzmemcheck(8)

## ИМЯ
vzmemcheck - показывает информацию о памяти физической среды.

## ОБЗОР
vzmemcheck [-v] [-A]

## ОПЦИИ
-v

Выводить информацию по каждой виртуальной среде.

-A

Показать абсолютные значения (в мегабайтах).

## ОПИСАНИЕ
Эта программа показывает использование памяти физической среды: low memory utilization, low memory commitment, RAM utilization ,mem+swap utilization, mem+swap commitment, allocmem utilization, allocmem commitment, allocmem limit.

С флагом -A будут показаны абсолютные значения (в мегабайтах).Без флага -v, будут показана дополнительные строки: линия(линии) заголовка, числитель и знаменатель соответствующей дроби.

## ДИАГНОСТИКА
В случае успешного завершения возвращается 0. В случае ошибки возвращается значение 1.

## АВТОРСКИЕ ПРАВА
Copyright (C) 2000-2007, SWsoft. Распространяется на условиях лицензии GNU GPL.

## ПЕРЕВОД
Перевод с английского Виктор Ерёмин <ErV2005@rambler.ru> 2007


vzmigrate

title: vzmigrate(8)

text:
# vzmigrate(8)

## ИМЯ
vzmigrate - программа для переноса (миграции) виртуальных сред между аппаратными узлами.

## ОБЗОР
vzmigrate [-r|--remove-areayes|no] [--ssh=настройки_ssh] [--keep-dst] [--online] [-v] адрес_цели veid

## ОПИСАНИЕ
Эта программа используется для переноса виртуальных сред с одного аппаратного узла (источника) на другой аппаратный узел (назначение). Программа может переносить как остановленные, так и работающие виртуальные среды. Для остановленных виртуальных сред происходит простая передача закрытых данных VE (для передачи файлов используется rsync(1)). Для работающих VE, перенос может проходить в режиме оффлайн (используется по умолчанию) или онлайн.

Программа использует ssh как транспорт. Требуется скопировать публичный ключ ssh на узел точки назначения, также должна быть возможность подключиться к узлу без ввода пароля.

## ОПЦИИ
-r, --remove-area yes|no

Указывает, удалять или нет области VE с узла источника после успешной миграции.

--ssh=параметры

Дополнительные параметры, которые будут переданы ssh во время установления соединения с аппаратным узлом цели. Разрешается добавлять флаги вроде -c blowfish или аналогичные им.

--keep-dst

Не очищать закрытые данные VE-приемника в случае ошибок. Имеет смысл использовать эту опцию при переносе больших VE, чтобы предотвратить повторную синхронизацию закрытой области VE в случае, если какие-либо ошибки (остановка VE, например) произошли при первой попытке переноса.

--online

Использовать перенос онлайн (с нулевым временем остановки): перед переносом VE останавливается на некоторое время и после окончания переноса продолжает работать, как если бы ничего не случилось.

-v

Вывод дополнительной информации. Заставляет vzmigrate выводить отладочные сообщения о ходе процесса.

## ПРИМЕРЫ
Перенос VE #101 на 192.168.1.130 с остановкой:

vzmigrate 192.168.1.130 101

Онлайн миграция VE#102 на 192.168.1.130:

vzmigrate --online 192.168.1.130 102

## ВОЗВРАЩАЕМОЕ ЗНАЧЕНИЕ
0 EXIT_OK

Команда завершена успешно.

1 EXIT_USAGE

Неверные параметры в командной строке.

2 EXIT_VE_STOPPED

VE остановлена.

4 EXIT_CONNECT

Невозможно соединиться с аппаратным узлом назначения (или источника).

6 EXIT_COPY

Не удалось перенести закрытую область VE.

7 EXIT_VE_START

Не удалось запустить или восстановить VE назначения.

8 EXIT_VE_STOP

Невозможно остановить или создать контрольную точку для VE источника.

9 EXIT_EXISTS

VE уже существует на аппаратном узле назначения.

10 EXIT_NOTEXIST

VE не существует на аппаратном узле источника.

12 EXIT_IP_INUSE

Произошла попытка переноса VE, IP-адрес которой уже используется на узле назначения

13 EXIT_QUOTA

Операция с квотой VE не удалась.

## СМ. ТАКЖЕ
rsync(1)

## АВТОРСКИЕ ПРАВА
Copyright (C) 2001-2007, SWsoft. Распространяется на условиях GNU GPL.

## ПЕРЕВОД
Перевод с английского Виктор Ерёмин <ErV2005@rambler.ru> 2007.


vzpid

title: vzpid(8)

text:
# vzpid(8)

## ИМЯ
vzpid - выводит ID виртуальной среды по ID процесса (PID).

## ОБЗОР
vzpid [-h] [pid [...]]

## ОПИСАНИЕ
Этот скрипт выводит ID виртуального окружения, в котором запущен процесс с указанным pid.

## ОПЦИИ
pid

pid процесса, для которого следует вывести ID виртуального окружения.

## ВОЗВРАЩАЕМОЕ ЗНАЧЕНИЕ
При успешном выполнении возвращает 0.

## СМ. ТАКЖЕ
vzctl(8).

## АВТОРСКИЕ ПРАВА
Copyright (C) 2000-2007, SWsoft. Распространяется на условиях GNU GPL.

## ПЕРЕВОД
Перевод с английского Виктор Ерёмин <ErV2005@rambler.ru> 2007


vzsplit

title: vzsplit(8)

text:
# vzsplit(8)

## ИМЯ
vzsplit - генерирует простую конфигурацию VE с определенным набором параметров контролирования системных ресурсов.

## ОБЗОР
vzsplit [-n число_ve] [-f имя_конфигурации] [-s размер_подкачки]

## ОПИСАНИЕ
Программа vzsplit используется для разделения физической среды на равные части. Она генерирует полный набор параметров контроля системных ресурсов для указанного количества виртуальных сред. Значения вычисляются исходя из общего количества физической памяти физической среды и количества виртуальных сред, даже если указанное число виртуальных сред поглотит все доступные ресурсы. Если никаких опций не указано, vzsplit запрашивает желаемое число виртуальных сред и выводит полученные параметры контроля ресурсов на стандартный вывод. Если для запуска указанного числа VE недостаточно системных ресурсов, показывается предупреждающее сообщение и файл с образцом конфигурации не генерируется.

## ОПЦИИ
-n число_ve

Число виртуальных сред (VE).

-f имя_конфигурации

Имя файла конфигурации. Вывод программы будет сохранен в файле /etc/vz/conf/ve-имя_конфигурации.conf-sample.

-s размер_подкачки

Размер подкачки в килобайтах. Если опция не указана, размер подкачки будет считан из /proc/meminfo.

## ДИАГНОСТИКА
vzsplit возвращает 0 при успешном выполнении. Если что-то идет не так программа возвращает 1.

## СМ. ТАКЖЕ
vps.conf(5).

## АВТОРСКИЕ ПРАВА
Copyright (C) 2000-2007, SWsoft. Распространяется на условиях GNU GPL.

## ПЕРЕВОД
Перевод с английского Виктор Ерёмин <ErV2005@rambler.ru> 2007


xinetd

title: xinetd(8)

summary: продвинутый демон служб Интернет

text:
# xinetd(8)

## ИМЯ
xinetd - продвинутый демон служб Интернет

## ОБЗОР
xinetd [опции]

## ОПИСАНИЕ
xinetd выполняет такие же функции как и inetd: запускает программы, которые предоставляют службы Интенрет. Вместо того, чтобы запускать серверы этих служб при начальной загрузке системы, ожидается поступление запроса на соединение, xinetd слушает порты всех служб, которые перечислены в его файле настройки и просто производит запуск соответствующего сервера при поступлении запроса. Поскольку xinetd предоставляет способ управления серверами, его (как и inetd) также называют суперсервером.

Службы, перечисленные в файле с настройками xinetd могут быть разделены на две группы. Службы в первой группе называются multi-threaded (многопоточными) и они требуют разветвления (forking) нового серверного процесса для каждого нового запроса на соединение. Далее соединением управляет новый сервер. Для таких служб, xinetd продолжает слушать порты для приема новых запросов, чтобы вызвать новые серверы. В противолоположность первой, вторая группа включает службы, у которых демон службы отвечает за управление всеми запросами на соединение. Такие службы называются single-threaded (однопоточными) и для них xinetd не будет управлять новыми запросами пока сервер не завершит свою работу. Службы в этой группе обычно основаны на передаче данных через датаграммы (UDP).

Таким образом, единственная причина, по которой был создан расширенный суперсервер состоит в том, чтобы сохранить системные ресурсы через недопущение разветвления огромного числа процессов, которые могут бездействовать в течении большей части времени своей работы. В то же время выполненяя эту функцию, xinetd работает согласно идее суперсервера, предоставляя такие особенности, как управление доступом и протоколирование. Кроме того, xinetd не ограничивается обслуживанием служб, перечисленных в /etc/services. Поэтому, любой может использовать xinetd для запуска серверов специального назначения.

## ОПЦИИ
-d

Разрешает режим отладки. Указание этой опции приводит к большому количеству отладочных сообщений, которые делают возможным использование отладчика на

xinetd.

-syslog syslog_facility

Данная опция разрешает протоколирование создаваемых xinetd сообщений через syslog с заданным syslog facility. Поддерживаются следующие имена facility: daemon, auth, user, local[0-7] (посмотрите syslog.conf(5) для того, чтобы понять их назначение). Данная опция неэффективна в режиме отладки, так как все необходимые сообщения отправляются на терминал.

-filelog файл_журнала

Сообщения создаваемые xinetd будут помещаться в указанный файл. Сообщения вседя добавляются к уже существующему файлу. Если файл не существует, то он будет создан. Данная опция неэффективна в режиме отладки, так как все необходимые сообщения отправляются на терминал.

-f файл_настроек

Задает файл, который xinetd использует для настройки. По умолчанию это /etc/xinetd.conf.

-pidfile pid_файл

В этот файл записывается идентификатор процесса. Данная опция неэффективна в режиме отладки.

-stayalive

Говорит xinetd оставаться запущенным, даже если не задано никаких служб.

-loop rate

Данная опция устанавливает верхнюю величну цикла, по которой определяется, что служба работает с ошибками и по которой она отключается. Величина цикла задается в терминах количества серверов в секунду, которое может быть запущено в обработку (fork). Для этой опции, корректное значние определяется скоростью вашей машины. По умолчанию оно равно 10.

-reuse

Если используется эта опция, xinetd будет устанавливать опцию сокета SO_REUSEADDR перед привязкой сокета службы к какому-либо Интернет адресу. Это позволяет привязать адрес, даже если есть программа, которая уже использует его, например в том случае, если некоторые серверы были запущены во время предыдущего запуска xinetd и еще не завершили свою работу. Данная опция не оказывает влияния на службы RPC.

-limit proc_limit

Данная опция устанавливает ограничение на количество одновременно запущенных процессов, которые может запустить xinetd. Ее назначение предотвращать переполнение таблицы процессов.

-logprocs limit

Данная опция устанавливает ограничение на количество одновременно запущенных серверов на один идентификатор удаленного пользователя.

-shutdownprocs limit

Данная опция устанавливает ограничение на количество одновременно запущенных серверов для завершения работы службы (разветвление, когда используется опция RECORD ).

-cc interval

Данная опция говорит xinetd выполнять периодеческие проверки своего внутреннего состояния каждые interval секунд.

Опции syslog и filelog являются взаимно исключающими. Если ни одна из них не задана, то по умолчанию используется syslog с daemon facility. Вы не должны путать сообщения xinetd с сообщениями, которые создаются службами. Последние протоколируются только если это задано в файле с настройками.

## УПРАВЛЕНИЕ XINETD
Когда xinetd получает определенные сигналы, он выполняет определенные действия. Эти действия зависят от заданных сигналов и могут быть переопределены путем правки файла config.h и перекомпиляции.

SIGUSR2

Заставляет выполнить жесткую перенастройку, которая означает, что xinetd перечитает файл с настройками и завершит работу серверов для тех служб, которые больше не доступны. Управление доступом выыполняется снова на уже запущенные сервера через проверку удаленных подключений, времени доступа и копий сереров. Если количество копий серверов уменьшается, то некоторые произвольно выбранные сервера будут убиты, чтобы соблюсти ограничение; это случится после завершения работы тех серверов, которые попадают под ограничение доступа с удаленных адресов или ограничение времни доступа. Также, если флаг INTERCEPT был сброшен и происходит его установка, то будет завершена работа любых запущенных серверов для служб с этим флагом. цель такого поведения - убедиться, что после жесткой перенастройки не будет запущено северов, которые могут принимать пакеты с тех адресов, которые не соответвуют криетриями управления доступом.

SIGQUIT

Приводит к завершению работы.

SIGTERM

Завершает работу всех запущенных серверов перед завершением работы xinetd.

SIGHUP

Приводит к снятию дампа внутреннего состояния (по умолчанию файл дампа это /var/run/xinetd.dump; чтобы изменить данное имя файла нужна правка config.h и перекопиляция).

SIGIOT

Производит внутреннюю проверку того, что структуры данных, используемые программой не повреждены. Когда проверка завершится xinetd сгенерирует сообщение, которое скажет успешно прошла проверка или нет.

При перенастройке файлы журналов закрываются и переоткрываются. Это позволяет удалить старые файлы журналов.

## ФАЙЛЫ
/etc/xinetd.conf

файл с настройками

/var/run/xinetd.dump

файл дампа

## СМОТРИТЕ ТАКЖЕ
inetd(8), xinetd.conf(5), xinetd.log(5)

## АВТОР
Panos Tsirigotis, CS Dept, University of Colorado, Boulder Rob Braun

## ПРОИЗНОШЕНИЕ
zy-net-d

## ПЕРЕВОД
Перевел с английского Виктор Вислобоков <victor_v@permonline.ru>


xinetd.log

title: xinetd.log(8)

text:
# xinetd.log(8)

## НАЗВАНИЕ
xinetd.log - формат регистрационного журнала сервиса xinetd

## ОПИСАНИЕ
Конфигурация сервиса может определять различные уровни регистрации при попытке доступа к сервису. Если журналирование для сервиса разрешено, xinetd будет генерировать однострочные журнальные записи в следующем формате (все записи имеют в качестве префикса временную метку):

entry: service-id data

data зависит от entry. Возможные типы entry включают:

START

генерируется при запуске сервера

EXIT

генерируется при выходе сервера

FAIL

генерируется когда невозможно запустить сервер

DATA

генерируется при провале попытке запуска сервера и сервис поддерживает опцию журналирования RECORD.

USERID

генерируется при использовании параметра журналирования USERID.

NOID

генерируется при использовании параметра журналирования USERID и сервисного флага IDONLY , а на удаленной стороне нельзя определить кто пытается получить доступ к сервису.

Далее информация, заключенная в квадратные скобки, появляется, если используется соответствующая опция журналирования.

Запись START имеет формат:

START: service-id [pid=%d] [from=%d.%d.%d.%d]

Запись EXIT имеет формат:

EXIT: service-id [type=%d] [pid=%d] [duration=%d(sec)]

type может быть либо статус, либо сигнал. Число - это либо статус выхода, либо сигнал, вызвавший прерывание процесса.

Запись FAIL имеет следующий формат:

FAIL: service-id reason [from=%d.%d.%d.%d]

Возможны следующие причины:

fork

заданное количество последовательных попыток ветвления процесса не удались (это количество является конфигурационным параметром)

time

не прошла проверка времени

address

не прошла проверка адреса

service_limit

было достигнуто разрешенное количество серверных процессов для этой службы

process_limit

было указано и достигнуто ограничение на количество порожденных процессов

Запись DATA имеет формат:

DATA: service-id data

Регистрируемые data (данные) зависят от сервиса.

login

remote_user=%s local_user=%s tty=%s

exec

remote_user=%s verify=status command=%s

Возможные значения status :

ok

пароль правильный

failed

пароль неверный

baduser

пользователь отсутствует

shell

remote_user=%s local_user=%s command=%s

finger

received string или EMPTY-LINE

Запись USERID имеет формат:

USERID: service-id text

text отвечает за демон идентификации на удаленной стороне, исключая номера портов (которые включаются в ответ).

Запись NOID имеет формат:

NOID: service-id IP-address reason

## СМОТРИ ТАКЖЕ
xinetd(1L),

xinetd.conf(5)

## ОБ АВТОРАХ
Перевод: Alex Savvin <savvin@mail.ru> Февраль, 2002


netlabel-config

title: netlabel-config(8)

summary: утилита настройки NetLabel

text:
# netlabel-config(8)

## ИМЯ
netlabel-config - утилита настройки NetLabel

## ОБЗОР
netlabelctl reset| load

## ОПИСАНИЕ
Утилита настройки NetLabel, netlabel-config, это сценарий, который облегчает системным администраторам работу по созданию, управлению и использованию сложных конфигураций NetLabel. Сценарий netlabel-config использует утилиту netlabelctl(8) и файл конфигурации /etc/netlabel.rules для загрузки сохранённой конфигурации NetLabel в ядро, а также (при необходимости) для возврата конфигурации NetLabel ядра в состояние по умолчанию.

reset

Удалить загруженную в ядро конфигурацию NetLabel и вернуть состояние NetLabel ядра к значениям по умолчанию.

load

Загрузить конфигурацию NetLabel, указанную в /etc/netlabel.rules, в ядро.

## СООБЩЕНИЕ ПРИ ВЫХОДЕ
Возвращает ноль при успешном завершении или значения errno при ошибках.

## ПРИМЕЧАНИЯ
Подсистема NetLabel поддерживается в ядре Linux версии 2.6.19 и выше. Статические (резервные) метки поддерживаются только в ядре Linux версии 2.6.25 и выше. Селекторы адресов для сопоставления доменов поддерживаются только в ядре Linux версии 2.6.28 и выше, а CALIPSO/RFC5570 поддерживается только в ядре Linux версии 4.8.0 и выше.

Веб-сайт проекта NetLabel, на котором доступны дополнительные сведения, включая репозиторий исходного кода, находится по адресу https://github.com/netlabel. Пожалуйста, отправляйте сообщения об ошибках через сайт проекта или напрямую автору.

## СМОТРИТЕ ТАКЖЕ
netlabelctl(8)

## АВТОРЫ
Paul Moore <paul@paul-moore.com>. Перевод на русский язык выполнила Герасименко Олеся <gammaray@basealt.ru>.


netlabelctl

title: netlabelctl(8)

summary: утилита управления NetLabel

text:
# netlabelctl(8)

## ИМЯ
netlabelctl - утилита управления NetLabel

## ОБЗОР
netlabelctl [<global_flags>] <module> [<module_commands>]

## ОПИСАНИЕ
Утилита управления NetLabel, netlabelctl, это программа командной строки, которая позволяет системным администраторам настраивать систему NetLabel в ядре. Утилита основана на различных "модулях", которые соответствуют различным типам поддерживаемых ядром команд NetLabel.

## ПАРАМЕТРЫ

### Глобальные флаги
-h

Показать справку

-p

Попытаться сделать вывод понятным для пользователя или "форматированным"

-t <seconds>

Задать период ожидания ответа от подсистемы NetLabel (в секундах)

-v

Включить подробный вывод

-V

Показать сведения о версии

### Модули и команды
mgmt

Модуль управления используется для выполнения общих запросов о подсистеме NetLabel внутри ядра. Различные команды и их синтаксис перечислены ниже.

version

Показать версию протокола управления NetLabel ядра.

protocols

Показать список поддерживаемых ядром протоколов проставления меток.

map

Модуль сопоставления доменов используется для сопоставления различных протоколов проставления меток NetLabel либо с конкретными доменами LSM, либо с сопоставлением доменов по умолчанию. Каждый модуль LSM отвечает за определение того, что представляет собой домен. При использовании SELinux следует использовать обычный домен SELinux, то есть "ping_t". Выбор протокола возможен не только исключительно на основе домена LSM; при выборе протокола проставления меток можно одновременно учитывать как домен LSM, так и адрес назначения. Селекторы сетевых адресов могут определять либо отдельные узлы, либо целые сети. Они работают как для IPv4, так и для IPv6 (но выбранный протокол проставления меток должен поддерживать выбранную версию IP). При указании протокола проставления меток, который следует использовать для каждого сопоставления, доступно необязательное поле "extra"; оно используется для дальнейшего определения конфигурации конкретного протокола проставления меток. Если указывается протокол без меток, "unlbl", можно использовать дополнительное значение: "4" или "6". В этом случае сопоставляться будут только адреса IPv4 или IPv6. Если дополнительное значение не указано, сопоставление будет выполняться для всех семейств адресов. При указании протокола CIPSO/IPv4 или CALIPSO/IPv6, "cipso" или "calipso", необходимо указать значение DOI (domain of interpretation, область интерпретации); подробные сведения доступны в разделе ПРИМЕРЫ. Ниже перечислены различные команды и их синтаксис.

add default|domain:<domain> [address:<ADDR>[/<MASK>]] protocol:<protocol>[,<extra>]

Добавить новый домен LSM / сетевой адрес к сопоставлению протоколов NetLabel.

del default|domain:<domain>

Удалить существующий домен LSM из сопоставления протоколов NetLabel.

list

Показать все настроенные сопоставления доменов LSM с протоколами NetLabel.

unlbl

Модуль без меток (unlbl) управляет протоколом без меток, который используется, когда не требуется проставлять метки для исходящего трафика, а также когда система получает трафик без меток. Этот модуль позволяет администраторам блокировать все исходящие пакеты без меток с помощью флага "accept" и назначать трафику без меток статические (резервные) метки безопасности на основе входящего сетевого интерфейса и адреса источника.

accept on|off

Переключить флаг принятия трафика без меток.

add default|interface:<dev> address:<addr>[/<mask>] label:<label>

Добавить новую статическую/резервную запись.

del default|interface:<dev> address:<addr>[/<mask>]

Удалить существующую статическую/резервную запись.

list

Показать состояние флага принятия трафика без меток.

cipso

Модуль CIPSO/IPv4 (cipso) управляет подсистемой проставления меток CIPSO/IPv4 в ядре. Подсистема CIPSO/IPv4, которую предоставляет NetLabel, поддерживает несколько областей интерпретации (DOI), а модуль CIPSO/IPv4 позволяет использовать различные конфигурации для каждой DOI. В настоящее время имеется три типа конфигураций: "trans" (позволяет преобразовывать метки конфиденциальности MLS в режиме реального времени), "pass" (не выполняет преобразование меток конфиденциальности MLS) и "local" (передаёт полную метку безопасности LSM по соединениям localhost/loopback). Независимо от того, какой тип конфигурации выбран, необходимо указать значение DOI, а также (если выбрана конфигурация "trans" или "pass") список типов тегов CIPSO/IPv4 для использования при создании меток пакетов CIPSO/IPv4. Список тегов CIPSO/IPv4 выстроен в определённом порядке: если возможно, при создании метки CIPSO/IPv4 используется первый тип тегов в списке. Если первый тип тегов невозможно использовать, по порядку будут проверены все остальные типы тегов, пока не будет найден подходящий. Если корректный тип тегов не удастся найти, операция создания метки CIPSO/IPv4 завершится неудачно; обычно это происходит при создании нового сокета. Ниже перечислены различные команды и их синтаксис.

add trans doi:<DOI> tags:<T1>,<Tn> levels:<LL1>=<RL1>,<LLn>=<RLn> categories:<LC1>=<RC1>,<LCn>=<RCn>

Добавить новую конфигурацию CIPSO/IPv4, в которой используется стандартное/преобразованное сопоставление с указанными преобразованиями уровня и категории. Преобразование уровней выполняется таким образом, что локальный уровень "LLn" преобразовывается в удалённый уровень "RLn"; для входящих пакетов выполняется обратное преобразование. Такое же преобразование выполняется для категорий с помощью "LCn" и "RCn". Чтобы пакет был принят или чтобы приложением был создан сокет, в метке конфиденциальности MLS должно присутствовать преобразование уровня конфиденциальности и всех категорий; если не удастся преобразовать запрошенную метку конфиденциальности целиком, произойдёт сбой приложения.

add pass doi:<DOI> tags:<T1>,<Tn>

Добавить новую конфигурацию CIPSO/IPv4 без преобразований уровня или категорий.

add local doi:<DOI>

Добавить новую конфигурацию CIPSO/IPv4 для соединений localhost/loopback.

del doi:<DOI>

Удалить существующую конфигурацию CIPSO/IPv4 с указанным значением DOI. Если имеются какие-либо сопоставления доменов LSM, которые используют эту DOI, они также будут удалены.

list [doi:<DOI>]

Показать список всех конфигураций CIPSO/IPv4 или только конфигурацию, соответствующую указанной (необязательно) DOI.

calipso

Модуль CALIPSO/IPv6 (calipso) управляет подсистемой проставления меток CALIPSO/IPv6 в ядре. Работа этого модуля похожа на работу подсистемы CIPSO/IPv4, но протокол указывает только один тип тегов (эквивалентно типу тегов 1 CIPSO), поэтому тип тегов не нужно задавать. Кроме того, отсутствует поддержка конфигураций "local" и "trans". Ниже перечислены различные команды и их синтаксис.

add pass doi:<DOI>

Добавить новую конфигурацию CALIPSO/IPv6 без преобразований уровня или категорий.

del doi:<DOI>

Удалить существующую конфигурацию CALIPSO/IPv6 с указанным значением DOI. Если имеются какие-либо сопоставления доменов LSM, которые используют эту DOI, они также будут удалены.

list [doi:<DOI>]

Показать список всех конфигураций CALIPSO/IPv6 или только конфигурацию, соответствующую указанной (необязательно) DOI.

## СООБЩЕНИЕ ПРИ ВЫХОДЕ
Возвращает ноль при успешном завершении или значения errno при ошибках.

## ПРИМЕРЫ
netlabelctl cipso add pass doi:16 tags:1

Добавить конфигурацию CIPSO/IPv4 со значением DOI "16", используя тег CIPSO "1" (разрешительный битовый тег). Уровни/категории CIPSO и LSM передаются через подсистему NetLabel без преобразования.

netlabelctl cipso add trans doi:8 tags:1 levels:0=0,1=1 categories:0=1,1=0

Добавить конфигурацию CIPSO/IPv4 со значением DOI "8", используя тег CIPSO "1" (разрешительный битовый тег). Указанное сопоставление преобразует локальные уровни LSM "0" и "1", соответственно, в уровни CIPSO "0" и "1", в то время как локальные категории LSM "0" и "1", соответственно, сопоставляются с категориями CIPSO "1" и "0".

netlabelctl -p cipso list

Показать все конфигурации CIPSO/IPv4 в доступном для прочтения человеком формате.

netlabelctl -p cipso list doi:16

Показать конкретные сведения о конфигурации CIPSO/IPv4 DOI 16.

netlabelctl cipso del doi:8

Удалить конфигурацию CIPSO/IPv4, назначенную для DOI 8. Все сопоставления доменов, которые используют эту конфигурацию, также будут удалены.

netlabelctl map add domain:lsm_domain protocol:cipso,8

Добавить сопоставление доменов, чтобы для всех исходящих пакетов, которые отправляются из "lsm_domain", проставлялись метки в соответствии с протоколом CIPSO/IPv4 с DOI 8.

netlabelctl map add domain:lsm_domain address:192.168.1.0/24 protocol:cipso,8

Добавить сопоставление, чтобы для всех исходящих пакетов, которые отправляются из "lsm_domain" в сеть 192.168.1.0/24, проставлялись метки в соответствии с протоколом CIPSO/IPv4 с DOI 8.

netlabelctl -p map list

Показать все сопоставления доменов в доступном для прочтения человеком формате.

netlabelctl del domain:lsm_domain

Удалить сопоставление доменов для "lsm_domain". Пакеты, которые отправляются из "lsm_domain", будут направляться согласно сопоставлению NetLabel по умолчанию.

netlabelctl unlbl add interface:lo address:::1 label:foo

Добавить статическую/резервную метку, чтобы назначить метку безопасности "foo" пакетам без меток, которые поступают в систему через интерфейс "lo" (loopback) с IPv6-адресом источника "::1" (localhost).

netlabelctl unlbl add default address:192.168.0.0/16 label:bar

Добавить статическую/резевную метку, чтобы назначить метку безопасности "bar" пакетам без меток, которые поступают в систему через любой интерфейс с IPv4-адресом источника в сети 192.168.0.0/16.

## ПРИМЕЧАНИЯ
Подсистема NetLabel поддерживается в ядре Linux версии 2.6.19 и выше. Статические (резервные) метки поддерживаются только в ядре Linux версии 2.6.25 и выше. Селекторы адресов для сопоставления доменов поддерживаются только в ядре Linux версии 2.6.28 и выше, а CALIPSO/RFC5570 поддерживается только в ядре Linux версии 4.8.0 и выше.

Веб-сайт проекта NetLabel, на котором доступны дополнительные сведения, включая репозиторий исходного кода, находится по адресу https://github.com/netlabel. Пожалуйста, отправляйте сообщения об ошибках через сайт проекта или напрямую автору.

## СМОТРИТЕ ТАКЖЕ
netlabel-config(8)

## АВТОРЫ
Paul Moore <paul@paul-moore.com>. Перевод на русский язык выполнила Герасименко Олеся <gammaray@basealt.ru>.


package: sssd

title: sss_cache(8)

summary: выполнить очистку кэша

text:
# sss_cache(8)

## NAME
sss_cache - выполнить очистку кэша

## SYNOPSIS
sss_cache [options]

## ОПИСАНИЕ
sss_cache объявляет недействительными записи в кэше SSSD. Объявленные недействительными записи принудительно повторно загружаются с сервера, как только соответствующий внутренний сервер SSSD появляется в сети. Параметры, объявляющие недействительность одного объекта, принимают только один предоставленный аргумент.

## ОПЦИИ
-E,--everything

Объявить недействительными все кэшированные записи.

-u,--user login

Объявить недействительным определённого пользователя.

-U,--users

Объявить недействительными все записи пользователей. Этот параметр имеет приоритет над параметром, который объявляет недействительным определённого пользователя, если он также был задан.

-g,--group group

Объявить недействительной определённую группу.

-G,--groups

Объявить недействительными все записи групп. Этот параметр имеет приоритет над параметром, который объявляет недействительной определённую группу, если он также был задан.

-n,--netgroup netgroup

Объявить недействительной определённую сетевую группу.

-N,--netgroups

Объявить недействительными все записи сетевых групп. Этот параметр имеет приоритет над параметром, который объявляет недействительной определённую сетевую группу, если он также был задан.

-s,--service service

Объявить недействительной определённую службу.

-S,--services

Объявить недействительными все записи служб. Этот параметр имеет приоритет над параметром, который объявляет недействительной определённую службу, если он также был задан.

-a,--autofs-map autofs-map

Объявить недействительной определённую карту autofs.

-A,--autofs-maps

Объявить недействительными все карты autofs. Этот параметр имеет приоритет над параметром, который объявляет недействительной определённую карту autofs, если он также был задан.

-h,--ssh-host hostname

Объявить недействительными открытые ключи SSH определённого узла.

-H,--ssh-hosts

Объявить недействительными открытые ключи SSH всех узлов. Этот параметр имеет приоритет над параметром, который объявляет недействительными открытые ключи SSH определённого узла, если он также был задан.

-r,--sudo-rule rule

Объявить недействительным определённое правило sudo.

-R,--sudo-rules

Объявить недействительными все кэшированные правила sudo. Этот параметр имеет приоритет над параметром, который объявляет недействительным определённое правило sudo, если он также был задан.

-d,--domain domain

Ограничить процесс объявления недействительности определённым доменом.

-?,--help

Показать справочное сообщение и выйти.

## ВЛИЯНИЕ НА КЭШ В СВЕРХОПЕРАТИВНОЙ ПАМЯТИ
sss_cache также объявляет недействительным кэш в памяти. Так как кэш в памяти является файлом, который сопоставляется с памятью каждого процесса, который вызывал SSSD для разрешения пользователей или групп, этот файл не может быть усечён. В заголовке файла указывается специальный флаг, который обозначает недействительность содержимого, и затем ответчик NSS SSSD выполняет отмену связи этого файла, после чего создаётся новый файл кэша. Теперь, когда процесс выполняет новый поиск пользователя или группы, он видит флаг, закрывает старый файл кэша в памяти и сопоставляет со своей памятью новый файл. Когда все процессы, которые открывали старый файл кэша в памяти, закроют его при поиске пользователя или группы, ядро сможет освободить занятое пространство на диске и старый файл кэша в памяти будет полностью удалён.

Особый случай представляют длительно выполняемые процессы, которые осуществляют поиск пользователей или групп только при запуске (например, чтобы определить имя пользователя, от имени которого запущен процесс). Для такого поиска файл кэша в памяти сопоставляется с памятью процесса. Но, так как дальнейшего поиска не будет, этот процесс никогда не определит, был ли объявлен недействительным файл кэша в памяти, и поэтому он будет оставлен в памяти и будет занимать пространство на диске до тех пор, пока процесс не остановится. Следовательно, вызов sss_cache может увеличить использование места на диске, потому что старые файлы кэша в памяти не могут быть удалены с диска, так как они всё ещё сопоставляются длительно выполняемыми процессами.

Чтобы обойти эту проблему для длительно выполняемых процессов, которые выполняют поиск пользователей и групп только при запуске или очень редко, можно запускать их с переменной среды SSS_NSS_USE_MEMCACHE, установленной в значение «NO»: в этом случае они вообще не будут использовать кэш в памяти и не будут сопоставлять файл кэша в памяти с памятью. В целом, лучшим решением проблемы будет настроить параметры тайм-аута кэша таким образом, чтобы они соответствовали локальным ожиданиям и не требовался вызов sss_cache.

## СМ. ТАКЖЕ
sssd(8), sssd.conf(5), sssd-ldap(5), sssd-ldap-attributes(5), sssd-krb5(5), sssd-simple(5), sssd-ipa(5), sssd-ad(5), sssd-sudo(5), sssd-session-recording(5), sss_cache(8), sss_debuglevel(8), sss_obfuscate(8), sss_seed(8), sssd_krb5_locator_plugin(8), sss_ssh_authorizedkeys(8), sss_ssh_knownhostsproxy(8), sssd-ifp(5), pam_sss(8). sss_rpcidmapd(5)

## AUTHORS
Восходящий источник («апстрим») SSSD — https://github.com/SSSD/sssd/


sssd

title: sssd(8)

summary: cервис SSSD

text:
# sssd(8)

## NAME
sssd - cервис SSSD

## SYNOPSIS
sssd [options]

## ОПИСАНИЕ
SSSD предоставляет набор внутренних служб для управления доступом к удалённым каталогам и механизмам проверки подлинности. Этот сервис предоставляет интерфейс NSS и PAM к операционной системе и систему подключаемых внутренних серверов для установки соединения с несколькими разными источниками учётных записей, а также интерфейс D-Bus. Также он является основой сервисов аудита и политики доступа клиентов для таких проектов, как FreeIPA. SSSD предоставляет более надёжную базу данных для хранения локальных пользователей, а также расширенных пользовательских данных.

## ОПЦИИ
-d,--debug-level LEVEL

В SSSD предусмотрены два представления для указания уровня отладки. Более простое представление позволяет указать десятичное значение в диапазоне от 0 до 9, которое будет включать соответствующий уровень и все более низкие уровни сообщений отладки. Более сложное представление позволяет указать шестнадцатеричную битовую маску для включения или отключения (подавления) отдельных уровней. Обратите внимание, что каждая служба SSSD ведёт журнал в своём собственном файле. Также следует учитывать, что включение параметра “debug_level” в разделе “[sssd]” включает отладку только для самого процесса sssd, а не для процессов ответчика или поставщика данных. Параметр “debug_level” следует добавить во все разделы, для которых требуется создать журналы отладки.

Уровень отладки можно изменить не только с помощью параметра “debug_level” в файле конфигурации (этот параметр является постоянным, но требует перезапуска SSSD), но и «на лету», с помощью инструмента sss_debuglevel(8).

В настоящее время поддерживаются следующие уровни отладки:

0, 0x0010: фатальные ошибки. Всё, что не позволяет выполнить запуск SSSD или вызывает прекращение работы сервиса.

1, 0x0020: критические ошибки. Ошибка, которая не прекращает работу SSSD, но означает, что как минимум одна важная функциональная возможность не будет работать надлежащим образом.

2, 0x0040: серьёзные ошибки. Ошибка, которая сообщает о завершении неудачей определённого запроса или действия.

3, 0x0080: незначительные ошибки. Это ошибки, которые могут стать причиной ошибок 2-го уровня (ошибок при выполнении действий).

4, 0x0100: параметры конфигурации.

5, 0x0200: данные функций.

6, 0x0400: сообщения трассировки для функций действий.

7, 0x1000: сообщения трассировки для функций внутреннего управления.

8, 0x2000: содержимое внутренних переменных функций, которое может представлять интерес.

9, 0x4000: информация трассировки крайне низкого уровня.

9, 0x20000: быстродействие и статистические данные. Пожалуйста, обратите внимание, что из-за способа обработки запросов на внутреннем уровне, записанное в журнал время выполнения запроса может быть больше, чем оно было на самом деле.

10, 0x10000: информация трассировки libldb ещё более низкого уровня. Практически никогда не требуется.

Чтобы выполнять ведение журнала для необходимых уровней отладки, указанных в представлении битовых масок, просто сложите их номера, как показано в следующих примерах:

Пример: используйте 0x0270, чтобы вести журнал данных фатальных ошибок, критических ошибок, серьёзных ошибок и данных функций.

Пример: используйте 0x1310, чтобы вести журнал данных фатальных ошибок, параметров конфигурации, данных функций, сообщений трассировки для функций внутреннего управления.

Примечание: формат битовых масок уровней отладки был введён в версии 1.7.0.

По умолчанию: 0x0070 (то есть фатальные, критические и серьёзные ошибки; соответствует указанию значения «2» в десятичной записи)

--debug-timestamps=mode

1: добавить отметку времени к сообщениям отладки 0: отключить отметку времени в сообщениях отладки

По умолчанию: 1

--debug-microseconds=mode

1: добавить микросекунды в отметку времени в сообщениях отладки 0: отключить микросекунды в отметке времени

По умолчанию: 0

--logger=value

Расположение, в которое SSSD будет отправлять сообщения журнала. stderr: перенаправлять сообщения отладки в стандартный поток ошибок.

files: перенаправлять сообщения отладки в файлы журнала. По умолчанию файлы журнала хранятся в /var/log/sssd и представляют собой отдельные файлы для каждой службы и домена SSSD.

journald: перенаправлять сообщения отладки в systemd-journald

По умолчанию: не задано (использовать journald, если это возможно, в ином случае — stderr)

-D,--daemon

Запускаться в качестве службы.

-i,--interactive

Запускаться интерактивно, не в качестве службы.

-c,--config

Позволяет указать файл конфигурации, отличный от стандартного. Стандартным является /etc/sssd/sssd.conf. Сведения о синтаксисе и параметрах файла конфигурации доступны на справочной странице sssd.conf(5).

-g,--genconf

Не запускать SSSD, но обновить базу данных конфигурации содержимым /etc/sssd/sssd.conf и выйти.

-s,--genconf-section

Аналогично “--genconf”, но будет выполнено обновление только одного раздела файла конфигурации. Этот параметр полезен главным образом при вызове из файлов модулей systemd с целью позволить ответчикам, которые активируются с помощью сокетов, обновлять свою конфигурацию без необходимости в перезапуске всего сервиса SSSD администратором.

-?,--help

Показать справочное сообщение и выйти.

--version

Вывести номер версии и выйти.

## Сигналы
SIGTERM/SIGINT

Сообщает SSSD, что следует постепенно завершить все дочерние процессы и затем отключить монитор.

SIGHUP

Сообщает SSSD, что следует прекратить запись в текущие дескрипторы файлов отладки, закрыть их и затем открыть снова. Это должно облегчить свёртывание журнала с помощью таких программ, как logrotate.

SIGUSR1

Сообщает SSSD, что следует имитировать работу в автономном режиме в течение времени, заданного параметром “offline_timeout”. Это полезно при тестировании. Сигнал можно отправить либо процессу sssd, либо напрямую любому процессу sssd_be.

SIGUSR2

Сообщает SSSD, что следует немедленно перейти в сетевой режим. Это полезно при тестировании. Сигнал можно отправить либо процессу sssd, либо напрямую любому процессу sssd_be.

## ПРИМЕЧАНИЯ
Если переменная среды SSS_NSS_USE_MEMCACHE установлена в значение «NO», клиентские приложения не будут использовать быстрый кэш в памяти.

Если переменная среды SSS_LOCKFREE установлена в значение «NO», одновременные запросы от нескольких потоков одного приложения будут преобразованы в последовательность запросов.

## СМ. ТАКЖЕ
sssd(8), sssd.conf(5), sssd-ldap(5), sssd-ldap-attributes(5), sssd-krb5(5), sssd-simple(5), sssd-ipa(5), sssd-ad(5), sssd-sudo(5), sssd-session-recording(5), sss_cache(8), sss_debuglevel(8), sss_obfuscate(8), sss_seed(8), sssd_krb5_locator_plugin(8), sss_ssh_authorizedkeys(8), sss_ssh_knownhostsproxy(8), sssd-ifp(5), pam_sss(8). sss_rpcidmapd(5)

## AUTHORS
Восходящий источник («апстрим») SSSD — https://github.com/SSSD/sssd/


package: sssd-client

title: pam_sss(8)

summary: модуль PAM для SSSD

text:
# pam_sss(8)

## NAME
pam_sss - модуль PAM для SSSD

## SYNOPSIS
pam_sss.so [quiet] [forward_pass] [use_first_pass] [use_authtok] [retry=N] [ignore_unknown_user] [ignore_authinfo_unavail] [domains=X] [allow_missing_name] [prompt_always] [try_cert_auth] [require_cert_auth]

## ОПИСАНИЕ
pam_sss.so — это интерфейс PAM к сервису SSSD. Ошибки и результаты записываются в журнал посредством syslog(3) с LOG_AUTHPRIV.

## ОПЦИИ
quiet

Подавлять сообщения журнала для неизвестных пользователей.

forward_pass

Если параметр forward_pass задан, введённый пароль будет помещён в стек для использования другими модулями PAM.

use_first_pass

Использование аргумента use_first_pass позволяет указать модулю принудительно использовать пароль ранее добавленного в стек модуля и никогда не запрашивать его у пользователя — если пароль недоступен или некорректен, пользователю будет отказано в доступе.

use_authtok

Если этот параметр задан, при смене пароля модуль установит в качестве нового пароля тот пароль, который предоставлен ранее добавленным в стек модулем обработки паролей.

retry=N

Если этот параметр задан, в случае неудачной проверки подлинности у пользователя будет N раз запрашиваться пароль. Значение по умолчанию — 0. Обратите внимание, что этот параметр может не работать ожидаемым образом, если приложение, которое вызывает PAM, самостоятельно обрабатывает диалог с пользователем. Типичный пример: sshd с PasswordAuthentication.

ignore_unknown_user

Если этот параметр указан и пользователь не существует, модуль PAM вернёт PAM_IGNORE. В результате платформа PAM игнорирует этот модуль.

ignore_authinfo_unavail

Позволяет указать, что модуль PAM должен вернуть PAM_IGNORE, если ему не удаётся связаться с сервисом SSSD. В результате платформа PAM игнорирует этот модуль.

domains

Позволяет администратору ограничить перечень доменов, в которых может проходить проверку подлинности определённая служба PAM. Формат: разделённый запятыми список имён доменов SSSD, в том виде, в котором они указаны в файле sssd.conf. ПРИМЕЧАНИЕ: при использовании для службы, которая запущена не от имени пользователя root (например, для веб-сервера), этот параметр необходимо использовать совместно с параметрами “pam_trusted_users” и “pam_public_domains”. Дополнительные сведения об этих двух параметрах ответчика PAM доступны на справочной странице sssd.conf(5).

allow_missing_name

Основная задача этого параметра — разрешить SSSD определять имя пользователя на основе дополнительной информации (например, сертификата со смарт-карты). В настоящее время используется диспетчерами входа, которые могут отслеживать события карты на устройстве чтения смарт-карт. При вставке смарт-карты диспетчер входа вызовет стек PAM, который включает строку наподобие

```
auth sufficient pam_sss.so allow_missing_name

```

В этом случае SSSD попытается определить имя пользователя на основе содержимого смарт-карты, потом вернёт его pam_sss, который затем поместит его в стек PAM.

prompt_always

Всегда запрашивать учётные данные у пользователя. Если этот параметр включён, учётные данные, запрошенные другими модулями PAM (обычно это пароль), будут игнорироваться и pam_sss будет запрашивать учётные данные снова. В зависимости от ответа предварительной проверки подлинности, полученного от SSSD, pam_sss может запросить пароль, PIN-код смарт-карты или другие учётные данные.

try_cert_auth

Пытаться применить проверку подлинности на основе сертификата, то есть проверку подлинности с помощью смарт-карты или аналогичных устройств. Если смарт-карта доступна и для службы разрешена проверка подлинности по смарт-карте, у пользователя будет запрошен PIN-код, после чего проверка подлинности на основе сертификата будет продолжена Если смарт-карта недоступна или для текущей службы не разрешена проверка подлинности на основе сертификата, возвращается PAM_AUTHINFO_UNAVAIL.

require_cert_auth

Выполнять проверку подлинности на основе сертификата, то есть проверку подлинности с помощью смарт-карты или аналогичных устройств. Если смарт-карта недоступна, пользователю будет предложено вставить её. SSSD будет ожидать вставки смарт-карты до истечения тайм-аута, определённого параметром p11_wait_for_card_timeout, подробные сведения доступны на справочной странице sssd.conf(5). Если смарт-карта недоступна по истечении тайм-аута или для текущей службы не разрешена проверка подлинности на основе сертификата, возвращается PAM_AUTHINFO_UNAVAIL.

## ПРЕДОСТАВЛЯЕМЫЕ ТИПЫ МОДУЛЕЙ
Предоставляются все типы модулей (account, auth, password и session).

Если ответчик PAM SSSD не запущен (например, когда недоступен сокет ответчика PAM), pam_sss вернёт PAM_USER_UNKNOWN при вызове в качестве модуля account, чтобы избежать проблем с пользователями из других источников во время управления доступом.

## ВОЗВРАЩАЕМЫЕ ЗНАЧЕНИЯ
PAM_SUCCESS

Операция PAM успешно завершена.

PAM_USER_UNKNOWN

Пользователь неизвестен службе проверки подлинности или не запущен ответчик PAM SSSD.

PAM_AUTH_ERR

Сбой при проверке подлинности. Кроме того, может быть возвращено в случае проблемы с получением сертификата.

PAM_PERM_DENIED

Доступ запрещён. В журнале SSSD могут быть дополнительные сведения об этой ошибке.

PAM_IGNORE

Смотрите описание параметров ignore_unknown_user и ignore_authinfo_unavail.

PAM_AUTHTOK_ERR

Не удалось получить новый маркер проверки подлинности. Кроме того, может быть возвращено, когда пользователь проходит проверку подлинности с помощью сертификатов и доступно несколько сертификатов, но установленная версия GDM не поддерживает выбор из нескольких сертификатов.

PAM_AUTHINFO_UNAVAIL

Не удалось получить доступ к данным проверки подлинности. Это может быть связано со сбоем сети или оборудования.

PAM_BUF_ERR

Произошла ошибка памяти. Кроме того, может быть возвращено в том случае, если заданы параметры use_first_pass или use_authtok, но не был найден пароль, предоставленный ранее добавленным в стек модулем PAM.

PAM_SYSTEM_ERR

Произошла системная ошибка. В журнале SSSD могут быть дополнительные сведения об этой ошибке.

PAM_CRED_ERR

Не удалось задать учётные данные пользователя.

PAM_CRED_INSUFFICIENT

Приложение не располагает учётными данными, достаточными для проверки подлинности пользователя. Например, отсутствует PIN-код при проверке подлинности по смарт-карте или отсутствует фактор при двухфакторной проверке подлинности.

PAM_SERVICE_ERR

Ошибка в модуле службы.

PAM_NEW_AUTHTOK_REQD

Срок действия маркера проверки подлинности пользователя истёк.

PAM_ACCT_EXPIRED

Срок действия учётной записи пользователя истёк.

PAM_SESSION_ERR

Не удалось получить правила профилей рабочего стола IPA или информацию о пользователе.

PAM_CRED_UNAVAIL

Не удалось получить учётные данные пользователя Kerberos.

PAM_NO_MODULE_DATA

Kerberos не был найден способ проверки подлинности. Это могло произойти, если для записи пользователя назначена смарт-карта, но на клиенте недоступен модуль pkint.

PAM_CONV_ERR

Сбой обмена данными.

PAM_AUTHTOK_LOCK_BUSY

Нет доступных KDC, которые подходят для смены пароля.

PAM_ABORT

Неизвестный вызов PAM.

PAM_MODULE_UNKNOWN

Неподдерживаемое задание или команда PAM.

PAM_BAD_ITEM

Модулю проверки подлинности не удалось обработать учётные данные со смарт-карты.

## ФАЙЛЫ
Когда не удаётся выполнить сброс пароля от имени пользователя root из-за того, что соответствующий поставщик SSSD не поддерживает сброс пароля, может быть показано отдельное сообщение. Это сообщение может, например, содержать инструкции по сбросу пароля.

Это сообщение читается из файла pam_sss_pw_reset_message.LOC, где LOC обозначает строку локали, возвращённую setlocale(3). Если такого файла нет, отображается содержимое pam_sss_pw_reset_message.txt. Владельцем файлов должен быть пользователь root, при этом права на чтение и запись могут быть только у пользователя root, а у всех остальных пользователей должны быть права только на чтение.

Поиск этих файлов выполняется в каталоге /etc/sssd/customize/DOMAIN_NAME/. Если соответствующего файла нет, будет показано общее сообщение.

## СМ. ТАКЖЕ
sssd(8), sssd.conf(5), sssd-ldap(5), sssd-ldap-attributes(5), sssd-krb5(5), sssd-simple(5), sssd-ipa(5), sssd-ad(5), sssd-sudo(5), sssd-session-recording(5), sss_cache(8), sss_debuglevel(8), sss_obfuscate(8), sss_seed(8), sssd_krb5_locator_plugin(8), sss_ssh_authorizedkeys(8), sss_ssh_knownhostsproxy(8), sssd-ifp(5), pam_sss(8). sss_rpcidmapd(5)

## AUTHORS
Восходящий источник («апстрим») SSSD — https://github.com/SSSD/sssd/


title: pam_sss_gss(8)

text:
# pam_sss_gss(8)

## NAME
pam_sss_gss - Модуль PAM для проверки подлинности с помощью GSSAPI в SSSD

## SYNOPSIS
pam_sss_gss.so [debug]

## ОПИСАНИЕ
pam_sss_gss.so выполняет проверку подлинности пользователя с помощью GSSAPI совместно с SSSD.

Этот модуль пытается проверить подлинность пользователя с помощью имени серверной службы GSSAPI host@hostname, при разрешении которого получается участник Kerberos host/hostname@REALM. Часть REALM имени участника Kerberos определяется с помощью внутренних механизмов Kerberos. Её можно указать в явном виде в конфигурации раздела [domain_realm] в /etc/krb5.conf.

SSSD используется для предоставления имени нужной службы и проверки учётных данных пользователя с помощью вызовов GSSAPI. Если билет службы уже присутствует в кэше учётных данных Kerberos или если билет пользователя на получение билетов может быть использован для получения билета соответствующей службы, проверка подлинности пользователя будет выполнена.

Если параметр pam_gssapi_check_upn установлен в значение «True» (по умолчанию), SSSD будет требоваться возможность сопоставления пользователю тех учётных данных, которые были использованы для получения билетов службы. Это означает, что участник, который является владельцем учётных данных Kerberos, должен соответствовать имени участника-пользователя, определённому в LDAP.

Чтобы включить в SSSD проверку подлинности с помощью GSSAPI, задайте параметр pam_gssapi_services в разделе [pam] или домена sssd.conf. Учётные данные службы должны храниться в таблице ключей SSSD (она уже присутствует, если используется поставщик данных IPA или AD). Расположение таблицы ключей можно указать с помощью параметра krb5_keytab. Подробные сведения об этих параметрах доступны на справочных страницах sssd.conf(5) и sssd-krb5(5).

Некоторых развёрнутые системы Kerberos позволяют связывать индикаторы проверки подлинности с определённым способом предварительной проверки подлинности, используемым для получения пользователем билета на получение билетов. pam_sss_gss.so позволяет принудительно установить обязательность наличия индикаторов проверки подлинности в билетах службы для получения возможности доступа к определённой службе PAM.

Если параметр pam_gssapi_indicators_map задан в разделе [pam] или домена sssd.conf, SSSD будет проверять билет службы на наличие настроенных индикаторов.

## ОПЦИИ
debug

Вывести данные отладки.

## ПРЕДОСТАВЛЯЕМЫЕ ТИПЫ МОДУЛЕЙ
Предоставляется только модуль типа auth.

## ВОЗВРАЩАЕМЫЕ ЗНАЧЕНИЯ
PAM_SUCCESS

Операция PAM успешно завершена.

PAM_USER_UNKNOWN

Пользователь неизвестен службе проверки подлинности или не поддерживается проверка подлинности с помощью GSSAPI.

PAM_AUTH_ERR

Сбой при проверке подлинности.

PAM_AUTHINFO_UNAVAIL

Не удалось получить доступ к данным проверки подлинности. Это может быть связано со сбоем сети или оборудования.

PAM_SYSTEM_ERR

Произошла системная ошибка. В журнале SSSD могут быть дополнительные сведения об этой ошибке.

## ПРИМЕРЫ
Основной вариант использования — обеспечить проверку подлинности без пароля в sudo, но без необходимости отключать проверку подлинности полностью. Для достижения такого результата следует сначала включить проверку подлинности с помощью GSSAPI для sudo в sssd.conf:

```
[domain/MYDOMAIN]
pam_gssapi_services = sudo, sudo-i

```

А затем следует включить модуль в нужном стеке PAM (например, /etc/pam.d/sudo и /etc/pam.d/sudo-i).

```
...
auth sufficient pam_sss_gss.so
...

```

## УСТРАНЕНИЕ НЕПОЛАДОК
Журнал SSSD, отладочный вывод pam_sss_gss и системный журнал могут содержать полезные сведения об ошибке. Вот некоторые распространённые проблемы:

1. Переменная среды KRB5CCNAME задана, и проверка подлинности не работает: в зависимости от используемой версии sudo, возможно, что sudo не передаёт эту переменную среде PAM. Попробуйте добавить KRB5CCNAME в раздел env_keep в /etc/sudoers или в стандартные параметры правил sudo для LDAP.

2. Проверка подлинности не работает, и в системном журнале есть запись «Server not found in Kerberos database»: вероятно, Kerberos не удалось определить корректную область для билета службы на основе имени узла. Попробуйте добавить имя узла непосредственно в раздел [domain_realm] в /etc/krb5.conf следующим образом:

3. Проверка подлинности не работает, и в системном журнале есть запись «No Kerberos credentials available»: отсутствуют учётные данные, которые можно было бы использовать для получения необходимого билета службы. Используйте kinit или пройдите проверку подлинности с помощью SSSD для получения этих учётных данных.

4. Проверка подлинности не работает, и в журнале sssd-pam SSSD есть запись «User with UPN [$UPN] was not found.» или «UPN [$UPN] does not match target user [$username].»: используются учётные данные, которые нельзя сопоставить тому пользователю, проверка подлинности которого проводится. Попробуйте использовать kswitch для выбора другого участника, убедитесь, что проверка подлинности с помощью SSSD пройдена, или отключите pam_gssapi_check_upn.

```
[domain_realm]
.myhostname = MYREALM

```

## СМ. ТАКЖЕ
sssd(8), sssd.conf(5), sssd-ldap(5), sssd-ldap-attributes(5), sssd-krb5(5), sssd-simple(5), sssd-ipa(5), sssd-ad(5), sssd-sudo(5), sssd-session-recording(5), sss_cache(8), sss_debuglevel(8), sss_obfuscate(8), sss_seed(8), sssd_krb5_locator_plugin(8), sss_ssh_authorizedkeys(8), sss_ssh_knownhostsproxy(8), sssd-ifp(5), pam_sss(8). sss_rpcidmapd(5)

## AUTHORS
Восходящий источник («апстрим») SSSD — https://github.com/SSSD/sssd/


title: sssd_krb5_localauth_plugin(8)

summary: Модуль локальной авторизации Kerberos

text:
# sssd_krb5_localauth_plugin(8)

## NAME
sssd_krb5_localauth_plugin - Модуль локальной авторизации Kerberos

## ОПИСАНИЕ
Подключаемый модуль локальной авторизации Kerberos sssd_krb5_localauth_plugin используется libkrb5 либо для поиска локального имени для данного принципала Kerberos, либо для проверки того, связаны ли данное локальное имя и данный принципал Kerberos друг с другом.

SSSD обрабатывает локальные имена пользователей из удаленного источника, а также может считывать имя пользователя (UPN) Kerberos из удаленного источника. С помощью этой информации SSSD может легко обрабатывать сопоставления, упомянутые выше, даже если локальное имя и принципал Kerberos значительно различаются.

Кроме того, благодаря информации, считанной с удаленного источника, SSSD может предотвратить неожиданные или нежелательные привязки в случае, если пользовательская часть принципала Kerberos случайно совпадает с локальным именем другого пользователя. По умолчанию libkrb5 может просто удалить из регистрационной записи Kerberos часть, связанную с областью действия, для получения локального имени, что в этом случае может привести к ошибочным привязкам.

## КОНФИГУРАЦИЯ
Подключаемый модуль локальной авторизации Kerberos должен быть явно включен в конфигурации Kerberos, см. krb5.conf(5). SSSD автоматически создаст фрагмент конфигурации, например, с таким содержимым:

```
[plugins]

 localauth = {

  disable = an2ln

  module = sssd:/usr/lib64/sssd/modules/sssd_krb5_localauth_plugin.so

 }
```

в общедоступном каталоге фрагментов конфигурации SSSD Kerberos. Если этот каталог включен в локальную конфигурацию Kerberos, подключаемый модуль будет включен автоматически.

Этот фрагмент конфигурации также отключает модуль an2ln, предоставляемый MIT Kerberos, если SSSD настроен на использование провайдера AD или IPA. В этих средах sssd_krb5_localauth_plugin может надежно сопоставлять имена системных пользователей с принципалами Kerberos. Резервный переход к an2ln может вызвать проблемы в средах, где пользователи имеют право создавать собственные принципалы Kerberos,которые могут совпадать с именами других пользователей в системе. Другие модули, предоставляемые MIT Kerberos, например k5login, не затрагиваются.

Примечание: При использовании “auth_provider = krb5” модуль sssd_krb5_localauth_plugin не используется, поэтому приведенный выше текст не применяется.

## СМ. ТАКЖЕ
sssd(8), sssd.conf(5), sssd-ldap(5), sssd-ldap-attributes(5), sssd-krb5(5), sssd-simple(5), sssd-ipa(5), sssd-ad(5), sssd-sudo(5), sssd-session-recording(5), sss_cache(8), sss_debuglevel(8), sss_obfuscate(8), sss_seed(8), sssd_krb5_locator_plugin(8), sss_ssh_authorizedkeys(8), sss_ssh_knownhostsproxy(8), sssd-ifp(5), pam_sss(8). sss_rpcidmapd(5)

## AUTHORS
Восходящий источник («апстрим») SSSD — https://github.com/SSSD/sssd/


title: sssd_krb5_locator_plugin(8)

summary: Модуль локатора Kerberos

text:
# sssd_krb5_locator_plugin(8)

## NAME
sssd_krb5_locator_plugin - Модуль локатора Kerberos

## ОПИСАНИЕ
Модуль локатора Kerberos sssd_krb5_locator_plugin используется libkrb5 для поиска KDC для указанной области Kerberos. SSSD предоставляет этот модуль для направления всех клиентов Kerberos в системе в один KDC. В целом, не имеет значения, с каким KDC обменивается данными клиентский процесс. Но в некоторых случаях (например, после смены пароля) не все KDC находятся в одинаковом состоянии, поскольку для этого сначала необходимо выполнить репликацию новых данных. Чтобы избежать неожиданных сбоев проверки подлинности и, возможно, даже блокировки учётных записей, следует как можно дольше выполнять обмен данными с одним KDC.

libkrb5 выполнит поиск модуля локатора в подкаталоге libkrb5 каталога модулей Kerberos (см. plugin_base_dir в krb5.conf(5)). Модуль можно отключить, только удалив соответствующий файл модуля. В конфигурации Kerberos не предусмотрен параметр для его отключения. Но для отдельных команд модуль можно отключить с помощью переменной среды SSSD_KRB5_LOCATOR_DISABLE. Либо можно использовать параметр SSSD krb5_use_kdcinfo=False, чтобы не создавать данные, которые требуются для работы модуля. В этом случае модуль по-прежнему будет вызываться, но не предоставит данные вызывающей стороне, поэтому libkrb5 перейдёт к использованию других методов, определённых в krb5.conf.

Модуль выполняет чтение информации о KDC указанной области из файла kdcinfo.REALM. Этот файл должен содержать одно или несколько DNS-имён или IP-адресов (либо в десятичной записи IPv4, либо в шестнадцатеричной записи IPv6). В конце можно (необязательно) добавить номер порта, отделив его двоеточием; в этом случае адрес IPv6 необходимо, как и обычно, заключить в квадратные скобки. Корректные записи:

•kdc.example.com

•kdc.example.com:321

•1.2.3.4

•5.6.7.8:99

•2001:db8:85a3::8a2e:370:7334

•[2001:db8:85a3::8a2e:370:7334]:321

Поставщик данных проверки подлинности krb5 SSSD, который также используется поставщиками данных IPA и AD, добавляет в этот файл адрес текущего KDC или контроллера домена, который используется SSSD.

В средах с доступными только для чтения и доступными для чтения и записи KDC, где, как ожидается, клиенты будут использовать для общих операций экземпляры, доступные только для чтения, а для изменений конфигурации, таких как смена пароля, — только KDC, доступные для чтения и записи, также используется файл kpasswdinfo.REALM для идентификации доступных для чтения и записи KDC. Если этот файл существует для указанной области, его содержимое будет использовано модулем для ответа на запросы по серверу kpasswd или kadmin или определённому основному KDC MIT Kerberos. Если адрес содержит номер порта, для последнего будет использоваться стандартный порт KDC 88.

## ПРИМЕЧАНИЯ
Не все реализации Kerberos поддерживают использование модулей. Если в системе нет sssd_krb5_locator_plugin, необходимо отредактировать файл /etc/krb5.conf в соответствии с используемой версией Kerberos.

Если переменная среды SSSD_KRB5_LOCATOR_DEBUG установлена в какое-либо значение, сообщения отладки будут отправляться в stderr.

Если переменная среды SSSD_KRB5_LOCATOR_DISABLE установлена в какое-либо значение, модуль отключён и просто вернёт вызывающей стороне KRB5_PLUGIN_NO_HANDLE.

Если переменная среды SSSD_KRB5_LOCATOR_IGNORE_DNS_FAILURES установлена в какое-либо значение, модуль будет пытаться разрешить все DNS-имена в файле kdcinfo. По умолчанию модуль возвращает вызывающей стороне KRB5_PLUGIN_NO_HANDLE сразу после первой неудачи при разрешении DNS.

## СМ. ТАКЖЕ
sssd(8), sssd.conf(5), sssd-ldap(5), sssd-ldap-attributes(5), sssd-krb5(5), sssd-simple(5), sssd-ipa(5), sssd-ad(5), sssd-sudo(5), sssd-session-recording(5), sss_cache(8), sss_debuglevel(8), sss_obfuscate(8), sss_seed(8), sssd_krb5_locator_plugin(8), sss_ssh_authorizedkeys(8), sss_ssh_knownhostsproxy(8), sssd-ifp(5), pam_sss(8). sss_rpcidmapd(5)

## AUTHORS
Восходящий источник («апстрим») SSSD — https://github.com/SSSD/sssd/


sssd-kcm

package: sssd-kcm

title: sssd-kcm(8)

summary: Диспетчер кэшей Kerberos SSSD

text:
# sssd-kcm(8)

## NAME
sssd-kcm - Диспетчер кэшей Kerberos SSSD

## ОПИСАНИЕ
На этой справочной странице представлено описание настройки диспетчера кэшей Kerberos SSSD (Kerberos Cache Manager или KCM). KCM — это процесс, который хранит кэши учётных данных Kerberos, отслеживает эти кэши и управляет ими. Он был создан на основе проекта Heimdal Kerberos, хотя библиотека MIT Kerberos также предоставляет поддержку со стороны клиента (подробнее об этом далее) для кэша учётных данных KCM.

В конфигурации, где кэшами Kerberos управляет KCM, библиотека Kerberos (обычно используемая через приложение, например kinit(1)) является “клиентом KCM”, а внутренняя служба KCM называется “сервером KCM”. Клиент и сервер обмениваются данными с помощью сокета UNIX.

The KCM server keeps track of each credential caches's owner and performs access check control based on the UID and GID of the KCM client.

Кэш учётных данных KCM обладает несколькими интересными свойствами:

•так как процесс выполняется в пространстве пользователей, он подлежит ограничениям по пространству имён UID, в отличие от набора ключей ядра

•в отличие от кэша на основе набора ключей ядра, который является общим для всех контейнеров, сервер KCM представляет собой отдельный процесс, точкой входа которого является сокет UNIX

•реализация SSSD сохраняет данные ccache в базе данных (обычно она находится по адресу /var/lib/sss/secrets), что позволяет не терять эти данные при перезапусках сервера KCM или перезагрузках компьютера.

Это позволяет системе использовать кэш учётных данных с учётом сбора, одновременно делая кэш учётных данных общим для нескольких контейнеров (или для никаких контейнеров вообще) путём привязки-монтирования сокета.

Тайм-аут простоя клиента KCM по умолчанию составляет 5 минут, что предоставляет больше времени на взаимодействие пользователя с инструментами командной строки, например kinit.

## ИСПОЛЬЗОВАНИЕ КЭША УЧЁТНЫХ ДАННЫХ KCM
Чтобы использовать кэш учётных данных KCM, необходимо выбрать его в качестве стандартного типа учётных данных в krb5.conf(5). Именем кэша учётных данных может быть только “KCM:”, без каких-либо расширений шаблонов. Например:

```
[libdefaults]

    default_ccache_name = KCM:

```

Далее следует указать одинаковый путь к сокету UNIX для клиентских библиотек Kerberos и сервера KCM. По умолчанию и для библиотек, и для сервера используется путь /var/run/.heim_org.h5l.kcm-socket. Чтобы настроить библиотеку Kerberos, измените её параметр “kcm_socket”, описание которого приводится на справочной странице krb5.conf(5).

И наконец, следует убедиться, что с сервером KCM SSSD можно связаться. Служба KCM обычно активируется systemd(1) с помощью сокета. В отличие от других служб SSSD, её нельзя запустить, добавив строку “kcm” к инструкции “service”.

```
systemctl start sssd-kcm.socket
systemctl enable sssd-kcm.socket

```

Обратите внимание, что в дистрибутиве уже может быть выполнена соответствующая настройка модулей.

## ХРАНИЛИЩЕ КЭША УЧЁТНЫХ ДАННЫХ
Кэши учётных данных хранятся в базе данных, что очень похоже на хранение кэшей записей пользователей и групп SSSD. Обычно эта база данных находится по адресу “/var/lib/sss/secrets”.

## ПОЛУЧЕНИЕ ЖУРНАЛА ОТЛАДКИ
Служба sssd-kcm обычно активируется на сокете systemd(1). Для генерации журнала отладки добавьте следующее либо непосредственно в файл /etc/sssd/sssd.conf, либо как фрагмент конфигурации в каталог /etc/sssd/conf.d/:

```
[kcm]
debug_level = 10

```

Затем перезапустите службу sssd-kcm:

```
systemctl restart sssd-kcm.service

```

И выполните те действия, которые не приводят к желаемым результатам. Журнал KCM будет записан в /var/log/sssd/sssd_kcm.log. Когда в работе службы отладки больше не будет необходимости, рекомендуется отключить журнал отладки, так как служба sssd-kcm может генерировать довольно большое количество данных отладки.

Обратите внимание, что в настоящее время фрагменты конфигурации обрабатываются только в том случае, если основной файл конфигурации по пути /etc/sssd/sssd.conf существует.

## ОБНОВЛЕНИЯ
Службу sssd-kcm можно настроить на выполнение попыток обновления TGT для обновляемых TGT, которые хранятся в ccache KCM. Попытка обновления выполняется только в том случае, если прошла половина времени жизни билета. Обновления KCM настраиваются при установке следующих параметров в разделе [kcm]:

```
tgt_renewal = true
krb5_renew_interval = 60m

```

SSSD также может наследовать параметры krb5 для обновлений из существующего домена.

```
tgt_renewal = true
tgt_renewal_inherit = domain-name

```

Для управления поведением обновлений в разделе [kcm] можно настроить следующие параметры krb5 (подробное описание этих параметров приводится далее)

```
krb5_renew_interval
krb5_renewable_lifetime
krb5_lifetime
krb5_validate
krb5_canonicalize
krb5_auth_timeout

```

## ПАРАМЕТРЫ КОНФИГУРАЦИИ
Служба KCM настраивается в разделе “kcm” файла sssd.conf. Обратите внимание: так как служба KCM обычно активируется с помощью сокета, достаточно просто перезапустить службу “sssd-kcm” после изменения параметров в разделе “kcm” sssd.conf:

```
systemctl restart sssd-kcm.service

```

Настройки службы KCM выполняются с помощью “kcm”. Подробные сведения о синтаксисе доступны в разделе “ФОРМАТ ФАЙЛА” справочной страницы sssd.conf(5).

Службе kcm можно передавать типовые параметры сервиса SSSD, такие как “debug_level” или“fd_limit”. Полный список параметров доступен на справочной странице sssd.conf(5). Кроме того, предусмотрено несколько специфичных для KCM параметров.

socket_path (строка)

Сокет, на котором будет ожидать передачи данных служба KCM. По умолчанию: /var/run/.heim_org.h5l.kcm-socket

Примечание: на платформах, которые поддерживают systemd, путь к сокету перезаписан путём, который определён в файле модуля sssd-kcm.socket.

max_ccaches (целое число)

Сколько кэшей учётных данных может содержать база данных KCM для всех пользователей. По умолчанию: 0 (без ограничений, принудительно применяется только квота для отдельного UID)

max_uid_ccaches (целое число)

Сколько кэшей учётных данных может содержать база данных KCM для одного UID. Это эквивалентно “количеству участников, инициализацию которых можно выполнить с помощью kinit”. По умолчанию: 64

max_ccache_size (целое число)

Максимальный размер кэша учётных данных для отдельного ccache. Эта квота вычисляется сразу для всех билетов служб. По умолчанию: 65536

tgt_renewal (логическое значение)

Включает функциональную возможность обновлений TGT. По умолчанию: False (автоматические обновления отключены)

tgt_renewal_inherit (строка)

Домен, от которого наследуются параметры krb5_*, для использования при обновлении TGT. По умолчанию: NULL

krb5_auth_timeout (целое число)

Тайм-аут в секундах после прерывания запроса проверки подлинности или смены пароля в сетевом режиме. Обработка запроса проверки подлинности будет продолжена в автономном режиме, если это возможно. По умолчанию: 6

krb5_validate (логическое значение)

Проверить с помощью krb5_keytab, что полученный TGT не был подменён. Проверка записей в таблице ключей выполняется последовательно, для проверки действительности используется первая запись с соответствующей областью. Если области не соответствует ни одна из записей, используется последняя запись в таблице ключей. Этот процесс можно использовать для проверки сред, где используются межобластные отношения доверия, поместив соответствующую запись таблицы ключей в качестве последней или единственной записи в файле таблицы ключей. По умолчанию: false (для поставщиков данных IPA и AD: true)

Обратите внимание, что проверка билета — это первый шаг при проверке PAC (дополнительные сведения доступны в описании параметра «pac_check» на справочной странице sssd.conf(5)). Если проверка билета отключена, проверки PAC также будут пропущены.

krb5_renewable_lifetime (строка)

Запросить обновляемый билет с общим временем жизни, указанным как целое число, сразу после которого следует единица измерения времени: s для секунд

m для минут

h для часов

d для дней.

Если единица измерения не указана, предполагается, что используется значение s.

ПРИМЕЧАНИЕ: единицы измерения нельзя смешивать. Чтобы установить обновляемое время жизни равным полутора часам, укажите «90m», а не «1h30m».

По умолчанию: не задано, то есть TGT не является обновляемым

krb5_lifetime (строка)

Запросить билет с временем жизни, указанным как целое число, сразу после которого следует единица измерения времени: s для секунд

m для минут

h для часов

d для дней.

Если единица измерения не указана, предполагается, что используется значение s.

ПРИМЕЧАНИЕ: единицы измерения нельзя смешивать. Чтобы установить время жизни равным полутора часам, укажите «90m», а не «1h30m».

По умолчанию: не задано, то есть стандартное время жизни билета, настроенное в параметрах KDC.

krb5_renew_interval (строка)

Время в секундах между двумя проверками того, следует ли обновить TGT. Обновление TGT выполняется в том случае, если прошла примерно половина времени жизни билета, указанного как целое число, сразу после которого следует единица измерения времени: s для секунд

m для минут

h для часов

d для дней.

Если единица измерения не указана, предполагается, что используется значение s.

ПРИМЕЧАНИЕ: единицы измерения нельзя смешивать. Чтобы установить обновляемое время жизни равным полутора часам, укажите «90m», а не «1h30m».

Если этот параметр не указан или установлен в значение «0», автоматическое обновление отключено.

По умолчанию: не задано

krb5_canonicalize (логическое значение)

Позволяет указать, следует ли приводить в каноническую форму имя участника-узла и участника-пользователя. Эта возможность доступна в MIT Kerberos 1.7 и выше. По умолчанию: false

## СМ. ТАКЖЕ
sssd(8), sssd.conf(5),

## AUTHORS
Восходящий источник («апстрим») SSSD — https://github.com/SSSD/sssd/


package: sssd-tools

title: sss_debuglevel(8)

text:
# sss_debuglevel(8)

## NAME
sss_debuglevel - [НЕ РЕКОМЕНДУЕТСЯ] изменить уровень отладки во время работы SSSD

## SYNOPSIS
sss_debuglevel [параметры] НОВЫЙ_УРОВЕНЬ_ОТЛАДКИ

## ОПИСАНИЕ
sss_debuglevel устарела и заменена командой debug-level sssctl. Дополнительные сведения об использовании sssctl доступны на man-странице sssctl.

## СМ. ТАКЖЕ
sssd(8), sssd.conf(5), sssd-ldap(5), sssd-ldap-attributes(5), sssd-krb5(5), sssd-simple(5), sssd-ipa(5), sssd-ad(5), sssd-sudo(5), sssd-session-recording(5), sss_cache(8), sss_debuglevel(8), sss_obfuscate(8), sss_seed(8), sssd_krb5_locator_plugin(8), sss_ssh_authorizedkeys(8), sss_ssh_knownhostsproxy(8), sssd-ifp(5), pam_sss(8). sss_rpcidmapd(5)

## AUTHORS
Восходящий источник («апстрим») SSSD — https://github.com/SSSD/sssd/


title: sss_obfuscate(8)

summary: скрыть открытый пароль

text:
# sss_obfuscate(8)

## NAME
sss_obfuscate - скрыть открытый пароль

## SYNOPSIS
sss_obfuscate [параметры] [ПАРОЛЬ]

## ОПИСАНИЕ
sss_obfuscate преобразует указанный пароль в формат, нечитаемый человеком, и помещает его в соответствующем разделе домена файла конфигурации SSSD.

Открытый пароль читается из потока стандартного ввода или вводится в интерактивном режиме. Скрытый пароль помещается в параметр “ldap_default_authtok” указанного домена SSSD, и параметр “ldap_default_authtok_type” устанавливается в значение “obfuscated_password”. Дополнительные сведения об этих параметрах доступны на справочной странице sssd-ldap(5).

Обратите внимание, что скрытие пароля на самом деле не повышает уровень безопасности, так как злоумышленник всё равно сможет реконструировать пароль. Настоятельно рекомендуется использовать более совершенные механизмы проверки подлинности (например, сертификаты на стороне клиента или GSSAPI).

## ОПЦИИ
-h,--help

Показать справочное сообщение и выйти.

-s,--stdin

Пароль для скрытия будет прочитан из потока стандартного ввода.

-d,--domain DOMAIN

Домен SSSD, в котором используется пароль. Имя по умолчанию: “default”.

-f,--file FILE

Прочитать файл конфигурации, указанный с помощью позиционного параметра. По умолчанию: /etc/sssd/sssd.conf

## СМ. ТАКЖЕ
sssd(8), sssd.conf(5), sssd-ldap(5), sssd-ldap-attributes(5), sssd-krb5(5), sssd-simple(5), sssd-ipa(5), sssd-ad(5), sssd-sudo(5), sssd-session-recording(5), sss_cache(8), sss_debuglevel(8), sss_obfuscate(8), sss_seed(8), sssd_krb5_locator_plugin(8), sss_ssh_authorizedkeys(8), sss_ssh_knownhostsproxy(8), sssd-ifp(5), pam_sss(8). sss_rpcidmapd(5)

## AUTHORS
Восходящий источник («апстрим») SSSD — https://github.com/SSSD/sssd/