AUTHSELECT

Section: \ \& (8)
Updated: 2018-03-18
Page Index

NAME

authselect - système de sélection des source d'identification et d'authentification.

SYNOPSIS

authselect [--debug] [--trace] [--warn] commande [options de la commande]

DESCRIPTION

Authselect est un outil de configuration des sources et fournisseurs d'identification et d'authentification en sélectionnant un profil spécifique. Un profil est un ensemble de fichiers décrivant comment doit être la configuration système résultante. Quand un profil est sélectionné, authselect créera les piles nsswitch.conf(5) et PAM(8) pour utiliser les sources d'identification et d'authentification définies par le profil.

Si le jeu de profils fournis n'est pas suffisant, l'administrateur peut créer un profil personnalisé en l'ajoutant dans un dossier dédié (/etc/authselect/custom). Se faisant, le profil est immédiatement utilisable par authselecte. Lisez authselect-profiles(5) pour plus d'informations sur l'extension de profils existants.

OPT-IN À AUTHSELECT

Authselect ne touchera pas à votre configuration existante, sauf si elle a déjà été créée par lui. Si vous souhaitez commencer à utiliser authselect pour configurer votre authentification système, veuillez appeler authselect select avec le paramètre --force en premier (p. ex. authselect select sssd --force). Le paramètre --force indique à authselect qu'il peut écraser une configuration existante non authselect (voir la description ci-dessous). L'utilisation du paramètre --force sauvegarde automatiquement votre configuration actuelle. Si vous souhaitez revenir en arrière, vous pouvez la restaurer avec la commande authselect backup-restore (voir description ci-dessous).

COMMANDES DISPONIBLES

Pour lister toues les commandes disponibles, lancez authselect sans aucun paramètres. Pour afficher l'aide pour la commande sélectionnée, lancez authselect COMMANDE --help.

select profile_id [features] [-f, --force] [-q, --quiet] [-b] [--backup=NAME]

Active le profil souhaité. Lisez la description du profil avec la commande show pour en lister les fonctionnalités spécifiques.

--force, -f

: Écrire les changements même si la configuration précédente n'a pas été créé par authselect mais par un autre outils ou des changements manuels. Cette option sauvegardera automatiquement les fichiers système avant l'écriture du moindre changement, à moins que l'option --nobackup soit activée.

-b

: Sauvegarde les fichiers système avant l'activation du profil sélectionné. La sauvegarde sera stockée dans /var/lib/authselect/backups/NAME. L'heure actuelle, liée à une chaîne de caractères unique, est utilisée comme nom de la sauvegarde. Il s'agit d'un raccourci pour --backup=.

--backup=NAME

: Sauvegarde les fichiers système avant l'activation du profil sélectionné. La sauvegarde sera stockée dans /var/lib/authselect/backups/NAME. L'heure actuelle est utilisée comme nom si aucune valeur n'est renseignée.

--nobackup

: Ne pas sauvegarder les fichiers système même si --force est activé.

--quiet, -q

: La commande n'affichera aucun messages d'information tels que les prérequis de profils ou lieu de sauvegarde. Les erreurs seront toujours affichées.

apply-changes [-b] [--backup=NAME]

Réappliquer le profil actuellement sélectionné. Si les modèles de profil ont été mis à jour, cette commande peut être utilisée pour régénérer la configuration système actuelle afin d'appliquer ces modifications au système. Cette commande n'appliquera à nouveau les modifications que si la configuration existante est une configuration authselect valide, sinon une erreur est renvoyée.

-b

: Sauvegarder les fichiers de sauvegarde du système avant d'y apposer vos changements. La sauvegarde sera stockée dans /var/lib/authselect/backups/NAME. L'heure actuelle, liée à une chaîne de caractères unique, est utilisée comme nom de la sauvegarde. Il s'agit d'un raccourci pour --backup=.

--backup=NAME

: Sauvegarder les fichiers de sauvegarde du système avant d'y apposer vos changements. La sauvegarde sera stockée dans /var/lib/authselect/backups/NAME. L'heure actuelle, liée à une chaîne de caractères unique, est utilisée comme nom si aucune valeur n'est donnée.

list

: Liste les profils disponibles.

list-features profile_id

: Répertorie toutes les fonctionnalités disponibles pour un profil donné. + Note: This will only list the features without any description. Please, read the profile documentation with show to see what the features do.

show profile_id

: Afficher les informations sur ce profil.

requirements profile_id [features]

: Afficher les informations sur les prérequis du profil.

current [-r, --raw]

: Affiche les informations sur les profils actuellement sélectionnés. Si l'opton --raw est renseignée, la commande affichera les paramètres bruts, tels que passés à la commande select plutôt qu'une sortie formatée.

check

: Vérifier si la configuration actuelle est valide (qu'elle ai été créée par authselect ou qu'il n'y ait aucun reste de la configuration précédente de authselect).

test profile_id [options] [features]

Affiche le contenu des fichiers générés par authselect sans écrire quoi que ce soit dans la configuration système.

-a, --all

: Imprimer le contenu de tous les fichiers.

-n, --nsswitch

: Imprimer le contenu de nsswitch.conf

-s, --system-auth

: Imprimer le contenu de system-auth

-p, --password-auth

: Imprimer le contenu de password-auth

-c, --smartcard-auth

: Imprimer le contenu de smartcard-auth

-f, --fingerprint-auth

: Imprimer le contenu de fingerprint-auth

-o, --postlogin

: Imprimer le contenu de postlogin

-d, --dconf-db

: Imprimer le contenu de la base de données dconf

-l, --dconf-lock

: Imprimer le contenu du verrou dconf

enable-feature feature [-b] [--backup=NAME] [-q, --quiet]

Active la fonctionnalité dans le profil actuellement sélectionné.

-b

: Sauvegarder les fichiers de sauvegarde du système avant d'activer la fonctionnalité. La sauvegarde sera stockée dans /var/lib/authselect/backups/NAME. L'heure actuelle, liée à une chaîne de caractères unique, est utilisée comme nom de la sauvegarde. Il s'agit d'un raccourci pour --backup=.

--backup=NAME

: Sauvegarder les fichiers de sauvegarde du système avant d'activer la fonctionnalité. La sauvegarde sera stockée dans /var/lib/authselect/backups/NAME. L'heure actuelle, liée à une chaîne de caractères unique, est utilisée comme nom si aucune valeur n'est donnée.

--quiet, -q

: La commande n'affichera aucun messages d'information tels que les prérequis de profils ou lieu de sauvegarde. Les erreurs seront toujours affichées.

disable-feature feature [-b] [--backup=NAME]

Désactive la fonctionnalité dans le profil actuellement sélectionné.

-b

: Sauvegarder les fichiers de sauvegarde du système avant de désactiver la fonctionnalité. La sauvegarde sera stockée dans /var/lib/authselect/backups/NAME. L'heure actuelle, liée à une chaîne de caractères unique, est utilisée comme nom de la sauvegarde. Il s'agit d'un raccourci pour --backup=.

--backup=NAME

: Sauvegarder les fichiers de sauvegarde du système avant de désactiver la fonctionnalité. La sauvegarde sera stockée dans /var/lib/authselect/backups/NAME. L'heure actuelle, liée à une chaîne de caractères unique, est utilisée comme nom si aucune valeur n'est donnée.

create-profile NOM [--custom,-c|--vendor,-v] [options]

Crée un nouveau profil personnalisé appelé NOM. Le profil peut être basé sur un profil existant, dans ce cas, les modèles du nouveau profil sont soit une copie du profil existant, soit des liens symboliques vers ces fichiers sont créés, si une telle option est sélectionnée.

--vendor,-v

: Le nouveau profil est un profil fournisseur au lieu d'un profil personnalisé. Lisez authselect-profiles(5) pour plus d'informations sur les types de profils.

--base-on=BASE-ID, -b=BASE-ID

Le nouveau profil sera basé sur un profil appelé BASE-ID. L'emplacement du profil est déterminé par ces étapes :

: 1. Si BASE-ID débute par le préfixe custom/ c'est un profil personnalisé.

: 2. Essaye si BASE-ID est trouvé dans les profils fournisseurs.

: 3. Essaye si BASE-ID est trouvé dans les profils par défaut.

: 4. Renvoie une erreur.

--base-on-default

: Le profil de base est un profil par défaut même s'il est trouvé dans les profils fournisseur.

--symlink-meta

: Métafichiers, tels que README et REQUIREMENTS seront des liens symboliques vers les fichiers du profil d'origine plutôt que leur copie.

--symlink-nsswitch

: Le modèle nsswitch.conf sera un lien symbolique vers le fichier du profil d'origine plutôt que sa copie.

--symlink-pam

: Les modèles PAM seront des liens symboliques vers les fichiers du profil d'origine plutôt que leur copie.

--symlink-dconf

: Les modèles dconf seront des liens symboliques vers les fichiers du profil d'origine plutôt que leur copie.

--symlink=FICHIER,-s=FICHIER

: Crée un lien symbolique pour le modèle de fichier FILE plutôt que de créer sa copie. Cette option peut être renseignée plusieurs fois.

COMMANDES DE SAUVEGARDE

Ces commandes peuvent être utilisées pour gérer les configurations sauvegardées.

backup-list [-r, --raw]

: Affiche les sauvegardes disponibles. Si l'option --raw est spécifiée, la commande n'affichera que les noms des sauvegardes sans aucun formatage ou informations supplémentaires.

backup-remove BACKUP

: Supprime de façon permanente la sauvegarde intitulée BACKUP.

backup-restore BACKUP

: Restaure la configuration de la sauvegarde intitulée BACKUP. Note: cela remplacera la configuration actuelle.

OPTIONS COURANTES

Ces options sont disponibles avec toutes les commandes.

--debug

: Affiche des informations de débogage et messages d'erreurs.

--trace

: Afficher les informations sur ce que l'outil est en train de faire.

--warn

: Affiche les informations sur les situations inattendues qui n'affectent pas l'exécution mais peuvent indiquer des situations indésirables (p. ex. un fichier inattendu dans un dossier de profil).

GESTION DE NSSWITCH.CONF

Authselect génère /etc/nsswitch.conf et ne permet aucune modification d'un utilisateur sur ce fichier. De tels changements sont détectés et authselect refusera d'écrire la moindre configuration système à moins que le paramètre --force soit fourni à la commande select. Ce mécanisme évite qu'authselect écrase la moindre information qui ne correspond à aucun profil disponible.

Toute modification à la carte nsswitch doit être faite dans le fichier /etc/authselect/user-nsswitch.conf. Quand authselect génère un nouveau nsswitch.conf, il lit ce fichier et le combine avec la configuration du profil sélectionné. La configuration du profil est toujours prioritaire. En d'autres termes, les profils n'ont pas besoin de définir toutes les cartes nsswitch mais peuvent uniquement définir ceux pertinents pour le profil. Si une carte est définie dans un profil, elle écrase systématiquement la même carte de user-nsswitch.conf.

Exemple 1.

# profil « sssd »
$ cat /usr/share/authselect/default/sssd/nsswitch.conf
passwd:     sss files systemd
group:      sss files systemd
netgroup:   sss files
automount:  sss files
services:   sss files
sudoers:    files sss {include if "with-sudo"}

$ cat /etc/authselect/user-nsswitch.conf
passwd: files sss
group: files sss
hosts: files dns myhostname
sudoers: files

$ authselect select sssd

# les cartes passwd et group de user-nsswitch.conf sont ignorées
$ cat /etc/nsswitch.conf
passwd:     sss files systemd
group:      sss files systemd
netgroup:   sss files
automount:  sss files
services:   sss files
hosts:      files dns myhostname
sudoers:    files

$ authselect select sssd with-sudo

# les cartes passwd, group et sudoers de user-nsswitch.conf sont ignorées
$ cat /etc/nsswitch.conf
passwd:     sss files systemd
group:      sss files systemd
netgroup:   sss files
automount:  sss files
services:   sss files
sudoers:    files sss
hosts:      files dns myhostname

DÉPANNAGE

Comment puis-je savoir si mon système utilise authselect ?

Utilisez authselect check. La sortie vous indiquera si vous avez 1) une configuration générée par authselect, 2) une configuration non authselect ou 3) une configuration qui a été générée par authselect, mais qui a été modifiée manuellement à un moment donné.

Le fichier nsswitch.conf est-il censé être un lien symbolique maintenant ?

Authselect génère votre configuration système à partir de zéro et la stocke dans /etc/authselect. Les fichiers système sont ensuite créés sous forme de liens symboliques vers ce répertoire. Les liens symboliques sont utilisés pour indiquer clairement que authselect est désormais propriétaire de votre configuration et qu'il doit être utilisé à la place de toute modification manuelle.

Erreur : Des modifications inattendues de la configuration ont été détectées.

Par exemple :

[erreur] [/etc/authselect/nsswitch.conf] n'existe pas !
[error] [/etc/nsswitch.conf] n'est pas un lien symbolique !
[error] [/etc/nsswitch.conf] n'a pas été créé par authselect !
[error] Des modifications inattendues de la configuration ont été détectées.
[error] Refus d'activer le profil à moins que ces modifications ne soient supprimées ou écrasées.

Cela signifie que votre configuration est inconnue de authselect et qu'elle ne sera donc pas modifiée. Pour remédier à cela, veuillez appeler authselect select avec le paramètre --force pour dire que la configuration peut être écrasée.

CODES DE RETOUR

authselect peut retour ces codes de sortie :

: • 0: Succès.

: • 1 : Erreur générique.

: • 2: Aucun profil ou configuration n'a pu être trouvé ou le système n'a pas été configuré avec authselect.

: • 3 : la configuration courante est invalide, elle a été modifiée en dehors d'authselect.

: • 4 : La configuration système doit être écrasée pour activer un profil authselect, le paramètre --force est nécessaire.

: • 5: La commande doit être exécutée en tant que superutilisateur.

FICHIERS GÉNÉRÉS

Authselect crée et maintien les fichiers suivants por configurer les fournisseurs systèmes d'identité et d'authentification.

/etc/nsswitch.conf

: Fichier de configuration Name Service Switch.

/etc/pam.d/system-auth

: Pile PAM inclue depuis quasiment tout fichiers de configuration de service.

/etc/pam.d/password-auth, smartcard-auth, fingerprint-auth

: Ces piles PAM sont pour les applications gérant l'authentification depuis différents types de périphériques via le lancement de conversations individuelles simultanées plutôt qu'une conversation agrégée.

/etc/pam.d/postlogin

: L'objectif de cette pile PAM est de fournir un lieu central pour tous les modules PAM qui doivent être appelés après la pile configurée dans system-auth ou les autres fichiers communs de configuration de PAM. Elle est inclue depuis tous les fichiers individuels de configuration de services qui fournissent un service de connexion par shell ou fichier d'accès. Note : les modules dans le fichier de configuration postlogin sont exécutés indépendamment du succès ou de l'échel des modules dans le fichier de configuration system-auth.

/etc/dconf/db/distro.d/20-authselect

: Changements à la base dconf. L'usage principal est de définir les changements pour quelques écrans de connexion Gnome afin d'activer ou désactiver l'authentification smartcard ou empreinte digitale.

/etc/dconf/db/distro.d/locks/20-authselect

: Ce fichier défini les verrous sur les valeurs définies dans la base dconf.

VOIR AUSSI

authselect-profiles(5), authselect-migration(7), nsswitch.conf(5), PAM(8)