Denna manualsida beskriver konfigurationen av LDAP-domäner för sssd(8). Se avsnittet "FILFORMAT" av manualsidan sssd.conf(5) för detaljerad syntaxinformation.
Du kan konfigurera SSSD för att använda mer än en LDAP-domän.
LDAP-bakändar stödjer leverantörer av id, autentisering, åtkomst och lösenordsändring. Om du vill autentisera mot en LDAP-server krävs antingen TLS/SSL eller LDAPS. sssd stödjer inte autentisering över en okrypterad kanal. Om LDAP-servern används endast som en identitetsleverantör behövs inte en krypterad kanal. Se konfigurationsalternativet "ldap_access_filter" för mer information om att använda LDAP som en åtkomstleverantör.
Alla de vanliga konfigurationsflaggorna som gäller för SSSD-domäner gäller även för LDAP-domäner. Se avsnittet "DOMÄNSEKTIONER" i manualsidan sssd.conf(5) för fullständiga detaljer. Observera att SSSD LDAP-avbildningsattribut beskrivs i manualsidan sssd-ldap-attributes(5).
ldap_uri, ldap_backup_uri (sträng)
Formatet på URI:n måste stämma med formatet som definieras i RFC 2732:
ldap[s]://<värd>[:port]
För explicita IPv6-adresser måste <host> vara omslutet av hakparenteser []
exempel: ldap://[fc00::126:25]:389
ldap_chpass_uri, ldap_chpass_backup_uri (sträng)
För att aktivera tjänsteuppslagning måste ldap_chpass_dns_service_name vara satt.
Standard: tomt, d.v.s. ldap_uri används.
ldap_search_base (sträng)
Med början med SSSD 1.7.0 stödjer SSSD flera sökbaser genom att använda syntaxen:
sökbas[?räckvidd?[filter][?sökbas?räckvidd?[filter]]*]
Räckvidden kan vara en av "base", "onelevel" eller "subtree".
Filtret måste vara ett korrekt LDAP-sökfilter som specificerat i http://www.ietf.org/rfc/rfc2254.txt
Exempel:
ldap_search_base = dc=example,dc=com (vilket är ekvivalent med) ldap_search_base = dc=example,dc=com?subtree?
ldap_search_base = cn=host_specific,dc=example,dc=com?subtree?(host=thishost)?dc=example.com?subtree?
Observera: det stödjs inte att ha flera sökbaser som refererar identiskt namngivna objekt (till exempel, grupper med samma namn i två olika sökbaser). Detta kommer medföra oförutsägbart beteende på klientmaskinerna.
Standard: om inte satt används värdet från attributet defaultNamingContext eller namingContexts från RootDSE:n hos LDAP-servern. Om defaultNamingContext inte finns eller har ett tomt värde används namingContexts. Attributet namingContexts måste ha ett ensamt värde med DN:n hos sökbasen hos LDAP-servern för att detta skall fungera. Flera värden stödjs inte.
ldap_schema (sträng)
Fyra schematyper stödjs för närvarande:
Den huvudsakliga skillnaden mellan dessa schematyper är hur gruppmedlemskap lagras i servern. Med rfc2307 listas gruppmedlemskap med namn i attributet memberUid. Med rfc2307bis och IPA listas gruppmedlemskap av DN och lagras i attributet member. AD-schematypen sätter attributen till att motsvara Active Directory 2008r2-värden.
Standard: rfc2307
ldap_pwmodify_mode (sträng)
Två lägen stödjs för närvarande:
Obs: först etableras en ny förbindelse för att verifiera det aktuella lösenordet genom att binda som användaren som begärde lösenordsändringen. Om det lyckas används denna förbindelse för att ändra lösenordet och därför måste användaren ha skrivrätt på attributet userPassword.
Standard: exop
ldap_default_bind_dn (sträng)
ldap_default_authtok_type (sträng)
De två mekanismerna som stödjs för närvarande är:
password
obfuscated_password
Standard: password
Se manualsidan sss_obvuscate(8) för mer information.
ldap_default_authtok (sträng)
ldap_force_upper_case_realm (boolean)
Standard: false
ldap_enumeration_refresh_timeout (heltal)
Standard: 300
ldap_purge_cache_timeout (heltal)
Att sätta detta alternativ till noll kommer avaktivera rensningsoperationen för cachen. Observera att om uppräkning är aktiverat krävs rensningsjobbet för att upptäcka poster som tas bort från servern och inte kan avaktiveras. Som standard kör rensningsjobbet var 3:e timma när uppräkning är aktiverat.
Standard: 0 (avaktiverat)
ldap_group_nesting_level (heltal)
Obs: detta alternativ anger den garanterade nivån av nästade grupper som skall bearbetas för en godtycklig uppslagning. Dock kan nästade grupper utöver denna gräns returneras om tidigare uppslagningar redan har slagit upp de djupare nästningsnivåerna. Följande uppslagningar för andra grupper kan också utöka resultatmängden för den ursprungliga uppslagningen om den slås upp igen.
Om ldap_group_nesting_level sätts till 0 bearbetas inga nästade grupper alls. Dock krävs det dessutom att användningen av Token-Groups avaktiveras vid anslutning till Active-Directory Server 2008 och senare vid användning av "id_provider=ad" genom att sätta ldap_use_tokengroups till false för att begränsa gruppnästning.
Standard: 2
ldap_use_tokengroups
Standard: true för AD och IPA annars false.
ldap_host_search_base (sträng)
Se "ldap_search_base" för information om konfiguration av multipla sökbaser.
Standard: värdet på ldap_search_base
ldap_service_search_base (sträng)
syntax:
search_base[?räckvidd?[filter][?search_base?räckvidd?[filter]]*]
Räckvidden kan vara en av "base", "onelevel" eller "subtree". Räckviddsfunktionerna beskrivs i avsnitt 4.5.1.2 av http://tools.ietf.org/html/rfc4511
Filtret måste vara ett korrekt LDAP-sökfilter som specificerat i http://www.ietf.org/rfc/rfc2254.txt
För exempel på denna syntax, se exempelsektionen av "ldap_search_base".
Standard: värdet på ldap_search_base
Observera att angivelse av räckvidd eller filter inte stödjs för sökningar i en Active Directory-server som kan resultera i ett stort antal resultat och trigga utökningen Range Retrieval i svaret.
ldap_iphost_search_base (sträng)
syntax:
search_base[?räckvidd?[filter][?search_base?räckvidd?[filter]]*]
Räckvidden kan vara en av "base", "onelevel" eller "subtree". Räckviddsfunktionerna beskrivs i avsnitt 4.5.1.2 av http://tools.ietf.org/html/rfc4511
Filtret måste vara ett korrekt LDAP-sökfilter som specificerat i http://www.ietf.org/rfc/rfc2254.txt
För exempel på denna syntax, se exempelsektionen av "ldap_search_base".
Standard: värdet på ldap_search_base
Observera att angivelse av räckvidd eller filter inte stödjs för sökningar i en Active Directory-server som kan resultera i ett stort antal resultat och trigga utökningen Range Retrieval i svaret.
ldap_ipnetwork_search_base (sträng)
syntax:
search_base[?räckvidd?[filter][?search_base?räckvidd?[filter]]*]
Räckvidden kan vara en av "base", "onelevel" eller "subtree". Räckviddsfunktionerna beskrivs i avsnitt 4.5.1.2 av http://tools.ietf.org/html/rfc4511
Filtret måste vara ett korrekt LDAP-sökfilter som specificerat i http://www.ietf.org/rfc/rfc2254.txt
För exempel på denna syntax, se exempelsektionen av "ldap_search_base".
Standard: värdet på ldap_search_base
Observera att angivelse av räckvidd eller filter inte stödjs för sökningar i en Active Directory-server som kan resultera i ett stort antal resultat och trigga utökningen Range Retrieval i svaret.
ldap_search_timeout (heltal)
Obs: detta alternativ kan komma att ändras i framtida versioner av SSSD. Det kommer sannolikt ersättas vid någon tidpunkt med en serie tidsgränser för specifika uppslagningstyper.
Standard: 6
ldap_enumeration_search_timeout (heltal)
Standard: 60
ldap_network_timeout (heltal)
Standard: 6
ldap_opt_timeout (heltal)
Standard: 8
ldap_connection_expire_timeout (heltal)
Tidsgränsen kan utökas med ett slumpvärde angivet av ldap_connection_expire_offset
Standard: 900 (15 minuter)
ldap_connection_expire_offset (heltal)
Standard: 0
ldap_page_size (heltal)
Standard: 1000
ldap_disable_paging (boolean)
Exempel: OpenLDAP-servrar med flödesstyrningsmodulen installerad på servern men inte aktiverad kommer rapportera det i RootDSE:n men inte kunna använda den.
Exempel: 389 DS har ett fel där den endast kan stödja en flödesstyrning åt gången på en enskild förbindelse. På aktiva klienter kan detta resultera i att några begäranden nekas.
Standard: False
ldap_disable_range_retrieval (boolean)
Active Directory begränsar antalet medlemmar som kan hämtas i en enskild uppslagning med policyn MaxValRange (vilket som standard är 1500 medlemmar). Om en grupp innehåller fler medlemmar skulle svaret innehålla en AD-specifik intervallutökning. Detta alternativ avaktiverar tolkning av intervallutökningar, därför kommer stora grupper förefalla inte ha några medlemmar.
Standard: False
ldap_sasl_minssf (heltal)
Standard: använd systemstandard (vanligen angivet i ldap.conf)
ldap_sasl_maxssf (heltal)
Standard: använd systemstandard (vanligen angivet i ldap.conf)
ldap_deref_threshold (heltal)
Du kan slå av derefereringsuppslagningar helt genom att sätta värdet till 0. Observera att det finns några kodvägar i SSSD, som IPA HBAC-leverantören, som endast är implementerade med derefereringsanropet, så att även med dereferens uttryckligen avaktiverat kommer dessa delar ändå använda dereferenser om servern stödjer det och annonserar derefereringsstyrning i rootDSE-objektet.
En derefereringsuppslagning är ett sätt att hämta alla gruppmedlemmar i ett enda LDAP-anrop. Olika LDAP-servrar kan implementera olika derefereringsmetoder. De servrar som stödjs för närvarande är 389/RHDS, OpenLDAP och Active Directory.
Obs: om någon av sökbaserna anger ett sökfilter, då kommer prestandaförbättringen med derefereringsuppslagningar avaktiveras oavsett denna inställning.
Standard: 10
ldap_tls_reqcert (sträng)
never = Klienten kommer inte begära eller kontrollera några servercertifikat.
allow = Servercertifikatet begärs. Om inget certifikat tillhandahålls fortsätter sessionen normalt. Om ett felaktigt certifikat tillhandahålls kommer det ignoreras och sessionen fortsätta normalt.
try = Servercertifikatet begärs. Om inget certifikat tillhandahålls fortsätter sessionen normalt. Om ett felaktigt certifikat tillhandahålls avslutas sessionen omedelbart.
demand = Servercertifikatet begärs. Om inget certifikat tillhandahålls eller ett felaktigt certifikat tillhandahålls avslutas sessionen omedelbart.
hard = Samma som "demand"
Standard: hard
ldap_tls_cacert (sträng)
Standard: använd standardvärden för OpenLDAP, typiskt i /etc/openldap/ldap.conf
ldap_tls_cacertdir (sträng)
Standard: använd standardvärden för OpenLDAP, typiskt i /etc/openldap/ldap.conf
ldap_tls_cert (sträng)
Standard: inte satt
ldap_tls_key (sträng)
Standard: inte satt
ldap_tls_cipher_suite (sträng)
Standard: använd standardvärden för OpenLDAP, typiskt i /etc/openldap/ldap.conf
ldap_id_use_start_tls (boolean)
Standard: false
ldap_id_mapping (boolean)
För närvarande stödjer denna funktion endast ActiveDirectory objectSID.
Standard: false
ldap_min_id, ldap_max_id (heltal)
Standard: inte satt (båda alternativen är satta till 0)
ldap_sasl_mech (sträng)
Om bakänden stödjer underdomäner ärvs automatiskt värdet av ldap_sasl_mech till underdomänerna. Om ett annat värde behövs för en underdomän kan det skrivas över genom att sätta ldap_sasl_mech för denna underdomän explicit. Se avsnittet SEKTIONEN BETRODDA DOMÄNER i sssd.conf(5) för detaljer.
Standard: inte satt
ldap_sasl_authid (sträng)
värdnamn@RIKE netbiosnamn$@RIKE host/värdnamn@RIKE *$@RIKE host/*@RIKE host/*
Om ingen av dem kan hittas returneras den första huvudmannen i keytab.
Standard: host/värdnamn@RIKE
ldap_sasl_realm (sträng)
Standard: värdet på krb5_realm.
ldap_sasl_canonicalize (boolean)
Standard: false;
ldap_krb5_keytab (sträng)
Standard: Systemets keytab, normalt /etc/krb5.keytab
ldap_krb5_init_creds (boolean)
Standard: true
ldap_krb5_ticket_lifetime (heltal)
Standard: 86400 (24 timmar)
krb5_server, krb5_backup_server (sträng)
När tjänsteupptäckt används för KDC eller kpasswd-servrar söker SSSD först efter DNS-poster som anger _udp som protokoll och provar sedan _tcp om inget hittas.
Detta alternativ hade namnet "krb5_kdcip" i tidigare utgåvor av SSSD. Medan det äldre namnet känns igen tills vidare rekommenderas användare att migrera sina konfigurationsfiler till att använda "krb5_server" istället.
krb5_realm (sträng)
Standard: Systemstandard, se /etc/krb5.conf
krb5_canonicalize (boolean)
Standard: false
krb5_use_kdcinfo (boolean)
Se manualsidan sssd_krb5_locator_plugin(8) för mer information om lokaliseringsinsticksmodulen.
Standard: true
ldap_pwd_policy (sträng)
none - Ingen utvärdering på klientsidan. Detta alternativ kan inte avaktivera lösenordspolicyer på serversidan.
shadow - Använd attribut i stilen shadow(5) för att utvärdera om lösenordet har gått ut.
mit_kerberos - Använd attributen som används av MIT Kerberos för att avgöra om lösenordet har gått ut. Använd chpass_provider=krb5 för att uppdatera dessa attribut när lösenordet ändras.
Standard: none
Obs: om en lösenordspolicy konfigureras på serversidan kommer den alltid gå före framför policyn som sätts med detta alternativ.
ldap_referrals (boolean)
Observera att sssd endast stödjer uppföljning av referenser när den är kompilerad med OpenLDAP version 2.4.13 eller senare.
Chasing referrals may incur a performance penalty in environments that use them heavily, a notable example is Microsoft Active Directory. If your setup does not in fact require the use of referrals, setting this option to false might bring a noticeable performance improvement. Setting this option to false is therefore recommended in case the SSSD LDAP provider is used together with Microsoft Active Directory as a backend. Even if SSSD would be able to follow the referral to a different AD DC no additional data would be available.
Standard: true
ldap_dns_service_name (sträng)
Standard: ldap
ldap_chpass_dns_service_name (sträng)
Standard: inte satt, d.v.s. tjänsteupptäckt är avaktiverat
ldap_chpass_update_last_change (boolean)
Standard: False
ldap_access_filter (sträng)
Exempel:
access_provider = ldap
ldap_access_filter = (employeeType=admin)
Detta exempel betyder att åtkomst till denna värd är begränsad till användare vars attribut employeeType är satt till "admin".
Frånkopplad cachning för denna funktion är begränsad till att avgöra huruvida användarens senaste uppkopplade inloggning tilläts åtkomsträttigheter. Om de tilläts vid senaste inloggningen kommer de fortsätta ges åtkomst under frånkoppling, och vice versa.
Standard: Empty
ldap_account_expire_policy (sträng)
Observera att det alltid är rekommenderat att använda åtkomstkontroll på serversidan, d.v.s. LDAP-servern skall neka bindningsbegäran med en passande felkod även om lösenordet är korrekt.
Följande värden är tillåtna:
shadow: använd värdet på ldap_user_shadow_expire för att avgöra om kontot har gått ut.
ad: använd värdet på 32-bitarsfältet ldap_user_ad_user_account_control och tillåt åtkomst om den andra biten inte är satt. Om attributet saknas tillåts åtkomst. Utgångstiden för kontot kontrolleras också.
rhds, ipa, 389ds: använd värdet på ldap_ns_account_lock för att avgöra om åtkomst tillåts eller inte.
nds: värdena på ldap_user_nds_login_allowed_time_map, ldap_user_nds_login_disabled och ldap_user_nds_login_expiration_time används för att avgöra om åtkomst tillåts. Om båda attributen saknas tillåts åtkomst. Detta är en experimentell funktion, använd https://github.com/SSSD/sssd/ för att rapportera eventuella problem.
Observera att konfigurationsalternativet ldap_access_order måste innehålla "expire" för att alternativet ldap_account_expire_policy skall fungera.
Standard: Empty
ldap_access_order (sträng)
filter: använd ldap_access_filter
lockout: använd kontolåsning. Om satt nekar detta alternativ åtkomst ifall ldap-attributet "pwdAccountLockedTime" finns och har värdet "000001010000Z". Se alternativet ldap_pwdlockout_dn. Observera att "access_provider = ldap" måste vara satt för att denna funktion skall fungera.
Observera att detta alternativ ersätts av alternativet "ppolicy" och kan komma att tas bort i en framtida utgåva.
ppolicy: använd kontolåsning. Om satt nekar detta alternativ åtkomst ifall ldap-attributet "pwdAccountLockedTime" finns och har värdet "000001010000Z" eller representerar en tidpunkt i det förgångna. Värdet på attributet "pwdAccountLockedTime" måste sluta med "Z", som markerar tidszonen UTC. Andra tidszoner stödjs för närvarande inte och kommer resultera i "access-denied" när användare försöker logga in. Se alternativet ldap_pwdlockout_dn. Observera att "access_provider = ldap" måste vara satt för att denna funktion skall fungera.
expire: använd ldap_account_expire_policy
pwd_expire_policy_reject, pwd_expire_policy_warn, pwd_expire_policy_renew: Dessa alternativ är användbara om användare vill bli varnade att lösenordet är på gång att gå ut och autentisering är baserat på användning av en annan metod än lösenord - till exempel SSH-nycklar.
Skillnaden mellan dessa alternativ är åtgärden som vidtas om användarens lösenord gått ut: pwd_expire_policy_reject - användaren nekas att logga in, pwd_expire_policy_warn - användaren kan fortfarande logga in, pwd_expire_policy_renew - användaren ombeds ändra sitt lösenord omedelbart.
Observera att om användarlösenordet har gått ut ges inget särskilt meddelande av SSSD.
Observera att "access_provider = ldap" måste vara satt för att denna funktion skall fungera. "ldap_pwd_policy" måste också vara satt till en lämplig lösenordspolicy.
authorized_service: använd attributet authorizedService för att avgöra åtkomst
host: använd attributet host för att avgöra åtkomst
rhost: använd attributet rhost för att avgöra huruvida fjärrvärdar kan få åtkomst
Observera, rhost-fältet i pam sätts av programmet, det är bättre att kontrollera vad programmet skickar till pam, före detta alternativ för åtkomstkontroll aktiveras
Standard: filter
Observera att det är ett konfigurationsfel om ett värde används mer än en gång.
ldap_pwdlockout_dn (sträng)
Exempel: cn=ppolicy,ou=policies,dc=example,dc=com
Standard: cn=ppolicy,ou=policies,$ldap_search_base
ldap_deref (sträng)
never: Alias är aldrig derefererade.
searching: Alias derefereras i underordnade till basobjektet, men inte vid lokalisering av basobjektet för sökningen.
finding: Alias derefereras endast vid lokalisering av basobjektet för sökningen.
always: Alias derefereras både i sökning och i lokalisering av basobjektet för sökningen.
Standard: Tomt (detta hanteras som never av LDAP-klientbiblioteken)
ldap_rfc2307_fallback_to_local_users (boolean)
I en del miljöer där schemat RFC2307 används görs lokala användare till medlemmar i LDAP-grupper genom att lägga till deras namn till attributet memberUid. Den interna konsistensen i domänen bryts när detta görs, så SSSD skulle normalt ta bort de "saknade" användarna från de cachade gruppmedlemskapen så fort nsswitch försöker hämta information om användaren via anrop av getpw*() eller initgroups().
Detta alternativ faller tillbaka på att kontrollera om lokala användare är refererade, och cachar dem så att senare anrop av initgroups() kommer utöka de lokala användarna med de extra LDAP-grupperna.
Standard: false
wildcard_limit (heltal)
För närvarande stödjer endast respondenten InfoPipe jokeruppslagningar.
Standard: 1000 (ofta storleken på en sida)
ldap_library_debug_level (integer)
OpenLDAP uses a bitmap to enable debugging for specific components, -1 will enable full debug output.
Default: 0 (libldap debugging disabled)
De detaljerade instruktionerna för att konfigurera sudo-leverantören finns i manualsidan sssd-sudo(5).
ldap_sudo_full_refresh_interval (heltal)
Värdet måste vara större än ldap_sudo_smart_refresh_interval
Standard: 21600 (6 timmar)
ldap_sudo_smart_refresh_interval (heltal)
Om USN-attribut inte stödjs av servern används attributet modifyTimestamp istället.
Obs: det högsta USN-värdet kan uppdateras av tre uppgifter: 1) Genom fullständig och smart sudo-uppdatering (om det finns uppdaterade regler), 2) genom uppräkning av användare och grupper (om det finns aktiverade och uppdaterade användare eller grupper) och 3) genom att återansluta till servern (som standard var 15:e minut, se ldap_connection_expire_timeout).
Standard: 900 (15 minuter)
ldap_sudo_use_host_filter (boolean)
Standard: true
ldap_sudo_hostnames (sträng)
Om detta alternativ är tomt kommer SSSD försöka upptäcka värdnamnet och det fullständigt kvalificerade domännamnet automatiskt.
Om ldap_sudo_use_host_filter är false har detta alternativ ingen effekt.
Standard: inte angivet
ldap_sudo_ip (sträng)
Om detta alternativ är tomt kommer SSSD försöka upptäcka adresser automatiskt.
Om ldap_sudo_use_host_filter är false har detta alternativ ingen effekt.
Standard: inte angivet
ldap_sudo_include_netgroups (boolean)
Om ldap_sudo_use_host_filter är false har detta alternativ ingen effekt.
Standard: true
ldap_sudo_include_regexp (boolean)
Om ldap_sudo_use_host_filter är false har detta alternativ ingen effekt.
Denna manualsida beskriver endast attributnamnsöversättningar. För detaljerade beskrivningar av semantiken hos sudo-relaterade attribut, se sudoers.ldap(5)
Några av standardvärdena för parametrar nedan är beroende på LDAP-schemat.
ldap_autofs_map_master_name (sträng)
Standard: auto.master
ldap_autofs_map_object_class (sträng)
Standard: nisMap (rfc2307, autofs_provider=ad), annars automountMap
ldap_autofs_map_name (sträng)
Standard: nisMapName (rfc2307, autofs_provider=ad), annars automountMapName
ldap_autofs_entry_object_class (sträng)
Standard: nisObject (rfc2307, autofs_provider=ad), annars automount
ldap_autofs_entry_key (sträng)
Standard: cn (rfc2307, autofs_provider=ad), annars automountKey
ldap_autofs_entry_value (sträng)
Standard: nisMapEntry (rfc2307, autofs_provider=ad), annars automountInformation
Observera att automounter:n bara läser master-kartan vid uppstart, så om några autofs-relaterade ändringar görs av sssd.conf behöver du normalt även starta om automounter-demonen efter att ha startat om SSSD.
Dessa alternativ stödjs av LDAP-domäner, men de skall användas med försiktighet. Inkludera dem endast i din konfiguration om du vet vad du gör.
ldap_netgroup_search_base (sträng)
syntax:
search_base[?räckvidd?[filter][?search_base?räckvidd?[filter]]*]
Räckvidden kan vara en av "base", "onelevel" eller "subtree". Räckviddsfunktionerna beskrivs i avsnitt 4.5.1.2 av http://tools.ietf.org/html/rfc4511
Filtret måste vara ett korrekt LDAP-sökfilter som specificerat i http://www.ietf.org/rfc/rfc2254.txt
För exempel på denna syntax, se exempelsektionen av "ldap_search_base".
Standard: värdet på ldap_search_base
Observera att angivelse av räckvidd eller filter inte stödjs för sökningar i en Active Directory-server som kan resultera i ett stort antal resultat och trigga utökningen Range Retrieval i svaret.
ldap_user_search_base (sträng)
syntax:
search_base[?räckvidd?[filter][?search_base?räckvidd?[filter]]*]
Räckvidden kan vara en av "base", "onelevel" eller "subtree". Räckviddsfunktionerna beskrivs i avsnitt 4.5.1.2 av http://tools.ietf.org/html/rfc4511
Filtret måste vara ett korrekt LDAP-sökfilter som specificerat i http://www.ietf.org/rfc/rfc2254.txt
För exempel på denna syntax, se exempelsektionen av "ldap_search_base".
Standard: värdet på ldap_search_base
Observera att angivelse av räckvidd eller filter inte stödjs för sökningar i en Active Directory-server som kan resultera i ett stort antal resultat och trigga utökningen Range Retrieval i svaret.
ldap_group_search_base (sträng)
syntax:
search_base[?räckvidd?[filter][?search_base?räckvidd?[filter]]*]
Räckvidden kan vara en av "base", "onelevel" eller "subtree". Räckviddsfunktionerna beskrivs i avsnitt 4.5.1.2 av http://tools.ietf.org/html/rfc4511
Filtret måste vara ett korrekt LDAP-sökfilter som specificerat i http://www.ietf.org/rfc/rfc2254.txt
För exempel på denna syntax, se exempelsektionen av "ldap_search_base".
Standard: värdet på ldap_search_base
Observera att angivelse av räckvidd eller filter inte stödjs för sökningar i en Active Directory-server som kan resultera i ett stort antal resultat och trigga utökningen Range Retrieval i svaret.
Om alternativet "ldap_use_tokengroups" är aktiverat kommer sökningarna i Active Directory inte vara begränsade och returnera alla gruppmedlemskap, även utan någon GID-översättning. Det rekommenderas att avaktivera denna funktion om gruppnamn inte visas korrekt.
ldap_sudo_search_base (sträng)
syntax:
search_base[?räckvidd?[filter][?search_base?räckvidd?[filter]]*]
Räckvidden kan vara en av "base", "onelevel" eller "subtree". Räckviddsfunktionerna beskrivs i avsnitt 4.5.1.2 av http://tools.ietf.org/html/rfc4511
Filtret måste vara ett korrekt LDAP-sökfilter som specificerat i http://www.ietf.org/rfc/rfc2254.txt
För exempel på denna syntax, se exempelsektionen av "ldap_search_base".
Standard: värdet på ldap_search_base
Observera att angivelse av räckvidd eller filter inte stödjs för sökningar i en Active Directory-server som kan resultera i ett stort antal resultat och trigga utökningen Range Retrieval i svaret.
ldap_autofs_search_base (sträng)
syntax:
search_base[?räckvidd?[filter][?search_base?räckvidd?[filter]]*]
Räckvidden kan vara en av "base", "onelevel" eller "subtree". Räckviddsfunktionerna beskrivs i avsnitt 4.5.1.2 av http://tools.ietf.org/html/rfc4511
Filtret måste vara ett korrekt LDAP-sökfilter som specificerat i http://www.ietf.org/rfc/rfc2254.txt
För exempel på denna syntax, se exempelsektionen av "ldap_search_base".
Standard: värdet på ldap_search_base
Observera att angivelse av räckvidd eller filter inte stödjs för sökningar i en Active Directory-server som kan resultera i ett stort antal resultat och trigga utökningen Range Retrieval i svaret.
Reservfunktionen gör att bakändar automatiskt kan byta till en annan server om den nuvarande servern slutar fungera.
Listan av servrar ges som en kommaseparerad lista; godtyckligt antal mellanslag tillåts runt kommatecknet. Servrarna listas i preferensordning. Listan kan innehålla obegränsat antal servrar.
För varje reservaktiverat konfigurationsalternativ finns det två varianter: primary och backup. Tanken är att servrar i den primära listan föredras och backup-servrar bara provas om inga primära servrar kan nås. Om en backup-server väljs sätts en tidsgräns på 31 sekunder. Efter denna tidsgräns kommer SSSD periodiskt att försöka återansluta till en av de primära servrarna. Om det lyckas kommer den ersätta den nu aktiva (backup-)servern.
Reservmekanismen gör skillnad mellan en maskin och en tjänst. Bakänden försöker först att slå upp värdnamnet för en given maskin; om denna uppslagning misslyckas antas maskinen vara bortkopplad. Inga ytterligare försök görs att ansluta till denna maskin för någon annan tjänst. Om uppslagningsförsöket lyckas försöker bakänden ansluta till en tjänst på denna maskin. Om tjänsteanslutningen misslyckas anses bara just denna tjänst frånkopplad och bakänden byter automatiskt till nästa tjänst. Maskinen betraktas fortfarande som uppkopplad och kan användas vid försök att nå en annan tjänst.
Ytterligare försök att ansluta görs till maskiner eller tjänster som markerats som frånkopplade efter en viss tidsperiod, detta är för närvarande hårdkodat till 30 sekunder.
Om det inte finns några fler maskiner att prova byter bakänden i sin helhet till frånkopplat läge, och försöker sedan återansluta var 30:e sekund.
Att slå upp en server att ansluta till kan vara så enkelt som att göra en enstaka DNS-fråga eller kan innebära flera steg, såsom att hitta den rätta sajten eller försöka med flera värdnamn ifall några av de konfigurerade servrarna inte kan nås. De mer komplexa scenariona kan ta en stund och SSSD behöver balansera mellan att tillhandahålla tillräckligt med tid för att färdigställa upplösningsprocessen men å andra sidan inte försöka för länge före den faller tillbaka på frånkopplat läge. Om SSSD:s felsökningsloggar visar att serverns upplösning överskrider tidsgränsen före en aktiv server nås kan du överväga att ändra tidsgränserna.
Detta avsnitt listar tillgängliga trimningsvariabler. Se deras beskrivning i manualsidan sssd.conf(5).
dns_resolver_server_timeout
Standard: 1000
dns_resolver_op_timeout
Standard: 3
dns_resolver_timeout
Standard: 6
For LDAP-based providers, the resolve operation is performed as part of an LDAP connection operation. Therefore, also the "ldap_opt_timeout" timeout should be set to a larger value than "dns_resolver_timeout" which in turn should be set to a larger value than "dns_resolver_op_timeout" which should be larger than "dns_resolver_server_timeout".
Tjänsteupptäcktsfunktionen gör att bakändar automatiskt kan hitta en lämplig server att ansluta till med en speciell DNS-fråga. Denna funktion stödjs inte för backup-servrar.
Om inga servrar anges använder bakänden automatiskt tjänsteupptäckt för att försöka hitta en server. Användaren kan om så önskas välja att använda både en bestämd serveradress och tjänsteupptäckt genom att infoga ett speciellt nyckelord, "_srv_", i listan av servrar. Preferensordningen bibehålls. Denna funktion är användbar om, till exempel, användaren föredrar att använda tjänsteupptäckt närhelst det är möjligt, och falla tillbaka på en specifik server när inga servrar kan upptäckas med DNS.
Se parametern "dns_discovery_domain" i manualsidan sssd.conf(5) för fler detaljer.
Frågorna anger vanligen _tcp som protokoll. Undantag är dokumenterade i respektive alternativs beskrivning.
För mer information om tjänsteupptäcktsmekanismen, se RFC 2782.
ID-mappningsfunktionen låter SSSD fungera som en klient till Active Directory utan att kräva att administratörer utökar användarattribut till att stödja POSIX-attribut för användar- och gruppidentifierare.
OBSERVERA: När ID-mappning aktiveras ignoreras attributen uidNumber och gidNumber. Detta är för att undvika möjligheten av konflikt mellan automatiskt tilldelade och manuellt tilldelade värden. Om du behöver använda manuellt tilldelade värden måste ALLA värden tilldelas manuellt.
Observera att byte av ID-mappnings relaterade konfigurationsalternativ kommer få användar- och grupp-ID:n att ändras. För närvarande stödjer inte SSSD byte av ID:n, så SSSD-databasen måste tas bort. Eftersom cachade lösenord också lagras i databasen skall databasen bara tas bort när autentiseringsservrarna kan nås, annars kan användare låsas ute. För att cacha lösenordet måste en autentisering göras. Det är inte tillräckligt att använda sss_cache(8) för att ta bort databasen, istället består processen av:
Dessutom, eftersom ändringen av ID:n kan göra det nödvändigt att justera andra systemegenskaper såsom ägare av filer och kataloger, är det lämpligt att planera i förväg och testa konfigurationen av ID-översättningar noggrant.
Active Directory tillhandahåller ett objectSID för varje användar- och gruppobjekt i katalogen. Detta objectSID kan delas upp i komponenter som representerar Active Directorys domänidentitet och den relativa identifieraren (RID) till användar- eller gruppobjektet.
SSSD ID-översättningsalgoritmen tar ett intervall av tillgängliga AID:er och delar upp det i lika stora komponentavsnitt - kallade "skivor" ("slices") -. Varje skiva representerar utrymmet som är tillgängligt för en Active Directory-domän.
När en användar- eller gruppost för en viss domän påträffas för första gången allokerar SSSD en av de tillgängliga skivorna för den domänen. För att göra denna skivtilldelning upprepbar på olika klientmaskiner väljer vi skivan baserat på följande algoritm:
SID-strängen skickas genom algoritmen murmurhash3 för att konvertera den till ett 32-bitars hash-värde. Vi tar sedan modulo på detta värde med det totala antalet tillgängliga skivor och väljer den skivan.
OBSERVERA: Det är möjligt att träffa på kollisioner i hash:en och den påföljande moduloberäkningen. I dessa situationer kommer vi välja nästa tillgängliga skiva, men det är kanske inte möjligt att reproducera exakt samma uppsättning av skivor på andra maskiner (eftersom ordningen som de påträffas kommer avgöra deras skiva). I den här situationen rekommenderas det att antingen byta till att använda explicita POSIX-attribut i Active Directory (avaktivera ID-mappningen) eller konfigurera en standarddomän för att garantera att åtminstone en alltid är konsistent. Se "Konfiguration" för detaljer.
Minimikonfiguration (i avsnittet "[domain/DOMÄNNAMN]"):
ldap_id_mapping = True ldap_schema = ad
Standardkonfigurationen resulterar i konfiguration av 10 000 skivor, som var och en kan innehålla upp till 200 000 ID:n, med början på 200 000 och upp till 2 000 200 000. Detta bör vara tillräckligt för de flesta installationer.
ldap_idmap_range_min (heltal)
OBSERVERA: Detta alternativ är inte detsamma som
"min_id"
eftersom
"min_id"
fungerar som ett filter av utmatade begäranden till denna domän, medan detta alternativ styr intervallet av ID-tilldelningen. Detta är en subtil distinktion, men det allmänna goda rådet skulle vara att ha
"min_id"
mindre än eller lika med
"ldap_idmap_range_min"
Standard: 200000
ldap_idmap_range_max (heltal)
OBSERVERA: Detta alternativ är inte detsamma som
"max_id"
eftersom
"max_id"
fungerar som ett filter av utmatade begäranden till denna domän, medan detta alternativ styr intervallet av ID-tilldelningen. Detta är en subtil distinktion, men det allmänna goda rådet skulle vara att ha
"max_id"
större än eller lika med
"ldap_idmap_range_max"
Standard: 2000200000
ldap_idmap_range_size (heltal)
OBSERVERA: Värdet på detta alternativ måste vara åtminstone så stort som den högsta RID som planeras användas i Active Directory-servern. Användaruppslagningar och inloggningar kommer misslyckas för eventuella användare vars RID är större än detta värde.
Till exempel, om den senaste tillagda Active Directory-användaren har objectSid=S-1-5-21-2153326666-2176343378-3404031434-1107, måste
"ldap_idmap_range_size"
vara åtminstone 1108 eftersom intervallstorleken är lika med maximal SID minus minimal SID plus ett (t.ex. 1108 = 1107 - 0 + 1).
Det är viktigt att planera i förväg för framtida expansioner, eftersom ändring av detta värde skulle resultera i att ändra alla ID-översättningar på systemet, vilket skulle leda till användare med andra lokala ID:n än de tidigare hade.
Standard: 200000
ldap_idmap_default_domain_sid (sträng)
Standard: inte satt
ldap_idmap_default_domain (sträng)
Standard: inte satt
ldap_idmap_autorid_compat (boolean)
När detta alternativ konfigureras kommer domäner allokeras med början med skiva noll och ökar monatomärt med varje ytterligare domän.
OBSERVERA: Denna algoritm är inte deterministisk (den beror på ordningen som användare och grupper efterfrågas). Om detta läge krävs för kompatibilitet med maskiner som kör winbind rekommenderas det att även använda alternativet
"ldap_idmap_default_domain_sid"
för att garantera att åtminstone en domän är konsekvent allokerat till skiva noll.
Standard: False
ldap_idmap_helper_table_size (heltal)
Observera: ytterligare sekundära skivor kan genereras när en SID översätts till UNIX-id och RID-delen av SID:n är utanför intervallet för sekundära skivor som genererats hittills. Om värdet på ldap_idmap_helper_table_size är lika med 0 genereras inga ytterligare sekundära skivor.
Standard: 10
Avancerad konfiguration
SSSD stödjer uppslagning av namnen på välkända SID:er, d.v.s. SID:er med en speciell hårdkodad betydelse. Eftersom de allmänna användarna och grupperna relaterade till dessa välkända SID:er inte har någon motsvarighet i en Linux-/UNIX-miljö är inga POSIX-ID:n tillgängliga för dessa objekt.
SID-namnrymden är organiserad i auktoriteter som kan ses som olika domäner. Auktoriteterna för välkända SID:er är
Den versala versionen av dessa namn används som domännamn när det fullständigt kvalificerade namnet på en välkänd SID returneras.
Eftersom några verktyg tillåter att man ändrar SID-baserad åtkomststyrningsinformation med hjälp av ett namn istället för att använda SID:en direkt stödjer SSSD uppslagning av SID:en med detta namn också. För att undvika kollisioner kan bara de fullständigt kvalificerade namnen användas för att slå upp välkända SID:er. Som ett resultat skall domännamnen "NULL AUTHORITY", "WORLD AUTHORITY", " LOCAL AUTHORITY", "CREATOR AUTHORITY", "NT AUTHORITY" och "BUILTIN" inte användas som domännamn i sssd.conf.
Följande exempel antar att SSSD är korrekt konfigurerat och att LDAP är satt till en av domänerna i avsnittet [domains].
[domain/LDAP] id_provider = ldap auth_provider = ldap ldap_uri = ldap://ldap.mindomän.se ldap_search_base = dc=mindomän,dc=se ldap_tls_reqcert = demand cache_credentials = true
Följande exempel antar att SSSD är korrekt konfigurerat och att ldap_access_order=lockout används.
[domain/LDAP] id_provider = ldap auth_provider = ldap access_provider = ldap ldap_access_order = lockout ldap_pwdlockout_dn = cn=ppolicy,ou=policies,dc=mindomän,dc=se ldap_uri = ldap://ldap.mindomän.se ldap_search_base = dc=mindomän,dc=se ldap_tls_reqcert = demand cache_credentials = true
Beskrivningarna av en del konfigurationsalternativ i denna manualsida är baserade på manualsidan ldap.conf(5) från distributionen OpenLDAP 2.4.
sssd(8), sssd.conf(5), sssd-ldap(5), sssd-krb5(5), sssd-simple(5), sssd-ipa(5), sssd-ad(5), sssd-files(5), sssd-sudo(5), sssd-session-recording(5), sss_cache(8), sss_debuglevel(8), sss_obfuscate(8), sss_seed(8), sssd_krb5_locator_plugin(8), sss_ssh_authorizedkeys(8), sss_ssh_knownhostsproxy(8), sssd-ifp(5), pam_sss(8). sss_rpcidmapd(5) sssd-systemtap(5)
SSSD uppströms - https://github.com/SSSD/sssd/