Adding upstream version 2.9.4.upstream/2.9.4

Signed-off-by: Daniel Baumann <daniel.baumann@progress-linux.org>

47 files changed, 15982 insertions, 0 deletions

diff --git a/src/man/uk/idmap_sss.8.xml b/src/man/uk/idmap_sss.8.xml
new file mode 100644
index 0000000..19933e7
--- /dev/null
+++ b/src/man/uk/idmap_sss.8.xml
@@ -0,0 +1,76 @@
+<?xml version="1.0" encoding="UTF-8"?>
+<!DOCTYPE reference PUBLIC "-//OASIS//DTD DocBook V4.4//EN"
+"http://www.oasis-open.org/docbook/xml/4.4/docbookx.dtd">
+<reference>
+<title>Сторінки підручника SSSD</title>
+<refentry>
+    <xi:include xmlns:xi="http://www.w3.org/2001/XInclude" href="include/upstream.xml" />
+
+    <refmeta>
+        <refentrytitle>idmap_sss</refentrytitle>
+        <manvolnum>8</manvolnum>
+    </refmeta>
+
+    <refnamediv id='name'>
+        <refname>idmap_sss</refname>
+        <refpurpose>Модуль idmap_sss SSSD для Winbind</refpurpose>
+    </refnamediv>
+
+    <refsect1 id='description'>
+        <title>ОПИС</title>
+        <para>
+            Модуль idmap_sss надає змогу викликати SSSD для прив'язки UID/GID і SID. У
+цьому випадку база даних не потрібна, оскільки прив'язка виконується
+засобами SSSD.
+        </para>
+    </refsect1>
+
+    <refsect1>
+        <title>ПАРАМЕТРИ IDMAP</title>
+
+        <variablelist>
+            <varlistentry>
+                <term>діапазон = нижче - вище</term>
+                <listitem><para>
+                  Визначає доступний для обробки модулем діапазон відповідності UID і GID.
+                </para></listitem>
+            </varlistentry>
+        </variablelist>
+    </refsect1>
+
+    <refsect1>
+        <title>ПРИКЛАДИ</title>
+        <para>
+            У цьому прикладі продемонстровано налаштовування idmap_sss як типового
+модуля прив'язки.
+        </para>
+
+        <programlisting format="linespecific">
+[global]
+security = ads
+workgroup = &lt;AD-DOMAIN-SHORTNAME&gt;
+
+idmap config &lt;AD-DOMAIN-SHORTNAME&gt; : backend        = sss
+idmap config &lt;AD-DOMAIN-SHORTNAME&gt; : range          = 200000-2147483647
+
+idmap config * : backend        = tdb
+idmap config * : range          = 100000-199999
+        </programlisting>
+
+        <para>
+            Будь ласка, замініть &lt;AD-DOMAIN-SHORTNAME&gt; на назву домену у NetBIOS
+домену AD. Якщо має бути використано декілька доменів AD, для кожного домену
+потрібен рядок <literal>idmap config</literal> із <literal>backend =
+sss</literal> і рядок із відповідним <literal>range</literal>.
+        </para>
+        <para>
+            Оскільки для Winbind потрібен придатний до запису типовий модуль, а
+idmap_sss є придатним лише для читання, до прикладу включено як типовий
+модуль <literal>backend = tdb</literal>.
+        </para>
+    </refsect1>
+
+    <xi:include xmlns:xi="http://www.w3.org/2001/XInclude" href="include/seealso.xml" />
+
+</refentry>
+</reference>
diff --git a/src/man/uk/include/ad_modified_defaults.xml b/src/man/uk/include/ad_modified_defaults.xml
new file mode 100644
index 0000000..de1745d
--- /dev/null
+++ b/src/man/uk/include/ad_modified_defaults.xml
@@ -0,0 +1,106 @@
+<refsect1 id='modified-default-options'>
+    <title>ЗМІНЕНІ ТИПОВІ ПАРАМЕТРИ</title>
+    <para>
+        Деякі типові значення параметрів не збігаються із типовими значеннями
+параметрів засобу надання даних. Із назвами відповідних параметрів та
+специфічні для засобу надання даних AD значення цих параметрів можна
+ознайомитися за допомогою наведеного нижче списку:
+    </para>
+    <refsect2 id='krb5_modifications'>
+        <title>Модуль надання даних KRB5</title>
+        <itemizedlist>
+            <listitem>
+                <para>
+                    krb5_validate = true
+                </para>
+            </listitem>
+            <listitem>
+                <para>
+                    krb5_use_enterprise_principal = true
+                </para>
+            </listitem>
+        </itemizedlist>
+    </refsect2>
+    <refsect2 id='ldap_modifications'>
+        <title>Модуль надання даних LDAP</title>
+        <itemizedlist>
+            <listitem>
+                <para>
+                    ldap_schema = ad
+                </para>
+            </listitem>
+            <listitem>
+                <para>
+                    ldap_force_upper_case_realm = true
+                </para>
+            </listitem>
+            <listitem>
+                <para>
+                    ldap_id_mapping = true
+                </para>
+            </listitem>
+            <listitem>
+                <para>
+                    ldap_sasl_mech = GSS-SPNEGO
+                </para>
+            </listitem>
+            <listitem>
+                <para>
+                    ldap_referrals = false
+                </para>
+            </listitem>
+            <listitem>
+                <para>
+                    ldap_account_expire_policy = ad
+                </para>
+            </listitem>
+            <listitem>
+                <para>
+                    ldap_use_tokengroups = true
+                </para>
+            </listitem>
+            <listitem>
+                <para>
+                    ldap_sasl_authid = sAMAccountName@ОБЛАСТЬ (типово SHORTNAME$@ОБЛАСТЬ)
+                </para>
+                <para>
+                    Засіб надання даних AD типово шукає інші реєстраційні записи, ніж засіб
+надання даних LDAP, оскільки у середовищі Active Directory реєстраційні
+записи поділено на дві групи — реєстраційні записи користувачів і
+реєстраційні записи служб. Для отримання TGT типово може бути використано
+лише реєстраційний запис користувача, реєстраційні записи об'єктів
+комп'ютерів будуються на основі sAMAccountName та області AD. Широко відомий
+реєстраційний запис host/hostname@REALM є реєстраційним записом служби, отже
+не може бути використаний для отримання TGT.
+                </para>
+            </listitem>
+        </itemizedlist>
+    </refsect2>
+    <refsect2 id='nss_modifications'>
+        <title>Налаштування NSS</title>
+        <itemizedlist>
+            <listitem>
+                <para>
+                    fallback_homedir = /home/%d/%u
+                </para>
+                <para>
+                    Засіб надання даних AD автоматично встановлює «fallback_homedir =
+/home/%d/%u» для надання особистих домашніх каталогів для записів
+користувачів без атрибута homeDirectory. Якщо ваш домен AD належним чином
+заповнено щодо атрибутів Posix і ви хочете уникнути такої резервної
+поведінки, ви можете явним чином вказати «fallback_homedir = %o».
+                </para>
+                <para>
+                    Зауважте, що система типово очікує перебування домашнього каталогу у теці
+/home/%u. Якщо ви вирішите скористатися іншою структурою каталогів,
+коригування потребуватимуть деякі інші частини вашої системи.
+                </para>
+                <para>
+                    Наприклад, автоматичне створення домашніх каталогів у поєднанні із selinux
+потребує коригування параметрів selinux, інакше домашній каталог буде
+створено у помилковому контексті selinux.
+                </para>
+            </listitem>
+        </itemizedlist>
+    </refsect2>
+</refsect1>
diff --git a/src/man/uk/include/autofs_attributes.xml b/src/man/uk/include/autofs_attributes.xml
new file mode 100644
index 0000000..cc6cc33
--- /dev/null
+++ b/src/man/uk/include/autofs_attributes.xml
@@ -0,0 +1,69 @@
+<variablelist>
+    <varlistentry>
+        <term>ldap_autofs_map_object_class (рядок)</term>
+        <listitem>
+            <para>
+                Клас об’єктів запису карти автоматичного монтування у LDAP.
+            </para>
+            <para>
+                Типове значення: nisMap (rfc2307, autofs_provider=ad), у інших випадках
+automountMap
+            </para>
+        </listitem>
+    </varlistentry>
+
+    <varlistentry>
+        <term>ldap_autofs_map_name (рядок)</term>
+        <listitem>
+            <para>
+                Назва запису карти автоматичного монтування у LDAP.
+            </para>
+            <para>
+                Типове значення: nisMapName (rfc2307, autofs_provider=ad), у інших випадках
+automountMapName
+            </para>
+        </listitem>
+    </varlistentry>
+
+    <varlistentry>
+        <term>ldap_autofs_entry_object_class (рядок)</term>
+        <listitem>
+            <para>
+                Клас об'єктів автоматичного монтування LDAP. Цей запис зазвичай відповідає
+точні монтування.
+            </para>
+            <para>
+                Типове значення: nisObject (rfc2307, autofs_provider=ad), у інших випадках
+automount
+            </para>
+        </listitem>
+    </varlistentry>
+
+    <varlistentry>
+        <term>ldap_autofs_entry_key (рядок)</term>
+        <listitem>
+            <para>
+                Ключ запису автоматичного монтування LDAP. Цей запис зазвичай відповідає
+точні монтування.
+            </para>
+            <para>
+                Типове значення: cn (rfc2307, autofs_provider=ad), у інших випадках
+automountKey
+            </para>
+        </listitem>
+    </varlistentry>
+
+    <varlistentry>
+        <term>ldap_autofs_entry_value (рядок)</term>
+        <listitem>
+            <para>
+                Ключ запису автоматичного монтування LDAP. Цей запис зазвичай відповідає
+точні монтування.
+            </para>
+            <para>
+                Типове значення: nisMapEntry (rfc2307, autofs_provider=ad), у інших випадках
+automountInformation
+            </para>
+        </listitem>
+    </varlistentry>
+</variablelist>
diff --git a/src/man/uk/include/autofs_restart.xml b/src/man/uk/include/autofs_restart.xml
new file mode 100644
index 0000000..e941c4b
--- /dev/null
+++ b/src/man/uk/include/autofs_restart.xml
@@ -0,0 +1,6 @@
+<para>
+    Будь ласка, зауважте, що засіб автоматичного монтування читає основну карту
+лише під час запуску, отже якщо до ssd.conf внесено будь-які пов’язані з
+autofs зміни, типово слід перезапустити фонову службу автоматичного
+монтування після перезапуску SSSD.
+</para>
diff --git a/src/man/uk/include/debug_levels.xml b/src/man/uk/include/debug_levels.xml
new file mode 100644
index 0000000..26264f6
--- /dev/null
+++ b/src/man/uk/include/debug_levels.xml
@@ -0,0 +1,104 @@
+<listitem>
+    <para>
+        У SSSD передбачено два представлення для визначення рівня
+діагностики. Найпростішим є визначення десяткового значення у діапазоні
+0-9. Кожному значенню відповідає вмикання відповідного рівня діагностики і
+усіх нижчих рівнів. Точніше визначення вмикання або вимикання (якщо це
+потрібно) специфічних рівнів можна встановити за допомогою шістнадцяткової
+бітової маски.
+    </para>
+    <para>
+        Будь ласка, зауважте, що кожна служба SSSD веде журнал у власному
+файлі. Також зауважте, що вмикання <quote>debug_level</quote> у розділі
+<quote>[sssd]</quote> вмикає діагностику лише для самого процесу sssd, а не
+для процесів відповідача чи надавача даних. Для отримання діагностичних
+повідомлень слід додати параметр «debug_level» до усіх розділів, для яких
+слід створювати журнал діагностичних повідомлень.
+    </para>
+    <para>
+        Окрім зміни рівня ведення журналу у файлі налаштувань за допомогою параметра
+«debug_level», який не змінюється під час роботи, але зміна якого потребує
+перезапуску SSSD, можна змінити режим діагностики без перезапуску за
+допомогою програми <citerefentry>
+<refentrytitle>sss_debuglevel</refentrytitle> <manvolnum>8</manvolnum>
+</citerefentry>.
+    </para>
+    <para>
+        Рівні діагностики, передбачені у поточній версії:
+    </para>
+    <para>
+         <emphasis>0</emphasis>, <emphasis>0x0010</emphasis>: критичні помилки з
+аварійним завершенням роботи. Всі помилки, які не дають SSSD змоги розпочати
+або продовжувати роботу.
+    </para>
+    <para>
+         <emphasis>1</emphasis>, <emphasis>0x0020</emphasis>: критичні
+помилки. Помилки, які не призводять до аварійного завершення роботи SSSD,
+але означають, що одна з основних можливостей не працює належним чином.
+    </para>
+    <para>
+         <emphasis>2</emphasis>, <emphasis>0x0040</emphasis>: серйозні
+помилки. Повідомлення про такі помилки означають, що не вдалося виконати
+певний запит або дію.
+    </para>
+    <para>
+         <emphasis>3</emphasis>, <emphasis>0x0080</emphasis>: незначні помилки. Це
+помилки які можуть призвести до помилок під час виконання дій.
+    </para>
+    <para>
+         <emphasis>4</emphasis>, <emphasis>0x0100</emphasis>: параметри налаштування.
+    </para>
+    <para>
+         <emphasis>5</emphasis>, <emphasis>0x0200</emphasis>: дані функцій.
+    </para>
+    <para>
+         <emphasis>6</emphasis>, <emphasis>0x0400</emphasis>: повідомлення трасування
+для функцій дій.
+    </para>
+    <para>
+         <emphasis>7</emphasis>, <emphasis>0x1000</emphasis>: повідомлення трасування
+для функцій внутрішнього трасування.
+    </para>
+    <para>
+         <emphasis>8</emphasis>, <emphasis>0x2000</emphasis>: вміст внутрішніх
+змінних функцій, який може бути цікавим.
+    </para>
+    <para>
+         <emphasis>9</emphasis>, <emphasis>0x4000</emphasis>: дані трасування
+найнижчого рівня.
+    </para>
+    <para>
+         <emphasis>9</emphasis>, <emphasis>0x20000</emphasis>: швидкодія і
+статистичні дані; будь ласка, зауважте, що через спосіб, у яких програма
+обробляє запити на внутрішньому рівні записаний до журналу час виконання
+запиту може бути довшим за справжній.
+    </para>
+    <para>
+         <emphasis>10</emphasis>, <emphasis>0x10000</emphasis>: ще докладніші дані
+трасування libldb низького рівня. Навряд чи коли знадобляться.
+    </para>
+    <para>
+        Щоб до журналу було записано дані потрібних бітових масок рівнів
+діагностики, просто додайте відповідні числа, як це показано у наведених
+нижче прикладах:
+    </para>
+    <para>
+        <emphasis>Example</emphasis>: щоб до журналу було записано дані щодо
+критичних помилок з аварійним завершенням роботи, критичних помилок,
+серйозних помилок та дані функцій, скористайтеся рівнем діагностики 0x0270.
+    </para>
+    <para>
+        <emphasis>Приклад</emphasis>: щоб до журналу було записано критичні помилки
+з аварійним завершенням роботи, параметри налаштування, дані функцій та
+повідомлення трасування для функцій внутрішнього керування, скористайтеся
+рівнем 0x1310.
+    </para>
+    <para>
+        <emphasis>Зауваження</emphasis>: формат бітових масок для рівнів діагностики
+впроваджено у версії 1.7.0.
+    </para>
+    <para>
+        <emphasis>Типове значення</emphasis>: 0x0070 (тобто фатальні, критичні та
+серйозні помилки; відповідає встановленню значення 2 у десятковому записі)
+    </para>
+</listitem>
diff --git a/src/man/uk/include/debug_levels_tools.xml b/src/man/uk/include/debug_levels_tools.xml
new file mode 100644
index 0000000..296615b
--- /dev/null
+++ b/src/man/uk/include/debug_levels_tools.xml
@@ -0,0 +1,82 @@
+<listitem>
+    <para>
+        У SSSD передбачено два представлення для визначення рівня
+діагностики. Найпростішим є визначення десяткового значення у діапазоні
+0-9. Кожному значенню відповідає вмикання відповідного рівня діагностики і
+усіх нижчих рівнів. Точніше визначення вмикання або вимикання (якщо це
+потрібно) специфічних рівнів можна встановити за допомогою шістнадцяткової
+бітової маски.
+    </para>
+    <para>
+        Рівні діагностики, передбачені у поточній версії:
+    </para>
+    <para>
+         <emphasis>0</emphasis>, <emphasis>0x0010</emphasis>: критичні помилки з
+аварійним завершенням роботи. Всі помилки, які не дають SSSD змоги розпочати
+або продовжувати роботу.
+    </para>
+    <para>
+         <emphasis>1</emphasis>, <emphasis>0x0020</emphasis>: критичні
+помилки. Помилки, які не призводять до аварійного завершення роботи SSSD,
+але означають, що одна з основних можливостей не працює належним чином.
+    </para>
+    <para>
+         <emphasis>2</emphasis>, <emphasis>0x0040</emphasis>: серйозні
+помилки. Повідомлення про такі помилки означають, що не вдалося виконати
+певний запит або дію.
+    </para>
+    <para>
+         <emphasis>3</emphasis>, <emphasis>0x0080</emphasis>: незначні помилки. Це
+помилки які можуть призвести до помилок під час виконання дій.
+    </para>
+    <para>
+         <emphasis>4</emphasis>, <emphasis>0x0100</emphasis>: параметри налаштування.
+    </para>
+    <para>
+         <emphasis>5</emphasis>, <emphasis>0x0200</emphasis>: дані функцій.
+    </para>
+    <para>
+         <emphasis>6</emphasis>, <emphasis>0x0400</emphasis>: повідомлення трасування
+для функцій дій.
+    </para>
+    <para>
+         <emphasis>7</emphasis>, <emphasis>0x1000</emphasis>: повідомлення трасування
+для функцій внутрішнього трасування.
+    </para>
+    <para>
+         <emphasis>8</emphasis>, <emphasis>0x2000</emphasis>: вміст внутрішніх
+змінних функцій, який може бути цікавим.
+    </para>
+    <para>
+         <emphasis>9</emphasis>, <emphasis>0x4000</emphasis>: дані трасування
+найнижчого рівня.
+    </para>
+    <para>
+         <emphasis>10</emphasis>, <emphasis>0x10000</emphasis>: ще докладніші дані
+трасування libldb низького рівня. Навряд чи коли знадобляться.
+    </para>
+    <para>
+        Щоб до журналу було записано дані потрібних бітових масок рівнів
+діагностики, просто додайте відповідні числа, як це показано у наведених
+нижче прикладах:
+    </para>
+    <para>
+        <emphasis>Example</emphasis>: щоб до журналу було записано дані щодо
+критичних помилок з аварійним завершенням роботи, критичних помилок,
+серйозних помилок та дані функцій, скористайтеся рівнем діагностики 0x0270.
+    </para>
+    <para>
+        <emphasis>Приклад</emphasis>: щоб до журналу було записано критичні помилки
+з аварійним завершенням роботи, параметри налаштування, дані функцій та
+повідомлення трасування для функцій внутрішнього керування, скористайтеся
+рівнем 0x1310.
+    </para>
+    <para>
+        <emphasis>Зауваження</emphasis>: формат бітових масок для рівнів діагностики
+впроваджено у версії 1.7.0.
+    </para>
+    <para>
+        <emphasis>Типове значення</emphasis>: 0x0070 (тобто фатальні, критичні та
+серйозні помилки; відповідає встановленню значення 2 у десятковому записі)
+    </para>
+</listitem>
diff --git a/src/man/uk/include/failover.xml b/src/man/uk/include/failover.xml
new file mode 100644
index 0000000..fa2bab5
--- /dev/null
+++ b/src/man/uk/include/failover.xml
@@ -0,0 +1,129 @@
+<refsect1 id='failover'>
+    <title>РЕЗЕРВ</title>
+    <para>
+        Можливість резервування надає змогу модулям обробки автоматично перемикатися
+на інші сервери, якщо спроба встановлення з’єднання з поточним сервером
+зазнає невдачі.
+    </para>
+    <refsect2 id='failover_syntax'>
+        <title>Синтаксичні конструкції визначення резервного сервера</title>
+        <para>
+            Список записів серверів, відокремлених комами. Між комами можна
+використовувати довільну кількість пробілів. Порядок у списку визначає
+пріоритет. У списку може бути будь-яка кількість записів серверів.
+        </para>
+        <para>
+            Для кожного з параметрів налаштування з увімкненим резервним отриманням
+існує два варіанти: <emphasis>основний</emphasis> і
+<emphasis>резервний</emphasis>. Ідея полягає у тому, що сервери з основного
+списку мають вищий пріоритет за резервні сервери, пошук же на резервних
+серверах виконується, лише якщо не вдасться з’єднатися з жодним з основних
+серверів. Якщо буде вибрано резервний сервер, встановлюється час очікування
+у 31 секунду. Після завершення часу очікування SSSD періодично
+намагатиметься повторно встановити з’єднання з основними серверами. Якщо
+спроба буде успішною, поточний активний резервний сервер буде замінено на
+основний.
+        </para>
+    </refsect2>
+    <refsect2 id='failover_mechanism'>
+        <title>Механізм визначення резервного сервера</title>
+        <para>
+            Механізмом резервного використання розрізняються окремі комп’ютери і
+служби. Спочатку модуль намагається визначити назву вузла вказаного
+комп’ютера. Якщо спроби визначення зазнають невдачі, комп’ютер вважатиметься
+від’єднаним від мережі. Подальших спроб встановити з’єднання з цим
+комп’ютером для всіх інших служб не виконуватиметься. Якщо вдасться виконати
+визначення, модуль зробити спробу встановити з’єднання зі службою на
+визначеному комп’ютері. Якщо спроба з’єднання зі службою не призведе до
+успіху, непрацездатною вважатиметься лише служба, модуль автоматично
+перемкнеться на наступну службу. Комп’ютер служби вважатиметься з’єднаним з
+мережею, можливі подальші спроби використання інших служб.
+        </para>
+        <para>
+            Подальші спроби встановлення з’єднання з комп’ютерами або службами,
+позначеними як такі, що перебувають поза мережею, буде виконано за певний
+проміжок часу. У поточній версії цей проміжок є незмінним і дорівнює 30
+секундам.
+        </para>
+        <para>
+            Якщо список комп’ютерів буде вичерпано, основний модуль перейде у режим
+автономної роботи і повторюватиме спроби з’єднання кожні 30 секунд.
+        </para>
+    </refsect2>
+    <refsect2 id='failover_tuning'>
+        <title>Час очікування на перемикання на резервний ресурс та точне налаштовування</title>
+        <para>
+            Для визначення сервера для з'єднання достатньо одного запиту DNS або
+декількох кроків, зокрема визначення відповідного сайта або спроба
+використати декілька назв вузлів у випадку, якщо якісь із налаштованих
+серверів недоступні. Складніші сценарії можуть потребувати додаткового часу,
+а SSSD треба збалансувати надання достатнього часу для завершення процесу
+визначення і використання притомного часу на виконання цього запиту перед
+переходом до автономного режиму. Якщо діагностичний журнал SSSD показує, що
+під час визначення сервера перевищено час очікування на з'єднання із
+працездатним сервером, варто змінити значення параметрів часу очікування.
+        </para>
+        <para>
+            У цьому розділі наведено списки доступних для коригування параметрів. Будь
+ласка, ознайомтеся із їхніми описами за допомогою сторінки підручника
+<citerefentry>
+<refentrytitle>sssd.conf</refentrytitle><manvolnum>5</manvolnum>
+</citerefentry>.  <variablelist>
+                <varlistentry>
+                    <term>
+                        dns_resolver_server_timeout
+                    </term>
+                    <listitem>
+                        <para>
+                            Час у мілісекундах, протягом якого SSSD має намагатися обмінятися даними із
+окремим сервером DNS, перш ніж перейти до спроб зв'язатися із наступним.
+                        </para>
+                        <para>
+                            Типове значення: 1000
+                        </para>
+                    </listitem>
+                </varlistentry>
+                <varlistentry>
+                    <term>
+                        dns_resolver_op_timeout
+                    </term>
+                    <listitem>
+                        <para>
+                            Час у секундах, який визначає тривалість періоду, протягом якого SSSD
+намагатиметься обробити окремий запит DNS (наприклад встановити назву вузла
+або запис SRV), перш ніж перейти до наступної назви вузла або наступного
+домену пошуку.
+                        </para>
+                        <para>
+                            Типове значення: 3
+                        </para>
+                    </listitem>
+                </varlistentry>
+                <varlistentry>
+                    <term>
+                        dns_resolver_timeout
+                    </term>
+                    <listitem>
+                        <para>
+                            Наскільки довго має чекати SSSD на визначення резервної служби надання
+даних. На внутрішньому рівні визначення такої служби може включати декілька
+кроків, зокрема визначення адрес запитів DNS SRV або пошук розташування
+сайта.
+                        </para>
+                        <para>
+                            Типове значення: 6
+                        </para>
+                    </listitem>
+                </varlistentry>
+            </variablelist>
+        </para>
+        <para>
+            Для заснованих на LDAP постачальників даних дія з визначення виконується як
+частина дії зі встановлення з'єднання із LDAP. Тому слід також встановити
+для часу очікування <quote>ldap_opt_timeout</quote> значення, яке
+перевищуватиме значення <quote>dns_resolver_timeout</quote>, яке також має
+перевищувати значення <quote>dns_resolver_op_timeout</quote>, яке має
+перевищувати значення <quote>dns_resolver_server_timeout</quote>.
+        </para>
+    </refsect2>
+</refsect1>
diff --git a/src/man/uk/include/homedir_substring.xml b/src/man/uk/include/homedir_substring.xml
new file mode 100644
index 0000000..d8238bc
--- /dev/null
+++ b/src/man/uk/include/homedir_substring.xml
@@ -0,0 +1,18 @@
+<varlistentry>
+    <term>homedir_substring (рядок)</term>
+    <listitem>
+        <para>
+            Значення цього параметра буде використано під час розгортання параметра
+<emphasis>override_homedir</emphasis>, якщо у шаблоні міститься рядок
+форматування <emphasis>%H</emphasis>. Запис каталогу LDAP може безпосередньо
+містити цей шаблон для розгортання шляху до домашнього каталогу на кожному з
+клієнтських комп’ютерів (або у кожній з операційних систем). Значення
+параметра можна вказати окремо для кожного з доменів або на загальному рівні
+у розділі [nss]. Значення, вказане у розділі домену, має вищий пріоритет за
+значення, встановлене за допомогою розділу [nss].
+        </para>
+        <para>
+            Типове значення: /home
+        </para>
+    </listitem>
+</varlistentry>
diff --git a/src/man/uk/include/ipa_modified_defaults.xml b/src/man/uk/include/ipa_modified_defaults.xml
new file mode 100644
index 0000000..8f8f904
--- /dev/null
+++ b/src/man/uk/include/ipa_modified_defaults.xml
@@ -0,0 +1,124 @@
+<refsect1 id='modified-default-options'>
+    <title>ЗМІНЕНІ ТИПОВІ ПАРАМЕТРИ</title>
+    <para>
+        Деякі типові значення параметрів не збігаються із типовими значеннями
+параметрів засобу надання даних. Із назвами відповідних параметрів та
+специфічні для засобу надання даних IPA значення цих параметрів можна
+ознайомитися за допомогою наведеного нижче списку:
+    </para>
+    <refsect2 id='krb5_modifications'>
+        <title>Модуль надання даних KRB5</title>
+        <itemizedlist>
+            <listitem>
+                <para>
+                    krb5_validate = true
+                </para>
+            </listitem>
+            <listitem>
+                <para>
+                    krb5_use_fast = try
+                </para>
+            </listitem>
+            <listitem>
+                <para>
+                    krb5_canonicalize = true
+                </para>
+            </listitem>
+        </itemizedlist>
+    </refsect2>
+    <refsect2 id='ldap_general_modifications'>
+        <title>Модуль надання даних LDAP — Загальне</title>
+        <itemizedlist>
+            <listitem>
+                <para>
+                    ldap_schema = ipa_v1
+                </para>
+            </listitem>
+            <listitem>
+                <para>
+                    ldap_force_upper_case_realm = true
+                </para>
+            </listitem>
+            <listitem>
+                <para>
+                    ldap_sasl_mech = GSSAPI
+                </para>
+            </listitem>
+            <listitem>
+                <para>
+                    ldap_sasl_minssf = 56
+                </para>
+            </listitem>
+            <listitem>
+                <para>
+                    ldap_account_expire_policy = ipa
+                </para>
+            </listitem>
+            <listitem>
+                <para>
+                    ldap_use_tokengroups = true
+                </para>
+            </listitem>
+        </itemizedlist>
+    </refsect2>
+    <refsect2 id='ldap_user_modifications'>
+        <title>Модуль надання даних LDAP — Параметри користувачів</title>
+        <itemizedlist>
+            <listitem>
+                <para>
+                    ldap_user_member_of = memberOf
+                </para>
+            </listitem>
+            <listitem>
+                <para>
+                    ldap_user_uuid = ipaUniqueID
+                </para>
+            </listitem>
+            <listitem>
+                <para>
+                    ldap_user_ssh_public_key = ipaSshPubKey
+                </para>
+            </listitem>
+            <listitem>
+                <para>
+                    ldap_user_auth_type = ipaUserAuthType
+                </para>
+            </listitem>
+        </itemizedlist>
+    </refsect2>
+    <refsect2 id='ldap_group_modifications'>
+        <title>Модуль надання даних LDAP — Параметри груп</title>
+        <itemizedlist>
+            <listitem>
+                <para>
+                    ldap_group_object_class = ipaUserGroup
+                </para>
+            </listitem>
+            <listitem>
+                <para>
+                    ldap_group_object_class_alt = posixGroup
+                </para>
+            </listitem>
+            <listitem>
+                <para>
+                    ldap_group_member = member
+                </para>
+            </listitem>
+            <listitem>
+                <para>
+                    ldap_group_uuid = ipaUniqueID
+                </para>
+            </listitem>
+            <listitem>
+                <para>
+                    ldap_group_objectsid = ipaNTSecurityIdentifier
+                </para>
+            </listitem>
+            <listitem>
+                <para>
+                    ldap_group_external_member = ipaExternalMember
+                </para>
+            </listitem>
+        </itemizedlist>
+    </refsect2>
+</refsect1>
diff --git a/src/man/uk/include/krb5_options.xml b/src/man/uk/include/krb5_options.xml
new file mode 100644
index 0000000..0075582
--- /dev/null
+++ b/src/man/uk/include/krb5_options.xml
@@ -0,0 +1,164 @@
+<variablelist>
+    <varlistentry>
+        <term>krb5_auth_timeout (ціле число)</term>
+        <listitem>
+            <para>
+                Час очікування, по завершенню якого буде перервано запит щодо розпізнавання
+або зміни пароля у мережі. Якщо це можливо, обробку запиту щодо
+розпізнавання буде продовжено у автономному режимі.
+            </para>
+            <para>
+                Типове значення: 6
+            </para>
+        </listitem>
+    </varlistentry>
+
+    <varlistentry>
+        <term>krb5_validate (булеве значення)</term>
+        <listitem>
+            <para>
+                Перевірити за допомогою krb5_keytab, чи отриманий TGT не було
+підмінено. Перевірка записів у таблиці ключів виконується послідовно. Для
+перевірки використовується перший запис з відповідним значенням
+області. Якщо не буде знайдено жодного відповідного області запису, буде
+використано останній запис з таблиці ключів. Цим процесом можна скористатися
+для перевірки середовищ за допомогою зв’язків довіри між записами областей:
+достатньо розташувати відповідний запис таблиці ключів на останньому місці
+або зробити його єдиним записом у файлі таблиці ключів.
+            </para>
+            <para>
+                Типове значення: false (надається IPA та AD: true)
+            </para>
+            <para>
+                Будь ласка, зауважте, що перевірка квитка є першим кроком при перевірці PAC
+(див. «pac_check» на сторінці підручника щодо <citerefentry>
+<refentrytitle>sssd.conf</refentrytitle> <manvolnum>5</manvolnum>
+</citerefentry>, щоб дізнатися більше). Якщо перевірку квитків вимкнено,
+також буде вимкнено і перевірки PAC.
+            </para>
+        </listitem>
+    </varlistentry>
+
+    <varlistentry>
+        <term>krb5_renewable_lifetime (рядок)</term>
+        <listitem>
+            <para>
+                Надіслати запит щодо поновлюваного квитка з загальним строком дії, вказаним
+за допомогою цілого числа, за яким одразу вказано одиницю часу:
+            </para>
+            <para>
+                <emphasis>s</emphasis> — секунди
+            </para>
+            <para>
+                <emphasis>m</emphasis> — хвилини
+            </para>
+            <para>
+                <emphasis>h</emphasis> — години
+            </para>
+            <para>
+                <emphasis>d</emphasis> — дні.
+            </para>
+            <para>
+                Якщо одиниці часу не буде вказано, вважатиметься, що використано одиницю
+<emphasis>s</emphasis>.
+            </para>
+            <para>
+                Зауваження: не можна використовувати одразу декілька одиниць. Якщо вам
+потрібно встановити строк дії у півтори години, слід вказати «90m», а не
+«1h30m».
+            </para>
+            <para>
+                Типове значення: не встановлено, тобто TGT не є оновлюваним
+            </para>
+        </listitem>
+    </varlistentry>
+
+    <varlistentry>
+        <term>krb5_lifetime (рядок)</term>
+        <listitem>
+            <para>
+                Надіслати запит щодо квитка з загальним строком дії, вказаним за допомогою
+цілого числа, за яким одразу вказано одиницю часу:
+            </para>
+            <para>
+                <emphasis>s</emphasis> — секунди
+            </para>
+            <para>
+                <emphasis>m</emphasis> — хвилини
+            </para>
+            <para>
+                <emphasis>h</emphasis> — години
+            </para>
+            <para>
+                <emphasis>d</emphasis> — дні.
+            </para>
+            <para>
+                Якщо одиниці часу не буде вказано, вважатиметься, що використано одиницю
+<emphasis>s</emphasis>.
+            </para>
+            <para>
+                Зауваження: не можна використовувати одразу декілька одиниць. Якщо вам
+потрібно встановити строк дії у півтори години, слід вказати «90m», а не
+«1h30m».
+            </para>
+            <para>
+                Типове значення: не встановлено, тобто типовий строк дії квитка
+визначатиметься у налаштуваннях KDC.
+            </para>
+        </listitem>
+    </varlistentry>
+
+    <varlistentry>
+        <term>krb5_renew_interval (рядок)</term>
+        <listitem>
+            <para>
+                Час у секундах між двома послідовними перевірками того, чи слід оновлювати
+записи TGT. Записи TGT оновлюються після завершення приблизно половини
+їхнього строку дії, що задається як ціле число з наступним позначенням
+одиниці часу:
+            </para>
+            <para>
+                <emphasis>s</emphasis> — секунди
+            </para>
+            <para>
+                <emphasis>m</emphasis> — хвилини
+            </para>
+            <para>
+                <emphasis>h</emphasis> — години
+            </para>
+            <para>
+                <emphasis>d</emphasis> — дні.
+            </para>
+            <para>
+                Якщо одиниці часу не буде вказано, вважатиметься, що використано одиницю
+<emphasis>s</emphasis>.
+            </para>
+            <para>
+                Зауваження: не можна використовувати одразу декілька одиниць. Якщо вам
+потрібно встановити строк дії у півтори години, слід вказати «90m», а не
+«1h30m».
+            </para>
+            <para>
+                 Якщо значення для цього параметра встановлено не буде або буде встановлено
+значення 0, автоматичного оновлення не відбуватиметься.
+            </para>
+            <para>
+                Типове значення: not set
+            </para>
+        </listitem>
+    </varlistentry>
+
+    <varlistentry>
+        <term>krb5_canonicalize (булеве значення)</term>
+        <listitem>
+            <para>
+                Визначає, чи слід перетворювати реєстраційний запис вузла і користувача у
+канонічну форму. Цю можливість передбачено з версії MIT Kerberos 1.7.
+            </para>
+
+            <para>
+                Типове значення: false
+            </para>
+        </listitem>
+    </varlistentry>
+</variablelist>
diff --git a/src/man/uk/include/ldap_id_mapping.xml b/src/man/uk/include/ldap_id_mapping.xml
new file mode 100644
index 0000000..5fb3523
--- /dev/null
+++ b/src/man/uk/include/ldap_id_mapping.xml
@@ -0,0 +1,297 @@
+<refsect1 id='idmap'>
+    <title>ВСТАНОВЛЕННЯ ВІДПОВІДНОСТІ ІДЕНТИФІКАТОРІВ</title>
+    <para>
+        Можливість встановлення відповідності ідентифікаторів надає SSSD змогу
+працювати у режимі клієнта Active Directory без потреби для адміністраторів
+розширювати атрибути користувача з метою підтримки атрибутів POSIX для
+ідентифікаторів користувачів та груп.
+    </para>
+    <para>
+        Зауваження: якщо увімкнено встановлення відповідності ідентифікаторів,
+атрибути uidNumber та gidNumber буде проігноровано. Так зроблено з метою
+уникання конфліктів між автоматично визначеними та визначеними вручну
+значеннями. Якщо вам потрібно призначити певні значення вручну, вручну
+доведеться призначати ВСІ значення.
+    </para>
+    <para>
+        Будь ласка, зауважте, що зміна параметрів налаштувань, пов’язаних із
+встановленням відповідності ідентифікаторів, призведе до зміни
+ідентифікаторів користувачів і груп. У поточній версії SSSD зміни
+ідентифікаторів не передбачено, отже, вам доведеться вилучити базу даних
+SSSD. Оскільки кешовані паролі також зберігаються у базі даних, вилучення
+бази даних слід виконувати, лише якщо сервери розпізнавання є доступними,
+інакше користувачі не зможуть отримати потрібного їм доступу. З метою
+кешування паролів слід виконати сеанс розпізнавання. Для вилучення бази
+даних недостатньо використання команди <citerefentry>
+<refentrytitle>sss_cache</refentrytitle> <manvolnum>8</manvolnum>
+</citerefentry>, процедура має складатися з декількох кроків:
+            <itemizedlist>
+                <listitem>
+                    <para>
+                        Переконуємося, що віддалені сервери є доступними.
+                    </para>
+                </listitem>
+                <listitem>
+                    <para>
+                        Зупиняємо роботу служби SSSD
+                    </para>
+                </listitem>
+                <listitem>
+                    <para>
+                        Вилучаємо базу даних
+                    </para>
+                </listitem>
+                <listitem>
+                    <para>
+                        Запускаємо службу SSSD
+                    </para>
+                </listitem>
+            </itemizedlist>
+        Крім того, оскільки зміна ідентифікаторів може потребувати коригування інших
+властивостей системи, зокрема прав власності на файли і каталоги, варто
+спланувати усе наперед і ретельно перевірити налаштування встановлення
+відповідності ідентифікаторів.
+    </para>
+
+    <refsect2 id='idmap_algorithm'>
+        <title>Алгоритм встановлення відповідності</title>
+        <para>
+            Active Directory надає значення objectSID для всіх об’єктів користувачів і
+груп у каталозі. Таке значення objectSID можна розбити на компоненти, які
+відповідають профілю домену Active Directory та відносному ідентифікатору
+(RID) об’єкта користувача або групи.
+        </para>
+        <para>
+            Алгоритмом встановлення відповідності ідентифікаторів SSSD передбачено поділ
+діапазону доступних UID на розділи однакових розмірів, які називаються
+«зрізами». Кожен зріз відповідає простору, доступному певному домену Active
+Directory.
+        </para>
+        <para>
+            Коли SSSD вперше зустрічає запис користувача або групи певного домену, SSSD
+віддає один з доступних зрізів під цей домен. З метою уможливлення
+відтворення такого призначення зрізів на різних клієнтських системах, зріз
+вибирається за таким алгоритмом:
+        </para>
+        <para>
+            Рядок SID передається алгоритмові murmurhash3 з метою перетворення його на
+хешоване 32-бітове значення. Для вибору зрізу використовується ціла частина
+від ділення цього значення на загальну кількість доступних зрізів.
+        </para>
+        <para>
+            Зауваження: за такого алгоритму можливі збіги за хешем та відповідною цілою
+частиною від ділення. У разі виявлення таких збігів буде вибрано наступний
+доступних зріз, але це може призвести до неможливості відтворити точно такий
+самий набір зрізів на інших комп’ютерах (оскільки в такому разі на вибір
+зрізів може вплинути порядок, у якому виконується обробка даних). Якщо ви
+зіткнулися з подібною ситуацією, рекомендуємо вам або перейти на
+використання явних атрибутів POSIX у Active Directory (вимкнути встановлення
+відповідності ідентифікаторів) або налаштувати типовий домен з метою
+гарантування того, що принаймні цей домен матиме еталонні дані. Докладніше
+про це у розділі «Налаштування».
+        </para>
+    </refsect2>
+
+    <refsect2 id='idmap_config'>
+        <title>Налаштування</title>
+        <para>
+            Мінімальне налаштовування (у розділі <quote>[domain/НАЗВА_ДОМЕНУ]</quote>):
+        </para>
+        <para>
+<programlisting>
+ldap_id_mapping = True
+ldap_schema = ad
+</programlisting>
+        </para>
+        <para>
+            За типових налаштувань буде створено 10000 зрізів, кожен з яких може містити
+до 200000 ідентифікаторів, починаючи з 2000000 і аж до 2000200000. Цього має
+вистачити для більшості розгорнутих середовищ.
+        </para>
+        <refsect3 id='idmap_advanced_config'>
+            <title>Додаткові налаштування</title>
+            <variablelist>
+                <varlistentry>
+                    <term>ldap_idmap_range_min (ціле число)</term>
+                    <listitem>
+                        <para>
+                            Визначає нижню (включну) межу діапазону ідентифікаторів POSIX, які слід
+використовувати для встановлення відповідності SID користувачів і груп
+Active Directory. Це перший ідентифікатор POSIX, яким можна скористатися для
+прив'язки.
+                        </para>
+                        <para>
+                            Зауваження: цей параметр відрізняється від <quote>min_id</quote> тим, що
+<quote>min_id</quote> працює як фільтр відповідей на запити щодо цього
+домену, а цей параметр керує діапазоном призначення ідентифікаторів. Ця
+відмінність є мінімальною, але загалом варто визначати <quote>min_id</quote>
+меншим або рівним <quote>ldap_idmap_range_min</quote>
+                        </para>
+                        <para>
+                            Типове значення: 200000
+                        </para>
+                    </listitem>
+                </varlistentry>
+                <varlistentry>
+                    <term>ldap_idmap_range_max (ціле число)</term>
+                    <listitem>
+                        <para>
+                            Визначає верхню (виключну) межу діапазону ідентифікаторів POSIX, які слід
+використовувати для встановлення відповідності SID користувачів і груп
+Active Directory. Це перший ідентифікатор POSIX, яким не можна скористатися
+для прив'язки, тобто ідентифікатор, який на одиницю більший за останній,
+яким можна скористатися для прив'язки.
+                        </para>
+                        <para>
+                            Зауваження: цей параметр відрізняється від <quote>max_id</quote> тим, що
+<quote>max_id</quote> працює як фільтр відповідей на запити щодо цього
+домену, а цей параметр керує діапазоном призначення ідентифікаторів. Ця
+відмінність є мінімальною, але загалом варто визначати <quote>max_id</quote>
+більшим або рівним <quote>ldap_idmap_range_max</quote>
+                        </para>
+                        <para>
+                            Типове значення: 2000200000
+                        </para>
+                    </listitem>
+                </varlistentry>
+                <varlistentry>
+                    <term>ldap_idmap_range_size (ціле число)</term>
+                    <listitem>
+                        <para>
+                            Визначає кількість ідентифікаторів доступних на кожному зі зрізів. Якщо
+розмір діапазону не ділиться націло на мінімальне і максимальне значення,
+буде створено якомога більше повних зрізів.
+                        </para>
+                        <para>
+                            ЗАУВАЖЕННЯ: значення цього параметра має бути не меншим за значення
+максимального запланованого до використання RID на сервері Active
+Directory. Пошук даних та вхід для будь-яких користувачів з RID, що
+перевищує це значення, буде неможливим.
+                        </para>
+                        <para>
+                            Приклад: якщо найсвіжішим доданим користувачем Active Directory є користувач
+з objectSid=S-1-5-21-2153326666-2176343378-3404031434-1107,
+«ldap_idmap_range_size» повинне мати значення, яке є не меншим за 1108,
+оскільки розмір діапазону дорівнює максимальному SID мінус мінімальний SID
+плюс 1. (Наприклад, 1108 = 1107 - 0 + 1).
+                        </para>
+                        <para>
+                            Для майбутнього можливого розширення важливо все спланувати наперед,
+оскільки зміна цього значення призведе до зміни усіх прив’язок
+ідентифікаторів у системі, отже зміни попередніх локальних ідентифікаторів
+користувачів.
+                        </para>
+                        <para>
+                            Типове значення: 200000
+                        </para>
+                    </listitem>
+                </varlistentry>
+                <varlistentry>
+                    <term>ldap_idmap_default_domain_sid (рядок)</term>
+                    <listitem>
+                        <para>
+                            Визначає SID типового домену. За допомогою цього параметра можна гарантувати
+те, що цей домен буде завжди призначено до нульового зрізу у карті
+ідентифікаторів без використання алгоритму murmurhash описаного вище.
+                        </para>
+                        <para>
+                            Типове значення: not set
+                        </para>
+                    </listitem>
+                </varlistentry>
+                <varlistentry>
+                    <term>ldap_idmap_default_domain (рядок)</term>
+                    <listitem>
+                        <para>
+                            Вказати назву типового домену.
+                        </para>
+                        <para>
+                            Типове значення: not set
+                        </para>
+                    </listitem>
+                </varlistentry>
+                <varlistentry>
+                    <term>ldap_idmap_autorid_compat (булеве значення)</term>
+                    <listitem>
+                        <para>
+                            Змінює поведінку алгоритму встановлення відповідності ідентифікаторів так,
+щоб обчислення відбувалися за алгоритмом подібним до алгоритму
+<quote>idmap_autorid</quote> winbind.
+                        </para>
+                        <para>
+                            When this option is configured, domains will be allocated starting with
+slice zero and increasing monotonically with each additional domain.
+                        </para>
+                        <para>
+                            Зауваження: цей алгоритм є недетерміністичним (залежить від порядку записів
+користувачів та груп). Якщо з метою сумісності з системою, у якій запущено
+winbind, буде використано цей алгоритм, варто також скористатися параметром
+<quote>ldap_idmap_default_domain_sid</quote> з метою гарантування
+послідовного призначення принаймні одного домену до нульового зрізу.
+                        </para>
+                        <para>
+                            Типове значення: False
+                        </para>
+                    </listitem>
+                </varlistentry>
+                <varlistentry>
+                    <term>ldap_idmap_helper_table_size (ціле число)</term>
+                    <listitem>
+                        <para>
+                          Максимальна кількість вторинних зрізів, яку можна використовувати під час
+виконання прив'язки ідентифікатора UNIX до SID.
+                        </para>
+                        <para>
+                          Зауваження: під час прив'язування SID до ідентифікатора UNIX може бути
+створено додаткові вторинні зрізи, якщо частини RID SID перебувають поза
+межами діапазону вже створених вторинних зрізів. Якщо значенням
+ldap_idmap_helper_table_size буде 0, додаткові вторинні зрізи не
+створюватимуться.
+                        </para>
+                        <para>
+                            Типове значення: 10
+                        </para>
+                    </listitem>
+                </varlistentry>
+            </variablelist>
+        </refsect3>
+    </refsect2>
+
+    <refsect2 id='well_known_sids'>
+        <title>Добре відомі SID</title>
+        <para>
+            У SSSD передбачено підтримку пошуку назв за добре відомими (Well-Known) SID,
+тобто SID із особливим запрограмованим призначенням. Оскільки типові
+користувачі і групи, пов’язані із цими добре відомими SID не мають
+еквівалентів у середовищі Linux/UNIX, ідентифікаторів POSIX для цих об’єктів
+немає.
+        </para>
+        <para>
+            Простір назв SID упорядковано службами сертифікації, які виглядають як інші
+домени. Службами сертифікації для добре відомих (Well-Known) SID є
+            <itemizedlist>
+                <listitem><para>Фіктивна служба сертифікації (Null Authority)</para></listitem>
+                <listitem><para>Загальна служба сертифікації (World Authority)</para></listitem>
+                <listitem><para>Локальна служба сертифікації (Local Authority)</para></listitem>
+                <listitem><para>Авторська служба сертифікації (Creator Authority)</para></listitem>
+                <listitem><para>Обов'язкова служба сертифікації міток</para></listitem>
+                <listitem><para>Служба розпізнавання</para></listitem>
+                <listitem><para>Служба сертифікації NT (NT Authority)</para></listitem>
+                <listitem><para>Вбудована (Built-in)</para></listitem>
+            </itemizedlist>
+            Написані літерами верхнього регістру ці назви буде використано як назви
+доменів для повернення повних назв добре відомих (Well-Known) SID.
+        </para>
+        <para>
+            Оскільки деякі з програм надають змогу змінювати дані щодо керування
+доступом на основі SID за допомогою назви, а не безпосереднього
+використання, у SSSD передбачено підтримку пошуку SID за назвою. Щоб
+уникнути конфліктів, для пошуку добре відомих (Well-Known) SID приймаються
+лише повні назви. Отже, не можна використовувати як назви доменів у
+<filename>sssd.conf</filename> такі назви: «NULL AUTHORITY», «WORLD
+AUTHORITY», «LOCAL AUTHORITY», «CREATOR AUTHORITY», «MANDATORY LABEL
+AUTHORITY», «AUTHENTICATION AUTHORITY», «NT AUTHORITY» та «BUILTIN».
+        </para>
+    </refsect2>
+
+</refsect1>
diff --git a/src/man/uk/include/ldap_search_bases.xml b/src/man/uk/include/ldap_search_bases.xml
new file mode 100644
index 0000000..7261348
--- /dev/null
+++ b/src/man/uk/include/ldap_search_bases.xml
@@ -0,0 +1,33 @@
+<listitem>
+    <para>
+        Додатковий основний DN, область пошуку і фільтр LDAP для обмеження пошуків
+LDAP цим типом атрибутів.
+    </para>
+    <para>
+        синтаксис: <programlisting>
+search_base[?scope?[filter][?search_base?scope?[filter]]*]
+</programlisting>
+    </para>
+    <para>
+        Діапазоном може бути одне зі значень, «base» (основа), «onelevel» (окремий
+рівень) або «subtree» (піддерево). Докладніший опис діапазонів наведено у
+розділі 4.5.1.2 документа http://tools.ietf.org/html/rfc4511
+    </para>
+    <para>
+        Фільтром має бути коректний запис фільтрування LDAP, відповідно до
+специфікації http://www.ietf.org/rfc/rfc2254.txt
+    </para>
+    <para>
+        Приклади використання цих синтаксичних конструкцій можна знайти у розділі
+прикладів «ldap_search_base».
+    </para>
+    <para>
+        Типове значення: значення <emphasis>ldap_search_base</emphasis>
+    </para>
+    <para>
+        Будь ласка, зауважте, що підтримки визначення області або фільтра для
+пошуків на сервері Active Directory не передбачено. Це може призвести до
+отримання значної кількості результатів і викликати реакцію з боку
+розширення діапазону отримання (Range Retrieval).
+    </para>
+</listitem>
diff --git a/src/man/uk/include/local.xml b/src/man/uk/include/local.xml
new file mode 100644
index 0000000..d26290f
--- /dev/null
+++ b/src/man/uk/include/local.xml
@@ -0,0 +1,19 @@
+<refsect1 id='local'>
+    <title>ЛОКАЛЬНИЙ ДОМЕН</title>
+    <para>
+        З метою забезпечення належної роботи слід створити домен з
+<quote>id_provider=local</quote> та запустити SSSD.
+    </para>
+    <para>
+        Адміністратор може надати перевагу використанню локальних записів
+користувачів SSSD замість традиційних записів користувачів UNIX, якщо для
+роботи потрібна вкладеність груп (див. <citerefentry>
+<refentrytitle>sss_groupadd</refentrytitle> <manvolnum>8</manvolnum>
+</citerefentry>). Використання локальних записів може також бути корисним
+для тестування та розробки програмного забезпечення з підтримкою SSSD (у
+такому разі не потрібно розгортати повноцінний віддалений
+сервер). Інструменти <command>sss_user*</command> та
+<command>sss_group*</command> використовують для зберігання записів
+користувачів і груп локальне сховище даних LDB.
+    </para>
+</refsect1>
diff --git a/src/man/uk/include/override_homedir.xml b/src/man/uk/include/override_homedir.xml
new file mode 100644
index 0000000..6407471
--- /dev/null
+++ b/src/man/uk/include/override_homedir.xml
@@ -0,0 +1,79 @@
+<varlistentry>
+<term>override_homedir (рядок)</term>
+<listitem>
+    <para>
+        Перевизначити домашній каталог користувача. Ви можете вказати абсолютне
+значення або шаблон. У шаблоні можна використовувати такі замінники:
+<variablelist>
+            <varlistentry>
+                <term>%u</term>
+                <listitem><para>ім'я користувача</para></listitem>
+            </varlistentry>
+            <varlistentry>
+                <term>%U</term>
+                <listitem><para>номер UID</para></listitem>
+            </varlistentry>
+            <varlistentry>
+                <term>%d</term>
+                <listitem><para>назва домену</para></listitem>
+            </varlistentry>
+            <varlistentry>
+                <term>%f</term>
+                <listitem><para>ім’я користувача повністю (користувач@домен)</para></listitem>
+            </varlistentry>
+            <varlistentry>
+                <term>%l</term>
+                <listitem><para>Перша літера назви облікового запису.</para></listitem>
+            </varlistentry>
+            <varlistentry>
+                <term>%P</term>
+                <listitem><para>UPN - User Principal Name (ім’я@ОБЛАСТЬ)</para></listitem>
+            </varlistentry>
+            <varlistentry>
+                <term>%o</term>
+                <listitem><para>
+                    Початкова домашня тека, отримана від служби профілів.
+                    </para></listitem>
+            </varlistentry>
+            <varlistentry>
+                <term>%h</term>
+                <listitem><para>
+                    Початкова домашня тека, отримана від служби профілів, але літерами нижнього
+регістру.
+                    </para></listitem>
+            </varlistentry>
+            <varlistentry>
+                <term>%H</term>
+                <listitem><para>
+                    Значення параметра налаштовування <emphasis>homedir_substring</emphasis>.
+                    </para></listitem>
+            </varlistentry>
+            <varlistentry>
+                <term>%%</term>
+                <listitem><para>символ відсотків («%»)</para>
+                </listitem>
+            </varlistentry>
+        </variablelist>
+    </para>
+    <para>
+        Значення цього параметра можна встановлювати для кожного з доменів окремо.
+    </para>
+    <para>
+        приклад: <programlisting>
+override_homedir = /home/%u
+        </programlisting>
+    </para>
+    <para>
+        Типове значення: не встановлено (SSSD використовуватиме значення, отримане
+від LDAP)
+    </para>
+    <para>
+        Будь ласка, зауважте, що домашній каталог для певного перевизначення для
+користувача, локально
+(див. <citerefentry><refentrytitle>sss_override</refentrytitle>
+<manvolnum>8</manvolnum></citerefentry>) або централізовано керованих
+перевизначень ідентифікаторів IPA, має вищий пріоритет, і його буде
+використано замість значення, вказаного в override_homedir.
+    </para>
+</listitem>
+</varlistentry>
diff --git a/src/man/uk/include/param_help.xml b/src/man/uk/include/param_help.xml
new file mode 100644
index 0000000..2905109
--- /dev/null
+++ b/src/man/uk/include/param_help.xml
@@ -0,0 +1,10 @@
+<varlistentry>
+    <term>
+        <option>-?</option>,<option>--help</option>
+    </term>
+    <listitem>
+        <para>
+            Показати довідкове повідомлення і завершити роботу.
+        </para>
+    </listitem>
+</varlistentry>
diff --git a/src/man/uk/include/param_help_py.xml b/src/man/uk/include/param_help_py.xml
new file mode 100644
index 0000000..8870e8f
--- /dev/null
+++ b/src/man/uk/include/param_help_py.xml
@@ -0,0 +1,10 @@
+<varlistentry>
+    <term>
+        <option>-h</option>,<option>--help</option>
+    </term>
+    <listitem>
+        <para>
+            Показати довідкове повідомлення і завершити роботу.
+        </para>
+    </listitem>
+</varlistentry>
diff --git a/src/man/uk/include/seealso.xml b/src/man/uk/include/seealso.xml
new file mode 100644
index 0000000..cd6383c
--- /dev/null
+++ b/src/man/uk/include/seealso.xml
@@ -0,0 +1,49 @@
+    <refsect1 id='see_also'>
+        <title>ТАКОЖ ПЕРЕГЛЯНЬТЕ</title>
+        <para>
+            <citerefentry> <refentrytitle>sssd</refentrytitle><manvolnum>8</manvolnum>
+</citerefentry>, <citerefentry>
+<refentrytitle>sssd.conf</refentrytitle><manvolnum>5</manvolnum>
+</citerefentry>, <citerefentry>
+<refentrytitle>sssd-ldap</refentrytitle><manvolnum>5</manvolnum>
+</citerefentry>, <citerefentry>
+<refentrytitle>sssd-ldap-attributes</refentrytitle><manvolnum>5</manvolnum>
+</citerefentry>, <citerefentry>
+<refentrytitle>sssd-krb5</refentrytitle><manvolnum>5</manvolnum>
+</citerefentry>, <citerefentry>
+<refentrytitle>sssd-simple</refentrytitle><manvolnum>5</manvolnum>
+</citerefentry>, <citerefentry>
+<refentrytitle>sssd-ipa</refentrytitle><manvolnum>5</manvolnum>
+</citerefentry>, <citerefentry>
+<refentrytitle>sssd-ad</refentrytitle><manvolnum>5</manvolnum>
+</citerefentry>, <phrase condition="with_files_provider"> <citerefentry>
+<refentrytitle>sssd-files</refentrytitle><manvolnum>5</manvolnum>
+</citerefentry>, </phrase> <phrase condition="with_sudo"> <citerefentry>
+<refentrytitle>sssd-sudo</refentrytitle> <manvolnum>5</manvolnum>
+</citerefentry>, </phrase> <citerefentry>
+<refentrytitle>sssd-session-recording</refentrytitle>
+<manvolnum>5</manvolnum> </citerefentry>, <citerefentry>
+<refentrytitle>sss_cache</refentrytitle><manvolnum>8</manvolnum>
+</citerefentry>, <citerefentry>
+<refentrytitle>sss_debuglevel</refentrytitle><manvolnum>8</manvolnum>
+</citerefentry>, <citerefentry>
+<refentrytitle>sss_obfuscate</refentrytitle><manvolnum>8</manvolnum>
+</citerefentry>, <citerefentry>
+<refentrytitle>sss_seed</refentrytitle><manvolnum>8</manvolnum>
+</citerefentry>, <citerefentry>
+<refentrytitle>sssd_krb5_locator_plugin</refentrytitle><manvolnum>8</manvolnum>
+</citerefentry>, <phrase condition="with_ssh"> <citerefentry>
+<refentrytitle>sss_ssh_authorizedkeys</refentrytitle>
+<manvolnum>8</manvolnum> </citerefentry>, <citerefentry>
+<refentrytitle>sss_ssh_knownhostsproxy</refentrytitle>
+<manvolnum>8</manvolnum> </citerefentry>, </phrase> <phrase
+condition="with_ifp"> <citerefentry> <refentrytitle>sssd-ifp</refentrytitle>
+<manvolnum>5</manvolnum> </citerefentry>, </phrase> <citerefentry>
+<refentrytitle>pam_sss</refentrytitle><manvolnum>8</manvolnum>
+</citerefentry>.  <citerefentry>
+<refentrytitle>sss_rpcidmapd</refentrytitle> <manvolnum>5</manvolnum>
+</citerefentry> <phrase condition="with_stap"> <citerefentry>
+<refentrytitle>sssd-systemtap</refentrytitle> <manvolnum>5</manvolnum>
+</citerefentry> </phrase>
+        </para>
+    </refsect1>
diff --git a/src/man/uk/include/service_discovery.xml b/src/man/uk/include/service_discovery.xml
new file mode 100644
index 0000000..8452639
--- /dev/null
+++ b/src/man/uk/include/service_discovery.xml
@@ -0,0 +1,45 @@
+<refsect1 id='service_discovery'>
+    <title>ПОШУК СЛУЖБ</title>
+    <para>
+        За допомогою можливості виявлення служб основні модулі мають змогу
+автоматично визначати відповідні сервери для встановлення з’єднання на
+основі даних, отриманих у відповідь на спеціальний запит до DNS. Підтримки
+цієї можливості для резервних серверів не передбачено.
+    </para>
+    <refsect2 id='configuration'>
+        <title>Налаштування</title>
+        <para>
+            Якщо серверів не буде вказано, модуль автоматично використає визначення
+служб для пошуку сервера. Крім того, користувач може використовувати і
+фіксовані адреси серверів і виявлення служб. Для цього слід вставити
+особливе ключове слово, «_srv_», до списку серверів. Пріоритет визначається
+за вказаним порядком. Ця можливість є корисною, якщо, наприклад, користувач
+надає перевагу використанню виявлення служб, якщо це можливо, з поверненням
+до використання певного сервера, якщо за допомогою DNS не вдасться виявити
+жодного сервера.
+        </para>
+    </refsect2>
+    <refsect2 id='domain_name'>
+        <title>Назва домену</title>
+        <para>
+            З докладнішими відомостями щодо параметра «dns_discovery_domain» можна
+ознайомитися на сторінці підручника (man) <citerefentry>
+<refentrytitle>sssd.conf</refentrytitle> <manvolnum>5</manvolnum>
+</citerefentry>.
+        </para>
+    </refsect2>
+    <refsect2 id='search_protocol'>
+        <title>Протокол</title>
+        <para>
+            Запитами зазвичай визначається протокол _tcp. Виключення документовано у
+описі відповідного параметра.
+        </para>
+    </refsect2>
+    <refsect2 id='reference'>
+        <title>Також прочитайте</title>
+        <para>
+            Докладніші відомості щодо механізмів визначення служб можна знайти у RFC
+2782.
+        </para>
+    </refsect2>
+</refsect1>
diff --git a/src/man/uk/include/upstream.xml b/src/man/uk/include/upstream.xml
new file mode 100644
index 0000000..4b0c243
--- /dev/null
+++ b/src/man/uk/include/upstream.xml
@@ -0,0 +1,3 @@
+<refentryinfo>
+<productname>SSSD</productname> <orgname>Основна гілка розробки SSSD —
+https://pagure.io/SSSD/sssd/</orgname></refentryinfo>
diff --git a/src/man/uk/pam_sss.8.xml b/src/man/uk/pam_sss.8.xml
new file mode 100644
index 0000000..49dcf5a
--- /dev/null
+++ b/src/man/uk/pam_sss.8.xml
@@ -0,0 +1,453 @@
+<?xml version="1.0" encoding="UTF-8"?>
+<!DOCTYPE reference PUBLIC "-//OASIS//DTD DocBook V4.4//EN"
+"http://www.oasis-open.org/docbook/xml/4.4/docbookx.dtd">
+<reference>
+<title>Сторінки підручника SSSD</title>
+<refentry>
+    <xi:include xmlns:xi="http://www.w3.org/2001/XInclude"
+                href="include/upstream.xml" />
+
+    <refmeta>
+        <refentrytitle>pam_sss</refentrytitle>
+        <manvolnum>8</manvolnum>
+    </refmeta>
+
+    <refnamediv id='name'>
+        <refname>pam_sss</refname>
+        <refpurpose>модуль PAM для SSSD</refpurpose>
+    </refnamediv>
+
+    <refsynopsisdiv id='synopsis'>
+        <cmdsynopsis>
+<command>pam_sss.so</command> <arg choice='opt'>
+<replaceable>quiet</replaceable> </arg> <arg choice='opt'>
+<replaceable>forward_pass</replaceable> </arg> <arg choice='opt'>
+<replaceable>use_first_pass</replaceable> </arg> <arg choice='opt'>
+<replaceable>use_authtok</replaceable> </arg> <arg choice='opt'>
+<replaceable>retry=N</replaceable> </arg> <arg choice='opt'>
+<replaceable>ignore_unknown_user</replaceable> </arg> <arg choice='opt'>
+<replaceable>ignore_authinfo_unavail</replaceable> </arg> <arg choice='opt'>
+<replaceable>domains=X</replaceable> </arg> <arg choice='opt'>
+<replaceable>allow_missing_name</replaceable> </arg> <arg choice='opt'>
+<replaceable>prompt_always</replaceable> </arg> <arg choice='opt'>
+<replaceable>try_cert_auth</replaceable> </arg> <arg choice='opt'>
+<replaceable>require_cert_auth</replaceable> </arg></cmdsynopsis>
+    </refsynopsisdiv>
+
+    <refsect1 id='description'>
+        <title>ОПИС</title>
+        <para><command>pam_sss.so</command> — інтерфейс PAM до System Security Services
+daemon (SSSD). Помилки та результати роботи записуються за допомогою
+<command>syslog(3)</command> до запису LOG_AUTHPRIV.</para>
+    </refsect1>
+
+    <refsect1 id='options'>
+        <title>ПАРАМЕТРИ</title>
+        <variablelist remap='IP'>
+            <varlistentry>
+                <term>
+                    <option>quiet</option>
+                </term>
+                <listitem>
+                    <para>Не показувати у журналі повідомлень для невідомих користувачів.</para>
+                </listitem>
+            </varlistentry>
+            <varlistentry>
+                <term>
+                    <option>forward_pass</option>
+                </term>
+                <listitem>
+                    <para>Якщо встановлено значення <option>forward_pass</option>, введений пароль
+буде збережено у стосі паролів для використання іншими модулями PAM.
+                    </para>
+                </listitem>
+            </varlistentry>
+            <varlistentry>
+                <term>
+                    <option>use_first_pass</option>
+                </term>
+                <listitem>
+                    <para>Використання аргументу use_first_pass примушує модуль до використання пароля
+з модулів попереднього рівня. Ніяких запитів до користувача не
+надсилатиметься, — якщо пароль не буде виявлено або пароль виявиться
+непридатним, доступ користувачеві буде заборонено.</para>
+                </listitem>
+            </varlistentry>
+            <varlistentry>
+                <term>
+                    <option>use_authtok</option>
+                </term>
+                <listitem>
+                    <para>Визначає ситуацію, коли зміна пароля примушує модуль встановлювати новий
+пароль на основі пароля, наданого попереднім модулем обробки паролів зі
+стосу модулів.</para>
+                </listitem>
+            </varlistentry>
+            <varlistentry>
+                <term>
+                    <option>retry=N</option>
+                </term>
+                <listitem>
+                    <para>Якщо вказано, користувача запитуватимуть про пароль ще N разів, якщо перший
+раз розпізнавання зазнає невдачі. Типовим значенням є 0.</para>
+                    <para>Будь ласка, зауважте, що цей параметр може працювати не так, як очікується,
+якщо програма, яка викликає PAM, має власний обробник діалогових вікон
+взаємодії з користувачем. Типовим прикладом є <command>sshd</command> з
+<option>PasswordAuthentication</option>.</para>
+                </listitem>
+            </varlistentry>
+            <varlistentry>
+                <term>
+                    <option>ignore_unknown_user</option>
+                </term>
+                <listitem>
+                    <para>Якщо вказано цей параметр і облікового запису не існує, модуль PAM поверне
+PAM_IGNORE. Це призводить до ігнорування цього модуля оболонкою PAM.</para>
+                </listitem>
+            </varlistentry>
+            <varlistentry>
+                <term>
+                    <option>ignore_authinfo_unavail</option>
+                </term>
+                <listitem>
+                    <para>
+                    Визначає, що модуль PAM має повертати PAM_IGNORE, якщо не вдається
+встановити зв’язок із фоновою службою SSSD. У результаті набір інструментів
+PAM ігнорує цей модуль.</para>
+                </listitem>
+            </varlistentry>
+            <varlistentry>
+                <term>
+                    <option>domains</option>
+                </term>
+                <listitem>
+                    <para>
+                        Надає змогу адміністратору обмежити домен певною службою PAM, за допомогою
+якої можна буде виконувати розпізнавання. Формат значення: список назв
+доменів SSSD, відокремлених комами, так, як їх вказано у файлі sssd.conf.
+                    </para>
+                    <para>
+                        Зауваження: Якщо використовується для служби, яку запущено не від імені
+користувача root, наприклад вебсервера, слід використовувати разом із
+параметрами «pam_trusted_users» і «pam_public_domains». Будь ласка,
+ознайомтеся із сторінкою підручника <citerefentry>
+<refentrytitle>sssd.conf</refentrytitle> <manvolnum>5</manvolnum>
+</citerefentry>, щоб дізнатися більше про ці два параметри відповідача PAM.
+                    </para>
+                </listitem>
+            </varlistentry>
+            <varlistentry>
+                <term>
+                    <option>allow_missing_name</option>
+                </term>
+                <listitem>
+                    <para>
+                        Основним призначенням цього параметра є надання SSSD змоги визначати ім'я
+користувача на основі додаткових даних, наприклад сертифіката зі
+смарткартки.
+                    </para>
+                    <para>
+                        Поточним основним призначенням є засоби керування входом до системи, які
+можуть спостерігати за подіями обробки карток на засобі читання
+смарткарток. Щойно буде вставлено смарткартку, засіб керування входом до
+системи викличе стос PAM, до якого включено рядок, подібний до <programlisting>
+auth sufficient pam_sss.so allow_missing_name
+                        </programlisting> Якщо SSSD спробує визначити ім'я користувача
+на основі вмісту смарткартки, повертає його до pam_sss, який, нарешті,
+передасть його стосу PAM.
+                    </para>
+                </listitem>
+            </varlistentry>
+            <varlistentry>
+                <term>
+                    <option>prompt_always</option>
+                </term>
+                <listitem>
+                    <para>
+                        Завжди запитувати у користувача реєстраційні дані. Якщо використано цей
+параметр, реєстраційні дані, запит на які надійшов від інших модулів PAM,
+типово, пароль, буде проігноровано, а pam_sss надсилатиме запит щодо
+реєстраційних даних знову. На основі відповіді на попереднє розпізнавання
+від SSSD pam_sss може надіслати запит щодо пароля, пін-коду смарткартки або
+інших реєстраційних даних.
+                    </para>
+                </listitem>
+            </varlistentry>
+            <varlistentry>
+                <term>
+                    <option>try_cert_auth</option>
+                </term>
+                <listitem>
+                    <para>
+                        Спробувати скористатися розпізнаванням на основі сертифікатів, тобто
+розпізнаванням за допомогою смарткартки або подібного пристрою. Якщо
+доступною є смарткартка і уможливлено розпізнавання за смарткарткою для
+служби, система надішле запит щодо пін-коду і буде продовжено процедуру
+розпізнавання за сертифікатом.
+                    </para>
+                    <para>
+                        Якщо смарткартка виявиться недоступною або розпізнавання за сертифікатом
+буде заборонено для поточної служби, буде повернуто PAM_AUTHINFO_UNAVAIL.
+                    </para>
+                </listitem>
+            </varlistentry>
+            <varlistentry>
+                <term>
+                    <option>require_cert_auth</option>
+                </term>
+                <listitem>
+                    <para>
+                        Виконати розпізнавання на основі сертифікатів, тобто розпізнавання за
+допомогою смарткартки або подібного пристрою. Якщо смарткартка виявиться
+недоступною, система попросить користувача вставити її. SSSD чекатиме на
+смарткартку, аж доки не завершиться час очікування, визначений переданим
+значенням
+p11_wait_for_card_timeout.
+Див. <citerefentry><refentrytitle>sssd.conf</refentrytitle>
+<manvolnum>5</manvolnum></citerefentry>, щоб дізнатися більше.
+                    </para>
+                    <para>
+                        Якщо смарткартка виявиться недоступною на момент завершення часу очікування
+або розпізнавання за сертифікатом буде заборонено для поточної служби, буде
+повернуто PAM_AUTHINFO_UNAVAIL.
+                    </para>
+                </listitem>
+            </varlistentry>
+        </variablelist>
+    </refsect1>
+
+    <refsect1 id='module_types_provides'>
+        <title>ПЕРЕДБАЧЕНІ ТИПИ МОДУЛІВ</title>
+        <para>Передбачено всі типи модулів (<option>account</option>,
+<option>auth</option>, <option>password</option> і
+<option>session</option>).
+        </para>
+        <para>Якщо відповідач PAM SSSD не запущено, наприклад, якщо сокет відповідача PAM
+є недоступним, pam_sss поверне PAM_USER_UNKNOWN при виклику з модуля
+<option>account</option>, щоб уникнути проблем із записами користувачів із
+інших джерел під час керування доступом.</para>
+    </refsect1>
+
+    <refsect1 id="return_values">
+        <title>ПОВЕРНЕНІ ЗНАЧЕННЯ</title>
+        <variablelist>
+            <varlistentry>
+                <term>PAM_SUCCESS</term>
+                <listitem>
+                    <para>
+                        Дію PAM завершено успішно.
+                    </para>
+                </listitem>
+            </varlistentry>
+            <varlistentry>
+                <term>PAM_USER_UNKNOWN</term>
+                <listitem>
+                    <para>
+                        Користувач є невідомим службі розпізнавання або відповідач PAM SSSD не
+запущено.
+                    </para>
+                </listitem>
+            </varlistentry>
+            <varlistentry>
+                <term>PAM_AUTH_ERR</term>
+                <listitem>
+                    <para>
+                        Помилка розпізнавання. Також може бути повернено, якщо виникла проблема із
+отриманням сертифіката.
+                    </para>
+                </listitem>
+            </varlistentry>
+            <varlistentry>
+                <term>PAM_PERM_DENIED</term>
+                <listitem>
+                    <para>
+                        Доступ заборонено. Додаткові відомості щодо помилки можуть міститися у
+файлах журналів SSSD.
+                    </para>
+                </listitem>
+            </varlistentry>
+            <varlistentry>
+                <term>PAM_IGNORE</term>
+                <listitem>
+                    <para>
+                        Див. параметри <option>ignore_unknown_user</option> і
+<option>ignore_authinfo_unavail</option>.
+                    </para>
+                </listitem>
+            </varlistentry>
+            <varlistentry>
+                <term>PAM_AUTHTOK_ERR</term>
+                <listitem>
+                    <para>
+                        Не вдалося отримати новий ключ розпізнавання. Крім того, може бути
+повернуто, якщо користувач проходить розпізнавання за допомогою
+сертифікатів, доступними є декілька сертифікатів, але у встановленій версії
+GDM не передбачено можливості вибору одного з декількох сертифікатів.
+                    </para>
+                </listitem>
+            </varlistentry>
+            <varlistentry>
+                <term>PAM_AUTHINFO_UNAVAIL</term>
+                <listitem>
+                    <para>
+                        Не вдалося отримати доступ до даних щодо розпізнавання. Причиною може бути
+помилка у роботі мережі або обладнання.
+                    </para>
+                </listitem>
+            </varlistentry>
+            <varlistentry>
+                <term>PAM_BUF_ERR</term>
+                <listitem>
+                    <para>
+                        Сталася помилка при роботі з пам'яттю. Також може бути повернуто, якщо було
+встановлено параметр use_first_pass або use_authtok, але не було знайдено
+пароля у попередньому модулі PAM зі стосу обробки.
+                    </para>
+                </listitem>
+            </varlistentry>
+            <varlistentry>
+                <term>PAM_SYSTEM_ERR</term>
+                <listitem>
+                    <para>
+                        Сталася загальносистемна помилка. Додаткові відомості щодо помилки можуть
+міститися у файлах журналів SSSD.
+                    </para>
+                </listitem>
+            </varlistentry>
+            <varlistentry>
+                <term>PAM_CRED_ERR</term>
+                <listitem>
+                    <para>
+                        Не вдалося встановити реєстраційні дані користувача.
+                    </para>
+                </listitem>
+            </varlistentry>
+            <varlistentry>
+                <term>PAM_CRED_INSUFFICIENT</term>
+                <listitem>
+                    <para>
+                        У програми немає достатніх реєстраційних даних для розпізнавання
+користувача. Наприклад, може не вистачати PIN-коду при розпізнаванні за
+смарткарткою або якогось фактора при двофакторному розпізнаванні.
+                    </para>
+                </listitem>
+            </varlistentry>
+            <varlistentry>
+                <term>PAM_SERVICE_ERR</term>
+                <listitem>
+                    <para>
+                        Помилка у службовому модулі.
+                    </para>
+                </listitem>
+            </varlistentry>
+            <varlistentry>
+                <term>PAM_NEW_AUTHTOK_REQD</term>
+                <listitem>
+                    <para>
+                        Строк дії ключа розпізнавання користувача вичерпано.
+                    </para>
+                </listitem>
+            </varlistentry>
+            <varlistentry>
+                <term>PAM_ACCT_EXPIRED</term>
+                <listitem>
+                    <para>
+                        Строк дії облікового запису користувача вичерпано.
+                    </para>
+                </listitem>
+            </varlistentry>
+            <varlistentry>
+                <term>PAM_SESSION_ERR</term>
+                <listitem>
+                    <para>
+                        Не вдалося отримати правила профілю стільниці IPA або дані користувача.
+                    </para>
+                </listitem>
+            </varlistentry>
+            <varlistentry>
+                <term>PAM_CRED_UNAVAIL</term>
+                <listitem>
+                    <para>
+                        Не вдалося отримати реєстраційні дані користувача Kerberos.
+                    </para>
+                </listitem>
+            </varlistentry>
+            <varlistentry>
+                <term>PAM_NO_MODULE_DATA</term>
+                <listitem>
+                    <para>
+                        Kerberos не вдалося знайти метод розпізнавання. Таке може трапитися, якщо із
+записом користувача пов'язано смарткартку, але додаток pkint є недоступним
+на клієнті.
+                    </para>
+                </listitem>
+            </varlistentry>
+            <varlistentry>
+                <term>PAM_CONV_ERR</term>
+                <listitem>
+                    <para>
+                       Помилка обміну даними.
+                    </para>
+                </listitem>
+            </varlistentry>
+            <varlistentry>
+                <term>PAM_AUTHTOK_LOCK_BUSY</term>
+                <listitem>
+                    <para>
+                       Немає доступних придатних KDC для зміни пароля.
+                    </para>
+                </listitem>
+            </varlistentry>
+            <varlistentry>
+                <term>PAM_ABORT</term>
+                <listitem>
+                    <para>
+                       Невідомий виклик PAM.
+                    </para>
+                </listitem>
+            </varlistentry>
+            <varlistentry>
+                <term>PAM_MODULE_UNKNOWN</term>
+                <listitem>
+                    <para>
+                       Непідтримувана команда або завдання PAM.
+                    </para>
+                </listitem>
+            </varlistentry>
+            <varlistentry>
+                <term>PAM_BAD_ITEM</term>
+                <listitem>
+                    <para>
+                       Модулю розпізнавання не вдалося обробити реєстраційні дані з смарткартки.
+                    </para>
+                </listitem>
+            </varlistentry>
+        </variablelist>
+    </refsect1>
+
+    <refsect1 id='files'>
+        <title>ФАЙЛИ</title>
+        <para>Якщо спроба скидання пароля від імені адміністративного користувача (root)
+зазнає невдачі, оскільки у відповідному засобі обробки SSSD не передбачено
+скидання паролів, може бути показано певне повідомлення. У цьому
+повідомленні, наприклад, можуть міститися настанови щодо скидання пароля.</para>
+
+        <para>Текст повідомлення буде прочитано з файла
+<filename>pam_sss_pw_reset_message.LOC</filename>, де «LOC» — рядок локалі у
+форматі, повернутому <citerefentry>
+<refentrytitle>setlocale</refentrytitle><manvolnum>3</manvolnum>
+</citerefentry>. Якщо відповідного файла знайдено не буде, буде показано
+вміст файла <filename>pam_sss_pw_reset_message.txt</filename>. Власником
+файлів має бути адміністративний користувач (root). Доступ до запису файлів
+також повинен мати лише адміністративний користувач. Всім іншим користувачам
+може бути надано лише право читання файлів.</para>
+
+        <para>Пошук цих файлів виконуватиметься у каталозі
+<filename>/etc/sssd/customize/НАЗВА_ДОМЕНУ/</filename>. Якщо відповідний
+файл не буде знайдено, буде показано типове повідомлення.</para>
+    </refsect1>
+
+    <xi:include xmlns:xi="http://www.w3.org/2001/XInclude" href="include/seealso.xml" />
+
+</refentry>
+</reference>
diff --git a/src/man/uk/pam_sss_gss.8.xml b/src/man/uk/pam_sss_gss.8.xml
new file mode 100644
index 0000000..9f07372
--- /dev/null
+++ b/src/man/uk/pam_sss_gss.8.xml
@@ -0,0 +1,217 @@
+<?xml version="1.0" encoding="UTF-8"?>
+<!DOCTYPE reference PUBLIC "-//OASIS//DTD DocBook V4.4//EN"
+"http://www.oasis-open.org/docbook/xml/4.4/docbookx.dtd">
+<reference>
+<title>Сторінки підручника SSSD</title>
+<refentry>
+    <xi:include xmlns:xi="http://www.w3.org/2001/XInclude"
+                href="include/upstream.xml" />
+
+    <refmeta>
+        <refentrytitle>pam_sss_gss</refentrytitle>
+        <manvolnum>8</manvolnum>
+    </refmeta>
+
+    <refnamediv id='name'>
+        <refname>pam_sss_gss</refname>
+        <refpurpose>модуль PAM для розпізнавання за GSSAPI у SSSD</refpurpose>
+    </refnamediv>
+
+    <refsynopsisdiv id='synopsis'>
+        <cmdsynopsis>
+<command>pam_sss_gss.so</command> <arg choice='opt'>
+<replaceable>debug</replaceable> </arg></cmdsynopsis>
+    </refsynopsisdiv>
+
+    <refsect1 id='description'>
+        <title>ОПИС</title>
+        <para>
+            <command>pam_sss_gss.so</command> розпізнає користувача за допомогою GSSAPI
+у поєднанні із SSSD.
+        </para>
+        <para>
+            Цей модуль намагатиметься виконати розпізнавання користувача за допомогою
+служби на основі вузла GSSAPI із назвою вузол@назва_вузла, яка транслюватиме
+дані до реєстраційного запису Kerberos вузол/назва_вузла@ОБЛАСТЬ. Частину
+<emphasis>ОБЛАСТЬ</emphasis> назви реєстраційного запису Kerberos буде
+визначено за внутрішніми механізмами Kerberos. Її можна встановити явним
+чином у налаштуваннях розділу [domain_realm] у /etc/krb5.conf.
+        </para>
+        <para>
+            SSSD використовується для отримання бажаної назви служби і для перевірки
+реєстраційних даних користувача за допомогою викликів GSSAPI. Якщо у кеші
+реєстраційних даних Kerberos вже є квиток служби або якщо похідний квиток
+квитка користувача можна використати для отримання належного квитка служби,
+користувача буде розпізнано.
+        </para>
+        <para>
+            Якщо <option>pam_gssapi_check_upn</option> матиме значення True (типове
+значення), SSSD вимагатиме, щоб реєстраційні дані, які використовуватимуться
+для отримання квитків служби, можна було пов'язати із користувачем. Це
+означає, що реєстраційний запис, який є власником реєстраційних даних
+Kerberos, має відповідати назві реєстраційного запису користувача, яку
+визначено у LDAP.
+        </para>
+        <para>
+            Щоб увімкнути розпізнавання GSSAPI у SSSD, встановіть значення
+<option>pam_gssapi_services</option> у розділі [pam] або домену в
+sssd.conf. Реєстраційні дані служби має бути збережено у сховищі ключів SSSD
+(його вже збережено там, якщо ви користуєтеся надавачем даних ipa або
+ad). Розташування сховища ключів можна встановити за допомогою параметра
+<option>krb5_keytab</option>. Див. <citerefentry>
+<refentrytitle>sssd.conf</refentrytitle> <manvolnum>5</manvolnum>
+</citerefentry> і <citerefentry> <refentrytitle>sssd-krb5</refentrytitle>
+<manvolnum>5</manvolnum> </citerefentry>, щоб дізнатися більше про ці
+параметри.
+        </para>
+        <para>
+            Деякі розгорнуті екземпляри Kerberos дозволяють пов'язувати індикатори
+розпізнавання із певним методом попереднього розпізнавання, який
+використовується для отримання квитка, який надає квиток користувача.
+<command>pam_sss_gss.so</command> надає змогу примусово встановити потребу у
+наявності індикаторів розпізнавання у квитках служби, перш ніж буде надано
+доступ до певної служби PAM.
+        </para>
+        <para>
+            Якщо <option>pam_gssapi_indicators_map</option> встановлено у розділі [pam]
+або домену sssd.conf, SSSD виконає перевірку наявності будь-яких
+налаштованих індикаторів у квитку служби.
+        </para>
+    </refsect1>
+
+    <refsect1 id='options'>
+        <title>ПАРАМЕТРИ</title>
+        <variablelist remap='IP'>
+            <varlistentry>
+                <term>
+                    <option>debug</option>
+                </term>
+                <listitem>
+                    <para>Вивести діагностичні дані.</para>
+                </listitem>
+            </varlistentry>
+        </variablelist>
+    </refsect1>
+
+    <refsect1 id='module_types_provides'>
+        <title>ПЕРЕДБАЧЕНІ ТИПИ МОДУЛІВ</title>
+        <para>Передбачено лише тип модулів <option>auth</option></para>
+    </refsect1>
+
+    <refsect1 id="return_values">
+        <title>ПОВЕРНЕНІ ЗНАЧЕННЯ</title>
+        <variablelist>
+            <varlistentry>
+                <term>PAM_SUCCESS</term>
+                <listitem>
+                    <para>
+                        Дію PAM завершено успішно.
+                    </para>
+                </listitem>
+            </varlistentry>
+            <varlistentry>
+                <term>PAM_USER_UNKNOWN</term>
+                <listitem>
+                    <para>
+                        Користувач є невідомим службі розпізнавання або підтримки розпізнавання за
+GSSAPI не передбачено.
+                    </para>
+                </listitem>
+            </varlistentry>
+            <varlistentry>
+                <term>PAM_AUTH_ERR</term>
+                <listitem>
+                    <para>
+                        Помилка під час спроби розпізнавання.
+                    </para>
+                </listitem>
+            </varlistentry>
+            <varlistentry>
+                <term>PAM_AUTHINFO_UNAVAIL</term>
+                <listitem>
+                    <para>
+                        Не вдалося отримати доступ до даних щодо розпізнавання. Причиною може бути
+помилка у роботі мережі або обладнання.
+                    </para>
+                </listitem>
+            </varlistentry>
+            <varlistentry>
+                <term>PAM_SYSTEM_ERR</term>
+                <listitem>
+                    <para>
+                        Сталася загальносистемна помилка. Додаткові відомості щодо помилки можуть
+міститися у файлах журналів SSSD.
+                    </para>
+                </listitem>
+            </varlistentry>
+        </variablelist>
+    </refsect1>
+
+    <refsect1 id='examples'>
+        <title>ПРИКЛАДИ</title>
+        <para>
+            Основним випадком використання є забезпечення розпізнавання без пароля у
+sudo, але без потреби у повному вимиканні розпізнавання. Для досягнення
+потрібного результату спочатку увімкніть розпізнавання за GSSAPI для sudo в
+sssd.conf:
+        </para>
+        <programlisting>
+[domain/MYDOMAIN]
+pam_gssapi_services = sudo, sudo-i
+        </programlisting>
+        <para>
+            Потім увімкніть модуль у бажаному стосі PAM (наприклад у /etc/pam.d/sudo і
+/etc/pam.d/sudo-i).
+        </para>
+        <programlisting>
+...
+auth sufficient pam_sss_gss.so
+...
+        </programlisting>
+    </refsect1>
+
+    <refsect1 id='troubleshooting'>
+        <title>ДІАГНОСТИКА</title>
+        <para>
+            У журналі SSSD, діагностичних повідомленнях pam_sss_gss та syslog можуть
+міститися корисні дані щодо помилки. Ось деякі з типових проблем:
+        </para>
+        <para>
+            1. Встановлено змінну середовища KRB5CCNAME, а розпізнавання не працює:
+залежно від вашої версії sudo, можливо, sudo не передає цю змінну до
+середовища PAM. Спробуйте додати KRB5CCNAME до <option>env_keep</option> в
+/etc/sudoers або до типових параметрів у ваших правилах sudo для LDAP.
+        </para>
+        <para>
+            2. Розпізнавання не працює, а у syslog міститься повідомлення «Server not
+found in Kerberos database»: Kerberos, ймовірно, не може визначити належну
+область для квитка служби на основі назви вузла. Спробуйте додати назву
+вузла безпосередньо у розділ <option>[domain_realm]</option> в
+/etc/krb5.conf, ось так:
+        </para>
+        <para>
+            3. Розпізнавання не працює, а у syslog міститься повідомлення «No Kerberos
+credentials available»: у вас немає реєстраційних даних, якими можна було б
+скористатися для отримання потрібного квитка служби. Скористайтеся kinit або
+пройдіть розпізнавання за допомогою SSSD, щоб отримати відповідні
+реєстраційні дані.
+        </para>
+        <para>
+            4. Розпізнавання не працює, а у журналі sssd-pam SSSD міститься повідомлення
+«User with UPN [$UPN] was not found.» або «UPN [$UPN] does not match target
+user [$username].»: ви використовуєте реєстраційні дані, які не можна
+пов'язати із користувачем, розпізнавання якого відбувається. Спробуйте
+скористатися kswitch для вибору іншого реєстраційного запису, переконайтеся,
+що вас розпізнано за допомогою засобів SSSD або спробуйте вимкнути
+<option>pam_gssapi_check_upn</option>.
+        </para>
+        <programlisting>
+[domain_realm]
+.myhostname = MYREALM
+        </programlisting>
+    </refsect1>
+
+    <xi:include xmlns:xi="http://www.w3.org/2001/XInclude" href="include/seealso.xml" />
+
+</refentry>
+</reference>
diff --git a/src/man/uk/sss-certmap.5.xml b/src/man/uk/sss-certmap.5.xml
new file mode 100644
index 0000000..c9807bf
--- /dev/null
+++ b/src/man/uk/sss-certmap.5.xml
@@ -0,0 +1,767 @@
+<?xml version="1.0" encoding="UTF-8"?>
+<!DOCTYPE reference PUBLIC "-//OASIS//DTD DocBook V4.4//EN"
+"http://www.oasis-open.org/docbook/xml/4.4/docbookx.dtd">
+<reference>
+<title>Сторінки підручника SSSD</title>
+<refentry>
+    <xi:include xmlns:xi="http://www.w3.org/2001/XInclude" href="include/upstream.xml" />
+
+    <refmeta>
+        <refentrytitle>sss-certmap</refentrytitle>
+        <manvolnum>5</manvolnum>
+        <refmiscinfo class="manual">Формати файлів та правила</refmiscinfo>
+    </refmeta>
+
+    <refnamediv id='name'>
+        <refname>sss-certmap</refname>
+        <refpurpose>Правила встановлення відповідності і прив'язування сертифікатів SSSD</refpurpose>
+    </refnamediv>
+
+    <refsect1 id='description'>
+        <title>ОПИС</title>
+        <para>
+            На цій сторінці підручника описано правила, якими можна скористатися у SSSD
+та інших компонентах для встановлення відповідності сертифікатів X.509 та
+прив'язування їх до облікових записів.
+        </para>
+        <para>
+            У кожного правила чотири компоненти — <quote>пріоритетність</quote>,
+<quote>правило встановлення відповідності</quote>, <quote>правило
+прив'язки</quote> і <quote>список доменів</quote>. Усі компоненти є
+необов'язковими. Якщо не вказано <quote>пріоритетність</quote>, буде додано
+правило із найнижчою пріоритетністю. Типове <quote>правило встановлення
+відповідності</quote> встановлює відповідність сертифікатів із використанням
+ключів digitalSignature і розширеним використанням ключів clientAuth. Якщо
+<quote>правило прив'язки</quote> є порожнім, сертифікати шукатимуться у
+атрибуті userCertificate у форматі закодованих двійкових даних DER. Якщо не
+буде вказано доменів, пошук відбуватиметься у локальному домені.
+        </para>
+        <para>
+            Щоб дозволити розширення або зовсім інший стиль правила,
+<quote>прив'язки</quote> та <quote>правила відповідності</quote> можуть
+містити префікс відокремлений символом «:» від основної частини
+правила. Префікс може містити лише літери верхнього регістру ASCII і
+цифри. Якщо префікс пропущено, буде використано стандартний тип, яким є
+«KRB5» для правил відповідності і «LDAP» для правил прив'язки.
+        </para>
+        <para>
+            Допоміжна програма «sssctl» надає доступ до команди «cert-eval-rule», яку
+призначено для перевірки, чи відповідає вказаний сертифікат правилам
+відповідності, і визначає, як виглядатиме виведення правила прив'язки.
+        </para>
+    </refsect1>
+
+    <refsect1 id='components'>
+        <title>КОМПОНЕНТИ ПРАВИЛ</title>
+    <refsect2 id='priority'>
+        <title>ПРІОРИТЕТНІСТЬ</title>
+        <para>
+            Правила оброблятимуться за пріоритетністю, номер «0» (нуль) відповідає
+найвищому рівню пріоритетності. Чим більшим є значення, тим нижчою є
+пріоритетність. Якщо значення не вказано, пріоритетність вважається
+найнижчою. Обробку правил буде зупинено, якщо вдасться знайти відповідність
+правилу, подальші правила не оброблятимуться.
+        </para>
+        <para>
+            На внутрішньому рівні пріоритетність визначається 32-бітовим цілим числом
+без знаку. Використання значення пріоритетності, що перевищує 4294967295,
+призводитиме до виведення повідомлення про помилку.
+        </para>
+        <para>
+            Якщо однакову пріоритетність мають декілька правил, а застосовувати можна
+лише одне із пов'язаних відповідних правил, буде вибрано це правило. Якщо
+існує декілька відповідних правил із однаковою пріоритетністю, буде вибрано
+одне, але яке само не визначено. Щоб уникнути цієї невизначеної поведінки
+або використовуйте різні пріоритетності, або зробіть правила відповідності
+специфічнішими, наприклад, скориставшись явними взірцями &lt;ISSUER&gt;.
+        </para>
+    </refsect2>
+    <refsect2 id='match'>
+        <title>ПРАВИЛО ВІДПОВІДНОСТІ</title>
+        <para>
+            Правило встановлення відповідності використовується для вибору сертифіката,
+до якого слід застосовувати правило прив'язки. У цьому використовується
+система, подібна до використаної у параметрі
+<quote>pkinit_cert_match</quote> Kerberos MIT. Правило складається з
+ключового слова між символами «&lt;» і «&gt;», яке визначає певну частину
+сертифіката, і взірцем, який має бути знайдено, для встановлення
+відповідності правила. Декілька пар ключове слово-взірець можна сполучати за
+допомогою логічних операторів «&amp;&amp;» (та) або «&#124;&#124;» (або).
+        </para>
+        <para>
+            Якщо задано подібність до MIT Kerberos, префіксом для цього правила є
+«KRB5». Втім, «KRB5» також буде типовим для <quote>правил
+відповідності</quote>, тому «&lt;SUBJECT&gt;.*,DC=MY,DC=DOMAIN» і
+«KRB5:&lt;SUBJECT&gt;.*,DC=MY,DC=DOMAIN» є рівнозначними.
+        </para>
+        <para>
+            Доступні варіанти: <variablelist>
+                <varlistentry>
+                    <term>&lt;SUBJECT&gt;формальний-вираз</term>
+                    <listitem>
+                    <para>
+                        За допомогою цього компонент можна встановлювати відповідність частини або
+усього запису призначення. Для встановлення відповідності використовується
+синтаксис розширених формальних виразів POSIX. Докладніший опис синтаксису
+можна знайти на сторінці підручника regex(7).
+                    </para>
+                    <para>
+                        Для встановлення відповідності запис призначення, що зберігається у
+сертифікаті у форматі кодованого DER ASN.1, буде перетворено на текстовий
+рядок відповідно до RFC 4514. Це означає, що першою у рядку буде
+найспецифічніша компонента. Будь ласка, зауважте, що у RFC 4514 описано не
+усі можливі назви атрибутів. Включеними вважаються такі назви: «CN», «L»,
+«ST», «O», «OU», «C», «STREET», «DC» і «UID». Назви інших атрибутів може
+бути показано у різний спосіб на різних платформах і у різних
+інструментах. Щоб уникнути двозначностей, не варто використовувати ці
+атрибути і вживати їх у відповідних формальних виразах.
+                    </para>
+                    <para>
+                        Приклад: &lt;SUBJECT&gt;.*,DC=MY,DC=DOMAIN
+                    </para>
+                    <para>
+                        Будь ласка, зауважте, що символи «^.[$()|*+?{\» мають спеціальне значення у
+формальних виразах, тому їх має бути екрановано за допомогою символу «\»,
+щоб програма сприймала їх як звичайні символи.
+                    </para>
+                    <para>
+                        Приклад: &lt;SUBJECT&gt;^CN=.* \(Admin\),DC=MY,DC=DOMAIN$
+                    </para>
+                    </listitem>
+                </varlistentry>
+                <varlistentry>
+                    <term>&lt;ISSUER&gt;формальний-вираз</term>
+                    <listitem>
+                    <para>
+                        За допомогою цього компонент можна встановлювати відповідність частини або
+усього запису видавця. Цього запису стосуються усі коментарі щодо
+&lt;SUBJECT&gt;.
+                    </para>
+                    <para>
+                        Приклад: &lt;ISSUER&gt;^CN=My-CA,DC=MY,DC=DOMAIN$
+                    </para>
+                    </listitem>
+                </varlistentry>
+                <varlistentry>
+                    <term>&lt;KU&gt;використання-ключа</term>
+                    <listitem>
+                    <para>
+                        За допомогою цього параметра можна визначити значення використання ключа,
+які повинен містити сертифікат. У списку значень, відокремлених комами,
+можна використовувати такі значення:
+                        <itemizedlist>
+                            <listitem><para>digitalSignature</para></listitem>
+                            <listitem><para>nonRepudiation</para></listitem>
+                            <listitem><para>keyEncipherment</para></listitem>
+                            <listitem><para>dataEncipherment</para></listitem>
+                            <listitem><para>keyAgreement</para></listitem>
+                            <listitem><para>keyCertSign</para></listitem>
+                            <listitem><para>cRLSign</para></listitem>
+                            <listitem><para>encipherOnly</para></listitem>
+                            <listitem><para>decipherOnly</para></listitem>
+                        </itemizedlist>
+                    </para>
+                    <para>
+                        Для спеціальних випадків можна також використати числове значення у
+діапазоні 32-бітових цілих чисел без знаку.
+                    </para>
+                    <para>
+                        Приклад: &lt;KU&gt;digitalSignature,keyEncipherment
+                    </para>
+                    </listitem>
+                </varlistentry>
+                <varlistentry>
+                    <term>&lt;EKU&gt;розширене-використання-ключа</term>
+                    <listitem>
+                    <para>
+                        За допомогою цього параметра можна визначити значення розширеного
+використання ключа, які повинен містити сертифікат. У списку значень,
+відокремлених комами, можна використовувати такі значення:
+                        <itemizedlist>
+                            <listitem><para>serverAuth</para></listitem>
+                            <listitem><para>clientAuth</para></listitem>
+                            <listitem><para>codeSigning</para></listitem>
+                            <listitem><para>emailProtection</para></listitem>
+                            <listitem><para>timeStamping</para></listitem>
+                            <listitem><para>OCSPSigning</para></listitem>
+                            <listitem><para>KPClientAuth</para></listitem>
+                            <listitem><para>pkinit</para></listitem>
+                            <listitem><para>msScLogin</para></listitem>
+                        </itemizedlist>
+                    </para>
+                    <para>
+                        Розширені використання ключа, які не потрапили до вказаного вище списку,
+можна визначити за допомогою їхнього OID у точково-десятковому позначенні.
+                    </para>
+                    <para>
+                        Приклад: &lt;EKU&gt;clientAuth,1.3.6.1.5.2.3.4
+                    </para>
+                    </listitem>
+                </varlistentry>
+                <varlistentry>
+                    <term>&lt;SAN&gt;формальний-вираз</term>
+                    <listitem>
+                    <para>
+                        Для сумісності із використанням Kerberos MIT цей параметр встановлюватиме
+відповідність реєстраційних даних Kerberos у PKINIT або AD NT Principal SAN
+так, як це робить &lt;SAN:Principal&gt;.
+                    </para>
+                    <para>
+                        Приклад: &lt;SAN&gt;.*@MY\.REALM
+                    </para>
+                    </listitem>
+                </varlistentry>
+                <varlistentry>
+                    <term>&lt;SAN:Principal&gt;формальний-вираз</term>
+                    <listitem>
+                    <para>
+                        Встановити відповідність реєстраційних даних Kerberos у PKINIT або AD NT
+Principal SAN.
+                    </para>
+                    <para>
+                        Приклад: &lt;SAN:Principal&gt;.*@MY\.REALM
+                    </para>
+                    </listitem>
+                </varlistentry>
+                <varlistentry>
+                    <term>&lt;SAN:ntPrincipalName&gt;формальний-вираз</term>
+                    <listitem>
+                    <para>
+                        Встановити відповідність реєстраційних даних Kerberos з AD NT Principal SAN.
+                    </para>
+                    <para>
+                        Приклад: &lt;SAN:ntPrincipalName&gt;.*@MY.AD.REALM
+                    </para>
+                    </listitem>
+                </varlistentry>
+                <varlistentry>
+                    <term>&lt;SAN:pkinit&gt;формальний-вираз</term>
+                    <listitem>
+                    <para>
+                        Встановити відповідність реєстраційних даних Kerberos з SAN PKINIT.
+                    </para>
+                    <para>
+                        Приклад: &lt;SAN:ntPrincipalName&gt;.*@MY\.PKINIT\.REALM
+                    </para>
+                    </listitem>
+                </varlistentry>
+                <varlistentry>
+                    <term>&lt;SAN:dotted-decimal-oid&gt;формальний-вираз</term>
+                    <listitem>
+                    <para>
+                        Отримати значення компонента SAN otherName, яке задано OID у
+крапково-десятковому позначенні, обробити його як рядок і спробувати
+встановити відповідність формальному виразу.
+                    </para>
+                    <para>
+                        Приклад: &lt;SAN:1.2.3.4&gt;test
+                    </para>
+                    </listitem>
+                </varlistentry>
+                <varlistentry>
+                    <term>&lt;SAN:otherName&gt;base64-string</term>
+                    <listitem>
+                    <para>
+                        Виконати спробу встановлення двійкової відповідності блоку у кодуванні
+base64 із усіма компонентами SAN otherName. За допомогою цього параметра
+можна встановлювати відповідність із нетиповими компонентами otherName із
+особливими кодуваннями, які не можна обробляти як рядки.
+                    </para>
+                    <para>
+                        Приклад: &lt;SAN:otherName&gt;MTIz
+                    </para>
+                    </listitem>
+                </varlistentry>
+                <varlistentry>
+                    <term>&lt;SAN:rfc822Name&gt;формальний-вираз</term>
+                    <listitem>
+                    <para>
+                        Встановити відповідність значення SAN rfc822Name.
+                    </para>
+                    <para>
+                        Приклад: &lt;SAN:rfc822Name&gt;.*@email\.domain
+                    </para>
+                    </listitem>
+                </varlistentry>
+                <varlistentry>
+                    <term>&lt;SAN:dNSName&gt;формальний-вираз</term>
+                    <listitem>
+                    <para>
+                        Встановити відповідність значення SAN dNSName.
+                    </para>
+                    <para>
+                        Приклад: &lt;SAN:dNSName&gt;.*\.my\.dns\.domain
+                    </para>
+                    </listitem>
+                </varlistentry>
+                <varlistentry>
+                    <term>&lt;SAN:x400Address&gt;рядок-base64</term>
+                    <listitem>
+                    <para>
+                        Встановити двійкову відповідність значення SAN x400Address.
+                    </para>
+                    <para>
+                        Приклад: &lt;SAN:x400Address&gt;MTIz
+                    </para>
+                    </listitem>
+                </varlistentry>
+                <varlistentry>
+                    <term>&lt;SAN:directoryName&gt;формальний-вираз</term>
+                    <listitem>
+                    <para>
+                        Встановити відповідність значення SAN directoryName. Цього параметра
+стосуються ті самі коментарі, які було вказано для параметрів &lt;ISSUER&gt;
+та &lt;SUBJECT&gt;.
+                    </para>
+                    <para>
+                        Приклад: &lt;SAN:directoryName&gt;.*,DC=com
+                    </para>
+                    </listitem>
+                </varlistentry>
+                <varlistentry>
+                    <term>&lt;SAN:ediPartyName&gt;рядок-base64</term>
+                    <listitem>
+                    <para>
+                        Встановити двійкову відповідність значення SAN ediPartyName.
+                    </para>
+                    <para>
+                        Приклад: &lt;SAN:ediPartyName&gt;MTIz
+                    </para>
+                    </listitem>
+                </varlistentry>
+                <varlistentry>
+                    <term>&lt;SAN:uniformResourceIdentifier&gt;формальний-вираз</term>
+                    <listitem>
+                    <para>
+                        Встановити відповідність значення SAN uniformResourceIdentifier.
+                    </para>
+                    <para>
+                        Приклад: &lt;SAN:uniformResourceIdentifier&gt;URN:.*
+                    </para>
+                    </listitem>
+                </varlistentry>
+                <varlistentry>
+                    <term>&lt;SAN:iPAddress&gt;формальний-вираз</term>
+                    <listitem>
+                    <para>
+                        Встановити відповідність значення SAN iPAddress.
+                    </para>
+                    <para>
+                        Приклад: &lt;SAN:iPAddress&gt;192\.168\..*
+                    </para>
+                    </listitem>
+                </varlistentry>
+                <varlistentry>
+                    <term>&lt;SAN:registeredID&gt;формальний-вираз</term>
+                    <listitem>
+                    <para>
+                        Встановити значення SAN registeredID у форматі точково-десяткового рядка.
+                    </para>
+                    <para>
+                        Приклад: &lt;SAN:registeredID&gt;1\.2\.3\..*
+                    </para>
+                    </listitem>
+                </varlistentry>
+            </variablelist>
+        </para>
+    </refsect2>
+    <refsect2 id='map'>
+        <title>ПРАВИЛО ПРИВʼЯЗУВАННЯ</title>
+        <para>
+            Правило прив'язки використовується для пов'язування сертифіката із одним або
+декількома обліковими записами. Далі, смарткарткою із сертифікатом та
+відповідним закритим ключем можна скористатися для розпізнавання за одним з
+цих облікових записів.
+        </para>
+        <para>
+            У поточній версії SSSD на базовому рівні підтримує пошук даних користувачів
+лише у LDAP (винятком є лише засіб надання проксі, який у цьому контексті є
+недоречним). Через це правило прив'язки засновано на синтаксисі фільтрування
+пошуку LDAP з шаблонами для додавання вмісту сертифікатів до
+фільтра. Очікується, що цей фільтр міститиме лише специфічні дані, потрібні
+для прив'язки, яку функція виклику вбудовуватиме до іншого фільтра для
+виконання справжнього пошуку. Через це рядок фільтрування має починатися із
+завершуватися «(» і «)», відповідно.
+        </para>
+        <para>
+            Загалом, рекомендується використовувати атрибути з сертифіката і додати їх
+до спеціальних атрибутів об'єкта користувача LDAP. Наприклад, можна
+скористатися атрибутом «altSecurityIdentities» у AD або атрибутом
+«ipaCertMapData» для IPA.
+        </para>
+        <para>
+            Бажаним шляхом є читання із сертифіката специфічних для користувача даних,
+наприклад адреси електронної пошти, і пошук цих даних на сервері
+LDAP. Причиною є те, що специфічні для користувача дані у LDAP можу бути з
+різних причин змінено, що розірве прив'язку. З іншого боку, якщо
+скористатися бажаним шляхом, розірвати прив'язку буде важко.
+        </para>
+	<para>
+            Стандартним типом <quote>правила прив'язки</quote> є «LDAP». Цей запис може
+бути додано як префікс до правила. Ось так, наприклад:
+«LDAP:(userCertificate;binary={cert!bin})». Передбачено розширення, яке має
+назву «LDAPU1», і яке надає додаткові шаблони для збільшення гнучкості. Щоб
+дозволити застарілим версіям цієї бібліотеки ігнорувати розширення, при
+використанні нових шаблонів у <quote>правилі прив'язки</quote> має бути
+використано префікс «LDAPU1», інакше роботу застарілої версії цієї
+бібліотеки буде завершено із повідомленням про помилку при обробці вхідних
+даних. Нові шаблони описано у розділі <xref linkend="map_ldapu1"/>.
+        </para>
+        <para>
+            Шаблони для додавання даних сертифікатів до фільтра пошуку засновано на
+рядках форматування у стилі Python. Воли складаються з ключового слова у
+фігурних дужках із додатковим підкомпонентом-специфікатором, відокремленим
+«.», або додатковим параметром перетворення-форматування, відокремленим
+«!». Дозволені значення: <variablelist>
+                <varlistentry>
+                    <term>{issuer_dn[!((ad|ad_x500)|ad_ldap|nss_x500|(nss|nss_ldap))]}</term>
+                    <listitem>
+                    <para>
+                        Цей шаблон додасть повний DN видавця, перетворений на рядок відповідно до
+RFC 4514. Якщо використано упорядковування X.500 (найспецифічніший RDN
+стоїть останнім), буде використано параметр із префіксом «_x500».
+                    </para>
+                    <para>
+                        У варіантах перетворення, назви яких починаються з «ad_»,
+використовуватимуться назви атрибутів, які використовуються AD, наприклад
+«S», замість «ST».
+                    </para>
+                    <para>
+                        У варіантах перетворення, назви яких починаються з «nss_»,
+використовуватимуться назви атрибутів, які використовуються NSS.
+                    </para>
+                    <para>
+                        Типовим варіантом перетворення є «nss», тобто назви атрибутів відповідно до
+NSS і упорядковування за LDAP/RFC 4514.
+                    </para>
+                    <para>
+                        Приклад:
+(ipacertmapdata=X509:&lt;I&gt;{issuer_dn!ad}&lt;S&gt;{subject_dn!ad})
+                    </para>
+                    </listitem>
+                </varlistentry>
+                <varlistentry>
+                    <term>{subject_dn[!((ad|ad_x500)|ad_ldap|nss_x500|(nss|nss_ldap))]}</term>
+                    <listitem>
+                    <para>
+                        Цей шаблон додасть повний DN призначення, перетворений на рядок відповідно
+до RFC 4514. Якщо використано упорядковування X.500 (найспецифічніший RDN
+стоїть останнім), буде використано параметр із префіксом «_x500».
+                    </para>
+                    <para>
+                        У варіантах перетворення, назви яких починаються з «ad_»,
+використовуватимуться назви атрибутів, які використовуються AD, наприклад
+«S», замість «ST».
+                    </para>
+                    <para>
+                        У варіантах перетворення, назви яких починаються з «nss_»,
+використовуватимуться назви атрибутів, які використовуються NSS.
+                    </para>
+                    <para>
+                        Типовим варіантом перетворення є «nss», тобто назви атрибутів відповідно до
+NSS і упорядковування за LDAP/RFC 4514.
+                    </para>
+                    <para>
+                        Приклад:
+(ipacertmapdata=X509:&lt;I&gt;{issuer_dn!nss_x500}&lt;S&gt;{subject_dn!nss_x500})
+                    </para>
+                    </listitem>
+                </varlistentry>
+                <varlistentry>
+                    <term>{cert[!(bin|base64)]}</term>
+                    <listitem>
+                    <para>
+                        Цей шаблон додасть увесь сертифікат у кодуванні DER як рядок до фільтра
+пошуку. Залежно від параметра перетворення, двійковий сертифікат або буде
+преетворено на екрановану послідовність шістнадцяткових чисел у форматі
+«\xx», або на код base64. Типовим варіантом є екранована шістнадцяткова
+послідовність, її може бути, наприклад, використано з атрибутом LDAP
+«userCertificate;binary».
+                    </para>
+                    <para>
+                        Приклад: (userCertificate;binary={cert!bin})
+                    </para>
+                    </listitem>
+                </varlistentry>
+                <varlistentry>
+                    <term>{subject_principal[.short_name]}</term>
+                    <listitem>
+                    <para>
+                        Цей шаблон додасть реєстраційні дані Kerberos, які буде взято або з SAN,
+який використовується pkinit, або з реєстраційних даних AD. Компонент
+«short_name» відповідає першій частині реєстраційного запису до символу «@».
+                    </para>
+                    <para>
+                        Приклад:
+(|(userPrincipal={subject_principal})(samAccountName={subject_principal.short_name}))
+                    </para>
+                    </listitem>
+                </varlistentry>
+                <varlistentry>
+                    <term>{subject_pkinit_principal[.short_name]}</term>
+                    <listitem>
+                    <para>
+                        Цей шаблон додасть реєстраційні дані Kerberos, які буде передано SAN, що
+використовується pkinit. Компонент «short_name» відповідає першій частині
+реєстраційного запису до символу «@».
+                    </para>
+                    <para>
+                        Приклад:
+(|(userPrincipal={subject_pkinit_principal})(uid={subject_pkinit_principal.short_name}))
+                    </para>
+                    </listitem>
+                </varlistentry>
+                <varlistentry>
+                    <term>{subject_nt_principal[.short_name]}</term>
+                    <listitem>
+                    <para>
+                        Цей шаблон додасть реєстраційні дані Kerberos, які буде передано SAN, що
+використовується AD. Компонент «short_name» відповідає першій частині
+реєстраційного запису до символу «@».
+                    </para>
+                    <para>
+                        Приклад:
+(|(userPrincipalName={subject_nt_principal})(samAccountName={subject_nt_principal.short_name}))
+                    </para>
+                    </listitem>
+                </varlistentry>
+                <varlistentry>
+                    <term>{subject_rfc822_name[.short_name]}</term>
+                    <listitem>
+                    <para>
+                        Цей шаблон додасть рядок, який зберігається у компоненті rfc822Name SAN,
+типово, адресу електронної пошти. Компонент «short_name» відповідає першій
+частині адреси до символу «@».
+                    </para>
+                    <para>
+                        Приклад:
+(|(mail={subject_rfc822_name})(uid={subject_rfc822_name.short_name}))
+                    </para>
+                    </listitem>
+                </varlistentry>
+                <varlistentry>
+                    <term>{subject_dns_name[.short_name]}</term>
+                    <listitem>
+                    <para>
+                        Цей шаблон додасть рядок, який зберігається у компоненті dNSName SAN,
+типово, повну назву вузла. Компонент «short_name» відповідає першій частині
+назви до першого символу «.».
+                    </para>
+                    <para>
+                        Приклад: (|(fqdn={subject_dns_name})(host={subject_dns_name.short_name}))
+                    </para>
+                    </listitem>
+                </varlistentry>
+                <varlistentry>
+                    <term>{subject_uri}</term>
+                    <listitem>
+                    <para>
+                        Цей шаблон додає рядок, який зберігається у компоненті
+uniformResourceIdentifier SAN.
+                    </para>
+                    <para>
+                        Приклад: (uri={subject_uri})
+                    </para>
+                    </listitem>
+                </varlistentry>
+                <varlistentry>
+                    <term>{subject_ip_address}</term>
+                    <listitem>
+                    <para>
+                        Цей шаблон додає рядок, який зберігається у компоненті iPAddress SAN.
+                    </para>
+                    <para>
+                        Приклад: (ip={subject_ip_address})
+                    </para>
+                    </listitem>
+                </varlistentry>
+                <varlistentry>
+                    <term>{subject_x400_address}</term>
+                    <listitem>
+                    <para>
+                        Цей шаблон додає значення, яке зберігається у компоненті x400Address SAN як
+послідовність екранованих шістнадцяткових чисел.
+                    </para>
+                    <para>
+                        Приклад: (attr:binary={subject_x400_address})
+                    </para>
+                    </listitem>
+                </varlistentry>
+                <varlistentry>
+                    <term>{subject_directory_name[!((ad|ad_x500)|ad_ldap|nss_x500|(nss|nss_ldap))]}</term>
+                    <listitem>
+                    <para>
+                        Цей шаблон додасть рядок DN значення, яке зберігається у компоненті
+directoryName SAN.
+                    </para>
+                    <para>
+                        Приклад: (orig_dn={subject_directory_name})
+                    </para>
+                    </listitem>
+                </varlistentry>
+                <varlistentry>
+                    <term>{subject_ediparty_name}</term>
+                    <listitem>
+                    <para>
+                        Цей шаблон додає значення, яке зберігається у компоненті ediPartyName SAN як
+послідовність екранованих шістнадцяткових чисел.
+                    </para>
+                    <para>
+                        Приклад: (attr:binary={subject_ediparty_name})
+                    </para>
+                    </listitem>
+                </varlistentry>
+                <varlistentry>
+                    <term>{subject_registered_id}</term>
+                    <listitem>
+                    <para>
+                        Цей шаблон додає OID, який зберігається у компоненті registeredID SAN у
+форматі точково-десяткового рядка.
+                    </para>
+                    <para>
+                        Приклад: (oid={subject_registered_id})
+                    </para>
+                    </listitem>
+                </varlistentry>
+            </variablelist>
+        </para>
+    <refsect3 id='map_ldapu1'>
+        <title>Розширення LDAPU1</title>
+        <para>
+            При використанні розширення LDAPU1 можна скористатися такими шаблонами:
+        </para>
+        <para>
+            <variablelist>
+                <varlistentry>
+                    <term>{serial_number[!(dec|hex[_ucr])]}</term>
+                    <listitem>
+                    <para>
+                        Цей шаблон додасть серійний номер сертифіката. Типово, його буде надруковано
+як шістнадцяткове число літерами нижнього регістру.
+                    </para>
+                    <para>
+                        Якщо використано параметр форматування «!dec», число буде виведено як
+десятковий рядок. Виведені шістнадцяткові дані може бути показано за
+допомогою літер верхнього регістру («!hex_u»), із двокрапкою, що відокремлює
+шістнадцяткові байти («!hex_c»), або із шістнадцятковими байтами у
+зворотному порядку («!hex_r»). Літер постфікса може бути поєднано, отже,
+наприклад, «!hex_uc» призведе до виведення відокремленого двокрапками
+шістнадцяткового рядка із літер верхнього регістру.
+                    </para>
+                    <para>
+                        Приклад: LDAPU1:(serial={серійний_номер})
+                    </para>
+                    </listitem>
+                </varlistentry>
+
+                <varlistentry>
+                    <term>{subject_key_id[!hex[_ucr]]}</term>
+                    <listitem>
+                    <para>
+                        Цей шаблон додасть ідентифікатор ключа призначення сертифіката. Типово, його
+буде надруковано як шістнадцяткове число літерами нижнього регістру.
+                    </para>
+                    <para>
+                        Виведені шістнадцяткові дані може бути показано за допомогою літер верхнього
+регістру («!hex_u»), із двокрапкою, що відокремлює шістнадцяткові байти
+(«!hex_c»), або із шістнадцятковими байтами у зворотному порядку
+(«!hex_r»). Літер постфікса може бути поєднано, отже, наприклад, «!hex_uc»
+призведе до виведення відокремленого двокрапками шістнадцяткового рядка із
+літер верхнього регістру.
+                    </para>
+                    <para>
+                        Приклад: LDAPU1:(ski={ідентифікатор_ключа_призначення})
+                    </para>
+                    </listitem>
+                </varlistentry>
+
+                <varlistentry>
+                    <term>{cert[!DIGEST[_ucr]]}</term>
+                    <listitem>
+                    <para>
+                        Цей шаблон додає шістнадцяткову контрольну суму або хеш до
+сертифіката. Запис DIGEST має бути замінено назвою функції контрольної суми
+або хешу, підтримку яких передбачено у OpenSSL, наприклад «sha512».
+                    </para>
+                    <para>
+                        Виведені шістнадцяткові дані може бути показано за допомогою літер верхнього
+регістру («!sha512_u»), із двокрапкою, що відокремлює шістнадцяткові байти
+(«!sha512_c»), або із шістнадцятковими байтами у зворотному порядку
+(«!sha512_r») Літер постфікса може бути поєднано, отже, наприклад,
+«!sha512_uc» призведе до виведення відокремленого двокрапками
+шістнадцяткового рядка із літер верхнього регістру.
+                    </para>
+                    <para>
+                        Приклад: LDAPU1:(dgst={cert!sha256})
+                    </para>
+                    </listitem>
+                </varlistentry>
+
+                <varlistentry>
+                    <term>{subject_dn_component[(.назва_атрибуту|[число]]}</term>
+                    <listitem>
+                    <para>
+                        Цей шаблон додасть значення атрибуту компонента DN призначення. Типовим
+значенням є найспецифічніший компонент.
+                    </para>
+                    <para>
+                        Можна вибрати інший компонент або за назвою атрибуту, наприклад,
+{subject_dn_component.uid}, або за позицією, наприклад,
+{subject_dn_component.[2]}, де додатні числа означають відлік від найбільш
+специфічного компонента, а від'ємні числа — відлік від найменш специфічного
+компонента. Назву атрибуту та позицію можна поєднувати. Приклад:
+{subject_dn_component.uid[2]}, тобто назвою другого компонента має бути
+«uid».
+                    </para>
+                    <para>
+                        Приклад: LDAPU1:(uid={subject_dn_component.uid})
+                    </para>
+                    </listitem>
+                </varlistentry>
+
+                <varlistentry>
+                    <term>{issuer_dn_component[(.назва_атрибуту|[число]]}</term>
+                    <listitem>
+                    <para>
+                        Цей шаблон додасть значення атрибуту компонента DN видавця. Типовим
+значенням є найспецифічніший компонент.
+                    </para>
+                    <para>
+                        Див. «subject_dn_component», щоб дізнатися більше про назви атрибутів та
+специфікатори позиції.
+                    </para>
+                    <para>
+                        Приклад:
+LDAPU1:(domain={issuer_dn_component.[-2]}.{issuer_dn_component.dc[-1]})
+                    </para>
+                    </listitem>
+                </varlistentry>
+                <varlistentry>
+                    <term>{sid[.rid]}</term>
+                    <listitem>
+                    <para>
+                        Цей шаблон додасть SID, якщо відповідне розширення впроваджено Microsoft із
+доступним OID 1.3.6.1.4.1.311.25.2. Якщо вказано «.rid», буде додано лише
+останній компонент, тобто RID.
+                    </para>
+                    <para>
+                        Приклад: LDAPU1:(objectsid={sid})
+                    </para>
+                    </listitem>
+                </varlistentry>
+            </variablelist>
+        </para>
+    </refsect3>
+    </refsect2>
+    <refsect2 id='domains'>
+        <title>СПИСОК ДОМЕНІВ</title>
+        <para>
+            Якщо список доменів не є порожнім, записи користувачів, прив'язані до
+заданого сертифіката, шукаються не лише у локальному домені, а і у доменах
+зі списку, якщо вони відомі SSSD. Домени, які не відомі SSSD, буде
+проігноровано.
+        </para>
+    </refsect2>
+    </refsect1>
+</refentry>
+</reference>
diff --git a/src/man/uk/sss_cache.8.xml b/src/man/uk/sss_cache.8.xml
new file mode 100644
index 0000000..31d7fbf
--- /dev/null
+++ b/src/man/uk/sss_cache.8.xml
@@ -0,0 +1,269 @@
+<?xml version="1.0" encoding="UTF-8"?>
+<!DOCTYPE reference PUBLIC "-//OASIS//DTD DocBook V4.4//EN"
+"http://www.oasis-open.org/docbook/xml/4.4/docbookx.dtd">
+<reference>
+<title>Сторінки підручника SSSD</title>
+<refentry>
+    <xi:include xmlns:xi="http://www.w3.org/2001/XInclude" href="include/upstream.xml" />
+
+    <refmeta>
+        <refentrytitle>sss_cache</refentrytitle>
+        <manvolnum>8</manvolnum>
+    </refmeta>
+
+    <refnamediv id='name'>
+        <refname>sss_cache</refname>
+        <refpurpose>виконати спорожнення кешу</refpurpose>
+    </refnamediv>
+
+    <refsynopsisdiv id='synopsis'>
+        <cmdsynopsis>
+<command>sss_cache</command> <arg choice='opt'>
+<replaceable>параметри</replaceable> </arg></cmdsynopsis>
+    </refsynopsisdiv>
+
+    <refsect1 id='description'>
+        <title>ОПИС</title>
+        <para>
+            <command>sss_cache</command> скасовує визначення записів у кеші SSSD. Дані
+записів зі скасованими визначеннями буде перезавантажено з сервера у
+примусовому порядку, щойно відповідний модуль SSSD отримає до них
+доступ. Параметри, які скасовують визначення окремого об'єкта приймають лише
+один аргумент.
+        </para>
+    </refsect1>
+
+    <refsect1 id='options'>
+        <title>ПАРАМЕТРИ</title>
+        <variablelist remap='IP'>
+            <varlistentry>
+                <term>
+                    <option>-E</option>,<option>--everything</option>
+                </term>
+                <listitem>
+                    <para>
+                        Скасувати чинність усіх кешованих записів.
+                    </para>
+                </listitem>
+            </varlistentry>
+            <varlistentry>
+                <term>
+                    <option>-u</option>,<option>--user</option> <replaceable>реєстраційні
+дані</replaceable>
+                </term>
+                <listitem>
+                    <para>
+                        Скасувати визначення вказаного користувача.
+                    </para>
+                </listitem>
+            </varlistentry>
+            <varlistentry>
+                <term>
+                    <option>-U</option>,<option>--users</option>
+                </term>
+                <listitem>
+                    <para>
+                        Скасувати визначення всіх записів. Цей параметр має вищий пріоритет за
+параметр скасування визначення для будь-якого користувача, якщо такий
+параметр вказано.
+                    </para>
+                </listitem>
+            </varlistentry>
+            <varlistentry>
+                <term>
+                    <option>-g</option>,<option>--group</option>
+<replaceable>група</replaceable>
+                </term>
+                <listitem>
+                    <para>
+                        Скасувати визначення вказаної групи.
+                    </para>
+                </listitem>
+            </varlistentry>
+            <varlistentry>
+                <term>
+                    <option>-G</option>,<option>--groups</option>
+                </term>
+                <listitem>
+                    <para>
+                        Скасувати визначення записів для всіх груп. Цей параметр має вищий пріоритет
+за параметр скасування визначення для будь-якої групи, якщо такий параметр
+вказано.
+                    </para>
+                </listitem>
+            </varlistentry>
+            <varlistentry>
+                <term>
+                    <option>-n</option>,<option>--netgroup</option> <replaceable>мережева
+група</replaceable>
+                </term>
+                <listitem>
+                    <para>
+                        Скасувати визначення вказаної мережевої групи.
+                    </para>
+                </listitem>
+            </varlistentry>
+            <varlistentry>
+                <term>
+                    <option>-N</option>,<option>--netgroups</option>
+                </term>
+                <listitem>
+                    <para>
+                        Скасувати визначення всіх записів мережевих груп. Цей параметр має вищий
+пріоритет за параметр скасування визначення для будь-якої мережевої групи,
+якщо такий параметр вказано.
+                    </para>
+                </listitem>
+            </varlistentry>
+            <varlistentry>
+                <term>
+                    <option>-s</option>,<option>--service</option>
+<replaceable>служба</replaceable>
+                </term>
+                <listitem>
+                    <para>
+                        Скасувати визначення вказаної служби.
+                    </para>
+                </listitem>
+            </varlistentry>
+            <varlistentry>
+                <term>
+                    <option>-S</option>,<option>--services</option>
+                </term>
+                <listitem>
+                    <para>
+                        Скасувати визначення всіх записів служб. Цей параметр має вищий пріоритет за
+параметр скасування визначення для будь-якої служби, якщо такий параметр
+вказано.
+                    </para>
+                </listitem>
+            </varlistentry>
+            <varlistentry condition="with_autofs">
+                <term>
+                    <option>-a</option>,<option>--autofs-map</option> <replaceable>карта
+autofs</replaceable>
+                </term>
+                <listitem>
+                    <para>
+                        Скасувати визначення певної карти autofs.
+                    </para>
+                </listitem>
+            </varlistentry>
+            <varlistentry condition="with_autofs">
+                <term>
+                    <option>-A</option>,<option>--autofs-maps</option>
+                </term>
+                <listitem>
+                    <para>
+                        Скасувати визначення всіх записів карт autofs. Цей параметр має вищий
+пріоритет за параметр скасування визначення для будь-якої карти, якщо такий
+параметр вказано.
+                    </para>
+                </listitem>
+            </varlistentry>
+            <varlistentry condition="with_ssh">
+                <term>
+                    <option>-h</option>,<option>--ssh-host</option> <replaceable>назва
+вузла</replaceable>
+                </term>
+                <listitem>
+                    <para>
+                        Скасувати чинність відкритих ключів SSH певного вузла.
+                    </para>
+                </listitem>
+            </varlistentry>
+            <varlistentry condition="with_ssh">
+                <term>
+                    <option>-H</option>,<option>--ssh-hosts</option>
+                </term>
+                <listitem>
+                    <para>
+                        Скасувати чинність усіх відкритих ключів SSH усіх вузлів. Цей параметр
+перевизначає скасовування чинності ключів SSH певних вузлів, якщо для них
+було використано таке скасовування.
+                    </para>
+                </listitem>
+            </varlistentry>
+           <varlistentry condition="with_sudo">
+                <term>
+                    <option>-r</option>,<option>--sudo-rule</option>
+<replaceable>правило</replaceable>
+                </term>
+                <listitem>
+                    <para>
+                        Скасувати чинність певного правила sudo.
+                    </para>
+                </listitem>
+            </varlistentry>
+            <varlistentry condition="with_sudo">
+                <term>
+                    <option>-R</option>,<option>--sudo-rules</option>
+                </term>
+                <listitem>
+                    <para>
+                        Скасувати визначення усіх кешованих правил sudo. Цей параметр має вищий
+пріоритет за параметр скасування визначення для будь-якого правила sudo,
+якщо такий параметр вказано.
+                    </para>
+                </listitem>
+            </varlistentry>
+            <varlistentry>
+                <term>
+                    <option>-d</option>,<option>--domain</option>
+<replaceable>домен</replaceable>
+                </term>
+                <listitem>
+                    <para>
+                        Обмежити процедуру скасування визначення лише певним доменом.
+                    </para>
+                </listitem>
+            </varlistentry>
+            <xi:include xmlns:xi="http://www.w3.org/2001/XInclude" href="include/param_help.xml" />
+        </variablelist>
+    </refsect1>
+
+    <refsect1 id='memcache'>
+        <title>ВПЛИВ НА ШВИДКИЙ КЕШ У ПАМ'ЯТІ</title>
+        <para>
+            Крім того, <command>sss_cache</command> вимикає кеш у пам'яті. Оскільки кеш
+у пам'яті є файлом, копію якого програма створює у пам'яті кожного процесу,
+який викликає SSSD для визначення користувачів або груп, файл не може бути
+обрізано. У заголовку файла встановлюють спеціальний прапорець для
+позначення некоректності вмісту, а потім файл від'єднується відповідачем NSS
+SSSD і створюється новий файл кешу. Після цього, кожного разу, коли процес
+виконує новий пошук користувача або групи, він бачить цей прапорець,
+закриває старий файл кешу у пам'яті і відтворює новий файл у своїй
+пам'яті. Коли усі процеси, які відкривали старий файл кешу у пам'яті,
+закриють його під час пошуку користувача або групи, ядро може звільнити
+зайняте ним місце на диску і нарешті повністю вилучити застарілий файл кешу
+у пам'яті.
+        </para>
+        <para>
+            Особливим випадком є процеси довготривалої дії, які виконують пошук
+користувачів або груп лише під час запуску, наприклад, щоб визначити назву
+облікового запису користувача, від імені якого запущено процес. Для таких
+пошуків файл кешу у пам'яті відображається до пам'яті процесу. Але оскільки
+подальших пошуків виконано не буде, цей процес ніколи не зможе визначити
+втрату чинності файлом кешу у пам'яті, а отже, файл лишатиметься у пам'яті і
+займатиме місце на диску аж до завершення процесом роботи. У результаті
+виклик <command>sss_cache</command> може збільшити обсяг використаного
+програмою місця на диску, оскільки вилучення застарілих файлів кешу у
+пам'яті виявиться неможливим, оскільки їх буде пов'язано із процесами
+довготривалої дії.
+        </para>
+        <para>
+            Можливим обхідним маневром у випадках процесів довготривалої дії, які
+виконують пошук користувачів та груп лише під час запуску або дуже нечасто,
+є запуск процесів із встановленим для змінної середовища
+SSS_NSS_USE_MEMCACHE значенням «NO», щоб вони взагалі не використовували кеш
+у пам'яті або не відображали файл кешу до своєї пам'яті. Загалом, кращим
+варіантом є коригування параметрів часу очікування кешування так, щоб вони
+відповідали конкретному випадку. Тоді виклик <command>sss_cache</command>
+стане непотрібним.
+        </para>
+    </refsect1>
+
+    <xi:include xmlns:xi="http://www.w3.org/2001/XInclude" href="include/seealso.xml" />
+
+</refentry>
+</reference>
diff --git a/src/man/uk/sss_debuglevel.8.xml b/src/man/uk/sss_debuglevel.8.xml
new file mode 100644
index 0000000..b7b4df8
--- /dev/null
+++ b/src/man/uk/sss_debuglevel.8.xml
@@ -0,0 +1,39 @@
+<?xml version="1.0" encoding="UTF-8"?>
+<!DOCTYPE reference PUBLIC "-//OASIS//DTD DocBook V4.4//EN"
+"http://www.oasis-open.org/docbook/xml/4.4/docbookx.dtd">
+<reference>
+<title>Сторінки підручника SSSD</title>
+<refentry>
+    <xi:include xmlns:xi="http://www.w3.org/2001/XInclude" href="include/upstream.xml" />
+
+    <refmeta>
+        <refentrytitle>sss_debuglevel</refentrytitle>
+        <manvolnum>8</manvolnum>
+    </refmeta>
+
+    <refnamediv id='name'>
+        <refname>sss_debuglevel</refname>
+        <refpurpose>[ЗАСТАРІЛИЙ] змінити рівень діагностики протягом сеансу роботи з SSSD</refpurpose>
+    </refnamediv>
+
+    <refsynopsisdiv id='synopsis'>
+        <cmdsynopsis>
+<command>sss_debuglevel</command> <arg choice='opt'>
+<replaceable>options</replaceable> </arg> <arg
+choice='plain'><replaceable>НОВИЙ_РІВЕНЬ_ДІАГНОСТИКИ</replaceable></arg></cmdsynopsis>
+    </refsynopsisdiv>
+
+    <refsect1 id='description'>
+        <title>ОПИС</title>
+        <para>
+            <command>sss_debuglevel</command> вважається застарілим, його замінено
+командою debug-level sssctl. Будь ласка, зверніться до сторінки підручника
+щодо <command>sssctl</command>, щоб дізнатися більше про використання
+sssctl.
+        </para>
+    </refsect1>
+
+    <xi:include xmlns:xi="http://www.w3.org/2001/XInclude" href="include/seealso.xml" />
+
+</refentry>
+</reference>
diff --git a/src/man/uk/sss_obfuscate.8.xml b/src/man/uk/sss_obfuscate.8.xml
new file mode 100644
index 0000000..8686367
--- /dev/null
+++ b/src/man/uk/sss_obfuscate.8.xml
@@ -0,0 +1,98 @@
+<?xml version="1.0" encoding="UTF-8"?>
+<!DOCTYPE reference PUBLIC "-//OASIS//DTD DocBook V4.4//EN"
+"http://www.oasis-open.org/docbook/xml/4.4/docbookx.dtd">
+<reference>
+<title>Сторінки підручника SSSD</title>
+<refentry>
+    <xi:include xmlns:xi="http://www.w3.org/2001/XInclude" href="include/upstream.xml" />
+
+    <refmeta>
+        <refentrytitle>sss_obfuscate</refentrytitle>
+        <manvolnum>8</manvolnum>
+    </refmeta>
+
+    <refnamediv id='name'>
+        <refname>sss_obfuscate</refname>
+        <refpurpose>заплутування пароля у форматі звичайного тексту</refpurpose>
+    </refnamediv>
+
+    <refsynopsisdiv id='synopsis'>
+        <cmdsynopsis>
+<command>sss_obfuscate</command> <arg choice='opt'>
+<replaceable>параметри</replaceable> </arg> <arg
+choice='plain'><replaceable>[ПАРОЛЬ]</replaceable></arg></cmdsynopsis>
+    </refsynopsisdiv>
+
+    <refsect1 id='description'>
+        <title>ОПИС</title>
+        <para>
+            <command>sss_obfuscate</command> перетворює вказаний пароль на пароль у
+форматі зручному для читання і розташовує його у розділі відповідного домену
+файла налаштувань SSSD.
+        </para>
+        <para>
+            Пароль у форматі звичайного тексту буде прочитано зі стандартного джерела
+вхідних даних або введено інтерактивно. Заплутану версію пароля буде
+збережено у параметрі з назвою «ldap_default_authtok» вказаного домену SSSD,
+параметру «ldap_default_authtok_type» буде надано значення
+«obfuscated_password». Докладніший опис цих параметрів можна знайти на
+сторінці підручника (man) <citerefentry>
+<refentrytitle>sssd-ldap</refentrytitle> <manvolnum>5</manvolnum>
+</citerefentry>.
+        </para>
+        <para>
+            Будь ласка, зауважте, що заплутування паролів <emphasis>не є справжнім
+захистом</emphasis>, оскільки зловмисник може визначити алгоритм
+заплутування за кодом програми. <emphasis>Наполегливо</emphasis> радимо вам
+скористатися кращими механізмами захисту даних розпізнавання, зокрема
+клієнтськими сертифікатами або GSSAPI.
+        </para>
+    </refsect1>
+
+    <refsect1 id='options'>
+        <title>ПАРАМЕТРИ</title>
+        <variablelist remap='IP'>
+            <xi:include xmlns:xi="http://www.w3.org/2001/XInclude" href="include/param_help_py.xml" />
+            <varlistentry>
+                <term>
+                    <option>-s</option>,<option>--stdin</option>
+                </term>
+                <listitem>
+                    <para>
+                        Пароль для заплутування буде прочитано зі стандартного джерела вхідних
+даних.
+                    </para>
+                </listitem>
+            </varlistentry>
+            <varlistentry>
+                <term>
+                    <option>-d</option>,<option>--domain</option>
+<replaceable>ДОМЕН</replaceable>
+                </term>
+                <listitem>
+                    <para>
+                        Домен SSSD, для якого буде використано пароль. Типовою назвою є
+<quote>default</quote>.
+                    </para>
+                </listitem>
+            </varlistentry>
+            <varlistentry>
+                <term>
+                    <option>-f</option>,<option>--file</option> <replaceable>ФАЙЛ</replaceable>
+                </term>
+                <listitem>
+                    <para>
+                        Прочитати дані з файла налаштувань, вказаного позиційним параметром.
+                    </para>
+                    <para>
+                        Типове значення: <filename>/etc/sssd/sssd.conf</filename>
+                    </para>
+                </listitem>
+            </varlistentry>
+        </variablelist>
+    </refsect1>
+
+    <xi:include xmlns:xi="http://www.w3.org/2001/XInclude" href="include/seealso.xml" />
+
+</refentry>
+</reference>
diff --git a/src/man/uk/sss_override.8.xml b/src/man/uk/sss_override.8.xml
new file mode 100644
index 0000000..cb015f6
--- /dev/null
+++ b/src/man/uk/sss_override.8.xml
@@ -0,0 +1,266 @@
+<?xml version="1.0" encoding="UTF-8"?>
+<!DOCTYPE reference PUBLIC "-//OASIS//DTD DocBook V4.4//EN"
+"http://www.oasis-open.org/docbook/xml/4.4/docbookx.dtd">
+<reference>
+<title>Сторінки підручника SSSD</title>
+<refentry>
+    <xi:include xmlns:xi="http://www.w3.org/2001/XInclude" href="include/upstream.xml" />
+
+    <refmeta>
+        <refentrytitle>sss_override</refentrytitle>
+        <manvolnum>8</manvolnum>
+    </refmeta>
+
+    <refnamediv id='name'>
+        <refname>sss_override</refname>
+        <refpurpose>створити локальні перевизначення атрибутів користувача і групи</refpurpose>
+    </refnamediv>
+
+    <refsynopsisdiv id='synopsis'>
+        <cmdsynopsis>
+<command>sss_override</command> <arg
+choice='plain'><replaceable>КОМАНДА</replaceable></arg> <arg choice='opt'>
+<replaceable>параметри</replaceable> </arg></cmdsynopsis>
+    </refsynopsisdiv>
+
+    <refsect1 id='description'>
+        <title>ОПИС</title>
+        <para>
+            <command>sss_override</command> надає змогу створювати перегляди на боці
+клієнта і змінювати вибрані значення для певного користувача і груп. Ці
+зміни буде застосовано лише на локальному комп'ютері.
+        </para>
+        <para>
+            Дані перевизначень зберігаються у кеші SSSD. Якщо кеш вилучено, усі локальні
+перевизначення буде втрачено. Будь ласка, зауважте, що після першого
+створення перевизначення за допомогою команди <emphasis>user-add</emphasis>,
+<emphasis>group-add</emphasis>, <emphasis>user-import</emphasis> або
+<emphasis>group-import</emphasis> SSSD слід перезапустити, щоб зміни набули
+чинності. Якщо потрібен перезапуск, <emphasis>sss_override</emphasis> виведе
+відповідне повідомлення.
+        </para>
+        <para>
+            <emphasis>Зауваження:</emphasis> параметри, які описано на цій сторінці
+підручника працюють лише для значень <quote>ldap</quote> і <quote>AD</quote>
+параметра <quote>id_provider</quote>. Перевизначеннями IPA можна керувати
+централізовано на сервері IPA.
+        </para>
+    </refsect1>
+
+    <refsect1 id='commands'>
+        <title>ДОСТУПНІ КОМАНДИ</title>
+        <para>
+            Аргумент <emphasis>НАЗВА</emphasis> в усіх командах є назвою початкового
+об'єкта. Не можна перевизначити <emphasis>uid</emphasis> або
+<emphasis>gid</emphasis> на 0.
+        </para>
+        <variablelist remap='IP'>
+            <varlistentry>
+                <term>
+                    <option>user-add</option> <emphasis>НАЗВА</emphasis>
+<optional><option>-n,--name</option> НАЗВА</optional>
+<optional><option>-u,--uid</option> UID</optional>
+<optional><option>-g,--gid</option> GID</optional>
+<optional><option>-h,--home</option> ДОМІВКА</optional>
+<optional><option>-s,--shell</option> ОБОЛОНКА</optional>
+<optional><option>-c,--gecos</option> GECOS</optional>
+<optional><option>-x,--certificate</option> СЕРТИФІКАТ У КОДУВАННІ
+BASE64</optional>
+                </term>
+                <listitem>
+                    <para>
+                        Перевизначити атрибути запису користувача. Будь ласка, зверніть увагу, що
+виклик цієї команди замінить усі попередні перевизначення для вказаного за
+назвою облікового запису користувача.
+                    </para>
+                </listitem>
+            </varlistentry>
+            <varlistentry>
+                <term>
+                    <option>user-del</option> <emphasis>НАЗВА</emphasis>
+                </term>
+                <listitem>
+                    <para>
+                        Вилучити перевизначення користувача. Втім, слід мати на увазі, що
+перевизначені атрибути може бути повернено з кешу у пам'яті. Будь ласка,
+ознайомтеся із документацією до параметра SSSD
+<emphasis>memcache_timeout</emphasis>, щоб дізнатися більше.
+                    </para>
+                </listitem>
+            </varlistentry>
+            <varlistentry>
+                <term>
+                    <option>user-find</option> <optional><option>-d,--domain</option>
+ДОМЕН</optional>
+                </term>
+                <listitem>
+                    <para>
+                        Вивести список усіх користувачів, для яких встановлено перевизначення. Якщо
+встановлено параметр <emphasis>ДОМЕН</emphasis>, буде показано лише
+користувачів з відповідного домену.
+                    </para>
+                </listitem>
+            </varlistentry>
+            <varlistentry>
+                <term>
+                    <option>user-show</option> <emphasis>НАЗВА</emphasis>
+                </term>
+                <listitem>
+                    <para>
+                        Показати перевизначення користувача.
+                    </para>
+                </listitem>
+            </varlistentry>
+            <varlistentry>
+                <term>
+                    <option>user-import</option> <emphasis>ФАЙЛ</emphasis>
+                </term>
+                <listitem>
+                    <para>
+                        Імпортувати перевизначення користувачів з файла
+<emphasis>ФАЙЛ</emphasis>. Формат даних у файлі має бути таким самим, як у
+стандартному файлі passwd. Приклад:
+                    </para>
+                    <para>
+                        початкова_назва:назва:uid:gid:gecos:домівка:оболонка:сертифікат_у_кодуванні_base64
+                    </para>
+                    <para>
+                        де «початкова_назва» — початкова назва запису користувача, чиї атрибути має
+бути перевизначено. Решта полів відповідає новим значенням. Ви можете
+пропустити значення, не заповнюючи відповідного поля.
+                    </para>
+                    <para>
+                        Приклади:
+                    </para>
+                    <para>
+                        ckent:superman::::::
+                    </para>
+                    <para>
+                        ckent@krypton.com::501:501:Superman:/home/earth:/bin/bash:
+                    </para>
+                </listitem>
+            </varlistentry>
+            <varlistentry>
+                <term>
+                    <option>user-export</option> <emphasis>ФАЙЛ</emphasis>
+                </term>
+                <listitem>
+                    <para>
+                        Експортувати усі перевизначені атрибути і зберегти їх у файлі
+<emphasis>ФАЙЛ</emphasis>. Див. <emphasis>user-import</emphasis>, щоб
+дізнатися більше про формат даних.
+                    </para>
+                </listitem>
+            </varlistentry>
+            <varlistentry>
+                <term>
+                    <option>group-add</option> <emphasis>НАЗВА</emphasis>
+<optional><option>-n,--name</option> НАЗВА</optional>
+<optional><option>-g,--gid</option> GID</optional>
+                </term>
+                <listitem>
+                    <para>
+                        Перевизначити атрибути запису групи. Будь ласка, зверніть увагу, що виклик
+цієї команди замінить усі попередні перевизначення для вказаної за назвою
+групи.
+                    </para>
+                </listitem>
+            </varlistentry>
+            <varlistentry>
+                <term>
+                    <option>group-del</option> <emphasis>НАЗВА</emphasis>
+                </term>
+                <listitem>
+                    <para>
+                        Вилучити перевизначення групи. Втім, слід мати на увазі, що перевизначені
+атрибути може бути повернено з кешу у пам'яті. Будь ласка, ознайомтеся із
+документацією до параметра SSSD <emphasis>memcache_timeout</emphasis>, щоб
+дізнатися більше.
+                    </para>
+                </listitem>
+            </varlistentry>
+            <varlistentry>
+                <term>
+                    <option>group-find</option> <optional><option>-d,--domain</option>
+ДОМЕН</optional>
+                </term>
+                <listitem>
+                    <para>
+                        Вивести список усіх груп, для яких встановлено перевизначення. Якщо
+встановлено параметр <emphasis>ДОМЕН</emphasis>, буде показано лише групи з
+відповідного домену.
+                    </para>
+                </listitem>
+            </varlistentry>
+            <varlistentry>
+                <term>
+                    <option>group-show</option> <emphasis>НАЗВА</emphasis>
+                </term>
+                <listitem>
+                    <para>
+                        Показати перевизначення групи.
+                    </para>
+                </listitem>
+            </varlistentry>
+            <varlistentry>
+                <term>
+                    <option>group-import</option> <emphasis>ФАЙЛ</emphasis>
+                </term>
+                <listitem>
+                    <para>
+                        Імпортувати перевизначення груп з файла <emphasis>ФАЙЛ</emphasis>. Формат
+даних у файлі має бути таким самим, як у стандартному файлі group. Приклад:
+                    </para>
+                    <para>
+                        початкова_назва:назва:gid
+                    </para>
+                    <para>
+                        де «початкова_назва» — початкова назва групи, чиї атрибути має бути
+перевизначено. Решта полів відповідає новим значенням. Ви можете пропустити
+значення, не заповнюючи відповідного поля.
+                    </para>
+                    <para>
+                        Приклади:
+                    </para>
+                    <para>
+                        admins:administrators:
+                    </para>
+                    <para>
+                        Domain Users:Users:501
+                    </para>
+                </listitem>
+            </varlistentry>
+            <varlistentry>
+                <term>
+                    <option>group-export</option> <emphasis>ФАЙЛ</emphasis>
+                </term>
+                <listitem>
+                    <para>
+                        Експортувати усі перевизначені атрибути і зберегти їх у файлі
+<emphasis>ФАЙЛ</emphasis>. Див. <emphasis>group-import</emphasis>, щоб
+дізнатися більше про формат даних.
+                    </para>
+                </listitem>
+            </varlistentry>
+        </variablelist>
+    </refsect1>
+
+    <refsect1 id='options'>
+        <title>ЗАГАЛЬНІ ПАРАМЕТРИ</title>
+        <para>
+            Ці параметри можна використовувати з усіма командами.
+        </para>
+        <variablelist remap='IP'>
+            <varlistentry>
+                <term>
+                    <option>--debug</option> <replaceable>РІВЕНЬ</replaceable>
+                </term>
+                <xi:include xmlns:xi="http://www.w3.org/2001/XInclude" href="include/debug_levels_tools.xml" />
+            </varlistentry>
+        </variablelist>
+    </refsect1>
+
+    <xi:include xmlns:xi="http://www.w3.org/2001/XInclude" href="include/seealso.xml" />
+
+</refentry>
+</reference>
diff --git a/src/man/uk/sss_rpcidmapd.5.xml b/src/man/uk/sss_rpcidmapd.5.xml
new file mode 100644
index 0000000..9ca9b7b
--- /dev/null
+++ b/src/man/uk/sss_rpcidmapd.5.xml
@@ -0,0 +1,110 @@
+<?xml version="1.0" encoding="UTF-8"?>
+<!DOCTYPE reference PUBLIC "-//OASIS//DTD DocBook V4.4//EN"
+"http://www.oasis-open.org/docbook/xml/4.4/docbookx.dtd">
+<reference>
+<title>Сторінки підручника SSSD</title>
+<refentry>
+    <refentryinfo>
+<productname>sss rpc.idmapd plugin</productname> <author>
+<firstname>Noam</firstname> <surname>Meltzer</surname> <affiliation>
+<orgname>Primary Data Inc.</orgname> </affiliation> <contrib>Розробник
+(2013-2014)</contrib> </author> <author> <firstname>Noam</firstname>
+<surname>Meltzer</surname> <contrib>Розробник (2014-)</contrib>
+<email>tsnoam@gmail.com</email> </author></refentryinfo>
+
+    <refmeta>
+        <refentrytitle>sss_rpcidmapd</refentrytitle>
+        <manvolnum>5</manvolnum>
+        <refmiscinfo class="manual">Формати файлів та правила</refmiscinfo>
+    </refmeta>
+
+    <refnamediv id='name'>
+        <refname>sss_rpcidmapd</refname>
+        <refpurpose>Директиви налаштовування додатка sss для rpc.idmapd</refpurpose>
+    </refnamediv>
+
+    <refsect1 id='conf-file'>
+        <title>ФАЙЛ НАЛАШТУВАНЬ</title>
+        <para>
+            Файл налаштувань rpc.idmapd зазвичай зберігається тут:
+<emphasis>/etc/idmapd.conf</emphasis>. Див. підручник з <citerefentry>
+<refentrytitle>idmapd.conf</refentrytitle> <manvolnum>5</manvolnum>
+</citerefentry>, щоб дізнатися більше.
+        </para>
+    </refsect1>
+
+    <refsect1 id='sss-conf-extension'>
+        <title>РОЗШИРЕННЯ НАЛАШТОВУВАННЯ SSS</title>
+        <refsect2 id='enable-sss'>
+            <title>Вмикання додатка SSS</title>
+            <para>
+                У розділі «[Translation]» змініть або додайте атрибут «Method» із вмістом
+<emphasis>sss</emphasis>.
+            </para>
+        </refsect2>
+        <refsect2 id='sss-conf-sect'>
+            <title>Розділ налаштовування [sss]</title>
+            <para>
+                Якщо вам потрібно змінити типове значення одного з атрибутів налаштувань,
+перелічених нижче, додатка <emphasis>sss</emphasis>, вам слід створити
+розділ налаштувань для нього з назвою «[sss]».
+            </para>
+            <variablelist>
+                <title>Атрибути налаштувань</title>
+                <varlistentry>
+                    <term>memcache (булеве значення)</term>
+                    <listitem>
+                        <para>
+                            Визначає, чи слід використовувати методику оптимізації кешу у пам’яті.
+                        </para>
+                        <para>
+                            Типове значення: True
+                        </para>
+                    </listitem>
+                </varlistentry>
+            </variablelist>
+        </refsect2>
+    </refsect1>
+
+    <refsect1 id='sssd-integration'>
+        <title>ІНТЕГРАЦІЯ З SSSD</title>
+        <para>
+            Додаток sss потребує вмикання <emphasis>Відповідача NSS</emphasis> у sssd.
+        </para>
+        <para>
+            Атрибут «use_fully_qualified_names» має бути увімкнено для усіх доменів
+(клієнти NFSv4 очікують на те, що надсилається назва повністю).
+        </para>
+    </refsect1>
+
+    <refsect1 id='example'>
+        <title>ПРИКЛАД</title>
+        <para>
+            У наведеному нижче прикладі показано мінімальний вигляд idmapd.conf, де
+використовується додаток sss.  <programlisting>
+[General]
+Verbosity = 2
+# домен має бути синхронізовано між сервером NFSv4 та клієнтами
+# У Solaris/Illumos/AIX типово використовується "локальний домен"!
+Domain = default
+
+[Mapping]
+Nobody-User = nfsnobody
+Nobody-Group = nfsnobody
+
+[Translation]
+Method = sss
+</programlisting>
+        </para>
+    </refsect1>
+
+    <refsect1 id='see_also'>
+        <title>ТАКОЖ ПЕРЕГЛЯНЬТЕ</title>
+        <para>
+            <citerefentry> <refentrytitle>sssd</refentrytitle><manvolnum>8</manvolnum>
+</citerefentry>, <citerefentry> <refentrytitle>idmapd.conf</refentrytitle>
+<manvolnum>5</manvolnum> </citerefentry>
+        </para>
+    </refsect1>
+</refentry>
+</reference>
diff --git a/src/man/uk/sss_seed.8.xml b/src/man/uk/sss_seed.8.xml
new file mode 100644
index 0000000..d45a440
--- /dev/null
+++ b/src/man/uk/sss_seed.8.xml
@@ -0,0 +1,168 @@
+<?xml version="1.0" encoding="UTF-8"?>
+<!DOCTYPE reference PUBLIC "-//OASIS//DTD DocBook V4.4//EN"
+"http://www.oasis-open.org/docbook/xml/4.4/docbookx.dtd">
+<reference>
+<title>Сторінки підручника SSSD</title>
+<refentry>
+    <xi:include xmlns:xi="http://www.w3.org/2001/XInclude" href="include/upstream.xml" />
+
+    <refmeta>
+        <refentrytitle>sss_seed</refentrytitle>
+        <manvolnum>8</manvolnum>
+    </refmeta>
+
+    <refnamediv id='name'>
+        <refname>sss_seed</refname>
+        <refpurpose>надсилає дані кешу SSSD щодо користувача</refpurpose>
+    </refnamediv>
+
+    <refsynopsisdiv id='synopsis'>
+        <cmdsynopsis>
+<command>sss_seed</command> <arg choice='opt'>
+<replaceable>параметри</replaceable> </arg> <arg choice='plain'>-D
+<replaceable>ДОМЕН</replaceable></arg> <arg choice='plain'>-n
+<replaceable>КОРИСТУВАЧ</replaceable></arg></cmdsynopsis>
+    </refsynopsisdiv>
+
+    <refsect1 id='description'>
+        <title>ОПИС</title>
+        <para>
+            <command>sss_seed</command> розповсюджує кеш SSSD з записом користувача і
+тимчасовим паролем. Якщо запис користувача вже є у кеші SSSD, запис буде
+оновлено зі встановленням тимчасового пароля.
+        </para>
+        <para>
+        </para>
+    </refsect1>
+
+    <refsect1 id='options'>
+        <title>ПАРАМЕТРИ</title>
+        <variablelist remap='IP'>
+            <varlistentry>
+                <term>
+                    <option>-D</option>,<option>--domain</option>
+<replaceable>ДОМЕН</replaceable>
+                </term>
+                <listitem>
+                    <para>
+                        Визначає назву домену, учасником якого є користувач. Домен  використовується
+для отримання даних щодо користувачів. Домен має бути налаштовано у
+sssd.conf. Має бути надано аргумент <replaceable>ДОМЕН</replaceable>. Дані,
+отримані з домену, матимуть вищий пріоритет за дані, вказані за допомогою
+параметрів.
+                    </para>
+                </listitem>
+            </varlistentry>
+            <varlistentry>
+                <term>
+                    <option>-n</option>,<option>--username</option>
+<replaceable>КОРИСТУВАЧ</replaceable>
+                </term>
+                <listitem>
+                    <para>
+                        Ім’я користувача, запис якого слід створити або змінити у кеші. Має бути
+вказано аргумент <replaceable>КОРИСТУВАЧ</replaceable>.
+                    </para>
+                </listitem>
+            </varlistentry>
+            <varlistentry>
+                <term>
+                    <option>-u</option>,<option>--uid</option> <replaceable>ідентифікатор
+користувача</replaceable>
+                </term>
+                <listitem>
+                    <para>
+                        Встановити UID користувача у значення <replaceable>UID</replaceable>.
+                    </para>
+                </listitem>
+            </varlistentry>
+            <varlistentry>
+                <term>
+                    <option>-g</option>,<option>--gid</option> <replaceable>GID</replaceable>
+                </term>
+                <listitem>
+                    <para>
+                        Встановити GID користувача у значення <replaceable>GID</replaceable>.
+                    </para>
+                </listitem>
+            </varlistentry>
+            <varlistentry>
+                <term>
+                    <option>-c</option>,<option>--gecos</option>
+<replaceable>КОМЕНТАР</replaceable>
+                </term>
+                <listitem>
+                    <para>
+                        Будь-який рядок тексту, що описує користувача. Часто використовується для
+зберігання паспортного імені користувача.
+                    </para>
+                </listitem>
+            </varlistentry>
+            <varlistentry>
+                <term>
+                    <option>-h</option>,<option>--home</option>
+<replaceable>ДОМАШНІЙ_КАТАЛОГ</replaceable>
+                </term>
+                <listitem>
+                    <para>
+                        Встановити домашній каталог користувача у значення
+<replaceable>ДОМАШНІЙ_КАТАЛОГ</replaceable>.
+                    </para>
+                </listitem>
+            </varlistentry>
+            <varlistentry>
+                <term>
+                    <option>-s</option>,<option>--shell</option>
+<replaceable>ОБОЛОНКА</replaceable>
+                </term>
+                <listitem>
+                    <para>
+                        Встановити оболонку реєстрації користувача у значення
+<replaceable>ОБОЛОНКА</replaceable>.
+                    </para>
+                </listitem>
+            </varlistentry>
+            <varlistentry>
+                <term>
+                    <option>-i</option>,<option>--interactive</option>
+                </term>
+                <listitem>
+                    <para>
+                        Інтерактивний режим для введення даних користувача. У разі використання
+цього параметра програма надсилатиме запит лише щодо даних, які не було
+отримано з параметрів команди або домену.
+                    </para>
+                </listitem>
+            </varlistentry>
+            <varlistentry>
+                <term>
+                    <option>-p</option>,<option>--password-file</option>
+<replaceable>ФАЙЛ_ПАРОЛІВ</replaceable>
+                </term>
+                <listitem>
+                    <para>
+                        Вказати файл, звідки слід читати дані щодо паролів користувачів. Якщо пароль
+не буде знайдено, програма надішле запит на його введення.
+                    </para>
+                </listitem>
+            </varlistentry>
+           <xi:include xmlns:xi="http://www.w3.org/2001/XInclude" href="include/param_help.xml" />
+        </variablelist>
+    </refsect1>
+
+    <refsect1 id='notes'>
+        <title>ЗАУВАЖЕННЯ</title>
+        <para>
+            Довжина пароля (або розмір файла, визначеного за допомогою параметра -p або
+--password-file) має бути меншою або рівною PASS_MAX байтів (64 байти у
+системах без визначеного на загальному рівні значення PASS_MAX).
+        </para>
+        <para>
+        </para>
+    </refsect1>
+
+
+    <xi:include xmlns:xi="http://www.w3.org/2001/XInclude" href="include/seealso.xml" />
+
+</refentry>
+</reference>
diff --git a/src/man/uk/sss_ssh_authorizedkeys.1.xml b/src/man/uk/sss_ssh_authorizedkeys.1.xml
new file mode 100644
index 0000000..93529f1
--- /dev/null
+++ b/src/man/uk/sss_ssh_authorizedkeys.1.xml
@@ -0,0 +1,145 @@
+<?xml version="1.0" encoding="UTF-8"?>
+<!DOCTYPE reference PUBLIC "-//OASIS//DTD DocBook V4.4//EN"
+"http://www.oasis-open.org/docbook/xml/4.4/docbookx.dtd">
+<reference>
+<title>Сторінки підручника SSSD</title>
+<refentry>
+    <xi:include xmlns:xi="http://www.w3.org/2001/XInclude" href="include/upstream.xml" />
+
+    <refmeta>
+        <refentrytitle>sss_ssh_authorizedkeys</refentrytitle>
+        <manvolnum>1</manvolnum>
+    </refmeta>
+
+    <refnamediv id='name'>
+        <refname>sss_ssh_authorizedkeys</refname>
+        <refpurpose>отримати уповноважені ключі OpenSSH</refpurpose>
+    </refnamediv>
+
+    <refsynopsisdiv id='synopsis'>
+        <cmdsynopsis>
+<command>sss_ssh_authorizedkeys</command> <arg choice='opt'>
+<replaceable>параметри</replaceable> </arg> <arg
+choice='plain'><replaceable>КОРИСТУВАЧ</replaceable></arg></cmdsynopsis>
+    </refsynopsisdiv>
+
+    <refsect1 id='description'>
+        <title>ОПИС</title>
+        <para>
+            <command>sss_ssh_authorizedkeys</command> отримує відкриті ключі SSH для
+користувача <replaceable>КОРИСТУВАЧ</replaceable> і виводить їх у форматі
+authorized_keys OpenSSH (щоб дізнатися більше, див. розділ <quote>ФОРМАТ
+ФАЙЛІВ AUTHORIZED_KEYS</quote> на сторінці підручника (man) з
+<citerefentry><refentrytitle>sshd</refentrytitle>
+<manvolnum>8</manvolnum></citerefentry>).
+        </para>
+        <para>
+            <citerefentry><refentrytitle>sshd</refentrytitle>
+<manvolnum>8</manvolnum></citerefentry> можна налаштувати на використання
+<command>sss_ssh_authorizedkeys</command> для розпізнавання користувачів за
+відкритими ключами, якщо програму зібрано із підтримкою параметра
+<quote>AuthorizedKeysCommand</quote>. Будь ласка, зверніться до сторінки
+підручника <citerefentry> <refentrytitle>sshd_config</refentrytitle>
+<manvolnum>5</manvolnum></citerefentry>, щоб дізнатися більше про цей
+параметр.
+        </para>
+        <para>
+            Якщо передбачено підтримку <quote>AuthorizedKeysCommand</quote>,
+<citerefentry><refentrytitle>sshd</refentrytitle>
+<manvolnum>8</manvolnum></citerefentry> можна налаштувати на використання
+ключів за допомогою таких інструкцій у <citerefentry>
+<refentrytitle>sshd_config</refentrytitle>
+<manvolnum>5</manvolnum></citerefentry>: <programlisting>
+  AuthorizedKeysCommand /usr/bin/sss_ssh_authorizedkeys
+  AuthorizedKeysCommandUser nobody
+</programlisting>
+        </para>
+
+    <refsect2 id='cert_keys'>
+        <title>КЛЮЧІ З СЕРТИФІКАТІВ</title>
+        <para>
+            Окрім відкрити ключів SSH для користувача
+<replaceable>КОРИСТУВАЧ</replaceable>,
+<command>sss_ssh_authorizedkeys</command> може повертати ключі SSH, які
+походять від відкритого ключа сертифіката X.509.
+        </para>
+        <para>
+            Щоб уможливити це, слід встановити для параметра
+<quote>ssh_use_certificate_keys</quote> значення true (типове значення) у
+розділі [ssh] файла <filename>sssd.conf</filename>. Якщо запис користувача
+містить сертифікати (див <quote>ldap_user_certificate</quote> на сторінці
+<citerefentry><refentrytitle>sssd-ldap</refentrytitle>
+<manvolnum>5</manvolnum></citerefentry>, щоб дізнатися більше) або існує
+сертифікат у записі перевизначення для користувача
+(див. <citerefentry><refentrytitle>sss_override</refentrytitle>
+<manvolnum>8</manvolnum></citerefentry> або
+<citerefentry><refentrytitle>sssd-ipa</refentrytitle>
+<manvolnum>5</manvolnum></citerefentry>, щоб дізнатися більше), а сертифікат
+є чинним, SSSD видобуде відкритий ключі з сертифіката і перетворить його до
+формату, який може використовувати sshd.
+        </para>
+        <para>
+            Окрім <quote>ssh_use_certificate_keys</quote>, може бути використано
+параметри
+            <itemizedlist>
+                <listitem><para>ca_db</para></listitem>
+                <listitem><para>p11_child_timeout</para></listitem>
+                <listitem><para>certificate_verification</para></listitem>
+            </itemizedlist>
+            для керування способом встановлення чинності сертифікатів (докладніше
+див. <citerefentry><refentrytitle>sssd.conf</refentrytitle>
+<manvolnum>5</manvolnum></citerefentry>).
+        </para>
+        <para>
+            Перевірка чинності є перевагою використання сертифікатів X.509 замість
+ключів SSH безпосередньо, оскільки, наприклад, це поліпшує можливості
+керування часом придатності ключів. Якщо клієнт ssh налаштовано не
+використання закритих ключів з смарткартки за допомогою бібліотеки PKCS#11
+спільного використання
+(див. <citerefentry><refentrytitle>ssh</refentrytitle>
+<manvolnum>1</manvolnum></citerefentry>, щоб дізнатися більше), може
+дратувати те, що розпізнавання залишається працездатним, навіть якщо
+пов'язаний із ним сертифікат X.509 на смарткартці вже втратив чинність,
+оскільки ні <command>ssh</command>, ні <command>sshd</command> не братимуть
+сертифікат до уваги взагалі.
+        </para>
+        <para>
+            Слід зауважити, що похідний відкритий ключ SSH все одно можна додати до
+файла <filename>authorized_keys</filename> користувача, щоб обійти перевірку
+чинності сертифіката, якщо налаштування <command>sshd</command> надають
+змогу це робити.
+        </para>
+    </refsect2>
+    </refsect1>
+
+    <refsect1 id='options'>
+        <title>ПАРАМЕТРИ</title>
+        <variablelist remap='IP'>
+            <varlistentry>
+                <term>
+                    <option>-d</option>,<option>--domain</option>
+<replaceable>ДОМЕН</replaceable>
+                </term>
+                <listitem>
+                    <para>
+                        Шукати відкриті ключі користувачів у домені SSSD
+<replaceable>ДОМЕН</replaceable>.
+                    </para>
+                </listitem>
+            </varlistentry>
+            <xi:include xmlns:xi="http://www.w3.org/2001/XInclude" href="include/param_help.xml" />
+        </variablelist>
+    </refsect1>
+
+    <refsect1 id='exit_status'>
+        <title>СТАН ВИХОДУ</title>
+        <para>
+            У випадку успіху значення стану виходу дорівнює 0. У всіх інших випадках
+програма повертає 1.
+        </para>
+    </refsect1>
+
+    <xi:include xmlns:xi="http://www.w3.org/2001/XInclude" href="include/seealso.xml" />
+
+</refentry>
+</reference>
diff --git a/src/man/uk/sss_ssh_knownhostsproxy.1.xml b/src/man/uk/sss_ssh_knownhostsproxy.1.xml
new file mode 100644
index 0000000..d3365ed
--- /dev/null
+++ b/src/man/uk/sss_ssh_knownhostsproxy.1.xml
@@ -0,0 +1,107 @@
+<?xml version="1.0" encoding="UTF-8"?>
+<!DOCTYPE reference PUBLIC "-//OASIS//DTD DocBook V4.4//EN"
+"http://www.oasis-open.org/docbook/xml/4.4/docbookx.dtd">
+<reference>
+<title>Сторінки підручника SSSD</title>
+<refentry>
+    <xi:include xmlns:xi="http://www.w3.org/2001/XInclude" href="include/upstream.xml" />
+
+    <refmeta>
+        <refentrytitle>sss_ssh_knownhostsproxy</refentrytitle>
+        <manvolnum>1</manvolnum>
+    </refmeta>
+
+    <refnamediv id='name'>
+        <refname>sss_ssh_knownhostsproxy</refname>
+        <refpurpose>отримати ключі вузла OpenSSH</refpurpose>
+    </refnamediv>
+
+    <refsynopsisdiv id='synopsis'>
+        <cmdsynopsis>
+<command>sss_ssh_knownhostsproxy</command> <arg choice='opt'>
+<replaceable>параметри</replaceable> </arg> <arg
+choice='plain'><replaceable>ВУЗОЛ</replaceable></arg> <arg
+choice='opt'><replaceable>КОМАНДА_ПРОКСІ</replaceable></arg></cmdsynopsis>
+    </refsynopsisdiv>
+
+    <refsect1 id='description'>
+        <title>ОПИС</title>
+        <para>
+            <command>sss_ssh_knownhostsproxy</command> отримує відкриті ключі вузла SSH
+для вузла <replaceable>ВУЗОЛ</replaceable>, зберігає їх до нетипового файла
+OpenSSH known_hosts (щоб дізнатися більше, ознайомтеся з розділом
+<quote>ФОРМАТ ФАЙЛІВ SSH_KNOWN_HOSTS</quote> сторінки підручника (man)
+<citerefentry><refentrytitle>sshd</refentrytitle>
+<manvolnum>8</manvolnum></citerefentry>) за адресою
+<filename>/var/lib/sss/pubconf/known_hosts</filename> і встановлює з’єднання
+з вузлом.
+        </para>
+        <para>
+            Якщо вказано параметр <replaceable>КОМАНДА_ПРОКСІ</replaceable>, замість
+відкриття сокета для створення з’єднання буде використано відповідну
+команду.
+        </para>
+        <para>
+            <citerefentry><refentrytitle>ssh</refentrytitle>
+<manvolnum>1</manvolnum></citerefentry> можна налаштувати на використання
+<command>sss_ssh_knownhostsproxy</command> для розпізнавання вузлів за
+ключами за допомогою таких інструкцій у налаштуваннях
+<citerefentry><refentrytitle>ssh</refentrytitle>
+<manvolnum>1</manvolnum></citerefentry>: <programlisting>
+ProxyCommand /usr/bin/sss_ssh_knownhostsproxy -p %p %h
+GlobalKnownHostsFile /var/lib/sss/pubconf/known_hosts
+</programlisting>
+        </para>
+    </refsect1>
+
+    <refsect1 id='options'>
+        <title>ПАРАМЕТРИ</title>
+        <variablelist remap='IP'>
+            <varlistentry>
+                <term>
+                    <option>-p</option>,<option>--port</option> <replaceable>ПОРТ</replaceable>
+                </term>
+                <listitem>
+                    <para>
+                        Використовувати для встановлення з’єднання з вузлом порт
+<replaceable>ПОРТ</replaceable>. Типовим портом є порт 22.
+                    </para>
+                </listitem>
+            </varlistentry>
+            <varlistentry>
+                <term>
+                    <option>-d</option>,<option>--domain</option>
+<replaceable>ДОМЕН</replaceable>
+                </term>
+                <listitem>
+                    <para>
+                        Шукати відкриті ключі вузлів у домені SSSD <replaceable>ДОМЕН</replaceable>.
+                    </para>
+                </listitem>
+            </varlistentry>
+            <varlistentry>
+                <term>
+                    <option>-k</option>,<option>--pubkey</option>
+                </term>
+                <listitem>
+                    <para>
+                        Вивести відкриті ключі SSH для вузла <replaceable>HOST</replaceable>.
+                    </para>
+                </listitem>
+            </varlistentry>
+            <xi:include xmlns:xi="http://www.w3.org/2001/XInclude" href="include/param_help.xml" />
+        </variablelist>
+    </refsect1>
+
+    <refsect1 id='exit_status'>
+        <title>СТАН ВИХОДУ</title>
+        <para>
+            У випадку успіху значення стану виходу дорівнює 0. У всіх інших випадках
+програма повертає 1.
+        </para>
+    </refsect1>
+
+    <xi:include xmlns:xi="http://www.w3.org/2001/XInclude" href="include/seealso.xml" />
+
+</refentry>
+</reference>
diff --git a/src/man/uk/sssctl.8.xml b/src/man/uk/sssctl.8.xml
new file mode 100644
index 0000000..745197b
--- /dev/null
+++ b/src/man/uk/sssctl.8.xml
@@ -0,0 +1,65 @@
+<?xml version="1.0" encoding="UTF-8"?>
+<!DOCTYPE reference PUBLIC "-//OASIS//DTD DocBook V4.4//EN"
+"http://www.oasis-open.org/docbook/xml/4.4/docbookx.dtd">
+<reference>
+<title>Сторінки підручника SSSD</title>
+<refentry>
+    <xi:include xmlns:xi="http://www.w3.org/2001/XInclude" href="include/upstream.xml" />
+
+    <refmeta>
+        <refentrytitle>sssctl</refentrytitle>
+        <manvolnum>8</manvolnum>
+    </refmeta>
+
+    <refnamediv id='name'>
+        <refname>sssctl</refname>
+        <refpurpose>Засіб керування і визначення стану SSSD</refpurpose>
+    </refnamediv>
+
+    <refsynopsisdiv id='synopsis'>
+        <cmdsynopsis>
+<command>sssctl</command> <arg
+choice='plain'><replaceable>КОМАНДА</replaceable></arg> <arg choice='opt'>
+<replaceable>параметри</replaceable> </arg></cmdsynopsis>
+    </refsynopsisdiv>
+
+    <refsect1 id='description'>
+        <title>ОПИС</title>
+        <para>
+            <command>sssctl</command> є простим і уніфікованим засобом отримання даних
+щодо стану SSSD, зокрема активного сервера, серверів автоматичного
+визначення, доменів і кешованих об'єктів. Крім того, програма здатна
+керувати файлами даних SSSD для усування вад у такий спосіб, щоб з ними
+можна було безпечно працювати, доки працює SSSD.
+        </para>
+    </refsect1>
+
+    <refsect1 id='commands'>
+        <title>ДОСТУПНІ КОМАНДИ</title>
+        <para>
+            Щоб ознайомитися зі списком усіх доступних команд, віддайте команду
+<command>sssctl</command> без параметрів. Щоб програма вивела довідкове
+повідомлення щодо певної команди, віддайте команду <command>sssctl КОМАНДА
+--help</command>.
+        </para>
+    </refsect1>
+
+    <refsect1 id='options'>
+        <title>ЗАГАЛЬНІ ПАРАМЕТРИ</title>
+        <para>
+            Ці параметри можна використовувати з усіма командами.
+        </para>
+        <variablelist remap='IP'>
+            <varlistentry>
+                <term>
+                    <option>--debug</option> <replaceable>РІВЕНЬ</replaceable>
+                </term>
+                <xi:include xmlns:xi="http://www.w3.org/2001/XInclude" href="include/debug_levels_tools.xml" />
+            </varlistentry>
+        </variablelist>
+    </refsect1>
+
+    <xi:include xmlns:xi="http://www.w3.org/2001/XInclude" href="include/seealso.xml" />
+
+</refentry>
+</reference>
diff --git a/src/man/uk/sssd-ad.5.xml b/src/man/uk/sssd-ad.5.xml
new file mode 100644
index 0000000..cbf0ba3
--- /dev/null
+++ b/src/man/uk/sssd-ad.5.xml
@@ -0,0 +1,1320 @@
+<?xml version="1.0" encoding="UTF-8"?>
+<!DOCTYPE reference PUBLIC "-//OASIS//DTD DocBook V4.4//EN"
+"http://www.oasis-open.org/docbook/xml/4.4/docbookx.dtd">
+<reference>
+<title>Сторінки підручника SSSD</title>
+<refentry>
+    <xi:include xmlns:xi="http://www.w3.org/2001/XInclude" href="include/upstream.xml" />
+
+    <refmeta>
+        <refentrytitle>sssd-ad</refentrytitle>
+        <manvolnum>5</manvolnum>
+        <refmiscinfo class="manual">Формати файлів та правила</refmiscinfo>
+    </refmeta>
+
+    <refnamediv id='name'>
+        <refname>sssd-ad</refname>
+        <refpurpose>Модуль надання даних Active Directory SSSD</refpurpose>
+    </refnamediv>
+
+    <refsect1 id='description'>
+        <title>ОПИС</title>
+        <para>
+            На цій сторінці довідника описано налаштування засобу керування доступом AD
+для <citerefentry> <refentrytitle>sssd</refentrytitle>
+<manvolnum>8</manvolnum> </citerefentry>. Щоб дізнатися більше про синтаксис
+налаштування, зверніться до розділу «ФОРМАТ ФАЙЛІВ» сторінки довідника
+<citerefentry> <refentrytitle>sssd.conf</refentrytitle>
+<manvolnum>5</manvolnum> </citerefentry>.
+        </para>
+        <para>
+            Засіб надання даних AD є модулем, який використовується для встановлення
+з'єднання із сервером Active Directory. Для роботи цього засобу надання
+даних потрібно, щоб комп'ютер було долучено до домену AD і щоб було
+доступним сховище ключів. Обмін даними із модулем відбувається за допомогою
+каналу із шифруванням GSSAPI. Із засобом надання даних AD не слід
+використовувати параметри SSL/TLS, оскільки їх перекриває використання
+Kerberos.
+        </para>
+        <para>
+            У засобі надання даних AD передбачено підтримку встановлення з’єднання з
+Active Directory 2008 R2 або пізнішою версією. Робота з попередніми версіями
+можлива, але не підтримується.
+        </para>
+        <para>
+            Засобом надання даних AD можна скористатися для отримання даних щодо
+користувачів і розпізнавання користувачів за допомогою довірених доменів. У
+поточній версії передбачено підтримку використання лише довірених доменів з
+того самого лісу. Крім того автоматично визначаються сервери із довірених
+доменів.
+        </para>
+        <para>
+            Засіб надання даних AD уможливлює для SSSD використання засобу надання даних
+профілів <citerefentry> <refentrytitle>sssd-ldap</refentrytitle>
+<manvolnum>5</manvolnum> </citerefentry> та засобу надання даних
+розпізнавання <citerefentry> <refentrytitle>sssd-krb5</refentrytitle>
+<manvolnum>5</manvolnum> </citerefentry> з оптимізацією для середовищ Active
+Directory. Засіб надання даних AD приймає ті самі параметри, які
+використовуються засобами надання даних sssd-ldap та sssd-krb5, із деякими
+виключеннями. Втім, встановлювати ці параметри не обов'язково і не
+рекомендовано.
+        </para>
+        <para>
+            Засіб надання даних AD в основному копіює типові параметри традиційних
+засобів надання даних ldap і krb5 із деякими виключенням. Відмінності
+наведено у розділі <quote>ЗМІНЕНІ ТИПОВІ ПАРАМЕТРИ</quote>.
+        </para>
+        <para>
+            Інструментом надання даних AD також можна скористатися для доступу, зміни
+паролів запуску від імені користувача (sudo) та використання autofs. У
+налаштовуванні керування доступом на боці клієнта немає потреби.
+        </para>
+        <para>
+            Якщо у sssdconf вказано <quote>auth_provider=ad</quote> або
+<quote>access_provider=ad</quote>, для id_provider також має бути вказано
+<quote>ad</quote>.
+        </para>
+        <para>
+            Типово, модуль надання даних AD виконуватиме прив’язку до значень UID та GID
+з параметра objectSID у Active Directory. Докладніший опис наведено у
+розділі «ВСТАНОВЛЕННЯ ВІДПОВІДНОСТІ ІДЕНТИФІКАТОРІВ». Якщо вам потрібно
+вимкнути встановлення відповідності ідентифікаторів і покладатися на
+атрибути POSIX, визначені у Active Directory, вам слід встановити
+<programlisting>
+ldap_id_mapping = False
+            </programlisting> Якщо має бути використано
+атрибути POSIX, рекомендуємо з міркувань швидкодії виконувати також
+реплікацію атрибутів до загального каталогу. Якщо виконується реплікація
+атрибутів POSIX, SSSD намагатиметься знайти домен числового ідентифікатора
+із запиту за допомогою загального каталогу і шукатиме лише цей домен. І
+навпаки, якщо реплікація атрибутів POSIX до загального каталогу не
+відбувається, SSSD доводиться шукати на усіх доменах у лісі послідовно. Будь
+ласка, зауважте, що для пришвидшення пошуку без доменів також може бути
+корисним використання параметра <quote>cache_first</quote>. Зауважте, що
+якщо у загальному каталозі є лише підмножина атрибутів POSIX, у поточній
+версії невідтворювані атрибути з порту LDAP не читатимуться.
+        </para>
+        <para>
+            Дані щодо користувачів, груп та інших записів, які обслуговуються SSSD, у
+модулі надання даних AD завжди обробляються із врахуванням регістру символів
+для забезпечення сумісності з реалізацією Active Directory у LDAP.
+        </para>
+        <para>
+            SSSD може встановлювати відповідність лише груп захисту Active
+Directory. Щоб дізнатися більше про типи груп AD, ознайомтеся із <ulink
+url="https://docs.microsoft.com/en-us/windows-server/identity/ad-ds/manage/understand-security-groups">
+підручником з груп захисту Active Directory</ulink>
+        </para>
+        <para>
+            SSSD відфільтровуватиме локальні для домену групи від віддалених доменів у
+лісі AD. Типово, групи буде відфільтровано, наприклад при слідуванні за
+вкладеною ієрархією груп у віддалених доменах, оскільки вони не є чинними у
+локальних доменах. Так зроблено для забезпечення узгодженості з призначенням
+груп і участі у них Active Directory, яку можна переглянути у PAC квитка
+Kerberos користувача, який видано Active Directory.
+        </para>
+    </refsect1>
+
+    <refsect1 id='configuration-options'>
+        <title>ПАРАМЕТРИ НАЛАШТУВАННЯ</title>
+        <para>Зверніться до розділу «РОЗДІЛИ ДОМЕНІВ» сторінки довідника (man)
+<citerefentry> <refentrytitle>sssd.conf</refentrytitle>
+<manvolnum>5</manvolnum> </citerefentry>, щоб дізнатися більше про
+налаштування домену SSSD. <variablelist>
+                <varlistentry>
+                    <term>ad_domain (рядок)</term>
+                    <listitem>
+                        <para>
+                            Визначає назву домену Active Directory. Є необов’язковим. Якщо не вказано,
+буде використано назву домену з налаштувань.
+                        </para>
+                        <para>
+                            Для забезпечення належної роботи цей параметр слід вказати у форматі запису
+малими літерами повної версії назви домену Active Directory.
+                        </para>
+                        <para>
+                            Скорочена назва домену (також відома як назва NetBIOS або проста назва)
+автоматично визначається засобами SSSD.
+                        </para>
+                    </listitem>
+                </varlistentry>
+
+                <varlistentry>
+                    <term>ad_enabled_domains (рядок)</term>
+                    <listitem>
+                        <para>
+                            A comma-separated list of enabled Active Directory domains. If provided,
+SSSD will ignore any domains not listed in this option. If left unset, all
+discovered domains from the AD forest will be available.
+                        </para>
+                        <para>
+                            During the discovery of the domains SSSD will filter out some domains where
+flags or attributes indicate that they do not belong to the local forest or
+are not trusted. If ad_enabled_domains is set, SSSD will try to enable all
+listed domains.
+                        </para>
+                        <para>
+                            Для належного функціонування значення цього параметра має бути вказано
+малими літерами у форматі повної назви домену Active Directory. Приклад:
+<programlisting>
+ad_enabled_domains = sales.example.com, eng.example.com
+                            </programlisting>
+                        </para>
+                        <para>
+                            Скорочена назва домену (також відома як назва NetBIOS або проста назва)
+автоматично визначається засобами SSSD.
+                        </para>
+                        <para>
+                            Типове значення: не встановлено
+                        </para>
+                    </listitem>
+                </varlistentry>
+
+                <varlistentry>
+                    <term>ad_server, ad_backup_server (рядок)</term>
+                    <listitem>
+                        <para>
+                            Список назв тих вузлів серверів AD, відокремлених комами, з якими SSSD має
+встановлювати з'єднання у порядку пріоритетності. Щоб дізнатися більше про
+резервне використання серверів, ознайомтеся із розділом
+<quote>РЕЗЕРВ</quote>.
+                        </para>
+                        <para>
+                            Цей список є необов’язковим, якщо увімкнено автоматичне виявлення
+служб. Докладніші відомості щодо автоматичного виявлення служб наведено у
+розділі «ПОШУК СЛУЖБ».
+                        </para>
+                        <para>
+                            Зауваження: довірені домени завжди автоматично визначають сервери, навіть
+якщо основний сервер явним чином визначено у параметрі ad_server.
+                        </para>
+                    </listitem>
+                </varlistentry>
+
+                <varlistentry>
+                    <term>ad_hostname (рядок)</term>
+                    <listitem>
+                        <para>
+                            Є необов'язковим. У системах, де hostname(5) не видає повноцінної назви,
+sssd намагається розгорнути скорчену назву. Якщо це не вдасться зробити або
+слід насправді використовувати скорочену назву, встановіть значення
+параметра явним чином.
+                        </para>
+                        <para>
+                            Це поле використовується для визначення використаного реєстраційного запису
+вузла у таблиці ключів та виконання динамічних оновлень DNS. Його вміст має
+збігатися із назвою вузла, для якого випущено таблицю ключів.
+                        </para>
+                    </listitem>
+                </varlistentry>
+
+                <varlistentry>
+                    <term>ad_enable_dns_sites (булеве значення)</term>
+                    <listitem>
+                        <para>
+                            Вмикає сайти DNS — визначення служб на основі адрес.
+                        </para>
+                        <para>
+                            Якщо вказано значення true і увімкнено визначення служб (див. розділ щодо
+пошуку служб у нижній частині сторінки підручника (man)), SSSD спочатку
+спробує визначити сервер Active Directory для встановлення з’єднання на
+основі використання визначення сайтів Active Directory і повертається до
+визначення за записами SRV DNS, якщо сайт AD не буде знайдено. Налаштування
+SRV DNS, зокрема домен пошуку, використовуються також під час визначення
+сайтів.
+                        </para>
+                        <para>
+                            Типове значення: true
+                        </para>
+                    </listitem>
+                </varlistentry>
+
+                <varlistentry>
+                    <term>ad_access_filter (рядок)</term>
+                    <listitem>
+                        <para>
+                            Цей параметр визначає фільтр керування доступом LDAP, якому має відповідати
+запис користувача для того, щоб йому було надано доступ. Будь ласка,
+зауважте, що слід явним чином встановити для параметра «access_provider»
+значення «ad», щоб цей параметр почав діяти.
+                        </para>
+                        <para>
+                            У параметрі також передбачено підтримку визначення різних фільтрів для
+окремих доменів або дерев. Цей розширений фільтр повинен мати такий формат:
+«КЛЮЧОВЕ СЛОВО:НАЗВА:ФІЛЬТР». Набір підтримуваних ключових слів: «DOM»,
+«FOREST» або ключове слово слід пропустити.
+                        </para>
+                        <para>
+                            Якщо вказано ключове слово «DOM» або ключового слова не вказано, «НАЗВА»
+визначає домен або піддомен, до якого застосовується фільтрування. Якщо
+ключовим словом є «FOREST», фільтр застосовується до усіх доменів з лісу,
+вказаного значенням «НАЗВА».
+                        </para>
+                        <para>
+                            Декілька фільтрів можна відокремити символом «?», подібно до способу
+визначення фільтрів у базах для пошуку.
+                        </para>
+                        <para>
+                            Визначення участі у вкладених групах має відбуватися із використанням
+спеціалізованого OID <quote>:1.2.840.113556.1.4.1941:</quote>, окрім повних
+синтаксичних конструкцій DOM:domain.example.org:, щоб засіб обробки не
+намагався інтерпретувати символи двокрапки, пов'язані з OID. Якщо ви не
+використовуєте цей OID, вкладена участь у групах не
+визначатиметься. Ознайомтеся із прикладом використання, який наведено нижче,
+і цим посиланням, щоб дізнатися більше про OID: <ulink
+url="https://msdn.microsoft.com/en-us/library/cc223367.aspx">[MS-ADTS]
+Правила встановлення відповідності у LDAP</ulink>
+                        </para>
+                        <para>
+                            Завжди використовується відповідник з найвищим рівнем
+відповідності. Наприклад, якщо визначено фільтрування для домену, учасником
+якого є користувач, і загальне фільтрування, буде використано фільтрування
+для окремого домену. Якщо буде виявлено декілька відповідників з однаковою
+специфікацією, використовуватиметься лише перший з них.
+                        </para>
+                        <para>
+                            Приклади:
+                        </para>
+                        <programlisting>
+# застосувати фільтрування лише для домену з назвою dom1:
+dom1:(memberOf=cn=admins,ou=groups,dc=dom1,dc=com)
+
+# застосувати фільтрування лише для домену з назвою dom2:
+DOM:dom2:(memberOf=cn=admins,ou=groups,dc=dom2,dc=com)
+
+# застосувати фільтрування лише для лісу з назвою EXAMPLE.COM:
+FOREST:EXAMPLE.COM:(memberOf=cn=admins,ou=groups,dc=example,dc=com)
+
+# застосувати фільтрування до учасника вкладеної групи у dom1:
+DOM:dom1:(memberOf:1.2.840.113556.1.4.1941:=cn=nestedgroup,ou=groups,dc=example,dc=com)
+                        </programlisting>
+                        <para>
+                            Типове значення: не встановлено
+                        </para>
+                    </listitem>
+                </varlistentry>
+
+                <varlistentry>
+                    <term>ad_site (рядок)</term>
+                    <listitem>
+                        <para>
+                          Визначає сайт AD, з яким має встановлювати з’єднання клієнт. Якщо не буде
+вказано, виконуватиметься спроба автоматичного визначення сайта AD.
+                        </para>
+                        <para>
+                            Типове значення: не встановлено
+                        </para>
+                    </listitem>
+                </varlistentry>
+
+                <varlistentry>
+                    <term>ad_enable_gc (булеве значення)</term>
+                    <listitem>
+                        <para>
+                            Типово, SSSD для отримання даних користувачів з надійних (довірених) доменів
+спочатку встановлює з’єднання із загальним каталогом (Global Catalog). Якщо
+ж отримати дані не вдасться, система використовує порт LDAP для отримання
+даних щодо участі у групах. Вимикання цього параметра призведе до того, що
+SSSD встановлюватиме зв’язок лише з портом LDAP поточного сервера AD.
+                        </para>
+                        <para>
+                            Будь ласка, зауважте, що вимикання підтримки загального каталогу (Global
+Catalog) не призведе до вимикання спроб отримати дані користувачів з
+надійних (довірених) доменів. Просто SSSD намагатиметься отримати ці ж дані
+за допомогою порту LDAP надійних доменів. Втім, загальним каталогом (Global
+Catalog) доведеться скористатися для визначення зв’язків даних щодо участі у
+групах для різних доменів.
+                        </para>
+                        <para>
+                            Типове значення: true
+                        </para>
+                    </listitem>
+                </varlistentry>
+
+                <varlistentry>
+                    <term>ad_gpo_access_control (рядок)</term>
+                    <listitem>
+                        <para>
+                            Цей параметр визначає режим роботи для функціональних можливостей керування
+доступом на основі GPO: працюватиме система у вимкненому режимі, режимі
+примушення чи дозвільному режимі. Будь ласка, зауважте, що для того, щоб цей
+параметр запрацював, слід явним чином встановити для параметра
+«access_provider» значення «ad».
+                        </para>
+                        <para>
+                            Функціональні можливості з керування доступом на основі GPO використовують
+параметри правил GPO для визначення того, може чи не може той чи інший
+користувач увійти до системи вузла мережі. Якщо вам потрібна докладніша
+інформація щодо підтримуваних параметрів правил, зверніться до параметрів
+<quote>ad_gpo_map</quote>.
+                        </para>
+                        <para>
+                            Будь ласка, зверніть увагу на те, що у поточній версії SSSD не передбачено
+підтримки вбудованих груп Active Directory Вбудовані групи до правил
+керування доступом на основі GPO (зокрема Administrators із SID
+S-1-5-32-544) SSSD просто ігноруватиме. Див. запис системи стеження за
+вадами https://pagure.io/SSSD/sssd/issue/5063 .
+                        </para>
+                        <para>
+                            Перед виконанням керування доступом SSSD застосовує захисне фільтрування на
+основі правил груп до списку GPO. Для кожного входу користувача до системи
+програма перевіряє застосовність GPO, які пов'язано із відповідним
+вузлом. Щоб GPO можна було застосувати до користувача, користувач або
+принаймні одна з груп, до яких він належить, повинен мати такі права доступу
+до GPO:
+                            <itemizedlist>
+                                <listitem>
+                                    <para>
+                                        Read: користувач або одна з його груп повинна мати доступ до читання
+властивостей GPO (RIGHT_DS_READ_PROPERTY)
+                                    </para>
+                                </listitem>
+                                <listitem>
+                                    <para>
+                                        Apply Group Policy: користувач або принаймні одна з його груп повинна мати
+доступ до застосування GPO (RIGHT_DS_CONTROL_ACCESS).
+                                    </para>
+                                </listitem>
+                            </itemizedlist>
+                        </para>
+                        <para>
+                            Типово, у GPO є група Authenticated Users, для якої встановлено одразу права
+доступу Read та Apply Group Policy. Оскільки розпізнавання користувача має
+бути успішно завершено до захисного фільтрування GPO і запуску керування
+доступом, до облікового запису користувача завжди застосовуються права
+доступу групи Authenticated Users щодо GPO.
+                        </para>
+                        <para>
+                            ЗАУВАЖЕННЯ: якщо встановлено режим роботи «примусовий» (enforcing), можлива
+ситуація, коли користувачі, які раніше мали доступ до входу, позбудуться
+такого доступу (через використання параметрів правил GPO). З метою полегшити
+перехід на нову систему для адміністраторів передбачено дозвільний режим
+доступу (permissive), за якого правила керування доступом не
+встановлюватимуться у примусовому порядку. Програма лише перевірятиме
+відповідність цим правилам і виводитиме до системного журналу повідомлення,
+якщо доступ було надано усупереч цим правилам. Вивчення журналу надасть
+змогу адміністраторам внести відповідні зміни до встановлення примусового
+режиму (enforcing). Для запису до журналу даних керування доступом на основі
+GPO потрібен рівень діагностики «trace functions» (див. сторінку підручника
+<citerefentry> <refentrytitle>sssctl</refentrytitle>
+<manvolnum>8</manvolnum> </citerefentry>).
+                        </para>
+                        <para>
+                            У цього параметра є три підтримуваних значення:
+                            <itemizedlist>
+                                <listitem>
+                                    <para>
+                                        disabled: правила керування доступом, засновані на GPO, не обробляються і не
+використовуються примусово.
+                                    </para>
+                                </listitem>
+                                <listitem>
+                                    <para>
+                                        enforcing: правила керування доступом, засновані на GPO, обробляються і
+використовуються примусово.
+                                    </para>
+                                </listitem>
+                                <listitem>
+                                    <para>
+                                        permissive: виконати перевірку відповідності правилам керування доступом на
+основі GPO, але не наполягати на їхньому виконанні. Якщо правила не
+виконуються, вивести до системного журналу повідомлення про те, що
+користувачеві було б заборонено доступ, якби використовувався режим
+enforcing.
+                                    </para>
+                                </listitem>
+                            </itemizedlist>
+                        </para>
+                        <para condition="gpo_default_permissive">
+                            Типове значення: permissive
+                        </para>
+                        <para condition="gpo_default_enforcing">
+                            Типове значення: enforcing
+                        </para>
+                    </listitem>
+                </varlistentry>
+
+                <varlistentry>
+                    <term>ad_gpo_implicit_deny (булеве значення)</term>
+                    <listitem>
+                        <para>
+                            Зазвичай, якщо не буде знайдено відповідних GPO, користувачам буде надано
+доступ. Якщо для цього параметра встановлено значення True, доступ
+користувачам надаватиметься, лише якщо його явним чином дозволено правилом
+GPO. Якщо ж такого дозвільного правила не буде виявлено, доступ буде
+заборонено. Цим можна скористатися для підвищення рівня захисту, але слід
+бути обережним із використанням цього параметра, оскільки за його допомогою
+можна заборонити доступ навіть користувачам у вбудованій групі
+Administrators, якщо немає правил GPO, якими надається такий доступ.
+                        </para>
+
+                        <para>
+                            Типове значення: False
+                        </para>
+
+                        <para>
+                            У наведених нижче двох таблицях проілюстровано ситуації, у яких
+користувачеві буде дозволено або відмовлено у доступі на основі прав дозволу
+або заборони входу, які визначено на боці сервера, і встановленого значення
+ad_gpo_implicit_deny.
+                        </para>
+                        <informaltable frame='all'>
+                        <tgroup cols='3'>
+                        <colspec colname='c1' align='center'/>
+                        <colspec colname='c2' align='center'/>
+                        <colspec colname='c3' align='center'/>
+                        <thead>
+                        <row><entry namest='c1' nameend='c3' align='center'>
+                            ad_gpo_implicit_deny = False (типове значення)</entry></row>
+                        <row><entry>allow-rules</entry><entry>deny-rules</entry>
+                            <entry>результати</entry></row>
+                        </thead>
+                        <tbody>
+                        <row><entry>missing</entry><entry>missing</entry>
+                            <entry><para>дозволені усі користувачі</para>
+                            </entry></row>
+                        <row><entry>missing</entry><entry>present</entry>
+                            <entry><para>дозволені лише користувачі, яких немає у deny-rules</para></entry></row>
+                        <row><entry>present</entry><entry>missing</entry>
+                            <entry><para>дозволені лише користувачі, які є у allow-rules</para></entry></row>
+                        <row><entry>present</entry><entry>present</entry>
+                            <entry><para>дозволені лише користувачі, які є в allow-rules і яких немає у deny-rules</para></entry></row>
+                        </tbody></tgroup></informaltable>
+
+                        <informaltable frame='all'>
+                        <tgroup cols='3'>
+                        <colspec colname='c1' align='center'/>
+                        <colspec colname='c2' align='center'/>
+                        <colspec colname='c3' align='center'/>
+                        <thead>
+                        <row><entry namest='c1' nameend='c3' align='center'>
+                            ad_gpo_implicit_deny = True</entry></row>
+                        <row><entry>allow-rules</entry><entry>deny-rules</entry>
+                            <entry>результати</entry></row>
+                        </thead>
+                        <tbody>
+                        <row><entry>missing</entry><entry>missing</entry>
+                            <entry><para>заборонено усіх користувачів</para>
+                            </entry></row>
+                        <row><entry>missing</entry><entry>present</entry>
+                            <entry><para>заборонено усіх користувачів</para>
+                            </entry></row>
+                        <row><entry>present</entry><entry>missing</entry>
+                            <entry><para>дозволені лише користувачі, які є у allow-rules</para></entry></row>
+                        <row><entry>present</entry><entry>present</entry>
+                            <entry><para>дозволені лише користувачі, які є в allow-rules і яких немає у deny-rules</para></entry></row>
+                        </tbody></tgroup></informaltable>
+                    </listitem>
+                </varlistentry>
+
+                <varlistentry>
+                    <term>ad_gpo_ignore_unreadable (булеве значення)</term>
+                    <listitem>
+                        <para>
+                            Зазвичай, якщо певні контейнери правил групи (об'єкта AD) відповідних
+об'єктів правил груп є непридатним до читання з SSSD, доступ користувачам
+буде заборонено. За допомогою цього параметра можна проігнорувати контейнери
+правил груп та пов'язані із ними правила, якщо їхні атрибути у контейнерах
+правил груп є непридатним до читання з SSSD.
+                        </para>
+                        <para>
+                            Типове значення: False
+                        </para>
+                    </listitem>
+                </varlistentry>
+
+
+
+                <varlistentry>
+                    <term>ad_gpo_cache_timeout (ціле число)</term>
+                    <listitem>
+                        <para>
+                            Проміжок часу між послідовними пошуками файлів правил GPO щодо сервера
+AD. Зміна може зменшити час затримки та навантаження на сервер AD, якщо
+протягом короткого періоду часу надходить багато запитів щодо керування
+доступом.
+                        </para>
+                        <para>
+                            Типове значення: 5 (секунд)
+                        </para>
+                    </listitem>
+                </varlistentry>
+
+                <varlistentry>
+                    <term>ad_gpo_map_interactive (рядок)</term>
+                    <listitem>
+                        <para>
+                            Список назв служб PAM, відокремлених комами, для яких оцінки для керування
+доступом на основі GPO виконуються на основі параметрів правил
+InteractiveLogonRight і DenyInteractiveLogonRight. Виконуватиметься оцінка
+лише тих GPO, до яких користувач має права доступу Read і Apply Group Policy
+(див. параметр <quote>ad_gpo_access_control</quote>). Якщо у якомусь із
+оброблених GPO міститься параметр заборони інтерактивного входу до системи
+для користувача або однієї з його груп, користувачеві буде заборонено
+локальний доступ. Якщо для жодного із оброблених GPO немає визначеного права
+на інтерактивний вхід до системи, користувачеві буде надано локальний
+доступ. Якщо хоча б одному зі оброблених GPO містяться параметри прав на
+інтерактивний вхід до системи, користувачеві буде надано лише локальний
+доступ, якщо він або принаймні одна з його груп є частиною параметрів
+правила.
+                        </para>
+                        <para>
+                            Зауваження: у редакторі керування правилами для груп це значення має назву
+«Дозволити локальний вхід» («Allow log on locally») та «Заборонити локальний
+вхід» («Deny log on locally»).
+                        </para>
+                        <para>
+                            Можна додати іншу назву служби PAM до типового набору за допомогою
+конструкції «+назва_служби» або явним чином вилучити назву служби PAM з
+типового набору за допомогою конструкції «-назва_служби». Наприклад, щоб
+замінити типову назву служби PAM для цього входу (наприклад, «login») з
+нетиповою назвою служби pam (наприклад, «my_pam_service»), вам слід
+скористатися такими налаштуваннями: <programlisting>
+ad_gpo_map_interactive = +my_pam_service, -login
+                            </programlisting>
+                        </para>
+                        <para>
+                            Типове значення: типовий набір назв служб PAM складається з таких значень:
+                            <itemizedlist>
+                                <listitem>
+                                    <para>
+                                        login
+                                    </para>
+                                </listitem>
+                                <listitem>
+                                    <para>
+                                        su
+                                    </para>
+                                </listitem>
+                                <listitem>
+                                    <para>
+                                        su-l
+                                    </para>
+                                </listitem>
+                                <listitem>
+                                    <para>
+                                        gdm-fingerprint
+                                    </para>
+                                </listitem>
+                                <listitem>
+                                    <para>
+                                        gdm-password
+                                    </para>
+                                </listitem>
+                                <listitem>
+                                    <para>
+                                        gdm-smartcard
+                                    </para>
+                                </listitem>
+                                <listitem>
+                                    <para>
+                                        kdm
+                                    </para>
+                                </listitem>
+                                <listitem>
+                                    <para>
+                                        lightdm
+                                    </para>
+                                </listitem>
+                                <listitem>
+                                    <para>
+                                        lxdm
+                                    </para>
+                                </listitem>
+                                <listitem>
+                                    <para>
+                                        sddm
+                                    </para>
+                                </listitem>
+                                <listitem>
+                                    <para>
+                                        unity
+                                    </para>
+                                </listitem>
+                                <listitem>
+                                    <para>
+                                        xdm
+                                    </para>
+                                </listitem>
+                            </itemizedlist>
+                        </para>
+                    </listitem>
+                </varlistentry>
+
+                <varlistentry>
+                    <term>ad_gpo_map_remote_interactive (рядок)</term>
+                    <listitem>
+                        <para>
+                            Список назв служб PAM, відокремлених комами, для яких оцінки для керування
+доступом на основі GPO виконуються на основі параметрів правил
+RemoteInteractiveLogonRight і
+DenyRemoteInteractiveLogonRight. Виконуватиметься оцінка лише тих GPO, до
+яких користувач має права доступу Read і Apply Group Policy (див. параметр
+<quote>ad_gpo_access_control</quote>). Якщо у якомусь із оброблених GPO
+міститься параметр заборони віддаленого входу до системи для користувача або
+однієї з його груп, користувачеві буде заборонено віддалений інтерактивний
+доступ. Якщо для жодного із оброблених GPO немає визначеного права на
+віддалений вхід до системи, користувачеві буде надано віддалений
+доступ. Якщо хоча б одному зі оброблених GPO містяться параметри прав на
+віддалений вхід до системи, користувачеві буде надано лише віддалений
+доступ, якщо він або принаймні одна з його груп є частиною параметрів
+правила.
+                        </para>
+                        <para>
+                            Зауваження: у редакторі керування правилами щодо груп це значення
+називається «Дозволити вхід за допомогою служб віддаленої стільниці» («Allow
+log on through Remote Desktop Services») та «Заборонити вхід за допомогою
+служб віддаленої стільниці» («Deny log on through Remote Desktop Services»).
+                        </para>
+                        <para>
+                            Можна додати іншу назву служби PAM до типового набору за допомогою
+конструкції «+назва_служби» або явним чином вилучити назву служби PAM з
+типового набору за допомогою конструкції «-назва_служби». Наприклад, щоб
+замінити типову назву служби PAM для цього входу (наприклад, «sshd») з
+нетиповою назвою служби pam (наприклад, «my_pam_service»), вам слід
+скористатися такими налаштуваннями: <programlisting>
+ad_gpo_map_remote_interactive = +my_pam_service, -sshd
+                            </programlisting>
+                        </para>
+                        <para>
+                            Типове значення: типовий набір назв служб PAM складається з таких значень:
+                            <itemizedlist>
+                                <listitem>
+                                    <para>
+                                        sshd
+                                    </para>
+                                </listitem>
+                                <listitem>
+                                    <para>
+                                        cockpit
+                                    </para>
+                                </listitem>
+                            </itemizedlist>
+                        </para>
+                    </listitem>
+                </varlistentry>
+
+                <varlistentry>
+                    <term>ad_gpo_map_network (рядок)</term>
+                    <listitem>
+                        <para>
+                            Список назв служб PAM, відокремлених комами, для яких оцінки для керування
+доступом на основі GPO виконуються на основі параметрів правил
+NetworkLogonRight і DenyNetworkLogonRight. Виконуватиметься оцінка лише тих
+GPO, до яких користувач має права доступу Read і Apply Group Policy
+(див. параметр <quote>ad_gpo_access_control</quote>). Якщо у якомусь із
+оброблених GPO міститься параметр заборони входу до системи за допомогою
+мережі для користувача або однієї з його груп, користувачеві буде заборонено
+локальний доступ. Якщо для жодного із оброблених GPO немає визначеного права
+на вхід до системи за допомогою мережі, користувачеві буде надано доступ до
+входу. Якщо хоча б одному зі оброблених GPO містяться параметри прав на вхід
+до системи за допомогою мережі, користувачеві буде надано лише доступ до
+входу до системи, якщо він або принаймні одна з його груп є частиною
+параметрів правила.
+                        </para>
+                        <para>
+                            Зауваження: у редакторі керування правилами щодо груп це значення
+називається «Відкрити доступ до цього комп’ютера із мережі» («Access this
+computer from the network») і «Заборонити доступ до цього комп’ютера із
+мережі» (Deny access to this computer from the network»).
+                        </para>
+                        <para>
+                            Можна додати іншу назву служби PAM до типового набору за допомогою
+конструкції «+назва_служби» або явним чином вилучити назву служби PAM з
+типового набору за допомогою конструкції «-назва_служби». Наприклад, щоб
+замінити типову назву служби PAM для цього входу (наприклад, «ftp») з
+нетиповою назвою служби pam (наприклад, «my_pam_service»), вам слід
+скористатися такими налаштуваннями: <programlisting>
+ad_gpo_map_network = +my_pam_service, -ftp
+                            </programlisting>
+                        </para>
+                        <para>
+                            Типове значення: типовий набір назв служб PAM складається з таких значень:
+                            <itemizedlist>
+                                <listitem>
+                                    <para>
+                                        ftp
+                                    </para>
+                                </listitem>
+                                <listitem>
+                                    <para>
+                                        samba
+                                    </para>
+                                </listitem>
+                            </itemizedlist>
+                        </para>
+                    </listitem>
+                </varlistentry>
+
+                <varlistentry>
+                    <term>ad_gpo_map_batch (рядок)</term>
+                    <listitem>
+                        <para>
+                            Список назв служб PAM, відокремлених комами, для яких оцінки для керування
+доступом на основі GPO виконуються на основі параметрів правил
+BatchLogonRight і DenyBatchLogonRight. Виконуватиметься оцінка лише тих GPO,
+до яких користувач має права доступу Read і Apply Group Policy
+(див. параметр <quote>ad_gpo_access_control</quote>). Якщо у якомусь із
+оброблених GPO міститься параметр заборони пакетного входу до системи для
+користувача або однієї з його груп, користувачеві буде заборонено доступ до
+пакетного входу до системи. Якщо для жодного із оброблених GPO немає
+визначеного права на пакетний вхід до системи, користувачеві буде надано
+доступ до входу до системи. Якщо хоча б одному зі оброблених GPO містяться
+параметри прав на пакетний вхід до системи, користувачеві буде надано лише
+доступ до входу до системи, якщо він або принаймні одна з його груп є
+частиною параметрів правила.
+                        </para>
+                        <para>
+                            Зауваження: у редакторі керування правилами щодо груп це значення
+називається «Дозволити вхід як пакетне завдання» («Allow log on as a batch
+job») і «Заборонити вхід як пакетне завдання» («Deny log on as a batch
+job»).
+                        </para>
+                        <para>
+                            Можна додати іншу назву служби PAM до типового набору за допомогою
+конструкції «+назва_служби» або явним чином вилучити назву служби PAM з
+типового набору за допомогою конструкції «-назва_служби». Наприклад, щоб
+замінити типову назву служби PAM для цього входу (наприклад, «crond») з
+нетиповою назвою служби pam (наприклад, «my_pam_service»), вам слід
+скористатися такими налаштуваннями: <programlisting>
+ad_gpo_map_batch = +my_pam_service, -crond
+                            </programlisting>
+                        </para>
+                        <para>Зауваження: назва служби cron у різних дистрибутивах Linux може бути різною.</para>
+                        <para>
+                            Типове значення: типовий набір назв служб PAM складається з таких значень:
+                            <itemizedlist>
+                                <listitem>
+                                    <para>
+                                        crond
+                                    </para>
+                                </listitem>
+                            </itemizedlist>
+                        </para>
+                    </listitem>
+                </varlistentry>
+
+                <varlistentry>
+                    <term>ad_gpo_map_service (рядок)</term>
+                    <listitem>
+                        <para>
+                            Список назв служб PAM, відокремлених комами, для яких оцінки для керування
+доступом на основі GPO виконуються на основі параметрів правил
+ServiceLogonRight і DenyServiceLogonRight. Виконуватиметься оцінка лише тих
+GPO, до яких користувач має права доступу Read і Apply Group Policy
+(див. параметр <quote>ad_gpo_access_control</quote>). Якщо у якомусь із
+оброблених GPO міститься параметр заборони входу до системи за допомогою
+служб для користувача або однієї з його груп, користувачеві буде заборонено
+вхід до системи за допомогою служб. Якщо для жодного із оброблених GPO немає
+визначеного права на вхід до системи за допомогою служб, користувачеві буде
+надано доступ до входу до системи. Якщо хоча б одному зі оброблених GPO
+містяться параметри прав на вхід до системи за допомогою служб,
+користувачеві буде надано лише доступ до входу до системи, якщо він або
+принаймні одна з його груп є частиною параметрів правила.
+                        </para>
+                        <para>
+                            Зауваження: у редакторі керування правилами щодо груп це значення
+називається «Дозволити вхід як службу» («Allow log on as a service») і
+«Заборонити вхід як службу» («Deny log on as a service»).
+                        </para>
+                        <para>
+                            Можна додати іншу назву служби PAM до типового набору за допомогою
+конструкції «+назва_служби». Оскільки типовий набір є порожнім, назви служби
+з типового набору назв служб PAM вилучити неможливо. Наприклад, щоб додати
+нетипову назву служби PAM (наприклад, «my_pam_service»), вам слід
+скористатися такими налаштуваннями: <programlisting>
+ad_gpo_map_service = +my_pam_service
+                            </programlisting>
+                        </para>
+                        <para>
+                          Типове значення: not set
+                        </para>
+                    </listitem>
+                </varlistentry>
+
+                <varlistentry>
+                    <term>ad_gpo_map_permit (рядок)</term>
+                    <listitem>
+                        <para>
+                            Список назв служб PAM, відокремлених комами, яким завжди надається доступ на
+основі GPO, незалежно від будь-яких прав входу GPO.
+                        </para>
+                        <para>
+                            Можна додати іншу назву служби PAM до типового набору за допомогою
+конструкції «+назва_служби» або явним чином вилучити назву служби PAM з
+типового набору за допомогою конструкції «-назва_служби». Наприклад, щоб
+замінити типову назву служби PAM для безумовного дозволеного доступу
+(наприклад, «sudo») з нетиповою назвою служби pam (наприклад,
+«my_pam_service»), вам слід скористатися такими налаштуваннями: <programlisting>
+ad_gpo_map_permit = +my_pam_service, -sudo
+                            </programlisting>
+                        </para>
+                        <para>
+                            Типове значення: типовий набір назв служб PAM складається з таких значень:
+                            <itemizedlist>
+                                <listitem>
+                                    <para>
+                                        polkit-1
+                                    </para>
+                                </listitem>
+                                <listitem>
+                                    <para>
+                                        sudo
+                                    </para>
+                                </listitem>
+                                <listitem>
+                                    <para>
+                                        sudo-i
+                                    </para>
+                                </listitem>
+                                <listitem>
+                                    <para>
+                                        systemd-user
+                                    </para>
+                                </listitem>
+                            </itemizedlist>
+                        </para>
+                    </listitem>
+                </varlistentry>
+
+                <varlistentry>
+                    <term>ad_gpo_map_deny (рядок)</term>
+                    <listitem>
+                        <para>
+                            Список назв служб PAM, відокремлених комами, яким завжди заборонено доступ
+на основі GPO, незалежно від будь-яких прав входу GPO.
+                        </para>
+                        <para>
+                            Можна додати іншу назву служби PAM до типового набору за допомогою
+конструкції «+назва_служби». Оскільки типовий набір є порожнім, назви служби
+з типового набору назв служб PAM вилучити неможливо. Наприклад, щоб додати
+нетипову назву служби PAM (наприклад, «my_pam_service»), вам слід
+скористатися такими налаштуваннями: <programlisting>
+ad_gpo_map_deny = +my_pam_service
+                            </programlisting>
+                        </para>
+                        <para>
+                          Типове значення: not set
+                        </para>
+                    </listitem>
+                </varlistentry>
+
+                <varlistentry>
+                    <term>ad_gpo_default_right (рядок)</term>
+                    <listitem>
+                        <para>
+                            За допомогою цього параметра визначається спосіб керування доступом для назв
+служб PAM, які не вказано явним чином у одному з параметрів
+ad_gpo_map_*. Цей параметр може бути встановлено у два різних
+способи. По-перше, цей параметр можна встановити так, що
+використовуватиметься типовий вхід. Наприклад, якщо для цього параметра
+встановлено значення «interactive», непов’язані назви служб PAM
+оброблятимуться на основі параметрів правил InteractiveLogonRight і
+DenyInteractiveLogonRight. Крім того, для цього параметра можна встановити
+таке значення, щоб система завжди дозволяла або забороняла доступ для
+непов’язаних назв служб PAM.
+                        </para>
+                        <para>
+                            Передбачені значення для цього параметра:
+                            <itemizedlist>
+                                <listitem>
+                                    <para>
+                                        interactive
+                                    </para>
+                                </listitem>
+                                <listitem>
+                                    <para>
+                                        remote_interactive
+                                    </para>
+                                </listitem>
+                                <listitem>
+                                    <para>
+                                        network
+                                    </para>
+                                </listitem>
+                                <listitem>
+                                    <para>
+                                        batch
+                                    </para>
+                                </listitem>
+                                <listitem>
+                                    <para>
+                                        service
+                                    </para>
+                                </listitem>
+                                <listitem>
+                                    <para>
+                                        permit
+                                    </para>
+                                </listitem>
+                                <listitem>
+                                    <para>
+                                        deny
+                                    </para>
+                                </listitem>
+                            </itemizedlist>
+                        </para>
+                        <para>
+                            Типове значення: deny
+                        </para>
+                    </listitem>
+                </varlistentry>
+
+                <varlistentry>
+                    <term>ad_maximum_machine_account_password_age (ціле число)</term>
+                    <listitem>
+                        <para>
+                            SSSD перевірятиме раз на день, чи має пароль до облікового запису комп'ютера
+вік, який перевищує заданий вік у днях, і намагатиметься оновити
+його. Значення 0 вимкне спроби оновлення.
+                        </para>
+                        <para>
+                            Типове значення: 30 днів
+                        </para>
+                    </listitem>
+                </varlistentry>
+
+                <varlistentry>
+                    <term>ad_machine_account_password_renewal_opts (рядок)</term>
+                    <listitem>
+                        <para>
+                            Цей параметр має використовуватися лише для перевірки завдання із оновлення
+облікових записів комп'ютерів. Параметру слід передати цілих числа,
+відокремлених двокрапкою («:»). Перше ціле число визначає інтервал у
+секундах між послідовними повторними виконаннями завдання з оновлення. Друге
+— визначає початковий час очікування на перший запуск завдання.
+                        </para>
+                        <para>
+                            Типове значення: 86400:750 (24 годин і 15 хвилин)
+                        </para>
+                    </listitem>
+                </varlistentry>
+
+                <varlistentry>
+                    <term>ad_update_samba_machine_account_password (булеве значення)</term>
+                    <listitem>
+                        <para>
+                            Якщо увімкнено, при оновленні SSSD пароля до облікового запису комп'ютера
+програма також оновить запис пароля у базі даних Samba. Таким чином буде
+забезпечено актуальність копії пароля до облікового запису у Samba, якщо її
+налаштовано на використання AD для розпізнавання.
+                        </para>
+                        <para>
+                            Типове значення: false
+                        </para>
+                    </listitem>
+                </varlistentry>
+
+                <varlistentry>
+                    <term>ad_use_ldaps (булеве значення)</term>
+                    <listitem>
+                        <para>
+                            Типово, у SSSD використовується звичайний порт LDAP 389 і порт Global
+Catalog 3628. Якщо для цього параметра встановлено значення True, SSSD
+використовуватиме порт LDAPS 636 і порт Global Catalog 3629 із захистом
+LDAPS. Оскільки AD забороняє використання декількох шарів шифрування для
+одного з'єднання, і нам усе ще потрібне використання SASL/GSSAPI або
+SASL/GSS-SPNEGO для розпізнавання, властивість захисту SASL maxssf для таких
+з'єднань буде встановлено у значення 0 (нуль).
+                        </para>
+                        <para>
+                            Типове значення: False
+                        </para>
+                    </listitem>
+                </varlistentry>
+
+                <varlistentry>
+                    <term>ad_allow_remote_domain_local_groups (булеве значення)</term>
+                    <listitem>
+                        <para>
+                            Якщо для цього параметра встановлено значення <quote>true</quote>, SSSD не
+відфільтровуватиме локальні для домену групи від віддалених доменів у лісі
+AD. Типово, групи буде відфільтровано, наприклад при слідуванні за вкладеною
+ієрархією груп у віддалених доменах, оскільки вони не є чинними у локальних
+доменах. Цей параметр було додано для сумісності із іншими рішеннями, які
+роблять користувачів і групи AD доступними у клієнті Linux.
+                        </para>
+                        <para>
+                            Будь ласка, зауважте, що встановлення для цього параметра значення
+<quote>true</quote> суперечить призначенню локальної групи домену в Active
+Directory, <emphasis>НИМ СЛІД КОРИСТУВАТИСЯ ЛИШЕ ДЛЯ ПОЛЕГШЕННЯ МІГРАЦІЇ З
+ІНШИХ РІШЕНЬ</emphasis>. Хоча група існує і користувач може бути учасником
+групи, їх призначено для використання лише у визначеному для неї домену, а
+не в інших. Оскільки існує лише один тип груп POSIX, єдиним способом досягти
+цього з боку Linux є ігнорування цих груп. Зробити це можна також у Active
+Directory, як можна бачити у PAC квитка Kerberos для локальної служби, або у
+запитах tokenGroups, де також немає віддалених груп локальних доменів.
+                        </para>
+                        <para>
+                            З огляду на наведені вище коментарі, якщо для цього параметра встановлено
+значення <quote>true</quote>, запит tokenGroups має бути вимкнено
+встановленням <quote>ldap_use_tokengroups</quote> у значення
+<quote>false</quote> для отримання узгодженого членства користувачів у
+групах. Крім того, пошук у загальному каталозі має бути пропущено
+встановленням для параметра <quote>ad_enable_gc</quote> значення
+<quote>false</quote>. Нарешті, можливо, слід внести зміни до
+<quote>ldap_group_nesting_level</quote>, якщо віддалені локальні групи
+домену може бути знайдено лише на глибшому рівні вкладеності.
+                        </para>
+                        <para>
+                            Типове значення: False
+                        </para>
+                    </listitem>
+                </varlistentry>
+
+                <varlistentry>
+                    <term>dyndns_update (булеве значення)</term>
+                    <listitem>
+                        <para>
+                            Необов’язковий. За допомогою цього параметра можна наказати SSSD автоматично
+оновити IP-адресу цього клієнта на сервері DNS Active Directory. Захист
+оновлення буде забезпечено за допомогою GSS-TSIG. Як наслідок,
+адміністраторові Active Directory достатньо буде дозволити оновлення безпеки
+для зони DNS. Для оновлення буде використано IP-адресу з’єднання LDAP AD,
+якщо цю адресу не було змінено за допомогою параметра «dyndns_iface».
+                        </para>
+                        <para>
+                            ЗАУВАЖЕННЯ: на застарілих системах (зокрема RHEL 5) для надійної роботи у
+цьому режимі типову область дії Kerberos має бути належним чином визначено у
+/etc/krb5.conf
+                        </para>
+                        <para>
+                            Типове значення: true
+                        </para>
+                    </listitem>
+                </varlistentry>
+
+                <varlistentry>
+                    <term>dyndns_ttl (ціле число)</term>
+                    <listitem>
+                        <para>
+                            TTL, до якого буде застосовано клієнтський запис DNS під час його
+оновлення. Якщо dyndns_update має значення false, цей параметр буде
+проігноровано. Перевизначає TTL на боці сервера, якщо встановлено
+адміністратором.
+                        </para>
+                        <para>
+                            Типове значення: 3600 (секунд)
+                        </para>
+                    </listitem>
+                </varlistentry>
+
+                <varlistentry>
+                    <term>dyndns_iface (рядок)</term>
+                    <listitem>
+                        <para>
+                            Необов'язковий. Застосовний, лише якщо dyndns_update має значення
+true. Виберіть інтерфейс або список інтерфейсів, чиї IP-адреси має бути
+використано для динамічних оновлень DNS. Спеціальне значення
+<quote>*</quote> означає, що слід використовувати IP-адреси з усіх
+інтерфейсів.
+                        </para>
+                        <para>
+                            Типове значення: використовувати IP-адреси інтерфейсу, який використовується
+для з’єднання LDAP AD
+                        </para>
+                        <para>
+                            Приклад: dyndns_iface = em1, vnet1, vnet2
+                        </para>
+                    </listitem>
+                </varlistentry>
+
+                <varlistentry>
+                    <term>dyndns_refresh_interval (ціле число)</term>
+                    <listitem>
+                        <para>
+                            Визначає, наскільки часто серверний модуль має виконувати періодичні
+оновлення DNS на додачу до автоматичного оновлення, яке виконується під час
+кожного встановлення з’єднання серверного модуля з мережею. Цей параметр не
+є обов’язкоми, його застосовують, лише якщо dyndns_update має значення
+true. Зауважте, що найменшим можливим значенням є 60 секунд. Якщо буде
+вказано значення, яке є меншим за 60, використовуватиметься найменше можливе
+значення.
+                        </para>
+                        <para>
+                            Типове значення: 86400 (24 години)
+                        </para>
+                    </listitem>
+                </varlistentry>
+
+                <varlistentry>
+                    <term>dyndns_update_ptr (булеве значення)</term>
+                    <listitem>
+                        <para>
+                            Визначає, чи слід явним чином оновлювати запис PTR під час оновлення записів
+DNS клієнта. Застосовується, лише якщо значенням dyndns_update буде true.
+                        </para>
+                        <para>
+                            Note that <emphasis>dyndns_update_per_family</emphasis> parameter does not
+apply for PTR record updates.  Those updates are always sent separately.
+                        </para>
+                        <para>
+                            Типове значення: True
+                        </para>
+                    </listitem>
+                </varlistentry>
+
+                <varlistentry>
+                    <term>dyndns_force_tcp (булеве значення)</term>
+                    <listitem>
+                        <para>
+                            Визначає, чи слід у програмі nsupdate типово використовувати TCP для обміну
+даними з сервером DNS.
+                        </para>
+                        <para>
+                            Типове значення: False (надати змогу nsupdate вибирати протокол)
+                        </para>
+                    </listitem>
+                </varlistentry>
+
+                <varlistentry>
+                    <term>dyndns_auth (рядок)</term>
+                    <listitem>
+                        <para>
+                            Визначає, чи має використовувати допоміжний засіб nsupdate розпізнавання
+GSS-TSIG для безпечних оновлень за допомогою сервера DNS, незахищені
+оновлення можна надсилати встановленням для цього параметра значення «none».
+                        </para>
+                        <para>
+                            Типове значення: GSS-TSIG
+                        </para>
+                    </listitem>
+                </varlistentry>
+
+                <varlistentry>
+                    <term>dyndns_auth_ptr (рядок)</term>
+                    <listitem>
+                        <para>
+                            Визначає, чи має використовувати допоміжний засіб nsupdate розпізнавання
+GSS-TSIG для безпечних оновлень PTR за допомогою сервера DNS, незахищені
+оновлення можна надсилати встановленням для цього параметра значення «none».
+                        </para>
+                        <para>
+                            Типове значення: те саме, що і dyndns_auth
+                        </para>
+                    </listitem>
+                </varlistentry>
+
+                <varlistentry>
+                    <term>dyndns_server (рядок)</term>
+                    <listitem>
+                        <para>
+                            Сервер DNS, який слід використовувати для виконання оновлення DNS. У
+більшості конфігурацій рекомендуємо не встановлювати значення для цього
+параметра.
+                        </para>
+                        <para>
+                            Встановлення значення для цього параметра потрібне для середовищ, де сервер
+DNS відрізняється від сервера профілів.
+                        </para>
+                        <para>
+                            Будь ласка, зауважте, що цей параметр буде використано лише для резервних
+спроб, якщо попередні спроби із використанням автовиявлення завершаться
+невдало.
+                        </para>
+                        <para>
+                            Типове значення: немає (надати nsupdate змогу вибирати сервер)
+                        </para>
+                    </listitem>
+                </varlistentry>
+
+                <varlistentry>
+                    <term>dyndns_update_per_family (булеве значення)</term>
+                    <listitem>
+                        <para>
+                            Оновлення DNS, типово, виконується у два кроки — оновлення IPv4, а потім
+оновлення IPv6. Іноді бажаним є виконання оновлення IPv4 і IPv6 за один
+крок.
+                        </para>
+                        <para>
+                            Типове значення: true
+                        </para>
+                    </listitem>
+                </varlistentry>
+
+                <xi:include xmlns:xi="http://www.w3.org/2001/XInclude" href="include/override_homedir.xml" />
+                <xi:include xmlns:xi="http://www.w3.org/2001/XInclude" href="include/homedir_substring.xml" />
+
+                <varlistentry>
+                    <term>krb5_confd_path (рядок)</term>
+                    <listitem>
+                        <para>
+                            Абсолютний шлях до каталогу, у якому SSSD має зберігати фрагменти
+налаштувань Kerberos.
+                        </para>
+                        <para>
+                            Щоб вимкнути створення фрагментів налаштувань, встановіть для параметра
+значення «none».
+                        </para>
+                        <para>
+                            Типове значення: не встановлено (підкаталог krb5.include.d каталогу pubconf
+SSSD)
+                        </para>
+                    </listitem>
+                </varlistentry>
+            </variablelist>
+        </para>
+    </refsect1>
+
+    <xi:include xmlns:xi="http://www.w3.org/2001/XInclude" href="include/ad_modified_defaults.xml" />
+
+    <xi:include xmlns:xi="http://www.w3.org/2001/XInclude" href="include/failover.xml" />
+
+    <xi:include xmlns:xi="http://www.w3.org/2001/XInclude" href="include/service_discovery.xml" />
+
+    <xi:include xmlns:xi="http://www.w3.org/2001/XInclude" href="include/ldap_id_mapping.xml" />
+
+    <refsect1 id='example'>
+        <title>ПРИКЛАД</title>
+        <para>
+            У наведеному нижче прикладі припускаємо, що SSSD налаштовано належним чином,
+а example.com є одним з доменів у розділі
+<replaceable>[sssd]</replaceable>. У прикладі продемонстровано лише
+параметри доступу, специфічні для засобу AD.
+        </para>
+        <para>
+<programlisting>
+[domain/EXAMPLE]
+id_provider = ad
+auth_provider = ad
+access_provider = ad
+chpass_provider = ad
+
+ad_server = dc1.example.com
+ad_hostname = client.example.com
+ad_domain = example.com
+</programlisting>
+        </para>
+    </refsect1>
+
+    <refsect1 id='notes'>
+        <title>ЗАУВАЖЕННЯ</title>
+        <para>
+            Інструмент керування доступом AD перевіряє, чи не завершено строк дії
+облікового запису. Дає той самий результат, що і ось таке налаштовування
+інструмента надання даних LDAP: <programlisting>
+access_provider = ldap
+ldap_access_order = expire
+ldap_account_expire_policy = ad
+</programlisting>
+        </para>
+        <para>
+            Втім, якщо явно не налаштовано засіб надання доступу «ad», типовим засобом
+надання доступу буде «permit». Будь ласка, зауважте, що якщо вами
+налаштовано засіб надання доступу, відмінний від «ad», вам доведеться
+встановлювати усі параметри з’єднання (зокрема адреси LDAP та параметри
+шифрування) вручну.
+        </para>
+        <para>
+            Якщо для засобу надання даних autofs встановлено значення <quote>ad</quote>,
+використовується схема прив'язки атрибутів RFC2307 (nisMap, nisObject, ...),
+оскільки ці атрибути включено до типової схеми Active Directory.
+        </para>
+        <para>
+        </para>
+    </refsect1>
+
+	<xi:include xmlns:xi="http://www.w3.org/2001/XInclude" href="include/seealso.xml" />
+
+</refentry>
+</reference>
diff --git a/src/man/uk/sssd-files.5.xml b/src/man/uk/sssd-files.5.xml
new file mode 100644
index 0000000..de2c786
--- /dev/null
+++ b/src/man/uk/sssd-files.5.xml
@@ -0,0 +1,162 @@
+<?xml version="1.0" encoding="UTF-8"?>
+<!DOCTYPE reference PUBLIC "-//OASIS//DTD DocBook V4.4//EN"
+"http://www.oasis-open.org/docbook/xml/4.4/docbookx.dtd">
+<reference>
+<title>Сторінки підручника SSSD</title>
+<refentry>
+    <xi:include xmlns:xi="http://www.w3.org/2001/XInclude" href="include/upstream.xml" />
+
+    <refmeta>
+        <refentrytitle>sssd-files</refentrytitle>
+        <manvolnum>5</manvolnum>
+        <refmiscinfo class="manual">Формати файлів та правила</refmiscinfo>
+    </refmeta>
+
+    <refnamediv id='name'>
+        <refname>sssd-files</refname>
+        <refpurpose>Засіб надання файлів SSSD</refpurpose>
+    </refnamediv>
+
+    <refsect1 id='description'>
+        <title>ОПИС</title>
+        <para>
+            На цій сторінці довідника описано налаштування засобу обробки файлів для
+<citerefentry> <refentrytitle>sssd</refentrytitle> <manvolnum>8</manvolnum>
+</citerefentry>. Щоб дізнатися більше про синтаксис налаштування, зверніться
+до розділу «ФОРМАТ ФАЙЛА» сторінки довідника <citerefentry>
+<refentrytitle>sssd.conf</refentrytitle> <manvolnum>5</manvolnum>
+</citerefentry>.
+        </para>
+        <para>
+            Засіб надання даних файлів створює дзеркальну копію вмісту файлів
+<citerefentry> <refentrytitle>passwd</refentrytitle>
+<manvolnum>5</manvolnum> </citerefentry> і <citerefentry>
+<refentrytitle>group</refentrytitle> <manvolnum>5</manvolnum>
+</citerefentry>. Метою роботи засобу надання даних файлів є забезпечення
+доступу до даних користувачів і груп, які традиційно доступні за допомогою
+інтерфейсів NSS, також за допомогою інтерфейсів SSSD, зокрема <citerefentry>
+<refentrytitle>sssd-ifp</refentrytitle> <manvolnum>5</manvolnum>
+</citerefentry>.
+        </para>
+        <para>
+            Іншою причиною може бути потреба у забезпеченні ефективного кешування даних
+локальних користувачів і груп.
+        </para>
+        <para>
+            Please note that besides explicit domain definition the files provider can
+be configured also implicitly using 'enable_files_domain' option. See
+<citerefentry> <refentrytitle>sssd.conf</refentrytitle>
+<manvolnum>5</manvolnum> </citerefentry> for details.
+        </para>
+        <para>
+            SSSD ніколи не виконує визначення для користувача або групи «root». Крім
+того, SSSD не обробляє запити щодо визначення UID/GID 0. Такі запити
+передаються наступному модулю NSS (зазвичай, files).
+        </para>
+        <para>
+            Якщо SSSD не запущено або програма не відповідає, nss_sss повертає код
+UNAVAIL, що спричиняє передавання запиту наступному модулю.
+        </para>
+    </refsect1>
+
+    <refsect1 id='configuration-options'>
+        <title>ПАРАМЕТРИ НАЛАШТУВАННЯ</title>
+        <para>
+            Окрім параметрів із наведеного нижче списку, можна встановлювати, де це є
+відповідним, загальні параметри домену SSSD. Зверніться до розділу
+<quote>РОЗДІЛИ ДОМЕНІВ</quote> сторінки підручника <citerefentry>
+<refentrytitle>sssd.conf</refentrytitle> <manvolnum>5</manvolnum>
+</citerefentry>, щоб дізнатися більше про налаштовування домені SSSD. Втім,
+призначенням надавача даних files є надання тих самих даних, які
+встановлюються для файлів UNIX, просто за допомогою інтерфейсів SSSD. Тому
+передбачено підтримку не усіх загальних параметрів доменів. Так само, деякі
+загальні параметри, зокрема перевизначення командної оболонки у розділі
+<quote>nss</quote> для усіх доменів, ні на що не впливають у домені files,
+якщо їх не вказано явним чином для окремих доменів. <variablelist>
+                <varlistentry>
+                    <term>passwd_files (рядок)</term>
+                    <listitem>
+                        <para>
+                            Список з однієї чи декількох відокремлених комами назв файлів паролів, які
+слід прочитати і нумерувати засобу надання даних файлів. Для кожного
+вказаного файла буде встановлено спостереження за допомогою inotify для
+динамічного виявлення внесених до нього змін.
+                        </para>
+                        <para>
+                            Типове значення: /etc/passwd
+                        </para>
+                    </listitem>
+                </varlistentry>
+
+                <varlistentry>
+                    <term>group_files (рядок)</term>
+                    <listitem>
+                        <para>
+                            Список з однієї чи декількох відокремлених комами назв файлів груп, які слід
+прочитати і нумерувати засобу надання даних файлів. Для кожного вказаного
+файла буде встановлено спостереження за допомогою inotify для динамічного
+виявлення внесених до нього змін.
+                        </para>
+                        <para>
+                            Типове значення: /etc/group
+                        </para>
+                    </listitem>
+                </varlistentry>
+
+                <varlistentry>
+                    <term>fallback_to_nss (булеве значення)</term>
+                    <listitem>
+                        <para>
+                            Під час оновлення внутрішніх даних SSSD поверне повідомлення про помилку і
+надасть змогу клієнту продовжити роботу з наступним модулем NSS. Це
+допомагає уникнути затримок при використанні типових файлів системи
+<filename>/etc/passwd</filename> і
+<filename>/etc/group</filename>. Налаштування NSS містять «sss» до «files»
+для прив'язок «passwd» і «group».
+                        </para>
+                        <para>
+                            Якщо надавача даних файлів налаштовано на спостереження за іншими файлами,
+має сенс встановлення для цього параметра значення False для уникнення
+несумісної поведінки, оскільки, загалом, не буде іншого модуля NSS, яким
+можна буде скористатися як резервним.
+                        </para>
+                        <para>
+                            Типове значення: True
+                        </para>
+                    </listitem>
+                </varlistentry>
+
+            </variablelist>
+        </para>
+    </refsect1>
+
+    <refsect1 id='example'>
+        <title>ПРИКЛАД</title>
+        <para>
+            У наведеному нижче прикладі припускається, що SSSD налаштовано належним
+чином, а files встановлено на один з доменів з розділу
+<replaceable>[sssd]</replaceable>.
+        </para>
+        <para>
+<programlisting>
+[domain/files]
+id_provider = files
+</programlisting>
+        </para>
+        <para>
+            Для балансування кешування даних локальних користувачів та груп у SSSD
+модуль nss_sss має перебувати у списку файла /etc/nsswitch.conf вище за
+модуль nss_files.
+        </para>
+        <para>
+<programlisting>
+passwd:     sss files
+group:      sss files
+</programlisting>
+        </para>
+    </refsect1>
+
+        <xi:include xmlns:xi="http://www.w3.org/2001/XInclude" href="include/seealso.xml" />
+
+</refentry>
+</reference>
diff --git a/src/man/uk/sssd-ifp.5.xml b/src/man/uk/sssd-ifp.5.xml
new file mode 100644
index 0000000..96a2bee
--- /dev/null
+++ b/src/man/uk/sssd-ifp.5.xml
@@ -0,0 +1,158 @@
+<?xml version="1.0" encoding="UTF-8"?>
+<!DOCTYPE reference PUBLIC "-//OASIS//DTD DocBook V4.4//EN"
+"http://www.oasis-open.org/docbook/xml/4.4/docbookx.dtd">
+<reference>
+<title>Сторінки підручника SSSD</title>
+<refentry>
+    <xi:include xmlns:xi="http://www.w3.org/2001/XInclude" href="include/upstream.xml" />
+
+    <refmeta>
+        <refentrytitle>sssd-ifp</refentrytitle>
+        <manvolnum>5</manvolnum>
+        <refmiscinfo class="manual">Формати файлів та правила</refmiscinfo>
+    </refmeta>
+
+    <refnamediv id='name'>
+        <refname>sssd-ifp</refname>
+        <refpurpose>Відповідач InfoPipe SSSD</refpurpose>
+    </refnamediv>
+
+    <refsect1 id='description'>
+        <title>ОПИС</title>
+        <para>
+            На цій сторінці довідника описано налаштування засобу надання відповідей
+InfoPipe для <citerefentry> <refentrytitle>sssd</refentrytitle>
+<manvolnum>8</manvolnum> </citerefentry>. Щоб дізнатися більше про синтаксис
+налаштування, зверніться до розділу «ФОРМАТ ФАЙЛІВ» сторінки довідника
+<citerefentry> <refentrytitle>sssd.conf</refentrytitle>
+<manvolnum>5</manvolnum> </citerefentry>.
+        </para>
+        <para>
+            Відповідач InfoPipe забезпечує роботу відкритого інтерфейсу D-Bus над
+системним каналом повідомлень. За допомогою цього інтерфейсу користувачі
+можуть надсилати загальносистемним каналом повідомлень запити щодо
+інформації про віддалених користувачів і групи.
+        </para>
+
+    <refsect2 id='valid_certificate'>
+        <title>ПОШУК ЗА ЧИННИМ СЕРТИФІКАТОМ</title>
+        <para>
+            Для керування тим, як буде виконуватися перевірка, якщо використано
+програмний інтерфейс FindByValidCertificate(), використовують такі
+параметри:
+            <itemizedlist>
+                <listitem><para>ca_db</para></listitem>
+                <listitem><para>p11_child_timeout</para></listitem>
+                <listitem><para>certificate_verification</para></listitem>
+            </itemizedlist>
+            Щоб дізнатися більше про параметри, ознайомтеся зі сторінкою підручника щодо
+<citerefentry> <refentrytitle>sssd.conf</refentrytitle>
+<manvolnum>5</manvolnum> </citerefentry>.
+        </para>
+    </refsect2>
+    </refsect1>
+
+    <refsect1 id='configuration-options'>
+        <title>ПАРАМЕТРИ НАЛАШТУВАННЯ</title>
+            <para>
+                Цими параметрами можна скористатися для налаштовування відповідача InfoPipe.
+            </para>
+            <variablelist>
+                <varlistentry>
+                    <term>allowed_uids (рядок)</term>
+                    <listitem>
+                        <para>
+                            Визначає список значень UID або імен користувачів, відокремлених
+комами. Користувачам з цього списку буде дозволено доступ до відповідача
+InfoPipe. UID за іменами користувачів визначатимуться під час запуску.
+                        </para>
+                        <para>
+                            Типове значення: 0 (доступ до відповідача InfoPipe має лише адміністративний
+користувач (root))
+                        </para>
+                        <para>
+                            Будь ласка, зауважте, що хоча типово використовується UID 0, значення UID
+буде перевизначено на основі цього параметра. Якщо ви хочете надати
+адміністративному користувачеві (root) доступ до відповідача InfoPipe, що
+може бути типовим варіантом, вам слід додати до списку UID з правами доступу
+запис 0.
+                        </para>
+                    </listitem>
+                </varlistentry>
+
+                <varlistentry>
+                    <term>user_attributes (рядок)</term>
+                    <listitem>
+                        <para>
+                            Визначає список атрибутів з «білого» або «чорного» списків, відокремлених
+комами.
+                        </para>
+                        <para>
+                            Типово, відповідач InfoPipe надає дані лише щодо типового набору атрибутів
+POSIX. Цей набір є тим самим, який повертає програма <citerefentry>
+<refentrytitle>getpwnam</refentrytitle> <manvolnum>3</manvolnum>
+</citerefentry>, його елементи: <variablelist>
+                                <varlistentry>
+                                    <term>name</term>
+                                    <listitem><para>реєстраційне ім’я користувача</para></listitem>
+                                </varlistentry>
+                                <varlistentry>
+                                    <term>uidNumber</term>
+                                    <listitem><para>ідентифікатор користувача</para></listitem>
+                                </varlistentry>
+                                <varlistentry>
+                                    <term>gidNumber</term>
+                                    <listitem><para>ідентифікатор основної групи</para></listitem>
+                                </varlistentry>
+                                <varlistentry>
+                                    <term>gecos</term>
+                                    <listitem><para>дані щодо користувача, типово ім’я повністю</para></listitem>
+                                </varlistentry>
+                                <varlistentry>
+                                    <term>homeDirectory</term>
+                                    <listitem><para>домашній каталог</para></listitem>
+                                </varlistentry>
+                                <varlistentry>
+                                    <term>loginShell</term>
+                                    <listitem><para>командна оболонка користувача</para></listitem>
+                                </varlistentry>
+                            </variablelist>
+                        </para>
+                        <para>
+                            Ви можете додати інший атрибут до цього набору за допомогою параметра
+«+назва_атрибута» або явним чином виключити атрибут за допомогою параметра
+«-назва_атрибута». Наприклад, щоб дозволити «telephoneNumber», але
+заборонити «loginShell», вам слід скористатися такими налаштуваннями:
+<programlisting>
+user_attributes = +telephoneNumber, -loginShell
+                        </programlisting>
+                        </para>
+                        <para>
+                            Типове значення: не встановлено. Дозволено лише типовий набір атрибутів
+POSIX.
+                        </para>
+                    </listitem>
+                </varlistentry>
+
+                <varlistentry>
+                    <term>wildcard_limit (ціле число)</term>
+                    <listitem>
+                        <para>
+                            Визначає верхню межу для кількості записів, які отримуватимуться під час
+пошуку з використанням символів-замінників, які перевизначають обмеження,
+яке накладається функцією виклику.
+                        </para>
+                        <para>
+                            Типове значення: 0 (дозволити встановлювати верхнє обмеження функції
+виклику)
+                        </para>
+                    </listitem>
+                </varlistentry>
+
+            </variablelist>
+    </refsect1>
+
+    <xi:include xmlns:xi="http://www.w3.org/2001/XInclude" href="include/seealso.xml" />
+
+</refentry>
+</reference>
diff --git a/src/man/uk/sssd-ipa.5.xml b/src/man/uk/sssd-ipa.5.xml
new file mode 100644
index 0000000..80963b6
--- /dev/null
+++ b/src/man/uk/sssd-ipa.5.xml
@@ -0,0 +1,880 @@
+<?xml version="1.0" encoding="UTF-8"?>
+<!DOCTYPE reference PUBLIC "-//OASIS//DTD DocBook V4.4//EN"
+"http://www.oasis-open.org/docbook/xml/4.4/docbookx.dtd">
+<reference>
+<title>Сторінки підручника SSSD</title>
+<refentry>
+    <xi:include xmlns:xi="http://www.w3.org/2001/XInclude" href="include/upstream.xml" />
+
+    <refmeta>
+        <refentrytitle>sssd-ipa</refentrytitle>
+        <manvolnum>5</manvolnum>
+        <refmiscinfo class="manual">Формати файлів та правила</refmiscinfo>
+    </refmeta>
+
+    <refnamediv id='name'>
+        <refname>sssd-ipa</refname>
+        <refpurpose>Модуль надання даних IPA SSSD</refpurpose>
+    </refnamediv>
+
+    <refsect1 id='description'>
+        <title>ОПИС</title>
+        <para>
+            На цій сторінці довідника описано налаштування засобу керування доступом IPA
+для <citerefentry> <refentrytitle>sssd</refentrytitle>
+<manvolnum>8</manvolnum> </citerefentry>. Щоб дізнатися більше про синтаксис
+налаштування, зверніться до розділу «ФОРМАТ ФАЙЛІВ» сторінки довідника
+<citerefentry> <refentrytitle>sssd.conf</refentrytitle>
+<manvolnum>5</manvolnum> </citerefentry>.
+        </para>
+        <para>
+            Інструмент надання даних IPA — модуль, який використовується для
+встановлення з’єднання з сервером IPA. (Інформацію щодо серверів IPA можна
+знайти на сайті freeipa.org.) Цей інструмент надання доступу потребує
+включення комп’ютера до домену IPA. Налаштування майже повністю
+автоматизовано, дані для нього отримуються безпосередньо з сервера.
+        </para>
+        <para>
+            Засіб надання даних IPA уможливлює для SSSD використання засобу надання
+даних профілів <citerefentry> <refentrytitle>sssd-ldap</refentrytitle>
+<manvolnum>5</manvolnum> </citerefentry> та засобу надання даних
+розпізнавання <citerefentry> <refentrytitle>sssd-krb5</refentrytitle>
+<manvolnum>5</manvolnum> </citerefentry> з оптимізацією для середовищ
+IPA. Засіб надання даних IPA приймає ті самі параметри, які використовуються
+засобами надання даних sssd-ldap та sssd-krb5, із деякими
+виключеннями. Втім, встановлювати ці параметри не обов'язково і не
+рекомендовано.
+        </para>
+        <para>
+            Засіб надання даних IPA в основному копіює типові параметри традиційних
+засобів надання даних ldap і krb5 із деякими виключенням. Відмінності
+наведено у розділі <quote>ЗМІНЕНІ ТИПОВІ ПАРАМЕТРИ</quote>.
+        </para>
+        <para>
+            As an access provider, the IPA provider has a minimal configuration (see
+<quote>ipa_access_order</quote>) as it mainly uses HBAC (host-based access
+control) rules. Please refer to freeipa.org for more information about HBAC.
+        </para>
+        <para>
+            Якщо у sssd.conf вказано <quote>auth_provider=ipa</quote> або
+<quote>access_provider=ipa</quote>, для id_provider також має бути вказано
+<quote>ipa</quote>.
+        </para>
+        <para>
+            Інструмент надання даних IPA використовуватиме відповідач PAC, якщо квитки
+Kerberos користувачів з довірених областей містять PAC. Для полегшення
+налаштовування відповідач PAC запускається автоматично, якщо налаштовано
+інструмент надання даних ідентифікаторів IPA.
+        </para>
+    </refsect1>
+
+    <refsect1 id='configuration-options'>
+        <title>ПАРАМЕТРИ НАЛАШТУВАННЯ</title>
+        <para>Зверніться до розділу «РОЗДІЛИ ДОМЕНІВ» сторінки довідника (man)
+<citerefentry> <refentrytitle>sssd.conf</refentrytitle>
+<manvolnum>5</manvolnum> </citerefentry>, щоб дізнатися більше про
+налаштування домену SSSD. <variablelist>
+                <varlistentry>
+                    <term>ipa_domain (рядок)</term>
+                    <listitem>
+                        <para>
+                            Визначає назву домену IPA. Є необов’язковим. Якщо не вказано, буде
+використано назву домену з налаштувань.
+                        </para>
+                    </listitem>
+                </varlistentry>
+
+                <varlistentry>
+                    <term>ipa_server, ipa_backup_server (рядок)</term>
+                    <listitem>
+                        <para>
+                            Впорядкований за пріоритетом список IP-адрес або назв вузлів, відокремлених
+комами, серверів IPA, з якими має встановити з’єднання SSSD. Докладніші
+відомості щодо резервних серверів викладено у розділі «РЕЗЕРВ». Цей список є
+необов’язковим, якщо увімкнено автоматичне виявлення служб. Докладніші
+відомості щодо автоматичного виявлення служб наведено у розділі «ПОШУК
+СЛУЖБ».
+                        </para>
+                    </listitem>
+                </varlistentry>
+
+                <varlistentry>
+                    <term>ipa_hostname (рядок)</term>
+                    <listitem>
+                        <para>
+                            Необов’язковий. Може бути встановлено на комп’ютерах, де hostname(5) не
+відповідає повній назві, що використовується доменом IPA для розпізнавання
+цього вузла. Назву вузла слід вказувати повністю.
+                        </para>
+                    </listitem>
+                </varlistentry>
+
+                <varlistentry>
+                    <term>dyndns_update (булеве значення)</term>
+                    <listitem>
+                        <para>
+                            Необов’язковий. За допомогою цього параметра можна наказати SSSD автоматично
+оновити на сервері DNS, вбудованому до FreeIPA, IP-адресу клієнта. Захист
+оновлення буде забезпечено за допомогою GSS-TSIG. Для оновлення буде
+використано IP-адресу з’єднання LDAP IPA, якщо не вказано іншу адресу за
+допомогою параметра «dyndns_iface».
+                        </para>
+                        <para>
+                            ЗАУВАЖЕННЯ: на застарілих системах (зокрема RHEL 5) для надійної роботи у
+цьому режимі типову область дії Kerberos має бути належним чином визначено у
+/etc/krb5.conf
+                        </para>
+                        <para>
+                            ЗАУВАЖЕННЯ: хоча можна використовувати і попередню назву параметра,
+<emphasis>ipa_dyndns_update</emphasis>, користувачам слід переходити на нову
+назву, <emphasis>dyndns_update</emphasis>, у файлі налаштувань.
+                        </para>
+                        <para>
+                            Типове значення: false
+                        </para>
+                    </listitem>
+                </varlistentry>
+
+                <varlistentry>
+                    <term>dyndns_ttl (ціле число)</term>
+                    <listitem>
+                        <para>
+                            TTL, до якого буде застосовано клієнтський запис DNS під час його
+оновлення. Якщо dyndns_update має значення false, цей параметр буде
+проігноровано. Перевизначає TTL на боці сервера, якщо встановлено
+адміністратором.
+                        </para>
+                        <para>
+                            ЗАУВАЖЕННЯ: хоча можна використовувати і попередню назву параметра,
+<emphasis>ipa_dyndns_ttl</emphasis>, користувачам слід переходити на нову
+назву, <emphasis>dyndns_ttl</emphasis>, у файлі налаштувань.
+                        </para>
+                        <para>
+                            Типове значення: 1200 (секунд)
+                        </para>
+                    </listitem>
+                </varlistentry>
+
+                <varlistentry>
+                    <term>dyndns_iface (рядок)</term>
+                    <listitem>
+                        <para>
+                            Необов'язковий. Застосовний, лише якщо dyndns_update має значення
+true. Виберіть інтерфейс або список інтерфейсів, чиї IP-адреси має бути
+використано для динамічних оновлень DNS. Спеціальне значення
+<quote>*</quote> означає, що слід використовувати IP-адреси з усіх
+інтерфейсів.
+                        </para>
+                        <para>
+                            ЗАУВАЖЕННЯ: хоча можна використовувати і попередню назву параметра,
+<emphasis>ipa_dyndns_iface</emphasis>, користувачам слід переходити на нову
+назву, <emphasis>dyndns_iface</emphasis>, у файлі налаштувань.
+                        </para>
+                        <para>
+                            Типове значення: використовувати IP-адреси інтерфейсу, який використовується
+для з’єднання LDAP IPA
+                        </para>
+                        <para>
+                            Приклад: dyndns_iface = em1, vnet1, vnet2
+                        </para>
+                    </listitem>
+                </varlistentry>
+
+                <varlistentry>
+                    <term>dyndns_auth (рядок)</term>
+                    <listitem>
+                        <para>
+                            Визначає, чи має використовувати допоміжний засіб nsupdate розпізнавання
+GSS-TSIG для безпечних оновлень за допомогою сервера DNS, незахищені
+оновлення можна надсилати встановленням для цього параметра значення «none».
+                        </para>
+                        <para>
+                            Типове значення: GSS-TSIG
+                        </para>
+                    </listitem>
+                </varlistentry>
+
+                <varlistentry>
+                    <term>dyndns_auth_ptr (рядок)</term>
+                    <listitem>
+                        <para>
+                            Визначає, чи має використовувати допоміжний засіб nsupdate розпізнавання
+GSS-TSIG для безпечних оновлень PTR за допомогою сервера DNS, незахищені
+оновлення можна надсилати встановленням для цього параметра значення «none».
+                        </para>
+                        <para>
+                            Типове значення: те саме, що і dyndns_auth
+                        </para>
+                    </listitem>
+                </varlistentry>
+
+                <varlistentry>
+                    <term>ipa_enable_dns_sites (булеве значення)</term>
+                    <listitem>
+                        <para>
+                            Вмикає сайти DNS — визначення служб на основі адрес.
+                        </para>
+                        <para>
+                            Якщо вказано значення true і увімкнено визначення служб (див. розділ щодо
+пошуку служб у нижній частині сторінки підручника (man)), SSSD спочатку
+спробує визначення на основі адрес за допомогою запиту, що містить
+"_location.hostname.example.com", а потім повертається до традиційного
+визначення SRV. Якщо визначення на основі адреси буде успішним, сервери IPA,
+виявлені на основі визначення за адресою, вважатимуться основним серверами,
+а сервери IPA, виявлені за допомогою традиційного визначення SRV,
+вважатимуться резервними серверами.
+                        </para>
+                        <para>
+                            Типове значення: false
+                        </para>
+                    </listitem>
+                </varlistentry>
+
+                <varlistentry>
+                    <term>dyndns_refresh_interval (ціле число)</term>
+                    <listitem>
+                        <para>
+                            Визначає, наскільки часто серверний модуль має виконувати періодичні
+оновлення DNS на додачу до автоматичного оновлення, яке виконується під час
+кожного встановлення з’єднання серверного модуля з мережею. Цей параметр не
+є обов’язкоми, його застосовують, лише якщо dyndns_update має значення true.
+                        </para>
+                        <para>
+                            Типове значення: 0 (вимкнено)
+                        </para>
+                    </listitem>
+                </varlistentry>
+
+                <varlistentry>
+                    <term>dyndns_update_ptr (булеве значення)</term>
+                    <listitem>
+                        <para>
+                            Визначає, чи слід явним чином оновлювати запис PTR під час оновлення записів
+DNS клієнта. Застосовується, лише якщо значенням dyndns_update буде true.
+                        </para>
+                        <para>
+                            Значенням цього параметра у більшості розгорнутих систем IPA має бути False,
+оскільки сервер IPA створює записи PTR автоматично після зміни у записах
+переспрямовування.
+                        </para>
+                        <para>
+                            Note that <emphasis>dyndns_update_per_family</emphasis> parameter does not
+apply for PTR record updates.  Those updates are always sent separately.
+                        </para>
+                        <para>
+                            Типове значення: False (вимкнено)
+                        </para>
+                    </listitem>
+                </varlistentry>
+
+                <varlistentry>
+                    <term>dyndns_force_tcp (булеве значення)</term>
+                    <listitem>
+                        <para>
+                            Визначає, чи слід у програмі nsupdate типово використовувати TCP для обміну
+даними з сервером DNS.
+                        </para>
+                        <para>
+                            Типове значення: False (надати змогу nsupdate вибирати протокол)
+                        </para>
+                    </listitem>
+                </varlistentry>
+
+                <varlistentry>
+                    <term>dyndns_server (рядок)</term>
+                    <listitem>
+                        <para>
+                            Сервер DNS, який слід використовувати для виконання оновлення DNS. У
+більшості конфігурацій рекомендуємо не встановлювати значення для цього
+параметра.
+                        </para>
+                        <para>
+                            Встановлення значення для цього параметра потрібне для середовищ, де сервер
+DNS відрізняється від сервера профілів.
+                        </para>
+                        <para>
+                            Будь ласка, зауважте, що цей параметр буде використано лише для резервних
+спроб, якщо попередні спроби із використанням автовиявлення завершаться
+невдало.
+                        </para>
+                        <para>
+                            Типове значення: немає (надати nsupdate змогу вибирати сервер)
+                        </para>
+                    </listitem>
+                </varlistentry>
+
+                <varlistentry>
+                    <term>dyndns_update_per_family (булеве значення)</term>
+                    <listitem>
+                        <para>
+                            Оновлення DNS, типово, виконується у два кроки — оновлення IPv4, а потім
+оновлення IPv6. Іноді бажаним є виконання оновлення IPv4 і IPv6 за один
+крок.
+                        </para>
+                        <para>
+                            Типове значення: true
+                        </para>
+                    </listitem>
+                </varlistentry>
+
+                <varlistentry>
+                    <term>ipa_access_order (string)</term>
+                    <listitem>
+                        <para>
+                            Список відокремлених комами параметрів керування доступом. Можливі значення
+списку:
+                        </para>
+                        <para>
+                            <emphasis>expire</emphasis>: use IPA's account expiration policy.
+                        </para>
+                        <para>
+                            <emphasis>pwd_expire_policy_reject, pwd_expire_policy_warn,
+pwd_expire_policy_renew: </emphasis> Ці параметри корисні, якщо користувачам
+потрібні попередження щодо скорого завершення строку дії пароля, і у
+випадках, коли розпізнавання засновано на відмінних від паролів методах,
+наприклад на ключах SSH.
+                       </para>
+                       <para>
+                            The difference between these options is the action taken if user password is
+expired:
+                            <itemizedlist>
+                                <listitem>
+                                    <para>
+                                    pwd_expire_policy_reject - user is denied to log in,
+                                    </para>
+                                </listitem>
+                                <listitem>
+                                    <para>
+                                    pwd_expire_policy_warn - user is still able to log in,
+                                    </para>
+                                </listitem>
+                                <listitem>
+                                    <para>
+                                    pwd_expire_policy_renew - user is prompted to change their password
+immediately.
+                                    </para>
+                                </listitem>
+                            </itemizedlist>
+                        </para>
+                        <para>
+                            Please note that 'access_provider = ipa' must be set for this feature to
+work.
+                        </para>
+                    </listitem>
+                </varlistentry>
+
+                <varlistentry>
+                    <term>ipa_deskprofile_search_base (рядок)</term>
+                    <listitem>
+                        <para>
+                            Необов’язковий. Використати вказаний рядок як основу пошуку пов’язаних з
+профілями станції (Desktop Profile) об’єктів.
+                        </para>
+                        <para>
+                            Типове значення: використання базової назви домену
+                        </para>
+                    </listitem>
+                </varlistentry>
+
+                <varlistentry condition="with_subid">
+                    <term>ipa_subid_ranges_search_base (рядок)</term>
+                    <listitem>
+                        <para>
+                            Необов’язковий. Використати вказаний рядок як основу пошуку пов’язаних з
+підлеглими діапазонами об’єктів.
+                        </para>
+                        <para>
+                            Типове значення: значення <emphasis>cn=subids,%basedn</emphasis>
+                        </para>
+                    </listitem>
+                </varlistentry>
+
+                <varlistentry>
+                    <term>ipa_hbac_search_base (рядок)</term>
+                    <listitem>
+                        <para>
+                            Необов’язковий. Використати вказаний рядок як основу пошуку пов’язаних з
+HBAC об’єктів.
+                        </para>
+                        <para>
+                            Типове значення: використання базової назви домену
+                        </para>
+                    </listitem>
+                </varlistentry>
+
+                <varlistentry>
+                    <term>ipa_host_search_base (рядок)</term>
+                    <listitem>
+                        <para>
+                            Застарілий. Скористайтеся замість нього ldap_host_search_base.
+                        </para>
+                    </listitem>
+                </varlistentry>
+
+                <varlistentry>
+                    <term>ipa_selinux_search_base (рядок)</term>
+                    <listitem>
+                        <para>
+                            Необов’язковий. Використати вказаний рядок як основу пошуку карт
+користувачів SELinux.
+                        </para>
+                        <para>
+                            Ознайомтеся з розділом щодо «ldap_search_base», щоб дізнатися більше про
+налаштування декількох основ пошуку.
+                        </para>
+                        <para>
+                            Типове значення: значення <emphasis>ldap_search_base</emphasis>
+                        </para>
+                    </listitem>
+                </varlistentry>
+
+                <varlistentry>
+                    <term>ipa_subdomains_search_base (рядок)</term>
+                    <listitem>
+                        <para>
+                            Необов’язковий. Використати вказаний рядок як основу пошуку надійних
+доменів.
+                        </para>
+                        <para>
+                            Ознайомтеся з розділом щодо «ldap_search_base», щоб дізнатися більше про
+налаштування декількох основ пошуку.
+                        </para>
+                        <para>
+                            Типове значення: значення <emphasis>cn=trusts,%basedn</emphasis>
+                        </para>
+                    </listitem>
+                </varlistentry>
+
+                <varlistentry>
+                    <term>ipa_master_domain_search_base (рядок)</term>
+                    <listitem>
+                        <para>
+                            Необов’язковий. Використати вказаний рядок як основу пошуку основного
+об’єкта домену.
+                        </para>
+                        <para>
+                            Ознайомтеся з розділом щодо «ldap_search_base», щоб дізнатися більше про
+налаштування декількох основ пошуку.
+                        </para>
+                        <para>
+                            Типове значення: значення виразу <emphasis>cn=ad,cn=etc,%basedn</emphasis>
+                        </para>
+                    </listitem>
+                </varlistentry>
+
+                <varlistentry>
+                    <term>ipa_views_search_base (рядок)</term>
+                    <listitem>
+                        <para>
+                            Необов’язковий. Використати вказаний рядок як основу пошуку контейнерів
+перегляду.
+                        </para>
+                        <para>
+                            Ознайомтеся з розділом щодо «ldap_search_base», щоб дізнатися більше про
+налаштування декількох основ пошуку.
+                        </para>
+                        <para>
+                            Типове значення: значення <emphasis>cn=views,cn=accounts,%basedn</emphasis>
+                        </para>
+                    </listitem>
+                </varlistentry>
+
+                <varlistentry>
+                    <term>krb5_realm (рядок)</term>
+                    <listitem>
+                        <para>
+                            Назва області дії Kerberos. Є необов’язковою, типовим значенням є значення
+«ipa_domain».
+                        </para>
+                        <para>
+                            Назва області дії Kerberos має особливе значення у IPA: цю назву буде
+перетворено у основний DN для виконання дій LDAP.
+                        </para>
+                    </listitem>
+                </varlistentry>
+
+                <varlistentry>
+                    <term>krb5_confd_path (рядок)</term>
+                    <listitem>
+                        <para>
+                            Абсолютний шлях до каталогу, у якому SSSD має зберігати фрагменти
+налаштувань Kerberos.
+                        </para>
+                        <para>
+                            Щоб вимкнути створення фрагментів налаштувань, встановіть для параметра
+значення «none».
+                        </para>
+                        <para>
+                            Типове значення: не встановлено (підкаталог krb5.include.d каталогу pubconf
+SSSD)
+                        </para>
+                    </listitem>
+                </varlistentry>
+
+                <varlistentry>
+                    <term>ipa_deskprofile_refresh (ціле число)</term>
+                    <listitem>
+                        <para>
+                            Проміжок часу між послідовними пошуками правил профілів станції (Desktop
+Profile) щодо сервера IPA. Зміна може зменшити час затримки та навантаження
+на сервер IPA, якщо протягом короткого періоду часу надходить багато запитів
+щодо профілів станції.
+                        </para>
+                        <para>
+                            Типове значення: 5 (секунд)
+                        </para>
+                    </listitem>
+                </varlistentry>
+
+                <varlistentry>
+                    <term>ipa_deskprofile_request_interval (ціле число)</term>
+                    <listitem>
+                        <para>
+                            Час між пошуками у правилах профілів станцій на сервері IPA, якщо за
+останнім запитом не повернуто жодного правила.
+                        </para>
+                        <para>
+                            Типове значення: 60 (хвилин)
+                        </para>
+                    </listitem>
+                </varlistentry>
+
+                <varlistentry>
+                    <term>ipa_hbac_refresh (ціле число)</term>
+                    <listitem>
+                        <para>
+                            Проміжок часу між послідовними пошуками правил HBAC щодо сервера IPA. Зміна
+може зменшити час затримки та навантаження на сервер IPA, якщо протягом
+короткого періоду часу надходить багато запитів щодо керування доступом.
+                        </para>
+                        <para>
+                            Типове значення: 5 (секунд)
+                        </para>
+                    </listitem>
+                </varlistentry>
+
+                <varlistentry>
+                    <term>ipa_hbac_selinux (ціле число)</term>
+                    <listitem>
+                        <para>
+                            Проміжок часу між послідовними пошуками у картах SELinux щодо сервера
+IPA. Зміна може зменшити час затримки та навантаження на сервер IPA, якщо
+протягом короткого періоду часу надходить багато запитів щодо входу
+користувача до системи.
+                        </para>
+                        <para>
+                            Типове значення: 5 (секунд)
+                        </para>
+                    </listitem>
+                </varlistentry>
+
+                <varlistentry>
+                    <term>ipa_server_mode (булеве значення)</term>
+                    <listitem>
+			<para>
+                            Цей параметр буде встановлено засобом встановлення IPA (ipa-server-install)
+автоматично, він визначає, чи запущено SSSD на сервері IPA.
+                        </para>
+			<para>
+                            На сервері IPA SSSD шукатиме записи користувачів і груп із довірених доменів
+безпосередньо, хоча на клієнті SSSD надсилатиме запит на сервер IPA.
+                        </para>
+                        <para>
+                            Зауваження: у поточній версії має бути виконано декілька умов, якщо SSSD
+працює на сервері IPA.
+                            <itemizedlist>
+                                <listitem>
+                                    <para>
+                                        Параметр <quote>ipa_server</quote> має бути налаштовано так, щоб він
+вказував на сам сервер IPA. Це типово робить засіб встановлення IPA, тому
+зміни вручну є зайвими.
+                                    </para>
+                                </listitem>
+                                <listitem>
+                                    <para>
+                                        Не слід змінювати значення параметра <quote>full_name_format</quote> для
+того, щоб лише виводити короткі імена користувачів з довірених доменів.
+                                    </para>
+                                </listitem>
+                            </itemizedlist>
+                        </para>
+                        <para>
+                            Типове значення: false
+                        </para>
+                    </listitem>
+                </varlistentry>
+
+                <varlistentry condition="with_autofs">
+                    <term>ipa_automount_location (рядок)</term>
+                    <listitem>
+                        <para>
+                            Адреса автоматичного монтування, яку буде використовувати цей клієнт IPA
+                        </para>
+                        <para>
+                            Типове значення: адреса з назвою "default"
+                        </para>
+                        <xi:include xmlns:xi="http://www.w3.org/2001/XInclude" href="include/autofs_restart.xml" />
+                    </listitem>
+                </varlistentry>
+            </variablelist>
+        </para>
+        <refsect2 id='views'>
+            <title>ПЕРЕГЛЯДИ і ПЕРЕВИЗНАЧЕННЯ</title>
+            <para>
+                SSSD може обробляти перегляди та перевизначення, які пропонуються FreeIPA
+4.1 та новішими версіями. Оскільки усі шляхи і класи об’єктів зафіксовано на
+боці сервера, в основному, немає потреби у додатковому налаштовуванні. Для
+повноти, усі відповідні параметри наведено у списку разом з їхніми типовими
+значеннями.  <variablelist>
+                    <varlistentry>
+                        <term>ipa_view_class (рядок)</term>
+                        <listitem>
+                            <para>
+                                Клас об’єктів для контейнерів перегляду.
+                            </para>
+                            <para>
+                                Типове значення: nsContainer
+                            </para>
+                        </listitem>
+                    </varlistentry>
+
+                    <varlistentry>
+                        <term>ipa_view_name (рядок)</term>
+                        <listitem>
+                            <para>
+                                Назва атрибута, у якому зберігається назва перегляду.
+                            </para>
+                            <para>
+                                Типове значення: cn
+                            </para>
+                        </listitem>
+                    </varlistentry>
+
+                    <varlistentry>
+                        <term>ipa_override_object_class (рядок)</term>
+                        <listitem>
+                            <para>
+                                Клас об’єктів для об’єктів перевизначення
+                            </para>
+                            <para>
+                                Типове значення: ipaOverrideAnchor
+                            </para>
+                        </listitem>
+                    </varlistentry>
+
+                    <varlistentry>
+                        <term>ipa_anchor_uuid (рядок)</term>
+                        <listitem>
+                            <para>
+                                Назва атрибута, у якому зберігається посилання на початковий об’єкт на
+віддаленому домені.
+                            </para>
+                            <para>
+                                Типове значення: ipaAnchorUUID
+                            </para>
+                        </listitem>
+                    </varlistentry>
+
+                    <varlistentry>
+                        <term>ipa_user_override_object_class (рядок)</term>
+                        <listitem>
+                            <para>
+                                Назва класу об’єктів для перевизначень користувачів. Використовується для
+визначення того, чи знайдений об’єкт перевизначення пов’язано з користувачем
+або групою.
+                            </para>
+                            <para>
+                                Перевизначення користувачів можуть містити атрибути, задані
+                                <itemizedlist>
+                                    <listitem>
+                                        <para>ldap_user_name</para>
+                                    </listitem>
+                                    <listitem>
+                                        <para>ldap_user_uid_number</para>
+                                    </listitem>
+                                    <listitem>
+                                        <para>ldap_user_gid_number</para>
+                                    </listitem>
+                                    <listitem>
+                                        <para>ldap_user_gecos</para>
+                                    </listitem>
+                                    <listitem>
+                                        <para>ldap_user_home_directory</para>
+                                    </listitem>
+                                    <listitem>
+                                        <para>ldap_user_shell</para>
+                                    </listitem>
+                                    <listitem>
+                                        <para>ldap_user_ssh_public_key</para>
+                                    </listitem>
+                                </itemizedlist>
+                            </para>
+                            <para>
+                                Типове значення: ipaUserOverride
+                            </para>
+                        </listitem>
+                    </varlistentry>
+
+                    <varlistentry>
+                        <term>ipa_group_override_object_class (рядок)</term>
+                        <listitem>
+                            <para>
+                                Назва класу об’єктів для перевизначень груп. Використовується для визначення
+того, чи знайдений об’єкт перевизначення пов’язано з користувачем або
+групою.
+                            </para>
+                            <para>
+                                Перевизначення груп можуть містити атрибути, задані
+                                <itemizedlist>
+                                    <listitem>
+                                        <para>ldap_group_name</para>
+                                    </listitem>
+                                    <listitem>
+                                        <para>ldap_group_gid_number</para>
+                                    </listitem>
+                                </itemizedlist>
+                            </para>
+                            <para>
+                                Типове значення: ipaGroupOverride
+                            </para>
+                        </listitem>
+                    </varlistentry>
+                </variablelist>
+            </para>
+        </refsect2>
+    </refsect1>
+
+    <xi:include xmlns:xi="http://www.w3.org/2001/XInclude" href="include/ipa_modified_defaults.xml" />
+
+    <refsect1 id='subdomains_provider'>
+        <title>СЛУЖБА ПІДДОМЕНІВ</title>
+        <para>
+            Поведінка інструмента надання даних піддоменів IPA залежить від того, у який
+спосіб його налаштовано: явний чи неявний.
+        </para>
+        <para>
+            Якщо у розділі домену sssd.conf буде знайдено запис параметра
+«subdomains_provider = ipa», інструмент надання даних піддоменів IPA
+налаштовано явно, отже всі запити піддоменів надсилатимуться серверу IPA,
+якщо це потрібно.
+        </para>
+        <para>
+            Якщо у розділі домену sssdconf не встановлено параметр
+«subdomains_provider», але встановлено параметр «id_provider = ipa»,
+інструмент надання даних піддоменів IPA налаштовано неявним чином. У цьому
+випадку спроба запиту щодо піддомену зазнає невдачі і вказуватиме на те, що
+на сервері не передбачено піддоменів, тобто його не налаштовано на довіру,
+отже інструмент надання даних піддоменів IPA вимкнено. Щойно мине година або
+відкриється доступ до інструмента надання даних IPA, інструмент надання
+даних піддоменів буде знову увімкнено.
+        </para>
+    </refsect1>
+
+    <refsect1 id='trusted_domains'>
+        <title>НАЛАШТОВУВАННЯ ДОВІРЕНИХ ДОМЕНІВ</title>
+        <para>
+            Крім того, деякі параметри налаштування може бути встановлено для довіреного
+домену. Налаштування довіреного домену можна встановити за допомогою
+підрозділу довіреного домену, як це показано у наведеному нижче
+прикладі. Крім того, можна скористатися параметром
+<quote>subdomain_inherit</quote> у батьківському домені.  <programlisting>
+[domain/ipa.domain.com/ad.domain.com]
+ad_server = dc.ad.domain.com
+</programlisting>
+        </para>
+        <para>
+            Щоб дізнатися більше, ознайомтеся зі сторінкою підручника щодо
+<citerefentry> <refentrytitle>sssd.conf</refentrytitle>
+<manvolnum>5</manvolnum> </citerefentry>.
+        </para>
+        <para>
+            Перелік параметрів налаштовування для довіреного домену залежить від того,
+як ви налаштували SSSD на сервері IPA або клієнт IPA.
+        </para>
+        <refsect2 id='server_configuration'>
+            <title>ПАРАМЕТРИ, ЯКІ МОЖНА НАЛАШТУВАТИ НА ОСНОВНИХ СЕРВЕРАХ IPA</title>
+            <para>
+                У розділі піддомену на основному сервері IPA можна вказати такі параметри:
+                <itemizedlist>
+                    <listitem>
+                        <para>ad_server</para>
+                    </listitem>
+                    <listitem>
+                        <para>ad_backup_server</para>
+                    </listitem>
+                    <listitem>
+                        <para>ad_site</para>
+                    </listitem>
+                    <listitem>
+                        <para>ldap_search_base</para>
+                    </listitem>
+                    <listitem>
+                        <para>ldap_user_search_base</para>
+                    </listitem>
+                    <listitem>
+                        <para>ldap_group_search_base</para>
+                    </listitem>
+                    <listitem>
+                        <para>use_fully_qualified_names</para>
+                    </listitem>
+                </itemizedlist>
+            </para>
+        </refsect2>
+        <refsect2 id='client_configuration'>
+            <title>ПАРАМЕТРИ, ЯКІ МОЖНА НАЛАШТУВАТИ НА КЛІЄНТАХ IPA</title>
+            <para>
+                У розділі піддомену на клієнті IPA можна вказати такі параметри:
+                <itemizedlist>
+                    <listitem>
+                        <para>ad_server</para>
+                    </listitem>
+                    <listitem>
+                        <para>ad_site</para>
+                    </listitem>
+                </itemizedlist>
+            </para>
+            <para>
+                Зауважте, що якщо встановлено обидва параметри, буде враховано лише
+<quote>ad_server</quote>.
+            </para>
+            <para>
+                Оскільки будь-який запит щодо ідентифікації користувача або групи від
+довіреного домену, який започатковано клієнтом IPA, обробляється сервером
+IPA, параметри <quote>ad_server</quote> і <quote>ad_site</quote> впливають
+лише на те, який з DC AD виконуватиме процедуру розпізнавання. Зокрема,
+адреси, які визначено за цими списками, буде записано до файлів
+<quote>kdcinfo</quote>, читання яких виконуватиметься додатком пошуку
+Kerberos. Будь ласка, зверніться до сторінки підручника щодо <citerefentry>
+<refentrytitle>sssd_krb5_locator_plugin</refentrytitle>
+<manvolnum>8</manvolnum> </citerefentry>, щоб дізнатися більше про додаток
+пошуку Kerberos.
+            </para>
+        </refsect2>
+    </refsect1>
+
+    <xi:include xmlns:xi="http://www.w3.org/2001/XInclude" href="include/failover.xml" />
+
+    <xi:include xmlns:xi="http://www.w3.org/2001/XInclude" href="include/service_discovery.xml" />
+
+    <refsect1 id='example'>
+        <title>ПРИКЛАД</title>
+        <para>
+            У наведеному нижче прикладі припускаємо, що SSSD налаштовано належним чином,
+а example.com є одним з доменів у розділі
+<replaceable>[sssd]</replaceable>. У прикладі продемонстровано лише
+параметри доступу, специфічні для засобу ipa.
+        </para>
+        <para>
+<programlisting>
+[domain/example.com]
+id_provider = ipa
+ipa_server = ipaserver.example.com
+ipa_hostname = myhost.example.com
+</programlisting>
+        </para>
+    </refsect1>
+
+	<xi:include xmlns:xi="http://www.w3.org/2001/XInclude" href="include/seealso.xml" />
+
+</refentry>
+</reference>
diff --git a/src/man/uk/sssd-kcm.8.xml b/src/man/uk/sssd-kcm.8.xml
new file mode 100644
index 0000000..b3c2cd0
--- /dev/null
+++ b/src/man/uk/sssd-kcm.8.xml
@@ -0,0 +1,304 @@
+<?xml version="1.0" encoding="UTF-8"?>
+<!DOCTYPE reference PUBLIC "-//OASIS//DTD DocBook V4.4//EN"
+"http://www.oasis-open.org/docbook/xml/4.4/docbookx.dtd">
+<reference>
+<title>Сторінки підручника SSSD</title>
+<refentry>
+    <xi:include xmlns:xi="http://www.w3.org/2001/XInclude" href="include/upstream.xml" />
+
+    <refmeta>
+        <refentrytitle>sssd-kcm</refentrytitle>
+        <manvolnum>8</manvolnum>
+        <refmiscinfo class="manual">Формати файлів та правила</refmiscinfo>
+    </refmeta>
+
+    <refnamediv id='name'>
+        <refname>sssd-kcm</refname>
+        <refpurpose>Керування кешем Kerberos SSSD</refpurpose>
+    </refnamediv>
+
+    <refsect1 id='description'>
+        <title>ОПИС</title>
+        <para>
+            На цій сторінці підручника описано налаштування засобу керування кешем
+Kerberos SSSD (Kerberos Cache Manager або KCM). KCM є процесом, який
+зберігає, стежить і керує кешем реєстраційних даних Kerberos. Ідея створення
+засобу походить із проєкту Heimdal Kerberos, хоча у бібліотеці Kerberos MIT
+також надається підтримка з боку клієнта для кешу реєстраційних даних KCM
+(докладніше про це нижче).
+        </para>
+        <para>
+            У конфігураціях, де кешем Kerberos керує KCM, бібліотека Kerberos (типово
+використовується за допомогою якоїсь програми, наприклад <citerefentry>
+<refentrytitle>kinit</refentrytitle><manvolnum>1</manvolnum>
+</citerefentry>) є <quote>клієнтом KCM</quote>, а фонова служба KCM
+вважається <quote>сервером KCM</quote>. Клієнт і сервер обмінюються даними
+за допомогою сокета UNIX.
+        </para>
+        <para>
+            Сервер KCM стежити за кожним власником кешу реєстраційних даних і виконує
+перевірку прав доступу на основі UID і GID клієнта KCM. Користувач root має
+доступ до усіх кешів реєстраційних даних.
+        </para>
+        <para>
+            Кеш реєстраційних даних KCM має декілька цікавих властивостей:
+            <itemizedlist>
+                <listitem>
+                    <para>
+                        оскільки процес виконується у просторі користувача, він підлягає обмеженням
+за простором назв UID, на відміну від набору ключів ядра
+                    </para>
+                </listitem>
+                <listitem>
+                    <para>
+                        на відміну від кешу на основі наборів ключів ядра, який є спільним для усіх
+контейнерів, сервер KCM є окремим процесом, чия точка входу є сокетом UNIX
+                    </para>
+                </listitem>
+                <listitem>
+                    <para>
+                        реалізація у SSSD зберігає дані ccache у базі даних, файл якої типово
+називається <replaceable>/var/lib/sss/secrets</replaceable>. За допомогою
+цього файла ccache зберігаються протягом періодів перезапуску сервера KCM
+або перезавантаження комп'ютера.
+                    </para>
+                </listitem>
+            </itemizedlist>
+            Це надає змогу системі використовувати кеш реєстраційних даних із
+врахуванням збірок, одночасно надаючи спільний доступ до кешу реєстраційних
+даних для декількох контейнерів або без контейнерів взагалі шляхом
+прив'язування-монтування сокета.
+        </para>
+        <para>
+            Час очікування на дії типового клієнта KCM дорівнює 5 хвилин, таке значення
+надає більшу часу на взаємодію користувача із інструментами командного
+рядка, зокрема kinit.
+        </para>
+    </refsect1>
+
+    <refsect1 id='usage'>
+        <title>КОРИСТУВАННЯ КЕШЕМ РЕЄСТРАЦІЙНИХ ДАНИХ KCM</title>
+        <para>
+            Для використання кешу реєстраційних даних KCM його слід вибрати стандартним
+типом реєстраційних даних у <citerefentry>
+<refentrytitle>krb5.conf</refentrytitle><manvolnum>5</manvolnum>
+</citerefentry>. Назвою кешу реєстраційних даних має бути лише
+<quote>KCM:</quote> без будь-яких розширень шаблонами. Приклад: <programlisting>
+[libdefaults]
+    default_ccache_name = KCM:
+            </programlisting>
+        </para>
+        <para>
+            Далі, слід визначити однаковий шлях до сокета UNIX для клієнтських бібліотек
+Kerberos і сервера KCM. Типово, у обох випадках використовується однаковий
+шлях <replaceable>/var/run/.heim_org.h5l.kcm-socket</replaceable>. Для
+налаштовування бібліотеки Kerberos змініть значення її параметра
+<quote>kcm_socket</quote>, як це описано на сторінці підручника
+<citerefentry>
+<refentrytitle>krb5.conf</refentrytitle><manvolnum>5</manvolnum>
+</citerefentry>.
+        </para>
+        <para>
+            Нарешті, переконайтеся, що з сервером KCM SSSD можна встановити
+зв'язок. Типово, служба KCM вмикається за допомогою сокета з <citerefentry>
+<refentrytitle>systemd</refentrytitle> <manvolnum>1</manvolnum>
+</citerefentry>. На відміну від інших служб SSSD, її не можна запустити
+додаванням рядка <quote>kcm</quote> до інструкції <quote>service</quote>.
+<programlisting>
+systemctl start sssd-kcm.socket
+systemctl enable sssd-kcm.socket
+            </programlisting> Будь ласка, зауважте, що
+відповідні налаштування модулів вже могло бути виконано засобами вашого
+дистрибутива.
+        </para>
+    </refsect1>
+
+    <refsect1 id='storage'>
+        <title>СХОВИЩЕ КЕШУ РЕЄСТРАЦІЙНИХ ДАНИХ</title>
+        <para>
+            Кеші реєстраційних даних зберігаються у базі даних, дуже подібно до кешів
+записів користувачів і груп SSSD. Типово, база даних зберігається у
+<quote>/var/lib/sss/secrets</quote>.
+        </para>
+    </refsect1>
+
+    <refsect1 id='debugging'>
+        <title>ОТРИМАННЯ ДІАГНОСТИЧНОГО ЖУРНАЛУ</title>
+        <para>
+            Типово, служба sssd-kcm активує крізь сокет <citerefentry>
+<refentrytitle>systemd</refentrytitle> <manvolnum>1</manvolnum>
+</citerefentry>. Для створення діагностичних журналів додайте вказані нижче
+рядки або безпосередньо до файла <filename>/etc/sssd/sssd.conf</filename>,
+або як фрагмент налаштувань до каталогу
+<filename>/etc/sssd/conf.d/</filename>: <programlisting>
+[kcm]
+debug_level = 10
+            </programlisting> Далі, перезапустіть службу sssd-kcm: <programlisting>
+systemctl restart sssd-kcm.service
+            </programlisting> Нарешті, виконайте дії, які не призводять до
+бажаних для вас наслідків. Журнал KCM буде записано до
+<filename>/var/log/sssd/sssd_kcm.log</filename>. Рекомендуємо вимкнути
+ведення діагностичного журналу, якщо вам не потрібні діагностичні дані,
+оскільки служба sssd-kcm може породжувати доволі великий обсяг діагностичних
+даних.
+        </para>
+        <para>
+            Будь ласка, зауважте, що у поточній версії фрагменти налаштувань буде
+оброблено, лише якщо взагалі існує основний файл налаштувань
+<filename>/etc/sssd/sssd.conf</filename>.
+        </para>
+    </refsect1>
+
+    <refsect1 id='renewals' condition="enable_kcm_renewal">
+        <title>ПОНОВЛЕННЯ</title>
+        <para>
+            Службу sssd-kcm можна налаштувати на спробу поновлення TGT для поновлюваних
+TGT, які зберігаються у ccache KCM. Спроби поновлення виконуватимуться при
+досягненні половини строку дії квитка. Поновлення KCM налаштовуються при
+встановленні таких параметрів у розділі [kcm]: <programlisting>
+tgt_renewal = true
+krb5_renew_interval = 60m
+            </programlisting>
+        </para>
+        <para>
+            Крім того, SSSD може успадковувати параметри krb5 для поновлень з наявного
+домену.
+        </para>
+            <programlisting>
+tgt_renewal = true
+tgt_renewal_inherit = domain-name
+            </programlisting>
+        <para>
+            Вказані нижче параметри krb5 можна налаштувати у розділі [kcm] для керування
+поведінкою під час поновлення. Ці параметри докладно описано нижче
+<programlisting>
+krb5_renew_interval
+krb5_renewable_lifetime
+krb5_lifetime
+krb5_validate
+krb5_canonicalize
+krb5_auth_timeout
+            </programlisting>
+        </para>
+    </refsect1>
+
+    <refsect1 id='options'>
+        <title>ПАРАМЕТРИ НАЛАШТУВАННЯ</title>
+        <para>
+            Налаштовування служби KCM виконується за допомогою розділу
+<quote>kcm</quote> файла sssd.conf. Будь ласка, зауважте, що оскільки
+активація служби KCM, зазвичай, відбувається за допомогою сокетів, після
+внесення змін до розділу <quote>kcm</quote> файла sssd.conf достатньо
+перезапустити службу <quote>sssd-kcm</quote>: <programlisting>
+systemctl restart sssd-kcm.service
+            </programlisting>
+        </para>
+        <para>
+            Налаштування служби KCM виконують за допомогою <quote>kcm</quote>. Докладний
+опис синтаксичних конструкцій налаштувань наведено у розділі <quote>ФОРМАТ
+ФАЙЛА</quote> сторінки підручника щодо <citerefentry>
+<refentrytitle>sssd.conf</refentrytitle> <manvolnum>5</manvolnum>
+</citerefentry>.
+        </para>
+        <para>
+            Службі kcm можна передавати типові параметри служби SSSD, зокрема
+<quote>debug_level</quote> та <quote>fd_limit</quote> Із повним списком
+параметрів можна ознайомитися на сторінці підручника <citerefentry>
+<refentrytitle>sssd.conf</refentrytitle> <manvolnum>5</manvolnum>
+</citerefentry>. Крім того, передбачено декілька специфічних для KCM
+параметрів.
+        </para>
+        <variablelist>
+            <varlistentry>
+                <term>socket_path (рядок)</term>
+                <listitem>
+                    <para>
+                        Сокет, на якому очікуватиме на з'єднання служба KCM.
+                    </para>
+                    <para>
+                        Типове значення:
+<replaceable>/var/run/.heim_org.h5l.kcm-socket</replaceable>
+                    </para>
+                    <para>
+                        <phrase condition="have_systemd"> Зауваження: на платформах, де передбачено
+підтримку systemd, шлях до сокета буде перезаписано шляхом, який визначено у
+файлі модуля sssd-kcm.socket.  </phrase>
+                    </para>
+                </listitem>
+            </varlistentry>
+            <varlistentry>
+                <term>max_ccaches (ціле число)</term>
+                <listitem>
+                    <para>
+                        Скільки кешів реєстраційних може мати даних база даних KCM для усіх
+користувачів.
+                    </para>
+                    <para>
+                        Типове значення: 0 (без обмежень, застосовується лише квота на кількість
+кешів на UID)
+                    </para>
+                </listitem>
+            </varlistentry>
+            <varlistentry>
+                <term>max_uid_ccaches (ціле число)</term>
+                <listitem>
+                    <para>
+                        Скільки кешів реєстраційних може мати даних база даних KCM для окремого
+UID. Еквівалент значення <quote>кількість реєстраційних даних, які можна
+ініціювати за допомогою kinit</quote>.
+                    </para>
+                    <para>
+                        Типове значення: 64
+                    </para>
+                </listitem>
+            </varlistentry>
+            <varlistentry>
+                <term>max_ccache_size (ціле число)</term>
+                <listitem>
+                    <para>
+                        Наскільки великим може бути кеш реєстраційних даних окремого ccache. Ця
+квота обчислюється для усіх квитків служб разом.
+                    </para>
+                    <para>
+                        Типове значення: 65536
+                    </para>
+                </listitem>
+            </varlistentry>
+            <varlistentry condition="enable_kcm_renewal">
+                <term>tgt_renewal (булеве значення)</term>
+                <listitem>
+                    <para>
+                        Вмикає функціональні можливості поновлень TGT.
+                    </para>
+                    <para>
+                        Типове значення: False (автоматичні поновлення вимкнено)
+                    </para>
+                </listitem>
+            </varlistentry>
+            <varlistentry condition="enable_kcm_renewal">
+                <term>tgt_renewal_inherit (рядок)</term>
+                <listitem>
+                    <para>
+                        Домен, з якого слід успадковувати параметри krb5_*, для використання із
+поновленнями TGT.
+                    </para>
+                    <para>
+                        Типове значення: NULL
+                    </para>
+                </listitem>
+            </varlistentry>
+        </variablelist>
+        <xi:include condition="enable_kcm_renewal" xmlns:xi="http://www.w3.org/2001/XInclude" href="include/krb5_options.xml" />
+    </refsect1>
+
+    <refsect1 id='see_also'>
+        <title>ТАКОЖ ПЕРЕГЛЯНЬТЕ</title>
+        <para>
+            <citerefentry> <refentrytitle>sssd</refentrytitle><manvolnum>8</manvolnum>
+</citerefentry>, <citerefentry>
+<refentrytitle>sssd.conf</refentrytitle><manvolnum>5</manvolnum>
+</citerefentry>,
+        </para>
+    </refsect1>
+</refentry>
+</reference>
diff --git a/src/man/uk/sssd-krb5.5.xml b/src/man/uk/sssd-krb5.5.xml
new file mode 100644
index 0000000..31418d1
--- /dev/null
+++ b/src/man/uk/sssd-krb5.5.xml
@@ -0,0 +1,458 @@
+<?xml version="1.0" encoding="UTF-8"?>
+<!DOCTYPE reference PUBLIC "-//OASIS//DTD DocBook V4.4//EN"
+"http://www.oasis-open.org/docbook/xml/4.4/docbookx.dtd">
+<reference>
+<title>Сторінки підручника SSSD</title>
+<refentry>
+    <xi:include xmlns:xi="http://www.w3.org/2001/XInclude" href="include/upstream.xml" />
+
+    <refmeta>
+        <refentrytitle>sssd-krb5</refentrytitle>
+        <manvolnum>5</manvolnum>
+        <refmiscinfo class="manual">Формати файлів та правила</refmiscinfo>
+    </refmeta>
+
+    <refnamediv id='name'>
+        <refname>sssd-krb5</refname>
+        <refpurpose>Модуль надання даних Kerberos SSSD</refpurpose>
+    </refnamediv>
+
+    <refsect1 id='description'>
+        <title>ОПИС</title>
+        <para>
+            На цій сторінці довідника описано налаштування засобу розпізнавання Kerberos
+5 для <citerefentry> <refentrytitle>sssd</refentrytitle>
+<manvolnum>8</manvolnum> </citerefentry>. Щоб дізнатися більше про синтаксис
+налаштування, зверніться до розділу «ФОРМАТ ФАЙЛА» сторінки довідника
+<citerefentry> <refentrytitle>sssd.conf</refentrytitle>
+<manvolnum>5</manvolnum> </citerefentry>.
+        </para>
+        <para>
+            Модуль розпізнавання Kerberos 5 містити засоби розпізнавання та зміни
+паролів. З метою отримання належних результатів його слід використовувати
+разом з інструментом обробки профілів (наприклад, id_provider = ldap). Деякі
+з даних, потрібних для роботи модуля розпізнавання Kerberos 5, має бути
+надано інструментом обробки профілів, серед цих даних Kerberos Principal
+Name (UPN) або реєстраційне ім’я користувача. У налаштуваннях інструменту
+обробки профілів має бути запис з визначенням UPN. Докладні настанови щодо
+визначення такого UPN має бути викладено на сторінці довідника (man)
+відповідного інструменту обробки профілів.
+        </para>
+        <para>
+            У цьому інструменті керування даними також передбачено можливості керування
+доступом, засновані на даних з файла k5login у домашньому каталозі
+користувача. Докладніші відомості можна отримати з підручника до
+<citerefentry>
+<refentrytitle>k5login</refentrytitle><manvolnum>5</manvolnum>
+</citerefentry>. Зауважте, що якщо файл .k5login виявиться порожнім, доступ
+користувачеві буде заборонено. Щоб задіяти можливість керування доступом,
+додайте рядок «access_provider = krb5» до ваших налаштувань SSSD.
+        </para>
+        <para>
+            У випадку, коли доступу до UPN у модулі профілів не передбачено,
+<command>sssd</command> побудує UPN у форматі
+<replaceable>ім’я_користувача</replaceable>@<replaceable>область_krb5</replaceable>.
+        </para>
+
+    </refsect1>
+
+    <refsect1 id='configuration-options'>
+        <title>ПАРАМЕТРИ НАЛАШТУВАННЯ</title>
+        <para>
+            Якщо у домені SSSD використано auth-module krb5, має бути використано
+вказані нижче параметри. Зверніться до сторінки довідника (man)
+<citerefentry> <refentrytitle>sssd.conf</refentrytitle>
+<manvolnum>5</manvolnum> </citerefentry>, розділ «РОЗДІЛИ ДОМЕНІВ», щоб
+дізнатися більше про налаштування домену SSSD. <variablelist>
+                <varlistentry>
+                    <term>krb5_server, krb5_backup_server (рядок)</term>
+                    <listitem>
+                        <para>
+                            Визначає список IP-адрес або назв вузлів, відокремлених комами, серверів
+Kerberos, з якими SSSD має встановлювати з’єднання. Список має бути
+впорядковано за пріоритетом.  Докладніше про резервування та додаткові
+сервери можна дізнатися з розділу «РЕЗЕРВ». До адрес або назв вузлів може
+бути додано номер порту (перед номером слід вписати двокрапку). Якщо
+параметр матиме порожнє значення, буде увімкнено виявлення служб. Докладніше
+про виявлення служб можна дізнатися з розділу «ПОШУК СЛУЖБ».
+                        </para>
+                        <para>
+                            Під час використання виявлення служб для серверів KDC або kpasswd SSSD
+спочатку намагається знайти записи DNS, у яких визначається протокол
+_udp. Використання протоколу _tcp відбувається, лише якщо таких записів не
+вдасться знайти.
+                        </para>
+                        <para>
+                            У попередніх випусках SSSD цей параметр мав назву «krb5_kdcip». У поточній
+версії передбачено розпізнавання цієї застарілої назви, але користувачам
+варто перейти на використання «krb5_server» у файлах налаштувань.
+                        </para>
+                    </listitem>
+                </varlistentry>
+
+                <varlistentry>
+                    <term>krb5_realm (рядок)</term>
+                    <listitem>
+                        <para>
+                            Назва області Kerberos. Цей параметр є обов’язковим, його неодмінно слід
+вказати.
+                        </para>
+                    </listitem>
+                </varlistentry>
+
+                <varlistentry>
+                    <term>krb5_kpasswd, krb5_backup_kpasswd (рядок)</term>
+                    <listitem>
+                        <para>
+                            Якщо службу зміни паролів не запущено на KDC, тут можна визначити
+альтернативні сервери. До адрес або назв вузлів можна додати номер порту
+(перед яким слід вписати двокрапку).
+                        </para>
+                        <para>
+                            Додаткові відомості щодо резервних серверів можна знайти у розділі
+«РЕЗЕРВ». Зауваження: навіть якщо список всіх серверів kpasswd буде
+вичерпано, модуль не перемкнеться у автономний режим роботи, якщо
+розпізнавання за KDC залишатиметься можливим.
+                        </para>
+                        <para>
+                            Типове значення: використання KDC
+                        </para>
+                    </listitem>
+                </varlistentry>
+
+                <varlistentry>
+                    <term>krb5_ccachedir (рядок)</term>
+                    <listitem>
+                        <para>
+                            Каталог для зберігання кешу реєстраційних даних. Тут також можна
+використовувати усі замінники з krb5_ccname_template, окрім %d та
+%P. Каталог створюється як конфіденційний, власником є користувач, права
+доступу — 0700.
+                        </para>
+                        <para>
+                            Типове значення: /tmp
+                        </para>
+                    </listitem>
+                </varlistentry>
+
+                <varlistentry>
+                    <term>krb5_ccname_template (рядок)</term>
+                    <listitem>
+                        <para>
+                            Розташування кешу з реєстраційними даними користувача У поточній версії
+передбачено підтримку трьох типів кешу реєстраційних даних:
+<quote>FILE</quote>, <quote>DIR</quote> та
+<quote>KEYRING:persistent</quote>. Кеш може бути вказано або у форматі
+<replaceable>ТИП:РЕШТА</replaceable>, або у форматі абсолютного шляху (тоді
+вважається, що типом кешу є <quote>FILE</quote>). У шаблоні передбачено
+можливість використання таких послідовностей-замінників: <variablelist>
+                                <varlistentry>
+                                    <term>%u</term>
+                                    <listitem><para>ім'я користувача</para></listitem>
+                                </varlistentry>
+                                <varlistentry>
+                                    <term>%U</term>
+                                    <listitem><para>ідентифікатор користувача</para></listitem>
+                                </varlistentry>
+                                <varlistentry>
+                                    <term>%p</term>
+                                    <listitem><para>назва реєстраційного запису</para>
+                                    </listitem>
+                                </varlistentry>
+                                <varlistentry>
+                                    <term>%r</term>
+                                    <listitem><para>назва області</para></listitem>
+                                </varlistentry>
+                                <varlistentry>
+                                    <term>%h</term>
+                                    <listitem><para>домашній каталог</para>
+                                    </listitem>
+                                </varlistentry>
+                                <varlistentry>
+                                    <term>%d</term>
+                                    <listitem><para>значення krb5_ccachedir
+                                              </para>
+                                    </listitem>
+                                </varlistentry>
+                                <varlistentry>
+                                    <term>%P</term>
+                                    <listitem><para>ідентифікатор процесу клієнтської частини SSSD</para>
+                                    </listitem>
+                                </varlistentry>
+                                <varlistentry>
+                                    <term>%%</term>
+                                    <listitem><para>символ відсотків («%»)</para>
+                                    </listitem>
+                                </varlistentry>
+                            </variablelist> Якщо шаблон завершується послідовністю
+«XXXXXX», для безпечного створення назви файла використовується mkstemp(3).
+                        </para>
+                        <para>
+                            Якщо використовуються типи KEYRING, єдиним підтримуваним механізмом є
+«KEYRING:persistent:%U», тобто використання сховища ключів ядра Linux для
+зберігання реєстраційних даних на основі поділу за UID. Цей варіант є
+рекомендованим, оскільки це найбезпечніший та найпередбачуваніший спосіб.
+                        </para>
+                        <para>
+                            Типове значення назви кешу реєстраційних даних буде запозичено з
+загальносистемного профілю, що зберігається у файлі налаштувань krb5.conf,
+розділ [libdefaults]. Назва параметра — default_ccache_name. Див. розділ
+щодо розгортання параметрів (PARAMETER EXPANSION) у довідці щодо
+krb5.conf(5), щоб отримати додаткові дані щодо формату розгортання,
+використаного у krb5.conf.
+                        </para>
+                        <para>
+                          ЗАУВАЖЕННЯ: майте на увазі, що шаблон розширення ccache libkrb5 з
+<citerefentry> <refentrytitle>krb5.conf</refentrytitle>
+<manvolnum>5</manvolnum> </citerefentry> використовує інші послідовності
+розширення, що не збігаються із використаними у SSSD.
+                        </para>
+                        <para>
+                            Типове значення: (з libkrb5)
+                        </para>
+                    </listitem>
+                </varlistentry>
+
+                <varlistentry>
+                    <term>krb5_keytab (рядок)</term>
+                    <listitem>
+                        <para>
+                            Розташування таблиці ключів, якою слід скористатися під час перевірки
+реєстраційних даних, отриманих від KDC.
+                        </para>
+                        <para>
+                            Типове значення: системна таблиця ключів, зазвичай
+<filename>/etc/krb5.keytab</filename>
+                        </para>
+                    </listitem>
+                </varlistentry>
+
+                <varlistentry>
+                    <term>krb5_store_password_if_offline (булівське значення)</term>
+                    <listitem>
+                        <para>
+                            Зберігати пароль користувача, якщо засіб перевірки перебуває поза мережею, і
+використовувати його для запитів TGT після встановлення з’єднання з засобом
+перевірки.
+                        </para>
+                        <para>
+                            Зауваження: ця можливість у поточній версії доступна лише на платформі
+Linux. Паролі зберігатимуться у форматі звичайного тексту (без шифрування) у
+сховищі ключів ядра, потенційно до них може отримати доступ адміністративний
+користувач (root), але йому для цього слід буде подолати деякі перешкоди.
+                        </para>
+                        <para>
+                            Типове значення: false
+                        </para>
+                    </listitem>
+                </varlistentry>
+
+                <varlistentry>
+                    <term>krb5_use_fast (рядок)</term>
+                    <listitem>
+                        <para>
+                            Вмикає безпечне тунелювання для гнучкого розпізнавання (flexible
+authentication secure tunneling або FAST) для попереднього розпізнавання у
+Kerberos. Передбачено такі варіанти:
+                        </para>
+                        <para>
+                            <emphasis>never</emphasis> використовувати FAST, рівнозначний варіанту, за
+якого значення цього параметра взагалі не задається.
+                        </para>
+                        <para>
+                            <emphasis>try</emphasis> — використовувати FAST. Якщо на сервері не
+передбачено підтримки FAST, продовжити розпізнавання без FAST.
+                        </para>
+                        <para>
+                            <emphasis>demand</emphasis> — використовувати FAST. Якщо на сервері не
+передбачено підтримки FAST, спроба розпізнавання зазнає невдачі.
+                        </para>
+                        <para>
+                            Типове значення: не встановлено, тобто FAST не використовується.
+                        </para>
+                        <para>
+                            Зауваження: будь ласка, зауважте, що для використання FAST потрібна таблиця
+ключів або підтримка анонімного PKINIT.
+                        </para>
+                        <para>
+                            Зауваження: у SSSD передбачено підтримку FAST лише у разі використання MIT
+Kerberos версії 1.8 або новішої. Якщо SSSD буде використано зі старішою
+версією MIT Kerberos і цим параметром, буде повідомлено про помилку у
+налаштуваннях.
+                        </para>
+                    </listitem>
+                </varlistentry>
+
+                <varlistentry>
+                    <term>krb5_fast_principal (рядок)</term>
+                    <listitem>
+                        <para>
+                            Визначає реєстраційний запис сервера, який слід використовувати для FAST.
+                        </para>
+                    </listitem>
+                </varlistentry>
+
+                <varlistentry>
+                    <term>krb5_fast_use_anonymous_pkinit (булеве значення)</term>
+                    <listitem>
+                        <para>
+                            Якщо встановлено значення «true» намагатися скористатися анонімним PKINIT
+замість таблиці ключів для отримання бажаних реєстраційних даних для FAST. У
+цьому випадку параметри krb5_fast_principal буде проігноровано.
+                        </para>
+                        <para>
+                            Типове значення: false
+                        </para>
+                    </listitem>
+                </varlistentry>
+
+                <varlistentry>
+                    <term>krb5_use_kdcinfo (булеве значення)</term>
+                    <listitem>
+                        <para>
+                            Визначає, чи слід SSSD вказувати бібліотекам Kerberos, яку область і які
+значення KDC слід використовувати. Типово, дію параметра увімкнено. Якщо ви
+вимкнете його, вам слід налаштувати бібліотеку Kerberos за допомогою файла
+налаштувань <citerefentry> <refentrytitle>krb5.conf</refentrytitle>
+<manvolnum>5</manvolnum> </citerefentry>.
+                        </para>
+                        <para>
+                            Див. сторінку підручника (man) <citerefentry>
+<refentrytitle>sssd_krb5_locator_plugin</refentrytitle>
+<manvolnum>8</manvolnum> </citerefentry>, щоб дізнатися більше про додаток
+пошуку.
+                        </para>
+                        <para>
+                            Типове значення: true
+                        </para>
+                    </listitem>
+                </varlistentry>
+
+                <varlistentry>
+                    <term>krb5_kdcinfo_lookahead (рядок)</term>
+                    <listitem>
+                        <para>
+                            Якщо для krb5_use_kdcinfo встановлено значення true, ви можете обмежити
+кількість серверів, які буде передано <citerefentry>
+<refentrytitle>sssd_krb5_locator_plugin</refentrytitle>
+<manvolnum>8</manvolnum> </citerefentry>. Це може бути корисним, якщо за
+допомогою запису SRV виявляється надто багато серверів.
+                        </para>
+                        <para>
+                            Параметр krb5_kdcinfo_lookahead містить два числа, які відокремлено
+двокрапкою. Перше число визначає кількість основних серверів, а друге —
+кількість резервних серверів.
+                        </para>
+                        <para>
+                            Наприклад, <emphasis>10:0</emphasis> означає «буде передано до 10 основних
+серверів до <citerefentry>
+<refentrytitle>sssd_krb5_locator_plugin</refentrytitle>
+<manvolnum>8</manvolnum> </citerefentry>», але не буде передано резервні
+сервери
+                        </para>
+                        <para>
+                            Типове значення: 3:1
+                        </para>
+                    </listitem>
+                </varlistentry>
+
+                <varlistentry>
+                    <term>krb5_use_enterprise_principal (булеве значення)</term>
+                    <listitem>
+                        <para>
+                            Визначає, чи слід вважати реєстраційні дані користувача даними промислового
+рівня. Див. розділ 5 RFC 6806, щоб дізнатися більше про промислові
+реєстраційні дані.
+                        </para>
+
+                        <para>
+                            Типове значення: false (надається AD: true)
+                        </para>
+                        <para>
+                            Засіб надання даних IPA встановить для цього параметра значення «true», якщо
+виявить, що сервер здатен обробляти реєстраційні дані промислового класу, і
+параметр на встановлено явним чином у файлі налаштувань.
+                        </para>
+                    </listitem>
+                </varlistentry>
+
+                <varlistentry>
+                    <term>krb5_use_subdomain_realm (булеве значення)</term>
+                    <listitem>
+                        <para>
+                            Визначає використання областей піддоменів для розпізнавання користувачів з
+довірених доменів. Для цього параметра можна встановити значення «true»,
+якщо промислові реєстраційні записи використовуються із upnSuffixes, який не
+є відомим KDC батьківського домену. Якщо для параметра встановлено значення
+«true», SSSD спробує надіслати запит безпосередньо до KDC довіреного домену,
+з якого прийшов користувач.
+                        </para>
+
+                        <para>
+                            Типове значення: false
+                        </para>
+                    </listitem>
+                </varlistentry>
+
+                <varlistentry>
+                    <term>krb5_map_user (рядок)</term>
+                    <listitem>
+                        <para>
+                             Список прив’язок визначається як список пар «користувач:основа», де
+«користувач» — ім’я користувача UNIX, а «основа» — частина щодо користувача
+у реєстраційному записі kerberos. Ця прив’язка використовується, якщо
+користувач проходить розпізнавання із використанням «auth_provider = krb5».
+                        </para>
+
+                        <para>
+                             приклад: <programlisting>
+krb5_realm = REALM
+krb5_map_user = joe:juser,dick:richard
+</programlisting>
+                        </para>
+                        <para>
+                             <quote>joe</quote> і <quote>dick</quote> — імена користувачів UNIX, а
+<quote>juser</quote> і <quote>richard</quote> основні частини реєстраційних
+записів kerberos. Для користувачів <quote>joe</quote> та, відповідно,
+<quote>dick</quote> SSSD намагатиметься виконати ініціалізацію kinit як
+<quote>juser@REALM</quote> і, відповідно,  <quote>richard@REALM</quote>.
+                        </para>
+
+                        <para>
+                            Типове значення: not set
+                        </para>
+                    </listitem>
+                </varlistentry>
+
+            </variablelist>
+            <xi:include xmlns:xi="http://www.w3.org/2001/XInclude" href="include/krb5_options.xml" />
+        </para>
+    </refsect1>
+
+    <xi:include xmlns:xi="http://www.w3.org/2001/XInclude" href="include/failover.xml" />
+
+    <xi:include xmlns:xi="http://www.w3.org/2001/XInclude" href="include/service_discovery.xml" />
+
+    <refsect1 id='example'>
+        <title>ПРИКЛАД</title>
+        <para>
+            У наведеному нижче прикладі припускається, що SSSD налаштовано належним
+чином, а FOO є одним з доменів у розділі
+<replaceable>[sssd]</replaceable>. У прикладі продемонстровано лише
+налаштування розпізнавання аз допомогою Kerberos, там не вказано інструменту
+обробки профілів.
+        </para>
+        <para>
+<programlisting>
+[domain/FOO]
+auth_provider = krb5
+krb5_server = 192.168.1.1
+krb5_realm = EXAMPLE.COM
+</programlisting>
+        </para>
+    </refsect1>
+
+    <xi:include xmlns:xi="http://www.w3.org/2001/XInclude" href="include/seealso.xml" />
+
+</refentry>
+</reference>
diff --git a/src/man/uk/sssd-ldap-attributes.5.xml b/src/man/uk/sssd-ldap-attributes.5.xml
new file mode 100644
index 0000000..4a3d4f9
--- /dev/null
+++ b/src/man/uk/sssd-ldap-attributes.5.xml
@@ -0,0 +1,1187 @@
+<?xml version="1.0" encoding="UTF-8"?>
+<!DOCTYPE reference PUBLIC "-//OASIS//DTD DocBook V4.4//EN"
+"http://www.oasis-open.org/docbook/xml/4.4/docbookx.dtd">
+<reference>
+<title>Сторінки підручника SSSD</title>
+<refentry>
+    <xi:include xmlns:xi="http://www.w3.org/2001/XInclude" href="include/upstream.xml" />
+
+    <refmeta>
+        <refentrytitle>sssd-ldap-attributes</refentrytitle>
+        <manvolnum>5</manvolnum>
+        <refmiscinfo class="manual">Формати файлів та правила</refmiscinfo>
+    </refmeta>
+
+    <refnamediv id='name'>
+        <refname>sssd-ldap-attributes</refname>
+        <refpurpose>Засіб надання даних LDAP SSSD: атрибути прив'язування</refpurpose>
+    </refnamediv>
+
+    <refsect1 id='description'>
+        <title>ОПИС</title>
+        <para>
+            Цю сторінку підручника присвячено опису атрибутів прив'язування засобу
+надання даних LDAP SSSD <citerefentry>
+<refentrytitle>sssd-ldap</refentrytitle> <manvolnum>5</manvolnum>
+</citerefentry>. Повний опис параметрів налаштовування засобу надання даних
+LDAP SSSD наведено на сторінці підручника щодо <citerefentry>
+<refentrytitle>sssd-ldap</refentrytitle> <manvolnum>5</manvolnum>
+</citerefentry>.
+        </para>
+    </refsect1>
+
+    <refsect1 id='mapping-attributes'>
+        <title>АТРИБУТИ КОРИСТУВАЧА</title>
+        <para>
+            <variablelist>
+                <varlistentry>
+                    <term>ldap_user_object_class (рядок)</term>
+                    <listitem>
+                        <para>
+                            Клас об’єктів запису користувача у LDAP.
+                        </para>
+                        <para>
+                            Типове значення: posixAccount
+                        </para>
+                    </listitem>
+                </varlistentry>
+
+                <varlistentry>
+                    <term>ldap_user_name (рядок)</term>
+                    <listitem>
+                        <para>
+                            Атрибут LDAP, що відповідає назві облікового запису користувача.
+                        </para>
+                        <para>
+                            Типове значення: uid (rfc2307, rfc2307bis і IPA), sAMAccountName (AD)
+                        </para>
+                    </listitem>
+                </varlistentry>
+
+                <varlistentry>
+                    <term>ldap_user_uid_number (рядок)</term>
+                    <listitem>
+                        <para>
+                            Атрибут LDAP, що відповідає ідентифікатору користувача.
+                        </para>
+                        <para>
+                            Типове значення: uidNumber
+                        </para>
+                    </listitem>
+                </varlistentry>
+
+                <varlistentry>
+                    <term>ldap_user_gid_number (рядок)</term>
+                    <listitem>
+                        <para>
+                            Атрибут LDAP, що відповідає ідентифікатору основної групи користувача.
+                        </para>
+                        <para>
+                            Типове значення: gidNumber
+                        </para>
+                    </listitem>
+                </varlistentry>
+
+                <varlistentry>
+                    <term>ldap_user_primary_group (рядок)</term>
+                    <listitem>
+                        <para>
+                            Атрибут основної групи Active Directory для встановлення відповідності
+ідентифікатора. Зауважте, що цей атрибут слід встановлювати вручну, лише
+якщо ви користуєтеся засобом надання даних <quote>ldap</quote> з прив'язкою
+до ідентифікаторів.
+                        </para>
+                        <para>
+                            Типове значення: unset (LDAP), primaryGroupID (AD)
+                        </para>
+                    </listitem>
+                </varlistentry>
+
+                <varlistentry>
+                    <term>ldap_user_gecos (рядок)</term>
+                    <listitem>
+                        <para>
+                            Атрибут LDAP, що відповідає полю gecos користувача.
+                        </para>
+                        <para>
+                            Типове значення: gecos
+                        </para>
+                    </listitem>
+                </varlistentry>
+
+                <varlistentry>
+                    <term>ldap_user_home_directory (рядок)</term>
+                    <listitem>
+                        <para>
+                            Атрибут LDAP, що містить назву домашнього каталогу користувача.
+                        </para>
+                        <para>
+                            Типове значення: homeDirectory (LDAP та IPA), unixHomeDirectory (AD)
+                        </para>
+                    </listitem>
+                </varlistentry>
+
+                <varlistentry>
+                    <term>ldap_user_shell (рядок)</term>
+                    <listitem>
+                        <para>
+                            Атрибут LDAP, що містить шлях до типової командної оболонки користувача.
+                        </para>
+                        <para>
+                            Типове значення: loginShell
+                        </para>
+                    </listitem>
+                </varlistentry>
+
+                <varlistentry>
+                    <term>ldap_user_uuid (рядок)</term>
+                    <listitem>
+                        <para>
+                            Атрибут LDAP, що містить UUID/GUID об’єкта користувача LDAP.
+                        </para>
+                        <para>
+                            Типове значення: не встановлено у загальному випадку, objectGUID для AD і
+ipaUniqueID для IPA
+                        </para>
+                    </listitem>
+                </varlistentry>
+
+                <varlistentry>
+                    <term>ldap_user_objectsid (рядок)</term>
+                    <listitem>
+                        <para>
+                            Атрибут LDAP, що містить objectSID об’єкта користувача LDAP. Зазвичай,
+потрібен лише для серверів ActiveDirectory.
+                        </para>
+                        <para>
+                            Типове значення: objectSid для ActiveDirectory, не встановлено для інших
+серверів.
+                        </para>
+                    </listitem>
+                </varlistentry>
+
+                <varlistentry>
+                    <term>ldap_user_modify_timestamp (рядок)</term>
+                    <listitem>
+                        <para>
+                            Атрибут LDAP, що містить часову позначку останньої зміни батьківського
+об’єкта.
+                        </para>
+                        <para>
+                            Типове значення: modifyTimestamp
+                        </para>
+                    </listitem>
+                </varlistentry>
+
+                <varlistentry>
+                    <term>ldap_user_shadow_last_change (рядок)</term>
+                    <listitem>
+                        <para>
+                            У разі використання ldap_pwd_policy=shadow цей параметр містить назву
+атрибута LDAP, який є відповідником параметра <citerefentry>
+<refentrytitle>shadow</refentrytitle> <manvolnum>5</manvolnum>
+</citerefentry> (дати останньої зміни пароля).
+                        </para>
+                        <para>
+                            Типове значення: shadowLastChange
+                        </para>
+                    </listitem>
+                </varlistentry>
+
+                <varlistentry>
+                    <term>ldap_user_shadow_min (рядок)</term>
+                    <listitem>
+                        <para>
+                            У разі використання ldap_pwd_policy=shadow цей параметр містить назву
+атрибута LDAP, який є відповідником параметра <citerefentry>
+<refentrytitle>shadow</refentrytitle> <manvolnum>5</manvolnum>
+</citerefentry> (мінімального віку пароля).
+                        </para>
+                        <para>
+                            Типове значення: shadowMin
+                        </para>
+                    </listitem>
+                </varlistentry>
+
+                <varlistentry>
+                    <term>ldap_user_shadow_max (рядок)</term>
+                    <listitem>
+                        <para>
+                            У разі використання ldap_pwd_policy=shadow цей параметр містить назву
+атрибута LDAP, який є відповідником параметра <citerefentry>
+<refentrytitle>shadow</refentrytitle> <manvolnum>5</manvolnum>
+</citerefentry> (максимального віку пароля).
+                        </para>
+                        <para>
+                            Типове значення: shadowMax
+                        </para>
+                    </listitem>
+                </varlistentry>
+
+                <varlistentry>
+                    <term>ldap_user_shadow_warning (рядок)</term>
+                    <listitem>
+                        <para>
+                            У разі використання ldap_pwd_policy=shadow цей параметр містить назву
+атрибута LDAP, який є відповідником параметра <citerefentry>
+<refentrytitle>shadow</refentrytitle> <manvolnum>5</manvolnum>
+</citerefentry> (проміжку попередження щодо пароля).
+                        </para>
+                        <para>
+                            Типове значення: shadowWarning
+                        </para>
+                    </listitem>
+                </varlistentry>
+
+                <varlistentry>
+                    <term>ldap_user_shadow_inactive (рядок)</term>
+                    <listitem>
+                        <para>
+                            У разі використання ldap_pwd_policy=shadow цей параметр містить назву
+атрибута LDAP, який є відповідником параметра <citerefentry>
+<refentrytitle>shadow</refentrytitle> <manvolnum>5</manvolnum>
+</citerefentry> (тривалості періоду невикористання пароля).
+                        </para>
+                        <para>
+                            Типове значення: shadowInactive
+                        </para>
+                    </listitem>
+                </varlistentry>
+
+                <varlistentry>
+                    <term>ldap_user_shadow_expire (рядок)</term>
+                    <listitem>
+                        <para>
+                            У разі використання ldap_pwd_policy=shadow або
+ldap_account_expire_policy=shadow цей параметр містить назву атрибута LDAP,
+який є відповідником параметра <citerefentry>
+<refentrytitle>shadow</refentrytitle> <manvolnum>5</manvolnum>
+</citerefentry> (дати завершення строку дії пароля).
+                        </para>
+                        <para>
+                            Типове значення: shadowExpire
+                        </para>
+                    </listitem>
+                </varlistentry>
+
+                <varlistentry>
+                    <term>ldap_user_krb_last_pwd_change (рядок)</term>
+                    <listitem>
+                        <para>
+                            Якщо використано значення ldap_pwd_policy=mit_kerberos, цей параметр містить
+назву атрибута LDAP, у якому зберігається дата і час останньої зміни пароля
+у kerberos.
+                        </para>
+                        <para>
+                            Типове значення: krbLastPwdChange
+                        </para>
+                    </listitem>
+                </varlistentry>
+
+                <varlistentry>
+                    <term>ldap_user_krb_password_expiration (рядок)</term>
+                    <listitem>
+                        <para>
+                            Якщо використано значення ldap_pwd_policy=mit_kerberos, цей параметр містить
+назву атрибута LDAP, у якому зберігається дата і час завершення строку дії
+поточного пароля.
+                        </para>
+                        <para>
+                            Типове значення: krbPasswordExpiration
+                        </para>
+                    </listitem>
+                </varlistentry>
+
+                <varlistentry>
+                    <term>ldap_user_ad_account_expires (рядок)</term>
+                    <listitem>
+                        <para>
+                            Якщо вказано ldap_account_expire_policy=ad, цей параметр містить назву
+атрибута LDAP, у якому зберігаються дані щодо строку завершення дії
+облікового запису.
+                        </para>
+                        <para>
+                            Типове значення: accountExpires
+                        </para>
+                    </listitem>
+                </varlistentry>
+
+                <varlistentry>
+                    <term>ldap_user_ad_user_account_control (рядок)</term>
+                    <listitem>
+                        <para>
+                            Якщо вказано ldap_account_expire_policy=ad, цей параметр містить назву
+атрибута LDAP, у якому зберігаються дані щодо поля контрольного біта
+облікового запису користувача.
+                        </para>
+                        <para>
+                            Типове значення: userAccountControl
+                        </para>
+                    </listitem>
+                </varlistentry>
+
+                <varlistentry>
+                    <term>ldap_ns_account_lock (рядок)</term>
+                    <listitem>
+                        <para>
+                            Якщо вказано ldap_account_expire_policy=rhds або еквівалентне налаштування,
+цей параметр визначає, заборонено чи дозволено доступ.
+                        </para>
+                        <para>
+                            Типове значення: nsAccountLock
+                        </para>
+                    </listitem>
+                </varlistentry>
+
+                <varlistentry>
+                    <term>ldap_user_nds_login_disabled (рядок)</term>
+                    <listitem>
+                        <para>
+                            Якщо вказано ldap_account_expire_policy=nds, цей атрибут визначає, дозволено
+чи заборонено доступ.
+                        </para>
+                        <para>
+                            Типове значення: loginDisabled
+                        </para>
+                    </listitem>
+                </varlistentry>
+
+                <varlistentry>
+                    <term>ldap_user_nds_login_expiration_time (рядок)</term>
+                    <listitem>
+                        <para>
+                            Якщо вказано ldap_account_expire_policy=nds, цей атрибут визначає дату, до
+якої надано доступ.
+                        </para>
+                        <para>
+                            Типове значення: loginDisabled
+                        </para>
+                    </listitem>
+                </varlistentry>
+
+                <varlistentry>
+                    <term>ldap_user_nds_login_allowed_time_map (рядок)</term>
+                    <listitem>
+                        <para>
+                            Якщо вказано ldap_account_expire_policy=nds, цей атрибут визначає годити дня
+тижня, коли надається доступ.
+                        </para>
+                        <para>
+                            Типове значення: loginAllowedTimeMap
+                        </para>
+                    </listitem>
+                </varlistentry>
+
+                <varlistentry>
+                    <term>ldap_user_principal (рядок)</term>
+                    <listitem>
+                        <para>
+                            Атрибут LDAP, що містить Kerberos User Principal Name (UPN) користувача.
+                        </para>
+                        <para>
+                            Типове значення: krbPrincipalName
+                        </para>
+                    </listitem>
+                </varlistentry>
+
+                <varlistentry>
+                    <term>ldap_user_extra_attrs (рядок)</term>
+                    <listitem>
+                        <para>
+                            Відокремлений комами список атрибутів LDAP, які SSSD має отримувати разом зі
+звичайним набором атрибутів запису користувача.
+                        </para>
+                        <para>
+                            Список може або містити лише назви атрибутів LDAP, або відокремлені
+двокрапками кортежі з назви атрибута кешу SSSD та назви атрибута LDAP. Якщо
+вказано лише назву атрибута LDAP, атрибут зберігається до кешу
+буквально. Використання нетипової назви атрибута SSSD може бути потрібним
+середовищам, де налаштовано декілька доменів SSSD з різними схемами LDAP.
+                        </para>
+                        <para>
+                            Будь ласка, зауважте, що декілька назв атрибутів зарезервовано SSSD, зокрема
+атрибут «name». SSSD повідомить про помилку, якщо будь-які із зарезервованих
+назв атрибутів використано як назву додаткового атрибута.
+                        </para>
+                        <para>
+                            Приклади:
+                        </para>
+                        <para>
+                            ldap_user_extra_attrs = telephoneNumber
+                        </para>
+                        <para>
+                            Зберегти атрибут «telephoneNumber» з LDAP як «telephoneNumber» до кешу.
+                        </para>
+                        <para>
+                            ldap_user_extra_attrs = phone:telephoneNumber
+                        </para>
+                        <para>
+                            Зберегти атрибут «telephoneNumber» з LDAP як «phone» до кешу.
+                        </para>
+                        <para>
+                            Типове значення: not set
+                        </para>
+                    </listitem>
+                </varlistentry>
+
+                <varlistentry condition="with_ssh">
+                    <term>ldap_user_ssh_public_key (рядок)</term>
+                    <listitem>
+                        <para>
+                            Атрибут LDAP, який містить відкриті ключі SSH користувача.
+                        </para>
+                        <para>
+                            Типове значення: sshPublicKey
+                        </para>
+                    </listitem>
+                </varlistentry>
+
+                <varlistentry>
+                    <term>ldap_user_fullname (рядок)</term>
+                    <listitem>
+                        <para>
+                            Атрибут LDAP, що відповідає повному імені користувача.
+                        </para>
+                        <para>
+                            Типове значення: cn
+                        </para>
+                    </listitem>
+                </varlistentry>
+
+                <varlistentry>
+                    <term>ldap_user_member_of (рядок)</term>
+                    <listitem>
+                        <para>
+                            Атрибут LDAP зі списком груп, у яких бере участь користувач.
+                        </para>
+                        <para>
+                            Типове значення: memberOf
+                        </para>
+                    </listitem>
+                </varlistentry>
+
+                <varlistentry>
+                    <term>ldap_user_authorized_service (рядок)</term>
+                    <listitem>
+                        <para>
+                            Якщо access_provider=ldap і ldap_access_order=authorized_service, SSSD
+використовуватиме наявність атрибута authorizedService у записі користувача
+LDAP для визначення прав доступу.
+                        </para>
+                        <para>
+                            Спочатку визначаються явні заборони (!svc). Далі SSSD шукає явні дозволи
+(svc) і нарешті загальні дозволи або allow_all (*).
+                        </para>
+                        <para>
+                            Будь ласка, зауважте, що параметр налаштування ldap_access_order
+<emphasis>має</emphasis> включати <quote>authorized_service</quote>, щоб
+система змогла скористатися параметром ldap_user_authorized_service.
+                        </para>
+                        <para>
+                            У деяких дистрибутивах (зокрема у Fedora-29+ або RHEL-8) службу PAM
+<quote>systemd-user</quote> завжди включено до процедури входу до
+системи. Тому при використанні керування доступом на основі даних служб
+варто додавати службу <quote>systemd-user</quote> до списку дозволених
+служб.
+                        </para>
+                        <para>
+                            Типове значення: authorizedService
+                        </para>
+                    </listitem>
+                </varlistentry>
+
+                <varlistentry>
+                    <term>ldap_user_authorized_host (рядок)</term>
+                    <listitem>
+                        <para>
+                            Якщо access_provider=ldap і ldap_access_order=host, SSSD використовуватиме
+наявність атрибута host у записі користувача LDAP для визначення прав
+доступу.
+                        </para>
+                        <para>
+                            Спочатку визначаються явні заборони (!host). Далі SSSD шукає явні дозволи
+(host) і нарешті загальні дозволи або allow_all (*).
+                        </para>
+                        <para>
+                            Будь ласка, зауважте, що параметр налаштування ldap_access_order
+<emphasis>має</emphasis> включати <quote>host</quote>, щоб можна було
+скористатися параметром ldap_user_authorized_host.
+                        </para>
+                        <para>
+                            Типове значення: host
+                        </para>
+                    </listitem>
+                </varlistentry>
+
+                <varlistentry>
+                    <term>ldap_user_authorized_rhost (рядок)</term>
+                    <listitem>
+                        <para>
+                            Якщо access_provider=ldap і ldap_access_order=rhost, SSSD використовуватиме
+наявність атрибута rhost у записі користувача LDAP для визначення прав
+доступу. Те саме стосується і процесу перевірки вузла.
+                        </para>
+                        <para>
+                            Спочатку визначаються явні заборони (!rhost). Далі SSSD шукає явні дозволи
+(rhost) і нарешті загальні дозволи або allow_all (*).
+                        </para>
+                        <para>
+                            Будь ласка, зауважте, що параметр налаштування ldap_access_order
+<emphasis>має</emphasis> включати <quote>rhost</quote>, щоб можна було
+скористатися параметром ldap_user_authorized_rhost.
+                        </para>
+                        <para>
+                            Типове значення: rhost
+                        </para>
+                    </listitem>
+                </varlistentry>
+
+                <varlistentry>
+                    <term>ldap_user_certificate (рядок)</term>
+                    <listitem>
+                        <para>
+                            Назва атрибута LDAP, що містить сертифікат X509 користувача.
+                        </para>
+                        <para>
+                            Типове значення: userCertificate;binary
+                        </para>
+                    </listitem>
+                </varlistentry>
+
+                <varlistentry>
+                    <term>ldap_user_email (рядок)</term>
+                    <listitem>
+                        <para>
+                            Назва атрибута LDAP, який містить адресу електронної пошти користувача.
+                        </para>
+                        <para>
+                            Зауваження: якщо адреса електронної пошти користувача конфліктує із адресою
+електронної пошти або повним ім'ям іншого користувача, SSSD не зможе
+обслуговувати належним чином записи таких користувачів. Якщо з якоїсь
+причини у декількох користувачів має бути одна адреса електронної пошти,
+встановіть для цього параметра довільну назву атрибута, щоб вимкнути пошук і
+вхід до системи за адресою електронної пошти.
+                        </para>
+                        <para>
+                            Типове значення: mail
+                        </para>
+                    </listitem>
+                </varlistentry>
+                <varlistentry condition="build_passkey">
+                    <term>ldap_user_passkey (string)</term>
+                    <listitem>
+                        <para>
+                            Name of the LDAP attribute containing the passkey mapping data of the user.
+                        </para>
+                        <para>
+                            Default: passkey (LDAP), ipaPassKey (IPA), altSecurityIdentities (AD)
+                        </para>
+                    </listitem>
+                </varlistentry>
+            </variablelist>
+        </para>
+    </refsect1>
+
+    <refsect1 id='group-attributes'>
+        <title>АТРИБУТИ ГРУПИ</title>
+        <para>
+            <variablelist>
+                <varlistentry>
+                    <term>ldap_group_object_class (рядок)</term>
+                    <listitem>
+                        <para>
+                            Клас об’єктів запису групи у LDAP.
+                        </para>
+                        <para>
+                            Типове значення: posixGroup
+                        </para>
+                    </listitem>
+                </varlistentry>
+
+                <varlistentry>
+                    <term>ldap_group_name (рядок)</term>
+                    <listitem>
+                        <para>
+                            The LDAP attribute that corresponds to the group name. In an environment
+with nested groups, this value must be an LDAP attribute which has a unique
+name for every group. This requirement includes non-POSIX groups in the tree
+of nested groups.
+                        </para>
+                        <para>
+                            Типове значення: cn (rfc2307, rfc2307bis і IPA), sAMAccountName (AD)
+                        </para>
+                    </listitem>
+                </varlistentry>
+
+                <varlistentry>
+                    <term>ldap_group_gid_number (рядок)</term>
+                    <listitem>
+                        <para>
+                            Атрибут LDAP, що відповідає ідентифікатору групи.
+                        </para>
+                        <para>
+                            Типове значення: gidNumber
+                        </para>
+                    </listitem>
+                </varlistentry>
+
+                <varlistentry>
+                    <term>ldap_group_member (рядок)</term>
+                    <listitem>
+                        <para>
+                            Атрибут LDAP, у якому містяться імена учасників групи.
+                        </para>
+                        <para>
+                            Типове значення: memberuid (rfc2307) / member (rfc2307bis)
+                        </para>
+                    </listitem>
+                </varlistentry>
+
+                <varlistentry>
+                    <term>ldap_group_uuid (рядок)</term>
+                    <listitem>
+                        <para>
+                            Атрибут LDAP, що містить UUID/GUID об’єкта групи LDAP.
+                        </para>
+                        <para>
+                            Типове значення: не встановлено у загальному випадку, objectGUID для AD і
+ipaUniqueID для IPA
+                        </para>
+                    </listitem>
+                </varlistentry>
+
+                <varlistentry>
+                    <term>ldap_group_objectsid (рядок)</term>
+                    <listitem>
+                        <para>
+                            Атрибут LDAP, що містить objectSID об’єкта групи LDAP. Зазвичай, потрібен
+лише для серверів ActiveDirectory.
+                        </para>
+                        <para>
+                            Типове значення: objectSid для ActiveDirectory, не встановлено для інших
+серверів.
+                        </para>
+                    </listitem>
+                </varlistentry>
+
+                <varlistentry>
+                    <term>ldap_group_modify_timestamp (рядок)</term>
+                    <listitem>
+                        <para>
+                            Атрибут LDAP, що містить часову позначку останньої зміни батьківського
+об’єкта.
+                        </para>
+                        <para>
+                            Типове значення: modifyTimestamp
+                        </para>
+                    </listitem>
+                </varlistentry>
+
+                <varlistentry>
+                    <term>ldap_group_type (рядок)</term>
+                    <listitem>
+                        <para>
+                            Атрибут LDAP, що містить ціле значення і позначає тип групи, а також,
+можливо, інші прапорці.
+                        </para>
+                        <para>
+                            Цей атрибут у поточній версії використовується лише засобом надання даних AD
+для визначення, чи є група локальною групою домену і чи має бути її
+відфільтровано у списку надійних (довірених) доменів.
+                        </para>
+                        <para>
+                            Типове значення: groupType у засобі надання даних AD, у інших засобах не
+встановлено
+                        </para>
+                    </listitem>
+                </varlistentry>
+
+                <varlistentry>
+                    <term>ldap_group_external_member (рядок)</term>
+                    <listitem>
+                        <para>
+                            Атрибут LDAP, який посилається на записи учасників групи, які визначено у
+зовнішньому домені. У поточній версії передбачено підтримку лише зовнішніх
+записів учасників IPA.
+                        </para>
+                        <para>
+                            Типове значення: ipaExternalMember у засобі надання даних IPA, у інших
+засобах не визначено.
+                        </para>
+                    </listitem>
+                </varlistentry>
+            </variablelist>
+        </para>
+    </refsect1>
+
+    <refsect1 id='netgroup-attributes'>
+        <title>АТРИБУТИ МЕРЕЖЕВОЇ ГРУПИ</title>
+        <para>
+            <variablelist>
+                <varlistentry>
+                    <term>ldap_netgroup_object_class (рядок)</term>
+                    <listitem>
+                        <para>
+                            Клас об’єктів запису мережевої групи (netgroup) у LDAP.
+                        </para>
+                        <para>
+                            У надавачі даних IPA має бути використано ipa_netgroup_object_class.
+                        </para>
+                        <para>
+                            Типове значення: nisNetgroup
+                        </para>
+                    </listitem>
+                </varlistentry>
+
+                <varlistentry>
+                    <term>ldap_netgroup_name (рядок)</term>
+                    <listitem>
+                        <para>
+                            Атрибут LDAP, що відповідає назві мережевої групи (netgroup).
+                        </para>
+                        <para>
+                            У надавачі даних IPA має бути використано ipa_netgroup_name.
+                        </para>
+                        <para>
+                            Типове значення: cn
+                        </para>
+                    </listitem>
+                </varlistentry>
+
+                <varlistentry>
+                    <term>ldap_netgroup_member (рядок)</term>
+                    <listitem>
+                        <para>
+                            Атрибут LDAP, у якому містяться імена учасників мережевої групи (netgroup).
+                        </para>
+                        <para>
+                            У надавачі даних IPA має бути використано ipa_netgroup_member.
+                        </para>
+                        <para>
+                            Типове значення: memberNisNetgroup
+                        </para>
+                    </listitem>
+                </varlistentry>
+
+                <varlistentry>
+                    <term>ldap_netgroup_triple (рядок)</term>
+                    <listitem>
+                        <para>
+                            Атрибут LDAP, що містить трійки мережевої групи (вузол, користувач, домен).
+                        </para>
+                        <para>
+                            Цим параметром не можна скористатися у надавачі даних IPA.
+                        </para>
+                        <para>
+                            Типове значення: nisNetgroupTriple
+                        </para>
+                    </listitem>
+                </varlistentry>
+
+                <varlistentry>
+                    <term>ldap_netgroup_modify_timestamp (рядок)</term>
+                    <listitem>
+                        <para>
+                            Атрибут LDAP, що містить часову позначку останньої зміни батьківського
+об’єкта.
+                        </para>
+                        <para>
+                            Цим параметром не можна скористатися у надавачі даних IPA.
+                        </para>
+                        <para>
+                            Типове значення: modifyTimestamp
+                        </para>
+                    </listitem>
+                </varlistentry>
+            </variablelist>
+        </para>
+    </refsect1>
+
+    <refsect1 id='host-attributes'>
+        <title>АТРИБУТИ ВУЗЛА</title>
+        <para>
+            <variablelist>
+                <varlistentry>
+                    <term>ldap_host_object_class (рядок)</term>
+                    <listitem>
+                        <para>
+                            Клас об’єктів запису вузла у LDAP.
+                        </para>
+                        <para>
+                            Типове значення: ipService
+                        </para>
+                    </listitem>
+                </varlistentry>
+
+                <varlistentry>
+                    <term>ldap_host_name (рядок)</term>
+                    <listitem>
+                        <para>
+                            Атрибут LDAP, що відповідає назві вузла.
+                        </para>
+                        <para>
+                            Типове значення: cn
+                        </para>
+                    </listitem>
+                </varlistentry>
+
+                <varlistentry>
+                    <term>ldap_host_fqdn (рядок)</term>
+                    <listitem>
+                        <para>
+                            Атрибут LDAP, що відповідає повній назві вузла.
+                        </para>
+                        <para>
+                            Типове значення: fqdn
+                        </para>
+                    </listitem>
+                </varlistentry>
+
+                <varlistentry>
+                    <term>ldap_host_serverhostname (рядок)</term>
+                    <listitem>
+                        <para>
+                            Атрибут LDAP, що відповідає назві вузла.
+                        </para>
+                        <para>
+                            Типове значення: serverHostname
+                        </para>
+                    </listitem>
+                </varlistentry>
+
+                <varlistentry>
+                    <term>ldap_host_member_of (рядок)</term>
+                    <listitem>
+                        <para>
+                            Атрибут LDAP зі списком груп, у яких бере участь вузол.
+                        </para>
+                        <para>
+                            Типове значення: memberOf
+                        </para>
+                    </listitem>
+                </varlistentry>
+
+                <varlistentry condition="with_ssh">
+                    <term>ldap_host_ssh_public_key (рядок)</term>
+                    <listitem>
+                        <para>
+                            Атрибут LDAP, який містить відкриті ключі SSH вузла.
+                        </para>
+                        <para>
+                            Типове значення: sshPublicKey
+                        </para>
+                    </listitem>
+                </varlistentry>
+
+                <varlistentry>
+                    <term>ldap_host_uuid (рядок)</term>
+                    <listitem>
+                        <para>
+                            Атрибут LDAP, що містить UUID/GUID об’єкта вузла LDAP.
+                        </para>
+                        <para>
+                            Типове значення: not set
+                        </para>
+                    </listitem>
+                </varlistentry>
+            </variablelist>
+        </para>
+    </refsect1>
+
+    <refsect1 id='service-attributes'>
+    <title>АТРИБУТИ СЛУЖБИ</title>
+    <para>
+        <variablelist>
+            <varlistentry>
+                    <term>ldap_service_object_class (рядок)</term>
+                    <listitem>
+                        <para>
+                            Клас об’єктів запису служби у LDAP.
+                        </para>
+                        <para>
+                            Типове значення: ipService
+                        </para>
+                    </listitem>
+                </varlistentry>
+
+                <varlistentry>
+                    <term>ldap_service_name (рядок)</term>
+                    <listitem>
+                        <para>
+                            Атрибут LDAP, що містить назву атрибутів служби та замінників цих атрибутів.
+                        </para>
+                        <para>
+                            Типове значення: cn
+                        </para>
+                    </listitem>
+                </varlistentry>
+
+                <varlistentry>
+                    <term>ldap_service_port (рядок)</term>
+                    <listitem>
+                        <para>
+                            Атрибут LDAP, що містить номер порту, яким керує ця служба.
+                        </para>
+                        <para>
+                            Типове значення: ipServicePort
+                        </para>
+                    </listitem>
+                </varlistentry>
+
+                <varlistentry>
+                    <term>ldap_service_proto (рядок)</term>
+                    <listitem>
+                        <para>
+                            Атрибут LDAP, що містить протоколи, за яким може працювати ця служба.
+                        </para>
+                        <para>
+                            Типове значення: ipServiceProtocol
+                        </para>
+                    </listitem>
+                </varlistentry>
+        </variablelist>
+    </para>
+    </refsect1>
+
+    <refsect1 id='sudo-attributes'>
+        <title>АТРИБУТИ SUDO</title>
+        <para>
+            <variablelist>
+                <varlistentry>
+                    <term>ldap_sudorule_object_class (рядок)</term>
+                    <listitem>
+                        <para>
+                            Клас об’єктів запису правила sudo у LDAP.
+                        </para>
+                        <para>
+                            Типове значення: sudoRole
+                        </para>
+                    </listitem>
+                </varlistentry>
+
+                <varlistentry>
+                    <term>ldap_sudorule_name (рядок)</term>
+                    <listitem>
+                        <para>
+                            Атрибут LDAP, що відповідає назві правила sudo.
+                        </para>
+                        <para>
+                            Типове значення: cn
+                        </para>
+                    </listitem>
+                </varlistentry>
+
+                <varlistentry>
+                    <term>ldap_sudorule_command (рядок)</term>
+                    <listitem>
+                        <para>
+                            Атрибут LDAP, що відповідає назві команди.
+                        </para>
+                        <para>
+                            Типове значення: sudoCommand
+                        </para>
+                    </listitem>
+                </varlistentry>
+
+                <varlistentry>
+                    <term>ldap_sudorule_host (рядок)</term>
+                    <listitem>
+                        <para>
+                            Атрибут LDAP, який відповідає назві вузла (або IP-адресі вузла, IP-мережі
+вузла, мережевій групі вузла)
+                        </para>
+                        <para>
+                            Типове значення: sudoHost
+                        </para>
+                    </listitem>
+                </varlistentry>
+
+                <varlistentry>
+                    <term>ldap_sudorule_user (рядок)</term>
+                    <listitem>
+                        <para>
+                            Атрибут LDAP, що відповідає назві імені користувача (або UID, назві групи
+або назві мережевої групи користувача)
+                        </para>
+                        <para>
+                            Типове значення: sudoUser
+                        </para>
+                    </listitem>
+                </varlistentry>
+
+                <varlistentry>
+                    <term>ldap_sudorule_option (рядок)</term>
+                    <listitem>
+                        <para>
+                            Атрибут LDAP, що відповідає параметрам sudo.
+                        </para>
+                        <para>
+                            Типове значення: sudoOption
+                        </para>
+                    </listitem>
+                </varlistentry>
+
+                <varlistentry>
+                    <term>ldap_sudorule_runasuser (рядок)</term>
+                    <listitem>
+                        <para>
+                            Атрибут LDAP, що відповідає користувачеві, від імені якого можна виконувати
+команди.
+                        </para>
+                        <para>
+                            Типове значення: sudoRunAsUser
+                        </para>
+                    </listitem>
+                </varlistentry>
+
+                <varlistentry>
+                    <term>ldap_sudorule_runasgroup (рядок)</term>
+                    <listitem>
+                        <para>
+                            Атрибут LDAP, що відповідає назві групи або GID, від імені якої можна
+виконувати команди.
+                        </para>
+                        <para>
+                            Типове значення: sudoRunAsGroup
+                        </para>
+                    </listitem>
+                </varlistentry>
+
+                <varlistentry>
+                    <term>ldap_sudorule_notbefore (рядок)</term>
+                    <listitem>
+                        <para>
+                            Атрибут LDAP, що відповідає даті і часу набуття чинності правилом sudo.
+                        </para>
+                        <para>
+                            Типове значення: sudoNotBefore
+                        </para>
+                    </listitem>
+                </varlistentry>
+
+                <varlistentry>
+                    <term>ldap_sudorule_notafter (рядок)</term>
+                    <listitem>
+                        <para>
+                            Атрибут LDAP, що відповідає даті і часу втрати чинності правилом sudo.
+                        </para>
+                        <para>
+                            Типове значення: sudoNotAfter
+                        </para>
+                    </listitem>
+                </varlistentry>
+
+                <varlistentry>
+                    <term>ldap_sudorule_order (рядок)</term>
+                    <listitem>
+                        <para>
+                            Атрибут LDAP, що відповідає порядковому номеру правила.
+                        </para>
+                        <para>
+                            Типове значення: sudoOrder
+                        </para>
+                    </listitem>
+                </varlistentry>
+            </variablelist>
+        </para>
+    </refsect1>
+
+    <refsect1 id='autofs-attributes'>
+        <title>АТРИБУТИ AUTOFS</title>
+        <para>
+            <xi:include xmlns:xi="http://www.w3.org/2001/XInclude" href="include/autofs_attributes.xml" />
+        </para>
+    </refsect1>
+
+    <refsect1 id='iphost-attributes'>
+    <title>АТРИБУТИ ВУЗЛА IP</title>
+    <para>
+        <variablelist>
+            <varlistentry>
+                    <term>ldap_iphost_object_class (рядок)</term>
+                    <listitem>
+                        <para>
+                            Клас об'єктів запису iphost у LDAP.
+                        </para>
+                        <para>
+                            Типове значення: ipHost
+                        </para>
+                    </listitem>
+                </varlistentry>
+
+                <varlistentry>
+                    <term>ldap_iphost_name (рядок)</term>
+                    <listitem>
+                        <para>
+                            Атрибут LDAP, що містить назву атрибутів IP вузла та замінників цих
+атрибутів.
+                        </para>
+                        <para>
+                            Типове значення: cn
+                        </para>
+                    </listitem>
+                </varlistentry>
+
+                <varlistentry>
+                    <term>ldap_iphost_number (рядок)</term>
+                    <listitem>
+                        <para>
+                            Атрибут LDAP, який містить адресу IP вузла.
+                        </para>
+                        <para>
+                            Типове значення: ipHostNumber
+                        </para>
+                    </listitem>
+                </varlistentry>
+        </variablelist>
+    </para>
+    </refsect1>
+
+    <refsect1 id='ipnetwork-attributes'>
+    <title>АТРИБУТИ МЕРЕЖІ IP</title>
+    <para>
+        <variablelist>
+            <varlistentry>
+                    <term>ldap_ipnetwork_object_class (рядок)</term>
+                    <listitem>
+                        <para>
+                            Клас об'єктів запису ipnetwork у LDAP.
+                        </para>
+                        <para>
+                            Типове значення: ipNetwork
+                        </para>
+                    </listitem>
+                </varlistentry>
+
+                <varlistentry>
+                    <term>ldap_ipnetwork_name (рядок)</term>
+                    <listitem>
+                        <para>
+                            Атрибут LDAP, що містить назву атрибутів мережі IP та замінників цих
+атрибутів.
+                        </para>
+                        <para>
+                            Типове значення: cn
+                        </para>
+                    </listitem>
+                </varlistentry>
+
+                <varlistentry>
+                    <term>ldap_ipnetwork_number (рядок)</term>
+                    <listitem>
+                        <para>
+                            Атрибут LDAP, який містить адресу мережі IP.
+                        </para>
+                        <para>
+                            Типове значення: ipNetworkNumber
+                        </para>
+                    </listitem>
+                </varlistentry>
+        </variablelist>
+    </para>
+    </refsect1>
+
+    <xi:include xmlns:xi="http://www.w3.org/2001/XInclude" href="include/seealso.xml" />
+
+</refentry>
+</reference>
diff --git a/src/man/uk/sssd-ldap.5.xml b/src/man/uk/sssd-ldap.5.xml
new file mode 100644
index 0000000..aa56d64
--- /dev/null
+++ b/src/man/uk/sssd-ldap.5.xml
@@ -0,0 +1,1805 @@
+<?xml version="1.0" encoding="UTF-8"?>
+<!DOCTYPE reference PUBLIC "-//OASIS//DTD DocBook V4.4//EN"
+"http://www.oasis-open.org/docbook/xml/4.4/docbookx.dtd">
+<reference>
+<title>Сторінки підручника SSSD</title>
+<refentry>
+    <xi:include xmlns:xi="http://www.w3.org/2001/XInclude" href="include/upstream.xml" />
+
+    <refmeta>
+        <refentrytitle>sssd-ldap</refentrytitle>
+        <manvolnum>5</manvolnum>
+        <refmiscinfo class="manual">Формати файлів та правила</refmiscinfo>
+    </refmeta>
+
+    <refnamediv id='name'>
+        <refname>sssd-ldap</refname>
+        <refpurpose>Модуль надання даних LDAP SSSD</refpurpose>
+    </refnamediv>
+
+    <refsect1 id='description'>
+        <title>ОПИС</title>
+        <para>
+            На цій сторінці довідника описано налаштування доменів LDAP для
+<citerefentry> <refentrytitle>sssd</refentrytitle> <manvolnum>8</manvolnum>
+</citerefentry>. Щоб дізнатися більше про синтаксис налаштування, зверніться
+до розділу «ФОРМАТ ФАЙЛА» сторінки довідника <citerefentry>
+<refentrytitle>sssd.conf</refentrytitle> <manvolnum>5</manvolnum>
+</citerefentry>.</para>
+        <para>
+            Ви можете налаштувати SSSD на використання декількох доменів LDAP.
+        </para>
+        <para>
+            LDAP back end supports id, auth, access and chpass providers. If you want to
+authenticate against an LDAP server either TLS/SSL or LDAPS is
+required. <command>sssd</command> <emphasis>does not</emphasis> support
+authentication over an unencrypted channel.  Even if the LDAP server is used
+only as an identity provider, an encrypted channel is strongly
+recommended. Please refer to <quote>ldap_access_filter</quote> config option
+for more information about using LDAP as an access provider.
+        </para>
+    </refsect1>
+
+    <refsect1 id='configuration-options'>
+        <title>ПАРАМЕТРИ НАЛАШТУВАННЯ</title>
+        <para>
+            Всі загальні параметри налаштування, які стосуються доменів SSSD, також
+стосуються і доменів LDAP. Зверніться до розділу «РОЗДІЛИ ДОМЕНІВ» сторінки
+підручника <citerefentry> <refentrytitle>sssd.conf</refentrytitle>
+<manvolnum>5</manvolnum> </citerefentry>, щоб дізнатися більше. Зауважте, що
+атрибути прив'язки до LDAP SSSD описано на сторінці підручника щодо
+<citerefentry> <refentrytitle>sssd-ldap-attributes</refentrytitle>
+<manvolnum>5</manvolnum> </citerefentry>. <variablelist>
+                <varlistentry>
+                    <term>ldap_uri, ldap_backup_uri (рядок)</term>
+                    <listitem>
+                        <para>
+                            Визначає список адрес серверів LDAP, відокремлених комами, з якими SSSD має
+встановлювати з’єднання у порядку пріоритету. Зверніться до розділу
+«РЕЗЕРВ», щоб дізнатися більше про перемикання на резервні ресурси та
+додаткові сервери. Якщо не вказано, буде використано автоматичне виявлення
+служб. Докладніші відомості можна знайти у розділі «ПОШУК СЛУЖБ».
+                        </para>
+                        <para>
+                            Формат адреси має відповідати формату, що визначається RFC 2732:
+                        </para>
+                        <para>
+                            ldap[s]://&lt;вузол&gt;[:порт]
+                        </para>
+                        <para>
+                            У явних адресах IPv6 &lt;вузол&gt; має бути вказано у квадратних дужках, []
+                        </para>
+                        <para>
+                            приклад: ldap://[fc00::126:25]:389
+                        </para>
+                    </listitem>
+                </varlistentry>
+
+                <varlistentry>
+                    <term>ldap_chpass_uri, ldap_chpass_backup_uri (рядок)</term>
+                    <listitem>
+                        <para>
+                            Визначає список адрес серверів LDAP, відокремлених комами, з якими SSSD має
+встановлювати з’єднання у порядку пріоритету для зміни пароля
+користувача. Зверніться до розділу «РЕЗЕРВ», щоб дізнатися більше про
+перемикання на резервні ресурси та додаткові сервери.
+                        </para>
+                        <para>
+                            Для того, щоб уможливити визначення служб, слід встановити значення
+параметра ldap_chpass_dns_service_name.
+                        </para>
+                        <para>
+                            Типове значення: порожнє, тобто використовується ldap_uri.
+                        </para>
+                    </listitem>
+                </varlistentry>
+
+                <varlistentry>
+                    <term>ldap_search_base (рядок)</term>
+                    <listitem>
+                        <para>
+                            Типова базова назва домену, яку слід використовувати для виконання дій від
+імені користувача LDAP.
+                        </para>
+                        <para>
+                            Починаючи з SSSD 1.7.0, у SSSD передбачено підтримку визначення декількох
+основ для пошуку за допомогою таких синтаксичних конструкцій:
+                        </para>
+                        <para>
+                            основа_пошуку[?діапазон?[фільтр][?основа_пошуку?діапазон?[фільтр]]*]
+                        </para>
+                        <para>
+                            Діапазоном може бути одне зі значень, «base» (основа), «onelevel» (окремий
+рівень) або «subtree» (піддерево).
+                        </para>
+                        <para>
+                            Фільтром має бути коректний запис фільтрування LDAP, відповідно до
+специфікації http://www.ietf.org/rfc/rfc2254.txt
+                        </para>
+                        <para>
+                            Приклади:
+                        </para>
+                        <para>
+                            ldap_search_base = dc=example,dc=com (еквівалентне до)  ldap_search_base =
+dc=example,dc=com?subtree?
+                        </para>
+                        <para>
+                            ldap_search_base =
+cn=host_specific,dc=example,dc=com?subtree?(host=thishost)?dc=example.com?subtree?
+                        </para>
+                        <para>
+                            Зауваження: підтримки визначення декількох основ пошуку з посиланням на
+об’єкти з однаковими назвами (наприклад груп з однаковою назвою у двох
+різних основах пошуку) не передбачено. Такі визначення можуть призвести до
+непередбачуваних результатів на клієнтських комп’ютерах.
+                        </para>
+                        <para>
+                            Типове значення: якщо значення не встановлено, буде використано значення
+атрибута defaultNamingContext або namingContexts з RootDSE сервера
+LDAP. Якщо запису defaultNamingContext не існує або цей запис має порожнє
+значення, буде використано namingContexts. Для роботи системи потрібно, щоб
+атрибут namingContexts має єдине значення DN бази пошуку сервера
+LDAP. Підтримки визначення декількох значень не передбачено.
+                        </para>
+                    </listitem>
+                </varlistentry>
+
+                <varlistentry>
+                    <term>ldap_schema (рядок)</term>
+                    <listitem>
+                        <para>
+                            Визначає тип схеми, що використовується на сервері LDAP
+призначення. Відповідно до вибраної схеми, типові назви атрибутів, отриманих
+з сервера, можуть бути різними. Спосіб обробки атрибутів також може бути
+різним.
+                        </para>
+                        <para>
+                            У поточній версії передбачено підтримку чотирьох типів схем:
+                            <itemizedlist>
+                                <listitem>
+                                    <para>
+                                        rfc2307
+                                    </para>
+                                </listitem>
+                                <listitem>
+                                    <para>
+                                        rfc2307bis
+                                    </para>
+                                </listitem>
+                                <listitem>
+                                    <para>
+                                        IPA
+                                    </para>
+                                </listitem>
+                                <listitem>
+                                    <para>
+                                        AD
+                                    </para>
+                                </listitem>
+                            </itemizedlist>
+                        </para>
+                        <para>
+                            Основною відмінністю між цими типами схем є спосіб запису даних щодо участі
+у групах на сервері. Відповідно до rfc2307, список учасників груп
+впорядковується за користувачами у атрибуті
+<emphasis>memberUid</emphasis>. Відповідно до rfc2307bis і IPA, список
+учасників груп впорядковується за назвою домену (DN) і зберігається у
+атрибуті <emphasis>member</emphasis>. Відповідно до типу схеми AD,
+встановлюється відповідність зі значеннями Active Directory 2008r2.
+                        </para>
+                        <para>
+                            Типове значення: rfc2307
+                        </para>
+                    </listitem>
+                </varlistentry>
+
+                <varlistentry>
+                    <term>ldap_pwmodify_mode (рядок)</term>
+                    <listitem>
+                        <para>
+                            Визначає дію, яку буде здійснено для зміни пароля користувача.
+                        </para>
+                        <para>
+                            У поточній версії передбачено два режими:
+                            <itemizedlist>
+                                <listitem>
+                                    <para>
+                                        exop — розширена дія зі зміни пароля (RFC 3062)
+                                    </para>
+                                </listitem>
+                                <listitem>
+                                    <para>
+                                        ldap_modify — безпосереднє внесення змін до userPassword (не рекомендуємо).
+                                    </para>
+                                </listitem>
+                            </itemizedlist>
+                        </para>
+                        <para>
+                            Зауваження: спочатку буде встановлено нове з'єднання для перевірки поточного
+пароля шляхом прив'язування до системи від імені користувача, від якого
+надійшов запит щодо зміни пароля. Якщо з'єднання вдасться встановити, його
+буде використано для зміни пароля, тому у користувача має бути доступ до
+запису атрибута userPassword.
+                        </para>
+                        <para>
+                            Типове значення: exop
+                        </para>
+                    </listitem>
+                </varlistentry>
+
+                <varlistentry>
+                    <term>ldap_default_bind_dn (рядок)</term>
+                    <listitem>
+                        <para>
+                            Типова назва домену прив’язки, яку слід використовувати для виконання дій
+LDAP.
+                        </para>
+                    </listitem>
+                </varlistentry>
+
+                <varlistentry>
+                    <term>ldap_default_authtok_type (рядок)</term>
+                    <listitem>
+                        <para>
+                            Тип розпізнавання для типової назви сервера прив’язки.
+                        </para>
+                        <para>
+                            У поточній версії передбачено підтримку двох механізмів:
+                        </para>
+                        <para>
+                            password
+                        </para>
+                        <para>
+                            obfuscated_password
+                        </para>
+                        <para>
+                            Типове значення: password
+                        </para>
+                        <para>
+                            Щоб дізнатися більше, ознайомтеся зі сторінкою підручника щодо
+<citerefentry> <refentrytitle>sss_obfuscate</refentrytitle>
+<manvolnum>8</manvolnum> </citerefentry>.
+                        </para>
+                    </listitem>
+                </varlistentry>
+
+                <varlistentry>
+                    <term>ldap_default_authtok (рядок)</term>
+                    <listitem>
+                        <para>
+                            Лексема розпізнавання типової назви сервера прив’язки.
+                        </para>
+                    </listitem>
+                </varlistentry>
+
+                <varlistentry>
+                    <term>ldap_force_upper_case_realm (булеве значення)</term>
+                    <listitem>
+                        <para>
+                            Деякі з серверів каталогів, наприклад Active Directory, можуть надавати
+частину області адреси UPN лише малими літерами (літерами нижнього
+регістру), що може призвести до невдалої спроби розпізнавання. Встановіть
+ненульове значення цього параметра, якщо ви бажаєте використовувати назву
+області у верхньому регістрі.
+                        </para>
+                        <para>
+                            Типове значення: false
+                        </para>
+                    </listitem>
+                </varlistentry>
+
+                <varlistentry>
+                    <term>ldap_enumeration_refresh_timeout (ціле число)</term>
+                    <listitem>
+                        <para>
+                            Визначає кількість секунд, протягом яких SSSD має очікувати до оновлення
+свого кешу нумерованих записів.
+                        </para>
+                        <para>
+                            Цей параметр також може бути встановлено для окремого піддомену або
+успадковано за допомогою <emphasis>subdomain_inherit</emphasis>.
+                        </para>
+                        <para>
+                            Типове значення: 300
+                        </para>
+                    </listitem>
+                </varlistentry>
+
+                <varlistentry>
+                    <term>ldap_purge_cache_timeout (ціле число)</term>
+                    <listitem>
+                        <para>
+                            Визначає частоту пошуків у кеші неактивних записів (зокрема груп без
+учасників та користувачів, які ніколи не входили до системи) та вилучення
+цих записів з метою економії місця.
+                        </para>
+                        <para>
+                            Встановлення нульового значення цього параметра вимикає дію з очищення
+кешу. Будь ласка, зауважте, що якщо увімкнено нумерацію, дія з очищення є
+необхідною з метою виявлення записів, вилучених із сервера, її не можна
+вимикати. Типово, дія з очищення, якщо увімкнено нумерацію, виконується
+кожні 3 години.
+                        </para>
+                        <para>
+                            Цей параметр також може бути встановлено для окремого піддомену або
+успадковано за допомогою <emphasis>subdomain_inherit</emphasis>.
+                        </para>
+                        <para>
+                            Типове значення: 0 (вимкнено)
+                        </para>
+                    </listitem>
+                </varlistentry>
+
+                <varlistentry>
+                    <term>ldap_group_nesting_level (ціле число)</term>
+                    <listitem>
+                        <para>
+                            Якщо ldap_schema встановлено у значення формату схеми, у якому передбачено
+підтримку вкладеності груп (наприклад RFC2307bis), цей параметр визначає
+кількість рівнів вкладеності, які оброблятимуться SSSD. Значення цього
+параметра буде проігноровано, якщо використано схему RFC2307.
+                        </para>
+                        <para>
+                          Зауваження: за допомогою цього параметра визначається гарантований рівень
+вкладеності груп для обробки під час будь-якого пошуку. Втім, <emphasis>може
+бути</emphasis> повернуто і групи із більшим рівнем вкладеності, якщо під
+час попередніх пошуків відбувалася обробка вищих рівнів вкладеності. Крім
+того, послідовні пошуки інших груп можуть розширити набір результатів
+початкового пошуку, якщо запити щодо пошуку надходять повторно.
+                        </para>
+                        <para>
+                          Якщо значенням ldap_group_nesting_level є 0, вкладені групи взагалі не
+оброблятимуться. Втім, якщо з’єднання встановлено з Active-Directory Server
+2008 та новішими версіями з використанням <quote>id_provider=ad</quote>,
+слід також вимкнути використання груп реєстраційних записів (Token-Groups)
+встановленням для параметра ldap_use_tokengroups значення false з метою
+обмеження вкладеності у групах.
+                        </para>
+                        <para>
+                            Типове значення: 2
+                        </para>
+                    </listitem>
+                </varlistentry>
+
+                <varlistentry>
+                    <term>ldap_use_tokengroups</term>
+                    <listitem>
+                        <para>
+                          За допомогою цього параметра можна увімкнути або вимкнути використання
+атрибута Token-Groups під час виконання initgroup для користувачів Active
+Directory Server 2008 та новіших версій.
+                        </para>
+                        <para>
+                            Цей параметр також може бути встановлено для окремого піддомену або
+успадковано за допомогою <emphasis>subdomain_inherit</emphasis>.
+                        </para>
+                        <para>
+                            Типове значення: True для AD і IPA, інакше False.
+                        </para>
+                    </listitem>
+                </varlistentry>
+
+                <varlistentry>
+                    <term>ldap_host_search_base (рядок)</term>
+                    <listitem>
+                        <para>
+                            Необов’язковий. Використати вказаний рядок як основу пошуку об’єктів вузлів.
+                        </para>
+                        <para>
+                            Ознайомтеся з розділом щодо «ldap_search_base», щоб дізнатися більше про
+налаштування декількох основ пошуку.
+                        </para>
+                        <para>
+                            Типове значення: значення <emphasis>ldap_search_base</emphasis>
+                        </para>
+                    </listitem>
+                </varlistentry>
+
+                <varlistentry>
+                    <term>ldap_service_search_base (рядок)</term>
+                    <xi:include xmlns:xi="http://www.w3.org/2001/XInclude" href="include/ldap_search_bases.xml" />
+                </varlistentry>
+
+                <varlistentry>
+                    <term>ldap_iphost_search_base (рядок)</term>
+                    <xi:include xmlns:xi="http://www.w3.org/2001/XInclude" href="include/ldap_search_bases.xml" />
+                </varlistentry>
+
+                <varlistentry>
+                    <term>ldap_ipnetwork_search_base (рядок)</term>
+                    <xi:include xmlns:xi="http://www.w3.org/2001/XInclude" href="include/ldap_search_bases.xml" />
+                </varlistentry>
+
+                <varlistentry>
+                    <term>ldap_search_timeout (ціле число)</term>
+                    <listitem>
+                        <para>
+                            Визначає час очікування на дані (у секундах) для виконання пошуків ldap,
+перш ніж пошук буде скасовано з поверненням кешованих даних (і переходом до
+автономного режиму роботи)
+                        </para>
+                        <para>
+                            Зауваження: роботу цього параметра буде змінено у наступних версіях
+SSSD. Ймовірно, його буде колись замінено на послідовність часів очікування
+для окремих типів пошуків.
+                        </para>
+                        <para>
+                            Цей параметр також може бути встановлено для окремого піддомену або
+успадковано за допомогою <emphasis>subdomain_inherit</emphasis>.
+                        </para>
+                        <para>
+                            Типове значення: 6
+                        </para>
+                    </listitem>
+                </varlistentry>
+
+                <varlistentry>
+                    <term>ldap_enumeration_search_timeout (ціле число)</term>
+                    <listitem>
+                        <para>
+                            Визначає час очікування на дані (у секундах) для виконання пошуків номерів
+користувачів та груп у ldap, перш ніж пошук буде скасовано з поверненням
+кешованих даних (і переходом до автономного режиму роботи)
+                        </para>
+                        <para>
+                            Цей параметр також може бути встановлено для окремого піддомену або
+успадковано за допомогою <emphasis>subdomain_inherit</emphasis>.
+                        </para>
+                        <para>
+                            Типове значення: 60
+                        </para>
+                    </listitem>
+                </varlistentry>
+
+                <varlistentry>
+                    <term>ldap_network_timeout (ціле число)</term>
+                    <listitem>
+                        <para>
+                            Визначає час очікування (у секундах), після завершення якого <citerefentry>
+<refentrytitle>poll</refentrytitle> <manvolnum>2</manvolnum>
+</citerefentry>/<citerefentry> <refentrytitle>select</refentrytitle>
+<manvolnum>2</manvolnum> </citerefentry> з наступним <citerefentry>
+<refentrytitle>connect</refentrytitle> <manvolnum>2</manvolnum>
+</citerefentry> повертається до стану бездіяльності.
+                        </para>
+                        <para>
+                            Цей параметр також може бути встановлено для окремого піддомену або
+успадковано за допомогою <emphasis>subdomain_inherit</emphasis>.
+                        </para>
+                        <para>
+                            Типове значення: 6
+                        </para>
+                    </listitem>
+                </varlistentry>
+
+                <varlistentry>
+                    <term>ldap_opt_timeout (ціле число)</term>
+                    <listitem>
+                        <para>
+                            Визначає час очікування (у секундах), після завершення якого виклики до
+синхронних програмних інтерфейсів LDAP буде перервано, якщо не буде отримано
+відповіді. Також керує часом очікування під час обміну даними з KDC у
+випадку прив’язки SASL, часом очікування на дію з прив’язування LDAP,
+розширеної операції зі зміни пароля та дії StartTLS.
+                        </para>
+                        <para>
+                            Цей параметр також може бути встановлено для окремого піддомену або
+успадковано за допомогою <emphasis>subdomain_inherit</emphasis>.
+                        </para>
+                        <para>
+                            Типове значення: 8
+                        </para>
+                    </listitem>
+                </varlistentry>
+
+                <varlistentry>
+                    <term>ldap_connection_expire_timeout (ціле значення)</term>
+                    <listitem>
+                        <para>
+                            Визначає час очікування (у секундах), протягом якого підтримуватиметься
+з’єднання з сервером LDAP. По завершенню цього часу буде зроблено спробу
+повторно встановити з’єднання. У разі використання паралельно до SASL/GSSAPI
+буде використано перше за часом значення (це значення або значення строку
+дії TGT).
+                        </para>
+                        <para>
+                            Якщо з'єднання є бездіяльним (жодна дія у ньому не виконується активно)
+протягом <emphasis>ldap_opt_timeout</emphasis> секунд завершення строку дії,
+його буде передчасно розірвано, щоб новий запит не міг потребувати, щоб
+з'єднання лишалося відкритим після завершення його строку дії. Неявним
+чином, це означає, що з'єднання завжди розриватимуться негайно і не
+використовуватимуться повторно, якщо
+<emphasis>ldap_connection_expire_timeout &lt;= ldap_opt_timout</emphasis>
+                        </para>
+                        <para>
+                            Цей час очікування може бути подовжено випадковим значенням, яке вказано
+параметром <emphasis>ldap_connection_expire_offset</emphasis>
+                        </para>
+                        <para>
+                            Цей параметр також може бути встановлено для окремого піддомену або
+успадковано за допомогою <emphasis>subdomain_inherit</emphasis>.
+                        </para>
+                        <para>
+                            Типове значення: 900 (15 хвилин)
+                        </para>
+                    </listitem>
+                </varlistentry>
+
+                <varlistentry>
+                    <term>ldap_connection_expire_offset (ціле число)</term>
+                    <listitem>
+                        <para>
+                            Випадковий зсув від 0 до налаштованого значення, який буде додано до
+<emphasis>ldap_connection_expire_timeout</emphasis>.
+                        </para>
+                        <para>
+                            Цей параметр також може бути встановлено для окремого піддомену або
+успадковано за допомогою <emphasis>subdomain_inherit</emphasis>.
+                        </para>
+                        <para>
+                            Типове значення: 0
+                        </para>
+                    </listitem>
+                </varlistentry>
+
+                <varlistentry>
+                    <term>ldap_connection_idle_timeout (ціле значення)</term>
+                    <listitem>
+                        <para>
+                            Визначає час очікування (у секундах), протягом якого підтримуватиметься
+бездіяльне з’єднання з сервером LDAP. Якщо з'єднання лишатиметься
+бездіяльним понад цей час, з'єднання буде розірвано.
+                        </para>
+                        <para>
+                            Ви можете вимкнути цей час очікування, встановивши значення 0.
+                        </para>
+                        <para>
+                            Цей параметр також може бути встановлено для окремого піддомену або
+успадковано за допомогою <emphasis>subdomain_inherit</emphasis>.
+                        </para>
+                        <para>
+                            Типове значення: 900 (15 хвилин)
+                        </para>
+                    </listitem>
+                </varlistentry>
+
+                <varlistentry>
+                    <term>ldap_page_size (ціле число)</term>
+                    <listitem>
+                        <para>
+                            Визначити кількість записів, які слід отримати з LDAP у відповідь на один
+запит. На деяких серверах LDAP визначено обмеження максимальної кількості на
+один запит.
+                        </para>
+                        <para>
+                            Типове значення: 1000
+                        </para>
+                    </listitem>
+                </varlistentry>
+
+                <varlistentry>
+                    <term>ldap_disable_paging (булеве значення)</term>
+                    <listitem>
+                        <para>
+                            Вимикає контроль сторінок LDAP. Цим параметром слід скористатися, якщо
+сервер LDAP повідомляє про підтримку контролю сторінок LDAP у своєму
+RootDSE, але цю підтримку не увімкнено або вона не працює належним чином.
+                        </para>
+                        <para>
+                            Приклад: сервери OpenLDAP з модулем контролю сторінок, встановленим на
+сервері, але не увімкненим, повідомляють про підтримку у RootDSE, але цією
+підтримкою не можна скористатися.
+                        </para>
+                        <para>
+                            Приклад: 389 DS має ваду, пов’язану з тим, що здатен підтримувати лише один
+процес контролю сторінок для одного з’єднання. У разі значного навантаження
+це може призвести до відмови у виконанні запитів.
+                        </para>
+                        <para>
+                            Типове значення: False
+                        </para>
+                    </listitem>
+                </varlistentry>
+
+                <varlistentry>
+                    <term>ldap_disable_range_retrieval (булеве значення)</term>
+                    <listitem>
+                        <para>
+                            Вимкнути отримання діапазону Active Directory.
+                        </para>
+                        <para>
+                            У Active Directory за допомогою правила MaxValRange (типове значення 1500
+записів) обмежується кількість записів, які може бути отримано під час
+пошуку. Якщо у певній групі міститься більше записів учасників, до відповіді
+буде включено специфічне для AD розширення діапазону. За допомогою цього
+параметра можна вимкнути обробку розширення діапазону, отже великі групи
+буде представлено як такі, у яких немає учасників.
+                        </para>
+                        <para>
+                            Типове значення: False
+                        </para>
+                    </listitem>
+                </varlistentry>
+
+                <varlistentry>
+                    <term>ldap_sasl_minssf (ціле значення)</term>
+                    <listitem>
+                        <para>
+                            Під час обміну даними з сервером LDAP за допомогою SASL визначає мінімальний
+рівень захисту, потрібний для встановлення з’єднання. Значення цього
+параметра визначається OpenLDAP.
+                        </para>
+                        <para>
+                            Типове значення: типове для системи значення (зазвичай, визначається у
+ldap.conf)
+                        </para>
+                    </listitem>
+                </varlistentry>
+
+                <varlistentry>
+                    <term>ldap_sasl_maxssf (ціле число)</term>
+                    <listitem>
+                        <para>
+                            Під час обміну даними з сервером LDAP за допомогою SASL визначає
+максимальний рівень захисту, потрібний для встановлення з’єднання. Значення
+цього параметра визначається OpenLDAP.
+                        </para>
+                        <para>
+                            Типове значення: типове для системи значення (зазвичай, визначається у
+ldap.conf)
+                        </para>
+                    </listitem>
+                </varlistentry>
+
+                <varlistentry>
+                    <term>ldap_deref_threshold (ціле число)</term>
+                    <listitem>
+                        <para>
+                            Вказує кількість учасників групи, записів яких має не вистачати у
+зовнішньому кеші для запуску загального пошуку з розіменуванням. Якщо
+пропущених записів буде менше за вказану кількість, пошук для них
+виконуватиметься окремо.
+                        </para>
+                        <para>
+                            Ви можете повністю вимкнути запити щодо розіменувань встановленням значення
+0. Будь ласка, зауважте, що у коді SSSD, зокрема засобу надання даних HBAC
+IPA, є інструкції, які реалізовано лише з використанням викликів щодо
+розіменування, тому навіть явне вимикання розіменувань не призведе до
+вимикання розіменувань у цих частинах коду, якщо на сервері передбачено
+підтримку розіменувань і оголошено про керування розіменуваннями у об'єкті
+rootDSE.
+                        </para>
+                        <para>
+                            Пошук з розіменуванням — це отримання всіх записів учасників групи за одним
+викликом LDAP. У різних серверах LDAP може бути передбачено різні способи
+розіменування. У поточній версії передбачено підтримку серверів 389/RHDS,
+OpenLDAP та Active Directory.
+                        </para>
+                        <para>
+                            <emphasis>Зауваження:</emphasis> якщо у одній з основ пошуку визначається
+фільтр пошуку, покращення швидкодії фільтрів розіменування буде вимкнено,
+незалежно від використання цього параметра.
+                        </para>
+                        <para>
+                            Типове значення: 10
+                        </para>
+                    </listitem>
+                </varlistentry>
+
+                <varlistentry>
+                    <term>ldap_ignore_unreadable_references (булеве значення)</term>
+                    <listitem>
+                        <para>
+                            Ігнорувати непридатні до читання записи LDAP, на які посилається атрибут
+учасника групи. Якщо для цього параметра встановлено значення «false», буде
+повернуто повідомлення про помилку, а дія завершиться помилкою, замість
+простого ігнорування непридатного до читання запису.
+                        </para>
+                        <para>
+                            Цей параметр може бути корисним, якщо використано надавач даних AD, і
+обліковий запис комп'ютера, який sssd використовує для встановлення
+з'єднання із AD, не має доступу до певного запису або піддерева LDAP з
+міркувань безпеки.
+                        </para>
+                        <para>
+                            Типове значення: False
+                        </para>
+                    </listitem>
+                </varlistentry>
+
+                <varlistentry>
+                    <term>ldap_tls_reqcert (рядок)</term>
+                    <listitem>
+                        <para>
+                            Визначає перелік перевірок, які слід виконати для сертифікатів серверів у
+сеансі TLS, якщо такі перевірки слід виконувати. Може бути визначено одне з
+таких значень:
+                        </para>
+                        <para>
+                            <emphasis>never</emphasis> = клієнт не надсилатиме запиту і не перевірятиме
+жодних сертифікатів сервера.
+                        </para>
+                        <para>
+                            <emphasis>allow</emphasis> = надіслати запит щодо сертифіката сервера. Якщо
+сертифікат не буде надано, продовжити сеанс у звичайному режимі. Якщо буде
+надано помилковий сертифікат, ігнорувати і продовжити сеанс у звичайному
+режимі.
+                        </para>
+                        <para>
+                            <emphasis>try</emphasis> = надіслати запит щодо сертифіката сервера. Якщо
+сертифікат не буде надано, продовжити сеанс у звичайному режимі. Якщо буде
+надано помилковий сертифікат, негайно перервати сеанс.
+                        </para>
+                        <para>
+                            <emphasis>demand</emphasis> = надіслати запит щодо сертифіката сервера. Якщо
+сертифікат не буде надано або буде надано помилковий сертифікат, негайно
+перервати сеанс.
+                        </para>
+                        <para>
+                            <emphasis>hard</emphasis> = те саме, що і <quote>demand</quote>
+                        </para>
+                        <para>
+                            Типове значення: hard
+                        </para>
+                    </listitem>
+                </varlistentry>
+
+                <varlistentry>
+                    <term>ldap_tls_cacert (рядок)</term>
+                    <listitem>
+                        <para>
+                            Визначає файл, який містить сертифікати для всіх служб сертифікації, які
+розпізнаються <command>sssd</command>.
+                        </para>
+                        <para>
+                            Типове значення: використовувати типові параметри OpenLDAP, що зберігаються
+у <filename>/etc/openldap/ldap.conf</filename>
+                        </para>
+                    </listitem>
+                </varlistentry>
+
+                <varlistentry>
+                    <term>ldap_tls_cacertdir (рядок)</term>
+                    <listitem>
+                        <para>
+                            Визначає шлях до каталогу, де у окремих файлах містяться сертифікати служб
+сертифікації (CA). Типовими назвами файлів є хеші сертифікатів з додаванням
+«.0». Для створення відповідних назв можна скористатися
+<command>cacertdir_rehash</command>, якщо ця програма є доступною.
+                        </para>
+                        <para>
+                            Типове значення: використовувати типові параметри OpenLDAP, що зберігаються
+у <filename>/etc/openldap/ldap.conf</filename>
+                        </para>
+                    </listitem>
+                </varlistentry>
+
+                <varlistentry>
+                    <term>ldap_tls_cert (рядок)</term>
+                    <listitem>
+                        <para>
+                            Визначає файл, який містить сертифікат для ключа клієнта.
+                        </para>
+                        <para>
+                            Типове значення: not set
+                        </para>
+                    </listitem>
+                </varlistentry>
+
+                <varlistentry>
+                    <term>ldap_tls_key (рядок)</term>
+                    <listitem>
+                        <para>
+                            Визначає файл, у якому міститься ключ клієнта.
+                        </para>
+                        <para>
+                            Типове значення: not set
+                        </para>
+                    </listitem>
+                </varlistentry>
+
+                <varlistentry>
+                    <term>ldap_tls_cipher_suite (рядок)</term>
+                    <listitem>
+                        <para>
+                            Визначає прийнятні комплекти програм для шифрування. Записи у типовому
+списку слід відокремлювати комами. З форматом можна ознайомитися на сторінці
+довідника до <citerefentry><refentrytitle>ldap.conf</refentrytitle>
+<manvolnum>5</manvolnum></citerefentry>.
+                        </para>
+                        <para>
+                            Типове значення: використовувати типові параметри OpenLDAP, що зберігаються
+у <filename>/etc/openldap/ldap.conf</filename>
+                        </para>
+                    </listitem>
+                </varlistentry>
+
+                <varlistentry>
+                    <term>ldap_id_use_start_tls (булеве значення)</term>
+                    <listitem>
+                        <para>
+                            Specifies that the id_provider connection must also use <systemitem
+class="protocol">tls</systemitem> to protect the channel.
+<emphasis>true</emphasis> is strongly recommended for security reasons.
+                        </para>
+                        <para>
+                            Типове значення: false
+                        </para>
+                    </listitem>
+                </varlistentry>
+
+                <varlistentry>
+                    <term>ldap_id_mapping (булеве значення)</term>
+                    <listitem>
+                        <para>
+                            Визначає, що SSSD має намагатися встановити відповідність ідентифікаторів
+користувача і групи на основі атрибутів ldap_user_objectsid та
+ldap_group_objectsid, замість атрибутів ldap_user_uid_number та
+ldap_group_gid_number.
+                        </para>
+                        <para>
+                            У поточній версії у цій можливості передбачено підтримку лише встановлення
+відповідності objectSID у ActiveDirectory.
+                        </para>
+                        <para>
+                            Типове значення: false
+                        </para>
+                    </listitem>
+                </varlistentry>
+
+                <varlistentry>
+                    <term>ldap_min_id, ldap_max_id (ціле число)</term>
+                    <listitem>
+                        <para>
+                            На відміну від прив’язування ідентифікаторів на основі SID, яке
+використовується, якщо параметр ldap_id_mapping має значення true, діапазон
+дозволених ідентифікаторів для ldap_user_uid_number і ldap_group_gid_number
+є необмеженим. У конфігураціях з піддоменами та довіреними доменами це може
+призвести до конфліктів ідентифікаторів. Щоб уникнути конфліктів, можна
+встановити значення ldap_min_id і ldap_max_id для обмеження дозволеного
+діапазону ідентифікаторів, які буде прочитано безпосередньо з сервера. Після
+цього піддомени можуть вибирати інші діапазони для прив’язування
+ідентифікаторів.
+                        </para>
+                        <para>
+                            Типове значення: не встановлено (обидва параметри встановлено у значення 0)
+                        </para>
+                    </listitem>
+                </varlistentry>
+
+                <varlistentry>
+                    <term>ldap_sasl_mech (рядок)</term>
+                    <listitem>
+                        <para>
+                            Визначає механізм SASL, який слід використовувати. У поточній версії
+перевірено і передбачено підтримку лише механізмів GSSAPI та GSS-SPNEGO.
+                        </para>
+                        <para>
+                            Якщо у модулі обробки передбачено підтримку піддоменів, значення для
+піддоменів ldap_sasl_mech буде автоматично успадковано від домену. Якщо для
+якогось піддомену потрібне інше значення, його можна перезаписати
+встановленням ldap_sasl_mech для цього піддомену окремо. Докладніший опис
+можна знайти у розділі щодо довірених доменів у підручнику з
+<citerefentry><refentrytitle>sssd.conf</refentrytitle>
+<manvolnum>5</manvolnum></citerefentry>.
+                        </para>
+                        <para>
+                            Типове значення: not set
+                        </para>
+                    </listitem>
+                </varlistentry>
+
+                <varlistentry>
+                    <term>ldap_sasl_authid (рядок)</term>
+                    <listitem>
+                        <para>
+                            Визначає ідентифікатор уповноваження SASL, яким слід скористатися. Якщо
+використовується GSSAPI/GSS-SPNEGO, цим ідентифікатором є реєстраційні дані
+Kerberos, які використовуються для розпізнавання при доступі до
+каталогу. Цей параметр може містити або повні реєстраційні дані (наприклад
+host/myhost@EXAMPLE.COM) або просто назву реєстраційного запису (наприклад
+host/myhost). Типово, значення не встановлено і використовуються такі
+реєстраційні записи: <programlisting>
+hostname@REALM
+netbiosname$@REALM
+host/hostname@REALM
+*$@REALM
+host/*@REALM
+host/*
+                            </programlisting> Якщо жоден
+з них не буде знайдено, буде повернуто перший реєстраційний запис у таблиці
+ключів.
+                        </para>
+                        <para>
+                            Типове значення: вузол/назва_вузла@ОБЛАСТЬ
+                        </para>
+                    </listitem>
+                </varlistentry>
+
+                <varlistentry>
+                    <term>ldap_sasl_realm (рядок)</term>
+                    <listitem>
+                        <para>
+                            Визначає область SASL, яку слід використовувати. Якщо не вказано значення,
+типовим значенням цього параметра є значення krb5_realm. Якщо
+ldap_sasl_authid також містить запис області, цей параметр буде
+проігноровано.
+                        </para>
+                        <para>
+                            Типове значення: значення krb5_realm.
+                        </para>
+                    </listitem>
+                </varlistentry>
+
+                <varlistentry>
+                    <term>ldap_sasl_canonicalize (булеве значення)</term>
+                    <listitem>
+                        <para>
+                            Якщо встановлено значення true (1), бібліотека LDAP виконувати зворотній
+пошук з метою переведення назв вузлів у канонічну форму під час прив’язки до
+SASL.
+                        </para>
+                        <para>
+                            Типове значення: false;
+                        </para>
+                    </listitem>
+                </varlistentry>
+
+                <varlistentry>
+                    <term>ldap_krb5_keytab (рядок)</term>
+                    <listitem>
+                        <para>
+                            Визначає таблицю ключів, яку слід використовувати разом з
+SASL/GSSAPI/GSS-SPNEGO.
+                        </para>
+                        <para>
+                            Цей параметр також може бути встановлено для окремого піддомену або
+успадковано за допомогою <emphasis>subdomain_inherit</emphasis>.
+                        </para>
+                        <para>
+                            Типове значення: системна таблиця ключів, зазвичай
+<filename>/etc/krb5.keytab</filename>
+                        </para>
+                    </listitem>
+                </varlistentry>
+
+                <varlistentry>
+                    <term>ldap_krb5_init_creds (булеве значення)</term>
+                    <listitem>
+                        <para>
+                            Визначає, що id_provider має ініціалізувати реєстраційні дані Kerberos
+(TGT). Цю дію буде виконано, лише якщо використовується SASL і вибрано
+механізм GSSAPI або GSS-SPNEGO.
+                        </para>
+                        <para>
+                            Типове значення: true
+                        </para>
+                    </listitem>
+                </varlistentry>
+
+                <varlistentry>
+                    <term>ldap_krb5_ticket_lifetime (ціле число)</term>
+                    <listitem>
+                        <para>
+                            Визначає строк дії (у секундах) TGT, якщо використовується GSSAPI або
+GSS-SPNEGO.
+                        </para>
+                        <para>
+                            Цей параметр також може бути встановлено для окремого піддомену або
+успадковано за допомогою <emphasis>subdomain_inherit</emphasis>.
+                        </para>
+                        <para>
+                            Типове значення: 86400 (24 години)
+                        </para>
+                    </listitem>
+                </varlistentry>
+
+                <varlistentry>
+                    <term>krb5_server, krb5_backup_server (рядок)</term>
+                    <listitem>
+                        <para>
+                            Визначає список IP-адрес або назв вузлів, відокремлених комами, серверів
+Kerberos, з якими SSSD має встановлювати з’єднання. Список має бути
+впорядковано за пріоритетом.  Докладніше про резервування та додаткові
+сервери можна дізнатися з розділу «РЕЗЕРВ». До адрес або назв вузлів може
+бути додано номер порту (перед номером слід вписати двокрапку). Якщо
+параметр матиме порожнє значення, буде увімкнено виявлення служб. Докладніше
+про виявлення служб можна дізнатися з розділу «ПОШУК СЛУЖБ».
+                        </para>
+                        <para>
+                            Під час використання виявлення служб для серверів KDC або kpasswd SSSD
+спочатку намагається знайти записи DNS, у яких визначається протокол
+_udp. Використання протоколу _tcp відбувається, лише якщо таких записів не
+вдасться знайти.
+                        </para>
+                        <para>
+                            У попередніх випусках SSSD цей параметр мав назву «krb5_kdcip». У поточній
+версії передбачено розпізнавання цієї застарілої назви, але користувачам
+варто перейти на використання «krb5_server» у файлах налаштувань.
+                        </para>
+                    </listitem>
+                </varlistentry>
+
+                <varlistentry>
+                    <term>krb5_realm (рядок)</term>
+                    <listitem>
+                        <para>
+                            Вказати область Kerberos (для розпізнавання за SASL/GSSAPI/GSS-SPNEGO).
+                        </para>
+                        <para>
+                            Типове значення: типове значення системи,
+див. <filename>/etc/krb5.conf</filename>
+                        </para>
+                    </listitem>
+                </varlistentry>
+
+                <varlistentry>
+                    <term>krb5_canonicalize (булеве значення)</term>
+                    <listitem>
+                        <para>
+                            Визначає, чи слід перетворювати реєстраційний запис вузла у канонічну форму
+під час встановлення з’єднання з сервером LDAP. Цю можливість передбачено з
+версії MIT Kerberos >= 1.7
+                        </para>
+
+                        <para>
+                            Типове значення: false
+                        </para>
+                    </listitem>
+                </varlistentry>
+
+                <varlistentry>
+                    <term>krb5_use_kdcinfo (булеве значення)</term>
+                    <listitem>
+                        <para>
+                            Визначає, чи слід SSSD вказувати бібліотекам Kerberos, яку область і які
+значення KDC слід використовувати. Типово, дію параметра увімкнено. Якщо ви
+вимкнете його, вам слід налаштувати бібліотеку Kerberos за допомогою файла
+налаштувань <citerefentry> <refentrytitle>krb5.conf</refentrytitle>
+<manvolnum>5</manvolnum> </citerefentry>.
+                        </para>
+                        <para>
+                            Див. сторінку підручника (man) <citerefentry>
+<refentrytitle>sssd_krb5_locator_plugin</refentrytitle>
+<manvolnum>8</manvolnum> </citerefentry>, щоб дізнатися більше про додаток
+пошуку.
+                        </para>
+                        <para>
+                            Типове значення: true
+                        </para>
+                    </listitem>
+                </varlistentry>
+
+                <varlistentry>
+                    <term>ldap_pwd_policy (рядок)</term>
+                    <listitem>
+                        <para>
+                            Визначає правил оцінки строку дії пароля на боці клієнта. Можна
+використовувати такі значення:
+                        </para>
+                        <para>
+                            <emphasis>none</emphasis> — не використовувати перевірки на боці клієнта. У
+разі використання цього варіанта перевірку на боці сервера вимкнено не буде.
+                        </para>
+                        <para>
+                            <emphasis>shadow</emphasis> — використовувати атрибути у стилі
+<citerefentry><refentrytitle>shadow</refentrytitle>
+<manvolnum>5</manvolnum></citerefentry> для визначення того, чи чинним є
+пароль.
+                        </para>
+                        <para>
+                            <emphasis>mit_kerberos</emphasis> — використовувати атрибути MIT Kerberos
+для визначення завершення строку дії пароля. У разі зміни пароля
+скористайтеся chpass_provider=krb5 для оновлення цих атрибутів.
+                        </para>
+                        <para>
+                            Типове значення: none
+                        </para>
+                        <para>
+                            <emphasis>Зауваження</emphasis>: якщо правила поводження з паролями
+налаштовано на боці сервера, ці правила мають пріоритет над правилами,
+встановленими за допомогою цього параметра.
+                        </para>
+                    </listitem>
+                </varlistentry>
+
+                <varlistentry>
+                    <term>ldap_referrals (булеве значення)</term>
+                    <listitem>
+                        <para>
+                            Визначає, чи має бути увімкнено автоматичне визначення напрямків пошуку.
+                        </para>
+                        <para>
+                            Зауважте, що sssd підтримує визначення напрямків, лише якщо систему зібрано
+з версією OpenLDAP 2.4.13 або новішою версією.
+                        </para>
+                        <para>
+                            Перехід за спрямуваннями може призвести до значних втрат швидкодії у
+середовищах, де такі спрямування використовуються широко. Прикладом такого
+середовища може бути Microsoft Active Directory. Якщо у вашому середовищі
+спрямування не є обов’язковими, встановлення для цього параметра значення
+«false» може значно пришвидшити роботу. Отже, встановлення для цього
+параметра значення false рекомендоване у випадку, коли надавач даних LDAP
+SSSD використовується разом із модулем обробки Microsoft Active
+Directory. Навіть якщо SSSD зможе переходити за посиланнями до іншого AD DC,
+додаткові дані виявляться недоступними.
+                        </para>
+                        <para>
+                            Типове значення: true
+                        </para>
+                    </listitem>
+                </varlistentry>
+
+                <varlistentry>
+                    <term>ldap_dns_service_name (рядок)</term>
+                    <listitem>
+                        <para>
+                            Визначає назву служби, яку буде використано у разі вмикання визначення
+служб.
+                        </para>
+                        <para>
+                            Типове значення: ldap
+                        </para>
+                    </listitem>
+                </varlistentry>
+
+                <varlistentry>
+                    <term>ldap_chpass_dns_service_name (рядок)</term>
+                    <listitem>
+                        <para>
+                            Визначає назву служби, яку буде використано для пошуку сервера LDAP, який
+уможливлює зміну паролів, у разі вмикання визначення служб.
+                        </para>
+                        <para>
+                            Типове значення: не встановлено, тобто пошук служб вимкнено
+                        </para>
+                    </listitem>
+                </varlistentry>
+
+                <varlistentry>
+                    <term>ldap_chpass_update_last_change (булеве значення)</term>
+                    <listitem>
+                        <para>
+                            Визначає, чи слід оновлювати атрибут ldap_user_shadow_last_change даними
+щодо кількості днів з часу виконання дії зі зміни пароля.
+                        </para>
+                        <para>
+                            Рекомендуємо встановити цей параметр явним чином, якщо використано
+"ldap_pwd_policy = shadow", щоб дати SSSD знати, оновлюватиме LDAP атрибут
+shadowLastChange автоматично після зміни пароля чи SSSD має зробити це
+окремо.
+                        </para>
+                        <para>
+                            Типове значення: False
+                        </para>
+                    </listitem>
+                </varlistentry>
+
+                <varlistentry>
+                    <term>ldap_access_filter (рядок)</term>
+                    <listitem>
+                        <para>
+                            Якщо використовується access_provider = ldap та ldap_access_order = filter
+(типова поведінка), цей параметр є обов’язковим. Він вказує критерії
+фільтрування LDAP, яким має задовольняти запис користувача для надання
+доступу до цього вузла. Якщо визначено access_provider = ldap та
+ldap_access_order = filter, а цей параметр не встановлено, доступ буде
+заборонено всім користувачам. Щоб змінити таку типову поведінку системи,
+скористайтеся параметром access_provider = permit. Будь ласка, зауважте, що
+цей фільтр застосовуватиметься лише до запису користувача LDAP, отже
+фільтрування, засноване на вкладених групах може не працювати (наприклад,
+атрибут memberOf для записів AD вказує лише на безпосередні батьківські
+записи). Якщо вам потрібне фільтрування, засноване на вкладених групах, будь
+ласка, скористайтеся параметром <citerefentry>
+<refentrytitle>sssd-simple</refentrytitle><manvolnum>5</manvolnum>
+</citerefentry>.
+                        </para>
+                        <para>
+                            Приклад:
+                        </para>
+                        <programlisting>
+access_provider = ldap
+ldap_access_filter = (employeeType=admin)
+                        </programlisting>
+                        <para>
+                            У прикладі доступ до цього вузла обмежено користувачами, чий атрибут
+employeeType встановлено у значення «admin».
+                        </para>
+                        <para>
+                            Автономне кешування для цієї можливості обмежено визначенням того, чи було
+надано користувачеві під час попередньої спроби увійти до системи з мережі
+права доступу. Якщо під час останньої спроби увійти такі права було надано,
+система продовжуватиме надавати права доступу у автономному режимі. Якщо ж
+таких прав не було надано, у автономному режимі їх також не буде надано.
+                        </para>
+                        <para>
+                            Типове значення: порожній рядок
+                        </para>
+                    </listitem>
+                </varlistentry>
+
+                <varlistentry>
+                    <term>ldap_account_expire_policy (рядок)</term>
+                    <listitem>
+                        <para>
+                            За допомогою цього параметра може бути увімкнено визначення атрибутів
+керування доступом на боці клієнта.
+                        </para>
+                        <para>
+                            Будь ласка, зауважте, що завжди варто використовувати керування доступом на
+боці сервера, тобто сервер LDAP має відмовляти у запитах щодо прив’язування
+з відповідним кодом помилки, навіть якщо вказано правильний пароль.
+                        </para>
+                        <para>
+                            Можна використовувати такі значення:
+                        </para>
+                        <para>
+                            <emphasis>shadow</emphasis>: це значення ldap_user_shadow_expire допомагає
+визначити, чи завершено строк дії облікового запису.
+                        </para>
+                        <para>
+                            <emphasis>ad</emphasis>: скористатися значенням 32-бітового поля
+ldap_user_ad_user_account_control і дозволити доступ, якщо другий біт має
+нульове значення. Якщо атрибут не буде знайдено, доступ буде
+дозволено. Також буде перевірено, чи не вичерпано строк дії облікового
+запису.
+                        </para>
+                        <para>
+                            <emphasis>rhds</emphasis>, <emphasis>ipa</emphasis>,
+<emphasis>389ds</emphasis>: використовувати для перевірки доступу значення
+ldap_ns_account_lock.
+                        </para>
+                        <para>
+                            <emphasis>nds</emphasis>: для перевірки доступу використовувати значення
+ldap_user_nds_login_allowed_time_map, ldap_user_nds_login_disabled і
+ldap_user_nds_login_expiration_time. Якщо не буде виявлено жодного з цих
+атрибутів, надати доступ.
+                        </para>
+                        <para>
+                            Будь ласка, зауважте, що параметр налаштування ldap_access_order
+<emphasis>має</emphasis> включати <quote>expire</quote>, щоб можна було
+користуватися параметром ldap_account_expire_policy.
+                        </para>
+                        <para>
+                            Типове значення: порожній рядок
+                        </para>
+                    </listitem>
+                </varlistentry>
+
+                <varlistentry>
+                    <term>ldap_access_order (рядок)</term>
+                    <listitem>
+                        <para>
+                            Список відокремлених комами параметрів керування доступом. Можливі значення
+списку:
+                        </para>
+                        <para>
+                            <emphasis>filter</emphasis>: використовувати ldap_access_filter
+                        </para>
+                        <para>
+                            <emphasis>lockout</emphasis>: використовувати блокування облікових
+записів. Якщо встановлено, цей параметр забороняє доступ, якщо існує атрибут
+ldap «pwdAccountLockedTime» і його значенням є «000001010000Z». Будь ласка,
+ознайомтеся із документацією до параметра ldap_pwdlockout_dn. Зауважте, що
+для працездатності цієї можливості слід встановити «access_provider = ldap».
+                        </para>
+                        <para>
+                            <emphasis> Будь ласка, зауважте, що цей параметр має нижчий пріоритет за
+параметр «ppolicy», його може бути вилучено у наступних випусках.
+</emphasis>
+                        </para>
+                        <para>
+                            <emphasis>ppolicy</emphasis>: використовувати блокування облікових
+записів. Якщо встановлено, забороняє доступ у випадку наявності атрибута
+ldap «pwdAccountLockedTime» рівного «000001010000Z» або такого, що
+відповідає моменту часу у минулому. Значення атрибута «pwdAccountLockedTime»
+має завершуватися на «Z», що позначає часовий пояс UTC. Підтримки інших
+часових поясів у поточній версії не передбачено, їхнє використання
+призводитиме до появи повідомлення про заборону доступу, коли користувачі
+намагатимуться увійти до системи. Докладніший опис можна знайти у розділі
+щодо параметра ldap_pwdlockout_dn. Будь ласка, зауважте, що для
+працездатності цього параметра слід встановити значення «access_provider =
+ldap».
+                        </para>
+
+                        <para>
+                            <emphasis>expire</emphasis>: використовувати ldap_account_expire_policy
+                        </para>
+                        <para>
+                            <emphasis>pwd_expire_policy_reject, pwd_expire_policy_warn,
+pwd_expire_policy_renew: </emphasis> Ці параметри корисні, якщо користувачам
+потрібні попередження щодо скорого завершення строку дії пароля, і у
+випадках, коли розпізнавання засновано на відмінних від паролів методах,
+наприклад на ключах SSH.
+                       </para>
+                       <para>
+                            The difference between these options is the action taken if user password is
+expired:
+                            <itemizedlist>
+                                <listitem>
+                                    <para>
+                                        pwd_expire_policy_reject - user is denied to log in,
+                                    </para>
+                                </listitem>
+                                <listitem>
+                                    <para>
+                                        pwd_expire_policy_warn - user is still able to log in,
+                                    </para>
+                                </listitem>
+                                <listitem>
+                                    <para>
+                                        pwd_expire_policy_renew - user is prompted to change their password
+immediately.
+                                    </para>
+                                </listitem>
+                            </itemizedlist>
+                        </para>
+                        <para>
+                            Будь ласка, зауважте, що для того, щоб цим можна було скористатися, слід
+встановити «access_provider = ldap». Крім того, слід встановити для
+параметра «ldap_pwd_policy» відповідні правила поводження із паролями.
+                        </para>
+                        <para>
+                            <emphasis>authorized_service</emphasis>: використовувати для визначення
+можливості доступу атрибут authorizedService
+                        </para>
+                        <para>
+                            <emphasis>host</emphasis>: за допомогою цього атрибута вузла можна визначити
+права доступу
+                        </para>
+                        <para>
+                            <emphasis>rhost</emphasis>: використовувати атрибут rhost для визначення
+того, чи матиме віддалений вузол доступ
+                        </para>
+                        <para>
+                            Будь ласка, зауважте, що значення поля rhost у pam встановлюється
+програмою. Варто перевірити, що програма надсилає pam, перш ніж вмикати цей
+варіант керування доступом.
+                        </para>
+                        <para>
+                            Типове значення: filter
+                        </para>
+                        <para>
+                             Зауважте, що програма повідомить про помилку, якщо одне значення було
+використано декілька разів.
+                        </para>
+                    </listitem>
+                </varlistentry>
+
+                <varlistentry>
+                    <term>ldap_pwdlockout_dn (рядок)</term>
+                    <listitem>
+                        <para>
+                           За допомогою цього параметра визначається DN запису правил поводження із
+паролями на сервері LDAP. Будь ласка, зауважте, що те, що цього параметра не
+буде у sssd.conf, у випадку увімкненого блокування облікових записів
+призведе до заборони доступу, оскільки атрибути ppolicy на сервері LDAP не
+можна буде перевірити належним чином.
+                        </para>
+                        <para>
+                          Приклад: cn=ppolicy,ou=policies,dc=example,dc=com
+                        </para>
+                        <para>
+                          Типове значення: cn=ppolicy,ou=policies,$ldap_search_base
+                        </para>
+                    </listitem>
+                </varlistentry>
+
+                <varlistentry>
+                    <term>ldap_deref (рядок)</term>
+                    <listitem>
+                        <para>
+                            Визначає спосіб виконання розіменовування псевдонімів під час виконання
+пошуку. Можливі такі варіанти:
+                        </para>
+                        <para>
+                            <emphasis>never</emphasis>: ніколи не виконувати розіменування псевдонімів.
+                        </para>
+                        <para>
+                            <emphasis>searching</emphasis>: розіменування псевдонімів відбувається у
+межах основного об’єкта, а не на основі визначення місця основного об’єкта
+пошуку.
+                        </para>
+                        <para>
+                            <emphasis>finding</emphasis>: розіменування псевдонімів відбувається лише
+під час визначення місця основного об’єкта пошуку.
+                        </para>
+                        <para>
+                            <emphasis>always</emphasis>: розіменування псевдонімів відбувається як під
+час пошуку, так і під час визначення місця основного об’єкта пошуку.
+                        </para>
+                        <para>
+                            Типове значення: не встановлено (обробка бібліотеками LDAP клієнта за
+сценарієм <emphasis>never</emphasis>)
+                        </para>
+                    </listitem>
+                </varlistentry>
+
+                <varlistentry>
+                    <term>ldap_rfc2307_fallback_to_local_users (булеве значення)</term>
+                    <listitem>
+                        <para>
+                            Надає змогу зберігати локальних користувачів як учасників групи LDAP для
+серверів, у яких використовується схема RFC2307.
+                        </para>
+                        <para>
+                            У деяких середовищах, де використовується схема RFC2307, локальних
+користувачів можна зробити учасниками груп LDAP додаванням імен цих
+користувачів до атрибута memberUid. Узгодженість домену може бути
+скомпрометовано, якщо буде виконано подібне додавання учасника, тому SSSD за
+звичайних умов вилучає записи користувачів, яких «не вистачає», з кешованих
+даних щодо участі у групах, щойно nsswitch спробує отримати дані щодо
+користувачів за допомогою виклику getpw*() або initgroups().
+                        </para>
+                        <para>
+                            У разі використання цього параметра програма повертається до перевірки
+посилань на локальних користувачів і кешує їх так, що наступні виклики
+initgroups() розширюватимуть список локальних користувачів додатковими
+групами LDAP.
+                       </para>
+                        <para>
+                            Типове значення: false
+                        </para>
+                    </listitem>
+                </varlistentry>
+
+                <varlistentry>
+                    <term>wildcard_limit (ціле число)</term>
+                    <listitem>
+                        <para>
+                            Визначає верхню межу для кількості записів, які отримуватимуться під час
+пошуку з використанням символів-замінників.
+                        </para>
+                        <para>
+                            У поточній версії пошук із використанням символів-замінників передбачено
+лише для відповідача InfoPipe.
+                        </para>
+                        <para>
+                            Типове значення: 1000 (часто розмір однієї сторінки)
+                        </para>
+                    </listitem>
+                </varlistentry>
+
+                <varlistentry>
+                    <term>ldap_library_debug_level (ціле число)</term>
+                    <listitem>
+                        <para>
+                            Вмикає діагностику libldap із вказаним рівнем. Діагностичні повідомлення
+libldap буде записано незалежно від загального debug_level.
+                        </para>
+                        <para>
+                            OpenLDAP використовує бітову карту для вмикання діагностики для певних
+компонентів, -1 увімкне повне виведення діагностичних даних.
+                        </para>
+                        <para>
+                            Типове значення: 0 (діагностику libldap вимкнено)
+                        </para>
+                    </listitem>
+                </varlistentry>
+
+            </variablelist>
+        </para>
+    </refsect1>
+
+    <refsect1 id='sudo-options' condition="with_sudo">
+        <title>ПАРАМЕТРИ SUDO</title>
+        <para>
+            Докладні настанов щодо налаштовування sudo_provider можна знайти на сторінці
+довідника (man) <citerefentry> <refentrytitle>sssd-sudo</refentrytitle>
+<manvolnum>5</manvolnum> </citerefentry>.
+        </para>
+
+        <para>
+            <variablelist>
+                <varlistentry>
+                    <term>ldap_sudo_full_refresh_interval (ціле число)</term>
+                    <listitem>
+                        <para>
+                            Проміжок часу у секундах між послідовними повними оновленнями правил sudo
+SSSD у автоматичному режимі. Під час таких оновлень буде отримано повний
+набір правил, що зберігаються на сервері.
+                        </para>
+                        <para>
+                            Це значення має перевищувати значення
+<emphasis>ldap_sudo_smart_refresh_interval </emphasis>
+                        </para>
+                        <para>
+                            Ви можете вимкнути повне оновлення встановленням для цього параметра
+значення 0. Втім, обов'язково має бути увімкнено або кмітливе або повне
+оновлення.
+                        </para>
+                        <para>
+                            Типове значення: 21600 (6 годин)
+                        </para>
+                    </listitem>
+                </varlistentry>
+
+                <varlistentry>
+                    <term>ldap_sudo_smart_refresh_interval (ціле число)</term>
+                    <listitem>
+                        <para>
+                            Проміжок часу у секундах між послідовними кмітливими оновленнями правил sudo
+SSSD у автоматичному режимі. Під час таких оновлень буде отримано всі дані
+правил, USN яких перевищує найбільше значення сервера USN, яке відоме SSSD.
+                        </para>
+                        <para>
+                            Якщо підтримки атрибутів USN на сервері не передбачено, буде використано
+дані атрибута modifyTimestamp.
+                        </para>
+                        <para>
+                            <emphasis>Зауваження:</emphasis> набільше значення USN можна оновити у три
+способи: 1) повним і кмітливим оновленням sudo (якщо виявлено оновлені
+правила), 2) нумеруванням користувачів і груп (якщо виявлено увімкнені і
+оновлені записи користувачів або груп) і 3) повторним з'єднанням із сервером
+(типово, кожні 15 хвилин,
+див. <emphasis>ldap_connection_expire_timeout</emphasis>).
+                        </para>
+                        <para>
+                            Ви можете вимкнути кмітливе оновлення встановленням для цього параметра
+значення 0. Втім, обов'язково має бути увімкнено або кмітливе або повне
+оновлення.
+                        </para>
+                        <para>
+                            Типове значення: 900 (15 хвилин)
+                        </para>
+                    </listitem>
+                </varlistentry>
+
+                <varlistentry>
+                    <term>ldap_sudo_random_offset (ціле число)</term>
+                    <listitem>
+                        <para>
+                            Випадковий зсув від 0 до налаштованого значення, який буде додано до
+кмітливого і повного періодів оновлення кожного разу під час планування
+регулярного завдання. Значення у секундах.
+                        </para>
+                        <para>
+                            Зауважте, що цей випадковий зсув буде також застосовано під час першого
+запуску SSSD, що затримає перше оновлення правил sudo. Затримка збільшує
+час, протягом якого правила sudo є недоступними для використання.
+                        </para>
+                        <para>
+                            Ви можете вимкнути цей зсув, встановивши значення 0.
+                        </para>
+                        <para>
+                            Типове значення: 0 (вимкнено)
+                        </para>
+                    </listitem>
+                </varlistentry>
+
+                <varlistentry>
+                    <term>ldap_sudo_use_host_filter (булеве значення)</term>
+                    <listitem>
+                        <para>
+                            Якщо визначено значення true, SSSD отримуватиме лише правила, що стосуються
+цього комп’ютера (на основі адрес вузла або мережі у форматах IPv4 і IPv6 та
+назв вузлів).
+                        </para>
+                        <para>
+                            Типове значення: true
+                        </para>
+                    </listitem>
+                </varlistentry>
+
+                <varlistentry>
+                    <term>ldap_sudo_hostnames (рядок)</term>
+                    <listitem>
+                        <para>
+                            Список назв вузлів або повних доменних назв, відокремлених пробілами, для
+фільтрування списку правил.
+                        </para>
+                        <para>
+                            Якщо значення цього параметра є порожнім, SSSD намагатиметься визначити
+назву вузла та повну назву комп’ютера у домені у автоматичному режимі.
+                        </para>
+                        <para>
+                            Якщо для <emphasis>ldap_sudo_use_host_filter</emphasis> встановлено значення
+<emphasis>false</emphasis>, цей параметр ні на що не впливатиме.
+                        </para>
+                        <para>
+                            Типове значення: не вказано
+                        </para>
+                    </listitem>
+                </varlistentry>
+
+                <varlistentry>
+                    <term>ldap_sudo_ip (рядок)</term>
+                    <listitem>
+                        <para>
+                            Список адрес вузлів або мереж у форматах IPv4 і IPv6 для фільтрування списку
+правил.
+                        </para>
+                        <para>
+                            Якщо значення цього параметра є порожнім, SSSD намагатиметься визначити
+адресу у автоматичному режимі.
+                        </para>
+                        <para>
+                            Якщо для <emphasis>ldap_sudo_use_host_filter</emphasis> встановлено значення
+<emphasis>false</emphasis>, цей параметр ні на що не впливатиме.
+                        </para>
+                        <para>
+                            Типове значення: не вказано
+                        </para>
+                    </listitem>
+                </varlistentry>
+
+                <varlistentry>
+                    <term>ldap_sudo_include_netgroups (булеве значення)</term>
+                    <listitem>
+                        <para>
+                            Якщо вказано значення true, SSSD отримуватиме всі правила, що містять
+мережеву групу (netgroup) у атрибуті sudoHost.
+                        </para>
+                        <para>
+                            Якщо для <emphasis>ldap_sudo_use_host_filter</emphasis> встановлено значення
+<emphasis>false</emphasis>, цей параметр ні на що не впливатиме.
+                        </para>
+                        <para>
+                            Типове значення: true
+                        </para>
+                    </listitem>
+                </varlistentry>
+
+                <varlistentry>
+                    <term>ldap_sudo_include_regexp (булеве значення)</term>
+                    <listitem>
+                        <para>
+                            Якщо вказано значення true, SSSD отримуватиме всі правила, що містять шаблон
+заміни у атрибуті sudoHost.
+                        </para>
+                        <para>
+                            Якщо для <emphasis>ldap_sudo_use_host_filter</emphasis> встановлено значення
+<emphasis>false</emphasis>, цей параметр ні на що не впливатиме.
+                        </para>
+                        <note>
+                            <para>
+                                Використання символів-замінників є дуже обчислювально вартісною операцією
+для сервера LDAP!
+                            </para>
+                        </note>
+                        <para>
+                            Типове значення: false
+                        </para>
+                    </listitem>
+                </varlistentry>
+            </variablelist>
+        </para>
+        <para>
+            На цій сторінці довідника наведено дані щодо відповідності назв
+атрибутів. Докладний опис семантики атрибутів, пов’язаних з sudo, можна
+знайти у довідці з <citerefentry>
+<refentrytitle>sudoers.ldap</refentrytitle><manvolnum>5</manvolnum>
+</citerefentry>.
+        </para>
+    </refsect1>
+
+    <refsect1 id='autofs-options' condition="with_autofs">
+        <title>ПАРАМЕТРИ AUTOFS</title>
+        <para>
+            Деякі типові значення параметрів, описаних нижче, залежать від бази даних
+LDAP.
+        </para>
+        <para>
+            <variablelist>
+                <varlistentry>
+                    <term>ldap_autofs_map_master_name (рядок)</term>
+                    <listitem>
+                        <para>
+                            Назва основної карти автоматичного монтування у LDAP.
+                        </para>
+                        <para>
+                            Типове значення: auto.master
+                        </para>
+                    </listitem>
+                </varlistentry>
+            </variablelist>
+            <xi:include xmlns:xi="http://www.w3.org/2001/XInclude" href="include/autofs_attributes.xml" />
+        </para>
+        <xi:include xmlns:xi="http://www.w3.org/2001/XInclude" href="include/autofs_restart.xml" />
+    </refsect1>
+
+    <refsect1 id='advanced-options'>
+        <title>ДОДАТКОВІ ПАРАМЕТРИ</title>
+        <para>
+            Підтримку цих параметрів передбачено доменами LDAP, але користуватися ними
+слід обережно. Будь ласка, використовуйте їх у налаштуваннях, лише якщо вам
+відомі наслідки ваших дій. <variablelist>
+                <varlistentry>
+                    <term>ldap_netgroup_search_base (рядок)</term>
+                    <xi:include xmlns:xi="http://www.w3.org/2001/XInclude" href="include/ldap_search_bases.xml" />
+                </varlistentry>
+
+                <varlistentry>
+                    <term>ldap_user_search_base (рядок)</term>
+                    <xi:include xmlns:xi="http://www.w3.org/2001/XInclude" href="include/ldap_search_bases.xml" />
+                </varlistentry>
+
+                <varlistentry>
+                    <term>ldap_group_search_base (рядок)</term>
+                    <xi:include xmlns:xi="http://www.w3.org/2001/XInclude" href="include/ldap_search_bases.xml" />
+                </varlistentry>
+            </variablelist>
+<variablelist>
+                <note>
+                    <para>
+                        Якщо увімкнено параметр <quote>ldap_use_tokengroups</quote>, пошуки в Active
+Directory не буде обмежено — він повертатиме усі дані щодо участі у групах,
+навіть без прив'язки до GID. Рекомендуємо вимкнути цю можливість, якщо назви
+груп показуються неправильно.
+                    </para>
+                </note>
+                <varlistentry condition="with_sudo">
+                    <term>ldap_sudo_search_base (рядок)</term>
+                    <xi:include xmlns:xi="http://www.w3.org/2001/XInclude" href="include/ldap_search_bases.xml" />
+                </varlistentry>
+
+                <varlistentry condition="with_autofs">
+                    <term>ldap_autofs_search_base (рядок)</term>
+                    <xi:include xmlns:xi="http://www.w3.org/2001/XInclude" href="include/ldap_search_bases.xml" />
+                </varlistentry>
+
+            </variablelist>
+        </para>
+    </refsect1>
+
+    <xi:include xmlns:xi="http://www.w3.org/2001/XInclude" href="include/failover.xml" />
+
+    <xi:include xmlns:xi="http://www.w3.org/2001/XInclude" href="include/service_discovery.xml" />
+
+    <xi:include xmlns:xi="http://www.w3.org/2001/XInclude" href="include/ldap_id_mapping.xml" />
+
+    <refsect1 id='example'>
+        <title>ПРИКЛАД</title>
+        <para>
+            У наведеному нижче прикладі припускається, що SSSD налаштовано належним
+чином, а LDAP встановлено на один з доменів з розділу
+<replaceable>[domains]</replaceable>.
+        </para>
+        <para>
+<programlisting>
+[domain/LDAP]
+id_provider = ldap
+auth_provider = ldap
+ldap_uri = ldap://ldap.mydomain.org
+ldap_search_base = dc=mydomain,dc=org
+ldap_tls_reqcert = demand
+cache_credentials = true
+</programlisting>
+        </para>
+    </refsect1>
+    <refsect1 id='ldap_access_filter_example'>
+        <title>ПРИКЛАД ФІЛЬТРА ДОСТУПУ LDAP</title>
+        <para>
+            У наведеному нижче прикладі припускається, що SSSD налаштовано належним
+чином і використано ldap_access_order=lockout.
+        </para>
+        <para>
+<programlisting>
+[domain/LDAP]
+id_provider = ldap
+auth_provider = ldap
+access_provider = ldap
+ldap_access_order = lockout
+ldap_pwdlockout_dn = cn=ppolicy,ou=policies,dc=mydomain,dc=org
+ldap_uri = ldap://ldap.mydomain.org
+ldap_search_base = dc=mydomain,dc=org
+ldap_tls_reqcert = demand
+cache_credentials = true
+</programlisting>
+        </para>
+    </refsect1>
+
+    <refsect1 id='notes'>
+        <title>ЗАУВАЖЕННЯ</title>
+        <para>
+            Описи деяких з параметрів налаштування на цій сторінці підручника засновано
+на даних сторінки підручника (man) <citerefentry>
+<refentrytitle>ldap.conf</refentrytitle> <manvolnum>5</manvolnum>
+</citerefentry> з пакунка OpenLDAP 2.4.
+        </para>
+    </refsect1>
+
+    <xi:include xmlns:xi="http://www.w3.org/2001/XInclude" href="include/seealso.xml" />
+
+</refentry>
+</reference>
diff --git a/src/man/uk/sssd-session-recording.5.xml b/src/man/uk/sssd-session-recording.5.xml
new file mode 100644
index 0000000..9a639f7
--- /dev/null
+++ b/src/man/uk/sssd-session-recording.5.xml
@@ -0,0 +1,181 @@
+<?xml version="1.0" encoding="UTF-8"?>
+<!DOCTYPE reference PUBLIC "-//OASIS//DTD DocBook V4.4//EN"
+"http://www.oasis-open.org/docbook/xml/4.4/docbookx.dtd">
+<reference>
+<title>Сторінки підручника SSSD</title>
+<refentry>
+    <xi:include xmlns:xi="http://www.w3.org/2001/XInclude" href="include/upstream.xml" />
+
+    <refmeta>
+        <refentrytitle>sssd-session-recording</refentrytitle>
+        <manvolnum>5</manvolnum>
+        <refmiscinfo class="manual">Формати файлів та правила</refmiscinfo>
+    </refmeta>
+
+    <refnamediv id='name'>
+        <refname>sssd-session-recording</refname>
+        <refpurpose>Налаштовування записів сеансів за допомогою SSSD</refpurpose>
+    </refnamediv>
+
+    <refsect1 id='description'>
+        <title>ОПИС</title>
+        <para>
+            На цій сторінці підручника описано налаштовування <citerefentry>
+<refentrytitle>sssd</refentrytitle> <manvolnum>8</manvolnum> </citerefentry>
+на роботу з <citerefentry> <refentrytitle>tlog-rec-session</refentrytitle>
+<manvolnum>8</manvolnum> </citerefentry>, частиною пакунка tlog, для
+реалізації записування сеансів користувачів у текстових
+терміналах. Докладний довідник щодо синтаксису налаштувань можна знайти у
+розділі <quote>ФОРМАТ ФАЙЛА</quote> сторінки підручника з <citerefentry>
+<refentrytitle>sssd.conf</refentrytitle> <manvolnum>5</manvolnum>
+</citerefentry>.
+        </para>
+        <para>
+            SSSD можна налаштувати так, щоб уможливити запис усіх даних, які бачать або
+вводять протягом сеансу у текстових терміналах вказані
+користувачі. Наприклад, можна записувати дані щодо входу користувачів за
+допомогою консолі або SSH. Сама SSSD нічого не записує, а лише забезпечує
+запуск tlog-rec-session під час входу до системи користувача, щоб можна було
+здійснювати запис відповідно до налаштувань.
+        </para>
+        <para>
+            Для користувачів, для яких увімкнено запис сеансів, SSSD замінює командну
+оболонку користувача на tlog-rec-session у відповідях NSS і додає змінну,
+яка вказує на початкову командну оболонку до середовища користувача у
+налаштування сеансу PAM. Таким чином забезпечується запуск tlog-rec-session
+замість командної оболонки користувача і надання даних про те, яку командну
+оболонку слід запустити, щойно розпочнеться записування.
+        </para>
+    </refsect1>
+
+    <refsect1 id='configuration-options'>
+        <title>ПАРАМЕТРИ НАЛАШТУВАННЯ</title>
+            <para>
+                Цими параметрами можна скористатися для налаштовування запису сеансів.
+            </para>
+            <variablelist>
+                <varlistentry>
+                    <term>scope (рядок)</term>
+                    <listitem>
+                        <para>
+                            Один із вказаних нижче рядків, що визначають область запису сеансів:
+<variablelist>
+                                <varlistentry>
+                                    <term>"none"</term>
+                                    <listitem>
+                                        <para>
+                                            Користувачі не записуються.
+                                        </para>
+                                    </listitem>
+                                </varlistentry>
+                                <varlistentry>
+                                    <term>"some"</term>
+                                    <listitem>
+                                        <para>
+                                            Запис вестиметься для користувачів і груп, вказаних параметрами
+<replaceable>користувачі</replaceable> і <replaceable>групи</replaceable>.
+                                        </para>
+                                    </listitem>
+                                </varlistentry>
+                                <varlistentry>
+                                    <term>"all"</term>
+                                    <listitem>
+                                        <para>
+                                            Усі користувачі записуються.
+                                        </para>
+                                    </listitem>
+                                </varlistentry>
+                            </variablelist>
+                        </para>
+                        <para>
+                            Типове значення: none
+                        </para>
+                    </listitem>
+                </varlistentry>
+                <varlistentry>
+                    <term>users (рядок)</term>
+                    <listitem>
+                        <para>
+                            Список відокремлених комами записів користувачів, для яких увімкнено
+записування сеансів. Належність до списку визначатиметься за іменами,
+повернутими NSS, тобто після можливих замін пробілів, змін регістру символів
+тощо.
+                        </para>
+                        <para>
+                            Типове значення: порожнє. Не відповідає жодному користувачу.
+                        </para>
+                    </listitem>
+                </varlistentry>
+                <varlistentry>
+                    <term>groups (рядок)</term>
+                    <listitem>
+                        <para>
+                            Список відокремлених комами записів груп, для користувачів яких буде
+увімкнено записування сеансів. Належність до списку визначатиметься за
+назвами, повернутими NSS, тобто після можливих замін пробілів, змін регістру
+символів тощо.
+                        </para>
+                        <para>
+                            Зауваження: використання цього параметра (встановлення для нього будь-якого
+значення) значно впливає на швидкодію, оскільки некешований запит щодо
+користувача потребує отримання і встановлення відповідності груп, до яких
+належить користувач.
+                        </para>
+                        <para>
+                            Типове значення: порожнє. Не відповідає жодній групі.
+                        </para>
+                    </listitem>
+                </varlistentry>
+                <varlistentry>
+                    <term>exclude_users (рядок)</term>
+                    <listitem>
+                        <para>
+                            Список відокремлених комами записів користувачів, яких має бути виключено із
+записування. Може бути застосовано лише разом із «scope=all».
+                        </para>
+                        <para>
+                            Типове значення: порожнє. Не виключати жодного користувача.
+                        </para>
+                    </listitem>
+                </varlistentry>
+                <varlistentry>
+                    <term>exclude_groups (рядок)</term>
+                    <listitem>
+                        <para>
+                            Список відокремлених комами записів груп, учасників яких має бути виключено
+із записування. Може бути застосовано лише разом із «scope=all».
+                        </para>
+                        <para>
+                            Зауваження: використання цього параметра (встановлення для нього будь-якого
+значення) значно впливає на швидкодію, оскільки некешований запит щодо
+користувача потребує отримання і встановлення відповідності груп, до яких
+належить користувач.
+                        </para>
+                        <para>
+                            Типове значення: порожнє. Не виключати жодної групи.
+                        </para>
+                    </listitem>
+                </varlistentry>
+            </variablelist>
+    </refsect1>
+
+    <refsect1 id='example'>
+        <title>ПРИКЛАД</title>
+        <para>
+            У наведеному нижче фрагменті файла sssd.conf увімкнено запис сеансів для
+користувачів contractor1 і contractor2» та групи students.
+        </para>
+        <para>
+<programlisting>
+[session_recording]
+scope = some
+users = contractor1, contractor2
+groups = students
+</programlisting>
+        </para>
+    </refsect1>
+
+    <xi:include xmlns:xi="http://www.w3.org/2001/XInclude" href="include/seealso.xml" />
+
+</refentry>
+</reference>
diff --git a/src/man/uk/sssd-simple.5.xml b/src/man/uk/sssd-simple.5.xml
new file mode 100644
index 0000000..8e19a66
--- /dev/null
+++ b/src/man/uk/sssd-simple.5.xml
@@ -0,0 +1,152 @@
+<?xml version="1.0" encoding="UTF-8"?>
+<!DOCTYPE reference PUBLIC "-//OASIS//DTD DocBook V4.4//EN"
+"http://www.oasis-open.org/docbook/xml/4.4/docbookx.dtd">
+<reference>
+<title>Сторінки підручника SSSD</title>
+<refentry>
+    <xi:include xmlns:xi="http://www.w3.org/2001/XInclude" href="include/upstream.xml" />
+
+    <refmeta>
+        <refentrytitle>sssd-simple</refentrytitle>
+        <manvolnum>5</manvolnum>
+        <refmiscinfo class="manual">Формати файлів та правила</refmiscinfo>
+    </refmeta>
+
+    <refnamediv id='name'>
+        <refname>sssd-simple</refname>
+        <refpurpose>файл налаштувань інструмента керування доступом «simple» SSSD</refpurpose>
+    </refnamediv>
+
+    <refsect1 id='description'>
+        <title>ОПИС</title>
+        <para>
+            На цій сторінці довідника описано налаштування простого засобу керування
+доступом для <citerefentry> <refentrytitle>sssd</refentrytitle>
+<manvolnum>8</manvolnum> </citerefentry>. Щоб дізнатися більше про синтаксис
+налаштування, зверніться до розділу «ФОРМАТ ФАЙЛА» сторінки довідника
+<citerefentry> <refentrytitle>sssd.conf</refentrytitle>
+<manvolnum>5</manvolnum> </citerefentry>.
+        </para>
+        <para>
+            Простий засіб керування доступом надає або забороняє доступ на основі списку
+допуску або заборони, складеного за назвами облікових записів користувачів
+та групами. Використовуються такі правила:
+            <itemizedlist>
+                <listitem>
+                    <para>Якщо всі списки є порожніми, доступ буде надано.</para>
+                </listitem>
+                <listitem>
+                    <para>
+                        Якщо вказано будь-який зі списків, обробка виконуватиметься за послідовністю
+«допуск, потім заборона» (allow,deny). Це означає, що будь-яке з правил
+заборони матиме пріоритет над будь-яким правилом допуску.
+                    </para>
+                </listitem>
+                <listitem>
+                    <para>
+                        Якщо буде вказано один або обидва списки допуску («allow»), всім
+користувачам поза цими списками доступ буде заборонено.
+                    </para>
+                </listitem>
+                <listitem>
+                    <para>
+                        Якщо буде вказано лише списки заборони («deny»), всі користувачам поза цими
+списками доступ буде надано.
+                    </para>
+                </listitem>
+            </itemizedlist>
+        </para>
+    </refsect1>
+
+    <refsect1 id='configuration-options'>
+        <title>ПАРАМЕТРИ НАЛАШТУВАННЯ</title>
+        <para>Зверніться до розділу «РОЗДІЛИ ДОМЕНІВ» сторінки довідника (man)
+<citerefentry> <refentrytitle>sssd.conf</refentrytitle>
+<manvolnum>5</manvolnum> </citerefentry>, щоб дізнатися більше про
+налаштування домену SSSD. <variablelist>
+                <varlistentry>
+                    <term>simple_allow_users (рядок)</term>
+                    <listitem>
+                        <para>
+                            Відокремлений комами список користувачів, яким дозволено вхід до системи.
+                        </para>
+                    </listitem>
+                </varlistentry>
+
+                <varlistentry>
+                    <term>simple_deny_users (рядок)</term>
+                    <listitem>
+                        <para>
+                            Список користувачів, яким явно заборонено доступ; записи відокремлюються
+комами.
+                        </para>
+                    </listitem>
+                </varlistentry>
+                <varlistentry>
+                    <term>simple_allow_groups (рядок)</term>
+                    <listitem>
+                        <para>
+                            Відокремлений комами список груп, користувачам яких дозволено вхід до
+системи. Стосується лише груп у межах цього домену SSSD. Локальні групи не
+обробляються.
+                        </para>
+                    </listitem>
+                </varlistentry>
+
+                <varlistentry>
+                    <term>simple_deny_groups (рядок)</term>
+                    <listitem>
+                        <para>
+                            Відокремлений комами список груп, користувачам яких явно заборонено
+доступ. Стосується лише груп у межах цього домену SSSD. Локальні групи не
+обробляються.
+                        </para>
+                    </listitem>
+                </varlistentry>
+            </variablelist>
+        </para>
+        <para>
+            Якщо не вказувати значень для жодного зі списків, вважатиметься, що параметр
+не визначено. Пам’ятайте про це, якщо захочете створити параметри для
+простого надавача автоматизованими скриптами.
+        </para>
+        <para>
+            Будь ласка, зауважте, що визначення обох параметрів, simple_allow_users і
+simple_deny_users, є помилкою у налаштуванні.
+        </para>
+    </refsect1>
+
+    <refsect1 id='example'>
+        <title>ПРИКЛАД</title>
+        <para>
+            У наведеному нижче прикладі припускаємо, що SSSD налаштовано належним чином,
+а example.com є одним з доменів у розділі
+<replaceable>[sssd]</replaceable>. У прикладі продемонстровано лише
+параметри, специфічні для простого засобу доступу.
+        </para>
+        <para>
+<programlisting>
+[domain/example.com]
+access_provider = simple
+simple_allow_users = user1, user2
+</programlisting>
+        </para>
+    </refsect1>
+
+    <refsect1 id='notes'>
+        <title>ЗАУВАЖЕННЯ</title>
+        <para>
+          Повна обробка ієрархії участі у групах виконується до перевірки прав
+доступу, отже, до списку груп доступу може бути включено навіть вкладені
+групи. Будь ласка, зауважте, що на результати може вплинути значення
+параметра «ldap_group_nesting_level». Вам слід встановити для нього достатнє
+значення. Див. <citerefentry>
+<refentrytitle>sssd-ldap</refentrytitle><manvolnum>5</manvolnum>
+</citerefentry>.
+        </para>
+    </refsect1>
+
+    <xi:include xmlns:xi="http://www.w3.org/2001/XInclude" href="include/seealso.xml" />
+
+</refentry>
+</reference>
diff --git a/src/man/uk/sssd-sudo.5.xml b/src/man/uk/sssd-sudo.5.xml
new file mode 100644
index 0000000..b126ece
--- /dev/null
+++ b/src/man/uk/sssd-sudo.5.xml
@@ -0,0 +1,233 @@
+<?xml version="1.0" encoding="UTF-8"?>
+<!DOCTYPE reference PUBLIC "-//OASIS//DTD DocBook V4.4//EN"
+"http://www.oasis-open.org/docbook/xml/4.4/docbookx.dtd">
+<reference>
+<title>Сторінки підручника SSSD</title>
+<refentry>
+    <xi:include xmlns:xi="http://www.w3.org/2001/XInclude" href="include/upstream.xml" />
+
+    <refmeta>
+        <refentrytitle>sssd-sudo</refentrytitle>
+        <manvolnum>5</manvolnum>
+        <refmiscinfo class="manual">Формати файлів та правила</refmiscinfo>
+    </refmeta>
+
+    <refnamediv id='name'>
+        <refname>sssd-sudo</refname>
+        <refpurpose>Налаштовування sudo за допомогою модуля SSSD</refpurpose>
+    </refnamediv>
+
+    <refsect1 id='description'>
+        <title>ОПИС</title>
+        <para>
+            На цій сторінці підручника описано способи налаштовування <citerefentry>
+<refentrytitle>sudo</refentrytitle> <manvolnum>8</manvolnum> </citerefentry>
+на роботу у комплексі з <citerefentry> <refentrytitle>sssd</refentrytitle>
+<manvolnum>8</manvolnum> </citerefentry> та способи кешування правил sudo у
+SSSD.
+        </para>
+    </refsect1>
+
+    <refsect1 id='sudo'>
+        <title>Налаштовування sudo на співпрацю з SSSD</title>
+        <para>
+            Щоб увімкнути SSSD як джерело правил sudo, додайте <emphasis>sss</emphasis>
+до запису <emphasis>sudoers</emphasis> у файлі <citerefentry>
+<refentrytitle>nsswitch.conf</refentrytitle> <manvolnum>5</manvolnum>
+</citerefentry>.
+        </para>
+        <para>
+            Наприклад, щоб налаштувати sudo на першочерговий пошук правил у стандартному
+файлі <citerefentry> <refentrytitle>sudoers</refentrytitle>
+<manvolnum>5</manvolnum> </citerefentry> (цей файл має містити правила, що
+стосуються локальних користувачів), а потім у SSSD, у файлі nsswitch.conf
+слід вказати такий рядок:
+        </para>
+        <para>
+<programlisting>
+sudoers: files sss
+</programlisting>
+        </para>
+        <para>
+            Докладніші дані щодо налаштовування порядку пошуку у sudoers за допомогою
+файла nsswitch.conf, а також дані щодо бази даних LDAP, у якій зберігаються
+правила sudo каталогу, можна знайти на сторінці підручника <citerefentry>
+<refentrytitle>sudoers.ldap</refentrytitle> <manvolnum>5</manvolnum>
+</citerefentry>.
+        </para>
+        <para>
+            <emphasis>Зауваження</emphasis>: щоб у правилах sudo можна було
+використовувати мережеві групи або групи вузлів IPA, вам слід належним чином
+налаштувати <citerefentry> <refentrytitle>nisdomainname</refentrytitle>
+<manvolnum>1</manvolnum> </citerefentry> на назву домену NIS (назва цього
+домену збігається з назвою домену IPA, якщо використовуються групи вузлів
+IPA).
+        </para>
+    </refsect1>
+
+    <refsect1 id='sssd'>
+        <title>Налаштовування SSSD на отримання правил sudo</title>
+        <para>
+            На боці SSSD достатньо розширити список <emphasis>служб</emphasis>
+дописуванням «sudo» до розділу [sssd] <citerefentry>
+<refentrytitle>sssd.conf</refentrytitle> <manvolnum>5</manvolnum>
+</citerefentry>. Щоб пришвидшити пошуку у LDAP, ви також можете налаштувати
+базу пошуку для правил sudo за допомогою параметра
+<emphasis>ldap_sudo_search_base</emphasis>.
+        </para>
+        <para>
+            У наведеному нижче прикладі показано, як налаштувати SSSD на отримання
+правил sudo з сервера LDAP.
+        </para>
+        <para>
+<programlisting>
+[sssd]
+config_file_version = 2
+services = nss, pam, sudo
+domains = EXAMPLE
+
+[domain/EXAMPLE]
+id_provider = ldap
+sudo_provider = ldap
+ldap_uri = ldap://example.com
+ldap_sudo_search_base = ou=sudoers,dc=example,dc=com
+</programlisting> <phrase
+condition="have_systemd"> Важливо зауважити, що на платформах, де
+передбачено підтримку systemd, немає потреби додавати засіб надання даних
+«sudo» до списку служб, оскільки він стає необов'язковим. Втім, замість
+нього слід увімкнути sssd-sudo.socket.</phrase>
+        </para>
+        <para>
+            Якщо SSSD налаштовано на використання IPA як засобу надання даних ID, засіб
+надання даних sudo буде увімкнено автоматично. Базу пошуку sudo буде
+налаштовано на використання природного для IPA дерева LDAP
+(cn=sudo,$SUFFIX). Якщо у sssd.conf буде визначено будь-яку іншу базу
+пошуку, використовуватиметься це значення. Для використання функціональних
+можливостей sudo у IPA потреби у дереві compat (ou=sudoers,$SUFFIX) більше
+немає.
+        </para>
+    </refsect1>
+
+    <refsect1 id='cache'>
+        <title>Механізм кешування правил SUDO</title>
+        <para>
+            Найбільшою складністю під час розробки підтримки sudo у SSSD було
+забезпечення роботи sudo з SSSD так, щоб для користувача джерело даних
+надавало дані у один спосіб та з тією самою швидкістю, що і sudo, надаючи
+при цьому якомога свіжіший набір правил. Щоб виконати ці умови, SSSD
+використовує оновлення трьох типів. Будемо називати ці тип повним
+оновленням, інтелектуальним оновленням та оновленням правил.
+        </para>
+        <para>
+            Використання типу <emphasis>інтелектуального оновлення</emphasis> полягає у
+отриманні правил, які було додано або змінено з часу попереднього
+оновлення. Основним призначенням оновлення такого типу є підтримання
+актуального стану бази даних невеличкими порціями, які не спричиняють
+значного навантаження на мережу.
+        </para>
+        <para>
+            У разі використання <emphasis>повного оновлення</emphasis> всі правила sudo,
+що зберігаються у кеші, буде вилучено і замінено на всі правила, які
+зберігаються на сервері. Таким чином, кеш буде узгоджено шляхом вилучення
+всіх правил, які було вилучено на сервері. Втім, повне оновлення може значно
+навантажувати канал з’єднання, а отже його варто використовувати лише
+іноді. Проміжок між сеансами повного оновлення має залежати від розміру і
+стабільності правил sudo.
+        </para>
+        <para>
+            У разі використання типу <emphasis>оновлення правил</emphasis>
+забезпечується ненадання користувачам ширших дозволів, ніж це було визначено
+на сервері. Оновлення цього типу виконується під час кожного запуску
+користувачем sudo. Під час оновлення буде виявлено всі правила, які
+стосуються користувача, перевірено, чи не завершено строк дії цих правил, і
+повторно отримано правила, якщо строк дії правил завершено. Якщо якихось з
+правил не буде виявлено на сервері, SSSD виконає позачергове повне
+оновлення, оскільки може виявитися, що було вилучено набагато більше правил
+(які стосуються інших користувачів).
+        </para>
+        <para>
+            Якщо увімкнено, SSSD зберігатиме лише правила, які можна застосувати до
+цього комп’ютера. Це означає, що зберігатимуться правила, що містять у
+атрибуті <emphasis>sudoHost</emphasis> одне з таких значень:
+        </para>
+        <itemizedlist>
+            <listitem>
+                <para>
+                    ключове слово ALL
+                </para>
+            </listitem>
+            <listitem>
+                <para>
+                    шаблон заміни
+                </para>
+            </listitem>
+            <listitem>
+                <para>
+                    мережеву групу (у форматі «+мережева група»)
+                </para>
+            </listitem>
+            <listitem>
+                <para>
+                    назву вузла або повну назву у домені цього комп’ютера
+                </para>
+            </listitem>
+            <listitem>
+                <para>
+                    одну з IP-адрес цього комп’ютера
+                </para>
+            </listitem>
+            <listitem>
+                <para>
+                    одну з IP-адрес мережі (у форматі «адреса/маска»)
+                </para>
+            </listitem>
+        </itemizedlist>
+        <para>
+            Для точного налаштовування поведінки передбачено доволі багато параметрів
+Будь ласка, зверніться до розділу «ldap_sudo_*» у <citerefentry>
+<refentrytitle>sssd-ldap</refentrytitle> <manvolnum>5</manvolnum>
+</citerefentry> та «sudo_*» у <citerefentry>
+<refentrytitle>sssd.conf</refentrytitle> <manvolnum>5</manvolnum>
+</citerefentry>, щоб ознайомитися з докладним описом.
+        </para>
+    </refsect1>
+
+    <refsect1 id='performance'>
+        <title>Коригування швидкодії</title>
+        <para>
+            SSSD використовує різні типи механізмів із складнішими або простішими
+фільтрами LDAP для підтримання актуальності кешованих правил sudo. У типових
+налаштуваннях використано значення, які мають задовольнити потреби більшості
+наших користувачів, але у наступних абзацах міститься декілька підказок щодо
+того, як скоригувати налаштування до ваших потреб.
+        </para>
+        <para>
+            1. <emphasis>Індексуйте атрибути LDAP</emphasis>. Переконайтеся, що
+індексуються такі атрибути LDAP: objectClass, cn, entryUSN та
+modifyTimestamp.
+        </para>
+        <para>
+            2. <emphasis>Встановіть ldap_sudo_search_base</emphasis>. Встановіть основу
+для пошуку так, щоб вона вказувала на контейнер, який містить правила sudo
+для обмеження області пошуку.
+        </para>
+        <para>
+            3. <emphasis>Встановіть інтервал повного і кмітливого
+оновлення</emphasis>. Якщо ваші правила sudo змінюються нечасто, і вам не
+потрібне швидке оновлення кешованих правил на ваших клієнтах, ви можете
+збільшити значення <emphasis>ldap_sudo_full_refresh_interval</emphasis> і
+<emphasis>ldap_sudo_smart_refresh_interval</emphasis>. Крім того, варто
+вимкнути кмітливе оновлення встановленням
+<emphasis>ldap_sudo_smart_refresh_interval = 0</emphasis>.
+        </para>
+        <para>
+            4. Якщо у вас багато клієнтів, вам варто збільшити значення
+<emphasis>ldap_sudo_random_offset</emphasis>, щоб краще розподілити
+навантаження на сервер.
+        </para>
+    </refsect1>
+
+    <xi:include xmlns:xi="http://www.w3.org/2001/XInclude" href="include/seealso.xml" />
+
+</refentry>
+</reference>
diff --git a/src/man/uk/sssd-systemtap.5.xml b/src/man/uk/sssd-systemtap.5.xml
new file mode 100644
index 0000000..4e81757
--- /dev/null
+++ b/src/man/uk/sssd-systemtap.5.xml
@@ -0,0 +1,433 @@
+<?xml version="1.0" encoding="UTF-8"?>
+<!DOCTYPE reference PUBLIC "-//OASIS//DTD DocBook V4.4//EN"
+"http://www.oasis-open.org/docbook/xml/4.4/docbookx.dtd">
+<reference>
+<title>Сторінки підручника SSSD</title>
+<refentry>
+    <xi:include xmlns:xi="http://www.w3.org/2001/XInclude" href="include/upstream.xml" />
+
+    <refmeta>
+        <refentrytitle>sssd-systemtap</refentrytitle>
+        <manvolnum>5</manvolnum>
+        <refmiscinfo class="manual">Формати файлів та правила</refmiscinfo>
+    </refmeta>
+
+    <refnamediv id='name'>
+        <refname>sssd-systemtap</refname>
+        <refpurpose>Дані systemtap SSSD</refpurpose>
+    </refnamediv>
+
+    <refsect1 id='description'>
+        <title>ОПИС</title>
+        <para>
+            Цю сторінку підручника присвячено функціональним можливостям systemtap у
+<citerefentry> <refentrytitle>sssd</refentrytitle> <manvolnum>8</manvolnum>
+</citerefentry>.
+       </para>
+        <para>
+            Точки зондування SystemTap додано до різноманітних частин коду SSSD, щоб
+полегшити усування вад та аналіз пов'язаних зі швидкодією проблем.
+       </para>
+        <para>
+            <itemizedlist>
+                <listitem>
+                    <para>
+                        Зразки скриптів SystemTap зберігаються у каталозі /usr/share/sssd/systemtap/
+                    </para>
+                </listitem>
+                <listitem>
+                    <para>
+                        Зонди і різноманітні функції визначено у
+/usr/share/systemtap/tapset/sssd.stp і
+/usr/share/systemtap/tapset/sssd_functions.stp, відповідно.
+                    </para>
+                </listitem>
+            </itemizedlist>
+        </para>
+    </refsect1>
+
+    <refsect1 id='probe-points'>
+        <title>ТОЧКИ ЗОНДУВАННЯ</title>
+        <para>
+            Дані у наведених нижче списках точок зондування та аргументів записано у
+такому форматі:
+        </para>
+            <variablelist>
+                <varlistentry>
+                    <term>зонд $назва</term>
+                    <listitem>
+                        <para>
+                            Опис точки зондування
+                        </para>
+                        <programlisting>
+змінна1:тип даних
+змінна2:тип даних
+змінна3:тип даних
+...
+                        </programlisting>
+                    </listitem>
+                </varlistentry>
+            </variablelist>
+
+        <refsect2 id='database-transaction-probes'>
+            <title>Зонди операцій із базою даних</title>
+            <para>
+              <variablelist>
+                <varlistentry>
+                    <term>зонд sssd_transaction_start</term>
+                    <listitem>
+                        <para>
+                            Розпочати операцію sysdb, зондує функцію sysdb_transaction_start().
+                        </para>
+                        <programlisting>
+nesting:ціле число
+probestr:рядок
+                        </programlisting>
+                    </listitem>
+                </varlistentry>
+                <varlistentry>
+                    <term>зонд sssd_transaction_cancel</term>
+                    <listitem>
+                        <para>
+                            Скасовування операції sysdb, зондує функцію sysdb_transaction_cancel() .
+                        </para>
+                        <programlisting>
+nesting:ціле число
+probestr:рядок
+                        </programlisting>
+                    </listitem>
+                </varlistentry>
+                <varlistentry>
+                    <term>зонд sssd_transaction_commit_before</term>
+                    <listitem>
+                        <para>
+                            Зондує функцію sysdb_transaction_commit_before().
+                        </para>
+                        <programlisting>
+nesting:ціле число
+probestr:рядок
+                        </programlisting>
+                    </listitem>
+                </varlistentry>
+                <varlistentry>
+                    <term>зонд sssd_transaction_commit_after</term>
+                    <listitem>
+                        <para>
+                            Зондує функцію sysdb_transaction_commit_after().
+                        </para>
+                        <programlisting>
+nesting:ціле число
+probestr:рядок
+                        </programlisting>
+                    </listitem>
+                </varlistentry>
+              </variablelist>
+            </para>
+        </refsect2>
+
+        <refsect2 id='ldap-search-probes'>
+            <title>Зонди пошуку у LDAP</title>
+            <para>
+              <variablelist>
+                <varlistentry>
+                    <term>зонд sdap_search_send</term>
+                    <listitem>
+                        <para>
+                            Зондує функцію sdap_get_generic_ext_send().
+                        </para>
+                        <programlisting>
+base:рядок
+scope:ціле число
+filter:рядок
+attrs:рядок
+probestr:рядок
+                        </programlisting>
+                    </listitem>
+                </varlistentry>
+                <varlistentry>
+                    <term>зонд sdap_search_recv</term>
+                    <listitem>
+                        <para>
+                            Зондує функцію sdap_get_generic_ext_recv().
+                        </para>
+                        <programlisting>
+base:рядок
+scope:ціле число
+filter:рядок
+probestr:рядок
+                        </programlisting>
+                    </listitem>
+                </varlistentry>
+                <varlistentry>
+                    <term>зонд sdap_parse_entry</term>
+                    <listitem>
+                        <para>
+                            Зондує функцію sdap_parse_entry(). Викликається повторно для кожного
+отриманого атрибута.
+                        </para>
+                        <programlisting>
+attr:рядок
+value:рядок
+                        </programlisting>
+                    </listitem>
+                </varlistentry>
+                <varlistentry>
+                    <term>probe sdap_parse_entry_done</term>
+                    <listitem>
+                        <para>
+                            Зондує функцію sdap_parse_entry(). Викликається після завершення обробки
+отриманого об'єкта.
+                        </para>
+                    </listitem>
+                </varlistentry>
+                <varlistentry>
+                    <term>зонд sdap_deref_send</term>
+                    <listitem>
+                        <para>
+                            Зондує функцію sdap_deref_search_send().
+                        </para>
+                        <programlisting>
+base_dn:рядок
+deref_attr:рядок
+probestr:рядок
+                        </programlisting>
+                    </listitem>
+                </varlistentry>
+                <varlistentry>
+                    <term>зонд sdap_deref_recv</term>
+                    <listitem>
+                        <para>
+                            Зондує функцію sdap_deref_search_recv().
+                        </para>
+                        <programlisting>
+base:рядок
+scope:ціле число
+filter:рядок
+probestr:рядок
+                        </programlisting>
+                    </listitem>
+                </varlistentry>
+              </variablelist>
+            </para>
+        </refsect2>
+
+       <refsect2 id='ldap-account-req-probes'>
+           <title>Зонди запитів щодо облікових записів у LDAP</title>
+           <para>
+             <variablelist>
+               <varlistentry>
+                   <term>зонд sdap_acct_req_send</term>
+                   <listitem>
+                       <para>
+                           Зондує функцію sdap_acct_req_send().
+                       </para>
+                       <programlisting>
+entry_type:ціле число
+filter_type:ціле число
+filter_value:рядок
+extra_value:рядок
+                       </programlisting>
+                   </listitem>
+               </varlistentry>
+               <varlistentry>
+                   <term>зонд sdap_acct_req_recv</term>
+                   <listitem>
+                       <para>
+                           Зондує функцію sdap_acct_req_recv().
+                       </para>
+                       <programlisting>
+entry_type:ціле число
+filter_type:ціле число
+filter_value:рядок
+extra_value:рядок
+                       </programlisting>
+                   </listitem>
+               </varlistentry>
+            </variablelist>
+        </para>
+        </refsect2>
+
+       <refsect2 id='ldap-user-search-probes'>
+           <title>Зонди пошуку користувачів у LDAP</title>
+           <para>
+             <variablelist>
+               <varlistentry>
+                   <term>зонд sdap_search_user_send</term>
+                   <listitem>
+                       <para>
+                           Зондує функцію sdap_search_user_send().
+                       </para>
+                       <programlisting>
+filter:рядок
+                       </programlisting>
+                   </listitem>
+               </varlistentry>
+               <varlistentry>
+                   <term>зонд sdap_search_user_recv</term>
+                   <listitem>
+                       <para>
+                           Зондує функцію sdap_search_user_recv().
+                       </para>
+                       <programlisting>
+filter:рядок
+                       </programlisting>
+                   </listitem>
+               </varlistentry>
+               <varlistentry>
+                   <term>зонд sdap_search_user_save_begin</term>
+                   <listitem>
+                       <para>
+                           Зондує функцію sdap_search_user_save_begin().
+                       </para>
+                       <programlisting>
+filter:рядок
+                       </programlisting>
+                   </listitem>
+               </varlistentry>
+               <varlistentry>
+                   <term>зонд sdap_search_user_save_end</term>
+                   <listitem>
+                       <para>
+                           Зондує функцію sdap_search_user_save_end().
+                       </para>
+                       <programlisting>
+filter:рядок
+                       </programlisting>
+                   </listitem>
+               </varlistentry>
+            </variablelist>
+        </para>
+        </refsect2>
+
+       <refsect2 id='data-provider-request-probes'>
+           <title>Зонди запитів до постачальника даних</title>
+           <para>
+             <variablelist>
+               <varlistentry>
+                   <term>зонд dp_req_send</term>
+                   <listitem>
+                       <para>
+                           Подано запит до постачальника даних.
+                       </para>
+                       <programlisting>
+dp_req_domain:рядок
+dp_req_name:рядок
+dp_req_target:ціле число
+dp_req_method:ціле число
+                       </programlisting>
+                   </listitem>
+               </varlistentry>
+               <varlistentry>
+                   <term>зонд dp_req_done</term>
+                   <listitem>
+                       <para>
+                           Завершено виконання запиту до постачальника даних.
+                       </para>
+                       <programlisting>
+dp_req_name:рядок
+dp_req_target:ціле число
+dp_req_method:ціле число
+dp_ret:ціле число
+dp_errorstr:рядок
+                       </programlisting>
+                   </listitem>
+               </varlistentry>
+            </variablelist>
+        </para>
+        </refsect2>
+
+    <refsect2 id='miscellaneous-functions'>
+        <title>РІЗНОМАНІТНІ ФУНКЦІЇ</title>
+        <para>
+            Дані у наведених нижче списках точок зондування та аргументів записано у
+такому форматі:
+        </para>
+            <variablelist>
+                <varlistentry>
+                    <term>функція acct_req_desc(entry_type)</term>
+                    <listitem>
+                        <para>
+                            Перетворення entry_type на рядок і повернення рядка
+                        </para>
+                    </listitem>
+                </varlistentry>
+                <varlistentry>
+                    <term>функція sssd_acct_req_probestr(fc_name, entry_type, filter_type,
+filter_value, extra_value)</term>
+                    <listitem>
+                        <para>
+                            Створення рядка зонду на основі типу фільтрування
+                        </para>
+                    </listitem>
+                </varlistentry>
+                <varlistentry>
+                    <term>функція dp_target_str(target)</term>
+                    <listitem>
+                        <para>
+                            Перетворення target на рядок і повернення рядка
+                        </para>
+                    </listitem>
+                </varlistentry>
+                <varlistentry>
+                    <term>функція dp_method_str(target)</term>
+                    <listitem>
+                        <para>
+                            Перетворення методу на рядок і повернення рядка
+                        </para>
+                    </listitem>
+                </varlistentry>
+            </variablelist>
+    </refsect2>
+
+    </refsect1>
+
+    <refsect1 id='sample-systemtap-scripts'>
+        <title>ЗРАЗКИ СКРИПТІВ SYSTEMTAP</title>
+        <para>
+            Запустіть скрипт SystemTap (<command>stap
+/usr/share/sssd/systemtap/&lt;назва_скрипту&gt;.stp</command>), потім
+виконайте дію із розпізнавання. Скрипт збере дані за допомогою зондів.
+        </para>
+        <para>
+            Скриптами SystemTap з пакунка є:
+        </para>
+        <variablelist>
+            <varlistentry>
+                <term>dp_request.stp</term>
+                <listitem>
+                    <para>
+                        Спостереження за швидкодією обробки запитів засобом надання даних.
+                    </para>
+                </listitem>
+            </varlistentry>
+            <varlistentry>
+                <term>id_perf.stp</term>
+                <listitem>
+                    <para>
+                        Спостереження за швидкодією виконання команди <command>id</command>.
+                    </para>
+                </listitem>
+            </varlistentry>
+            <varlistentry>
+          <term>ldap_perf.stp</term>
+          <listitem>
+              <para>
+                  Спостереження за запитами LDAP.
+              </para>
+          </listitem>
+            </varlistentry>
+            <varlistentry>
+                <term>nested_group_perf.stp</term>
+                <listitem>
+                    <para>
+                        Швидкодія визначення назв для вкладених груп.
+                    </para>
+                </listitem>
+            </varlistentry>
+        </variablelist>
+    </refsect1>
+
+    <xi:include xmlns:xi="http://www.w3.org/2001/XInclude" href="include/seealso.xml" />
+
+</refentry>
+</reference>
diff --git a/src/man/uk/sssd.8.xml b/src/man/uk/sssd.8.xml
new file mode 100644
index 0000000..5a19a50
--- /dev/null
+++ b/src/man/uk/sssd.8.xml
@@ -0,0 +1,249 @@
+<?xml version="1.0" encoding="UTF-8"?>
+<!DOCTYPE reference PUBLIC "-//OASIS//DTD DocBook V4.4//EN"
+"http://www.oasis-open.org/docbook/xml/4.4/docbookx.dtd">
+<reference>
+<title>Сторінки підручника SSSD</title>
+<refentry>
+    <xi:include xmlns:xi="http://www.w3.org/2001/XInclude" href="include/upstream.xml" />
+
+    <refmeta>
+        <refentrytitle>sssd</refentrytitle>
+        <manvolnum>8</manvolnum>
+    </refmeta>
+
+    <refnamediv id='name'>
+        <refname>sssd</refname>
+        <refpurpose>Фонова служба безпеки системи</refpurpose>
+    </refnamediv>
+
+    <refsynopsisdiv id='synopsis'>
+        <cmdsynopsis>
+<command>sssd</command> <arg choice='opt'>
+<replaceable>параметри</replaceable> </arg></cmdsynopsis>
+    </refsynopsisdiv>
+
+    <refsect1 id='description'>
+        <title>ОПИС</title>
+        <para>
+            У <command>SSSD</command> передбачено набір фонових служб для керування
+доступом до віддалених каталогів та механізмами
+розпізнавання. <command>SSSD</command> надає операційній системі інтерфейси
+NSS і PAM, а також систему придатних для під’єднання модулів для
+встановлення з’єднання з декількома різними джерелами даних щодо облікових
+записів та інтерфейс D-Bus. <command>SSSD</command> також є основою для
+систем перевірки клієнтських систем та служб обслуговування правил доступу
+для проєктів, подібних до FreeIPA. <command>SSSD</command> надає стійкішу
+базу даних для збереження записів локальних користувачів, а також додаткових
+даних щодо користувачів.
+        </para>
+    </refsect1>
+
+    <refsect1 id='options'>
+        <title>ПАРАМЕТРИ</title>
+        <variablelist remap='IP'>
+            <varlistentry>
+                <term>
+                    <option>-d</option>,<option>--debug-level</option>
+<replaceable>РІВЕНЬ</replaceable>
+                </term>
+                <xi:include xmlns:xi="http://www.w3.org/2001/XInclude" href="include/debug_levels.xml" />
+            </varlistentry>
+            <varlistentry>
+                <term>
+                    <option>--debug-timestamps=</option><replaceable>режим</replaceable>
+                </term>
+                <listitem>
+                    <para>
+                        <emphasis>1</emphasis>: додати часову позначку до діагностичних повідомлень.
+                    </para>
+                    <para>
+                        <emphasis>0</emphasis>: вимкнути часову позначку у діагностичних
+повідомленнях
+                    </para>
+                    <para>
+                        Типове значення: 1
+                    </para>
+                </listitem>
+            </varlistentry>
+            <varlistentry>
+                <term>
+                    <option>--debug-microseconds=</option><replaceable>режим</replaceable>
+                </term>
+                <listitem>
+                    <para>
+                        <emphasis>1</emphasis>: додати значення мікросекунд до часової позначки у
+діагностичних повідомленнях
+                    </para>
+                    <para>
+                        <emphasis>0</emphasis>: вимкнути додавання мікросекунд до часової позначки
+                    </para>
+                    <para>
+                        Типове значення: 0
+                    </para>
+                </listitem>
+            </varlistentry>
+            <varlistentry>
+                <term>
+                    <option>--logger=</option><replaceable>значення</replaceable>
+                </term>
+                <listitem>
+                    <para>
+                        Місце, куди SSSD надсилатиме повідомлення журналу.
+                    </para>
+                    <para>
+                        <emphasis>stderr</emphasis>: переспрямувати діагностичні повідомлення до
+стандартного виведення помилок.
+                    </para>
+                    <para>
+                        <emphasis>files</emphasis>: переспрямувати діагностичні повідомлення до
+файлів журналу. Типово файли журналів зберігаються у
+<filename>/var/log/sssd</filename>, передбачено також окремий журнал для
+кожної служби і домену SSSD.
+                    </para>
+                    <para>
+                        <emphasis>journald</emphasis>: переспрямувати діагностичні повідомлення до
+systemd-journald
+                    </para>
+                    <para>
+                        Типове значення: не встановлено (резервною буде journald, якщо вона
+доступна, інакше буде використано stderr)
+                    </para>
+                </listitem>
+            </varlistentry>
+            <varlistentry>
+                <term>
+                    <option>-D</option>,<option>--daemon</option>
+                </term>
+                <listitem>
+                    <para>
+                        Перейти у режим фонової служби після запуску.
+                    </para>
+                </listitem>
+            </varlistentry>
+            <varlistentry>
+                <term>
+                    <option>-i</option>,<option>--interactive</option>
+                </term>
+                <listitem>
+                    <para>
+                        Запустити програму у звичайному режимі, не створювати фонової служби.
+                    </para>
+                </listitem>
+            </varlistentry>
+            <varlistentry>
+                <term>
+                    <option>-c</option>,<option>--config</option>
+                </term>
+                <listitem>
+                    <para>
+                        Визначити нетиповий файл налаштувань. Типовим файлом налаштувань є
+<filename>/etc/sssd/sssd.conf</filename>. Довідку щодо синтаксису та
+параметрів файла налаштувань можна знайти на сторінці довідника (man)
+<citerefentry> <refentrytitle>sssd.conf</refentrytitle>
+<manvolnum>5</manvolnum> </citerefentry>.
+                    </para>
+                </listitem>
+            </varlistentry>
+            <varlistentry>
+                <term>
+                    <option>-g</option>,<option>--genconf</option>
+                </term>
+                <listitem>
+                    <para>
+                        Не запускати SSSD, а лише оновити базу даних налаштувань на основі вмісту
+<filename>/etc/sssd/sssd.conf</filename> і завершити роботу.
+                    </para>
+                </listitem>
+            </varlistentry>
+            <varlistentry>
+                <term>
+                    <option>-s</option>,<option>--genconf-section</option>
+                </term>
+                <listitem>
+                    <para>
+                        Подібний до <quote>--genconf</quote>, але наказує програмі освіжити лише
+окремий розділу на основі файла налаштувань. Цей параметр корисний, в
+основному, для виклику з файлів модулів systemd з метою дозволити
+відповідачам, які активуються з сокетів, освіжати налаштування без потреби у
+перезапуску адміністратором усього SSSD.
+                    </para>
+                </listitem>
+            </varlistentry>
+            <xi:include xmlns:xi="http://www.w3.org/2001/XInclude" href="include/param_help.xml" />
+            <varlistentry>
+                <term>
+                    <option>--version</option>
+                </term>
+                <listitem>
+                    <para>
+                        Вивести номер версії і завершити роботу.
+                    </para>
+                </listitem>
+            </varlistentry>
+        </variablelist>
+    </refsect1>
+
+    <refsect1>
+        <title>Сигнали</title>
+        <variablelist remap='IP'>
+            <varlistentry>
+                <term>SIGTERM/SIGINT</term>
+                <listitem>
+                    <para>
+                        Повідомляє SSSD, що слід поступово завершити роботу всіх дочірніх процесів,
+а потім завершити роботу монітора.
+                    </para>
+                </listitem>
+            </varlistentry>
+            <varlistentry>
+                <term>SIGHUP</term>
+                <listitem>
+                    <para>
+                        Повідомляє SSSD, що слід припинити запис до файлів діагностичних даних з
+поточними дескрипторами, закрити і повторно відкрити ці файли. Цей сигнал
+призначено для полегшення процедури архівування журналів за допомогою
+програм, подібних до logrotate.
+                    </para>
+                </listitem>
+            </varlistentry>
+            <varlistentry>
+                <term>SIGUSR1</term>
+                <listitem>
+                    <para>
+                        Наказує SSSD імітувати автономну дію, тривалість якої визначається
+параметром «offline_timeout». Найкориснішим застосуванням є тестування
+служби. Сигнал може бути надіслано або процесу sssd, або процесу sssd_be
+безпосередньо.
+                    </para>
+                </listitem>
+            </varlistentry>
+            <varlistentry>
+                <term>SIGUSR2</term>
+                <listitem>
+                    <para>
+                        Наказує SSSD перейти у режим роботи у мережі негайно. Найкориснішим
+застосуванням є тестування служби. Сигнал може бути надіслано або процесу
+sssd, або процесу sssd_be безпосередньо.
+                    </para>
+                </listitem>
+            </varlistentry>
+        </variablelist>
+    </refsect1>
+
+    <refsect1 id='notes'>
+        <title>ЗАУВАЖЕННЯ</title>
+        <para>
+            Якщо для змінної середовища SSS_NSS_USE_MEMCACHE встановлено значення «NO»,
+клієнтські програми не використовуватимуть fast у кеші у пам’яті.
+        </para>
+        <para condition="enable_lockfree_support">
+            Якщо для змінної середовища SSS_LOCKFREE встановлено значення «NO»,
+одночасні запити від декількох потоків обробки однієї програми буде
+перетворено у послідовність запитів.
+        </para>
+    </refsect1>
+
+	<xi:include xmlns:xi="http://www.w3.org/2001/XInclude" href="include/seealso.xml" />
+
+</refentry>
+</reference>
diff --git a/src/man/uk/sssd.conf.5.xml b/src/man/uk/sssd.conf.5.xml
new file mode 100644
index 0000000..4cc2fb8
--- /dev/null
+++ b/src/man/uk/sssd.conf.5.xml
@@ -0,0 +1,4157 @@
+<?xml version="1.0" encoding="UTF-8"?>
+<!DOCTYPE reference PUBLIC "-//OASIS//DTD DocBook V4.4//EN"
+"http://www.oasis-open.org/docbook/xml/4.4/docbookx.dtd"
+[
+<!ENTITY sssd_user_name SYSTEM "sssd_user_name.include">
+]>
+<reference>
+<title>Сторінки підручника SSSD</title>
+<refentry>
+    <xi:include xmlns:xi="http://www.w3.org/2001/XInclude" href="include/upstream.xml" />
+
+    <refmeta>
+        <refentrytitle>sssd.conf</refentrytitle>
+        <manvolnum>5</manvolnum>
+        <refmiscinfo class="manual">Формати файлів та правила</refmiscinfo>
+    </refmeta>
+
+    <refnamediv id='name'>
+        <refname>sssd.conf</refname>
+        <refpurpose>файл налаштування SSSD</refpurpose>
+    </refnamediv>
+
+    <refsect1 id='file-format'>
+        <title>ФОРМАТ ФАЙЛА</title>
+
+        <para>
+            Файл складено з використанням синтаксичний конструкцій у стилі ini, він
+складається з розділів і окремих записів параметрів. Розділ починається з
+рядка назви розділу у квадратних дужках і продовжується до початку нового
+розділу. Приклад розділу з параметрами, які мають єдине і декілька значень:
+<programlisting>
+<replaceable>[розділ]</replaceable>
+<replaceable>ключ</replaceable> = <replaceable>значення</replaceable>
+<replaceable>ключ2</replaceable> = <replaceable>значення2,значення3</replaceable>
+            </programlisting>
+        </para>
+
+        <para>
+            Типами даних є рядок (без символів лапок), ціле число і булеве значення
+(можливі два значення — <quote>TRUE</quote> і <quote>FALSE</quote>).
+        </para>
+
+        <para>
+            Рядок коментаря починається з символу решітки (<quote>#</quote>) або крапки
+з комою (<quote>;</quote>). Підтримки вбудованих коментарів не передбачено.
+        </para>
+
+        <para>
+            Для всіх розділів передбачено додатковий параметр
+<replaceable>description</replaceable>. Його призначено лише для позначення
+розділу.
+        </para>
+
+        <para>
+            <filename>sssd.conf</filename> має бути звичайним файлом, власником якого є
+користувач root. Права на читання та запис до цього файла повинен мати лише
+користувач root.
+        </para>
+    </refsect1>
+
+    <refsect1 id='config-snippets'>
+        <title>ФРАГМЕНТИ НАЛАШТУВАНЬ З КАТАЛОГУ ВКЛЮЧЕННЯ</title>
+
+        <para>
+            До файла налаштувань <filename>sssd.conf</filename> буде включено фрагменти
+налаштувань з каталогу <filename>conf.d</filename>. Цією можливістю можна
+буде скористатися, якщо SSSD було зібрано із бібліотекою libini версії 1.3.0
+або новішою.
+        </para>
+
+        <para>
+            Будь-який файл, розташований у <filename>conf.d</filename>, назва якого
+завершується на <quote><filename>.conf</filename></quote> і не починається з
+крапки (<quote>.</quote>), буде використано разом із
+<filename>sssd.conf</filename> для налаштовування SSSD.
+        </para>
+
+        <para>
+            Фрагменти налаштувань з <filename>conf.d</filename> мають вищий пріоритет за
+<filename>sssd.conf</filename>, вони мають вищий пріоритет за
+<filename>sssd.conf</filename>, якщо виникне конфлікт. Якщо у
+<filename>conf.d</filename> буде виявлено декілька фрагментів, їх буде
+включено за абеткою (на основі параметрів локалі). Файли, які включаються
+пізніше, мають вищий пріоритет. Числові префікси
+(<filename>01_фрагмент.conf</filename>,
+<filename>02_фрагмент.conf</filename> тощо) можуть допомогти у візуалізації
+пріоритетності (більше число означає вищу пріоритетність).
+        </para>
+
+        <para>
+            Файли фрагментів мають належати одному користувачеві і мати однакові права
+доступу із файлом <filename>sssd.conf</filename>. Типовим власником є
+root:root, а типовими правами доступу — 0600.
+        </para>
+    </refsect1>
+
+    <refsect1 id='general-options'>
+        <title>ЗАГАЛЬНІ ПАРАМЕТРИ</title>
+        <para>
+            Нижче наведено параметри, які можна використовувати у декількох розділах
+налаштувань.
+        </para>
+        <refsect2 id='all-section-options'>
+            <title>Параметри, які можна використовувати у всіх розділах</title>
+            <para>
+              <variablelist>
+                <varlistentry>
+                    <term>debug_level (ціле число)</term>
+                    <xi:include xmlns:xi="http://www.w3.org/2001/XInclude" href="include/debug_levels.xml" />
+                </varlistentry>
+                <varlistentry>
+                    <term>debug (ціле число)</term>
+                    <listitem>
+                        <para>
+                            У SSSD 1.14 і новіших версіях з міркувань зручності також передбачено
+альтернативний варіант <replaceable>debug</replaceable> для
+<replaceable>debug_level</replaceable>. Якщо вказано одразу обидва варіанти,
+буде використано варіант <replaceable>debug_level</replaceable>.
+                        </para>
+                    </listitem>
+                </varlistentry>
+                <varlistentry>
+                    <term>debug_timestamps (булеве значення)</term>
+                    <listitem>
+                        <para>
+                            Додати часову позначку до діагностичних повідомлень. Якщо для запису
+діагностичного журналу у SSSD увімкнено journald, цей параметр буде
+проігноровано.
+                        </para>
+                        <para>
+                            Типове значення: true
+                        </para>
+                    </listitem>
+                </varlistentry>
+                <varlistentry>
+                    <term>debug_microseconds (булеве значення)</term>
+                    <listitem>
+                        <para>
+                            Додати значення мікросекунд до часової позначки у діагностичних
+повідомлення. Якщо для запису діагностичного журналу у SSSD увімкнено
+journald, цей параметр буде проігноровано.
+                        </para>
+                        <para>
+                            Типове значення: false
+                        </para>
+                    </listitem>
+                </varlistentry>
+                <varlistentry>
+                    <term>debug_backtrace_enabled (булеве значення)</term>
+                    <listitem>
+                        <para>
+                            Увімкнути діагностичне зворотне трасування.
+                        </para>
+                        <para>
+                            Якщо SSSD запущено із debug_level меншим за 9, увесь журнал роботи буде
+записано у кільцевий буфер у пам'яті і скинуто до файла журналу при
+виявленні будь-якої помилки до рівня `min(0x0040, debug_level)` включно
+(тобто якщо debug_level явним чином встановлено у значення 0 або 1, лише
+помилки відповідних рівнів вмикатимуть зворотне трасування, інакше кажучи,
+помилки рівнів до 2).
+                        </para>
+                        <para>
+                            Підтримку цієї можливості передбачено лише для `logger == files` (тобто,
+встановлення цього значення не впливає на інші типи журналювання).
+                        </para>
+                        <para>
+                            Типове значення: true
+                        </para>
+                    </listitem>
+                </varlistentry>
+              </variablelist>
+            </para>
+        </refsect2>
+
+        <refsect2 id='services-and-domains-section-options'>
+            <title>Параметри які можна використовувати у розділах SERVICE та DOMAIN</title>
+            <para>
+              <variablelist>
+                <varlistentry>
+                    <term>timeout (ціле число)</term>
+                    <listitem>
+                        <para>
+                            Проміжок у секундах між циклами роботи цієї служби. Використовується для
+перевірки працездатності процесу та його змоги відповідати на
+запити. Зауважте, що після трьох пропущених циклів процес перерве своє
+виконання самостійно.
+                        </para>
+                        <para>
+                            Типове значення: 10
+                        </para>
+                    </listitem>
+                </varlistentry>
+              </variablelist>
+            </para>
+        </refsect2>
+    </refsect1>
+
+    <refsect1 id='special-sections'>
+        <title>ОСОБЛИВІ РОЗДІЛИ</title>
+
+        <refsect2 id='services'>
+            <title>Розділ [sssd]</title>
+            <para>
+                Окремі функції у SSSD виконуються особливими службами SSSD, які запускаються
+і зупиняються разом SSSD. Ці служби керуються окремою службою, яку часто
+називають «монітором». Розділ <quote>[sssd]</quote> використовується для
+налаштування монітора та деяких інших важливих параметрів, зокрема доменів
+профілів.  <variablelist>
+                    <title>Параметри розділу</title>
+                    <varlistentry>
+                        <term>config_file_version (ціле число)</term>
+                        <listitem>
+                            <para>
+                                Визначає версію синтаксичних конструкцій файла налаштування. Для версій SSSD
+0.6.0 та пізніших слід використовувати версію 2.
+                            </para>
+                        </listitem>
+                    </varlistentry>
+                    <varlistentry>
+                        <term>services</term>
+                        <listitem>
+                            <para>
+                                Список служб, відокремлених комами, які запускаються разом із sssd. <phrase
+condition="have_systemd">Список служб є необов'язковим на платформах, де
+передбачено підтримку systemd, оскільки там такі служби вмикаються за
+допомогою сокетів або D-Bus.</phrase>
+                            </para>
+                            <para>
+                                Підтримувані служби: nss, pam <phrase condition="with_sudo">, sudo</phrase>
+<phrase condition="with_autofs">, autofs</phrase> <phrase
+condition="with_ssh">, ssh</phrase> <phrase condition="with_pac_responder">,
+pac</phrase> <phrase condition="with_ifp">, ifp</phrase>
+                            </para>
+                            <para>
+                                <phrase condition="have_systemd">Типово усі служби вимкнено. Адміністратор
+має увімкнути дозволені до використання служби за допомогою такої команди:
+"systemctl enable sssd-@service@.socket".  </phrase>
+                            </para>
+                        </listitem>
+                    </varlistentry>
+                    <varlistentry>
+                        <term>reconnection_retries (ціле число)</term>
+                        <listitem>
+                            <para>
+                                Кількість повторних спроб встановлення зв’язку зі службами або їх
+перезапуску у разі аварійного завершення роботи інструменту надання даних до
+визнання подальших спроб безнадійними.
+                            </para>
+                            <para>
+                                Типове значення: 3
+                            </para>
+                        </listitem>
+                    </varlistentry>
+                    <varlistentry>
+                        <term>domains</term>
+                        <listitem>
+                            <para>
+                                Домен — це база даних, у якій містяться дані щодо користувачів. SSSD може
+одночасно використовувати декілька доменів. Вам слід вказати принаймні один
+домен, інакше SSSD просто не запуститься. За допомогою цього параметра можна
+вказати список доменів, впорядкованих за пріоритетністю під час надсилання
+до них запитів щодо даних. Рекомендовано використовувати у назві домену лише
+літери і цифри ASCII, дефіси, крапки та знаки підкреслювання. Не можна
+використовувати символ «/».
+                            </para>
+                        </listitem>
+                    </varlistentry>
+                    <varlistentry>
+                        <term>re_expression (рядок)</term>
+                        <listitem>
+                            <para>
+                                Типовий формальний вираз, який описує спосіб поділу рядка з іменем
+користувача і доменом на його частини.
+                            </para>
+                            <para>
+                                Для кожного з доменів можна налаштувати окремий формальний вираз. Для деяких
+з засобів надання ідентифікаторів передбачено типові формальні
+вирази. Докладніше про ці формальні вирази можна дізнатися з довідки до
+РОЗДІЛІВ ДОМЕНІВ.
+                            </para>
+                        </listitem>
+                    </varlistentry>
+                    <varlistentry>
+                        <term>full_name_format (рядок)</term>
+                        <listitem>
+                            <para>
+                                Сумісний з <citerefentry> <refentrytitle>printf</refentrytitle>
+<manvolnum>3</manvolnum> </citerefentry> формат, який описує спосіб
+створення повного імені на основі імені користувача та компонентів назви
+домену.
+                            </para>
+                            <para>
+                                Передбачено використання таких замінників: <variablelist>
+                                    <varlistentry>
+                                        <term>%1$s</term>
+                                        <listitem><para>ім’я користувача</para></listitem>
+                                    </varlistentry>
+                                    <varlistentry>
+                                        <term>%2$s</term>
+                                        <listitem>
+                                            <para>
+                                                назва домену у форматі, вказаному у файлі налаштувань SSSD.
+                                            </para>
+                                        </listitem>
+                                    </varlistentry>
+                                    <varlistentry>
+                                        <term>%3$s</term>
+                                        <listitem>
+                                            <para>
+                                                проста назва домену. Здебільшого використовується для доменів Active
+Directory, налаштованих та автоматично виявлених за зв’язками довіри IPA.
+                                            </para>
+                                        </listitem>
+                                    </varlistentry>
+                                </variablelist>
+                            </para>
+                            <para>
+                                Для кожного з доменів можна налаштувати окремий рядок формату. Докладніше
+про ці рядки можна дізнатися з довідки до РОЗДІЛІВ ДОМЕНІВ.
+                            </para>
+                        </listitem>
+                    </varlistentry>
+                    <varlistentry>
+                        <term>monitor_resolv_conf (булеве значення)</term>
+                        <listitem>
+                            <para>
+                                Керує тим, чи SSSD має спостерігати за станом resolv.conf для визначення
+моменту, коли слід оновити дані вбудованого інструмента визначення DNS.
+                            </para>
+                            <para>
+                                Типове значення: true
+                            </para>
+                        </listitem>
+                    </varlistentry>
+                    <varlistentry>
+                        <term>try_inotify (булеве значення)</term>
+                        <listitem>
+                            <para condition="have_inotify">
+                                Типово, з метою спостереження за змінами у файлах налаштувань SSSD
+намагається використати inotify. Якщо використати inotify не вдається,
+виконуватиметься опитування resolv.conf кожні п’ять секунд.
+                            </para>
+                            <para condition="have_inotify">
+                                Зрідка бажано не вдаватися навіть до спроб скористатися inotify. У цих
+рідкісних випадках слід встановити для цього параметра значення «false».
+                            </para>
+                            <para condition="have_inotify">
+                                Типове значення: «true» на платформах, де підтримується inotify. «false» на
+інших платформах.
+                            </para>
+                            <para>
+                                Зауваження: цей параметр ні на що не вплине на платформах, де inotify
+недоступний. На цих платформах завжди використовуватиметься безпосереднє
+опитування файла.
+                            </para>
+                        </listitem>
+                    </varlistentry>
+                    <varlistentry>
+                        <term>krb5_rcache_dir (рядок)</term>
+                        <listitem>
+                            <para>
+                                Каталог у файловій системі, де SSSD має зберігати файли кешу відтворення
+Kerberos.
+                            </para>
+                            <para>
+                                Цей параметр приймає особливе значення __LIBKRB5_DEFAULTS__, за допомогою
+якого можна наказати SSSD надати змогу libkrb5 визначити відповідну адресу
+для кешу відтворення.
+                            </para>
+                            <para>
+                                Типове значення: визначається дистрибутивом та вказується під час
+збирання. (__LIBKRB5_DEFAULTS__, якщо не вказано)
+                            </para>
+                        </listitem>
+                    </varlistentry>
+                    <varlistentry condition="with_non_root_user_support">
+                        <term>user (рядок)</term>
+                        <listitem>
+                            <para>
+                                The user to drop the privileges to where appropriate to avoid running as the
+root user.  Currently the only supported value is '&sssd_user_name;'.
+                            </para>
+
+                            <para condition="have_systemd">
+                                This option does not work when running socket-activated services, as the
+user set up to run the processes is set up during compilation time.  The way
+to override the systemd unit files is by creating the appropriate files in
+/etc/systemd/system/.  Keep in mind that any change in the socket user,
+group or permissions may result in a non-usable SSSD. The same may occur in
+case of changes of the user running the NSS responder.
+                            </para>
+
+                            <para>
+                                Типове значення: не встановлено, процес буде запущено від імені root
+                            </para>
+                        </listitem>
+                    </varlistentry>
+                    <varlistentry>
+                        <term>default_domain_suffix (рядок)</term>
+                        <listitem>
+                            <para>
+                                Цей рядок буде використано як типову назву домену для всіх назв без
+компонента назви домену. Основним призначенням використання цього рядка є
+середовища, де основний домен призначено для керування правилами вузлів та
+всіма користувачами, розташованими на надійному (довіреному) домені. За
+допомогою цього параметра користувачі можуть входити до системи за допомогою
+лише імені користувача без додавання до нього назви домену.
+                            </para>
+                            <para>
+                                Please note that if this option is set all users from the primary domain
+have to use their fully qualified name, e.g. user@domain.name, to log
+in. Setting this option changes default of use_fully_qualified_names to
+True. It is not allowed to use this option together with
+use_fully_qualified_names set to False.  <phrase
+condition="with_files_provider"> One exception from this rule are domains
+with <quote>id_provider=files</quote> that always try to match the behaviour
+of nss_files and therefore their output is not qualified even when the
+default_domain_suffix option is used.  </phrase>
+                            </para>
+                            <para>
+                                Типове значення: not set
+                            </para>
+                        </listitem>
+                    </varlistentry>
+                    <varlistentry>
+                        <term>override_space (рядок)</term>
+                        <listitem>
+                            <para>
+                                За допомогою цього параметра можна змінити пробіли у іменах користувачів та
+назвах груп вказаним симовлом, наприклад _. Ім’я користувача «john doe» буде
+перетворено на «john_doe». Цю можливість було додано для сумісності із
+скриптами командної оболонки, у яких виникають проблеми із обробкою пробілів
+через типовий роздільник полів у оболонці.
+                            </para>
+                            <para>
+                                Будь ласка, зауважте, що використання символу-замінника, який може бути
+використано у іменах користувачів і назвах груп, є помилкою у
+налаштуваннях. Якщо назва містить символ-замінник, SSSD спробує повернути
+незмінену назву, але, загалом, результат пошуку буде невизначеним.
+                            </para>
+                            <para>
+                                Типове значення: не встановлено (пробіли не замінятимуться)
+                            </para>
+                        </listitem>
+                    </varlistentry>
+                    <varlistentry>
+                        <term>certificate_verification (рядок)</term>
+                        <listitem>
+                            <para>
+                                За допомогою цього параметра можна виконати тонке налаштовування перевірки
+сертифікатів на основі списку параметрів, відокремлених комами. Підтримувані
+параметри: <variablelist>
+                                <varlistentry>
+                                    <term>no_ocsp</term>
+                                    <listitem>
+                                        <para>Вимикає перевірки протоколу стану мережевої сертифікації (Online Certificate
+Status Protocol або OCSP). Це може знадобитися, якщо сервери OCSP, визначені
+у сертифікаті, є недоступними з клієнта.</para>
+                                    </listitem>
+                                </varlistentry>
+                                <varlistentry>
+                                    <term>soft_ocsp</term>
+                                    <listitem>
+                                        <para> Якщо не вдасться встановити з'єднання із відповідачем OCSP, перевірку OCSP
+буде пропущено. Цим параметром слід користуватися для того, щоб дозволити
+розпізнавання тоді, коли система працює автономно, отже відповідач OCSP є
+недоступним.</para>
+                                    </listitem>
+                                </varlistentry>
+                                <varlistentry>
+                                    <term>ocsp_dgst</term>
+                                    <listitem>
+                                        <para>Функція обчислення контрольної суми (хешу), яку буде використано для
+створення ідентифікатора сертифіката для запиту OCSP. Можливі значення:
+                                        <itemizedlist>
+                                          <listitem><para>sha1</para></listitem>
+                                          <listitem><para>sha256</para></listitem>
+                                          <listitem><para>sha384</para></listitem>
+                                          <listitem><para>sha512</para></listitem>
+                                        </itemizedlist></para>
+                                        <para>
+                                            Типове значення: sha1 (для уможливлення сумісності із відповідачем, який є
+сумісним із RFC5019)
+                                        </para>
+                                    </listitem>
+                                </varlistentry>
+                                <varlistentry>
+                                    <term>no_verification</term>
+                                    <listitem>
+                                        <para>Повністю вимикає перевірку. Цим варіантом слід користуватися лише для
+тестування.</para>
+                                    </listitem>
+                                </varlistentry>
+                                <varlistentry>
+                                    <term>partial_chain</term>
+                                    <listitem>
+                                        <para>Уможливити успішну перевірку, навіть якщо не вдасться побудувати
+<replaceable>повний</replaceable> ланцюжок до самопідписаної прив'язки
+довіри, якщо можна побудувати ланцюжок до довіреного сертифіката, який може
+бути не самопідписаним.</para>
+                                    </listitem>
+                                </varlistentry>
+                                <varlistentry>
+                                    <term>ocsp_default_responder=URL</term>
+                                    <listitem>
+                                        <para>Встановлює типовий відповідач OCSP, який слід використовувати замість
+визначеного у сертифікаті. Адресу слід замінити адресою типового
+відповідача, наприклад http://example.com:80/ocsp.</para>
+                                    </listitem>
+                                </varlistentry>
+                                <varlistentry>
+                                    <term>
+                                    ocsp_default_responder_signing_cert=НАЗВА</term>
+                                    <listitem>
+                                        <para>У поточній версії програма ігнорує цей параметр. Усі потрібні сертифікати
+мають бути у файлі PEM, який вказано параметром pam_cert_db_path.</para>
+                                    </listitem>
+                                </varlistentry>
+                                <varlistentry>
+                                    <term>crl_file=/ШЛЯХ/ДО/ФАЙЛА/CRL</term>
+                                    <listitem>
+                                        <para>Використовувати список відкликання сертифікатів (CRL) з вказаного файла під
+час перевірки сертифіката. CRL має бути вказано у форматі PEM,
+див. <citerefentry> <refentrytitle>crl</refentrytitle>
+<manvolnum>1ssl</manvolnum> </citerefentry>, щоб дізнатися більше.</para>
+                                    </listitem>
+                                </varlistentry>
+                                <varlistentry>
+                                    <term>soft_crl</term>
+                                    <listitem>
+                                        <para>
+                                        Якщо строк дії списку відкликання сертифікатів (CRL) вичерпано, перевірки
+CRL для відповідних сертифікатів буде проігноровано. Цим параметром слід
+користуватися для уможливлення розпізнавання у системах, які працюють у
+автономному режимі, коли оновлення CRL є неможливим.</para>
+                                    </listitem>
+                                </varlistentry>
+                                </variablelist>
+                            </para>
+                            <para>
+                                Обробник параметрів повідомлятиме про невідомі параметри і просто
+ігноруватиме їх.
+                            </para>
+                            <para>
+                                Типове значення: не встановлено, тобто перевірка сертифікатів нічим не
+обмежуватиметься
+                            </para>
+                        </listitem>
+                    </varlistentry>
+                    <varlistentry>
+                        <term>disable_netlink (булеве значення)</term>
+                        <listitem>
+                            <para>
+                                Перехоплювачі SSSD у інтерфейсі netlink для стеження за змінами у маршрутах,
+адресах, посилання та виконання певних дій.
+                            </para>
+                            <para>
+                                Зміни стану SSSD, спричинені подіями netlink, можуть бути небажаними, їх
+можна вимкнути встановленням для цього параметра значення «true»
+                            </para>
+                            <para>
+                                Типове значення: false (виявлення змін у netlink)
+                            </para>
+                        </listitem>
+                    </varlistentry>
+                    <varlistentry condition="with_files_provider">
+                        <term>enable_files_domain (булеве значення)</term>
+                        <listitem>
+                            <para>
+                                Якщо цю можливість увімкнено, SSSD дописуватиме неявний домен із
+<quote>id_provider=files</quote> до усіх явним чином налаштованих доменів.
+                            </para>
+                            <para>
+                                Типове значення: false
+                            </para>
+                        </listitem>
+                    </varlistentry>
+                    <varlistentry>
+                        <term>domain_resolution_order</term>
+                        <listitem>
+                            <para>
+                                Список доменів і піддоменів, відокремлених комами, який визначає порядок
+пошуку, який використовуватиметься. Список не обов'язково включатиме усі
+можливі домени, оскільки пошук у пропущених доменах відбуватиметься у
+порядку, у якому їх вказано у параметрі налаштування
+<quote>domains</quote>. Пошук у піддоменах, яких немає у списку
+<quote>lookup_order</quote>, відбуватиметься у випадковому порядку для
+кожного батьківського домену.
+                            </para>
+                            <para>
+                                Please, note that when this option is set the output format of all commands
+is always fully-qualified even when using short names for input <phrase
+condition="with_files_provider"> , for all users but the ones managed by the
+files provider </phrase>.  In case the administrator wants the output not
+fully-qualified, the full_name_format option can be used as shown below:
+<quote>full_name_format=%1$s</quote> However, keep in mind that during
+login, login applications often canonicalize the username by calling
+<citerefentry> <refentrytitle>getpwnam</refentrytitle>
+<manvolnum>3</manvolnum> </citerefentry> which, if a shortname is returned
+for a qualified input (while trying to reach a user which exists in multiple
+domains) might re-route the login attempt into the domain which uses
+shortnames, making this workaround totally not recommended in cases where
+usernames may overlap between domains.
+                            </para>
+                            <para>
+                                Типове значення: не встановлено
+                            </para>
+                        </listitem>
+                    </varlistentry>
+                    <varlistentry>
+                        <term>implicit_pac_responder (булеве значення)</term>
+                        <listitem>
+                            <para>
+                                Відповідач PAC буде автоматично увімкнено для надавачів IPA і AD для
+обчислення і перевірки PAC. Якщо відповідач слід вимкнути, встановіть для
+цього параметра значення «false».
+                            </para>
+                            <para>
+                                Типове значення: true
+                            </para>
+                        </listitem>
+                    </varlistentry>
+                    <varlistentry>
+                        <term>core_dumpable (булеве значення)</term>
+                        <listitem>
+                            <para>
+                                Цим параметром можна скористатися для загального забезпечення стійкості
+системи: встановлення значення «false» забороняє дампи ядра для усіх
+процесів SSSD з метою уникнення витоку паролів у форматі нешифрованого
+тексту. Див. сторінку підручника щодо prctl:PR_SET_DUMPABLE, щоб дізнатися
+більше.
+                            </para>
+                            <para>
+                                Типове значення: true
+                            </para>
+                        </listitem>
+                    </varlistentry>
+                    <varlistentry condition="build_passkey">
+                        <term>passkey_verification (string)</term>
+                        <listitem>
+                            <para>
+                                With this parameter the passkey verification can be tuned with a comma
+separated list of options. Supported options are: <variablelist>
+                                <varlistentry>
+                                    <term>user_verification (boolean)</term>
+                                    <listitem>
+                                        <para> Enable or disable the user verification (i.e. PIN, fingerprint)  during
+authentication. If enabled, the PIN will always be requested.
+                                        </para>
+                                        <para>
+                                        The default is that the key settings decide what to do. In the IPA or
+kerberos pre-authentication case, this value will be overwritten by the
+server.
+                                        </para>
+                                    </listitem>
+                                </varlistentry>
+                                </variablelist>
+                            </para>
+                        </listitem>
+                    </varlistentry>
+                </variablelist>
+            </para>
+        </refsect2>
+
+    </refsect1>
+
+    <refsect1 id='services-sections'>
+        <title>РОЗДІЛИ СЛУЖБ</title>
+        <para>
+            У цьому розділі описано параметри, якими можна скористатися для налаштування
+різноманітних служб. Ці параметри має бути зібрано у розділах з назвами
+[<replaceable>$NAME</replaceable>]. Наприклад, параметри служби NSS зібрано
+у розділі <quote>[nss]</quote>
+        </para>
+
+        <refsect2 id='general'>
+            <title>Загальні параметри налаштування служб</title>
+            <para>
+                Цими параметрами можна скористатися для налаштування будь-яких служб.
+            </para>
+            <variablelist>
+                <varlistentry>
+                    <term>reconnection_retries (ціле число)</term>
+                    <listitem>
+                        <para>
+                            Кількість повторних спроб встановлення зв’язку зі службами або їх
+перезапуску у разі аварійного завершення роботи інструменту надання даних до
+визнання подальших спроб безнадійними.
+                        </para>
+                        <para>
+                            Типове значення: 3
+                        </para>
+                    </listitem>
+                </varlistentry>
+                <varlistentry>
+                    <term>fd_limit</term>
+                    <listitem>
+                        <para>
+                            За допомогою цього параметра можна визначити максимальну кількість
+дескрипторів файлів, які одночасно може бути відкрито цим процесом SSSD. У
+системах, де SSSD надано можливості CAP_SYS_RESOURCE, цей параметр
+використовуватиметься незалежно від інших параметрів системи. У системах без
+цієї можливості, кількість дескрипторів визначатиметься найменшим зі значень
+цього параметра і обмеженням "hard" у limits.conf.
+                        </para>
+                        <para>
+                            Типове значення: 8192 (або обмеження у limits.conf "hard")
+                        </para>
+                    </listitem>
+                </varlistentry>
+                <varlistentry>
+                    <term>client_idle_timeout</term>
+                    <listitem>
+                        <para>
+                            За допомогою цього параметра можна визначити кількість секунд, протягом яких
+клієнтська частина SSSD може утримувати дескриптор файла без здійснення за
+його допомогою обміну даними. Таке обмеження потрібне для того, щоб уникнути
+вичерпання ресурсів системи. Час очікування не може бути меншим за 10
+секунд. Якщо у налаштуваннях вказано менше значення, його буде скориговано
+до 10 секунд.
+                        </para>
+                        <para>
+                            Типове значення: 60, KCM: 300
+                        </para>
+                    </listitem>
+                </varlistentry>
+                <varlistentry>
+                    <term>offline_timeout (ціле число)</term>
+                    <listitem>
+                        <para>
+                            Коли SSSD перемикається на автономний режим роботи, час, який має минути,
+перш ніж буде здійснено спробу повернутися до режиму у мережі,
+збільшуватиметься, відповідно до часу, проведеного у режимі
+від’єднання. Типово, SSSD використовує нарощувальну поведінку для обчислення
+затримки між повторними спробами. Тому час очікування для повторної спроби
+буде довшим за час очікування попередньої спроби. Після кожної невдалої
+спроби з'єднатися із мережею нове значення обчислюється за такою формулою:
+                        </para>
+                        <para>
+                             new_delay = Minimum(old_delay * 2, offline_timeout_max) +
+random[0...offline_timeout_random_offset]
+                        </para>
+                        <para>
+                            Типовим значенням offline_timeout є 60. Типовим значенням
+offline_timeout_max є 3600. Типовим значенням offline_timeout_random_offset
+є 30. Кінцевий результат є кількістю секунд до наступної повторної спроби.
+                        </para>
+                        <para>
+                            Зауважте, що максимальна тривалість кожного з інтервалів визначається
+offline_timeout_max (окрім випадкової частини).
+                        </para>
+                        <para>
+                            Типове значення: 60
+                        </para>
+                    </listitem>
+                </varlistentry>
+                <varlistentry>
+                    <term>offline_timeout_max (ціле число)</term>
+                    <listitem>
+                        <para>
+                            Керує тим, на скільки можна збільшувати проміжок часу між спробами відновити
+з'єднання із мережею після неуспішних спроби відновити з'єднання.
+                        </para>
+                        <para>
+                            Значення 0 вимикає збільшення проміжку часу.
+                        </para>
+                        <para>
+                            Значення цього параметра слід встановлювати у поєднанні зі значенням
+параметра offline_timeout.
+                        </para>
+                        <para>
+                            Якщо для offline_timeout встановлено значення 60 (типове значення), немає
+сенсу встановлювати для offlinet_timeout_max значення, яке є меншим за 120,
+оскільки перший же крок збільшення призведе до перевищення максимального
+значення. Загальним правилом у цьому випадку має бути встановлення значення
+offline_timeout_max, яке є принаймні учетверо більшим за offline_timeout.
+                        </para>
+                        <para>
+                            Хоча можна вказати будь-яке значення від 0 до offline_timeout, результатом
+стане перевизначення значення offline_timeout, тому не варто цього робити.
+                        </para>
+                        <para>
+                            Типове значення: 3600
+                        </para>
+                    </listitem>
+                </varlistentry>
+                <varlistentry>
+                    <term>offline_timeout_random_offset (ціле число)</term>
+                    <listitem>
+                        <para>
+                            Якщо SSSD працює в автономному режимі, програма виконує зондування
+серверів-обробників із вказаними інтервалами часу:
+                        </para>
+                        <para>
+                            new_delay = Minimum(old_delay * 2, offline_timeout_max) +
+random[0...offline_timeout_random_offset]
+                        </para>
+                        <para>
+                            Цей параметр керує значенням випадкового зсуву, яке буде використано у
+наведеному вище рівнянні. Остаточне значення random_offset буде випадковим
+числом у такому діапазоні:
+                        </para>
+                        <para>
+                            [0 - offline_timeout_random_offset]
+                        </para>
+                        <para>
+                            Значення 0 призводить до вимикання додавання випадкового зсуву.
+                        </para>
+                        <para>
+                            Типове значення: 30
+                        </para>
+                    </listitem>
+                </varlistentry>
+                <varlistentry>
+                    <term>responder_idle_timeout</term>
+                    <listitem>
+                        <para>
+                            Цей параметр визначає кількість секунд, протягом яких процес відповідача
+SSSD може працювати без використання. Це значення обмежено з метою уникнення
+вичерпання ресурсів системи. Мінімальним прийнятним значенням для цього
+параметра є 60 секунд. Встановлення для цього параметра значення 0 (нуль)
+означає, що для відповідача не встановлюватиметься ніякого часу
+очікування. Цей параметр враховуватиметься, лише якщо SSSD зібрано з
+підтримкою systemd і якщо служби активуються за допомогою або сокетів або
+D-Bus.
+                        </para>
+                        <para>
+                            Типове значення: 300
+                        </para>
+                    </listitem>
+                </varlistentry>
+                <varlistentry>
+                    <term>cache_first</term>
+                    <listitem>
+                        <para>
+                            Цей параметр визначає, чи слід відповідачеві опитати усі кеші до надсилання
+запису до модулів засобів надання даних.
+                        </para>
+                        <para condition="with_files_provider">
+                            Типове значення: false
+                        </para>
+                        <para condition="without_files_provider">
+                            Типове значення: true
+                        </para>
+                    </listitem>
+                </varlistentry>
+            </variablelist>
+        </refsect2>
+
+        <refsect2 id='NSS'>
+            <title>Параметри налаштування NSS</title>
+            <para>
+                Цими параметрами можна скористатися для налаштування служби Name Service
+Switch (NSS або перемикання служби визначення назв).
+            </para>
+            <variablelist>
+                <varlistentry>
+                    <term>enum_cache_timeout (ціле число)</term>
+                    <listitem>
+                        <para>
+                            Тривалість зберігання переліків (запитів щодо даних всіх користувачів) у
+кеші nss_sss у секундах
+                        </para>
+                        <para>
+                            Типове значення: 120
+                        </para>
+                    </listitem>
+                </varlistentry>
+                <varlistentry>
+                    <term>entry_cache_nowait_percentage (ціле число)</term>
+                    <listitem>
+                        <para>
+                            Можна встановити кеш записів для автоматичного оновлення записів у фоновому
+режимі, якщо запит щодо них надходить у визначений у відсотках від
+entry_cache_timeout для домену період часу.
+                        </para>
+                        <para>
+                            Наприклад, якщо entry_cache_timeout домену встановлено у значення 30s, а
+entry_cache_nowait_percentage — у значення 50 (у відсотках), записи, які
+надійдуть за 15 секунд після останнього оновлення кешу, буде повернуто
+одразу, але SSSD оновить власний кеш, отже наступні запити очікуватимуть на
+розблокування після оновлення кешу.
+                        </para>
+                        <para>
+                            Коректними значеннями цього параметра є 0-99. Ці значення відповідають
+відсоткам entry_cache_timeout для кожного з доменів. З міркувань покращення
+швидкодії це відсоткове значення ніколи не зменшуватиме час очікування
+nowait до значення, меншого за 10 секунд. Визначення значення 0 вимкне цю
+можливість.
+                        </para>
+                        <para>
+                            Типове значення: 50
+                        </para>
+                    </listitem>
+                </varlistentry>
+                <varlistentry>
+                    <term>entry_negative_timeout (ціле число)</term>
+                    <listitem>
+                        <para>
+                            Визначає кількість секунд, протягом яких nss_sss має кешувати негативні
+результати пошуку у кеші (тобто запити щодо некоректних записів у базі
+даних, зокрема неіснуючих) перед повторним запитом до сервера обробки.
+                        </para>
+                        <para>
+                            Типове значення: 15
+                        </para>
+                    </listitem>
+                </varlistentry>
+                <varlistentry>
+                    <term>local_negative_timeout (ціле число)</term>
+                    <listitem>
+                        <para>
+                            Визначає кількість секунд, протягом яких nss_sss має зберігати негативні
+результати пошуку у кеші користувачів і груп, перші ніж намагатися знову
+шукати їх за допомогою модуля надання даних. Встановлення значення 0 вимикає
+цю можливість.
+                        </para>
+                        <para>
+                            Типове значення: 14400 (4 години)
+                        </para>
+                    </listitem>
+                </varlistentry>
+                <varlistentry>
+                    <term>filter_users, filter_groups (рядок)</term>
+                    <listitem>
+                        <para>
+                            Виключити певних користувачів або групи зі списку отримання даних з бази
+даних NSS sss. Таке виключення може бути корисним для облікових записів
+керування системою. Цей параметр також можна встановлювати для кожного з
+доменів окремо або включити до нього імена користувачів повністю для
+обмеження списку користувачами лише з певного домену або за назвою
+реєстраційного запису користувача (UPN).
+                        </para>
+                        <para>
+                            ЗАУВАЖЕННЯ: параметр filter_groups не впливає на успадкованість вкладених
+записів групи, оскільки фільтрування відбувається після їх передавання для
+повернення за допомогою NSS. Наприклад, у списку групи, що містить вкладену
+групу, яку відфільтровано, залишатимуться записи користувачів
+відфільтрованої групи.
+                        </para>
+                        <para>
+                            Типове значення: root
+                        </para>
+                    </listitem>
+                </varlistentry>
+                <varlistentry>
+                    <term>filter_users_in_groups (булеве значення)</term>
+                    <listitem>
+                        <para>
+                            Якщо ви хочете, щоб фільтровані користувачі залишалися учасниками груп,
+встановіть для цього параметра значення «false».
+                        </para>
+                        <para>
+                            Типове значення: true
+                        </para>
+                    </listitem>
+                </varlistentry>
+                <xi:include xmlns:xi="http://www.w3.org/2001/XInclude" href="include/override_homedir.xml" />
+                <xi:include xmlns:xi="http://www.w3.org/2001/XInclude" href="include/homedir_substring.xml" />
+                <varlistentry>
+                    <term>fallback_homedir (рядок)</term>
+                    <listitem>
+                        <para>
+                            Встановити типовий шаблон назви домашнього каталогу користувача, якщо цей
+каталог не вказано явним чином засобом надання даних домену.
+                        </para>
+                        <para>
+                            Можливі варіанти значень для цього параметра збігаються з варіантами значень
+для параметра override_homedir.
+                        </para>
+                        <para>
+                            приклад: <programlisting>
+fallback_homedir = /home/%u
+                            </programlisting>
+                        </para>
+                        <para>
+                            Типове значення: не встановлено (без замін для невстановлених домашніх
+каталогів)
+                        </para>
+                    </listitem>
+                </varlistentry>
+                <varlistentry>
+                    <term>override_shell (рядок)</term>
+                    <listitem>
+                        <para>
+                            Перевизначити командну оболонку входу до системи для усіх користувачів. Цей
+параметр має пріоритет над будь-якими іншими параметрами визначення
+командної оболонки, якщо він діє. Його можна встановити або у розділі [nss]
+або для кожного з доменів окремо.
+                        </para>
+                        <para>
+                            Типове значення: не встановлено (SSSD використовуватиме значення, отримане
+від LDAP)
+                        </para>
+                    </listitem>
+                </varlistentry>
+                <varlistentry>
+                    <term>allowed_shells (рядок)</term>
+                    <listitem>
+                        <para>
+                            Обмежити перелік можливих командних оболонок користувачів вказаними. Порядок
+визначення оболонки є таким:
+                        </para>
+                        <para>
+                            1. Якщо оболонку вказано у <quote>/etc/shells</quote>, її буде використано.
+                        </para>
+                        <para>
+                            2. Якщо оболонку вказано у списку allowed_shells, але її немає у списку
+<quote>/etc/shells</quote>, буде використано значення параметра
+shell_fallback.
+                        </para>
+                        <para>
+                            3. Якщо оболонку не вказано у списку allowed_shells і її немає у списку
+<quote>/etc/shells</quote>, буде використано оболонку nologin.
+                        </para>
+                        <para>
+                            Для визначення будь-якої командної оболонки можна скористатися шаблоном
+заміни (*).
+                        </para>
+                        <para>
+                            Значенням (*) варто користуватися, якщо ви хочете скористатися
+shell_fallback, коли командної оболонки користувача немає у «/etc/shells», а
+супровід списку усіх командних оболонок у allowed_shells є надто марудною
+справою.
+                        </para>
+                        <para>
+                            Порожній рядок оболонки буде передано без обробки до libc.
+                        </para>
+                        <para>
+                            Читання <quote>/etc/shells</quote> виконується лише під час запуску SSSD,
+тобто у разі встановлення нової оболонки слід перезапустити SSSD.
+                        </para>
+                        <para>
+                            Типове значення: не встановлено. Автоматично використовується оболонка
+користувача.
+                        </para>
+                    </listitem>
+                </varlistentry>
+                <varlistentry>
+                    <term>vetoed_shells (рядок)</term>
+                    <listitem>
+                        <para>
+                            Замінити всі записи цих оболонок на shell_fallback
+                        </para>
+                    </listitem>
+                </varlistentry>
+                <varlistentry>
+                    <term>shell_fallback (рядок)</term>
+                    <listitem>
+                        <para>
+                            Типова оболонка, яку слід використовувати, якщо дозволеної оболонки у
+системі не встановлено.
+                        </para>
+                        <para>
+                            Типове значення: /bin/sh
+                        </para>
+                    </listitem>
+                </varlistentry>
+                <varlistentry>
+                    <term>default_shell</term>
+                    <listitem>
+                        <para>
+                            Типова командна оболонка, яку буде використано, якщо засобом надання даних
+не було повернуто назви оболонки під час пошуку. Цей параметр можна вказати
+або на загальному рівні у розділі [nss], або окремо для кожного з доменів.
+                        </para>
+                        <para>
+                            Типове значення: не встановлено (повернути NULL, якщо оболонку не
+встановлено і покластися на libc у визначенні потрібного програмі значення,
+зазвичай /bin/sh)
+                        </para>
+                    </listitem>
+                </varlistentry>
+                <varlistentry>
+                    <term>get_domains_timeout (ціле число)</term>
+                    <listitem>
+                        <para>
+                            Визначає час у секундах, протягом якого список піддоменів вважатиметься
+чинним.
+                        </para>
+                        <para>
+                            Типове значення: 60
+                        </para>
+                    </listitem>
+                </varlistentry>
+                <varlistentry>
+                    <term>memcache_timeout (ціле число)</term>
+                    <listitem>
+                        <para>
+                            Визначає час у секундах, протягом якого список піддоменів вважатиметься
+чинним. Встановлення для цього параметра нульового значення вимикає кеш у
+пам'яті.
+                        </para>
+                        <para>
+                            Типове значення: 300
+                        </para>
+                        <para>
+                            Попередження: вимикання кешу у пам'яті значно погіршить швидкодію SSSD, ним
+варто користуватися лише для тестування.
+                        </para>
+                        <para>
+                            ЗАУВАЖЕННЯ: якщо для змінної середовища SSS_NSS_USE_MEMCACHE встановлено
+значення «NO», клієнтські програми не використовуватимуть fast у кеші у
+пам’яті.
+                        </para>
+                    </listitem>
+                </varlistentry>
+                <varlistentry>
+                    <term>memcache_size_passwd (ціле число)</term>
+                    <listitem>
+                        <para>
+                            Розмір (у мегабайтах) таблиці даних, розміщеної у швидкому кеші у пам'яті,
+для запитів passwd. Встановлення розміру 0 вимкне кеш у пам'яті для passwd.
+                        </para>
+                        <para>
+                            Типове значення: 8
+                        </para>
+                        <para>
+                            Попередження: вимикання кешу у пам'яті або дуже малий його розмір можуть
+значно погіршити швидкодію SSSD.
+                        </para>
+                        <para>
+                            ЗАУВАЖЕННЯ: якщо для змінної середовища SSS_NSS_USE_MEMCACHE встановлено
+значення «NO», клієнтські програми не використовуватимуть fast у кеші у
+пам’яті.
+                        </para>
+                    </listitem>
+                </varlistentry>
+                <varlistentry>
+                    <term>memcache_size_group (ціле число)</term>
+                    <listitem>
+                        <para>
+                            Розмір (у мегабайтах) таблиці даних, розміщеної у швидкому кеші у пам'яті,
+для запитів group. Встановлення розміру 0 вимкне кеш у пам'яті для group.
+                        </para>
+                        <para>
+                            Типове значення: 6
+                        </para>
+                        <para>
+                            Попередження: вимикання кешу у пам'яті або дуже малий його розмір можуть
+значно погіршити швидкодію SSSD.
+                        </para>
+                        <para>
+                            ЗАУВАЖЕННЯ: якщо для змінної середовища SSS_NSS_USE_MEMCACHE встановлено
+значення «NO», клієнтські програми не використовуватимуть fast у кеші у
+пам’яті.
+                        </para>
+                    </listitem>
+                </varlistentry>
+                <varlistentry>
+                    <term>memcache_size_initgroups (ціле число)</term>
+                    <listitem>
+                        <para>
+                            Розмір (у мегабайтах) таблиці даних, розміщеної у швидкому кеші у пам'яті,
+для запитів initgroups. Встановлення розміру 0 вимкне кеш у пам'яті для
+initgroups.
+                        </para>
+                        <para>
+                            Типове значення: 10
+                        </para>
+                        <para>
+                            Попередження: вимикання кешу у пам'яті або дуже малий його розмір можуть
+значно погіршити швидкодію SSSD.
+                        </para>
+                        <para>
+                            ЗАУВАЖЕННЯ: якщо для змінної середовища SSS_NSS_USE_MEMCACHE встановлено
+значення «NO», клієнтські програми не використовуватимуть fast у кеші у
+пам’яті.
+                        </para>
+                    </listitem>
+                </varlistentry>
+                <varlistentry>
+                    <term>memcache_size_sid (ціле число)</term>
+                    <listitem>
+                        <para>
+                            Розмір (у мегабайтах) таблиці даних, розміщеної у швидкому кеші у пам'яті,
+для пов'язаних із SID запитів. У поточній версії передбачено кешування у
+швидкій пам'яті лише для запитів SID-за-ID і ID-за-SID. Встановлення розміру
+0 вимкне кеш у пам'яті для SID.
+                        </para>
+                        <para>
+                            Типове значення: 6
+                        </para>
+                        <para>
+                            Попередження: вимикання кешу у пам'яті або дуже малий його розмір можуть
+значно погіршити швидкодію SSSD.
+                        </para>
+                        <para>
+                            ЗАУВАЖЕННЯ: якщо для змінної середовища SSS_NSS_USE_MEMCACHE встановлено
+значення «NO», клієнтські програми не використовуватимуть fast у кеші у
+пам’яті.
+                        </para>
+                    </listitem>
+                </varlistentry>
+                <varlistentry>
+                    <term>user_attributes (рядок)</term>
+                    <listitem>
+                        <para>
+                            Деякі із додаткових запитів до відповідача NSS можуть повертати більшу
+кількість атрибутів, ніж це визначено POSIX для інтерфейсу NSS. Списком
+атрибутів можна керувати за допомогою цього параметра. Обробка виконується у
+той самий спосіб, що і для параметра «user_attributes» відповідача InfoPipe
+(див. <citerefentry> <refentrytitle>sssd-ifp</refentrytitle>
+<manvolnum>5</manvolnum> </citerefentry>, щоб дізнатися більше), але без
+типових значень.
+                        </para>
+                        <para>
+                            Щоб полегшити налаштовування відповідач NSS перевірятиме параметр InfoPipe
+на те, чи не встановлено його для відповідача NSS.
+                        </para>
+                        <para>
+                            Типове значення: не встановлено, резервне значення визначається за
+параметром InfoPipe
+                        </para>
+                    </listitem>
+                </varlistentry>
+                <varlistentry>
+                    <term>pwfield (рядок)</term>
+                    <listitem>
+                        <para>
+                            Значення, яке повертають операції NSS, які повертають записи користувачів чи
+груп, для поля <quote>password</quote>.
+                        </para>
+                        <para>
+                            Типове значення: <quote>*</quote>
+                        </para>
+                        <para>
+                            Зауваження: значення цього параметра можна встановлювати для кожного з
+доменів окремо. При цьому це значення матиме вищий пріоритет за значення у
+розділі [nss].
+                        </para>
+                        <para>
+                            Default: <quote>not set</quote> (remote domains), <phrase
+condition="with_files_provider"> <quote>x</quote> (the files domain),
+</phrase> <quote>x</quote> (proxy domain with nss_files and sssd-shadowutils
+target)
+                        </para>
+                    </listitem>
+                </varlistentry>
+            </variablelist>
+        </refsect2>
+        <refsect2 id='PAM'>
+            <title>Параметри налаштування PAM</title>
+            <para>
+                Цими параметрами можна скористатися для налаштування служби Pluggable
+Authentication Module (PAM або блокового модуля розпізнавання).
+            </para>
+            <variablelist>
+                <varlistentry>
+                    <term>offline_credentials_expiration (ціле число)</term>
+                    <listitem>
+                        <para>
+                            У разі неможливості встановлення з’єднання з сервером розпізнавання визначає
+тривалість зберігання кешованих входів (у днях з часу останнього успішного
+входу до системи).
+                        </para>
+                        <para>
+                            Типове значення: 0 (без обмежень)
+                        </para>
+                    </listitem>
+                </varlistentry>
+
+                <varlistentry>
+                    <term>offline_failed_login_attempts (ціле число)</term>
+                    <listitem>
+                        <para>
+                            У разі неможливості встановлення з’єднання з сервером розпізнавання визначає
+дозволену кількість спроб входу з визначенням помилкового пароля.
+                        </para>
+                        <para>
+                            Типове значення: 0 (без обмежень)
+                        </para>
+                    </listitem>
+                </varlistentry>
+
+                <varlistentry>
+                    <term>offline_failed_login_delay (ціле число)</term>
+                    <listitem>
+                        <para>
+                            Час у хвилинах, який має пройти між досягненням значення
+offline_failed_login_attempts і повторним вмиканням можливості входу до
+системи.
+                        </para>
+                        <para>
+                            Якщо встановлено значення 0, користувач не зможе пройти розпізнавання у
+автономному режимі, якщо буде досягнуто значення
+offline_failed_login_attempts. Лише успішне розпізнавання може знову
+увімкнути можливість автономного розпізнавання.
+                        </para>
+                        <para>
+                            Типове значення: 5
+                        </para>
+                    </listitem>
+                </varlistentry>
+
+                <varlistentry>
+                    <term>pam_verbosity (ціле число)</term>
+                    <listitem>
+                        <para>
+                            Керує типами повідомлень, які буде показано користувачеві під час
+розпізнавання. Чим більшим є значення, тим більше повідомлень буде показано.
+                        </para>
+                        <para>
+                             У поточній версії sssd передбачено підтримку таких значень:
+                        </para>
+                        <para>
+                             <emphasis>0</emphasis>: не показувати жодних повідомлень
+                        </para>
+                        <para>
+                             <emphasis>1</emphasis>: показувати лише важливі повідомлення
+                        </para>
+                        <para>
+                             <emphasis>2</emphasis>: показувати всі інформаційні повідомлення
+                        </para>
+                        <para>
+                             <emphasis>3</emphasis>: показувати всі повідомлення та діагностичні дані
+                        </para>
+                        <para>
+                            Типове значення: 1
+                        </para>
+                    </listitem>
+                </varlistentry>
+
+                <varlistentry>
+                    <term>pam_response_filter (рядок)</term>
+                    <listitem>
+                        <para>
+                            Список рядків, відокремлених комами, за допомогою якого можна вилучати
+(фільтрувати) дані, які надсилаються відповідачем PAM до модуля PAM
+pam_sss. Існують різні тип відповідей, які надсилаються до pam_sss,
+наприклад повідомлення, які показуються користувачеві, або змінні
+середовища, які слід встановлювати за допомогою pam_sss.
+                        </para>
+                        <para>
+                            Хоча повідомленнями вже можна керувати за допомогою параметра pam_verbosity,
+за допомогою цього параметра можна відфільтрувати також інші типи
+повідомлень.
+                        </para>
+                        <para>
+                            У поточній версії передбачено підтримку таких фільтрів: <variablelist>
+                                <varlistentry><term>ENV</term>
+                                    <listitem><para>Не надсилати жодних змінних середовища до жодної служби.</para></listitem>
+                                </varlistentry>
+                                <varlistentry><term>ENV:назва_змінної</term>
+                                    <listitem><para>Не надсилати змінної середовища назва_змінної до жодної служби.</para></listitem>
+                                </varlistentry>
+                                <varlistentry><term>ENV:назва_змінної:служба</term>
+                                    <listitem><para>Не надсилати змінної середовища назва_змінної до вказаної служби.</para></listitem>
+                                </varlistentry>
+                            </variablelist>
+                        </para>
+                        <para>
+                            Список рядків може бути або списком фільтрів, які встановлюють список
+фільтрування і перевизначають типові фільтри, або до кожного елемента списку
+може бути додано префікс «+» або «-», який додасть фільтр до наявного
+типового фільтрування або вилучить його з наявного типового фільтрування,
+відповідно. Будь ласка, зауважте, або що усі елементи списку повинні мати
+префікси «+» або «-», або усі елементи списку не повинні містити
+префіксів. Змішування стилів вважається помилкою.
+                        </para>
+                        <para>
+                            Типове значення: ENV:KRB5CCNAME:sudo, ENV:KRB5CCNAME:sudo-i
+                        </para>
+                        <para>
+                            Приклад: -ENV:KRB5CCNAME:sudo-i вилучає фільтр зі списку типових
+                        </para>
+                    </listitem>
+                </varlistentry>
+
+                <varlistentry>
+                  <term>pam_id_timeout (ціле число)</term>
+                  <listitem>
+                    <para>
+                      Для кожного з запитів PAM під час роботи SSSD система SSSD зробить спробу
+негайно оновити кешовані дані щодо профілю користувача з метою переконатися,
+що розпізнавання виконується на основі найсвіжіших даних.
+                    </para>
+                    <para>
+                      Повний обмін даними сеансу PAM може включати декілька запитів PAM, зокрема
+для керування обліковими записами та відкриття сеансів. За допомогою цього
+параметра можна керувати (для окремих клієнтів-програм) тривалістю (у
+секундах) кешування даних профілю з метою уникнути повторних викликів засобу
+надання даних профілів.
+                    </para>
+                    <para>
+                      Типове значення: 5
+                    </para>
+                  </listitem>
+                </varlistentry>
+
+                <varlistentry>
+                  <term>pam_pwd_expiration_warning (ціле число)</term>
+                  <listitem>
+                    <para>
+                      Показати попередження за вказану кількість днів перед завершенням дії
+пароля.
+                    </para>
+                    <para>
+                      Будь ласка, зауважте, що сервер обробки має надати дані щодо часу завершення
+дії пароля. Якщо ці дані не буде виявлено, sssd не зможе показати
+попередження.
+                    </para>
+                    <para>
+                      Якщо встановлено нульове значення, цей фільтр не застосовуватиметься, тобто
+якщо з сервера обробки надійде попередження щодо завершення строку дії, його
+буде автоматично показано.
+                    </para>
+                    <para>
+                      Цей параметр може бути перевизначено встановленням параметра
+<emphasis>pwd_expiration_warning</emphasis> для окремого домену.
+                    </para>
+                    <para>
+                      Типове значення: 0
+                    </para>
+                  </listitem>
+                </varlistentry>
+                <varlistentry>
+                    <term>get_domains_timeout (ціле число)</term>
+                    <listitem>
+                        <para>
+                            Визначає час у секундах, протягом якого список піддоменів вважатиметься
+чинним.
+                        </para>
+                        <para>
+                            Типове значення: 60
+                        </para>
+                    </listitem>
+                </varlistentry>
+                <varlistentry>
+                    <term>pam_trusted_users (рядок)</term>
+                    <listitem>
+                        <para>
+                            Визначає список відокремлених комами значень UID або імен користувачів, яким
+дозволено виконувати обмін даними PAM із довіреними доменами. Користувачі,
+яких не включено до цього списку, можуть отримувати доступ лише до доменів,
+які позначено як загальнодоступні (public) за допомогою
+<quote>pam_public_domains</quote>. Імена користувачів перетворюються на UID
+під час запуску системи.
+                        </para>
+                        <para>
+                            Типове значення: типово усі користувачі вважаються надійними (довіреними)
+                        </para>
+                        <para>
+                            Будь ласка, зауважте, що користувачеві з UID 0 завжди мають доступ до
+відповідача PAM, навіть якщо користувача немає у списку pam_trusted_users.
+                        </para>
+                    </listitem>
+                </varlistentry>
+                <varlistentry>
+                    <term>pam_public_domains (рядок)</term>
+                    <listitem>
+                        <para>
+                            Визначає список назв доменів, відокремлених комами, доступ до яких можуть
+отримувати навіть ненадійні користувачі.
+                        </para>
+                        <para>
+                            Визначено два спеціальних значення параметра pam_public_domains:
+                        </para>
+                        <para>
+                            all (Ненадійним користувачам відкрито доступ до усіх доменів у відповідачі
+PAM.)
+                        </para>
+                        <para>
+                            none (Ненадійним користувачам заборонено доступ до усіх доменів PAM у
+відповідачі.)
+                        </para>
+                        <para>
+                            Типове значення: none
+                        </para>
+                    </listitem>
+                </varlistentry>
+                <varlistentry>
+                    <term>pam_account_expired_message (рядок)</term>
+                    <listitem>
+                        <para>
+                           Надає змогу встановити нетипове повідомлення щодо завершення строку дії, яке
+замінити типове повідомлення «Доступ заборонено» («Permission denied»).
+                        </para>
+                        <para>
+                            Зауваження: будь ласка, зверніть увагу на те, що повідомлення буде виведено
+для служби SSH, лише якщо pam_verbosity не встановлено у значення 3
+(показувати усі повідомлення і діагностичні дані).
+                        </para>
+                        <para>
+                            приклад: <programlisting>
+pam_account_expired_message = Account expired, please contact help desk.
+                            </programlisting>
+                        </para>
+                        <para>
+                            Типове значення: none
+                        </para>
+                    </listitem>
+                </varlistentry>
+                <varlistentry>
+                    <term>pam_account_locked_message (рядок)</term>
+                    <listitem>
+                        <para>
+                           Надає змогу встановити нетипове повідомлення щодо блокування, яке замінити
+типове повідомлення «Доступ заборонено» («Permission denied»).
+                        </para>
+                        <para>
+                            приклад: <programlisting>
+pam_account_locked_message = Account locked, please contact help desk.
+                            </programlisting>
+                        </para>
+                        <para>
+                            Типове значення: none
+                        </para>
+                    </listitem>
+                </varlistentry>
+                <varlistentry condition="build_passkey">
+                    <term>pam_passkey_auth (bool)</term>
+                    <listitem>
+                        <para>
+                            Enable passkey device based authentication.
+                        </para>
+                        <para>
+                            Типове значення: False
+                        </para>
+                    </listitem>
+                </varlistentry>
+                <varlistentry condition="build_passkey">
+                    <term>passkey_debug_libfido2 (bool)</term>
+                    <listitem>
+                        <para>
+                            Enable libfido2 library debug messages.
+                        </para>
+                        <para>
+                            Типове значення: False
+                        </para>
+                    </listitem>
+                </varlistentry>
+                <varlistentry>
+                    <term>pam_cert_auth (булеве значення)</term>
+                    <listitem>
+                        <para>
+                            Увімкнути сертифікацію на основі розпізнавання за смарткартками. Оскільки це
+потребує додаткового обміну даним із смарткарткою, що затримує процес
+розпізнавання, типово таку сертифікацію вимкнено.
+                        </para>
+                        <para>
+                            Типове значення: False
+                        </para>
+                    </listitem>
+                </varlistentry>
+                <varlistentry>
+                    <term>pam_cert_db_path (рядок)</term>
+                    <listitem>
+                        <para>
+                            Шлях до бази даних сертифікатів.
+                        </para>
+                        <para>
+                            Типове значення:
+                            <itemizedlist>
+                                <listitem><para>/etc/sssd/pki/sssd_auth_ca_db.pem (шлях до файла із довіреними сертифікатами
+служб сертифікації у форматі PEM)
+                                          </para>
+                                </listitem>
+                            </itemizedlist>
+                        </para>
+                    </listitem>
+                </varlistentry>
+                <varlistentry>
+                    <term>pam_cert_verification (рядок)</term>
+                    <listitem>
+                        <para>
+                            За допомогою цього параметра можна виконати тонке налаштовування перевірки
+сертифікатів PAM на основі списку параметрів, відокремлених комами. Ці
+параметри перевизначають значення <quote>certificate_verification</quote> у
+розділі <quote>[sssd]</quote>. Підтримуваними параметрами є ті самі, що і у
+<quote>certificate_verification</quote>.
+                        </para>
+                        <para>
+                            приклад: <programlisting>
+pam_cert_verification = partial_chain
+                            </programlisting>
+                        </para>
+                        <para>
+                            Типове значення: не встановлено, тобто слід використовувати типовий параметр
+<quote>certificate_verification</quote>, який визначено у розділі
+<quote>[sssd]</quote>.
+                        </para>
+                    </listitem>
+                </varlistentry>
+                <varlistentry>
+                    <term>p11_child_timeout (ціле число)</term>
+                    <listitem>
+                        <para>
+                            Час у секундах, протягом якого pam_sss очікуватиме на завершення роботи
+p11_child.
+                        </para>
+                        <para>
+                            Типове значення: 10
+                        </para>
+                    </listitem>
+                </varlistentry>
+                <varlistentry condition="build_passkey">
+                    <term>passkey_child_timeout (integer)</term>
+                    <listitem>
+                        <para>
+                            How many seconds will the PAM responder wait for passkey_child to finish.
+                        </para>
+                        <para>
+                            Типове значення: 15
+                        </para>
+                    </listitem>
+                </varlistentry>
+                <varlistentry>
+                    <term>pam_app_services (рядок)</term>
+                    <listitem>
+                        <para>
+                            Визначає, яким службам PAM дозволено встановлювати з'єднання із доменами
+типу <quote>application</quote>
+                        </para>
+                        <para>
+                            Типове значення: не встановлено
+                        </para>
+                    </listitem>
+                </varlistentry>
+                <varlistentry>
+                    <term>pam_p11_allowed_services (ціле число)</term>
+                    <listitem>
+                        <para>
+                            Список назв служб PAM, відокремлених комами, для яких буде дозволено
+використання смарткарток.
+                        </para>
+                        <para>
+                            Можна додати іншу назву служби PAM до типового набору за допомогою
+конструкції «+назва_служби» або явним чином вилучити назву служби PAM з
+типового набору за допомогою конструкції «-назва_служби». Наприклад, щоб
+замінити типову назву служби PAM для розпізнавання за смарткарткою
+(наприклад, «login») з нетиповою назвою служби PAM (наприклад,
+«my_pam_service»), вам слід скористатися такими налаштуваннями: <programlisting>
+pam_p11_allowed_services = +my_pam_service, -login
+                            </programlisting>
+                        </para>
+                        <para>
+                            Типове значення: типовий набір назв служб PAM складається з таких значень:
+                            <itemizedlist>
+                                <listitem>
+                                    <para>
+                                        login
+                                    </para>
+                                </listitem>
+                                <listitem>
+                                    <para>
+                                        su
+                                    </para>
+                                </listitem>
+                                <listitem>
+                                    <para>
+                                        su-l
+                                    </para>
+                                </listitem>
+                                <listitem>
+                                    <para>
+                                        gdm-smartcard
+                                    </para>
+                                </listitem>
+                                <listitem>
+                                    <para>
+                                        gdm-password
+                                    </para>
+                                </listitem>
+                                <listitem>
+                                    <para>
+                                        kdm
+                                    </para>
+                                </listitem>
+                                <listitem>
+                                    <para>
+                                        sudo
+                                    </para>
+                                </listitem>
+                                <listitem>
+                                    <para>
+                                        sudo-i
+                                    </para>
+                                </listitem>
+                                <listitem>
+                                    <para>
+                                        gnome-screensaver
+                                    </para>
+                                </listitem>
+                            </itemizedlist>
+                        </para>
+                    </listitem>
+                </varlistentry>
+                <varlistentry>
+                    <term>p11_wait_for_card_timeout (ціле число)</term>
+                    <listitem>
+                        <para>
+                            Якщо обов'язковим є розпізнавання за смарткарткою, кількість додаткових
+секунд, які буде додано до p11_child_timeout, протягом яких відповідача PAM
+має чекати на вставлення смарткартки.
+                        </para>
+                        <para>
+                            Типове значення: 60
+                        </para>
+                    </listitem>
+                </varlistentry>
+                <varlistentry>
+                    <term>p11_uri (рядок)</term>
+                    <listitem>
+                        <para>
+                            Адреса PKCS#11 (докладніший опис можна знайти у RFC-7512), якою можна
+скористатися для обмеження переліку пристроїв, які використовуються для
+розпізнавання за допомогою смарткартки. Типово, p11_child зі складу SSSD
+виконуватиме пошук слоту PKCS#11 (зчитувача), для якого встановлено прапорці
+«removable» («портативний») і читатиме сертифікати із першого знайденого
+слоту вставленого ключа. Якщо з комп'ютером буде з'єднано декілька
+зчитувачів, можна скористатися p11_uri для повідомлення p11_child про те, що
+слід використовувати вказаний зчитувач.
+                        </para>
+                        <para>
+                            Приклади: <programlisting>
+p11_uri = pkcs11:slot-description=My%20Smartcard%20Reader
+                            </programlisting> або <programlisting>
+p11_uri = pkcs11:library-description=OpenSC%20smartcard%20framework;slot-id=2
+                            </programlisting> Для визначення відповідної адреси,
+ознайомтеся із файлом діагностичних даних p11_child. Крім того, можна
+скористатися програмою GnuTLS p11tool, наприклад, із параметром --list-all,
+який покаже і адреси PKCS#11.
+                        </para>
+                        <para>
+                            Типове значення: none
+                        </para>
+                    </listitem>
+                </varlistentry>
+                <varlistentry>
+                    <term>pam_initgroups_scheme</term>
+                    <listitem>
+                        <para>
+                            Відповідач PAM може примусово застосувати пошук у мережі, щоб отримати
+поточну групу членства користувача, який намагається увійти до системи. Цей
+параметр керує тим, коли це слід робити. Передбачено можливість встановлення
+таких значень: <variablelist>
+                            <varlistentry><term>always</term>
+                                <listitem><para>Завжди виконувати пошук у мережі. Будь ласка, зауважте, що pam_id_timeout
+буде все одно застосовано</para></listitem>
+                            </varlistentry>
+                            <varlistentry><term>no_session</term>
+                                <listitem><para>Виконувати пошук у мережі, лише якщо немає активного сеансу користувача,
+тобто якщо користувач не працює у системі</para></listitem>
+                            </varlistentry>
+                            <varlistentry><term>never</term>
+                                <listitem><para>Ніколи не виконувати пошук у мережі примусово, використовувати дані з кешу,
+аж доки вони не застаріють</para></listitem>
+                            </varlistentry>
+                            </variablelist>
+                        </para>
+                        <para>
+                            Типове значення: no_session
+                        </para>
+                    </listitem>
+                </varlistentry>
+                <varlistentry>
+                    <term>pam_gssapi_services</term>
+                    <listitem>
+                        <para>
+                            Відокремлений комами список служб PAM, яким дозволено намагатися виконати
+розпізнавання за GSSAPI за допомогою модуля pam_sss_gss.so.
+                        </para>
+                        <para>
+                            Щоб вимкнути розпізнавання за GSSAPI, встановіть для цього параметра
+значення <quote>-</quote> (дефіс).
+                        </para>
+                        <para>
+                            Зауваження: значення цього параметра можна встановлювати для кожного з
+доменів окремо, при цьому перевизначивши значення у розділі [pam]. Його
+також можна встановити для довіреного домену, при цьому значення матиме
+вищий пріоритет за значення у розділі домену.
+                        </para>
+                        <para>
+                            Приклад: <programlisting>
+pam_gssapi_services = sudo, sudo-i
+                            </programlisting>
+                        </para>
+                        <para>
+                            Типове значення: - (розпізнавання за GSSAPI вимкнено)
+                        </para>
+                    </listitem>
+                </varlistentry>
+                <varlistentry>
+                    <term>pam_gssapi_check_upn</term>
+                    <listitem>
+                        <para>
+                            Якщо має значення True, SSSD потребуватиме можливості прив'язки
+реєстраційних даних користувача Kerberos, якого успішно розпізнано за
+допомогою GSSAPI, до користувача, якого розпізнано. Розпізнавання
+вважатиметься неуспішним, якщо перевірку не буде пройдено.
+                        </para>
+                        <para>
+                            Якщо має значення False, розпізнаними вважатимуться усі користувачі, які
+зможуть отримати бажаний квиток служби.
+                        </para>
+                        <para>
+                            Зауваження: значення цього параметра можна встановлювати для кожного з
+доменів окремо, при цьому перевизначивши значення у розділі [pam]. Його
+також можна встановити для довіреного домену, при цьому значення матиме
+вищий пріоритет за значення у розділі домену.
+                        </para>
+                        <para>
+                            Типове значення: True
+                        </para>
+                    </listitem>
+                </varlistentry>
+                <varlistentry>
+                    <term>pam_gssapi_indicators_map</term>
+                    <listitem>
+                        <para>
+                           Для доступу до служби PAM, у якій можна спробувати розпізнавання GSSAPI з
+використанням модуля pam_sss_gss.so, у квитку Kerberos має бути список
+відокремлених комами індикаторів розпізнавання.
+                        </para>
+                        <para>
+                           Кожен з елементів списку може бути або назвою індикатора розпізнавання, або
+парою <quote>служба:індикатор</quote>. Для доступу до будь-якої служби PAM,
+яку налаштовано на використання з <option>pam_gssapi_services</option>
+будуть потрібні індикатори без префіксів назв служб PAM. Список-результат
+індикаторів для окремої служби PAM буде перевірено за індикаторами у квитку
+Kerberos під час розпізнавання у pam_sss_gss.so. Буд-який індикатор з
+квитка, який відповідає списку-результату індикаторів для служби PAM,
+отримає доступ. Якщо відповідність не буде встановлено для жодного з
+індикаторів, доступ буде заборонено. Якщо список-результат індикаторів для
+служби PAM є порожнім, перевірка не закриватиме доступ для жодного запису.
+                        </para>
+                        <para>
+                           Щоб вимкнути перевірку за індикаторами для розпізнавання за GSSAPI,
+встановіть для цього параметра значення <quote>-</quote> (дефіс). Щоб
+вимкнути перевірку для певної служби PAM, додайте <quote>служба:-</quote>.
+                        </para>
+                        <para>
+                           Зауваження: значення цього параметра можна встановлювати для кожного з
+доменів окремо, при цьому перевизначивши значення у розділі [pam]. Його
+також можна встановити для довіреного домену, при цьому значення матиме
+вищий пріоритет за значення у розділі домену.
+                        </para>
+                        <para>
+                            У розгорнутих системах IPA з Kerberos передбачено підтримку таких
+індикаторів розпізнавання:
+                            <itemizedlist>
+                                <listitem>
+                                    <para>pkinit — попереднє розпізнавання за допомогою сертифікатів X.509, які
+зберігаються у файлах або на смарткартках.</para>
+                                </listitem>
+                                <listitem>
+                                    <para>hardened — попереднє розпізнавання SPAKE або будь-яке попереднє
+розпізнавання у обгортці каналу FAST.</para>
+                                </listitem>
+                                <listitem>
+                                    <para>radius — попереднє розпізнавання за допомогою сервера RADIUS.</para>
+                                </listitem>
+                                <listitem>
+                                    <para>otp — попереднє розпізнавання за допомогою інтегрованого двофакторного
+розпізнавання (2FA або одноразовий пароль, OTP) в IPA.</para>
+                                </listitem>
+                                <listitem>
+                                    <para>idp — попереднє розпізнавання за допомогою зовнішнього надавача даних
+профілів.</para>
+                                </listitem>
+                            </itemizedlist>
+                        </para>
+                        <para>
+                            Приклад: щоб встановити обов'язковість для доступу до служб SUDO отримання
+користувачами їхніх квитків Kerberos із попереднім розпізнаванням за
+сертифікатом X.509 (PKINIT), встановіть <programlisting>
+pam_gssapi_indicators_map = sudo:pkinit, sudo-i:pkinit
+                            </programlisting>
+                        </para>
+                        <para>
+                            Типове значення: не встановлено (немає потреби у використанні індикаторів
+розпізнавання)
+                        </para>
+                    </listitem>
+                </varlistentry>
+            </variablelist>
+        </refsect2>
+
+        <refsect2 id='SUDO' condition="with_sudo">
+            <title>Параметри налаштування SUDO</title>
+            <para>
+                Цими параметрами можна скористатися для налаштовування служби sudo. Докладні
+настанови щодо налаштовування <citerefentry>
+<refentrytitle>sudo</refentrytitle> <manvolnum>8</manvolnum> </citerefentry>
+на роботу з <citerefentry> <refentrytitle>sssd</refentrytitle>
+<manvolnum>8</manvolnum> </citerefentry> можна знайти на сторінці довідника
+<citerefentry> <refentrytitle>sssd-sudo</refentrytitle>
+<manvolnum>5</manvolnum> </citerefentry>.
+            </para>
+            <variablelist>
+                <varlistentry>
+                    <term>sudo_timed (булеве значення)</term>
+                    <listitem>
+                        <para>
+                            Визначає, чи слід обробляти атрибути sudoNotBefore і sudoNotAfter,
+призначені для визначення часових обмежень для записів sudoers.
+                        </para>
+                        <para>
+                            Типове значення: false
+                        </para>
+                    </listitem>
+                </varlistentry>
+            </variablelist>
+            <variablelist>
+                <varlistentry>
+                    <term>sudo_threshold (ціле число)</term>
+                    <listitem>
+                        <para>
+                            Максимальна кількість застарілих правил, які можна оновлювати за один
+крок. Якщо кількість застарілих правил є нижчою за це порогове значення,
+правила буде оновлено за допомогою механізму <quote>rules
+refresh</quote>. Якщо порогове значення перевищено, замість нього буде
+використано <quote>full refresh</quote> з правил sudo. Це порогове значення
+також стосується команди sudo IPA та групових пошуків команд.
+                        </para>
+                        <para>
+                            Типове значення: 50
+                        </para>
+                    </listitem>
+                </varlistentry>
+            </variablelist>
+        </refsect2>
+
+        <refsect2 id='AUTOFS' condition="with_autofs">
+            <title>Параметри налаштування AUTOFS</title>
+            <para>
+                Цими параметрами можна скористатися для налаштування служби autofs.
+            </para>
+            <variablelist>
+                <varlistentry>
+                    <term>autofs_negative_timeout (ціле число)</term>
+                    <listitem>
+                        <para>
+                            Визначає кількість секунд, протягом яких відповідач autofs має кешувати
+негативні результати пошуку у кеші (тобто запити щодо некоректних записів у
+базі даних, зокрема неіснуючих) перед повторним запитом до сервера обробки.
+                        </para>
+                        <para>
+                            Типове значення: 15
+                        </para>
+                    </listitem>
+                </varlistentry>
+            </variablelist>
+            <xi:include xmlns:xi="http://www.w3.org/2001/XInclude" href="include/autofs_restart.xml" />
+        </refsect2>
+
+        <refsect2 id='SSH' condition="with_ssh">
+            <title>Параметри налаштувань SSH</title>
+            <para>
+                Цими параметрами можна скористатися для налаштування служби SSH.
+            </para>
+            <variablelist>
+                <varlistentry>
+                    <term>ssh_hash_known_hosts (булеве значення)</term>
+                    <listitem>
+                        <para>
+                            Чи слід хешувати назви та адреси вузлів у керованому файлі known_hosts.
+                        </para>
+                        <para>
+                            Типове значення: false
+                        </para>
+                    </listitem>
+                </varlistentry>
+                <varlistentry>
+                    <term>ssh_known_hosts_timeout (ціле число)</term>
+                    <listitem>
+                        <para>
+                            Кількість секунд, протягом яких запису вузла зберігатиметься у керованому
+файлі known_hosts після надсилання запиту щодо ключів вузла.
+                        </para>
+                        <para>
+                            Типове значення: 180
+                        </para>
+                    </listitem>
+                </varlistentry>
+                <varlistentry>
+                    <term>ssh_use_certificate_keys (булеве значення)</term>
+                    <listitem>
+                        <para>
+                            Якщо встановлено значення true, <command>sss_ssh_authorizedkeys</command>
+поверне ключі ssh, які походять від відкритого ключа сертифікатів X.509, які
+також зберігаються у записі користувача. Докладніше про це на сторінці
+підручника <citerefentry>
+<refentrytitle>sss_ssh_authorizedkeys</refentrytitle>
+<manvolnum>1</manvolnum> </citerefentry>.
+                        </para>
+                        <para>
+                            Типове значення: true
+                        </para>
+                    </listitem>
+                </varlistentry>
+                <varlistentry>
+                    <term>ssh_use_certificate_matching_rules (рядок)</term>
+                    <listitem>
+                        <para>
+                            Типово, відповідач SSH буде використовувати усі доступні правила
+встановлення відповідності сертифікатів для фільтрування сертифікатів, тому
+ключі SSH будуть створюватися лише на основі відповідних правилам
+сертифікатів. За допомогою цього параметра можна обмежити перелік
+використаних правил на основі списку назв правил прив'язки і відповідності,
+відокремлених комами. Усі інші правила буде проігноровано.
+                        </para>
+                        <para>
+                            Передбачено два спеціальних ключових слова «all_rules» та «no_rules», які
+вмикають або вимикають усі правила, відповідно. Останній випадок означає, що
+сертифікати не фільтруватимуться, а ключі ssh буде створено з усіх коректних
+сертифікатів.
+                        </para>
+                        <para>
+                            Якщо не налаштовано жодного правила, «all_rules» увімкне типове правило, яке
+дозволяє використання усіх сертифікатів, які придатні для розпізнавання
+клієнта. Це та сама поведінка, що для відповідача PAM, якщо увімкнено
+розпізнавання за сертифікатом.
+                        </para>
+                        <para>
+                            Визначення назви правила, якої не існує, вважатиметься помилкою. Якщо в
+результаті не буде вибрано жодного правила, усі сертифікати буде
+проігноровано.
+                        </para>
+                        <para>
+                            Типове значення: не встановлено, рівнозначне до «all_rules» — буде
+використано усі знайдені правила або типове правило
+                        </para>
+                    </listitem>
+                </varlistentry>
+                <varlistentry>
+                    <term>ca_db (рядок)</term>
+                    <listitem>
+                        <para>
+                            Шлях до сховища довірених сертифікатів CA. Параметр використовується для
+перевірки сертифікатів користувачів до отримання з них відкритих ключів ssh.
+                        </para>
+                        <para>
+                            Типове значення:
+                            <itemizedlist>
+                                <listitem><para>/etc/sssd/pki/sssd_auth_ca_db.pem (шлях до файла із довіреними сертифікатами
+служб сертифікації у форматі PEM)
+                                          </para>
+                                </listitem>
+                            </itemizedlist>
+                        </para>
+                    </listitem>
+                </varlistentry>
+            </variablelist>
+        </refsect2>
+
+        <refsect2 id='PAC_RESPONDER' condition="with_pac_responder">
+            <title>Параметри налаштування відповідача PAC</title>
+            <para>
+                Відповідач PAC працює разом з додатком даних уповноваження для
+sssd_pac_plugin.so зі складу MIT Kerberos та засобу надання даних
+піддоменів. Цей додаток надсилає до відповідача PAC дані PAC під час
+розпізнавання за допомогою GSSAPI. Засіб надання даних піддоменів збирає
+дані щодо діапазонів SID і ID домену, до якого долучено клієнт, та
+віддалених надійних доменів з локального контролера доменів. Якщо PAC
+декодовано і визначено, виконуються деякі з таких дій:
+                <itemizedlist>
+                    <listitem><para>Якщо у кеші немає даних віддаленого користувача, запис цих даних буде
+створено. UID буде визначено за допомогою SID, надійні домени матимуть UPG,
+а gid матиме те саме значення, що і UID. Дані домашнього каталогу буде
+засновано на значенні параметра subdomain_homedir. Типово, для командної
+оболонки буде вибрано порожнє значення, тобто використовуватимуться типові
+параметри системи. Значення для оболонки можна змінити за допомогою
+параметра default_shell.</para>
+                    </listitem>
+                    <listitem><para>Якщо існують SID груп з доменів, про які відомо SSSD, запис користувача буде
+додано до цих груп.
+                    </para></listitem>
+                </itemizedlist>
+            </para>
+            <para>
+                Цими параметрами можна скористатися для налаштовування відповідача PAC.
+            </para>
+            <variablelist>
+                <varlistentry>
+                    <term>allowed_uids (рядок)</term>
+                    <listitem>
+                        <para>
+                            Визначає список значень UID або імен користувачів, відокремлених
+комами. Користувачам з цього списку буде дозволено доступ до відповідача
+PAC. UID за іменами користувачів визначатимуться під час запуску.
+                        </para>
+                        <para>
+                            Типове значення: 0 (доступ до відповідача PAC має лише адміністративний
+користувач (root))
+                        </para>
+                        <para>
+                            Будь ласка, зауважте, що хоча типово використовується UID 0, значення UID
+буде перевизначено на основі цього параметра. Якщо ви хочете надати
+адміністративному користувачеві (root) доступ до відповідача PAC, що може
+бути типовим варіантом, вам слід додати до списку UID з правами доступу
+запис 0.
+                        </para>
+                    </listitem>
+                </varlistentry>
+                <varlistentry>
+                    <term>pac_lifetime (ціле число)</term>
+                    <listitem>
+                        <para>
+                            Строк дії запису PAC у секундах. Якщо PAC є чинним, дані PAC можна
+використовувати для визначення членства користувача у групі.
+                        </para>
+                        <para>
+                            Типове значення: 300
+                        </para>
+                    </listitem>
+                </varlistentry>
+                <varlistentry>
+                    <term>pac_check (рядок)</term>
+                    <listitem>
+                        <para>
+                            Застосувати додаткові перевірки до PAC квитка Kerberos, який доступний у
+доменах Active Directory і FreeIPA, якщо це налаштовано. Будь ласка,
+зауважте, що має бути увімкнено перевірку квитка Kerberos, щоб мати змогу
+перевірити PAC, тобто для параметра krb5_validate має бути встановлено
+значення «True», яке є типовим для надавачів даних IPA і AD. Якщо для
+krb5_validate встановлено значення «False», перевірки PAC буде пропущено.
+			</para>
+                        <para>
+			    Вказаними нижче параметрами можна скористатися окремо або у форматі списку
+відокремлених комами значень: <variablelist>
+                            <varlistentry>
+                                <term>no_check</term>
+                                <listitem>
+                                    <para>PAC не повинно бути, і навіть якщо він є, ніяких додаткових перевірок
+виконано не буде.</para>
+                                </listitem>
+                            </varlistentry>
+                            <varlistentry>
+                                <term>pac_present</term>
+                                <listitem>
+                                    <para>PAC має бути наявним у квитку служби, запит щодо якого SSSD надсилає за
+допомогою TGT користувача. Якщо PAC є недоступним, спроба розпізнавання
+зазнає невдачі.
+                                    </para>
+                                </listitem>
+                            </varlistentry>
+                            <varlistentry>
+                                <term>check_upn</term>
+                                <listitem>
+                                    <para>Якщо PAC є, перевірити, чи є узгодженими дані назви реєстраційного запису
+користувача (UPN).</para>
+                                </listitem>
+                            </varlistentry>
+                            <varlistentry>
+                                <term>check_upn_allow_missing</term>
+                                <listitem>
+                                    <para>Цей параметр слід використовувати разом і «check_upn» і обробляє випадок,
+коли для UPN встановлено значення на боці сервера, але його не прочитано
+SSSD. Типовим прикладом є домен FreeIPA, де для «ldap_user_principal»
+встановлено назву атрибуту, якого не існує. Так типово роблять для того, щоб
+обійти проблеми в обробці промислових реєстраційних записів. Втім, це
+виправлено вже певний час, і FreeIPA може обробляти промислові реєстраційні
+записи без проблем. У встановленні «ldap_user_principal» більше немає
+потреби.</para>
+                                    <para>У поточній версії цей параметр типово увімкнено, щоб уникнути регресій у
+подібних середовищах. До системного журналу та діагностичного журналу SSSD
+буде додано повідомлення у випадку виявлення UPN у PAC, але не у кеші
+SSSD. Щоб уникнути появи такого повідомлення, слід перевірити, чи можна
+вилучити параметр «ldap_user_principal». Якщо це неможливо, вилучення
+«check_upn» призведе до пропускання перевірки, і повідомлення зникне з
+журналу.</para>
+                                </listitem>
+                            </varlistentry>
+                            <varlistentry>
+                                <term>upn_dns_info_present</term>
+                                <listitem>
+                                    <para>PAC має містити буфер UPN-DNS-INFO; неявним чином встановлює «check_upn».</para>
+                                </listitem>
+                            </varlistentry>
+                            <varlistentry>
+                                <term>check_upn_dns_info_ex</term>
+                                <listitem>
+                                    <para>Якщо є PAC і доступним є розширення буфера UPN-DNS-INFO, перевірити, чи є
+узгодженими дані у розширенні.</para>
+                                </listitem>
+                            </varlistentry>
+                            <varlistentry>
+                                <term>upn_dns_info_ex_present</term>
+                                <listitem>
+                                    <para>PAC має містити розширення буфера UPN-DNS-INFO; неявним чином встановлює
+«check_upn_dns_info_ex», «upn_dns_info_present» і «check_upn».
+                                    </para>
+                                </listitem>
+                            </varlistentry>
+                            </variablelist>
+                        </para>
+                        <para>
+                            Типове значення: no_check (для надавачів AD та IPA — «check_upn,
+check_upn_allow_missing, check_upn_dns_info_ex»)
+                        </para>
+                    </listitem>
+                </varlistentry>
+            </variablelist>
+        </refsect2>
+
+        <refsect2 id='SESSION_RECORDING'>
+            <title>Параметри налаштовування запису сеансів</title>
+            <para>
+                Запис сеансів працює у зв'язці з <citerefentry>
+<refentrytitle>tlog-rec-session</refentrytitle> <manvolnum>8</manvolnum>
+</citerefentry>, частиною пакунка tlog, для запису даних, які бачать і
+вводять користувачі після входу до текстового термінала. Див. також
+<citerefentry> <refentrytitle>sssd-session-recording</refentrytitle>
+<manvolnum>5</manvolnum> </citerefentry>.
+            </para>
+            <para>
+                Цими параметрами можна скористатися для налаштовування запису сеансів.
+            </para>
+            <variablelist>
+                <varlistentry>
+                    <term>scope (рядок)</term>
+                    <listitem>
+                        <para>
+                            Один із вказаних нижче рядків, що визначають область запису сеансів:
+<variablelist>
+                                <varlistentry>
+                                    <term>"none"</term>
+                                    <listitem>
+                                        <para>
+                                            Користувачі не записуються.
+                                        </para>
+                                    </listitem>
+                                </varlistentry>
+                                <varlistentry>
+                                    <term>"some"</term>
+                                    <listitem>
+                                        <para>
+                                            Запис вестиметься для користувачів і груп, вказаних параметрами
+<replaceable>користувачі</replaceable> і <replaceable>групи</replaceable>.
+                                        </para>
+                                    </listitem>
+                                </varlistentry>
+                                <varlistentry>
+                                    <term>"all"</term>
+                                    <listitem>
+                                        <para>
+                                            Усі користувачі записуються.
+                                        </para>
+                                    </listitem>
+                                </varlistentry>
+                            </variablelist>
+                        </para>
+                        <para>
+                            Типове значення: none
+                        </para>
+                    </listitem>
+                </varlistentry>
+                <varlistentry>
+                    <term>users (рядок)</term>
+                    <listitem>
+                        <para>
+                            Список відокремлених комами записів користувачів, для яких увімкнено
+записування сеансів. Належність до списку визначатиметься за іменами,
+повернутими NSS, тобто після можливих замін пробілів, змін регістру символів
+тощо.
+                        </para>
+                        <para>
+                            Типове значення: порожнє. Не відповідає жодному користувачу.
+                        </para>
+                    </listitem>
+                </varlistentry>
+                <varlistentry>
+                    <term>groups (рядок)</term>
+                    <listitem>
+                        <para>
+                            Список відокремлених комами записів груп, для користувачів яких буде
+увімкнено записування сеансів. Належність до списку визначатиметься за
+назвами, повернутими NSS, тобто після можливих замін пробілів, змін регістру
+символів тощо.
+                        </para>
+                        <para>
+                            Зауваження: використання цього параметра (встановлення для нього будь-якого
+значення) значно впливає на швидкодію, оскільки некешований запит щодо
+користувача потребує отримання і встановлення відповідності груп, до яких
+належить користувач.
+                        </para>
+                        <para>
+                            Типове значення: порожнє. Не відповідає жодній групі.
+                        </para>
+                    </listitem>
+                </varlistentry>
+                <varlistentry>
+                    <term>exclude_users (рядок)</term>
+                    <listitem>
+                        <para>
+                            Список відокремлених комами записів користувачів, яких має бути виключено із
+записування. Може бути застосовано лише разом із «scope=all».
+                        </para>
+                        <para>
+                            Типове значення: порожнє. Не виключати жодного користувача.
+                        </para>
+                    </listitem>
+                </varlistentry>
+                <varlistentry>
+                    <term>exclude_groups (рядок)</term>
+                    <listitem>
+                        <para>
+                            Список відокремлених комами записів груп, учасників яких має бути виключено
+із записування. Може бути застосовано лише разом із «scope=all».
+                        </para>
+                        <para>
+                            Зауваження: використання цього параметра (встановлення для нього будь-якого
+значення) значно впливає на швидкодію, оскільки некешований запит щодо
+користувача потребує отримання і встановлення відповідності груп, до яких
+належить користувач.
+                        </para>
+                        <para>
+                            Типове значення: порожнє. Не виключати жодної групи.
+                        </para>
+                    </listitem>
+                </varlistentry>
+            </variablelist>
+        </refsect2>
+
+    </refsect1>
+
+    <refsect1 id='domain-sections'>
+        <title>РОЗДІЛИ ДОМЕНІВ</title>
+        <para>
+            Ці параметри налаштування може бути вказано у розділі налаштування домену,
+тобто у розділі з назвою
+<quote>[domain/<replaceable>НАЗВА</replaceable>]</quote> <variablelist>
+                <varlistentry>
+                    <term>enabled</term>
+                    <listitem>
+                        <para>
+                            Явним чином увімкнути або вимкнути домен. Якщо має значення
+<quote>true</quote>, домен завжди <quote>увімкнено</quote>. Якщо має
+значення <quote>false</quote>, домен завжди <quote>вимкнено</quote>. Якщо
+значення цього параметра не встановлено, домен увімкнено, лише якщо його
+вказано у параметрі доменів у розділі <quote>[sssd]</quote>.
+                        </para>
+                    </listitem>
+                </varlistentry>
+
+                <varlistentry>
+                    <term>domain_type (рядок)</term>
+                    <listitem>
+                        <para>
+                            Визначає, чи призначено домен для використання клієнтами у стандарті POSIX,
+зокрема NSS, або програмами, які не потребують наявності або створення даних
+POSIX. Інтерфейсам та інструментам операційних систем доступні лише об'єкти
+з доменів POSIX.
+                        </para>
+                        <para>
+                            Дозволеними значеннями цього параметра є <quote>posix</quote> і
+<quote>application</quote>.
+                        </para>
+                        <para>
+                            Домени POSIX доступні для усіх служб. Домени програм доступні лише з
+відповідача InfoPipe (див. <citerefentry>
+<refentrytitle>sssd-ifp</refentrytitle> <manvolnum>5</manvolnum>
+</citerefentry>) і відповідача PAM.
+                        </para>
+                        <para>
+                            ЗАУВАЖЕННЯ: належне тестування у поточній версії виконано лише для доменів
+application з <quote>id_provider=ldap</quote>.
+                        </para>
+                        <para>
+                            Щоб ознайомитися із простим способом налаштовування не-POSIX доменів, будь
+ласка, ознайомтеся із розділом <quote>Домени програм</quote>.
+                        </para>
+                        <para>
+                            Типове значення: posix
+                        </para>
+                    </listitem>
+                </varlistentry>
+
+                <varlistentry>
+                    <term>min_id,max_id (ціле значення)</term>
+                    <listitem>
+                        <para>
+                            Обмеження UID і GID для домену. Якщо у домені міститься запис, що не
+відповідає цим обмеженням, його буде проігноровано.
+                        </para>
+                        <para>
+                            Для користувачів зміна цього параметра вплине на основне обмеження
+GID. Запис користувача не буде повернуто до NSS, якщо UID або основний GID
+не належать вказаному діапазону. Записи користувачів, які не є учасниками
+основної групи і належать діапазону, буде виведено у звичайному режимі.
+                        </para>
+                        <para>
+                            Ці обмеження на ідентифікатори стосуються і збереження записів до кешу, не
+лише повернення записів за назвою або ідентифікатором.
+                        </para>
+                        <para>
+                            Типові значення: 1 для min_id, 0 (без обмежень) для max_id
+                        </para>
+                    </listitem>
+                </varlistentry>
+
+                <varlistentry>
+                    <term>enumerate (булеве значення)</term>
+                    <listitem>
+                        <para>
+                            Визначає, чи можна нумерувати домен, тобто, чи може домен створити список
+усіх користувачів і груп, які у ньому містяться. Зауважте, що вмикання
+нумерування не є обов'язковим для показу вторинних груп. Цей параметр може
+мати такі значення:
+                        </para>
+                        <para>
+                            TRUE = користувачі і групи нумеруються
+                        </para>
+                        <para>
+                            FALSE = не використовувати нумерацію для цього домену
+                        </para>
+                        <para>
+                            Типове значення: FALSE
+                        </para>
+                        <para>
+                            Нумерування домену потребує від SSSD отримання і зберігання усіх записів
+користувачів і груп із віддаленого сервера.
+                        </para>
+                        <para>
+                            Зауваження: вмикання нумерації помірно знизить швидкодію SSSD на час
+виконання нумерації. Нумерація може тривати до декількох хвилин після
+запуску SSSD. Протягом виконання нумерації окремі запити щодо даних буде
+надіслано безпосередньо до LDAP, хоча і з уповільненням через навантаження
+системи виконанням нумерації. Збереження великої кількості записів до кешу
+після завершення нумерації може також значно навантажити процесор, оскільки
+повторне визначення параметрів участі також іноді є складним завданням. Це
+може призвести до проблем із отриманням відповіді від процесу
+<quote>sssd_be</quote> або навіть перезапуску усього засобу стеження.
+                        </para>
+                        <para>
+                            Під час першого виконання нумерації запити щодо повних списків користувачів
+та груп можуть не повертати жодних результатів, аж доки нумерацію не буде
+завершено.
+                        </para>
+                        <para>
+                            Крім того, вмикання нумерації може збільшити час, потрібний для виявлення
+того, що мережеве з’єднання розірвано, оскільки потрібне буде збільшення
+часу очікування для забезпечення успішного завершення пошуків нумерації. Щоб
+отримати додаткову інформацію, зверніться до сторінок довідника (man)
+відповідного використаного засобу обробки ідентифікаторів (id_provider).
+                        </para>
+                        <para>
+                            З вказаних вище причин не рекомендуємо вам вмикати нумерацію, особливо у
+об’ємних середовищах.
+                        </para>
+                    </listitem>
+                </varlistentry>
+
+                <varlistentry>
+                    <term>subdomain_enumerate (рядок)</term>
+                    <listitem>
+                        <para>
+                            Визначає, чи слід нумерувати усі автоматично виявлені надійні (довірені)
+домени. Підтримувані значення: <variablelist>
+                                <varlistentry>
+                                    <term>all</term>
+                                    <listitem><para>Усі виявлені надійні домени буде пронумеровано</para></listitem>
+                                </varlistentry>
+                                <varlistentry>
+                                    <term>none</term>
+                                    <listitem><para>Нумерація виявлених надійних доменів не виконуватиметься</para></listitem>
+                                </varlistentry>
+                            </variablelist>
+Якщо потрібно, можна вказати список з однієї або декількох назв надійних
+доменів, для яких буде увімкнено нумерацію.
+                        </para>
+                        <para>
+                            Типове значення: none
+                        </para>
+                    </listitem>
+                </varlistentry>
+
+                <varlistentry>
+                    <term>entry_cache_timeout (ціле число)</term>
+                    <listitem>
+                        <para>
+                            Кількість секунд, протягом яких nss_sss вважатиме записи чинними, перш ніж
+надсилати повторний запит до сервера
+                        </para>
+                        <para>
+                            Дані щодо часових позначок завершення строку дії записів кешу зберігаються
+як атрибути окремих об’єктів у кеші. Тому зміна часу очікування на дані у
+кеші впливає лише на нові записи та записи, строк дії яких вичерпано. Для
+примусового оновлення записів, які вже було кешовано, вам слід запустити
+програму <citerefentry> <refentrytitle>sss_cache</refentrytitle>
+<manvolnum>8</manvolnum> </citerefentry>.
+                        </para>
+                        <para>
+                            Типове значення: 5400
+                        </para>
+                    </listitem>
+                </varlistentry>
+
+                <varlistentry>
+                    <term>entry_cache_user_timeout (ціле число)</term>
+                    <listitem>
+                        <para>
+                            Кількість секунд, протягом яких nss_sss вважатиме записи користувачів
+чинними, перш ніж надсилати повторний запит до сервера
+                        </para>
+                        <para>
+                            Типове значення: entry_cache_timeout
+                        </para>
+                    </listitem>
+                </varlistentry>
+
+                <varlistentry>
+                    <term>entry_cache_group_timeout (ціле число)</term>
+                    <listitem>
+                        <para>
+                            Кількість секунд, протягом яких nss_sss вважатиме записи груп чинними, перш
+ніж надсилати повторний запит до сервера
+                        </para>
+                        <para>
+                            Типове значення: entry_cache_timeout
+                        </para>
+                    </listitem>
+                </varlistentry>
+
+                <varlistentry>
+                    <term>entry_cache_netgroup_timeout (ціле число)</term>
+                    <listitem>
+                        <para>
+                            Кількість секунд, протягом яких nss_sss вважатиме записи мережевих груп
+чинними, перш ніж надсилати повторний запит до сервера
+                        </para>
+                        <para>
+                            Типове значення: entry_cache_timeout
+                        </para>
+                    </listitem>
+                </varlistentry>
+
+                <varlistentry>
+                    <term>entry_cache_service_timeout (ціле число)</term>
+                    <listitem>
+                        <para>
+                            Кількість секунд, протягом яких nss_sss вважатиме записи служб чинними, перш
+ніж надсилати повторний запит до сервера
+                        </para>
+                        <para>
+                            Типове значення: entry_cache_timeout
+                        </para>
+                    </listitem>
+                </varlistentry>
+
+                <varlistentry>
+                    <term>entry_cache_resolver_timeout (ціле число)</term>
+                    <listitem>
+                        <para>
+                            Кількість секунд, протягом яких nss_sss вважатиме записи вузлів і мереж
+чинними, перш ніж надсилати повторний запит до сервера
+                        </para>
+                        <para>
+                            Типове значення: entry_cache_timeout
+                        </para>
+                    </listitem>
+                </varlistentry>
+
+                <varlistentry condition="with_sudo">
+                    <term>entry_cache_sudo_timeout (ціле число)</term>
+                    <listitem>
+                        <para>
+                            Кількість секунд, протягом яких sudo вважатиме правила чинними, перш ніж
+надсилати повторний запит до сервера
+                        </para>
+                        <para>
+                            Типове значення: entry_cache_timeout
+                        </para>
+                    </listitem>
+                </varlistentry>
+
+                <varlistentry condition="with_autofs">
+                    <term>entry_cache_autofs_timeout (ціле число)</term>
+                    <listitem>
+                        <para>
+                            Кількість секунд, протягом яких служба autofs вважатиме карти автомонтування
+чинними, перш ніж надсилати повторний запит до сервера
+                        </para>
+                        <para>
+                            Типове значення: entry_cache_timeout
+                        </para>
+                    </listitem>
+                </varlistentry>
+
+                <varlistentry condition="with_ssh">
+                    <term>entry_cache_ssh_host_timeout (ціле число)</term>
+                    <listitem>
+                        <para>
+                            Кількість секунд, протягом яких слід зберігати ключ ssh вузла після
+оновлення. Іншими словами, параметр визначає тривалість зберігання ключа
+вузла у кеші.
+                        </para>
+                        <para>
+                            Типове значення: entry_cache_timeout
+                        </para>
+                    </listitem>
+                </varlistentry>
+
+                <varlistentry>
+                    <term>entry_cache_computer_timeout (ціле число)</term>
+                    <listitem>
+                        <para>
+                            Кількість секунд, протягом яких слід зберігати запис локального комп'ютера,
+перш ніж надсилати запит до модуля обробки даних знову
+                        </para>
+                        <para>
+                            Типове значення: entry_cache_timeout
+                        </para>
+                    </listitem>
+                </varlistentry>
+
+                <varlistentry>
+                    <term>refresh_expired_interval (ціле число)</term>
+                    <listitem>
+                        <para>
+                            Визначає кількість секунд, протягом яких SSSD має очікувати до запуску
+завдання з оновлення у фоновому режимі записів кешу, строк дії яких
+вичерпано або майже вичерпано.
+                        </para>
+                        <para>
+                            Під час фонового оновлення виконуватиметься обробка записів користувачів,
+груп та мережевих груп у кеші. для записів користувачів, для яких
+виконувалися дії з ініціювання груп (отримання даних щодо участі користувача
+у групах, які типово виконуються під час входу до системи), буде оновлено і
+запис користувача, і дані щодо участі у групах.
+                        </para>
+                        <para>
+                            Цей параметр автоматично успадковується для усіх довірених доменів.
+                        </para>
+                        <para>
+                            Варто визначити для цього параметра значення 3/4 * entry_cache_timeout.
+                        </para>
+                        <para>
+                            Запис кешу буде оновлено фоновим завданням, якщо минуло 2/3 часу очікування
+на застарівання кешу. Якщо у кеші вже є записи, фонове завдання звернеться
+до значень часу очікування на застарівання початкових записів, а не
+поточного значення у налаштуваннях. Це може призвести до ситуації, у якій
+здаватиметься, що фонове завдання із оновлення записів не працює. Так
+зроблено спеціально для удосконалення роботи в автономному режимі і
+повторного використання наявних коректних записів у кеші. Щоб зробити
+використання внесеної зміни постійним, користувачу варто вручну скасувати
+чинність наявного кешу.
+                        </para>
+                        <para>
+                            Типове значення: 0 (вимкнено)
+                        </para>
+                    </listitem>
+                </varlistentry>
+
+                <varlistentry>
+                    <term>cache_credentials (булеве значення)</term>
+                    <listitem>
+                        <para>
+                            Determines if user credentials are also cached in the local LDB cache. The
+cached credentials refer to passwords, which includes the first (long term)
+factor of two-factor authentication, not other authentication
+mechanisms. Passkey and Smartcard authentications are expected to work
+offline as long as a successful online authentication is recorded in the
+cache without additional configuration.
+                        </para>
+                        <para>
+                            Take a note that while credentials are stored as a salted SHA512 hash, this
+still potentially poses some security risk in case an attacker manages to
+get access to a cache file (normally requires privileged access) and to
+break a password using brute force attack.
+                        </para>
+                        <para>
+                            Типове значення: FALSE
+                        </para>
+                    </listitem>
+                </varlistentry>
+
+                <varlistentry>
+                    <term>cache_credentials_minimal_first_factor_length (ціле число)</term>
+                    <listitem>
+                        <para>
+                            Якщо використано двофакторне розпізнавання (2FA) і реєстраційні дані мають
+зберігатися, це значення визначає мінімальну довжину першого фактора
+розпізнавання (довготривалого пароля), який має бути збережено у форматі
+контрольної суми SHA512 у кеші.
+                        </para>
+                        <para>
+                            Таким чином забезпечується уникнення випадку, коли короткі PIN-коди
+заснованої на PIN-кодах схеми 2FA зберігаються у кеші, що робить їх простою
+мішенню атак із перебиранням паролів.
+                        </para>
+                        <para>
+                            Типове значення: 8
+                        </para>
+                    </listitem>
+                </varlistentry>
+
+                <varlistentry>
+                    <term>account_cache_expiration (ціле число)</term>
+                    <listitem>
+                        <para>
+                            Кількість днів, протягом яких записи залишатимуться у кеші після успішного
+входу до системи до вилучення під час спорожнення кешу. 0 — не вилучати
+записи. Значення цього параметра має бути більшим або рівним значенню
+offline_credentials_expiration.
+                        </para>
+                        <para>
+                            Типове значення: 0 (без обмежень)
+                        </para>
+                    </listitem>
+                </varlistentry>
+                <varlistentry>
+                  <term>pwd_expiration_warning (ціле число)</term>
+                  <listitem>
+                    <para>
+                      Показати попередження за вказану кількість днів перед завершенням дії
+пароля.
+                    </para>
+                    <para>
+                        Якщо встановлено нульове значення, цей фільтр не застосовуватиметься, тобто
+якщо з сервера обробки надійде попередження щодо завершення строку дії, його
+буде автоматично показано.
+                    </para>
+                    <para>
+                      Будь ласка, зауважте, що сервер обробки має надати дані щодо часу завершення
+дії пароля. Якщо ці дані не буде виявлено, sssd не зможе показати
+попередження. Крім того для цього сервера може бути вказано службу надання
+даних розпізнавання.
+                    </para>
+                    <para>
+                      Типове значення: 7 (Kerberos), 0 (LDAP)
+                    </para>
+                  </listitem>
+                </varlistentry>
+
+                <varlistentry>
+                    <term>id_provider (рядок)</term>
+                    <listitem>
+                        <para>
+                            Засіб надання даних ідентифікації, який використовується для цього
+домену. Серед підтримуваних засобів такі:
+                        </para>
+                        <para>
+                            «proxy»: підтримка застарілого модуля надання даних NSS.
+                        </para>
+                        <para condition="with_files_provider">
+                            <quote>files</quote>: засіб надання даних FILES. Докладніше про те, як
+працює віддзеркалення локальних користувачів і груп у SSSD, можна дізнатися
+зі сторінки підручника <citerefentry>
+<refentrytitle>sssd-files</refentrytitle> <manvolnum>5</manvolnum>
+</citerefentry>.
+                        </para>
+                        <para>
+                            <quote>ldap</quote>: засіб LDAP. Докладніше про налаштовування LDAP можна
+дізнатися з довідки до <citerefentry>
+<refentrytitle>sssd-ldap</refentrytitle> <manvolnum>5</manvolnum>
+</citerefentry>.
+                        </para>
+                        <para>
+                            <quote>ipa</quote>: FreeIPA and Red Hat Identity Management provider. See
+<citerefentry> <refentrytitle>sssd-ipa</refentrytitle>
+<manvolnum>5</manvolnum> </citerefentry> for more information on configuring
+FreeIPA.
+                        </para>
+                        <para>
+                            <quote>ad</quote>: засіб Active Directory. Докладніші відомості щодо
+налаштовування Active Directory викладено у довіднику з <citerefentry>
+<refentrytitle>sssd-ad</refentrytitle> <manvolnum>5</manvolnum>
+</citerefentry>.
+                        </para>
+                    </listitem>
+                </varlistentry>
+
+                <varlistentry>
+                    <term>use_fully_qualified_names (булеве значення)</term>
+                    <listitem>
+                        <para>
+                            Використовувати ім’я та домен повністю (у форматі, визначеному
+full_name_format домену) як ім’я користувача у системі, що повідомляється
+NSS.
+                        </para>
+                        <para>
+                            Якщо встановлено значення TRUE, всі запити до цього домену мають
+використовувати повні назви. Наприклад, якщо використано домен LOCAL, який
+містить запис користувача «test» user, <command>getent passwd test</command>
+не покаже користувача, а <command>getent passwd test@LOCAL</command> покаже.
+                        </para>
+                        <para>
+                            ЗАУВАЖЕННЯ: цей параметр не впливатиме на пошук у мережевих групах через
+тенденцію до включення до таких груп вкладених мережевих груп. Для мережевих
+груп, якщо задано неповну назву, буде виконано пошук у всіх доменах.
+                        </para>
+                        <para>
+                            Типове значення: FALSE (TRUE для довірених доменів і піддоменів або якщо
+використано default_domain_suffix)
+                        </para>
+                    </listitem>
+                </varlistentry>
+                <varlistentry>
+                    <term>ignore_group_members (булеве значення)</term>
+                    <listitem>
+                        <para>
+                            Не повертати записи учасників груп для пошуків груп.
+                        </para>
+                        <para>
+                            Якщо встановлено значення TRUE, сервер LDAP не запитуватиме дані щодо
+атрибутів участі у групах, а списки учасників груп не повертаються під час
+обробки запитів щодо пошуку груп, зокрема <citerefentry>
+<refentrytitle>getgrnam</refentrytitle> <manvolnum>3</manvolnum>
+</citerefentry> або <citerefentry> <refentrytitle>getgrgid</refentrytitle>
+<manvolnum>3</manvolnum> </citerefentry>. Отже, <quote>getent group
+$groupname</quote> поверне запитану групу так, наче вона була порожня.
+                        </para>
+                        <para>
+                            Вмикання цього параметра може також значно пришвидшити перевірки засобу
+надання доступу для участі у групі, особливо для груп, у яких багато
+учасників.
+                        </para>
+                        <para>
+                            Цей параметр також може бути встановлено для окремого піддомену або
+успадковано за допомогою <emphasis>subdomain_inherit</emphasis>.
+                        </para>
+                        <para>
+                            Типове значення: FALSE
+                        </para>
+                    </listitem>
+                </varlistentry>
+                <varlistentry>
+                    <term>auth_provider (рядок)</term>
+                    <listitem>
+                        <para>
+                            Служба розпізнавання, яку використано для цього домену. Серед підтримуваних
+служб розпізнавання:
+                        </para>
+                        <para>
+                            <quote>ldap</quote> — вбудоване розпізнавання LDAP. Докладніші відомості
+щодо налаштовування LDAP викладено у довіднику з <citerefentry>
+<refentrytitle>sssd-ldap</refentrytitle> <manvolnum>5</manvolnum>
+</citerefentry>.
+                        </para>
+                        <para>
+                            <quote>krb5</quote> — вбудоване розпізнавання Kerberos. Докладніші відомості
+щодо налаштовування Kerberos викладено у довіднику з <citerefentry>
+<refentrytitle>sssd-krb5</refentrytitle> <manvolnum></manvolnum>
+</citerefentry>.
+                        </para>
+                        <para>
+                            <quote>ipa</quote>: FreeIPA and Red Hat Identity Management provider. See
+<citerefentry> <refentrytitle>sssd-ipa</refentrytitle>
+<manvolnum>5</manvolnum> </citerefentry> for more information on configuring
+FreeIPA.
+                        </para>
+                        <para>
+                            <quote>ad</quote>: засіб Active Directory. Докладніші відомості щодо
+налаштовування Active Directory викладено у довіднику з <citerefentry>
+<refentrytitle>sssd-ad</refentrytitle> <manvolnum>5</manvolnum>
+</citerefentry>.
+                        </para>
+                        <para>
+                            <quote>proxy</quote> — трансльоване розпізнавання у іншій системі PAM.
+                        </para>
+                        <para>
+                            <quote>none</quote> — вимкнути розпізнавання повністю.
+                        </para>
+                        <para>
+                            Типове значення: буде використано <quote>id_provider</quote>, якщо цей
+спосіб встановлено і можлива обробка запитів щодо розпізнавання.
+                        </para>
+                    </listitem>
+                </varlistentry>
+                <varlistentry>
+                    <term>access_provider (рядок)</term>
+                    <listitem>
+                        <para>
+                            Програма керування доступом для домену. Передбачено дві вбудованих програми
+керування доступом (окрім всіх встановлених додаткових
+серверів). Вбудованими програмами є:
+                        </para>
+                        <para>
+                            <quote>permit</quote> дозволяти доступ завжди. Єдиний дозволений засіб
+доступу для локального домену.
+                        </para>
+                        <para>
+                            <quote>deny</quote> — завжди забороняти доступ.
+                        </para>
+                        <para>
+                            <quote>ldap</quote> — вбудоване розпізнавання LDAP. Докладніші відомості
+щодо налаштовування LDAP викладено у довіднику з <citerefentry>
+<refentrytitle>sssd-ldap</refentrytitle> <manvolnum>5</manvolnum>
+</citerefentry>.
+                        </para>
+                        <para>
+                            <quote>ipa</quote>: FreeIPA and Red Hat Identity Management provider. See
+<citerefentry> <refentrytitle>sssd-ipa</refentrytitle>
+<manvolnum>5</manvolnum> </citerefentry> for more information on configuring
+FreeIPA.
+                        </para>
+                        <para>
+                            <quote>ad</quote>: засіб Active Directory. Докладніші відомості щодо
+налаштовування Active Directory викладено у довіднику з <citerefentry>
+<refentrytitle>sssd-ad</refentrytitle> <manvolnum>5</manvolnum>
+</citerefentry>.
+                        </para>
+                        <para>
+                            <quote>simple</quote> — керування доступом на основі списків дозволу або
+заборони. Докладніші відомості щодо налаштовування модуля доступу simple
+можна знайти у довідці до <citerefentry>
+<refentrytitle>sssd-simple</refentrytitle>
+<manvolnum>5</manvolnum></citerefentry>.
+                        </para>
+                        <para>
+                            <quote>krb5</quote> — керування доступом на основі .k5login. Докладніші
+відомості щодо налаштовування Kerberos викладено у довіднику з
+<citerefentry> <refentrytitle>sssd-krb5</refentrytitle>
+<manvolnum></manvolnum> </citerefentry>.
+                        </para>
+                        <para>
+                            <quote>proxy</quote> — для трансляції керування доступом до іншого модуля
+PAM.
+                        </para>
+                        <para>
+                            Типове значення: <quote>permit</quote>
+                        </para>
+                    </listitem>
+                </varlistentry>
+                <varlistentry>
+                    <term>chpass_provider (рядок)</term>
+                    <listitem>
+                        <para>
+                            Система, яка має обробляти дії зі зміни паролів для домену. Передбачено
+підтримку таких систем зміни паролів:
+                        </para>
+                        <para>
+                            <quote>ldap</quote> — змінити пароль, що зберігається на сервері
+LDAP. Докладніші відомості щодо налаштовування LDAP викладено у довіднику з
+<citerefentry> <refentrytitle>sssd-ldap</refentrytitle>
+<manvolnum>5</manvolnum> </citerefentry>.
+                        </para>
+                        <para>
+                            <quote>krb5</quote> — змінити пароль Kerberos. Докладніші відомості щодо
+налаштовування Kerberos викладено у довіднику з <citerefentry>
+<refentrytitle>sssd-krb5</refentrytitle> <manvolnum></manvolnum>
+</citerefentry>.
+                        </para>
+                        <para>
+                            <quote>ipa</quote>: FreeIPA and Red Hat Identity Management provider. See
+<citerefentry> <refentrytitle>sssd-ipa</refentrytitle>
+<manvolnum>5</manvolnum> </citerefentry> for more information on configuring
+FreeIPA.
+                        </para>
+                        <para>
+                            <quote>ad</quote>: засіб Active Directory. Докладніші відомості щодо
+налаштовування Active Directory викладено у довіднику з <citerefentry>
+<refentrytitle>sssd-ad</refentrytitle> <manvolnum>5</manvolnum>
+</citerefentry>.
+                        </para>
+                        <para>
+                            <quote>proxy</quote> — трансльована зміна пароля у іншій системі PAM.
+                        </para>
+                        <para>
+                            <quote>none</quote> — явно вимкнути можливість зміни пароля.
+                        </para>
+                        <para>
+                            Типове значення: використовується «auth_provider», якщо встановлено значення
+цього параметра і якщо система здатна обробляти запити щодо паролів.
+                        </para>
+                    </listitem>
+                </varlistentry>
+
+                <varlistentry condition="with_sudo">
+                    <term>sudo_provider (рядок)</term>
+                    <listitem>
+                        <para>
+                            Служба SUDO, яку використано для цього домену. Серед підтримуваних служб
+SUDO:
+                        </para>
+                        <para>
+                            <quote>ldap</quote> для правил, що зберігаються у LDAP. Докладніше про
+налаштовування LDAP можна дізнатися з довідки до <citerefentry>
+<refentrytitle>sssd-ldap</refentrytitle> <manvolnum>5</manvolnum>
+</citerefentry>.
+                        </para>
+                        <para>
+                            <quote>ipa</quote> — те саме, що і <quote>ldap</quote>, але з типовими
+параметрами IPA.
+                        </para>
+                        <para>
+                            <quote>ad</quote> — те саме, що і <quote>ldap</quote>, але з типовими
+параметрами AD.
+                        </para>
+                        <para>
+                            <quote>none</quote> явним чином вимикає SUDO.
+                        </para>
+                        <para>
+                            Типове значення: використовується значення <quote>id_provider</quote>, якщо
+його встановлено.
+                        </para>
+                        <para>
+                            З докладними настановами щодо налаштовування sudo_provider можна
+ознайомитися за допомогою сторінки підручника (man) <citerefentry>
+<refentrytitle>sssd-sudo</refentrytitle> <manvolnum>5</manvolnum>
+</citerefentry>. Передбачено доволі багато параметрів налаштовування, якими
+можна скористатися для коригування поведінки програми. Докладніший опис
+можна знайти у розділах щодо «ldap_sudo_*»" у підручнику з <citerefentry>
+<refentrytitle>sssd-ldap</refentrytitle> <manvolnum>5</manvolnum>
+</citerefentry>.
+                        </para>
+                        <para>
+                            <emphasis>Зауваження:</emphasis> правила sudo періодично отримуються у
+фоновому режимі, якщо постачальник даних sudo не вимкнено явним
+чином. Встановіть значення <emphasis>sudo_provider = None</emphasis>, щоб
+вимкнути усі дії, пов'язані із sudo у SSSD, якщо ви взагалі не хочете
+використовувати sudo у SSSD.
+                        </para>
+                    </listitem>
+                </varlistentry>
+                <varlistentry>
+                    <term>selinux_provider (рядок)</term>
+                    <listitem>
+                        <para>
+                            Засіб, який має відповідати за завантаження параметрів SELinux. Зауважте, що
+цей засіб буде викликано одразу після завершення роботи служби надання
+доступу. Передбачено підтримку таких засобів надання даних SELinux:
+                        </para>
+                        <para>
+                            <quote>ipa</quote> для завантаження параметрів selinux з сервера
+IPA. Докладніші відомості щодо налаштовування IPA викладено у довіднику з
+<citerefentry> <refentrytitle>sssd-ipa</refentrytitle>
+<manvolnum>5</manvolnum> </citerefentry>.
+                        </para>
+                        <para>
+                            <quote>none</quote> явним чином забороняє отримання даних щодо параметрів
+SELinux.
+                        </para>
+                        <para>
+                            Типове значення: буде використано <quote>id_provider</quote>, якщо цей
+спосіб встановлено і можлива обробка запитів щодо завантаження SELinux.
+                        </para>
+                    </listitem>
+                </varlistentry>
+                <varlistentry>
+                    <term>subdomains_provider (рядок)</term>
+                    <listitem>
+                        <para>
+                            Засіб надання даних, який має обробляти отримання даних піддоменів. Це
+значення має завжди збігатися зі значенням id_provider. Передбачено
+підтримку таких засобів надання даних піддоменів:
+                        </para>
+                        <para>
+                            <quote>ipa</quote> для завантаження списку піддоменів з сервера
+IPA. Докладніші відомості щодо налаштовування IPA викладено у довіднику з
+<citerefentry> <refentrytitle>sssd-ipa</refentrytitle>
+<manvolnum>5</manvolnum> </citerefentry>.
+                        </para>
+                        <para>
+                            «ad», з якої слід завантажувати список піддоменів з сервера Active
+Directory. Див. <citerefentry> <refentrytitle>sssd-ad</refentrytitle>
+<manvolnum>5</manvolnum> </citerefentry>, щоб дізнатися більше про
+налаштовування засобу надання даних AD.
+                        </para>
+                        <para>
+                            <quote>none</quote> забороняє ячним чином отримання даних піддоменів.
+                        </para>
+                        <para>
+                            Типове значення: використовується значення <quote>id_provider</quote>, якщо
+його встановлено.
+                        </para>
+                    </listitem>
+                </varlistentry>
+                <varlistentry>
+                    <term>session_provider (рядок)</term>
+                    <listitem>
+                        <para>
+                            Постачальник даних, який налаштовує завдання, пов'язані із сеансами
+користувачів, і керує ними. Єдиним завданням сеансів користувача у поточній
+версії є інтеграція із Fleet Commander, який працює лише з IPA. Підтримувані
+постачальники даних сеансів:
+                        </para>
+                        <para>
+                            <quote>ipa</quote>, щоб дозволити пов'язані із сеансами користувачів
+завдання.
+                        </para>
+                        <para>
+                            <quote>none</quote> — не виконувати жодних пов'язаних із сеансами
+користувачів завдань.
+                        </para>
+                        <para>
+                            Типове значення: використовується значення <quote>id_provider</quote>, якщо
+його встановлено і дозволено виконувати пов'язані із сеансами завдання.
+                        </para>
+                        <para>
+                            <emphasis>Зауваження:</emphasis> щоб ця можливість працювала як слід, SSSD
+має бути запущено від імені користувача root, а не якогось іншого
+непривілейованого користувача.
+                        </para>
+                    </listitem>
+                </varlistentry>
+
+                <varlistentry condition="with_autofs">
+                    <term>autofs_provider (рядок)</term>
+                    <listitem>
+                        <para>
+                            Служба autofs, яку використано для цього домену. Серед підтримуваних служб
+autofs:
+                        </para>
+                        <para>
+                            <quote>ldap</quote> — завантажити карти, що зберігаються у LDAP. Докладніше
+про налаштовування LDAP можна дізнатися з довідки до <citerefentry>
+<refentrytitle>sssd-ldap</refentrytitle> <manvolnum>5</manvolnum>
+</citerefentry>.
+                        </para>
+                        <para>
+                            <quote>ipa</quote> — завантажити карти, що зберігається на сервері
+IPA. Докладніші відомості щодо налаштовування IPA викладено у довіднику з
+<citerefentry> <refentrytitle>sssd-ipa</refentrytitle>
+<manvolnum></manvolnum> </citerefentry>.
+                        </para>
+                        <para>
+                            <quote>ad</quote> — завантажити карти, що зберігаються на сервері
+AD. Див. <citerefentry> <refentrytitle>sssd-ad</refentrytitle>
+<manvolnum>5</manvolnum> </citerefentry>, щоб дізнатися більше про
+налаштовування засобу надання даних AD.
+                        </para>
+                        <para>
+                            <quote>none</quote> вимикає autofs повністю.
+                        </para>
+                        <para>
+                            Типове значення: використовується значення <quote>id_provider</quote>, якщо
+його встановлено.
+                        </para>
+                    </listitem>
+                </varlistentry>
+
+                <varlistentry>
+                    <term>hostid_provider (рядок)</term>
+                    <listitem>
+                        <para>
+                            Засіб надання даних, який використовується для отримання даних щодо профілю
+вузла. Серед підтримуваних засобів надання hostid:
+                        </para>
+                        <para>
+                            <quote>ipa</quote> — завантажити профіль системи, що зберігається на сервері
+IPA. Докладніші відомості щодо налаштовування IPA викладено у довіднику з
+<citerefentry> <refentrytitle>sssd-ipa</refentrytitle>
+<manvolnum></manvolnum> </citerefentry>.
+                        </para>
+                        <para>
+                            <quote>none</quote> вимикає hostid повністю.
+                        </para>
+                        <para>
+                            Типове значення: використовується значення <quote>id_provider</quote>, якщо
+його встановлено.
+                        </para>
+                    </listitem>
+                </varlistentry>
+
+                <varlistentry>
+                    <term>resolver_provider (рядок)</term>
+                    <listitem>
+                        <para>
+                            Система, яка має обробляти дії зі пошуку вузлів та мереж. Передбачено
+підтримку таких надавачів даних для визначення:
+                        </para>
+                        <para>
+                            <quote>proxy</quote> для переспрямовування пошуків до іншої бібліотеки
+NSS. Див. <quote>proxy_resolver_lib_name</quote>
+                        </para>
+                        <para>
+                            <quote>ldap</quote> — отримати записи вузлів і мереж, які зберігаються у
+LDAP. Докладніше про налаштовування LDAP можна дізнатися з довідки до
+<citerefentry> <refentrytitle>sssd-ldap</refentrytitle>
+<manvolnum>5</manvolnum> </citerefentry>.
+                        </para>
+                        <para>
+                            <quote>ad</quote> — отримати записи вузлів і мереж, які зберігаються на
+сервері AD. Див. <citerefentry> <refentrytitle>sssd-ad</refentrytitle>
+<manvolnum>5</manvolnum> </citerefentry>, щоб дізнатися більше про
+налаштовування засобу надання даних AD.
+                        </para>
+                        <para>
+                            <quote>none</quote> забороняє ячним чином отримання даних вузлів і мереж.
+                        </para>
+                        <para>
+                            Типове значення: використовується значення <quote>id_provider</quote>, якщо
+його встановлено.
+                        </para>
+                    </listitem>
+                </varlistentry>
+
+                <varlistentry>
+                    <term>re_expression (рядок)</term>
+                    <listitem>
+                        <para>
+                            Формальний вираз для цього домену, який описує спосіб поділи рядка, що
+містить ім’я користувача та назву домену на ці компоненти. «Домен» може
+відповідати назві домену налаштувань SSSD або, у випадку піддоменів довіри
+IPA та доменів Active Directory, простій назві (NetBIOS) домену.
+                        </para>
+                        <para>
+                            Default:
+<quote>^((?P&lt;name&gt;.+)@(?P&lt;domain&gt;[^@]*)|(?P&lt;name&gt;[^@]+))$</quote>
+which allows two different styles for user names:
+                            <itemizedlist>
+                                <listitem>
+                                    <para>користувач</para>
+                                </listitem>
+                                <listitem>
+                                    <para>користувач@назва.домену</para>
+                                </listitem>
+                           </itemizedlist>
+                        </para>
+                        <para>
+                            Default for the AD and IPA provider:
+<quote>^(((?P&lt;domain&gt;[^\\]+)\\(?P&lt;name&gt;.+))|((?P&lt;name&gt;.+)@(?P&lt;domain&gt;[^@]+))|((?P&lt;name&gt;[^@\\]+)))$</quote>
+which allows three different styles for user names:
+                            <itemizedlist>
+                                <listitem>
+                                    <para>користувач</para>
+                                </listitem>
+                                <listitem>
+                                    <para>користувач@назва.домену</para>
+                                </listitem>
+                                <listitem>
+                                    <para>домен\користувач</para>
+                                </listitem>
+                            </itemizedlist>
+                            Перші два стилі відповідають загальним типовим стилям, а третій введено для
+того, щоб полегшити інтеграцію користувачів з доменів Windows.
+                        </para>
+                        <para>
+                            The default re_expression uses the <quote>@</quote> character as a separator
+between the name and the domain. As a result of this setting the default
+does not accept the <quote>@</quote> character in short names (as it is
+allowed in Windows group names). If a user wishes to use short names with
+<quote>@</quote> they must create their own re_expression.
+                        </para>
+                    </listitem>
+                </varlistentry>
+                <varlistentry>
+                    <term>full_name_format (рядок)</term>
+                    <listitem>
+                        <para>
+                            Сумісний з <citerefentry> <refentrytitle>printf</refentrytitle>
+<manvolnum>3</manvolnum> </citerefentry> формат, який описує спосіб
+створення повного імені на основі імені користувача та компонентів назви
+домену.
+                        </para>
+                        <para>
+                            Передбачено використання таких замінників: <variablelist>
+                                <varlistentry>
+                                    <term>%1$s</term>
+                                    <listitem><para>ім’я користувача</para></listitem>
+                                </varlistentry>
+                                <varlistentry>
+                                    <term>%2$s</term>
+                                    <listitem>
+                                        <para>
+                                            назва домену у форматі, вказаному у файлі налаштувань SSSD.
+                                        </para>
+                                    </listitem>
+                                </varlistentry>
+                                <varlistentry>
+                                    <term>%3$s</term>
+                                    <listitem>
+                                        <para>
+                                            проста назва домену. Здебільшого використовується для доменів Active
+Directory, налаштованих та автоматично виявлених за зв’язками довіри IPA.
+                                        </para>
+                                    </listitem>
+                                </varlistentry>
+                            </variablelist>
+                        </para>
+                        <para>
+                            Типове значення: <quote>%1$s@%2$s</quote>.
+                        </para>
+                    </listitem>
+                </varlistentry>
+
+                <varlistentry>
+                    <term>lookup_family_order (рядок)</term>
+                    <listitem>
+                        <para>
+                            Надає можливість вибрати бажане сімейство адрес, яке слід використовувати
+під час виконання пошуків у DNS.
+                        </para>
+                        <para>
+                            Передбачено підтримку таких значень:
+                        </para>
+                        <para>
+                            ipv4_first: спробувати визначити адресу у форматі IPv4, у разі невдачі
+спробувати формат IPv6
+                        </para>
+                        <para>
+                            ipv4_only: намагатися визначити назви вузлів лише у форматі адрес IPv4.
+                        </para>
+                        <para>
+                            ipv6_first: спробувати визначити адресу у форматі IPv6, у разі невдачі
+спробувати формат IPv4
+                        </para>
+                        <para>
+                            ipv6_only: намагатися визначити назви вузлів лише у форматі адрес IPv6.
+                        </para>
+                        <para>
+                            Типове значення: ipv4_first
+                        </para>
+                    </listitem>
+                </varlistentry>
+
+                <varlistentry>
+                    <term>dns_resolver_server_timeout (ціле число)</term>
+                    <listitem>
+                        <para>
+                            Визначає проміжок часу (у мілісекундах), протягом якого SSSD намагатиметься
+обмінятися даними із сервером DNS, перш ніж пробувати наступний сервер DNS.
+                        </para>
+                        <para>
+                            Надавач даних AD використовуватиме цей параметр також для визначення часу
+очікування на відгук на луна-імпульс CLDAP.
+                        </para>
+                        <para>
+                            Будь ласка, ознайомтеся із розділом <quote>РЕЗЕРВ</quote>, щоб дізнатися
+більше про розв'язування питань, пов'язаних із службами.
+                        </para>
+                        <para>
+                            Типове значення: 1000
+                        </para>
+                    </listitem>
+                </varlistentry>
+
+                <varlistentry>
+                    <term>dns_resolver_op_timeout (ціле число)</term>
+                    <listitem>
+                        <para>
+                            Визначає тривалість (у секундах) періоду, протягом якого програма чекатиме
+на завершення виконання окремого запиту DNS (наприклад встановлення назви
+вузла або запису SRV), перш ніж перейти до наступної назви вузла або пошуку
+наступного DNS.
+                        </para>
+                        <para>
+                            Будь ласка, ознайомтеся із розділом <quote>РЕЗЕРВ</quote>, щоб дізнатися
+більше про розв'язування питань, пов'язаних із службами.
+                        </para>
+                        <para>
+                            Типове значення: 3
+                        </para>
+                    </listitem>
+                </varlistentry>
+
+                <varlistentry>
+                    <term>dns_resolver_timeout (ціле число)</term>
+                    <listitem>
+                        <para>
+                            Визначає кількість часу (у секундах) очікування відповіді від внутрішньої
+служби перемикання на резервний ресурс, перш ніж службу буде визначено
+недоступним. Якщо час очікування буде перевищено, домен продовжуватиме
+роботу у автономному режимі.
+                        </para>
+                        <para>
+                            Будь ласка, ознайомтеся із розділом <quote>РЕЗЕРВ</quote>, щоб дізнатися
+більше про розв'язування питань, пов'язаних із службами.
+                        </para>
+                        <para>
+                            Типове значення: 6
+                        </para>
+                    </listitem>
+                </varlistentry>
+
+                <varlistentry>
+                    <term>dns_resolver_use_search_list (булеве значення)</term>
+                    <listitem>
+                        <para>
+                            Зазвичай, розв'язувач адрес DNS виконує пошук у списку доменів, який
+визначено інструкцією «search» у файлі resolv.conf. Це може призвести до
+затримок у середовищах, де DNS не налаштовано належним чином.
+                        </para>
+                        <para>
+                            Якщо у налаштуваннях SSSD використано повні назви доменів (або _srv_),
+встановлення для цього параметра значення FALSE може запобігти непотрібним
+пошукам DNS у таких середовищах.
+                        </para>
+                        <para>
+                            Типове значення: TRUE
+                        </para>
+                    </listitem>
+                </varlistentry>
+
+                <varlistentry>
+                    <term>dns_discovery_domain (рядок)</term>
+                    <listitem>
+                        <para>
+                            Якщо у модулі обробки використовується визначення служб, вказує доменну
+частину запиту визначення служб DNS.
+                        </para>
+                        <para>
+                            Типова поведінка: використовувати назву домену з назви вузла комп’ютера.
+                        </para>
+                    </listitem>
+                </varlistentry>
+
+                <varlistentry>
+                    <term>override_gid (ціле число)</term>
+                    <listitem>
+                        <para>
+                            Замірити значення основного GID на вказане.
+                        </para>
+                    </listitem>
+                </varlistentry>
+
+                <varlistentry>
+                    <term>case_sensitive (рядок)</term>
+                    <listitem>
+                        <para>
+                            Зважати на регістр символів у назвах записів користувачів і груп. Можливі
+значення: <variablelist>
+                            <varlistentry>
+                                <term>True</term>
+                                <listitem>
+                                    <para>
+                                        Враховується регістр. Це значення є некоректним для засобу надання даних AD.
+                                    </para>
+                                </listitem>
+                            </varlistentry>
+                            <varlistentry>
+                                <term>False</term>
+                                <listitem>
+                                    <para>Без врахування регістру.</para>
+                                </listitem>
+                            </varlistentry>
+                            <varlistentry>
+                                <term>Preserving</term>
+                                <listitem>
+                                    <para>
+                                        Те саме, що і False (без врахування регістру символів), але без переведення
+у нижній регістр імен у результатах дій NSS. Зауважте, що альтернативні
+імена (у випадку служб також назви протоколів) у виведених даних все одно
+буде переведено у нижній регістр.
+                                    </para>
+                                    <para>
+                                        Якщо ви хочете встановити це значення для довіреного домену із надавачем
+даних IPA, вам доведеться встановити його на боці клієнта і SSSD на сервері.
+                                    </para>
+                                </listitem>
+                            </varlistentry>
+                        </variablelist>
+                        </para>
+                        <para>
+                            Цей параметр також може бути встановлено для окремого піддомену або
+успадковано за допомогою <emphasis>subdomain_inherit</emphasis>.
+                        </para>
+                        <para>
+                            Типове значення: True (False для засобу надання даних AD)
+                        </para>
+                    </listitem>
+                </varlistentry>
+
+                <varlistentry>
+                    <term>subdomain_inherit (рядок)</term>
+                    <listitem>
+                        <para>
+                            Визначає список параметрів налаштування, які слід успадковувати для
+піддомену. Будь ласка, зауважте, що успадковуватимуться лише вказані
+параметри. У поточній версії передбачено можливість успадковування таких
+параметрів:
+                        </para>
+                        <para>
+                            ldap_search_timeout
+                        </para>
+                        <para>
+                            ldap_network_timeout
+                        </para>
+                        <para>
+                            ldap_opt_timeout
+                        </para>
+                        <para>
+                            ldap_offline_timeout
+                        </para>
+                        <para>
+                            ldap_enumeration_refresh_timeout
+                        </para>
+                        <para>
+                            ldap_enumeration_refresh_offset
+                        </para>
+                        <para>
+                            ldap_purge_cache_timeout
+                        </para>
+                        <para>
+                            ldap_purge_cache_offset
+                        </para>
+                        <para>
+                            ldap_krb5_keytab (значення krb5_keytab буде використано, якщо
+ldap_krb5_keytab не встановлено явним чином)
+                        </para>
+                        <para>
+                            ldap_krb5_ticket_lifetime
+                        </para>
+                        <para>
+                            ldap_enumeration_search_timeout
+                        </para>
+                        <para>
+                            ldap_connection_expire_timeout
+                        </para>
+                        <para>
+                            ldap_connection_expire_offset
+                        </para>
+                        <para>
+                            ldap_connection_idle_timeout
+                        </para>
+                        <para>
+                            ldap_use_tokengroups
+                        </para>
+                        <para>
+                            ldap_user_principal
+                        </para>
+                        <para>
+                            ignore_group_members
+                        </para>
+                        <para>
+                            auto_private_groups
+                        </para>
+                        <para>
+                            case_sensitive
+                        </para>
+                        <para>
+                            Приклад: <programlisting>
+subdomain_inherit = ldap_purge_cache_timeout
+                            </programlisting>
+                        </para>
+                        <para>
+                            Типове значення: none
+                        </para>
+                        <para>
+                            Зауваження: цей параметр працює лише для засобів надання даних IPA і AD.
+                        </para>
+                    </listitem>
+                </varlistentry>
+
+                <varlistentry>
+                    <term>subdomain_homedir (рядок)</term>
+                    <listitem>
+                        <para>
+                            Використовувати вказаний домашній каталог як типовий для всіх піддоменів у
+цьому домені у межах довіри AD IPA. Дані щодо можливих значень наведено у
+описі параметра <emphasis>override_homedir</emphasis>. Крім того,
+розгортання можна використовувати лише з
+<emphasis>subdomain_homedir</emphasis>.  <variablelist>
+                                <varlistentry>
+                                    <term>%F</term>
+                                    <listitem><para>спрощена (NetBIOS) назва піддомену.</para></listitem>
+                                </varlistentry>
+                            </variablelist>
+                        </para>
+                        <para>
+                            Це значення може бути перевизначено параметром
+<emphasis>override_homedir</emphasis>.
+                        </para>
+                        <para>
+                            Типове значення: <filename>/home/%d/%u</filename>
+                        </para>
+                    </listitem>
+                </varlistentry>
+                <varlistentry>
+                    <term>realmd_tags (рядок)</term>
+                    <listitem>
+                        <para>
+                            Різноманітні теґи, що зберігаються службою налаштовування realmd для цього
+домену.
+                        </para>
+                    </listitem>
+                </varlistentry>
+                <varlistentry>
+                    <term>cached_auth_timeout (ціле число)</term>
+                    <listitem>
+                        <para>
+                            Визначає час у секундах з моменту останнього успішного розпізнавання у
+мережі, для якого користувача буде розпізнано за допомогою кешованих
+реєстраційних даних, доки SSSD перебуває у режимі «у мережі». Якщо
+реєстраційні дані є помилковими, SSSD повертається до інтерактивного
+розпізнавання.
+                        </para>
+                        <para>
+                            Значення цього параметра успадковується усіма довіреними доменами. У
+поточній версії не передбачено можливості встановлювати окремі різні
+значення для різних довірених доменів.
+                        </para>
+                        <para>
+                            Спеціальне значення 0 означає, що цю можливість вимкнено.
+                        </para>
+                        <para>
+                            Будь ласка, зауважте, що якщо <quote>cached_auth_timeout</quote> має більше
+значення за <quote>pam_id_timeout</quote>, модуль може бути викликано для
+обробки <quote>initgroups</quote>.
+                        </para>
+                        <para>
+                            Типове значення: 0
+                        </para>
+                    </listitem>
+                </varlistentry>
+                <varlistentry>
+                    <term>local_auth_policy (string)</term>
+                    <listitem>
+                        <para>
+                            Local authentication methods policy. Some backends (i.e. LDAP, proxy
+provider) only support a password based authentication, while others can
+handle PKINIT based Smartcard authentication (AD, IPA), two-factor
+authentication (IPA), or other methods against a central instance. By
+default in such cases authentication is only performed with the methods
+supported by the backend.
+                        </para>
+                        <para>
+                            There are three possible values for this option: match, only,
+enable. <quote>match</quote> is used to match offline and online states for
+Kerberos methods. <quote>only</quote> ignores the online methods and only
+offer the local ones. enable allows explicitly defining the methods for
+local authentication. As an example, <quote>enable:passkey</quote>, only
+enables passkey for local authentication. Multiple enable values should be
+comma-separated, such as <quote>enable:passkey, enable:smartcard</quote>
+                        </para>
+                        <para>
+                            Please note that if local Smartcard authentication is enabled and a
+Smartcard is present, Smartcard authentication will be preferred over the
+authentication methods supported by the backend.  I.e. there will be a PIN
+prompt instead of e.g. a password prompt.
+                        </para>
+                        <para>
+                            The following configuration example allows local users to authenticate
+locally using any enabled method (i.e. smartcard, passkey).  <programlisting>
+[domain/shadowutils]
+id_provider = proxy
+proxy_lib_name = files
+auth_provider = none
+local_auth_policy = only
+</programlisting>
+                        </para>
+                        <para condition="with_files_provider">
+                            It is expected that the <quote>files</quote> provider ignores the
+local_auth_policy option and supports Smartcard authentication by default.
+                        </para>
+                        <para>
+                            Default: match
+                        </para>
+                    </listitem>
+                </varlistentry>
+                <varlistentry>
+                    <term>auto_private_groups (рядок)</term>
+                    <listitem>
+                        <para>
+                            Цей параметр приймає будь-яке з таких трьох доступних значень: <variablelist>
+                                <varlistentry>
+                                    <term>true</term>
+                                    <listitem>
+                                        <para>
+                                            Безумовно створює приватну групу користувача на основі номера UID
+користувача. У цьому випадку номер GID буде проігноровано.
+                                        </para>
+                                        <para>
+                                            Зауваження: оскільки номер GID і приватна група користувача успадковуються з
+номера UID, підтримки декількох записів із однаковим номером UID або GID у
+цьому параметрі не передбачено. Іншими словами, вмикання цього параметра
+примусово встановлює унікальність записів у просторі ідентифікаторів.
+                                        </para>
+                                    </listitem>
+                                </varlistentry>
+                                <varlistentry>
+                                    <term>false</term>
+                                    <listitem>
+                                        <para>
+                                            Завжди використовувати номер основної GID користувача. Номер GID має
+вказувати на об'єкт групи у базі даних LDAP.
+                                        </para>
+                                    </listitem>
+                                </varlistentry>
+                                <varlistentry>
+                                    <term>hybrid</term>
+                                    <listitem>
+                                        <para>
+                                            Основна група створюється автоматично для записів користувача, значення UID
+і GID яких збігаються і, одночасно, номер GID не відповідає справжньому
+об'єкту групи у LDAP. Якщо значення є однаковими, але основне значення GID у
+записі користувача також використовується як об'єкт групи, основний GID
+цього користувача визначатиме цей об'єкт групи.
+                                        </para>
+                                        <para>
+                                            Якщо UID і GID користувача є різними, значення GID має відповідати запису
+групи, інакше надійне визначення GID буде просто неможливим.
+                                        </para>
+                                        <para>
+                                            Ця можливість є корисною для середовищ, де бажаним є усування потреби у
+супроводі окремих об'єктів груп для користувачів у приватних групах, але зі
+збереженням наявних приватних груп для користувачів.
+                                        </para>
+                                    </listitem>
+                                </varlistentry>
+                            </variablelist>
+                        </para>
+                        <para>
+                            Для піддоменів типовим значенням є False для тих піддоменів, які пов'язано
+із ідентифікаторами POSIX, і True для тих піддоменів, для яких
+використовується автоматична прив'язка до ідентифікаторів.
+                        </para>
+                        <para>
+                            Значення параметра auto_private_groups може встановлюватися або на рівні
+окремих піддоменів у підрозділі, приклад: <programlisting>
+[domain/forest.domain/sub.domain]
+auto_private_groups = false
+</programlisting> або на загальному рівні для усіх піддоменів у основному розділі
+домену за допомогою параметра subdomain_inherit: <programlisting>
+[domain/forest.domain]
+subdomain_inherit = auto_private_groups
+auto_private_groups = false
+</programlisting>
+                        </para>
+                    </listitem>
+                </varlistentry>
+            </variablelist>
+        </para>
+
+        <para>
+            Параметри, які є чинними для доменів проксі.  <variablelist>
+                <varlistentry>
+                    <term>proxy_pam_target (рядок)</term>
+                    <listitem>
+                        <para>
+                            Комп’ютер, для якого виконує проксі-сервер PAM.
+                        </para>
+                        <para>
+                            Default: not set by default, you have to take an existing pam configuration
+or create a new one and add the service name here. As an alternative you can
+enable local authentication with the local_auth_policy option.
+                        </para>
+                    </listitem>
+                </varlistentry>
+
+                <varlistentry>
+                    <term>proxy_lib_name (рядок)</term>
+                    <listitem>
+                        <para>
+                            Назва бібліотеки NSS для використання у доменах з проксі-серверами. Функції
+NSS шукаються у бібліотеці у форматі _nss_$(назва_бібліотеки)_$(функція),
+наприклад _nss_files_getpwent.
+                        </para>
+                    </listitem>
+                </varlistentry>
+
+                <varlistentry>
+                    <term>proxy_resolver_lib_name (рядок)</term>
+                    <listitem>
+                        <para>
+                            Назва бібліотеки NSS для використання для пошуку вузлів і мереж у доменах з
+проксі-серверами. Функції NSS шукаються у бібліотеці у форматі
+_nss_$(назва_бібліотеки)_$(функція), наприклад _nss_dns_gethostbyname2_r.
+                        </para>
+                    </listitem>
+                </varlistentry>
+
+                <varlistentry>
+                    <term>proxy_fast_alias (булеве значення)</term>
+                    <listitem>
+                        <para>
+                            Під час пошуку запису користувача чи групи за назвою у системі надання даних
+переадресації виконується вторинний пошук за ідентифікатором з метою
+визначення «канонічної» форми назви, якщо результат знайдено за
+альтернативною назвою (псевдонімом). Встановлення для цього параметра
+значення «true» призведе до того, що SSSD виконуватиме пошук ідентифікатора
+у кеші, щоб пришвидшити надання результатів.
+                        </para>
+                        <para>
+                            Типове значення: false
+                        </para>
+                    </listitem>
+                </varlistentry>
+
+                <varlistentry>
+                    <term>proxy_max_children (ціле число)</term>
+                    <listitem>
+                        <para>
+                            Цей параметр визначає кількість попередньо розгалужених дочірніх проксі. Він
+корисний для високонавантажених середовищ SSSD, де sssd може вичерпати
+кількість доступних дочірніх слотів, що може спричинити деякі вади через
+використання черги запитів.
+                        </para>
+                        <para>
+                            Типове значення: 10
+                        </para>
+                    </listitem>
+                </varlistentry>
+
+            </variablelist>
+        </para>
+
+        <refsect2 id='app_domains'>
+            <title>Домени програм (application)</title>
+            <para>
+                SSSD, з його інтерфейсом D-Bus (див. <citerefentry>
+<refentrytitle>sssd-ifp</refentrytitle> <manvolnum>5</manvolnum>
+</citerefentry>) є привабливим для програм як шлюз до каталогу LDAP, де
+зберігаються дані користувачів і груп. Втім, на відміну від традиційного
+формату роботи SSSD, де усі користувачі і групи або мають атрибути POSIX,
+або ці атрибути може бути успадковано з SID Windows, у багатьох випадках
+користувачі і групи у сценарії підтримки роботи програм не мають атрибутів
+POSIX. Замість визначення розділу
+<quote>[domain/<replaceable>НАЗВА</replaceable>]</quote> адміністратор може
+визначити розділ
+<quote>[application/<replaceable>НАЗВА</replaceable>]</quote>, який на
+внутрішньому рівні представляє домен типу <quote>application</quote>, який
+може успадковувати параметр з традиційного домену SSSD.
+            </para>
+            <para>
+                Будь ласка, зауважте, що домен програм має так само явним чином увімкнено у
+параметрі <quote>domains</quote>, отже порядок пошуку між доменом програм і
+його доменом-близнюком у POSIX має бути встановлено належним чином.
+            </para>
+            <variablelist>
+                <title>Параметри доменів програм</title>
+                <varlistentry>
+                    <term>inherit_from (рядок)</term>
+                    <listitem>
+                        <para>
+                            Домен типу POSIX SSSD, з якого домен програм успадковує усі параметри. Далі,
+домен програм поже додавати власні параметри до параметрів програми, які
+розширюють або перевизначають параметри домену-<quote>близнюка</quote>.
+                        </para>
+                        <para>
+                            Типове значення: не встановлено
+                        </para>
+                    </listitem>
+                </varlistentry>
+            </variablelist>
+            <para>
+                У наведеному нижче прикладі проілюстровано використання домену програм. У
+цій конфігурації домен POSIX з'єднано із сервером LDAP, він використовується
+операційною системою через відповідач NSS. Крім того, домен програм також
+надсилає запит щодо атрибута telephoneNumber, зберігає його як атрибут phone
+у кеші і робить атрибут phone доступним через інтерфейс D-Bus.
+            </para>
+<programlisting>
+[sssd]
+domains = appdom, posixdom
+
+[ifp]
+user_attributes = +phone
+
+[domain/posixdom]
+id_provider = ldap
+ldap_uri = ldap://ldap.example.com
+ldap_search_base = dc=example,dc=com
+
+[application/appdom]
+inherit_from = posixdom
+ldap_user_extra_attrs = phone:telephoneNumber
+</programlisting>
+        </refsect2>
+
+    </refsect1>
+
+    <refsect1 id='trusted-domains'>
+        <title>РОЗДІЛ ДОВІРЕНИХ ДОМЕНІВ</title>
+        <para>
+            Деякі параметри, які використовуються у розділі домену, можна також
+використовувати у розділі довіреного домену, тобто у розділі, який
+називається
+<quote>[domain/<replaceable>НАЗВА_ДОМЕНУ</replaceable>/<replaceable>НАЗВА_ДОВІРЕНОГО_ДОМЕНУ</replaceable>]</quote>.
+Де НАЗВА_ДОМЕНУ є справжнім базовим доменом для долучення. Приклади наведено
+нижче. У поточній версії підтримуваними параметрами у розділі довіреного
+домену є такі параметри:
+        </para>
+            <para>ldap_search_base,</para>
+            <para>ldap_user_search_base,</para>
+            <para>ldap_group_search_base,</para>
+            <para>ldap_netgroup_search_base,</para>
+            <para>ldap_service_search_base,</para>
+            <para>ldap_sasl_mech,</para>
+            <para>ad_server,</para>
+            <para>ad_backup_server,</para>
+            <para>ad_site,</para>
+            <para>use_fully_qualified_names</para>
+            <para>pam_gssapi_services</para>
+            <para>pam_gssapi_check_upn</para>
+        <para>
+            Докладніший опис цих параметрів можна знайти у окремих описах на сторінці
+підручника.
+        </para>
+    </refsect1>
+
+    <refsect1 id='certmap'>
+        <title>РОЗДІЛ ПРИВ'ЯЗКИ СЕРТИФІКАТІВ</title>
+        <para>
+            Щоб уможливити розпізнавання за смарткартками та сертифікатами, SSSD повинна
+мати можливість пов'язувати сертифікати із записами
+користувачів. Забезпечити таку можливість можна додаванням повного
+сертифіката до об'єкта LDAP користувача або локальним перевизначенням. Хоча
+використання повного сертифіката є обов'язковим для використання можливості
+розпізнавання за смарткарткою у (див. <citerefentry>
+<refentrytitle>sss_ssh_authorizedkeys</refentrytitle>
+<manvolnum>8</manvolnum> </citerefentry>, щоб дізнатися більше), додавання
+таких сертифікатів може бути марудною або навіть неможливою справою для
+загального випадку, коли локальні служби використовують для розпізнавання
+PAM.
+        </para>
+        <para>
+            Для додавання гнучкості прив'язкам у SSSD додано правила прив'язки і
+встановлення відповідності (докладніше про це у розділі <citerefentry>
+<refentrytitle>sss-certmap</refentrytitle> <manvolnum>5</manvolnum>
+</citerefentry>).
+        </para>
+        <para>
+            Правила пов'язування та відповідності можна додати до налаштувань SSSD у
+окремий розділ із назвою, подібною до
+<quote>[certmap/<replaceable>НАЗВА_ДОМЕНУ</replaceable>/<replaceable>НАЗВА_ПРАВИЛА</replaceable>]</quote>.
+У цьому розділі можна використовувати такі параметри:
+        </para>
+        <variablelist>
+            <varlistentry>
+                <term>matchrule (рядок)</term>
+                <listitem>
+                    <para>
+                        Буде виконано обробку лише тих сертифікатів зі смарткартки, які відповідають
+цьому правилу. Усі інші сертифікати буде проігноровано.
+                    </para>
+                    <para>
+                        Типове значення: KRB5:&lt;EKU&gt;clientAuth, тобто лише сертифікати, у яких
+Extended Key Usage (розширене використання ключа) дорівнює
+<quote>clientAuth</quote>
+                    </para>
+                </listitem>
+            </varlistentry>
+            <varlistentry>
+                <term>maprule (рядок)</term>
+                <listitem>
+                    <para>
+                        Визначає спосіб пошуку користувача для вказаного сертифіката.
+                    </para>
+                    <para>
+                        Типове значення:
+                        <itemizedlist>
+                            <listitem>
+                                <para>LDAP:(userCertificate;binary={cert!bin})  для заснованих на LDAP надавачів
+даних, зокрема <quote>ldap</quote>, <quote>AD</quote> та <quote>ipa</quote>.</para>
+                            </listitem>
+                            <listitem condition="with_files_provider">
+                                <para>RULE_NAME для надавача даних <quote>files</quote>, який намагається знайти
+запис користувача і такою самою назвою.</para>
+                            </listitem>
+                        </itemizedlist>
+                    </para>
+                </listitem>
+            </varlistentry>
+            <varlistentry>
+                <term>domains (рядок)</term>
+                <listitem>
+                    <para>
+                        Список відокремлених комами назв доменів, до яких слід застосовувати
+правило. Типово, правило стосуватиметься лише домену, який налаштовано у
+sssd.conf. Якщо для надавача даних передбачено підтримку піддоменів, цей
+параметр можна використати і для додавання правила до піддоменів.
+                    </para>
+                    <para>
+                        Типове значення: домен, який налаштовано у sssd.conf
+                    </para>
+                </listitem>
+            </varlistentry>
+            <varlistentry>
+                <term>priority (ціле число)</term>
+                <listitem>
+                    <para>
+                        Ціле невід'ємне значення, яке визначає пріоритетність правила. Чим більшим є
+значення, тим нижчою є пріоритетність. <quote>0</quote> — найвища
+пріоритетність, а <quote>4294967295</quote> — найнижча.
+                    </para>
+                    <para>
+                        Типове значення: найнижча пріоритетність
+                    </para>
+                </listitem>
+            </varlistentry>
+        </variablelist>
+        <para condition="with_files_provider">
+            Щоб спростити налаштовування із зменшити кількість параметрів
+налаштовування, у надавачі даних <quote>files</quote> передбачено декілька
+спеціальних властивостей:
+            <itemizedlist>
+                <listitem>
+                    <para>
+                        якщо не встановлено maprule, припускається, що значенням RULE_NAME є назва
+відповідного облікового запису користувача
+                    </para>
+                </listitem>
+                <listitem>
+                    <para>
+                        якщо maprule використовує обидва, назву облікового запису окремого
+користувача або шаблон, подібний до
+<quote>{назва_об'єкта_rfc822.коротка_назва}</quote>, слід брати у дужки,
+наприклад <quote>(користувач)</quote> або
+<quote>({назва_об'єкта_rfc822.коротка_назва})</quote>
+                    </para>
+                </listitem>
+                <listitem>
+                    <para>
+                        параметр <quote>domains</quote> буде проігноровано
+                    </para>
+                </listitem>
+            </itemizedlist>
+        </para>
+    </refsect1>
+
+    <refsect1 id='prompting_configuration'>
+        <title>РОЗДІЛ НАЛАШТОВУВАННЯ ЗАПИТІВ</title>
+        <para>
+            Якщо існує спеціальний файл
+(<filename>/var/lib/sss/pubconf/pam_preauth_available</filename>), модуль
+PAM SSSD pam_sss надсилатиме запит до SSSD для визначення того, які методи
+розпізнавання доступні для користувача, який намагається увійти до
+системи. На основі отриманих результатів pam_sss надсилатиме запит до
+користувача щодо відповідних реєстраційних даних.
+        </para>
+        <para>
+            Зростання кількості способів розпізнавання та можливість того, що для
+окремого користувача передбачено декілька способів, призводить до того, що
+евристика, яка використовується pam_sss для вибору запиту може не
+спрацьовувати в усіх можливих випадках. Підвищення гнучкості системи у таких
+випадках мають забезпечити описані нижче параметри.
+        </para>
+        <para>
+            Each supported authentication method has its own configuration subsection
+under <quote>[prompting/...]</quote>. Currently there are: <variablelist>
+            <varlistentry>
+                <term>[prompting/password]</term>
+                <listitem>
+                    <para>для налаштовування запиту щодо пароля; дозволені параметри: <variablelist><varlistentry><term>password_prompt</term>
+                        <listitem><para>для зміни рядка запиту пароля</para></listitem></varlistentry></variablelist>
+                    </para>
+                </listitem>
+            </varlistentry>
+        </variablelist> <variablelist>
+            <varlistentry>
+                <term>[prompting/2fa]</term>
+                <listitem>
+                    <para>для налаштовування запитів щодо двофакторного розпізнавання. Можливі
+варіанти значень: <variablelist><varlistentry><term>first_prompt</term>
+                        <listitem><para>для зміни рядка запиту для першого фактора </para></listitem>
+                        </varlistentry>
+                        <varlistentry><term>second_prompt</term>
+                        <listitem><para>для зміни рядка запиту для другого фактора </para></listitem>
+                        </varlistentry>
+                        <varlistentry><term>single_prompt</term>
+                        <listitem><para>булеве значення. Якщо True, буде виконано лише один запит із використанням
+значення first_prompt. Припускатиметься, що обидва фактори введено як один
+рядок. Будь ласка, зауважте, що тут може бути введено обидва фактори, навіть
+якщо другий фактор не є обов'язковим.</para></listitem>
+                        </varlistentry>
+                    </variablelist> Якщо другий
+фактор є необов'язковим і має бути збережено можливість входу або лише за
+паролем, або за двома факторами, має бути використано двокроковий запит.
+                    </para>
+                </listitem>
+            </varlistentry>
+        </variablelist>
+<variablelist>
+            <varlistentry condition="build_passkey">
+                <term>[prompting/passkey]</term>
+                <listitem>
+                    <para>to configure passkey authentication prompting, allowed options are:
+<variablelist>
+                    <varlistentry>
+                        <term>interactive</term>
+                        <listitem>
+                            <para>boolean value, if True prompt a message and wait before testing the presence
+of a passkey device.  Recommended if your device doesn’t have a tactile
+trigger.
+                            </para>
+                        </listitem>
+                    </varlistentry>
+                    <varlistentry>
+                        <term>interactive_prompt</term>
+                        <listitem>
+                            <para>to change the message of the interactive prompt.
+                            </para>
+                        </listitem>
+                    </varlistentry>
+                    <varlistentry>
+                        <term>touch</term>
+                        <listitem>
+                            <para>boolean value, if True prompt a message to remind the user to touch the
+device.
+                            </para>
+                        </listitem>
+                    </varlistentry>
+                    <varlistentry>
+                        <term>touch_prompt</term>
+                        <listitem>
+                            <para>to change the message of the touch prompt.
+                            </para>
+                        </listitem>
+                        </varlistentry>
+                    </variablelist>
+                    </para>
+                </listitem>
+            </varlistentry>
+        </variablelist>
+        </para>
+        <para>
+            Передбачено можливість додавання підрозділу для специфічних служб PAM,
+наприклад <quote>[prompting/password/sshd]</quote>, для окремої зміни запиту
+для цієї служби.
+        </para>
+    </refsect1>
+
+    <refsect1 id='example'>
+        <title>ПРИКЛАДИ</title>
+        <para>
+            1. Нижче наведено приклад типових налаштувань SSSD. Налаштування самого
+домену не наведено, — щоб дізнатися більше про неї, ознайомтеся з
+документацією щодо налаштовування доменів.  <programlisting>
+[sssd]
+domains = LDAP
+services = nss, pam
+config_file_version = 2
+
+[nss]
+filter_groups = root
+filter_users = root
+
+[pam]
+
+[domain/LDAP]
+id_provider = ldap
+ldap_uri = ldap://ldap.example.com
+ldap_search_base = dc=example,dc=com
+
+auth_provider = krb5
+krb5_server = kerberos.example.com
+krb5_realm = EXAMPLE.COM
+cache_credentials = true
+
+min_id = 10000
+max_id = 20000
+enumerate = False
+</programlisting>
+        </para>
+        <para>
+            2. У наведеному нижче прикладі показано налаштування довіри AD у IPA, де ліс
+AD складається з двох доменів у структурі батьківський-дочірній. Нехай домен
+IPA (ipa.com) має стосунки довіри з доменом AD (ad.com). ad.com має дочірній
+домен (child.ad.com). Щоб увімкнути скорочені назви у дочірньому домені,
+слід скористатися наведеними нижче налаштуваннями. <programlisting>
+[domain/ipa.com/child.ad.com]
+use_fully_qualified_names = false
+</programlisting>
+        </para>
+        <para>
+            3. The following example shows the configuration of a certificate mapping
+rule. It is valid for the configured domain <quote>my.domain</quote> and
+additionally for the subdomains <quote>your.domain</quote> and uses the full
+certificate in the search filter.  <programlisting>
+[certmap/my.domain/rule_name]
+matchrule = &lt;ISSUER&gt;^CN=My-CA,DC=MY,DC=DOMAIN$
+maprule = (userCertificate;binary={cert!bin})
+domains = my.domain, your.domain
+priority = 10
+</programlisting>
+        </para>
+    </refsect1>
+
+	<xi:include xmlns:xi="http://www.w3.org/2001/XInclude" href="include/seealso.xml" />
+
+</refentry>
+</reference>
diff --git a/src/man/uk/sssd_krb5_localauth_plugin.8.xml b/src/man/uk/sssd_krb5_localauth_plugin.8.xml
new file mode 100644
index 0000000..b329bfe
--- /dev/null
+++ b/src/man/uk/sssd_krb5_localauth_plugin.8.xml
@@ -0,0 +1,68 @@
+<?xml version="1.0" encoding="UTF-8"?>
+<!DOCTYPE reference PUBLIC "-//OASIS//DTD DocBook V4.4//EN"
+"http://www.oasis-open.org/docbook/xml/4.4/docbookx.dtd">
+<reference>
+<title>Сторінки підручника SSSD</title>
+<refentry>
+    <xi:include xmlns:xi="http://www.w3.org/2001/XInclude" href="include/upstream.xml" />
+
+    <refmeta>
+        <refentrytitle>sssd_krb5_localauth_plugin</refentrytitle>
+        <manvolnum>8</manvolnum>
+    </refmeta>
+
+    <refnamediv id='name'>
+        <refname>sssd_krb5_localauth_plugin</refname>
+        <refpurpose>Додаток для локального уповноваження Kerberos</refpurpose>
+    </refnamediv>
+
+    <refsect1 id='description'>
+        <title>ОПИС</title>
+        <para>
+            Додаток локального уповноваження Kerberos
+<command>sssd_krb5_localauth_plugin</command> використовує libkrb5 для того,
+щоб або знайти локальну назву для заданого реєстраційного запису Kerberos,
+або для перевірки того, чи задана локальна назва і заданий реєстраційний
+запис Kerberos є пов'язаними між собою.
+        </para>
+        <para>
+            SSSD обробляє локальні назви записів користувачів з віддаленого джерела і
+може також читати назву реєстраційного запису користувача Kerberos з
+віддаленого джерела. На основі цих даних SSSD може дуже просто обробити
+згадані вище прив'язки, навіть якщо локальна назва і реєстраційний запис
+Kerberos значно відрізняються.
+        </para>
+        <para>
+            Крім того, на основі даних, прочитаних з віддаленого джерела SSSD може
+допомогти запобігти неочікуваним або небажаним прив'язкам у випадку, коли
+назва запису користувача у реєстраційному записі Kerberos випадково
+збігатиметься із локальною назвою запису іншого користувача. Типово, libkrb5
+може просто вилучити з реєстраційного запису Kerberos частину, яку пов'язано
+із областю дії, для отримання локальної назви запису, що може призвести у
+цьому випадку до помилкових прив'язок.
+        </para>
+    </refsect1>
+
+    <refsect1 id='configuration'>
+        <title>НАЛАШТУВАННЯ</title>
+        <para>
+            Додаток локального уповноваження Kerberos має бути явним чином увімкнено у
+налаштуваннях Kerberos, див. <citerefentry>
+<refentrytitle>krb5.conf</refentrytitle> <manvolnum>5</manvolnum>
+</citerefentry>. SSSD автоматично створить фрагмент налаштувань із вмістом,
+подібним до такого: <programlisting>
+[plugins]
+ localauth = {
+  module = sssd:/usr/lib64/sssd/modules/sssd_krb5_localauth_plugin.so
+ }
+</programlisting> у
+загальнодоступному каталозі фрагментів налаштувань SSSD Kerberos. Якщо цей
+каталог включено до локальних налаштувань Kerberos, додаток буде увімкнено
+автоматично.
+        </para>
+    </refsect1>
+
+    <xi:include xmlns:xi="http://www.w3.org/2001/XInclude" href="include/seealso.xml" />
+
+</refentry>
+</reference>
diff --git a/src/man/uk/sssd_krb5_locator_plugin.8.xml b/src/man/uk/sssd_krb5_locator_plugin.8.xml
new file mode 100644
index 0000000..692e1a7
--- /dev/null
+++ b/src/man/uk/sssd_krb5_locator_plugin.8.xml
@@ -0,0 +1,108 @@
+<?xml version="1.0" encoding="UTF-8"?>
+<!DOCTYPE reference PUBLIC "-//OASIS//DTD DocBook V4.4//EN"
+"http://www.oasis-open.org/docbook/xml/4.4/docbookx.dtd">
+<reference>
+<title>Сторінки підручника SSSD</title>
+<refentry>
+    <xi:include xmlns:xi="http://www.w3.org/2001/XInclude" href="include/upstream.xml" />
+
+    <refmeta>
+        <refentrytitle>sssd_krb5_locator_plugin</refentrytitle>
+        <manvolnum>8</manvolnum>
+    </refmeta>
+
+    <refnamediv id='name'>
+        <refname>sssd_krb5_locator_plugin</refname>
+        <refpurpose>Додаток локатора Kerberos</refpurpose>
+    </refnamediv>
+
+    <refsect1 id='description'>
+        <title>ОПИС</title>
+        <para>
+            Для пошуку KDC для вказаної області Kerberos libkrb5 використовує додаток
+пошуку Kerberos <command>sssd_krb5_locator_plugin</command>. SSSD надає
+такий додаток для спрямовування усіх клієнтів Kerberos у системі до єдиного
+KDC. Загалом, немає значення, з яким KDC клієнт обмінюється даними. Втім,
+бувають випадки, наприклад, після зміни пароля, коли не усі KDC перебувають
+в одному стані, оскільки нові дані має бути спочатку відтворено на усіх
+серверах. Щоб уникнути неочікуваних помилок під час розпізнавання або навіть
+блокування облікових записів, варто примусово обмежувати обмін даними до
+одного KDC якомога довше.
+        </para>
+        <para>
+            libkrb5 шукатиме додаток пошуку у підкаталозі libkrb5 каталогу додатків
+Kerberos, див. plugin_base_dir у <citerefentry>
+<refentrytitle>krb5.conf</refentrytitle> <manvolnum>5</manvolnum>
+</citerefentry>, щоб дізнатися більше. Додаток можна вимкнути лише
+вилученням файла додатка. У налаштуваннях Kerberos не передбачено пунктів
+для його вимикання. Втім, для вимикання додатка для окремих команд можна
+скористатися змінною середовища SSSD_KRB5_LOCATOR_DISABLE. Крім того, можна
+скористатися параметром SSSD krb5_use_kdcinfo=False з метою заборони
+створення даних, які потрібні для роботи додатка. Якщо визначити цю змінну,
+додаток викликатиметься, але не надаватиме дані функції виклику, отже
+libkrb5 зможе повернутися до інших методів, які визначено у krb5.conf.
+        </para>
+        <para>
+            Додаток читає дані щодо KDC вказаної області з файла із назвою
+<filename>kdcinfo.REALM</filename>. Цей файл має містити одну або декілька
+назв DNS або IP-адрес або у форматі чисел, які відокремлено крапками, IPv4,
+або у шістнадцятковому форматі IPv6. Можна додати необов'язковий номер порту
+наприкінці, відокремивши його від решти запису двокрапкою. У цьому випадку,
+як завжди, адресу IPv6 слід взяти у квадратні дужки. Коректними вважаються
+такі записи:
+            <itemizedlist>
+                <listitem><para>kdc.example.com</para></listitem>
+                <listitem><para>kdc.example.com:321</para></listitem>
+                <listitem><para>1.2.3.4</para></listitem>
+                <listitem><para>5.6.7.8:99</para></listitem>
+                <listitem><para>2001:db8:85a3::8a2e:370:7334</para></listitem>
+                <listitem><para>[2001:db8:85a3::8a2e:370:7334]:321</para></listitem>
+            </itemizedlist>
+            Надавач даних розпізнавання krb5 SSSD, який використовується також
+надавачами даних IPA та AD, додає до цього файла адресу поточного KDC або
+контролера домену, який використовує SSSD.
+        </para>
+        <para>
+            У середовищах із придатними лише для читання або для читання запису KDC, де,
+як очікується, клієнти використовуватимуть придатні лише для читання
+екземпляри для виконання загальних завдань і користуватиметься призначеними
+для запису KDC лише для внесення змін до налаштувань, зокрема зміни паролів,
+<filename>kpasswdinfo.REALM</filename> також використовується для визначення
+придатних до читання і запису KDC. Якщо цей файл існує для вказаної області,
+його вміст буде використано додатком для надання відповідей на запити щодо
+сервера kpasswd або kadmin чи щодо певного основного KDC MIT Kerberos. Якщо
+адреса містить номер порту, для останньої мети використовуватиметься типовий
+порт KDC 88.
+        </para>
+    </refsect1>
+
+    <refsect1 id='notes'>
+        <title>ЗАУВАЖЕННЯ</title>
+        <para>
+            Підтримку використання додатків передбачено не у всіх реалізаціях
+Kerberos. Якщо у вашій системі немає
+<command>sssd_krb5_locator_plugin</command>, вам слід внести зміни до
+/etc/krb5.conf, які відповідатимуть вашій версії Kerberos.
+        </para>
+        <para>
+            Якщо встановлено будь-яке значення змінної середовища
+SSSD_KRB5_LOCATOR_DEBUG, діагностичні повідомлення надсилатимуться до
+stderr.
+        </para>
+        <para>
+            Якщо встановлено будь-яке значення для змінної середовища
+SSSD_KRB5_LOCATOR_DISABLE, додаток буде вимкнено і поверне функції виклику
+лише KRB5_PLUGIN_NO_HANDLE.
+        </para>
+        <para>
+            Якщо встановлено будь-яке значення змінної середовища
+SSSD_KRB5_LOCATOR_IGNORE_DNS_FAILURES, додаток спробує визначити усі назви
+DNS у файлі kdcinfo. Типово, додаток повертає функції виклику
+KRB5_PLUGIN_NO_HANDLE негайно після першої ж невдалої спроби визначення DNS.
+        </para>
+    </refsect1>
+
+    <xi:include xmlns:xi="http://www.w3.org/2001/XInclude" href="include/seealso.xml" />
+
+</refentry>
+</reference>