sssd-ldap 5 Форматы файлов и рекомендации sssd-ldap Поставщик данных LDAP SSSD На этой справочной странице представлено описание настройки доменов LDAP для sssd 8 . Подробные сведения о синтаксисе доступны в разделе ФОРМАТ ФАЙЛА справочной страницы sssd.conf 5 . Возможно настроить SSSD на использование нескольких доменов LDAP. LDAP back end supports id, auth, access and chpass providers. If you want to authenticate against an LDAP server either TLS/SSL or LDAPS is required. sssd does not support authentication over an unencrypted channel. Even if the LDAP server is used only as an identity provider, an encrypted channel is strongly recommended. Please refer to ldap_access_filter config option for more information about using LDAP as an access provider. Все общие параметры конфигурации, которые применимы к доменам SSSD, также применимы и к доменам LDAP. Подробные сведения доступны в разделе РАЗДЕЛЫ ДОМЕНА справочной страницы sssd.conf 5 . Обратите внимание, что описание атрибутов сопоставления LDAP SSSD LDAP приводится на справочной странице sssd-ldap-attributes 5 . ldap_uri, ldap_backup_uri (строка) Разделённый запятыми список URI серверов LDAP, к которым SSSD следует подключаться в порядке приоритета. Дополнительные сведения об отработке отказа и избыточности сервера доступны в разделе ОТРАБОТКА ОТКАЗА. Если не указан ни один из параметров, будет включено обнаружение служб. Дополнительные сведения доступны в разделе ОБНАРУЖЕНИЕ СЛУЖБ. Формат URI должен соответствовать формату, определённому в RFC 2732: ldap[s]://<host>[:port] Для явного указания адресов IPv6 <host> необходимо заключать в скобки [] пример: ldap://[fc00::126:25]:389 ldap_chpass_uri, ldap_chpass_backup_uri (строка) Разделённый запятыми список URI серверов LDAP, к которым SSSD следует подключаться в порядке приоритета для смены пароля пользователя. Дополнительные сведения об отработке отказа и избыточности сервера доступны в разделе ОТРАБОТКА ОТКАЗА. Для включения обнаружения служб необходимо установить значение параметра ldap_chpass_dns_service_name. По умолчанию: пусто, то есть используется ldap_uri. ldap_search_base (строка) Стандартное base DN, которое следует использовать для выполнения действий от имени пользователя LDAP. Начиная с версии 1.7.0, SSSD поддерживает несколько баз поиска. Используется следующий синтаксис: search_base[?scope?[filter][?search_base?scope?[filter]]*] Значением области может быть одно из следующих: «base», «onelevel» или «subtree». Фильтр должен являться корректным фильтром поиска LDAP согласно спецификации http://www.ietf.org/rfc/rfc2254.txt Примеры: ldap_search_base = dc=example,dc=com (что эквивалентно) ldap_search_base = dc=example,dc=com?subtree? ldap_search_base = cn=host_specific,dc=example,dc=com?subtree?(host=thishost)?dc=example.com?subtree? Примечание: не поддерживается использование нескольких баз поиска, которые ссылаются на объекты с одинаковыми именами (например, на группы с одинаковым именем в двух разных базах поиска). Это приведёт к непредсказуемому поведению программы на клиентских компьютерах. По умолчанию: если не задано, используется значение атрибута defaultNamingContext или namingContexts из RootDSE сервера LDAP. Если атрибут defaultNamingContext не существует или имеет пустое значение, используется значение namingContexts. Для работы этого параметра необходимо, чтобы атрибут namingContexts имел одно значение с DN базы поиска сервера LDAP. Использование нескольких значений не поддерживается. ldap_schema (строка) Указывает тип схемы, который используется на сервере LDAP цели. Стандартные имена атрибутов, получаемые с серверов, зависят от выбранной схемы. Также может различаться и способ обработки некоторых атрибутов. В настоящее время поддерживаются четыре типа схем: rfc2307 rfc2307bis IPA AD Главное различие между этими типами схем заключается в способе записи участия в группах на сервере. В схеме rfc2307 записи участников групп упорядочиваются по имени в атрибуте memberUid. В схемах rfc2307bis и IPA записи участников групп упорядочиваются по DN и хранятся в атрибуте member. В схеме AD атрибуты будут соответствовать значениям 2008r2 Active Directory. По умолчанию: rfc2307 ldap_pwmodify_mode (строка) Позволяет указать действие, которое выполняется для смены пароля пользователя. В настоящее время поддерживаются два режима: exop — расширенное действие по изменению пароля (RFC 3062) ldap_modify — прямое изменение userPassword (не рекомендуется). Примечание: сначала устанавливается новое соединение для проверки текущего пароля путём привязки от имени пользователя, запросившего смену пароля. В случае успеха это соединение используется для смены пароля, следовательно, у пользователя должны быть права на запись в атрибут userPassword. По умолчанию: exop ldap_default_bind_dn (строка) Стандартное DN привязки, которое следует использовать для выполнения действий LDAP. ldap_default_authtok_type (строка) Тип маркера проверки подлинности для bind DN по умолчанию. В настоящее время поддерживаются два механизма: password obfuscated_password По умолчанию: password Дополнительные сведения доступны на справочной странице sss_obfuscate 8 . ldap_default_authtok (строка) Маркер проверки подлинности стандартного DN привязки. ldap_force_upper_case_realm (логическое значение) Некоторые серверы каталогов, например Active Directory, могут предоставлять часть области UPN в нижнем регистре, что может привести к сбою проверки подлинности. Установите этот параметр в значение, отличное от нуля, если следует использовать название области в верхнем регистре. По умолчанию: false ldap_enumeration_refresh_timeout (целое число) Указывает время ожидания SSSD (в секундах) перед обновлением своего кэша перечисленных записей. Этот параметр также может быть задан для каждого поддомена отдельно или унаследован с помощью subdomain_inherit. По умолчанию: 300 ldap_purge_cache_timeout (целое число) Позволяет определить, как часто следует проверять кэш на наличие неактивных записей (таких, как группы без участников и пользователи, которые никогда не выполняли вход) и удалять эти записи для экономии места. Установка этого параметра в значение «0» отключит очистку кэша. Обратите внимание: если перечисление включено, задание очистки должно выполняться для определения записей, удалённых с сервера, и его нельзя отключить. По умолчанию задание очистки выполняется раз в 3 часа, когда перечисление включено. Этот параметр также может быть задан для каждого поддомена отдельно или унаследован с помощью subdomain_inherit. По умолчанию: 0 (отключено) ldap_group_nesting_level (целое число) Если в качестве значения ldap_schema выбран формат схемы, который поддерживает вложенные группы (например, RFC2307bis), этот параметр определяет количество уровней вложенности, которое будет обрабатываться SSSD. Если используется схема RFC2307, этот параметр ни на что не влияет. Примечание: этот параметр задаёт гарантированный уровень вложенности групп, который будет обрабатываться при любом поиске. Тем не менее, в результатах поиска могут присутствовать вложенные группы, уровень вложенности которых превышает указанное значение, если при предыдущих поисках выполнялась обработка более глубоких уровней вложенности. Кроме того, последующие поиски других групп могут увеличить набор результатов исходного поиска, когда он будет выполнен повторно. Если параметр ldap_group_nesting_level установлен в значение «0», обработка вложенных групп выполняться не будет. Тем не менее, если с помощью id_provider=ad установлено соединение с Active Directory Server 2008 и выше, также будет необходимо отключить использование групп маркеров путём установки параметра ldap_use_tokengroups в значение «false» для ограничения вложенности групп. По умолчанию: 2 ldap_use_tokengroups Этот параметр включает или отключает использование атрибута групп маркеров при выполнении initgroup для пользователей Active Directory Server 2008 или выше. Этот параметр также может быть задан для каждого поддомена отдельно или унаследован с помощью subdomain_inherit. По умолчанию: True для AD и IPA, в ином случае — False. ldap_host_search_base (строка) Необязательный параметр. Использовать указанную строку как базу поиска объектов узлов. Сведения о настройке нескольких баз поиска доступны в описании параметра ldap_search_base. По умолчанию: значение ldap_search_base ldap_service_search_base (строка) ldap_iphost_search_base (строка) ldap_ipnetwork_search_base (строка) ldap_search_timeout (целое число) Позволяет указать тайм-аут (в секундах) для выполнения поиска LDAP, по истечении которого поиск будет отменён и будут возвращены кэшированные результаты (и выполнен переход в автономный режим) Примечание: этот параметр будет изменён в будущих версиях SSSD. Вероятно, его заменит ряд тайм-аутов для отдельных типов поиска. Этот параметр также может быть задан для каждого поддомена отдельно или унаследован с помощью subdomain_inherit. По умолчанию: 6 ldap_enumeration_search_timeout (целое число) Позволяет указать тайм-аут (в секундах) для выполнения LDAP поиска перечислений пользователей и групп, по истечении которого поиск будет отменён и будут возвращены кэшированные результаты (и выполнен переход в автономный режим) Этот параметр также может быть задан для каждого поддомена отдельно или унаследован с помощью subdomain_inherit. По умолчанию: 60 ldap_network_timeout (целое число) Позволяет указать тайм-аут (в секундах), по истечении которого в случае отсутствия активности возвращается poll 2 / select 2 после connect 2 . Этот параметр также может быть задан для каждого поддомена отдельно или унаследован с помощью subdomain_inherit. По умолчанию: 6 ldap_opt_timeout (целое число) Позволяет указать тайм-аут (в секундах), по истечении которого вызовы синхронных программных интерфейсов LDAP будут прекращены, если не будет получен ответ. Этот параметр также управляет тайм-аутом при обмене данными с KDC в случае использования привязки SASL, тайм-аутом операции привязки LDAP, расширенного действия по смене пароля и действия StartTLS. Этот параметр также может быть задан для каждого поддомена отдельно или унаследован с помощью subdomain_inherit. По умолчанию: 8 ldap_connection_expire_timeout (целое число) Позволяет указать тайм-аут (в секундах), в течение которого будет поддерживаться соединение с сервером LDAP. По истечении этого времени будет предпринята попытка повторного подключения. Если параллельно используется SASL/GSSAPI, будет использоваться первое по времени наступления из этих двух значений (значение этого параметра или значение времени жизни TGT). Если соединение простаивает (активные операции не выполняются) в течение ldap_opt_timeout секунд после истечения срока действия, оно будет закрыто досрочно, чтобы гарантировать, что новый запрос не может требовать, чтобы соединение оставалось открытым после истечения срока его действия. Это означает, что соединения всегда будут закрываться немедленно, и не будут использоваться повторно, если ldap_connection_expire_timeout <= ldap_opt_timout Этот тайм-аут может быть увеличен случайным значением, указанным с помощью параметра ldap_connection_expire_offset Этот параметр также может быть задан для каждого поддомена отдельно или унаследован с помощью subdomain_inherit. По умолчанию: 900 (15 минут) ldap_connection_expire_offset (целое число) Случайная задержка от 0 до настроенного значения добавляется к ldap_connection_expire_timeout. Этот параметр также может быть задан для каждого поддомена отдельно или унаследован с помощью subdomain_inherit. По умолчанию: 0 ldap_connection_idle_timeout (целое число) Позволяет указать тайм-аут (в секундах), в течение которого будет поддерживаться неактивное соединение с сервером LDAP. Если соединение бездействует дольше этого времени, соединение будет закрыто. Можно отключить этот тайм-аут, установив значение «0». Этот параметр также может быть задан для каждого поддомена отдельно или унаследован с помощью subdomain_inherit. По умолчанию: 900 (15 минут) ldap_page_size (целое число) Позволяет указать количество записей для получения от LDAP в ответ на один запрос. На некоторых серверах LDAP задано ограничение максимального количества на один запрос. По умолчанию: 1000 ldap_disable_paging (логическое значение) Отключить управление переходами между страницами LDAP. Этот параметр следует использовать, если сервер LDAP сообщает о том, что поддерживает управление переходами между страницами LDAP в своём RootDSE, но оно не включено или не работает надлежащим образом. Пример: серверы OpenLDAP с модулем управлением переходами между страницами, который установлен на сервере, но не включён, будут сообщать о нём в RootDSE, но не смогут использовать его. Пример: в 389 DS есть внутренняя ошибка, из-за которой для одного подключения одновременно поддерживается только одно средство управления переходами между страницами. Если поступает много запросов, это может привести к отказам в выполнении некоторых из них. По умолчанию: false ldap_disable_range_retrieval (логическое значение) Отключить получение диапазонов Active Directory. Active Directory ограничивает количество участников, которые могут быть получены за один поиск, с помощью политики MaxValRange (значение по умолчанию — 1500 участников). Если группа содержит большее количество участников, ответ будет включать специфичное для AD расширение диапазона. Этот параметр отключает обработку расширения диапазона, следовательно, большие группы будут показаны как группы без участников. По умолчанию: false ldap_sasl_minssf (целое число) Позволяет указать минимальный уровень безопасности, необходимый для установки соединения в случае обмена данными с сервером LDAP с помощью SASL. Значение этого параметра определяется OpenLDAP. По умолчанию: использовать стандартное системное значение (обычно указывается в ldap.conf) ldap_sasl_maxssf (целое число) Позволяет указать максимальный уровень безопасности, необходимый для установки соединения в случае обмена данными с сервером LDAP с помощью SASL. Значение этого параметра определяется OpenLDAP. По умолчанию: использовать стандартное системное значение (обычно указывается в ldap.conf) ldap_deref_threshold (целое число) Позволяет указать количество записей участников групп, которые должны отсутствовать во внутреннем кэше для активации поиска с разыменованием. Если отсутствует меньшее количество записей участников, поиск будет выполняться для каждого из них по отдельности. Чтобы полностью отключить поиск с разыменованием, установите значение «0». Обратите внимание, что в коде SSSD, например коде поставщика данных HBAC IPA, имеются некоторые инструкции, которые реализуются только с использованием вызова разыменования. Даже если разыменование явно отключено, оно всё равно будет использоваться в этих частях кода, если сервер поддерживает его и объявляет управление разыменованием в объекте rootDSE. Поиск с разыменованием позволяет получить всех участников групп за один вызов LDAP. На разных серверах LDAP могут быть реализованы разные методы разыменования. В настоящее время поддерживаются следующие серверы: 389/RHDS, OpenLDAP и Active Directory. Примечание: если какая-либо из баз поиска задаёт фильтр поиска, то улучшение быстродействия поиска с разыменованием будет отключено,независимо от значения этого параметра. По умолчанию: 10 ldap_ignore_unreadable_references (логическое значение) Игнорировать нечитаемые записи LDAP, указанные в атрибуте участника группы. Если для этого параметра установлено значение «false», будет возвращено сообщение об ошибке, а действие завершится ошибкой вместо простого игнорирования нечитаемой записи. Этот параметр может быть полезен, если используется поставщик данных AD, а учетная запись компьютера, используемая sssd для установления соединения с AD, не имеет доступа к определенной записи или поддереву LDAP из соображений безопасности. По умолчанию: false ldap_tls_reqcert (строка) Позволяет указать, какие проверки следует выполнять для сертификатов сервера в сеансе TLS, если это требуется. Можно указать одно из следующих значений: never = клиент не будет запрашивать или проверять сертификаты сервера. allow = будет запрашиваться сертификат сервера. Если сертификат не предоставлен, сеанс продолжится в обычном режиме. Если предоставлен ошибочный сертификат, он будет проигнорирован, и сеанс продолжится в обычном режиме. try = будет запрашиваться сертификат сервера. Если сертификат не предоставлен, сеанс продолжится в обычном режиме. Если предоставлен ошибочный сертификат, сеанс немедленно будет завершён. demand = будет требоваться сертификат сервера. Если сертификат не предоставлен или предоставлен ошибочный сертификат, сеанс немедленно будет завершён. hard = аналогично demand По умолчанию: hard ldap_tls_cacert (строка) Позволяет указать файл, который содержит сертификаты для всех центров сертификации, которые распознаются sssd. По умолчанию: использовать стандартные параметры OpenLDAP, которые обычно хранятся в /etc/openldap/ldap.conf ldap_tls_cacertdir (строка) Позволяет указать путь к каталогу, в котором хранятся сертификаты центра сертификации, каждый в своём файле. Обычно имена файлов — это хэш сертификата, за которым следует «.0». Для создания корректных имён можно использовать команду cacertdir_rehash, если она доступна. По умолчанию: использовать стандартные параметры OpenLDAP, которые обычно хранятся в /etc/openldap/ldap.conf ldap_tls_cert (строка) Позволяет указать файл, который содержит сертификат для ключа клиента. По умолчанию: не задано ldap_tls_key (строка) Позволяет указать файл, который содержит ключ клиента. По умолчанию: не задано ldap_tls_cipher_suite (строка) Позволяет указать допустимые комплекты шифров. Обычно представляет собой список, разделённый двоеточиями. Описание формата доступно на справочной странице ldap.conf 5. По умолчанию: использовать стандартные параметры OpenLDAP, которые обычно хранятся в /etc/openldap/ldap.conf ldap_id_use_start_tls (логическое значение) Specifies that the id_provider connection must also use tls to protect the channel. true is strongly recommended for security reasons. По умолчанию: false ldap_id_mapping (логическое значение) Позволяет указать, что SSSD следует пытаться сопоставить идентификаторы пользователя и группы из атрибутов ldap_user_objectsid и ldap_group_objectsid, а не полагаться на ldap_user_uid_number и ldap_group_gid_number. В настоящее время эта функциональная возможность поддерживает только сопоставление objectSID Active Directory. По умолчанию: false ldap_min_id, ldap_max_id (целое число) В отличие от сопоставления идентификаторов на основе SID, которое используется, если параметр ldap_id_mapping установлен в значение «true», допустимый диапазон идентификаторов для ldap_user_uid_number и ldap_group_gid_number является неограниченным. В конфигурациях с поддоменами и доверенными доменами это может привести к конфликтам идентификаторов. Чтобы избежать конфликтов, можно указать параметры ldap_min_id и ldap_max_id для ограничения допустимого диапазона идентификаторов, чтение которых выполняется непосредственно с сервера. После этого поддомены могут выбрать другие диапазоны для сопоставления идентификаторов. По умолчанию: не задано (оба параметра установлены в значение 0) ldap_sasl_mech (строка) Позволяет указать механизм SASL, который следует использовать. В настоящее время протестированы и поддерживаются только GSSAPI и GSS-SPNEGO. Если внутренний сервер поддерживает поддомены, значение ldap_sasl_mech автоматически наследуется поддоменами. Если для поддомена требуется использовать другое значение, это значение можно перезаписать, явно указав ldap_sasl_mech для этого поддомена. Для получения подробных сведений смотрите «РАЗДЕЛ ДОВЕРЕННЫХ ДОМЕНОВ» на справочной странице sssd.conf 5. По умолчанию: не задано ldap_sasl_authid (строка) Позволяет указать идентификатор проверки подлинности SASL, который следует использовать. Если используется GSSAPI/GSS-SPNEGO, он представляет собой участника Kerberos, который используется для проверки подлинности при доступе к каталогу. Этот параметр может содержать либо полное имя участника (например, host/myhost@EXAMPLE.COM), либо просто имя участника (например, host/myhost). По умолчанию это значение не задано, используются следующие участники: hostname@REALM netbiosname$@REALM host/hostname@REALM *$@REALM host/*@REALM host/* Если они не найдены, возвращается первый участник из таблицы ключей. По умолчанию: host/hostname@REALM ldap_sasl_realm (строка) Позволяет указать область SASL, которую следует использовать. Если значение не указано, по умолчанию будет использоваться значение krb5_realm. Если ldap_sasl_authid также содержит область, этот параметр игнорируется. По умолчанию: значение krb5_realm. ldap_sasl_canonicalize (логическое значение) Если установлено в значение «true», библиотека LDAP будет выполнять обратный просмотр для преобразования имени узла в каноническую форму во время привязки SASL. По умолчанию: false; ldap_krb5_keytab (строка) Позволяет указать таблицу ключей, которую следует использовать при использовании проверки подлинности с помощью SASL/GSSAPI/GSS-SPNEGO. Этот параметр также может быть задан для каждого поддомена отдельно или унаследован с помощью subdomain_inherit. По умолчанию: системная таблица ключей, обычно /etc/krb5.keytab ldap_krb5_init_creds (логическое значение) Позволяет указать, что id_provider должен инициализировать учётные данные Kerberos (TGT). Это действие выполняется только в том случае, если используется SASL и выбран механизм GSSAPI или GSS-SPNEGO. По умолчанию: true ldap_krb5_ticket_lifetime (целое число) Позволяет указать время жизни TGT (в секундах), если используется GSSAPI или GSS-SPNEGO. Этот параметр также может быть задан для каждого поддомена отдельно или унаследован с помощью subdomain_inherit. По умолчанию: 86400 (24 часа) krb5_server, krb5_backup_server (строка) Разделённый запятыми список IP-адресов или имён узлов серверов Kerberos, к которым SSSD следует подключаться в порядке приоритета. Дополнительные сведения об отработке отказа и избыточности сервера доступны в разделе ОТРАБОТКА ОТКАЗА. После адресов или имён узлов можно (необязательно) добавить номер порта (предварив его двоеточием). Если у параметра пустое значение, будет включено обнаружение служб — дополнительные сведения доступны в разделе ОБНАРУЖЕНИЕ СЛУЖБ. При использовании обнаружения служб для серверов KDC или kpasswd SSSD сначала выполняет поиск записей DNS, в которых в качестве протокола указан _udp. Если такие записи не удаётся найти, SSSD выполняет поиск записей DNS, в которых в качестве протокола указан _tcp. В предыдущих версиях SSSD этот параметр назывался krb5_kdcip. Это устаревшее имя всё ещё распознаётся, но пользователям рекомендуется перейти на использование krb5_server в файлах конфигурации. krb5_realm (строка) Позволяет указать область Kerberos (для проверки подлинности с помощью SASL/GSSAPI/GSS-SPNEGO). По умолчанию: стандартные параметры системы, см. /etc/krb5.conf krb5_canonicalize (логическое значение) Позволяет указать, следует ли приводить в каноническую форму имя участника-узла при подключении к серверу LDAP. Эта возможность доступна в MIT Kerberos >= 1.7 По умолчанию: false krb5_use_kdcinfo (логическое значение) Позволяет указать, следует ли SSSD сообщать библиотекам, какую область и какие KDC нужно использовать. Этот параметр включён по умолчанию. Если отключить его, потребуется настроить библиотеку Kerberos с помощью файла конфигурации krb5.conf 5 . Дополнительные сведения о модуле локатора доступны на справочной странице sssd_krb5_locator_plugin 8 . По умолчанию: true ldap_pwd_policy (строка) Позволяет выбрать политику оценки истечения срока действия пароля на стороне клиента. Допускаются следующие значения: none — без оценки на стороне клиента. С помощью этого параметра нельзя отключить политики паролей на стороне сервера. shadow — использовать атрибуты в стиле shadow 5 для проверки того, не истёк ли срок действия пароля. См. также опцию «ldap_chpass_update_last_change». mit_kerberos — использовать атрибуты, которые используются MIT Kerberos, для определения того, не истёк ли срок действия пароля. Чтобы обновить эти атрибуты в случае смены пароля, воспользуйтесь chpass_provider=krb5. По умолчанию: none Примечание: если на стороне сервера настроена политика паролей, она всегда будет иметь приоритет над политикой, заданной с помощью этого параметра. ldap_referrals (логическое значение) Позволяет указать, следует ли включить автоматическое прослеживание ссылок. Обратите внимание, что sssd поддерживает прослеживание ссылок только в том случае, если сервис собран с OpenLDAP версии 2.4.13 или выше. Прослеживание ссылок может замедлять работу в средах, где оно широко применяется. Яркий пример такой среды — Microsoft Active Directory. Если в используемой среде нет реальной необходимости в прослеживании ссылок, можно установить этот параметр в значение «false»; это позволит заметно повысить производительность. Поэтому в том случае, когда поставщик данных LDAP SSSD используется совместно с Microsoft Active Directory в качестве внутреннего сервера, рекомендуется установить этот параметр в значение «false». Даже если бы у SSSD была возможность перейти по ссылке к другому контроллеру домена AD, это не позволило бы получить дополнительные данные. По умолчанию: true ldap_dns_service_name (строка) Позволяет указать имя службы, которое будет использоваться, когда включено обнаружение служб. По умолчанию: ldap ldap_chpass_dns_service_name (строка) Позволяет указать имя службы для поиска сервера LDAP, который позволяет менять пароль, когда включено обнаружение служб. По умолчанию: не задано, то есть обнаружение служб отключено ldap_chpass_update_last_change (логическое значение) Позволяет указать, следует ли обновлять атрибут ldap_user_shadow_last_change данными о количестве дней с момента выполнения действия по смены пароля. Рекомендуется установить этот параметр явно, если используется «ldap_pwd_policy = shadow», чтобы сообщить SSSD, будет ли сервер LDAP автоматически обновлять атрибут shadowLastChange LDAP после смены пароля или SSSD должен обновить его. По умолчанию: false ldap_access_filter (строка) При использовании access_provider = ldap и ldap_access_order = filter (по умолчанию) этот параметр является обязательным. Он задаёт условия фильтра поиска LDAP, при условии соблюдения которых пользователю будет предоставлен доступ к этому узлу. Если при использовании access_provider = ldap, ldap_access_order = filter этот параметр не задан, всем пользователям будет отказано в доступе. Чтобы изменить это стандартное поведение, используйте access_provider = permit. Обратите внимание, что этот фильтр применяется только к записи пользователя LDAP и, соответственно, может не работать фильтрация на основе вложенных групп (например, атрибут memberOf в записях AD указывает только на прямые родительские записи). Если фильтрацию на основе вложенных групп необходимо выполнять, ознакомьтесь со справочной страницей sssd-simple5 . Пример: access_provider = ldap ldap_access_filter = (employeeType=admin) В этом примере доступ к узлу представляется только тем пользователям, атрибут employeeType которых установлен в значение «admin». Автономное кэширование для этой возможности ограничивается определением того, было ли предоставлено разрешение на доступ при последнем входе пользователя в сетевом режиме. Если при последнем входе пользователю был разрешён доступ, он также будет разрешён и в автономном режиме. Если же при последнем входе пользователю был запрещён доступ, он также будет запрещён и в автономном режиме. По умолчанию: пусто ldap_account_expire_policy (строка) С помощью этого параметра можно включить оценку атрибутов управления доступом на стороне клиента. Обратите внимание, что всегда рекомендуется использовать управление доступом на стороне сервера, то есть сервер LDAP должен отклонять запрос привязки с соответствующим кодом ошибки, даже если пароль верен. Допускаются следующие значения: shadow: использовать значение ldap_user_shadow_expire для определения того, не истёк ли срок действия учётной записи. ad: использовать значение 32-битного поля ldap_user_ad_user_account_control и разрешать доступ, если второй бит не задан. Если атрибут отсутствует, доступ предоставляется. Также проверяется, не истёк ли срок действия учётной записи. rhds, ipa, 389ds: использовать значение ldap_ns_account_lock, чтобы проверить, разрешён ли доступ. nds: использовать значения ldap_user_nds_login_allowed_time_map, ldap_user_nds_login_disabled и ldap_user_nds_login_expiration_time, чтобы проверить, разрешён ли доступ. Если все атрибуты отсутствуют, доступ предоставляется. Обратите внимание, что параметр конфигурации ldap_access_order должен включать expire, чтобы можно было использовать параметр ldap_account_expire_policy. По умолчанию: пусто ldap_access_order (строка) Разделённый запятыми список параметров управления доступом. Допустимые значения: filter: использовать ldap_access_filter lockout: использовать блокировку учётных записей. Если этот параметр установлен, он запрещает доступ, когда атрибут LDAP «pwdAccountLockedTime» присутствует и имеет значение «000001010000Z». Подробные сведения доступны в описании параметра ldap_pwdlockout_dn. Обратите внимание, что для работы этой возможности необходимо задать «access_provider = ldap». Обратите внимание, что над этим параметром имеет приоритет параметр ppolicy и этот параметр может быть удалён в следующей версии. ppolicy: использовать блокировку учётных записей. Если этот параметр установлен, он запрещает доступ, когда атрибут LDAP «pwdAccountLockedTime» присутствует и имеет значение «000001010000Z» или представляет любое время в прошлом. Значение атрибута «pwdAccountLockedTime» должно заканчиваться на «Z» (это означает часовой пояс UTC). В настоящее время не поддерживается использование других часовых поясов; если они будут заданы, при попытках пользователей войти в систему будет появляться сообщение об отказе в доступе. Подробные сведения доступны в описании параметра ldap_pwdlockout_dn. Обратите внимание, что для работы этой возможности необходимо задать «access_provider = ldap». expire: использовать ldap_account_expire_policy pwd_expire_policy_reject, pwd_expire_policy_warn, pwd_expire_policy_renew: эти параметры полезны, если пользователям нужно предупреждение о том, что срок действия пароля истекает, и для проверки подлинности используются не пароли, а, например, ключи SSH. The difference between these options is the action taken if user password is expired: pwd_expire_policy_reject - user is denied to log in, pwd_expire_policy_warn - user is still able to log in, pwd_expire_policy_renew - user is prompted to change their password immediately. Следует учитывать, что для работы этой возможности необходимо указать «access_provider = ldap». Также необходимо указать соответствующую политику паролей в качестве значения параметра «ldap_pwd_policy». authorized_service: использовать атрибут authorizedService для определения возможности доступа host: использовать атрибут host для определения возможности доступа rhost: использовать атрибут rhost для определения возможности доступа удалённого узла Обратите внимание, что значение поля rhost в pam устанавливается приложением; рекомендуется проверить, что приложение отправляет в pam, прежде чем включать этот параметр управления доступом По умолчанию: filter Обратите внимание, что использование значения более одного раза является ошибкой конфигурации. ldap_pwdlockout_dn (строка) Этот параметр позволяет указать DN записи политики паролей на сервере LDAP. Обратите внимание: если в sssd.conf не будет этого параметра, когда используется блокировка учётных записей, в доступе будет отказано из-за невозможности надлежащим образом проверить атрибуты ppolicy на сервере LDAP. Пример: cn=ppolicy,ou=policies,dc=example,dc=com По умолчанию: cn=ppolicy,ou=policies,$ldap_search_base ldap_deref (строка) Позволяет указать, как осуществляется разыменование псевдонимов при выполнении поиска. Допустимые варианты: never: разыменование псевдонимов не выполняется. searching: разыменование псевдонимов выполняется в подчиненных базового объекта, но не при определении расположения базового объекта поиска. finding: разыменование псевдонимов выполняется только при определении расположения базового объекта поиска. always: разыменование псевдонимов выполняется как при поиске, так и при определении расположения базового объекта поиска. По умолчанию: пусто (обрабатывается как never клиентскими библиотеками LDAP) ldap_rfc2307_fallback_to_local_users (логическое значение) Разрешает сохранять локальных пользователей как участников группы LDAP для серверов, которые используют схему RFC2307. В некоторых средах, где используется схема RFC2307, локальных пользователей можно сделать участниками групп LDAP путём добавления их имён в атрибут memberUid. При этом нарушается внутренняя согласованность домена, поэтому SSSD обычно удаляет записи «отсутствующих» пользователей из кэшированных данных об участии в группах, как только nsswitch выполняет попытку получить информацию о пользователе через вызовы getpw*() или initgroups(). При использовании этого параметра программа возвращается к проверке наличия ссылок на локальных пользователей и кэширует их записи, чтобы последующие вызовы initgroups() расширяли список локальных пользователей дополнительными группами LDAP. По умолчанию: false wildcard_limit (целое число) Позволяет указать верхний предел количества записей, загружаемых во время поиска с использованием подстановочных знаков. В настоящее время только ответчик InfoPipe поддерживает поиск с использованием подстановочных знаков. По умолчанию: 1000 (часто размер одной страницы) ldap_library_debug_level (целое число) Включает отладку libldap на указанном уровне. Сообщения отладки libldap записываются независимо от общего debug_level. OpenLDAP использует битовую карту для включения отладки определённых компонентов, -1 включает полный отладочный вывод. По умолчанию: 0 (отладка libldap отключена) Подробные инструкции по настройке sudo_provider доступны на справочной странице sssd-sudo 5 . ldap_sudo_full_refresh_interval (целое число) Интервал в секундах между полными обновлениями правил sudo SSSD (при которых загружаются все правила, которые хранятся на сервере). Это значение должно быть больше, чем ldap_sudo_smart_refresh_interval Полное обновление можно отключить, установив этот параметр в значение «0». Но должно быть включено либо интеллектуальное, либо полное обновление. По умолчанию: 21600 (6 часов) ldap_sudo_smart_refresh_interval (целое число) Количество секунд, в течение которого SSSD ожидает перед выполнением интеллектуального обновления правил sudo (при котором загружаются все правила, USN которых больше самого высокого значения USN на сервере, которое в настоящее время известно SSSD). Если сервер не поддерживает атрибуты USN, используется атрибут modifyTimestamp. Примечание: самое высокое значение USN может быть обновлено тремя заданиями: 1) полным и интеллектуальным обновлением sudo (если найдены обновлённые правила), 2) перечислением пользователей и групп (если оно включено и найдены обновлённые пользователи или группы) и 3) повторным подключением к серверу (по умолчанию каждые 15 минут, см. ldap_connection_expire_timeout). Интеллектуальное обновление можно отключить, установив этот параметр в значение «0». Но должно быть включено либо интеллектуальное, либо полное обновление. По умолчанию: 900 (15 минут) ldap_sudo_random_offset (целое число) Случайная задержка от 0 до настроенного значения добавляется к периодам интеллектуального и полного обновления каждый раз при планировании периодического задания. Значение указывается в секундах. Обратите внимание, что эта случайная задержка также применяется при первом запуске SSSD, что откладывает первое обновление правил sudo. Это увеличивает время, в течение которого правила sudo недоступны для использования. Можно отключить эту задержку, установив значение «0». По умолчанию: 0 (отключено) ldap_sudo_use_host_filter (логическое значение) Если параметр установлен в значение «true», SSSD будет загружать только те правила, которые применимы к этому компьютеру (на основе имён узлов и адресов узлов/сетей в формате IPv4 или IPv6). По умолчанию: true ldap_sudo_hostnames (строка) Разделённый пробелами список имён узлов или полных доменных имён, которые следует использовать для фильтрации правил. Если этот параметр имеет пустое значение, SSSD будет пытаться автоматически обнаружить имя узла и полное доменное имя. Если значением ldap_sudo_use_host_filter является false, этот параметр ни на что не влияет. По умолчанию: не указано ldap_sudo_ip (строка) Разделённый пробелами список адресов IPv4 или IPv6 узлов/сетей, которые следует использовать для фильтрации правил. Если этот параметр имеет пустое значение, SSSD будет пытаться автоматически обнаружить адреса. Если значением ldap_sudo_use_host_filter является false, этот параметр ни на что не влияет. По умолчанию: не указано ldap_sudo_include_netgroups (логическое значение) Если параметр установлен в значение «true», SSSD будет загружать все правила, которые содержат сетевую группу в атрибуте sudoHost. Если значением ldap_sudo_use_host_filter является false, этот параметр ни на что не влияет. По умолчанию: true ldap_sudo_include_regexp (логическое значение) Если параметр установлен в значение «true», SSSD будет загружать все правила, которые содержат подстановочный знак в атрибуте sudoHost. Если значением ldap_sudo_use_host_filter является false, этот параметр ни на что не влияет. Использование подстановочного знака — крайне ресурсоёмкая вычислительная операция на стороне сервера LDAP! По умолчанию: false На этой справочной странице содержится только описание сопоставления имён атрибутов. Подробные сведения о семантике атрибутов, связанных с sudo, доступны на справочной странице sudoers.ldap5 Некоторые из стандартных значений приведённых ниже параметров зависят от схемы LDAP. ldap_autofs_map_master_name (строка) Имя основной карты автоматического монтирования в LDAP. По умолчанию: auto.master Эти параметры поддерживаются доменами LDAP, но их следует использовать с осторожностью. Включайте их в конфигурацию, только если точно знаете, какой эффект это произведёт. ldap_netgroup_search_base (строка) ldap_user_search_base (строка) ldap_group_search_base (строка) Если параметр ldap_use_tokengroups включён, к поиску в Active Directory не будут применяться какие-либо ограничения, он вернёт все данные об участии в группах, даже без сопоставления GID. Рекомендуется отключить эту возможность, если имена групп отображаются некорректно. ldap_sudo_search_base (строка) ldap_autofs_search_base (строка) В следующем примере предполагается, что конфигурация SSSD корректна и что установка LDAP выполнена для одного из доменов в разделе [domains]. [domain/LDAP] id_provider = ldap auth_provider = ldap ldap_uri = ldap://ldap.mydomain.org ldap_search_base = dc=mydomain,dc=org ldap_tls_reqcert = demand cache_credentials = true В следующем примере предполагается, что конфигурация SSSD корректна и что используется ldap_access_order=lockout. [domain/LDAP] id_provider = ldap auth_provider = ldap access_provider = ldap ldap_access_order = lockout ldap_pwdlockout_dn = cn=ppolicy,ou=policies,dc=mydomain,dc=org ldap_uri = ldap://ldap.mydomain.org ldap_search_base = dc=mydomain,dc=org ldap_tls_reqcert = demand cache_credentials = true Описания некоторых параметров конфигурации на этой справочной странице основаны на справочной странице ldap.conf 5 из дистрибутива OpenLDAP 2.4.