path: root/src/man/de/sssd-krb5.5.xml

<?xml version="1.0" encoding="UTF-8"?>
<!DOCTYPE reference PUBLIC "-//OASIS//DTD DocBook V4.5//EN"
"http://www.oasis-open.org/docbook/xml/4.5/docbookx.dtd">
<reference>
<title>SSSD-Handbuchseiten</title>
<refentry>
    <xi:include xmlns:xi="http://www.w3.org/2001/XInclude" href="include/upstream.xml" />

    <refmeta>
        <refentrytitle>sssd-krb5</refentrytitle>
        <manvolnum>5</manvolnum>
        <refmiscinfo class="manual">Dateiformate und Konventionen</refmiscinfo>
    </refmeta>

    <refnamediv id='name'>
        <refname>sssd-krb5</refname>
        <refpurpose>SSSD Kerberos-Anbieter</refpurpose>
    </refnamediv>

    <refsect1 id='description'>
        <title>BESCHREIBUNG</title>
        <para>
            Diese Handbuchseite beschreibt die Konfiguration des
Authentifizierungs-Backends Kerberos 5 für <citerefentry>
<refentrytitle>sssd</refentrytitle> <manvolnum>8</manvolnum>
</citerefentry>. Eine ausführliche Syntax-Referenz finden Sie im Abschnitt
»DATEIFORMAT« der Handbuchseite <citerefentry>
<refentrytitle>sssd.conf</refentrytitle> <manvolnum>5</manvolnum>
</citerefentry>.
        </para>
        <para>
            Das Authentifizierungs-Backend Kerberos 5 enthält Authentifizierungs- und
Chpass-Anbieter. Es muss mit einem Identitätsanbieter verbunden werden,
damit es sauber läuft (zum Beispiel »id_provider = ldap«). Einige vom
Kerberos-5-Authentifizierungs-Backend benötigten Informationen wie der
»Kerberos Principal Name« (UPN) des Benutzers müssen durch den
Identitätsanbieter bereitgestellt werden. Die Konfiguration des
Identitätsanbieters sollte einen Eintrag haben, der den UPN
angibt. Einzelheiten, wie dies konfiguriert wird, finden Sie in der
Handbuchseite des entsprechenden Identitätsanbieters.
        </para>
        <para>
            This backend also provides access control based on the .k5login file in the
home directory of the user. See <citerefentry>
<refentrytitle>k5login</refentrytitle><manvolnum>5</manvolnum>
</citerefentry> for more details. Please note that an empty .k5login file
will deny all access to this user. To activate this feature, use
'access_provider = krb5' in your SSSD configuration.
        </para>
        <para>
            Im Fall, dass UPN nicht im Identitäts-Backend verfügbar ist, wird
<command>sssd</command> mittels des Formats
<replaceable>Benutzername</replaceable>@<replaceable>Krb5_Realm</replaceable>
einen UPN konstruieren.
        </para>

    </refsect1>

    <refsect1 id='configuration-options'>
        <title>KONFIGURATIONSOPTIONEN</title>
        <para>
            Falls das Authentifizierungsmodul Krb5 in einer SSSD-Domain benutzt wird,
müssen die folgenden Optionen verwendet werden. Einzelheiten über die
Konfiguration einer SSSD-Domain finden Sie im Abschnitt »DOMAIN-ABSCHNITTE«
der Handbuchseite <citerefentry> <refentrytitle>sssd.conf</refentrytitle>
<manvolnum>5</manvolnum> </citerefentry>. <variablelist>
                <varlistentry>
                    <term>krb5_server, krb5_backup_server (Zeichenkette)</term>
                    <listitem>
                        <para>
                            gibt eine durch Kommata getrennte Liste von IP-Adressen oder Rechnernamen
der Kerberos-Server in der Reihenfolge an, in der sich SSSD mit ihnen
verbinden soll. Weitere Informationen über Ausfallsicherung und Redundanz
finden Sie im Abschnitt »AUSFALLSICHERUNG«. An die Adressen oder
Rechnernamen kann eine optionale Portnummer (der ein Doppelpunkt
vorangestellt ist) angehängt werden. Falls dies leer gelassen wurde, wird
die Dienstsuche aktiviert. Weitere Informationen finden Sie im Abschnitt
»DIENSTSUCHE«.
                        </para>
                        <para>
                            Wenn die Dienstsuche für Schlüsselverwaltungszentralen- (KDC) oder
Kpasswd-Server benutzt wird, durchsucht SSSD zuerst die DNS-Einträge,
die_udp als Protokoll angeben. Falls keine gefunden werden, weicht es auf
_tcp aus.
                        </para>
                        <para>
                            Diese Option hieß in früheren Veröffentlichungen von SSSD
»krb5_kdcip«. Obwohl der alte Name einstweilen noch in Erinnerung ist, wird
Anwendern geraten, ihre Konfigurationsdateien auf die Verwendung von
»krb5_server« zu migrieren.
                        </para>
                    </listitem>
                </varlistentry>

                <varlistentry>
                    <term>krb5_realm (Zeichenkette)</term>
                    <listitem>
                        <para>
                            der Name des Kerberos-Realms. Diese Option wird benötigt und muss angegeben
werden.
                        </para>
                    </listitem>
                </varlistentry>

                <varlistentry>
                    <term>krb5_kpasswd, krb5_backup_kpasswd (Zeichenkette)</term>
                    <listitem>
                        <para>
                            Falls der Dienst zum Ändern von Passwörtern auf der
Schlüsselverwaltungszentrale (KDC) nicht läuft, können hier alternative
Server definiert werden. An die Adressen oder Rechnernamen kann eine
optionale Portnummer (der ein Doppelpunkt vorangestellt ist) angehängt
werden.
                        </para>
                        <para>
                            Weitere Informationen über Ausfallsicherung und Redundanz finden Sie im
Abschnitt »AUSFALLSICHERUNG«. HINWEIS: Selbst wenn es keine weiteren
»kpasswd«-Server mehr auszuprobieren gibt, wird das Backend nicht offline
gehen, da eine Authentifizierung gegen die Schlüsselverwaltungszentrale
(KDC) immer noch möglich ist.
                        </para>
                        <para>
                            Voreinstellung: KDC benutzen
                        </para>
                    </listitem>
                </varlistentry>

                <varlistentry>
                    <term>krb5_ccachedir (Zeichenkette)</term>
                    <listitem>
                        <para>
                            Das Verzeichnis zum Ablegen von Anmeldedaten-Zwischenspeichern. Alle
Ersetzungssequenzen von krb5_ccname_template können hier auch verwendet
werden, außer %d und %P. Das Verzeichnis wird als privat angelegt und ist
Eigentum des Benutzers. Die Zugriffsrechte werden auf 0700 gesetzt.
                        </para>
                        <para>
                            Voreinstellung: /tmp
                        </para>
                    </listitem>
                </varlistentry>

                <varlistentry>
                    <term>krb5_ccname_template (Zeichenkette)</term>
                    <listitem>
                        <para>
                            Der Ort für die Zwischenspeicherung der Anmeldedaten des Benutzers. Drei
Zwischenspeichertypen werden derzeit unterstützt: <quote>FILE</quote>,
<quote>DIR</quote> und <quote>KEYRING:persistent</quote>. Der
Zwischenspeicher kann entweder als <replaceable>TYP:REST</replaceable> oder
als absoluter Pfad angegeben werden, wobei Letzteres den Typ
<quote>FILE</quote> beinhaltet. In der Schablone werden die folgenden
Sequenzen ersetzt: <variablelist>
                                <varlistentry>
                                    <term>%u</term>
                                    <listitem><para>Anmeldename</para></listitem>
                                </varlistentry>
                                <varlistentry>
                                    <term>%U</term>
                                    <listitem><para>Anmelde-UID</para></listitem>
                                </varlistentry>
                                <varlistentry>
                                    <term>%p</term>
                                    <listitem><para>Principal-Name</para>
                                    </listitem>
                                </varlistentry>
                                <varlistentry>
                                    <term>%r</term>
                                    <listitem><para>Realm-Name</para></listitem>
                                </varlistentry>
                                <varlistentry>
                                    <term>%h</term>
                                    <listitem><para>Home-Verzeichnis</para>
                                    </listitem>
                                </varlistentry>
                                <varlistentry>
                                    <term>%d</term>
                                    <listitem><para>Wert von krb5_ccachedir
                                              </para>
                                    </listitem>
                                </varlistentry>
                                <varlistentry>
                                    <term>%P</term>
                                    <listitem><para>die Prozess-ID des SSSD-Clients</para>
                                    </listitem>
                                </varlistentry>
                                <varlistentry>
                                    <term>%%</term>
                                    <listitem><para>ein buchstäbliches »%«</para>
                                    </listitem>
                                </varlistentry>
                            </variablelist> Falls die
Vorlage mit »XXXXXX« endet, wird mkstemp(3) verwendet, um auf sichere Weise
einen eindeutigen Dateinamen zu erzeugen.
                        </para>
                        <para>
                            Wenn der KEYRING-Typ verwendet wird, ist
<quote>KEYRING:persistent:%U</quote> der einzige unterstützte
Mechanismus. Hierfür wird der Schlüsselbund des Linux-Kernels zum Speichern
der Anmeldedaten getrennt nach Benutzer-IDs verwendet. Dies wird auch
empfohlen, da es die sicherste und vorausberechenbarste Methode ist.
                        </para>
                        <para>
                            Der Vorgabewert für den Anmeldedaten-Zwischenspeicher wird aus dem im
Abschnitt [libdefaults] der Datei krb5.conf enthaltenen Profil der
systemweiten Konfiguration bezogen. Der Name der Option ist
default_ccache_name. Im Abschnitt PARAMETER EXPANSION der Handbuchseite zu
krb5.conf(5) finden Sie zusätzliche Informationen zu dem in krb5.conf
definierten Format.
                        </para>
                        <para>
                          NOTE: Please be aware that libkrb5 ccache expansion template from
<citerefentry> <refentrytitle>krb5.conf</refentrytitle>
<manvolnum>5</manvolnum> </citerefentry> uses different expansion sequences
than SSSD.
                        </para>
                        <para>
                            Voreinstellung: (aus libkrb5)
                        </para>
                    </listitem>
                </varlistentry>

                <varlistentry>
                    <term>krb5_keytab (Zeichenkette)</term>
                    <listitem>
                        <para>
                            der Speicherort der Keytab, der bei der Überprüfung von Berechtigungen
benutzt wird, die von Schlüsselverwaltungszentralen (KDCs) stammen.
                        </para>
                        <para>
                            Voreinstellung: Keytab des Systems, normalerweise
<filename>/etc/krb5.keytab</filename>
                        </para>
                    </listitem>
                </varlistentry>

                <varlistentry>
                    <term>krb5_store_password_if_offline (Boolesch)</term>
                    <listitem>
                        <para>
                            speichert das Passwort des Benutzers, falls der Anbieter offline ist, und
benutzt es zur Abfrage des TGTs, wenn der Anbieter wieder online geht.
                        </para>
                        <para>
                            HINWEIS: Diese Funktionalität ist nur auf Linux verfügbar. Passwörter, die
auf diese Weise gespeichert wurden, werden im Klartext im Schlüsselbund des
Kernels aufbewahrt. Darauf kann unter Umständen (mit Mühe) durch den
Benutzer Root zugegriffen werden.
                        </para>
                        <para>
                            Voreinstellung: »false«
                        </para>
                    </listitem>
                </varlistentry>

                <varlistentry>
                    <term>krb5_use_fast (Zeichenkette)</term>
                    <listitem>
                        <para>
                            Schaltet das flexible Authentifizierungs-Sicherheits-Tunneln (FAST) für die
Vorauthentifizierung von Kerberos ein. Die folgenden Optionen werden
unterstützt:
                        </para>
                        <para>
                            <emphasis>never</emphasis>: FAST wird nie benutzt. Dies ist so, als ob diese
Einstellung gar nicht gemacht würde.
                        </para>
                        <para>
                            <emphasis>try</emphasis>: Es wird versucht, FAST zu benutzen. Falls der
Server kein FAST unterstützt, fährt die Authentifizierung ohne fort.
                        </para>
                        <para>
                            <emphasis>demand</emphasis>: Fragt nach, ob FAST benutzt werden soll. Die
Authentifizierung schlägt fehl, falls der Server kein FAST erfordert.
                        </para>
                        <para>
                            Voreinstellung: nicht gesetzt, d.h. FAST wird nicht benutzt
                        </para>
                        <para>
                            NOTE: a keytab or support for anonymous PKINIT is required to use FAST.
                        </para>
                        <para>
                            HINWEIS: SSSD unterstützt FAST nur mit MIT-Kerberos-Version 1.8 und
neuer. Falls SSSD mit einer älteren Version von MIT-Kerberos benutzt wird,
ist die Verwendung dieser Option ein Konfigurationsfehler.
                        </para>
                    </listitem>
                </varlistentry>

                <varlistentry>
                    <term>krb5_fast_principal (Zeichenkette)</term>
                    <listitem>
                        <para>
                            gibt den Server-Principal zur Benutzung von FAST an.
                        </para>
                    </listitem>
                </varlistentry>

                <varlistentry>
                    <term>krb5_fast_use_anonymous_pkinit (boolean)</term>
                    <listitem>
                        <para>
                            If set to true try to use anonymous PKINIT instead of a keytab to get the
required credential for FAST. The krb5_fast_principal options is ignored in
this case.
                        </para>
                        <para>
                            Voreinstellung: »false«
                        </para>
                    </listitem>
                </varlistentry>

                <varlistentry>
                    <term>krb5_use_kdcinfo (Boolesch)</term>
                    <listitem>
                        <para>
                            gibt an, ob SSSD die Kerberos-Bibliotheken anweisen soll, welcher Realm und
welche Schlüsselverwaltungszentralen (KDCs) benutzt werden sollen. Diese
Option ist standardmäßig eingeschaltet. Falls Sie sie ausschalten, müssen
Sie die Kerberos-Bibliothek mittels der Konfigurationsdatei
<citerefentry><refentrytitle>krb5.conf</refentrytitle>
<manvolnum>5</manvolnum> </citerefentry> einrichten.
                        </para>
                        <para>
                            Weitere Informationen über die Locator-Erweiterung finden Sie auf der
Handbuchseite <citerefentry>
<refentrytitle>sssd_krb5_locator_plugin</refentrytitle>
<manvolnum>8</manvolnum> </citerefentry>.
                        </para>
                        <para>
                            Voreinstellung: »true«
                        </para>
                    </listitem>
                </varlistentry>

                <varlistentry>
                    <term>krb5_kdcinfo_lookahead (string)</term>
                    <listitem>
                        <para>
                            When krb5_use_kdcinfo is set to true, you can limit the amount of servers
handed to <citerefentry>
<refentrytitle>sssd_krb5_locator_plugin</refentrytitle>
<manvolnum>8</manvolnum> </citerefentry>.  This might be helpful when there
are too many servers discovered using SRV record.
                        </para>
                        <para>
                            The krb5_kdcinfo_lookahead option contains two numbers separated by a
colon. The first number represents number of primary servers used and the
second number specifies the number of backup servers.
                        </para>
                        <para>
                            For example <emphasis>10:0</emphasis> means that up to 10 primary servers
will be handed to <citerefentry>
<refentrytitle>sssd_krb5_locator_plugin</refentrytitle>
<manvolnum>8</manvolnum> </citerefentry> but no backup servers.
                        </para>
                        <para>
                            Default: 3:1
                        </para>
                    </listitem>
                </varlistentry>

                <varlistentry>
                    <term>krb5_use_enterprise_principal (Boolesch)</term>
                    <listitem>
                        <para>
                            gibt an, ob der User Principal als Enterprise Principal betrachtet werden
soll. Weitere Informationen über Enterprise Principals finden Sie in
Abschnitt 5 von RFC 6806.
                        </para>

                        <para>
                            Voreinstellung: falsch (AD-Anbieter: wahr)
                        </para>
                        <para>
                            The IPA provider will set to option to 'true' if it detects that the server
is capable of handling enterprise principals and the option is not set
explicitly in the config file.
                        </para>
                    </listitem>
                </varlistentry>

                <varlistentry>
                    <term>krb5_use_subdomain_realm (boolean)</term>
                    <listitem>
                        <para>
                            Specifies to use subdomains realms for the authentication of users from
trusted domains. This option can be set to 'true' if enterprise principals
are used with upnSuffixes which are not known on the parent domain KDCs. If
the option is set to 'true' SSSD will try to send the request directly to a
KDC of the trusted domain the user is coming from.
                        </para>

                        <para>
                            Voreinstellung: »false«
                        </para>
                    </listitem>
                </varlistentry>

                <varlistentry>
                    <term>krb5_map_user (string)</term>
                    <listitem>
                        <para>
                             The list of mappings is given as a comma-separated list of pairs
<quote>username:primary</quote> where <quote>username</quote> is a UNIX user
name and <quote>primary</quote> is a user part of a kerberos principal. This
mapping is used when user is authenticating using <quote>auth_provider =
krb5</quote>.
                        </para>

                        <para>
                             Beispiel: <programlisting>
krb5_realm = REALM
krb5_map_user = joe:juser,dick:richard
</programlisting>
                        </para>
                        <para>
                             <quote>joe</quote> and <quote>dick</quote> are UNIX user names and
<quote>juser</quote> and <quote>richard</quote> are primaries of kerberos
principals. For user <quote>joe</quote> resp.  <quote>dick</quote> SSSD will
try to kinit as <quote>juser@REALM</quote> resp.
<quote>richard@REALM</quote>.
                        </para>

                        <para>
                            Voreinstellung: nicht gesetzt
                        </para>
                    </listitem>
                </varlistentry>

            </variablelist>
            <xi:include xmlns:xi="http://www.w3.org/2001/XInclude" href="include/krb5_options.xml" />
        </para>
    </refsect1>

    <xi:include xmlns:xi="http://www.w3.org/2001/XInclude" href="include/failover.xml" />

    <xi:include xmlns:xi="http://www.w3.org/2001/XInclude" href="include/service_discovery.xml" />

    <refsect1 id='example'>
        <title>BEISPIEL</title>
        <para>
            Das folgende Beispiel geht davon aus, dass SSSD korrekt konfiguriert wurde
und FOO eine der Domains im Abschnitt <replaceable>[sssd]</replaceable>
ist. Dieses Beispiel zeigt nur die Authentifizierung mit Kerberos, sie
umfasst keine Identitätsanbieter.
        </para>
        <para>
<programlisting>
[domain/FOO]
auth_provider = krb5
krb5_server = 192.168.1.1
krb5_realm = EXAMPLE.COM
</programlisting>
        </para>
    </refsect1>

    <xi:include xmlns:xi="http://www.w3.org/2001/XInclude" href="include/seealso.xml" />

</refentry>
</reference>