path: root/src/man/es/sss-certmap.5.xml

<?xml version="1.0" encoding="UTF-8"?>
<!DOCTYPE reference PUBLIC "-//OASIS//DTD DocBook V4.5//EN"
"http://www.oasis-open.org/docbook/xml/4.5/docbookx.dtd">
<reference>
<title>Páginas de manual de SSSD</title>
<refentry>
    <xi:include xmlns:xi="http://www.w3.org/2001/XInclude" href="include/upstream.xml" />

    <refmeta>
        <refentrytitle>sss-certmap</refentrytitle>
        <manvolnum>5</manvolnum>
        <refmiscinfo class="manual">Formatos de archivo y convenciones</refmiscinfo>
    </refmeta>

    <refnamediv id='name'>
        <refname>sss-certmap</refname>
        <refpurpose>Reglas de Correspondencia y Asignación de Certificados SSSD</refpurpose>
    </refnamediv>

    <refsect1 id='description'>
        <title>DESCRIPCION</title>
        <para>
            La página de manual describe las reglas que pueden ser usadas por SSSD y
otros componentes para corresponder con los certificados X.509 y asignarlos
a cuentas.
        </para>
        <para>
            Cada regla tiene cuatro componentes, una <quote>priority</quote>, una
<quote>matching rule</quote>, una <quote>mapping rule</quote> y una
<quote>domain list</quote>. Todos los componentes son opcionales. Si no hay
<quote>priority</quote> se añadirá la regla con el nivel de prioridad más
bajo. La <quote>matching rule</quote> predeterminada hará coincidir los
certificados con la clave de utilización digitalSignature y la clave de
utilización extendida clientAuth. Si <quote>mapping rule</quote> está vacía
los certificados serán buscados en el atributo userCertificate como DER
codificado en binario. Si no se dan dominios solo se buscará en el dominio
local.
        </para>
        <para>
            To allow extensions or completely different style of rule the
<quote>mapping</quote> and <quote>matching rules</quote> can contain a
prefix separated with a ':' from the main part of the rule. The prefix may
only contain upper-case ASCII letters and numbers. If the prefix is omitted
the default type will be used which is 'KRB5' for the matching rules and
'LDAP' for the mapping rules.
        </para>
        <para>
            The 'sssctl' utility provides the 'cert-eval-rule' command to check if a
given certificate matches a matching rules and how the output of a mapping
rule would look like.
        </para>
    </refsect1>

    <refsect1 id='components'>
        <title>COMPONENTES DE LA REGLA</title>
    <refsect2 id='priority'>
        <title>PRIORIDAD</title>
        <para>
            Las reglas son procesados por prioridad sabiendo que el número '0' (cero)
indica la prioridad más alta. Más alto en número más baja la prioridad. Un
valor desaparecido indica la prioridad más baja. Las reglas de procesamiento
se para cuando una regla coincidente y no se comprueban más reglas.
        </para>
        <para>
            Internamente la prioridad se trata como un entero no firmado de 32 bitr, la
utilización de in valor de prioridad superior a 4294967295 causará un error.
        </para>
        <para>
            If multiple rules have the same priority and only one of the related
matching rules applies, this rule will be chosen. If there are multiple
rules with the same priority which matches, one is chosen but which one is
undefined. To avoid this undefined behavior either use different priorities
or make the matching rules more specific e.g. by using distinct
&lt;ISSUER&gt; patterns.
        </para>
    </refsect2>
    <refsect2 id='match'>
        <title>REGLA DE COINCIDENCIA</title>
        <para>
            La regla de coincidencia se usa para seleccionar un certificado al que sería
aplicado la regla de asignación. Usa un sistema similar al usado por la
opción <quote>pkinit_cert_match</quote> de MIT Kerberos. Consiste en una
clave encerrada entre '&lt;' y '&gt;' ue identifica una cierta parte del
certificado y un patrón para que la regla coincida. Se pueden unir varios
pares de palabras claves con '&amp;&amp;' (y) o '&#124;&#124;' (o).
        </para>
        <para>
            Given the similarity to MIT Kerberos the type prefix for this rule is
'KRB5'. But 'KRB5' will also be the default for <quote>matching
rules</quote> so that "&lt;SUBJECT&gt;.*,DC=MY,DC=DOMAIN" and
"KRB5:&lt;SUBJECT&gt;.*,DC=MY,DC=DOMAIN" are equivalent.
        </para>
        <para>
            Las opciones disponibles son: <variablelist>
                <varlistentry>
                    <term>&lt;SUBJECT&gt;regular-expression</term>
                    <listitem>
                    <para>
                        Con esto una parte o todo el nombre de sujeto del certificado pueden
coincidir. Para la coincidencia se usa la sintaxis Expresión Regular
Extendida POSIX, vea detalles en regex(7).
                    </para>
                    <para>
                        Para coincidir el nombre sujeto almacenado en el certificado en codificación
DER ASN.1 se convierte en una cadena de acuerdo a RFC 4514. Esto significa
que el componente de nombre más específico es el primero. Por favor advierta
que  no todos los posibles nombres de atributo están cubiertos por RFC
4514. Los nombres incluidos son 'CN', 'L', 'ST', 'O', 'OU', 'C', 'STREET',
'DC' y 'UID'. Otros nombres de atributo pueden ser mostrados de forma
diferente sobre plataformas distintas y por herramientas diferentes. Para
evitar la confusión es mejor que no se usen estos nombres de atributos o se
cubran por una expresión regular a medida.
                    </para>
                    <para>
                        Ejemplo: &lt;SUBJECT&gt;.*,DC=MY,DC=DOMAIN
                    </para>
                    <para>
                        Please note that the characters "^.[$()|*+?{\" have a special meaning in
regular expressions and must be escaped with the help of the '\' character
so that they are matched as ordinary characters.
                    </para>
                    <para>
                        Example: &lt;SUBJECT&gt;^CN=.* \(Admin\),DC=MY,DC=DOMAIN$
                    </para>
                    </listitem>
                </varlistentry>
                <varlistentry>
                    <term>&lt;ISSUER&gt;regular-expression</term>
                    <listitem>
                    <para>
                        Con esto, se puede hacer coincidir una parte o el nombre completo del emisor
del certificado. Todos los comentarios para &lt;SUBJECT&gt; se le aplican
también.
                    </para>
                    <para>
                        Ejemplo: &lt;ISSUER&gt;^CN=My-CA,DC=MY,DC=DOMAIN$
                    </para>
                    </listitem>
                </varlistentry>
                <varlistentry>
                    <term>&lt;KU&gt;key-usage</term>
                    <listitem>
                    <para>
                        Esta opción se puede usar para especificar que valores de uso clave debe
tener el certificado. Se pueden usar los siguientes valores en una lista
separados por comas:
                        <itemizedlist>
                            <listitem><para>digitalSignature</para></listitem>
                            <listitem><para>nonRepudiation</para></listitem>
                            <listitem><para>keyEncipherment</para></listitem>
                            <listitem><para>dataEncipherment</para></listitem>
                            <listitem><para>keyAgreement</para></listitem>
                            <listitem><para>keyCertSign</para></listitem>
                            <listitem><para>cRLSign</para></listitem>
                            <listitem><para>encipherOnly</para></listitem>
                            <listitem><para>decipherOnly</para></listitem>
                        </itemizedlist>
                    </para>
                    <para>
                        Un valor numérico en el rango de un entero sin signo de 32 bit se puede usar
también para cubrir casos de uso especiales.
                    </para>
                    <para>
                        Ejemplo: &lt;KU&gt;digitalSignature,keyEncipherment
                    </para>
                    </listitem>
                </varlistentry>
                <varlistentry>
                    <term>&lt;EKU&gt;extended-key-usage</term>
                    <listitem>
                    <para>
                        Esta opción se puede usar para especificar que uso de clave extendida puede
tener el certificado. El siguiente valor se puede usar en una lista separada
por comas:
                        <itemizedlist>
                            <listitem><para>serverAuth</para></listitem>
                            <listitem><para>clientAuth</para></listitem>
                            <listitem><para>codeSigning</para></listitem>
                            <listitem><para>emailProtection</para></listitem>
                            <listitem><para>timeStamping</para></listitem>
                            <listitem><para>OCSPSigning</para></listitem>
                            <listitem><para>KPClientAuth</para></listitem>
                            <listitem><para>pkinit</para></listitem>
                            <listitem><para>msScLogin</para></listitem>
                        </itemizedlist>
                    </para>
                    <para>
                        La utilización de claves extendidas que no están listadas arriba pueden ser
especificadas con sus OID en anotación decimal con puntos.
                    </para>
                    <para>
                        Ejemplo: &lt;EKU&gt;clientAuth,1.3.6.1.5.2.3.4
                    </para>
                    </listitem>
                </varlistentry>
                <varlistentry>
                    <term>&lt;SAN&gt;regular-expression</term>
                    <listitem>
                    <para>
                        Para ser compatible con la utilización de MIT Kerberos esta opción
coincidirá con los principios de Kerberos en PKINIT o AD NT Principal SAN
como hace &lt;SAN:Principal&gt;.
                    </para>
                    <para>
                        Ejemplo: &lt;SAN&gt;.*@MY\.REALM
                    </para>
                    </listitem>
                </varlistentry>
                <varlistentry>
                    <term>&lt;SAN:Principal&gt;regular-expression</term>
                    <listitem>
                    <para>
                        Haga coincidir los principios principales de Kerberos en la SAN principal de
PKINIT o AD NT.
                    </para>
                    <para>
                        Example: &lt;SAN:Principal&gt;.*@MY\.REALM
                    </para>
                    </listitem>
                </varlistentry>
                <varlistentry>
                    <term>&lt;SAN:ntPrincipalName&gt;regular-expression</term>
                    <listitem>
                    <para>
                        Haga coincidir los principales de Kerberos de la SAN principal de AD NT.
                    </para>
                    <para>
                        Example: &lt;SAN:ntPrincipalName&gt;.*@MY.AD.REALM
                    </para>
                    </listitem>
                </varlistentry>
                <varlistentry>
                    <term>&lt;SAN:pkinit&gt;regular-expression</term>
                    <listitem>
                    <para>
                        Haga coincidir los principales de Kerberos con los PKINIT SAN.
                    </para>
                    <para>
                        Example: &lt;SAN:ntPrincipalName&gt;.*@MY\.PKINIT\.REALM
                    </para>
                    </listitem>
                </varlistentry>
                <varlistentry>
                    <term>&lt;SAN:dotted-decimal-oid&gt;regular-expression</term>
                    <listitem>
                    <para>
                        Toma el valor del componente SAN otherName dado por el de OID en anotación
decimal con puntos, lo interpreta como una cadena e intenta hacerlo
coincidir con la expresión regular.
                    </para>
                    <para>
                        Example: &lt;SAN:1.2.3.4&gt;test
                    </para>
                    </listitem>
                </varlistentry>
                <varlistentry>
                    <term>&lt;SAN:otherName&gt;base64-string</term>
                    <listitem>
                    <para>
                        Haga una coincidencia binaria con el blob codificado en base64 con todos los
demás componentes SAN otheName. Con esta opción es posible la coincidencia
con los componentes otherName personales con codificación especial que
podrían no ser tratados como cadenas.
                    </para>
                    <para>
                        Example: &lt;SAN:otherName&gt;MTIz
                    </para>
                    </listitem>
                </varlistentry>
                <varlistentry>
                    <term>&lt;SAN:rfc822Name&gt;regular-expression</term>
                    <listitem>
                    <para>
                        Haga coincidir el valor del rfc822Name SAN.
                    </para>
                    <para>
                        Example: &lt;SAN:rfc822Name&gt;.*@email\.domain
                    </para>
                    </listitem>
                </varlistentry>
                <varlistentry>
                    <term>&lt;SAN:dNSName&gt;regular-expression</term>
                    <listitem>
                    <para>
                        Haga coincidir el valor del dNSName SAN.
                    </para>
                    <para>
                        Example: &lt;SAN:dNSName&gt;.*\.my\.dns\.domain
                    </para>
                    </listitem>
                </varlistentry>
                <varlistentry>
                    <term>&lt;SAN:x400Address&gt;base64-string</term>
                    <listitem>
                    <para>
                        Binario coincide con el valor del x400Address SAN.
                    </para>
                    <para>
                        Example: &lt;SAN:x400Address&gt;MTIz
                    </para>
                    </listitem>
                </varlistentry>
                <varlistentry>
                    <term>&lt;SAN:directoryName&gt;regular-expression</term>
                    <listitem>
                    <para>
                        Haga coincidir el valor del directoryName SAN. Los mismos comentarios dados
para &lt;ISSUER&gt; and &lt;SUBJECT&gt; se aplican aquí también.
                    </para>
                    <para>
                        Example: &lt;SAN:directoryName&gt;.*,DC=com
                    </para>
                    </listitem>
                </varlistentry>
                <varlistentry>
                    <term>&lt;SAN:ediPartyName&gt;base64-string</term>
                    <listitem>
                    <para>
                        Hacer coincidir binario el valor del ediPartyName SAN.
                    </para>
                    <para>
                        Ejemplo: &lt;SAN:ediPartyName&gt;MTIz
                    </para>
                    </listitem>
                </varlistentry>
                <varlistentry>
                    <term>&lt;SAN:uniformResourceIdentifier&gt;regular-expression</term>
                    <listitem>
                    <para>
                        Hacer coincidir el valor del uniformResourceIdentifier SAN.
                    </para>
                    <para>
                        Ejemplo: &lt;SAN:uniformResourceIdentifier&gt;URN:.*
                    </para>
                    </listitem>
                </varlistentry>
                <varlistentry>
                    <term>&lt;SAN:iPAddress&gt;regular-expression</term>
                    <listitem>
                    <para>
                        Haga coincidir el valor del iPAddress SAN.
                    </para>
                    <para>
                        Ejemplo: &lt;SAN:iPAddress&gt;192\.168\..*
                    </para>
                    </listitem>
                </varlistentry>
                <varlistentry>
                    <term>&lt;SAN:registeredID&gt;regular-expression</term>
                    <listitem>
                    <para>
                        Haga coincidir el valor de registeredID SAN como cadena decimal con puntos.
                    </para>
                    <para>
                        Ejemplo: &lt;SAN:registeredID&gt;1\.2\.3\..*
                    </para>
                    </listitem>
                </varlistentry>
            </variablelist>
        </para>
    </refsect2>
    <refsect2 id='map'>
        <title>REGLA DE MAPEO</title>
        <para>
            La regla de mapeo se usa para asociar un certificado con una o mas
cuentas. Una Smartcard con el certificado y la clave privada correspondiente
puede ser usada entonces para autenticar una de estas cuentas.
        </para>
        <para>
            Actualmente SSSD básicamente solo soporta LDAP para buscar información de
usuario (la excepción es el proveedor proxy que no tiene relevancia
aqui). Por esto la regla de mapeo se basa en una búsqueda por filtro de
sintaxis LDAP con plantillas para añadir el contenido del certificado al
filtro. Se espra que ese filtro solo contendrá los datos específicos para el
mapeo y que la persona que llama lo incrustará en otro filtro para hacer la
búsqueda real. Debido a esto la cadena de filtro de empezar y terminar con
'('and')' respectivamente. 
        </para>
        <para>
            En general se recomienda usar atributos del certificado y añadirlos a
atributos especiales al objeto usuario LDAP. E.g. el atributo
'altSecurityIdentities' en AD o el atributo 'ipaCertMapData' para IPA se
pueden usar.
        </para>
        <para>
            Debería preferible leer datos específicos del usuario del certificado,
e.g. una dirección de correo electrónico y buscarla en el servidor LDAP. La
razón es que los datos específicos del usuario en el LDAP podrían cambiar
por diversas razones y romper el mapeo. Por otro lado, sería difícil romper
el mapeo a propósito para un usuario específico.
        </para>
	<para>
            The default <quote>mapping rule</quote> type is 'LDAP' which can be added as
a prefix to a rule like e.g.
'LDAP:(userCertificate;binary={cert!bin})'. There is an extension called
'LDAPU1' which offer more templates for more flexibility. To allow older
versions of this library to ignore the extension the prefix 'LDAPU1' must be
used when using the new templates in a <quote>mapping rule</quote> otherwise
the old version of this library will fail with a parsing error. The new
templates are described in section <xref linkend="map_ldapu1"/>.
        </para>
        <para>
            La plantilla para añadir datos de certificado al filtro de búsqueda están
basados sobre cadenas formateadas en estilo Python. Consiste en una palabra
clave entre llaves con un subcomponente especificador opcional separado por
un '.' o una opción opcional de conversión/formateo separada por un '!'. Los
valores permitidos son: <variablelist>
                <varlistentry>
                    <term>{issuer_dn[!((ad|ad_x500)|ad_ldap|nss_x500|(nss|nss_ldap))]}</term>
                    <listitem>
                    <para>
                        Esta plantilla agregará el DN del emisor completo convertido en una
plantilla de acuerdo con el RFC 4514. Si se ordena X.500 (más especifico RDN
viene el último) se debería usar un opción con el prefijo '_x500'.
                    </para>
                    <para>
                        Las opciones de conversión que empiezan con 'ad_' usarán nombres de
atributos como los usados por AD, p. ej. 'S' en lugar de 'ST'.
                    </para>
                    <para>
                        Las opciones de conversión que empiezan por 'nss_' usarán nombres de
atributos como los usados por NSS.
                    </para>
                    <para>
                        La opción de conversión predeterminada es 'nss', i.e. los nombres de
atributo de acuerdo con la ordenación NSS y LDAP/RFC 4514.
                    </para>
                    <para>
                        Ejemplo:
(ipacertmapdata=X509:&lt;I&gt;{issuer_dn!ad}&lt;S&gt;{subject_dn!ad})
                    </para>
                    </listitem>
                </varlistentry>
                <varlistentry>
                    <term>{subject_dn[!((ad|ad_x500)|ad_ldap|nss_x500|(nss|nss_ldap))]}</term>
                    <listitem>
                    <para>
                        Esta plantilla añadirá el sujeto completo DN convertido en una cadena de
acuerdo a RFC 4514. Si la ordenación X.500 (más específico RDN viene el
último) se usaría una opción con el prefijo '_x500'.
                    </para>
                    <para>
                        Las opciones de conversión que empiezan con 'ad_' usarán nombres de
atributos como los usados por AD, p. ej. 'S' en lugar de 'ST'.
                    </para>
                    <para>
                        Las opciones de conversión que empiezan por 'nss_' usarán nombres de
atributos como los usados por NSS.
                    </para>
                    <para>
                        La opción de conversión predeterminada es 'nss', i.e. los nombres de
atributo de acuerdo con la ordenación NSS y LDAP/RFC 4514.
                    </para>
                    <para>
                        Ejemplo:
(ipacertmapdata=X509:&lt;I&gt;{issuer_dn!nss_x500}&lt;S&gt;{subject_dn!nss_x500})
                    </para>
                    </listitem>
                </varlistentry>
                <varlistentry>
                    <term>{cert[!(bin|base64)]}</term>
                    <listitem>
                    <para>
                        Esta plantilla añadirá el certificado completo codificado DER como una
cadena al filtro de búsqueda. Dependiendo de la opción de conversión el
certificado binario se convierte en una secuencia hexadecimal escapada '\xx'
o base64.  La secuencia hexadecimal escapada es la predeterminada y puede,
por ejemplo, ser usada con el atributo LDAP 'userCertificate;binary'.
                    </para>
                    <para>
                        Ejemplo: (userCertificate;binary={cert!bin})
                    </para>
                    </listitem>
                </varlistentry>
                <varlistentry>
                    <term>{subject_principal[.short_name]}</term>
                    <listitem>
                    <para>
                        Esta plantilla añadirá el principal Kerberos bien desde el SAN usado por
pkinit o del usado por AD. El componente 'short_name' representa la primera
parte del principal antes del signo '@'.
                    </para>
                    <para>
                        Ejemplo:
(|(userPrincipal={subject_principal})(samAccountName={subject_principal.short_name}))
                    </para>
                    </listitem>
                </varlistentry>
                <varlistentry>
                    <term>{subject_pkinit_principal[.short_name]}</term>
                    <listitem>
                    <para>
                        Esta plantilla añadirá el principal Kerberos que es dado por el SAN usado
por pkinit. El componente 'short_name' representa la primera parte del
principal antes del signo '@'.
                    </para>
                    <para>
                        Ejemplo:
(|(userPrincipal={subject_pkinit_principal})(uid={subject_pkinit_principal.short_name}))
                    </para>
                    </listitem>
                </varlistentry>
                <varlistentry>
                    <term>{subject_nt_principal[.short_name]}</term>
                    <listitem>
                    <para>
                        Esta plantilla añadirá el principal Kerberos que es dado por el SAN usado
por AD. El componente 'short_name' represebta la primera parte del principal
antes del signo '@'.
                    </para>
                    <para>
                        Example:
(|(userPrincipalName={subject_nt_principal})(samAccountName={subject_nt_principal.short_name}))
                    </para>
                    </listitem>
                </varlistentry>
                <varlistentry>
                    <term>{subject_rfc822_name[.short_name]}</term>
                    <listitem>
                    <para>
                        Esta plantilla añadirá la cadena que está almacenada en el componente
rfc822Name del SAN, normalmente una dirección de correo electrónico. El
componente 'short_name' representa la primera parte de la dirección antes
del signo '@'.
                    </para>
                    <para>
                        Ejemplo:
(|(mail={subject_rfc822_name})(uid={subject_rfc822_name.short_name}))
                    </para>
                    </listitem>
                </varlistentry>
                <varlistentry>
                    <term>{subject_dns_name[.short_name]}</term>
                    <listitem>
                    <para>
                        Esta plantilla añadirá la cadena que está almacenada en el componente
dNSName del SAN, normalmente un nombre de host totalmente cualificado. El
componente 'short_name' representa la primera parte del nombre antes del
primer signo '.'.
                    </para>
                    <para>
                        Ejemplo: (|(fqdn={subject_dns_name})(host={subject_dns_name.short_name}))
                    </para>
                    </listitem>
                </varlistentry>
                <varlistentry>
                    <term>{subject_uri}</term>
                    <listitem>
                    <para>
                        Esta plantilla añadirá la cadena que está almacenada en el componente
uniformResourceIdentifier del SAN.
                    </para>
                    <para>
                        Ejemplo: (uri={subject_uri})
                    </para>
                    </listitem>
                </varlistentry>
                <varlistentry>
                    <term>{subject_ip_address}</term>
                    <listitem>
                    <para>
                        Esta plantilla añadirá la cadena que está almacenada en el componente
iPAddress del SAN.
                    </para>
                    <para>
                        Ejemplo: (ip={subject_ip_address})
                    </para>
                    </listitem>
                </varlistentry>
                <varlistentry>
                    <term>{subject_x400_address}</term>
                    <listitem>
                    <para>
                        Esta plantilla añadirá el valor que está almacenado en el componente
x400Address del SAN como secuencia hexadecimal escapada.
                    </para>
                    <para>
                        Ejemplo: (attr:binary={subject_x400_address})
                    </para>
                    </listitem>
                </varlistentry>
                <varlistentry>
                    <term>{subject_directory_name[!((ad|ad_x500)|ad_ldap|nss_x500|(nss|nss_ldap))]}</term>
                    <listitem>
                    <para>
                        Esta plantilla añadirá la cadena DN del valor que está almacenado en el
componente directoryName del SAN.
                    </para>
                    <para>
                        Ejemplo: (orig_dn={subject_directory_name})
                    </para>
                    </listitem>
                </varlistentry>
                <varlistentry>
                    <term>{subject_ediparty_name}</term>
                    <listitem>
                    <para>
                        Esta plantilla añadirá el valor que está almacenado en el componente
ediPartyName del SAN como secuencia hexadecimal escapada.
                    </para>
                    <para>
                        Ejemplo: (attr:binary={subject_ediparty_name})
                    </para>
                    </listitem>
                </varlistentry>
                <varlistentry>
                    <term>{subject_registered_id}</term>
                    <listitem>
                    <para>
                        Esta plantilla añadirá la OID que está almacenada en el componente
registeredID del SAN como una cadena decimal con puntos..
                    </para>
                    <para>
                        Ejemplo: (oid={subject_registered_id})
                    </para>
                    </listitem>
                </varlistentry>
            </variablelist>
        </para>
    <refsect3 id='map_ldapu1'>
        <title>LDAPU1 extension</title>
        <para>
            The following template are available when using the 'LDAPU1' extension:
        </para>
        <para>
            <variablelist>
                <varlistentry>
                    <term>{serial_number[!(dec|hex[_ucr])]}</term>
                    <listitem>
                    <para>
                        This template will add the serial number of the certificate. By default it
will be printed as a hexadecimal number with lower-case letters.
                    </para>
                    <para>
                        With the formatting option '!dec' the number will be printed as decimal
string. The hexadecimal output can be printed with upper-case letters
('!hex_u'), with a colon separating the hexadecimal bytes ('!hex_c') or with
the hexadecimal bytes in reverse order ('!hex_r').  The postfix letters can
be combined so that e.g.  '!hex_uc' will produce a colon-separated
hexadecimal string with upper-case letters.
                    </para>
                    <para>
                        Example: LDAPU1:(serial={serial_number})
                    </para>
                    </listitem>
                </varlistentry>

                <varlistentry>
                    <term>{subject_key_id[!hex[_ucr]]}</term>
                    <listitem>
                    <para>
                        This template will add the subject key id of the certificate. By default it
will be printed as a hexadecimal number with lower-case letters.
                    </para>
                    <para>
                        The hexadecimal output can be printed with upper-case letters ('!hex_u'),
with a colon separating the hexadecimal bytes ('!hex_c') or with the
hexadecimal bytes in reverse order ('!hex_r').  The postfix letters can be
combined so that e.g.  '!hex_uc' will produce a colon-separated hexadecimal
string with upper-case letters.
                    </para>
                    <para>
                        Example: LDAPU1:(ski={subject_key_id})
                    </para>
                    </listitem>
                </varlistentry>

                <varlistentry>
                    <term>{cert[!DIGEST[_ucr]]}</term>
                    <listitem>
                    <para>
                        This template will add the hexadecimal digest/hash of the certificate where
DIGEST must be replaced with the name of a digest/hash function supported by
OpenSSL, e.g. 'sha512'.
                    </para>
                    <para>
                        The hexadecimal output can be printed with upper-case letters ('!sha512_u'),
with a colon separating the hexadecimal bytes ('!sha512_c') or with the
hexadecimal bytes in reverse order ('!sha512_r'). The postfix letters can be
combined so that e.g. '!sha512_uc' will produce a colon-separated
hexadecimal string with upper-case letters.
                    </para>
                    <para>
                        Example: LDAPU1:(dgst={cert!sha256})
                    </para>
                    </listitem>
                </varlistentry>

                <varlistentry>
                    <term>{subject_dn_component[(.attr_name|[number]]}</term>
                    <listitem>
                    <para>
                        This template will add an attribute value of a component of the subject DN,
by default the value of the most specific component.
                    </para>
                    <para>
                        A different component can it either selected by attribute name,
e.g. {subject_dn_component.uid} or by position,
e.g. {subject_dn_component.[2]} where positive numbers start counting from
the most specific component and negative numbers start counting from the
least specific component. Attribute name and the position can be combined as
e.g.  {subject_dn_component.uid[2]} which means that the name of the second
component must be 'uid'.
                    </para>
                    <para>
                        Example: LDAPU1:(uid={subject_dn_component.uid})
                    </para>
                    </listitem>
                </varlistentry>

                <varlistentry>
                    <term>{issuer_dn_component[(.attr_name|[number]]}</term>
                    <listitem>
                    <para>
                        This template will add an attribute value of a component of the issuer DN,
by default the value of the most specific component.
                    </para>
                    <para>
                        See 'subject_dn_component' for details about the attribute name and position
specifiers.
                    </para>
                    <para>
                        Example:
LDAPU1:(domain={issuer_dn_component.[-2]}.{issuer_dn_component.dc[-1]})
                    </para>
                    </listitem>
                </varlistentry>
                <varlistentry>
                    <term>{sid[.rid]}</term>
                    <listitem>
                    <para>
                        This template will add the SID if the corresponding extension introduced by
Microsoft with the OID 1.3.6.1.4.1.311.25.2 is available. With the '.rid'
selector only the last component, i.e. the RID, will be added.
                    </para>
                    <para>
                        Example: LDAPU1:(objectsid={sid})
                    </para>
                    </listitem>
                </varlistentry>
            </variablelist>
        </para>
    </refsect3>
    </refsect2>
    <refsect2 id='domains'>
        <title>LISTA DE DOMINIO</title>
        <para>
            Si la lista de dominio no está vacía los usuarios mapeados a un certificado
dado no serán buscados solo en el dominio local sino también en los dominios
listados siempre que sean conocidos por SSSD. Los dominios no conocidos por
SSSD serán ignorados.
        </para>
    </refsect2>
    </refsect1>
</refentry>
</reference>