path: root/src/man/uk/pam_sss.8.xml

<?xml version="1.0" encoding="UTF-8"?>
<!DOCTYPE reference PUBLIC "-//OASIS//DTD DocBook V4.4//EN"
"http://www.oasis-open.org/docbook/xml/4.4/docbookx.dtd">
<reference>
<title>Сторінки підручника SSSD</title>
<refentry>
    <xi:include xmlns:xi="http://www.w3.org/2001/XInclude"
                href="include/upstream.xml" />

    <refmeta>
        <refentrytitle>pam_sss</refentrytitle>
        <manvolnum>8</manvolnum>
    </refmeta>

    <refnamediv id='name'>
        <refname>pam_sss</refname>
        <refpurpose>модуль PAM для SSSD</refpurpose>
    </refnamediv>

    <refsynopsisdiv id='synopsis'>
        <cmdsynopsis>
<command>pam_sss.so</command> <arg choice='opt'>
<replaceable>quiet</replaceable> </arg> <arg choice='opt'>
<replaceable>forward_pass</replaceable> </arg> <arg choice='opt'>
<replaceable>use_first_pass</replaceable> </arg> <arg choice='opt'>
<replaceable>use_authtok</replaceable> </arg> <arg choice='opt'>
<replaceable>retry=N</replaceable> </arg> <arg choice='opt'>
<replaceable>ignore_unknown_user</replaceable> </arg> <arg choice='opt'>
<replaceable>ignore_authinfo_unavail</replaceable> </arg> <arg choice='opt'>
<replaceable>domains=X</replaceable> </arg> <arg choice='opt'>
<replaceable>allow_missing_name</replaceable> </arg> <arg choice='opt'>
<replaceable>prompt_always</replaceable> </arg> <arg choice='opt'>
<replaceable>try_cert_auth</replaceable> </arg> <arg choice='opt'>
<replaceable>require_cert_auth</replaceable> </arg></cmdsynopsis>
    </refsynopsisdiv>

    <refsect1 id='description'>
        <title>ОПИС</title>
        <para><command>pam_sss.so</command> — інтерфейс PAM до System Security Services
daemon (SSSD). Помилки та результати роботи записуються за допомогою
<command>syslog(3)</command> до запису LOG_AUTHPRIV.</para>
    </refsect1>

    <refsect1 id='options'>
        <title>ПАРАМЕТРИ</title>
        <variablelist remap='IP'>
            <varlistentry>
                <term>
                    <option>quiet</option>
                </term>
                <listitem>
                    <para>Не показувати у журналі повідомлень для невідомих користувачів.</para>
                </listitem>
            </varlistentry>
            <varlistentry>
                <term>
                    <option>forward_pass</option>
                </term>
                <listitem>
                    <para>Якщо встановлено значення <option>forward_pass</option>, введений пароль
буде збережено у стосі паролів для використання іншими модулями PAM.
                    </para>
                </listitem>
            </varlistentry>
            <varlistentry>
                <term>
                    <option>use_first_pass</option>
                </term>
                <listitem>
                    <para>Використання аргументу use_first_pass примушує модуль до використання пароля
з модулів попереднього рівня. Ніяких запитів до користувача не
надсилатиметься, — якщо пароль не буде виявлено або пароль виявиться
непридатним, доступ користувачеві буде заборонено.</para>
                </listitem>
            </varlistentry>
            <varlistentry>
                <term>
                    <option>use_authtok</option>
                </term>
                <listitem>
                    <para>Визначає ситуацію, коли зміна пароля примушує модуль встановлювати новий
пароль на основі пароля, наданого попереднім модулем обробки паролів зі
стосу модулів.</para>
                </listitem>
            </varlistentry>
            <varlistentry>
                <term>
                    <option>retry=N</option>
                </term>
                <listitem>
                    <para>Якщо вказано, користувача запитуватимуть про пароль ще N разів, якщо перший
раз розпізнавання зазнає невдачі. Типовим значенням є 0.</para>
                    <para>Будь ласка, зауважте, що цей параметр може працювати не так, як очікується,
якщо програма, яка викликає PAM, має власний обробник діалогових вікон
взаємодії з користувачем. Типовим прикладом є <command>sshd</command> з
<option>PasswordAuthentication</option>.</para>
                </listitem>
            </varlistentry>
            <varlistentry>
                <term>
                    <option>ignore_unknown_user</option>
                </term>
                <listitem>
                    <para>Якщо вказано цей параметр і облікового запису не існує, модуль PAM поверне
PAM_IGNORE. Це призводить до ігнорування цього модуля оболонкою PAM.</para>
                </listitem>
            </varlistentry>
            <varlistentry>
                <term>
                    <option>ignore_authinfo_unavail</option>
                </term>
                <listitem>
                    <para>
                    Визначає, що модуль PAM має повертати PAM_IGNORE, якщо не вдається
встановити зв’язок із фоновою службою SSSD. У результаті набір інструментів
PAM ігнорує цей модуль.</para>
                </listitem>
            </varlistentry>
            <varlistentry>
                <term>
                    <option>domains</option>
                </term>
                <listitem>
                    <para>
                        Надає змогу адміністратору обмежити домен певною службою PAM, за допомогою
якої можна буде виконувати розпізнавання. Формат значення: список назв
доменів SSSD, відокремлених комами, так, як їх вказано у файлі sssd.conf.
                    </para>
                    <para>
                        Зауваження: Якщо використовується для служби, яку запущено не від імені
користувача root, наприклад вебсервера, слід використовувати разом із
параметрами «pam_trusted_users» і «pam_public_domains». Будь ласка,
ознайомтеся із сторінкою підручника <citerefentry>
<refentrytitle>sssd.conf</refentrytitle> <manvolnum>5</manvolnum>
</citerefentry>, щоб дізнатися більше про ці два параметри відповідача PAM.
                    </para>
                </listitem>
            </varlistentry>
            <varlistentry>
                <term>
                    <option>allow_missing_name</option>
                </term>
                <listitem>
                    <para>
                        Основним призначенням цього параметра є надання SSSD змоги визначати ім'я
користувача на основі додаткових даних, наприклад сертифіката зі
смарткартки.
                    </para>
                    <para>
                        Поточним основним призначенням є засоби керування входом до системи, які
можуть спостерігати за подіями обробки карток на засобі читання
смарткарток. Щойно буде вставлено смарткартку, засіб керування входом до
системи викличе стос PAM, до якого включено рядок, подібний до <programlisting>
auth sufficient pam_sss.so allow_missing_name
                        </programlisting> Якщо SSSD спробує визначити ім'я користувача
на основі вмісту смарткартки, повертає його до pam_sss, який, нарешті,
передасть його стосу PAM.
                    </para>
                </listitem>
            </varlistentry>
            <varlistentry>
                <term>
                    <option>prompt_always</option>
                </term>
                <listitem>
                    <para>
                        Завжди запитувати у користувача реєстраційні дані. Якщо використано цей
параметр, реєстраційні дані, запит на які надійшов від інших модулів PAM,
типово, пароль, буде проігноровано, а pam_sss надсилатиме запит щодо
реєстраційних даних знову. На основі відповіді на попереднє розпізнавання
від SSSD pam_sss може надіслати запит щодо пароля, пін-коду смарткартки або
інших реєстраційних даних.
                    </para>
                </listitem>
            </varlistentry>
            <varlistentry>
                <term>
                    <option>try_cert_auth</option>
                </term>
                <listitem>
                    <para>
                        Спробувати скористатися розпізнаванням на основі сертифікатів, тобто
розпізнаванням за допомогою смарткартки або подібного пристрою. Якщо
доступною є смарткартка і уможливлено розпізнавання за смарткарткою для
служби, система надішле запит щодо пін-коду і буде продовжено процедуру
розпізнавання за сертифікатом.
                    </para>
                    <para>
                        Якщо смарткартка виявиться недоступною або розпізнавання за сертифікатом
буде заборонено для поточної служби, буде повернуто PAM_AUTHINFO_UNAVAIL.
                    </para>
                </listitem>
            </varlistentry>
            <varlistentry>
                <term>
                    <option>require_cert_auth</option>
                </term>
                <listitem>
                    <para>
                        Виконати розпізнавання на основі сертифікатів, тобто розпізнавання за
допомогою смарткартки або подібного пристрою. Якщо смарткартка виявиться
недоступною, система попросить користувача вставити її. SSSD чекатиме на
смарткартку, аж доки не завершиться час очікування, визначений переданим
значенням
p11_wait_for_card_timeout.
Див. <citerefentry><refentrytitle>sssd.conf</refentrytitle>
<manvolnum>5</manvolnum></citerefentry>, щоб дізнатися більше.
                    </para>
                    <para>
                        Якщо смарткартка виявиться недоступною на момент завершення часу очікування
або розпізнавання за сертифікатом буде заборонено для поточної служби, буде
повернуто PAM_AUTHINFO_UNAVAIL.
                    </para>
                </listitem>
            </varlistentry>
        </variablelist>
    </refsect1>

    <refsect1 id='module_types_provides'>
        <title>ПЕРЕДБАЧЕНІ ТИПИ МОДУЛІВ</title>
        <para>Передбачено всі типи модулів (<option>account</option>,
<option>auth</option>, <option>password</option> і
<option>session</option>).
        </para>
        <para>Якщо відповідач PAM SSSD не запущено, наприклад, якщо сокет відповідача PAM
є недоступним, pam_sss поверне PAM_USER_UNKNOWN при виклику з модуля
<option>account</option>, щоб уникнути проблем із записами користувачів із
інших джерел під час керування доступом.</para>
    </refsect1>

    <refsect1 id="return_values">
        <title>ПОВЕРНЕНІ ЗНАЧЕННЯ</title>
        <variablelist>
            <varlistentry>
                <term>PAM_SUCCESS</term>
                <listitem>
                    <para>
                        Дію PAM завершено успішно.
                    </para>
                </listitem>
            </varlistentry>
            <varlistentry>
                <term>PAM_USER_UNKNOWN</term>
                <listitem>
                    <para>
                        Користувач є невідомим службі розпізнавання або відповідач PAM SSSD не
запущено.
                    </para>
                </listitem>
            </varlistentry>
            <varlistentry>
                <term>PAM_AUTH_ERR</term>
                <listitem>
                    <para>
                        Помилка розпізнавання. Також може бути повернено, якщо виникла проблема із
отриманням сертифіката.
                    </para>
                </listitem>
            </varlistentry>
            <varlistentry>
                <term>PAM_PERM_DENIED</term>
                <listitem>
                    <para>
                        Доступ заборонено. Додаткові відомості щодо помилки можуть міститися у
файлах журналів SSSD.
                    </para>
                </listitem>
            </varlistentry>
            <varlistentry>
                <term>PAM_IGNORE</term>
                <listitem>
                    <para>
                        Див. параметри <option>ignore_unknown_user</option> і
<option>ignore_authinfo_unavail</option>.
                    </para>
                </listitem>
            </varlistentry>
            <varlistentry>
                <term>PAM_AUTHTOK_ERR</term>
                <listitem>
                    <para>
                        Не вдалося отримати новий ключ розпізнавання. Крім того, може бути
повернуто, якщо користувач проходить розпізнавання за допомогою
сертифікатів, доступними є декілька сертифікатів, але у встановленій версії
GDM не передбачено можливості вибору одного з декількох сертифікатів.
                    </para>
                </listitem>
            </varlistentry>
            <varlistentry>
                <term>PAM_AUTHINFO_UNAVAIL</term>
                <listitem>
                    <para>
                        Не вдалося отримати доступ до даних щодо розпізнавання. Причиною може бути
помилка у роботі мережі або обладнання.
                    </para>
                </listitem>
            </varlistentry>
            <varlistentry>
                <term>PAM_BUF_ERR</term>
                <listitem>
                    <para>
                        Сталася помилка при роботі з пам'яттю. Також може бути повернуто, якщо було
встановлено параметр use_first_pass або use_authtok, але не було знайдено
пароля у попередньому модулі PAM зі стосу обробки.
                    </para>
                </listitem>
            </varlistentry>
            <varlistentry>
                <term>PAM_SYSTEM_ERR</term>
                <listitem>
                    <para>
                        Сталася загальносистемна помилка. Додаткові відомості щодо помилки можуть
міститися у файлах журналів SSSD.
                    </para>
                </listitem>
            </varlistentry>
            <varlistentry>
                <term>PAM_CRED_ERR</term>
                <listitem>
                    <para>
                        Не вдалося встановити реєстраційні дані користувача.
                    </para>
                </listitem>
            </varlistentry>
            <varlistentry>
                <term>PAM_CRED_INSUFFICIENT</term>
                <listitem>
                    <para>
                        У програми немає достатніх реєстраційних даних для розпізнавання
користувача. Наприклад, може не вистачати PIN-коду при розпізнаванні за
смарткарткою або якогось фактора при двофакторному розпізнаванні.
                    </para>
                </listitem>
            </varlistentry>
            <varlistentry>
                <term>PAM_SERVICE_ERR</term>
                <listitem>
                    <para>
                        Помилка у службовому модулі.
                    </para>
                </listitem>
            </varlistentry>
            <varlistentry>
                <term>PAM_NEW_AUTHTOK_REQD</term>
                <listitem>
                    <para>
                        Строк дії ключа розпізнавання користувача вичерпано.
                    </para>
                </listitem>
            </varlistentry>
            <varlistentry>
                <term>PAM_ACCT_EXPIRED</term>
                <listitem>
                    <para>
                        Строк дії облікового запису користувача вичерпано.
                    </para>
                </listitem>
            </varlistentry>
            <varlistentry>
                <term>PAM_SESSION_ERR</term>
                <listitem>
                    <para>
                        Не вдалося отримати правила профілю стільниці IPA або дані користувача.
                    </para>
                </listitem>
            </varlistentry>
            <varlistentry>
                <term>PAM_CRED_UNAVAIL</term>
                <listitem>
                    <para>
                        Не вдалося отримати реєстраційні дані користувача Kerberos.
                    </para>
                </listitem>
            </varlistentry>
            <varlistentry>
                <term>PAM_NO_MODULE_DATA</term>
                <listitem>
                    <para>
                        Kerberos не вдалося знайти метод розпізнавання. Таке може трапитися, якщо із
записом користувача пов'язано смарткартку, але додаток pkint є недоступним
на клієнті.
                    </para>
                </listitem>
            </varlistentry>
            <varlistentry>
                <term>PAM_CONV_ERR</term>
                <listitem>
                    <para>
                       Помилка обміну даними.
                    </para>
                </listitem>
            </varlistentry>
            <varlistentry>
                <term>PAM_AUTHTOK_LOCK_BUSY</term>
                <listitem>
                    <para>
                       Немає доступних придатних KDC для зміни пароля.
                    </para>
                </listitem>
            </varlistentry>
            <varlistentry>
                <term>PAM_ABORT</term>
                <listitem>
                    <para>
                       Невідомий виклик PAM.
                    </para>
                </listitem>
            </varlistentry>
            <varlistentry>
                <term>PAM_MODULE_UNKNOWN</term>
                <listitem>
                    <para>
                       Непідтримувана команда або завдання PAM.
                    </para>
                </listitem>
            </varlistentry>
            <varlistentry>
                <term>PAM_BAD_ITEM</term>
                <listitem>
                    <para>
                       Модулю розпізнавання не вдалося обробити реєстраційні дані з смарткартки.
                    </para>
                </listitem>
            </varlistentry>
        </variablelist>
    </refsect1>

    <refsect1 id='files'>
        <title>ФАЙЛИ</title>
        <para>Якщо спроба скидання пароля від імені адміністративного користувача (root)
зазнає невдачі, оскільки у відповідному засобі обробки SSSD не передбачено
скидання паролів, може бути показано певне повідомлення. У цьому
повідомленні, наприклад, можуть міститися настанови щодо скидання пароля.</para>

        <para>Текст повідомлення буде прочитано з файла
<filename>pam_sss_pw_reset_message.LOC</filename>, де «LOC» — рядок локалі у
форматі, повернутому <citerefentry>
<refentrytitle>setlocale</refentrytitle><manvolnum>3</manvolnum>
</citerefentry>. Якщо відповідного файла знайдено не буде, буде показано
вміст файла <filename>pam_sss_pw_reset_message.txt</filename>. Власником
файлів має бути адміністративний користувач (root). Доступ до запису файлів
також повинен мати лише адміністративний користувач. Всім іншим користувачам
може бути надано лише право читання файлів.</para>

        <para>Пошук цих файлів виконуватиметься у каталозі
<filename>/etc/sssd/customize/НАЗВА_ДОМЕНУ/</filename>. Якщо відповідний
файл не буде знайдено, буде показано типове повідомлення.</para>
    </refsect1>

    <xi:include xmlns:xi="http://www.w3.org/2001/XInclude" href="include/seealso.xml" />

</refentry>
</reference>