path: root/src/man/uk/sssd.conf.5.xml

<?xml version="1.0" encoding="UTF-8"?>
<!DOCTYPE reference PUBLIC "-//OASIS//DTD DocBook V4.4//EN"
"http://www.oasis-open.org/docbook/xml/4.4/docbookx.dtd"
[
<!ENTITY sssd_user_name SYSTEM "sssd_user_name.include">
]>
<reference>
<title>Сторінки підручника SSSD</title>
<refentry>
    <xi:include xmlns:xi="http://www.w3.org/2001/XInclude" href="include/upstream.xml" />

    <refmeta>
        <refentrytitle>sssd.conf</refentrytitle>
        <manvolnum>5</manvolnum>
        <refmiscinfo class="manual">Формати файлів та правила</refmiscinfo>
    </refmeta>

    <refnamediv id='name'>
        <refname>sssd.conf</refname>
        <refpurpose>файл налаштування SSSD</refpurpose>
    </refnamediv>

    <refsect1 id='file-format'>
        <title>ФОРМАТ ФАЙЛА</title>

        <para>
            Файл складено з використанням синтаксичний конструкцій у стилі ini, він
складається з розділів і окремих записів параметрів. Розділ починається з
рядка назви розділу у квадратних дужках і продовжується до початку нового
розділу. Приклад розділу з параметрами, які мають єдине і декілька значень:
<programlisting>
<replaceable>[розділ]</replaceable>
<replaceable>ключ</replaceable> = <replaceable>значення</replaceable>
<replaceable>ключ2</replaceable> = <replaceable>значення2,значення3</replaceable>
            </programlisting>
        </para>

        <para>
            Типами даних є рядок (без символів лапок), ціле число і булеве значення
(можливі два значення — <quote>TRUE</quote> і <quote>FALSE</quote>).
        </para>

        <para>
            Рядок коментаря починається з символу решітки (<quote>#</quote>) або крапки
з комою (<quote>;</quote>). Підтримки вбудованих коментарів не передбачено.
        </para>

        <para>
            Для всіх розділів передбачено додатковий параметр
<replaceable>description</replaceable>. Його призначено лише для позначення
розділу.
        </para>

        <para>
            <filename>sssd.conf</filename> має бути звичайним файлом, власником якого є
користувач root. Права на читання та запис до цього файла повинен мати лише
користувач root.
        </para>
    </refsect1>

    <refsect1 id='config-snippets'>
        <title>ФРАГМЕНТИ НАЛАШТУВАНЬ З КАТАЛОГУ ВКЛЮЧЕННЯ</title>

        <para>
            До файла налаштувань <filename>sssd.conf</filename> буде включено фрагменти
налаштувань з каталогу <filename>conf.d</filename>. Цією можливістю можна
буде скористатися, якщо SSSD було зібрано із бібліотекою libini версії 1.3.0
або новішою.
        </para>

        <para>
            Будь-який файл, розташований у <filename>conf.d</filename>, назва якого
завершується на <quote><filename>.conf</filename></quote> і не починається з
крапки (<quote>.</quote>), буде використано разом із
<filename>sssd.conf</filename> для налаштовування SSSD.
        </para>

        <para>
            Фрагменти налаштувань з <filename>conf.d</filename> мають вищий пріоритет за
<filename>sssd.conf</filename>, вони мають вищий пріоритет за
<filename>sssd.conf</filename>, якщо виникне конфлікт. Якщо у
<filename>conf.d</filename> буде виявлено декілька фрагментів, їх буде
включено за абеткою (на основі параметрів локалі). Файли, які включаються
пізніше, мають вищий пріоритет. Числові префікси
(<filename>01_фрагмент.conf</filename>,
<filename>02_фрагмент.conf</filename> тощо) можуть допомогти у візуалізації
пріоритетності (більше число означає вищу пріоритетність).
        </para>

        <para>
            Файли фрагментів мають належати одному користувачеві і мати однакові права
доступу із файлом <filename>sssd.conf</filename>. Типовим власником є
root:root, а типовими правами доступу — 0600.
        </para>
    </refsect1>

    <refsect1 id='general-options'>
        <title>ЗАГАЛЬНІ ПАРАМЕТРИ</title>
        <para>
            Нижче наведено параметри, які можна використовувати у декількох розділах
налаштувань.
        </para>
        <refsect2 id='all-section-options'>
            <title>Параметри, які можна використовувати у всіх розділах</title>
            <para>
              <variablelist>
                <varlistentry>
                    <term>debug_level (ціле число)</term>
                    <xi:include xmlns:xi="http://www.w3.org/2001/XInclude" href="include/debug_levels.xml" />
                </varlistentry>
                <varlistentry>
                    <term>debug (ціле число)</term>
                    <listitem>
                        <para>
                            У SSSD 1.14 і новіших версіях з міркувань зручності також передбачено
альтернативний варіант <replaceable>debug</replaceable> для
<replaceable>debug_level</replaceable>. Якщо вказано одразу обидва варіанти,
буде використано варіант <replaceable>debug_level</replaceable>.
                        </para>
                    </listitem>
                </varlistentry>
                <varlistentry>
                    <term>debug_timestamps (булеве значення)</term>
                    <listitem>
                        <para>
                            Додати часову позначку до діагностичних повідомлень. Якщо для запису
діагностичного журналу у SSSD увімкнено journald, цей параметр буде
проігноровано.
                        </para>
                        <para>
                            Типове значення: true
                        </para>
                    </listitem>
                </varlistentry>
                <varlistentry>
                    <term>debug_microseconds (булеве значення)</term>
                    <listitem>
                        <para>
                            Додати значення мікросекунд до часової позначки у діагностичних
повідомлення. Якщо для запису діагностичного журналу у SSSD увімкнено
journald, цей параметр буде проігноровано.
                        </para>
                        <para>
                            Типове значення: false
                        </para>
                    </listitem>
                </varlistentry>
                <varlistentry>
                    <term>debug_backtrace_enabled (булеве значення)</term>
                    <listitem>
                        <para>
                            Увімкнути діагностичне зворотне трасування.
                        </para>
                        <para>
                            Якщо SSSD запущено із debug_level меншим за 9, увесь журнал роботи буде
записано у кільцевий буфер у пам'яті і скинуто до файла журналу при
виявленні будь-якої помилки до рівня `min(0x0040, debug_level)` включно
(тобто якщо debug_level явним чином встановлено у значення 0 або 1, лише
помилки відповідних рівнів вмикатимуть зворотне трасування, інакше кажучи,
помилки рівнів до 2).
                        </para>
                        <para>
                            Підтримку цієї можливості передбачено лише для `logger == files` (тобто,
встановлення цього значення не впливає на інші типи журналювання).
                        </para>
                        <para>
                            Типове значення: true
                        </para>
                    </listitem>
                </varlistentry>
              </variablelist>
            </para>
        </refsect2>

        <refsect2 id='services-and-domains-section-options'>
            <title>Параметри які можна використовувати у розділах SERVICE та DOMAIN</title>
            <para>
              <variablelist>
                <varlistentry>
                    <term>timeout (ціле число)</term>
                    <listitem>
                        <para>
                            Проміжок у секундах між циклами роботи цієї служби. Використовується для
перевірки працездатності процесу та його змоги відповідати на
запити. Зауважте, що після трьох пропущених циклів процес перерве своє
виконання самостійно.
                        </para>
                        <para>
                            Типове значення: 10
                        </para>
                    </listitem>
                </varlistentry>
              </variablelist>
            </para>
        </refsect2>
    </refsect1>

    <refsect1 id='special-sections'>
        <title>ОСОБЛИВІ РОЗДІЛИ</title>

        <refsect2 id='services'>
            <title>Розділ [sssd]</title>
            <para>
                Окремі функції у SSSD виконуються особливими службами SSSD, які запускаються
і зупиняються разом SSSD. Ці служби керуються окремою службою, яку часто
називають «монітором». Розділ <quote>[sssd]</quote> використовується для
налаштування монітора та деяких інших важливих параметрів, зокрема доменів
профілів.  <variablelist>
                    <title>Параметри розділу</title>
                    <varlistentry>
                        <term>config_file_version (ціле число)</term>
                        <listitem>
                            <para>
                                Визначає версію синтаксичних конструкцій файла налаштування. Для версій SSSD
0.6.0 та пізніших слід використовувати версію 2.
                            </para>
                        </listitem>
                    </varlistentry>
                    <varlistentry>
                        <term>services</term>
                        <listitem>
                            <para>
                                Список служб, відокремлених комами, які запускаються разом із sssd. <phrase
condition="have_systemd">Список служб є необов'язковим на платформах, де
передбачено підтримку systemd, оскільки там такі служби вмикаються за
допомогою сокетів або D-Bus.</phrase>
                            </para>
                            <para>
                                Підтримувані служби: nss, pam <phrase condition="with_sudo">, sudo</phrase>
<phrase condition="with_autofs">, autofs</phrase> <phrase
condition="with_ssh">, ssh</phrase> <phrase condition="with_pac_responder">,
pac</phrase> <phrase condition="with_ifp">, ifp</phrase>
                            </para>
                            <para>
                                <phrase condition="have_systemd">Типово усі служби вимкнено. Адміністратор
має увімкнути дозволені до використання служби за допомогою такої команди:
"systemctl enable sssd-@service@.socket".  </phrase>
                            </para>
                        </listitem>
                    </varlistentry>
                    <varlistentry>
                        <term>reconnection_retries (ціле число)</term>
                        <listitem>
                            <para>
                                Кількість повторних спроб встановлення зв’язку зі службами або їх
перезапуску у разі аварійного завершення роботи інструменту надання даних до
визнання подальших спроб безнадійними.
                            </para>
                            <para>
                                Типове значення: 3
                            </para>
                        </listitem>
                    </varlistentry>
                    <varlistentry>
                        <term>domains</term>
                        <listitem>
                            <para>
                                Домен — це база даних, у якій містяться дані щодо користувачів. SSSD може
одночасно використовувати декілька доменів. Вам слід вказати принаймні один
домен, інакше SSSD просто не запуститься. За допомогою цього параметра можна
вказати список доменів, впорядкованих за пріоритетністю під час надсилання
до них запитів щодо даних. Рекомендовано використовувати у назві домену лише
літери і цифри ASCII, дефіси, крапки та знаки підкреслювання. Не можна
використовувати символ «/».
                            </para>
                        </listitem>
                    </varlistentry>
                    <varlistentry>
                        <term>re_expression (рядок)</term>
                        <listitem>
                            <para>
                                Типовий формальний вираз, який описує спосіб поділу рядка з іменем
користувача і доменом на його частини.
                            </para>
                            <para>
                                Для кожного з доменів можна налаштувати окремий формальний вираз. Для деяких
з засобів надання ідентифікаторів передбачено типові формальні
вирази. Докладніше про ці формальні вирази можна дізнатися з довідки до
РОЗДІЛІВ ДОМЕНІВ.
                            </para>
                        </listitem>
                    </varlistentry>
                    <varlistentry>
                        <term>full_name_format (рядок)</term>
                        <listitem>
                            <para>
                                Сумісний з <citerefentry> <refentrytitle>printf</refentrytitle>
<manvolnum>3</manvolnum> </citerefentry> формат, який описує спосіб
створення повного імені на основі імені користувача та компонентів назви
домену.
                            </para>
                            <para>
                                Передбачено використання таких замінників: <variablelist>
                                    <varlistentry>
                                        <term>%1$s</term>
                                        <listitem><para>ім’я користувача</para></listitem>
                                    </varlistentry>
                                    <varlistentry>
                                        <term>%2$s</term>
                                        <listitem>
                                            <para>
                                                назва домену у форматі, вказаному у файлі налаштувань SSSD.
                                            </para>
                                        </listitem>
                                    </varlistentry>
                                    <varlistentry>
                                        <term>%3$s</term>
                                        <listitem>
                                            <para>
                                                проста назва домену. Здебільшого використовується для доменів Active
Directory, налаштованих та автоматично виявлених за зв’язками довіри IPA.
                                            </para>
                                        </listitem>
                                    </varlistentry>
                                </variablelist>
                            </para>
                            <para>
                                Для кожного з доменів можна налаштувати окремий рядок формату. Докладніше
про ці рядки можна дізнатися з довідки до РОЗДІЛІВ ДОМЕНІВ.
                            </para>
                        </listitem>
                    </varlistentry>
                    <varlistentry>
                        <term>monitor_resolv_conf (булеве значення)</term>
                        <listitem>
                            <para>
                                Керує тим, чи SSSD має спостерігати за станом resolv.conf для визначення
моменту, коли слід оновити дані вбудованого інструмента визначення DNS.
                            </para>
                            <para>
                                Типове значення: true
                            </para>
                        </listitem>
                    </varlistentry>
                    <varlistentry>
                        <term>try_inotify (булеве значення)</term>
                        <listitem>
                            <para condition="have_inotify">
                                Типово, з метою спостереження за змінами у файлах налаштувань SSSD
намагається використати inotify. Якщо використати inotify не вдається,
виконуватиметься опитування resolv.conf кожні п’ять секунд.
                            </para>
                            <para condition="have_inotify">
                                Зрідка бажано не вдаватися навіть до спроб скористатися inotify. У цих
рідкісних випадках слід встановити для цього параметра значення «false».
                            </para>
                            <para condition="have_inotify">
                                Типове значення: «true» на платформах, де підтримується inotify. «false» на
інших платформах.
                            </para>
                            <para>
                                Зауваження: цей параметр ні на що не вплине на платформах, де inotify
недоступний. На цих платформах завжди використовуватиметься безпосереднє
опитування файла.
                            </para>
                        </listitem>
                    </varlistentry>
                    <varlistentry>
                        <term>krb5_rcache_dir (рядок)</term>
                        <listitem>
                            <para>
                                Каталог у файловій системі, де SSSD має зберігати файли кешу відтворення
Kerberos.
                            </para>
                            <para>
                                Цей параметр приймає особливе значення __LIBKRB5_DEFAULTS__, за допомогою
якого можна наказати SSSD надати змогу libkrb5 визначити відповідну адресу
для кешу відтворення.
                            </para>
                            <para>
                                Типове значення: визначається дистрибутивом та вказується під час
збирання. (__LIBKRB5_DEFAULTS__, якщо не вказано)
                            </para>
                        </listitem>
                    </varlistentry>
                    <varlistentry condition="with_non_root_user_support">
                        <term>user (рядок)</term>
                        <listitem>
                            <para>
                                The user to drop the privileges to where appropriate to avoid running as the
root user.  Currently the only supported value is '&sssd_user_name;'.
                            </para>

                            <para condition="have_systemd">
                                This option does not work when running socket-activated services, as the
user set up to run the processes is set up during compilation time.  The way
to override the systemd unit files is by creating the appropriate files in
/etc/systemd/system/.  Keep in mind that any change in the socket user,
group or permissions may result in a non-usable SSSD. The same may occur in
case of changes of the user running the NSS responder.
                            </para>

                            <para>
                                Типове значення: не встановлено, процес буде запущено від імені root
                            </para>
                        </listitem>
                    </varlistentry>
                    <varlistentry>
                        <term>default_domain_suffix (рядок)</term>
                        <listitem>
                            <para>
                                Цей рядок буде використано як типову назву домену для всіх назв без
компонента назви домену. Основним призначенням використання цього рядка є
середовища, де основний домен призначено для керування правилами вузлів та
всіма користувачами, розташованими на надійному (довіреному) домені. За
допомогою цього параметра користувачі можуть входити до системи за допомогою
лише імені користувача без додавання до нього назви домену.
                            </para>
                            <para>
                                Please note that if this option is set all users from the primary domain
have to use their fully qualified name, e.g. user@domain.name, to log
in. Setting this option changes default of use_fully_qualified_names to
True. It is not allowed to use this option together with
use_fully_qualified_names set to False.  <phrase
condition="with_files_provider"> One exception from this rule are domains
with <quote>id_provider=files</quote> that always try to match the behaviour
of nss_files and therefore their output is not qualified even when the
default_domain_suffix option is used.  </phrase>
                            </para>
                            <para>
                                Типове значення: not set
                            </para>
                        </listitem>
                    </varlistentry>
                    <varlistentry>
                        <term>override_space (рядок)</term>
                        <listitem>
                            <para>
                                За допомогою цього параметра можна змінити пробіли у іменах користувачів та
назвах груп вказаним симовлом, наприклад _. Ім’я користувача «john doe» буде
перетворено на «john_doe». Цю можливість було додано для сумісності із
скриптами командної оболонки, у яких виникають проблеми із обробкою пробілів
через типовий роздільник полів у оболонці.
                            </para>
                            <para>
                                Будь ласка, зауважте, що використання символу-замінника, який може бути
використано у іменах користувачів і назвах груп, є помилкою у
налаштуваннях. Якщо назва містить символ-замінник, SSSD спробує повернути
незмінену назву, але, загалом, результат пошуку буде невизначеним.
                            </para>
                            <para>
                                Типове значення: не встановлено (пробіли не замінятимуться)
                            </para>
                        </listitem>
                    </varlistentry>
                    <varlistentry>
                        <term>certificate_verification (рядок)</term>
                        <listitem>
                            <para>
                                За допомогою цього параметра можна виконати тонке налаштовування перевірки
сертифікатів на основі списку параметрів, відокремлених комами. Підтримувані
параметри: <variablelist>
                                <varlistentry>
                                    <term>no_ocsp</term>
                                    <listitem>
                                        <para>Вимикає перевірки протоколу стану мережевої сертифікації (Online Certificate
Status Protocol або OCSP). Це може знадобитися, якщо сервери OCSP, визначені
у сертифікаті, є недоступними з клієнта.</para>
                                    </listitem>
                                </varlistentry>
                                <varlistentry>
                                    <term>soft_ocsp</term>
                                    <listitem>
                                        <para> Якщо не вдасться встановити з'єднання із відповідачем OCSP, перевірку OCSP
буде пропущено. Цим параметром слід користуватися для того, щоб дозволити
розпізнавання тоді, коли система працює автономно, отже відповідач OCSP є
недоступним.</para>
                                    </listitem>
                                </varlistentry>
                                <varlistentry>
                                    <term>ocsp_dgst</term>
                                    <listitem>
                                        <para>Функція обчислення контрольної суми (хешу), яку буде використано для
створення ідентифікатора сертифіката для запиту OCSP. Можливі значення:
                                        <itemizedlist>
                                          <listitem><para>sha1</para></listitem>
                                          <listitem><para>sha256</para></listitem>
                                          <listitem><para>sha384</para></listitem>
                                          <listitem><para>sha512</para></listitem>
                                        </itemizedlist></para>
                                        <para>
                                            Типове значення: sha1 (для уможливлення сумісності із відповідачем, який є
сумісним із RFC5019)
                                        </para>
                                    </listitem>
                                </varlistentry>
                                <varlistentry>
                                    <term>no_verification</term>
                                    <listitem>
                                        <para>Повністю вимикає перевірку. Цим варіантом слід користуватися лише для
тестування.</para>
                                    </listitem>
                                </varlistentry>
                                <varlistentry>
                                    <term>partial_chain</term>
                                    <listitem>
                                        <para>Уможливити успішну перевірку, навіть якщо не вдасться побудувати
<replaceable>повний</replaceable> ланцюжок до самопідписаної прив'язки
довіри, якщо можна побудувати ланцюжок до довіреного сертифіката, який може
бути не самопідписаним.</para>
                                    </listitem>
                                </varlistentry>
                                <varlistentry>
                                    <term>ocsp_default_responder=URL</term>
                                    <listitem>
                                        <para>Встановлює типовий відповідач OCSP, який слід використовувати замість
визначеного у сертифікаті. Адресу слід замінити адресою типового
відповідача, наприклад http://example.com:80/ocsp.</para>
                                    </listitem>
                                </varlistentry>
                                <varlistentry>
                                    <term>
                                    ocsp_default_responder_signing_cert=НАЗВА</term>
                                    <listitem>
                                        <para>У поточній версії програма ігнорує цей параметр. Усі потрібні сертифікати
мають бути у файлі PEM, який вказано параметром pam_cert_db_path.</para>
                                    </listitem>
                                </varlistentry>
                                <varlistentry>
                                    <term>crl_file=/ШЛЯХ/ДО/ФАЙЛА/CRL</term>
                                    <listitem>
                                        <para>Використовувати список відкликання сертифікатів (CRL) з вказаного файла під
час перевірки сертифіката. CRL має бути вказано у форматі PEM,
див. <citerefentry> <refentrytitle>crl</refentrytitle>
<manvolnum>1ssl</manvolnum> </citerefentry>, щоб дізнатися більше.</para>
                                    </listitem>
                                </varlistentry>
                                <varlistentry>
                                    <term>soft_crl</term>
                                    <listitem>
                                        <para>
                                        Якщо строк дії списку відкликання сертифікатів (CRL) вичерпано, перевірки
CRL для відповідних сертифікатів буде проігноровано. Цим параметром слід
користуватися для уможливлення розпізнавання у системах, які працюють у
автономному режимі, коли оновлення CRL є неможливим.</para>
                                    </listitem>
                                </varlistentry>
                                </variablelist>
                            </para>
                            <para>
                                Обробник параметрів повідомлятиме про невідомі параметри і просто
ігноруватиме їх.
                            </para>
                            <para>
                                Типове значення: не встановлено, тобто перевірка сертифікатів нічим не
обмежуватиметься
                            </para>
                        </listitem>
                    </varlistentry>
                    <varlistentry>
                        <term>disable_netlink (булеве значення)</term>
                        <listitem>
                            <para>
                                Перехоплювачі SSSD у інтерфейсі netlink для стеження за змінами у маршрутах,
адресах, посилання та виконання певних дій.
                            </para>
                            <para>
                                Зміни стану SSSD, спричинені подіями netlink, можуть бути небажаними, їх
можна вимкнути встановленням для цього параметра значення «true»
                            </para>
                            <para>
                                Типове значення: false (виявлення змін у netlink)
                            </para>
                        </listitem>
                    </varlistentry>
                    <varlistentry condition="with_files_provider">
                        <term>enable_files_domain (булеве значення)</term>
                        <listitem>
                            <para>
                                Якщо цю можливість увімкнено, SSSD дописуватиме неявний домен із
<quote>id_provider=files</quote> до усіх явним чином налаштованих доменів.
                            </para>
                            <para>
                                Типове значення: false
                            </para>
                        </listitem>
                    </varlistentry>
                    <varlistentry>
                        <term>domain_resolution_order</term>
                        <listitem>
                            <para>
                                Список доменів і піддоменів, відокремлених комами, який визначає порядок
пошуку, який використовуватиметься. Список не обов'язково включатиме усі
можливі домени, оскільки пошук у пропущених доменах відбуватиметься у
порядку, у якому їх вказано у параметрі налаштування
<quote>domains</quote>. Пошук у піддоменах, яких немає у списку
<quote>lookup_order</quote>, відбуватиметься у випадковому порядку для
кожного батьківського домену.
                            </para>
                            <para>
                                Please, note that when this option is set the output format of all commands
is always fully-qualified even when using short names for input <phrase
condition="with_files_provider"> , for all users but the ones managed by the
files provider </phrase>.  In case the administrator wants the output not
fully-qualified, the full_name_format option can be used as shown below:
<quote>full_name_format=%1$s</quote> However, keep in mind that during
login, login applications often canonicalize the username by calling
<citerefentry> <refentrytitle>getpwnam</refentrytitle>
<manvolnum>3</manvolnum> </citerefentry> which, if a shortname is returned
for a qualified input (while trying to reach a user which exists in multiple
domains) might re-route the login attempt into the domain which uses
shortnames, making this workaround totally not recommended in cases where
usernames may overlap between domains.
                            </para>
                            <para>
                                Типове значення: не встановлено
                            </para>
                        </listitem>
                    </varlistentry>
                    <varlistentry>
                        <term>implicit_pac_responder (булеве значення)</term>
                        <listitem>
                            <para>
                                Відповідач PAC буде автоматично увімкнено для надавачів IPA і AD для
обчислення і перевірки PAC. Якщо відповідач слід вимкнути, встановіть для
цього параметра значення «false».
                            </para>
                            <para>
                                Типове значення: true
                            </para>
                        </listitem>
                    </varlistentry>
                    <varlistentry>
                        <term>core_dumpable (булеве значення)</term>
                        <listitem>
                            <para>
                                Цим параметром можна скористатися для загального забезпечення стійкості
системи: встановлення значення «false» забороняє дампи ядра для усіх
процесів SSSD з метою уникнення витоку паролів у форматі нешифрованого
тексту. Див. сторінку підручника щодо prctl:PR_SET_DUMPABLE, щоб дізнатися
більше.
                            </para>
                            <para>
                                Типове значення: true
                            </para>
                        </listitem>
                    </varlistentry>
                    <varlistentry condition="build_passkey">
                        <term>passkey_verification (string)</term>
                        <listitem>
                            <para>
                                With this parameter the passkey verification can be tuned with a comma
separated list of options. Supported options are: <variablelist>
                                <varlistentry>
                                    <term>user_verification (boolean)</term>
                                    <listitem>
                                        <para> Enable or disable the user verification (i.e. PIN, fingerprint)  during
authentication. If enabled, the PIN will always be requested.
                                        </para>
                                        <para>
                                        The default is that the key settings decide what to do. In the IPA or
kerberos pre-authentication case, this value will be overwritten by the
server.
                                        </para>
                                    </listitem>
                                </varlistentry>
                                </variablelist>
                            </para>
                        </listitem>
                    </varlistentry>
                </variablelist>
            </para>
        </refsect2>

    </refsect1>

    <refsect1 id='services-sections'>
        <title>РОЗДІЛИ СЛУЖБ</title>
        <para>
            У цьому розділі описано параметри, якими можна скористатися для налаштування
різноманітних служб. Ці параметри має бути зібрано у розділах з назвами
[<replaceable>$NAME</replaceable>]. Наприклад, параметри служби NSS зібрано
у розділі <quote>[nss]</quote>
        </para>

        <refsect2 id='general'>
            <title>Загальні параметри налаштування служб</title>
            <para>
                Цими параметрами можна скористатися для налаштування будь-яких служб.
            </para>
            <variablelist>
                <varlistentry>
                    <term>reconnection_retries (ціле число)</term>
                    <listitem>
                        <para>
                            Кількість повторних спроб встановлення зв’язку зі службами або їх
перезапуску у разі аварійного завершення роботи інструменту надання даних до
визнання подальших спроб безнадійними.
                        </para>
                        <para>
                            Типове значення: 3
                        </para>
                    </listitem>
                </varlistentry>
                <varlistentry>
                    <term>fd_limit</term>
                    <listitem>
                        <para>
                            За допомогою цього параметра можна визначити максимальну кількість
дескрипторів файлів, які одночасно може бути відкрито цим процесом SSSD. У
системах, де SSSD надано можливості CAP_SYS_RESOURCE, цей параметр
використовуватиметься незалежно від інших параметрів системи. У системах без
цієї можливості, кількість дескрипторів визначатиметься найменшим зі значень
цього параметра і обмеженням "hard" у limits.conf.
                        </para>
                        <para>
                            Типове значення: 8192 (або обмеження у limits.conf "hard")
                        </para>
                    </listitem>
                </varlistentry>
                <varlistentry>
                    <term>client_idle_timeout</term>
                    <listitem>
                        <para>
                            За допомогою цього параметра можна визначити кількість секунд, протягом яких
клієнтська частина SSSD може утримувати дескриптор файла без здійснення за
його допомогою обміну даними. Таке обмеження потрібне для того, щоб уникнути
вичерпання ресурсів системи. Час очікування не може бути меншим за 10
секунд. Якщо у налаштуваннях вказано менше значення, його буде скориговано
до 10 секунд.
                        </para>
                        <para>
                            Типове значення: 60, KCM: 300
                        </para>
                    </listitem>
                </varlistentry>
                <varlistentry>
                    <term>offline_timeout (ціле число)</term>
                    <listitem>
                        <para>
                            Коли SSSD перемикається на автономний режим роботи, час, який має минути,
перш ніж буде здійснено спробу повернутися до режиму у мережі,
збільшуватиметься, відповідно до часу, проведеного у режимі
від’єднання. Типово, SSSD використовує нарощувальну поведінку для обчислення
затримки між повторними спробами. Тому час очікування для повторної спроби
буде довшим за час очікування попередньої спроби. Після кожної невдалої
спроби з'єднатися із мережею нове значення обчислюється за такою формулою:
                        </para>
                        <para>
                             new_delay = Minimum(old_delay * 2, offline_timeout_max) +
random[0...offline_timeout_random_offset]
                        </para>
                        <para>
                            Типовим значенням offline_timeout є 60. Типовим значенням
offline_timeout_max є 3600. Типовим значенням offline_timeout_random_offset
є 30. Кінцевий результат є кількістю секунд до наступної повторної спроби.
                        </para>
                        <para>
                            Зауважте, що максимальна тривалість кожного з інтервалів визначається
offline_timeout_max (окрім випадкової частини).
                        </para>
                        <para>
                            Типове значення: 60
                        </para>
                    </listitem>
                </varlistentry>
                <varlistentry>
                    <term>offline_timeout_max (ціле число)</term>
                    <listitem>
                        <para>
                            Керує тим, на скільки можна збільшувати проміжок часу між спробами відновити
з'єднання із мережею після неуспішних спроби відновити з'єднання.
                        </para>
                        <para>
                            Значення 0 вимикає збільшення проміжку часу.
                        </para>
                        <para>
                            Значення цього параметра слід встановлювати у поєднанні зі значенням
параметра offline_timeout.
                        </para>
                        <para>
                            Якщо для offline_timeout встановлено значення 60 (типове значення), немає
сенсу встановлювати для offlinet_timeout_max значення, яке є меншим за 120,
оскільки перший же крок збільшення призведе до перевищення максимального
значення. Загальним правилом у цьому випадку має бути встановлення значення
offline_timeout_max, яке є принаймні учетверо більшим за offline_timeout.
                        </para>
                        <para>
                            Хоча можна вказати будь-яке значення від 0 до offline_timeout, результатом
стане перевизначення значення offline_timeout, тому не варто цього робити.
                        </para>
                        <para>
                            Типове значення: 3600
                        </para>
                    </listitem>
                </varlistentry>
                <varlistentry>
                    <term>offline_timeout_random_offset (ціле число)</term>
                    <listitem>
                        <para>
                            Якщо SSSD працює в автономному режимі, програма виконує зондування
серверів-обробників із вказаними інтервалами часу:
                        </para>
                        <para>
                            new_delay = Minimum(old_delay * 2, offline_timeout_max) +
random[0...offline_timeout_random_offset]
                        </para>
                        <para>
                            Цей параметр керує значенням випадкового зсуву, яке буде використано у
наведеному вище рівнянні. Остаточне значення random_offset буде випадковим
числом у такому діапазоні:
                        </para>
                        <para>
                            [0 - offline_timeout_random_offset]
                        </para>
                        <para>
                            Значення 0 призводить до вимикання додавання випадкового зсуву.
                        </para>
                        <para>
                            Типове значення: 30
                        </para>
                    </listitem>
                </varlistentry>
                <varlistentry>
                    <term>responder_idle_timeout</term>
                    <listitem>
                        <para>
                            Цей параметр визначає кількість секунд, протягом яких процес відповідача
SSSD може працювати без використання. Це значення обмежено з метою уникнення
вичерпання ресурсів системи. Мінімальним прийнятним значенням для цього
параметра є 60 секунд. Встановлення для цього параметра значення 0 (нуль)
означає, що для відповідача не встановлюватиметься ніякого часу
очікування. Цей параметр враховуватиметься, лише якщо SSSD зібрано з
підтримкою systemd і якщо служби активуються за допомогою або сокетів або
D-Bus.
                        </para>
                        <para>
                            Типове значення: 300
                        </para>
                    </listitem>
                </varlistentry>
                <varlistentry>
                    <term>cache_first</term>
                    <listitem>
                        <para>
                            Цей параметр визначає, чи слід відповідачеві опитати усі кеші до надсилання
запису до модулів засобів надання даних.
                        </para>
                        <para condition="with_files_provider">
                            Типове значення: false
                        </para>
                        <para condition="without_files_provider">
                            Типове значення: true
                        </para>
                    </listitem>
                </varlistentry>
            </variablelist>
        </refsect2>

        <refsect2 id='NSS'>
            <title>Параметри налаштування NSS</title>
            <para>
                Цими параметрами можна скористатися для налаштування служби Name Service
Switch (NSS або перемикання служби визначення назв).
            </para>
            <variablelist>
                <varlistentry>
                    <term>enum_cache_timeout (ціле число)</term>
                    <listitem>
                        <para>
                            Тривалість зберігання переліків (запитів щодо даних всіх користувачів) у
кеші nss_sss у секундах
                        </para>
                        <para>
                            Типове значення: 120
                        </para>
                    </listitem>
                </varlistentry>
                <varlistentry>
                    <term>entry_cache_nowait_percentage (ціле число)</term>
                    <listitem>
                        <para>
                            Можна встановити кеш записів для автоматичного оновлення записів у фоновому
режимі, якщо запит щодо них надходить у визначений у відсотках від
entry_cache_timeout для домену період часу.
                        </para>
                        <para>
                            Наприклад, якщо entry_cache_timeout домену встановлено у значення 30s, а
entry_cache_nowait_percentage — у значення 50 (у відсотках), записи, які
надійдуть за 15 секунд після останнього оновлення кешу, буде повернуто
одразу, але SSSD оновить власний кеш, отже наступні запити очікуватимуть на
розблокування після оновлення кешу.
                        </para>
                        <para>
                            Коректними значеннями цього параметра є 0-99. Ці значення відповідають
відсоткам entry_cache_timeout для кожного з доменів. З міркувань покращення
швидкодії це відсоткове значення ніколи не зменшуватиме час очікування
nowait до значення, меншого за 10 секунд. Визначення значення 0 вимкне цю
можливість.
                        </para>
                        <para>
                            Типове значення: 50
                        </para>
                    </listitem>
                </varlistentry>
                <varlistentry>
                    <term>entry_negative_timeout (ціле число)</term>
                    <listitem>
                        <para>
                            Визначає кількість секунд, протягом яких nss_sss має кешувати негативні
результати пошуку у кеші (тобто запити щодо некоректних записів у базі
даних, зокрема неіснуючих) перед повторним запитом до сервера обробки.
                        </para>
                        <para>
                            Типове значення: 15
                        </para>
                    </listitem>
                </varlistentry>
                <varlistentry>
                    <term>local_negative_timeout (ціле число)</term>
                    <listitem>
                        <para>
                            Визначає кількість секунд, протягом яких nss_sss має зберігати негативні
результати пошуку у кеші користувачів і груп, перші ніж намагатися знову
шукати їх за допомогою модуля надання даних. Встановлення значення 0 вимикає
цю можливість.
                        </para>
                        <para>
                            Типове значення: 14400 (4 години)
                        </para>
                    </listitem>
                </varlistentry>
                <varlistentry>
                    <term>filter_users, filter_groups (рядок)</term>
                    <listitem>
                        <para>
                            Виключити певних користувачів або групи зі списку отримання даних з бази
даних NSS sss. Таке виключення може бути корисним для облікових записів
керування системою. Цей параметр також можна встановлювати для кожного з
доменів окремо або включити до нього імена користувачів повністю для
обмеження списку користувачами лише з певного домену або за назвою
реєстраційного запису користувача (UPN).
                        </para>
                        <para>
                            ЗАУВАЖЕННЯ: параметр filter_groups не впливає на успадкованість вкладених
записів групи, оскільки фільтрування відбувається після їх передавання для
повернення за допомогою NSS. Наприклад, у списку групи, що містить вкладену
групу, яку відфільтровано, залишатимуться записи користувачів
відфільтрованої групи.
                        </para>
                        <para>
                            Типове значення: root
                        </para>
                    </listitem>
                </varlistentry>
                <varlistentry>
                    <term>filter_users_in_groups (булеве значення)</term>
                    <listitem>
                        <para>
                            Якщо ви хочете, щоб фільтровані користувачі залишалися учасниками груп,
встановіть для цього параметра значення «false».
                        </para>
                        <para>
                            Типове значення: true
                        </para>
                    </listitem>
                </varlistentry>
                <xi:include xmlns:xi="http://www.w3.org/2001/XInclude" href="include/override_homedir.xml" />
                <xi:include xmlns:xi="http://www.w3.org/2001/XInclude" href="include/homedir_substring.xml" />
                <varlistentry>
                    <term>fallback_homedir (рядок)</term>
                    <listitem>
                        <para>
                            Встановити типовий шаблон назви домашнього каталогу користувача, якщо цей
каталог не вказано явним чином засобом надання даних домену.
                        </para>
                        <para>
                            Можливі варіанти значень для цього параметра збігаються з варіантами значень
для параметра override_homedir.
                        </para>
                        <para>
                            приклад: <programlisting>
fallback_homedir = /home/%u
                            </programlisting>
                        </para>
                        <para>
                            Типове значення: не встановлено (без замін для невстановлених домашніх
каталогів)
                        </para>
                    </listitem>
                </varlistentry>
                <varlistentry>
                    <term>override_shell (рядок)</term>
                    <listitem>
                        <para>
                            Перевизначити командну оболонку входу до системи для усіх користувачів. Цей
параметр має пріоритет над будь-якими іншими параметрами визначення
командної оболонки, якщо він діє. Його можна встановити або у розділі [nss]
або для кожного з доменів окремо.
                        </para>
                        <para>
                            Типове значення: не встановлено (SSSD використовуватиме значення, отримане
від LDAP)
                        </para>
                    </listitem>
                </varlistentry>
                <varlistentry>
                    <term>allowed_shells (рядок)</term>
                    <listitem>
                        <para>
                            Обмежити перелік можливих командних оболонок користувачів вказаними. Порядок
визначення оболонки є таким:
                        </para>
                        <para>
                            1. Якщо оболонку вказано у <quote>/etc/shells</quote>, її буде використано.
                        </para>
                        <para>
                            2. Якщо оболонку вказано у списку allowed_shells, але її немає у списку
<quote>/etc/shells</quote>, буде використано значення параметра
shell_fallback.
                        </para>
                        <para>
                            3. Якщо оболонку не вказано у списку allowed_shells і її немає у списку
<quote>/etc/shells</quote>, буде використано оболонку nologin.
                        </para>
                        <para>
                            Для визначення будь-якої командної оболонки можна скористатися шаблоном
заміни (*).
                        </para>
                        <para>
                            Значенням (*) варто користуватися, якщо ви хочете скористатися
shell_fallback, коли командної оболонки користувача немає у «/etc/shells», а
супровід списку усіх командних оболонок у allowed_shells є надто марудною
справою.
                        </para>
                        <para>
                            Порожній рядок оболонки буде передано без обробки до libc.
                        </para>
                        <para>
                            Читання <quote>/etc/shells</quote> виконується лише під час запуску SSSD,
тобто у разі встановлення нової оболонки слід перезапустити SSSD.
                        </para>
                        <para>
                            Типове значення: не встановлено. Автоматично використовується оболонка
користувача.
                        </para>
                    </listitem>
                </varlistentry>
                <varlistentry>
                    <term>vetoed_shells (рядок)</term>
                    <listitem>
                        <para>
                            Замінити всі записи цих оболонок на shell_fallback
                        </para>
                    </listitem>
                </varlistentry>
                <varlistentry>
                    <term>shell_fallback (рядок)</term>
                    <listitem>
                        <para>
                            Типова оболонка, яку слід використовувати, якщо дозволеної оболонки у
системі не встановлено.
                        </para>
                        <para>
                            Типове значення: /bin/sh
                        </para>
                    </listitem>
                </varlistentry>
                <varlistentry>
                    <term>default_shell</term>
                    <listitem>
                        <para>
                            Типова командна оболонка, яку буде використано, якщо засобом надання даних
не було повернуто назви оболонки під час пошуку. Цей параметр можна вказати
або на загальному рівні у розділі [nss], або окремо для кожного з доменів.
                        </para>
                        <para>
                            Типове значення: не встановлено (повернути NULL, якщо оболонку не
встановлено і покластися на libc у визначенні потрібного програмі значення,
зазвичай /bin/sh)
                        </para>
                    </listitem>
                </varlistentry>
                <varlistentry>
                    <term>get_domains_timeout (ціле число)</term>
                    <listitem>
                        <para>
                            Визначає час у секундах, протягом якого список піддоменів вважатиметься
чинним.
                        </para>
                        <para>
                            Типове значення: 60
                        </para>
                    </listitem>
                </varlistentry>
                <varlistentry>
                    <term>memcache_timeout (ціле число)</term>
                    <listitem>
                        <para>
                            Визначає час у секундах, протягом якого список піддоменів вважатиметься
чинним. Встановлення для цього параметра нульового значення вимикає кеш у
пам'яті.
                        </para>
                        <para>
                            Типове значення: 300
                        </para>
                        <para>
                            Попередження: вимикання кешу у пам'яті значно погіршить швидкодію SSSD, ним
варто користуватися лише для тестування.
                        </para>
                        <para>
                            ЗАУВАЖЕННЯ: якщо для змінної середовища SSS_NSS_USE_MEMCACHE встановлено
значення «NO», клієнтські програми не використовуватимуть fast у кеші у
пам’яті.
                        </para>
                    </listitem>
                </varlistentry>
                <varlistentry>
                    <term>memcache_size_passwd (ціле число)</term>
                    <listitem>
                        <para>
                            Розмір (у мегабайтах) таблиці даних, розміщеної у швидкому кеші у пам'яті,
для запитів passwd. Встановлення розміру 0 вимкне кеш у пам'яті для passwd.
                        </para>
                        <para>
                            Типове значення: 8
                        </para>
                        <para>
                            Попередження: вимикання кешу у пам'яті або дуже малий його розмір можуть
значно погіршити швидкодію SSSD.
                        </para>
                        <para>
                            ЗАУВАЖЕННЯ: якщо для змінної середовища SSS_NSS_USE_MEMCACHE встановлено
значення «NO», клієнтські програми не використовуватимуть fast у кеші у
пам’яті.
                        </para>
                    </listitem>
                </varlistentry>
                <varlistentry>
                    <term>memcache_size_group (ціле число)</term>
                    <listitem>
                        <para>
                            Розмір (у мегабайтах) таблиці даних, розміщеної у швидкому кеші у пам'яті,
для запитів group. Встановлення розміру 0 вимкне кеш у пам'яті для group.
                        </para>
                        <para>
                            Типове значення: 6
                        </para>
                        <para>
                            Попередження: вимикання кешу у пам'яті або дуже малий його розмір можуть
значно погіршити швидкодію SSSD.
                        </para>
                        <para>
                            ЗАУВАЖЕННЯ: якщо для змінної середовища SSS_NSS_USE_MEMCACHE встановлено
значення «NO», клієнтські програми не використовуватимуть fast у кеші у
пам’яті.
                        </para>
                    </listitem>
                </varlistentry>
                <varlistentry>
                    <term>memcache_size_initgroups (ціле число)</term>
                    <listitem>
                        <para>
                            Розмір (у мегабайтах) таблиці даних, розміщеної у швидкому кеші у пам'яті,
для запитів initgroups. Встановлення розміру 0 вимкне кеш у пам'яті для
initgroups.
                        </para>
                        <para>
                            Типове значення: 10
                        </para>
                        <para>
                            Попередження: вимикання кешу у пам'яті або дуже малий його розмір можуть
значно погіршити швидкодію SSSD.
                        </para>
                        <para>
                            ЗАУВАЖЕННЯ: якщо для змінної середовища SSS_NSS_USE_MEMCACHE встановлено
значення «NO», клієнтські програми не використовуватимуть fast у кеші у
пам’яті.
                        </para>
                    </listitem>
                </varlistentry>
                <varlistentry>
                    <term>memcache_size_sid (ціле число)</term>
                    <listitem>
                        <para>
                            Розмір (у мегабайтах) таблиці даних, розміщеної у швидкому кеші у пам'яті,
для пов'язаних із SID запитів. У поточній версії передбачено кешування у
швидкій пам'яті лише для запитів SID-за-ID і ID-за-SID. Встановлення розміру
0 вимкне кеш у пам'яті для SID.
                        </para>
                        <para>
                            Типове значення: 6
                        </para>
                        <para>
                            Попередження: вимикання кешу у пам'яті або дуже малий його розмір можуть
значно погіршити швидкодію SSSD.
                        </para>
                        <para>
                            ЗАУВАЖЕННЯ: якщо для змінної середовища SSS_NSS_USE_MEMCACHE встановлено
значення «NO», клієнтські програми не використовуватимуть fast у кеші у
пам’яті.
                        </para>
                    </listitem>
                </varlistentry>
                <varlistentry>
                    <term>user_attributes (рядок)</term>
                    <listitem>
                        <para>
                            Деякі із додаткових запитів до відповідача NSS можуть повертати більшу
кількість атрибутів, ніж це визначено POSIX для інтерфейсу NSS. Списком
атрибутів можна керувати за допомогою цього параметра. Обробка виконується у
той самий спосіб, що і для параметра «user_attributes» відповідача InfoPipe
(див. <citerefentry> <refentrytitle>sssd-ifp</refentrytitle>
<manvolnum>5</manvolnum> </citerefentry>, щоб дізнатися більше), але без
типових значень.
                        </para>
                        <para>
                            Щоб полегшити налаштовування відповідач NSS перевірятиме параметр InfoPipe
на те, чи не встановлено його для відповідача NSS.
                        </para>
                        <para>
                            Типове значення: не встановлено, резервне значення визначається за
параметром InfoPipe
                        </para>
                    </listitem>
                </varlistentry>
                <varlistentry>
                    <term>pwfield (рядок)</term>
                    <listitem>
                        <para>
                            Значення, яке повертають операції NSS, які повертають записи користувачів чи
груп, для поля <quote>password</quote>.
                        </para>
                        <para>
                            Типове значення: <quote>*</quote>
                        </para>
                        <para>
                            Зауваження: значення цього параметра можна встановлювати для кожного з
доменів окремо. При цьому це значення матиме вищий пріоритет за значення у
розділі [nss].
                        </para>
                        <para>
                            Default: <quote>not set</quote> (remote domains), <phrase
condition="with_files_provider"> <quote>x</quote> (the files domain),
</phrase> <quote>x</quote> (proxy domain with nss_files and sssd-shadowutils
target)
                        </para>
                    </listitem>
                </varlistentry>
            </variablelist>
        </refsect2>
        <refsect2 id='PAM'>
            <title>Параметри налаштування PAM</title>
            <para>
                Цими параметрами можна скористатися для налаштування служби Pluggable
Authentication Module (PAM або блокового модуля розпізнавання).
            </para>
            <variablelist>
                <varlistentry>
                    <term>offline_credentials_expiration (ціле число)</term>
                    <listitem>
                        <para>
                            У разі неможливості встановлення з’єднання з сервером розпізнавання визначає
тривалість зберігання кешованих входів (у днях з часу останнього успішного
входу до системи).
                        </para>
                        <para>
                            Типове значення: 0 (без обмежень)
                        </para>
                    </listitem>
                </varlistentry>

                <varlistentry>
                    <term>offline_failed_login_attempts (ціле число)</term>
                    <listitem>
                        <para>
                            У разі неможливості встановлення з’єднання з сервером розпізнавання визначає
дозволену кількість спроб входу з визначенням помилкового пароля.
                        </para>
                        <para>
                            Типове значення: 0 (без обмежень)
                        </para>
                    </listitem>
                </varlistentry>

                <varlistentry>
                    <term>offline_failed_login_delay (ціле число)</term>
                    <listitem>
                        <para>
                            Час у хвилинах, який має пройти між досягненням значення
offline_failed_login_attempts і повторним вмиканням можливості входу до
системи.
                        </para>
                        <para>
                            Якщо встановлено значення 0, користувач не зможе пройти розпізнавання у
автономному режимі, якщо буде досягнуто значення
offline_failed_login_attempts. Лише успішне розпізнавання може знову
увімкнути можливість автономного розпізнавання.
                        </para>
                        <para>
                            Типове значення: 5
                        </para>
                    </listitem>
                </varlistentry>

                <varlistentry>
                    <term>pam_verbosity (ціле число)</term>
                    <listitem>
                        <para>
                            Керує типами повідомлень, які буде показано користувачеві під час
розпізнавання. Чим більшим є значення, тим більше повідомлень буде показано.
                        </para>
                        <para>
                             У поточній версії sssd передбачено підтримку таких значень:
                        </para>
                        <para>
                             <emphasis>0</emphasis>: не показувати жодних повідомлень
                        </para>
                        <para>
                             <emphasis>1</emphasis>: показувати лише важливі повідомлення
                        </para>
                        <para>
                             <emphasis>2</emphasis>: показувати всі інформаційні повідомлення
                        </para>
                        <para>
                             <emphasis>3</emphasis>: показувати всі повідомлення та діагностичні дані
                        </para>
                        <para>
                            Типове значення: 1
                        </para>
                    </listitem>
                </varlistentry>

                <varlistentry>
                    <term>pam_response_filter (рядок)</term>
                    <listitem>
                        <para>
                            Список рядків, відокремлених комами, за допомогою якого можна вилучати
(фільтрувати) дані, які надсилаються відповідачем PAM до модуля PAM
pam_sss. Існують різні тип відповідей, які надсилаються до pam_sss,
наприклад повідомлення, які показуються користувачеві, або змінні
середовища, які слід встановлювати за допомогою pam_sss.
                        </para>
                        <para>
                            Хоча повідомленнями вже можна керувати за допомогою параметра pam_verbosity,
за допомогою цього параметра можна відфільтрувати також інші типи
повідомлень.
                        </para>
                        <para>
                            У поточній версії передбачено підтримку таких фільтрів: <variablelist>
                                <varlistentry><term>ENV</term>
                                    <listitem><para>Не надсилати жодних змінних середовища до жодної служби.</para></listitem>
                                </varlistentry>
                                <varlistentry><term>ENV:назва_змінної</term>
                                    <listitem><para>Не надсилати змінної середовища назва_змінної до жодної служби.</para></listitem>
                                </varlistentry>
                                <varlistentry><term>ENV:назва_змінної:служба</term>
                                    <listitem><para>Не надсилати змінної середовища назва_змінної до вказаної служби.</para></listitem>
                                </varlistentry>
                            </variablelist>
                        </para>
                        <para>
                            Список рядків може бути або списком фільтрів, які встановлюють список
фільтрування і перевизначають типові фільтри, або до кожного елемента списку
може бути додано префікс «+» або «-», який додасть фільтр до наявного
типового фільтрування або вилучить його з наявного типового фільтрування,
відповідно. Будь ласка, зауважте, або що усі елементи списку повинні мати
префікси «+» або «-», або усі елементи списку не повинні містити
префіксів. Змішування стилів вважається помилкою.
                        </para>
                        <para>
                            Типове значення: ENV:KRB5CCNAME:sudo, ENV:KRB5CCNAME:sudo-i
                        </para>
                        <para>
                            Приклад: -ENV:KRB5CCNAME:sudo-i вилучає фільтр зі списку типових
                        </para>
                    </listitem>
                </varlistentry>

                <varlistentry>
                  <term>pam_id_timeout (ціле число)</term>
                  <listitem>
                    <para>
                      Для кожного з запитів PAM під час роботи SSSD система SSSD зробить спробу
негайно оновити кешовані дані щодо профілю користувача з метою переконатися,
що розпізнавання виконується на основі найсвіжіших даних.
                    </para>
                    <para>
                      Повний обмін даними сеансу PAM може включати декілька запитів PAM, зокрема
для керування обліковими записами та відкриття сеансів. За допомогою цього
параметра можна керувати (для окремих клієнтів-програм) тривалістю (у
секундах) кешування даних профілю з метою уникнути повторних викликів засобу
надання даних профілів.
                    </para>
                    <para>
                      Типове значення: 5
                    </para>
                  </listitem>
                </varlistentry>

                <varlistentry>
                  <term>pam_pwd_expiration_warning (ціле число)</term>
                  <listitem>
                    <para>
                      Показати попередження за вказану кількість днів перед завершенням дії
пароля.
                    </para>
                    <para>
                      Будь ласка, зауважте, що сервер обробки має надати дані щодо часу завершення
дії пароля. Якщо ці дані не буде виявлено, sssd не зможе показати
попередження.
                    </para>
                    <para>
                      Якщо встановлено нульове значення, цей фільтр не застосовуватиметься, тобто
якщо з сервера обробки надійде попередження щодо завершення строку дії, його
буде автоматично показано.
                    </para>
                    <para>
                      Цей параметр може бути перевизначено встановленням параметра
<emphasis>pwd_expiration_warning</emphasis> для окремого домену.
                    </para>
                    <para>
                      Типове значення: 0
                    </para>
                  </listitem>
                </varlistentry>
                <varlistentry>
                    <term>get_domains_timeout (ціле число)</term>
                    <listitem>
                        <para>
                            Визначає час у секундах, протягом якого список піддоменів вважатиметься
чинним.
                        </para>
                        <para>
                            Типове значення: 60
                        </para>
                    </listitem>
                </varlistentry>
                <varlistentry>
                    <term>pam_trusted_users (рядок)</term>
                    <listitem>
                        <para>
                            Визначає список відокремлених комами значень UID або імен користувачів, яким
дозволено виконувати обмін даними PAM із довіреними доменами. Користувачі,
яких не включено до цього списку, можуть отримувати доступ лише до доменів,
які позначено як загальнодоступні (public) за допомогою
<quote>pam_public_domains</quote>. Імена користувачів перетворюються на UID
під час запуску системи.
                        </para>
                        <para>
                            Типове значення: типово усі користувачі вважаються надійними (довіреними)
                        </para>
                        <para>
                            Будь ласка, зауважте, що користувачеві з UID 0 завжди мають доступ до
відповідача PAM, навіть якщо користувача немає у списку pam_trusted_users.
                        </para>
                    </listitem>
                </varlistentry>
                <varlistentry>
                    <term>pam_public_domains (рядок)</term>
                    <listitem>
                        <para>
                            Визначає список назв доменів, відокремлених комами, доступ до яких можуть
отримувати навіть ненадійні користувачі.
                        </para>
                        <para>
                            Визначено два спеціальних значення параметра pam_public_domains:
                        </para>
                        <para>
                            all (Ненадійним користувачам відкрито доступ до усіх доменів у відповідачі
PAM.)
                        </para>
                        <para>
                            none (Ненадійним користувачам заборонено доступ до усіх доменів PAM у
відповідачі.)
                        </para>
                        <para>
                            Типове значення: none
                        </para>
                    </listitem>
                </varlistentry>
                <varlistentry>
                    <term>pam_account_expired_message (рядок)</term>
                    <listitem>
                        <para>
                           Надає змогу встановити нетипове повідомлення щодо завершення строку дії, яке
замінити типове повідомлення «Доступ заборонено» («Permission denied»).
                        </para>
                        <para>
                            Зауваження: будь ласка, зверніть увагу на те, що повідомлення буде виведено
для служби SSH, лише якщо pam_verbosity не встановлено у значення 3
(показувати усі повідомлення і діагностичні дані).
                        </para>
                        <para>
                            приклад: <programlisting>
pam_account_expired_message = Account expired, please contact help desk.
                            </programlisting>
                        </para>
                        <para>
                            Типове значення: none
                        </para>
                    </listitem>
                </varlistentry>
                <varlistentry>
                    <term>pam_account_locked_message (рядок)</term>
                    <listitem>
                        <para>
                           Надає змогу встановити нетипове повідомлення щодо блокування, яке замінити
типове повідомлення «Доступ заборонено» («Permission denied»).
                        </para>
                        <para>
                            приклад: <programlisting>
pam_account_locked_message = Account locked, please contact help desk.
                            </programlisting>
                        </para>
                        <para>
                            Типове значення: none
                        </para>
                    </listitem>
                </varlistentry>
                <varlistentry condition="build_passkey">
                    <term>pam_passkey_auth (bool)</term>
                    <listitem>
                        <para>
                            Enable passkey device based authentication.
                        </para>
                        <para>
                            Типове значення: False
                        </para>
                    </listitem>
                </varlistentry>
                <varlistentry condition="build_passkey">
                    <term>passkey_debug_libfido2 (bool)</term>
                    <listitem>
                        <para>
                            Enable libfido2 library debug messages.
                        </para>
                        <para>
                            Типове значення: False
                        </para>
                    </listitem>
                </varlistentry>
                <varlistentry>
                    <term>pam_cert_auth (булеве значення)</term>
                    <listitem>
                        <para>
                            Увімкнути сертифікацію на основі розпізнавання за смарткартками. Оскільки це
потребує додаткового обміну даним із смарткарткою, що затримує процес
розпізнавання, типово таку сертифікацію вимкнено.
                        </para>
                        <para>
                            Типове значення: False
                        </para>
                    </listitem>
                </varlistentry>
                <varlistentry>
                    <term>pam_cert_db_path (рядок)</term>
                    <listitem>
                        <para>
                            Шлях до бази даних сертифікатів.
                        </para>
                        <para>
                            Типове значення:
                            <itemizedlist>
                                <listitem><para>/etc/sssd/pki/sssd_auth_ca_db.pem (шлях до файла із довіреними сертифікатами
служб сертифікації у форматі PEM)
                                          </para>
                                </listitem>
                            </itemizedlist>
                        </para>
                    </listitem>
                </varlistentry>
                <varlistentry>
                    <term>pam_cert_verification (рядок)</term>
                    <listitem>
                        <para>
                            За допомогою цього параметра можна виконати тонке налаштовування перевірки
сертифікатів PAM на основі списку параметрів, відокремлених комами. Ці
параметри перевизначають значення <quote>certificate_verification</quote> у
розділі <quote>[sssd]</quote>. Підтримуваними параметрами є ті самі, що і у
<quote>certificate_verification</quote>.
                        </para>
                        <para>
                            приклад: <programlisting>
pam_cert_verification = partial_chain
                            </programlisting>
                        </para>
                        <para>
                            Типове значення: не встановлено, тобто слід використовувати типовий параметр
<quote>certificate_verification</quote>, який визначено у розділі
<quote>[sssd]</quote>.
                        </para>
                    </listitem>
                </varlistentry>
                <varlistentry>
                    <term>p11_child_timeout (ціле число)</term>
                    <listitem>
                        <para>
                            Час у секундах, протягом якого pam_sss очікуватиме на завершення роботи
p11_child.
                        </para>
                        <para>
                            Типове значення: 10
                        </para>
                    </listitem>
                </varlistentry>
                <varlistentry condition="build_passkey">
                    <term>passkey_child_timeout (integer)</term>
                    <listitem>
                        <para>
                            How many seconds will the PAM responder wait for passkey_child to finish.
                        </para>
                        <para>
                            Типове значення: 15
                        </para>
                    </listitem>
                </varlistentry>
                <varlistentry>
                    <term>pam_app_services (рядок)</term>
                    <listitem>
                        <para>
                            Визначає, яким службам PAM дозволено встановлювати з'єднання із доменами
типу <quote>application</quote>
                        </para>
                        <para>
                            Типове значення: не встановлено
                        </para>
                    </listitem>
                </varlistentry>
                <varlistentry>
                    <term>pam_p11_allowed_services (ціле число)</term>
                    <listitem>
                        <para>
                            Список назв служб PAM, відокремлених комами, для яких буде дозволено
використання смарткарток.
                        </para>
                        <para>
                            Можна додати іншу назву служби PAM до типового набору за допомогою
конструкції «+назва_служби» або явним чином вилучити назву служби PAM з
типового набору за допомогою конструкції «-назва_служби». Наприклад, щоб
замінити типову назву служби PAM для розпізнавання за смарткарткою
(наприклад, «login») з нетиповою назвою служби PAM (наприклад,
«my_pam_service»), вам слід скористатися такими налаштуваннями: <programlisting>
pam_p11_allowed_services = +my_pam_service, -login
                            </programlisting>
                        </para>
                        <para>
                            Типове значення: типовий набір назв служб PAM складається з таких значень:
                            <itemizedlist>
                                <listitem>
                                    <para>
                                        login
                                    </para>
                                </listitem>
                                <listitem>
                                    <para>
                                        su
                                    </para>
                                </listitem>
                                <listitem>
                                    <para>
                                        su-l
                                    </para>
                                </listitem>
                                <listitem>
                                    <para>
                                        gdm-smartcard
                                    </para>
                                </listitem>
                                <listitem>
                                    <para>
                                        gdm-password
                                    </para>
                                </listitem>
                                <listitem>
                                    <para>
                                        kdm
                                    </para>
                                </listitem>
                                <listitem>
                                    <para>
                                        sudo
                                    </para>
                                </listitem>
                                <listitem>
                                    <para>
                                        sudo-i
                                    </para>
                                </listitem>
                                <listitem>
                                    <para>
                                        gnome-screensaver
                                    </para>
                                </listitem>
                            </itemizedlist>
                        </para>
                    </listitem>
                </varlistentry>
                <varlistentry>
                    <term>p11_wait_for_card_timeout (ціле число)</term>
                    <listitem>
                        <para>
                            Якщо обов'язковим є розпізнавання за смарткарткою, кількість додаткових
секунд, які буде додано до p11_child_timeout, протягом яких відповідача PAM
має чекати на вставлення смарткартки.
                        </para>
                        <para>
                            Типове значення: 60
                        </para>
                    </listitem>
                </varlistentry>
                <varlistentry>
                    <term>p11_uri (рядок)</term>
                    <listitem>
                        <para>
                            Адреса PKCS#11 (докладніший опис можна знайти у RFC-7512), якою можна
скористатися для обмеження переліку пристроїв, які використовуються для
розпізнавання за допомогою смарткартки. Типово, p11_child зі складу SSSD
виконуватиме пошук слоту PKCS#11 (зчитувача), для якого встановлено прапорці
«removable» («портативний») і читатиме сертифікати із першого знайденого
слоту вставленого ключа. Якщо з комп'ютером буде з'єднано декілька
зчитувачів, можна скористатися p11_uri для повідомлення p11_child про те, що
слід використовувати вказаний зчитувач.
                        </para>
                        <para>
                            Приклади: <programlisting>
p11_uri = pkcs11:slot-description=My%20Smartcard%20Reader
                            </programlisting> або <programlisting>
p11_uri = pkcs11:library-description=OpenSC%20smartcard%20framework;slot-id=2
                            </programlisting> Для визначення відповідної адреси,
ознайомтеся із файлом діагностичних даних p11_child. Крім того, можна
скористатися програмою GnuTLS p11tool, наприклад, із параметром --list-all,
який покаже і адреси PKCS#11.
                        </para>
                        <para>
                            Типове значення: none
                        </para>
                    </listitem>
                </varlistentry>
                <varlistentry>
                    <term>pam_initgroups_scheme</term>
                    <listitem>
                        <para>
                            Відповідач PAM може примусово застосувати пошук у мережі, щоб отримати
поточну групу членства користувача, який намагається увійти до системи. Цей
параметр керує тим, коли це слід робити. Передбачено можливість встановлення
таких значень: <variablelist>
                            <varlistentry><term>always</term>
                                <listitem><para>Завжди виконувати пошук у мережі. Будь ласка, зауважте, що pam_id_timeout
буде все одно застосовано</para></listitem>
                            </varlistentry>
                            <varlistentry><term>no_session</term>
                                <listitem><para>Виконувати пошук у мережі, лише якщо немає активного сеансу користувача,
тобто якщо користувач не працює у системі</para></listitem>
                            </varlistentry>
                            <varlistentry><term>never</term>
                                <listitem><para>Ніколи не виконувати пошук у мережі примусово, використовувати дані з кешу,
аж доки вони не застаріють</para></listitem>
                            </varlistentry>
                            </variablelist>
                        </para>
                        <para>
                            Типове значення: no_session
                        </para>
                    </listitem>
                </varlistentry>
                <varlistentry>
                    <term>pam_gssapi_services</term>
                    <listitem>
                        <para>
                            Відокремлений комами список служб PAM, яким дозволено намагатися виконати
розпізнавання за GSSAPI за допомогою модуля pam_sss_gss.so.
                        </para>
                        <para>
                            Щоб вимкнути розпізнавання за GSSAPI, встановіть для цього параметра
значення <quote>-</quote> (дефіс).
                        </para>
                        <para>
                            Зауваження: значення цього параметра можна встановлювати для кожного з
доменів окремо, при цьому перевизначивши значення у розділі [pam]. Його
також можна встановити для довіреного домену, при цьому значення матиме
вищий пріоритет за значення у розділі домену.
                        </para>
                        <para>
                            Приклад: <programlisting>
pam_gssapi_services = sudo, sudo-i
                            </programlisting>
                        </para>
                        <para>
                            Типове значення: - (розпізнавання за GSSAPI вимкнено)
                        </para>
                    </listitem>
                </varlistentry>
                <varlistentry>
                    <term>pam_gssapi_check_upn</term>
                    <listitem>
                        <para>
                            Якщо має значення True, SSSD потребуватиме можливості прив'язки
реєстраційних даних користувача Kerberos, якого успішно розпізнано за
допомогою GSSAPI, до користувача, якого розпізнано. Розпізнавання
вважатиметься неуспішним, якщо перевірку не буде пройдено.
                        </para>
                        <para>
                            Якщо має значення False, розпізнаними вважатимуться усі користувачі, які
зможуть отримати бажаний квиток служби.
                        </para>
                        <para>
                            Зауваження: значення цього параметра можна встановлювати для кожного з
доменів окремо, при цьому перевизначивши значення у розділі [pam]. Його
також можна встановити для довіреного домену, при цьому значення матиме
вищий пріоритет за значення у розділі домену.
                        </para>
                        <para>
                            Типове значення: True
                        </para>
                    </listitem>
                </varlistentry>
                <varlistentry>
                    <term>pam_gssapi_indicators_map</term>
                    <listitem>
                        <para>
                           Для доступу до служби PAM, у якій можна спробувати розпізнавання GSSAPI з
використанням модуля pam_sss_gss.so, у квитку Kerberos має бути список
відокремлених комами індикаторів розпізнавання.
                        </para>
                        <para>
                           Кожен з елементів списку може бути або назвою індикатора розпізнавання, або
парою <quote>служба:індикатор</quote>. Для доступу до будь-якої служби PAM,
яку налаштовано на використання з <option>pam_gssapi_services</option>
будуть потрібні індикатори без префіксів назв служб PAM. Список-результат
індикаторів для окремої служби PAM буде перевірено за індикаторами у квитку
Kerberos під час розпізнавання у pam_sss_gss.so. Буд-який індикатор з
квитка, який відповідає списку-результату індикаторів для служби PAM,
отримає доступ. Якщо відповідність не буде встановлено для жодного з
індикаторів, доступ буде заборонено. Якщо список-результат індикаторів для
служби PAM є порожнім, перевірка не закриватиме доступ для жодного запису.
                        </para>
                        <para>
                           Щоб вимкнути перевірку за індикаторами для розпізнавання за GSSAPI,
встановіть для цього параметра значення <quote>-</quote> (дефіс). Щоб
вимкнути перевірку для певної служби PAM, додайте <quote>служба:-</quote>.
                        </para>
                        <para>
                           Зауваження: значення цього параметра можна встановлювати для кожного з
доменів окремо, при цьому перевизначивши значення у розділі [pam]. Його
також можна встановити для довіреного домену, при цьому значення матиме
вищий пріоритет за значення у розділі домену.
                        </para>
                        <para>
                            У розгорнутих системах IPA з Kerberos передбачено підтримку таких
індикаторів розпізнавання:
                            <itemizedlist>
                                <listitem>
                                    <para>pkinit — попереднє розпізнавання за допомогою сертифікатів X.509, які
зберігаються у файлах або на смарткартках.</para>
                                </listitem>
                                <listitem>
                                    <para>hardened — попереднє розпізнавання SPAKE або будь-яке попереднє
розпізнавання у обгортці каналу FAST.</para>
                                </listitem>
                                <listitem>
                                    <para>radius — попереднє розпізнавання за допомогою сервера RADIUS.</para>
                                </listitem>
                                <listitem>
                                    <para>otp — попереднє розпізнавання за допомогою інтегрованого двофакторного
розпізнавання (2FA або одноразовий пароль, OTP) в IPA.</para>
                                </listitem>
                                <listitem>
                                    <para>idp — попереднє розпізнавання за допомогою зовнішнього надавача даних
профілів.</para>
                                </listitem>
                            </itemizedlist>
                        </para>
                        <para>
                            Приклад: щоб встановити обов'язковість для доступу до служб SUDO отримання
користувачами їхніх квитків Kerberos із попереднім розпізнаванням за
сертифікатом X.509 (PKINIT), встановіть <programlisting>
pam_gssapi_indicators_map = sudo:pkinit, sudo-i:pkinit
                            </programlisting>
                        </para>
                        <para>
                            Типове значення: не встановлено (немає потреби у використанні індикаторів
розпізнавання)
                        </para>
                    </listitem>
                </varlistentry>
            </variablelist>
        </refsect2>

        <refsect2 id='SUDO' condition="with_sudo">
            <title>Параметри налаштування SUDO</title>
            <para>
                Цими параметрами можна скористатися для налаштовування служби sudo. Докладні
настанови щодо налаштовування <citerefentry>
<refentrytitle>sudo</refentrytitle> <manvolnum>8</manvolnum> </citerefentry>
на роботу з <citerefentry> <refentrytitle>sssd</refentrytitle>
<manvolnum>8</manvolnum> </citerefentry> можна знайти на сторінці довідника
<citerefentry> <refentrytitle>sssd-sudo</refentrytitle>
<manvolnum>5</manvolnum> </citerefentry>.
            </para>
            <variablelist>
                <varlistentry>
                    <term>sudo_timed (булеве значення)</term>
                    <listitem>
                        <para>
                            Визначає, чи слід обробляти атрибути sudoNotBefore і sudoNotAfter,
призначені для визначення часових обмежень для записів sudoers.
                        </para>
                        <para>
                            Типове значення: false
                        </para>
                    </listitem>
                </varlistentry>
            </variablelist>
            <variablelist>
                <varlistentry>
                    <term>sudo_threshold (ціле число)</term>
                    <listitem>
                        <para>
                            Максимальна кількість застарілих правил, які можна оновлювати за один
крок. Якщо кількість застарілих правил є нижчою за це порогове значення,
правила буде оновлено за допомогою механізму <quote>rules
refresh</quote>. Якщо порогове значення перевищено, замість нього буде
використано <quote>full refresh</quote> з правил sudo. Це порогове значення
також стосується команди sudo IPA та групових пошуків команд.
                        </para>
                        <para>
                            Типове значення: 50
                        </para>
                    </listitem>
                </varlistentry>
            </variablelist>
        </refsect2>

        <refsect2 id='AUTOFS' condition="with_autofs">
            <title>Параметри налаштування AUTOFS</title>
            <para>
                Цими параметрами можна скористатися для налаштування служби autofs.
            </para>
            <variablelist>
                <varlistentry>
                    <term>autofs_negative_timeout (ціле число)</term>
                    <listitem>
                        <para>
                            Визначає кількість секунд, протягом яких відповідач autofs має кешувати
негативні результати пошуку у кеші (тобто запити щодо некоректних записів у
базі даних, зокрема неіснуючих) перед повторним запитом до сервера обробки.
                        </para>
                        <para>
                            Типове значення: 15
                        </para>
                    </listitem>
                </varlistentry>
            </variablelist>
            <xi:include xmlns:xi="http://www.w3.org/2001/XInclude" href="include/autofs_restart.xml" />
        </refsect2>

        <refsect2 id='SSH' condition="with_ssh">
            <title>Параметри налаштувань SSH</title>
            <para>
                Цими параметрами можна скористатися для налаштування служби SSH.
            </para>
            <variablelist>
                <varlistentry>
                    <term>ssh_hash_known_hosts (булеве значення)</term>
                    <listitem>
                        <para>
                            Чи слід хешувати назви та адреси вузлів у керованому файлі known_hosts.
                        </para>
                        <para>
                            Типове значення: false
                        </para>
                    </listitem>
                </varlistentry>
                <varlistentry>
                    <term>ssh_known_hosts_timeout (ціле число)</term>
                    <listitem>
                        <para>
                            Кількість секунд, протягом яких запису вузла зберігатиметься у керованому
файлі known_hosts після надсилання запиту щодо ключів вузла.
                        </para>
                        <para>
                            Типове значення: 180
                        </para>
                    </listitem>
                </varlistentry>
                <varlistentry>
                    <term>ssh_use_certificate_keys (булеве значення)</term>
                    <listitem>
                        <para>
                            Якщо встановлено значення true, <command>sss_ssh_authorizedkeys</command>
поверне ключі ssh, які походять від відкритого ключа сертифікатів X.509, які
також зберігаються у записі користувача. Докладніше про це на сторінці
підручника <citerefentry>
<refentrytitle>sss_ssh_authorizedkeys</refentrytitle>
<manvolnum>1</manvolnum> </citerefentry>.
                        </para>
                        <para>
                            Типове значення: true
                        </para>
                    </listitem>
                </varlistentry>
                <varlistentry>
                    <term>ssh_use_certificate_matching_rules (рядок)</term>
                    <listitem>
                        <para>
                            Типово, відповідач SSH буде використовувати усі доступні правила
встановлення відповідності сертифікатів для фільтрування сертифікатів, тому
ключі SSH будуть створюватися лише на основі відповідних правилам
сертифікатів. За допомогою цього параметра можна обмежити перелік
використаних правил на основі списку назв правил прив'язки і відповідності,
відокремлених комами. Усі інші правила буде проігноровано.
                        </para>
                        <para>
                            Передбачено два спеціальних ключових слова «all_rules» та «no_rules», які
вмикають або вимикають усі правила, відповідно. Останній випадок означає, що
сертифікати не фільтруватимуться, а ключі ssh буде створено з усіх коректних
сертифікатів.
                        </para>
                        <para>
                            Якщо не налаштовано жодного правила, «all_rules» увімкне типове правило, яке
дозволяє використання усіх сертифікатів, які придатні для розпізнавання
клієнта. Це та сама поведінка, що для відповідача PAM, якщо увімкнено
розпізнавання за сертифікатом.
                        </para>
                        <para>
                            Визначення назви правила, якої не існує, вважатиметься помилкою. Якщо в
результаті не буде вибрано жодного правила, усі сертифікати буде
проігноровано.
                        </para>
                        <para>
                            Типове значення: не встановлено, рівнозначне до «all_rules» — буде
використано усі знайдені правила або типове правило
                        </para>
                    </listitem>
                </varlistentry>
                <varlistentry>
                    <term>ca_db (рядок)</term>
                    <listitem>
                        <para>
                            Шлях до сховища довірених сертифікатів CA. Параметр використовується для
перевірки сертифікатів користувачів до отримання з них відкритих ключів ssh.
                        </para>
                        <para>
                            Типове значення:
                            <itemizedlist>
                                <listitem><para>/etc/sssd/pki/sssd_auth_ca_db.pem (шлях до файла із довіреними сертифікатами
служб сертифікації у форматі PEM)
                                          </para>
                                </listitem>
                            </itemizedlist>
                        </para>
                    </listitem>
                </varlistentry>
            </variablelist>
        </refsect2>

        <refsect2 id='PAC_RESPONDER' condition="with_pac_responder">
            <title>Параметри налаштування відповідача PAC</title>
            <para>
                Відповідач PAC працює разом з додатком даних уповноваження для
sssd_pac_plugin.so зі складу MIT Kerberos та засобу надання даних
піддоменів. Цей додаток надсилає до відповідача PAC дані PAC під час
розпізнавання за допомогою GSSAPI. Засіб надання даних піддоменів збирає
дані щодо діапазонів SID і ID домену, до якого долучено клієнт, та
віддалених надійних доменів з локального контролера доменів. Якщо PAC
декодовано і визначено, виконуються деякі з таких дій:
                <itemizedlist>
                    <listitem><para>Якщо у кеші немає даних віддаленого користувача, запис цих даних буде
створено. UID буде визначено за допомогою SID, надійні домени матимуть UPG,
а gid матиме те саме значення, що і UID. Дані домашнього каталогу буде
засновано на значенні параметра subdomain_homedir. Типово, для командної
оболонки буде вибрано порожнє значення, тобто використовуватимуться типові
параметри системи. Значення для оболонки можна змінити за допомогою
параметра default_shell.</para>
                    </listitem>
                    <listitem><para>Якщо існують SID груп з доменів, про які відомо SSSD, запис користувача буде
додано до цих груп.
                    </para></listitem>
                </itemizedlist>
            </para>
            <para>
                Цими параметрами можна скористатися для налаштовування відповідача PAC.
            </para>
            <variablelist>
                <varlistentry>
                    <term>allowed_uids (рядок)</term>
                    <listitem>
                        <para>
                            Визначає список значень UID або імен користувачів, відокремлених
комами. Користувачам з цього списку буде дозволено доступ до відповідача
PAC. UID за іменами користувачів визначатимуться під час запуску.
                        </para>
                        <para>
                            Типове значення: 0 (доступ до відповідача PAC має лише адміністративний
користувач (root))
                        </para>
                        <para>
                            Будь ласка, зауважте, що хоча типово використовується UID 0, значення UID
буде перевизначено на основі цього параметра. Якщо ви хочете надати
адміністративному користувачеві (root) доступ до відповідача PAC, що може
бути типовим варіантом, вам слід додати до списку UID з правами доступу
запис 0.
                        </para>
                    </listitem>
                </varlistentry>
                <varlistentry>
                    <term>pac_lifetime (ціле число)</term>
                    <listitem>
                        <para>
                            Строк дії запису PAC у секундах. Якщо PAC є чинним, дані PAC можна
використовувати для визначення членства користувача у групі.
                        </para>
                        <para>
                            Типове значення: 300
                        </para>
                    </listitem>
                </varlistentry>
                <varlistentry>
                    <term>pac_check (рядок)</term>
                    <listitem>
                        <para>
                            Застосувати додаткові перевірки до PAC квитка Kerberos, який доступний у
доменах Active Directory і FreeIPA, якщо це налаштовано. Будь ласка,
зауважте, що має бути увімкнено перевірку квитка Kerberos, щоб мати змогу
перевірити PAC, тобто для параметра krb5_validate має бути встановлено
значення «True», яке є типовим для надавачів даних IPA і AD. Якщо для
krb5_validate встановлено значення «False», перевірки PAC буде пропущено.
			</para>
                        <para>
			    Вказаними нижче параметрами можна скористатися окремо або у форматі списку
відокремлених комами значень: <variablelist>
                            <varlistentry>
                                <term>no_check</term>
                                <listitem>
                                    <para>PAC не повинно бути, і навіть якщо він є, ніяких додаткових перевірок
виконано не буде.</para>
                                </listitem>
                            </varlistentry>
                            <varlistentry>
                                <term>pac_present</term>
                                <listitem>
                                    <para>PAC має бути наявним у квитку служби, запит щодо якого SSSD надсилає за
допомогою TGT користувача. Якщо PAC є недоступним, спроба розпізнавання
зазнає невдачі.
                                    </para>
                                </listitem>
                            </varlistentry>
                            <varlistentry>
                                <term>check_upn</term>
                                <listitem>
                                    <para>Якщо PAC є, перевірити, чи є узгодженими дані назви реєстраційного запису
користувача (UPN).</para>
                                </listitem>
                            </varlistentry>
                            <varlistentry>
                                <term>check_upn_allow_missing</term>
                                <listitem>
                                    <para>Цей параметр слід використовувати разом і «check_upn» і обробляє випадок,
коли для UPN встановлено значення на боці сервера, але його не прочитано
SSSD. Типовим прикладом є домен FreeIPA, де для «ldap_user_principal»
встановлено назву атрибуту, якого не існує. Так типово роблять для того, щоб
обійти проблеми в обробці промислових реєстраційних записів. Втім, це
виправлено вже певний час, і FreeIPA може обробляти промислові реєстраційні
записи без проблем. У встановленні «ldap_user_principal» більше немає
потреби.</para>
                                    <para>У поточній версії цей параметр типово увімкнено, щоб уникнути регресій у
подібних середовищах. До системного журналу та діагностичного журналу SSSD
буде додано повідомлення у випадку виявлення UPN у PAC, але не у кеші
SSSD. Щоб уникнути появи такого повідомлення, слід перевірити, чи можна
вилучити параметр «ldap_user_principal». Якщо це неможливо, вилучення
«check_upn» призведе до пропускання перевірки, і повідомлення зникне з
журналу.</para>
                                </listitem>
                            </varlistentry>
                            <varlistentry>
                                <term>upn_dns_info_present</term>
                                <listitem>
                                    <para>PAC має містити буфер UPN-DNS-INFO; неявним чином встановлює «check_upn».</para>
                                </listitem>
                            </varlistentry>
                            <varlistentry>
                                <term>check_upn_dns_info_ex</term>
                                <listitem>
                                    <para>Якщо є PAC і доступним є розширення буфера UPN-DNS-INFO, перевірити, чи є
узгодженими дані у розширенні.</para>
                                </listitem>
                            </varlistentry>
                            <varlistentry>
                                <term>upn_dns_info_ex_present</term>
                                <listitem>
                                    <para>PAC має містити розширення буфера UPN-DNS-INFO; неявним чином встановлює
«check_upn_dns_info_ex», «upn_dns_info_present» і «check_upn».
                                    </para>
                                </listitem>
                            </varlistentry>
                            </variablelist>
                        </para>
                        <para>
                            Типове значення: no_check (для надавачів AD та IPA — «check_upn,
check_upn_allow_missing, check_upn_dns_info_ex»)
                        </para>
                    </listitem>
                </varlistentry>
            </variablelist>
        </refsect2>

        <refsect2 id='SESSION_RECORDING'>
            <title>Параметри налаштовування запису сеансів</title>
            <para>
                Запис сеансів працює у зв'язці з <citerefentry>
<refentrytitle>tlog-rec-session</refentrytitle> <manvolnum>8</manvolnum>
</citerefentry>, частиною пакунка tlog, для запису даних, які бачать і
вводять користувачі після входу до текстового термінала. Див. також
<citerefentry> <refentrytitle>sssd-session-recording</refentrytitle>
<manvolnum>5</manvolnum> </citerefentry>.
            </para>
            <para>
                Цими параметрами можна скористатися для налаштовування запису сеансів.
            </para>
            <variablelist>
                <varlistentry>
                    <term>scope (рядок)</term>
                    <listitem>
                        <para>
                            Один із вказаних нижче рядків, що визначають область запису сеансів:
<variablelist>
                                <varlistentry>
                                    <term>"none"</term>
                                    <listitem>
                                        <para>
                                            Користувачі не записуються.
                                        </para>
                                    </listitem>
                                </varlistentry>
                                <varlistentry>
                                    <term>"some"</term>
                                    <listitem>
                                        <para>
                                            Запис вестиметься для користувачів і груп, вказаних параметрами
<replaceable>користувачі</replaceable> і <replaceable>групи</replaceable>.
                                        </para>
                                    </listitem>
                                </varlistentry>
                                <varlistentry>
                                    <term>"all"</term>
                                    <listitem>
                                        <para>
                                            Усі користувачі записуються.
                                        </para>
                                    </listitem>
                                </varlistentry>
                            </variablelist>
                        </para>
                        <para>
                            Типове значення: none
                        </para>
                    </listitem>
                </varlistentry>
                <varlistentry>
                    <term>users (рядок)</term>
                    <listitem>
                        <para>
                            Список відокремлених комами записів користувачів, для яких увімкнено
записування сеансів. Належність до списку визначатиметься за іменами,
повернутими NSS, тобто після можливих замін пробілів, змін регістру символів
тощо.
                        </para>
                        <para>
                            Типове значення: порожнє. Не відповідає жодному користувачу.
                        </para>
                    </listitem>
                </varlistentry>
                <varlistentry>
                    <term>groups (рядок)</term>
                    <listitem>
                        <para>
                            Список відокремлених комами записів груп, для користувачів яких буде
увімкнено записування сеансів. Належність до списку визначатиметься за
назвами, повернутими NSS, тобто після можливих замін пробілів, змін регістру
символів тощо.
                        </para>
                        <para>
                            Зауваження: використання цього параметра (встановлення для нього будь-якого
значення) значно впливає на швидкодію, оскільки некешований запит щодо
користувача потребує отримання і встановлення відповідності груп, до яких
належить користувач.
                        </para>
                        <para>
                            Типове значення: порожнє. Не відповідає жодній групі.
                        </para>
                    </listitem>
                </varlistentry>
                <varlistentry>
                    <term>exclude_users (рядок)</term>
                    <listitem>
                        <para>
                            Список відокремлених комами записів користувачів, яких має бути виключено із
записування. Може бути застосовано лише разом із «scope=all».
                        </para>
                        <para>
                            Типове значення: порожнє. Не виключати жодного користувача.
                        </para>
                    </listitem>
                </varlistentry>
                <varlistentry>
                    <term>exclude_groups (рядок)</term>
                    <listitem>
                        <para>
                            Список відокремлених комами записів груп, учасників яких має бути виключено
із записування. Може бути застосовано лише разом із «scope=all».
                        </para>
                        <para>
                            Зауваження: використання цього параметра (встановлення для нього будь-якого
значення) значно впливає на швидкодію, оскільки некешований запит щодо
користувача потребує отримання і встановлення відповідності груп, до яких
належить користувач.
                        </para>
                        <para>
                            Типове значення: порожнє. Не виключати жодної групи.
                        </para>
                    </listitem>
                </varlistentry>
            </variablelist>
        </refsect2>

    </refsect1>

    <refsect1 id='domain-sections'>
        <title>РОЗДІЛИ ДОМЕНІВ</title>
        <para>
            Ці параметри налаштування може бути вказано у розділі налаштування домену,
тобто у розділі з назвою
<quote>[domain/<replaceable>НАЗВА</replaceable>]</quote> <variablelist>
                <varlistentry>
                    <term>enabled</term>
                    <listitem>
                        <para>
                            Явним чином увімкнути або вимкнути домен. Якщо має значення
<quote>true</quote>, домен завжди <quote>увімкнено</quote>. Якщо має
значення <quote>false</quote>, домен завжди <quote>вимкнено</quote>. Якщо
значення цього параметра не встановлено, домен увімкнено, лише якщо його
вказано у параметрі доменів у розділі <quote>[sssd]</quote>.
                        </para>
                    </listitem>
                </varlistentry>

                <varlistentry>
                    <term>domain_type (рядок)</term>
                    <listitem>
                        <para>
                            Визначає, чи призначено домен для використання клієнтами у стандарті POSIX,
зокрема NSS, або програмами, які не потребують наявності або створення даних
POSIX. Інтерфейсам та інструментам операційних систем доступні лише об'єкти
з доменів POSIX.
                        </para>
                        <para>
                            Дозволеними значеннями цього параметра є <quote>posix</quote> і
<quote>application</quote>.
                        </para>
                        <para>
                            Домени POSIX доступні для усіх служб. Домени програм доступні лише з
відповідача InfoPipe (див. <citerefentry>
<refentrytitle>sssd-ifp</refentrytitle> <manvolnum>5</manvolnum>
</citerefentry>) і відповідача PAM.
                        </para>
                        <para>
                            ЗАУВАЖЕННЯ: належне тестування у поточній версії виконано лише для доменів
application з <quote>id_provider=ldap</quote>.
                        </para>
                        <para>
                            Щоб ознайомитися із простим способом налаштовування не-POSIX доменів, будь
ласка, ознайомтеся із розділом <quote>Домени програм</quote>.
                        </para>
                        <para>
                            Типове значення: posix
                        </para>
                    </listitem>
                </varlistentry>

                <varlistentry>
                    <term>min_id,max_id (ціле значення)</term>
                    <listitem>
                        <para>
                            Обмеження UID і GID для домену. Якщо у домені міститься запис, що не
відповідає цим обмеженням, його буде проігноровано.
                        </para>
                        <para>
                            Для користувачів зміна цього параметра вплине на основне обмеження
GID. Запис користувача не буде повернуто до NSS, якщо UID або основний GID
не належать вказаному діапазону. Записи користувачів, які не є учасниками
основної групи і належать діапазону, буде виведено у звичайному режимі.
                        </para>
                        <para>
                            Ці обмеження на ідентифікатори стосуються і збереження записів до кешу, не
лише повернення записів за назвою або ідентифікатором.
                        </para>
                        <para>
                            Типові значення: 1 для min_id, 0 (без обмежень) для max_id
                        </para>
                    </listitem>
                </varlistentry>

                <varlistentry>
                    <term>enumerate (булеве значення)</term>
                    <listitem>
                        <para>
                            Визначає, чи можна нумерувати домен, тобто, чи може домен створити список
усіх користувачів і груп, які у ньому містяться. Зауважте, що вмикання
нумерування не є обов'язковим для показу вторинних груп. Цей параметр може
мати такі значення:
                        </para>
                        <para>
                            TRUE = користувачі і групи нумеруються
                        </para>
                        <para>
                            FALSE = не використовувати нумерацію для цього домену
                        </para>
                        <para>
                            Типове значення: FALSE
                        </para>
                        <para>
                            Нумерування домену потребує від SSSD отримання і зберігання усіх записів
користувачів і груп із віддаленого сервера.
                        </para>
                        <para>
                            Зауваження: вмикання нумерації помірно знизить швидкодію SSSD на час
виконання нумерації. Нумерація може тривати до декількох хвилин після
запуску SSSD. Протягом виконання нумерації окремі запити щодо даних буде
надіслано безпосередньо до LDAP, хоча і з уповільненням через навантаження
системи виконанням нумерації. Збереження великої кількості записів до кешу
після завершення нумерації може також значно навантажити процесор, оскільки
повторне визначення параметрів участі також іноді є складним завданням. Це
може призвести до проблем із отриманням відповіді від процесу
<quote>sssd_be</quote> або навіть перезапуску усього засобу стеження.
                        </para>
                        <para>
                            Під час першого виконання нумерації запити щодо повних списків користувачів
та груп можуть не повертати жодних результатів, аж доки нумерацію не буде
завершено.
                        </para>
                        <para>
                            Крім того, вмикання нумерації може збільшити час, потрібний для виявлення
того, що мережеве з’єднання розірвано, оскільки потрібне буде збільшення
часу очікування для забезпечення успішного завершення пошуків нумерації. Щоб
отримати додаткову інформацію, зверніться до сторінок довідника (man)
відповідного використаного засобу обробки ідентифікаторів (id_provider).
                        </para>
                        <para>
                            З вказаних вище причин не рекомендуємо вам вмикати нумерацію, особливо у
об’ємних середовищах.
                        </para>
                    </listitem>
                </varlistentry>

                <varlistentry>
                    <term>subdomain_enumerate (рядок)</term>
                    <listitem>
                        <para>
                            Визначає, чи слід нумерувати усі автоматично виявлені надійні (довірені)
домени. Підтримувані значення: <variablelist>
                                <varlistentry>
                                    <term>all</term>
                                    <listitem><para>Усі виявлені надійні домени буде пронумеровано</para></listitem>
                                </varlistentry>
                                <varlistentry>
                                    <term>none</term>
                                    <listitem><para>Нумерація виявлених надійних доменів не виконуватиметься</para></listitem>
                                </varlistentry>
                            </variablelist>
Якщо потрібно, можна вказати список з однієї або декількох назв надійних
доменів, для яких буде увімкнено нумерацію.
                        </para>
                        <para>
                            Типове значення: none
                        </para>
                    </listitem>
                </varlistentry>

                <varlistentry>
                    <term>entry_cache_timeout (ціле число)</term>
                    <listitem>
                        <para>
                            Кількість секунд, протягом яких nss_sss вважатиме записи чинними, перш ніж
надсилати повторний запит до сервера
                        </para>
                        <para>
                            Дані щодо часових позначок завершення строку дії записів кешу зберігаються
як атрибути окремих об’єктів у кеші. Тому зміна часу очікування на дані у
кеші впливає лише на нові записи та записи, строк дії яких вичерпано. Для
примусового оновлення записів, які вже було кешовано, вам слід запустити
програму <citerefentry> <refentrytitle>sss_cache</refentrytitle>
<manvolnum>8</manvolnum> </citerefentry>.
                        </para>
                        <para>
                            Типове значення: 5400
                        </para>
                    </listitem>
                </varlistentry>

                <varlistentry>
                    <term>entry_cache_user_timeout (ціле число)</term>
                    <listitem>
                        <para>
                            Кількість секунд, протягом яких nss_sss вважатиме записи користувачів
чинними, перш ніж надсилати повторний запит до сервера
                        </para>
                        <para>
                            Типове значення: entry_cache_timeout
                        </para>
                    </listitem>
                </varlistentry>

                <varlistentry>
                    <term>entry_cache_group_timeout (ціле число)</term>
                    <listitem>
                        <para>
                            Кількість секунд, протягом яких nss_sss вважатиме записи груп чинними, перш
ніж надсилати повторний запит до сервера
                        </para>
                        <para>
                            Типове значення: entry_cache_timeout
                        </para>
                    </listitem>
                </varlistentry>

                <varlistentry>
                    <term>entry_cache_netgroup_timeout (ціле число)</term>
                    <listitem>
                        <para>
                            Кількість секунд, протягом яких nss_sss вважатиме записи мережевих груп
чинними, перш ніж надсилати повторний запит до сервера
                        </para>
                        <para>
                            Типове значення: entry_cache_timeout
                        </para>
                    </listitem>
                </varlistentry>

                <varlistentry>
                    <term>entry_cache_service_timeout (ціле число)</term>
                    <listitem>
                        <para>
                            Кількість секунд, протягом яких nss_sss вважатиме записи служб чинними, перш
ніж надсилати повторний запит до сервера
                        </para>
                        <para>
                            Типове значення: entry_cache_timeout
                        </para>
                    </listitem>
                </varlistentry>

                <varlistentry>
                    <term>entry_cache_resolver_timeout (ціле число)</term>
                    <listitem>
                        <para>
                            Кількість секунд, протягом яких nss_sss вважатиме записи вузлів і мереж
чинними, перш ніж надсилати повторний запит до сервера
                        </para>
                        <para>
                            Типове значення: entry_cache_timeout
                        </para>
                    </listitem>
                </varlistentry>

                <varlistentry condition="with_sudo">
                    <term>entry_cache_sudo_timeout (ціле число)</term>
                    <listitem>
                        <para>
                            Кількість секунд, протягом яких sudo вважатиме правила чинними, перш ніж
надсилати повторний запит до сервера
                        </para>
                        <para>
                            Типове значення: entry_cache_timeout
                        </para>
                    </listitem>
                </varlistentry>

                <varlistentry condition="with_autofs">
                    <term>entry_cache_autofs_timeout (ціле число)</term>
                    <listitem>
                        <para>
                            Кількість секунд, протягом яких служба autofs вважатиме карти автомонтування
чинними, перш ніж надсилати повторний запит до сервера
                        </para>
                        <para>
                            Типове значення: entry_cache_timeout
                        </para>
                    </listitem>
                </varlistentry>

                <varlistentry condition="with_ssh">
                    <term>entry_cache_ssh_host_timeout (ціле число)</term>
                    <listitem>
                        <para>
                            Кількість секунд, протягом яких слід зберігати ключ ssh вузла після
оновлення. Іншими словами, параметр визначає тривалість зберігання ключа
вузла у кеші.
                        </para>
                        <para>
                            Типове значення: entry_cache_timeout
                        </para>
                    </listitem>
                </varlistentry>

                <varlistentry>
                    <term>entry_cache_computer_timeout (ціле число)</term>
                    <listitem>
                        <para>
                            Кількість секунд, протягом яких слід зберігати запис локального комп'ютера,
перш ніж надсилати запит до модуля обробки даних знову
                        </para>
                        <para>
                            Типове значення: entry_cache_timeout
                        </para>
                    </listitem>
                </varlistentry>

                <varlistentry>
                    <term>refresh_expired_interval (ціле число)</term>
                    <listitem>
                        <para>
                            Визначає кількість секунд, протягом яких SSSD має очікувати до запуску
завдання з оновлення у фоновому режимі записів кешу, строк дії яких
вичерпано або майже вичерпано.
                        </para>
                        <para>
                            Під час фонового оновлення виконуватиметься обробка записів користувачів,
груп та мережевих груп у кеші. для записів користувачів, для яких
виконувалися дії з ініціювання груп (отримання даних щодо участі користувача
у групах, які типово виконуються під час входу до системи), буде оновлено і
запис користувача, і дані щодо участі у групах.
                        </para>
                        <para>
                            Цей параметр автоматично успадковується для усіх довірених доменів.
                        </para>
                        <para>
                            Варто визначити для цього параметра значення 3/4 * entry_cache_timeout.
                        </para>
                        <para>
                            Запис кешу буде оновлено фоновим завданням, якщо минуло 2/3 часу очікування
на застарівання кешу. Якщо у кеші вже є записи, фонове завдання звернеться
до значень часу очікування на застарівання початкових записів, а не
поточного значення у налаштуваннях. Це може призвести до ситуації, у якій
здаватиметься, що фонове завдання із оновлення записів не працює. Так
зроблено спеціально для удосконалення роботи в автономному режимі і
повторного використання наявних коректних записів у кеші. Щоб зробити
використання внесеної зміни постійним, користувачу варто вручну скасувати
чинність наявного кешу.
                        </para>
                        <para>
                            Типове значення: 0 (вимкнено)
                        </para>
                    </listitem>
                </varlistentry>

                <varlistentry>
                    <term>cache_credentials (булеве значення)</term>
                    <listitem>
                        <para>
                            Determines if user credentials are also cached in the local LDB cache. The
cached credentials refer to passwords, which includes the first (long term)
factor of two-factor authentication, not other authentication
mechanisms. Passkey and Smartcard authentications are expected to work
offline as long as a successful online authentication is recorded in the
cache without additional configuration.
                        </para>
                        <para>
                            Take a note that while credentials are stored as a salted SHA512 hash, this
still potentially poses some security risk in case an attacker manages to
get access to a cache file (normally requires privileged access) and to
break a password using brute force attack.
                        </para>
                        <para>
                            Типове значення: FALSE
                        </para>
                    </listitem>
                </varlistentry>

                <varlistentry>
                    <term>cache_credentials_minimal_first_factor_length (ціле число)</term>
                    <listitem>
                        <para>
                            Якщо використано двофакторне розпізнавання (2FA) і реєстраційні дані мають
зберігатися, це значення визначає мінімальну довжину першого фактора
розпізнавання (довготривалого пароля), який має бути збережено у форматі
контрольної суми SHA512 у кеші.
                        </para>
                        <para>
                            Таким чином забезпечується уникнення випадку, коли короткі PIN-коди
заснованої на PIN-кодах схеми 2FA зберігаються у кеші, що робить їх простою
мішенню атак із перебиранням паролів.
                        </para>
                        <para>
                            Типове значення: 8
                        </para>
                    </listitem>
                </varlistentry>

                <varlistentry>
                    <term>account_cache_expiration (ціле число)</term>
                    <listitem>
                        <para>
                            Кількість днів, протягом яких записи залишатимуться у кеші після успішного
входу до системи до вилучення під час спорожнення кешу. 0 — не вилучати
записи. Значення цього параметра має бути більшим або рівним значенню
offline_credentials_expiration.
                        </para>
                        <para>
                            Типове значення: 0 (без обмежень)
                        </para>
                    </listitem>
                </varlistentry>
                <varlistentry>
                  <term>pwd_expiration_warning (ціле число)</term>
                  <listitem>
                    <para>
                      Показати попередження за вказану кількість днів перед завершенням дії
пароля.
                    </para>
                    <para>
                        Якщо встановлено нульове значення, цей фільтр не застосовуватиметься, тобто
якщо з сервера обробки надійде попередження щодо завершення строку дії, його
буде автоматично показано.
                    </para>
                    <para>
                      Будь ласка, зауважте, що сервер обробки має надати дані щодо часу завершення
дії пароля. Якщо ці дані не буде виявлено, sssd не зможе показати
попередження. Крім того для цього сервера може бути вказано службу надання
даних розпізнавання.
                    </para>
                    <para>
                      Типове значення: 7 (Kerberos), 0 (LDAP)
                    </para>
                  </listitem>
                </varlistentry>

                <varlistentry>
                    <term>id_provider (рядок)</term>
                    <listitem>
                        <para>
                            Засіб надання даних ідентифікації, який використовується для цього
домену. Серед підтримуваних засобів такі:
                        </para>
                        <para>
                            «proxy»: підтримка застарілого модуля надання даних NSS.
                        </para>
                        <para condition="with_files_provider">
                            <quote>files</quote>: засіб надання даних FILES. Докладніше про те, як
працює віддзеркалення локальних користувачів і груп у SSSD, можна дізнатися
зі сторінки підручника <citerefentry>
<refentrytitle>sssd-files</refentrytitle> <manvolnum>5</manvolnum>
</citerefentry>.
                        </para>
                        <para>
                            <quote>ldap</quote>: засіб LDAP. Докладніше про налаштовування LDAP можна
дізнатися з довідки до <citerefentry>
<refentrytitle>sssd-ldap</refentrytitle> <manvolnum>5</manvolnum>
</citerefentry>.
                        </para>
                        <para>
                            <quote>ipa</quote>: FreeIPA and Red Hat Identity Management provider. See
<citerefentry> <refentrytitle>sssd-ipa</refentrytitle>
<manvolnum>5</manvolnum> </citerefentry> for more information on configuring
FreeIPA.
                        </para>
                        <para>
                            <quote>ad</quote>: засіб Active Directory. Докладніші відомості щодо
налаштовування Active Directory викладено у довіднику з <citerefentry>
<refentrytitle>sssd-ad</refentrytitle> <manvolnum>5</manvolnum>
</citerefentry>.
                        </para>
                    </listitem>
                </varlistentry>

                <varlistentry>
                    <term>use_fully_qualified_names (булеве значення)</term>
                    <listitem>
                        <para>
                            Використовувати ім’я та домен повністю (у форматі, визначеному
full_name_format домену) як ім’я користувача у системі, що повідомляється
NSS.
                        </para>
                        <para>
                            Якщо встановлено значення TRUE, всі запити до цього домену мають
використовувати повні назви. Наприклад, якщо використано домен LOCAL, який
містить запис користувача «test» user, <command>getent passwd test</command>
не покаже користувача, а <command>getent passwd test@LOCAL</command> покаже.
                        </para>
                        <para>
                            ЗАУВАЖЕННЯ: цей параметр не впливатиме на пошук у мережевих групах через
тенденцію до включення до таких груп вкладених мережевих груп. Для мережевих
груп, якщо задано неповну назву, буде виконано пошук у всіх доменах.
                        </para>
                        <para>
                            Типове значення: FALSE (TRUE для довірених доменів і піддоменів або якщо
використано default_domain_suffix)
                        </para>
                    </listitem>
                </varlistentry>
                <varlistentry>
                    <term>ignore_group_members (булеве значення)</term>
                    <listitem>
                        <para>
                            Не повертати записи учасників груп для пошуків груп.
                        </para>
                        <para>
                            Якщо встановлено значення TRUE, сервер LDAP не запитуватиме дані щодо
атрибутів участі у групах, а списки учасників груп не повертаються під час
обробки запитів щодо пошуку груп, зокрема <citerefentry>
<refentrytitle>getgrnam</refentrytitle> <manvolnum>3</manvolnum>
</citerefentry> або <citerefentry> <refentrytitle>getgrgid</refentrytitle>
<manvolnum>3</manvolnum> </citerefentry>. Отже, <quote>getent group
$groupname</quote> поверне запитану групу так, наче вона була порожня.
                        </para>
                        <para>
                            Вмикання цього параметра може також значно пришвидшити перевірки засобу
надання доступу для участі у групі, особливо для груп, у яких багато
учасників.
                        </para>
                        <para>
                            Цей параметр також може бути встановлено для окремого піддомену або
успадковано за допомогою <emphasis>subdomain_inherit</emphasis>.
                        </para>
                        <para>
                            Типове значення: FALSE
                        </para>
                    </listitem>
                </varlistentry>
                <varlistentry>
                    <term>auth_provider (рядок)</term>
                    <listitem>
                        <para>
                            Служба розпізнавання, яку використано для цього домену. Серед підтримуваних
служб розпізнавання:
                        </para>
                        <para>
                            <quote>ldap</quote> — вбудоване розпізнавання LDAP. Докладніші відомості
щодо налаштовування LDAP викладено у довіднику з <citerefentry>
<refentrytitle>sssd-ldap</refentrytitle> <manvolnum>5</manvolnum>
</citerefentry>.
                        </para>
                        <para>
                            <quote>krb5</quote> — вбудоване розпізнавання Kerberos. Докладніші відомості
щодо налаштовування Kerberos викладено у довіднику з <citerefentry>
<refentrytitle>sssd-krb5</refentrytitle> <manvolnum></manvolnum>
</citerefentry>.
                        </para>
                        <para>
                            <quote>ipa</quote>: FreeIPA and Red Hat Identity Management provider. See
<citerefentry> <refentrytitle>sssd-ipa</refentrytitle>
<manvolnum>5</manvolnum> </citerefentry> for more information on configuring
FreeIPA.
                        </para>
                        <para>
                            <quote>ad</quote>: засіб Active Directory. Докладніші відомості щодо
налаштовування Active Directory викладено у довіднику з <citerefentry>
<refentrytitle>sssd-ad</refentrytitle> <manvolnum>5</manvolnum>
</citerefentry>.
                        </para>
                        <para>
                            <quote>proxy</quote> — трансльоване розпізнавання у іншій системі PAM.
                        </para>
                        <para>
                            <quote>none</quote> — вимкнути розпізнавання повністю.
                        </para>
                        <para>
                            Типове значення: буде використано <quote>id_provider</quote>, якщо цей
спосіб встановлено і можлива обробка запитів щодо розпізнавання.
                        </para>
                    </listitem>
                </varlistentry>
                <varlistentry>
                    <term>access_provider (рядок)</term>
                    <listitem>
                        <para>
                            Програма керування доступом для домену. Передбачено дві вбудованих програми
керування доступом (окрім всіх встановлених додаткових
серверів). Вбудованими програмами є:
                        </para>
                        <para>
                            <quote>permit</quote> дозволяти доступ завжди. Єдиний дозволений засіб
доступу для локального домену.
                        </para>
                        <para>
                            <quote>deny</quote> — завжди забороняти доступ.
                        </para>
                        <para>
                            <quote>ldap</quote> — вбудоване розпізнавання LDAP. Докладніші відомості
щодо налаштовування LDAP викладено у довіднику з <citerefentry>
<refentrytitle>sssd-ldap</refentrytitle> <manvolnum>5</manvolnum>
</citerefentry>.
                        </para>
                        <para>
                            <quote>ipa</quote>: FreeIPA and Red Hat Identity Management provider. See
<citerefentry> <refentrytitle>sssd-ipa</refentrytitle>
<manvolnum>5</manvolnum> </citerefentry> for more information on configuring
FreeIPA.
                        </para>
                        <para>
                            <quote>ad</quote>: засіб Active Directory. Докладніші відомості щодо
налаштовування Active Directory викладено у довіднику з <citerefentry>
<refentrytitle>sssd-ad</refentrytitle> <manvolnum>5</manvolnum>
</citerefentry>.
                        </para>
                        <para>
                            <quote>simple</quote> — керування доступом на основі списків дозволу або
заборони. Докладніші відомості щодо налаштовування модуля доступу simple
можна знайти у довідці до <citerefentry>
<refentrytitle>sssd-simple</refentrytitle>
<manvolnum>5</manvolnum></citerefentry>.
                        </para>
                        <para>
                            <quote>krb5</quote> — керування доступом на основі .k5login. Докладніші
відомості щодо налаштовування Kerberos викладено у довіднику з
<citerefentry> <refentrytitle>sssd-krb5</refentrytitle>
<manvolnum></manvolnum> </citerefentry>.
                        </para>
                        <para>
                            <quote>proxy</quote> — для трансляції керування доступом до іншого модуля
PAM.
                        </para>
                        <para>
                            Типове значення: <quote>permit</quote>
                        </para>
                    </listitem>
                </varlistentry>
                <varlistentry>
                    <term>chpass_provider (рядок)</term>
                    <listitem>
                        <para>
                            Система, яка має обробляти дії зі зміни паролів для домену. Передбачено
підтримку таких систем зміни паролів:
                        </para>
                        <para>
                            <quote>ldap</quote> — змінити пароль, що зберігається на сервері
LDAP. Докладніші відомості щодо налаштовування LDAP викладено у довіднику з
<citerefentry> <refentrytitle>sssd-ldap</refentrytitle>
<manvolnum>5</manvolnum> </citerefentry>.
                        </para>
                        <para>
                            <quote>krb5</quote> — змінити пароль Kerberos. Докладніші відомості щодо
налаштовування Kerberos викладено у довіднику з <citerefentry>
<refentrytitle>sssd-krb5</refentrytitle> <manvolnum></manvolnum>
</citerefentry>.
                        </para>
                        <para>
                            <quote>ipa</quote>: FreeIPA and Red Hat Identity Management provider. See
<citerefentry> <refentrytitle>sssd-ipa</refentrytitle>
<manvolnum>5</manvolnum> </citerefentry> for more information on configuring
FreeIPA.
                        </para>
                        <para>
                            <quote>ad</quote>: засіб Active Directory. Докладніші відомості щодо
налаштовування Active Directory викладено у довіднику з <citerefentry>
<refentrytitle>sssd-ad</refentrytitle> <manvolnum>5</manvolnum>
</citerefentry>.
                        </para>
                        <para>
                            <quote>proxy</quote> — трансльована зміна пароля у іншій системі PAM.
                        </para>
                        <para>
                            <quote>none</quote> — явно вимкнути можливість зміни пароля.
                        </para>
                        <para>
                            Типове значення: використовується «auth_provider», якщо встановлено значення
цього параметра і якщо система здатна обробляти запити щодо паролів.
                        </para>
                    </listitem>
                </varlistentry>

                <varlistentry condition="with_sudo">
                    <term>sudo_provider (рядок)</term>
                    <listitem>
                        <para>
                            Служба SUDO, яку використано для цього домену. Серед підтримуваних служб
SUDO:
                        </para>
                        <para>
                            <quote>ldap</quote> для правил, що зберігаються у LDAP. Докладніше про
налаштовування LDAP можна дізнатися з довідки до <citerefentry>
<refentrytitle>sssd-ldap</refentrytitle> <manvolnum>5</manvolnum>
</citerefentry>.
                        </para>
                        <para>
                            <quote>ipa</quote> — те саме, що і <quote>ldap</quote>, але з типовими
параметрами IPA.
                        </para>
                        <para>
                            <quote>ad</quote> — те саме, що і <quote>ldap</quote>, але з типовими
параметрами AD.
                        </para>
                        <para>
                            <quote>none</quote> явним чином вимикає SUDO.
                        </para>
                        <para>
                            Типове значення: використовується значення <quote>id_provider</quote>, якщо
його встановлено.
                        </para>
                        <para>
                            З докладними настановами щодо налаштовування sudo_provider можна
ознайомитися за допомогою сторінки підручника (man) <citerefentry>
<refentrytitle>sssd-sudo</refentrytitle> <manvolnum>5</manvolnum>
</citerefentry>. Передбачено доволі багато параметрів налаштовування, якими
можна скористатися для коригування поведінки програми. Докладніший опис
можна знайти у розділах щодо «ldap_sudo_*»" у підручнику з <citerefentry>
<refentrytitle>sssd-ldap</refentrytitle> <manvolnum>5</manvolnum>
</citerefentry>.
                        </para>
                        <para>
                            <emphasis>Зауваження:</emphasis> правила sudo періодично отримуються у
фоновому режимі, якщо постачальник даних sudo не вимкнено явним
чином. Встановіть значення <emphasis>sudo_provider = None</emphasis>, щоб
вимкнути усі дії, пов'язані із sudo у SSSD, якщо ви взагалі не хочете
використовувати sudo у SSSD.
                        </para>
                    </listitem>
                </varlistentry>
                <varlistentry>
                    <term>selinux_provider (рядок)</term>
                    <listitem>
                        <para>
                            Засіб, який має відповідати за завантаження параметрів SELinux. Зауважте, що
цей засіб буде викликано одразу після завершення роботи служби надання
доступу. Передбачено підтримку таких засобів надання даних SELinux:
                        </para>
                        <para>
                            <quote>ipa</quote> для завантаження параметрів selinux з сервера
IPA. Докладніші відомості щодо налаштовування IPA викладено у довіднику з
<citerefentry> <refentrytitle>sssd-ipa</refentrytitle>
<manvolnum>5</manvolnum> </citerefentry>.
                        </para>
                        <para>
                            <quote>none</quote> явним чином забороняє отримання даних щодо параметрів
SELinux.
                        </para>
                        <para>
                            Типове значення: буде використано <quote>id_provider</quote>, якщо цей
спосіб встановлено і можлива обробка запитів щодо завантаження SELinux.
                        </para>
                    </listitem>
                </varlistentry>
                <varlistentry>
                    <term>subdomains_provider (рядок)</term>
                    <listitem>
                        <para>
                            Засіб надання даних, який має обробляти отримання даних піддоменів. Це
значення має завжди збігатися зі значенням id_provider. Передбачено
підтримку таких засобів надання даних піддоменів:
                        </para>
                        <para>
                            <quote>ipa</quote> для завантаження списку піддоменів з сервера
IPA. Докладніші відомості щодо налаштовування IPA викладено у довіднику з
<citerefentry> <refentrytitle>sssd-ipa</refentrytitle>
<manvolnum>5</manvolnum> </citerefentry>.
                        </para>
                        <para>
                            «ad», з якої слід завантажувати список піддоменів з сервера Active
Directory. Див. <citerefentry> <refentrytitle>sssd-ad</refentrytitle>
<manvolnum>5</manvolnum> </citerefentry>, щоб дізнатися більше про
налаштовування засобу надання даних AD.
                        </para>
                        <para>
                            <quote>none</quote> забороняє ячним чином отримання даних піддоменів.
                        </para>
                        <para>
                            Типове значення: використовується значення <quote>id_provider</quote>, якщо
його встановлено.
                        </para>
                    </listitem>
                </varlistentry>
                <varlistentry>
                    <term>session_provider (рядок)</term>
                    <listitem>
                        <para>
                            Постачальник даних, який налаштовує завдання, пов'язані із сеансами
користувачів, і керує ними. Єдиним завданням сеансів користувача у поточній
версії є інтеграція із Fleet Commander, який працює лише з IPA. Підтримувані
постачальники даних сеансів:
                        </para>
                        <para>
                            <quote>ipa</quote>, щоб дозволити пов'язані із сеансами користувачів
завдання.
                        </para>
                        <para>
                            <quote>none</quote> — не виконувати жодних пов'язаних із сеансами
користувачів завдань.
                        </para>
                        <para>
                            Типове значення: використовується значення <quote>id_provider</quote>, якщо
його встановлено і дозволено виконувати пов'язані із сеансами завдання.
                        </para>
                        <para>
                            <emphasis>Зауваження:</emphasis> щоб ця можливість працювала як слід, SSSD
має бути запущено від імені користувача root, а не якогось іншого
непривілейованого користувача.
                        </para>
                    </listitem>
                </varlistentry>

                <varlistentry condition="with_autofs">
                    <term>autofs_provider (рядок)</term>
                    <listitem>
                        <para>
                            Служба autofs, яку використано для цього домену. Серед підтримуваних служб
autofs:
                        </para>
                        <para>
                            <quote>ldap</quote> — завантажити карти, що зберігаються у LDAP. Докладніше
про налаштовування LDAP можна дізнатися з довідки до <citerefentry>
<refentrytitle>sssd-ldap</refentrytitle> <manvolnum>5</manvolnum>
</citerefentry>.
                        </para>
                        <para>
                            <quote>ipa</quote> — завантажити карти, що зберігається на сервері
IPA. Докладніші відомості щодо налаштовування IPA викладено у довіднику з
<citerefentry> <refentrytitle>sssd-ipa</refentrytitle>
<manvolnum></manvolnum> </citerefentry>.
                        </para>
                        <para>
                            <quote>ad</quote> — завантажити карти, що зберігаються на сервері
AD. Див. <citerefentry> <refentrytitle>sssd-ad</refentrytitle>
<manvolnum>5</manvolnum> </citerefentry>, щоб дізнатися більше про
налаштовування засобу надання даних AD.
                        </para>
                        <para>
                            <quote>none</quote> вимикає autofs повністю.
                        </para>
                        <para>
                            Типове значення: використовується значення <quote>id_provider</quote>, якщо
його встановлено.
                        </para>
                    </listitem>
                </varlistentry>

                <varlistentry>
                    <term>hostid_provider (рядок)</term>
                    <listitem>
                        <para>
                            Засіб надання даних, який використовується для отримання даних щодо профілю
вузла. Серед підтримуваних засобів надання hostid:
                        </para>
                        <para>
                            <quote>ipa</quote> — завантажити профіль системи, що зберігається на сервері
IPA. Докладніші відомості щодо налаштовування IPA викладено у довіднику з
<citerefentry> <refentrytitle>sssd-ipa</refentrytitle>
<manvolnum></manvolnum> </citerefentry>.
                        </para>
                        <para>
                            <quote>none</quote> вимикає hostid повністю.
                        </para>
                        <para>
                            Типове значення: використовується значення <quote>id_provider</quote>, якщо
його встановлено.
                        </para>
                    </listitem>
                </varlistentry>

                <varlistentry>
                    <term>resolver_provider (рядок)</term>
                    <listitem>
                        <para>
                            Система, яка має обробляти дії зі пошуку вузлів та мереж. Передбачено
підтримку таких надавачів даних для визначення:
                        </para>
                        <para>
                            <quote>proxy</quote> для переспрямовування пошуків до іншої бібліотеки
NSS. Див. <quote>proxy_resolver_lib_name</quote>
                        </para>
                        <para>
                            <quote>ldap</quote> — отримати записи вузлів і мереж, які зберігаються у
LDAP. Докладніше про налаштовування LDAP можна дізнатися з довідки до
<citerefentry> <refentrytitle>sssd-ldap</refentrytitle>
<manvolnum>5</manvolnum> </citerefentry>.
                        </para>
                        <para>
                            <quote>ad</quote> — отримати записи вузлів і мереж, які зберігаються на
сервері AD. Див. <citerefentry> <refentrytitle>sssd-ad</refentrytitle>
<manvolnum>5</manvolnum> </citerefentry>, щоб дізнатися більше про
налаштовування засобу надання даних AD.
                        </para>
                        <para>
                            <quote>none</quote> забороняє ячним чином отримання даних вузлів і мереж.
                        </para>
                        <para>
                            Типове значення: використовується значення <quote>id_provider</quote>, якщо
його встановлено.
                        </para>
                    </listitem>
                </varlistentry>

                <varlistentry>
                    <term>re_expression (рядок)</term>
                    <listitem>
                        <para>
                            Формальний вираз для цього домену, який описує спосіб поділи рядка, що
містить ім’я користувача та назву домену на ці компоненти. «Домен» може
відповідати назві домену налаштувань SSSD або, у випадку піддоменів довіри
IPA та доменів Active Directory, простій назві (NetBIOS) домену.
                        </para>
                        <para>
                            Default:
<quote>^((?P&lt;name&gt;.+)@(?P&lt;domain&gt;[^@]*)|(?P&lt;name&gt;[^@]+))$</quote>
which allows two different styles for user names:
                            <itemizedlist>
                                <listitem>
                                    <para>користувач</para>
                                </listitem>
                                <listitem>
                                    <para>користувач@назва.домену</para>
                                </listitem>
                           </itemizedlist>
                        </para>
                        <para>
                            Default for the AD and IPA provider:
<quote>^(((?P&lt;domain&gt;[^\\]+)\\(?P&lt;name&gt;.+))|((?P&lt;name&gt;.+)@(?P&lt;domain&gt;[^@]+))|((?P&lt;name&gt;[^@\\]+)))$</quote>
which allows three different styles for user names:
                            <itemizedlist>
                                <listitem>
                                    <para>користувач</para>
                                </listitem>
                                <listitem>
                                    <para>користувач@назва.домену</para>
                                </listitem>
                                <listitem>
                                    <para>домен\користувач</para>
                                </listitem>
                            </itemizedlist>
                            Перші два стилі відповідають загальним типовим стилям, а третій введено для
того, щоб полегшити інтеграцію користувачів з доменів Windows.
                        </para>
                        <para>
                            The default re_expression uses the <quote>@</quote> character as a separator
between the name and the domain. As a result of this setting the default
does not accept the <quote>@</quote> character in short names (as it is
allowed in Windows group names). If a user wishes to use short names with
<quote>@</quote> they must create their own re_expression.
                        </para>
                    </listitem>
                </varlistentry>
                <varlistentry>
                    <term>full_name_format (рядок)</term>
                    <listitem>
                        <para>
                            Сумісний з <citerefentry> <refentrytitle>printf</refentrytitle>
<manvolnum>3</manvolnum> </citerefentry> формат, який описує спосіб
створення повного імені на основі імені користувача та компонентів назви
домену.
                        </para>
                        <para>
                            Передбачено використання таких замінників: <variablelist>
                                <varlistentry>
                                    <term>%1$s</term>
                                    <listitem><para>ім’я користувача</para></listitem>
                                </varlistentry>
                                <varlistentry>
                                    <term>%2$s</term>
                                    <listitem>
                                        <para>
                                            назва домену у форматі, вказаному у файлі налаштувань SSSD.
                                        </para>
                                    </listitem>
                                </varlistentry>
                                <varlistentry>
                                    <term>%3$s</term>
                                    <listitem>
                                        <para>
                                            проста назва домену. Здебільшого використовується для доменів Active
Directory, налаштованих та автоматично виявлених за зв’язками довіри IPA.
                                        </para>
                                    </listitem>
                                </varlistentry>
                            </variablelist>
                        </para>
                        <para>
                            Типове значення: <quote>%1$s@%2$s</quote>.
                        </para>
                    </listitem>
                </varlistentry>

                <varlistentry>
                    <term>lookup_family_order (рядок)</term>
                    <listitem>
                        <para>
                            Надає можливість вибрати бажане сімейство адрес, яке слід використовувати
під час виконання пошуків у DNS.
                        </para>
                        <para>
                            Передбачено підтримку таких значень:
                        </para>
                        <para>
                            ipv4_first: спробувати визначити адресу у форматі IPv4, у разі невдачі
спробувати формат IPv6
                        </para>
                        <para>
                            ipv4_only: намагатися визначити назви вузлів лише у форматі адрес IPv4.
                        </para>
                        <para>
                            ipv6_first: спробувати визначити адресу у форматі IPv6, у разі невдачі
спробувати формат IPv4
                        </para>
                        <para>
                            ipv6_only: намагатися визначити назви вузлів лише у форматі адрес IPv6.
                        </para>
                        <para>
                            Типове значення: ipv4_first
                        </para>
                    </listitem>
                </varlistentry>

                <varlistentry>
                    <term>dns_resolver_server_timeout (ціле число)</term>
                    <listitem>
                        <para>
                            Визначає проміжок часу (у мілісекундах), протягом якого SSSD намагатиметься
обмінятися даними із сервером DNS, перш ніж пробувати наступний сервер DNS.
                        </para>
                        <para>
                            Надавач даних AD використовуватиме цей параметр також для визначення часу
очікування на відгук на луна-імпульс CLDAP.
                        </para>
                        <para>
                            Будь ласка, ознайомтеся із розділом <quote>РЕЗЕРВ</quote>, щоб дізнатися
більше про розв'язування питань, пов'язаних із службами.
                        </para>
                        <para>
                            Типове значення: 1000
                        </para>
                    </listitem>
                </varlistentry>

                <varlistentry>
                    <term>dns_resolver_op_timeout (ціле число)</term>
                    <listitem>
                        <para>
                            Визначає тривалість (у секундах) періоду, протягом якого програма чекатиме
на завершення виконання окремого запиту DNS (наприклад встановлення назви
вузла або запису SRV), перш ніж перейти до наступної назви вузла або пошуку
наступного DNS.
                        </para>
                        <para>
                            Будь ласка, ознайомтеся із розділом <quote>РЕЗЕРВ</quote>, щоб дізнатися
більше про розв'язування питань, пов'язаних із службами.
                        </para>
                        <para>
                            Типове значення: 3
                        </para>
                    </listitem>
                </varlistentry>

                <varlistentry>
                    <term>dns_resolver_timeout (ціле число)</term>
                    <listitem>
                        <para>
                            Визначає кількість часу (у секундах) очікування відповіді від внутрішньої
служби перемикання на резервний ресурс, перш ніж службу буде визначено
недоступним. Якщо час очікування буде перевищено, домен продовжуватиме
роботу у автономному режимі.
                        </para>
                        <para>
                            Будь ласка, ознайомтеся із розділом <quote>РЕЗЕРВ</quote>, щоб дізнатися
більше про розв'язування питань, пов'язаних із службами.
                        </para>
                        <para>
                            Типове значення: 6
                        </para>
                    </listitem>
                </varlistentry>

                <varlistentry>
                    <term>dns_resolver_use_search_list (булеве значення)</term>
                    <listitem>
                        <para>
                            Зазвичай, розв'язувач адрес DNS виконує пошук у списку доменів, який
визначено інструкцією «search» у файлі resolv.conf. Це може призвести до
затримок у середовищах, де DNS не налаштовано належним чином.
                        </para>
                        <para>
                            Якщо у налаштуваннях SSSD використано повні назви доменів (або _srv_),
встановлення для цього параметра значення FALSE може запобігти непотрібним
пошукам DNS у таких середовищах.
                        </para>
                        <para>
                            Типове значення: TRUE
                        </para>
                    </listitem>
                </varlistentry>

                <varlistentry>
                    <term>dns_discovery_domain (рядок)</term>
                    <listitem>
                        <para>
                            Якщо у модулі обробки використовується визначення служб, вказує доменну
частину запиту визначення служб DNS.
                        </para>
                        <para>
                            Типова поведінка: використовувати назву домену з назви вузла комп’ютера.
                        </para>
                    </listitem>
                </varlistentry>

                <varlistentry>
                    <term>override_gid (ціле число)</term>
                    <listitem>
                        <para>
                            Замірити значення основного GID на вказане.
                        </para>
                    </listitem>
                </varlistentry>

                <varlistentry>
                    <term>case_sensitive (рядок)</term>
                    <listitem>
                        <para>
                            Зважати на регістр символів у назвах записів користувачів і груп. Можливі
значення: <variablelist>
                            <varlistentry>
                                <term>True</term>
                                <listitem>
                                    <para>
                                        Враховується регістр. Це значення є некоректним для засобу надання даних AD.
                                    </para>
                                </listitem>
                            </varlistentry>
                            <varlistentry>
                                <term>False</term>
                                <listitem>
                                    <para>Без врахування регістру.</para>
                                </listitem>
                            </varlistentry>
                            <varlistentry>
                                <term>Preserving</term>
                                <listitem>
                                    <para>
                                        Те саме, що і False (без врахування регістру символів), але без переведення
у нижній регістр імен у результатах дій NSS. Зауважте, що альтернативні
імена (у випадку служб також назви протоколів) у виведених даних все одно
буде переведено у нижній регістр.
                                    </para>
                                    <para>
                                        Якщо ви хочете встановити це значення для довіреного домену із надавачем
даних IPA, вам доведеться встановити його на боці клієнта і SSSD на сервері.
                                    </para>
                                </listitem>
                            </varlistentry>
                        </variablelist>
                        </para>
                        <para>
                            Цей параметр також може бути встановлено для окремого піддомену або
успадковано за допомогою <emphasis>subdomain_inherit</emphasis>.
                        </para>
                        <para>
                            Типове значення: True (False для засобу надання даних AD)
                        </para>
                    </listitem>
                </varlistentry>

                <varlistentry>
                    <term>subdomain_inherit (рядок)</term>
                    <listitem>
                        <para>
                            Визначає список параметрів налаштування, які слід успадковувати для
піддомену. Будь ласка, зауважте, що успадковуватимуться лише вказані
параметри. У поточній версії передбачено можливість успадковування таких
параметрів:
                        </para>
                        <para>
                            ldap_search_timeout
                        </para>
                        <para>
                            ldap_network_timeout
                        </para>
                        <para>
                            ldap_opt_timeout
                        </para>
                        <para>
                            ldap_offline_timeout
                        </para>
                        <para>
                            ldap_enumeration_refresh_timeout
                        </para>
                        <para>
                            ldap_enumeration_refresh_offset
                        </para>
                        <para>
                            ldap_purge_cache_timeout
                        </para>
                        <para>
                            ldap_purge_cache_offset
                        </para>
                        <para>
                            ldap_krb5_keytab (значення krb5_keytab буде використано, якщо
ldap_krb5_keytab не встановлено явним чином)
                        </para>
                        <para>
                            ldap_krb5_ticket_lifetime
                        </para>
                        <para>
                            ldap_enumeration_search_timeout
                        </para>
                        <para>
                            ldap_connection_expire_timeout
                        </para>
                        <para>
                            ldap_connection_expire_offset
                        </para>
                        <para>
                            ldap_connection_idle_timeout
                        </para>
                        <para>
                            ldap_use_tokengroups
                        </para>
                        <para>
                            ldap_user_principal
                        </para>
                        <para>
                            ignore_group_members
                        </para>
                        <para>
                            auto_private_groups
                        </para>
                        <para>
                            case_sensitive
                        </para>
                        <para>
                            Приклад: <programlisting>
subdomain_inherit = ldap_purge_cache_timeout
                            </programlisting>
                        </para>
                        <para>
                            Типове значення: none
                        </para>
                        <para>
                            Зауваження: цей параметр працює лише для засобів надання даних IPA і AD.
                        </para>
                    </listitem>
                </varlistentry>

                <varlistentry>
                    <term>subdomain_homedir (рядок)</term>
                    <listitem>
                        <para>
                            Використовувати вказаний домашній каталог як типовий для всіх піддоменів у
цьому домені у межах довіри AD IPA. Дані щодо можливих значень наведено у
описі параметра <emphasis>override_homedir</emphasis>. Крім того,
розгортання можна використовувати лише з
<emphasis>subdomain_homedir</emphasis>.  <variablelist>
                                <varlistentry>
                                    <term>%F</term>
                                    <listitem><para>спрощена (NetBIOS) назва піддомену.</para></listitem>
                                </varlistentry>
                            </variablelist>
                        </para>
                        <para>
                            Це значення може бути перевизначено параметром
<emphasis>override_homedir</emphasis>.
                        </para>
                        <para>
                            Типове значення: <filename>/home/%d/%u</filename>
                        </para>
                    </listitem>
                </varlistentry>
                <varlistentry>
                    <term>realmd_tags (рядок)</term>
                    <listitem>
                        <para>
                            Різноманітні теґи, що зберігаються службою налаштовування realmd для цього
домену.
                        </para>
                    </listitem>
                </varlistentry>
                <varlistentry>
                    <term>cached_auth_timeout (ціле число)</term>
                    <listitem>
                        <para>
                            Визначає час у секундах з моменту останнього успішного розпізнавання у
мережі, для якого користувача буде розпізнано за допомогою кешованих
реєстраційних даних, доки SSSD перебуває у режимі «у мережі». Якщо
реєстраційні дані є помилковими, SSSD повертається до інтерактивного
розпізнавання.
                        </para>
                        <para>
                            Значення цього параметра успадковується усіма довіреними доменами. У
поточній версії не передбачено можливості встановлювати окремі різні
значення для різних довірених доменів.
                        </para>
                        <para>
                            Спеціальне значення 0 означає, що цю можливість вимкнено.
                        </para>
                        <para>
                            Будь ласка, зауважте, що якщо <quote>cached_auth_timeout</quote> має більше
значення за <quote>pam_id_timeout</quote>, модуль може бути викликано для
обробки <quote>initgroups</quote>.
                        </para>
                        <para>
                            Типове значення: 0
                        </para>
                    </listitem>
                </varlistentry>
                <varlistentry>
                    <term>local_auth_policy (string)</term>
                    <listitem>
                        <para>
                            Local authentication methods policy. Some backends (i.e. LDAP, proxy
provider) only support a password based authentication, while others can
handle PKINIT based Smartcard authentication (AD, IPA), two-factor
authentication (IPA), or other methods against a central instance. By
default in such cases authentication is only performed with the methods
supported by the backend.
                        </para>
                        <para>
                            There are three possible values for this option: match, only,
enable. <quote>match</quote> is used to match offline and online states for
Kerberos methods. <quote>only</quote> ignores the online methods and only
offer the local ones. enable allows explicitly defining the methods for
local authentication. As an example, <quote>enable:passkey</quote>, only
enables passkey for local authentication. Multiple enable values should be
comma-separated, such as <quote>enable:passkey, enable:smartcard</quote>
                        </para>
                        <para>
                            Please note that if local Smartcard authentication is enabled and a
Smartcard is present, Smartcard authentication will be preferred over the
authentication methods supported by the backend.  I.e. there will be a PIN
prompt instead of e.g. a password prompt.
                        </para>
                        <para>
                            The following configuration example allows local users to authenticate
locally using any enabled method (i.e. smartcard, passkey).  <programlisting>
[domain/shadowutils]
id_provider = proxy
proxy_lib_name = files
auth_provider = none
local_auth_policy = only
</programlisting>
                        </para>
                        <para condition="with_files_provider">
                            It is expected that the <quote>files</quote> provider ignores the
local_auth_policy option and supports Smartcard authentication by default.
                        </para>
                        <para>
                            Default: match
                        </para>
                    </listitem>
                </varlistentry>
                <varlistentry>
                    <term>auto_private_groups (рядок)</term>
                    <listitem>
                        <para>
                            Цей параметр приймає будь-яке з таких трьох доступних значень: <variablelist>
                                <varlistentry>
                                    <term>true</term>
                                    <listitem>
                                        <para>
                                            Безумовно створює приватну групу користувача на основі номера UID
користувача. У цьому випадку номер GID буде проігноровано.
                                        </para>
                                        <para>
                                            Зауваження: оскільки номер GID і приватна група користувача успадковуються з
номера UID, підтримки декількох записів із однаковим номером UID або GID у
цьому параметрі не передбачено. Іншими словами, вмикання цього параметра
примусово встановлює унікальність записів у просторі ідентифікаторів.
                                        </para>
                                    </listitem>
                                </varlistentry>
                                <varlistentry>
                                    <term>false</term>
                                    <listitem>
                                        <para>
                                            Завжди використовувати номер основної GID користувача. Номер GID має
вказувати на об'єкт групи у базі даних LDAP.
                                        </para>
                                    </listitem>
                                </varlistentry>
                                <varlistentry>
                                    <term>hybrid</term>
                                    <listitem>
                                        <para>
                                            Основна група створюється автоматично для записів користувача, значення UID
і GID яких збігаються і, одночасно, номер GID не відповідає справжньому
об'єкту групи у LDAP. Якщо значення є однаковими, але основне значення GID у
записі користувача також використовується як об'єкт групи, основний GID
цього користувача визначатиме цей об'єкт групи.
                                        </para>
                                        <para>
                                            Якщо UID і GID користувача є різними, значення GID має відповідати запису
групи, інакше надійне визначення GID буде просто неможливим.
                                        </para>
                                        <para>
                                            Ця можливість є корисною для середовищ, де бажаним є усування потреби у
супроводі окремих об'єктів груп для користувачів у приватних групах, але зі
збереженням наявних приватних груп для користувачів.
                                        </para>
                                    </listitem>
                                </varlistentry>
                            </variablelist>
                        </para>
                        <para>
                            Для піддоменів типовим значенням є False для тих піддоменів, які пов'язано
із ідентифікаторами POSIX, і True для тих піддоменів, для яких
використовується автоматична прив'язка до ідентифікаторів.
                        </para>
                        <para>
                            Значення параметра auto_private_groups може встановлюватися або на рівні
окремих піддоменів у підрозділі, приклад: <programlisting>
[domain/forest.domain/sub.domain]
auto_private_groups = false
</programlisting> або на загальному рівні для усіх піддоменів у основному розділі
домену за допомогою параметра subdomain_inherit: <programlisting>
[domain/forest.domain]
subdomain_inherit = auto_private_groups
auto_private_groups = false
</programlisting>
                        </para>
                    </listitem>
                </varlistentry>
            </variablelist>
        </para>

        <para>
            Параметри, які є чинними для доменів проксі.  <variablelist>
                <varlistentry>
                    <term>proxy_pam_target (рядок)</term>
                    <listitem>
                        <para>
                            Комп’ютер, для якого виконує проксі-сервер PAM.
                        </para>
                        <para>
                            Default: not set by default, you have to take an existing pam configuration
or create a new one and add the service name here. As an alternative you can
enable local authentication with the local_auth_policy option.
                        </para>
                    </listitem>
                </varlistentry>

                <varlistentry>
                    <term>proxy_lib_name (рядок)</term>
                    <listitem>
                        <para>
                            Назва бібліотеки NSS для використання у доменах з проксі-серверами. Функції
NSS шукаються у бібліотеці у форматі _nss_$(назва_бібліотеки)_$(функція),
наприклад _nss_files_getpwent.
                        </para>
                    </listitem>
                </varlistentry>

                <varlistentry>
                    <term>proxy_resolver_lib_name (рядок)</term>
                    <listitem>
                        <para>
                            Назва бібліотеки NSS для використання для пошуку вузлів і мереж у доменах з
проксі-серверами. Функції NSS шукаються у бібліотеці у форматі
_nss_$(назва_бібліотеки)_$(функція), наприклад _nss_dns_gethostbyname2_r.
                        </para>
                    </listitem>
                </varlistentry>

                <varlistentry>
                    <term>proxy_fast_alias (булеве значення)</term>
                    <listitem>
                        <para>
                            Під час пошуку запису користувача чи групи за назвою у системі надання даних
переадресації виконується вторинний пошук за ідентифікатором з метою
визначення «канонічної» форми назви, якщо результат знайдено за
альтернативною назвою (псевдонімом). Встановлення для цього параметра
значення «true» призведе до того, що SSSD виконуватиме пошук ідентифікатора
у кеші, щоб пришвидшити надання результатів.
                        </para>
                        <para>
                            Типове значення: false
                        </para>
                    </listitem>
                </varlistentry>

                <varlistentry>
                    <term>proxy_max_children (ціле число)</term>
                    <listitem>
                        <para>
                            Цей параметр визначає кількість попередньо розгалужених дочірніх проксі. Він
корисний для високонавантажених середовищ SSSD, де sssd може вичерпати
кількість доступних дочірніх слотів, що може спричинити деякі вади через
використання черги запитів.
                        </para>
                        <para>
                            Типове значення: 10
                        </para>
                    </listitem>
                </varlistentry>

            </variablelist>
        </para>

        <refsect2 id='app_domains'>
            <title>Домени програм (application)</title>
            <para>
                SSSD, з його інтерфейсом D-Bus (див. <citerefentry>
<refentrytitle>sssd-ifp</refentrytitle> <manvolnum>5</manvolnum>
</citerefentry>) є привабливим для програм як шлюз до каталогу LDAP, де
зберігаються дані користувачів і груп. Втім, на відміну від традиційного
формату роботи SSSD, де усі користувачі і групи або мають атрибути POSIX,
або ці атрибути може бути успадковано з SID Windows, у багатьох випадках
користувачі і групи у сценарії підтримки роботи програм не мають атрибутів
POSIX. Замість визначення розділу
<quote>[domain/<replaceable>НАЗВА</replaceable>]</quote> адміністратор може
визначити розділ
<quote>[application/<replaceable>НАЗВА</replaceable>]</quote>, який на
внутрішньому рівні представляє домен типу <quote>application</quote>, який
може успадковувати параметр з традиційного домену SSSD.
            </para>
            <para>
                Будь ласка, зауважте, що домен програм має так само явним чином увімкнено у
параметрі <quote>domains</quote>, отже порядок пошуку між доменом програм і
його доменом-близнюком у POSIX має бути встановлено належним чином.
            </para>
            <variablelist>
                <title>Параметри доменів програм</title>
                <varlistentry>
                    <term>inherit_from (рядок)</term>
                    <listitem>
                        <para>
                            Домен типу POSIX SSSD, з якого домен програм успадковує усі параметри. Далі,
домен програм поже додавати власні параметри до параметрів програми, які
розширюють або перевизначають параметри домену-<quote>близнюка</quote>.
                        </para>
                        <para>
                            Типове значення: не встановлено
                        </para>
                    </listitem>
                </varlistentry>
            </variablelist>
            <para>
                У наведеному нижче прикладі проілюстровано використання домену програм. У
цій конфігурації домен POSIX з'єднано із сервером LDAP, він використовується
операційною системою через відповідач NSS. Крім того, домен програм також
надсилає запит щодо атрибута telephoneNumber, зберігає його як атрибут phone
у кеші і робить атрибут phone доступним через інтерфейс D-Bus.
            </para>
<programlisting>
[sssd]
domains = appdom, posixdom

[ifp]
user_attributes = +phone

[domain/posixdom]
id_provider = ldap
ldap_uri = ldap://ldap.example.com
ldap_search_base = dc=example,dc=com

[application/appdom]
inherit_from = posixdom
ldap_user_extra_attrs = phone:telephoneNumber
</programlisting>
        </refsect2>

    </refsect1>

    <refsect1 id='trusted-domains'>
        <title>РОЗДІЛ ДОВІРЕНИХ ДОМЕНІВ</title>
        <para>
            Деякі параметри, які використовуються у розділі домену, можна також
використовувати у розділі довіреного домену, тобто у розділі, який
називається
<quote>[domain/<replaceable>НАЗВА_ДОМЕНУ</replaceable>/<replaceable>НАЗВА_ДОВІРЕНОГО_ДОМЕНУ</replaceable>]</quote>.
Де НАЗВА_ДОМЕНУ є справжнім базовим доменом для долучення. Приклади наведено
нижче. У поточній версії підтримуваними параметрами у розділі довіреного
домену є такі параметри:
        </para>
            <para>ldap_search_base,</para>
            <para>ldap_user_search_base,</para>
            <para>ldap_group_search_base,</para>
            <para>ldap_netgroup_search_base,</para>
            <para>ldap_service_search_base,</para>
            <para>ldap_sasl_mech,</para>
            <para>ad_server,</para>
            <para>ad_backup_server,</para>
            <para>ad_site,</para>
            <para>use_fully_qualified_names</para>
            <para>pam_gssapi_services</para>
            <para>pam_gssapi_check_upn</para>
        <para>
            Докладніший опис цих параметрів можна знайти у окремих описах на сторінці
підручника.
        </para>
    </refsect1>

    <refsect1 id='certmap'>
        <title>РОЗДІЛ ПРИВ'ЯЗКИ СЕРТИФІКАТІВ</title>
        <para>
            Щоб уможливити розпізнавання за смарткартками та сертифікатами, SSSD повинна
мати можливість пов'язувати сертифікати із записами
користувачів. Забезпечити таку можливість можна додаванням повного
сертифіката до об'єкта LDAP користувача або локальним перевизначенням. Хоча
використання повного сертифіката є обов'язковим для використання можливості
розпізнавання за смарткарткою у (див. <citerefentry>
<refentrytitle>sss_ssh_authorizedkeys</refentrytitle>
<manvolnum>8</manvolnum> </citerefentry>, щоб дізнатися більше), додавання
таких сертифікатів може бути марудною або навіть неможливою справою для
загального випадку, коли локальні служби використовують для розпізнавання
PAM.
        </para>
        <para>
            Для додавання гнучкості прив'язкам у SSSD додано правила прив'язки і
встановлення відповідності (докладніше про це у розділі <citerefentry>
<refentrytitle>sss-certmap</refentrytitle> <manvolnum>5</manvolnum>
</citerefentry>).
        </para>
        <para>
            Правила пов'язування та відповідності можна додати до налаштувань SSSD у
окремий розділ із назвою, подібною до
<quote>[certmap/<replaceable>НАЗВА_ДОМЕНУ</replaceable>/<replaceable>НАЗВА_ПРАВИЛА</replaceable>]</quote>.
У цьому розділі можна використовувати такі параметри:
        </para>
        <variablelist>
            <varlistentry>
                <term>matchrule (рядок)</term>
                <listitem>
                    <para>
                        Буде виконано обробку лише тих сертифікатів зі смарткартки, які відповідають
цьому правилу. Усі інші сертифікати буде проігноровано.
                    </para>
                    <para>
                        Типове значення: KRB5:&lt;EKU&gt;clientAuth, тобто лише сертифікати, у яких
Extended Key Usage (розширене використання ключа) дорівнює
<quote>clientAuth</quote>
                    </para>
                </listitem>
            </varlistentry>
            <varlistentry>
                <term>maprule (рядок)</term>
                <listitem>
                    <para>
                        Визначає спосіб пошуку користувача для вказаного сертифіката.
                    </para>
                    <para>
                        Типове значення:
                        <itemizedlist>
                            <listitem>
                                <para>LDAP:(userCertificate;binary={cert!bin})  для заснованих на LDAP надавачів
даних, зокрема <quote>ldap</quote>, <quote>AD</quote> та <quote>ipa</quote>.</para>
                            </listitem>
                            <listitem condition="with_files_provider">
                                <para>RULE_NAME для надавача даних <quote>files</quote>, який намагається знайти
запис користувача і такою самою назвою.</para>
                            </listitem>
                        </itemizedlist>
                    </para>
                </listitem>
            </varlistentry>
            <varlistentry>
                <term>domains (рядок)</term>
                <listitem>
                    <para>
                        Список відокремлених комами назв доменів, до яких слід застосовувати
правило. Типово, правило стосуватиметься лише домену, який налаштовано у
sssd.conf. Якщо для надавача даних передбачено підтримку піддоменів, цей
параметр можна використати і для додавання правила до піддоменів.
                    </para>
                    <para>
                        Типове значення: домен, який налаштовано у sssd.conf
                    </para>
                </listitem>
            </varlistentry>
            <varlistentry>
                <term>priority (ціле число)</term>
                <listitem>
                    <para>
                        Ціле невід'ємне значення, яке визначає пріоритетність правила. Чим більшим є
значення, тим нижчою є пріоритетність. <quote>0</quote> — найвища
пріоритетність, а <quote>4294967295</quote> — найнижча.
                    </para>
                    <para>
                        Типове значення: найнижча пріоритетність
                    </para>
                </listitem>
            </varlistentry>
        </variablelist>
        <para condition="with_files_provider">
            Щоб спростити налаштовування із зменшити кількість параметрів
налаштовування, у надавачі даних <quote>files</quote> передбачено декілька
спеціальних властивостей:
            <itemizedlist>
                <listitem>
                    <para>
                        якщо не встановлено maprule, припускається, що значенням RULE_NAME є назва
відповідного облікового запису користувача
                    </para>
                </listitem>
                <listitem>
                    <para>
                        якщо maprule використовує обидва, назву облікового запису окремого
користувача або шаблон, подібний до
<quote>{назва_об'єкта_rfc822.коротка_назва}</quote>, слід брати у дужки,
наприклад <quote>(користувач)</quote> або
<quote>({назва_об'єкта_rfc822.коротка_назва})</quote>
                    </para>
                </listitem>
                <listitem>
                    <para>
                        параметр <quote>domains</quote> буде проігноровано
                    </para>
                </listitem>
            </itemizedlist>
        </para>
    </refsect1>

    <refsect1 id='prompting_configuration'>
        <title>РОЗДІЛ НАЛАШТОВУВАННЯ ЗАПИТІВ</title>
        <para>
            Якщо існує спеціальний файл
(<filename>/var/lib/sss/pubconf/pam_preauth_available</filename>), модуль
PAM SSSD pam_sss надсилатиме запит до SSSD для визначення того, які методи
розпізнавання доступні для користувача, який намагається увійти до
системи. На основі отриманих результатів pam_sss надсилатиме запит до
користувача щодо відповідних реєстраційних даних.
        </para>
        <para>
            Зростання кількості способів розпізнавання та можливість того, що для
окремого користувача передбачено декілька способів, призводить до того, що
евристика, яка використовується pam_sss для вибору запиту може не
спрацьовувати в усіх можливих випадках. Підвищення гнучкості системи у таких
випадках мають забезпечити описані нижче параметри.
        </para>
        <para>
            Each supported authentication method has its own configuration subsection
under <quote>[prompting/...]</quote>. Currently there are: <variablelist>
            <varlistentry>
                <term>[prompting/password]</term>
                <listitem>
                    <para>для налаштовування запиту щодо пароля; дозволені параметри: <variablelist><varlistentry><term>password_prompt</term>
                        <listitem><para>для зміни рядка запиту пароля</para></listitem></varlistentry></variablelist>
                    </para>
                </listitem>
            </varlistentry>
        </variablelist> <variablelist>
            <varlistentry>
                <term>[prompting/2fa]</term>
                <listitem>
                    <para>для налаштовування запитів щодо двофакторного розпізнавання. Можливі
варіанти значень: <variablelist><varlistentry><term>first_prompt</term>
                        <listitem><para>для зміни рядка запиту для першого фактора </para></listitem>
                        </varlistentry>
                        <varlistentry><term>second_prompt</term>
                        <listitem><para>для зміни рядка запиту для другого фактора </para></listitem>
                        </varlistentry>
                        <varlistentry><term>single_prompt</term>
                        <listitem><para>булеве значення. Якщо True, буде виконано лише один запит із використанням
значення first_prompt. Припускатиметься, що обидва фактори введено як один
рядок. Будь ласка, зауважте, що тут може бути введено обидва фактори, навіть
якщо другий фактор не є обов'язковим.</para></listitem>
                        </varlistentry>
                    </variablelist> Якщо другий
фактор є необов'язковим і має бути збережено можливість входу або лише за
паролем, або за двома факторами, має бути використано двокроковий запит.
                    </para>
                </listitem>
            </varlistentry>
        </variablelist>
<variablelist>
            <varlistentry condition="build_passkey">
                <term>[prompting/passkey]</term>
                <listitem>
                    <para>to configure passkey authentication prompting, allowed options are:
<variablelist>
                    <varlistentry>
                        <term>interactive</term>
                        <listitem>
                            <para>boolean value, if True prompt a message and wait before testing the presence
of a passkey device.  Recommended if your device doesn’t have a tactile
trigger.
                            </para>
                        </listitem>
                    </varlistentry>
                    <varlistentry>
                        <term>interactive_prompt</term>
                        <listitem>
                            <para>to change the message of the interactive prompt.
                            </para>
                        </listitem>
                    </varlistentry>
                    <varlistentry>
                        <term>touch</term>
                        <listitem>
                            <para>boolean value, if True prompt a message to remind the user to touch the
device.
                            </para>
                        </listitem>
                    </varlistentry>
                    <varlistentry>
                        <term>touch_prompt</term>
                        <listitem>
                            <para>to change the message of the touch prompt.
                            </para>
                        </listitem>
                        </varlistentry>
                    </variablelist>
                    </para>
                </listitem>
            </varlistentry>
        </variablelist>
        </para>
        <para>
            Передбачено можливість додавання підрозділу для специфічних служб PAM,
наприклад <quote>[prompting/password/sshd]</quote>, для окремої зміни запиту
для цієї служби.
        </para>
    </refsect1>

    <refsect1 id='example'>
        <title>ПРИКЛАДИ</title>
        <para>
            1. Нижче наведено приклад типових налаштувань SSSD. Налаштування самого
домену не наведено, — щоб дізнатися більше про неї, ознайомтеся з
документацією щодо налаштовування доменів.  <programlisting>
[sssd]
domains = LDAP
services = nss, pam
config_file_version = 2

[nss]
filter_groups = root
filter_users = root

[pam]

[domain/LDAP]
id_provider = ldap
ldap_uri = ldap://ldap.example.com
ldap_search_base = dc=example,dc=com

auth_provider = krb5
krb5_server = kerberos.example.com
krb5_realm = EXAMPLE.COM
cache_credentials = true

min_id = 10000
max_id = 20000
enumerate = False
</programlisting>
        </para>
        <para>
            2. У наведеному нижче прикладі показано налаштування довіри AD у IPA, де ліс
AD складається з двох доменів у структурі батьківський-дочірній. Нехай домен
IPA (ipa.com) має стосунки довіри з доменом AD (ad.com). ad.com має дочірній
домен (child.ad.com). Щоб увімкнути скорочені назви у дочірньому домені,
слід скористатися наведеними нижче налаштуваннями. <programlisting>
[domain/ipa.com/child.ad.com]
use_fully_qualified_names = false
</programlisting>
        </para>
        <para>
            3. The following example shows the configuration of a certificate mapping
rule. It is valid for the configured domain <quote>my.domain</quote> and
additionally for the subdomains <quote>your.domain</quote> and uses the full
certificate in the search filter.  <programlisting>
[certmap/my.domain/rule_name]
matchrule = &lt;ISSUER&gt;^CN=My-CA,DC=MY,DC=DOMAIN$
maprule = (userCertificate;binary={cert!bin})
domains = my.domain, your.domain
priority = 10
</programlisting>
        </para>
    </refsect1>

	<xi:include xmlns:xi="http://www.w3.org/2001/XInclude" href="include/seealso.xml" />

</refentry>
</reference>