SSSD.CONF(5)

NAME
sssd.conf - файл налаштування SSSD

ФОРМАТ ФАЙЛА

Файл складено з використанням синтаксичний конструкцій у стилі ini, він складається з розділів і окремих записів параметрів. Розділ починається з рядка назви розділу у квадратних дужках і продовжується до початку нового розділу. Приклад розділу з параметрами, які мають єдине і декілька значень:

    [розділ]
    ключ = значення
    ключ2 = значення2,значення3

Типами даних є рядок (без символів лапок), ціле число і булеве значення (можливі два значення — “TRUE” і “FALSE”).

Рядок коментаря починається з символу решітки (“#”) або крапки з комою (“;”). Підтримки вбудованих коментарів не передбачено.

Для всіх розділів передбачено додатковий параметр description. Його призначено лише для позначення розділу.

sssd.conf має бути звичайним файлом, власником якого є користувач root. Права на читання та запис до цього файла повинен мати лише користувач root.

CONFIGURATION SNIPPETS FROM INCLUDE DIRECTORY

The configuration file sssd.conf will include configuration snippets using the include directory conf.d. This feature is available if SSSD was compiled with libini version 1.3.0 or later.

Any file placed in conf.d that ends in “.conf” and does not begin with a dot (“.”) will be used together with sssd.conf to configure SSSD.

The configuration snippets from conf.d have higher priority than sssd.conf and will override sssd.conf when conflicts occur. If several snippets are present in conf.d, then they are included in alphabetical order (based on locale). Files included later have higher priority. Numerical prefixes (01_snippet.conf, 02_snippet.conf etc.) can help visualize the priority (higher number means higher priority).

The snippet files require the same owner and permissions as sssd.conf. Which are by default root:root and 0600.

ЗАГАЛЬНІ ПАРАМЕТРИ

Нижче наведено параметри, які можна використовувати у декількох розділах налаштувань.

  Параметри, які можна використовувати у всіх розділах

debug_level (ціле число)
    У SSSD передбачено два представлення для визначення рівня діагностики. Найпростішим є визначення десяткового значення у діапазоні 0-9. Кожному значенню відповідає вмикання відповідного рівня діагностики і усіх нижчих рівнів. Точніше визначення вмикання або вимикання (якщо це потрібно) специфічних рівнів можна встановити за допомогою шістнадцяткової бітової маски.

    Будь ласка, зауважте, що кожна служба SSSD веде журнал у власному файлі. Також зауважте, що вмикання “debug_level” у розділі “[sssd]” вмикає діагностику лише для самого процесу sssd, а не для процесів відповідача чи надавача даних. Для отримання діагностичних повідомлень слід додати параметр «debug_level» до усіх розділів, для яких слід створювати журнал діагностичних повідомлень.

    Окрім зміни рівня ведення журналу у файлі налаштувань за допомогою параметра «debug_level», який не змінюється під час роботи, але зміна якого потребує перезапуску SSSD, можна змінити режим діагностики без перезапуску за допомогою програми sss_debuglevel(8).

    Рівні діагностики, передбачені у поточній версії:

    0, 0x0010: критичні помилки з аварійним завершенням роботи. Всі помилки, які не дають SSSD змоги розпочати або продовжувати роботу.

    1, 0x0020: Critical failures. An error that doesn't kill SSSD, but one that indicates that at least one major feature is not going to work properly.

    2, 0x0040: серйозні помилки. Повідомлення про такі помилки означають, що не вдалося виконати певний запит або дію.

    3, 0x0080: незначні помилки. Це помилки які можуть призвести до помилок під час виконання дій.

    4, 0x0100: параметри налаштування.

    5, 0x0200: дані функцій.

    6, 0x0400: повідомлення трасування для функцій дій.

    7, 0x1000: повідомлення трасування для функцій внутрішнього трасування.

    8, 0x2000: вміст внутрішніх змінних функцій, який може бути цікавим.

    9, 0x4000: дані трасування найнижчого рівня.

    Щоб до журналу було записано дані потрібних бітових масок рівнів діагностики, просто додайте відповідні числа, як це показано у наведених нижче прикладах:

    Example: щоб до журналу було записано дані щодо критичних помилок з аварійним завершенням роботи, критичних помилок, серйозних помилок та дані функцій, скористайтеся рівнем діагностики 0x0270.

    Приклад: щоб до журналу було записано критичні помилки з аварійним завершенням роботи, параметри налаштування, дані функцій та повідомлення трасування для функцій внутрішнього керування, скористайтеся рівнем 0x1310.

    Зауваження: формат бітових масок для рівнів діагностики впроваджено у версії 1.7.0.

    Типове значення: 0

debug (integer)
    SSSD 1.14 and later also includes the debug alias for debug_level as a convenience feature. If both are specified, the value of debug_level will be used.

debug_timestamps (булеве значення)
    Додати часову позначку до діагностичних повідомлень. Якщо для запису діагностичного журналу у SSSD увімкнено journald, цей параметр буде проігноровано.

    Типове значення: true

debug_microseconds (булеве значення)
    Додати значення мікросекунд до часової позначки у діагностичних повідомлення. Якщо для запису діагностичного журналу у SSSD увімкнено journald, цей параметр буде проігноровано.

    Типове значення: false

  Параметри які можна використовувати у розділах SERVICE та DOMAIN

timeout (ціле число)
    Проміжок у секундах між циклами роботи цієї служби. Використовується для перевірки працездатності процесу та його змоги відповідати на запити.

    Типове значення: 10

ОСОБЛИВІ РОЗДІЛИ

  Розділ [sssd]

Окремі функції у SSSD виконуються особливими службами SSSD, які запускаються і зупиняються разом SSSD. Ці служби керуються окремою службою, яку часто називають «монітором». Розділ “[sssd]” використовується для налаштування монітора та деяких інших важливих параметрів, зокрема доменів профілів.

Параметри розділу

config_file_version (ціле число)
    Визначає версію синтаксичних конструкцій файла налаштування. Для версій SSSD 0.6.0 та пізніших слід використовувати версію 2.

services
    Comma separated list of services that are started when sssd itself starts. The services' list is optional on platforms where systemd is supported, as they will either be socket or dbus activated when needed.

    Підтримувані служби: nss, pam , sudo , autofs , ssh , pac , ifp

    By default, all services are disabled and the administrator must enable the ones allowed to be used by executing: "systemctl enable sssd-@service@.socket".

reconnection_retries (ціле число)
    Кількість повторних спроб встановлення зв’язку зі службами або їх перезапуску у разі аварійного завершення роботи інструменту надання даних до визнання подальших спроб безнадійними.

    Типове значення: 3

domains
    Домен — це база даних, у якій містяться дані щодо користувачів. SSSD може одночасно використовувати декілька доменів. Вам слід вказати принаймні один домен, інакше SSSD просто не запуститься. За допомогою цього параметра можна вказати список доменів, впорядкованих за пріоритетністю під час надсилання до них запитів щодо даних. Назва домену має складатися лише з літер і цифр ASCII, дефісів, крапок та знаків підкреслювання.

re_expression (рядок)
    Типовий формальний вираз, який описує спосіб поділу рядка з іменем користувача і доменом на його частини.

    Для кожного з доменів можна налаштувати окремий формальний вираз. Для деяких з засобів надання ідентифікаторів передбачено типові формальні вирази. Докладніше про ці формальні вирази можна дізнатися з довідки до РОЗДІЛІВ ДОМЕНІВ.

full_name_format (рядок)
    Сумісний з printf(3) формат, який описує спосіб створення повного імені на основі імені користувача та компонентів назви домену.

    Передбачено використання таких замінників:

    %1$s
        ім’я користувача

    %2$s
        назва домену у форматі, вказаному у файлі налаштувань SSSD.

    %3$s
        проста назва домену. Здебільшого використовується для доменів Active Directory, налаштованих та автоматично виявлених за зв’язками довіри IPA.

    Для кожного з доменів можна налаштувати окремий рядок формату. Докладніше про ці рядки можна дізнатися з довідки до РОЗДІЛІВ ДОМЕНІВ.

try_inotify (булеве значення)
    SSSD спостерігає за станом resolv.conf для визначення моменту, коли слід оновити дані вбудованого інструменту визначення DNS. Типово, з цією метою використовується inotify. У разі неможливості використання inotify, виконуватиметься опитування resolv.conf кожні п’ять секунд.

    Зрідка бажано не вдаватися навіть до спроб скористатися inotify. У цих рідкісних випадках слід встановити для цього параметра значення «false».

    Типове значення: «true» на платформах, де підтримується inotify. «false» на інших платформах.

    Зауваження: цей параметр ні на що не вплине на платформах, де inotify недоступний. На цих платформах завжди використовуватиметься безпосереднє опитування файла.

krb5_rcache_dir (рядок)
    Каталог у файловій системі, де SSSD має зберігати файли кешу відтворення Kerberos.

    Цей параметр приймає особливе значення __LIBKRB5_DEFAULTS__, за допомогою якого можна наказати SSSD надати змогу libkrb5 визначити відповідну адресу для кешу відтворення.

    Типове значення: визначається дистрибутивом та вказується під час збирання. (__LIBKRB5_DEFAULTS__, якщо не вказано)

user (рядок)
    The user to drop the privileges to where appropriate to avoid running as the root user. This option does not work when running socket-activated services, as the user set up to run the processes is set up during compilation time. The way to override the systemd unit files is by creating the appropriate files in /etc/systemd/system/. Keep in mind that any change in the socket user, group or permissions may result in a non-usable SSSD. The same may occur in case of changes of the user running the NSS responder.

    Типове значення: не встановлено, процес буде запущено від імені root

default_domain_suffix (рядок)
    Цей рядок буде використано як типову назву домену для всіх назв без компонента назви домену. Основним призначенням використання цього рядка є середовища, де основний домен призначено для керування правилами вузлів та всіма користувачами, розташованими на надійному (довіреному) домені. За допомогою цього параметра користувачі можуть входити до системи за допомогою лише імені користувача без додавання до нього назви домену.

    Будь ласка, зауважте, що якщо встановлено цей параметр, для усіх користувачів із основного домену доведеться використовувати ім’я повністю, тобто користувач@назва.домену, для входу до системи. Встановлення цього параметра змінює типове значення use_fully_qualified_names на True. Цей параметр не можна використовувати у поєднанні із значенням use_fully_qualified_names рівним False.

    Типове значення: not set

override_space (рядок)
    За допомогою цього параметра можна змінити пробіли у іменах користувачів та назвах груп вказаним симовлом, наприклад _. Ім’я користувача «john doe» буде перетворено на «john_doe». Цю можливість було додано для сумісності із скриптами командної оболонки, у яких виникають проблеми із обробкою пробілів через типовий роздільник полів у оболонці.

    Будь ласка, зауважте, що використання символу-замінника, який може бути використано у іменах користувачів і назвах груп, є помилкою у налаштуваннях. Якщо назва містить символ-замінник, SSSD спробує повернути незмінену назву, але, загалом, результат пошуку буде невизначеним.

    Типове значення: не встановлено (пробіли не замінятимуться)

certificate_verification (string)
    With this parameter the certificate verification can be tuned with a comma separated list of options. Supported options are:

    no_ocsp
        Disables Online Certificate Status Protocol (OCSP) checks. This might be needed if the OCSP servers defined in the certificate are not reachable from the client.

    no_verification
        Disables verification completely. This option should only be used for testing.

    ocsp_default_responder=URL
        Sets the OCSP default responder which should be used instead of the one mentioned in the certificate. URL must be replaced with the URL of the OCSP default responder e.g. http://example.com:80/ocsp.

        This option must be used together with ocsp_default_responder_signing_cert.

    ocsp_default_responder_signing_cert=NAME
        The nickname of the cert to trust (expected) to sign the OCSP responses. The certificate with the given nickname must be availble in the systems NSS database.

        This option must be used together with ocsp_default_responder.

    Unknown options are reported but ignored.

    Default: not set, i.e. do not restrict certificate verification

disable_netlink (boolean)
    SSSD hooks into the netlink interface to monitor changes to routes, addresses, links and trigger certain actions.

    The SSSD state changes caused by netlink events may be undesirable and can be disabled by setting this option to 'true'

    Default: false (netlink changes are detected)

enable_files_domain (boolean)
    When this option is enabled, SSSD prepends an implicit domain with “id_provider=files” before any explicitly configured domains.

    Типове значення: false

РОЗДІЛИ СЛУЖБ

У цьому розділі описано параметри, якими можна скористатися для налаштування різноманітних служб. Ці параметри має бути зібрано у розділах з назвами [$NAME]. Наприклад, параметри служби NSS зібрано у розділі “[nss]”

  Загальні параметри налаштування служб

Цими параметрами можна скористатися для налаштування будь-яких служб.

reconnection_retries (ціле число)
    Кількість повторних спроб встановлення зв’язку зі службами або їх перезапуску у разі аварійного завершення роботи інструменту надання даних до визнання подальших спроб безнадійними.

    Типове значення: 3

fd_limit
    За допомогою цього параметра можна визначити максимальну кількість дескрипторів файлів, які одночасно може бути відкрито цим процесом SSSD. У системах, де SSSD надано можливості CAP_SYS_RESOURCE, цей параметр використовуватиметься незалежно від інших параметрів системи. У системах без цієї можливості, кількість дескрипторів визначатиметься найменшим зі значень цього параметра і обмеженням "hard" у limits.conf.

    Типове значення: 8192 (або обмеження у limits.conf "hard")

client_idle_timeout
    За допомогою цього параметра можна визначити кількість секунд, протягом яких клієнтська частина SSSD може утримувати дескриптор файла без здійснення за його допомогою обміну даними. Таке обмеження потрібне для того, щоб уникнути вичерпання ресурсів системи.

    Типове значення: 60

offline_timeout (ціле число)
    Коли SSSD перемикається на автономний режим роботи, час, який має минути, перш ніж буде здійснено спробу повернутися до режиму у мережі, збільшуватиметься, відповідно до часу, проведеного у режимі від’єднання. Це значення вказується у секундах і обчислюється за такою формулою:

    час_очікування_для_переходу_у_автономний_режим + випадковий_зсув

    Випадковий зсув може збільшувати час на інтервал до 30 секунд. Після кожної невдалої спроби переходу до режиму у мережі новий інтервал часу обчислюється таким чином:

    новий_інтервал = старий_інтервал*2 + випадковий_зсув

    Зауважте, що максимальна тривалість кожного з інтервалів у поточній версії обмежено однією годиною. Якщо обчислена тривалість нового інтервалу перевищує годину, буде встановлено інтервал у одну годину.

    Типове значення: 60

responder_idle_timeout
    This option specifies the number of seconds that an SSSD responder process can be up without being used. This value is limited in order to avoid resource exhaustion on the system. The minimum acceptable value for this option is 60 seconds. Setting this option to 0 (zero) means that no timeout will be set up to the responder. This option only has effect when SSSD is built with systemd support and when services are either socket or dbus activated.

    Типове значення: 300

  Параметри налаштування NSS

Цими параметрами можна скористатися для налаштування служби Name Service Switch (NSS або перемикання служби визначення назв).

enum_cache_timeout (ціле число)
    Тривалість зберігання переліків (запитів щодо даних всіх користувачів) у кеші nss_sss у секундах

    Типове значення: 120

entry_cache_nowait_percentage (ціле число)
    Можна встановити кеш записів для автоматичного оновлення записів у фоновому режимі, якщо запит щодо них надходить у визначений у відсотках від entry_cache_timeout для домену період часу.

    Наприклад, якщо entry_cache_timeout домену встановлено у значення 30s, а entry_cache_nowait_percentage — у значення 50 (у відсотках), записи, які надійдуть за 15 секунд після останнього оновлення кешу, буде повернуто одразу, але SSSD оновить власний кеш, отже наступні запити очікуватимуть на розблокування після оновлення кешу.

    Коректними значеннями цього параметра є 0-99. Ці значення відповідають відсоткам entry_cache_timeout для кожного з доменів. З міркувань покращення швидкодії це відсоткове значення ніколи не зменшуватиме час очікування nowait до значення, меншого за 10 секунд. Визначення значення 0 вимкне цю можливість.

    Типове значення: 50

entry_negative_timeout (ціле число)
    Визначає кількість секунд, протягом яких nss_sss має кешувати негативні результати пошуку у кеші (тобто запити щодо некоректних записів у базі даних, зокрема неіснуючих) перед повторним запитом до сервера обробки.

    Типове значення: 15

local_negative_timeout (integer)
    Specifies for how many seconds nss_sss should keep local users and groups in negative cache before trying to look it up in the back end again.

    Типове значення: 0

filter_users, filter_groups (рядок)
    Exclude certain users or groups from being fetched from the sss NSS database. This is particularly useful for system accounts. This option can also be set per-domain or include fully-qualified names to filter only users from the particular domain.

    NOTE: The filter_groups option doesn't affect inheritance of nested group members, since filtering happens after they are propagated for returning via NSS. E.g. a group having a member group filtered out will still have the member users of the latter listed.

    Типове значення: root

filter_users_in_groups (булеве значення)
    Якщо ви хочете, щоб фільтровані користувачі залишалися учасниками груп, встановіть для цього параметра значення «false».

    Типове значення: true

override_homedir (рядок)
    Перевизначити домашній каталог користувача. Ви можете вказати абсолютне значення або шаблон. У шаблоні можна використовувати такі замінники:

    %u
        ім'я користувача

    %U
        номер UID

    %d
        назва домену

    %f
        ім’я користувача повністю (користувач@домен)

    %P
        UPN - User Principal Name (ім’я@ОБЛАСТЬ)

    %o
        Початкова домашня тека, отримана від служби профілів.

    %H
        Значення параметра налаштовування homedir_substring.

    %%
        символ відсотків («%»)

    Значення цього параметра можна встановлювати для кожного з доменів окремо.

    приклад:

        override_homedir = /home/%u

    Типове значення: не встановлено (SSSD використовуватиме значення, отримане від LDAP)

homedir_substring (рядок)
    Значення цього параметра буде використано під час розгортання параметра override_homedir, якщо у шаблоні міститься рядок форматування %H. Запис каталогу LDAP може безпосередньо містити цей шаблон для розгортання шляху до домашнього каталогу на кожному з клієнтських комп’ютерів (або у кожній з операційних систем). Значення параметра можна вказати окремо для кожного з доменів або на загальному рівні у розділі [nss]. Значення, вказане у розділі домену, має вищий пріоритет за значення, встановлене за допомогою розділу [nss].

    Типове значення: /home

fallback_homedir (рядок)
    Встановити типовий шаблон назви домашнього каталогу користувача, якщо цей каталог не вказано явним чином засобом надання даних домену.

    Можливі варіанти значень для цього параметра збігаються з варіантами значень для параметра override_homedir.

    приклад:

        fallback_homedir = /home/%u

    Типове значення: не встановлено (без замін для невстановлених домашніх каталогів)

override_shell (рядок)
    Перевизначити командну оболонку входу до системи для усіх користувачів. Цей параметр має пріоритет над будь-якими іншими параметрами визначення командної оболонки, якщо він діє. Його можна встановити або у розділі [nss] або для кожного з доменів окремо.

    Типове значення: не встановлено (SSSD використовуватиме значення, отримане від LDAP)

allowed_shells (рядок)
    Обмежити перелік можливих командних оболонок користувачів вказаними. Порядок визначення оболонки є таким:

    1. Якщо оболонку вказано у “/etc/shells”, її буде використано.

    2. Якщо оболонку вказано у списку allowed_shells, але її немає у списку “/etc/shells”, буде використано значення параметра shell_fallback.

    3. Якщо оболонку не вказано у списку allowed_shells і її немає у списку “/etc/shells”, буде використано оболонку nologin.

    Для визначення будь-якої командної оболонки можна скористатися шаблоном заміни (*).

    Значенням (*) варто користуватися, якщо ви хочете скористатися shell_fallback, коли командної оболонки користувача немає у «/etc/shells», а супровід списку усіх командних оболонок у allowed_shells є надто марудною справою.

    Порожній рядок оболонки буде передано без обробки до libc.

    Читання “/etc/shells” виконується лише під час запуску SSSD, тобто у разі встановлення нової оболонки слід перезапустити SSSD.

    Типове значення: не встановлено. Автоматично використовується оболонка користувача.

vetoed_shells (рядок)
    Замінити всі записи цих оболонок на shell_fallback

shell_fallback (рядок)
    Типова оболонка, яку слід використовувати, якщо дозволеної оболонки у системі не встановлено.

    Типове значення: /bin/sh

default_shell
    Типова командна оболонка, яку буде використано, якщо засобом надання даних не було повернуто назви оболонки під час пошуку. Цей параметр можна вказати або на загальному рівні у розділі [nss], або окремо для кожного з доменів.

    Типове значення: не встановлено (повернути NULL, якщо оболонку не встановлено і покластися на libc у визначенні потрібного програмі значення, зазвичай /bin/sh)

get_domains_timeout (ціле число)
    Визначає час у секундах, протягом якого список піддоменів вважатиметься чинним.

    Типове значення: 60

memcache_timeout (ціле число)
    Specifies time in seconds for which records in the in-memory cache will be valid.

    Типове значення: 300

    NOTE: If the environment variable SSS_NSS_USE_MEMCACHE is set to "NO", client applications will not use the fast in-memory cache.

user_attributes (рядок)
    Some of the additional NSS responder requests can return more attributes than just the POSIX ones defined by the NSS interface. The list of attributes is controlled by this option. It is handled the same way as the “user_attributes” option of the InfoPipe responder (see sssd-ifp(5) for details) but with no default values.

    Щоб полегшити налаштовування відповідач NSS перевірятиме параметр InfoPipe на те, чи не встановлено його для відповідача NSS.

    Типове значення: не встановлено, резервне значення визначається за параметром InfoPipe

pwfield (string)
    The value that NSS operations that return users or groups will return for the “password” field.

    Значення цього параметра можна встановлювати для кожного з доменів окремо.

    Default: “*” (remote domains) or “x” (the files domain)

  Параметри налаштування PAM

Цими параметрами можна скористатися для налаштування служби Pluggable Authentication Module (PAM або блокового модуля розпізнавання).

offline_credentials_expiration (ціле число)
    У разі неможливості встановлення з’єднання з сервером розпізнавання визначає тривалість зберігання кешованих входів (у днях з часу останнього успішного входу до системи).

    Типове значення: 0 (без обмежень)

offline_failed_login_attempts (ціле число)
    У разі неможливості встановлення з’єднання з сервером розпізнавання визначає дозволену кількість спроб входу з визначенням помилкового пароля.

    Типове значення: 0 (без обмежень)

offline_failed_login_delay (ціле число)
    Час у хвилинах, який має пройти між досягненням значення offline_failed_login_attempts і повторним вмиканням можливості входу до системи.

    Якщо встановлено значення 0, користувач не зможе пройти розпізнавання у автономному режимі, якщо буде досягнуто значення offline_failed_login_attempts. Лише успішне розпізнавання може знову увімкнути можливість автономного розпізнавання.

    Типове значення: 5

pam_verbosity (ціле число)
    Керує типами повідомлень, які буде показано користувачеві під час розпізнавання. Чим більшим є значення, тим більше повідомлень буде показано.

    У поточній версії sssd передбачено підтримку таких значень:

    0: не показувати жодних повідомлень

    1: показувати лише важливі повідомлення

    2: показувати всі інформаційні повідомлення

    3: показувати всі повідомлення та діагностичні дані

    Типове значення: 1

pam_response_filter (integer)
    A comma separated list of strings which allows to remove (filter) data send by the PAM responder to pam_sss PAM module. There are different kind of responses send to pam_sss e.g. messages displayed to the user or environment variables which should be set by pam_sss.

    While messages already can be controlled with the help of the pam_verbosity option this option allows to filter out other kind of responses as well.

    Currently the following filters are supported:

    ENV
        Do not sent any environment variables to any service.

    ENV:var_name
        Do not sent environment variable var_name to any service.

    ENV:var_name:service
        Do not sent environment variable var_name to service.

    Типове значення: not set

    Example: ENV:KRB5CCNAME:sudo-i

pam_id_timeout (ціле число)
    Для кожного з запитів PAM під час роботи SSSD система SSSD зробить спробу негайно оновити кешовані дані щодо профілю користувача з метою переконатися, що розпізнавання виконується на основі найсвіжіших даних.

    Повний обмін даними сеансу PAM може включати декілька запитів PAM, зокрема для керування обліковими записами та відкриття сеансів. За допомогою цього параметра можна керувати (для окремих клієнтів-програм) тривалістю (у секундах) кешування даних профілю з метою уникнути повторних викликів засобу надання даних профілів.

    Типове значення: 5

pam_pwd_expiration_warning (ціле число)
    Показати попередження за вказану кількість днів перед завершенням дії пароля.

    Будь ласка, зауважте, що сервер обробки має надати дані щодо часу завершення дії пароля. Якщо ці дані не буде виявлено, sssd не зможе показати попередження.

    Якщо встановлено нульове значення, цей фільтр не застосовуватиметься, тобто якщо з сервера обробки надійде попередження щодо завершення строку дії, його буде автоматично показано.

    Цей параметр може бути перевизначено встановленням параметра pwd_expiration_warning для окремого домену.

    Типове значення: 0

get_domains_timeout (ціле число)
    Визначає час у секундах, протягом якого список піддоменів вважатиметься чинним.

    Типове значення: 60

pam_trusted_users (рядок)
    Specifies the comma-separated list of UID values or user names that are allowed to run PAM conversations against trusted domains. Users not included in this list can only access domains marked as public with “pam_public_domains”. User names are resolved to UIDs at startup.

    Default: All users are considered trusted by default

    Будь ласка, зауважте, що користувачеві з UID 0 завжди мають доступ до відповідача PAM, навіть якщо користувача немає у списку pam_trusted_users.

pam_public_domains (рядок)
    Визначає список назв доменів, відокремлених комами, доступ до яких можуть отримувати навіть ненадійні користувачі.

    Визначено два спеціальних значення параметра pam_public_domains:

    all (Ненадійним користувачам відкрито доступ до усіх доменів у відповідачі PAM.)

    none (Ненадійним користувачам заборонено доступ до усіх доменів PAM у відповідачі.)

    Типове значення: none

pam_account_expired_message (рядок)
    Allows a custom expiration message to be set, replacing the default 'Permission denied' message.

    Note: Please be aware that message is only printed for the SSH service unless pam_verbostiy is set to 3 (show all messages and debug information).

    приклад:

        pam_account_expired_message = Account expired, please contact help desk.

    Типове значення: none

pam_account_locked_message (string)
    Allows a custom lockout message to be set, replacing the default 'Permission denied' message.

    приклад:

        pam_account_locked_message = Account locked, please contact help desk.

    Типове значення: none

pam_cert_auth (bool)
    Enable certificate based Smartcard authentication. Since this requires additional communication with the Smartcard which will delay the authentication process this option is disabled by default.

    Типове значення: False

pam_cert_db_path (string)
    The path to the certificate database which contain the PKCS#11 modules to access the Smartcard.

    Default: /etc/pki/nssdb (NSS version)

p11_child_timeout (integer)
    How many seconds will pam_sss wait for p11_child to finish.

    Типове значення: 10

  Параметри налаштування SUDO

Цими параметрами можна скористатися для налаштовування служби sudo. Докладні настанови щодо налаштовування sudo(8) на роботу з sssd(8) можна знайти на сторінці довідника sssd-sudo(5).

sudo_timed (булеве значення)
    Визначає, чи слід обробляти атрибути sudoNotBefore і sudoNotAfter, призначені для визначення часових обмежень для записів sudoers.

    Типове значення: false

  Параметри налаштування AUTOFS

Цими параметрами можна скористатися для налаштування служби autofs.

autofs_negative_timeout (ціле число)
    Визначає кількість секунд, протягом яких відповідач autofs має кешувати негативні результати пошуку у кеші (тобто запити щодо некоректних записів у базі даних, зокрема неіснуючих) перед повторним запитом до сервера обробки.

    Типове значення: 15

Будь ласка, зауважте, що засіб автоматичного монтування читає основну карту лише під час запуску, отже якщо до ssd.conf внесено будь-які пов’язані з autofs зміни, типово слід перезапустити фонову службу автоматичного монтування після перезапуску SSSD.

  Параметри налаштувань SSH

Цими параметрами можна скористатися для налаштування служби SSH.

ssh_hash_known_hosts (булеве значення)
    Чи слід хешувати назви та адреси вузлів у керованому файлі known_hosts.

    Типове значення: true

ssh_known_hosts_timeout (ціле число)
    Кількість секунд, протягом яких запису вузла зберігатиметься у керованому файлі known_hosts після надсилання запиту щодо ключів вузла.

    Типове значення: 180

ca_db (string)
    Path to a storage of trusted CA certificates. The option is used to validate user certificates before deriving public ssh keys from them.

    Default: /etc/pki/nssdb

  Параметри налаштування відповідача PAC

Відповідач PAC працює разом з додатком даних уповноваження для sssd_pac_plugin.so зі складу MIT Kerberos та засобу надання даних піддоменів. Цей додаток надсилає до відповідача PAC дані PAC під час розпізнавання за допомогою GSSAPI. Засіб надання даних піддоменів збирає дані щодо діапазонів SID і ID домену, до якого долучено клієнт, та віддалених надійних доменів з локального контролера доменів. Якщо PAC декодовано і визначено, виконуються деякі з таких дій:

    • Якщо у кеші немає даних віддаленого користувача, запис цих даних буде створено. UID буде визначено за допомогою SID, надійні домени матимуть UPG, а gid матиме те саме значення, що і UID. Дані домашнього каталогу буде засновано на значенні параметра subdomain_homedir. Типово, для командної оболонки буде вибрано порожнє значення, тобто використовуватимуться типові параметри системи. Значення для оболонки можна змінити за допомогою параметра default_shell.

    • Якщо існують SID груп з доменів, про які відомо SSSD, запис користувача буде додано до цих груп.

Цими параметрами можна скористатися для налаштовування відповідача PAC.

allowed_uids (рядок)
    Визначає список значень UID або імен користувачів, відокремлених комами. Користувачам з цього списку буде дозволено доступ до відповідача PAC. UID за іменами користувачів визначатимуться під час запуску.

    Типове значення: 0 (доступ до відповідача PAC має лише адміністративний користувач (root))

    Будь ласка, зауважте, що хоча типово використовується UID 0, значення UID буде перевизначено на основі цього параметра. Якщо ви хочете надати адміністративному користувачеві (root) доступ до відповідача PAC, що може бути типовим варіантом, вам слід додати до списку UID з правами доступу запис 0.

pac_lifetime (integer)
    Lifetime of the PAC entry in seconds. As long as the PAC is valid the PAC data can be used to determine the group memberships of a user.

    Типове значення: 300

РОЗДІЛИ ДОМЕНІВ

Ці параметри налаштування може бути вказано у розділі налаштування домену, тобто у розділі з назвою “[domain/НАЗВА]”

min_id,max_id (ціле значення)
    Обмеження UID і GID для домену. Якщо у домені міститься запис, що не відповідає цим обмеженням, його буде проігноровано.

    Для користувачів зміна цього параметра вплине на основне обмеження GID. Запис користувача не буде повернуто до NSS, якщо UID або основний GID не належать вказаному діапазону. Записи користувачів, які не є учасниками основної групи і належать діапазону, буде виведено у звичайному режимі.

    Ці обмеження на ідентифікатори стосуються і збереження записів до кешу, не лише повернення записів за назвою або ідентифікатором.

    Типові значення: 1 для min_id, 0 (без обмежень) для max_id

enumerate (булеве значення)
    Визначає, чи можна нумерувати домен. Цей параметр може мати одне з таких значень:

    TRUE = користувачі і групи нумеруються

    FALSE = не використовувати нумерацію для цього домену

    Типове значення: FALSE

    Зауваження: вмикання нумерації помірно знизить швидкодію SSSD на час виконання нумерації. Нумерація може тривати до декількох хвилин після запуску SSSD. Протягом виконання нумерації окремі запити щодо даних буде надіслано безпосередньо до LDAP, хоча і з уповільненням через навантаження системи виконанням нумерації. Збереження великої кількості записів до кешу після завершення нумерації може також значно навантажити процесор, оскільки повторне визначення параметрів участі також іноді є складним завданням.

    Під час першого виконання нумерації запити щодо повних списків користувачів та груп можуть не повертати жодних результатів, аж доки нумерацію не буде завершено.

    Крім того, вмикання нумерації може збільшити час, потрібний для виявлення того, що мережеве з’єднання розірвано, оскільки потрібне буде збільшення часу очікування для забезпечення успішного завершення пошуків нумерації. Щоб отримати додаткову інформацію, зверніться до сторінок довідника (man) відповідного використаного засобу обробки ідентифікаторів (id_provider).

    З вказаних вище причин не рекомендуємо вам вмикати нумерацію, особливо у об’ємних середовищах.

subdomain_enumerate (рядок)
    Визначає, чи слід нумерувати усі автоматично виявлені надійні (довірені) домени. Підтримувані значення:

    all
        Усі виявлені надійні домени буде пронумеровано

    none
        Нумерація виявлених надійних доменів не виконуватиметься

    Якщо потрібно, можна вказати список з однієї або декількох назв надійних доменів, для яких буде увімкнено нумерацію.

    Типове значення: none

entry_cache_timeout (ціле число)
    Кількість секунд, протягом яких nss_sss вважатиме записи чинними, перш ніж надсилати повторний запит до сервера

    Дані щодо часових позначок завершення строку дії записів кешу зберігаються як атрибути окремих об’єктів у кеші. Тому зміна часу очікування на дані у кеші впливає лише на нові записи та записи, строк дії яких вичерпано. Для примусового оновлення записів, які вже було кешовано, вам слід запустити програму sss_cache(8).

    Типове значення: 5400

entry_cache_user_timeout (ціле число)
    Кількість секунд, протягом яких nss_sss вважатиме записи користувачів чинними, перш ніж надсилати повторний запит до сервера

    Типове значення: entry_cache_timeout

entry_cache_group_timeout (ціле число)
    Кількість секунд, протягом яких nss_sss вважатиме записи груп чинними, перш ніж надсилати повторний запит до сервера

    Типове значення: entry_cache_timeout

entry_cache_netgroup_timeout (ціле число)
    Кількість секунд, протягом яких nss_sss вважатиме записи мережевих груп чинними, перш ніж надсилати повторний запит до сервера

    Типове значення: entry_cache_timeout

entry_cache_service_timeout (ціле число)
    Кількість секунд, протягом яких nss_sss вважатиме записи служб чинними, перш ніж надсилати повторний запит до сервера

    Типове значення: entry_cache_timeout

entry_cache_sudo_timeout (ціле число)
    Кількість секунд, протягом яких sudo вважатиме правила чинними, перш ніж надсилати повторний запит до сервера

    Типове значення: entry_cache_timeout

entry_cache_autofs_timeout (ціле число)
    Кількість секунд, протягом яких служба autofs вважатиме карти автомонтування чинними, перш ніж надсилати повторний запит до сервера

    Типове значення: entry_cache_timeout

entry_cache_ssh_host_timeout (ціле число)
    Кількість секунд, протягом яких слід зберігати ключ ssh вузла після оновлення. Іншими словами, параметр визначає тривалість зберігання ключа вузла у кеші.

    Типове значення: entry_cache_timeout

refresh_expired_interval (ціле число)
    Визначає кількість секунд, протягом яких SSSD має очікувати до запуску завдання з оновлення у фоновому режимі записів кешу, строк дії яких вичерпано або майже вичерпано.

    Під час фонового оновлення виконуватиметься обробка записів користувачів, груп та мережевих груп у кеші.

    Варто визначити для цього параметра значення 3/4 * entry_cache_timeout.

    Типове значення: 0 (вимкнено)

cache_credentials (булеве значення)
    Визначає, чи слід також кешувати реєстраційні дані користувача у локальному кеші LDB

    Реєстраційні дані користувача зберігаються у форматі хешу SHA512, а не у форматі звичайного тексту

    Типове значення: FALSE

cache_credentials_minimal_first_factor_length (ціле число)
    If 2-Factor-Authentication (2FA) is used and credentials should be saved this value determines the minimal length the first authentication factor (long term password) must have to be saved as SHA512 hash into the cache.

    Таким чином забезпечується уникнення випадку, коли короткі PIN-коди заснованої на PIN-кодах схеми 2FA зберігаються у кеші, що робить їх простою мішенню атак із перебиранням паролів.

    Типове значення: 8

account_cache_expiration (ціле число)
    Кількість днів, протягом яких записи залишатимуться у кеші після успішного входу до системи до вилучення під час спорожнення кешу. 0 — не вилучати записи. Значення цього параметра має бути більшим або рівним значенню offline_credentials_expiration.

    Типове значення: 0 (без обмежень)

pwd_expiration_warning (ціле число)
    Показати попередження за вказану кількість днів перед завершенням дії пароля.

    Якщо встановлено нульове значення, цей фільтр не застосовуватиметься, тобто якщо з сервера обробки надійде попередження щодо завершення строку дії, його буде автоматично показано.

    Будь ласка, зауважте, що сервер обробки має надати дані щодо часу завершення дії пароля. Якщо ці дані не буде виявлено, sssd не зможе показати попередження. Крім того для цього сервера може бути вказано службу надання даних розпізнавання.

    Типове значення: 7 (Kerberos), 0 (LDAP)

id_provider (рядок)
    Засіб надання даних ідентифікації, який використовується для цього домену. Серед підтримуваних засобів такі:

    «proxy»: підтримка застарілого модуля надання даних NSS

    “local”: вбудований засіб SSSD для локальних користувачів

    “ldap”: засіб LDAP. Докладніше про налаштовування LDAP можна дізнатися з довідки до sssd-ldap(5).

    “ipa”: засіб FreeIPA та керування профілями Red Hat Enterprise. Докладніші відомості щодо налаштовування IPA викладено у довіднику з sssd-ipa().

    “ad”: засіб Active Directory. Докладніші відомості щодо налаштовування Active Directory викладено у довіднику з sssd-ad(5).

use_fully_qualified_names (булеве значення)
    Використовувати ім’я та домен повністю (у форматі, визначеному full_name_format домену) як ім’я користувача у системі, що повідомляється NSS.

    Якщо встановлено значення TRUE, всі запити до цього домену мають використовувати повні назви. Наприклад, якщо використано домен LOCAL, який містить запис користувача «test» user, getent passwd test не покаже користувача, а getent passwd test@LOCAL покаже.

    ЗАУВАЖЕННЯ: цей параметр не впливатиме на пошук у мережевих групах через тенденцію до включення до таких груп вкладених мережевих груп. Для мережевих груп, якщо задано неповну назву, буде виконано пошук у всіх доменах.

    Типове значення: FALSE (TRUE, якщо використано default_domain_suffix)

ignore_group_members (булеве значення)
    Не повертати записи учасників груп для пошуків груп.

    Якщо встановлено значення TRUE, сервер LDAP не запитуватиме дані щодо атрибутів участі у групах, а списки учасників груп не повертаються під час обробки запитів щодо пошуку груп, зокрема getgrnam(3) або getgrgid(3). Отже, “getent group $groupname” поверне запитану групу так, наче вона була порожня.

    Вмикання цього параметра може також значно пришвидшити перевірки засобу надання доступу для участі у групі, особливо для груп, у яких багато учасників.

    Типове значення: FALSE

auth_provider (рядок)
    Служба розпізнавання, яку використано для цього домену. Серед підтримуваних служб розпізнавання:

    “ldap” — вбудоване розпізнавання LDAP. Докладніші відомості щодо налаштовування LDAP викладено у довіднику з sssd-ldap(5).

    “krb5” — вбудоване розпізнавання Kerberos. Докладніші відомості щодо налаштовування Kerberos викладено у довіднику з sssd-krb5().

    “ipa”: засіб FreeIPA та керування профілями Red Hat Enterprise. Докладніші відомості щодо налаштовування IPA викладено у довіднику з sssd-ipa().

    “ad”: засіб Active Directory. Докладніші відомості щодо налаштовування Active Directory викладено у довіднику з sssd-ad(5).

    “proxy” — трансльоване розпізнавання у іншій системі PAM.

    “local”: вбудований засіб SSSD для локальних користувачів

    “none” — вимкнути розпізнавання повністю.

    Типове значення: буде використано “id_provider”, якщо цей спосіб встановлено і можлива обробка запитів щодо розпізнавання.

access_provider (рядок)
    Програма керування доступом для домену. Передбачено дві вбудованих програми керування доступом (окрім всіх встановлених додаткових серверів). Вбудованими програмами є:

    “permit” дозволяти доступ завжди. Єдиний дозволений засіб доступу для локального домену.

    “deny” — завжди забороняти доступ.

    “ldap” — вбудоване розпізнавання LDAP. Докладніші відомості щодо налаштовування LDAP викладено у довіднику з sssd-ldap(5).

    “ipa”: засіб FreeIPA та керування профілями Red Hat Enterprise. Докладніші відомості щодо налаштовування IPA викладено у довіднику з sssd-ipa().

    “ad”: засіб Active Directory. Докладніші відомості щодо налаштовування Active Directory викладено у довіднику з sssd-ad(5).

    “simple” — керування доступом на основі списків дозволу або заборони. Докладніші відомості щодо налаштовування модуля доступу simple можна знайти у довідці до sssd-simple(5).

    “krb5”: .k5login based access control. See sssd-krb5(5) for more information on configuring Kerberos.

    “proxy” for relaying access control to another PAM module.

    Типове значення: “permit”

chpass_provider (рядок)
    Система, яка має обробляти дії зі зміни паролів для домену. Передбачено підтримку таких систем зміни паролів:

    “ldap” — змінити пароль, що зберігається на сервері LDAP. Докладніші відомості щодо налаштовування LDAP викладено у довіднику з sssd-ldap(5).

    “krb5” — змінити пароль Kerberos. Докладніші відомості щодо налаштовування Kerberos викладено у довіднику з sssd-krb5().

    “ipa”: засіб FreeIPA та керування профілями Red Hat Enterprise. Докладніші відомості щодо налаштовування IPA викладено у довіднику з sssd-ipa().

    “ad”: засіб Active Directory. Докладніші відомості щодо налаштовування Active Directory викладено у довіднику з sssd-ad(5).

    “proxy” — трансльована зміна пароля у іншій системі PAM.

    “none” — явно вимкнути можливість зміни пароля.

    Типове значення: використовується «auth_provider», якщо встановлено значення цього параметра і якщо система здатна обробляти запити щодо паролів.

sudo_provider (рядок)
    Служба SUDO, яку використано для цього домену. Серед підтримуваних служб SUDO:

    “ldap” для правил, що зберігаються у LDAP. Докладніше про налаштовування LDAP можна дізнатися з довідки до sssd-ldap(5).

    “ipa” — те саме, що і “ldap”, але з типовими параметрами IPA.

    “ad” — те саме, що і “ldap”, але з типовими параметрами AD.

    “none” явним чином вимикає SUDO.

    Типове значення: використовується значення “id_provider”, якщо його встановлено.

    З докладними настановами щодо налаштовування sudo_provider можна ознайомитися за допомогою сторінки підручника (man) sssd-sudo(5). Передбачено доволі багато параметрів налаштовування, якими можна скористатися для коригування поведінки програми. Докладніший опис можна знайти у розділах щодо «ldap_sudo_*»" у підручнику з sssd-ldap(5).

selinux_provider (рядок)
    Засіб, який має відповідати за завантаження параметрів SELinux. Зауважте, що цей засіб буде викликано одразу після завершення роботи служби надання доступу. Передбачено підтримку таких засобів надання даних SELinux:

    “ipa” для завантаження параметрів selinux з сервера IPA. Докладніші відомості щодо налаштовування IPA викладено у довіднику з sssd-ipa(5).

    “none” явним чином забороняє отримання даних щодо параметрів SELinux.

    Типове значення: буде використано “id_provider”, якщо цей спосіб встановлено і можлива обробка запитів щодо завантаження SELinux.

subdomains_provider (рядок)
    Засіб надання даних, який має обробляти отримання даних піддоменів. Це значення має завжди збігатися зі значенням id_provider. Передбачено підтримку таких засобів надання даних піддоменів:

    “ipa” для завантаження списку піддоменів з сервера IPA. Докладніші відомості щодо налаштовування IPA викладено у довіднику з sssd-ipa(5).

    «ad», з якої слід завантажувати список піддоменів з сервера Active Directory. Див. sssd-ad(5), щоб дізнатися більше про налаштовування засобу надання даних AD.

    “none” забороняє ячним чином отримання даних піддоменів.

    Типове значення: використовується значення “id_provider”, якщо його встановлено.

autofs_provider (рядок)
    Служба autofs, яку використано для цього домену. Серед підтримуваних служб autofs:

    “ldap” — завантажити карти, що зберігаються у LDAP. Докладніше про налаштовування LDAP можна дізнатися з довідки до sssd-ldap(5).

    “ipa” — завантажити карти, що зберігається на сервері IPA. Докладніші відомості щодо налаштовування IPA викладено у довіднику з sssd-ipa().

    “ad” to load maps stored in an AD server. See sssd-ad(5) for more information on configuring the AD provider.

    “none” вимикає autofs повністю.

    Типове значення: використовується значення “id_provider”, якщо його встановлено.

hostid_provider (рядок)
    Засіб надання даних, який використовується для отримання даних щодо профілю вузла. Серед підтримуваних засобів надання hostid:

    “ipa” — завантажити профіль системи, що зберігається на сервері IPA. Докладніші відомості щодо налаштовування IPA викладено у довіднику з sssd-ipa().

    “none” вимикає hostid повністю.

    Типове значення: використовується значення “id_provider”, якщо його встановлено.

re_expression (рядок)
    Формальний вираз для цього домену, який описує спосіб поділи рядка, що містить ім’я користувача та назву домену на ці компоненти. «Домен» може відповідати назві домену налаштувань SSSD або, у випадку піддоменів довіри IPA та доменів Active Directory, простій назві (NetBIOS) домену.

    Типовий для засобів надання AD і IPA: “(((?P<domain>[^\\]+)\\(?P<name>.+$))|((?P<name>[^@]+)@(?P<domain>.+$))|(^(?P<name>[^@\\]+)$))” За його допомогою можна визначати три різні стилі запису імен користувачів:

        • користувач

        • користувач@назва.домену

        • домен\користувач

    Перші два стилі відповідають загальним типовим стилям, а третій введено для того, щоб полегшити інтеграцію користувачів з доменів Windows.

    Типове значення: “(?P<name>[^@]+)@?(?P<domain>[^@]*$)”, можна висловити так: іменем користувача є все до символу «@», назвою домену — все після цього символу.

    Будь ласка, зауважте: підтримку неунікальних назв підшаблонів передбачено не для всіх платформ (наприклад, нею не можна скористатися у RHEL5 і SLES10). Підтримкою неунікальних назв підшаблонів можна скористатися лише на платформах з версією libpcre 7.

    Додаткове зауваження: у застарілих версіях libpcre передбачено підтримку лише синтаксичних конструкцій Python (?P<name>) для позначення підшаблонів.

full_name_format (рядок)
    Сумісний з printf(3) формат, який описує спосіб створення повного імені на основі імені користувача та компонентів назви домену.

    Передбачено використання таких замінників:

    %1$s
        ім’я користувача

    %2$s
        назва домену у форматі, вказаному у файлі налаштувань SSSD.

    %3$s
        проста назва домену. Здебільшого використовується для доменів Active Directory, налаштованих та автоматично виявлених за зв’язками довіри IPA.

    Типове значення: “%1$s@%2$s”.

lookup_family_order (рядок)
    Надає можливість вибрати бажане сімейство адрес, яке слід використовувати під час виконання пошуків у DNS.

    Передбачено підтримку таких значень:

    ipv4_first: спробувати визначити адресу у форматі IPv4, у разі невдачі спробувати формат IPv6

    ipv4_only: намагатися визначити назви вузлів лише у форматі адрес IPv4.

    ipv6_first: спробувати визначити адресу у форматі IPv6, у разі невдачі спробувати формат IPv4

    ipv6_only: намагатися визначити назви вузлів лише у форматі адрес IPv6.

    Типове значення: ipv4_first

dns_resolver_timeout (ціле число)
    Визначає кількість часу (у секундах) очікування відповіді від засобу визначення адрес DNS, перш ніж засіб буде визначено недоступним. Якщо час очікування буде перевищено, домен продовжуватиме роботу у автономному режимі.

    Типове значення: 6

dns_discovery_domain (рядок)
    Якщо у модулі обробки використовується визначення служб, вказує доменну частину запиту визначення служб DNS.

    Типова поведінка: використовувати назву домену з назви вузла комп’ютера.

override_gid (ціле число)
    Замірити значення основного GID на вказане.

case_sensitive (рядок)
    Враховувати регістр записів імен користувачів та назв груп. У поточній версії підтримку передбачено лише для локальних надавачів даних. Можливі значення параметра:

    True
        Враховується регістр. Це значення є некоректним для засобу надання даних AD.

    False
        Без врахування регістру.

    Preserving
        Те саме, що і False (без врахування регістру символів), але без переведення у нижній регістр імен у результатах дій NSS. Зауважте, що альтернативні імена (у випадку служб також назви протоколів) у виведених даних все одно буде переведено у нижній регістр.

    Типове значення: True (False для засобу надання даних AD)

subdomain_inherit (рядок)
    Визначає список параметрів налаштування, які слід успадковувати для піддомену. Будь ласка, зауважте, що успадковуватимуться лише вказані параметри. У поточній версії передбачено можливість успадковування таких параметрів:

    ignore_group_members

    ldap_purge_cache_timeout

    ldap_use_tokengroups

    ldap_user_principal

    ldap_krb5_keytab (the value of krb5_keytab will be used if ldap_krb5_keytab is not set explicitly)

    Приклад:

        subdomain_inherit = ldap_purge_cache_timeout

    Типове значення: none

    Note: This option only works with the IPA and AD provider.

subdomain_homedir (рядок)
    Використовувати вказаний домашній каталог як типовий для всіх піддоменів у цьому домені у межах довіри AD IPA. Дані щодо можливих значень наведено у описі параметра override_homedir. Крім того, розгортання можна використовувати лише з subdomain_homedir.

    %F
        спрощена (NetBIOS) назва піддомену.

    Це значення може бути перевизначено параметром override_homedir.

    Типове значення: /home/%d/%u

realmd_tags (рядок)
    Різноманітні теґи, що зберігаються службою налаштовування realmd для цього домену.

cached_auth_timeout (int)
    Specifies time in seconds since last successful online authentication for which user will be authenticated using cached credentials while SSSD is in the online mode.

    Special value 0 implies that this feature is disabled.

    Please note that if “cached_auth_timeout” is longer than “pam_id_timeout” then the back end could be called to handle “initgroups.”

    Типове значення: 0

Параметри, які є чинними для доменів проксі.

proxy_pam_target (рядок)
    Комп’ютер, для якого виконує проксі-сервер PAM.

    Типове значення: типово не встановлено, вам слід скористатися вже створеними налаштуваннями pam або створити нові і тут додати назву служби.

proxy_lib_name (рядок)
    Назва бібліотеки NSS для використання у доменах з проксі-серверами. Функції NSS шукаються у бібліотеці у форматі _nss_$(назва_бібліотеки)_$(функція), наприклад _nss_files_getpwent.

proxy_fast_alias (булеве значення)
    Під час пошуку запису користувача чи групи за назвою у системі надання даних переадресації виконується вторинний пошук за ідентифікатором з метою визначення «канонічної» форми назви, якщо результат знайдено за альтернативною назвою (псевдонімом). Встановлення для цього параметра значення «true» призведе до того, що SSSD виконуватиме пошук ідентифікатора у кеші, щоб пришвидшити надання результатів.

    Типове значення: false

proxy_max_children (integer)
    This option specifies the number of pre-forked proxy children. It is useful for high-load SSSD environments where sssd may run out of available child slots, which would cause some issues due to the requests being queued.

    Типове значення: 10

  Розділ локального домену

У цьому розділі містяться параметри для домену, який зберігає записи користувачів і груп у вбудованій базі даних SSSD, тобто домену, який використовує id_provider=local.

Параметри розділу

default_shell (рядок)
    Типова оболонка для записів користувачів, створених за допомогою інструментів простору користувачів SSSD.

    Типове значення: /bin/bash

base_directory (рядок)
    Інструменти додають ім’я користувача до base_directory і використовують отриману адресу як адресу домашнього каталогу.

    Типове значення: /home

create_homedir (булеве значення)
    Визначає, чи слід типово створювати домашній каталог для нових користувачів. Може бути перевизначено з командного рядка.

    Типове значення: TRUE

remove_homedir (булівське значення)
    Визначає, чи слід вилучати домашній каталог для вилучених записів користувачів. Може бути перевизначено з командного рядка.

    Типове значення: TRUE

homedir_umask (ціле число)
    Використовується sss_useradd(8) для визначення типових прав доступу до щойно створеного домашнього каталогу.

    Типове значення: 077

skel_dir (рядок)
    Каркасний каталог, який містить файли і каталоги, які буде скопійовано до домашнього каталогу користувача, коли такий домашній каталог створюється командою sss_useradd(8)

    Типове значення: /etc/skel

mail_dir (рядок)
    Каталог буфера пошти. Цей каталог потрібен для обробки поштової скриньки, якщо відповідний обліковий запис користувача змінено або вилучено. Якщо каталог не вказано, буде використано типове значення.

    Типове значення: /var/mail

userdel_cmd (рядок)
    Команда, яку буде виконано після вилучення запису користувача. Команді, як перший і єдиний параметр, передається ім’я користувача, запис якого вилучається. Код виконання, повернутий програмою не обробляється.

    Типове значення: None, не виконувати жодних команд

ПРИКЛАД

Нижче наведено приклад типових налаштувань SSSD. Налаштування самого домену не наведено, — щоб дізнатися більше про неї, ознайомтеся з документацією щодо налаштовування доменів.

    [sssd]
    domains = LDAP
    services = nss, pam
    config_file_version = 2
    [nss]
    filter_groups = root
    filter_users = root
    [pam]
    [domain/LDAP]
    id_provider = ldap
    ldap_uri = ldap://ldap.example.com
    ldap_search_base = dc=example,dc=com
    auth_provider = krb5
    krb5_server = kerberos.example.com
    krb5_realm = EXAMPLE.COM
    cache_credentials = true
    min_id = 10000
    max_id = 20000
    enumerate = False

ТАКОЖ ПЕРЕГЛЯНЬТЕ

sssd(8), sssd.conf(5), sssd-ldap(5), sssd-krb5(5), sssd-simple(5), sssd-ipa(5), sssd-ad(5), sssd-sudo(5), sss_cache(8), sss_debuglevel(8), sss_groupadd(8), sss_groupdel(8), sss_groupshow(8), sss_groupmod(8), sss_useradd(8), sss_userdel(8), sss_usermod(8), sss_obfuscate(8), sss_seed(8), sssd_krb5_locator_plugin(8), sss_ssh_authorizedkeys(8), sss_ssh_knownhostsproxy(8), sssd-ifp(5), pam_sss(8). sss_rpcidmapd(5)

AUTHORS

The SSSD upstream - https://pagure.io/SSSD/sssd/