SSSD-KCM(8)

NAME
sssd-kcm - SSSD Kerberos cache-hanterare

BESKRIVNING

Denna manualsida beskriver konfigurationen av SSSD:s Kerberos cache-hanterare (KCM). KCM är en process som lagrar, spårar och hanterar Kerberoskreditiv-cachar. Det kommer från projektet Heimdal Kerberos, fast biblioteket MIT Kerberos tillhandahåller även stöd för klientsidan (mer detaljer om det nedan) av KCM-kreditiv-cachen.

I en uppsättning där Kerberos cachar hanteras av KCM är Kerberosbiblioteket (typiskt använt via ett program, som t.ex., kinit(1), en “”KCM-klient"” och KCMdemonen refereras till som en “”KCM-server"”. Klienten och servern kommunicerar via ett UNIX-uttag.

KCM-servern håller reda på ägaren till varje kreditiv-cache och utför åtkomstkontroller baserat på AID:t och GID:t på KCM-klienten. Root-användaren har åtkomst till alla kreditiv-cachar.

KCM-kreditiv-cachen har flera intressanta egenskaper:

    • eftersom processen kör i användarrymden är den föremål för AID-namnrymder, till skillnad mot kärnans nyckelring

    • till skillnad mot kärnans nyckelringsbaserade cache, som delas mellan alla behållare, är KCM-servern en separat process vars ingångspunkt är ett UNIX-uttag

    • SSSD-implementationen sparar ccache:rna i en databas, vanligen placerad i /var/lib/sss/secrets, vilket gör att ccache:rna kan överleva att KCM-servern eller hela maskinen startas om.

Detta gör att systemet kan använda en samlingsmedveten kreditiv-cache, och ändå dela kreditivcachen mellan några eller inga behållare genom bindmontering av uttaget.

ATT ANVÄNDA KCM-KREDITIV-CACHEN

För att använda KCM-kreditiv-cachen måste den väljas som standardkreditivtypen i krb5.conf(5). Kreditiv-cachens namn skall bara vara “KCM:” utan några mallexpansioner. Till exempel:

    [libdefaults]
        default_ccache_name = KCM:

Se därefter till att Kerberos-klientbiblioteken och KCM-servern är överens om sökvägen till UNIX-uttaget. Som standard använder båda samma sökväg /var/run/.heim_org.h5l.kcm-socket. För att konfigurera Kerberos-biblioteket, ändra dess alternativ “kcm_socket” som beskrivs i manualsidan krb5.conf(5).

Se slutligen till att SSSD KCM-servern kan kontaktas. KCM-tjänsten är normalt uttagsaktiverad av systemd(1). Till skillnad mot andra SSSD-tjänster kan den inte startas genom att lägga till strängen “kcm” till direktivet “service”.

    systemctl start sssd-kcm.socket
    systemctl enable sssd-kcm.socket

Observera att din distribution kanske redan konfigurerar enheterna åt dig.

KREDITIV-CACHE-LAGRINGEN

Kreditiv-cachen lagras i en databas, snarlikt hur SSSD cachar användar- eller grupposter. Databasen finns normalt i “/var/lib/sss/secrets”.

ATT FÅ TAG I FELSÖKNINGSLOGGAR

Tjänsten sssd-kcm är normalt uttagsaktiverad av systemd(1). För att skapa felsökningsloggar, lägg till följande antingen direkt till filen /etc/sssd/sssd.conf eller som en konfigurationssnutt till katalogen /etc/sssd/conf.d/:

    [kcm]
    debug_level = 10

Starta sedan om tjänsten sssd-kcm:

    systemctl restart sssd-kcm.service

Kör slutligen det användningsfall som inte fungerar. KCM-loggarna kommer skapas i /var/log/sssd/sssd_kcm.log. Det rekommenderas att avaktivera felsökningsloggarna när man inte längre behöver informationen aktiverad eftersom tjänsten sssd-kcm kan skapa en ganska stor mängd felsökningsinformation.

Observera att konfigurationssnuttar för närvarande endast behandlas om huvudkonfigurationsfilen på /etc/sssd/sssd.conf över huvud taget finns.

KONFIGURATIONSALTERNATIV

The KCM service is configured in the “kcm” section of the sssd.conf file. Please note that because the KCM service is typically socket-activated, it is enough to just restart the “sssd-kcm” service after changing options in the “kcm” section of sssd.conf:

    systemctl restart sssd-kcm.service

The KCM service is configured in the “kcm” For a detailed syntax reference, refer to the “FILE FORMAT” section of the sssd.conf(5) manual page.

De allmänna alternativen för tjänsten SSSD såsom “debug_level” eller “fd_limit” accepteras av tjänsten kcm. Se manualsidan sssd.conf(5) för en fullständig lista. Dessutom finns det några KCM-specifika alternativ också.

socket_path (sträng)
    Uttaget tjänsten KCM kommer lyssna på.

    Standard: /var/run/.heim_org.h5l.kcm-socket

max_ccaches (integer)
    How many credential caches does the KCM database allow for all users.

    Standard: 0 (obegränsad, endast kvot per AID upprätthålls)

max_uid_ccaches (heltal)
    Hur många kreditiv-cachningar KCM-databasen tillåter per AID. Detta är ekvivalent med “med hur många huvudmän man kan kinit:a”.

    Standard: 64

max_ccache_size (integer)
    How big can a credential cache be per ccache. Each service ticket accounts into this quota.

    Standard: 65536

SE ÄVEN

sssd(8), sssd.conf(5),

AUTHORS

SSSD uppströms – https://github.com/SSSD/sssd/