SSSD-IPA(5)

NAME
sssd-ipa - Модуль надання даних IPA SSSD

ОПИС

На цій сторінці довідника описано налаштування засобу керування доступом IPA для sssd(8). Щоб дізнатися більше про синтаксис налаштування, зверніться до розділу «ФОРМАТ ФАЙЛІВ» сторінки довідника sssd.conf(5).

Інструмент надання даних IPA — модуль, який використовується для встановлення з’єднання з сервером IPA. (Інформацію щодо серверів IPA можна знайти на сайті freeipa.org.) Цей інструмент надання доступу потребує включення комп’ютера до домену IPA. Налаштування майже повністю автоматизовано, дані для нього отримуються безпосередньо з сервера.

Засіб надання даних IPA уможливлює для SSSD використання засобу надання даних профілів sssd-ldap(5) та засобу надання даних розпізнавання sssd-krb5(5) з оптимізацією для середовищ IPA. Засіб надання даних IPA приймає ті самі параметри, які використовуються засобами надання даних sssd-ldap та sssd-krb5, із деякими виключеннями. Втім, встановлювати ці параметри не обов'язково і не рекомендовано.

Засіб надання даних IPA в основному копіює типові параметри традиційних засобів надання даних ldap і krb5 із деякими виключенням. Відмінності наведено у розділі “ЗМІНЕНІ ТИПОВІ ПАРАМЕТРИ”.

Як інструмент надання доступу, інструмент надання даних IPA має мінімальні налаштування (див. “ipa_access_order”), оскільки в основному використовує для керування доступом використовує правила HBAC (host-based access control або керування доступом на основі даних щодо вузлів). Докладнішу інформацію щодо HBAC можна отримати на сайті freeipa.org.

Якщо у sssd.conf вказано “auth_provider=ipa” або “access_provider=ipa”, для id_provider також має бути вказано “ipa”.

Інструмент надання даних IPA використовуватиме відповідач PAC, якщо квитки Kerberos користувачів з довірених областей містять PAC. Для полегшення налаштовування відповідач PAC запускається автоматично, якщо налаштовано інструмент надання даних ідентифікаторів IPA.

ПАРАМЕТРИ НАЛАШТУВАННЯ

Зверніться до розділу «РОЗДІЛИ ДОМЕНІВ» сторінки довідника (man) sssd.conf(5), щоб дізнатися більше про налаштування домену SSSD.

ipa_domain (рядок)
    Визначає назву домену IPA. Є необов’язковим. Якщо не вказано, буде використано назву домену з налаштувань.

ipa_server, ipa_backup_server (рядок)
    Впорядкований за пріоритетом список IP-адрес або назв вузлів, відокремлених комами, серверів IPA, з якими має встановити з’єднання SSSD. Докладніші відомості щодо резервних серверів викладено у розділі «РЕЗЕРВ». Цей список є необов’язковим, якщо увімкнено автоматичне виявлення служб. Докладніші відомості щодо автоматичного виявлення служб наведено у розділі «ПОШУК СЛУЖБ».

ipa_hostname (рядок)
    Необов’язковий. Може бути встановлено на комп’ютерах, де hostname(5) не відповідає повній назві, що використовується доменом IPA для розпізнавання цього вузла. Назву вузла слід вказувати повністю.

dyndns_update (булеве значення)
    Необов’язковий. За допомогою цього параметра можна наказати SSSD автоматично оновити на сервері DNS, вбудованому до FreeIPA, IP-адресу клієнта. Захист оновлення буде забезпечено за допомогою GSS-TSIG. Для оновлення буде використано IP-адресу з’єднання LDAP IPA, якщо не вказано іншу адресу за допомогою параметра «dyndns_iface».

    ЗАУВАЖЕННЯ: на застарілих системах (зокрема RHEL 5) для надійної роботи у цьому режимі типову область дії Kerberos має бути належним чином визначено у /etc/krb5.conf

    Типове значення: false

dyndns_ttl (ціле число)
    TTL, до якого буде застосовано клієнтський запис DNS під час його оновлення. Якщо dyndns_update має значення false, цей параметр буде проігноровано. Перевизначає TTL на боці сервера, якщо встановлено адміністратором.

    Типове значення: 1200 (секунд)

dyndns_iface (рядок)
    Optional. Applicable only when dyndns_update is true. Choose the interface or a list of interfaces whose IP addresses should be used for dynamic DNS updates. The name of interface can be a wildcard pattern prefixed with ! for interface excluding. First match stops the evaluation. For example list !eth1, * instruct SSSD to use all interfaces except eth1. See man 7 glob for details about patterns.

    Типове значення: використовувати IP-адреси інтерфейсу, який використовується для з’єднання LDAP IPA

    Example: dyndns_iface = em[12], !vnet1, vnet*

dyndns_address (string)
    Optional. Applicable only when dyndns_update is true. A list of IP addresses or IP networks to be used for dynamic DNS updates. Network addresses must be in CIDR format. An entry can be prefixed with ! to indicate exclusion. The best match is used to determine whether an address is included or excluded (i.e., a longer prefix takes precedence).

    Default: No filtering of IP addresses.

    Example: dyndns_address = 10.0.0.0/16, !10.0.1.0/24

dyndns_auth (рядок)
    Визначає, чи має використовувати допоміжний засіб nsupdate розпізнавання GSS-TSIG для безпечних оновлень за допомогою сервера DNS, незахищені оновлення можна надсилати встановленням для цього параметра значення «none».

    Типове значення: GSS-TSIG

dyndns_auth_ptr (рядок)
    Визначає, чи має використовувати допоміжний засіб nsupdate розпізнавання GSS-TSIG для безпечних оновлень PTR за допомогою сервера DNS, незахищені оновлення можна надсилати встановленням для цього параметра значення «none».

    Типове значення: те саме, що і dyndns_auth

dyndns_refresh_interval (ціле число)
    Визначає, наскільки часто серверний модуль має виконувати періодичні оновлення DNS на додачу до автоматичного оновлення, яке виконується під час кожного встановлення з’єднання серверного модуля з мережею. Цей параметр не є обов’язкоми, його застосовують, лише якщо dyndns_update має значення true.

    Типове значення: 0 (вимкнено)

dyndns_update_ptr (булеве значення)
    Визначає, чи слід явним чином оновлювати запис PTR під час оновлення записів DNS клієнта. Застосовується, лише якщо значенням dyndns_update буде true.

    Значенням цього параметра у більшості розгорнутих систем IPA має бути False, оскільки сервер IPA створює записи PTR автоматично після зміни у записах переспрямовування.

    Зауважте, що параметр dyndns_update_per_family не застосовується до оновлень записів PTR. Ці оновлення завжди надсилаються окремо.

    Типове значення: False (вимкнено)

dyndns_force_tcp (булеве значення)
    Визначає, чи слід у програмі nsupdate типово використовувати TCP для обміну даними з сервером DNS.

    Типове значення: False (надати змогу nsupdate вибирати протокол)

dyndns_server (рядок)
    Сервер DNS, який слід використовувати для виконання оновлення DNS. У більшості конфігурацій рекомендуємо не встановлювати значення для цього параметра.

    Встановлення значення для цього параметра потрібне для середовищ, де сервер DNS відрізняється від сервера профілів, або якщо ми використовуємо шифрований DNS.

    Параметр може бути простим рядком, що містить ім'я DNS або IP-адресу. Він також може бути адресою. Адреса може бути подібною до dns://назва_сервера/ або dns+tls://1.2.3.4:853#назва_сервера/.

    Другий приклад вмикає протокол DNS-через-TLS для оновлень DNS. У допоміжній програмі nsupdate має бути передбачено підтримку DoT — перевірте man nsupdate перед її увімкненням у SSSD.

    Будь ласка, зауважте, що цей параметр буде використано лише для резервних спроб, якщо попередні спроби із використанням автовиявлення завершаться невдало або якщо увімкнено DNS-через-TLS.

    Типове значення: немає (надати nsupdate змогу вибирати сервер)

dyndns_update_per_family (булеве значення)
    Оновлення DNS, типово, виконується у два кроки — оновлення IPv4, а потім оновлення IPv6. Іноді бажаним є виконання оновлення IPv4 і IPv6 за один крок.

    Типове значення: true

dyndns_dot_cacert (рядок)
    Цей параметр вказує файл сертифікатів служб сертифікації (у форматі PEM) для перевірки TLS-сертифіката віддаленого сервера при використанні DoT.

    Типове значення: немає (використовувати загальне сховище сертифікатів)

dyndns_dot_cert (рядок)
    Цей параметр встановлює файл сертифікатів для розпізнавання у передаванні даних DoT на віддалений сервер. Файл ланцюжка сертифікатів повинен містити форматування PEM.

    Для досягнення взаємного розпізнавання TLS слід встановити значення для обох параметрів, dyndns_dot_cert та dyndns_dot_key.

    Типове значення: немає (не використовувати розпізнавання за допомогою TLS)

dyndns_dot_key (рядок)
    Цей параметр встановлює файл ключів для шифрування з розпізнаванням для передавання даних DoT на віддалений сервер. Файл закритого ключа має бути записано у форматі PEM.

    Типове значення: немає (не використовувати розпізнавання за допомогою TLS)

ipa_access_order (рядок)
    Список відокремлених комами параметрів керування доступом. Можливі значення списку:

    expire: використовувати правила строку дії облікового запису IPA.

    pwd_expire_policy_reject, pwd_expire_policy_warn, pwd_expire_policy_renew: Ці параметри корисні, якщо користувачам потрібні попередження щодо скорого завершення строку дії пароля, і у випадках, коли розпізнавання засновано на відмінних від паролів методах, наприклад на ключах SSH.

    Відмінність між цими варіантами полягає у дії, яку буде виконано, якщо строк дії пароля буде вичерпано:

        • pwd_expire_policy_reject — користувачу заборонено входити,

        • pwd_expire_policy_warn — користувачу можна входити,

        • pwd_expire_policy_renew — програма попросить користувача негайно змінити пароль.

    Будь ласка, зауважте, що для того, щоб цим можна було скористатися, слід встановити «access_provider = ipa».

ipa_deskprofile_search_base (рядок)
    Необов’язковий. Використати вказаний рядок як основу пошуку пов’язаних з профілями станції (Desktop Profile) об’єктів.

    Типове значення: використання базової назви домену

ipa_subid_ranges_search_base (рядок)
    Deprecated. Use ldap_subid_ranges_search_base instead.

ipa_hbac_search_base (рядок)
    Необов’язковий. Використати вказаний рядок як основу пошуку пов’язаних з HBAC об’єктів.

    Типове значення: використання базової назви домену

ipa_host_search_base (рядок)
    Застарілий. Скористайтеся замість нього ldap_host_search_base.

ipa_selinux_search_base (рядок)
    Необов’язковий. Використати вказаний рядок як основу пошуку карт користувачів SELinux.

    Ознайомтеся з розділом щодо «ldap_search_base», щоб дізнатися більше про налаштування декількох основ пошуку.

    Типове значення: значення ldap_search_base

ipa_subdomains_search_base (рядок)
    Необов’язковий. Використати вказаний рядок як основу пошуку надійних доменів.

    Ознайомтеся з розділом щодо «ldap_search_base», щоб дізнатися більше про налаштування декількох основ пошуку.

    Типове значення: значення cn=trusts,%basedn

ipa_master_domain_search_base (рядок)
    Необов’язковий. Використати вказаний рядок як основу пошуку основного об’єкта домену.

    Ознайомтеся з розділом щодо «ldap_search_base», щоб дізнатися більше про налаштування декількох основ пошуку.

    Типове значення: значення виразу cn=ad,cn=etc,%basedn

ipa_views_search_base (рядок)
    Необов’язковий. Використати вказаний рядок як основу пошуку контейнерів перегляду.

    Ознайомтеся з розділом щодо «ldap_search_base», щоб дізнатися більше про налаштування декількох основ пошуку.

    Типове значення: значення cn=views,cn=accounts,%basedn

krb5_realm (рядок)
    Назва області дії Kerberos. Є необов’язковою, типовим значенням є значення «ipa_domain».

    Назва області дії Kerberos має особливе значення у IPA: цю назву буде перетворено у основний DN для виконання дій LDAP.

krb5_confd_path (рядок)
    Абсолютний шлях до каталогу, у якому SSSD має зберігати фрагменти налаштувань Kerberos.

    Щоб вимкнути створення фрагментів налаштувань, встановіть для параметра значення «none».

    Типове значення: не встановлено (підкаталог krb5.include.d каталогу pubconf SSSD)

ipa_deskprofile_refresh (ціле число)
    Проміжок часу між послідовними пошуками правил профілів станції (Desktop Profile) щодо сервера IPA. Зміна може зменшити час затримки та навантаження на сервер IPA, якщо протягом короткого періоду часу надходить багато запитів щодо профілів станції.

    Типове значення: 5 (секунд)

ipa_deskprofile_request_interval (ціле число)
    Час між пошуками у правилах профілів станцій на сервері IPA, якщо за останнім запитом не повернуто жодного правила.

    Типове значення: 60 (хвилин)

ipa_hbac_refresh (ціле число)
    Проміжок часу між послідовними пошуками правил HBAC щодо сервера IPA. Зміна може зменшити час затримки та навантаження на сервер IPA, якщо протягом короткого періоду часу надходить багато запитів щодо керування доступом.

    Типове значення: 5 (секунд)

ipa_hbac_selinux (ціле число)
    Проміжок часу між послідовними пошуками у картах SELinux щодо сервера IPA. Зміна може зменшити час затримки та навантаження на сервер IPA, якщо протягом короткого періоду часу надходить багато запитів щодо входу користувача до системи.

    Типове значення: 5 (секунд)

ipa_server_mode (булеве значення)
    Цей параметр буде встановлено засобом встановлення IPA (ipa-server-install) автоматично, він визначає, чи запущено SSSD на сервері IPA.

    На сервері IPA SSSD шукатиме записи користувачів і груп із довірених доменів безпосередньо, хоча на клієнті SSSD надсилатиме запит на сервер IPA.

    Зауваження: у поточній версії має бути виконано декілька умов, якщо SSSD працює на сервері IPA.

        • Параметр “ipa_server” має бути налаштовано так, щоб він вказував на сам сервер IPA. Це типово робить засіб встановлення IPA, тому зміни вручну є зайвими.

        • Не слід змінювати значення параметра “full_name_format” для того, щоб лише виводити короткі імена користувачів з довірених доменів.

    Типове значення: false

ipa_automount_location (рядок)
    Адреса автоматичного монтування, яку буде використовувати цей клієнт IPA

    Типове значення: адреса з назвою "default"

    Будь ласка, зауважте, що засіб автоматичного монтування читає основну карту лише під час запуску, отже якщо до ssd.conf внесено будь-які пов’язані з autofs зміни, типово слід перезапустити фонову службу автоматичного монтування після перезапуску SSSD.

  ПЕРЕГЛЯДИ і ПЕРЕВИЗНАЧЕННЯ

SSSD може обробляти перегляди та перевизначення, які пропонуються FreeIPA 4.1 та новішими версіями. Оскільки усі шляхи і класи об’єктів зафіксовано на боці сервера, в основному, немає потреби у додатковому налаштовуванні. Для повноти, усі відповідні параметри наведено у списку разом з їхніми типовими значеннями.

ipa_view_class (рядок)
    Клас об’єктів для контейнерів перегляду.

    Типове значення: nsContainer

ipa_view_name (рядок)
    Назва атрибута, у якому зберігається назва перегляду.

    Типове значення: cn

ipa_override_object_class (рядок)
    Клас об’єктів для об’єктів перевизначення

    Типове значення: ipaOverrideAnchor

ipa_anchor_uuid (рядок)
    Назва атрибута, у якому зберігається посилання на початковий об’єкт на віддаленому домені.

    Типове значення: ipaAnchorUUID

ipa_user_override_object_class (рядок)
    Назва класу об’єктів для перевизначень користувачів. Використовується для визначення того, чи знайдений об’єкт перевизначення пов’язано з користувачем або групою.

    Перевизначення користувачів можуть містити атрибути, задані

        • ldap_user_name

        • ldap_user_uid_number

        • ldap_user_gid_number

        • ldap_user_gecos

        • ldap_user_home_directory

        • ldap_user_shell

        • ldap_user_ssh_public_key

    Типове значення: ipaUserOverride

ipa_group_override_object_class (рядок)
    Назва класу об’єктів для перевизначень груп. Використовується для визначення того, чи знайдений об’єкт перевизначення пов’язано з користувачем або групою.

    Перевизначення груп можуть містити атрибути, задані

        • ldap_group_name

        • ldap_group_gid_number

    Типове значення: ipaGroupOverride

ЗМІНЕНІ ТИПОВІ ПАРАМЕТРИ

Деякі типові значення параметрів не збігаються із типовими значеннями параметрів засобу надання даних. Із назвами відповідних параметрів та специфічні для засобу надання даних IPA значення цих параметрів можна ознайомитися за допомогою наведеного нижче списку:

  Модуль надання даних KRB5

    • krb5_validate = true

    • krb5_use_fast = try

    • krb5_canonicalize = true

  Модуль надання даних LDAP — Загальне

    • ldap_schema = ipa_v1

    • ldap_force_upper_case_realm = true

    • ldap_sasl_mech = GSSAPI

    • ldap_sasl_minssf = 56

    • ldap_account_expire_policy = ipa

    • ldap_use_tokengroups = true

  Модуль надання даних LDAP — Параметри користувачів

    • ldap_user_member_of = memberOf

    • ldap_user_uuid = ipaUniqueID

    • ldap_user_ssh_public_key = ipaSshPubKey

    • ldap_user_auth_type = ipaUserAuthType

  Модуль надання даних LDAP — Параметри груп

    • ldap_group_object_class = ipaUserGroup

    • ldap_group_object_class_alt = posixGroup

    • ldap_group_member = member

    • ldap_group_uuid = ipaUniqueID

    • ldap_group_objectsid = ipaNTSecurityIdentifier

    • ldap_group_external_member = ipaExternalMember

СЛУЖБА ПІДДОМЕНІВ

Поведінка інструмента надання даних піддоменів IPA залежить від того, у який спосіб його налаштовано: явний чи неявний.

Якщо у розділі домену sssd.conf буде знайдено запис параметра «subdomains_provider = ipa», інструмент надання даних піддоменів IPA налаштовано явно, отже всі запити піддоменів надсилатимуться серверу IPA, якщо це потрібно.

Якщо у розділі домену sssdconf не встановлено параметр «subdomains_provider», але встановлено параметр «id_provider = ipa», інструмент надання даних піддоменів IPA налаштовано неявним чином. У цьому випадку спроба запиту щодо піддомену зазнає невдачі і вказуватиме на те, що на сервері не передбачено піддоменів, тобто його не налаштовано на довіру, отже інструмент надання даних піддоменів IPA вимкнено. Щойно мине година або відкриється доступ до інструмента надання даних IPA, інструмент надання даних піддоменів буде знову увімкнено.

НАЛАШТОВУВАННЯ ДОВІРЕНИХ ДОМЕНІВ

Крім того, деякі параметри налаштування може бути встановлено для довіреного домену. Налаштування довіреного домену можна встановити за допомогою підрозділу довіреного домену, як це показано у наведеному нижче прикладі. Крім того, можна скористатися параметром “subdomain_inherit” у батьківському домені.

    [domain/ipa.domain.com/ad.domain.com]
    ad_server = dc.ad.domain.com

Щоб дізнатися більше, ознайомтеся зі сторінкою підручника щодо sssd.conf(5).

Перелік параметрів налаштовування для довіреного домену залежить від того, як ви налаштували SSSD на сервері IPA або клієнт IPA.

  ПАРАМЕТРИ, ЯКІ МОЖНА НАЛАШТУВАТИ НА ОСНОВНИХ СЕРВЕРАХ IPA

У розділі піддомену на основному сервері IPA можна вказати такі параметри:

    • ad_server

    • ad_backup_server

    • ad_site

    • ipa_server

    • ipa_backup_server

    • ldap_search_base

    • ldap_user_search_base

    • ldap_group_search_base

    • use_fully_qualified_names

Параметри з префіксом «ad_» або «ipa_» застосовуються лише до відповідного типу піддоменів.

  ПАРАМЕТРИ, ЯКІ МОЖНА НАЛАШТУВАТИ НА КЛІЄНТАХ IPA

У розділі піддомену AD на клієнті IPA можна вказати такі параметри:

    • ad_server

    • ad_site

Зауважте, що якщо встановлено обидва параметри, буде враховано лише “ad_server”.

Оскільки будь-який запит щодо ідентифікації користувача або групи від довіреного домену, який започатковано клієнтом IPA, обробляється сервером IPA, параметри “ad_server” і “ad_site” впливають лише на те, який з DC AD виконуватиме процедуру розпізнавання. Зокрема, адреси, які визначено за цими списками, буде записано до файлів “kdcinfo”, читання яких виконуватиметься додатком пошуку Kerberos. Будь ласка, зверніться до сторінки підручника щодо sssd_krb5_locator_plugin(8), щоб дізнатися більше про додаток пошуку Kerberos.

РЕЗЕРВ

Можливість резервування надає змогу модулям обробки автоматично перемикатися на інші сервери, якщо спроба встановлення з’єднання з поточним сервером зазнає невдачі.

  Синтаксичні конструкції визначення резервного сервера

Список записів серверів, відокремлених комами. Між комами можна використовувати довільну кількість пробілів. Порядок у списку визначає пріоритет. У списку може бути будь-яка кількість записів серверів.

Для кожного з параметрів налаштування з увімкненим резервним отриманням існує два варіанти: основний і резервний. Ідея полягає у тому, що сервери з основного списку мають вищий пріоритет за резервні сервери, пошук же на резервних серверах виконується, лише якщо не вдасться з’єднатися з жодним з основних серверів. Якщо буде вибрано резервний сервер, встановлюється час очікування у 31 секунду. Після завершення часу очікування SSSD періодично намагатиметься повторно встановити з’єднання з основними серверами. Якщо спроба буде успішною, поточний активний резервний сервер буде замінено на основний.

  Механізм визначення резервного сервера

Механізмом резервного використання розрізняються окремі комп’ютери і служби. Спочатку модуль намагається визначити назву вузла вказаного комп’ютера. Якщо спроби визначення зазнають невдачі, комп’ютер вважатиметься від’єднаним від мережі. Подальших спроб встановити з’єднання з цим комп’ютером для всіх інших служб не виконуватиметься. Якщо вдасться виконати визначення, модуль зробити спробу встановити з’єднання зі службою на визначеному комп’ютері. Якщо спроба з’єднання зі службою не призведе до успіху, непрацездатною вважатиметься лише служба, модуль автоматично перемкнеться на наступну службу. Комп’ютер служби вважатиметься з’єднаним з мережею, можливі подальші спроби використання інших служб.

Подальші спроби встановлення з’єднання з комп’ютерами або службами, позначеними як такі, що перебувають поза мережею, буде виконано за певний проміжок часу. У поточній версії цей проміжок є незмінним і дорівнює 30 секундам.

Якщо список комп’ютерів буде вичерпано, основний модуль перейде у режим автономної роботи і повторюватиме спроби з’єднання кожні 30 секунд.

  Час очікування на перемикання на резервний ресурс та точне налаштовування

Для визначення сервера для з'єднання достатньо одного запиту DNS або декількох кроків, зокрема визначення відповідного сайта або спроба використати декілька назв вузлів у випадку, якщо якісь із налаштованих серверів недоступні. Складніші сценарії можуть потребувати додаткового часу, а SSSD треба збалансувати надання достатнього часу для завершення процесу визначення і використання притомного часу на виконання цього запиту перед переходом до автономного режиму. Якщо діагностичний журнал SSSD показує, що під час визначення сервера перевищено час очікування на з'єднання із працездатним сервером, варто змінити значення параметрів часу очікування.

У цьому розділі наведено списки доступних для коригування параметрів. Будь ласка, ознайомтеся із їхніми описами за допомогою сторінки підручника sssd.conf(5).

dns_resolver_server_timeout
    Час у мілісекундах, протягом якого SSSD має намагатися обмінятися даними із окремим сервером DNS, перш ніж перейти до спроб зв'язатися із наступним.

    Типове значення: 1000

dns_resolver_op_timeout
    Час у секундах, який визначає тривалість періоду, протягом якого SSSD намагатиметься обробити окремий запит DNS (наприклад встановити назву вузла або запис SRV), перш ніж перейти до наступної назви вузла або наступного домену пошуку.

    Типове значення: 3

dns_resolver_timeout
    Наскільки довго має чекати SSSD на визначення резервної служби надання даних. На внутрішньому рівні визначення такої служби може включати декілька кроків, зокрема визначення адрес запитів DNS SRV або пошук розташування сайта.

    Типове значення: 6

Для заснованих на LDAP постачальників даних дія з визначення виконується як частина дії зі встановлення з'єднання із LDAP. Тому слід також встановити для часу очікування “ldap_opt_timeout” значення, яке перевищуватиме значення “dns_resolver_timeout”, яке також має перевищувати значення “dns_resolver_op_timeout”, яке має перевищувати значення “dns_resolver_server_timeout”.

ПОШУК СЛУЖБ

За допомогою можливості виявлення служб основні модулі мають змогу автоматично визначати відповідні сервери для встановлення з’єднання на основі даних, отриманих у відповідь на спеціальний запит до DNS. Підтримки цієї можливості для резервних серверів не передбачено.

  Налаштування

Якщо серверів не буде вказано, модуль автоматично використає визначення служб для пошуку сервера. Крім того, користувач може використовувати і фіксовані адреси серверів і виявлення служб. Для цього слід вставити особливе ключове слово, «_srv_», до списку серверів. Пріоритет визначається за вказаним порядком. Ця можливість є корисною, якщо, наприклад, користувач надає перевагу використанню виявлення служб, якщо це можливо, з поверненням до використання певного сервера, якщо за допомогою DNS не вдасться виявити жодного сервера.

  Назва домену

З докладнішими відомостями щодо параметра «dns_discovery_domain» можна ознайомитися на сторінці підручника (man) sssd.conf(5).

  Протокол

Запитами зазвичай визначається протокол _tcp. Виключення документовано у описі відповідного параметра.

  Також прочитайте

Докладніші відомості щодо механізмів визначення служб можна знайти у RFC 2782.

ПРИКЛАД

У наведеному нижче прикладі припускаємо, що SSSD налаштовано належним чином, а example.com є одним з доменів у розділі [sssd]. У прикладі продемонстровано лише параметри доступу, специфічні для засобу ipa.

    [domain/example.com]
    id_provider = ipa
    ipa_server = ipaserver.example.com
    ipa_hostname = myhost.example.com

ТАКОЖ ПЕРЕГЛЯНЬТЕ

sssd(8), sssd.conf(5), sssd-ldap(5), sssd-ldap-attributes(5), sssd-krb5(5), sssd-simple(5), sssd-ipa(5), sssd-ad(5), sssd-idp(5), sssd-sudo(5), sssd-session-recording(5), sss_cache(8), sss_debuglevel(8), sss_obfuscate(8), sss_seed(8), sssd_krb5_locator_plugin(8), sss_ssh_authorizedkeys(1), sss_ssh_knownhosts(1), sssd-ifp(5), pam_sss(8). sss_rpcidmapd(5)

AUTHORS

Основна гілка розробки SSSD — https://pagure.io/SSSD/sssd/