Démon SSSD (System Security Services Daemon) poskytuje přístup ke vzdáleným poskytovatelům identity a ověřování. Poskytovatelé jsou nakonfigurováni jako back-end, přičemž SSSD funguje jako prostředník mezi místními klienty a jakýmkoli nakonfigurovaným back-end poskytovatelem. Místní klienti se připojí k SSSD a poté SSSD kontaktuje poskytovatele. Mezi výhody SSSD patří:
- Snížené zatížení :Klienti nemusí přímo kontaktovat identifikační/ověřovací servery; potřebují kontaktovat pouze SSSD.
- Ověřování offline :SSSD může volitelně uchovávat mezipaměť uživatelských identit a přihlašovacích údajů, což uživatelům umožňuje ověřování offline.
- Účty pro jednoho uživatele :SSSD spravuje síťová pověření a umožňuje uživatelům připojit se k síťovým zdrojům ověřením pomocí místního uživatelského jména na místním počítači.
Instalace SSSD
Nainstalujte následující balíčky SSSD:
# yum install sssd sssd-client
Chcete-li, aby se SSSD spustil při spouštění systému, zadejte jednu z následujících možností:
# systemctl enable sssd # authconfig --enablesssd --update
Konfigurace služeb SSSD
Hlavní konfigurační soubor pro SSSD je /etc/sssd/sssd.conf . Služby a domény SSSD jsou konfigurovány v samostatných částech tohoto souboru, přičemž každá začíná názvem sekce v hranatých závorkách. Následují příklady:
[sssd] [nss] [pam]
sekce [sssd]
Funkcionalitu SSSD zajišťují specializované služby, které běží společně s SSSD. Tyto specializované služby spouští a restartuje speciální služba zvaná „monitor“. Možnosti monitorování a domény identity jsou konfigurovány v sekci [sssd] souboru /etc/sssd/sssd.conf. Následuje příklad:
[sssd] domains = LDAP services = nss, pam
Direktiva domains může definovat více domén. Zadejte je v pořadí, v jakém je chcete dotazovat. Direktiva services uvádí seznam služeb, které jsou spuštěny při spuštění samotného sssd.
Sekce služeb
Každá ze specializovaných služeb, které běží společně s SSSD, je konfigurována v samostatných sekcích v /etc/sssd/sssd.conf. Například sekce [nss] se používá ke konfiguraci služby Name Service Switch (NSS). Sekce [pam] se používá ke konfiguraci služby PAM.
1. Konfigurace služby NSS
Součástí balíčku sssd je modul NSS, sssd_nss, který dává systému pokyn, aby použil SSSD k načtení uživatelských informací. Toto se nastavuje v sekci [nss] souboru /etc/sssd/sssd.conf. Následuje příklad, který obsahuje pouze částečný seznam konfigurovatelných direktiv:
[nss] filter_groups = root filter_users = root reconnection_retries = 3 entry_cache_timeout = 300
Direktivy filter_users a filter_groups říkají SSSD, aby vyloučila určité uživatele a skupiny z načítání z databáze NSS. Direktiva reconnection_retries určuje počet pokusů o opětovné připojení v případě selhání poskytovatele dat. Direktiva enum_cache_timeout určuje v sekundách, jak dlouho sssd_nss ukládá požadavky na informace o všech uživatelích do mezipaměti.
2. Konfigurace služby PAM
Balíček sssd také poskytuje modul PAM sssd_pam, který se konfiguruje v sekci [pam] souboru /etc/sssd/sssd.conf. Následuje příklad, který obsahuje pouze částečný seznam konfigurovatelných direktiv:
[pam] reconnection_retries = 3 offline_credentials_expiration = 2 offline_failed_login_attempts = 3 offline_failed_login_delay = 5
– offline_credentials_expiration direktiva určuje ve dnech, jak dlouho povolit přihlášení uložená v mezipaměti, pokud je poskytovatel ověřování offline.
– offline_failed_login_attempts direktiva určuje, kolik neúspěšných pokusů o přihlášení je povoleno, pokud je poskytovatel autentizace offline.
Chcete-li aktualizovat konfiguraci PAM tak, aby odkazovala na všechny moduly SSSD, použijte příkaz authconfig pro povolení systému SSSD pro ověřování systému:
# authconfig --update --enablesssd --enablesssdauth
Tento příkaz automaticky vygeneruje konfigurační soubor PAM tak, aby obsahoval nezbytné záznamy pam_sss.so.
Konfigurace domén SSSD
Domény SSSD jsou kombinací poskytovatele identity a metody ověřování. SSSD spolupracuje s poskytovateli identity LDAP (včetně OpenLDAP, Red Hat Directory Server a Microsoft Active Directory) a může používat nativní ověřování LDAP nebo ověřování Kerberos. Při konfiguraci domény definujete, kde jsou informace o uživateli uloženy, a jak se tito uživatelé mohou autentizovat v systému.
Podobně jako u služeb SSSD jsou domény SSSD také konfigurovány v samostatných částech souboru /etc/sssd/sssd.conf. Služby a domény jsou uvedeny v sekci [sssd]. Příklad:
[sssd] domains = LDAP services = nss, pam
Tento příklad určuje doménu LDAP. Sekce domény konfigurace by začínala následujícím záhlavím:
[domain/LDAP]
Sekce konfigurace domény by pak specifikovala poskytovatele identity, poskytovatele ověřování a jakoukoli konkrétní konfiguraci pro přístup k informacím v těchto poskytovatelích.
Následuje příklad sekce domény:
[domain/LDAP] id_provider = ldap ldap_uri = ldap://ldap.example.com ldap_search_base = dc=example,dc=com auth_provider = krb5 krb5_server = kerberos.example.com krb5_realm = EXAMPLE.COM min_id = 10000 max_id = 20000
Poskytovatel identity
Parametr id_provider určuje back-end identity poskytovatele dat, který se má pro tuto doménu použít. Podporované zadní konce jsou:
- proxy :Podporuje staršího poskytovatele NSS
- místní :Interní místní poskytovatel SSSD
- ldap :Poskytovatel LDAP
– ldap_uri direktiva poskytuje čárkami oddělený seznam URI (Universal Resource Identifiers) serverů LDAP v pořadí podle preference, ke kterým se SSSD připojuje.
– ldap_search_base direktiva udává základní DN, které se má použít pro provádění uživatelských operací LDAP.
Poskytovatel autentizace
Direktiva auth_provider určuje poskytovatele autentizace používaného pro doménu. Pokud není specifikováno, použije se id_provider. Podporovaní poskytovatelé ověřování jsou:
- ldap :Nativní ověřování LDAP
- krb5 :Ověřování Kerberos
- proxy :Přenáší ověření na jiný cíl PAM
- žádné :Explicitně zakáže ověřování
– krb5_server direktiva poskytuje čárkami oddělený seznam serverů Kerberos v pořadí podle preference, ke kterým se SSSD připojuje.
– krb5_realm direktiva dává sféru Kerberos k použití pro ověřování Simple Authentication a Security Layer (SASL)/Generic Security Services API (GSS-API). Konfigurace připojení SASL pomocí GSS-API je vyžadována předtím, než SSSD bude moci používat Kerberos k připojení k serveru LDAP.
– Poslední dvě direktivy, min_id a max_id , jsou příklady globálních atributů, které jsou dostupné pro jakýkoli typ domény. Mezi další atributy patří nastavení mezipaměti a časového limitu. Tyto dvě směrnice určují limity UID a GID pro doménu. Pokud doména obsahuje položku, která je mimo tyto limity, bude ignorována.
Po provedení jakýchkoli změn konfigurace domén nebo služeb spusťte nebo restartujte službu sssd:
# systemctl start sssd