SSSD.CONF(5)

NAME
sssd.conf - El archivo de configuración de SSSD

FORMATO DE ARCHIVO

El archivo posee una sintaxis de tipo ini consistente de secciones y parámetros. Una sección comienza con el nombre de dicha sección colocado entre corchetes, y continua hasta que comienza la próxima sección. Este es un ejemplo de una sección con parámetros de valores simples y múltiples:

                    [section]
                    key = value
                    key2 = value2,value3

Los tipos de datos utilizados son cadenas (no es necesario ingresarlos entre comillas), enteros o booleanos (cuyos valores son “TRUE/FALSE”).

Una línea de comentario comienza con una almohadilla (“#”) o un punto y coma (“;”). No se soportan los comentarios en línea.

Todas las secciones pueden tener un parámetro opcional de descripción. Su función es solo la de servir como etiqueta a tal sección.

sssd.conf debe ser un archivo regular, cuyo dueño sea el usuario root, y sólo este usuario podrá tener permisos de lectura y escritura sobre él.

SECCIONES ESPECIALES

  La sección [sssd]

Trozos individuales de funcionalidad SSSD son suministrados por servicios especiales SSSD que se inician y parar junto a SSSD. Los servicios son gestionados por un servicio especial frecuentemente llamado “monitor”. La sección “[sssd]” se usa para configurar el monitor así como algunas otras opciones importantes como la identidad de dominios.

Parámetros de sección

config_file_version (entero)
    Indica cuál es la sintaxis del archivo de configuración. SSSD 0.6.0 y posteriores utilizan una versión 2.

servicios
    Una lista separadas por comas de los servicios que son iniciados cuando se enciende sssd.

    Supported services: nss, pam , sudo , ssh , pac , ifp

reconnection_retries (entero)
    Cantidad de intentos de reconexión de los servicios ante una eventual caída de datos del proveedor, o de reiniciarse antes de abandonar

    Predeterminado: 3

dominios
    A domain is a database containing user information. SSSD can use more domains at the same time, but at least one must be configured or SSSD won't start. This parameter described the list of domains in the order you want them to be queried. A domain name should only consist of alphanumeric ASCII characters, dashes and underscores.

re_expression (cadena)
    Expresión regular por defecto que describe como analizar la cadena que contiene el nombre de usuario y el dominio en estos componentes.

    Cada dominio puede tener una expresión regular individual configurada. Para algunos proveedores de ID hay también expresiones regulares por defecto. Vea DOMAIN SECTIONS para más información sobre estas expresiones regulares.

full_name_format (cadena)
    A printf(3)-compatible format that describes how to compose a fully qualified name from user name and domain name components.

    The following expansions are supported:

    %1$s
        user name

    %2$s
        domain name as specified in the SSSD config file.

    %3$s
        domain flat name. Mostly usable for Active Directory domains, both directly configured or discovered via IPA trusts.

    Cada dominio puede tener una cadena de formato individual configurar. Vea SECCIONES DOMINIO para más información sobre esta opción.

try_inotify (boolean)
    SSSD monitorea el estado de resolv.conf para saber cuando es necesario actualizar su resolutor DNS interno. Por defecto, intentaremos utilizar para ello la herramienta inotify, quien consultará a resolv.conf cada cinco segundos en caso que inotify no pueda ser utilizado.

    Existen algunas pocas situaciones en donde lo preferible es evitar el uso de inotify. En estas raras excepciones, la opción debería ser definida en 'false'

    Predeterminado: 'true' en plataformas donde inotify tenga soporte. 'False' en el resto de las plataformas.

    Nota: esta opción no tendrá efecto en plataformas donde inotify no se encuenytre disponible. En estas plataformas, la consulta (polling) será utilizada siempre.

krb5_rcache_dir (cadena)
    Directorio en el sistema de archivos donde SSSD debería guardar fichero de reproducción de cache de Kerberos.

    Esta opción acepta un valor especial __LIBKRB5_DEFAULTS__ que instruirá a SSSD para dejar a libkrb5 decidir la localización apropiada del escondrijo de respuesta.

    Por defecto: Distribución específica y especificado en la acumulación de tiempo. (si no se configura __LIBKRB5_DEFAULTS__)

default_domain_suffix (cadena)
    Esta cadena será usada como nombre de dominio por defecto para todos los nombre sin un componente de nombre de dominio. El principal caso de uso es en entornos donde el dominio principal está dirigido a gestionar las políticas de host y todos los usuarios están localizados en un dominio confiable. La opción permite a esos usuarios acceder sólo con su nombre de usuario sin dar también un nombre de dominio.

    Por favor advierta si esta opción está fijada en todos los usuarios del dominio primaria que tengan que usar su nombre cualificado completo, esto es user@domain.name, para acceder.

    Predeterminado: no definido

override_space (string)
    This parameter will replace spaces (space bar) with the given character for user and group names. e.g. (_). User name "john doe" will be "john_doe" This feature was added to help compatibility with shell scripts that have difficulty handling spaces, due to the default field separator in the shell.

    Please note it is a configuration error to use a replacement character that might be used in user or group names. If a name contains the replacement character SSSD tries to return the unmodified name but in general the result of a lookup is undefined.

    Default: not set (spaces will not be replaced)

SECCIONES DE SERVICIOS

Los ajustes que pueden ser utilizados para configurar diferentes servicios se describe en esta sección. Ellos deben residir en la sección [$NAME], por ejemplo, para el servicio NSS, la sección sería “[nss]”

  Opciones de configuración de servicios generales

Estas opciones pueden usarse para configurar cualquier servicio.

debug_level (entero)
    SSSD supports two representations for specifying the debug level. The simplest is to specify a decimal value from 0-9, which represents enabling that level and all lower-level debug messages. The more comprehensive option is to specify a hexadecimal bitmask to enable or disable specific levels (such as if you wish to suppress a level).

    Niveles de depuración actualmente soportados:

    0, 0x0010: Fatal failures. Anything that would prevent SSSD from starting up or causes it to cease running.

    1, 0x0020: Critical failures. An error that doesn't kill the SSSD, but one that indicates that at least one major feature is not going to work properly.

    2, 0x0040: Serious failures. An error announcing that a particular request or operation has failed.

    3, 0x0080: Minor failures. These are the errors that would percolate down to cause the operation failure of 2.

    4, 0x0100: Configuration settings.

    5, 0x0200: Function data.

    6, 0x0400: Trace messages for operation functions.

    7, 0x1000: Trace messages for internal control functions.

    8, 0x2000: Contents of function-internal variables that may be interesting.

    9, 0x4000: Extremely low-level tracing information.

    To log required bitmask debug levels, simply add their numbers together as shown in following examples:

    Ejemplo: Para registrar fallos fatales, críticos y serios y datos de función use 0x0270.

    Example: Para registrar fallos fatales, ajustes de configuración, datos de función, mensajes de traza para funciones de control interno use 0x1310.

    Note: The bitmask format of debug levels was introduced in 1.7.0.

    Default: 0

debug_timestamps (bool)
    Agregar una marca de tiempo a los mensajes de depuración

    Predeterminado: true

debug_microseconds (bool)
    Agregar microsegundos a la marca de tiempo en mensajes de depuración

    Predeterminado: false

timeout (entero)
    Tiempo de espera en segundos entre latidos para este servicio. Esto se usa para asegurar que el proceso está vivo y capaz de responder peticiones.

    Predeterminado: 10

reconnection_retries (entero)
    Cantidad de intentos de reconexión de los servicios ante una eventual caída de datos del proveedor, o de reiniciarse antes de abandonar

    Predeterminado: 3

fd_limit
    Esta opción especifica el número máximo de descriptores de ficheros que pueden ser abiertos a la vez por este proceso SSSD. Sobre sistemas donde SSSD ha alcanzado la capacidad CAP_SYS_RESOURCE, este será un ajuste absoluto. Sobre sistemas sin esta capacidad, el valor resultante será el valor más bajo de este o de limite “hard” en limits.conf.

    Por defecto: 8192 (o limite “hard” en limits.conf)

client_idle_timeout
    Esta opción especifica el número de segundos que un cliente de un proceso SSSD puede retener un desciptor de fichero sin comunicarlo. Este valor está limitado con el objetivo de evitar un agotamiento de los recursos del sistema.

    Predeterminado: 60

force_timeout (entero)
    Si un servicio no está respondiendo a las comprobaciones ping (vea la opción “timeout”), primero enviará la señal SIGTERM que le instruye a salir amigablemente. Si el servicio no termina después de “force_timeout” segundos, el monitor le forzara a caer enviando una señal SIGKILL.

    Predeterminado: 60

  Opciones de configuración de NSS

Estas opciones pueden ser usadas para configurar el servicio Name Service Switch (NSS).

enum_cache_timeout (entero)
    Cuantos segundos ocultaría enumeraciones nss_sss (peticiones de información sobre todos los usuarios)

    Predeterminado: 120

entry_cache_nowait_percentage (entero)
    La entrada a la cache puede ser fijada automáticamente para actualizar entradas en segundo plano si hay peticiones más allá de un porcentanje del valor de entry_cache_timeout para el dominio.

    Por ejemplo, si entry_cache_timeout del dominio está fijado a 30 y entry_cache_nowait_percentage está fijado a 50 (por ciento), las entradas que vengan después de 15 segundos pasado el último cache serán devueltas inmediatamente, pero SSSD irá y actualizará el cache por el mismo, de modo que las futuras peticiones no necesitarán bloquearse a la espera de una actualización del cache.

    Los valores válidos para esta opción son 0-99 y representan un porcentaje de entry_cache_timeout para cada dominio. Por razones de rendimiento, este porcentaje nunca reducirá el tiempo de salida de no espera a menos de 10 segundos. (0 deshabilita esta función).

    Predeterminado: 50

entry_negative_timeout (entero)
    Especifica por cuantos segundos nss_sss escondería golpes negativos al cache (esto es, consultas para entradas no válidas a la base de datos, como entradas no existentes) antes de preguntar al punto final otra vez.

    Predeterminado: 15

filter_users, filter_groups (cadena)
    Excluye ciertos usuarios de ser exagerados por la base de datos sss NSS. Esto es particularmente útil para cuentas de sistema. Esta opción puede ser también fijada por dominio o incluir nombres totalmente cualificados para filtrar sólo usuario de un dominio concreto.

    Predeterminado: root

filter_users_in_groups (bool)
    Si usted desea filtrar usuarios aunque sean miembros del grupo, fije esta opción a false.

    Predeterminado: true

override_homedir (cadena)
    Anula el directorio home del usuario. Usted puede suministras bien un valor absoluto o una plantilla. En la plantilla, serán sustituidas las siguientes secuencias:

    %u
        nombre de acceso

    %U
        número UID

    %d
        nombre de dominio

    %f
        nombre totalmente cualificado del usuario (user@domain)

    %o
        El directorio home original recuperado del proveedor de identidad.

    %H
        The value of configure option homedir_substring.

    %%
        un literal ‘%’

    Esta opción puede ser también fijada por dominio.

    ejemplo:

        override_homedir = /home/%u

    Por defecto: No fijado (SSSD usará el valor recuperado desde LDAP)

homedir_substring (string)
    The value of this option will be used in the expansion of the override_homedir option if the template contains the format string %H. An LDAP directory entry can directly contain this template so that this option can be used to expand the home directory path for each client machine (or operating system). It can be set per-domain or globally in the [nss] section. A value specified in a domain section will override one set in the [nss] section.

    Default: /home

fallback_homedir (cadena)
    Fija la plantilla por defecto para el direcorio home del usuario si no se ha especificado una explícitamente por el proveedor de datos del dominio.

    Los valores disponibles para esta opción son los mismos que para override_homedir.

    ejemplo:

        fallback_homedir = /home/%u

    Por defecto: no fijado (sin sustitución para los directorios home no fijados)

override_shell (cadena)
    Override the login shell for all users. This option supersedes any other shell options if it takes effect and can be set either in the [nss] section or per-domain.

    Por defecto: no fijado (SSSD usará el valor recuperado desde LDAP)

allowed_shells (cadena)
    Restringe la shell de usuario a uno de los valores listados. El orden de evaluación es:

    1. Si el shell está presente en “/etc/shells”, se usa.

    2. Si el shell está en la lista allowed_shells pero no en “/etc/shells”, usa el valor del parámetro shell_fallback.

    3. Si el shell no está en la lista allowed_shells y tampoco en “/etc/shells”, se usará un shell de no acceso.

    Una cadena vacía para el shell se pasa como-es a libc.

    “/etc/shells” es de sólo lectura en el inicio SSSD, lo que significa que se requiere el reinicio del SSSD en el caso de que se instale una nueva shell.

    Por defecto: No fijado. La shell del usuario se usa automáticamente.

vetoed_shells (cadena)
    Reemplaza cualquier instancia de estos shells con shell_fallback

shell_fallback (cadena)
    La shell por defecto a usar si una shell permitida no está instalada en la máquina.

    Predeterminado: /bin/sh

default_shell
    The default shell to use if the provider does not return one during lookup. This option can be specified globally in the [nss] section or per-domain.

    Por defecto: no fijado (Devuelve NULL si no se ha especificado una shell y confía en libc para sustituir algo sensible cuando sea necesario, normalmente /bin/sh)

get_domains_timeout (entero)
    Especifica el tiempo en segundos por los cuales la lista de subdominios será considerada válida.

    Predeterminado: 60

memcache_timeout (entero)
    Especifica el tiempo en segundos durante el cual los archivos en el escondrijo en memoria serán válidos.

    Predeterminado: 300

  Opciones de configuración PAM

Estas opciones pueden ser usadas para configurar el servicio Pluggable Authentication Module (PAM)

offline_credentials_expiration (entero)
    Si la autenticación del proveedor es fuera de línea, cuanto permitiríamos los accesos escondidos (en días desde el último login en línea con éxito).

    Predeterminado: 0 (Sin límite)

offline_failed_login_attempts (entero)
    Si la autenticación del proveedor es fuera de línea, cuantos intentos de login fallados están permitidos.

    Predeterminado: 0 (Sin límite)

offline_failed_login_delay (entero)
    El tiempo en minutos que ha de pasar después de que offline_failed_login_attempts ha sido alcanzado antes de que un nuevo intento de login sea posible.

    Si se fija en 0 el usuario no puede autenticarse fuerta de línea si se ha alcanzado offline_failed_login_attempts. Sólo una autenticación en línea con éxito puede habilitar otra vez la autenticación fuera de línea.

    Predeterminado: 5

pam_verbosity (entero)
    Controla qué tipo de mensajes se muestra al usuario durante la autenticación. Cuanto mayor sea el número de mensajes más aparecen.

    Actualmente sssd soporta los siguientes valores:

    0: no mostrar ningún mensaje

    1: mostrar sólo mensajes importantes

    2: mostrar mensajes informativos

    3: mostrar todos los mensajes e información de depuración

    Predeterminado: 1

pam_id_timeout (entero)
    Para cualquier petición PAM mientras SSSD está en línea, SSSD intentará inmediatamente actualizar la información de identidad escondida por el usuario con el objetivo de asegurar que la autenticación tiene lugar con la información más actual.

    Una conversación PAM completa puede llevar a cabo múltiples peticiones PAM, como gestión de cuenta y apertura de sesión. Esta opción controla (sobre una base de por cliente-aplicación) cuanto (en segundos) podemos esconder la información de identidad para evitar excesivos viajes de ida y vuelata al proveedor de identidad.

    Predeterminado: 5

pam_pwd_expiration_warning (entero)
    Mostrar una advertencia N días antes que la contraseña caduque.

    Por favor advierta que el servidor de punto final tiene que suministrar información sobre el tiempo de expiración de la contraseña. Si esta información desaparece, sssd no podrá mostrar un aviso.

    Si está fijado cero, no se aplicará el filtro, esto es si se recibe una advertencia de expiración desde el servidor final, se mostrará automáticamente.

    Este ajuste puede ser anulado por el ajuste pwd_expiration_warning para un dominio concreto.

    Predeterminado: 0

get_domains_timeout (entero)
    Especifica el tiempo en segundos por los cuales la lista de subdominios será considerada válida.

    Predeterminado: 60

  SUDO opciones de configuración

These options can be used to configure the sudo service. The detailed instructions for configuration of sudo(8) to work with sssd(8) are in the manual page sssd-sudo(5).

sudo_timed (booleano)
    Si se evalúan o no los atributos sudoNotBefore y sudoNotAfter que implementa entradas de sudoers dependientes del tiempo.

    Predeterminado: false

  Opciones de configuración SSH

Estas opciones se pueden usar para configurar el servicio SSH.

ssh_hash_known_hosts (booleano)
    Si se pican o no los nombres y las direcciones de host en fichero gestionado known_host.

    Predeterminado: true

ssh_known_hosts_timeout (entero)
    Cuantos segundos se mantiene un host en el fichero known_hosts gestionados después de que se hayan pedido sus claves de host.

    Por defecto: 180

  Opciones de configuración del respondedor PAC

El respondedor PAC trabaja junto el plugin de datos de autorización para MIT Kerberos sssd_pac_plugin.so y un proveedor de subdominio. El plugin envía el dato PAC durante una autenticación GSSAPI al respondedor PAC. El proveedor de subdominio recoge los rangos SID e ID del dominio a los que se une el cliente y de los dominio remotos de confianza desde el controlador de dominio local. Si el PAC es descodificado y evaluado se hacen alguna de las siguientes operaciones:

    • If the remote user does not exist in the cache, it is created. The uid is determined with the help of the SID, trusted domains will have UPGs and the gid will have the same value as the uid. The home directory is set based on the subdomain_homedir parameter. The shell will be empty by default, i.e. the system defaults are used, but can be overwritten with the default_shell parameter.

    • If there are SIDs of groups from domains sssd knows about, the user will be added to those groups.

Estas opciones pueden ser usadas para configurar el respondedor PAC.

allowed_uids (cadena)
    Especifica la lista separada por comas de los valores UID o nombres de usuario que tiene el acceso permitido al respondedor PAC.

    Por defecto: 0 (sólo el usuario root tiene permitido el acceso al respondedor PAC)

    Por favor advierta que aunque la UID 0 se usa por defecto será anulada con esta opción. Si usted deses todavía permitir al usuario root acceder al respondedor PAC, que sería el caso típico, usted tiene que añadir 0 a la lista de UIDs permitidas también.

SECCIONES DE DOMINIO

Estas opciones de configuración pueden estar presentes en la sección configuración de dominio, esto es, en una sección llamada “[domain/NAME]”

min_id, max_id (entero)
    Límites de UID y GID para el dominio. Si un dominio contiene una entrada que está fuera de estos límites, ésta es ignorada.

    Para usuarios, esto afecta al límite primario GID. El usuario no será devuelto a NSS si bien la UID o el GID primario está fuera de rango. Para los miembros de grupos no primarios, aquellos que estén en rango serán reportados como en espera.

    These ID limits affect even saving entries to cache, not only returning them by name or ID.

    Predeterminado: 1 para min_id, 0 (sin límite) para max_id

enumerar (bool)
    Determina si un dominio puede ser enumerado. Este parámetro puede tener uno de los siguientes valores:

    TRUE = Usuarios y grupos son enumerados

    FALSE = Sin enumeraciones para este dominio

    Predeterminado: FALSE

    Nota: Habilitar la enumeración tiene un impacto en el rendimiento moderado sobre SSSD mientras la enumeración está corriendo. Puede tomar varios minutos desde que SSSD ha arrancado hasta completar todas las enumeraciones. Durante este tiempo, las peticiones de información individuales irán directamente a LDAP, aunque puede ser lento, debido al pesado proceso de enumeración. Guardar un gran número de entradas en la cache después de completar la enumeración puede también ser intenso para la CPU puesto que las afiliaciones deben ser recalculadas.

    Mientras está corriendo la primera enumeración, peticiones para el usuario completo o listas de grupo pueden no devolver resultados hasta que se completen.

    Adicionalmente, la habilitación de la enumeración puede incrementar el tiempo necesario para detectar la desconexión de red, tanto como los tiempos de espera necesarios para asegurar que las búsquedas de enumeración se han completado. Para más información vea las páginas de manual para el específico id_provider en uso.

    Por las razones citadas arriba, no se recomienda habilitar la enumeración, especialmente en entornos grandes.

subdomain_enumerate (string)
    Whether any of autodetected trusted domains should be enumerated. The supported values are:

    all
        All discovered trusted domains will be enumerated

    none
        No discovered trusted domains will be enumerated

    Optionally, a list of one or more domain names can enable enumeration just for these trusted domains.

    Predeterminado: none

force_timeout (entero)
    Si un servicio no está respondiendo a las comprobaciones ping (vea la opción “timeout”), primero enviará la señal SIGTERM que le instruye a salir amigablemente. Si el servicio no termina después de “force_timeout” segundos, el monitor le forzara a caer enviando una señal SIGKILL.

    Predeterminado: 60

entry_cache_timeout (entero)
    Cuántos segundos debe considerar nss_sss como válidas las entradas antes de volver a consultar al backend

    The cache expiration timestamps are stored as attributes of individual objects in the cache. Therefore, changing the cache timeout only has effect for newly added or expired entries. You should run the sss_cache(8) tool in order to force refresh of entries that have already been cached.

    Predeterminado: 5400

entry_cache_user_timeout (entero)
    Cuantos segundos debería nss_sss considerar las entradas de usuario válidas antes de preguntar al punto final otra vez.

    Por defecto: entry_cache_timeout

entry_cache_group_timeout (entero)
    Cuantos segundos debería nss_sss considerar las entradas de grupo válidas antes de preguntar al punto final otra vez.

    Por defecto: entry_cache_timeout

entry_cache_netgroup_timeout (entero)
    Cuantos segundos debería nss_sss considerar las entradas de grupo de red válidas antes de preguntar al punto final otra vez.

    Por defecto: entry_cache_timeout

entry_cache_service_timeout (entero)
    Cuantos segundos debería nss_sss considerar las entradas de servicio válidas antes de preguntar al punto final otra vez.

    Por defecto: entry_cache_timeout

entry_cache_sudo_timeout (entero)
    Cuantos segundos debería considerar las regulas sudo válidas antes de preguntar al backend otra vez.

    Por defecto: entry_cache_timeout

refresh_expired_interval (integer)
    Specifies how many seconds SSSD has to wait before triggering a background refresh task which will refresh all expired or nearly expired records.

    Currently only refreshing expired netgroups is supported.

    You can consider setting this value to 3/4 * entry_cache_timeout.

    Default: 0 (disabled)

cache_credentials (bool)
    Determina si las credenciales del usuario están también escondidas en el cache LDB local

    Las credenciales de usuario son almacenadas en un hash SHA512, no en texto plano

    Predeterminado: FALSE

account_cache_expiration (entero)
    Entradas de números de días que son dejadas en el cache después del último login con éxito antes de ser borrado durante la limpieza de la cache. 0 significa mantener para siempre. El valor de este parámetro debe ser más grande o igual que offline_credentials_expiration.

    Predeterminado: 0 (ilimitado)

pwd_expiration_warning (entero)
    Mostrar una advertencia N días antes que la contraseña caduque.

    Si está fijado cero, no se aplicará el filtro, esto es si se recibe una advertencia de expiración desde el servidor final, se mostrará automáticamente.

    Por favor advierta que el servidor de backend tiene que suministrar información sobre la hora expiración de la contraseña. Si esta información está desaparecida, sssd no puede mostrar un aviso. También se tiene que configurar un proveedor de autorización para el backend.

    Por defecto: 7 (Kerberos), 0 (LDAP)

id_provider (cadena)
    El proveedor de identificación usado por el dominio. Los proveedores de ID soportados son:

    “proxy”: Soporta un proveedor NSS legado

    “local”: Proveedor interno SSSD para usuarios locales

    “ldap”: Proveedor LDAP. Vea sssd-ldap(5) para más información sobre la configuración de LDAP.

    “ipa”: Proveedor FreeIPA y Red Hat Enterprise Identity Management. Vea sssd-ipa(5) para más información sobre la configuración de FreeIPA.

    “ad”: Proveedor Active Directory. Vea sssd-ad(5) para más información sobre la configuración de Active Directory.

use_fully_qualified_names (bool)
    Utiliza el nombre completo y el dominio (formateado en el formato nombre_completo de dominio) como el nombre de acceso del usuario reportado a NSS.

    Si es TRUE, todas las peticiones a este dominio deben usar nombres totalmente cualificados. Por ejemplo, si se usa en el dominio LOCAL que contiene un usuario “test”, getent passwd test no encontraría al usuario mientras que getent passwd test@LOCAL lo haría.

    NOTE: This option has no effect on netgroup lookups due to their tendency to include nested netgroups without qualified names. For netgroups, all domains will be searched when an unqualified name is requested.

    Predeterminado: FALSE

ignore_group_members (bool)
    No devuelve miembros de grupo para búsquedas de grupo.

    Si se fija a TRUE, el atributo de afiliación al grupo no es pedido desde el servidor ldap, y los miembros del grupo no son devueltos cuando procesa llamadas de búsqueda de grupo.

    Predeterminado: FALSE

auth_provider (cadena)
    El proveedor de autenticación usado por el dominio. Los proveedores de autenticación soportados son:

    “ldap” para autenticación nativa LDAP. Vea sssd-ldap(5) para más información sobre la configuración LDAP.

    “krb5” para autenticación Kerberos. Vea sssd-krb5(5) para más información sobre la configuración de Kerberos.

    “ipa”: Proveedor FreeIPA y Red Hat Enterprise Identity Management. Vea sssd-ipa(5) para más información sobre la configuración de FreeIPA.

    “ad”: Proveedor Active Directory. Vea sssd-ad(5) para más información sobre la configuración de Active Directory.

    “proxy” para la reinstalación de la autenticación a algún otro objetivo PAM.

    “none” deshabilita la autenticación explícitamente.

    Por defecto: “id_provider” se usa si se ha fijado y puede manejar las peticiones de autenticación.

access_provider (cadena)
    El proveedor de control de acceso usado por el dominio. Hay dos provedores de acceso integrados (además de cualquiera instalado en los finales). Los proveedores especiales internos son:

    “permit” siempre permite el acceso. Es el proveedor de acceso sólo permitido para un dominio local.

    “deny” siempre niega el acceso.

    “ldap” para autenticación nativa LDAP. Vea sssd-ldap(5) para más información sobre la configuración LDAP.

    “ipa”: Proveedor FreeIPA y Red Hat Enterprise Identity Management. Vea sssd-ipa(5) para más información sobre la configuración de FreeIPA.

    “ad”: Proveedor Active Directory. Vea sssd-ad(5) para más información sobre la configuración de Active Directory.

    “simple” control de acceso basado en listas de acceso o denegación. Vea sssd-simple(5) para más información sobre la configuración del módulo de acceso sencillo.

    Predeterminado: “permit”

chpass_provider (cadena)
    El proveedor que debería manejar las operaciones de cambio de password para el dominio. Los proveedores de cambio de passweord soportados son:

    “ldap” para cambiar una contraseña almacenada en un servidor LDAP. Vea sssd-ldap(5) para más información sobre configurar LDAP.

    “krb5” para cambiar una contraseña Kerberos. Vea sssd-krb5(5) para más información sobre configurar Kerberos.

    “ipa”: Proveedor FreeIPA y Red Hat Enterprise Identity Management. Vea sssd-ipa(5) para más información sobre la configuración de FreeIPA.

    “ad”: Proveedor Active Directory. Vea sssd-ad(5) para más información sobre la configuración de Active Directory.

    “proxy” para la reinstalación de cambios de password en algunos otros objetivos PAM.

    “none” deniega explícitamente los cambios en la contraseña.

    Por defecto: “auth_provider” se utiliza si se ha fijado y se puede manejar las peticiones de cambio de password.

sudo_provider (cadena)
    El proveedor SUDO usado por el dominio. Los proveedores SUDO soportados son:

    “ldap” para reglas almacenadas en LDAP. Vea sssd-ldap(5) para más información sobre la configuración LDAP.

    “ipa” the same as “ldap” but with IPA default settings.

    “ad” the same as “ldap” but with AD default settings.

    “none”deshabilita SUDO explícitamente.

    Por defecto: el valor de “id_provider” se usa si está fijado.

    The detailed instructions for configuration of sudo_provider are in the manual page sssd-sudo(5). There are many configuration options that can be used to adjust the behavior. Please refer to "ldap_sudo_*" in sssd-ldap(5).

selinux_provider (cadena)
    El proveedor que manejaría la carga de los ajustes selinux. Advierta que este proveedor será llamado justo después de que el proveedor de acceso finalice. Los proveedores selinux soportados son:

    “ipa” para cargar ajustes selinux desde un servidor IPA. Vea sssd-ipa(5) para más información sobre la configuración de IPA.

    “none” deshabilita ir a buscar los ajustes selinux explícitamente.

    Por defecto: “id_provider” se usa si está fijado y puede manejar las peticiones de carga selinux.

subdomains_provider (cadena)
    El proveedor que debería manejar el atractivo de subdominios. Este valor debería ser siempre el mismo que id_provider. Los proveedores de subdominio soportados son:

    “ipa” para cargar una lista de subdominios desde un servidor IPA. Vea sssd-ipa(5) para más información sobre la configuración de IPA.

    “none” deshabilita el buscador de subdominios explícitamente.

    Por defecto: el valor de “id_provider” se usa si está fijado.

hostid_provider (cadena)
    El proveedor usado para recuperar información de identidad de host. Los proveedores de hostid soportados son:

    “ipa” para cargar la identidad del equipo almacenada en un servidor IPA. Vea sssd-ipa(5) para más información sobre la configuración de IPA.

    “none” deshabilita hostid explícitamente.

    Por defecto: el valor de “id_provider” se usa si está fijado.

re_expression (cadena)
    Regular expression for this domain that describes how to parse the string containing user name and domain into these components. The "domain" can match either the SSSD configuration domain name, or, in the case of IPA trust subdomains and Active Directory domains, the flat (NetBIOS) name of the domain.

    Por defecto para el proveedor AD e IPA: “(((?P<domain>[^\\]+)\\(?P<name>.+$))|((?P<name>[^@]+)@(?P<domain>.+$))|(^(?P<name>[^@\\]+)$))” que permite tres estilos diferentes de nombres de usuario:

        • nombre de usuario

        • username@domain.name

        • dominio/nombre_de_usuario

    Mientras los primeros dos corresponden al valor por defecto general el tercero se introduce para permitir una fácil integración de usuarios desde dominios Windows.

    Predeterminado: “(?P<name>[^@]+)@?(?P<domain>[^@]*$)” que traduce al "todo lo que hay hasta el signo “@” es el nombre, el dominio es el resto detrás de este signo"

    POR FAVOR ADVIERTA: el soporte para subplantillas sin nombre único no está disponible en todas las plataformas (por ejemplo, RHEL5 y SLES10). Sólo las plataformas con la versión de libpcre 7 o superior pueden soportar las subplantillas sin nombre único.

    POR FAVOR TENGA EN CUENTA ADEMAS: Versiones anteriores de libpcre sólo soportan la sintaxis Python (?P<name>) para identificar subpatrones.

full_name_format (cadena)
    A printf(3)-compatible format that describes how to compose a fully qualified name from user name and domain name components.

    The following expansions are supported:

    %1$s
        user name

    %2$s
        domain name as specified in the SSSD config file.

    %3$s
        domain flat name. Mostly usable for Active Directory domains, both directly configured or discovered via IPA trusts.

    Predeterminado: “%1$s@%2$s”.

lookup_family_order (cadena)
    Suministra la capacidad para seleccionar la familia de dirección preferente a usar cuando se lleven a cabo búsquedas DNS.

    Valores soportados:

    ipv4_first: Intenta buscar dirección IPv4, si falla, intenta IPv6

    ipv4_only: Sólo intenta resolver nombres de host a direccones IPv4.

    ipv6_first: Intenta buscar dirección IPv6, si falla, intenta IPv4

    ipv6_only: Sólo intenta resolver nombres de host a direccones IPv6.

    Predeterminado: ipv4_first

dns_resolver_timeout (entero)
    Define la cantidad de tiempo (en segundos) para esperar una respuesta desde el DNS antes de asumir que es inalcanzable. Si se alcanza este tiempo de espera, el dominio continuará operativo en modo fuera de línea.

    Predeterminado: 6

dns_discovery_domain (cadena)
    Si el descubridor de servicio se usa en el punto final, especifica la parte de dominio de la pregunta al descubridor de servicio DNS.

    Predeterminado: Utilizar la parte del dominio del nombre de host del equipo

override_gid (entero)
    Anula el valor primario GID con el especificado.

case_sensitive (boolean)
    Trata a los nombres de usuario y grupo como sensibles al teclado. En este momento, esta opción no está soportada en el proveedor local.

    Predeterminado: True

proxy_fast_alias (booleano)
    Cuando un usuario o grupo es buscado por nombre en el proveedor proxy, una segunda búsqueda por ID es llevada a cabo para “estandarizar” el nombre en el caso de que el nombre pedido fuera un alias. Fijando esta opción a true se causaría que SSSD lleve a cabo una búsqueda de ID desde el escondrijo por razones de rendimiento.

    Predeterminado: false

subdomain_homedir (cadena)
    Use this homedir as default value for all subdomains within this domain in IPA AD trust. See override_homedir for info about possible values. In addition to those, the expansion below can only be used with subdomain_homedir.

    %F
        flat (NetBIOS) name of a subdomain.

    Este valor puede ser anulado por la opción override_homedir.

    Por defecto: /home/%d/%u

realmd_tags (string)
    Various tags stored by the realmd configuration service for this domain.

Opciones válidas para dominios proxy.

proxy_pam_target (cadena)
    El proxy de destino PAM próximo a.

    Por defecto: no se fija por defecto, usted tiene que coger una configuración pam existente o crear una nueva y añadir el nombre de servicio aquí.

proxy_lib_name (cadena)
    El nombre de la librería NSS para usar en los dominios proxy. Las funciones NSS buscadas dentro de la librería están el formato de _nss_$(libName)_$(function), por ejemplo _nss_files_getpwent.

  La sección de dominio local

Esta sección contiene la configuración para dominio que almacena los usuarios y grupos en la base de datos SSSD nativa, es decir, un dominio que utiliza id_provider=local.

Parámetros de sección

default_shell (cadena)
    El shell predeterminado para los usuarios creados con herramientas de espacio de usuario SSSD.

    Predeterminado: /bin/bash

base_directory (cadena)
    Las herramientas anexan el nombre de inicio de sesión para base_directory y utilizan éste como el directorio de inicio.

    Predeterminado: /home

create_homedir (bool)
    Indica si se creará un directorio home por defecto para los nuevos usuarios. Puede ser anulado desde la línea de comando.

    Predeterminado: TRUE

remove_homedir (bool)
    Indica si el directorio home será borrado por defecto para los usuarios borrados. Puede ser anulado desde la línea de comando.

    Predeterminado: TRUE

homedir_umask (entero)
    Utilizado por sss_useradd(8) para especificar los permisos predeterminados en un directorio de inicio recién creado.

    Predeterminado: 077

skel_dir (cadena)
    El directorio esqueleto, el cual contiene archivos y directorios a copiarse en el directorio principal del usuario, cuando se crea el directorio principal de sss_useradd(8)

    Predeterminado: /etc/skel

mail_dir (cadena)
    El directorio carreta de correo. Es necesario para manipular el buzón de correo cuando la cuenta de usuario correspondiente es modificada o borrada. Si no se especifica, se utiliza un valor por defecto.

    Predeterminado: /var/mail

userdel_cmd (cadena)
    El comando que está corriendo después de que un usuario es borrado. El comando us para el nombre de usuario que está siendo borrado como primer y único parámetro. El código de retorno del comando no es tenido en cuenta.

    Predeterminado: None, no se ejecuta comando

EJEMPLO

El siguiente ejemplo muestra una configuración SSSD típica. No describe la configuración de los dominios en si mismos – vea la documentación sobre la configuración de dominios para más detalles.

    [sssd]
    domains = LDAP
    services = nss, pam
    config_file_version = 2
    [nss]
    filter_groups = root
    filter_users = root
    [pam]
    [domain/LDAP]
    id_provider = ldap
    ldap_uri = ldap://ldap.example.com
    ldap_search_base = dc=example,dc=com
    auth_provider = krb5
    krb5_server = kerberos.example.com
    krb5_realm = EXAMPLE.COM
    cache_credentials = true
    min_id = 10000
    max_id = 20000
    enumerate = False

VEA TAMBIEN

sssd(8), sssd.conf(5), sssd-ldap(5), sssd-krb5(5), sssd-simple(5), sssd-ipa(5), sssd-ad(5), sssd-sudo(5), sss_cache(8), sss_debuglevel(8), sss_groupadd(8), sss_groupdel(8), sss_groupshow(8), sss_groupmod(8), sss_useradd(8), sss_userdel(8), sss_usermod(8), sss_obfuscate(8), sss_seed(8), sssd_krb5_locator_plugin(8), sss_ssh_authorizedkeys(8), sss_ssh_knownhostsproxy(8), sssd-ifp(5), pam_sss(8).

AUTHORS

The SSSD upstream - http://fedorahosted.org/sssd