SSSD-LDAP(5)

NAME
sssd-ldap - SSSD の設定ファイル

概要

このマニュアルページは sssd(8) 向けの LDAP ドメインの設定を説明しています。詳細な構文については sssd.conf(5) マニュアルページの “ファイル形式” セクションを参照してください。

SSSD が複数の LDAP ドメインを使用するよう設定できます。

LDAP バックエンドは id, auth, access および chpass プロバイダーをサポートします。 LDAP サーバーに対して認証したければ、 TLS/SSL または LDAPS のどちらかが必要になります。 sssd は暗号化されないチャネルにおける認証はサポートされません。 LDAP サーバーが識別プロバイダーとしてのみ使用されるならば、暗号化チャネルは必要ありません。アクセスプロバイダーとして LDAP を使用することの詳細は “ldap_access_filter” 設定オプションを参照してください。

設定オプション

SSSD ドメインに適用するすべての全体設定オプションを LDAP ドメインに適用します。完全な詳細は sssd.conf(5) マニュアルページの “ドメインセクション” を参照してください。

ldap_uri, ldap_backup_uri (文字列)
    Specifies the comma-separated list of URIs of the LDAP servers to which SSSD should connect in the order of preference. Refer to the “FAILOVER” section for more information on failover and server redundancy. If neither option is specified, service discovery is enabled. For more information, refer to the “SERVICE DISCOVERY” section.

    URI の形式は RFC 2732 に決められている形式と一致しなければいけません:

    ldap[s]://<host>[:port]

    IPv6 アドレスを明示するために、<host> を角括弧 [] でくくる必要があります。

    例: ldap://[fc00::126:25]:389

ldap_chpass_uri, ldap_chpass_backup_uri (文字列)
    Specifies the comma-separated list of URIs of the LDAP servers to which SSSD should connect in the order of preference to change the password of a user. Refer to the “FAILOVER” section for more information on failover and server redundancy.

    サービス discovery ldap_chpass_dns_service_name を有効にするには、設定する必要があります。

    初期値: 空、つまり ldap_uri が使用されます。

ldap_search_base (文字列)
    LDAP ユーザー操作を実行するために使用される初期ベース DN です。

    SSSD 1.7.0 以降、SSSD は次の構文を使用して複数の検索ベースをサポートします:

    search_base[?scope?[filter][?search_base?scope?[filter]]*]

    範囲は "base", "onelevel" または "subtree" のどれかです。

    フィルターは http://www.ietf.org/rfc/rfc2254.txt により指定されたような有効な LDAP 検索フィルターである必要があります。

    例:

    ldap_search_base = dc=example,dc=com (which is equivalent to) ldap_search_base = dc=example,dc=com?subtree?

    ldap_search_base = cn=host_specific,dc=example,dc=com?subtree?(host=thishost)?dc=example.com?subtree?

    Note: It is unsupported to have multiple search bases which reference identically-named objects (for example, groups with the same name in two different search bases). This will lead to unpredictable behavior on client machines.

    Default: If not set, the value of the defaultNamingContext or namingContexts attribute from the RootDSE of the LDAP server is used. If defaultNamingContext does not exist or has an empty value namingContexts is used. The namingContexts attribute must have a single value with the DN of the search base of the LDAP server to make this work. Multiple values are are not supported.

ldap_schema (文字列)
    Specifies the Schema Type in use on the target LDAP server. Depending on the selected schema, the default attribute names retrieved from the servers may vary. The way that some attributes are handled may also differ.

    Four schema types are currently supported:

        • rfc2307

        • rfc2307bis

        • IPA

        • AD

    The main difference between these schema types is how group memberships are recorded in the server. With rfc2307, group members are listed by name in the memberUid attribute. With rfc2307bis and IPA, group members are listed by DN and stored in the member attribute. The AD schema type sets the attributes to correspond with Active Directory 2008r2 values.

    初期値: rfc2307

ldap_default_bind_dn (文字列)
    LDAP ユーザー操作を実行するために使用される初期バインド DN です。

ldap_default_authtok_type (文字列)
    初期バインド DN の認証トークンの形式です。

    現在 2 つのメカニズムがサポートされます:

    password

    obfuscated_password

    初期値: password

ldap_default_authtok (文字列)
    デフォルトのバインド DN の認証トークンです。平文テキストのパスワードのみが現在サポートされます。

ldap_user_object_class (文字列)
    LDAP にあるユーザーエントリーのオブジェクトクラスです。

    初期値: posixAccount

ldap_user_name (文字列)
    ユーザーのログイン名に対応する LDAP の属性です。

    初期値: uid

ldap_user_uid_number (文字列)
    ユーザーの ID に対応する LDAP の属性です。

    初期値: uidNumber

ldap_user_gid_number (文字列)
    ユーザーのプライマリーグループ ID に対応する LDAP の属性です。

    初期値: gidNumber

ldap_user_gecos (文字列)
    ユーザーの gecos 項目に対応する LDAP の属性です。

    初期値: gecos

ldap_user_home_directory (文字列)
    ユーザーのホームディレクトリーの名前を含む LDAP の属性です。

    初期値: homeDirectory

ldap_user_shell (文字列)
    ユーザーの初期シェルのパスを含む LDAP の属性です。

    初期値: loginShell

ldap_user_objectsid (文字列)
    LDAP ユーザーオブジェクトの objectSID を含む LDAP 属性です。これは通常 ActiveDirectory サーバーに対してのみ必要です。

    初期値: ActiveDirectory の objectSid です、他のサーバーに対して設定ｓれません。

ldap_user_modify_timestamp (文字列)
    親オブジェクトの最終変更のタイムスタンプを含む LDAP 属性です。

    初期値: modifyTimestamp

ldap_user_shadow_last_change (文字列)
    ldap_pwd_policy=shadow を使用するとき、このパラメーターは shadow(5) の対応部分（最終パスワード変更日）に対応する LDAP 属性の名前を含みます。

    初期値: shadowLastChange

ldap_user_shadow_min (文字列)
    ldap_pwd_policy=shadow を使用するとき、このパラメーターは shadow(5) の対応部分（最小パスワード期限）に対応する LDAP 属性の名前を含みます。

    初期値: shadowMin

ldap_user_shadow_max (文字列)
    ldap_pwd_policy=shadow を使用するとき、このパラメーターは shadow(5) の対応部分（最大パスワード期限）に対応する LDAP 属性の名前を含みます。

    初期値: shadowMax

ldap_user_shadow_warning (文字列)
    ldap_pwd_policy=shadow を使用するとき、このパラメーターは shadow(5) の対応部分（パスワード警告期間）に対応する LDAP 属性の名前を含みます。

    初期値: shadowWarning

ldap_user_shadow_inactive (文字列)
    ldap_pwd_policy=shadow を使用するとき、このパラメーターは shadow(5) の対応部分（パスワード無効期間）に対応する LDAP 属性の名前を含みます。

    初期値: shadowInactive

ldap_user_shadow_expire (文字列)
    ldap_pwd_policy=shadow を使用するとき、このパラメーターは shadow(5) の対応部分（アカウント失効日）に対応する LDAP 属性の名前を含みます。

    初期値: shadowExpire

ldap_user_krb_last_pwd_change (文字列)
    ldap_pwd_policy=mit_kerberos を使用しているとき、このパラメーターは Kerberos の最終パスワード変更日時を保存する LDAP 属性の名前を含みます。

    初期値: krbLastPwdChange

ldap_user_krb_password_expiration (文字列)
    ldap_pwd_policy=mit_kerberos を使用しているとき、このパラメーターは現在のパスワード失効日時を保存する LDAP 属性の名前を含みます。

    初期値: krbPasswordExpiration

ldap_user_ad_account_expires (文字列)
    ldap_account_expire_policy=ad を使用するとき、このパラメーターはアカウントの失効日時を保存する LDAP 属性の名前を含みます。

    初期値: accountExpires

ldap_user_ad_user_account_control (文字列)
    ldap_account_expire_policy=ad を使用するとき、このパラメーターはユーザーアカウントの制御ビット項目を保存する LDAP 属性の名前を含みます。

    初期値: userAccountControl

ldap_ns_account_lock (文字列)
    ldap_account_expire_policy=rhds または同等のものを使用するとき、このパラメーターがアクセスが許可されるかされないかを決定します。

    初期値: nsAccountLock

ldap_user_nds_login_disabled (文字列)
    ldap_account_expire_policy=nds を使用するとき、アクセスが許可されるかされないかをこの属性が決定します。

    初期値: loginDisabled

ldap_user_nds_login_expiration_time (文字列)
    ldap_account_expire_policy=nds を使用しているとき、この属性はデータアクセスがいつまで許可されるのかを決定します。

    初期値: loginDisabled

ldap_user_nds_login_allowed_time_map (文字列)
    ldap_account_expire_policy=nds を使用しているとき、この属性はアクセスが許可されるときの一週間の日の時間を決定します。

    初期値: loginAllowedTimeMap

ldap_user_principal (文字列)
    ユーザーの Kerberos User Principal Name (UPN) を含む LDAP 属性です。

    初期値: krbPrincipalName

ldap_user_extra_attrs (string)
    Comma-separated list of LDAP attributes that SSSD would fetch along with the usual set of user attributes.

    The list can either contain LDAP attribute names only, or colon-separated tuples of SSSD cache attribute name and LDAP attribute name. In case only LDAP attribute name is specified, the attribute is saved to the cache verbatim. Using a custom SSSD attribute name might be required by environments that configure several SSSD domains with different LDAP schemas.

    Please note that several attribute names are reserved by SSSD, notably the “name” attribute. SSSD would report an error if any of the reserved attribute names is used as an extra attribute name.

    例:

    ldap_user_extra_attrs = telephoneNumber

    Save the “telephoneNumber” attribute from LDAP as “telephoneNumber” to the cache.

    ldap_user_extra_attrs = phone:telephoneNumber

    Save the “telephoneNumber” attribute from LDAP as “phone” to the cache.

    初期値: 設定されません

ldap_user_ssh_public_key (文字列)
    ユーザーの SSH 公開鍵を含む LDAP 属性です。

ldap_force_upper_case_realm (論理値)
    いくつかのディレクトリーサーバー、たとえば Active Directory、は小文字のレルムを転送しません。それにより、認証が失敗します。もし大文字のレルムを使用したい場合、このオプションを 0 以外に設定します。

    初期値: false

ldap_enumeration_refresh_timeout (整数)
    SSSD が列挙レコードのキャッシュを更新する前に待つ必要がある秒数を指定します。

    初期値: 300

ldap_purge_cache_timeout (整数)
    使用していないエントリー（メンバーのいないグループやログインしたことがないユーザーなど）に対してキャッシュを確認して、保存領域を節約するためにそれらを削除する間隔を決めます。

    キャッシュ削除操作を無効にする 0 をこのオプションを設定する方法です。

    初期値: 10800 (12 時間)

ldap_user_fullname (文字列)
    ユーザーの完全名に対応する LDAP 属性です。

    初期値: cn

ldap_user_member_of (文字列)
    ユーザーのグループメンバーを一覧にする LDAP 属性です。

    初期値: memberOf

ldap_user_authorized_service (文字列)
    もし access_provider=ldap かつ ldap_access_order=authorized_service ならば、SSSD はアクセス権限を決定するために、ユーザーの LDAP エントリーにある authorizedService 属性を使用します。

    明示的な拒否 (!svc) が始めに解決されます。次に SSSD は明示的な許可 (svc) を検索します。最後にすべて許可 (*) を検索します。

    Please note that the ldap_access_order configuration option must include “authorized_service” in order for the ldap_user_authorized_service option to work.

    初期値: authorizedService

ldap_user_authorized_host (文字列)
    access_provider=ldap かつ ldap_access_order=host ならば、 SSSD はアクセス権限を決めるために、ユーザーの LDAP エントリーにあるホスト属性の存在を使用します。

    明示的な拒否 (!host) がまず解決されます。次に SSSD が明示的な許可 (host) を検索します。最後にすべて許可 (*) が検索されます。

    Please note that the ldap_access_order configuration option must include “host” in order for the ldap_user_authorized_host option to work.

    初期値: host

ldap_group_object_class (文字列)
    LDAP にあるグループエントリーのオブジェクトクラスです。

    初期値: posixGroup

ldap_group_name (文字列)
    グループ名に対応する LDAP 属性です。

    初期値: cn

ldap_group_gid_number (文字列)
    グループの ID に対応する LDAP 属性です。

    初期値: gidNumber

ldap_group_member (文字列)
    グループのメンバーの名前を含む LDAP の属性です。

    初期値: memberuid (rfc2307) / member (rfc2307bis)

ldap_group_objectsid (文字列)
    LDAP グループオブジェクトの objectSID を含む LDAP 属性です。これは通常 ActiveDirectory サーバーに対してのみ必要です。

    初期値: ActiveDirectory の objectSid です、他のサーバーに対して設定ｓれません。

ldap_group_modify_timestamp (文字列)
    親オブジェクトの最終変更のタイムスタンプを含む LDAP 属性です。

    初期値: modifyTimestamp

ldap_group_type (integer)
    The LDAP attribute that contains an integer value indicating the type of the group and maybe other flags.

    This attribute is currently only used by the AD provider to determine if a group is a domain local groups and has to be filtered out for trusted domains.

    Default: groupType in the AD provider, othewise not set

ldap_group_nesting_level (整数)
    ldap_schema が入れ子グループ (例: RFC2307bis) をサポートするスキーマ形式に設定されていると、このオプションが入れ子 SSSD がしたがうレベルを制御します。このオプションは RFC2307 スキーマにおいて効果がありません。

    Note: This option specifies the guaranteed level of nested groups to be processed for any lookup. However, nested groups beyond this limit may be returned if previous lookups already resolved the deeper nesting levels. Also, subsequent lookups for other groups may enlarge the result set for original lookup if re-queried.

    If ldap_group_nesting_level is set to 0 then no nested groups are processed at all. However, when connected to Active-Directory Server 2008 and later it is furthermore required to disable usage of Token-Groups by setting ldap_use_tokengroups to false.

    初期値: 2

ldap_groups_use_matching_rule_in_chain
    This option tells SSSD to take advantage of an Active Directory-specific feature which may speed up group lookup operations on deployments with complex or deep nested groups.

    In most common cases, it is best to leave this option disabled. It generally only provides a performance increase on very complex nestings.

    If this option is enabled, SSSD will use it if it detects that the server supports it during initial connection. So "True" here essentially means "auto-detect".

    Note: This feature is currently known to work only with Active Directory 2008 R1 and later. See MSDN(TM) documentation[1] for more details.

    初期値: 偽

ldap_initgroups_use_matching_rule_in_chain
    This option tells SSSD to take advantage of an Active Directory-specific feature which might speed up initgroups operations (most notably when dealing with complex or deep nested groups).

    If this option is enabled, SSSD will use it if it detects that the server supports it during initial connection. So "True" here essentially means "auto-detect".

    Note: This feature is currently known to work only with Active Directory 2008 R1 and later. See MSDN(TM) documentation[1] for more details.

    初期値: 偽

ldap_use_tokengroups
    This options enables or disables use of Token-Groups attribute when performing initgroup for users from Active Directory Server 2008 and later.

    初期値: True

ldap_netgroup_object_class (文字列)
    LDAP にあるネットワークグループエントリーのオブジェクトクラスです。

    IPA プロバイダーにおいては ipa_netgroup_object_class が代わりに使用されます。

    初期値: nisNetgroup

ldap_netgroup_name (文字列)
    ネットワークグループ名に対応する LDAP 属性です。

    IPA プロバイダーにおいては ipa_netgroup_name が代わりに使用されます。

    初期値: cn

ldap_netgroup_member (文字列)
    ネットワークグループのメンバーの名前を含む LDAP 属性です。

    IPA プロバイダーにおいては ipa_netgroup_member が代わりに使用されます。

    初期値: memberNisNetgroup

ldap_netgroup_triple (文字列)
    ネットワークグループの三つ組（ホスト、ユーザー、ドメイン）を含む LDAP 属性です。

    このオプションは IPA プロバイダーにおいて利用可能ではありません。

    初期値: nisNetgroupTriple

ldap_netgroup_modify_timestamp (文字列)
    親オブジェクトの最終変更のタイムスタンプを含む LDAP 属性です。

    このオプションは IPA プロバイダーにおいて利用可能ではありません。

    初期値: modifyTimestamp

ldap_service_object_class (文字列)
    LDAP にあるサービスエントリーのオブジェクトクラスです。

    初期値: ipService

ldap_service_name (文字列)
    サービス属性の名前とそのエイリアスを含む LDAP 属性です。

    初期値: cn

ldap_service_port (文字列)
    このサービスにより管理されるポートを含む LDAP 属性です。

    初期値: ipServicePort

ldap_service_proto (文字列)
    このサービスにより認識されるプロトコルを含む LDAP 属性です。

    初期値: ipServiceProtocol

ldap_service_search_base (文字列)
    オプションのベース DN。この属性の種別に対する LDAP 検索を制限する、検索範囲および LDAP フィルター。

    構文:

        search_base[?scope?[filter][?search_base?scope?[filter]]*]

    The scope can be one of "base", "onelevel" or "subtree". The filter must be a valid LDAP search filter as specified by http://www.ietf.org/rfc/rfc2254.txt

    For examples of this syntax, please refer to the “ldap_search_base” examples section.

    初期値: ldap_search_base の値

    Please note that specifying scope or filter is not supported for searches against an Active Directory Server that might yield a large number of results and trigger the Range Retrieval extension in the response.

ldap_search_timeout (整数)
    Specifies the timeout (in seconds) that ldap searches are allowed to run before they are cancelled and cached results are returned (and offline mode is entered)

    注: このオプションは SSSD の将来のバージョンにおいて変更される可能性があります。特定の種類の検索のために一連のタイムアウトによりある時点に置き換えられるかもしれません。

    初期値: 6

ldap_enumeration_search_timeout (整数)
    Specifies the timeout (in seconds) that ldap searches for user and group enumerations are allowed to run before they are cancelled and cached results are returned (and offline mode is entered)

    初期値: 60

ldap_network_timeout (整数)
    connect(2) に続けて poll(2)/select(2) が未使用を返した後のタイムアウト（秒単位）を指定します。

    初期値: 6

ldap_opt_timeout (整数)
    同期 LDAP API を呼び出しが未応答の場合に中止された後のタイムアウト（秒単位）を指定します。

    初期値: 6

ldap_connection_expire_timeout (整数)
    Specifies a timeout (in seconds) that a connection to an LDAP server will be maintained. After this time, the connection will be re-established. If used in parallel with SASL/GSSAPI, the sooner of the two values (this value vs. the TGT lifetime) will be used.

    初期値: 900 (15 分)

ldap_page_size (整数)
    1 回の要求で LDAP から取得するレコード数を指定します。いくつかの LDAP サーバーは 1 要求あたりの最大数の制限を強制します。

    初期値: 1000

ldap_disable_paging (論理値)
    LDAP ページング制御を無効にします。LDAP サーバーがその RootDSE において LDAP ページング制御をサポートするが、有効化されていない、もしくは正しく動作しないことを報告する場合に、このオプションが使用されます。

    例: サーバーにページング制御モジュールがインストールされているが、RootDSE において有効化されていないと報告され、それを使用できない OpenLDAP サーバーです。

    例: 389 DS は単一の接続において同時に 1 つのページ制御のみをサポートします。負荷の高いクライアントにおいては、いくつかの要求が拒否される結果になる可能性があります。

    初期値: 偽

ldap_disable_range_retrieval (論理値)
    Active Directory の範囲の取得を無効化します。

    Active Directory limits the number of members to be retrieved in a single lookup using the MaxValRange policy (which defaults to 1500 members). If a group contains more members, the reply would include an AD-specific range extension. This option disables parsing of the range extension, therefore large groups will appear as having no members.

    初期値: 偽

ldap_sasl_minssf (整数)
    When communicating with an LDAP server using SASL, specify the minimum security level necessary to establish the connection. The values of this option are defined by OpenLDAP.

    Default: Use the system default (usually specified by ldap.conf)

ldap_deref_threshold (整数)
    Specify the number of group members that must be missing from the internal cache in order to trigger a dereference lookup. If less members are missing, they are looked up individually.

    You can turn off dereference lookups completely by setting the value to 0.

    A dereference lookup is a means of fetching all group members in a single LDAP call. Different LDAP servers may implement different dereference methods. The currently supported servers are 389/RHDS, OpenLDAP and Active Directory.

    Note: If any of the search bases specifies a search filter, then the dereference lookup performance enhancement will be disabled regardless of this setting.

    初期値: 10

ldap_tls_reqcert (文字列)
    もしあれば、 TLS セッションにおいてサーバー証明書において実行するためにチェックするものを指定します。以下の値のうち 1 つを指定できます:

    never = クライアントがすべてのサーバー証明書を要求または確認しません。

    allow = サーバー証明書が要求されます。証明書が提供されなければ、セッションが通常通り進められます。不正な証明書が提供されると、それは無視され、セッションが通常通り進められます。

    try = サーバー証明書が要求されます。証明書が提供されなければ、セッションが通常通り進められます。不正な証明書が提供されると、セッションが直ちに終了します。

    demand = サーバー証明書が要求されます。証明書が提供されなければ、もしくは不正な証明書が提供されれば、セッションが直ちに終了します。

    hard = “demand” と同じです

    初期値: hard

ldap_tls_cacert (文字列)
    Specifies the file that contains certificates for all of the Certificate Authorities that sssd が認識するすべての認証局に対する証明書を含むファイルを指定します。

    初期値: OpenLDAP の初期値の使用、一般的に /etc/openldap/ldap.conf にあります

ldap_tls_cacertdir (文字列)
    個別のファイルに CA 証明書を含むディレクトリーのパスを指定します。一般的にファイル名は '.0' で終わる証明書のハッシュである必要があります。利用可能ならば、cacertdir_rehash は正しい名前を作成するために使用できます。

    初期値: OpenLDAP の初期値の使用、一般的に /etc/openldap/ldap.conf にあります

ldap_tls_cert (文字列)
    クライアントのキーに対する証明書を含むファイルを指定します。

    初期値: 設定されません

ldap_tls_key (文字列)
    クライアントのキーを含むファイルを指定します。

    初期値: 設定されません

ldap_tls_cipher_suite (文字列)
    利用可能な暗号機能を指定します。これは一般的にコロン区切りの一覧です。形式については ldap.conf(5) を参照してください。

    初期値: OpenLDAP の初期値の使用、一般的に /etc/openldap/ldap.conf にあります

ldap_id_use_start_tls (論理値)
    チャネルを保護するために tls も使用する必要がある id_provider 接続を指定します。

    初期値: false

ldap_id_mapping (論理値)
    Specifies that SSSD should attempt to map user and group IDs from the ldap_user_objectsid and ldap_group_objectsid attributes instead of relying on ldap_user_uid_number and ldap_group_gid_number.

    この機能は現在 ActiveDirectory objectSID マッピングのみサポートします。

    初期値: false

ldap_min_id, ldap_max_id (整数)
    In contrast to the SID based ID mapping which is used if ldap_id_mapping is set to true the allowed ID range for ldap_user_uid_number and ldap_group_gid_number is unbound. In a setup with sub/trusted-domains this might lead to ID collisions. To avoid collisions ldap_min_id and ldap_max_id can be set to restrict the allowed range for the IDs which are read directly from the server. Sub-domains can then pick other ranges to map IDs.

    Default: not set (both options are set to 0)

ldap_sasl_mech (文字列)
    使用する SASL メカニズムを指定します。現在 GSSAPI のみがテストされサポートされます。

    初期値: 設定されません

ldap_sasl_authid (文字列)
    Specify the SASL authorization id to use. When GSSAPI is used, this represents the Kerberos principal used for authentication to the directory. This option can either contain the full principal (for example host/myhost@EXAMPLE.COM) or just the principal name (for example host/myhost).

    初期値: host/hostname@REALM

ldap_sasl_realm (文字列)
    Specify the SASL realm to use. When not specified, this option defaults to the value of krb5_realm. If the ldap_sasl_authid contains the realm as well, this option is ignored.

    初期値: krb5_realm の値

ldap_sasl_canonicalize (論理値)
    真に設定されていると、 LDAP ライブラリーは SASL バインド中にホスト名を正規化するために逆引きを実行します。

    初期値: false;

ldap_krb5_keytab (文字列)
    SASL/GSSAPI を使用するときに使用するキーテーブルを指定します。

    初期値: システムのキーテーブル、通常 /etc/krb5.keytab

ldap_krb5_init_creds (論理値)
    Kerberos クレディンシャル (TGT) を初期化する id_provider を指定します。この操作は、 SASL が使用され、選択されたメカニズムが GSSAPI である場合のみ実行されます。

    初期値: true

ldap_krb5_ticket_lifetime (整数)
    GSSAPI が使用されている場合、TGT の有効期間を秒単位で指定します。

    初期値: 86400 (24 時間)

krb5_server, krb5_backup_server (文字列)
    Specifies the comma-separated list of IP addresses or hostnames of the Kerberos servers to which SSSD should connect in the order of preference. For more information on failover and server redundancy, see the “FAILOVER” section. An optional port number (preceded by a colon) may be appended to the addresses or hostnames. If empty, service discovery is enabled - for more information, refer to the “SERVICE DISCOVERY” section.

    KDC または kpasswd サーバーに対してサービス検索を使用するとき、SSSD はまずプロトコルとして _udp を指定する DNS エントリーを検索して、何も見つからなければ _tcp にフォールバックします。

    このオプションは以前の SSSD において “krb5_kdcip” という名前でした。古い名前がしばらく認められる間、ユーザーは代わりに “krb5_server” を使用するよう設定ファイルを移行することが推奨されます。

krb5_realm (文字列)
    (SASL/GSSAPI 認証向け) Kerberos レルムを指定します。

    初期値: システムの初期値、/etc/krb5.conf 参照。

krb5_canonicalize (論理値)
    LDAP サーバーに接続するとき、ホストのプリンシパルが正規化されるかどうかを指定します。この機能は MIT Kerberos >= 1.7 で利用可能です。

    初期値: false

krb5_use_kdcinfo (論理値)
    Specifies if the SSSD should instruct the Kerberos libraries what realm and which KDCs to use. This option is on by default, if you disable it, you need to configure the Kerberos library using the krb5.conf(5) configuration file.

    位置情報プラグインの詳細は sssd_krb5_locator_plugin(8) マニュアルページを参照ください。

    初期値: true

ldap_pwd_policy (文字列)
    クライアント側においてパスワード期限切れを評価するためのポリシーを選択します。以下の値が許容されます:

    none - クライアント側において評価しません。このオプションはサーバー側のパスワードポリシーを無効にできません。

    shadow - パスワードが失効したかを評価するために shadow(5) 形式の属性を使用します。

    mit_kerberos - パスワードが期限切れしているかを決定するために MIT Kerberos により使用される属性を使用します。パスワードが変更されるとき、これらの属性を更新するために chpass_provider=krb5 を使用します。

    初期値: none

    Note: if a password policy is configured on server side, it always takes precedence over policy set with this option.

ldap_referrals (論理値)
    自動参照追跡が有効化されるかを指定します。

    OpenLDAP バージョン 2.4.13 およびそれ以降とともにコンパイルされているとき、 sssd のみが参照追跡をサポートすることに注意してください。

    Chasing referrals may incur a performance penalty in environments that use them heavily, a notable example is Microsoft Active Directory. If your setup does not in fact require the use of referrals, setting this option to false might bring a noticeable performance improvement.

    初期値: true

ldap_dns_service_name (文字列)
    サービス検索が有効にされているときに使用するサービスの名前を指定します。

    初期値: ldap

ldap_chpass_dns_service_name (文字列)
    サービス検索が有効にされているときに、パスワード変更を許可する LDAP サーバーを検索するために使用するサービスの名前を指定します。

    初期値: 設定されていません、つまりサービス検索が無効にされています

ldap_chpass_update_last_change (論理値)
    Specifies whether to update the ldap_user_shadow_last_change attribute with days since the Epoch after a password change operation.

    初期値: 偽

ldap_access_filter (文字列)
    If using access_provider = ldap and ldap_access_order = filter (default), this option is mandatory. It specifies an LDAP search filter criteria that must be met for the user to be granted access on this host. If access_provider = ldap, ldap_access_order = filter and this option is not set, it will result in all users being denied access. Use access_provider = permit to change this default behavior. Please note that this filter is applied on the LDAP user entry only.

    例:

        access_provider = ldap
        ldap_access_filter = (employeeType=admin)

    This example means that access to this host is restricted to users whose employeeType attribute is set to "admin".

    この機能に対するオフラインキャッシュは、ユーザーの最終オンラインログインがアクセス権を許可されたかどうかを決めることに制限されます。採集ログインの間にアクセスが許可されていると、オフラインの間にアクセスが許可され続けます。逆もまた同様です。

    初期値: 空白

ldap_account_expire_policy (文字列)
    このオプションを使用すると、アクセス制御属性のクライアント側評価が有効になります。

    必ずサーバー側のアクセス制御を使用することが推奨されることに注意してください。つまり、パスワードが正しいときさえ、適切なエラーコードでバインド要求を拒否します。

    以下の値が許可されます:

    shadow: アカウントが失効しているかを決めるために ldap_user_shadow_expire の値を使用します。

    ad: use the value of the 32bit field ldap_user_ad_user_account_control and allow access if the second bit is not set. If the attribute is missing access is granted. Also the expiration time of the account is checked.

    rhds, ipa, 389ds: アクセスが許可されるかされないかを確認するために ldap_ns_account_lock の値を使用します。

    nds: アクセスが許可されるかを確認するために the values of ldap_user_nds_login_allowed_time_map, ldap_user_nds_login_disabled および ldap_user_nds_login_expiration_time の値が使用されます。どの値もなければ、アクセスが許可されます。 これは実験的な機能です、何らかの問題を報告するには http://fedorahosted.org/sssd を使用してください。

    Please note that the ldap_access_order configuration option must include “expire” in order for the ldap_account_expire_policy option to work.

    初期値: 空白

ldap_access_order (文字列)
    アクセス制御オプションのカンマ区切り一覧です。許可される値は次のとおりです:

    filter: ldap_access_filter を使用します

    lockout: use account locking. If set, this option denies access in case that ldap attribute 'pwdAccountLockedTime' is present and has value of '000001010000Z'. Please see the option ldap_pwdlockout_dn.

    expire: ldap_account_expire_policy を使用します

    authorized_service: アクセス権を決定するために authorizedService 属性を使用します

    host: アクセス権を決めるために host 属性を使用します

    初期値: filter

    値が複数使用されていると設定エラーになることに注意してください。

ldap_pwdlockout_dn (string)
    This option specifies the DN of password policy entry on LDAP server. Please note that absence of this option in sssd.conf in case of enabled account lockout checking will yield access denied as ppolicy attributes on LDAP server cannot be checked properly.

    Example: cn=ppolicy,ou=policies,dc=example,dc=com

    Default: cn=ppolicy,ou=policies,$ldap_search_base

ldap_deref (文字列)
    検索を実行するときにどのように参照解決を実行するかを指定します。以下のオプションが許容されます:

    never: エイリアスが参照解決されません。

    searching: エイリアスはベースオブジェクトの下位に参照解決されますが、検索のベースオブジェクトの位置を探すときはされません。

    finding: エイリアスは検索のベースオブジェクトの位置を探すときのみ参照解決されます。

    always: エイリアスは検索のベースオブジェクトを検索するときも位置を検索するときも参照解決されます。

    初期値: 空白（LDAP クライアントライブラリにより never として取り扱われます）

ldap_rfc2307_fallback_to_local_users (論理値)
    Allows to retain local users as members of an LDAP group for servers that use the RFC2307 schema.

    In some environments where the RFC2307 schema is used, local users are made members of LDAP groups by adding their names to the memberUid attribute. The self-consistency of the domain is compromised when this is done, so SSSD would normally remove the "missing" users from the cached group memberships as soon as nsswitch tries to fetch information about the user via getpw*() or initgroups() calls.

    This option falls back to checking if local users are referenced, and caches them so that later initgroups() calls will augment the local users with the additional LDAP groups.

    初期値: false

SUDO オプション

The detailed instructions for configuration of sudo_provider are in the manual page sssd-sudo(5).

ldap_sudorule_object_class (文字列)
    LDAP にある sudo ルールエントリーのオブジェクトクラスです。

    初期値: sudoRole

ldap_sudorule_name (文字列)
    sudo ルール名に対応する LDAP 属性です。

    初期値: cn

ldap_sudorule_command (文字列)
    コマンド名に対応する LDAP 属性です。

    初期値: sudoCommand

ldap_sudorule_host (文字列)
    ホスト名（またはホスト IP アドレス、ホスト IP ネットワーク、ホストネットワークグループ）に対応する LDAP 属性です。

    初期値: sudoHost

ldap_sudorule_user (文字列)
    ユーザー名（または UID、グループ名、ユーザーのネットワークグループ）に対応する LDAP 属性です。

    初期値: sudoUser

ldap_sudorule_option (文字列)
    sudo オプションに対応する LDAP 属性です。

    初期値: sudoOption

ldap_sudorule_runasuser (文字列)
    コマンドを実行するユーザー名に対応する LDAP 属性です。

    初期値: sudoRunAsUser

ldap_sudorule_runasgroup (文字列)
    コマンドを実行するグループ名またはグループの GID に対応する LDAP 属性です。

    初期値: sudoRunAsGroup

ldap_sudorule_notbefore (文字列)
    sudo ルールが有効になる開始日時に対応する LDAP 属性です。

    初期値: sudoNotBefore

ldap_sudorule_notafter (文字列)
    sudo ルールが有効ではなくなった後に、期限切れとなる日時に対応する LDAP 属性です。

    初期値: sudoNotAfter

ldap_sudorule_order (文字列)
    ルールの並び替えインデックスに対応する LDAP 属性です。

    初期値: sudoOrder

ldap_sudo_full_refresh_interval (整数)
    How many seconds SSSD will wait between executing a full refresh of sudo rules (which downloads all rules that are stored on the server).

    値は ldap_sudo_smart_refresh_interval より大きい必要があります

    初期値: 21600 (6 時間)

ldap_sudo_smart_refresh_interval (整数)
    How many seconds SSSD has to wait before executing a smart refresh of sudo rules (which downloads all rules that have USN higher than the highest USN of cached rules).

    If USN attributes are not supported by the server, the modifyTimestamp attribute is used instead.

    初期値: 900 (15 分)

ldap_sudo_use_host_filter (論理値)
    If true, SSSD will download only rules that are applicable to this machine (using the IPv4 or IPv6 host/network addresses and hostnames).

    初期値: true

ldap_sudo_hostnames (文字列)
    ルールをフィルターするために使用されるホスト名または完全修飾ドメイン名の空白区切り一覧です。

    If this option is empty, SSSD will try to discover the hostname and the fully qualified domain name automatically.

    ldap_sudo_use_host_filter が false ならば、このオプションは効果を持ちません。

    初期値: 指定なし

ldap_sudo_ip (文字列)
    ルールをフィルターするために使用される、IPv4 または IPv6 ホスト/ネットワークアドレスの空白区切り一覧です。

    このオプションが空白ならば、SSSD は自動的にアドレスを検索しようとします。

    ldap_sudo_use_host_filter が false ならば、このオプションは効果を持ちません。

    初期値: 指定なし

ldap_sudo_include_netgroups (論理値)
    If true then SSSD will download every rule that contains a netgroup in sudoHost attribute.

    ldap_sudo_use_host_filter が false ならば、このオプションは効果を持ちません。

    初期値: true

ldap_sudo_include_regexp (論理値)
    If true then SSSD will download every rule that contains a wildcard in sudoHost attribute.

    ldap_sudo_use_host_filter が false ならば、このオプションは効果を持ちません。

    初期値: true

このマニュアルページは属性名マッピングのみを説明します。 sudo に関連する属性セマンティックの詳細な説明は sudoers.ldap(5) を参照してください

高度なオプション

これらのオプションは LDAP ドメインによりサポートされますが、注意して使用する必要があります。自分が何をしているかを理解している場合のみ、設定に含めてください。

ldap_netgroup_search_base (文字列)
    オプションのベース DN。この属性の種別に対する LDAP 検索を制限する、検索範囲および LDAP フィルター。

    構文:

        search_base[?scope?[filter][?search_base?scope?[filter]]*]

    The scope can be one of "base", "onelevel" or "subtree". The filter must be a valid LDAP search filter as specified by http://www.ietf.org/rfc/rfc2254.txt

    For examples of this syntax, please refer to the “ldap_search_base” examples section.

    初期値: ldap_search_base の値

    Please note that specifying scope or filter is not supported for searches against an Active Directory Server that might yield a large number of results and trigger the Range Retrieval extension in the response.

ldap_user_search_base (文字列)
    オプションのベース DN。この属性の種別に対する LDAP 検索を制限する、検索範囲および LDAP フィルター。

    構文:

        search_base[?scope?[filter][?search_base?scope?[filter]]*]

    The scope can be one of "base", "onelevel" or "subtree". The filter must be a valid LDAP search filter as specified by http://www.ietf.org/rfc/rfc2254.txt

    For examples of this syntax, please refer to the “ldap_search_base” examples section.

    初期値: ldap_search_base の値

    Please note that specifying scope or filter is not supported for searches against an Active Directory Server that might yield a large number of results and trigger the Range Retrieval extension in the response.

ldap_group_search_base (文字列)
    オプションのベース DN。この属性の種別に対する LDAP 検索を制限する、検索範囲および LDAP フィルター。

    構文:

        search_base[?scope?[filter][?search_base?scope?[filter]]*]

    The scope can be one of "base", "onelevel" or "subtree". The filter must be a valid LDAP search filter as specified by http://www.ietf.org/rfc/rfc2254.txt

    For examples of this syntax, please refer to the “ldap_search_base” examples section.

    初期値: ldap_search_base の値

    Please note that specifying scope or filter is not supported for searches against an Active Directory Server that might yield a large number of results and trigger the Range Retrieval extension in the response.

ldap_user_search_filter (string)
    This option specifies an additional LDAP search filter criteria that restrict user searches.

    This option is deprecated in favor of the syntax used by ldap_user_search_base.

    初期値: 設定されません

    例:

                                    ldap_user_search_filter = (loginShell=/bin/tcsh)

    This filter would restrict user searches to users that have their shell set to /bin/tcsh.

ldap_group_search_filter (string)
    This option specifies an additional LDAP search filter criteria that restrict group searches.

    This option is deprecated in favor of the syntax used by ldap_group_search_base.

    初期値: 設定されません

ldap_sudo_search_base (文字列)
    オプションのベース DN。この属性の種別に対する LDAP 検索を制限する、検索範囲および LDAP フィルター。

    構文:

        search_base[?scope?[filter][?search_base?scope?[filter]]*]

    The scope can be one of "base", "onelevel" or "subtree". The filter must be a valid LDAP search filter as specified by http://www.ietf.org/rfc/rfc2254.txt

    For examples of this syntax, please refer to the “ldap_search_base” examples section.

    初期値: ldap_search_base の値

    Please note that specifying scope or filter is not supported for searches against an Active Directory Server that might yield a large number of results and trigger the Range Retrieval extension in the response.

フェイルオーバー

The failover feature allows back ends to automatically switch to a different server if the current server fails.

  フェイルオーバーの構文

サーバーの一覧がカンマ区切り一覧として与えられます。カンマの前後で空白はいくつでも許されます。サーバーは性能の順番で一覧化されます。一覧はサーバーをいくつでも含められます。

For each failover-enabled config option, two variants exist: primary and backup. The idea is that servers in the primary list are preferred and backup servers are only searched if no primary servers can be reached. If a backup server is selected, a timeout of 31 seconds is set. After this timeout SSSD will periodically try to reconnect to one of the primary servers. If it succeeds, it will replace the current active (backup) server.

  フェイルオーバーのメカニズム

The failover mechanism distinguishes between a machine and a service. The back end first tries to resolve the hostname of a given machine; if this resolution attempt fails, the machine is considered offline. No further attempts are made to connect to this machine for any other service. If the resolution attempt succeeds, the back end tries to connect to a service on this machine. If the service connection attempt fails, then only this particular service is considered offline and the back end automatically switches over to the next service. The machine is still considered online and might still be tried for another service.

Further connection attempts are made to machines or services marked as offline after a specified period of time; this is currently hard coded to 30 seconds.

If there are no more machines to try, the back end as a whole switches to offline mode, and then attempts to reconnect every 30 seconds.

サービス探索

The service discovery feature allows back ends to automatically find the appropriate servers to connect to using a special DNS query. This feature is not supported for backup servers.

  設定

何もサーバーが指定されていなければ、バックエンドがサーバーを見つけようとするために、サービス探索を自動的に使用します。オプションとして、サーバーの一覧に特別なキーワード “_srv_” を挿入することにより、ユーザーが固定サーバーアドレスおよびサービス探索のどちらも使用することを選択できます。これは設定の順番が維持されます。たとえば、ユーザーができる限りサービス探索を使用し、DNS を使用してサーバーを探索できないときに特定のサーバーにフォールバックしたい場合、この機能は有用です。

  ドメイン名

詳細は sssd.conf(5) マニュアルページにある “dns_discovery_domain” パラメーターを参照してください。

  プロトコル

問い合わせは通常プロトコルとして _tcp を指定します。その他はそれぞれのオプションの説明にドキュメント化されています。

  関連項目

サービス検索メカニズムに関する詳細は RFC 2782 を参照してください。

ID マッピング

The ID-mapping feature allows SSSD to act as a client of Active Directory without requiring administrators to extend user attributes to support POSIX attributes for user and group identifiers.

NOTE: When ID-mapping is enabled, the uidNumber and gidNumber attributes are ignored. This is to avoid the possibility of conflicts between automatically-assigned and manually-assigned values. If you need to use manually-assigned values, ALL values must be manually-assigned.

Please note that changing the ID mapping related configuration options will cause user and group IDs to change. At the moment, SSSD does not support changing IDs, so the SSSD database must be removed. Because cached passwords are also stored in the database, removing the database should only be performed while the authentication servers are reachable, otherwise users might get locked out. In order to cache the password, an authentication must be performed. It is not sufficient to use sss_cache(8) to remove the database, rather the process consists of:

    • Making sure the remote servers are reachable

    • Stopping the SSSD service

    • Removing the database

    • Starting the SSSD service

Moreover, as the change of IDs might necessitate the adjustment of other system properties such as file and directory ownership, it's advisable to plan ahead and test the ID mapping configuration thoroughly.

  マッピング・アルゴリズム

Active Directory provides an objectSID for every user and group object in the directory. This objectSID can be broken up into components that represent the Active Directory domain identity and the relative identifier (RID) of the user or group object.

The SSSD ID-mapping algorithm takes a range of available UIDs and divides it into equally-sized component sections - called "slices"-. Each slice represents the space available to an Active Directory domain.

When a user or group entry for a particular domain is encountered for the first time, the SSSD allocates one of the available slices for that domain. In order to make this slice-assignment repeatable on different client machines, we select the slice based on the following algorithm:

The SID string is passed through the murmurhash3 algorithm to convert it to a 32-bit hashed value. We then take the modulus of this value with the total number of available slices to pick the slice.

NOTE: It is possible to encounter collisions in the hash and subsequent modulus. In these situations, we will select the next available slice, but it may not be possible to reproduce the same exact set of slices on other machines (since the order that they are encountered will determine their slice). In this situation, it is recommended to either switch to using explicit POSIX attributes in Active Directory (disabling ID-mapping) or configure a default domain to guarantee that at least one is always consistent. See “Configuration” for details.

  設定

最小の設定 (“[domain/DOMAINNAME]” セクションにおいて):

    ldap_id_mapping = True
    ldap_schema = ad

The default configuration results in configuring 10,000 slices, each capable of holding up to 200,000 IDs, starting from 10,001 and going up to 2,000,100,000. This should be sufficient for most deployments.

高度な設定

    ldap_idmap_range_min (整数)
        Active Directory ユーザーとグループの SID をマッピングするために使用する POSIX ID の範囲の下限を指定します。

        NOTE: This option is different from “min_id” in that “min_id” acts to filter the output of requests to this domain, whereas this option controls the range of ID assignment. This is a subtle distinction, but the good general advice would be to have “min_id” be less-than or equal to “ldap_idmap_range_min”

        初期値: 200000

    ldap_idmap_range_max (整数)
        Active Directory ユーザーとグループ SID をマッピングするために使用する POSIX ID の範囲の上限を指定します。

        NOTE: This option is different from “max_id” in that “max_id” acts to filter the output of requests to this domain, whereas this option controls the range of ID assignment. This is a subtle distinction, but the good general advice would be to have “max_id” be greater-than or equal to “ldap_idmap_range_max”

        初期値: 2000200000

    ldap_idmap_range_size (整数)
        各スライスに利用可能な ID 番号を指定します。範囲の大きさが最小値、最大値の中にうまく分けられなければ、できる限り多くの完全なスライスとして作成されます。

        初期値: 200000

    ldap_idmap_default_domain_sid (文字列)
        Specify the domain SID of the default domain. This will guarantee that this domain will always be assigned to slice zero in the ID map, bypassing the murmurhash algorithm described above.

        初期値: 設定されません

    ldap_idmap_default_domain (文字列)
        初期ドメインの名前を指定します。

        初期値: 設定されません

    ldap_idmap_autorid_compat (論理値)
        winbind の “idmap_autorid” アルゴリズムとより同じように振る舞うために ID マッピングのアルゴリズムの振る舞いを変更します。

        このオプションが設定されるとき、ドメインはスライス 0 から始まり、各追加ドメインに単原子的に増加するよう割り当てられます。

        注記: このアルゴリズムは非決定的です (ユーザーとグループが要求された順番に依存します)。このモードはマシンが実行中の winbind と互換性が必要ならば、少なくとも一つのドメインが一貫してスライス 0 に割り当てられることを保証するために、“ldap_idmap_default_domain_sid” オプションも使用することが推奨されます。

        初期値: 偽

例

以下の例は、SSSD が正しく設定され、LDAP が [domains] セクションにあるドメインのどれかに設定されていると仮定しています。

        [domain/LDAP]
        id_provider = ldap
        auth_provider = ldap
        ldap_uri = ldap://ldap.mydomain.org
        ldap_search_base = dc=mydomain,dc=org
        ldap_tls_reqcert = demand
        cache_credentials = true

注記

このマニュアルページにある設定オプションのいくつかの説明は、OpenLDAP 2.4 ディストリビューションから ldap.conf(5) マニュアルページに基づいています。

関連項目

sssd(8), sssd.conf(5), sssd-ldap(5), sssd-krb5(5), sssd-simple(5), sssd-ipa(5), sssd-ad(5), sssd-sudo(5), sss_cache(8), sss_debuglevel(8), sss_groupadd(8), sss_groupdel(8), sss_groupshow(8), sss_groupmod(8), sss_useradd(8), sss_userdel(8), sss_usermod(8), sss_obfuscate(8), sss_seed(8), sssd_krb5_locator_plugin(8), sss_ssh_authorizedkeys(8), sss_ssh_knownhostsproxy(8), sssd-ifp(5), pam_sss(8).

AUTHORS

The SSSD upstream - http://fedorahosted.org/sssd

NOTES

1.  MSDN(TM) documentation
    http://msdn.microsoft.com/en-us/library/windows/desktop/aa746475%28v=vs.85%29.aspx