SSSD.CONF(5)

NAME
sssd.conf - SSSD の設定ファイル

ファイルフォーマット

ファイルは ini 形式の構文を持ち、セクションとパラメーターから構成されます。セクションは角括弧にあるセクション名から始まり、次のセクションが始まるまで続きます。 1 つセクションと複数の値を持つパラメーターの例:

                    [section]
                    key = value
                    key2 = value2,value3

使用されるデータ形式は、文字列（引用符は不要）、整数および論理値（“TRUE/FALSE” の値）です。

A line comment starts with a hash sign (“#”) or a semicolon (“;”). Inline comments are not supported.

すべてのセクションはオプションの description パラメーターを持てます。その機能はセクションのラベルとしてのみです。

sssd.conf は、root により所有され、root のみが読み書きできる、通常のファイルである必要があります。

特別セクション

  [sssd] セクション

SSSD の機能の各部分は SSSD と一緒に開始および停止される特別な SSSD サービスにより提供されます。特別なサービスにより管理されるサービスはよく“モニター”と呼ばれます。“[sssd]” セクションは、モニターだけでなく、識別ドメインのような他の重要なオプションを設定するために使用されます。

セクションのパラメーター

config_file_version (整数)
    設定ファイルの構文が何であるカを指示します。SSSD 0.6.0 およびそれ以降はバージョン 2 を使用します。

services
    sssd 自身が開始するときに開始されるサービスのカンマ区切り一覧です。

    Supported services: nss, pam , sudo , ssh , pac , ifp

reconnection_retries (整数)
    データプロバイダーがクラッシュまたは再起動した場合、サービスが再接続をあきらめる前に試行する回数です。

    初期値: 3

domains
    ドメインはユーザー情報を含むデータベースです。SSSD は同時に複数のドメインを使用できますが、少なくとも一つを設定する必要があります。さもなければ SSSD は開始できません。このパラメーターは検索したいドメインの一覧を表します。ドメイン名は ASCII 英数字、ダッシュ (-) およびアンダースコア (_) のみを使用できます。

re_expression (文字列)
    Default regular expression that describes how to parse the string containing user name and domain into these components.

    Each domain can have an individual regular expression configured. For some ID providers there are also default regular expressions. See DOMAIN SECTIONS for more info on these regular expressions.

full_name_format (文字列)
    ユーザー名とドメイン名のコンポーネントから完全修飾名を表現する方法を表す printf(3) 互換形式。

    以下の拡張モジュールがサポートされます:

    %1$s
        ユーザー名

    %2$s
        SSSD 設定ファイルにおいて指定されるドメイン名。

    %3$s
        domain flat name. Mostly usable for Active Directory domains, both directly configured or discovered via IPA trusts.

    Each domain can have an individual format string configured. see DOMAIN SECTIONS for more info on this option.

try_inotify (論理値)
    SSSD は、内部 DNS リゾルバーを更新する必要となるときを認識するために、resolv.conf の状態を監視します。初期状態では、このために inotify を使用しようとします。inotify が使用できない場合 5 秒ごとに resolv.conf をポーリングするようフォールバックします。

    inotify を使用することをスキップすることが望ましい、いくつかの制限された状況があります。これらの珍しい場合では、このオプションが 'false' に設定されるべきです

    初期値: inotify がサポートされるプラットフォームにおいては真です。他のプラットフォームにおいては偽です。

    注: このオプションは inotify が利用不可能なプラットフォームにおいて効果がありません。これらのプラットフォームにおいては、ポーリングが常に使用されます。

krb5_rcache_dir (文字列)
    SSSD が Kerberos リプレイキャッシュファイルを保存するファイルシステムのディレクトリーです。

    このオプションは、libkrb5 がリプレイキャッシュに対する適切な場所を決められるよう SSSD に指示する、特別な値 __LIBKRB5_DEFAULTS__ を受け付けます。

    初期値: ディストリビューション固有かつ構築時に指定されます。 (設定されていなければ __LIBKRB5_DEFAULTS__ です)

default_domain_suffix (文字列)
    This string will be used as a default domain name for all names without a domain name component. The main use case is environments where the primary domain is intended for managing host policies and all users are located in a trusted domain. The option allows those users to log in just with their user name without giving a domain name as well.

    Please note that if this option is set all users from the primary domain have to use their fully qualified name, e.g. user@domain.name, to log in.

    初期値: 設定されません

override_space (string)
    This parameter will replace spaces (space bar) with the given character for user and group names. e.g. (_). User name "john doe" will be "john_doe" This feature was added to help compatibility with shell scripts that have difficulty handling spaces, due to the default field separator in the shell.

    Please note it is a configuration error to use a replacement character that might be used in user or group names. If a name contains the replacement character SSSD tries to return the unmodified name but in general the result of a lookup is undefined.

    Default: not set (spaces will not be replaced)

サービスセクション

異なるサービスを設定するために使用される設定がこのセクションに記述されます。それらは [$NAME] セクションに置かれます。たとえば、NSS サービスは “[nss]” セクションです

  サービス設定の全体オプション

これらのオプションはすべてのサービスを設定するために使用できます。

debug_level (整数)
    SSSD supports two representations for specifying the debug level. The simplest is to specify a decimal value from 0-9, which represents enabling that level and all lower-level debug messages. The more comprehensive option is to specify a hexadecimal bitmask to enable or disable specific levels (such as if you wish to suppress a level).

    現在サポートされるデバッグレベル:

    0, 0x0010: Fatal failures. Anything that would prevent SSSD from starting up or causes it to cease running.

    1, 0x0020: Critical failures. An error that doesn't kill the SSSD, but one that indicates that at least one major feature is not going to work properly.

    2, 0x0040: Serious failures. An error announcing that a particular request or operation has failed.

    3, 0x0080: Minor failures. These are the errors that would percolate down to cause the operation failure of 2.

    4, 0x0100: Configuration settings.

    5, 0x0200: Function data.

    6, 0x0400: Trace messages for operation functions.

    7, 0x1000: Trace messages for internal control functions.

    8, 0x2000: Contents of function-internal variables that may be interesting.

    9, 0x4000: Extremely low-level tracing information.

    To log required bitmask debug levels, simply add their numbers together as shown in following examples:

    例: 致命的なエラー、重大なエラー、深刻なエラーおよび関数データをログに取得するには 0x0270 を使用します。

    例: 致命的なエラー、設定値の設定、関数データ、内部制御関数のトレースメッセージをログに取得するには 0x1310 を使用します。

    Note: The bitmask format of debug levels was introduced in 1.7.0.

    Default: 0

debug_timestamps (論理値)
    デバッグメッセージに日時を追加します

    初期値: true

debug_microseconds (論理値)
    デバッグメッセージの日時にマイクロ秒を追加します

    初期値: false

timeout (整数)
    Timeout in seconds between heartbeats for this service. This is used to ensure that the process is alive and capable of answering requests.

    初期値: 10

reconnection_retries (整数)
    データプロバイダーがクラッシュまたは再起動した場合、サービスが再接続をあきらめる前に試行する回数です。

    初期値: 3

fd_limit
    This option specifies the maximum number of file descriptors that may be opened at one time by this SSSD process. On systems where SSSD is granted the CAP_SYS_RESOURCE capability, this will be an absolute setting. On systems without this capability, the resulting value will be the lower value of this or the limits.conf "hard" limit.

    Default: 8192 (or limits.conf "hard" limit)

client_idle_timeout
    このオプションは、SSSD プロセスのクライアントがそれとコミュニケーションなしでファイル記述子に保持できる秒数を指定します。この値はシステムのリソース枯渇を避けるために制限されます。

    初期値: 60

force_timeout (整数)
    If a service is not responding to ping checks (see the “timeout” option), it is first sent the SIGTERM signal that instructs it to quit gracefully. If the service does not terminate after “force_timeout” seconds, the monitor will forcibly shut it down by sending a SIGKILL signal.

    初期値: 60

  NSS 設定オプション

これらのオプションは Name Service Switch (NSS) サービスを設定するために使用できます。

enum_cache_timeout (整数)
    nss_sss が列挙をキャッシュする秒数です（すべてのユーザーに関する情報に対する要求）。

    初期値: 120

entry_cache_nowait_percentage (整数)
    エントリーキャッシュは、ドメインに対して entry_cache_timeout の値を超えて要求された場合に、バックグラウンドでエントリーを自動的に更新するよう設定できます。

    たとえば、ドメインの entry_cache_timeout が 30s に設定され、entry_cache_nowait_percentage が 50 (%) に設定されていると、エントリーが 15 秒経過後にきて、最新の更新キャッシュが直ちに返されます。しかし、SSSD が自身にキャッシュされ、更新されます。そのため、その先の要求はキャッシュ更新を待つことをブロックする必要がありません。

    このオプションに対して有効な値は 0-99 です。各ドメインに対する entry_cache_timeout のパーセンテージを表します。性能上の理由から、このパーセンテージは 10 秒よりも小さく nowait タイムアウトを減らすべきではありません。（0 はこの機能を無効にします）

    初期値: 50

entry_negative_timeout (整数)
    nss_sss が再びバックエンドに問い合わせる前にネガティブキャッシュヒット（つまり、存在しないドメインのように、無効なデータベースエントリーに対する問い合わせ）をキャッシュする秒数を指定します。

    初期値: 15

filter_users, filter_groups (文字列)
    sss NSS データベースから取り出されたものから特定のユーザーを除外します。これはとくにシステムアカウントに対して有効です。このオプションはドメインごとに設定できます。または特定のドメインからユーザーのみをフィルターするために完全修飾名を含めることができます。

    初期値: root

filter_users_in_groups (論理値)
    フィルターされたユーザーがまだグループメンバーのままにしたいならば、このオプションを偽に設定します。

    初期値: true

override_homedir (文字列)
    ユーザーのホームディレクトリーを上書きします。絶対パスまたはテンプレートを提供できます。テンプレートでは、以下のシーケンスが置換されます:

    %u
        ログイン名

    %U
        UID 番号

    %d
        ドメイン名

    %f
        完全修飾ユーザー名 (user@domain)

    %o
        The original home directory retrieved from the identity provider.

    %H
        The value of configure option homedir_substring.

    %%
        文字 '%'

    このオプションはドメインごとに設定できます。

    例:

        override_homedir = /home/%u

    初期値: 設定なし (SSSD は LDAP から取得された値を使用します)

homedir_substring (string)
    The value of this option will be used in the expansion of the override_homedir option if the template contains the format string %H. An LDAP directory entry can directly contain this template so that this option can be used to expand the home directory path for each client machine (or operating system). It can be set per-domain or globally in the [nss] section. A value specified in a domain section will override one set in the [nss] section.

    Default: /home

fallback_homedir (文字列)
    ドメインのデータプロバイダーにより明示的に指定されていない場合に、ユーザーのホームディレクトリーの標準テンプレートを設定します。

    このオプションに対して利用可能なオプションは override_homedir に対するものと同じです。

    例:

        fallback_homedir = /home/%u

    初期値: 設定なし (ホームディレクトリーの設定がない場合は代替なし)

override_shell (文字列)
    Override the login shell for all users. This option supersedes any other shell options if it takes effect and can be set either in the [nss] section or per-domain.

    初期値: 設定なし (SSSD は LDAP から取得された値を使用します)

allowed_shells (文字列)
    ユーザーのシェルを一覧にある値のどれかに制限します。評価の順番は次のとおりです:

    1. シェルが “/etc/shells” に存在すると、それが使用されます。

    2. シェルが allowed_shells 一覧にあるが、“/etc/shells” になければ、shell_fallback パラメーターの値を使用します。

    3. シェルが allowed_shells 一覧になく、“/etc/shells” にもなければ、nologin シェルが使用されます。

    シェルの空文字列は libc にそのまま渡されます。

    “/etc/shells” は SSSD が開始されるときにのみ読み込まれます。これは新しいシェルがインストールされた場合 SSSD の再起動が必要になることを意味します。

    初期値: 設定されません。ユーザーシェルが自動的に使用されます。

vetoed_shells (文字列)
    これらのシェルのインスタンスをすべて shell_fallback に置き換えます

shell_fallback (文字列)
    許可されたシェルがマシンにインストールされていない場合に使用する標準シェルです。

    初期値: /bin/sh

default_shell
    The default shell to use if the provider does not return one during lookup. This option can be specified globally in the [nss] section or per-domain.

    Default: not set (Return NULL if no shell is specified and rely on libc to substitute something sensible when necessary, usually /bin/sh)

get_domains_timeout (整数)
    Specifies time in seconds for which the list of subdomains will be considered valid.

    初期値: 60

memcache_timeout (整数)
    Specifies time in seconds for which records in the in-memory cache will be valid

    初期値: 300

  PAM 設定オプション

これらのオプションは Pluggable Authentication Module (PAM) サービスを設定するために使用できます。

offline_credentials_expiration (整数)
    認証プロバイダーがオフラインの場合に、キャッシュログインを許可する時間（オンラインログインの最終成功からの日数）です。

    初期値: 0 (無制限)

offline_failed_login_attempts (整数)
    認証プロバイダーがオフラインの場合、ログイン試行の失敗が許容される回数です。

    初期値: 0 (無制限)

offline_failed_login_delay (整数)
    新しいログイン試行が可能になる前に offline_failed_login_attempts に達した後に渡される分単位の時間です。

    0 に設定されていると、offline_failed_login_attempts に達した場合、ユーザーがオフライン認証できません。オンライン認証に成功すると、再びオフライン認証を有効にできます。

    初期値: 5

pam_verbosity (整数)
    認証中にユーザーに表示されるメッセージの種類を制御します。数字が大きければ大きいほどメッセージが表示されます。

    現在 sssd は以下の値をサポートします:

    0: 何もメッセージを表示しない

    1: 重要なメッセージのみを表示する

    2: 情報レベルのメッセージを表示する

    3: すべてのメッセージとデバッグ情報を表示する

    初期値: 1

pam_id_timeout (整数)
    SSSD がオンラインの間はすべての PAM 要求に対して、ユーザーが最新の情報で認証されるよう、SSSD は直ちにキャッシュされた識別情報を更新しようとします。

    完全な PAM のやりとりは、アカウント管理やセッション開始のように、複数の PAM 要求を実行できます。このオプションは、識別プロバイダーに対する過剰なラウンドトリップを避けるために識別情報をキャッシュできる時間（秒数）を（クライアントアプリケーションごとに）制御します。

    初期値: 5

pam_pwd_expiration_warning (整数)
    パスワードの期限が切れる前に N 日間警告を表示します。

    バックエンドのサーバーがパスワードの有効期間に関する情報を提供する必要があることに注意してください。この情報がなければ、sssd は警告を表示します。

    If zero is set, then this filter is not applied, i.e. if the expiration warning was received from backend server, it will automatically be displayed.

    This setting can be overridden by setting pwd_expiration_warning for a particular domain.

    初期値: 0

get_domains_timeout (整数)
    Specifies time in seconds for which the list of subdomains will be considered valid.

    初期値: 60

  SUDO 設定オプション

These options can be used to configure the sudo service. The detailed instructions for configuration of sudo(8) to work with sssd(8) are in the manual page sssd-sudo(5).

sudo_timed (論理値)
    時間依存の sudoers エントリーを実装する sudoNotBefore と sudoNotAfter の属性を評価するかしないかです。

    初期値: false

  SSH 設定オプション

これらのオプションは SSH サービスを設定するために使用されます。

ssh_hash_known_hosts (論理値)
    Whether or not to hash host names and addresses in the managed known_hosts file.

    初期値: true

ssh_known_hosts_timeout (整数)
    How many seconds to keep a host in the managed known_hosts file after its host keys were requested.

    初期値: 180

  PAC responder configuration options

The PAC responder works together with the authorization data plugin for MIT Kerberos sssd_pac_plugin.so and a sub-domain provider. The plugin sends the PAC data during a GSSAPI authentication to the PAC responder. The sub-domain provider collects domain SID and ID ranges of the domain the client is joined to and of remote trusted domains from the local domain controller. If the PAC is decoded and evaluated some of the following operations are done:

    • If the remote user does not exist in the cache, it is created. The uid is determined with the help of the SID, trusted domains will have UPGs and the gid will have the same value as the uid. The home directory is set based on the subdomain_homedir parameter. The shell will be empty by default, i.e. the system defaults are used, but can be overwritten with the default_shell parameter.

    • If there are SIDs of groups from domains sssd knows about, the user will be added to those groups.

These options can be used to configure the PAC responder.

allowed_uids (文字列)
    Specifies the comma-separated list of UID values or user names that are allowed to access the PAC responder. User names are resolved to UIDs at startup.

    Default: 0 (only the root user is allowed to access the PAC responder)

    Please note that although the UID 0 is used as the default it will be overwritten with this option. If you still want to allow the root user to access the PAC responder, which would be the typical case, you have to add 0 to the list of allowed UIDs as well.

ドメインセクション

これらの設定オプションはドメイン設定のセクション、つまり “[domain/NAME]” に存在します

min_id,max_id (整数)
    ドメインに対する UID と GID の制限です。ドメインがこれらの制限の外にあるエントリーを含む場合、それは無視されます。

    ユーザーに対して、これはプライマリー GID 制限に影響します。 UID またはプライマリー GID が範囲外ならば、ユーザーは NSS に返されません。非プライマリーメンバーに対して、範囲内にあるものは予期されたものとして報告されます。

    These ID limits affect even saving entries to cache, not only returning them by name or ID.

    初期値: min_id は 1, max_id は 0 (無制限)

enumerate (論理値)
    ドメインが列挙できるかを決定します。このパラメーターは以下の値のどれかである必要があります:

    TRUE = ユーザーとグループが列挙されます

    FALSE = このドメインに対して列挙しません

    初期値: FALSE

    Note: Enabling enumeration has a moderate performance impact on SSSD while enumeration is running. It may take up to several minutes after SSSD startup to fully complete enumerations. During this time, individual requests for information will go directly to LDAP, though it may be slow, due to the heavy enumeration processing. Saving a large number of entries to cache after the enumeration completes might also be CPU intensive as the memberships have to be recomputed.

    最初の列挙が実行中の間、完全なユーザーまたはグループの一覧に対する要求は、それが完了するまで結果を返しません。

    さらに、列挙を有効にすることにより、挙の検索が確実に正しく完了するよりも長くする必要があるので、ネットワーク切断を検知するために必要な時間が増える可能性があります。詳細は使用している具体的な id_provider のマニュアルページを参照してください。

    For the reasons cited above, enabling enumeration is not recommended, especially in large environments.

subdomain_enumerate (string)
    Whether any of autodetected trusted domains should be enumerated. The supported values are:

    all
        All discovered trusted domains will be enumerated

    none
        No discovered trusted domains will be enumerated

    Optionally, a list of one or more domain names can enable enumeration just for these trusted domains.

    初期値: none

force_timeout (整数)
    If a service is not responding to ping checks (see the “timeout” option), it is first sent the SIGTERM signal that instructs it to quit gracefully. If the service does not terminate after “force_timeout” seconds, the monitor will forcibly shut it down by sending a SIGKILL signal.

    初期値: 60

entry_cache_timeout (整数)
    nss_sss が再びバックエンドに問い合わせる前にエントリーを有効であると考える秒数です。

    The cache expiration timestamps are stored as attributes of individual objects in the cache. Therefore, changing the cache timeout only has effect for newly added or expired entries. You should run the sss_cache(8) tool in order to force refresh of entries that have already been cached.

    初期値: 5400

entry_cache_user_timeout (整数)
    nss_sss が再びバックエンドに問い合わせる前にユーザーエントリーを有効であると考える秒数です。

    初期値: entry_cache_timeout

entry_cache_group_timeout (整数)
    nss_sss が再びバックエンドに問い合わせる前にグループエントリーを有効であると考える秒数です。

    初期値: entry_cache_timeout

entry_cache_netgroup_timeout (整数)
    nss_sss が再びバックエンドに問い合わせる前にネットワークグループエントリーを有効であると考える秒数です。

    初期値: entry_cache_timeout

entry_cache_service_timeout (整数)
    nss_sss が再びバックエンドに問い合わせる前にサービスエントリーを有効であると考える秒数です。

    初期値: entry_cache_timeout

entry_cache_sudo_timeout (integer)
    How many seconds should sudo consider rules valid before asking the backend again

    初期値: entry_cache_timeout

refresh_expired_interval (整数)
    Specifies how many seconds SSSD has to wait before triggering a background refresh task which will refresh all expired or nearly expired records.

    Currently only refreshing expired netgroups is supported.

    You can consider setting this value to 3/4 * entry_cache_timeout.

    初期値: 0 (無効)

cache_credentials (論理値)
    ユーザーのクレディンシャルがローカル LDB キャッシュにキャッシュされるかどうかを決めます

    ユーザーのクレディンシャルが、平文ではなく SHA512 ハッシュで保存されます

    初期値: FALSE

account_cache_expiration (整数)
    正常にログイン後、キャッシュのクリーンアップ中にエントリーが削除される前の日数です。 0 は永久に保持することを意味します。このパラメーターの値は offline_credentials_expiration と同等以上でなければいけません。

    初期値: 0 (無制限)

pwd_expiration_warning (整数)
    パスワードの期限が切れる前に N 日間警告を表示します。

    If zero is set, then this filter is not applied, i.e. if the expiration warning was received from backend server, it will automatically be displayed.

    Please note that the backend server has to provide information about the expiration time of the password. If this information is missing, sssd cannot display a warning. Also an auth provider has to be configured for the backend.

    初期値: 7 (Kerberos), 0 (LDAP)

id_provider (文字列)
    ドメインに対して使用される識別子プロバイダーです。サポートされる ID プロバイダーは次のとおりです:

    “proxy”: レガシーな NSS プロバイダーのサポート

    “local”: ローカルユーザー向け SSSD 内部プロバイダー

    “ldap”: LDAP プロバイダー。LDAP の設定に関する詳細は sssd-ldap(5) を参照してください。

    “ipa”: FreeIPA および Red Hat Enterprise Identity Management プロバイダー。FreeIPA の設定に関する詳細は sssd-ipa(5) を参照してください。

    “ad”: Active Directory プロバイダー。Active Directory の設定に関する詳細は sssd-ad(5) を参照してください。

use_fully_qualified_names (論理値)
    NSS に報告するユーザーのログイン名としてフルネームとドメイン (ドメインの完全名形式により整形されたように) を使用します。

    TRUE に設定されていると、このドメインへのすべての要求は完全修飾名を使用する必要があります。たとえば、 "test" ユーザーを含む LOCAL ドメインにおいて使用されていると、getent passwd test はユーザーを見つけられませんが、getent passwd test@LOCAL は見つけられます。

    NOTE: This option has no effect on netgroup lookups due to their tendency to include nested netgroups without qualified names. For netgroups, all domains will be searched when an unqualified name is requested.

    初期値: FALSE

ignore_group_members (論理値)
    Do not return group members for group lookups.

    If set to TRUE, the group membership attribute is not requested from the ldap server, and group members are not returned when processing group lookup calls.

    初期値: FALSE

auth_provider (文字列)
    ドメインに対して使用される認証プロバイダーです。サポートされる認証プロバイダーは次のとおりです:

    “ldap” は本来の LDAP 認証向けです。LDAP の設定に関する詳細は sssd-ldap(5) を参照してください。

    “krb5” は Kerberos 認証向けです。Kerberos の設定に関する詳細は sssd-krb5(5) を参照してください。

    “ipa”: FreeIPA および Red Hat Enterprise Identity Management プロバイダー。FreeIPA の設定に関する詳細は sssd-ipa(5) を参照してください。

    “ad”: Active Directory プロバイダー。Active Directory の設定に関する詳細は sssd-ad(5) を参照してください。

    “proxy” はいくつかの他の PAM ターゲットに認証を中継します。

    “none” は明示的に認証を無効化します。

    初期値: “id_provider” が設定され、認証要求を取り扱うことができるならば、それが使用されます。

access_provider (文字列)
    ドメインに対して使用されるアクセス制御プロバイダーです。 2 つの組み込みアクセスプロバイダーがあります（インストールされたバックエンドに含まれるすべてを加えます）。内部の特別プロバイダーは次のとおりです:

    “permit” は常にアクセスを許可します。ローカルドメインに対するプロバイダーのみアクセスが許可されます。

    “deny” は常にアクセスを拒否します。

    “ldap” は本来の LDAP 認証向けです。LDAP の設定に関する詳細は sssd-ldap(5) を参照してください。

    “ipa”: FreeIPA および Red Hat Enterprise Identity Management プロバイダー。FreeIPA の設定に関する詳細は sssd-ipa(5) を参照してください。

    “ad”: Active Directory プロバイダー。Active Directory の設定に関する詳細は sssd-ad(5) を参照してください。

    “simple” アクセス制御はアクセスまたは拒否の一覧に基づきます。simple アクセスモジュールの設定に関する詳細は sssd-simple(5) を参照してください。

    初期値: “permit”

chpass_provider (文字列)
    ドメインに対するパスワード変更操作を取り扱うプロバイダーです。サポートされるパスワード変更プロバイダーは次のとおりです:

    “ldap” は LDAP サーバーに保存されているパスワードを変更します。 LDAP の設定に関する詳細は sssd-ldap(5) を参照してください。

    “krb5” は Kerberos のパスワードを変更します。 Kerberos の設定に関する詳細は sssd-krb5(5) を参照してください。

    “ipa”: FreeIPA および Red Hat Enterprise Identity Management プロバイダー。FreeIPA の設定に関する詳細は sssd-ipa(5) を参照してください。

    “ad”: Active Directory プロバイダー。Active Directory の設定に関する詳細は sssd-ad(5) を参照してください。

    “proxy” はいくつかの他の PAM ターゲットにパスワードの変更を中継します。

    “none” は明示的にパスワードの変更を無効化します。

    初期値: “auth_provider” が設定され、パスワードの変更要求を取り扱うことができるならば、それが使用されます。

sudo_provider (文字列)
    ドメインに使用される SUDO プロバイダーです。サポートされる SUDO プロバイダーは次のとおりです:

    “ldap” は LDAP に保存されているルールのためです。LDAP の設定に関する詳細は sssd-ldap(5) を参照します。

    “ipa” the same as “ldap” but with IPA default settings.

    “ad” the same as “ldap” but with AD default settings.

    “none” は SUDO を明示的に無効化します。

    初期値: “id_provider” の値が設定されていると使用されます。

    The detailed instructions for configuration of sudo_provider are in the manual page sssd-sudo(5). There are many configuration options that can be used to adjust the behavior. Please refer to "ldap_sudo_*" in sssd-ldap(5).

selinux_provider (文字列)
    The provider which should handle loading of selinux settings. Note that this provider will be called right after access provider ends. Supported selinux providers are:

    “ipa” to load selinux settings from an IPA server. See sssd-ipa(5) for more information on configuring IPA.

    “none” disallows fetching selinux settings explicitly.

    Default: “id_provider” is used if it is set and can handle selinux loading requests.

subdomains_provider (文字列)
    The provider which should handle fetching of subdomains. This value should be always the same as id_provider. Supported subdomain providers are:

    “ipa” to load a list of subdomains from an IPA server. See sssd-ipa(5) for more information on configuring IPA.

    “none” はサブドメインの取り出しを明示的に無効化します。

    初期値: “id_provider” の値が設定されていると使用されます。

hostid_provider (文字列)
    ホスト識別情報を取得するために使用されるプロバイダーです。 サポートされる hostid プロバイダーは次のとおりです:

    “ipa” は IPA サーバーに保存されているホスト識別子を読み込みます。IPA の設定に関する詳細は sssd-ipa(5) を参照してください。

    “none” は明示的に hostid を無効にします。

    初期値: “id_provider” の値が設定されていると使用されます。

re_expression (文字列)
    Regular expression for this domain that describes how to parse the string containing user name and domain into these components. The "domain" can match either the SSSD configuration domain name, or, in the case of IPA trust subdomains and Active Directory domains, the flat (NetBIOS) name of the domain.

    Default for the AD and IPA provider: “(((?P<domain>[^\\]+)\\(?P<name>.+$))|((?P<name>[^@]+)@(?P<domain>.+$))|(^(?P<name>[^@\\]+)$))” which allows three different styles for user names:

        • username

        • username@domain.name

        • domain\username

    While the first two correspond to the general default the third one is introduced to allow easy integration of users from Windows domains.

    初期値: “(?P<name>[^@]+)@?(?P<domain>[^@]*$)” です。"the name is everything up to the “@” sign, the domain everything after that" に解釈されます。

    PLEASE NOTE: the support for non-unique named subpatterns is not available on all platforms (e.g. RHEL5 and SLES10). Only platforms with libpcre version 7 or higher can support non-unique named subpatterns.

    関連注記: 古いバージョンの libpcre はサブパターンをラベル付けするために Python 構文 (?P<name>) のみをサポートします。

full_name_format (文字列)
    ユーザー名とドメイン名のコンポーネントから完全修飾名を表現する方法を表す printf(3) 互換形式。

    以下の拡張モジュールがサポートされます:

    %1$s
        ユーザー名

    %2$s
        SSSD 設定ファイルにおいて指定されるドメイン名。

    %3$s
        domain flat name. Mostly usable for Active Directory domains, both directly configured or discovered via IPA trusts.

    初期値: “%1$s@%2$s”.

lookup_family_order (文字列)
    DNS 検索を実行するときに使用する、優先アドレスファミリーを選択する機能を提供します。

    サポートする値:

    ipv4_first: IPv4 アドレスの検索を試行します。失敗すると IPv6 を試行します。

    ipv4_only: ホスト名を IPv4 アドレスに名前解決することのみを試行します。

    ipv6_first: IPv6 アドレスの検索を試行します。失敗すると IPv4 を試行します。

    ipv6_only: ホスト名を IPv6 アドレスに名前解決することのみを試行します。

    初期値: ipv4_first

dns_resolver_timeout (整数)
    DNS リゾルバーが到達不可能であると仮定するまでに、そこからの応答を待つ時間（秒単位）を定義します。このタイムアウトに達すると、ドメインはオフラインモードにて操作を継続します。

    初期値: 6

dns_discovery_domain (文字列)
    サービス検索がバックエンドで使用されていると、サービス検索 DNS クエリーのドメイン部分を指定します。

    初期値: マシンのホスト名のドメイン部分を使用します

override_gid (整数)
    プライマリー GID の値を指定されたもので上書きします。

case_sensitive (論理値)
    ユーザー名とグループ名が大文字小文字を区別するよう取り扱います。今のところ、このオプションはローカルプロバイダーにおいてサポートされません。

    初期値: True

proxy_fast_alias (論理値)
    When a user or group is looked up by name in the proxy provider, a second lookup by ID is performed to "canonicalize" the name in case the requested name was an alias. Setting this option to true would cause the SSSD to perform the ID lookup from cache for performance reasons.

    初期値: false

subdomain_homedir (文字列)
    Use this homedir as default value for all subdomains within this domain in IPA AD trust. See override_homedir for info about possible values. In addition to those, the expansion below can only be used with subdomain_homedir.

    %F
        サブドメインのフラット (NetBIOS) 名。

    値は override_homedir オプションにより上書きできます。

    初期値: /home/%d/%u

realmd_tags (文字列)
    Various tags stored by the realmd configuration service for this domain.

プロキシドメインに対して有効なオプションです。

proxy_pam_target (文字列)
    中継するプロキシターゲット PAM です。

    初期値: 設定されません。既存の PAM 設定を使用するか、新しく作成してサービス名をここに追加する必要があります。

proxy_lib_name (文字列)
    プロキシードメインにおいて使用する NSS ライブラリーの名前です。ライブラリーにおいて検索する NSS 関数は _nss_$(libName)_$(function) の形式です。たとえば _nss_files_getpwent です。

  ローカルドメインのセクション

このセクションは、ユーザーとグループを SSSD ネイティブデータベースに保存するドメイン、つまり、 id_provider=local を使用するドメインに対する設定を含みます。

セクションのパラメーター

default_shell (文字列)
    SSSD ユーザー空間ツールを用いて作成されたユーザーの初期シェルです。

    初期値: /bin/bash

base_directory (文字列)
    ツールがログイン名を base_directory に追加して、ホームディレクトリーとして使用します。

    初期値: /home

create_homedir (論理値)
    初期状態で新規ユーザーに対するホームディレクトリーが作成されるかを指示します。コマンドラインにおいて上書きできます。

    初期値: TRUE

remove_homedir (論理値)
    初期状態で新規ユーザーに対するホームディレクトリーが削除されるかを指示します。コマンドラインにおいて上書きできます。

    初期値: TRUE

homedir_umask (整数)
    新規に作成されるホームディレクトリーにパーミッションの初期値を指定するために sss_useradd(8) により使用されます。

    初期値: 077

skel_dir (文字列)
    ホームディレクトリーが sss_useradd(8) により作成されるとき、ユーザーのホームディレクトリーにコピーされるファイルおよびディレクトリーを含む、スケルトンディレクトリーです。

    初期値: /etc/skel

mail_dir (文字列)
    メールスプールディレクトリーです。これに対応するユーザーアカウントが変更または削除されたとき、これを操作する必要があります。指定されていなければ、初期値が使用されます。

    初期値: /var/mail

userdel_cmd (文字列)
    ユーザーの削除後に実行されるコマンドです。コマンドは最初の唯一のパラメーターとして削除されるユーザーのユーザー名を渡します。コマンドの返り値は考慮されません。

    初期値: なし、コマンドを実行しません

例

以下の例は SSSD の一般的な設定を示します。ドメイン自身の設定を説明していません - ドメインの設定に関する詳細はドキュメントを参照してください。

    [sssd]
    domains = LDAP
    services = nss, pam
    config_file_version = 2
    [nss]
    filter_groups = root
    filter_users = root
    [pam]
    [domain/LDAP]
    id_provider = ldap
    ldap_uri = ldap://ldap.example.com
    ldap_search_base = dc=example,dc=com
    auth_provider = krb5
    krb5_server = kerberos.example.com
    krb5_realm = EXAMPLE.COM
    cache_credentials = true
    min_id = 10000
    max_id = 20000
    enumerate = False

関連項目

sssd(8), sssd.conf(5), sssd-ldap(5), sssd-krb5(5), sssd-simple(5), sssd-ipa(5), sssd-ad(5), sssd-sudo(5), sss_cache(8), sss_debuglevel(8), sss_groupadd(8), sss_groupdel(8), sss_groupshow(8), sss_groupmod(8), sss_useradd(8), sss_userdel(8), sss_usermod(8), sss_obfuscate(8), sss_seed(8), sssd_krb5_locator_plugin(8), sss_ssh_authorizedkeys(8), sss_ssh_knownhostsproxy(8), sssd-ifp(5), pam_sss(8).

AUTHORS

The SSSD upstream - http://fedorahosted.org/sssd