AUTHSELECT-MIGRATIO(7)

NAME
authselect-migration - Opas siirtymiseen authconfigista authselectiin.

KUVAUS

Tämä käsikirjasivu selittää tärkeimmät erot authconfigin, aiemman järjestelmän todennuksen ja identiteettilähteiden määritystyökalun, ja sen korvaavan authselect-työkalun välillä. Se myös selittää, mitä toimia on tehtävä, jotta authconfigista authselectiin voidaan siirtyä.

TÄRKEIMMÄT EROT

Authselect suhtautuu järjestelmän kokoonpanoon täysin eri tavalla kuin edellinen authconfig-työkalu.

Authconfig yrittää parhaansa pitääkseen käyttäjien manuaaliset muutokset luomiinsa tiedostoihin. Se ei luo vain PAM-määritystiedostoja ja nsswitch.conf-tiedostoa (todennusmoduulien ja identiteettilähteiden määrittämiseen), vaan se luo myös yksinkertaisia konfiguraatiotiedostoja useille palveluille, kuten LDAP ja Kerberos.

Authselect ei tee tällaisia asioita. Se ei luo määritystiedostoja PAM:n ja nsswitch.conf:n lisäksi, ja se estää tiukasti kaikki manuaaliset muutokset luotuihin määrityksiin. Se tarjoaa joukon tiedostoja, joita kutsutaan profiileiksi. Jokainen profiili kuvaa, miltä tuloksena olevan kokoonpanon tulee näyttää, ja sitä voidaan hieman muokata ottamalla käyttöön tai poistamalla käytöstä tiettyjä valinnaisia ominaisuuksia. Jos tarvitaan eri profiilia kuin mitä authselect toimittaa, ylläpitäjällä on mahdollisuus luoda kokonaan uusi profiili ja käyttää sitä authselectin kanssa. Katso authselect-profiles(5) saadaksesi lisätietoja profiileista.

Tämä saattaa tuntua suurelta haitalta, mutta totuus on päinvastainen. Authconfig on hyvin vanha työkalu ja tarvittavia palveluja tarjoavat sovellukset ovat muuttuneet nopeasti vuosien varrella. Yleensä PAM:ssa ja nsswitch.conf:ssa ei enää tarvitse olla useita todennusmoduuleja, koska suurin osa käyttötapauksista on SSSD:n kattamia. Siksi niitä ei tarvitse erikseen lisätä tai poistaa. On myös parempia työkaluja järjestelmän demonien asetusten luomiseen, mikä voi auttaa sinua automatisoimaan liittymisprosessin etätoimialueeseen, kuten "realm". Lisäksi toimitetut profiilit antavat meille kattavan ja deterministisen järjestelmäkokoonpanon, joka voidaan testata täysin ja joka on paljon vähemmän virhealtis. On myös paljon helpompaa jakaa tällainen kokoonpano moniin järjestelmiin.

Luultavasti kiistanalaisin muutos on se, että authselectin mukana tulee vain sssd- ja winbind-palveluntarjoajien profiilit. Nämä kaksi palveluntarjoajaa kattavat kaikki nykyaikaiset käyttötapaukset paikallisten käyttäjien ja vanhojen LDAP-verkkotunnusten tarjoamisesta monimutkaisiin kokoonpanoihin IPA- tai Active Directory -palvelimilla. Profiilit eivät enää sisällä nss-pam-ldapd-tukea, ja käyttäjiä kehotetaan vaihtamaan sssd:hen.

LIITTYMINEN ETÄTOIMIALUEISIIN

Voit käyttää joko ipa-client-install tai "realm" liittyäksesi IPA-toimialueeseen ja "realm" liittyäksesi Active Directory -toimialueeseen. Nämä työkalut varmistavat, että oikea authselect-profiili on valittu ja kaikki demonit ja palvelut on määritetty oikein.

SKRIPTIEN MUUNTAMINEN

Jos käytät ipa-client-install tai "realm" liittyäksesi toimialueeseen, voit poistaa kaikki authconfig-kutsut komentosarjoistasi. Jos tämä ei ole sopiva vaihtoehto, sinun on korvattava jokainen authconfig-kutsu vastaavalla authselect-kutsulla valitaksesi oikean profiilin halutuilla ominaisuuksilla. Sitten sinun on myös kirjoitettava tarvittavien palvelujen määritystiedosto.

Table 1. Authconfig-asetusten suhde authselect-profiilien valintoihin
--enablenis |  | ei mitään

Table 2. Authconfig-asetusten suhde authselect-profiilien ominaisuuksiin
Authconfig options | Authselect profile feature
--enablesmartcard | with-smartcard
--enablefingerprint | with-fingerprint
--enablemkhomedir | with-mkhomedir
--enablefaillock | with-faillock
--enablepamaccess | with-pamaccess
--enablewinbindkrb5 | with-krb5
--enableshadow | none
--passalgo | none

    Note

    Authconfig-asetuksia --enableshadow ja --passalgo=sha512 käytettiin usein varmistamaan, että salasanat on tallennettu hakemistoon /etc/shadow käyttämällä sha512-algoritmia. Authselect-profiilit käyttävät nyt yescrypt-hajautusmenetelmää, eikä sitä voi muuttaa valinnalla (onnistuu vain luomalla mukautettu profiili). Voit jättää nämä vaihtoehdot pois.

Esimerkit.

    authconfig --enableldap --enableldapauth --enablefaillock --updateall
    authselect select sssd with-faillock
    authconfig --enablesssd --enablesssdauth --enablesmartcard --smartcardmodule=sssd --updateall
    authselect select sssd with-smartcard
    authconfig --enablepamaccess --updateall
    authselect select sssd with-pamaccess
    authconfig --enablewinbind --enablewinbindauth --winbindjoin=Admini--updateall
    realm join -U Admini --client-software=winbind WINBINDDOMAIN

ASETUSTIEDOSTOT

Tämä osio sisältää katkelmia eri palvelujen minimaalista määritystä varten.

  LDAP

Vaikka LDAP:ta ei käytetä suoraan pam_ldap:n ja nss_ldap:n kautta, on silti hyödyllistä määrittää ldap.conf määrittämään openldap-libs ja epäsuorasti, esim. LDAP-työkalut, kuten ldapsearch.

"/etc"/openldap/ldap.conf.

    # Aseta oletusarvoinen perustoimialueen nimi
    BASE dc=esimerkki,dc=com
    # Aseta oletusarvoinen LDAP-palvelin
    URI ldap://ldap.esimerkki.com ldap://ldap-master.esimerkki.com:666

  KERBEROS

Jos käytät Kerberosia, jotta krb5-libs ja siten työkalut, kuten kinit, toimisivat suoraan, tulisi oletusarvoinen Kerberosin "realm" määrittää.

"/etc"/krb5.conf.

    [libdefaults]
     default_realm = ALUEENI
    [realms]
     MYREALM = {
      kdc = kdc.alueeni.org
     }
    [domain_realm]
     myrealm.org = ALUEENI
     .myrealm.org = ALUEENI

  SSSD

Authselect rohkaisee käyttäjiä käyttämään SSSD:ta aina kun mahdollista. Asetusvaihtoehtoja on monia, katso sssd.conf(5). Tämä on minimaalinen kokoonpano, joka luo yhden LDAP-toimialueen nimeltä default. LDAP-palvelin löydetään automaattisesti DNS-hakujen avulla.

"/etc"/sssd/sssd.conf.

    [sssd]
    config_file_version = 2
    domains = default
    [domain/default]
    id_provider = ldap
    ldap_uri = _srv_
    dns_discovery_domain = alueeni

Ja tässä on määrityskatkelma samalle verkkotunnukselle, mutta nyt todennus tehdään Kerberosin välityksellä. KDC-palvelin löydetään automaattisesti DNS-hakujen avulla.

"/etc"/sssd/sssd.conf.

    [sssd]
    config_file_version = 2
    domains = default
    [domain/default]
    id_provider = ldap
    auth_provider = krb5
    ldap_uri = _srv_
    krb5_server = _srv_
    krb5_realm = ALUEENI
    dns_discovery_domain = alueeni

Jos haluat määrittää SSSD:n IPA- tai Active Directory -toimialueelle, käytä realm-työkalua. Tämä suorittaa alkuasennuksen, joka sisältää Kerberos-avainvälilehden ja SSSD-perusmäärityksen luomisen. Voit sitten virittää sen muokkaamalla "/etc"/sssd/sssd.conf.

  WINBIND

Jos haluat määrittää koneen käyttämään Winbindiä, käytä realm`ia. Tämä suorittaa alkuasennuksen, johon kuuluu Kerberos-avainvälilehden luominen ja komennolla `adcli liittyminen verkkotunnukseen. Se tekee myös muutoksia tiedostoon smb.conf. Voit sitten virittää sen muokkaamalla "/etc"/samba/smb.conf.

  SALASANAN LAATU

Authselect mahdollistaa pam_pwquality-moduulin pakottamaan salasanan laaturajoitukset. Tämä moduuli on käytössä vain paikallisille käyttäjille. Etäkäyttäjien tulee käyttää salasanakäytäntöä, jonka vastaava etäpalvelin pakottaa.

pam_pwquality-moduuli voidaan määrittää tiedostossa "/etc"/security/pwquality.conf. Katso pam_pwquality(8) nähdäksesi sen määritysvaihtoehdot ja oletusasetukset.

PALVELUJEN KÄYNNISTÄMINEN

Kokoonpanosta riippuen sinun on käynnistettävä tarvittavat palvelut manuaalisesti systemdillä.

    • SSSD

        systemctl enable sssd.service ; systemctl start sssd.service

    • Winbind

        systemctl enable winbind.service ; systemctl start winbind.service

    • NIS

        systemctl enable rpcbind.service ; systemctl start rpcbind.service
        systemctl enable ypbind.service ; systemctl start ypbind.service

    • Jos mkhomedir-ominaisuus on otettu käyttöön

        systemctl enable oddjobd.service ; systemctl start oddjobd.service

AUTHCONFIG:N TYÖKALUT

Authconfig toimitti työkalun nimeltä cacertdir_rehash. Jos olet riippuvainen tästä työkalusta, vaihda alkuperäiseen openssl-komentoon: openssl rehash <hakemisto>, joka palvelee samaa tarkoitusta.

KATSO MYÖS

authselect(8), authselect-profiles(5), realm(8), ipa-client-install(1), sssd.conf(5), smb.conf(5), ldap.conf(5), krb5.conf(5)