AUTHSELECT-MIGRATIO(7)

NAME
authselect-migration - Una guia de com migrar des d'authconfig a authselect.

DESCRIPCIÓ

Aquest manual explica les principals diferències entre authconfig, l’eina anterior per a configurar les fonts d’autenticació i identitat del sistema, i authselect el que el substitueix. També explica quines accions cal fer per migrar des d’authconfig a authselect.

DIFERÈNCIES PRINCIPALS

Authselect té un enfocament completament diferent de la configuració del sistema que l’eina anterior authconfig.

Authconfig intenta mantenir els canvis manuals dels usuaris als fitxers que genera. Genera no només fitxers de configuració PAM i nsswitch.conf (per configurar mòduls d’autenticació i fonts d’identitat) sinó que també genera fitxers de configuració senzills per a diversos serveis com LDAP i Kerberos.

L’Authselect no fa aquestes coses. No genera cap fitxer de configuració més enllà de PAM i nsswitch.conf i prohibeix estrictament qualsevol canvi manual a la configuració generada. Proporciona un conjunt de fitxers anomenats perfils. Cada perfil descriu com hauria de ser la configuració resultant i es pot modificar lleugerament activant o inhabilitant certes característiques opcionals. Si sorgeix una necessitat d’un perfil diferent del que l’autselect proporciona, l’administrador té l’opció de crear un perfil completament nou i utilitzar-lo amb l’autselect. Vegeu authselect-profiles(5) per a obtenir més informació sobre els perfils.

Això pot semblar un gran desavantatge, però la veritat és el contrari. Authconfig és una eina molt antiga i les aplicacions que proporcionen els serveis necessaris han canviat ràpidament amb els anys. En general, ja no hi ha necessitat de tenir múltiples mòduls d’autenticació en PAM i nsswitch.conf, perquè la gran majoria dels casos d’ús estan coberts per SSSD. Per tant, no hi ha necessitat d’afegir-les o eliminar-les específicament. També hi ha millors eines per generar configuració per als dimonis del sistema que poden ajudar a automatitzar el procés d’unir-se a un domini remot com realm. A més, els perfils proporcionats ens donen una configuració completa i determinista del sistema que es pot provar completament i és molt menys propens a errors. També és molt més fàcil distribuir aquesta configuració a través de molts sistemes.

Probablement el canvi més controvertit és que authselect només proporciona perfils per als proveïdors sssd i winbind. Aquests dos proveïdors cobreixen tots els casos d’ús moderns, des de proveir usuaris locals i dominis LDAP antics fins a configuracions complexes amb servidors IPA o Active Directory. Els perfils ja no contenen suport per nss-pam-ldapd i s’anima als usuaris a canviar a sssd.

UNIR-SE A DOMINIS REMOTS

Podeu utilitzar tant ipa-client-install o realm per a unir-vos a un domini IPA i realm per a unir-vos a un domini d’Active Directory. Aquestes eines s’asseguraran que se selecciona el perfil correcte d’authselect i que tots els dimonis i serveis estiguin correctament configurats.

CONVERTINT ELS VOSTRES SCRIPTS

Si utilitzeu ipa-client-install o realm per a unir-vos a un domini, podeu eliminar qualsevol crida d’authconfig en els vostres scripts. Si aquesta no és una opció, heu de reemplaçar cada crida d’authconfig amb la seva crida equivalent authselect per a seleccionar un perfil correcte amb les característiques desitjades. A continuació, també heu d’escriure el fitxer de configuració per als serveis requerits.

Table 1. Relació de les opcions d’authconfig amb els perfils d’authselect
--enablenis | none

Table 2. Relació de les opcions d’authconfig amb les funcionalitats del perfil d’authselect
Authconfig options | Authselect profile feature
--enablesmartcard | with-smartcard
--enablefingerprint | with-fingerprint
--enablemkhomedir | with-mkhomedir
--enablefaillock | with-faillock
--enablepamaccess | with-pamaccess
--enablewinbindkrb5 | with-krb5
--enableshadow | none
--passalgo | none

    Note

    Les opcions d’authconfig --enableshadow i --passalgo=sha512 s’utilitzaven sovint per assegurar-se que les contrasenyes s’emmagatzemen a /etc/shadow utilitzant l’algorisme sha512. Els perfils d’authselect ara utilitzen el mètode de hashing yescrypt i no es pot canviar a través d’una opció (només creant un perfil personalitzat). Pots ometre aquestes opcions.

Exemples.

    authconfig --enableldap --enableldapauth --enablefaillock --updateall
    authselect select sssd with-faillock
    authconfig --enablesssd --enablesssdauth --enablesmartcard --smartcardmodule=sssd --updateall
    authselect select sssd with-smartcard
    authconfig --enablepamaccess --updateall
    authselect select sssd with-pamaccess
    authconfig --enablewinbind --enablewinbindauth --winbindjoin=Administrador --updateall
    realm join -U Administrador --client-software=winbind WINBINDDOMAIN

FITXERS DE CONFIGURACIÓ

Aquesta secció conté fragments per a una configuració mínima de diversos serveis.

  LDAP

Fins i tot si LDAP no s’utilitza directament a través de pam_ldap i nss_ldap, encara és útil configurar ldap.conf per a configurar openldap-libs i indirectament, per exemple, eines LDAP com ldapsearch.

"/etc"/openldap/ldap.conf.

    # Estableix el dn base per defecte
    BASE   dc=exemple,dc=com
    # Estableix el servidor LDAP per defecte
    URI    ldap://ldap.exemple.com ldap://ldap-master.exemple.com:666

  KERBEROS

Si utilitzeu Kerberos, s’hauria de configurar el domini de Kerberos per defecte perquè krb5-libs i, per tant, les eines com kinit funcionin immediatament.

"/etc"/krb5.conf.

    [libdefaults]
     default_realm = MYREALM
    [realms]
     MYREALM = {
      kdc = kdc.myrealm.org
     }
    [domain_realm]
     myrealm.org = MYREALM
     .myrealm.org = MYREALM

  SSSD

Authselect anima els usuaris a utilitzar SSSD sempre que sigui possible. Hi ha moltes opcions de configuració, vegeu sssd.conf(5). Aquesta és una configuració mínima que crea un domini LDAP anomenat default. El servidor LDAP es descobreix automàticament a través de cerques DNS.

"/etc"/sssd/sssd.conf.

    [sssd]
    config_file_version = 2
    domains = default
    [domain/default]
    id_provider = ldap
    ldap_uri = _srv_
    dns_discovery_domain = myrealm

I aquí hi ha un fragment de configuració per al mateix domini però ara l’autenticació es fa sobre Kerberos. El servidor KDC es descobreix automàticament a través de cerques DNS.

"/etc"/sssd/sssd.conf.

    [sssd]
    config_file_version = 2
    domains = default
    [domain/default]
    id_provider = ldap
    auth_provider = krb5
    ldap_uri = _srv_
    krb5_server = _srv_
    krb5_realm = MYREALM
    dns_discovery_domain = myrealm

Si voleu configurar SSSD per a un domini IPA o Active Directory, utilitzeu l’eina realm. Això realitzarà una configuració inicial que implica crear una clau de Kerberos i generar una configuració bàsica de SSSD. Llavors podeu afinar-lo modificant "/etc"/sssd/sssd.conf.

  WINBIND

Si voleu configurar la màquina per usar Winbind, utilitzeu realm. Això realitzarà una configuració inicial que implica crear una clau de Kerberos i executar adcli per unir-se al domini. També fa canvis a smb.conf. Després podeu afinar-lo modificant "/etc"/samba/smb.conf.

  QUALITAT DE LA CONTRASENYA

Authselect habilita el mòdul pam_pwquality per a aplicar restriccions de qualitat de contrasenya. Aquest mòdul només està habilitat per a usuaris locals. Els usuaris remots han d’utilitzar la política de contrasenya que aplica el servidor remot respectiu.

El mòdul pam_pwquality es pot configurar a "/etc"/security/pwquality.conf. Vegeu pam_pwquality(8) per veure les seves opcions de configuració i els valors predeterminats.

INICIANT SERVEIS

Depenent de la configuració, heu d’iniciar els serveis requerits manualment amb systemd.

    • SSSD

        systemctl enable sssd.service ; systemctl start sssd.service

    • Winbind

        systemctl enable winbind.service ; systemctl start winbind.service

    • NIS

        systemctl enable rpcbind.service ; systemctl start rpcbind.service
        systemctl enable ypbind.service ; systemctl start ypbind.service

    • Si la característica mkhomedir està activada

        systemctl enable oddjobd.service ; systemctl start oddjobd.service

EINES D’AUTHCONFIG

Authconfig incloïa una eina anomenada cacertdir_rehash. Si depeneu d’aquesta eina, canvieu a la comanda nativa openssl: openssl rehash <directori> que serveix al mateix propòsit.

VEGEU TAMBÉ

authselect(8), authselect-profiles(5), realm(8), ipa-client-install(1), sssd.conf(5), smb.conf(5), ldap.conf(5), krb5.conf(5)