AUTHSELECT-MIGRATIO(7)

NAME
authselect-migration - Panduan cara bermigrasi dari authconfig ke authselect.

DESKRIPSI

Halaman manual ini menjelaskan perbedaan utama antara authconfig, alat sebelumnya untuk mengonfigurasi autentikasi sistem dan sumber identitas, dan authselect yang menggantikannya. Halaman ini juga menjelaskan tindakan apa yang perlu dilakukan untuk bermigrasi dari authconfig ke authselect.

PERBEDAAN UTAMA

Authselect mengambil pendekatan yang sama sekali berbeda terhadap konfigurasi sistem dibandingkan alat sebelumnya, authconfig.

Authconfig mencoba yang terbaik untuk mempertahankan perubahan manual pengguna pada berkas yang dihasilkannya. Ia tidak hanya menghasilkan berkas konfigurasi PAM dan nsswitch.conf (untuk mengatur modul autentikasi dan sumber identitas) tetapi juga menghasilkan berkas konfigurasi sederhana untuk beberapa layanan seperti LDAP dan Kerberos.

Authselect tidak melakukan hal-hal seperti itu. Ia tidak menghasilkan berkas konfigurasi apa pun selain PAM dan nsswitch.conf dan secara tegas melarang perubahan manual apa pun pada konfigurasi yang dihasilkan. Ia menyediakan sekumpulan berkas yang disebut profil. Setiap profil menjelaskan bagaimana hasil konfigurasi seharusnya terlihat dan dapat dimodifikasi sedikit dengan mengaktifkan atau menonaktifkan fitur opsional tertentu. Jika muncul kebutuhan akan profil yang berbeda dari yang disediakan authselect, administrator memiliki opsi untuk membuat profil baru secara utuh dan menggunakannya dengan authselect. Lihat authselect-profiles(5) untuk mempelajari lebih lanjut tentang profil.

Hal ini mungkin tampak seperti kelemahan besar, tetapi kenyataannya justru sebaliknya. Authconfig adalah alat yang sangat tua dan aplikasi yang menyediakan layanan yang diperlukan telah berubah pesat selama bertahun-tahun. Biasanya, tidak ada lagi kebutuhan untuk memiliki banyak modul autentikasi dalam PAM dan nsswitch.conf, karena sebagian besar kasus penggunaan sudah dicakup oleh SSSD. Oleh karena itu, tidak perlu menambah atau menghapusnya secara khusus. Ada juga alat yang lebih baik untuk menghasilkan konfigurasi bagi daemon sistem yang dapat membantu Anda mengotomatiskan proses penggabungan ke domain jarak jauh seperti realm. Selain itu, profil yang disertakan memberi kita konfigurasi sistem yang komprehensif dan deterministik yang dapat diuji sepenuhnya dan jauh lebih sedikit kesalahan. Jauh lebih mudah juga untuk mendistribusikan konfigurasi tersebut ke banyak sistem.

Mungkin perubahan yang paling kontroversial adalah authselect hanya menyertakan profil untuk penyedia sssd dan winbind. Kedua penyedia tersebut mencakup semua kasus penggunaan modern mulai dari menyediakan pengguna lokal dan domain LDAP lama hingga konfigurasi kompleks dengan server IPA atau Active Directory. Profil-profil tersebut tidak lagi berisi dukungan untuk nss-pam-ldapd dan pengguna didorong untuk beralih ke sssd.

BERGABUNG DENGAN DOMAIN JARAK JAUH

Anda dapat menggunakan salah satu dari ipa-client-install atau realm untuk bergabung dengan domain IPA dan realm untuk bergabung dengan domain Active Directory. Alat-alat ini akan memastikan bahwa profil authselect yang benar telah dipilih dan semua daemon serta layanan dikonfigurasi dengan benar.

MENGONVERSI SKRIP ANDA

Jika Anda menggunakan ipa-client-install atau realm untuk bergabung dengan sebuah domain, Anda cukup menghapus setiap panggilan authconfig di skrip Anda. Jika ini bukan pilihan, Anda perlu mengganti setiap panggilan authconfig dengan panggilan authselect yang setara untuk memilih profil yang benar dengan fitur yang diinginkan. Kemudian Anda juga perlu menulis berkas konfigurasi untuk layanan yang diperlukan.

Table 1. Hubungan opsi authconfig dengan profil authselect
--enablenis | none

Table 2. Hubungan opsi authconfig dengan fitur profil authselect
Authconfig options | Authselect profile feature
--enablesmartcard | with-smartcard
--enablefingerprint | with-fingerprint
--enablemkhomedir | with-mkhomedir
--enablefaillock | with-faillock
--enablepamaccess | with-pamaccess
--enablewinbindkrb5 | with-krb5
--enableshadow | none
--passalgo | none

    Note

    Opsi authconfig --enableshadow dan --passalgo=sha512 sering digunakan untuk memastikan bahwa kata sandi disimpan di /etc/shadow menggunakan algoritma sha512. Profil authselect sekarang menggunakan metode hashing yescrypt dan itu tidak dapat diubah melalui opsi (hanya dengan membuat profil kustom). Anda bisa mengabaikan opsi-opsi ini.

Contoh.

    authconfig --enableldap --enableldapauth --enablefaillock --updateall
    authselect select sssd with-faillock
    authconfig --enablesssd --enablesssdauth --enablesmartcard --smartcardmodule=sssd --updateall
    authselect select sssd with-smartcard
    authconfig --enablepamaccess --updateall
    authselect select sssd with-pamaccess
    authconfig --enablewinbind --enablewinbindauth --winbindjoin=Administrator --updateall
    realm join -U Administrator --client-software=winbind WINBINDDOMAIN

BERKAS KONFIGURASI

Bagian ini berisi cuplikan untuk konfigurasi minimal berbagai layanan.

  LDAP

Meskipun LDAP tidak digunakan secara langsung melalui pam_ldap dan nss_ldap, mengonfigurasi ldap.conf tetap berguna untuk mengonfigurasi openldap-libs dan secara tidak langsung, misalnya alat-alat LDAP seperti ldapsearch.

"/etc"/openldap/ldap.conf.

    # Tetapkan base dn bawaan
    BASE   dc=example,dc=com
    # Tetapkan server LDAP bawaan
    URI    ldap://ldap.example.com ldap://ldap-master.example.com:666

  KERBEROS

Jika Anda menggunakan Kerberos, realm Kerberos bawaan harus dikonfigurasi agar krb5-libs dan alat-alat seperti kinit dapat langsung bekerja.

"/etc"/krb5.conf.

    [libdefaults]
     default_realm = MYREALM
    [realms]
     MYREALM = {
      kdc = kdc.myrealm.org
     }
    [domain_realm]
     myrealm.org = MYREALM
     .myrealm.org = MYREALM

  SSSD

Authselect mendorong pengguna untuk menggunakan SSSD sedapat mungkin. Ada banyak opsi konfigurasi, lihat sssd.conf(5). Ini adalah konfigurasi minimal yang membuat satu domain LDAP bernama default. Server LDAP ditemukan secara otomatis melalui pencarian DNS.

"/etc"/sssd/sssd.conf.

    [sssd]
    config_file_version = 2
    domains = default
    [domain/default]
    id_provider = ldap
    ldap_uri = _srv_
    dns_discovery_domain = myrealm

Dan berikut adalah cuplikan konfigurasi untuk domain yang sama tetapi sekarang autentikasi dilakukan melalui Kerberos. Server KDC ditemukan secara otomatis melalui pencarian DNS.

"/etc"/sssd/sssd.conf.

    [sssd]
    config_file_version = 2
    domains = default
    [domain/default]
    id_provider = ldap
    auth_provider = krb5
    ldap_uri = _srv_
    krb5_server = _srv_
    krb5_realm = MYREALM
    dns_discovery_domain = myrealm

Jika Anda ingin mengonfigurasi SSSD untuk domain IPA atau Active Directory, gunakan alat realm. Ini akan melakukan pengaturan awal yang melibatkan pembuatan keytab Kerberos dan pembuatan konfigurasi SSSD dasar. Anda kemudian dapat menyesuaikannya dengan memodifikasi "/etc"/sssd/sssd.conf.

  WINBIND

Jika Anda ingin mengonfigurasi mesin untuk menggunakan Winbind, gunakan realm. Ini akan melakukan pengaturan awal yang melibatkan pembuatan keytab Kerberos dan menjalankan adcli untuk bergabung dengan domain. Ini juga melakukan perubahan pada smb.conf. Anda kemudian dapat menyesuaikannya dengan memodifikasi "/etc"/samba/smb.conf.

  KUALITAS KATA SANDI

Authselect mengaktifkan modul pam_pwquality untuk menegakkan pembatasan kualitas kata sandi. Modul ini hanya diaktifkan untuk pengguna lokal. Pengguna jarak jauh harus menggunakan kebijakan kata sandi yang ditegakkan oleh server jarak jauh masing-masing.

Modul pam_pwquality dapat dikonfigurasi di "/etc"/security/pwquality.conf. Lihat pam_pwquality(8) untuk melihat opsi konfigurasi dan nilai bawaannya.

MEMULAI LAYANAN

Bergantung pada konfigurasi Anda, Anda perlu memulai layanan yang diperlukan secara manual dengan systemd.

    • SSSD

        systemctl enable sssd.service ; systemctl start sssd.service

    • Winbind

        systemctl enable winbind.service ; systemctl start winbind.service

    • NIS

        systemctl enable rpcbind.service ; systemctl start rpcbind.service
        systemctl enable ypbind.service ; systemctl start ypbind.service

    • Jika fitur mkhomedir diaktifkan

        systemctl enable oddjobd.service ; systemctl start oddjobd.service

ALAT AUTHCONFIG

Authconfig menyertakan alat bernama cacertdir_rehash. Jika Anda bergantung pada alat ini, harap beralih ke perintah asli openssl: openssl rehash <direktori> yang memiliki tujuan yang sama.

LIHAT JUGA

authselect(8), authselect-profiles(5), realm(8), ipa-client-install(1), sssd.conf(5), smb.conf(5), ldap.conf(5), krb5.conf(5)