AUTHSELECT-MIGRATIO(7)

NAME
authselect-migration - ຄູ່ມືວິທີການຍ້າຍຈາກ authconfig ໄປຫາ authselect.

ຄຳອະທິບາຍ

ໜ້າຄູ່ມືນີ້ອະທິບາຍກ່ຽວກັບຂໍ້ແຕກຕ່າງຕົ້ນຕໍລະຫວ່າງ authconfig, ເຊິ່ງເປັນເຄື່ອງມືເກົ່າໃນການກຳນົດຄ່າການຢືນຢັນຕົວຕົນຂອງລະບົບ ແລະ ແຫຼ່ງຂໍ້ມູນບົ່ງບອກຕົວຕົນ, ກັບ authselect ທີ່ມາປ່ຽນແທນມັນ. ນອກຈາກນີ້ ມັນຍັງອະທິບາຍເຖິງສິ່ງທີ່ຕ້ອງເຮັດເພື່ອຍ້າຍຈາກ authconfig ໄປຫາ authselect.

ຂໍ້ແຕກຕ່າງຕົ້ນຕໍ

Authselect ໃຊ້ວິທີການທີ່ແຕກຕ່າງຈາກເຄື່ອງມື authconfig ໂຕເກົ່າຢ່າງສິ້ນເຊີງໃນການກຳນົດຄ່າລະບົບ.

Authconfig ພະຍາຍາມຢ່າງເຕັມທີ່ເພື່ອຮັກສາການປ່ຽນແປງທີ່ຜູ້ໃຊ້ແກ້ໄຂດ້ວຍຕົນເອງໃນໄຟລ໌ທີ່ມັນສ້າງຂຶ້ນ. ມັນບໍ່ພຽງແຕ່ສ້າງໄຟລ໌ກຳນົດຄ່າ PAM ແລະ nsswitch.conf (ເພື່ອຕັ້ງຄ່າໂມດູນການຢືນຢັນຕົວຕົນ ແລະ ແຫຼ່ງຂໍ້ມູນບົ່ງບອກຕົວຕົນ) ແຕ່ມັນຍັງສ້າງໄຟລ໌ກຳນົດຄ່າແບບງ່າຍໆໃຫ້ກັບຫຼາຍບໍລິການ ເຊັ່ນ LDAP ແລະ Kerberos.

Authselect ບໍ່ໄດ້ເຮັດສິ່ງດັ່ງກ່າວ. ມັນບໍ່ໄດ້ສ້າງໄຟລ໌ກຳນົດຄ່າອື່ນໃດ ນອກຈາກ PAM ແລະ nsswitch.conf ແລະ ມັນຫ້າມການປ່ຽນແປງດ້ວຍຕົນເອງຕໍ່ກັບການກຳນົດຄ່າທີ່ຖືກສ້າງຂຶ້ນຢ່າງເດັດຂາດ. ມັນສະໜອງຊຸດໄຟລ໌ທີ່ເອີ້ນວ່າ ໂປຣໄຟລ໌ (profiles). ແຕ່ລະໂປຣໄຟລ໌ຈະອະທິບາຍວ່າຮູບແບບການກຳນົດຄ່າທີ່ໄດ້ຮັບນັ້ນຄວນເປັນແນວໃດ ແລະ ມັນສາມາດປັບປ່ຽນໄດ້ເລັກນ້ອຍໂດຍການເປີດ ຫຼື ປິດຄຸນສົມບັດເສີມບາງຢ່າງ. ຫາກມີຄວາມຈຳເປັນຕ້ອງໃຊ້ໂປຣໄຟລ໌ທີ່ແຕກຕ່າງຈາກສິ່ງທີ່ authselect ມີໃຫ້, ຜູ້ດູແລລະບົບມີທາງເລືອກທີ່ຈະສ້າງໂປຣໄຟລ໌ໃໝ່ທັງໝົດ ແລະ ນຳໃຊ້ມັນກັບ authselect. ເບິ່ງ authselect-profiles(5) ເພື່ອຮຽນຮູ້ເພີ່ມເຕີມກ່ຽວກັບໂປຣໄຟລ໌.

ສິ່ງນີ້ອາດເບິ່ງຄືວ່າເປັນຂໍ້ເສຍປຽບໃຫຍ່ ແຕ່ຄວາມຈິງແລ້ວແມ່ນກົງກັນຂ້າມ. Authconfig ເປັນເຄື່ອງມືທີ່ເກົ່າຫຼາຍ ແລະ ແອັບພລິເຄຊັນທີ່ໃຫ້ບໍລິການທີ່ຈຳເປັນຕ່າງໆ ໄດ້ປ່ຽນແປງໄປຢ່າງໄວວາໃນຊ່ວງຫຼາຍປີທີ່ຜ່ານມາ. ໂດຍທົ່ວໄປແລ້ວ, ບໍ່ມີຄວາມຈຳເປັນຕ້ອງມີຫຼາຍໂມດູນການຢືນຢັນຕົວຕົນໃນ PAM ແລະ nsswitch.conf ອີກຕໍ່ໄປ ເພາະວ່າກໍລະນີການໃຊ້ງານສ່ວນໃຫຍ່ແມ່ນຖືກຄຸ້ມຄອງໂດຍ SSSD ແລ້ວ. ດັ່ງນັ້ນ ຈຶ່ງບໍ່ຈຳເປັນຕ້ອງເພີ່ມ ຫຼື ລຶບພວກມັນອອກໂດຍສະເພາະ. ນອກຈາກນີ້ ຍັງມີເຄື່ອງມືທີ່ດີກວ່າໃນການສ້າງການກຳນົດຄ່າສຳລັບ system daemons ທີ່ສາມາດຊ່ວຍທ່ານເຮັດໃຫ້ຂັ້ນຕອນການເຂົ້າຮ່ວມໂດເມນທາງໄກເປັນແບບອັດຕະໂນມັດ ເຊັ່ນ realm. ນອກຈາກນັ້ນ, ໂປຣໄຟລ໌ທີ່ມີມາກັບເຄື່ອງຍັງໃຫ້ການກຳນົດຄ່າລະບົບທີ່ຄົບຖ້ວນ ແລະ ແນ່ນອນ ເຊິ່ງສາມາດທົດສອບໄດ້ຢ່າງເຕັມທີ່ ແລະ ມີໂອກາດເກີດຂໍ້ຜິດພາດໜ້ອຍກວ່າຫຼາຍ. ມັນຍັງງ່າຍກວ່າຫຼາຍໃນການແຈກຢາຍການກຳນົດຄ່າດັ່ງກ່າວໄປຍັງຫຼາຍໆ ລະບົບ.

ບາງທີການປ່ຽນແປງທີ່ເປັນທີ່ຖົກຖຽງກັນຫຼາຍທີ່ສຸດແມ່ນ authselect ມີພຽງແຕ່ໂປຣໄຟລ໌ສຳລັບຜູ້ໃຫ້ບໍລິການ sssd ແລະ winbind ເທົ່ານັ້ນ. ຜູ້ໃຫ້ບໍລິການທັງສອງນີ້ຄຸ້ມຄອງທຸກກໍລະນີການໃຊ້ງານທີ່ທັນສະໄໝ ຕັ້ງແຕ່ການໃຫ້ບໍລິການຜູ້ໃຊ້ພາຍໃນເຄື່ອງ ແລະ ໂດເມນ LDAP ແບບເກົ່າ ໄປຈົນເຖິງການກຳນົດຄ່າທີ່ຊັບຊ້ອນກັບເຊີເວີ IPA ຫຼື Active Directory. ໂປຣໄຟລ໌ເຫຼົ່ານີ້ບໍ່ຮອງຮັບ nss-pam-ldapd ອີກຕໍ່ໄປ ແລະ ແນະນຳໃຫ້ຜູ້ໃຊ້ປ່ຽນໄປໃຊ້ sssd ແທນ.

ການເຂົ້າຮ່ວມໂດເມນທາງໄກ

ທ່ານສາມາດໃຊ້ ipa-client-install ຫຼື realm ເພື່ອເຂົ້າຮ່ວມໂດເມນ IPA ແລະ ໃຊ້ realm ເພື່ອເຂົ້າຮ່ວມໂດເມນ Active Directory. ເຄື່ອງມືເຫຼົ່ານີ້ຈະຮັບປະກັນວ່າໄດ້ເລືອກໂປຣໄຟລ໌ authselect ທີ່ຖືກຕ້ອງ ແລະ ທຸກ daemon ແລະ ບໍລິການຖືກກຳນົດຄ່າຢ່າງເໝາະສົມ.

ການປ່ຽນແປງສະຄຣິບຂອງທ່ານ

ຫາກທ່ານໃຊ້ ipa-client-install ຫຼື realm ເພື່ອເຂົ້າຮ່ວມໂດເມນ, ທ່ານສາມາດລຶບການເອີ້ນໃຊ້ authconfig ໃດໆ ໃນສະຄຣິບຂອງທ່ານອອກໄດ້ເລີຍ. ຫາກບໍ່ສາມາດເຮັດແບບນັ້ນໄດ້, ທ່ານຈຳເປັນຕ້ອງປ່ຽນແທນການເອີ້ນໃຊ້ authconfig ແຕ່ລະອັນດ້ວຍການເອີ້ນໃຊ້ authselect ທີ່ທຽບເທົ່າກັນ ເພື່ອເລືອກໂປຣໄຟລ໌ທີ່ຖືກຕ້ອງພ້ອມກັບຄຸນສົມບັດທີ່ຕ້ອງການ. ຈາກນັ້ນ ທ່ານຍັງຈຳເປັນຕ້ອງຂຽນໄຟລ໌ກຳນົດຄ່າສຳລັບບໍລິການທີ່ຈຳເປັນນຳອີກ.

Table 1. ຄວາມສຳພັນຂອງຕົວເລືອກ authconfig ກັບໂປຣໄຟລ໌ authselect
--enablenis | none

Table 2. ຄວາມສຳພັນຂອງຕົວເລືອກ authconfig ກັບຄຸນສົມບັດຂອງໂປຣໄຟລ໌ authselect
Authconfig options | Authselect profile feature
--enablesmartcard | with-smartcard
--enablefingerprint | with-fingerprint
--enablemkhomedir | with-mkhomedir
--enablefaillock | with-faillock
--enablepamaccess | with-pamaccess
--enablewinbindkrb5 | with-krb5
--enableshadow | none
--passalgo | none

    Note

    ຕົວເລືອກ Authconfig --enableshadow ແລະ --passalgo=sha512 ມັກຖືກໃຊ້ເພື່ອຮັບປະກັນວ່າລະຫັດຜ່ານຈະຖືກເກັບໄວ້ໃນ /etc/shadow ໂດຍໃຊ້ລະບົບ algorithm sha512. ຕອນນີ້ໂປຣໄຟລ໌ authselect ໃຊ້ວິທີການ hashing ແບບ yescrypt ແລະ ມັນບໍ່ສາມາດປ່ຽນແປງຜ່ານຕົວເລືອກໄດ້ (ເຮັດໄດ້ໂດຍການສ້າງໂປຣໄຟລ໌ກຳນົດເອງເທົັ້ນັ້ນ). ທ່ານສາມາດຂ້າມຕົວເລືອກເຫຼົ່ານີ້ໄປໄດ້ເລີຍ.

ຕົວຢ່າງ.

    authconfig --enableldap --enableldapauth --enablefaillock --updateall
    authselect select sssd with-faillock
    authconfig --enablesssd --enablesssdauth --enablesmartcard --smartcardmodule=sssd --updateall
    authselect select sssd with-smartcard
    authconfig --enablepamaccess --updateall
    authselect select sssd with-pamaccess
    authconfig --enablewinbind --enablewinbindauth --winbindjoin=Administrator --updateall
    realm join -U Administrator --client-software=winbind WINBINDDOMAIN

ໄຟລ໌ກຳນົດຄ່າ

ພາກສ່ວນນີ້ປະກອບມີຕົວຢ່າງໂຄ້ດສຳລັບການກຳນົດຄ່າຂັ້ນຕ່ຳຂອງບໍລິການຕ່າງໆ.

  LDAP

ເຖິງແມ່ນວ່າ LDAP ຈະບໍ່ໄດ້ຖືກໃຊ້ໂດຍກົງຜ່ານ pam_ldap ແລະ nss_ldap, ແຕ່ການກຳນົດຄ່າ ldap.conf ຍັງມີປະໂຫຍດໃນການຕັ້ງຄ່າ openldap-libs ແລະ ທາງອ້ອມ ເຊັ່ນ: ເຄື່ອງມື LDAP ຢ່າງ ldapsearch.

"/etc"/openldap/ldap.conf.

    # Set the default base dn
    BASE   dc=example,dc=com
    # Set the default LDAP server
    URI    ldap://ldap.example.com ldap://ldap-master.example.com:666

  KERBEROS

ຫາກທ່ານໃຊ້ Kerberos, ຄວນກຳນົດຄ່າ Kerberos realm ເລີ່ມຕົ້ນເພື່ອໃຫ້ krb5-libs ແລະ ເຄື່ອງມືຕ່າງໆ ເຊັ່ນ kinit ສາມາດເຮັດງານໄດ້ທັນທີ.

"/etc"/krb5.conf.

    [libdefaults]
     default_realm = MYREALM
    [realms]
     MYREALM = {
      kdc = kdc.myrealm.org
     }
    [domain_realm]
     myrealm.org = MYREALM
     .myrealm.org = MYREALM

  SSSD

Authselect ສົ່ງເສີມໃຫ້ຜູ້ໃຊ້ງານໃຊ້ SSSD ໃນທຸກບ່ອນທີ່ເປັນໄປໄດ້. ມີຕົວເລືອກການກຳນົດຄ່າຫຼາຍຢ່າງ, ເບິ່ງ sssd.conf(5). ນີ້ແມ່ນການກຳນົດຄ່າຂັ້ນຕ່ຳທີ່ສ້າງໂດເມນ LDAP ດຽວທີ່ເອີ້ນວ່າ default. ເຊີເວີ LDAP ແມ່ນຖືກຄົ້ນຫາໂດຍອັດຕະໂນມັດຜ່ານການຄົ້ນຫາ DNS.

"/etc"/sssd/sssd.conf.

    [sssd]
    config_file_version = 2
    domains = default
    [domain/default]
    id_provider = ldap
    ldap_uri = _srv_
    dns_discovery_domain = myrealm

ແລະ ນີ້ແມ່ນຕົວຢ່າງການກຳນົດຄ່າສຳລັບໂດເມນດຽວກັນ ແຕ່ຕອນນີ້ການຢືນຢັນຕົວຕົນແມ່ນເຮັດຜ່ານ Kerberos. ເຊີເວີ KDC ແມ່ນຖືກຄົ້ນຫາໂດຍອັດຕະໂນມັດຜ່ານການຄົ້ນຫາ DNS.

"/etc"/sssd/sssd.conf.

    [sssd]
    config_file_version = 2
    domains = default
    [domain/default]
    id_provider = ldap
    auth_provider = krb5
    ldap_uri = _srv_
    krb5_server = _srv_
    krb5_realm = MYREALM
    dns_discovery_domain = myrealm

ຫາກທ່ານຕ້ອງການກຳນົດຄ່າ SSSD ສຳລັບໂດເມນ IPA ຫຼື Active Directory, ໃຫ້ໃຊ້ເຄື່ອງມື realm. ສິ່ງນີ້ຈະເຮັດການຕັ້ງຄ່າເບື້ອງຕົ້ນເຊິ່ງລວມມີການສ້າງ Kerberos keytab ແລະ ສ້າງການກຳນົດຄ່າ SSSD ພື້ນຖານ. ຈາກນັ້ນທ່ານສາມາດປັບແຕ່ງມັນໄດ້ໂດຍການແກ້ໄຂ "/etc"/sssd/sssd.conf.

  WINBIND

ຫາກທ່ານຕ້ອງການກຳນົດຄ່າເຄື່ອງໃຫ້ໃຊ້ Winbind, ໃຫ້ໃຊ້ realm. ສິ່ງນີ້ຈະເຮັດການຕັ້ງຄ່າເບື້ອງຕົ້ນເຊິ່ງລວມມີການສ້າງ Kerberos keytab ແລະ ການລັນ adcli ເພື່ອເຂົ້າຮ່ວມໂດເມນ. ມັນຍັງເຮັດການປ່ຽນແປງໃນ smb.conf. ຈາກນັ້ນທ່ານສາມາດປັບແຕ່ງມັນໄດ້ໂດຍການແກ້ໄຂ "/etc"/samba/smb.conf.

  ຄຸນນະພາບຂອງລະຫັດຜ່ານ

Authselect ເປີດໃຊ້ໂມດູນ pam_pwquality ເພື່ອບັງຄັບໃຊ້ຂໍ້ກຳນົດກ່ຽວກັບຄຸນນະພາບຂອງລະຫັດຜ່ານ. ໂມດູນນີ້ຖືກເປີດໃຊ້ສຳລັບຜູ້ໃຊ້ພາຍໃນເຄື່ອງເທົ່ານັ້ນ. ສ່ວນຜູ້ໃຊ້ທາງໄກຄວນໃຊ້ນະໂຍບາຍລະຫັດຜ່ານທີ່ຖືກບັງຄັບໃຊ້ໂດຍເຊີເວີທາງໄກທີ່ກ່ຽວຂ້ອງ.

ໂມດູນ pam_pwquality ສາມາດກຳນົດຄ່າໄດ້ໃນ "/etc"/security/pwquality.conf. ເບິ່ງ pam_pwquality(8) ເພື່ອເບິ່ງຕົວເລືອກການກຳນົດຄ່າ ແລະ ຄ່າເລີ່ມຕົ້ນຂອງມັນ.

ການເລີ່ມຕົ້ນບໍລິການ

ຂຶ້ນຢູ່ກັບການກຳນົດຄ່າຂອງທ່ານ, ທ່ານຈຳເປັນຕ້ອງເລີ່ມຕົ້ນບໍລິການທີ່ຕ້ອງການດ້ວຍຕົນເອງໂດຍໃຊ້ systemd.

    • SSSD

        systemctl enable sssd.service ; systemctl start sssd.service

    • Winbind

        systemctl enable winbind.service ; systemctl start winbind.service

    • NIS

        systemctl enable rpcbind.service ; systemctl start rpcbind.service
        systemctl enable ypbind.service ; systemctl start ypbind.service

    • ຫາກເປີດໃຊ້ຄຸນສົມບັດ mkhomedir

        systemctl enable oddjobd.service ; systemctl start oddjobd.service

ເຄື່ອງມື AUTHCONFIG

Authconfig ມາພ້ອມກັບເຄື່ອງມືທີ່ເອີ້ນວ່າ cacertdir_rehash. ຫາກທ່ານຕ້ອງໃຊ້ເຄື່ອງມືນີ້, ກະລຸນາປ່ຽນໄປໃຊ້ຄຳສັ່ງ openssl ແບບດັ້ງເດີມ: openssl rehash <directory> ເຊິ່ງໃຊ້ເພື່ອຈຸດປະສົງດຽວກັນ.

ເບິ່ງເພີ່ມເຕີມ

authselect(8), authselect-profiles(5), realm(8), ipa-client-install(1), sssd.conf(5), smb.conf(5), ldap.conf(5), krb5.conf(5)