Erklärungen sssd-1 - Versionsgeschichte

Thomas.will am 2. April 2026 um 10:57 Uhr

2026-04-02T10:57:56Z

Thomas.will: Thomas.will verschob die Seite Erklürungen sssd-1 nach Erklärungen sssd-1

2026-04-02T10:51:55Z

Thomas.will verschob die Seite Erklürungen sssd-1 nach Erklärungen sssd-1

Thomas.will: Die Seite wurde neu angelegt: „= Dokumentation: SSSD Konfigurationsparameter = Diese Seite beschreibt die Funktionsweise der zentralen Authentifizierungskomponente SSSD (System Security Ser…“

2026-04-02T10:50:53Z

Die Seite wurde neu angelegt: „= Dokumentation: SSSD Konfigurationsparameter = Diese Seite beschreibt die Funktionsweise der zentralen Authentifizierungskomponente SSSD (System Security Ser…“

Neue Seite

= Dokumentation: SSSD Konfigurationsparameter =

Diese Seite beschreibt die Funktionsweise der zentralen Authentifizierungskomponente SSSD (System Security Services Daemon) für das it213.int Labornetzwerk.

== Sektion [sssd] ==

Die Sektion [sssd] ist die globale Konfiguration für den Daemon selbst.

* '''services = nss, pam, sudo'''
** Legt fest, welche System-Schnittstellen SSSD bedienen soll.
*** '''nss''': Stellt Benutzer- und Gruppeninformationen bereit (z. B. für den Befehl 'id' oder 'getent').
*** '''pam''': Übernimmt die eigentliche Anmeldung und Passwortprüfung.
*** '''sudo''': Ermöglicht das Auslesen von Sudo-Regeln aus dem LDAP-Verzeichnis.

* '''domains = it213.int'''
** Aktiviert die spezifische Konfigurationsdomäne. SSSD ignoriert alle [domain/...] Blöcke, die hier nicht explizit aufgelistet sind.

== Sektion [domain/it213.int] ==

Hier wird definiert, wie und woher die Benutzerdaten bezogen werden.

* '''id_provider = ldap'''
** Bestimmt die Quelle für Identitätsinformationen (UID, GID, Home-Verzeichnisse). Hier wird das Lightweight Directory Access Protocol verwendet.

* '''auth_provider = ldap'''
** Legt fest, dass Passwörter gegen das LDAP-Verzeichnis geprüft werden sollen (im Gegensatz zu lokaler Prüfung oder Kerberos).

* '''access_provider = permit'''
** Eine Sicherheitsrichtlinie. 'permit' erlaubt jedem Benutzer, der im LDAP existiert, sich an diesem Client anzumelden.

* '''sudo_provider = ldap'''
** Weist SSSD an, die Sudo-Rollen nicht in lokalen Dateien, sondern in der LDAP-Datenbank zu suchen.

* '''ldap_uri = ldap://ldap.it213.int'''
** Der exakte Standort des LDAP-Servers. Das Protokoll 'ldap://' nutzt standardmäßig Port 389.

* '''ldap_search_base = dc=it213,dc=int'''
** Der "Wurzelpunkt" für Suchen. SSSD schaut nur unterhalb dieses Pfades nach Benutzern und Gruppen.

* '''ldap_sudo_search_base = ou=sudo,dc=it213,dc=int'''
** Ein spezialisierter Pfad, der SSSD direkt zu den Sudo-Rollen führt, um die Abfragezeit zu verkürzen.

== Sicherheits-Overrides (Testumgebung) ==

Da im Labornetzwerk in der ersten Phase keine SSL/TLS-Zertifikate verwendet werden, müssen Sicherheitsmechanismen explizit abgeschaltet werden.

* '''ldap_id_use_start_tls = false'''
** Verhindert, dass SSSD versucht, die Verbindung beim Verbindungsaufbau auf TLS zu "upgraden".

* '''ldap_auth_disable_tls_never_use_in_production = true'''
** Ein "Hard-Override". SSSD verbietet normalerweise den Versand von Passwörtern im Klartext. Dieser Parameter erzwingt die Erlaubnis für unverschlüsselte Authentifizierung.

* '''ldap_tls_reqcert = never'''
** Schaltet die Prüfung von Server-Zertifikaten komplett aus. Dies verhindert Fehler, falls der Server ein ungültiges oder selbstsigniertes Zertifikat sendet.

@@ Zeile 1: / Zeile 1: @@
 = Dokumentation: SSSD Konfigurationsparameter =
@@ Zeile 5: / Zeile 6: @@
 == Sektion [sssd] ==
-Die Sektion [sssd] ist die globale Konfiguration für den Daemon selbst.
+== config_file_version = 2 ==
-* '''services = nss, pam, sudo'''
+== services = nss, pam, sudo ==
-** Legt fest, welche System-Schnittstellen SSSD bedienen soll.
+* Definiert die Schnittstellen, die SSSD bedienen soll:
-*** '''nss''': Stellt Benutzer- und Gruppeninformationen bereit (z. B. für den Befehl 'id' oder 'getent').
+** '''nss''': Liefert Benutzer- und Gruppen-IDs an das System (z. B. für 'ls -l' oder 'id').
-*** '''pam''': Übernimmt die eigentliche Anmeldung und Passwortprüfung.
+** '''pam''': Übernimmt die Passwortprüfung und den Login-Prozess.
-*** '''sudo''': Ermöglicht das Auslesen von Sudo-Regeln aus dem LDAP-Verzeichnis.
+** '''sudo''': Ermöglicht das Abrufen von Administrator-Berechtigungen aus dem LDAP.
-* '''domains = it213.int'''
+== domains = it213.int ==
-** Aktiviert die spezifische Konfigurationsdomäne. SSSD ignoriert alle [domain/...] Blöcke, die hier nicht explizit aufgelistet sind.
+* Aktiviert die namentlich genannte Domäne. SSSD verarbeitet nur Blöcke, die hier eingetragen sind.
 == Sektion [domain/it213.int] ==
-Hier wird definiert, wie und woher die Benutzerdaten bezogen werden.
+== id_provider = ldap ==
-* '''id_provider = ldap'''
+== auth_provider = ldap ==
-** Bestimmt die Quelle für Identitätsinformationen (UID, GID, Home-Verzeichnisse). Hier wird das Lightweight Directory Access Protocol verwendet.
+* Legt fest, dass die Authentifizierung (Passwort-Check) direkt gegen den LDAP-Server durchgeführt wird.
-* '''auth_provider = ldap'''
+== access_provider = permit ==
-** Legt fest, dass Passwörter gegen das LDAP-Verzeichnis geprüft werden sollen (im Gegensatz zu lokaler Prüfung oder Kerberos).
+* Eine einfache Zugriffssteuerung, die jedem im LDAP existierenden Benutzer die Anmeldung am System erlaubt.
-* '''access_provider = permit'''
+== sudo_provider = ldap ==
-** Eine Sicherheitsrichtlinie. 'permit' erlaubt jedem Benutzer, der im LDAP existiert, sich an diesem Client anzumelden.
+* Aktiviert das LDAP-Backend für Sudo-Regeln, sodass Berechtigungen zentral im Verzeichnisbaum verwaltet werden können.
-* '''sudo_provider = ldap'''
+== ldap_uri = ldap://ldap.it213.int ==
-** Weist SSSD an, die Sudo-Rollen nicht in lokalen Dateien, sondern in der LDAP-Datenbank zu suchen.
+* Gibt die Adresse des LDAP-Servers an. Das Präfix 'ldap://' signalisiert eine Standardverbindung über Port 389.
-* '''ldap_uri = ldap://ldap.it213.int'''
+== ldap_search_base = dc=it213,dc=int ==
-** Der exakte Standort des LDAP-Servers. Das Protokoll 'ldap://' nutzt standardmäßig Port 389.
+* Definiert den Basispfad im Verzeichnisbaum, ab dem SSSD nach Objekten suchen soll.
-* '''ldap_search_base = dc=it213,dc=int'''
+== ldap_sudo_search_base = ou=sudo,dc=it213,dc=int ==
-** Der "Wurzelpunkt" für Suchen. SSSD schaut nur unterhalb dieses Pfades nach Benutzern und Gruppen.
+* Ein optimierter Suchpfad speziell für Sudo-Regeln, um die Abfragegeschwindigkeit zu erhöhen.
 == Sicherheits-Overrides (Testumgebung) ==
-Da im Labornetzwerk in der ersten Phase keine SSL/TLS-Zertifikate verwendet werden, müssen Sicherheitsmechanismen explizit abgeschaltet werden.
+== ldap_id_use_start_tls = false ==
+* Schaltet die automatische Hochstufung der Verbindung auf eine verschlüsselte TLS-Sitzung ab.
-* '''ldap_auth_disable_tls_never_use_in_production = true'''
+== ldap_auth_disable_tls_never_use_in_production = true ==
-** Ein "Hard-Override". SSSD verbietet normalerweise den Versand von Passwörtern im Klartext. Dieser Parameter erzwingt die Erlaubnis für unverschlüsselte Authentifizierung.
+* Ein notwendiger Sicherheits-Override für Testumgebungen. Erlaubt SSSD, Passwörter unverschlüsselt zu übertragen, was standardmäßig blockiert wird.
-* '''ldap_tls_reqcert = never'''
+== ldap_tls_reqcert = never ==
-** Schaltet die Prüfung von Server-Zertifikaten komplett aus. Dies verhindert Fehler, falls der Server ein ungültiges oder selbstsigniertes Zertifikat sendet.
+* Deaktiviert die Prüfung von SSL-Zertifikaten. Dies verhindert Fehlermeldungen bei fehlenden oder selbstsignierten Zertifikaten des Servers.