'\" t
.\"     Title: sssd-ad
.\"    Author: SSSD uppströms \(en https://github.com/SSSD/sssd/
.\" Generator: DocBook XSL Stylesheets vsnapshot <http://docbook.sf.net/>
.\"      Date: 12/17/2024
.\"    Manual: Filformat och konventioner
.\"    Source: SSSD
.\"  Language: English
.\"
.TH "SSSD\-AD" "5" "12/17/2024" "SSSD" "Filformat och konventioner"
.\" -----------------------------------------------------------------
.\" * Define some portability stuff
.\" -----------------------------------------------------------------
.\" ~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~
.\" http://bugs.debian.org/507673
.\" http://lists.gnu.org/archive/html/groff/2009-02/msg00013.html
.\" ~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~
.ie \n(.g .ds Aq \(aq
.el       .ds Aq '
.\" -----------------------------------------------------------------
.\" * set default formatting
.\" -----------------------------------------------------------------
.\" disable hyphenation
.nh
.\" disable justification (adjust text to left margin only)
.ad l
.\" -----------------------------------------------------------------
.\" * MAIN CONTENT STARTS HERE *
.\" -----------------------------------------------------------------
.SH "NAME"
sssd-ad \- SSSD Active Directory\-leverantör
.SH "BESKRIVNING"
.PP
Denna manualsida beskriver konfigurationen av leverantören AD till
\fBsssd\fR(8)\&. För en detaljerad referens om syntaxen, se avsnittet
\(lqFILFORMAT\(rq
i manualsidan
\fBsssd.conf\fR(5)\&.
.PP
Leverantören AD är en bakände som används för att ansluta till en Active Directory\-server\&. Leverantören kräver att maskinen läggs in i AD\-domänen och att en keytab är tillgänglig\&. Bakändekommunikationen sker över en GSSAPI\-krypterad kanal, SSL/TLS\-alternativ skall inte användas tillsammans med AD\-leverantören och kommer ersättas av Kerberos\-användning\&.
.PP
AD\-leverantören stödjer anslutning till Active Directory 2008 R2 eller senare\&. Tidigare versioner kan fungera, men stödjs inte\&.
.PP
AD\-leverantören kan användas för att få användarinformation och autentisera användare från betrodda domäner\&. För närvarande känns endast betrodda domäner i samma skog igen\&. Dessutom automatupptäcks alltid servrar från betrodda domäner\&.
.PP
AD\-leverantören gör att SSSD kan använda identitetsleverantören
\fBsssd-ldap\fR(5)
och autentiseringsleverantören
\fBsssd-krb5\fR(5)
med optimeringar för Active Directory\-miljöer\&. AD\-leverantören tar samma alternativ som används av leverantörerna sssd\-ldap och sssd\-krb5 med några undantag\&. Dock är det varken nödvändigt eller lämpligt att sätta dessa alternativ\&.
.PP
AD\-leverantören kopierar i huvudsak standardalternativen för de traditionella leverantörerna ldap och krb5 med några undantag\&. Skillnaderna listas i avsnittet
\(lqÄNDRADE STANDARDINSTÄLLNINGAR\(rq\&.
.PP
AD\-leverantören kan även användas som en åtkomst\-, chpass\-, sudo\- och autofs\-leverantör\&. Ingen konfiguration av åtkomstleverantören behövs på klientsidan\&.
.PP
Om
\(lqauth_provider=ad\(rq
eller
\(lqaccess_provider=ad\(rq
konfigureras i sssd\&.conf måste id\-leverantören också sättas till
\(lqad\(rq\&.
.PP
Som standard kommer AD\-leverantören översätta AID\- och GID\-värden från parametern objectSID i Active Directory\&. För detaljer om detta se avsnittet
\(lqID\-ÖVERSÄTTNING\(rq
nedan\&. Om du vill avaktivera ID\-översättning och istället lita på POSIX\-attribut definierade i Active Directory skall du sätta
.sp
.if n \{\
.RS 4
.\}
.nf
ldap_id_mapping = False
            
.fi
.if n \{\
.RE
.\}
.sp
\&. Om POSIX\-attribut skall användas rekommenderas det av prestandaskäl att attributen även replikeras till den globala katalogen\&. Om POSIX\-attribut replikeras kommer SSSD försöka att hitta domänen för den begärda numeriska ID:n med hjälp av den globala katalogen och endast söka i den domänen\&. Om POSIX\-attribut däremot inte replikeras till den globala katalogen måste SSSD söka i alla domänerna i skogen sekventiellt\&. Observera att alternativet
\(lqcache_first\(rq
också kan vara till hjälp för att snabba upp domänlösa sökningar\&. Observera att om endast en delmängd av POSIX\-attributen finns i den globala katalogen läses för närvarande inte de attribut som inte replikeras från LDAP\-porten\&.
.PP
Användare, grupper och andra enheter som servas av SSSD behandlas alltid som skiftlägesokänsliga i AD\-leverantören för kompatibilitet med Active Directorys LDAP\-implementation\&.
.PP
SSSD slår endast up Active Directory Security Groups\&. För mer information om AD\-grupptyper se:
\m[blue]\fBActive Directory security grouips\fR\m[]\&\s-2\u[1]\d\s+2
.PP
SSSD filtrerar ut domänlokala grupper från fjärrdomäner i AD\-skogen\&. Som standard filtreras de ut t\&.ex\&. när man följer en nästad grupphierarki i fjärrdomäner för att de inte är giltiga i den lokala domänen\&. Detta görs för att stämma med Active Directorys gruppmedlemskapstilldelning vilken kan ses i Kerberosbiljettens PAC för en användare utgiven av Active Directory\&.
.SH "KONFIGURATIONSALTERNATIV"
.PP
Se
\(lqDOMÄNSEKTIONER\(rq
i manualsidan
\fBsssd.conf\fR(5)
för detaljer om konfigurationen av en SSSD\-domän\&.
.PP
ad_domain (sträng)
.RS 4
Anger namnet på Active Directory\-domänen\&. Detta är frivilligt\&. Om det inte anges används namnet på den konfigurerade domänen\&.
.sp
För att fungera ordentligt skall detta alternativ anges som den gemena versionen av den långa versionen av Active Directorys domän\&.
.sp
Det korta domännamnet (även känt som NetBIOS\-namnet eller det platta namnet) detekteras automatiskt av SSSD\&.
.RE
.PP
ad_enabled_domains (sträng)
.RS 4
A comma\-separated list of enabled Active Directory domains\&. If provided, SSSD will ignore any domains not listed in this option\&. If left unset, all discovered domains from the AD forest will be available\&.
.sp
During the discovery of the domains SSSD will filter out some domains where flags or attributes indicate that they do not belong to the local forest or are not trusted\&. If ad_enabled_domains is set, SSSD will try to enable all listed domains\&.
.sp
För att fungera ordentligt bör detta alternativ anges helt i gemener och som det fullständigt kvalificerade namnet på Active Directory\-domänen\&. Till exempel:
.sp
.if n \{\
.RS 4
.\}
.nf
ad_enabled_domains = marknad\&.example\&.com, tekn\&.example\&.com
                            
.fi
.if n \{\
.RE
.\}
.sp
Det korta domännamnet (även känt som NetBIOS\-namnet eller det platta namnet) kommer detekteras automatiskt av SSSD\&.
.sp
Standard: inte satt
.RE
.PP
ad_server, ad_backup_server (sträng)
.RS 4
Den kommaseparerade listan av värdnamn till AD\-servrar till vilka SSSD skall ansluta i prioritetsordning\&. För mer information om reserver och serverredundans se avsnittet
\(lqRESERVER\(rq\&.
.sp
Detta är frivilligt om automatupptäckt är aktiverat\&. För mer information om tjänsteupptäckt se avsnittet
\(lqTJÄNSTEUPPTÄCKT\(rq\&.
.sp
Observera: betrodda domäner kommer alltid automatiskt upptäcka servrar även om den primära servern definieras uttryckligen i alternativet ad_server\&.
.RE
.PP
ad_hostname (sträng)
.RS 4
Valfri\&. På maskiner där hostname(5) inte avspeglar det fullständigt kvalificerade namnet kommer sssd försöka expandera det korta namnet\&. Om det inte är möjligt eller det korta namnet verkligen skall användas istället, sätt då denna parameter uttryckligen\&.
.sp
Detta fält används för att avgöra värd\-huvudmannen som används i keytab:en och utföra dynamiska DNS\-uppdateringar\&. Det måste stämma med värdnamnet som keytab:en gavs ut för\&.
.RE
.PP
ad_enable_dns_sites (boolean)
.RS 4
Aktiverar DNS\-sajter \(en platsbaserat tjänsteupptäckt\&.
.sp
Om sant och tjänsteupptäckt (se stycket Tjänsteupptäckt i slutet av manualsidan) är aktiverat kommer SSSD först att försöka hitta en Active Directory\-server att ansluta till med Active Directory Site Discovery och sedan falla tillbaka på traditionell SRV\-upptäckt om ingen AD\-sajt hittas\&. Konfigurationen av DNS SRV, inklusive upptäcktsdomänen, används också under sajtupptäckten\&.
.sp
Standard: true
.RE
.PP
ad_access_filter (sträng)
.RS 4
Detta alternativ anger LDAP:s åtkomstkontrollfilter som användaren måste matcha för att tillåtas åtkomst\&. Observera att alternativet
\(lqaccess_provider\(rq
måste vara uttryckligen satt till
\(lqad\(rq
för att detta alternativ skall ha någon effekt\&.
.sp
Alternativet stödjer också att ange olika filter per domän eller skog\&. Detta utökade filter skulle bestå av:
\(lqNYCKELORD:NAMN:FILTER\(rq\&. Nyckelordet kan vara antingen
\(lqDOM\(rq,
\(lqFOREST\(rq
eller utelämnas\&.
.sp
Om nyckelordet är lika med
\(lqDOM\(rq
eller saknas anger
\(lqNAMN\(rq
domänen eller underdomänen filtret gäller för\&. Om nyckelordet är lika med
\(lqFOREST\(rq
är filtret lika för alla domäner från skogen som anges av
\(lqNAMN\(rq\&.
.sp
Flera filter kan avgränsas med tecknet
\(lq?\(rq, i likhet med hur sökbaser fungerar\&.
.sp
Nästade gruppmedlemskap måste sökas efter med en speciell OID
\(lq:1\&.2\&.840\&.113556\&.1\&.4\&.1941:\(rq
utöver den fullständiga syntaxen DOM:domän\&.example\&.com: för att säkerställa att tolken inte försöker tolka kolontecknen som hör till OID:n\&. Om man inte använder denna OID kommer nästade gruppmedlemskap inte slås upp\&. Se användningsexempel nedan och se här för ytterligare information om OID:n:
\m[blue]\fB[MS\-ADTS] avsnittet LDAP\-utökningar\fR\m[]\&\s-2\u[2]\d\s+2
.sp
Den mest specifika matchningen används alltid\&. Till exempel, om alternativet angav filter för en domän användaren är medlem i och ett globalt filter skulle det domänspecifika filtret tillämpas\&. Om det finns fler matchningar med samma specifikation används den första\&.
.sp
Exempel:
.sp
.if n \{\
.RS 4
.\}
.nf
# tillämpa endast filtret på en domän som heter dom1:
dom1:(memberOf=cn=admins,ou=groups,dc=dom1,dc=com)

# tillämpa endast filtret på en domän som heter dom2:
DOM:dom2:(memberOf=cn=admins,ou=groups,dc=dom2,dc=com)

# tillämpa endast filtret på en skog som heter EXAMPLE\&.COM:
FOREST:EXAMPLE\&.COM:(memberOf=cn=admins,ou=groups,dc=example,dc=com)

# tillämpa filtret på en medlem av en nästad grupp i dom1:
DOM:dom1:(memberOf:1\&.2\&.840\&.113556\&.1\&.4\&.1941:=cn=nestedgroup,ou=groups,dc=example,dc=com)
                        
.fi
.if n \{\
.RE
.\}
.sp
Standard: inte satt
.RE
.PP
ad_site (sträng)
.RS 4
Ange en AD\-sajt som klienten skall försöka ansluta till\&. Om detta alternativ inte anges kommer AD\-sajten att automatupptäckas\&.
.sp
Standard: inte satt
.RE
.PP
ad_enable_gc (boolean)
.RS 4
Som standard ansluter SSSD till den globala katalogen först för att hämta användare från betrodda domäner och använder LDAP\-porten för att hämta gruppmedlemskap som en reserv\&. Att avaktivera detta alternativ gör att SSSD endast ansluter till LDAP\-porten på den aktuella AD\-servern\&.
.sp
Observera att att avaktivera stöd för den globala katalogen inte avaktiverar att hämta användare från betrodda domäner\&. SSSD skulle ansluta till LDAP\-porten på den betrodda domänen istället\&. Dock måste den globala katalogen användas för att slå upp gruppmedlemskap över domäner\&.
.sp
Standard: true
.RE
.PP
ad_gpo_access_control (sträng)
.RS 4
Detta alternativ anger arbetsläget för GPO\-baserad åtkomstkontrollsfunktionalitet: huruvida det arbetar i avaktiverat läge, tvingande läge eller tillåtande läge\&. Observera att alternativet
\(lqaccess_provider\(rq
måste vara uttryckligen satt till
\(lqad\(rq
för att detta alternativ skall ha någon effekt\&.
.sp
Funktionalitet för GPO\-baserad åtkomststyrning använder GPO\-policyinställningar för att avgöra huruvida en viss användare tillåts logga in på värden eller inte\&. För mer information om de stödda policyinställningarna se flaggan
\(lqad_gpo_map\(rq\&.
.sp
Observera att den aktuella versionen av SSSD inte stöjder Active Directorys inbyggda grupper\&. Inbyggda grupper (såsom administratörer med SID S\-1\-5\-32\-544) i GPO\-åtkomststyrningsregler kommer ignoreras av SSSD\&. Se uppströms ärendehanterare https://github\&.com/SSSD/sssd/issues/5063 \&.
.sp
Före åtkomstkontroll utförs tillämpar SSSD säkerhetsfiltrering enligt gruppolicy på GPO:erna\&. För varje enskild användares inloggning kontrolleras tillämpligheten av GPO:erna som är länkade till värden\&. För att en GPO skall vara tillämplig på en användare måste användaren eller åtminstone en av de grupper den tillhör ha följande rättigheter på GPO:n:
.sp
.RS 4
.ie n \{\
\h'-04'\(bu\h'+03'\c
.\}
.el \{\
.sp -1
.IP \(bu 2.3
.\}
Läs: användaren eller en av dess grupper måste ha läsrättigheter till egenskaperna hos GPO:n (RIGHT_DS_READ_PROPERTY)
.RE
.sp
.RS 4
.ie n \{\
\h'-04'\(bu\h'+03'\c
.\}
.el \{\
.sp -1
.IP \(bu 2.3
.\}
Verkställ gruppolicy: användaren eller åtminstone en av dess grupper måste ha tillåtelse att verkställa GPO:n (RIGHT_DS_CONTROL_ACCESS)\&.
.RE
.sp
Som standard fins en autentiserad användares grupp på en GPO och denna grupp har både Läs\- och Verkställ gruppolicy\-åtkomsträttigheter\&. Eftersom autentisering av en användare måste ha fullgjorts framgångsrikt före GPO\-säkerhetsfiltrering och åtkomstkontroll börjar gäller alltid även den autentiserade användarens grupprättigheter på GPO:n för användaren\&.
.sp
OBS: Om åtgärdsläget är satt till tvingande är det möjligt att användarna som tidigare var tillåtna inloggningsåtkomst nu kommer nekast inloggningsåtkomst (som det dikteras av GPO\-policyinställningar)\&. För att möjliggöra en smidig övergång för administratörer finns ett tillåtande läge tillgängligt som inte kommer genomdriva åtkomststyrningsreglerna, utan kommer beräkna deom och skriva ut ett syslog\-meddelande om åtkomst skulle ha nekats\&. Genom att granska loggarna kan administratörer sedan göra de nödvändiga ändringarna före läget ställs in som tvingande\&. För att logga felsökningsnivå av GPO\-baserad åtkomstkontroll krävs \(rqtrace functions\(rq (se manualsidan
\fBsssctl\fR(8))\&.
.sp
Det finns tre stödda värden för detta alternativ:
.sp
.RS 4
.ie n \{\
\h'-04'\(bu\h'+03'\c
.\}
.el \{\
.sp -1
.IP \(bu 2.3
.\}
disabled: GPO\-baserade åtkomstkontrollsregler varken evalueras eller påtvingas\&.
.RE
.sp
.RS 4
.ie n \{\
\h'-04'\(bu\h'+03'\c
.\}
.el \{\
.sp -1
.IP \(bu 2.3
.\}
enforcing: GPO\-baserade åtkomstkontrollregler evalueras och påtvingas\&.
.RE
.sp
.RS 4
.ie n \{\
\h'-04'\(bu\h'+03'\c
.\}
.el \{\
.sp -1
.IP \(bu 2.3
.\}
permissive: GPO\-baserade åtkomstkontrollregler evalueras men påtvingas inte\&. Istället skickas ett syslog\-meddelande ut som indikerar att användaren skulle ha nekats åtkomst om detta alternativs värde vore satt till enforcing\&.
.RE
.sp
Standard: enforcing
.RE
.PP
ad_gpo_implicit_deny (boolean)
.RS 4
Normalt när inga tillämpliga GPO:er finns tillåts användarna åtkomst\&. När detta alternativ är satt till True kommer användare att tillåtas åtkomst endast när det uttryckligen tillåts av en GPO\-regel\&. Annars kommer användare nekas åtkomst\&. Detta kan användas för att stärka säkerheten men var försiktig när detta alternativ används för det kan neka åtkomst även till användare i den inbyggda administratörsgruppen om inga GPO\-regler är tillämpliga på dem\&.
.sp
Standard: False
.sp
Följande 2 tabeller bör illustrera när en användare tillåts eller nekas baserat på de tillåtande eller nekande inloggningsrättigheterna definierade på serversidan och inställningen av ad_gpo_implicit_deny\&.
.TS
allbox tab(:);
cB s s
cB cB cB.
T{
ad_gpo_implicit_deny = False (standard)
T}
T{
tillåtelseregler
T}:T{
nekanderegler
T}:T{
resultat
T}
.T&
c c c
c c c
c c c
c c c.
T{
saknas
T}:T{
saknas
T}:T{
alla användare tillåts
T}
T{
saknas
T}:T{
finns
T}:T{
endast användare som inte finns i nekanderegler tillåts
T}
T{
finns
T}:T{
saknas
T}:T{
endast användare i tillåtelseregler tillåts
T}
T{
finns
T}:T{
finns
T}:T{
endast användare i tillåtelse och inte i nekanderegler tillåts
T}
.TE
.sp 1
.TS
allbox tab(:);
cB s s
cB cB cB.
T{
ad_gpo_implicit_deny = True
T}
T{
tillåtelseregler
T}:T{
nekanderegler
T}:T{
resultat
T}
.T&
c c c
c c c
c c c
c c c.
T{
saknas
T}:T{
saknas
T}:T{
inga användare tillåts
T}
T{
saknas
T}:T{
finns
T}:T{
inga användare tillåts
T}
T{
finns
T}:T{
saknas
T}:T{
endast användare i tillåtelseregler tillåts
T}
T{
finns
T}:T{
finns
T}:T{
endast användare i tillåtelse och inte i nekanderegler tillåts
T}
.TE
.sp 1
.RE
.PP
ad_gpo_ignore_unreadable (boolean)
.RS 4
Normalt när några gruppolicybehållare (AD\-objekt) av några tillämpliga gruppolicyobjekt inte är läsbara av SSSD så nekas användare åtkomst\&. Detta alternativ tillåter att man ignorerar gruppolicybehållare och med dem tillhörande policyer om deras attribut i gruppolicybehållare inte är läsbara för SSSD\&.
.sp
Standard: False
.RE
.PP
ad_gpo_cache_timeout (heltal)
.RS 4
Tiden mellan uppslagningar av GPO\-policyfiler mot AD\-servern\&. Detta kommer reducera tidsfördröjningen och lasten på AD\-servern om det görs många begäranden om åtkomstkontroll under en kort tid\&.
.sp
Standard: 5 (sekunder)
.RE
.PP
ad_gpo_map_interactive (sträng)
.RS 4
En kommaseparerad lista av PAM\-tjänstenamn för vilka GPO\-baserad åtkomstkontroll beräknas baserat på policyinställningarna InteractiveLogonRight och DenyInteractiveLogonRight\&. Endast de GPO:er beräknas för vilka användaren har Läs\- eller Verkställ gruppolicy\-rättigheter (se flaggan
\(lqad_gpo_access_control\(rq)\&. Om en beräknad GPO innehåller inställningen neka interaktiv inloggning för användaren eller en av dess grupper nekas användaren lokal åtkomst\&. Om ingen av de evaluerade GPO:erna har en interaktiv inloggningsrättighet definierad ges användaren lokal åtkomst\&. Om åtminstone en beräknad GPO innehåller inställningen interaktiv inloggningsrättighet ges användaren lokal åtkomst endast om denne eller åtminstone en av dess grupper är del av den policyinställningen\&.
.sp
Obs: när man använder gruppolicyhanteringsredigeraren kallas detta värde \(rqTillåt inloggning lokalt\(rq och \(rqNeka inloggning lokalt\(rq\&.
.sp
Det är möjligt att lägga till ett annat PAM\-tjänstenamn till standarduppsättningen genom att använda
\(lq+tjänstenamn\(rq
eller att uttryckligen ta bort ett PAM\-tjänstenamn från standarduppsättningen genom att använda
\(lq\-tjänstenamn\(rq\&. Till exempel, för att byta ut ett standard\-PAM\-tjänstenamn för denna inloggningsrätt (t\&.ex\&.
\(lqlogin\(rq) mot ett anpassat PAM\-tjänstenamn (t\&.ex\&.
\(lqmin_pam\-tjänst\(rq) skulle man använda följande konfiguration:
.sp
.if n \{\
.RS 4
.\}
.nf
ad_gpo_map_interactive = +min_pam\-tjänst, \-login
                            
.fi
.if n \{\
.RE
.\}
.sp
Standard: standarduppsättningen av PAM\-tjänstenamn innefattar:
.sp
.RS 4
.ie n \{\
\h'-04'\(bu\h'+03'\c
.\}
.el \{\
.sp -1
.IP \(bu 2.3
.\}
login
.RE
.sp
.RS 4
.ie n \{\
\h'-04'\(bu\h'+03'\c
.\}
.el \{\
.sp -1
.IP \(bu 2.3
.\}
su
.RE
.sp
.RS 4
.ie n \{\
\h'-04'\(bu\h'+03'\c
.\}
.el \{\
.sp -1
.IP \(bu 2.3
.\}
su\-l
.RE
.sp
.RS 4
.ie n \{\
\h'-04'\(bu\h'+03'\c
.\}
.el \{\
.sp -1
.IP \(bu 2.3
.\}
gdm\-fingerprint
.RE
.sp
.RS 4
.ie n \{\
\h'-04'\(bu\h'+03'\c
.\}
.el \{\
.sp -1
.IP \(bu 2.3
.\}
gdm\-password
.RE
.sp
.RS 4
.ie n \{\
\h'-04'\(bu\h'+03'\c
.\}
.el \{\
.sp -1
.IP \(bu 2.3
.\}
gdm\-smartcard
.RE
.sp
.RS 4
.ie n \{\
\h'-04'\(bu\h'+03'\c
.\}
.el \{\
.sp -1
.IP \(bu 2.3
.\}
kdm
.RE
.sp
.RS 4
.ie n \{\
\h'-04'\(bu\h'+03'\c
.\}
.el \{\
.sp -1
.IP \(bu 2.3
.\}
lightdm
.RE
.sp
.RS 4
.ie n \{\
\h'-04'\(bu\h'+03'\c
.\}
.el \{\
.sp -1
.IP \(bu 2.3
.\}
lxdm
.RE
.sp
.RS 4
.ie n \{\
\h'-04'\(bu\h'+03'\c
.\}
.el \{\
.sp -1
.IP \(bu 2.3
.\}
sddm
.RE
.sp
.RS 4
.ie n \{\
\h'-04'\(bu\h'+03'\c
.\}
.el \{\
.sp -1
.IP \(bu 2.3
.\}
unity
.RE
.sp
.RS 4
.ie n \{\
\h'-04'\(bu\h'+03'\c
.\}
.el \{\
.sp -1
.IP \(bu 2.3
.\}
xdm
.RE
.sp
.RE
.PP
ad_gpo_map_remote_interactive (sträng)
.RS 4
En kommaseparerad lista av PAM\-tjänstenamn för vilka GPO\-baserad åtkomstkontroll beräknas baserat på policyinställningarna RemoteInteractiveLogonRight och DenyRemoteInteractiveLogonRight\&. Endast de GPO:er beräknas för vilka användaren har Läs\- eller Verkställ gruppolicy\-rättigheter (se flaggan
\(lqad_gpo_access_control\(rq)\&. Om en beräknad GPO innehåller inställningen neka fjärrinloggning för användaren eller en av dess grupper nekas användaren interaktiv fjärråtkomst\&. Om ingen av de evaluerade GPO:erna har en interaktiv inloggningsrättighet definierad ges användaren interaktiv fjärråtkomst\&. Om åtminstone en beräknad GPO innehåller inställningen interaktiv fjärrinloggningsrättighet ges användaren fjärråtkomst endast om denne eller åtminstone en av dess grupper är del av den policyinställningen\&.
.sp
Obs: när man använder gruppolicyhanteringsredigeraren kallas detta värde \(rqTillåt inloggning via fjärrskrivbordstjänster\(rq och \(rqNeka inloggning via fjärrinloggningstjänster\(rq\&.
.sp
Det är möjligt att lägga till ett annat PAM\-tjänstenamn till standarduppsättningen genom att använda
\(lq+tjänstenamn\(rq
eller att uttryckligen ta bort ett PAM\-tjänstenamn från standarduppsättningen genom att använda
\(lq\-tjänstenamn\(rq\&. Till exempel, för att byta ut ett standard\-PAM\-tjänstenamn för denna inloggningsrätt (t\&.ex\&.
\(lqsshd\(rq) mot ett anpassat PAM\-tjänstenamn (t\&.ex\&.
\(lqmin_pam\-tjänst\(rq) skulle man använda följande konfiguration:
.sp
.if n \{\
.RS 4
.\}
.nf
ad_gpo_map_remote_interactive = +min_pam\-tjänst, \-sshd
                            
.fi
.if n \{\
.RE
.\}
.sp
Standard: standarduppsättningen av PAM\-tjänstenamn innefattar:
.sp
.RS 4
.ie n \{\
\h'-04'\(bu\h'+03'\c
.\}
.el \{\
.sp -1
.IP \(bu 2.3
.\}
sshd
.RE
.sp
.RS 4
.ie n \{\
\h'-04'\(bu\h'+03'\c
.\}
.el \{\
.sp -1
.IP \(bu 2.3
.\}
cockpit
.RE
.sp
.RE
.PP
ad_gpo_map_network (sträng)
.RS 4
En kommaseparerad lista av PAM\-tjänstenamn för vilka GPO\-baserad åtkomstkontroll beräknas baserat på policyinställningarna NetworkLogonRight och DenyNetworkLogonRight\&. Endast de GPO:er beräknas för vilka användaren har Läs\- eller Verkställ gruppolicy\-rättigheter (se flaggan
\(lqad_gpo_access_control\(rq)\&. Om en beräknad GPO innehåller inställningen neka nätverksinloggning för användaren eller en av dess grupper nekas användaren nätverksåtkomst\&. Om ingen av de evaluerade GPO:erna har en nätverksinloggningsrättighet definierad ges användaren inloggningsåtkomst\&. Om åtminstone en beräknad GPO innehåller inställningen nätverksinloggningsrättighet ges användaren inloggningsåtkomst endast om denne eller åtminstone en av dess grupper är del av den policyinställningen\&.
.sp
Obs: när man använder gruppolicyhanteringsredigeraren kallas detta värde \(rqKom åt denna dator från nätverket\(rq och \(rqNeka åtkomst till denna dator från nätverket\(rq\&.
.sp
Det är möjligt att lägga till ett annat PAM\-tjänstenamn till standarduppsättningen genom att använda
\(lq+tjänstenamn\(rq
eller att uttryckligen ta bort ett PAM\-tjänstenamn från standarduppsättningen genom att använda
\(lq\-tjänstenamn\(rq\&. Till exempel, för att byta ut ett standard\-PAM\-tjänstenamn för denna inloggningsrätt (t\&.ex\&.
\(lqftp\(rq) mot ett anpassat PAM\-tjänstenamn (t\&.ex\&.
\(lqmin_pam\-tjänst\(rq) skulle man använda följande konfiguration:
.sp
.if n \{\
.RS 4
.\}
.nf
ad_gpo_map_network = +min_pam\-tjänst, \-ftp
                            
.fi
.if n \{\
.RE
.\}
.sp
Standard: standarduppsättningen av PAM\-tjänstenamn innefattar:
.sp
.RS 4
.ie n \{\
\h'-04'\(bu\h'+03'\c
.\}
.el \{\
.sp -1
.IP \(bu 2.3
.\}
ftp
.RE
.sp
.RS 4
.ie n \{\
\h'-04'\(bu\h'+03'\c
.\}
.el \{\
.sp -1
.IP \(bu 2.3
.\}
samba
.RE
.sp
.RE
.PP
ad_gpo_map_batch (sträng)
.RS 4
En kommaseparerad lista av PAM\-tjänstenamn för vilka GPO\-baserad åtkomstkontroll beräknas baserat på policyinställningarna BatchLogonRight och DenyBatchLogonRight\&. Endast de GPO:er beräknas för vilka användaren har Läs\- eller Verkställ gruppolicy\-rättigheter (se flaggan
\(lqad_gpo_access_control\(rq)\&. Om en beräknad GPO innehåller inställningen neka satsvis inloggning för användaren eller en av dess grupper nekas användaren satsvis inloggningsåtkomst\&. Om ingen av de evaluerade GPO:erna har en satsvis inloggningsrättighet definierad ges användaren inloggningsåtkomst\&. Om åtminstone en beräknad GPO innehåller inställningen satsvis inloggningsrättighet ges användaren inloggningsåtkomst endast om denne eller åtminstone en av dess grupper är del av den policyinställningen\&.
.sp
Obs: när man använder gruppolicyhanteringsredigeraren kallas detta värde \(rqTillåt inloggning som ett batch\-jobb\(rq och \(rqNeka inloggning som ett batch\-jobb\(rq\&.
.sp
Det är möjligt att lägga till ett annat PAM\-tjänstenamn till standarduppsättningen genom att använda
\(lq+tjänstenamn\(rq
eller att uttryckligen ta bort ett PAM\-tjänstenamn från standarduppsättningen genom att använda
\(lq\-tjänstenamn\(rq\&. Till exempel, för att byta ut ett standard\-PAM\-tjänstenamn för denna inloggningsrätt (t\&.ex\&.
\(lqcrond\(rq) mot ett anpassat PAM\-tjänstenamn (t\&.ex\&.
\(lqmin_pam\-tjänst\(rq) skulle man använda följande konfiguration:
.sp
.if n \{\
.RS 4
.\}
.nf
ad_gpo_map_batch = +min_pam\-tjänst, \-crond
                            
.fi
.if n \{\
.RE
.\}
.sp
Obs: cron\-tjänstenamn kan skilja beroende på vilken Linuxdistribution som används\&.
.sp
Standard: standarduppsättningen av PAM\-tjänstenamn innefattar:
.sp
.RS 4
.ie n \{\
\h'-04'\(bu\h'+03'\c
.\}
.el \{\
.sp -1
.IP \(bu 2.3
.\}
crond
.RE
.sp
.RE
.PP
ad_gpo_map_service (sträng)
.RS 4
En kommaseparerad lista av PAM\-tjänstenamn för vilka GPO\-baserad åtkomstkontroll beräknas baserat på policyinställningarna ServiceLogonRight och DenyServiceLogonRight\&. Endast de GPO:er beräknas för vilka användaren har Läs\- eller Verkställ gruppolicy\-rättigheter (se flaggan
\(lqad_gpo_access_control\(rq)\&. Om en beräknad GPO innehåller inställningen neka tjänsteinloggning för användaren eller en av dess grupper nekas användaren tjänsteinloggningsåtkomst\&. Om ingen av de evaluerade GPO:erna har en tjänsteinloggningsrättighet definierad ges användaren inloggningsåtkomst\&. Om åtminstone en beräknad GPO innehåller inställningen tjänsteinloggningsrättighet ges användaren inloggningsåtkomst endast om denne eller åtminstone en av dess grupper är del av den policyinställningen\&.
.sp
Obs: när man använder gruppolicyhanteringsredigeraren kallas detta värde \(rqTillåt inloggning som en tjänst\(rq och \(rqNeka inloggning som en tjänst\(rq\&.
.sp
Det är möjligt att lägga till ett PAM\-tjänstenamn till standarduppsättningen genom att använda
\(lq+tjänstenamn\(rq\&. Eftersom standarduppsättningen är tom är det inte möjligt att ta bort ett PAM\-tjänstenamn från standarduppsättningen\&. Till exempel, för att lägga till ett anpassat PAM\-tjänstenamn (t\&.ex\&.
\(lqmin_pam\-tjänst\(rq) skulle man använda följande konfiguration:
.sp
.if n \{\
.RS 4
.\}
.nf
ad_gpo_map_service = +min_pam\-tjänst
                            
.fi
.if n \{\
.RE
.\}
.sp
Standard: inte satt
.RE
.PP
ad_gpo_map_permit (sträng)
.RS 4
En kommaseparerad lista av PAM\-tjänstenamn för vilka GPO\-baserad åtkomst alltid tillåts, oavsett några andra GPO\-inloggningsrättigheter\&.
.sp
Det är möjligt att lägga till ett annat PAM\-tjänstenamn till standarduppsättningen genom att använda
\(lq+tjänstenamn\(rq
eller att uttryckligen ta bort ett PAM\-tjänstenamn från standarduppsättningen genom att använda
\(lq\-tjänstenamn\(rq\&. Till exempel, för att byta ut ett standard\-PAM\-tjänstenamn för ovillkorligt tillåten åtkomst (t\&.ex\&.
\(lqsudo\(rq) mot ett anpassat PAM\-tjänstenamn (t\&.ex\&.
\(lqmin_pam\-tjänst\(rq) skulle man använda följande konfiguration:
.sp
.if n \{\
.RS 4
.\}
.nf
ad_gpo_map_permit = +min_pam\-tjänst, \-sudo
                            
.fi
.if n \{\
.RE
.\}
.sp
Standard: standarduppsättningen av PAM\-tjänstenamn innefattar:
.sp
.RS 4
.ie n \{\
\h'-04'\(bu\h'+03'\c
.\}
.el \{\
.sp -1
.IP \(bu 2.3
.\}
polkit\-1
.RE
.sp
.RS 4
.ie n \{\
\h'-04'\(bu\h'+03'\c
.\}
.el \{\
.sp -1
.IP \(bu 2.3
.\}
sudo
.RE
.sp
.RS 4
.ie n \{\
\h'-04'\(bu\h'+03'\c
.\}
.el \{\
.sp -1
.IP \(bu 2.3
.\}
sudo\-i
.RE
.sp
.RS 4
.ie n \{\
\h'-04'\(bu\h'+03'\c
.\}
.el \{\
.sp -1
.IP \(bu 2.3
.\}
systemd\-user
.RE
.sp
.RE
.PP
ad_gpo_map_deny (sträng)
.RS 4
En kommaseparerad lista av PAM\-tjänstenamn för vilka GPO\-baserad åtkomst alltid nekas, oavsett några andra GPO\-inloggningsrättigheter\&.
.sp
Det är möjligt att lägga till ett PAM\-tjänstenamn till standarduppsättningen genom att använda
\(lq+tjänstenamn\(rq\&. Eftersom standarduppsättningen är tom är det inte möjligt att ta bort ett PAM\-tjänstenamn från standarduppsättningen\&. Till exempel, för att lägga till ett anpassat PAM\-tjänstenamn (t\&.ex\&.
\(lqmin_pam\-tjänst\(rq) skulle man använda följande konfiguration:
.sp
.if n \{\
.RS 4
.\}
.nf
ad_gpo_map_deny = +min_pam\-tjänst
                            
.fi
.if n \{\
.RE
.\}
.sp
Standard: inte satt
.RE
.PP
ad_gpo_default_right (sträng)
.RS 4
Detta alternativ definierar hur åtkomstkontroll beräknas för PAM\-tjänstenamn som inte är uttryckligen listade i en av alternativen ad_gpo_map_*\&. Detta alternativ kan anges på två olika sätt\&. Antingen kan detta alternativ sättas till att ange standardinloggningsrättigheter\&. Till exempel, om detta alternativ är satt till \(rqinteractive\(rq betyder det att omappade PAM\-tjänstenamn kommer bearbetas baserat på policyinställningarna InteractiveLogonRight och DenyInteractiveLogonRight\&. Alternativt kan detta alternativ sättas till att antingen alltid tillåta eller alltid neka åtkomst för omappade PAM\-tjänstenamn\&.
.sp
Värden som stödjs för detta alternativ inkluderar:
.sp
.RS 4
.ie n \{\
\h'-04'\(bu\h'+03'\c
.\}
.el \{\
.sp -1
.IP \(bu 2.3
.\}
interactive
.RE
.sp
.RS 4
.ie n \{\
\h'-04'\(bu\h'+03'\c
.\}
.el \{\
.sp -1
.IP \(bu 2.3
.\}
remote_interactive
.RE
.sp
.RS 4
.ie n \{\
\h'-04'\(bu\h'+03'\c
.\}
.el \{\
.sp -1
.IP \(bu 2.3
.\}
network
.RE
.sp
.RS 4
.ie n \{\
\h'-04'\(bu\h'+03'\c
.\}
.el \{\
.sp -1
.IP \(bu 2.3
.\}
batch
.RE
.sp
.RS 4
.ie n \{\
\h'-04'\(bu\h'+03'\c
.\}
.el \{\
.sp -1
.IP \(bu 2.3
.\}
service
.RE
.sp
.RS 4
.ie n \{\
\h'-04'\(bu\h'+03'\c
.\}
.el \{\
.sp -1
.IP \(bu 2.3
.\}
permit
.RE
.sp
.RS 4
.ie n \{\
\h'-04'\(bu\h'+03'\c
.\}
.el \{\
.sp -1
.IP \(bu 2.3
.\}
deny
.RE
.sp
Standard: deny
.RE
.PP
ad_maximum_machine_account_password_age (heltal)
.RS 4
SSSD kommer en gång om dagen kontrollera om maskinkontolösenordet är äldre än den givna åldern i dagar och försöka förnya det\&. Ett värde på 0 kommer förhindra förnyelseförsöket\&.
.sp
Standard: 30 dagar
.RE
.PP
ad_machine_account_password_renewal_opts (sträng)
.RS 4
Detta alternativ skall endast användas för att testa maskinkontoförnyelsefunktionen\&. Alternativet förväntar sig 2 heltal separerade av ett kolon (\(rq:\(rq)\&. Det första heltalet anger intervallet i sekunder hur ofta funktionen körs\&. Det andra anger den initiala tidsgränsen i sekunder före funktionen körs för första gången efter uppstart\&.
.sp
Standard: 86400:750 (24h och 15m)
.RE
.PP
ad_update_samba_machine_account_password (boolean)
.RS 4
Om aktiverat kommer lösenordet i Sambas databas också uppdateras när SSSD förnyar maskinkontolösenordet\&. Detta förhindrar Sambas exemplar av maskinkontolösenordet från att bli inaktuellt när det är uppsatt att använda AD för autentisering\&.
.sp
Standard: false
.RE
.PP
ad_use_ldaps (bool)
.RS 4
Som standard använder SSSD den enkla LDAP\-porten 389 porten 3628 för den globala katalogen\&. Om denna flagga är satt till sant kommer SSSD använda LDAPS\-porten 636 och porten 3629 för den globala katalogen med LDAPS\-skydd\&. Eftersom AD inte tillåter att ha flera krypteringsnivåer på en ensam förbindelse och vi fortfarande vill använda SASL/GSSAPI eller SASL/GSS\-SPNEGO till autentisering är SASL\-säkerhetsegenskapen maxssf satt till 0 (noll) för dessa förbindelser\&.
.sp
Standard: False
.RE
.PP
ad_allow_remote_domain_local_groups (boolean)
.RS 4
Om detta alternativ är satt till
\(lqsant\(rq
kommer SSSD inte att filtrera ut domänlokala grupper från fjärrdomäner i AD\-skogen\&. Som standard filtreras de ut t\&.ex\&. när man följer en nästad grupphierarki i fjärrdomäner för att de inte är giltiga i den lokala domänen\&. För att vara kompatibel med andra lösningar som gör AD\-användare och \-grupper tillgängliga i Linuxklienter lades detta alternativ till\&.
.sp
Observera att sätta detta alternativ till
\(lqsant\(rq
kommer strida mot avsikten med domänlokala grupper i Active Directory och
\fISKALL ENDAST ANVÄNDAS FÖR ATT MÖJLIGGÖRA MIGRERING FRÅN ANDRA LÖSNINGAR\fR\&. Även om grruppen finns och användaren kan vara medlem av gruppen är avsikten att gruppen endast skall användas i domänen den är definierad och inte i några andra\&. Eftersom det endast finns en typ av POSIX\-grupper är det enda sättet att uppnå detta på Linuxsidan att ignorera dessa grupper\&. Detta görs också av Active Directory som kan ses i PAC:en i Kerberosbiljetten för en lokal tjänst sller i tokenGroups\-begäranden där också de domänlokala fjärrgrupperna saknas\&.
.sp
Givet ovanstående kommentarer, om detta alternativ är satt till
\(lqsant\(rq
måste tokenGroups\-begäranden avaktiveras genom att sätta
\(lqldap_use_tokengroups\(rq
till
\(lqfalskt\(rq
för att få konsistenta gruppmedlemskap för en användare\&. Dessutom skall uppslagningar i Global Catalog också hoppas över genom att sätta
\(lqad_enable_gc\(rq
till
\(lqfalskt\(rq\&. Slutligen kan det vara nödvändigt att ändra
\(lqldap_group_nesting_level\(rq
om de domänlokala fjärrgurpperna endast finns med en djupare nästningsnivå\&.
.sp
Standard: False
.RE
.PP
dyndns_update (boolean)
.RS 4
Valfritt\&. Detta alternativ säger till SSSD att automatiskt uppdatera DNS\-servern i Active Directory med IP\-adressen för denna klient\&. Uppdateringen säkras med GSS\-TSIG\&. Som en konsekvens av det behöver Active Directory\-administratören bara tillåta säkra uppdateringar för DNS\-zonen\&. IP\-adressen för AD\-LDAP\-förbindelsen används för uppdateringar, om det inte specificeras på annat sätt med alternativet
\(lqdyndns_iface\(rq\&.
.sp
OBS: på äldre system (såsom RHEL 5) måste standardriket för Kerberos sättas i /etc/krb5\&.conf för att detta beteende skall fungera pålitligt
.sp
Standard: true
.RE
.PP
dyndns_ttl (heltal)
.RS 4
TTL:en att använda för klientens DNS\-post vid uppdatering\&. Om dyndns_update är falsk har detta ingen effekt\&. Detta kommer åsidosätta TTL på serversidan om det är satt av en administratör\&.
.sp
Standard: 3600 (sekunder)
.RE
.PP
dyndns_iface (sträng)
.RS 4
Valfri\&. Endast tillämpligt när dyndns_update är sann\&. Välj gränssnittet eller en lista av gränssnitt vars IP\-adresser skall användas för dynamiska DNS\-uppdateringar\&. Specialvärdet
\(lq*\(rq
betyder att IP:n från alla gränssnitt skall användas\&.
.sp
Standard: använd IP\-adresser för gränssnittet som används för AD LDAP\-förbindelsen
.sp
Exempel: dyndns_iface = em1, vnet1, vnet2
.RE
.PP
dyndns_refresh_interval (heltal)
.RS 4
Hur ofta bakänden skall utföra periodiska DNS\-uppdateringar utöver den automatiska uppdateringen som utförs när bakänden kopplar upp\&. Detta alternativ är valfritt och tillämpligt endast när dyndns_update är sann\&. Observera att det lägsta möjliga värdet är 60 sekunder, ifall ett värde mindre än 60 ges kommer parametern endast anta det lägsta värdet\&.
.sp
Standard: 86400 (24 timmar)
.RE
.PP
dyndns_update_ptr (bool)
.RS 4
Huruvida PTR\-posten också skall uppdateras explicit när klientens DNS\-post uppdateras\&. Tillämpligt endast när dyndns_update är sann\&.
.sp
Note that
\fIdyndns_update_per_family\fR
parameter does not apply for PTR record updates\&. Those updates are always sent separately\&.
.sp
Standard: True
.RE
.PP
dyndns_force_tcp (bool)
.RS 4
Huruvida nsupdate\-verktyget som standard skall använda TCP för kommunikation med DNS\-servern\&.
.sp
Standard: False (låt nsupdate välja protokollet)
.RE
.PP
dyndns_auth (sträng)
.RS 4
Huruvida verktyget nsupdate skall använda GSS\-TSIG\-autentisering för säkra uppdateringar av DNS\-servern, osäkra uppdateringar kan skickas genom att sätta detta alternativ till \(rqnone\(rq\&.
.sp
Standard: GSS\-TSIG
.RE
.PP
dyndns_auth_ptr (sträng)
.RS 4
Huruvida verktyget nsupdate skall använda GSS\-TSIG\-autentisering för säkra PTR\-uppdateringar av DNS\-servern, osäkra uppdateringar kan skickas genom att sätta detta alternativ till \(rqnone\(rq\&.
.sp
Standard: samma som dyndns_auth
.RE
.PP
dyndns_server (sträng)
.RS 4
DNS\-servern som skall användas när en uppdatering av DNS utförs\&. I de flesta uppsättningar rekommenderas det att låta detta alternativ vara osatt\&.
.sp
Att sätta detta alternativ är meningsfullt i miljöer där DNS\-servern är skild från identitetsservern\&.
.sp
Observera att detta alternativ bara kommer användas i försök att falla tillbaka på när tidigare försök som använder automatiskt upptäckta inställningar misslyckas\&.
.sp
Standard: Ingen (låt nsupdate välja servern)
.RE
.PP
dyndns_update_per_family (boolean)
.RS 4
DNS\-uppdateringar utförs som standard i två steg \(en IPv4\-uppdatering och sedan IPv6\-uppdatering\&. I några fall kan det vara önskvärt att utföra IPv4\- och IPv6\-uppdateringar i ett enda steg\&.
.sp
Standard: true
.RE
.PP
override_homedir (sträng)
.RS 4
Åsidosätt användarens hemkatalog\&. Du kan antingen ge ett absolut värde eller en mall\&. I mallen ersätts följande sekvenser:
.PP
%u
.RS 4
inloggningsnamn
.RE
.PP
%U
.RS 4
AID\-nummer
.RE
.PP
%d
.RS 4
domännamn
.RE
.PP
%f
.RS 4
fullständigt kvalificerat användarnamn (användare@domän)
.RE
.PP
%l
.RS 4
Första bokstaven i inloggningsnamnet\&.
.RE
.PP
%P
.RS 4
UPN \(en Användarens Huvudmansnamn (namn@RIKE)
.RE
.PP
%o
.RS 4
Den ursprungliga hemkatalogen som hämtades från identitetsleverantören\&.
.RE
.PP
%h
.RS 4
Den ursprungliga hemkatalogen som hämtades från identitetsleverantören, men i gemener\&.
.RE
.PP
%H
.RS 4
Värdet på konfigurationsalternativet
\fIhomedir_substring\fR\&.
.RE
.PP
%%
.RS 4
ett bokstavligt \(rq%\(rq
.RE
.sp
Detta alternativ kan även sättas per domän\&.
.sp
exempel:
.sp
.if n \{\
.RS 4
.\}
.nf
override_homedir = /home/%u
        
.fi
.if n \{\
.RE
.\}
.sp
Standard: Inte satt (SSSD kommer använda värdet som hämtas från LDAP)
.sp
Observera att hemkatalog från ett specifikt åsidosättande för användaren, antingen lokalt (se
\fBsss_override\fR(8)) eller centralt hanterat IPA\-id\-åsidosättande, har en högre precedens och kommer användas istället för värdet gom ges av override_homedir\&.
.RE
.PP
homedir_substring (sträng)
.RS 4
Värdet på detta alternativ kommer användas i expansionen av alternativet
\fIoverride_homedir\fR
om mallen innehåller formatsträngen
\fI%H\fR\&. En LDAP\-katalogpost kan innehålla denna mall direkt så att detta alternativ kan användas för att expandera sökvägen till hemkatalogen för varje klientmaskin (eller operativsystem)\&. Den kan sättas per domän eller globalt i avsnittet [nss]\&. Ett värde som anges i ett domänavsnitt kommer åsidosätta ett som är satt i avsnittet [nss]\&.
.sp
Standard: /home
.RE
.PP
krb5_confd_path (sträng)
.RS 4
Absolut sökväg till en katalog där SSSD skall placera konfigurationsstycken för Kerberos\&.
.sp
För att förhindra att konfigurationsstycken skapas, sätt parametern till \(rqnone\(rq\&.
.sp
Standard: inte satt (underkatalogen krb5\&.include\&.d till SSSD:s pubconf\-katalog)
.RE
.SH "ÄNDRADE STANDARDALTERNATIV"
.PP
Vissa alternativs standardvärde stämmer inte med deras respektive bakändars standardvärden, dessa alternativnamn och AD\-leverantörspecifika standardvärden är uppräknade nedan:
.SS "KRB5\-leverantör"
.sp
.RS 4
.ie n \{\
\h'-04'\(bu\h'+03'\c
.\}
.el \{\
.sp -1
.IP \(bu 2.3
.\}
krb5_validate = true
.RE
.sp
.RS 4
.ie n \{\
\h'-04'\(bu\h'+03'\c
.\}
.el \{\
.sp -1
.IP \(bu 2.3
.\}
krb5_use_enterprise_principal = true
.RE
.SS "LDAP\-leverantör"
.sp
.RS 4
.ie n \{\
\h'-04'\(bu\h'+03'\c
.\}
.el \{\
.sp -1
.IP \(bu 2.3
.\}
ldap_schema = ad
.RE
.sp
.RS 4
.ie n \{\
\h'-04'\(bu\h'+03'\c
.\}
.el \{\
.sp -1
.IP \(bu 2.3
.\}
ldap_force_upper_case_realm = true
.RE
.sp
.RS 4
.ie n \{\
\h'-04'\(bu\h'+03'\c
.\}
.el \{\
.sp -1
.IP \(bu 2.3
.\}
ldap_id_mapping = true
.RE
.sp
.RS 4
.ie n \{\
\h'-04'\(bu\h'+03'\c
.\}
.el \{\
.sp -1
.IP \(bu 2.3
.\}
ldap_sasl_mech = GSS\-SPNEGO
.RE
.sp
.RS 4
.ie n \{\
\h'-04'\(bu\h'+03'\c
.\}
.el \{\
.sp -1
.IP \(bu 2.3
.\}
ldap_referrals = false
.RE
.sp
.RS 4
.ie n \{\
\h'-04'\(bu\h'+03'\c
.\}
.el \{\
.sp -1
.IP \(bu 2.3
.\}
ldap_account_expire_policy = ad
.RE
.sp
.RS 4
.ie n \{\
\h'-04'\(bu\h'+03'\c
.\}
.el \{\
.sp -1
.IP \(bu 2.3
.\}
ldap_use_tokengroups = true
.RE
.sp
.RS 4
.ie n \{\
\h'-04'\(bu\h'+03'\c
.\}
.el \{\
.sp -1
.IP \(bu 2.3
.\}
ldap_sasl_authid = sAMAccountName@RIKE (typiskt KORTNAMN$@RIKE)
.sp
AD\-leverantören letar efter en annan huvudman än LDAP\-leverantören som standard, eftersom huvudmännen i en Active Directory\-miljö är uppdelade i två grupper \(en användarhuvudmän och tjänstehuvudmän\&. Endast användarhuvudmannen kan användas för att hämta en TGT och som standard är datorobjekts huvudman konstruerade från dess sAMAccountName och AD\-riket\&. Den välkända huvudmannen för värd/värdnamn@RIKE är en tjänstehuvudman och kan därmed inte användas för att hämta en TGT\&.
.RE
.SS "NSS\-konfiguration"
.sp
.RS 4
.ie n \{\
\h'-04'\(bu\h'+03'\c
.\}
.el \{\
.sp -1
.IP \(bu 2.3
.\}
fallback_homedir = /home/%d/%u
.sp
AD\-leverantören sätter automatiskt \(rqfallback_homedir = /home/%d/%u\(rq för att tillhandahålla personliga hemkataloger för användare utan attributet homeDirectory\&. Om ens AD\-domän är vederbörligen populerad med Posix\-attribut, och man vill undvika att falla tillbaka på detta beteende, kan man uttryckligen sätta \(rqfallback_homedir = %o\(rq\&.
.sp
Observera att systemet typiskt förväntar sig en hemkatalog i mappen /home/%u\&. Om man bestämmer sig för att använda en annan katalogstruktur kan några andra delar av ens system behöva justeras\&.
.sp
Till exempel kräver automatiserat skapande av hemkataloger i kombination med selinux anpassningar av selinux, annars kommer hemkatalogen skapas med fel selinux\-kontext\&.
.RE
.SH "RESERVER"
.PP
Reservfunktionen gör att bakändar automatiskt kan byta till en annan server om den nuvarande servern slutar fungera\&.
.SS "Reservsyntax"
.PP
Listan av servrar ges som en kommaseparerad lista; godtyckligt antal mellanslag tillåts runt kommatecknet\&. Servrarna listas i preferensordning\&. Listan kan innehålla obegränsat antal servrar\&.
.PP
För varje reservaktiverat konfigurationsalternativ finns det två varianter:
\fIprimary\fR
och
\fIbackup\fR\&. Tanken är att servrar i den primära listan föredras och backup\-servrar bara provas om inga primära servrar kan nås\&. Om en backup\-server väljs sätts en tidsgräns på 31 sekunder\&. Efter denna tidsgräns kommer SSSD periodiskt att försöka återansluta till en av de primära servrarna\&. Om det lyckas kommer den ersätta den nu aktiva (backup\-)servern\&.
.SS "Reservmekanismen"
.PP
Reservmekanismen gör skillnad mellan en maskin och en tjänst\&. Bakänden försöker först att slå upp värdnamnet för en given maskin; om denna uppslagning misslyckas antas maskinen vara bortkopplad\&. Inga ytterligare försök görs att ansluta till denna maskin för någon annan tjänst\&. Om uppslagningsförsöket lyckas försöker bakänden ansluta till en tjänst på denna maskin\&. Om tjänsteanslutningen misslyckas anses bara just denna tjänst frånkopplad och bakänden byter automatiskt till nästa tjänst\&. Maskinen betraktas fortfarande som uppkopplad och kan användas vid försök att nå en annan tjänst\&.
.PP
Ytterligare försök att ansluta görs till maskiner eller tjänster som markerats som frånkopplade efter en viss tidsperiod, detta är för närvarande hårdkodat till 30 sekunder\&.
.PP
Om det inte finns några fler maskiner att prova byter bakänden i sin helhet till frånkopplat läge, och försöker sedan återansluta var 30:e sekund\&.
.SS "Tidsgränser och trimning av reservfunktioner"
.PP
Att slå upp en server att ansluta till kan vara så enkelt som att göra en enstaka DNS\-fråga eller kan innebära flera steg, såsom att hitta den rätta sajten eller försöka med flera värdnamn ifall några av de konfigurerade servrarna inte kan nås\&. De mer komplexa scenariona kan ta en stund och SSSD behöver balansera mellan att tillhandahålla tillräckligt med tid för att färdigställa upplösningsprocessen men å andra sidan inte försöka för länge före den faller tillbaka på frånkopplat läge\&. Om SSSD:s felsökningsloggar visar att serverns upplösning överskrider tidsgränsen före en aktiv server nås kan du överväga att ändra tidsgränserna\&.
.PP
Detta avsnitt listar tillgängliga trimningsvariabler\&. Se deras beskrivning i manualsidan
\fBsssd.conf\fR(5)\&.
.PP
dns_resolver_server_timeout
.RS 4
Tid i millisekunder som anger hur länge SSSD skall tala med en viss DNS\-server före den provar nästa\&.
.sp
Standard: 1000
.RE
.PP
dns_resolver_op_timeout
.RS 4
Tid i sekunder hur länge SSSD skall försöka slå upp en viss DNS\-fråga (t\&.ex\&. uppslagning av ett värdnamn eller en SRV\-post) före den provar nästa värdnamn eller upptäcktsdomän\&.
.sp
Standard: 3
.RE
.PP
dns_resolver_timeout
.RS 4
Hur länge skall SSSD försöka slå upp en reservtjänst\&. Denna tjänsteuppslagning kan internt bestå av flera steg, såsom att slå upp DNS SRV\-frågor och lokalisera sajten\&.
.sp
Standard: 6
.RE
.PP
För LDAP\-baserade leverantörer utförs uppslagningsoperationen som en del av LDAP\-anslutningsoperationen\&. Därför skall även tidsgränsen
\(lqldap_opt_timeout\(rq
sättas till ett större värde än
\(lqdns_resolver_timeout\(rq
som i sin tur skall sättas till ett större värde än
\(lqdns_resolver_op_timeout\(rq
som skall vara större än
\(lqdns_resolver_server_timeout\(rq\&.
.SH "TJÄNSTEUPPTÄCKT"
.PP
Tjänsteupptäcktsfunktionen gör att bakändar automatiskt kan hitta en lämplig server att ansluta till med en speciell DNS\-fråga\&. Denna funktion stödjs inte för backup\-servrar\&.
.SS "Konfiguration"
.PP
Om inga servrar anges använder bakänden automatiskt tjänsteupptäckt för att försöka hitta en server\&. Användaren kan om så önskas välja att använda både en bestämd serveradress och tjänsteupptäckt genom att infoga ett speciellt nyckelord,
\(lq_srv_\(rq, i listan av servrar\&. Preferensordningen bibehålls\&. Denna funktion är användbar om, till exempel, användaren föredrar att använda tjänsteupptäckt närhelst det är möjligt, och falla tillbaka på en specifik server när inga servrar kan upptäckas med DNS\&.
.SS "Domännamnet"
.PP
Se parametern
\(lqdns_discovery_domain\(rq
i manualsidan
\fBsssd.conf\fR(5)
för fler detaljer\&.
.SS "Protokollet"
.PP
Frågorna anger vanligen _tcp som protokoll\&. Undantag är dokumenterade i respektive alternativs beskrivning\&.
.SS "Se även"
.PP
För mer information om tjänsteupptäcktsmekanismen, se RFC 2782\&.
.SH "ID\-MAPPNING"
.PP
ID\-mappningsfunktionen låter SSSD fungera som en klient till Active Directory utan att kräva att administratörer utökar användarattribut till att stödja POSIX\-attribut för användar\- och gruppidentifierare\&.
.PP
OBSERVERA: När ID\-mappning aktiveras ignoreras attributen uidNumber och gidNumber\&. Detta är för att undvika möjligheten av konflikt mellan automatiskt tilldelade och manuellt tilldelade värden\&. Om du behöver använda manuellt tilldelade värden måste ALLA värden tilldelas manuellt\&.
.PP
Observera att byte av ID\-mappnings relaterade konfigurationsalternativ kommer få användar\- och grupp\-ID:n att ändras\&. För närvarande stödjer inte SSSD byte av ID:n, så SSSD\-databasen måste tas bort\&. Eftersom cachade lösenord också lagras i databasen skall databasen bara tas bort när autentiseringsservrarna kan nås, annars kan användare låsas ute\&. För att cacha lösenordet måste en autentisering göras\&. Det är inte tillräckligt att använda
\fBsss_cache\fR(8)
för att ta bort databasen, istället består processen av:
.sp
.RS 4
.ie n \{\
\h'-04'\(bu\h'+03'\c
.\}
.el \{\
.sp -1
.IP \(bu 2.3
.\}
Se till att fjärrservrarna är nåbara
.RE
.sp
.RS 4
.ie n \{\
\h'-04'\(bu\h'+03'\c
.\}
.el \{\
.sp -1
.IP \(bu 2.3
.\}
Stoppa tjänsten SSSD
.RE
.sp
.RS 4
.ie n \{\
\h'-04'\(bu\h'+03'\c
.\}
.el \{\
.sp -1
.IP \(bu 2.3
.\}
Ta bort databasen
.RE
.sp
.RS 4
.ie n \{\
\h'-04'\(bu\h'+03'\c
.\}
.el \{\
.sp -1
.IP \(bu 2.3
.\}
Starta tjänsten SSSD
.RE
.sp
Dessutom, eftersom ändringen av ID:n kan göra det nödvändigt att justera andra systemegenskaper såsom ägare av filer och kataloger, är det lämpligt att planera i förväg och testa konfigurationen av ID\-översättningar noggrant\&.
.SS "Översättningsalgoritm"
.PP
Active Directory tillhandahåller ett objectSID för varje användar\- och gruppobjekt i katalogen\&. Detta objectSID kan delas upp i komponenter som representerar Active Directorys domänidentitet och den relativa identifieraren (RID) till användar\- eller gruppobjektet\&.
.PP
SSSD ID\-översättningsalgoritmen tar ett intervall av tillgängliga AID:er och delar upp det i lika stora komponentavsnitt \(en kallade \(rqskivor\(rq (\(rqslices\(rq) \(en\&. Varje skiva representerar utrymmet som är tillgängligt för en Active Directory\-domän\&.
.PP
När en användar\- eller gruppost för en viss domän påträffas för första gången allokerar SSSD en av de tillgängliga skivorna för den domänen\&. För att göra denna skivtilldelning upprepbar på olika klientmaskiner väljer vi skivan baserat på följande algoritm:
.PP
SID\-strängen skickas genom algoritmen murmurhash3 för att konvertera den till ett 32\-bitars hash\-värde\&. Vi tar sedan modulo på detta värde med det totala antalet tillgängliga skivor och väljer den skivan\&.
.PP
OBSERVERA: Det är möjligt att träffa på kollisioner i hash:en och den påföljande moduloberäkningen\&. I dessa situationer kommer vi välja nästa tillgängliga skiva, men det är kanske inte möjligt att reproducera exakt samma uppsättning av skivor på andra maskiner (eftersom ordningen som de påträffas kommer avgöra deras skiva)\&. I den här situationen rekommenderas det att antingen byta till att använda explicita POSIX\-attribut i Active Directory (avaktivera ID\-mappningen) eller konfigurera en standarddomän för att garantera att åtminstone en alltid är konsistent\&. Se
\(lqKonfiguration\(rq
för detaljer\&.
.SS "Konfiguration"
.PP
Minimikonfiguration (i avsnittet
\(lq[domain/DOMÄNNAMN]\(rq):
.PP
.if n \{\
.RS 4
.\}
.nf
ldap_id_mapping = True
ldap_schema = ad
.fi
.if n \{\
.RE
.\}
.PP
Standardkonfigurationen resulterar i konfiguration av 10\ \&000 skivor, som var och en kan innehålla upp till 200\ \&000 ID:n, med början på 200\ \&000 och upp till 2\ \&000\ \&200\ \&000\&. Detta bör vara tillräckligt för de flesta installationer\&.
.sp
.it 1 an-trap
.nr an-no-space-flag 1
.nr an-break-flag 1
.br
.ps +1
\fBAvancerad konfiguration\fR
.RS 4
.PP
ldap_idmap_range_min (heltal)
.RS 4
Anger den lägre (inklusiva) gränsen för intervallet av POSIX ID:n att använda för översättning av användar\- och grupp\-SID:n från Active Directory\&. Det är det första POSIX\-ID:t som kan användas för översättning\&.
.sp
OBSERVERA: Detta alternativ är inte detsamma som
\(lqmin_id\(rq
eftersom
\(lqmin_id\(rq
fungerar som ett filter av utmatade begäranden till denna domän, medan detta alternativ styr intervallet av ID\-tilldelningen\&. Detta är en subtil distinktion, men det allmänna goda rådet skulle vara att ha
\(lqmin_id\(rq
mindre än eller lika med
\(lqldap_idmap_range_min\(rq
.sp
Standard: 200000
.RE
.PP
ldap_idmap_range_max (heltal)
.RS 4
Anger den övre (exklusiva) gränsen för intervallet av POSIX ID:n att använda för översättning av användar\- och grupp\-SID:n från Active Directory\&. Det är det första POSIX\-ID:t som inte kan användas för översättning längre, d\&.v\&.s\&. ett mer än det sista som kan användas för översättningen\&.
.sp
OBSERVERA: Detta alternativ är inte detsamma som
\(lqmax_id\(rq
eftersom
\(lqmax_id\(rq
fungerar som ett filter av utmatade begäranden till denna domän, medan detta alternativ styr intervallet av ID\-tilldelningen\&. Detta är en subtil distinktion, men det allmänna goda rådet skulle vara att ha
\(lqmax_id\(rq
större än eller lika med
\(lqldap_idmap_range_max\(rq
.sp
Standard: 2000200000
.RE
.PP
ldap_idmap_range_size (heltal)
.RS 4
Anger antalet ID:n som är tillgängliga för varje skiva\&. Om storleken på intervallet inte delas jämnt mellan min\- och maxvärdena kommer den skapa så många fullständiga skivor den kan\&.
.sp
OBSERVERA: Värdet på detta alternativ måste vara åtminstone så stort som den högsta RID som planeras användas i Active Directory\-servern\&. Användaruppslagningar och inloggningar kommer misslyckas för eventuella användare vars RID är större än detta värde\&.
.sp
Till exempel, om den senaste tillagda Active Directory\-användaren har objectSid=S\-1\-5\-21\-2153326666\-2176343378\-3404031434\-1107, måste
\(lqldap_idmap_range_size\(rq
vara åtminstone 1108 eftersom intervallstorleken är lika med maximal SID minus minimal SID plus ett (t\&.ex\&. 1108 = 1107 \- 0 + 1)\&.
.sp
Det är viktigt att planera i förväg för framtida expansioner, eftersom ändring av detta värde skulle resultera i att ändra alla ID\-översättningar på systemet, vilket skulle leda till användare med andra lokala ID:n än de tidigare hade\&.
.sp
Standard: 200000
.RE
.PP
ldap_idmap_default_domain_sid (sträng)
.RS 4
Ange domän\-SID:n för standarddomänen\&. Detta kommer garantera att denna domän alltid kommer tilldelas till skiva noll i ID\-översättningen, och undviker murmurhash\-algoritmen som beskrivs ovan\&.
.sp
Standard: inte satt
.RE
.PP
ldap_idmap_default_domain (sträng)
.RS 4
Ange namnet på standarddomänen\&.
.sp
Standard: inte satt
.RE
.PP
ldap_idmap_autorid_compat (boolean)
.RS 4
Ändrar beteendet på ID\-översättningsalgoritmen till att bete sig mer likt winbind:s
\(lqidmap_autorid\(rq\-algoritm\&.
.sp
When this option is configured, domains will be allocated starting with slice zero and increasing monotonically with each additional domain\&.
.sp
OBSERVERA: Denna algoritm är inte deterministisk (den beror på ordningen som användare och grupper efterfrågas)\&. Om detta läge krävs för kompatibilitet med maskiner som kör winbind rekommenderas det att även använda alternativet
\(lqldap_idmap_default_domain_sid\(rq
för att garantera att åtminstone en domän är konsekvent allokerat till skiva noll\&.
.sp
Standard: False
.RE
.PP
ldap_idmap_helper_table_size (heltal)
.RS 4
Maximalt antal sekundära skivor som provas när mappningen från UNIX id till SID utförs\&.
.sp
Observera: ytterligare sekundära skivor kan genereras när en SID översätts till UNIX\-id och RID\-delen av SID:n är utanför intervallet för sekundära skivor som genererats hittills\&. Om värdet på ldap_idmap_helper_table_size är lika med 0 genereras inga ytterligare sekundära skivor\&.
.sp
Standard: 10
.RE
.RE
.SS "Välkända SID:er"
.PP
SSSD stödjer uppslagning av namnen på välkända SID:er, d\&.v\&.s\&. SID:er med en speciell hårdkodad betydelse\&. Eftersom de allmänna användarna och grupperna relaterade till dessa välkända SID:er inte har någon motsvarighet i en Linux\-/UNIX\-miljö är inga POSIX\-ID:n tillgängliga för dessa objekt\&.
.PP
SID\-namnrymden är organiserad i auktoriteter som kan ses som olika domäner\&. Auktoriteterna för välkända SID:er är
.sp
.RS 4
.ie n \{\
\h'-04'\(bu\h'+03'\c
.\}
.el \{\
.sp -1
.IP \(bu 2.3
.\}
Null\-auktoritet
.RE
.sp
.RS 4
.ie n \{\
\h'-04'\(bu\h'+03'\c
.\}
.el \{\
.sp -1
.IP \(bu 2.3
.\}
Världsauktoritet
.RE
.sp
.RS 4
.ie n \{\
\h'-04'\(bu\h'+03'\c
.\}
.el \{\
.sp -1
.IP \(bu 2.3
.\}
Lokal auktoritet
.RE
.sp
.RS 4
.ie n \{\
\h'-04'\(bu\h'+03'\c
.\}
.el \{\
.sp -1
.IP \(bu 2.3
.\}
Skaparauktoritet
.RE
.sp
.RS 4
.ie n \{\
\h'-04'\(bu\h'+03'\c
.\}
.el \{\
.sp -1
.IP \(bu 2.3
.\}
Tvingande etikettsauktoritet
.RE
.sp
.RS 4
.ie n \{\
\h'-04'\(bu\h'+03'\c
.\}
.el \{\
.sp -1
.IP \(bu 2.3
.\}
Autentiseringsauktoritet
.RE
.sp
.RS 4
.ie n \{\
\h'-04'\(bu\h'+03'\c
.\}
.el \{\
.sp -1
.IP \(bu 2.3
.\}
NT\-auktoritet
.RE
.sp
.RS 4
.ie n \{\
\h'-04'\(bu\h'+03'\c
.\}
.el \{\
.sp -1
.IP \(bu 2.3
.\}
Inbyggd
.RE
.sp
Den versala versionen av dessa namn används som domännamn när det fullständigt kvalificerade namnet på en välkänd SID returneras\&.
.PP
Eftersom några verktyg tillåter att man ändrar SID\-baserad åtkomststyrningsinformation med hjälp av ett namn istället för att använda SID:en direkt stödjer SSSD uppslagning av SID:en med detta namn också\&. För att undvika kollisioner kan bara de fullständigt kvalificerade namnen användas för att slå upp välkända SID:er\&. Som ett resultat skall domännamnen
\(lqNULL AUTHORITY\(rq,
\(lqWORLD AUTHORITY\(rq,
\(lqLOCAL AUTHORITY\(rq,
\(lqCREATOR AUTHORITY\(rq,
\(lqMANDATORY LABEL AUTHORITY\(rq,
\(lqAUTHENTICATION AUTHORITY\(rq,
\(lqNT AUTHORITY\(rq
och
\(lqBUILTIN\(rq
inte användas som domännamn i
sssd\&.conf\&.
.SH "EXEMPEL"
.PP
Följande exempel antar att SSSD är korrekt konfigurerat och att example\&.com är en av domänerna i avsnittet
\fI[sssd]\fR\&. Detta exempel visar endast alternativ som är specifika för leverantören AD\&.
.PP
.if n \{\
.RS 4
.\}
.nf
[domain/EXEMPEL]
id_provider = ad
auth_provider = ad
access_provider = ad
chpass_provider = ad

ad_server = dc1\&.example\&.com
ad_hostname = client\&.example\&.com
ad_domain = example\&.com
.fi
.if n \{\
.RE
.\}
.sp
.SH "NOTER"
.PP
Leverantören AD av åtkomstkontroll kontrollerar om kontot har gått ut\&. Det har samma effekt som följande konfiguration av LDAP\-leverantören:
.sp
.if n \{\
.RS 4
.\}
.nf
access_provider = ldap
ldap_access_order = expire
ldap_account_expire_policy = ad
.fi
.if n \{\
.RE
.\}
.PP
Dock, om inte åtkomstleverantören
\(lqad\(rq
är konfigurerad explicit är standardåtkomstleverantören
\(lqpermit\(rq\&. Observera att om man konfigurerar en annan åtkomstleverantör än
\(lqad\(rq
behöver man sätta alla anslutningsparametrarna (såsom LDAP URI:er och krypteringsdetaljer) manuellt\&.
.PP
När autofs\-leverantören är satt till
\(lqad\(rq
används översättningen av schemaattribut enligt RFC2307 (nisMap, nisObject, \&...), för att dessa attribut inkluderas i standardschemat för Active Directory\&.
.PP
.SH "SE ÄVEN"
.PP
\fBsssd\fR(8),
\fBsssd.conf\fR(5),
\fBsssd-ldap\fR(5),
\fBsssd-ldap-attributes\fR(5),
\fBsssd-krb5\fR(5),
\fBsssd-simple\fR(5),
\fBsssd-ipa\fR(5),
\fBsssd-ad\fR(5),
\fBsssd-files\fR(5),
\fBsssd-sudo\fR(5),
\fBsssd-session-recording\fR(5),
\fBsss_cache\fR(8),
\fBsss_debuglevel\fR(8),
\fBsss_obfuscate\fR(8),
\fBsss_seed\fR(8),
\fBsssd_krb5_locator_plugin\fR(8),
\fBsss_ssh_authorizedkeys\fR(8), \fBsss_ssh_knownhostsproxy\fR(8),
\fBsssd-ifp\fR(5),
\fBpam_sss\fR(8)\&.
\fBsss_rpcidmapd\fR(5)
\fBsssd-systemtap\fR(5)
.SH "AUTHORS"
.PP
\fBSSSD uppströms \(en
https://github\&.com/SSSD/sssd/\fR
.SH "NOTES"
.IP " 1." 4
Active Directory security grouips
.RS 4
\%https://docs.microsoft.com/en-us/windows-server/identity/ad-ds/manage/understand-security-groups
.RE
.IP " 2." 4
[MS-ADTS] avsnittet LDAP-utökningar
.RS 4
\%https://msdn.microsoft.com/en-us/library/cc223367.aspx
.RE
