'\" t
.\"     Title: authselect-migration
.\"    Author: [FIXME: author] [see http://www.docbook.org/tdg5/en/html/author]
.\" Generator: DocBook XSL Stylesheets vsnapshot <http://docbook.sf.net/>
.\"      Date: 2021-06-05
.\"    Manual: \ \&
.\"    Source: \ \&
.\"  Language: English
.\"
.TH "AUTHSELECT\-MIGRATIO" "7" "2021\-06\-05" "\ \&" "\ \&"
.\" -----------------------------------------------------------------
.\" * Define some portability stuff
.\" -----------------------------------------------------------------
.\" ~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~
.\" http://bugs.debian.org/507673
.\" http://lists.gnu.org/archive/html/groff/2009-02/msg00013.html
.\" ~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~
.ie \n(.g .ds Aq \(aq
.el       .ds Aq '
.\" -----------------------------------------------------------------
.\" * set default formatting
.\" -----------------------------------------------------------------
.\" disable hyphenation
.nh
.\" disable justification (adjust text to left margin only)
.ad l
.\" -----------------------------------------------------------------
.\" * MAIN CONTENT STARTS HERE *
.\" -----------------------------------------------------------------
.SH "NAME"
authselect-migration \- Un guide sur la façon de migrer de authconfig vers authselect\&.
.SH "DESCRIPTION"
.sp
Cette page de manuel explique les principales différences entre authconfig, l\(cqoutil précédant pour configurer les sources d\(cqauthentification et d\(cqidentité du système, et authselect qui le remplace\&. Elle explique également quelles actions doivent être faites afin de migrer de authconfig vers authselect\&.
.SH "DIFFÉRENCES PRINCIPALES"
.sp
Authselet a une approche totalement différente de la configuration système que authconfig, l\(cqoutil précédent\&.
.sp
Authconfig fait de son mieux pour garder les changements manuels des utilisateurs dans les fichiers qu\(cqil génère\&. Il génère non seulement les fichiers de configuration PAM et nsswitch\&.conf (pour la configuration des modules sources d\(cqauthentification et d\(cqidentité) mais il génère également des fichiers de configuration simple pour plusieurs services tels que LDAP et Kerberos\&.
.sp
Authselect ne fait pas ceci\&. Il n\(cqessaye pas de générer de fichiers de configuration autre que PAM et nsswitch\&.conf et il interdit strictement tout changement manuel à la configuration générée\&. Il offre un ensemble de fichiers appelés profils\&. Chaque profil décrit ce à quoi la configuration résultante doit ressembler et elle peut être légèrement modifiée en activant ou désactivant quelques fonctionnalités optionnelles\&. Si un besoin se manifeste pour un profil différent de ceux fournis avec authselect, l\(cqadministrateur a une option pour créer un tout nouveau profil et l\(cqutiliser avec authselect\&. Lisez authselect\-profiles(5) pour en savoir plus sur les profils\&.
.sp
Cela pourrait être un grand désavantage, mais c\(cqest en fait le contraire\&. Authconfig est un très vieux outil et les applications offrants les services requis ont changé rapidement à travers les années\&. Typiquement, il n\(cqy a plus besoin d\(cqavoir de multiples modules d\(cqauthentification dans PAM et nsswitch\&.conf, car la grande majorité des cas d\(cqusages sont couverts par SSSD\&. En conséquence, il n\(cqy a plus particulièrement besoin de les ajouter ou supprimer\&. Il y a également de meilleurs outils pour générer la configuration pour les démons système, qui peuvent vous aider à automatiser le process pour rejoindre un domaine distant tel que \(Fo realm \(Fc\&. De plus, les profils embarqués nous donnent une vision de la configuration système compréhensible et déterministe qui peut être complètement testée et moins sujette à l\(cqerreur\&. Il est également beaucoup plus facile de distribuer ce type de configuration à travers de nombreux systèmes\&.
.sp
Le changement qui est probablement le plus controversé est que seul authselect fourni des profils pour les fournisseurs sssd et winbind\&. Ces deux fournisseurs couvrent tous les cas d\(cqutilisation modernes de la fourniture d\(cqutilisateurs locaux et au domaine LDAP legacy aux configurations complexes avec des serveurs IPA ou Active Directory\&. Les profils ne contiennent plus la prise en charge de nss\-pam\-ldapd et les utilisateurs sont encouragés à basculer vers sssd\&.
.SH "JOINDRE DES DOMAINES DISTANTS"
.sp
Vous pouvez utiliser ipa\-client\-install ou realm pour joindre un domaine IPA et realm pour joindre un domaine Active Directory\&. Ces outil s\(cqassureront que le bon profil authselect est sélectionné et que tous les démons et services sont correctement configurés\&.
.SH "CONVERTIR VOS SCRIPTS"
.sp
Vous pouvez utiliser ipa\-client\-install ou realm pour joindre un domaine, vous pouvez simplement retirer tout appel à authconfig dans vos scripts\&. Si ce n\(cqest pas envisageable, vous devez remplacer chaque appel authconfig avec son équivalent d\(cqappel authselect pour sélectionner un profil correct avec les fonctionnalités désirées\&. Alors, vous devrez également écrire le fichier de configuration pour les services requis\&.
.sp
.it 1 an-trap
.nr an-no-space-flag 1
.nr an-break-flag 1
.br
.B Table\ \&1.\ \&Relations entre les options authconfig et les profils authselect
.TS
allbox tab(:);
lt lt
lt lt
lt lt
lt lt
lt lt
lt lt.
T{
.sp
\fBOptions authconfig\fR
T}:T{
.sp
\fBProfil authselect\fR
T}
T{
.sp
\-\-enableldap \-\-enableldapauth
T}:T{
.sp
sssd
T}
T{
.sp
\-\-enablesssd \-\-enablesssdauth
T}:T{
.sp
sssd
T}
T{
.sp
\-\-enablekrb5
T}:T{
.sp
sssd
T}
T{
.sp
\-\-enablewinbind \-\-enablewinbindauth
T}:T{
.sp
winbind
T}
T{
.sp
\-\-enablenis
T}:T{
.sp
nis
T}
.TE
.sp 1
.sp
.it 1 an-trap
.nr an-no-space-flag 1
.nr an-break-flag 1
.br
.B Table\ \&2.\ \&Relations entre les options authconfig et les fonctionnalités de profil authselect
.TS
allbox tab(:);
lt lt
lt lt
lt lt
lt lt
lt lt
lt lt
lt lt
lt lt
lt lt.
T{
.sp
\fBAuthconfig options\fR
T}:T{
.sp
\fBAuthselect profile feature\fR
T}
T{
.sp
\-\-enablesmartcard
T}:T{
.sp
with\-smartcard
T}
T{
.sp
\-\-enablefingerprint
T}:T{
.sp
with\-fingerprint
T}
T{
.sp
\-\-enablemkhomedir
T}:T{
.sp
with\-mkhomedir
T}
T{
.sp
\-\-enablefaillock
T}:T{
.sp
with\-faillock
T}
T{
.sp
\-\-enablepamaccess
T}:T{
.sp
with\-pamaccess
T}
T{
.sp
\-\-enablewinbindkrb5
T}:T{
.sp
with\-krb5
T}
T{
.sp
\-\-enableshadow
T}:T{
.sp
\fInone\fR
T}
T{
.sp
\-\-passalgo
T}:T{
.sp
\fInone\fR
T}
.TE
.sp 1
.if n \{\
.sp
.\}
.RS 4
.it 1 an-trap
.nr an-no-space-flag 1
.nr an-break-flag 1
.br
.ps +1
\fBNote\fR
.ps -1
.br
.sp
Les options d\(cqAuthconfig \fI\-\-enableshadow\fR et \fI\-\-passalgo=sha512\fR ont souvent été utilisées pour s\(cqassurer que les mots de passe sont stockés dans \fI/etc/shadow\fR en utilisant l\(cqalgorithme \fIsha512\fR\&. \fBLes profils authselect utilisent maintenant la méthode de hachage sha512\fR et elle ne peut pas être modifiée via une option (uniquement en créant un profil personnalisé)\&. Vous pouvez simplement omettre ces options\&.
.sp .5v
.RE
.PP
\fBExemples\fR. 
.sp
.if n \{\
.RS 4
.\}
.nf
authconfig \-\-enableldap \-\-enableldapauth \-\-enablefaillock \-\-updateall
authselect select sssd with\-faillock

authconfig \-\-enablesssd \-\-enablesssdauth \-\-enablesmartcard \-\-smartcardmodule=sssd \-\-updateall
authselect select sssd with\-smartcard

authconfig \-\-enablepamaccess \-\-updateall
authselect select sssd with\-pamaccess

authconfig \-\-enablewinbind \-\-enablewinbindauth \-\-winbindjoin=Administrator \-\-updateall
realm join \-U Administrator \-\-client\-software=winbind WINBINDDOMAIN
.fi
.if n \{\
.RE
.\}
.sp
.SH "FICHIERS DE CONFIGURATION"
.sp
Ce paragraphe contient des snippets pour une configuration minimal de divers services\&.
.SS "LDAP"
.sp
Même si LDAP n\(cqest pas directement utilisé via pam_ldap et nss_ldap, il est tout de même utile de configurer ldap\&.conf pour configurer openldap\-libs et indirectement, par extension les outils LDAP tel quel ldapsearch\&.
.PP
\fB/etc/openldap/ldap.conf\fR. 
.sp
.if n \{\
.RS 4
.\}
.nf
# Définir la base par défaut dn
BASE   dc=example,dc=com

# Définir le serveur LDAP par défaut
URI    ldap://ldap\&.example\&.com ldap://ldap\-master\&.example\&.com:666
.fi
.if n \{\
.RE
.\}
.sp
.SS "KERBEROS"
.sp
Si vous utilisez Kerberos, le realm Kerberos par défaut doit être configuré afin que krb5\-libs et donc les outils tels que kinit fonctionnent directement\&.
.PP
\fB/etc/krb5.conf\fR. 
.sp
.if n \{\
.RS 4
.\}
.nf
[libdefaults]
 default_realm = MYREALM

[realms]
 MYREALM = {
  kdc = kdc\&.myrealm\&.org
 }

[domain_realm]
 myrealm\&.org = MYREALM
 \&.myrealm\&.org = MYREALM
.fi
.if n \{\
.RE
.\}
.sp
.SS "SSSD"
.sp
Authselect encourage les utilisateurs à utiliser SSSD tant que possible\&. Il y a de nombreuses options de configuration, voir sssd\&.conf(5)\&. Ceci est une configuration minimale qui crée un domaine LDAP appelé \(Fo default \(Fc\&. Le serveur LDAP est découvert automatique via des recherches DNS\&.
.PP
\fB/etc/sssd/sssd.conf\fR. 
.sp
.if n \{\
.RS 4
.\}
.nf
[sssd]
config_file_version = 2
domains = default

[domain/default]
id_provider = ldap
ldap_uri = _srv_
dns_discovery_domain = myrealm
.fi
.if n \{\
.RE
.\}
.sp
Et ici un snippet de configuration pour le même domaine mais maintenant l\(cqauthentification est faite via Kerberos\&. Le serveur KDC est découvert automatique via des recherches DNS\&.
.PP
\fB/etc/sssd/sssd.conf\fR. 
.sp
.if n \{\
.RS 4
.\}
.nf
[sssd]
config_file_version = 2
domains = default

[domain/default]
id_provider = ldap
auth_provider = krb5
ldap_uri = _srv_
krb5_server = _srv_
krb5_realm = MYREALM
dns_discovery_domain = myrealm
.fi
.if n \{\
.RE
.\}
.sp
Si vous voulez configurer SSSD pour un domaine IPA ou Active Directory, utilisez l\(cqoutil realm\&. Cela réalisera une configuration initiale incluant la création d\(cqun keytab Kerberos et générant une configuration SSSD basique\&. Vous pourrez alors l\(cqajuster en modifiant /etc/sssd/sssd\&.conf\&.
.SS "WINBIND"
.sp
Si vous voulez que la machine utilise Winbind, utilisez l\(cqoutil realm\&. Cela réalisera une configuration initiale incluant la création d\(cqun keytab Kerberos et le lancement de adcli pour joindre le domaine\&. Cela réalise également des changements à smb\&.conf\&. Vous pourrez alors l\(cqajuster en modifiant /etc/samba/smb\&.conf\&.
.SS "NIS"
.sp
Il y a plusieurs lieux nécessitant d\(cqêtre configuré pour faire fonctionner l\(cqauthentification NIS\&. D\(cqabords, vous devez définir un domaine NIS et en option également un serveur NIS dans /etc/yp\&.conf\&.
.PP
\fB/etc/yp.conf\fR. 
.sp
.if n \{\
.RS 4
.\}
.nf
domain mydomain broadcast
# ou
# domain mydomain server myserver
.fi
.if n \{\
.RE
.\}
.sp
Le domaine NIS doit également être défini dans la configuration réseau du système\&.
.PP
\fB/etc/sysconfig/network\fR. 
.sp
.if n \{\
.RS 4
.\}
.nf
NISDOMAIN=mydomain
.fi
.if n \{\
.RE
.\}
.sp
Maintenant, vous pouvez définir le nom de domaine avec la ligne de commande pour qu\(cqil n\(cqy ait pas besoin de redémarrer le système\&. De plus, il pourrait être nécessaire d\(cqactiver NIS dans selinux\&.
.sp
.if n \{\
.RS 4
.\}
.nf
$ domainname mydomain
$ setsebool \-P allow_ypbind 1
.fi
.if n \{\
.RE
.\}
.SS "QUALITÉ DE MOT DE PASSE"
.sp
Authselect active le module pam_pwquality pour appliquer les restrictions de qualité des mots de passe\&. Ce module est uniquement activé pour les utilisateurs locaux\&. Les utilisateurs distants doivent utiliser la politique de mot de passe appliquée par les serveurs distants respectifs\&.
.sp
Le module pam_pwquality peut être configuré dans /etc/security/pwquality\&.conf\&. Lisez pam_pwquality(8) pour voir ses options configurables et par défaut\&.
.SH "DÉMARRAGE DES SERVICES"
.sp
Selon votre configuration, vous avez besoin de démarrer les services nécessaires manuellement avec systemd\&.
.sp
.RS 4
.ie n \{\
\h'-04'\(bu\h'+03'\c
.\}
.el \{\
.sp -1
.IP \(bu 2.3
.\}
SSSD
.sp
.if n \{\
.RS 4
.\}
.nf
systemctl enable sssd\&.service ; systemctl start sssd\&.service
.fi
.if n \{\
.RE
.\}
.RE
.sp
.RS 4
.ie n \{\
\h'-04'\(bu\h'+03'\c
.\}
.el \{\
.sp -1
.IP \(bu 2.3
.\}
Winbind
.sp
.if n \{\
.RS 4
.\}
.nf
systemctl enable winbind\&.service ; systemctl start winbind\&.service
.fi
.if n \{\
.RE
.\}
.RE
.sp
.RS 4
.ie n \{\
\h'-04'\(bu\h'+03'\c
.\}
.el \{\
.sp -1
.IP \(bu 2.3
.\}
NIS
.sp
.if n \{\
.RS 4
.\}
.nf
systemctl enable rpcbind\&.service ; systemctl start rpcbind\&.service
systemctl enable ypbind\&.service ; systemctl start ypbind\&.service
.fi
.if n \{\
.RE
.\}
.RE
.sp
.RS 4
.ie n \{\
\h'-04'\(bu\h'+03'\c
.\}
.el \{\
.sp -1
.IP \(bu 2.3
.\}
Si la fonctionnalité mkhomedir est activée
.sp
.if n \{\
.RS 4
.\}
.nf
systemctl enable oddjobd\&.service ; systemctl start oddjobd\&.service
.fi
.if n \{\
.RE
.\}
.RE
.SH "OUTILS AUTHCONFIG"
.sp
Authconfig est fourni avec un outil appelé \fIcacertdir_rehash\fR\&. Si vous dépendez de cet outil, veuillez basculer vers la commande native \fIopenssl\fR : \fBopenssl rehash <dossier>\fR qui sert le même but\&.
.SH "VOIR AUSSI"
.sp
authselect(8), authselect\-profiles(5), realm(8), ipa\-client\-install(1), sssd\&.conf(5), smb\&.conf(5), ldap\&.conf(5), krb5\&.conf(5)
