'\" t
.\"     Title: authselect-migration
.\"    Author: [FIXME: author] [see http://www.docbook.org/tdg5/en/html/author]
.\" Generator: DocBook XSL Stylesheets vsnapshot <http://docbook.sf.net/>
.\"      Date: 2021-06-05
.\"    Manual: \ \&
.\"    Source: \ \&
.\"  Language: English
.\"
.TH "AUTHSELECT\-MIGRATIO" "7" "2021\-06\-05" "\ \&" "\ \&"
.\" -----------------------------------------------------------------
.\" * Define some portability stuff
.\" -----------------------------------------------------------------
.\" ~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~
.\" http://bugs.debian.org/507673
.\" http://lists.gnu.org/archive/html/groff/2009-02/msg00013.html
.\" ~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~
.ie \n(.g .ds Aq \(aq
.el       .ds Aq '
.\" -----------------------------------------------------------------
.\" * set default formatting
.\" -----------------------------------------------------------------
.\" disable hyphenation
.nh
.\" disable justification (adjust text to left margin only)
.ad l
.\" -----------------------------------------------------------------
.\" * MAIN CONTENT STARTS HERE *
.\" -----------------------------------------------------------------
.SH "NAME"
authselect-migration \- руководство по переходу с authconfig на authselect\&.
.SH "ОПИСАНИЕ"
.sp
На этой странице руководства объясняется разница между authconfig, предыдущим инструментом настройки источников аутентификации и идентификации системы, и authselect, который замещает его\&. Здесь также объясняется, какие действия необходимы для перехода от authconfig к authselect\&.
.SH "ОСНОВНЫЕ РАЗЛИЧИЯ"
.sp
У authselect совершенно другой подход к настройке системы, чем у предыдущего инструмента, у authconfig\&.
.sp
Authconfig изо всех сил старается сохранять изменения пользователя, сделанные вручную, в создаваемых файлах\&. Он создает не только файлы конфигурации PAM и nsswitch\&.conf (для настройки модулей аутентификации и источников идентичности), но и простые файлы настроек для некоторых служб, например, LDAP и Kerberos\&.
.sp
Authselect не делает такого\&. Он не создает файлов настроек, за исключением PAM и nsswitch\&.conf, и он строго запрещает любые изменения созданных настроек вручную\&. Он предоставляет набор файлов, называемых профилями\&. В каждом профиле описывается, как должна выглядеть итоговая конфигурация, и он может быть слегка изменен включением или выключением определенных дополнительных функций\&. Если возникает необходимость в другом профиле, отличном от того, что поставляется с authselect, администратор может создать совсем новый профиль и использовать его с authselect\&. См\&. authselect\-profiles(5) для получения дополнительных сведений\&.
.sp
Это может показаться большим недостатком, но на самом деле все наоборот\&. Authconfig \- очень старый инструмент, а приложения, предоставляющие необходимые возможности, быстро менялись с годами\&. Как правило, больше нет необходмости иметь несколько модулей аутентификации в PAM и nsswitch\&.conf, поскольку подавляющее большинство сценариев использования покрывается SSSD\&. Следовательно, нет необходимости специально добавлять или удалять их\&. Существуют также более совершенные инструменты создания конфигурации для системных служб, которые могут помочь автоматизировать процесс присоединения к удаленному домену, например, \(Forealm\(Fc\&. Кроме того, поставляемые профили дают нам исчерпывающую и детерминированную конфигурацию системы, которая может быть полностью протестирована и гораздо менее подвержена ошибкам\&. Также намного проще распределять такую конфигурацию по многим системам\&.
.sp
Вероятно, самым спорным изменением является то, что authselect предоставляет профили только для поставщиков sssd и winbind\&. Эти два поставщика охватывают все современные варианты использования, от обеспечения локальных пользователей и устаревших доменов LDAP до сложных конфигураций с серверами IPA или Active Directory\&. Профили больше не поддерживают nss\-pam\-ldapd, и пользователям рекомендуется перейти на sssd\&.
.SH "ПРИСОЕДИНЕНИЕ К УДАЛЕННЫМ ДОМЕНАМ"
.sp
Можно воспользоваться \(Foipa\-client\-install\(Fc или \(Forealm\(Fc, чтобы присоединиться к домену IPA domain, и \(Forealm\(Fc, чтобы присоединиться к домену Active Directory\&. Эти инструменты гарантируют, что выбран правильный профиль authselect, и все демоны и службы правильно настроены\&.
.SH "ПРЕОБРАЗОВАНИЕ СКРИПТОВ"
.sp
Если для присоединения к домену используется \(Foipa\-client\-install\(Fc или \(Forealm\(Fc, можно просто удалить любой вызов authconfig в своих скриптах\&. Если это не подходит, необходимо заменить каждый вызов authconfig на его эквивалентный вызов authselect, чтобы выбрать правильный профиль с нужными функциями\&. Затем вам также необходимо написать файл конфигурации для необходимых сервисов\&.
.sp
.it 1 an-trap
.nr an-no-space-flag 1
.nr an-break-flag 1
.br
.B Table\ \&1.\ \&Связь параметров authconfig с профилями authselect
.TS
allbox tab(:);
lt lt
lt lt
lt lt
lt lt
lt lt
lt lt.
T{
.sp
\fBПараметры authconfig\fR
T}:T{
.sp
\fBПрофиль authselect\fR
T}
T{
.sp
\-\-enableldap \-\-enableldapauth
T}:T{
.sp
sssd
T}
T{
.sp
\-\-enablesssd \-\-enablesssdauth
T}:T{
.sp
sssd
T}
T{
.sp
\-\-enablekrb5
T}:T{
.sp
sssd
T}
T{
.sp
\-\-enablewinbind \-\-enablewinbindauth
T}:T{
.sp
winbind
T}
T{
.sp
\-\-enablenis
T}:T{
.sp
nis
T}
.TE
.sp 1
.sp
.it 1 an-trap
.nr an-no-space-flag 1
.nr an-break-flag 1
.br
.B Table\ \&2.\ \&Связь параметров authconfig с функциями профиля authselect
.TS
allbox tab(:);
lt lt
lt lt
lt lt
lt lt
lt lt
lt lt
lt lt
lt lt
lt lt.
T{
.sp
\fBAuthconfig options\fR
T}:T{
.sp
\fBAuthselect profile feature\fR
T}
T{
.sp
\-\-enablesmartcard
T}:T{
.sp
with\-smartcard
T}
T{
.sp
\-\-enablefingerprint
T}:T{
.sp
with\-fingerprint
T}
T{
.sp
\-\-enablemkhomedir
T}:T{
.sp
with\-mkhomedir
T}
T{
.sp
\-\-enablefaillock
T}:T{
.sp
with\-faillock
T}
T{
.sp
\-\-enablepamaccess
T}:T{
.sp
with\-pamaccess
T}
T{
.sp
\-\-enablewinbindkrb5
T}:T{
.sp
with\-krb5
T}
T{
.sp
\-\-enableshadow
T}:T{
.sp
\fInone\fR
T}
T{
.sp
\-\-passalgo
T}:T{
.sp
\fInone\fR
T}
.TE
.sp 1
.if n \{\
.sp
.\}
.RS 4
.it 1 an-trap
.nr an-no-space-flag 1
.nr an-break-flag 1
.br
.ps +1
\fBNote\fR
.ps -1
.br
.sp
Параметры Authconfig \-\-enableshadow и`\-\-passalgo=sha512` часто использовались, чтобы гарантировать хранение паролей в / etc / shadow с использованием алгоритма`sha512`\&. \fBПрофили authselect теперь используют метод хеширования sha512\fR, и его нельзя изменить с помощью параметра (только путем создания пользовательского профиля)\&. Вы можете просто опустить эти параметры\&.
.sp .5v
.RE
.PP
\fBПримеры\fR. 
.sp
.if n \{\
.RS 4
.\}
.nf
authconfig \-\-enableldap \-\-enableldapauth \-\-enablefaillock \-\-updateall
authselect select sssd with\-faillock

authconfig \-\-enablesssd \-\-enablesssdauth \-\-enablesmartcard \-\-smartcardmodule=sssd \-\-updateall
authselect select sssd with\-smartcard

authconfig \-\-enablepamaccess \-\-updateall
authselect select sssd with\-pamaccess

authconfig \-\-enablewinbind \-\-enablewinbindauth \-\-winbindjoin=Administrator \-\-updateall
realm join \-U Administrator \-\-client\-software=winbind WINBINDDOMAIN
.fi
.if n \{\
.RE
.\}
.sp
.SH "КОНФИГУРАЦИОННЫЕ ФАЙЛЫ"
.sp
В этом разделе собраны фрагменты для минимальной настройки различных сервисов\&.
.SS "LDAP"
.sp
Даже если LDAP не используется напрямую через \(Fopam_ldap\(Fc и \(Fonss_ldap\(Fc, все равно полезно настроить ldap\&.conf, чтобы настроить openldap\-libs и, косвенно, например, инструменты LDAP, такие, как \(Foldapsearch\(Fc\&.
.PP
\fB/etc/openldap/ldap.conf\fR. 
.sp
.if n \{\
.RS 4
.\}
.nf
# Установить стандартный базовый dn
BASE   dc=example,dc=com

# Установить стандартный сервер LDAP
URI    ldap://ldap\&.example\&.com ldap://ldap\-master\&.example\&.com:666
.fi
.if n \{\
.RE
.\}
.sp
.SS "KERBEROS"
.sp
Если вы используете Kerberos, необходимо настроить область Kerberos по умолчанию, чтобы библиотеки krb5 и, следовательно, такие инструменты, как \(Fokinit\(Fc, работали без дополнительной настройки\&.
.PP
\fB/etc/krb5.conf\fR. 
.sp
.if n \{\
.RS 4
.\}
.nf
[libdefaults]
 default_realm = MYREALM

[realms]
 MYREALM = {
  kdc = kdc\&.myrealm\&.org
 }

[domain_realm]
 myrealm\&.org = MYREALM
 \&.myrealm\&.org = MYREALM
.fi
.if n \{\
.RE
.\}
.sp
.SS "SSSD"
.sp
Authselect рекомендует пользователям использовать SSSD везде, где можно\&. Есть много вариантов конфигурации, см\&. sssd\&.conf (5)\&. Это минимальная конфигурация, которая создает один домен LDAP с именем \(Fodefault\(Fc\&. Сервер LDAP обнаруживается автоматически при поиске в DNS\&.
.PP
\fB/etc/sssd/sssd.conf\fR. 
.sp
.if n \{\
.RS 4
.\}
.nf
[sssd]
config_file_version = 2
domains = default

[domain/default]
id_provider = ldap
ldap_uri = _srv_
dns_discovery_domain = myrealm
.fi
.if n \{\
.RE
.\}
.sp
А вот фрагмент конфигурации для того же домена, но теперь аутентификация выполняется через Kerberos\&. Сервер KDC автоматически обнаруживается при поиске в DNS\&.
.PP
\fB/etc/sssd/sssd.conf\fR. 
.sp
.if n \{\
.RS 4
.\}
.nf
[sssd]
config_file_version = 2
domains = default

[domain/default]
id_provider = ldap
auth_provider = krb5
ldap_uri = _srv_
krb5_server = _srv_
krb5_realm = MYREALM
dns_discovery_domain = myrealm
.fi
.if n \{\
.RE
.\}
.sp
Если вы хотите настроить SSSD для домена IPA или Active Directory, используйте инструмент \(Forealm\(Fc\&. Это выполнит начальную настройку, которая включает в себя создание keytab\-файла Kerberos и генерацию базовой конфигурации SSSD\&. Затем вы можете настроить его, изменив /etc /sssd/sssd\&.conf\&.
.SS "WINBIND"
.sp
Если вы хотите настроить компьютер для использования Winbind, используйте \(Forealm\(Fc\&. Это выполнит начальную настройку, которая включает в себя создание keytab\-файла Kerberos и запуск \(Foadcli\(Fc для присоединения к домену\&. Это также вносит изменения в \(Fosmb\&.conf\(Fc\&. Затем вы можете настроить его, редактируя /etc/samba/smb\&.conf\&.
.SS "NIS"
.sp
В нескольких местах необходимо сделать настройку, чтобы работала аутентификация NIS\&. Во\-первых, нужно настроить домен NIS и, при необходимости, еще и сервер NIS в /etc/yp\&.conf\&.
.PP
\fB/etc/yp.conf\fR. 
.sp
.if n \{\
.RS 4
.\}
.nf
domain mydomain broadcast
# или
# domain mydomain server myserver
.fi
.if n \{\
.RE
.\}
.sp
Домен NIS также должен быть настроен в конфигурации сети системы\&.
.PP
\fB/etc/sysconfig/network\fR. 
.sp
.if n \{\
.RS 4
.\}
.nf
NISDOMAIN=mydomain
.fi
.if n \{\
.RE
.\}
.sp
Теперь можно установить доменное имя с помощью командной строки, поэтому перезагружать систему не нужно\&. Кроме того, может потребоваться включить NIS в selinux\&.
.sp
.if n \{\
.RS 4
.\}
.nf
$ domainname mydomain
$ setsebool \-P allow_ypbind 1
.fi
.if n \{\
.RE
.\}
.SS "КАЧЕСТВО ПАРОЛЯ"
.sp
Authselect включает модуль \(Fopam_pwquality\(Fc для применения требования к качеству пароля\&. Этот модуль активируется только для локальных пользователей\&. Удаленные пользователи должны использовать политику паролей, которая применяется на соответствующем удаленном сервере\&.
.sp
Модуль \(Fopam_pwquality\(Fc можно настроить в /etc/security/pwquality\&.conf\&. Его параметры конфигурации и значения по умолчанию см\&. pam_pwquality(8)\&.
.SH "ЗАПУСК СЛУЖБ"
.sp
В зависимости от конфигурации вашей системы необходимо запускать необходимые службы вручную с помощью systemd\&.
.sp
.RS 4
.ie n \{\
\h'-04'\(bu\h'+03'\c
.\}
.el \{\
.sp -1
.IP \(bu 2.3
.\}
SSSD
.sp
.if n \{\
.RS 4
.\}
.nf
systemctl enable sssd\&.service ; systemctl start sssd\&.service
.fi
.if n \{\
.RE
.\}
.RE
.sp
.RS 4
.ie n \{\
\h'-04'\(bu\h'+03'\c
.\}
.el \{\
.sp -1
.IP \(bu 2.3
.\}
Winbind
.sp
.if n \{\
.RS 4
.\}
.nf
systemctl enable winbind\&.service ; systemctl start winbind\&.service
.fi
.if n \{\
.RE
.\}
.RE
.sp
.RS 4
.ie n \{\
\h'-04'\(bu\h'+03'\c
.\}
.el \{\
.sp -1
.IP \(bu 2.3
.\}
NIS
.sp
.if n \{\
.RS 4
.\}
.nf
systemctl enable rpcbind\&.service ; systemctl start rpcbind\&.service
systemctl enable ypbind\&.service ; systemctl start ypbind\&.service
.fi
.if n \{\
.RE
.\}
.RE
.sp
.RS 4
.ie n \{\
\h'-04'\(bu\h'+03'\c
.\}
.el \{\
.sp -1
.IP \(bu 2.3
.\}
Если функция mkhomedir включена,
.sp
.if n \{\
.RS 4
.\}
.nf
systemctl enable oddjobd\&.service ; systemctl start oddjobd\&.service
.fi
.if n \{\
.RE
.\}
.RE
.SH "ИНСТРУМЕНТЫ AUTHCONFIG"
.sp
Authconfig поставляется с инструментом под названием \fIcacertdir_rehash\fR\&. Если вы полагаетесь на этот инструмент, перейдите на исходную команду \fIopenssl\fR: * openssl rehash <directory> *, которая служит той же цели\&.
.SH "СМОТРИТЕ ТАКЖЕ"
.sp
authselect(8), authselect\-profiles(5), realm(8), ipa\-client\-install(1), sssd\&.conf(5), smb\&.conf(5), ldap\&.conf(5), krb5\&.conf(5)
