Passos de verificação

1. Verifique se sss entradas para SSSD estão presentes em /etc/nsswitch.conf:

   passwd:     sss files
   group:      sss files
   netgroup:   sss files
   automount:  sss files
   services:   sss files
   ...

2. Reveja o conteúdo do arquivo /etc/pam.d/system-auth para ver as entradas em pam_sss.so:

   # Generated by authselect on Tue Sep 11 22:59:06 2018
   # Do not modify this file manually.
   
   auth        required        pam_env.so
   auth        required        pam_faildelay.so delay=2000000
   auth        [default=1 ignore=ignore success=ok]    pam_succeed_if.so uid >= 1000 quiet
   auth        [default=1 ignore=ignore success=ok]    pam_localuser.so
   auth        sufficient      pam_unix.so nullok try_first_pass
   auth        requisite       pam_succeed_if.so uid >= 1000 quiet_success
   auth        sufficient      pam_sss.so forward_pass
   auth        required        pam_deny.so
   
   account     required        pam_unix.so
   account     sufficient      pam_localuser.so
   ...

Procedimento

1. Selecione um perfil em authselect, por exemplo:

   # authselect select sssd

2. Edite o arquivo /etc/authselect/user-nsswitch.conf com as mudanças desejadas.

3. Aplique as mudanças do arquivo /etc/authselect/user-nsswitch.conf:

   # authselect apply-changes

Procedimento

1. Crie seu perfil personalizado usando o comando authselect create-profile. Por exemplo, para criar um perfil personalizado chamado user-profile com base no perfil pronto sssd mas no qual você mesmo pode configurar os itens no arquivo /etc/nsswitch.conf:

   # authselect create-profile user-profile -b sssd --symlink-meta --symlink-pam
   New profile was created at /etc/authselect/custom/user-profile

   Incluir a opção --symlink-pam no comando significa que os modelos PAM serão links simbólicos para os arquivos de perfil de origem ao invés de sua cópia; incluir a opção --symlink-meta significa que os meta arquivos, tais como README e REQUIREMENTS serão links simbólicos para os arquivos de perfil de origem ao invés de sua cópia. Isto assegura que todas as futuras atualizações dos modelos PAM e meta files no perfil original serão refletidas em seu perfil personalizado, também.

   O comando cria uma cópia do arquivo /etc/nsswitch.conf no diretório /etc/authselect/custom/user-profile/.

2. Configure o arquivo /etc/authselect/custom/user-profile/nsswitch.conf.

3. Selecione o perfil personalizado executando o comando authselect select, e adicionando custom/name_of_the_profile como um parâmetro. Por exemplo, para selecionar o perfil user-profile:

   # authselect select custom/user-profile

   A seleção do perfil user-profile para sua máquina significa que se o perfil sssd for posteriormente atualizado pela Red Hat, você se beneficiará de todas as atualizações, com exceção das atualizações feitas no arquivo /etc/nsswitch.conf.

1. Edite o arquivo /etc/nsswitch.conf editando a seguinte linha:

   hosts:      files

2. Criar um perfil personalizado baseado em sssd que exclui mudanças para /etc/nsswitch.conf:

   # authselect create-profile user-profile -b sssd --symlink-meta --symlink-pam

3. Selecione o perfil:

   # authselect select custom/user-profile

4. Opcionalmente, verifique se a seleção do perfil personalizado tem

   • criou o arquivo /etc/pam.d/system-auth de acordo com o perfil escolhido sssd

   • deixou a configuração no site /etc/nsswitch.conf inalterada:

     hosts:      files

     Nota

     A execução do authselect select sssd , em contraste, resultaria em

     hosts:      files dns myhostname

1. Ele conecta o cliente a um fornecedor remoto para recuperar informações de identidade e autenticação.
2. Ele usa as informações de autenticação obtidas para criar um cache local de usuários e credenciais sobre o cliente.

1. O arquivo principal /etc/sssd/sssd.conf
2. Outros *.conf arquivos em /etc/sssd/conf.d/, em ordem alfabética

Procedimento

1. Instalar os pacotes necessários:

   # dnf -y install openldap-clients sssd sssd-ldap oddjob-mkhomedir

2. Mude o fornecedor de autenticação para sssd:

   # authselect select sssd with-mkhomedir

3. Copie o arquivo core-dirsrv.ca.pem contendo a cadeia de certificados de assinatura da CA raiz da Autoridade Certificadora que emitiu o certificado SSL/TLS do servidor OpenLDAP para a pasta /etc/openldap/certs.

   # cp core-dirsrv.ca.pem /etc/openldap/certs

4. Adicione a URL e o sufixo do seu servidor LDAP ao arquivo /etc/openldap/ldap.conf:

   URI ldap://ldap-server.example.com/
   BASE dc=example,dc=com

5. No arquivo /etc/openldap/ldap.conf, adicione uma linha apontando o parâmetro TLS_CACERT para /etc/openldap/certs/core-dirsrv.ca.pem:

   # When no CA certificates are specified the Shared System Certificates
   # are in use. In order to have these available along with the ones specified
   # by TLS_CACERTDIR one has to include them explicitly:
   TLS_CACERT /etc/openldap/certs/core-dirsrv.ca.pem

6. No arquivo /etc/sssd/sssd.conf, adicione seus valores ambientais aos parâmetros ldap_uri e ldap_search_base:

   [domain/default]
   id_provider = ldap
   autofs_provider = ldap
   auth_provider = ldap
   chpass_provider = ldap
   ldap_uri = ldap://ldap-server.example.com/
   ldap_search_base = dc=example,dc=com
   ldap_id_use_start_tls = True
   cache_credentials = True
   ldap_tls_cacertdir = /etc/openldap/certs
   ldap_tls_reqcert = allow
   
   [sssd]
   services = nss, pam, autofs
   domains = default
   
   [nss]
   homedir_substring = /home
   …

7. Em /etc/sssd/sssd.conf, especifique o requisito de autenticação TLS modificando os valores ldap_tls_cacert e ldap_tls_reqcert na seção [domain]:

   …
   cache_credentials = True
   ldap_tls_cacert = /etc/openldap/certs/core-dirsrv.ca.pem
   ldap_tls_reqcert = hard
   …

8. Alterar as permissões no arquivo /etc/sssd/sssd.conf:

   # chmod 600 /etc/sssd/sssd.conf

9. Reinicie e habilite o serviço SSSD e o daemon oddjobd:

   # systemctl restart sssd oddjobd
   # systemctl enable sssd oddjobd

10. (Opcional) Se seu servidor LDAP usa os protocolos obsoletos TLS 1.0 ou TLS 1.1, mude a política de criptografia do sistema do cliente para o nível LEGACY para permitir que a RHEL 8 se comunique usando estes protocolos:

    # update-crypto-policies --set LEGACY

    Para mais detalhes, consulte a seção Funcionalidade Depreciada nas Notas de Lançamento RHEL 8.0.

Procedimento

1. Criar a conta de usuário AD_user localmente sem atribuir uma senha a ela:

   # useradd AD_user

2. Abra o arquivo /etc/nsswitch.conf para edição, e certifique-se de que ele contenha as seguintes linhas:

   passwd:     sss files systemd
   group:      sss files systemd
   shadow:     files sss

3. Abra o arquivo /etc/krb5.conf para edição, e certifique-se de que ele contenha as seguintes seções e itens:

   # To opt out of the system crypto-policies configuration of krb5, remove the
   # symlink at /etc/krb5.conf.d/crypto-policies which will not be recreated.
   includedir /etc/krb5.conf.d/
   
   [logging]
       default = FILE:/var/log/krb5libs.log
       kdc = FILE:/var/log/krb5kdc.log
       admin_server = FILE:/var/log/kadmind.log
   
   [libdefaults]
       dns_lookup_realm = false
       ticket_lifetime = 24h
       renew_lifetime = 7d
       forwardable = true
       rdns = false
       pkinit_anchors = /etc/pki/tls/certs/ca-bundle.crt
       spake_preauth_groups = edwards25519
       default_realm = EXAMPLE.COM
       default_ccache_name = KEYRING:persistent:%{uid}
   
   [realms]
    EXAMPLE.COM = {
        kdc = ad.example.com
        admin_server = ad.example.com
    }
   
   [domain_realm]
    .example.com = EXAMPLE.COM
    example.com = EXAMPLE.COM

4. Crie o arquivo /etc/sssd/sssd.conf e insira as seguintes seções e linhas nele:

   [sssd]
       services = nss, pam
       domains = EXAMPLE.COM
   
   [domain/EXAMPLE.COM]
       id_provider = files
       auth_provider = krb5
       krb5_realm = EXAMPLE.COM
       krb5_server = ad.example.com

5. Alterar as permissões no arquivo /etc/sssd/sssd.conf:

   # chmod 600 /etc/sssd/sssd.conf

6. Iniciar o Sistema de Serviços de Segurança Daemon (SSSD):

   # systemctl start sssd

7. Habilitar o SSSD:

   # systemctl habilita sssd

8. Abra o arquivo /etc/pam.d/system-auth, e modifique-o de modo que contenha as seguintes seções e linhas:

   # Generated by authselect on Wed May  8 08:55:04 2019
   # Do not modify this file manually.
   
   auth        required                                     pam_env.so
   auth        required                                     pam_faildelay.so delay=2000000
   auth        [default=1 ignore=ignore success=ok]         pam_succeed_if.so uid >= 1000 quiet
   auth        [default=1 ignore=ignore success=ok]         pam_localuser.so
   auth        sufficient                                   pam_unix.so nullok try_first_pass
   auth        requisite                                    pam_succeed_if.so uid >= 1000 quiet_success
   auth        sufficient                                   pam_sss.so forward_pass
   auth        required                                     pam_deny.so
   
   account     required                                     pam_unix.so
   account     sufficient                                   pam_localuser.so
   account     sufficient                                   pam_succeed_if.so uid < 1000 quiet
   account     [default=bad success=ok user_unknown=ignore] pam_sss.so
   account     required                                     pam_permit.so
   
   password    requisite                                    pam_pwquality.so try_first_pass local_users_only
   password    sufficient                                   pam_unix.so sha512 shadow nullok try_first_pass use_authtok
   password    sufficient                                   pam_sss.so use_authtok
   password    required                                     pam_deny.so
   
   session     optional                                     pam_keyinit.so revoke
   session     required                                     pam_limits.so
   -session    optional                                     pam_systemd.so
   session     [success=1 default=ignore]                   pam_succeed_if.so service in crond quiet use_uid
   session     required                                     pam_unix.so
   session     optional                                     pam_sss.so

9. Copie o conteúdo do arquivo /etc/pam.d/system-auth para o arquivo /etc/pam.d/password-auth. Digite yes para confirmar a sobregravação do conteúdo atual do arquivo:

   # cp /etc/pam.d/system-auth /etc/pam.d/password-auth
   cp: overwrite '/etc/pam.d/password-auth'? yes

Etapas de verificação

1. Solicite um bilhete de passagem de Kerberos (TGT) para AD_user. Digite a senha de AD_user, conforme solicitado:

   # kinit AD_user
   Password for AD_user@EXAMPLE.COM:

2. Mostrar o TGT obtido:

   # klist
   Ticket cache: KEYRING:persistent:0:0
   Default principal: AD_user@EXAMPLE.COM
   
   Valid starting     Expires            Service principal
   11/02/20 04:16:38  11/02/20 14:16:38  krbtgt/EXAMPLE.COM@EXAMPLE.COM
   	renew until 18/02/20 04:16:34

Procedimento

1. Para exibir ajuda para o comando sssctl, entre:

   [root@client1 ~]# sssctl --help
   ....

2. Para exibir uma lista de domínios disponíveis, entre:

Procedimento

1. Para exibir ajuda para o comando sssctl, entre:

   [root@client1 ~]# sssctl --help

2. Para exibir dados do usuário para um determinado domínio, digite:

   [root@client1 ~]# sssctl domain-status idm.example.com
   Online status: Online
   
   Active servers:
   IPA: master.idm.example.com
   
   Discovered IPA servers:
   - master.idm.example.com