143 lines
4.9 KiB
Markdown
143 lines
4.9 KiB
Markdown
SSSD, premier contact.
|
|
----------------------
|
|
|
|
SSSD sait faire de l'authentification LDAP et Kerberos et plein d'autres.
|
|
On peut se limiter à Kerberos, on n'est pas obligé d'utiliser toutes les
|
|
fonctionnalités.
|
|
|
|
Le fichier `sssd.conf` contient un paramétrage Kerberos (realm, etc). Les
|
|
possibilités de configuration ne sont pas aussi évoluées que celles qu'on
|
|
trouve dans '/etc/krb5.conf'. Il est possible d'en mettre un minimum dans
|
|
`sssd.conf`, et laisser le principal dans `krb5.conf`, ça tombe bien.
|
|
|
|
Depuis que j'ai installé et configuré SSSD, l'authentification de sudo
|
|
sait non seulement utiliser mon mot de passe local, mais aussi mon mot
|
|
de passe AD ! Et cerise sur le gateau : ça renouvelle automatiquement
|
|
mon ticket Kerberos !
|
|
|
|
Debug SSSD
|
|
----------
|
|
|
|
D'après sssd.conf(5), on active le debug avec la propriété `debug_level` à
|
|
valeur de 0 à 10, à placer dans toutes les sections de la configuration,
|
|
pas seulement dans [sssd]. On pourra utiliser un fichier de configuration
|
|
drop-in pour faciliter la mise en place.
|
|
|
|
Pour observer les logs:
|
|
|
|
```
|
|
# journalctl -f -g pam
|
|
# journalctl -f -u sssd.service -u sssd-pam.socket -u sssd-pam.service
|
|
# tail -f /var/log/auth.log
|
|
```
|
|
|
|
La commande `sssctl` du paquet `sssd-tools` donne plein d'infos utiles sur
|
|
l'état du service sssd, en particulier pour vérifier la configuration:
|
|
```
|
|
$ sudo sssctl config-check
|
|
```
|
|
Voir `sssctl --help` pour toutes les options (le man est quasi vide).
|
|
|
|
Service PAM pour SSSD
|
|
---------------------
|
|
|
|
La documentation en ligne indique qu'il faut configurer les "services"
|
|
de SSSD comme ceci:
|
|
|
|
```
|
|
$ head -2 /etc/sssd/sssd.conf
|
|
[sssd]
|
|
services = nss,pam
|
|
```
|
|
|
|
Mais à l'usage, on s'aperçoit que SSSD n'est pas utilisé dans le
|
|
processus de login, et dans les logs on voit ceci:
|
|
|
|
```
|
|
$ journactl -u sssd-pam.socket
|
|
systemd[1]: Starting SSSD PAM Service responder socket.
|
|
sssd_check_socket_activated_responders[17888]:
|
|
Misconfiguration found for the pam responder.
|
|
The pam responder has been configured to be socket-activated but it's
|
|
still mentioned in the services' line in /etc/sssd/sssd.conf.
|
|
Please, consider either adjusting your services' line in
|
|
/etc/sssd/sssd.conf or disabling the pam's socket by calling:
|
|
"systemctl disable sssd-pam.socket"
|
|
systemd[1]: Dependency failed for SSSD PAM Service responder socket.
|
|
```
|
|
|
|
Donc on a deux choix possibles:
|
|
|
|
1) soit on laisse le fichier `sssd.conf` en l'état, et on désactive
|
|
la socket `sssd-pam.socket`.
|
|
|
|
2) soit on active la socket `sssd-pam.socket` et on supprime `pam`
|
|
de la liste des services dans `sssd.conf`.
|
|
|
|
Sachant que par défaut la socket est activée à l'installation du paquet
|
|
`sssd`, le choix le plus facile c'est le n°2, on modifie la configuration
|
|
dans le fichier `sssd.conf`.
|
|
|
|
Activer SSSD dans GDM (password)
|
|
--------------------------------
|
|
|
|
Quatre opérations à faire:
|
|
|
|
- basculer l'alternative `gdm-smartcard` sur `gdm-smartcard-smartcard-or-password`
|
|
- desactiver l'authentification par smartcard dans `dconf` pour GDM
|
|
- démarrer le service `sssd`
|
|
- redémarrer le service `gdm3`
|
|
|
|
soit:
|
|
|
|
```
|
|
# update-alternatives --set gdm-smartcard /etc/pam.d/gdm-smartcard-sssd-or-password
|
|
# sed -Ei 's/(enable-smartcard-authentication)=.*/\1=false/' /etc/dconf/db/gdm.d/03-smartcard
|
|
# dconf update
|
|
# systemctl enable sssd.service sssd-pam.socket
|
|
# systemctl start sssd.service
|
|
# systemctl restart gdm3
|
|
```
|
|
|
|
Pour l'instant, on désactive gdm-smardcard dans la configuration GDM via `dconf`
|
|
parce que la gestion du PKCS#11 dans SSSD n'est pas encore configurée, et ce n'est
|
|
pas aussi facile qu'avec `pam_pkcs11` ...
|
|
|
|
SSSD et PKCS#11
|
|
---------------
|
|
|
|
Pas certain que SSSD puisse fonctionner avec SmartCard + utilisateur local,
|
|
la documentation mentionne explicitement LDAP comme sources d'identité,
|
|
donc il faudrait joindre le domaine AD, fonctionnerait seulement online
|
|
(sauf si cache).
|
|
|
|
TODO
|
|
----
|
|
|
|
Les choses à voir:
|
|
|
|
- `sss-certmap`
|
|
- `sss_cache`
|
|
- `p11-child`
|
|
|
|
Et la configuration PKCS#11 dans SSSD ...
|
|
|
|
Références
|
|
----------
|
|
|
|
- [SSSD - Introduction]
|
|
- [SSSD - Migrating from pam_krb5]
|
|
- [SSSD - Design / Require Smartcard authentication ]
|
|
- [RHEL-8 / MANAGING SMART CARD AUTHENTICATION]
|
|
- [GUI-Login with SSSD managed users fails]
|
|
|
|
|
|
[SSSD - Introduction]: https://sssd.io/docs/introduction.html
|
|
[SSSD - Migrating from pam_krb5]: https://sssd.io/docs/krb/krb-migration.html
|
|
[SSSD - Design / Require Smartcard authentication ]: https://docs.pagure.org/sssd.sssd/design_pages/smartcard_authentication_require.html
|
|
[RHEL-8 / MANAGING SMART CARD AUTHENTICATION]: https://access.redhat.com/documentation/en-us/red_hat_enterprise_linux/8/html-single/managing_smart_card_authentication/index
|
|
[GUI-Login with SSSD managed users fails]: (https://ask.fedoraproject.org/t/gui-login-with-sssd-managed-users-fails/6606/2)
|
|
[smartcard cert mapping offline (AD)](https://lists.fedorahosted.org/archives/list/sssd-users@lists.fedorahosted.org/thread/STBGBEZI6D5A3MKMB26P2FNFLURML5DB/)
|
|
|
|
|