SSSD-LDAP-ATTRIBUT(5) قالب‌های فایل و قراردادها SSSD-LDAP-ATTRIBUT(5)

sssd-ldap-attributes - ارائه‌دهندهٔ LDAP در SSSD: نگاشت مشخصه‌ها

این صفحهٔ راهنما، مشخصه‌های نگاشت ارائه‌دهندهٔ LDAP در SSSD sssd-ldap(5) را شرح می‌دهد. برای جزئیات کامل در مورد گزینه‌های پیکربندی ارائه‌دهندهٔ LDAP در SSSD، به صفحهٔ راهنمای sssd-ldap(5) مراجعه کنید.

ldap_user_object_class (string)

کلاس شیء (object class) یک مدخل کاربر در LDAP.

پیش‌فرض: posixAccount

ldap_user_name (string)

مشخصهٔ LDAP متناظر با نام ورود به سیستم (login name) کاربر.

پیش‌فرض: uid (در rfc2307، rfc2307bis و IPA)، sAMAccountName (در AD)

ldap_user_uid_number (string)

مشخصهٔ LDAP متناظر با شناسهٔ (UID) کاربر.

پیش‌فرض: uidNumber

ldap_user_gid_number (string)

مشخصهٔ LDAP متناظر با شناسهٔ گروه اصلی (primary group id) کاربر.

پیش‌فرض: gidNumber

ldap_user_primary_group (string)

مشخصهٔ گروه اصلی Active Directory برای نگاشت شناسه (ID-mapping). توجه داشته باشید که این مشخصه تنها در صورتی باید به‌صورت دستی تنظیم شود که ارائه‌دهندهٔ “ldap” را همراه با نگاشت شناسه اجرا می‌کنید.

پیش‌فرض: تنظیم‌نشده (LDAP)، primaryGroupID (در AD)

ldap_user_gecos (string)

مشخصهٔ LDAP متناظر با فیلد gecos کاربر.

پیش‌فرض: gecos

ldap_user_home_directory (string)

مشخصهٔ LDAP حاوی نام شاخهٔ خانگی (home directory) کاربر.

پیش‌فرض: homeDirectory (در LDAP و IPA)، unixHomeDirectory (در AD)

ldap_user_shell (string)

مشخصهٔ LDAP حاوی مسیر پوستهٔ پیش‌فرض کاربر.

پیش‌فرض: loginShell

ldap_user_uuid (string)

مشخصهٔ LDAP حاوی UUID/GUID شیء کاربر LDAP.

پیش‌فرض: در حالت کلی تنظیم‌نشده، objectGUID برای AD و ipaUniqueID برای IPA

ldap_user_objectsid (string)

مشخصهٔ LDAP حاوی objectSID شیء کاربر LDAP. این مورد معمولاً فقط برای سرورهای Active Directory ضروری است.

پیش‌فرض: objectSid برای ActiveDirectory، برای سرورهای دیگر تنظیم‌نشده است.

ldap_user_modify_timestamp (string)

مشخصهٔ LDAP حاوی برچسب زمانی (timestamp) آخرین تغییر شیء والد (parent object).

پیش‌فرض: modifyTimestamp

ldap_user_shadow_last_change (string)

هنگام استفاده از ldap_pwd_policy=shadow، این پارامتر حاوی نام مشخصهٔ LDAP متناظر با معادل آن در shadow(5) (تاریخ آخرین تغییر گذرواژه) است.

پیش‌فرض: shadowLastChange

ldap_user_shadow_min (string)

هنگام استفاده از ldap_pwd_policy=shadow، این پارامتر حاوی نام مشخصهٔ LDAP متناظر با معادل آن در shadow(5) (حداقل عمر گذرواژه) است.

پیش‌فرض: shadowMin

ldap_user_shadow_max (string)

هنگام استفاده از ldap_pwd_policy=shadow، این پارامتر حاوی نام مشخصهٔ LDAP متناظر با معادل آن در shadow(5) (حداکثر عمر گذرواژه) است.

پیش‌فرض: shadowMax

ldap_user_shadow_warning (string)

هنگام استفاده از ldap_pwd_policy=shadow، این پارامتر حاوی نام مشخصهٔ LDAP متناظر با معادل آن در shadow(5) (دورهٔ هشدار انقضای گذرواژه) است.

پیش‌فرض: shadowWarning

ldap_user_shadow_inactive (string)

هنگام استفاده از ldap_pwd_policy=shadow، این پارامتر حاوی نام مشخصهٔ LDAP متناظر با معادل آن در shadow(5) (دورهٔ غیرفعال‌بودن گذرواژه) است.

پیش‌فرض: shadowInactive

ldap_user_shadow_expire (string)

هنگام استفاده از ldap_pwd_policy=shadow یا ldap_account_expire_policy=shadow، این پارامتر حاوی نام مشخصهٔ LDAP متناظر با معادل آن در shadow(5) (تاریخ انقضای حساب کاربری) است.

پیش‌فرض: shadowExpire

ldap_user_krb_last_pwd_change (string)

هنگام استفاده از ldap_pwd_policy=mit_kerberos، این پارامتر حاوی نام مشخصهٔ LDAP است که تاریخ و زمان آخرین تغییر گذرواژه در Kerberos را ذخیره می‌کند.

پیش‌فرض: krbLastPwdChange

ldap_user_krb_password_expiration (string)

هنگام استفاده از ldap_pwd_policy=mit_kerberos، این پارامتر حاوی نام مشخصهٔ LDAP است که تاریخ و زمان انقضای گذرواژهٔ فعلی را ذخیره می‌کند.

پیش‌فرض: krbPasswordExpiration

ldap_user_ad_account_expires (string)

هنگام استفاده از ldap_account_expire_policy=ad، این پارامتر حاوی نام مشخصهٔ LDAP است که زمان انقضای حساب کاربری را ذخیره می‌کند.

پیش‌فرض: accountExpires

ldap_user_ad_user_account_control (string)

هنگام استفاده از ldap_account_expire_policy=ad، این پارامتر حاوی نام مشخصهٔ LDAP است که فیلد بیتی کنترل حساب کاربری را ذخیره می‌کند.

پیش‌فرض: userAccountControl

ldap_ns_account_lock (string)

هنگام استفاده از ldap_account_expire_policy=rhds یا معادل آن، این پارامتر تعیین می‌کند که دسترسی مجاز است یا خیر.

پیش‌فرض: nsAccountLock

ldap_user_nds_login_disabled (string)

هنگام استفاده از ldap_account_expire_policy=nds، این مشخصه تعیین می‌کند که دسترسی مجاز است یا خیر.

پیش‌فرض: loginDisabled

ldap_user_nds_login_expiration_time (string)

هنگام استفاده از ldap_account_expire_policy=nds، این مشخصه تعیین می‌کند که دسترسی تا چه تاریخی مجاز است.

پیش‌فرض: loginDisabled

ldap_user_nds_login_allowed_time_map (string)

هنگام استفاده از ldap_account_expire_policy=nds، این مشخصه ساعات مجاز دسترسی در روزهای هفته را تعیین می‌کند.

پیش‌فرض: loginAllowedTimeMap

ldap_user_principal (string)

مشخصهٔ LDAP حاوی نام هویت کاربر در کربروس (Kerberos User Principal Name یا UPN).

پیش‌فرض: krbPrincipalName

ldap_user_extra_attrs (string)

فهرست جداشده با کاما از مشخصه‌های LDAP که SSSD همراه با مجموعهٔ معمول مشخصه‌های کاربر دریافت می‌کند.

این فهرست می‌تواند فقط شامل نام مشخصه‌های LDAP باشد، یا چندتایی‌های جداشده با دونقطه از نام مشخصهٔ حافظهٔ موقت (cache) در SSSD و نام مشخصهٔ LDAP باشد. در صورتی که فقط نام مشخصهٔ LDAP مشخص شود، مشخصه عیناً در حافظهٔ موقت ذخیره می‌شود. استفاده از نام سفارشی مشخصهٔ SSSD ممکن است در محیط‌هایی نیاز باشد که چندین دامنهٔ SSSD را با طرح‌واره‌های (schemas) متفاوت LDAP پیکربندی می‌کنند.

لطفاً توجه داشته باشید که چندین نام مشخصه توسط SSSD رزرو شده‌اند، به‌ویژه مشخصهٔ “name”. اگر هر یک از نام‌های رزروشده به عنوان نام مشخصهٔ اضافی استفاده شود، SSSD خطا گزارش خواهد داد.

مثال‌ها:

ldap_user_extra_attrs = telephoneNumber

ذخیرهٔ مشخصهٔ “telephoneNumber” از LDAP با عنوان “telephoneNumber” در حافظهٔ موقت.

ldap_user_extra_attrs = phone:telephoneNumber

ذخیرهٔ مشخصهٔ “telephoneNumber” از LDAP با عنوان “phone” در حافظهٔ موقت.

پیش‌فرض: تنظیم‌نشده

ldap_user_ssh_public_key (string)

مشخصهٔ LDAP حاوی کلیدهای عمومی SSH کاربر.

پیش‌فرض: sshPublicKey

ldap_user_fullname (string)

مشخصهٔ LDAP متناظر با نام کامل کاربر.

پیش‌فرض: cn

ldap_user_member_of (string)

مشخصهٔ LDAP که عضویت‌های گروهی کاربر را فهرست می‌کند.

پیش‌فرض: memberOf

ldap_user_authorized_service (string)

اگر access_provider=ldap و ldap_access_order=authorized_service باشد، SSSD از وجود مشخصهٔ authorizedService در مدخل LDAP کاربر برای تعیین امتیاز دسترسی استفاده خواهد کرد.

ابتدا یک رد صریح (!svc) بررسی می‌شود. در مرحلهٔ دوم، SSSD به دنبال اجازهٔ صریح (svc) و در نهایت به دنبال اجازه به همه (*) می‌گردد.

لطفاً توجه داشته باشید که گزینهٔ پیکربندی ldap_access_order باید شامل “authorized_service” باشد تا گزینهٔ ldap_user_authorized_service کار کند.

برخی از توزیع‌ها (مانند Fedora-29+ یا RHEL-8) همواره سرویس PAM با عنوان “systemd-user” را به عنوان بخشی از فرایند ورود به سیستم در بر دارند. بنابراین هنگام استفاده از کنترل دسترسی مبتنی بر سرویس، ممکن است نیاز باشد سرویس “systemd-user” به فهرست سرویس‌های مجاز افزوده شود.

پیش‌فرض: authorizedService

ldap_user_authorized_host (string)

اگر access_provider=ldap و ldap_access_order=host باشد، SSSD از وجود مشخصهٔ host در مدخل LDAP کاربر برای تعیین امتیاز دسترسی استفاده خواهد کرد.

ابتدا یک رد صریح (!host) بررسی می‌شود. در مرحلهٔ دوم، SSSD به دنبال اجازهٔ صریح (host) و در نهایت به دنبال اجازه به همه (*) می‌گردد.

لطفاً توجه داشته باشید که گزینهٔ پیکربندی ldap_access_order باید شامل “host” باشد تا گزینهٔ ldap_user_authorized_host کار کند.

پیش‌فرض: host

ldap_user_authorized_rhost (string)

اگر access_provider=ldap و ldap_access_order=rhost باشد، SSSD از وجود مشخصهٔ rhost در مدخل LDAP کاربر برای تعیین امتیاز دسترسی استفاده خواهد کرد؛ مشابه فرایند اعتبارسنجی میزبان.

ابتدا یک رد صریح (!rhost) بررسی می‌شود. در مرحلهٔ دوم، SSSD به دنبال اجازهٔ صریح (rhost) و در نهایت به دنبال اجازه به همه (*) می‌گردد.

لطفاً توجه داشته باشید که گزینهٔ پیکربندی ldap_access_order باید شامل “rhost” باشد تا گزینهٔ ldap_user_authorized_rhost کار کند.

پیش‌فرض: rhost

ldap_user_certificate (string)

نام مشخصهٔ LDAP حاوی گواهی X509 کاربر.

پیش‌فرض: userCertificate;binary

ldap_user_email (string)

نام مشخصهٔ LDAP حاوی نشانی رایانامهٔ کاربر.

نکته: اگر نشانی رایانامهٔ یک کاربر با نشانی رایانامه یا نام کاملاً مشخص کاربر دیگری تداخل داشته باشد، SSSD قادر نخواهد بود به درستی به آن کاربران سرویس‌دهی کند. این گزینه به کاربران امکان می‌دهد با (۱) نام کاربری و (۲) نشانی رایانامه وارد شوند. اگر به هر دلیلی چندین کاربر نیاز دارند از یک نشانی رایانامهٔ یکسان استفاده کنند، این گزینه را روی یک نام مشخصهٔ ناموجود تنظیم کنید تا جستجو/ورود کاربر از طریق رایانامه غیرفعال شود.

پیش‌فرض: mail

ldap_user_passkey (string)

نام مشخصهٔ LDAP حاوی داده‌های نگاشت کلید عبور (passkey mapping data) کاربر.

پیش‌فرض: passkey (در LDAP)، ipaPassKey (در IPA)، altSecurityIdentities (در AD)

ldap_group_object_class (string)

کلاس شیء (object class) یک مدخل گروه در LDAP.

پیش‌فرض: posixGroup

ldap_group_name (string)

مشخصهٔ LDAP متناظر با نام گروه. در محیطی با گروه‌های تو در تو، این مقدار باید یک مشخصهٔ LDAP باشد که نامی یکتا برای هر گروه دارد. این الزام شامل گروه‌های غیر POSIX در درخت گروه‌های تو در تو نیز می‌شود.

پیش‌فرض: cn (در rfc2307، rfc2307bis و IPA)، sAMAccountName (در AD)

ldap_group_gid_number (string)

مشخصهٔ LDAP متناظر با شناسهٔ (GID) گروه.

پیش‌فرض: gidNumber

ldap_group_member (string)

مشخصهٔ LDAP حاوی نام‌های اعضای گروه.

پیش‌فرض: memberuid (در rfc2307) / member (در rfc2307bis)

ldap_group_uuid (string)

مشخصهٔ LDAP حاوی UUID/GUID شیء گروه LDAP.

پیش‌فرض: در حالت کلی تنظیم‌نشده، objectGUID برای AD و ipaUniqueID برای IPA

ldap_group_objectsid (string)

مشخصهٔ LDAP حاوی objectSID شیء گروه LDAP. این مورد معمولاً فقط برای سرورهای Active Directory ضروری است.

پیش‌فرض: objectSid برای ActiveDirectory، برای سرورهای دیگر تنظیم‌نشده است.

ldap_group_modify_timestamp (string)

مشخصهٔ LDAP حاوی برچسب زمانی (timestamp) آخرین تغییر شیء والد (parent object).

پیش‌فرض: modifyTimestamp

ldap_group_type (string)

مشخصهٔ LDAP حاوی یک مقدار صحیح که نوع گروه و احتمالاً پرچم‌های دیگر را مشخص می‌کند.

این مشخصه در حال حاضر فقط توسط ارائه‌دهندهٔ AD برای تعیین اینکه آیا یک گروه از نوع گروه‌های محلی دامنه (domain local groups) است و باید برای دامنه‌های مورد اعتماد فیلتر شود یا خیر، استفاده می‌شود.

پیش‌فرض: groupType در ارائه‌دهندهٔ AD، در غیر این صورت تنظیم‌نشده

ldap_group_external_member (string)

مشخصهٔ LDAP که به اعضای گروه تعریف‌شده در یک دامنهٔ خارجی ارجاع می‌دهد. در حال حاضر، فقط اعضای خارجی IPA پشتیبانی می‌شوند.

پیش‌فرض: ipaExternalMember در ارائه‌دهندهٔ IPA، در غیر این صورت تنظیم‌نشده.

ldap_netgroup_object_class (string)

کلاس شیء (object class) یک مدخل گروه شبکه در LDAP.

در ارائه‌دهندهٔ IPA، باید به جای آن از ipa_netgroup_object_class استفاده شود.

پیش‌فرض: nisNetgroup

ldap_netgroup_name (string)

مشخصهٔ LDAP متناظر با نام گروه شبکه.

در ارائه‌دهندهٔ IPA، باید به جای آن از ipa_netgroup_name استفاده شود.

پیش‌فرض: cn

ldap_netgroup_member (string)

مشخصهٔ LDAP حاوی نام‌های اعضای گروه شبکه.

در ارائه‌دهندهٔ IPA، باید به جای آن از ipa_netgroup_member استفاده شود.

پیش‌فرض: memberNisNetgroup

ldap_netgroup_triple (string)

مشخصهٔ LDAP حاوی سه‌تایی‌های گروه شبکه (host, user, domain).

این گزینه در ارائه‌دهندهٔ IPA در دسترس نیست.

پیش‌فرض: nisNetgroupTriple

ldap_netgroup_modify_timestamp (string)

مشخصهٔ LDAP حاوی برچسب زمانی آخرین تغییر شیء والد.

این گزینه در ارائه‌دهندهٔ IPA در دسترس نیست.

پیش‌فرض: modifyTimestamp

ldap_host_object_class (string)

کلاس شیء (object class) یک مدخل میزبان در LDAP.

پیش‌فرض: ipService

ldap_host_name (string)

مشخصهٔ LDAP متناظر با نام میزبان.

پیش‌فرض: cn

ldap_host_fqdn (string)

مشخصهٔ LDAP متناظر با نام دامنهٔ کاملاً مشخص (FQDN) میزبان.

پیش‌فرض: fqdn

ldap_host_serverhostname (string)

مشخصهٔ LDAP متناظر با نام میزبان.

پیش‌فرض: serverHostname

ldap_host_member_of (string)

مشخصهٔ LDAP که عضویت‌های گروهی میزبان را فهرست می‌کند.

پیش‌فرض: memberOf

ldap_host_ssh_public_key (string)

مشخصهٔ LDAP حاوی کلیدهای عمومی SSH میزبان.

پیش‌فرض: sshPublicKey

ldap_host_uuid (string)

مشخصهٔ LDAP حاوی UUID/GUID شیء میزبان LDAP.

پیش‌فرض: تنظیم‌نشده

ldap_service_object_class (string)

کلاس شیء (object class) یک مدخل سرویس در LDAP.

پیش‌فرض: ipService

ldap_service_name (string)

مشخصهٔ LDAP حاوی نام مشخصه‌های سرویس و نام‌های مستعار آن‌ها.

پیش‌فرض: cn

ldap_service_port (string)

مشخصهٔ LDAP حاوی درگاه (port) مدیریت‌شده توسط این سرویس.

پیش‌فرض: ipServicePort

ldap_service_proto (string)

مشخصهٔ LDAP حاوی پروتکل‌های شناخته‌شده توسط این سرویس.

پیش‌فرض: ipServiceProtocol

ldap_sudorule_object_class (string)

کلاس شیء (object class) یک مدخل قانون sudo در LDAP.

پیش‌فرض: sudoRole

ldap_sudorule_name (string)

مشخصهٔ LDAP متناظر با نام قانون sudo.

پیش‌فرض: cn

ldap_sudorule_command (string)

مشخصهٔ LDAP متناظر با نام دستور.

پیش‌فرض: sudoCommand

ldap_sudorule_host (string)

مشخصهٔ LDAP متناظر با نام میزبان (یا نشانی IP میزبان، شبکهٔ IP میزبان یا گروه شبکهٔ میزبان)

پیش‌فرض: sudoHost

ldap_sudorule_user (string)

مشخصهٔ LDAP متناظر با نام کاربری (یا UID، نام گروه یا گروه شبکهٔ کاربر)

پیش‌فرض: sudoUser

ldap_sudorule_option (string)

مشخصهٔ LDAP متناظر با گزینه‌های sudo.

پیش‌فرض: sudoOption

ldap_sudorule_runasuser (string)

مشخصهٔ LDAP متناظر با نام کاربری که دستورات ممکن است با عنوان آن اجرا شوند.

پیش‌فرض: sudoRunAsUser

ldap_sudorule_runasgroup (string)

مشخصهٔ LDAP متناظر با نام گروه یا GID گروهی که دستورات ممکن است با عنوان آن اجرا شوند.

پیش‌فرض: sudoRunAsGroup

ldap_sudorule_notbefore (string)

مشخصهٔ LDAP متناظر با تاریخ/زمان شروع معتبر بودن قانون sudo.

پیش‌فرض: sudoNotBefore

ldap_sudorule_notafter (string)

مشخصهٔ LDAP متناظر با تاریخ/زمان انقضا که پس از آن قانون sudo دیگر معتبر نخواهد بود.

پیش‌فرض: sudoNotAfter

ldap_sudorule_order (string)

مشخصهٔ LDAP متناظر با شاخص ترتیب (ordering index) قانون.

پیش‌فرض: sudoOrder

ldap_autofs_map_object_class (string)

کلاس شیء (object class) یک مدخل نگاشت نصب خودکار (automount map) در LDAP.

پیش‌فرض: nisMap (در rfc2307، autofs_provider=ad)، در غیر این صورت automountMap

ldap_autofs_map_name (string)

نام یک مدخل نگاشت نصب خودکار در LDAP.

پیش‌فرض: nisMapName (در rfc2307، autofs_provider=ad)، در غیر این صورت automountMapName

ldap_autofs_entry_object_class (string)

کلاس شیء (object class) یک مدخل نصب خودکار (automount) در LDAP. این مدخل معمولاً متناظر با یک نقطهٔ اتصال (mount point) است.

پیش‌فرض: nisObject (در rfc2307، autofs_provider=ad)، در غیر این صورت automount

ldap_autofs_entry_key (string)

کلید یک مدخل نصب خودکار در LDAP. این مدخل معمولاً متناظر با یک نقطهٔ اتصال است.

پیش‌فرض: cn (در rfc2307، autofs_provider=ad)، در غیر این صورت automountKey

ldap_autofs_entry_value (string)

مقدار یک مدخل نصب خودکار در LDAP. این مدخل معمولاً متناظر با یک نقطهٔ اتصال است.

پیش‌فرض: nisMapEntry (در rfc2307، autofs_provider=ad)، در غیر این صورت automountInformation

ldap_iphost_object_class (string)

کلاس شیء (object class) یک مدخل iphost در LDAP.

پیش‌فرض: ipHost

ldap_iphost_name (string)

مشخصهٔ LDAP حاوی نام مشخصه‌های میزبان IP و نام‌های مستعار آن‌ها.

پیش‌فرض: cn

ldap_iphost_number (string)

مشخصهٔ LDAP حاوی نشانی IP میزبان.

پیش‌فرض: ipHostNumber

ldap_ipnetwork_object_class (string)

کلاس شیء (object class) یک مدخل ipnetwork در LDAP.

پیش‌فرض: ipNetwork

ldap_ipnetwork_name (string)

مشخصهٔ LDAP حاوی نام مشخصه‌های شبکهٔ IP و نام‌های مستعار آن‌ها.

پیش‌فرض: cn

ldap_ipnetwork_number (string)

مشخصهٔ LDAP حاوی نشانی شبکهٔ IP.

پیش‌فرض: ipNetworkNumber

ldap_subuid_object_class (string)

کلاس شیء (object class) یک مدخل subid در LDAP.

پیش‌فرض: subordinateIdEntry

ldap_subuid_count (string)

تعداد شناسه‌های کاربری فرعی (اندازهٔ بازه)

پیش‌فرض: subUidCount

ldap_subgid_count (string)

تعداد شناسه‌های گروهی فرعی (اندازهٔ بازه)

پیش‌فرض: subGidCount

ldap_subuid_number (string)

شناسهٔ عددی کاربری فرعی (مقدار شروع بازه)

پیش‌فرض: subUidNumber

ldap_subgid_number (string)

شناسهٔ عددی گروهی فرعی (مقدار شروع بازه)

پیش‌فرض: subGidNumber

ldap_subid_range_owner (string)

مالک یک مدخل

پیش‌فرض: subidRangeOwner

sssd(8), sssd.conf(5), sssd-ldap(5), sssd-ldap-attributes(5), sssd-krb5(5), sssd-simple(5), sssd-ipa(5), sssd-ad(5), sssd-idp(5), sssd-sudo(5), sssd-session-recording(5), sss_cache(8), sss_debuglevel(8), sss_obfuscate(8), sss_seed(8), sssd_krb5_locator_plugin(8), sss_ssh_authorizedkeys(1), sss_ssh_knownhosts(1), sssd-ifp(5), pam_sss(8). sss_rpcidmapd(5)

توسعه‌دهندگان بالادستی SSSD - https://github.com/SSSD/sssd/

06/09/2026 SSSD