.\" Automatically generated by Pod::Man 4.14 (Pod::Simple 3.40) .\" .\" Standard preamble: .\" ======================================================================== .de Sp \" Vertical space (when we can't use .PP) .if t .sp .5v .if n .sp .. .de Vb \" Begin verbatim text .ft CW .nf .ne \\$1 .. .de Ve \" End verbatim text .ft R .fi .. .\" Set up some character translations and predefined strings. \*(-- will .\" give an unbreakable dash, \*(PI will give pi, \*(L" will give a left .\" double quote, and \*(R" will give a right double quote. \*(C+ will .\" give a nicer C++. Capital omega is used to do unbreakable dashes and .\" therefore won't be available. \*(C` and \*(C' expand to `' in nroff, .\" nothing in troff, for use with C<>. .tr \(*W- .ds C+ C\v'-.1v'\h'-1p'\s-2+\h'-1p'+\s0\v'.1v'\h'-1p' .ie n \{\ . ds -- \(*W- . ds PI pi . if (\n(.H=4u)&(1m=24u) .ds -- \(*W\h'-12u'\(*W\h'-12u'-\" diablo 10 pitch . if (\n(.H=4u)&(1m=20u) .ds -- \(*W\h'-12u'\(*W\h'-8u'-\" diablo 12 pitch . ds L" "" . ds R" "" . ds C` "" . ds C' "" 'br\} .el\{\ . ds -- \|\(em\| . ds PI \(*p . ds L" `` . ds R" '' . ds C` . ds C' 'br\} .\" .\" Escape single quotes in literal strings from groff's Unicode transform. .ie \n(.g .ds Aq \(aq .el .ds Aq ' .\" .\" If the F register is >0, we'll generate index entries on stderr for .\" titles (.TH), headers (.SH), subsections (.SS), items (.Ip), and index .\" entries marked with X<> in POD. Of course, you'll have to process the .\" output yourself in some meaningful fashion. .\" .\" Avoid warning from groff about undefined register 'F'. .de IX .. .nr rF 0 .if \n(.g .if rF .nr rF 1 .if (\n(rF:(\n(.g==0)) \{\ . if \nF \{\ . de IX . tm Index:\\$1\t\\n%\t"\\$2" .. . if !\nF==2 \{\ . nr % 0 . nr F 2 . \} . \} .\} .rr rF .\" .\" Accent mark definitions (@(#)ms.acc 1.5 88/02/08 SMI; from UCB 4.2). .\" Fear. Run. Save yourself. No user-serviceable parts. . \" fudge factors for nroff and troff .if n \{\ . ds #H 0 . ds #V .8m . ds #F .3m . ds #[ \f1 . ds #] \fP .\} .if t \{\ . ds #H ((1u-(\\n(.fu%2u))*.13m) . ds #V .6m . ds #F 0 . ds #[ \& . ds #] \& .\} . \" simple accents for nroff and troff .if n \{\ . ds ' \& . ds ` \& . ds ^ \& . ds , \& . ds ~ ~ . ds / .\} .if t \{\ . ds ' \\k:\h'-(\\n(.wu*8/10-\*(#H)'\'\h"|\\n:u" . ds ` \\k:\h'-(\\n(.wu*8/10-\*(#H)'\`\h'|\\n:u' . ds ^ \\k:\h'-(\\n(.wu*10/11-\*(#H)'^\h'|\\n:u' . ds , \\k:\h'-(\\n(.wu*8/10)',\h'|\\n:u' . ds ~ \\k:\h'-(\n(.wu-\*(#H-.1m)'~\h'|\\n:u' . ds / \\k:\h'-(\\n(.wu*8/10-\*(#H)'\z\(sl\h'|\\n:u' .\} . \" troff and (daisy-wheel) nroff accents .ds : \\k:\h'-(\\n(.wu*8/10-\*(#H+.1m+\*(#F)'\v'-\*(#V'\z.\h'.2m+\*(#F'.\h'|\\n:u'\v'\*(#V' .ds 8 \h'\*(#H'\(*b\h'-\*(#H' .ds o \\k:\h'-(\\n(.wu+\w'\(de'u-\*(#H)/2u'\v'-.3n'\*(#[\z\(de\v'.3n'\h'|\\n:u'\*(#] .ds d- \h'\*(#H'\(pd\h'-\w'~'u'\v'-.25m'\f2\(hy\fP\v'.25m'\h'-\*(#H' .ds D- D\\k:\h'-\w'D'u'\v'-.11m'\z\(hy\v'.11m'\h'|\\n:u' .ds th \*(#[\v'.3m'\s+1I\s-1\v'-.3m'\h'-(\w'I'u*2/3)'\s-1o\s+1\*(#] .ds Th \*(#[\s+2I\s-2\h'-\w'I'u*3/5'\v'-.3m'o\v'.3m'\*(#] .ds ae a\h'-(\w'a'u*4/10)'e .ds Ae A\h'-(\w'A'u*4/10)'E . \" corrections for vroff .if v .ds ~ \\k:\h'-(\\n(.wu*9/10-\*(#H)'\s-2\u~\d\s+2\h'|\\n:u' .if v .ds ^ \\k:\h'-(\\n(.wu*10/11-\*(#H)'\v'-.4m'^\v'.4m'\h'|\\n:u' . \" for low resolution devices (crt and lpr) .if \n(.H>23 .if \n(.V>19 \ \{\ . ds : e . ds 8 ss . ds o a . ds d- d\h'-1'\(ga . ds D- D\h'-1'\(hy . ds th \o'bp' . ds Th \o'LP' . ds ae ae . ds Ae AE .\} .rm #[ #] #H #V #F C .\" ======================================================================== .\" .IX Title "PAM_KRB5 5" .TH PAM_KRB5 5 "2021-10-17" "4.11" "pam-krb5" .\" For nroff, turn off justification. Always turn off hyphenation; it makes .\" way too many mistakes in technical documents. .if n .ad l .nh .SH "نام (NAME)" pam_krb5 \- ماژول احراز هویت کربروس برای PAM .SH "خلاصه دستور (SYNOPSIS)" .IX Header "SYNOPSIS" .Vb 4 \& auth sufficient pam_krb5.so minimum_uid=1000 \& session required pam_krb5.so minimum_uid=1000 \& account required pam_krb5.so minimum_uid=1000 \& password sufficient pam_krb5.so minimum_uid=1000 .Ve .SH "توضیحات (DESCRIPTION)" .IX Header "DESCRIPTION" ماژول سرویس کربروس برای \s-1PAM،\s0 که معمولاً در مسیر \&\fI/lib/security/pam_krb5.so\fR نصب می‌شود، قابلیت‌هایی را برای چهار عملیات \s-1PAM\s0 فراهم می‌آورد: احراز هویت، مدیریت حساب، مدیریت نشست و مدیریت گذرواژه. فایل \fIpam_krb5.so\fR یک شیء اشتراکی است که در صورت نیاز بر اساس پیکربندی \s-1PAM\s0 سیستم به صورت پویا توسط زیرسیستم \s-1PAM\s0 بارگیری می‌شود. سامانه \s-1PAM\s0 ساختاری برای اتصال ماژول‌های خارجی احراز هویت و مدیریت نشست است تا هر برنامه مجبور نباشد بهترین راه بررسی احراز هویت کاربر یا ایجاد نشست کاربری را در آن سیستم بداند. برای جزئیات بیشتر در مورد نحوه پیکربندی \s-1PAM\s0 در سیستم خود، صفحه راهنمای \s-1PAM،\s0 اغلب \fBpam\fR\|(7) را ببینید. .PP اقدامات این ماژول هنگام فراخوانی از هر گروه به شرح زیر است: .IP "auth" 4 .IX Item "auth" پیاده‌سازی توابع \fBpam_authenticate()\fR و \fBpam_setcred()\fR را فراهم می‌کند. تابع اول نام کاربری را از نشست \s-1PAM\s0 دریافت می‌کند، گذرواژه کاربر را درخواست می‌نماید (مگر اینکه برای استفاده از گذرواژه واردشده قبلی پیکربندی شده باشد)، و سپس احراز هویت اولیه کربروس را انجام داده و در صورت موفقیت، اعتبارنامه‌های به‌دست‌آمده را در یک کَش بلیت موقت ذخیره می‌کند. تابع دوم، بسته به فلگ‌هایی که با آن فراخوانی شده است، یا محتویات کَش بلیت موقت را در یک کَش بلیت ماندگار متعلق به کاربر می‌نویسد یا از کَش بلیت موقت برای تازه‌سازی کَش بلیت موجود کاربر استفاده می‌کند. .Sp گذرواژه‌هایی با طول برابر یا بیشتر از \s-1PAM_MAX_RESP_SIZE\s0 بایت (معمولاً ۵۱۲ بایت) رد خواهند شد، زیرا گذرواژه‌های بیش از حد طولانی می‌توانند برای حمله منع سرویس (DoS) استفاده شوند. .Sp پس از انجام احراز هویت اولیه، ماژول \s-1PAM\s0 کربروس تلاش می‌کند تا بلیت‌هایی را برای یک کلید در جدول کلید (keytab) محلی سیستم دریافت کرده و سپس آن بلیت‌ها را اعتبارسنجی کند. تا زمانی که این مرحله انجام نشود، احراز هویت در برابر جعل \s-1KDC\s0 آسیب‌پذیر است، اما این کار مستلزم آن است که سیستم دارای کلید محلی باشد و ماژول \s-1PAM\s0 به عنوان کاربری اجرا شود که بتواند فایل keytab (معمولاً \fI/etc/krb5.keytab\fR) را بخواند. می‌توانید با گزینه \fIkeytab\fR ماژول \s-1PAM\s0 کربروس را به یک keytab دیگر هدایت کنید. اگر آن keytab قابل خواندن نباشد یا هیچ کلیدی در آن یافت نشود، رفتار پیش‌فرض (که بالقوه ناامن است) نادیده گرفتن این بررسی است. اگر می‌خواهید در صورت عدم امکان بررسی بلیت‌های به‌دست‌آمده، احراز هویت با شکست مواجه شود، \f(CW\*(C`verify_ap_req_nofail\*(C'\fR را در بخش [libdefaults] فایل \fI/etc/krb5.conf\fR روی true تنظیم کنید. توجه داشته باشید که این کار بر برنامه‌های دیگر غیر از این ماژول \s-1PAM\s0 نیز تأثیر می‌گذارد. .Sp به طور پیش‌فرض، هر زمان که کاربر احراز هویت شود، یک بررسی مجازشماری پایه نیز با استفاده از \fBkrb5_kuserok()\fR انجام می‌شود. رفتار پیش‌فرض این تابع بررسی حساب کاربر برای وجود فایل \fI.k5login\fR است و در صورت وجود، اطمینان حاصل می‌کند که پرینسیپال کاربر در آن فایل فهرست شده باشد. اگر \fI.k5login\fR وجود نداشته باشد، بررسی پیش‌فرض این است که اطمینان حاصل شود پرینسیپال کاربر در قلمرو محلی پیش‌فرض قرار دارد و بخش کاربری پرینسیپال با نام حساب مطابقت دارد (این را می‌توان با پیکربندی نگاشت سفارشی aname به localname در \fIkrb5.conf\fR تغییر داد؛ برای جزئیات به مستندات کربروس مراجعه کنید). این رفتار را می‌توان با چندین گزینه پیکربندی سفارشی کرد؛ به بخش‌های زیر مراجعه کنید. .Sp اگر نام کاربری ارائه‌شده به \s-1PAM\s0 شامل علامت \f(CW\*(C`@\*(C'\fR باشد و کربروس بتواند با در نظر گرفتن نام کاربری به عنوان یک پرینسیپال، آن را به یک نام حساب محلی نگاشت کند، \fBpam_authenticate()\fR کاربر \s-1PAM\s0 را به آن نام حساب محلی تغییر می‌دهد. این به کاربران اجازه می‌دهد با پرینسیپال کربروس خود وارد شوند و نگاشت به حساب را به کربروس بسپارند. این قابلیت را می‌توان با گزینه \fIno_update_user\fR غیرفعال کرد. با این حال توجه داشته باشید که این امکان را نمی‌توان با OpenSSH استفاده کرد. OpenSSH نام‌های کاربری را که قبل از انجام این بازنگاشت با حساب‌های محلی مطابقت ندارند رد می‌کند و یک گذرواژه نامعتبر را به ماژول \s-1PAM\s0 ارسال می‌نماید. همچنین آگاه باشید که چندین ماژول رایج دیگر \s-1PAM،\s0 مانند pam_securetty، انتظار دارند بتوانند کاربر را با \fBgetpwnam()\fR جستجو کنند و در صورت استفاده از این ویژگی، نمی‌توان آن‌ها را قبل از pam_krb5 فراخوانی کرد. .Sp هنگامی که \fBpam_setcred()\fR برای مقداردهی اولیه یک کَش بلیت جدید فراخوانی می‌شود، متغیر محیطی \s-1KRB5CCNAME\s0 روی مسیر آن کَش بلیت تنظیم می‌شود. به طور پیش‌فرض، نام کَش به صورت \fI/tmp/krb5cc_UID_RANDOM\fR خواهد بود که در آن \s-1UID\s0 شناسه عددی کاربر و \s-1RANDOM\s0 شش حرف تصادفی است. این مورد را می‌توان با گزینه‌های \fIccache\fR و \fIccache_dir\fR پیکربندی کرد. .Sp ماژول pam\-krb5 از مکان پیش‌فرض کَش بلیت یا \fIdefault_cc_name\fR در بخش \f(CW\*(C`[libdefaults]\*(C'\fR فایل \fIkrb5.conf\fR استفاده نمی‌کند. مکان پیش‌فرض کَش، یک کَش مشترک را برای تمام نشست‌های همان کاربر استفاده می‌کند که در هنگام خروج کاربر از یکی از چندین نشست، باعث رفتار گیج‌کننده می‌شود. .Sp اگر \fBpam_setcred()\fR یک کَش بلیت جدید را مقداردهی اولیه کند، آن کَش بلیت را طوری تنظیم می‌کند که با بسته شدن نشست \s-1PAM\s0 حذف شود. به طور معمول، برنامه فراخواننده (\fBlogin\fR، \fBsshd\fR و غیره) شل کاربر را به عنوان یک زیرپردازش اجرا می‌کند، منتظر خروج آن می‌ماند و سپس نشست \s-1PAM\s0 را می‌بندد و در نتیجه نشست کاربر را پاکسازی می‌نماید. .IP "session" 4 .IX Item "session" پیاده‌سازی \fBpam_open_session()\fR (که معادل فراخوانی \fBpam_setcred()\fR با فلگ \s-1PAM_ESTABLISH_CRED\s0 است) و \fBpam_close_session()\fR (که کَش بلیت ایجادشده توسط \fBpam_setcred()\fR را از بین می‌برد) را فراهم می‌کند. .IP "account" 4 .IX Item "account" پیاده‌سازی \fBpam_acct_mgmt()\fR را فراهم می‌کند. تمام کاری که انجام می‌دهد این است که همان بررسی مجازشماری را که توسط پیاده‌سازی \fBpam_authenticate()\fR شرح داده شده در بالا انجام می‌شود، تکرار کند. .IP "password" 4 .IX Item "password" پیاده‌سازی \fBpam_chauthtok()\fR را فراهم می‌کند که تغییر گذرواژه را اجرا می‌نماید. از کاربر گذرواژه فعلی‌اش درخواست می‌شود (مگر اینکه برای استفاده از گذرواژه از پیش واردشده پیکربندی شده باشد) و سپس ماژول \s-1PAM\s0 اعتبارنامه‌هایی را برای پرینسیپال ویژه کربروس \f(CW\*(C`kadmin/changepw\*(C'\fR دریافت می‌کند. سپس دو بار از کاربر گذرواژه جدید درخواست می‌کند تا اطمینان حاصل شود که کاربر آن را به درستی وارد کرده است (باز هم مگر اینکه برای استفاده از گذرواژه از پیش واردشده پیکربندی شده باشد)، و سپس تغییر گذرواژه کربروس را انجام می‌دهد. .Sp گذرواژه‌هایی با طول برابر یا بیشتر از \s-1PAM_MAX_RESP_SIZE\s0 بایت (معمولاً ۵۱۲ بایت) رد خواهند شد، زیرا گذرواژه‌های بیش از حد طولانی می‌توانند به عنوان حمله منع سرویس استفاده شوند. .Sp برخلاف ماژول گذرواژه عادی یونیکس، این ماژول در صورتی که کاربر گذرواژه قدیمی را بداند، به هر کاربری اجازه می‌دهد گذرواژه هر کاربر دیگری را تغییر دهد. همچنین برخلاف ماژول گذرواژه عادی یونیکس، از کاربر root همیشه گذرواژه قدیمی درخواست می‌شود، زیرا root وضعیت ویژه‌ای در کربروس ندارد. (برای تغییر گذرواژه‌ها در کربروس بدون دانستن گذرواژه قدیمی، به جای آن از \fBkadmin\fR\|(8) استفاده کنید.) .PP هر دو فراخوانی مدیریت حساب و نشست ماژول \s-1PAM\s0 کربروس، اگر در زمینه نشست \s-1PAM\s0 برای کاربری فراخوانی شوند که با کربروس احراز هویت نکرده است، \s-1PAM_IGNORE\s0 را برمی‌گردانند (کد بازگشتی \f(CW\*(C`ignore\*(C'\fR در زبان پیکربندی Linux \s-1PAM\s0). .PP توجه داشته باشید که این ماژول برای انجام احراز هویت کربروس فرض می‌کند شبکه در دسترس است. اگر شبکه در دسترس نباشد، زمان انتظار (timeout) برخی از کتابخانه‌های کربروس طولانی‌تر از زمان انتظار تحمیل‌شده توسط فرآیند ورود است. این بدان معناست که استفاده بی‌احتیاط از این ماژول می‌تواند ورود به کنسول را به عنوان root غیرممکن کند. به همین دلیل، همیشه باید از گزینه‌های \fIignore_root\fR یا \fIminimum_uid\fR استفاده کنید، و یک ماژول احراز هویت محلی مانند \fBpam_unix\fR را ابتدا با فیلد کنترلی \f(CW\*(C`sufficient\*(C'\fR فهرست نمایید تا در صورت موفقیت‌آمیز بودن احراز هویت محلی با گذرواژه، ماژول \s-1PAM\s0 کربروس نادیده گرفته شود. .PP این ماژول همان ماژول \s-1PAM\s0 کربروس موجود در Sourceforge یا ماژول ارائه‌شده در سیستم‌های Red Hat نیست. این ماژول از بسیاری از همان گزینه‌ها پشتیبانی می‌کند، برخی گزینه‌های اضافی دارد و از برخی گزینه‌هایی که آن ماژول‌ها پشتیبانی می‌کنند پشتیبانی نمی‌کند. .SH "پیکربندی (CONFIGURATION)" .IX Header "CONFIGURATION" ماژول \s-1PAM\s0 کربروس گزینه‌های متعددی می‌پذیرد که همه آن‌ها به هر گروه \s-1PAM\s0 مربوط نمی‌شوند؛ گزینه‌های نامربوط بدون اخطار نادیده گرفته خواهند شد. هر یک از این گزینه‌ها را می‌توان در پیکربندی \s-1PAM\s0 به عنوان آرگومان‌های فهرست‌شده پس از \f(CW\*(C`pam_krb5.so\*(C'\fR تنظیم کرد. برخی از گزینه‌ها را می‌توان در فایل \fIkrb5.conf\fR سیستم نیز تنظیم کرد؛ در صورت امکان، این موضوع در توضیحات آن گزینه در زیر ذکر شده است. .PP برای تنظیم یک گزینه بولی در فایل پیکربندی \s-1PAM،\s0 فقط نام گزینه را در آرگومان‌ها بیاورید. برای تنظیم گزینه‌ای که آرگومان می‌گیرد، پس از نام گزینه یک علامت مساوی (=) و مقدار آن را بدون هیچ فاصله خالی قرار دهید. فاصله خالی در آرگومان‌های گزینه‌ها در پیکربندی \s-1PAM\s0 پشتیبانی نمی‌شود. .PP برای تنظیم یک گزینه برای ماژول \s-1PAM\s0 در فایل \fIkrb5.conf\fR سیستم، آن گزینه را در بخش \f(CW\*(C`[appdefaults]\*(C'\fR قرار دهید. همه گزینه‌ها باید با علامت مساوی (=) و یک مقدار همراه باشند، بنابراین برای گزینه‌های بولی عبارت \f(CW\*(C`= true\*(C'\fR را اضافه کنید. ماژول \s-1PAM\s0 کربروس گزینه‌ها را در بالاترین سطح بخش \f(CW\*(C`[appdefaults]\*(C'\fR یا در زیربخشی به نام \f(CW\*(C`pam\*(C'\fR، در داخل یا خارج از بخشی برای قلمرو، جستجو می‌کند. برای نمونه، قطعه کد زیر از یک فایل \fIkrb5.conf\fR گزینه \fIforwardable\fR را روی true، گزینه \fIminimum_uid\fR را روی 1000، و \fIignore_k5login\fR را فقط در صورتی که قلمرو \s-1EXAMPLE.COM\s0 باشد تنظیم می‌کند. .PP .Vb 8 \& [appdefaults] \& forwardable = true \& pam = { \& minimum_uid = 1000 \& EXAMPLE.COM = { \& ignore_k5login = true \& } \& } .Ve .PP برای اطلاعات بیشتر درباره نحو نگارش \fIkrb5.conf\fR، به \fBkrb5.conf\fR\|(5) مراجعه کنید. توجه داشته باشید که گزینه‌های وابسته به قلمرو تنها بر اساس قلمرو پیش‌فرض تنظیم می‌شوند، خواه طبق پیکربندی در \fBkrb5.conf\fR\|(5) یا تنظیم‌شده توسط گزینه \fIrealm\fR که در زیر شرح داده شده است. اگر کاربر در حسابی که با قلمرو مشخص شده احراز هویت کند، آن قلمرو در تعیین گزینه‌های اعمالی استفاده نخواهد شد. .PP برای ماژول \s-1PAM\s0 تفاوتی ندارد که گزینه‌ها در سطح بالا یا در بخش \f(CW\*(C`pam\*(C'\fR مشخص شوند؛ بخش \f(CW\*(C`pam\*(C'\fR برای مواردی پشتیبانی می‌شود که گزینه‌هایی باید برای ماژول \s-1PAM\s0 تنظیم شوند اما برای سایر برنامه‌ها اعمال نگردند. .PP اگر یک گزینه هم در \fIkrb5.conf\fR و هم در پیکربندی \s-1PAM\s0 تنظیم شود، پیکربندی \s-1PAM\s0 تقدم دارد. اما توجه داشته باشید به دلیل نحو پیکربندی، راهی برای خاموش کردن یک گزینه بولی در پیکربندی \s-1PAM\s0 که در \fIkrb5.conf\fR روشن شده است وجود ندارد. .PP ابتدای توضیحات هر گزینه با نسخه‌ای از pam\-krb5 علامت‌گذاری شده که آن گزینه با معنای فعلی‌اش در آن اضافه شده است. .SS "مجازشماری (Authorization)" .IX Subsection "Authorization" .IP "alt_auth_map=" 4 .IX Item "alt_auth_map=" [3.12] عملکردی مشابه گزینه \fIsearch_k5login\fR دارد. آرگومان به عنوان پرینسیپال احراز هویت کربروس استفاده می‌شود، و هر \f(CW%s\fR در با نام کاربری جایگزین می‌گردد. اگر نام کاربری شامل علامت \f(CW\*(C`@\*(C'\fR باشد، تنها بخش قبل از قلمرو در نام کاربری برای جایگزینی \f(CW%s\fR به کار می‌رود. اگر شامل یک قلمرو باشد، همان استفاده خواهد شد؛ در غیر این صورت، قلمرو نام کاربری (در صورت وجود) به نتیجه الحاق می‌شود. هیچ‌گونه حذف علامت نقل‌قول صورت نمی‌گیرد. .Sp اگر این گزینه موجود باشد، رفتار پیش‌فرض این است که ابتدا این پرینسیپال جایگزین را امتحان کرده و در صورت شکست، به رفتار استاندارد بازگردد. کاربرد اصلی آن اجازه دادن به استفاده از پرینسیپال‌های جایگزین برای احراز هویت در برنامه‌هایی مانند \fBsudo\fR است. بیشتر نمونه‌ها شبیه این خواهند بود: .Sp .Vb 1 \& alt_auth_map=%s/root .Ve .Sp که تلاش می‌کند ابتدا با نمونه root نام کاربری احراز هویت کند و سپس به نام کاربری عادی بازگردد (اما \fIforce_alt_auth\fR و \fIonly_alt_auth\fR را ببینید). .Sp این گزینه همچنین راهی کم‌هزینه برای تلاش جهت احراز هویت در یک قلمرو جایگزین در ابتدا و سپس بازگشت به قلمرو اصلی را فراهم می‌کند. تنظیمی مانند: .Sp .Vb 1 \& alt_auth_map=%s@EXAMPLE.COM .Ve .Sp ابتدا تلاش برای احراز هویت را در قلمرو \s-1EXAMPLE.COM\s0 انجام می‌دهد و سپس به قلمرو پیش‌فرض محلی بازمی‌گردد. این روش راحت‌تر از اجرای چندباره ماژول با چندین قلمرو پیش‌فرض تنظیم‌شده با \fIrealm\fR است، اما بسیار محدود است: فقط دو قلمرو را می‌توان امتحان کرد و قلمرو جایگزین همیشه ابتدا امتحان می‌شود. .Sp این گزینه را می‌توان در \f(CW\*(C`[appdefaults]\*(C'\fR در \fIkrb5.conf\fR تنظیم کرد، هرچند معمولاً این کار منطقی نیست؛ معمولاً در گزینه‌های \s-1PAM\s0 پیکربندی برای برنامه‌های خاص استفاده می‌شود. این گزینه فقط برای گروه‌های auth و account کاربرد دارد. اگر این گزینه برای گروه auth تنظیم شده است، حتماً آن را برای گروه account نیز تنظیم کنید وگرنه مجازشماری حساب ممکن است با شکست مواجه شود. .IP "force_alt_auth" 4 .IX Item "force_alt_auth" [3.12] این گزینه به همراه \fIalt_auth_map\fR استفاده می‌شود و در صورتی که پرینسیپال نگاشت‌شده در \s-1KDC\s0 وجود داشته باشد، احراز هویت را با آن اجباری می‌کند. ماژول \s-1PAM\s0 کربروس تنها در صورتی که \s-1KDC\s0 وضعیت ناشناخته بودن پرینسیپال را برگرداند، به احراز هویت عادی بازمی‌گردد. این مورد می‌تواند برای اجبار احراز هویت با یک نمونه جایگزین استفاده شود. اگر \fIalt_auth_map\fR تنظیم نشده باشد، هیچ اثری ندارد. .Sp این گزینه را می‌توان در \f(CW\*(C`[appdefaults]\*(C'\fR در \fIkrb5.conf\fR تنظیم کرد و فقط برای گروه auth کاربرد دارد. .IP "ignore_k5login" 4 .IX Item "ignore_k5login" [2.0] هرگز به دنبال فایل \fI.k5login\fR در دایرکتوری خانگی کاربر نگرد. در عوض، فقط بررسی کن که پرینسیپال کربروس به نام حساب محلی نگاشت می‌شود. بررسی پیش‌فرض این است که اطمینان حاصل شود قلمرو با قلمرو محلی مطابقت دارد و بخش کاربری پرینسیپال با نام حساب محلی مطابقت دارد، اما این مورد را می‌توان با تنظیم نگاشت aname به localname در \fIkrb5.conf\fR سفارشی کرد. .Sp این گزینه را می‌توان در \f(CW\*(C`[appdefaults]\*(C'\fR در \fIkrb5.conf\fR تنظیم کرد و فقط برای گروه‌های auth و account کاربرد دارد. .IP "ignore_root" 4 .IX Item "ignore_root" [1.1] اگر نام کاربری \f(CW\*(C`root\*(C'\fR باشد هیچ کاری انجام نده. فراخوانی‌های احراز هویت و گذرواژه در سکوت شکست می‌خورند (که اجازه می‌دهد این وضعیت از طریق کنترل \f(CW\*(C`optional\*(C'\fR یا \f(CW\*(C`sufficient\*(C'\fR نادیده گرفته شود)، و فراخوانی‌های حساب و نشست (از جمله pam_setcred) مقدار \s-1PAM_IGNORE\s0 را برمی‌گردانند که به کتابخانه \s-1PAM\s0 می‌گوید طوری ادامه دهد که گویی در پیکربندی \s-1PAM\s0 نامی از آن‌ها برده نشده است. این گزینه پشتیبانی می‌شود و باقی خواهد ماند، اما معمولاً بهتر است به جای آن از \fIminimum_uid\fR استفاده کنید. .Sp این گزینه را می‌توان در \f(CW\*(C`[appdefaults]\*(C'\fR در \fIkrb5.conf\fR تنظیم کرد. .IP "minimum_uid=" 4 .IX Item "minimum_uid=" [2.0] اگر نام حساب احراز هویت‌شده با یک حساب محلی مطابقت داشته باشد و آن حساب محلی دارای \s-1UID\s0 کمتر از باشد، هیچ کاری انجام نده. اگر هر دوی این شرایط برقرار باشد، فراخوانی‌های احراز هویت و گذرواژه در سکوت شکست خواهند خورد (که اجازه می‌دهد این وضعیت با کنترل \f(CW\*(C`optional\*(C'\fR یا \f(CW\*(C`sufficient\*(C'\fR نادیده گرفته شود)، و فراخوانی‌های حساب و نشست (از جمله pam_setcred) مقدار \s-1PAM_IGNORE\s0 را برمی‌گردانند که به کتابخانه \s-1PAM\s0 می‌گوید طوری ادامه دهد که گویی در پیکربندی \s-1PAM\s0 نامی از آن‌ها برده نشده است. .Sp استفاده از این گزینه اگر نیازی به استفاده از کربروس برای احراز هویت ورودهای مبتنی بر گذرواژه به حساب root ندارید (که به دلیل نیاز کربروس به اتصال شبکه توصیه نمی‌شود) به شدت توصیه می‌گردد. این گزینه نوعی دفاع در عمق در برابر پرینسیپال‌های کاربری که تصادفاً با یک حساب سیستمی مطابقت دارند و ممکن است به نادرستی به عنوان آن حساب سیستمی احراز هویت شوند، فراهم می‌آورد. .Sp این گزینه را می‌توان در \f(CW\*(C`[appdefaults]\*(C'\fR در \fIkrb5.conf\fR تنظیم کرد. .IP "only_alt_auth" 4 .IX Item "only_alt_auth" [3.12] این گزینه به همراه \fIalt_auth_map\fR استفاده می‌شود و استفاده از پرینسیپال نگاشت‌شده را برای احراز هویت اجباری می‌کند. این گزینه بازگشت به احراز هویت عادی را در تمام موارد غیرفعال کرده و بر \fIsearch_k5login\fR و \fIforce_alt_auth\fR ارجحیت دارد. اگر \fIalt_auth_map\fR تنظیم نشده باشد، هیچ اثری ندارد و رفتار احراز هویت استاندارد استفاده می‌شود. .Sp این گزینه را می‌توان در \f(CW\*(C`[appdefaults]\*(C'\fR در \fIkrb5.conf\fR تنظیم کرد و فقط برای گروه auth کاربرد دارد. .IP "search_k5login" 4 .IX Item "search_k5login" [2.0] معمولاً پیاده‌سازی کربروس از pam_authenticate تلاش می‌کند تا بلیت‌هایی را برای نام کاربری در حال احراز هویت در قلمرو محلی دریافت کند. اگر این گزینه تنظیم شده باشد و کاربر محلی یک فایل \fI.k5login\fR در دایرکتوری خانگی خود داشته باشد، ماژول در عوض آن فایل \fI.k5login\fR را باز کرده و می‌خواند، و تلاش می‌کند تا با استفاده از گذرواژه ارائه‌شده به عنوان هر یک از پرینسیپال‌های فهرست‌شده در آن به نوبت احراز هویت کند. اگر هر یک از این احراز هویت‌ها موفقیت‌آمیز باشد، کاربر با موفقیت احراز هویت خواهد شد؛ در غیر این صورت، احراز هویت با شکست مواجه می‌شود. این گزینه برای اجازه دادن به احراز هویت با گذرواژه (از طریق کنسول یا \fBsshd\fR بدون پشتیبانی GSS-API) در حساب‌های اشتراکی مفید است. اگر فایل \fI.k5login\fR وجود نداشته باشد، رفتار مانند حالت عادی است. استفاده از این گزینه مستلزم آن است که فایل \fI.k5login\fR کاربر در زمان احراز هویت قابل خواندن باشد. .Sp این گزینه را می‌توان در \f(CW\*(C`[appdefaults]\*(C'\fR در \fIkrb5.conf\fR تنظیم کرد و فقط برای گروه auth کاربرد دارد. .SS "رفتار کربروس (Kerberos Behavior)" .IX Subsection "Kerberos Behavior" .IP "anon_fast" 4 .IX Item "anon_fast" [4.6] تلاش برای استفاده از تونل‌زنی امن احراز هویت انعطاف‌پذیر (\s-1FAST\s0) با احراز هویت اولیه به عنوان کاربر ناشناس (\s-1WELLKNOWN/ANONYMOUS\s0) و استفاده از اعتبارنامه‌های آن به عنوان زره \s-1FAST.\s0 این امر مستلزم فعال بودن \s-1PKINIT\s0 ناشناس برای قلمرو محلی، پیکربندی \s-1PKINIT\s0 روی سیستم محلی و پشتیبانی کتابخانه کربروس از \s-1FAST\s0 و \s-1PKINIT\s0 ناشناس است. .Sp مکانیزم \s-1FAST\s0 روشی برای محافظت از کربروس در برابر حملات حدس گذرواژه و ارائه سایر بهبودهای امنیتی است. برای کار کردن، \s-1FAST\s0 نیازمند دریافت بلیتی با یک کلید قوی است تا تبادلات با گذرواژه‌های کاربر را که بالقوه ضعیف‌تر هستند محافظت کند. این گزینه از احراز هویت ناشناس برای به‌دست آوردن آن کلید استفاده کرده و سپس از آن برای محافظت از احراز هویت بعدی بهره می‌برد. .Sp اگر \s-1PKINIT\s0 ناشناس در دسترس نباشد یا با شکست مواجه شود، \s-1FAST\s0 استفاده نخواهد شد و احراز هویت به صورت عادی ادامه می‌یابد. .Sp برای استفاده از یک کَش بلیت موجود برای اعتبارنامه‌های \s-1FAST،\s0 به جای این گزینه از \fIfast_ccache\fR استفاده کنید. اگر هر دوی \fIfast_ccache\fR و \fIanon_fast\fR تنظیم شده باشند، ابتدا کَش بلیت مشخص‌شده توسط \fIfast_ccache\fR امتحان می‌شود، و در صورتی که آن کَش قابل استفاده نباشد، ماژول \s-1PAM\s0 کربروس به تلاش برای \s-1PKINIT\s0 ناشناس بازمی‌گردد. .Sp این گزینه را می‌توان در \f(CW\*(C`[appdefaults]\*(C'\fR در \fIkrb5.conf\fR تنظیم کرد و فقط برای گروه‌های auth و password کاربرد دارد. .Sp عملکرد مانند استفاده از گزینه \fIfast_ccache\fR است، اما کَش به صورت خودکار ایجاد و تخریب می‌شود. اگر هر دو گزینه \fIfast_ccache\fR و \fIanon_fast\fR استفاده شوند، \fIfast_ccache\fR اولویت دارد و هیچ احراز هویت ناشناسی انجام نمی‌شود. .IP "fast_ccache=" 4 .IX Item "fast_ccache=" [4.3] مانند \fIanon_fast\fR، اما از یک کَش بلیت کربروس موجود به جای \s-1PKINIT\s0 ناشناس استفاده می‌کند. این امکان استفاده از \s-1FAST\s0 را با قلمرویی که از \s-1PKINIT\s0 یا احراز هویت ناشناس پشتیبانی نمی‌کند فراهم می‌سازد. .Sp آرگومان باید کَش اعتبارنامه‌ای حاوی بلیتی باشد که با استفاده از یک کلید قوی به‌دست آمده است، مانند کلید تصادفی برای پرینسیپال میزبان سیستم محلی. اگر به کَش بلیتی اشاره کند که توسط فرآیند احراز هویت‌کننده قابل خواندن است و بلیت دارد، آنگاه \s-1FAST\s0 امتحان خواهد شد. ساده‌ترین راه برای استفاده از این گزینه استفاده از برنامه‌ای مانند \fBk5start\fR برای نگهداری کَش بلیت با استفاده از keytab میزبان است. این کَش بلیت معمولاً فقط باید توسط root قابل خواندن باشد، بنابراین این گزینه قادر به محافظت از احراز هویت‌هایی که به عنوان کاربران غیر root انجام می‌شوند (مانند محافظ‌های صفحه نمایش) نخواهد بود. .Sp اگر هیچ اعتبارنامه‌ای در کَش بلیت موجود نباشد، یا اگر کَش بلیت وجود نداشته باشد یا قابل خواندن نباشد، \s-1FAST\s0 استفاده نخواهد شد و احراز هویت به صورت عادی ادامه می‌یابد. با این حال، اگر اعتبارنامه‌های موجود در آن کَش بلیت منقضی شده باشند و \s-1KDC\s0 از \s-1FAST\s0 پشتیبانی کند، احراز هویت شکست خواهد خورد. .Sp برای استفاده از \s-1PKINIT\s0 ناشناس جهت محافظت از تبادل \s-1FAST،\s0 به جای آن از گزینه \fIanon_fast\fR استفاده کنید. پیکربندی \fIanon_fast\fR آسان‌تر است زیرا به کَش بلیت موجود نیازی ندارد، اما مستلزم در دسترس بودن و پیکربندی \s-1PKINIT\s0 و پشتیبانی قلمرو محلی از احراز هویت ناشناس است. اگر هر دوی \fIfast_ccache\fR و \fIanon_fast\fR تنظیم شده باشند، ابتدا کَش بلیت مشخص‌شده توسط \fIfast_ccache\fR امتحان می‌شود، و اگر آن کَش قابل استفاده نباشد، ماژول \s-1PAM\s0 کربروس به تلاش برای \s-1PKINIT\s0 ناشناس بازمی‌گردد. .Sp این گزینه را می‌توان در \f(CW\*(C`[appdefaults]\*(C'\fR در \fIkrb5.conf\fR تنظیم کرد و فقط برای گروه‌های auth و password کاربرد دارد. .IP "forwardable" 4 .IX Item "forwardable" [1.0] دریافت بلیت‌های قابل هدایت (forwardable). در صورت تنظیم (روی true یا false، اگرچه در \fIkrb5.conf\fR فقط می‌توان آن را روی false تنظیم کرد)، این گزینه پیش‌فرض کتابخانه کربروس تنظیم‌شده در بخش [libdefaults] فایل \fIkrb5.conf\fR را بازنویسی می‌کند. .Sp این گزینه را می‌توان در \f(CW\*(C`[appdefaults]\*(C'\fR در \fIkrb5.conf\fR تنظیم کرد و فقط برای گروه auth کاربرد دارد. .IP "keytab=" 4 .IX Item "keytab=" [3.0] فایل keytab مورد استفاده هنگام اعتبارسنجی اعتبارنامه‌های کاربر را مشخص می‌کند. پیش‌فرض، keytab پیش‌فرض سیستم است (معمولاً \fI/etc/krb5.keytab\fR)، که معمولاً فقط توسط root قابل خواندن است. برنامه‌هایی که به عنوان root اجرا نمی‌شوند و از این ماژول \s-1PAM\s0 برای احراز هویت استفاده می‌کنند، ممکن است مایل باشند آن را به keytab دیگری که برنامه می‌تواند بخواند هدایت کنند. اولین پرینسیپال یافت‌شده در keytab به عنوان پرینسیپال برای اعتبارسنجی اعتبارنامه استفاده خواهد شد. .Sp این گزینه را می‌توان در \f(CW\*(C`[appdefaults]\*(C'\fR در \fIkrb5.conf\fR تنظیم کرد و فقط برای گروه auth کاربرد دارد. .IP "realm=" 4 .IX Item "realm=" [2.2] تنظیم قلمرو پیش‌فرض کربروس و دریافت اعتبارنامه‌ها در آن قلمرو، به جای قلمرو پیش‌فرض عادی این سیستم. در صورت استفاده از این گزینه، برای نتایج یکدست باید برای تمام گروه‌های مورد استفاده تنظیم شود. این تنظیم بر تصمیمات مجازشماری تأثیر می‌گذارد زیرا قلمرو پیش‌فرض را تغییر می‌دهد. این تنظیم همچنین پرینسیپال سرویس مورد استفاده برای اعتبارسنجی اعتبارنامه‌های به‌دست‌آمده را تغییر می‌دهد تا در قلمرو مشخص‌شده باشد. .Sp اگر فقط می‌خواهید قلمرو فرضی برای پرینسیپال‌های کاربر را بدون تغییر قلمرو برای تصمیمات مجازشماری یا پرینسیپال سرویس مورد استفاده برای اعتبارسنجی اعتبارنامه‌ها تنظیم کنید، گزینه \fIuser_realm\fR را ببینید. .IP "renew_lifetime=" 4 .IX Item "renew_lifetime=" [2.0] دریافت بلیت‌های قابل تمدید با حداکثر طول عمر تمدید . مقدار باید یک رشته طول عمر کربروس مانند \f(CW\*(C`2d4h10m\*(C'\fR یا زمانی بر حسب دقیقه باشد. در صورت تنظیم، این گزینه مقدار پیش‌فرض کتابخانه کربروس تنظیم‌شده در بخش [libdefaults] فایل \fIkrb5.conf\fR را بازنویسی می‌کند. .Sp این گزینه را می‌توان در \f(CW\*(C`[appdefaults]\*(C'\fR در \fIkrb5.conf\fR تنظیم کرد و فقط برای گروه auth کاربرد دارد. .IP "ticket_lifetime=" 4 .IX Item "ticket_lifetime=" [3.0] دریافت بلیت‌ها با حداکثر طول عمر . مقدار باید یک رشته طول عمر کربروس مانند \f(CW\*(C`2d4h10m\*(C'\fR یا زمانی بر حسب دقیقه باشد. در صورت تنظیم، این گزینه پیش‌فرض کتابخانه کربروس تنظیم‌شده در بخش [libdefaults] فایل \fIkrb5.conf\fR را بازنویسی می‌کند. .Sp این گزینه را می‌توان در \f(CW\*(C`[appdefaults]\*(C'\fR در \fIkrb5.conf\fR تنظیم کرد و فقط برای گروه auth کاربرد دارد. .IP "user_realm" 4 .IX Item "user_realm" [4.6] دریافت اعتبارنامه‌ها در قلمرو مشخص‌شده به جای قلمرو پیش‌فرض این سیستم. اگر این گزینه استفاده شود، برای نتایج یکدست باید برای تمام گروه‌های مورد استفاده تنظیم گردد (اگرچه گروه account در حال حاضر به قلمرو اهمیتی نمی‌دهد). این کار تصمیمات مجازشماری را تغییر نمی‌دهد. اگر قرار است اعتبارنامه‌های به‌دست‌آمده اجازه دسترسی به یک حساب پوسته را بدهند، کاربر به یک مدخل مناسب در فایل \fI.k5login\fR نیاز خواهد داشت یا سیستم باید نگاشت سفارشی aname_to_localname داشته باشد. .SS "رفتار \s-1PAM\s0 (PAM Behavior)" .IX Subsection "PAM Behavior" .IP "clear_on_fail" 4 .IX Item "clear_on_fail" [3.9] هنگام تغییر گذرواژه‌ها، \s-1PAM\s0 ابتدا یک بررسی مقدماتی در کل پشته گذرواژه انجام می‌دهد و سپس هر ماژول را دوباره برای انجام تغییر گذرواژه فراخوانی می‌کند. پس از آن بررسی مقدماتی، ترتیب فراخوانی ماژول‌ها ثابت است. این بدان معناست که حتی اگر تغییر گذرواژه کربروس شکست بخورد (یا اگر یکی از تغییرهای گذرواژه دیگر در پشته شکست بخورد)، سایر ماژول‌های گذرواژه \s-1PAM\s0 در پشته همچنان فراخوانی خواهند شد حتی اگر ماژول شکست‌خورده required یا requisite علامت‌گذاری شده باشد. هنگام استفاده از چندین ماژول گذرواژه \s-1PAM\s0 برای همگام‌سازی گذرواژه‌ها بین چندین سیستم در زمان تغییر، این رفتار می‌تواند باعث تفاوت‌های ناخواسته بین محیط‌ها شود. .Sp تنظیم این گزینه راهکاری برای دور زدن این رفتار فراهم می‌کند. اگر این گزینه تنظیم شده باشد و تغییر گذرواژه کربروس تلاش شود و شکست بخورد (برای نمونه به دلیل خطاهای شبکه یا بررسی استحکام گذرواژه در \s-1KDC\s0)، این ماژول گذرواژه ذخیره‌شده در پشته \s-1PAM\s0 را پاک می‌کند. این کار هر ماژول بعدی را که گزینه \fIuse_authtok\fR برای آن تنظیم شده باشد مجبور به شکست می‌کند تا آن محیط‌ها از همگامی با گذرواژه در کربروس خارج نشوند. ماژول \s-1PAM\s0 کربروس اگر کاربر را به دلیل پیکربندی مانند minimum_uid رد کند، در گذرواژه ذخیره‌شده دستکاری نخواهد کرد. .Sp متأسفانه تنظیم این گزینه با سایر پیکربندی‌های مطلوب \s-1PAM\s0 تداخل ایجاد می‌کند، مانند تلاش برای تغییر گذرواژه در کربروس در ابتدا و بازگشت به پایگاه‌داده محلی گذرواژه یونیکس در صورت شکست. بنابراین به صورت پیش‌فرض فعال نیست. هنگام همگام‌سازی گذرواژه‌ها بین چندین محیط، آن را روشن کنید (و در صورت استفاده از pam_cracklib، ماژول pam_krb5 را بلافاصله پس از آن قرار دهید). .Sp این گزینه را می‌توان در \f(CW\*(C`[appdefaults]\*(C'\fR در \fIkrb5.conf\fR تنظیم کرد و فقط برای گروه password کاربرد دارد. .IP "debug" 4 .IX Item "debug" [1.0] ثبت اطلاعات ردیابی و اشکال‌زدایی پرجزئیات‌تر در syslog با اولویت \s-1LOG_DEBUG،\s0 شامل ورود به هر یک از رابط‌های خارجی \s-1PAM\s0 و خروج از آن‌ها (به جز pam_close_session). .Sp این گزینه را می‌توان در \f(CW\*(C`[appdefaults]\*(C'\fR در \fIkrb5.conf\fR تنظیم کرد. .IP "defer_pwchange" 4 .IX Item "defer_pwchange" [3.11] به طور پیش‌فرض، pam\-krb5 مدیریت اعلان برای تغییر گذرواژه در صورت انقضای گذرواژه یک حساب در طول گروه auth را به کتابخانه کربروس واگذار می‌کند. اگر این کار شکست بخورد، \fBpam_authenticate()\fR یک خطا برمی‌گرداند. .Sp طبق استاندارد \s-1PAM،\s0 این روش درستی برای مدیریت گذرواژه‌های منقضی‌شده نیست. در عوض، \fBpam_authenticate()\fR باید بدون تلاش برای تغییر گذرواژه موفقیت را برگرداند، و سپس \fBpam_acct_mgmt()\fR باید \s-1PAM_NEW_AUTHTOK_REQD\s0 را برگرداند، که در آن نقطه برنامه فراخواننده مسئول رد کردن احراز هویت یا فراخوانی \fBpam_chauthtok()\fR است. با این حال، پیروی از استاندارد مستلزم آن است که همه برنامه‌ها \fBpam_acct_mgmt()\fR را فراخوانی کرده و وضعیت بازگشتی آن را بررسی کنند؛ در غیر این صورت، حساب‌های منقضی‌شده ممکن است بتوانند با موفقیت احراز هویت شوند. بسیاری از برنامه‌ها این کار را انجام نمی‌دهند. .Sp اگر این گزینه تنظیم شود، pam\-krb5 به جای شکست در \fBpam_authenticate()\fR از مکانیزم کاملاً استاندارد \s-1PAM\s0 برای مدیریت حساب‌های منقضی‌شده استفاده می‌کند. با توجه به خطرات امنیتی برنامه‌های معیوب و فراگیر، در فعال کردن این گزینه بسیار محتاط باشید. معمولاً فقط باید برای حل یک مشکل خاص (مانند استفاده از کتابخانه‌های کربروس Solaris که از درخواست تغییر گذرواژه در طول احراز هویت پشتیبانی نمی‌کنند) و فقط برای برنامه‌های خاصی که مشخص است \fBpam_acct_mgmt()\fR را فراخوانی و وضعیت بازگشتی آن را به درستی بررسی می‌کنند، روشن شود. .Sp این گزینه تنها زمانی پشتیبانی می‌شود که pam\-krb5 با \s-1MIT\s0 Kerberos کامپایل شده باشد. اگر در برابر Heimdal کامپایل شده باشد، این گزینه هیچ کاری انجام نمی‌دهد و مدیریت عادی تغییر گذرواژه منقضی‌شده همچنان رخ می‌دهد. (Heimdal فاقد \s-1API\s0 لازم برای پیاده‌سازی این گزینه است، حداقل تا نسخه 1.6). .Sp این گزینه را می‌توان در \f(CW\*(C`[appdefaults]\*(C'\fR در \fIkrb5.conf\fR تنظیم کرد و فقط برای گروه auth کاربرد دارد. .IP "fail_pwchange" 4 .IX Item "fail_pwchange" [4.2] به طور پیش‌فرض، pam\-krb5 مدیریت اعلان تغییر گذرواژه را در صورت انقضای گذرواژه یک حساب در گروه auth به کتابخانه کربروس واگذار می‌کند. اگر این گزینه تنظیم شود، با گذرواژه‌های منقضی‌شده به عنوان یک شکست احراز هویت مشابه با گذرواژه نادرست رفتار می‌شود. همچنین \fIdefer_pwchange\fR و \fIforce_pwchange\fR را ببینید. .Sp این گزینه را می‌توان در \f(CW\*(C`[appdefaults]\*(C'\fR در \fIkrb5.conf\fR تنظیم کرد و فقط برای گروه auth کاربرد دارد. .IP "force_pwchange" 4 .IX Item "force_pwchange" [3.11] اگر این گزینه تنظیم شده باشد و احراز هویت با خطای کربروس مبنی بر منقضی شدن گذرواژه کاربر شکست بخورد، بلافاصله در طول مرحله authenticate برای تغییر گذرواژه آن‌ها تلاش می‌شود. در شرایط عادی، این کار غیرضروری است. بیشتر کتابخانه‌های کربروس این کار را برای شما انجام می‌دهند، و تنظیم این گزینه باعث می‌شود در صورت شکست اولین تلاش (انجام‌شده توسط کتابخانه کربروس)، دو بار از کاربر برای تغییر گذرواژه‌اش درخواست شود. با این حال، برخی از کتابخانه‌های کربروس سیستمی (مانند Solaris) درخواست تغییر گذرواژه در کتابخانه کربروس را غیرفعال کرده‌اند؛ در این سیستم‌ها، می‌توانید این گزینه را برای شبیه‌سازی رفتار عادی کتابخانه تنظیم کنید. .Sp این گزینه را می‌توان در \f(CW\*(C`[appdefaults]\*(C'\fR در \fIkrb5.conf\fR تنظیم کرد و فقط برای گروه auth کاربرد دارد. .IP "no_update_user" 4 .IX Item "no_update_user" [4.7] به طور معمول، اگر pam\-krb5 بتواند پرینسیپال را با استفاده از فراخوانی‌های \fBkrb5_aname_to_localname()\fR یا مشابه‌های آن به یک نام محلی تبدیل کند، متغیر \s-1PAM_USER\s0 را برای این نشست \s-1PAM\s0 به نام محلی استاندارد تغییر می‌دهد. تنظیم این گزینه این رفتار را غیرفعال کرده و \s-1PAM_USER\s0 را روی هویت احراز هویت اولیه رها می‌کند. .Sp این گزینه را می‌توان در \f(CW\*(C`[appdefaults]\*(C'\fR در \fIkrb5.conf\fR تنظیم کرد و فقط برای گروه auth کاربرد دارد. .IP "silent" 4 .IX Item "silent" [1.0] پیام‌ها و خطاهای کربروس، مانند هشدارهای انقضای گذرواژه را از طریق اعلان‌گر به کاربر نشان نده. این معادل رفتاری است که برنامه \s-1PAM_SILENT\s0 را ارسال می‌کند، اما می‌تواند در پیکربندی \s-1PAM\s0 تنظیم شود. .Sp این گزینه فقط برای گروه‌های auth و password کاربرد دارد. .IP "trace=" 4 .IX Item "trace=" [4.6] در صورت پشتیبانی توسط کتابخانه کربروس، ثبت ردیابی کتابخانه کربروس را در فایل لاگ مشخص‌شده فعال می‌کند. این قابلیت برای اشکال‌زدایی موقت در نظر گرفته شده است. داده‌ها بدون بررسی‌های امنیتی بیشتر به فایل مشخص‌شده الحاق می‌شوند، بنابراین فایلی را در یک دایرکتوری با قابلیت نوشتن همگانی مشخص نکنید. .SS "\s-1PKINIT\s0" .IX Subsection "PKINIT" .IP "pkinit_anchors=" 4 .IX Item "pkinit_anchors=" [3.0] هنگام انجام احراز هویت \s-1PKINIT،\s0 از به عنوان لنگرهای اعتماد کارخواه (trust anchors) استفاده کن. این مقدار معمولاً ارجاعی به یک فایل حاوی مراجع صدور گواهی (CA) معتمد است. این گزینه تنها در صورتی استفاده می‌شود که \fItry_pkinit\fR یا \fIuse_pkinit\fR تنظیم شده باشند. .Sp این گزینه را می‌توان در \f(CW\*(C`[appdefaults]\*(C'\fR در \fIkrb5.conf\fR تنظیم کرد و فقط برای گروه‌های auth و password کاربرد دارد. .IP "pkinit_prompt" 4 .IX Item "pkinit_prompt" [3.0] قبل از تلاش برای احراز هویت \s-1PKINIT،\s0 از کاربر بخواهید کارت هوشمند را وارد کند. ممکن است بخواهید این گزینه را برای برنامه‌هایی مانند \fBgnome-screensaver\fR تنظیم کنید که به محض حرکت ماوس \s-1PAM\s0 را فراخوانی می‌کنند و به کاربر فرصتی برای وارد کردن ابتدا کارت هوشمند نمی‌دهند. هرگونه اطلاعات واردشده در اولین اعلان نادیده گرفته می‌شود. اگر \fItry_pkinit\fR تنظیم شده باشد، کاربری که مایل است به جای آن از گذرواژه استفاده کند می‌تواند به سادگی کلید Enter را فشار دهد و سپس گذرواژه خود را به صورت عادی وارد نماید. این گزینه تنها در صورتی استفاده می‌شود که \fItry_pkinit\fR یا \fIuse_pkinit\fR تنظیم شده باشند. .Sp این گزینه را می‌توان در \f(CW\*(C`[appdefaults]\*(C'\fR در \fIkrb5.conf\fR تنظیم کرد و فقط برای گروه‌های auth و password کاربرد دارد. .IP "pkinit_user=" 4 .IX Item "pkinit_user=" [3.0] هنگام انجام احراز هویت \s-1PKINIT،\s0 از به عنوان شناسه کاربر (\s-1ID\s0) استفاده کن. مقدار این رشته بسیار به نوع پیاده‌سازی \s-1PKINIT\s0 مورد استفاده شما بستگی دارد، اما عموماً چیزی شبیه به این خواهد بود: .Sp .Vb 1 \& PKCS11:/usr/lib/pkcs11/lib/soft\-pkcs11.so .Ve .Sp تا ماژول مورد استفاده با کارت هوشمند را مشخص کند. همچنین ممکن است به یک گواهی کاربر یا انواع دیگر شناسه‌های کاربری اشاره داشته باشد. برای جزئیات بیشتر به مستندات کتابخانه کربروس مراجعه کنید. این گزینه تنها در صورتی استفاده می‌شود که \fItry_pkinit\fR یا \fIuse_pkinit\fR تنظیم شده باشند. .Sp این گزینه را می‌توان در \f(CW\*(C`[appdefaults]\*(C'\fR در \fIkrb5.conf\fR تنظیم کرد و فقط برای گروه‌های auth و password کاربرد دارد. .IP "preauth_opt=