'\" t
.\"     Title: pam_sss_gss
.\"    Author: The SSSD upstream - https://github.com/SSSD/sssd/
.\" Generator: DocBook XSL Stylesheets vsnapshot <http://docbook.sf.net>
.\"      Date: 06/09/2026
.\"    Manual: SSSD Manual pages
.\"    Source: SSSD
.\"  Language: English
.\"
.TH "PAM_SSS_GSS" "8" "06/09/2026" "SSSD" "SSSD Manual pages"
.\" -----------------------------------------------------------------
.\" * Define some portability stuff
.\" -----------------------------------------------------------------
.\" ~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~
.\" http://bugs.debian.org/507673
.\" http://lists.gnu.org/archive/html/groff/2009-02/msg00013.html
.\" ~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~
.ie \n(.g .ds Aq \(aq
.el       .ds Aq '
.\" -----------------------------------------------------------------
.\" * set default formatting
.\" -----------------------------------------------------------------
.\" disable hyphenation
.nh
.\" disable justification (adjust text to left margin only)
.ad l
.\" -----------------------------------------------------------------
.\" * MAIN CONTENT STARTS HERE *
.\" -----------------------------------------------------------------
.SH "نام (NAME)"
pam_sss_gss \- ماژول PAM برای احراز هویت GSSAPI در SSSD
.SH "خلاصه دستور (SYNOPSIS)"
.HP \w'\fBpam_sss_gss\&.so\fR\ 'u
\fBpam_sss_gss\&.so\fR [\fIdebug\fR]
.SH "توضیحات (DESCRIPTION)"
.PP
ماژول
\fBpam_sss_gss\&.so\fR
کاربر را از طریق GSSAPI و با همکاری SSSD احراز هویت می‌کند\&.
.PP
این ماژول تلاش خواهد کرد تا با استفاده از نام سرویس مبتنی بر میزبان GSSAPI به صورت host@hostname کاربر را احراز هویت کند که به پرینسیپال کربروس host/hostname@REALM ترجمه می‌شود\&. بخش
\fIREALM\fR
از نام پرینسیپال کربروس توسط سازوکارهای داخلی کربروس مشتق می‌شود و می‌تواند صراحتاً در پیکربندی بخش [domain_realm] در /etc/krb5\&.conf تنظیم شود\&.
.PP
از SSSD برای ارائه نام سرویس دلخواه و اعتبارسنجی مدارک هویتی کاربر با استفاده از فراخوانی‌های GSSAPI استفاده می‌شود\&. اگر بلیت سرویس از قبل در حافظه موقت مدارک کربروس موجود باشد یا اگر بتوان از بلیت اعطای بلیت (TGT) کاربر برای دریافت بلیت سرویس صحیح استفاده کرد، کاربر احراز هویت خواهد شد\&.
.PP
اگر
\fBpam_gssapi_check_upn\fR
روی True (پیش‌فرض) تنظیم شده باشد، SSSD ملزم می‌سازد که مدارک هویتی استفاده‌شده برای دریافت بلیت‌های سرویس بتوانند با کاربر مرتبط شوند\&. این بدان معناست که پرینسیپالِ مالک مدارک کربروس باید با نام پرینسیپال کاربر (UPN) تعریف‌شده در LDAP مطابقت داشته باشد\&.
.PP
برای فعال‌سازی احراز هویت GSSAPI در SSSD، گزینه
\fBpam_gssapi_services\fR
را در بخش [pam] یا بخش دامنه در sssd\&.conf تنظیم کنید\&. مدارک سرویس باید در keytab متعلق به SSSD ذخیره شوند (اگر از ارائه‌دهنده ipa یا ad استفاده می‌کنید از قبل موجود است)\&. مکان keytab را می‌توان با گزینه
\fBkrb5_keytab\fR
تنظیم کرد\&. برای جزئیات بیشتر درباره این گزینه‌ها،
\fBsssd.conf\fR(5)
و
\fBsssd-krb5\fR(5)
را ببینید\&.
.PP
برخی از استقرارهای کربروس اجازه می‌دهند نشانگرهای احراز هویت به یک روش پیش‌احراز هویت خاص که توسط کاربر برای دریافت بلیت اعطای بلیت استفاده شده است، مرتبط شوند\&.
\fBpam_sss_gss\&.so\fR
اجازه می‌دهد تا وجود نشانگرهای احراز هویت در بلیت‌های سرویس، پیش از امکان دسترسی به یک سرویس PAM خاص الزامی شود\&.
.PP
اگر
\fBpam_gssapi_indicators_map\fR
در بخش [pam] یا بخش دامنه در sssd\&.conf تنظیم شده باشد، SSSD وجود هرگونه نشانگر پیکربندی‌شده در بلیت سرویس را بررسی خواهد کرد\&.
.SH "گزینه‌ها (OPTIONS)"
.PP
\fBdebug\fR
.RS 4
اطلاعات اشکال‌زدایی را چاپ می‌کند\&.
.RE
.SH "انواع ماژول ارائه‌شده (MODULE TYPES PROVIDED)"
.PP
تنها نوع ماژول
\fBauth\fR
ارائه شده است\&.
.SH "مقادیر بازگشتی (RETURN VALUES)"
.PP
PAM_SUCCESS
.RS 4
عملیات PAM با موفقیت به پایان رسید\&.
.RE
.PP
PAM_USER_UNKNOWN
.RS 4
کاربر برای سرویس احراز هویت شناخته‌شده نیست یا احراز هویت GSSAPI پشتیبانی نمی‌شود\&.
.RE
.PP
PAM_AUTH_ERR
.RS 4
خطای احراز هویت\&.
.RE
.PP
PAM_AUTHINFO_UNAVAIL
.RS 4
دسترسی به اطلاعات احراز هویت امکان‌پذیر نیست\&. این ممکن است به دلیل خطای شبکه یا سخت‌افزار باشد\&.
.RE
.PP
PAM_SYSTEM_ERR
.RS 4
یک خطای سیستمی رخ داد\&. فایل‌های لاگ SSSD ممکن است حاوی اطلاعات بیشتری درباره این خطا باشند\&.
.RE
.SH "مثال‌ها (EXAMPLES)"
.PP
مورد کاربرد اصلی، ارائه احراز هویت بدون گذرواژه در sudo بدون نیاز به غیرفعال‌سازی کامل احراز هویت است\&. برای دستیابی به این هدف، ابتدا احراز هویت GSSAPI را برای sudo در sssd\&.conf فعال کنید:
.sp
.if n \{\
.RS 4
.\}
.nf
[domain/MYDOMAIN]
pam_gssapi_services = sudo, sudo\-i

.fi
.if n \{\
.RE
.\}
.PP
سپس ماژول را در پشته PAM مورد نظر فعال کنید (برای نمونه /etc/pam\&.d/sudo و /etc/pam\&.d/sudo\-i)\&.
.sp
.if n \{\
.RS 4
.\}
.nf
\&.\&.\&.
auth sufficient pam_sss_gss\&.so
\&.\&.\&.

.fi
.if n \{\
.RE
.\}
.SH "عیب‌یابی (TROUBLESHOOTING)"
.PP
لاگ‌های SSSD، خروجی اشکال‌زدایی pam_sss_gss و syslog ممکن است حاوی اطلاعات مفیدی درباره خطا باشند\&. در اینجا برخی مشکلات رایج آورده شده است:
.PP
۱\&. متغیر محیطی KRB5CCNAME را تنظیم کرده‌ام و احراز هویت کار نمی‌کند: بسته به نسخه sudo شما، ممکن است sudo این متغیر را به محیط PAM ارسال نکند\&. افزودن KRB5CCNAME به
\fBenv_keep\fR
در /etc/sudoers یا در گزینه‌های پیش‌فرض قوانین sudo در LDAP را امتحان کنید\&.
.PP
۲\&. احراز هویت کار نمی‌کند و syslog حاوی "Server not found in Kerberos database" است: احتمالاً کربروس قادر به حل قلمرو (realm) صحیح برای بلیت سرویس بر اساس نام میزبان نیست\&. افزودن مستقیم نام میزبان به
\fB[domain_realm]\fR
در /etc/krb5\&.conf مانند زیر را امتحان کنید:
.PP
۳\&. احراز هویت کار نمی‌کند و syslog حاوی "No Kerberos credentials available" است: شما هیچ مدرکی که بتوان از آن برای دریافت بلیت سرویس مورد نیاز استفاده کرد ندارید\&. از kinit استفاده کنید یا از طریق SSSD برای دریافت آن مدارک احراز هویت نمایید\&.
.PP
۴\&. احراز هویت کار نمی‌کند و لاگ sssd\-pam در SSSD حاوی "User with UPN [$UPN] was not found\&." یا "UPN [$UPN] does not match target user [$username]\&." است: از مدارکی استفاده می‌کنید که نمی‌توانند به کاربری که در حال احراز هویت است نگاشت شوند\&. استفاده از kswitch را برای انتخاب پرینسیپال دیگر امتحان کنید، مطمئن شوید که با SSSD احراز هویت کرده‌اید یا غیرفعال‌سازی
\fBpam_gssapi_check_upn\fR
را در نظر بگیرید\&.
.sp
.if n \{\
.RS 4
.\}
.nf
[domain_realm]
\&.myhostname = MYREALM

.fi
.if n \{\
.RE
.\}
.SH "همچنین ببینید (SEE ALSO)"
.PP
\fBsssd\fR(8),
\fBsssd.conf\fR(5),
\fBsssd-ldap\fR(5),
\fBsssd-ldap-attributes\fR(5),
\fBsssd-krb5\fR(5),
\fBsssd-simple\fR(5),
\fBsssd-ipa\fR(5),
\fBsssd-ad\fR(5),
\fBsssd-idp\fR(5),
\fBsssd-sudo\fR(5),
\fBsssd-session-recording\fR(5),
\fBsss_cache\fR(8),
\fBsss_debuglevel\fR(8),
\fBsss_obfuscate\fR(8),
\fBsss_seed\fR(8),
\fBsssd_krb5_locator_plugin\fR(8),
\fBsss_ssh_authorizedkeys\fR(1), \fBsss_ssh_knownhosts\fR(1),
\fBsssd-ifp\fR(5),
\fBpam_sss\fR(8)\&.
\fBsss_rpcidmapd\fR(5)
.SH "نویسندگان (AUTHORS)"
.PP
\fBThe SSSD upstream \- https://github\&.com/SSSD/sssd\fR