'\" t
.\"     Title: pam_yubico
.\"    Author: [FIXME: author] [see http://www.docbook.org/tdg5/en/html/author]
.\" Generator: DocBook XSL Stylesheets vsnapshot <http://docbook.sf.net>
.\"      Date: Version 2.27
.\"    Manual: Yubico PAM Module Manual
.\"    Source: yubico-pam
.\"  Language: Persian
.\"
.TH "PAM_YUBICO" "8" "Version 2\&.27" "yubico\-pam" "راهنمای ماژول PAM یوبیکو"
.\" -----------------------------------------------------------------
.\" * Define some portability stuff
.\" -----------------------------------------------------------------
.\" ~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~
.\" http://bugs.debian.org/507673
.\" http://lists.gnu.org/archive/html/groff/2009-02/msg00013.html
.\" ~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~
.ie \n(.g .ds Aq \(aq
.el       .ds Aq '
.\" -----------------------------------------------------------------
.\" * set default formatting
.\" -----------------------------------------------------------------
.\" disable hyphenation
.nh
.\" disable justification (adjust text to left margin only)
.ad l
.\" -----------------------------------------------------------------
.\" * MAIN CONTENT STARTS HERE *
.\" -----------------------------------------------------------------
.SH "نام (NAME)"
pam_yubico \- ماژول احراز هویت با استفاده از کلید امنیتی YubiKey
.SH "خلاصه دستور (SYNOPSIS)"
.sp
\fBpam_yubico\fR [\&...]
.SH "توضیحات (DESCRIPTION)"
.sp
این ماژول برای احراز هویت با کلیدهای امنیتی YubiKey به کار می‌رود؛ خواه از طریق اعتبارسنجی برخط گذرواژه یک‌بارمصرف (OTP)، یا اعتبارسنجی آفلاین با سازوکار چالش\-پاسخ مبتنی بر HMAC\-SHA1\&.
.SH "گزینه‌ها (OPTIONS)"
.PP
\fBdebug\fR
.RS 4
حالت اشکال‌زدایی را فعال می‌کند\&.
.RE
.PP
\fBdebug_file\fR=\fIfile\fR
.RS 4
نام فایلی که پیام‌های اشکال‌زدایی در آن نوشته می‌شوند؛ این فایل باید از قبل وجود داشته و یک فایل معمولی باشد\&. مقدار پیش‌فرض خروجی استاندارد (stdout) است\&.
.RE
.PP
\fBmode=\fR[\fIclient\fR|\fIchallenge\-response\fR]
.RS 4
حالت عملیاتی ماژول؛ مقدار client برای اعتبارسنجی OTP و مقدار challenge\-response برای اعتبارسنجی چالش\-پاسخ\&. مقدار پیش‌فرض client است\&.
.RE
.PP
\fBauthfile\fR=\fIfile\fR
.RS 4
مسیر فایلی که نگاشت شناسه توکن‌های YubiKey به نام‌های کاربری را نگهداری می‌کند\&. قالب فایل به‌صورت username:first_public_id:second_public_id:\&... است\&. مکان پیش‌فرض این فایل $HOME/\&.yubico/authorized_yubikeys می‌باشد\&.
.RE
.PP
\fBid\fR=\fIid\fR
.RS 4
شناسه کلاینت API شما برای اتصال به سرور اعتبارسنجی\&.
.RE
.PP
\fBkey\fR=\fIkey\fR
.RS 4
کلید کلاینت شما در قالب base64\&. این کلید تحت عنوان کلید API نیز شناخته می‌شود و یکپارچگی ارتباط میان کلاینت (شما) و سرور اعتبارسنجی را تضمین می‌کند\&. اگر می‌خواهید برای استفاده با سرویس پیش‌فرض YubiCloud یک کلید دریافت کنید، به نشانی زیر مراجعه کنید:
https://upgrade\&.yubico\&.com/getapikey
.RE
.PP
\fBalwaysok\fR
.RS 4
تمامی تلاش‌های احراز هویت را موفقیت‌آمیز در نظر می‌گیرد (\fBخطرناک\fR، تنها برای حالت ارائه و دمو)\&.
.RE
.PP
\fBtry_first_pass\fR
.RS 4
پیش از درخواست گذرواژه از کاربر، ماژول ابتدا گذرواژه ارائه‌شده به ماژول قبلی در پشته PAM را بررسی می‌کند تا در صورت کفایت، از همان استفاده کند\&.
.RE
.PP
\fBuse_first_pass\fR
.RS 4
ماژول را مجبور به استفاده از گذرواژه ماژول پشته‌شده قبلی می‌کند و هرگز از کاربر گذرواژه نخواهد خواست؛ اگر هیچ گذرواژه‌ای در دسترس نباشد یا نامعتبر باشد، دسترسی کاربر رد خواهد شد\&.
.RE
.PP
\fBalways_prompt\fR
.RS 4
در صورت فعال بودن، تلاشی برای بررسی اینکه آیا برای کاربر کلید YubiKey پیکربندی شده است یا خیر انجام نمی‌دهد و در هر صورت درخواست کلید می‌کند\&. این گزینه زمانی کاربرد دارد که ldap_bind_as_user فعال باشد اما از این ماژول برای خواندن گذرواژه کاربر (در سناریوی احراز هویت ترکیبی YubiKey+OTP) استفاده شود\&.
.RE
.PP
\fBnullok\fR
.RS 4
اگر هیچ توکنی برای کاربر در فایل‌های نگاشت احراز هویت یا در LDAP تعریف نشده باشد، با خطا متوقف نشود\&. از این گزینه می‌توان برای اختیاری کردن احراز هویت با YubiKey استفاده کرد، مگر آنکه برای کاربر توکن‌های مرتبط ثبت شده باشد\&.
.RE
.PP
\fBldap_starttls\fR
.RS 4
در صورت تنظیم، پیش از تلاش برای متصل شدن (bind) به ارتباط LDAP، دستور STARTTLS را صادر می‌کند\&. این یک پیکربندی معمول برای سرورهایی است که تنها روی درگاه ۳۸۹ شنود می‌کنند اما نیازمند TLS هستند\&.
.RE
.PP
\fBldap_bind_as_user\fR
.RS 4
استفاده از مشخصات کاربری که در حال ورود به سیستم است برای اتصال به LDAP\&. این گزینه از گذرواژه واردشده توسط کاربر از طریق PAM استفاده می‌کند\&. در صورت فعال بودن این گزینه، مقادیر ldapdn و uid_attr نیز باید تنظیم شوند\&. فعال بودن این گزینه باعث نادیده گرفته شدن ldap_bind_user و ldap_bind_password می‌شود\&.
.RE
.PP
\fBurllist\fR=\fIlist\fR
.RS 4
فهرستی از الگوهای URL مورد استفاده\&. این مقدار با فراخوانی ykclient_set_url_bases تنظیم می‌شود\&. این فهرست باید در قالب زیر باشد:
https://api1\&.example\&.com/wsapi/2\&.0/verify;https://api2\&.example\&.com/wsapi/2\&.0/verify
.RE
.PP
\fBurl\fR=\fIurl\fR
.RS 4
این گزینه نباید استفاده شود؛ لطفاً به‌جای آن از گزینه urllist استفاده کنید\&. الگوی URL مورد استفاده را تعیین می‌کند؛ این مقدار با فراخوانی ykclient_set_url_template مقداردهی می‌شود\&. قالب URL باید به این صورت تنظیم شود:
https://api\&.example\&.com/wsapi/2\&.0/verify?id=%d&otp=%s
.RE
.PP
\fBcapath\fR=\fIpath\fR
.RS 4
مسیری که گواهی‌های X509 در آن ذخیره شده‌اند\&. در صورتی که به ترتیب از
\fIhttps\fR
یا
\fIldaps\fR
در
\fIurl\fR
و
\fIldap_uri\fR
استفاده شده باشد، تعیین این مسیر الزامی است\&.
.RE
.PP
\fBcainfo\fR=\fIfile\fR
.RS 4
گزینه‌ای برای امکان استفاده از یک فایل بسته گواهی‌های CA (CA bundle) به‌جای مسیر پوشه\&.
.RE
.PP
\fBproxy\fR=\fIproxy\fR
.RS 4
پروکسی مورد استفاده برای اتصال به سرور اعتبارسنجی\&. طرح‌های معتبر شامل http://, https://, socks4://, socks4a://, socks5:// یا socks5h:// هستند\&. طرح socks5h از پروکسی درخواست می‌کند تا تفکیک نام (DNS) را نیز انجام دهد\&. در صورت عدم تعیین طرح یا درگاه، از درگاه ۱۰۸۰ پروکسی HTTP استفاده خواهد شد\&. مثال: socks5h://user:pass@10\&.10\&.0\&.1:1080
.RE
.PP
\fBverbose_otp\fR
.RS 4
نمایش گذرواژه یک‌بارمصرف هنگام تایپ شدن؛ یعنی فعال‌سازی بازتاب (echo) نویسه‌های ورودی در ترمینال\&. توصیه می‌شود در صورت استفاده از احراز هویت دو مرحله‌ای از این گزینه استفاده نکنید زیرا گذرواژه شما روی نمایشگر آشکار می‌شود\&. این گزینه مستلزم آن است که سرویس به‌کارگیرنده ماژول PAM از نمایش فیلدهای سفارشی پشتیبانی کند\&. این گزینه را نمی‌توان همراه با OpenSSH استفاده کرد\&.
.RE
.PP
\fBldap_uri\fR=\fIuri\fR
.RS 4
نشانی URI سرور LDAP (مانند ldap://localhost)\&.
.RE
.PP
\fBldap_server\fR=\fIserver\fR
.RS 4
میزبان سرور LDAP (از درگاه پیش‌فرض LDAP استفاده می‌شود)\&.
\fBمنسوخ شده است\&. به‌جای آن از \fR\fB\fIldap_uri\fR\fR\fB استفاده کنید\&.\fR
.RE
.PP
\fBldapdn\fR=\fIdn\fR
.RS 4
نام متمایز (DN) مکانی که کاربران در آن نگهداری می‌شوند (مانند: ou=users,dc=domain,dc=com)\&. در صورت استفاده از
\fIldap_filter\fR
این مقدار به‌عنوان ریشه پایه برای جستجوی زیردرخت به کار می‌رود\&.
.RE
.PP
\fBldap_clientcertfile\fR=\fIclientcertfile\fR
.RS 4
مسیر فایل گواهی کلاینت برای استفاده در زمان برقراری ارتباط با سرور LDAP\&. توجه داشته باشید که این گزینه مستلزم تعیین
\fIldap_clientkeyfile\fR
نیز می‌باشد\&.
.RE
.PP
\fBldap_clientkeyfile\fR=\fIclientkeyfile\fR
.RS 4
مسیر کلید مورد استفاده به همراه گواهی کلاینت در زمان ارتباط با سرور LDAP\&. توجه داشته باشید که این گزینه مستلزم تعیین
\fIldap_clientcertfile\fR
نیز می‌باشد\&.
.RE
.PP
\fBuser_attr\fR=\fIattr\fR
.RS 4
مشخصه LDAP مورد استفاده برای ذخیره‌سازی نام‌های کاربری (مانند: cn)\&.
.RE
.PP
\fByubi_attr\fR=\fIattr\fR
.RS 4
مشخصه LDAP مورد استفاده برای ذخیره‌سازی شناسه YubiKey\&.
.RE
.PP
\fByubi_attr_prefix\fR=\fIprefix\fR
.RS 4
پیشوند مقدار مشخصه LDAP؛ در حالتی که از یک مشخصه عمومی برای نگهداری چندین نوع شناسه استفاده می‌شود\&.
.RE
.PP
\fBtoken_id_length\fR=\fIlength\fR
.RS 4
طول شناسه پیشوند در ابتدای OTP (در صورت استفاده از YubiCloud این مقدار ۱۲ است)\&.
.RE
.PP
\fBldap_bind_user\fR=\fIuser\fR
.RS 4
کاربری که تلاش برای اتصال (bind) به LDAP به عنوان او انجام می‌شود\&.
.RE
.PP
\fBldap_bind_password\fR=\fIpassword\fR
.RS 4
گذرواژه مورد استفاده برای اتصال به LDAP\&.
.RE
.PP
\fBldap_filter\fR=\fIfilter\fR
.RS 4
فیلتر LDAP برای تلاش جهت یافتن شیء مناسب در LDAP\&. در این رشته، عبارت
%u
با نام کاربری جایگزین خواهد شد\&.
.RE
.PP
\fBldap_cacertfile\fR=\fIcacertfile\fR
.RS 4
فایل گواهی مرجع صدور گواهی (CA) برای اتصال LDAP\&.
.RE
.PP
\fBchalresp_path\fR=\fIpath\fR
.RS 4
مسیر یک دایرکتوری سراسری در سیستم که فایل‌های چالش\-پاسخ کاربران در آن قرار می‌گیرد\&. مکان پیش‌فرض برابر است با
$HOME/\&.yubico/\&.
.RE
.PP
\fBmysql_server\fR=\fImysqlserver\fR
.RS 4
نام میزبان/نشانی سرور پایگاه‌داده mysql\&. مثال: 10\&.0\&.0\&.1
.RE
.PP
\fBmysql_port\fR=\fImysqlport\fR
.RS 4
درگاه شبکه سرور mysql\&.
.RE
.PP
\fBmysql_user\fR=\fImysqluser\fR
.RS 4
کاربر مجاز برای دسترسی به پایگاه‌داده\&. اکیداً توصیه می‌شود از کاربری مشخص با دسترسی فقط‌خواندنی استفاده شود\&.
.RE
.PP
\fBmysql_password\fR=\fImysqlpassword\fR
.RS 4
گذرواژه mysql اختصاص‌یافته به کاربر\&.
.RE
.PP
\fBmysql_database\fR=\fImysqldatabase\fR
.RS 4
نام پایگاه‌داده\&. مثال: otp
.RE
.SH "مثال‌ها (EXAMPLES)"
.sp
.if n \{\
.RS 4
.\}
.nf
auth sufficient pam_yubico\&.so id=16 debug
.fi
.if n \{\
.RE
.\}
.sp
.if n \{\
.RS 4
.\}
.nf
auth required pam_yubico\&.so mode=challenge\-response
.fi
.if n \{\
.RE
.\}
.sp
.if n \{\
.RS 4
.\}
.nf
auth required pam_yubico\&.so id=16 ldap_uri=ldaps://ldap\&.example\&.com ldap_filter=(uid=%u) yubi_attr=yubiKeyId
.fi
.if n \{\
.RE
.\}
.SH "فایل‌ها (FILES)"
.PP
\fB$HOME/\&.yubico/authorized_yubikeys\fR
.RS 4
اگر گزینه
\fBauthfile\fR
تنظیم نشده باشد، این فایل برای نگاشت میان شناسه عمومی YubiKey و نام‌های کاربری در حالت
\fIclient\fR
استفاده می‌شود\&.
.RE
.PP
\fB$HOME/\&.yubico/challenge\fR, \fB$HOME/\&.yubico/challenge\-\fR\fB\fIserial_number\fR\fR
.RS 4
اگر گزینه
\fBchalresp_path\fR
تنظیم نشده باشد، از این فایل‌ها برای نگهداری چالش بعدی و پاسخ مورد انتظار برای کاربر در حالت
\fIchallenge\-response\fR
استفاده می‌شود\&. در صورتی که
\fBchalresp_path\fR
تنظیم شده باشد، نام فایل به‌جای
\fIchallenge\fR
برابر با
\fIusername\fR
خواهد بود\&.
.RE
.SH "اشکالات (BUGS)"
.sp
اشکالات yubico\-pam را در سامانه ردیابی اشکالات گزارش دهید: https://github\&.com/Yubico/yubico\-pam/issues
.SH "همچنین ببینید (SEE ALSO)"
.sp
\fBykpamcfg\fR(1), \fBpam\fR(7)
.sp
صفحه خانگی yubico\-pam: https://developers\&.yubico\&.com/yubico\-pam
.sp
کلیدهای امنیتی YubiKey را می‌توان از Yubico تهیه کرد: http://www\&.yubico\&.com