SASLAUTHD(8) System Manager's Manual SASLAUTHD(8)

saslauthd — دیمون احراز هویت سرور SASL

saslauthd -a authmech [-Tvdchlr] [-O option] [-m mux_path] [-n threads] [-s size] [-t timeout]

saslauthd یک فرایند دیمون است که به نمایندگی از کتابخانهٔ SASL به درخواست‌های احراز هویت متن‌آشکار (plaintext) رسیدگی می‌کند.

این سرور دو نقش را ایفا می‌کند: تمام کدهایی را که نیازمند امتیازات کاربر ارشد (superuser) هستند در یک فرایند منفرد جداسازی و ایزوله می‌کند، و می‌تواند برای ارائهٔ خدمات احراز هویت پروکسی به کلاینت‌هایی که احراز هویت مبتنی بر SASL را درک نمی‌کنند، استفاده شود.

هنگام رفتن به حالت چندکاربره (multi-user mode)، saslauthd باید از طریق اسکریپت‌های راه‌اندازی سیستم اجرا شود. هنگام اجرا در برابر یک پایگاه‌دادهٔ احراز هویت حفاظت‌شده (مانند سازوکار shadow )، این دیمون باید با دسترسی کاربر ارشد اجرا شود. در غیر این صورت توصیه می‌شود دیمون بدون امتیاز و با کاربر و گروه saslauth:saslauth اجرا شود، که در این حالت دایرکتوری زمان اجرا باید دارای مالکیت root:saslauthd باشد. در سیستم‌هایی که از systemd(1) استفاده می‌کنند، می‌توانید این کار را با دنبال کردن مراحل زیر انجام دهید:

  1. ایجاد دایرکتوری /etc/systemd/system/saslauthd.service.d/
  2. ایجاد فایل /etc/systemd/system/saslauthd.service.d/user.conf با محتوای 
    [Service]
User=saslauth
Group=saslauth
  3. بارگذاری مجدد فایل سرویس systemd: اجرای دستور “systemctl daemon-reload”

گزینه‌هایی که با حروف کوچک نام‌گذاری شده‌اند، خود سرور را پیکربندی می‌کنند. گزینه‌های دارای حروف بزرگ، رفتار سازوکارهای احراز هویت خاص را کنترل می‌کنند؛ میزان کاربرد آن‌ها برای یک سازوکار احراز هویت خاص در بخش سازوکارهای احراز هویت (AUTHENTICATION MECHANISMS) توضیح داده شده است.

authmech
از authmech به عنوان سازوکار احراز هویت استفاده می‌کند. (بخش سازوکارهای احراز هویت (AUTHENTICATION MECHANISMS) در زیر را ببینید.) این پارامتر اجباری است.
option
گزینهٔ خاصِ سازوکار (مانند نام هاست rimap یا مسیر فایل پیکربندی).
hostname
هاست راه دوری که باید توسط سازوکار احراز هویت rimap با آن ارتباط برقرار شود. (منسوخ شده است، به جای آن از -O استفاده کنید).
path
استفاده از path به عنوان مسیر سوکت نام‌گذاری‌شده برای گوش دادن به درخواست‌های اتصال. این مسیر باید یک مسیر مطلق باشد و نباید در انتهای آن "/mux" وجود داشته باشد. توجه داشته باشید که مقدار پیش‌فرض این مسیر "/var/state/saslauthd" است (یا مقداری که در زمان کامپایل مشخص شده است) و این دایرکتوری برای عملکرد saslauthd باید حتماً وجود داشته باشد.
threads
استفاده از threads فرایند برای پاسخ‌گویی به پرس‌وجوهای احراز هویت. (پیش‌فرض: ۵). مقدار صفر نشان می‌دهد که saslauthd باید برای هر اتصال یک فرایند مجزا ایجاد (fork) کند. این کار می‌تواند نشت‌هایی را که در برخی استقرارها رخ می‌دهد برطرف سازد.
size
استفاده از size به عنوان اندازهٔ جدول درهم‌سازی (بر حسب کیلوبایت).
timeout
استفاده از timeout به عنوان زمان انقضای حافظهٔ موقت (کَش) احراز هویت (بر حسب ثانیه).
رعایت محدودیت‌های زمانی ورود به سیستم در طول شبانه‌روز.
نمایش اطلاعات نحوهٔ استفاده و راهنما.
فعال‌سازی ذخیره‌سازی موقت (caching) اعتبارنامه‌های احراز هویت.
غیرفعال‌سازی استفاده از فایل قفل برای کنترل دسترسی به ()accept.
ترکیب قلمرو (realm) با شناسهٔ ورود (با یک علامت '@' در میان آن‌ها). به عنوان مثال، نام ورود: "foo" و قلمرو: "bar" به صورت شناسهٔ ورود: "foo@bar" ارسال خواهد شد. توجه داشته باشید که قلمرو همچنان ارسال خواهد شد، که ممکن است برای سازوکارهای احراز هویتی که از قلمرو استفاده می‌کنند رفتار غیرمنتظره‌ای ایجاد کند؛ با این حال برای سازوکارهایی که از آن استفاده نمی‌کنند، مانند getpwent, این تنها راه برای احراز هویت کاربران خاصِ دامنه با شناسهٔ کاربری یکسان است.
چاپ شمارهٔ نسخه و سازوکارهای احراز هویت موجود در خروجی خطای استاندارد و سپس خروج.
حالت اشکال‌زدایی (دیباگ).

saslauthd فعالیت‌های خود را از طریق syslogd با استفاده از امکان LOG_AUTH ثبت می‌کند.

saslauthd بسته به امکانات ارائه‌شده توسط سیستم‌عامل زیربنایی، از یک یا چند "سازوکار احراز هویت" پشتیبانی می‌کند. سازوکار مورد نظر با پرچم -a از فهرست گزینه‌های زیر انتخاب می‌شود:

احراز هویت با استفاده از محیط احراز هویت DCE.

احراز هویت با استفاده از تابع کتابخانه‌ای (). به طور معمول این تابع در برابر فایل گذرواژهٔ محلی احراز هویت انجام می‌دهد. برای جزئیات بیشتر به صفحه راهنمای getpwent(3) سیستم خود مراجعه کنید.

احراز هویت در برابر قلمرو محلی Kerberos 4. (برای هشدارهای مربوط به این درایور، بخش نکات (NOTES) را ببینید.)

احراز هویت در برابر قلمرو محلی Kerberos 5.

احراز هویت با استفاده از ماژول‌های احراز هویت با قابلیت اتصال (PAM).

هدایت درخواست‌های احراز هویت به یک سرور دوردست IMAP. این درایور با استفاده از اعتبارنامه‌های ارائه‌شده به سرور محلی، به یک سرور دوردست IMAP (که با پرچم -O مشخص می‌شود) متصل شده و تلاش می‌کند (از طریق دستور ‘LOGIN’ در IMAP) وارد شود. در صورت موفقیت‌آمیز بودن احراز هویت دوردست، اتصال محلی نیز احراز هویت‌شده در نظر گرفته می‌شود. اتصال دوردست به محض دریافت پاسخ برچسب‌دار دستور ‘LOGIN’ از سرور دوردست بسته می‌شود.

پارامتر option برای پرچم -O سرور دوردستی را که باید درخواست‌های احراز هویت به آن هدایت شوند توصیف می‌کند. hostname می‌تواند یک نام هاست (imap.example.com) یا یک آدرس IP چهاربخشی نقطه‌دار (192.168.0.1) باشد. مورد دوم زمانی مفید است که سرور دوردست دارای چندین آدرس شبکه (multi-homed) بوده و واسط‌های شبکه‌ای داشته باشد که از سرور محلی IMAP غیرقابل دسترس باشند. ارتباط با هاست دوردست روی درگاه سرویس ‘imap’ برقرار می‌شود. می‌توان با افزودن یک اسلش و نام یا شماره درگاه به آرگومان hostname, یک درگاه غیرپیش‌فرض را مشخص کرد.

پرچم -O و آرگومان آن هنگام استفاده از سازوکار rimap اجباری هستند.

احراز هویت در برابر "فایل محلی shadow password". سازوکار دقیق به سیستم وابسته است. در حال حاضر saslauthd روال‌های کتابخانه‌ای () و () را درک می‌کند. برخی از سیستم‌ها پرچم -T را رعایت می‌کنند.

احراز هویت در برابر پایگاه‌دادهٔ احراز هویت SASL. توجه داشته باشید که این احتمالاً چیزی نیست که بخواهید از آن استفاده کنید، و حتی به‌طور پیش‌فرض در زمان کامپایل غیرفعال است. اگر می‌خواهید از sasldb به همراه کتابخانهٔ SASL استفاده کنید، احتمالاً در عوض مایلید از روش pwcheck_method با مقدار "auxprop" همراه با پلاگین auxprop مربوط به sasldb استفاده کنید.

احراز هویت در برابر سرور ldap. پارامترهای پیکربندی ldap از مسیر /usr/local/etc/saslauthd.conf خوانده می‌شوند. مکان این فایل را می‌توان با پارامتر -O تغییر داد. برای مشاهدهٔ فهرست پارامترهای موجود، فایل LDAP_SASLAUTHD را که همراه بسته توزیع شده است ببینید.

احراز هویت با استفاده از معماری یکپارچه‌سازی امنیتی دیجیتال UNIX (معروف به "امنیت ارتقایافته").

درایور احراز هویت kerberos4 منابع قابل توجهی مصرف می‌کند. برای انجام احراز هویت، این درایور باید در هر درخواست احراز هویت، یک بلیت اعطای بلیت (TGT) را از سرور TGT دریافت کند. روال‌های کتابخانهٔ Kerberos که TGT را دریافت می‌کنند، با این فرض منطقی که شما مایلید TGT را برای استفادهٔ سایر برنامه‌های Kerberos ذخیره کنید، یک فایل بلیت محلی نیز ایجاد می‌کنند. این فایل‌های بلیت توسط saslauthd قابل استفاده نیستند، با این حال هیچ راهی برای عدم ایجاد آن‌ها وجود ندارد. بار اضافی (overhead) ناشی از ایجاد و حذف این فایل‌های بلیت می‌تواند باعث افت جدی عملکرد در سرورهای شلوغ شود. (به هر حال، Kerberos هرگز برای استفاده به این شیوه در نظر گرفته نشده بود.)

/var/run/saslauthd/mux
سوکت پیش‌فرض ارتباطات.
/usr/local/etc/saslauthd.conf
فایل پیکربندی پیش‌فرض برای پشتیبانی از ldap.

passwd(1), getpwent(3), getspnam(3), getuserpw(3), sasl_checkpass(3), sia_authenticate_user(3)

12 12 2005 CMU-SASL