.\" $Id: saslauthd.mdoc,v 1.19 2009/04/11 20:08:48 mel Exp $
.\" Copyright 1997-2001 Messaging Direct Ltd. All rights reserved.
.\"
.\" This manpage uses the BSD mdoc manpage macros. Please don't
.\" downgrade it to -man. The -mdoc macros are included with
.\" GNU roff, and, of course, with the BSD distributions.
.\"
.\" To make life easier for sites that don't support -mdoc,
.\" please generate (and commit!) an updated pre-formatted
.\" manpage in saslauthd.8 whenever you change this source
.\" version. Only the pre-formatted manpage is installed.
.\"
.Dd 12 12 2005
.Dt SASLAUTHD 8
.Os "CMU-SASL"
.Sh "نام (NAME)"
.\" saslauthd \- دیمون احراز هویت سرور SASL
.Nm saslauthd
.Nd دیمون احراز هویت سرور SASL
.Sh "خلاصه دستور (SYNOPSIS)"
.Nm
.Fl a
.Ar authmech
.Op Fl \&Tvdchlr
.Op Fl O Ar option
.Op Fl m Ar mux_path
.Op Fl n Ar threads
.Op Fl s Ar size
.Op Fl t Ar timeout
.Sh "توضیحات (DESCRIPTION)"
.Nm
یک فرایند دیمون است که به نمایندگی از کتابخانهٔ SASL به درخواست‌های احراز هویت متن‌آشکار (plaintext) رسیدگی می‌کند.
.Pp
این سرور دو نقش را ایفا می‌کند: تمام کدهایی را که نیازمند امتیازات کاربر ارشد (superuser) هستند در یک فرایند منفرد جداسازی و ایزوله می‌کند، و می‌تواند برای ارائهٔ خدمات احراز هویت
.Em پروکسی
به کلاینت‌هایی که احراز هویت مبتنی بر SASL را درک نمی‌کنند، استفاده شود.
.Pp
هنگام رفتن به حالت چندکاربره (multi-user mode)،
.Nm
باید از طریق اسکریپت‌های راه‌اندازی سیستم اجرا شود. هنگام اجرا در برابر یک پایگاه‌دادهٔ احراز هویت حفاظت‌شده (مانند سازوکار
.Li shadow
)، این دیمون باید با دسترسی کاربر ارشد اجرا شود. در غیر این صورت توصیه می‌شود دیمون بدون امتیاز و با کاربر و گروه saslauth:saslauth اجرا شود، که در این حالت دایرکتوری زمان اجرا باید دارای مالکیت root:saslauthd باشد. در سیستم‌هایی که از
.Xr systemd 1
استفاده می‌کنند، می‌توانید این کار را با دنبال کردن مراحل زیر انجام دهید:
.Bl -enum -compact
.It
ایجاد دایرکتوری
.Pa /etc/systemd/system/saslauthd.service.d/
.It
ایجاد فایل
.Pa /etc/systemd/system/saslauthd.service.d/user.conf
با محتوای
.Bd -literal
[Service]
User=saslauth
Group=saslauth
.Ed
.It
بارگذاری مجدد فایل سرویس systemd: اجرای دستور
.Dq systemctl daemon-reload
.El
.Ss "گزینه‌ها (OPTIONS)"
گزینه‌هایی که با حروف کوچک نام‌گذاری شده‌اند، خود سرور را پیکربندی می‌کنند.
گزینه‌های دارای حروف بزرگ، رفتار سازوکارهای احراز هویت خاص را کنترل می‌کنند؛ میزان کاربرد آن‌ها برای یک سازوکار احراز هویت خاص در بخش
.Sx "سازوکارهای احراز هویت (AUTHENTICATION MECHANISMS)"
توضیح داده شده است.
.Bl -tag -width indent
.It Fl a Ar authmech
از
.Ar authmech
به عنوان سازوکار احراز هویت استفاده می‌کند. (بخش
.Sx "سازوکارهای احراز هویت (AUTHENTICATION MECHANISMS)"
در زیر را ببینید.) این پارامتر اجباری است.
.It Fl O Ar option
گزینهٔ خاصِ سازوکار (مانند نام هاست rimap یا مسیر فایل پیکربندی).
.It Fl H Ar hostname
هاست راه دوری که باید توسط سازوکار احراز هویت
.Li rimap
با آن ارتباط برقرار شود. (منسوخ شده است، به جای آن از \-O استفاده کنید).
.It Fl m Ar path
استفاده از
.Ar path
به عنوان مسیر سوکت نام‌گذاری‌شده برای گوش دادن به درخواست‌های اتصال. این مسیر باید یک مسیر مطلق باشد و نباید در انتهای آن "/mux" وجود داشته باشد. توجه داشته باشید که مقدار پیش‌فرض این مسیر "/var/state/saslauthd" است (یا مقداری که در زمان کامپایل مشخص شده است) و این دایرکتوری برای عملکرد saslauthd باید حتماً وجود داشته باشد.
.It Fl n Ar threads
استفاده از
.Ar threads
فرایند برای پاسخ‌گویی به پرس‌وجوهای احراز هویت. (پیش‌فرض: ۵). مقدار صفر نشان می‌دهد که saslauthd باید برای هر اتصال یک فرایند مجزا ایجاد (fork) کند. این کار می‌تواند نشت‌هایی را که در برخی استقرارها رخ می‌دهد برطرف سازد.
.It Fl s Ar size
استفاده از
.Ar size
به عنوان اندازهٔ جدول درهم‌سازی (بر حسب کیلوبایت).
.It Fl t Ar timeout
استفاده از
.Ar timeout
به عنوان زمان انقضای حافظهٔ موقت (کَش) احراز هویت (بر حسب ثانیه).
.It Fl T
رعایت محدودیت‌های زمانی ورود به سیستم در طول شبانه‌روز.
.It Fl h
نمایش اطلاعات نحوهٔ استفاده و راهنما.
.It Fl c
فعال‌سازی ذخیره‌سازی موقت (caching) اعتبارنامه‌های احراز هویت.
.It Fl l
غیرفعال‌سازی استفاده از فایل قفل برای کنترل دسترسی به ()accept.
.It Fl r
ترکیب قلمرو (realm) با شناسهٔ ورود (با یک علامت '@' در میان آن‌ها). به عنوان مثال،
نام ورود: "foo" و قلمرو: "bar" به صورت شناسهٔ ورود: "foo@bar" ارسال خواهد شد. توجه داشته باشید
که قلمرو همچنان ارسال خواهد شد، که ممکن است برای سازوکارهای احراز هویتی که از قلمرو استفاده می‌کنند رفتار غیرمنتظره‌ای ایجاد کند؛ با این حال برای سازوکارهایی که از آن استفاده نمی‌کنند، مانند
.Ar getpwent ,
این تنها راه برای احراز هویت کاربران خاصِ دامنه با شناسهٔ کاربری یکسان است.
.It Fl v
چاپ شمارهٔ نسخه و سازوکارهای احراز هویت موجود در خروجی خطای استاندارد و سپس خروج.
.It Fl d
حالت اشکال‌زدایی (دیباگ).
.El
.Ss "ثبت وقایع (LOGGING)"
.Nm
فعالیت‌های خود را از طریق
.Nm syslogd
با استفاده از امکان
.Dv LOG_AUTH
ثبت می‌کند.
.Sh "سازوکارهای احراز هویت (AUTHENTICATION MECHANISMS)"
.Nm
بسته به امکانات ارائه‌شده توسط سیستم‌عامل زیربنایی، از یک یا چند
.Qq سازوکار احراز هویت
پشتیبانی می‌کند. سازوکار مورد نظر با پرچم
.Fl a
از فهرست گزینه‌های زیر انتخاب می‌شود:
.Bl -tag -width "kerberos4"
.It Li dce
.Em (AIX)
.Pp
احراز هویت با استفاده از محیط احراز هویت DCE.
.It Li getpwent
.Em (تمام پلتفرم‌ها)
.Pp
احراز هویت با استفاده از تابع کتابخانه‌ای
.Fn getpwent .
به طور معمول این تابع در برابر فایل گذرواژهٔ محلی احراز هویت انجام می‌دهد. برای جزئیات بیشتر به صفحه راهنمای
.Xr getpwent 3
سیستم خود مراجعه کنید.
.It Li kerberos4
.Em (تمام پلتفرم‌ها)
.Pp
احراز هویت در برابر قلمرو محلی Kerberos 4. (برای هشدارهای مربوط به این درایور، بخش
.Sx "نکات (NOTES)"
را ببینید.)
.It Li kerberos5
.Em (تمام پلتفرم‌ها)
.Pp
احراز هویت در برابر قلمرو محلی Kerberos 5.
.It Li pam
.Em (لینوکس، سولاریس)
.Pp
احراز هویت با استفاده از ماژول‌های احراز هویت با قابلیت اتصال (PAM).
.It Li rimap
.Em (تمام پلتفرم‌ها)
.Pp
هدایت درخواست‌های احراز هویت به یک سرور دوردست IMAP. این درایور با استفاده از اعتبارنامه‌های ارائه‌شده به سرور محلی، به یک سرور دوردست IMAP (که با پرچم \-O مشخص می‌شود) متصل شده و تلاش می‌کند (از طریق دستور
.Ql LOGIN
در IMAP) وارد شود. در صورت موفقیت‌آمیز بودن احراز هویت دوردست، اتصال محلی نیز احراز هویت‌شده در نظر گرفته می‌شود. اتصال دوردست به محض دریافت پاسخ برچسب‌دار دستور
.Ql LOGIN
از سرور دوردست بسته می‌شود.
.Pp
پارامتر
.Ar option
برای پرچم
.Fl O
سرور دوردستی را که باید درخواست‌های احراز هویت به آن هدایت شوند توصیف می‌کند.
.Ar hostname
می‌تواند یک نام هاست (imap.example.com) یا یک آدرس IP چهاربخشی نقطه‌دار (192.168.0.1) باشد. مورد دوم زمانی مفید است که سرور دوردست دارای چندین آدرس شبکه (multi-homed) بوده و واسط‌های شبکه‌ای داشته باشد که از سرور محلی IMAP غیرقابل دسترس باشند. ارتباط با هاست دوردست روی درگاه سرویس
.Ql imap
برقرار می‌شود. می‌توان با افزودن یک اسلش و نام یا شماره درگاه به آرگومان
.Ar hostname ,
یک درگاه غیرپیش‌فرض را مشخص کرد.
.Pp
پرچم
.Fl O
و آرگومان آن هنگام استفاده از سازوکار
.Li rimap
اجباری هستند.
.It Li shadow
.Em (AIX، Irix، لینوکس، سولاریس)
.Pp
احراز هویت در برابر
.Qq فایل محلی shadow password .
سازوکار دقیق به سیستم وابسته است. در حال حاضر
.Nm
روال‌های کتابخانه‌ای
.Fn getspnam
و
.Fn getuserpw
را درک می‌کند. برخی از سیستم‌ها پرچم
.Fl T
را رعایت می‌کنند.
.It Li sasldb
.Em (تمام پلتفرم‌ها)
.Pp
احراز هویت در برابر پایگاه‌دادهٔ احراز هویت SASL. توجه داشته باشید که این احتمالاً چیزی نیست که بخواهید از آن استفاده کنید، و حتی به‌طور پیش‌فرض در زمان کامپایل غیرفعال است. اگر می‌خواهید از sasldb به همراه کتابخانهٔ SASL استفاده کنید، احتمالاً در عوض مایلید از روش pwcheck_method با مقدار "auxprop" همراه با پلاگین auxprop مربوط به sasldb استفاده کنید.
.It Li ldap
.Em (تمام پلتفرم‌هایی که از OpenLDAP 2.0 یا بالاتر پشتیبانی می‌کنند)
.Pp
احراز هویت در برابر سرور ldap. پارامترهای پیکربندی ldap از مسیر /usr/local/etc/saslauthd.conf خوانده می‌شوند. مکان این فایل را می‌توان با پارامتر \-O تغییر داد. برای مشاهدهٔ فهرست پارامترهای موجود، فایل LDAP_SASLAUTHD را که همراه بسته توزیع شده است ببینید.
.It Li sia
.Em (دیجیتال یونیکس)
.Pp
احراز هویت با استفاده از معماری یکپارچه‌سازی امنیتی دیجیتال
.Ux
(معروف به
.Qq امنیت ارتقایافته ) .
.El
.Sh "نکات (NOTES)"
درایور احراز هویت
.Li kerberos4
منابع قابل توجهی مصرف می‌کند. برای انجام احراز هویت، این درایور باید
.Sy در هر درخواست احراز هویت،
یک بلیت اعطای بلیت (TGT) را از سرور TGT دریافت کند. روال‌های کتابخانهٔ Kerberos که TGT را دریافت می‌کنند، با این فرض منطقی که شما مایلید TGT را برای استفادهٔ سایر برنامه‌های Kerberos ذخیره کنید، یک فایل بلیت محلی نیز ایجاد می‌کنند. این فایل‌های بلیت توسط
.Nm
قابل استفاده نیستند، با این حال هیچ راهی برای عدم ایجاد آن‌ها وجود ندارد. بار اضافی (overhead) ناشی از ایجاد و حذف این فایل‌های بلیت می‌تواند باعث افت جدی عملکرد در سرورهای شلوغ شود. (به هر حال، Kerberos هرگز برای استفاده به این شیوه در نظر گرفته نشده بود.)
.Sh "فایل‌ها (FILES)"
.Bl -tag -width "/var/run/saslauthd/mux"
.It Pa /var/run/saslauthd/mux
سوکت پیش‌فرض ارتباطات.
.It Pa /usr/local/etc/saslauthd.conf
فایل پیکربندی پیش‌فرض برای پشتیبانی از ldap.
.El
.Sh "همچنین ببینید (SEE ALSO)"
.Xr passwd 1 ,
.Xr getpwent 3 ,
.Xr getspnam 3 ,
.Xr getuserpw 3 ,
.Xr sasl_checkpass 3 ,
.Xr sia_authenticate_user 3