SSSD-KRB5(5) File Formats and Conventions SSSD-KRB5(5)

sssd-krb5 - ارائه‌دهنده Kerberos برای SSSD

این صفحه راهنما به شرح پیکربندی بک‌اند احراز هویت Kerberos 5 برای sssd(8) می‌پردازد. برای مرجع دقیق ساختار نحوی (سینتکس)، لطفاً به بخش “FILE FORMAT” در صفحه راهنمای sssd.conf(5) مراجعه کنید.

بک‌اند احراز هویت Kerberos 5 شامل ارائه‌دهنده‌های auth و chpass است. این بک‌اند برای عملکرد صحیح باید با یک ارائه‌دهنده هویت جفت شود (برای نمونه، id_provider = ldap). برخی از اطلاعات مورد نیاز بک‌اند احراز هویت Kerberos 5 باید توسط ارائه‌دهنده هویت تأمین شود، مانند نام کاربر ارشد کربروس کاربر (UPN). پیکربندی ارائه‌دهنده هویت باید دارای مدخلی برای مشخص کردن UPN باشد. لطفاً برای جزئیات نحوه پیکربندی این مورد، به صفحه راهنمای ارائه‌دهنده هویت مربوطه مراجعه کنید.

این بک‌اند همچنین کنترل دسترسی را بر پایه پرونده .k5login در دایرکتوری خانگی کاربر فراهم می‌کند. برای جزئیات بیشتر به k5login(5) مراجعه کنید. لطفاً توجه داشته باشید که یک پرونده .k5login خالی، تمام دسترسی‌ها را برای این کاربر رد خواهد کرد. برای فعال‌سازی این ویژگی، از 'access_provider = krb5' در پیکربندی SSSD خود استفاده کنید.

در صورتی که UPN در بک‌اند هویت در دسترس نباشد، sssd یک UPN را با استفاده از قالب username@krb5_realm ایجاد خواهد کرد.

اگر ماژول احراز هویت (auth-module) krb5 در یک دامنه SSSD استفاده شود، گزینه‌های زیر باید استفاده شوند. برای جزئیات پیکربندی یک دامنه SSSD، به بخش “DOMAIN SECTIONS” در صفحه راهنمای sssd.conf(5) مراجعه کنید.

krb5_server, krb5_backup_server (string)

فهرستی جداشده با ویرگول از نشانی‌های IP یا نام‌های میزبان سرورهای Kerberos را که SSSD باید به ترتیب اولویت به آن‌ها متصل شود مشخص می‌کند. برای اطلاعات بیشتر درباره جایگزینی هنگام خرابی و افزونگی سرورها، به بخش “جایگزینی هنگام خرابی (FAILOVER)” مراجعه کنید. یک شماره پورت اختیاری (به همراه دو نقطه قبل از آن) می‌تواند به نشانی‌ها یا نام‌های میزبان الحاق شود. در صورت خالی بودن، شناسایی سرویس فعال می‌شود؛ برای اطلاعات بیشتر به بخش “شناسایی سرویس (SERVICE DISCOVERY)” مراجعه نمایید.

هنگام استفاده از شناسایی سرویس برای سرورهای KDC یا kpasswd، ابتدا SSSD مدخل‌های DNS را که _udp را به عنوان پروتکل مشخص می‌کنند جستجو کرده و در صورت پیدا نشدن به _tcp بازمی‌گردد.

این گزینه در نسخه‌های پیشین SSSD با نام “krb5_kdcip” نامیده می‌شد. در حالی که این نام قدیمی در حال حاضر شناسایی می‌شود، به کاربران توصیه می‌شود پرونده‌های پیکربندی خود را برای استفاده از “krb5_server” به‌روزرسانی کنند.

krb5_realm (string)

نام قلمرو (realm) کربروس. این گزینه اجباری است و باید مشخص شود.

krb5_kpasswd, krb5_backup_kpasswd (string)

اگر سرویس تغییر گذرواژه روی KDC اجرا نمی‌شود، سرورهای جایگزین می‌توانند در اینجا تعریف شوند. یک شماره پورت اختیاری (به همراه دو نقطه قبل از آن) می‌تواند به نشانی‌ها یا نام‌های میزبان الحاق شود.

برای اطلاعات بیشتر درباره جایگزینی هنگام خرابی و افزونگی سرورها، به بخش “جایگزینی هنگام خرابی (FAILOVER)” مراجعه کنید. نکته: حتی اگر سرور kpasswd دیگری برای امتحان باقی نمانده باشد، در صورتی که احراز هویت در برابر KDC همچنان امکان‌پذیر باشد، بک‌اند به حالت آفلاین تغییر وضعیت نمی‌دهد.

پیش‌فرض: استفاده از KDC

krb5_ccachedir (string)

دایرکتوری ذخیره حافظه‌های موقت گواهی‌نامه (credential caches). تمامی توالی‌های جایگزینی krb5_ccname_template در اینجا نیز قابل استفاده هستند، به جز %d و %P. این دایرکتوری به عنوان خصوصی و متعلق به کاربر، با دسترسی‌های تنظیم‌شده روی 0700 ایجاد می‌شود.

پیش‌فرض: /tmp

krb5_ccname_template (string)

محل ذخیره حافظه موقت گواهی‌نامه کاربر (credential cache). در حال حاضر سه نوع حافظه موقت گواهی‌نامه پشتیبانی می‌شود: “FILE”، “DIR” و “KEYRING:persistent”. حافظه موقت می‌تواند به صورت TYPE:RESIDUAL یا به عنوان یک مسیر مطلق که نوع “FILE” را نشان می‌دهد مشخص شود. در این قالب، توالی‌های زیر جایگزین می‌شوند:

%u

نام ورود به سیستم

%U

شناسه کاربر (UID) ورود به سیستم

%p

نام کاربر ارشد (principal name)

%r

نام قلمرو (realm name)

%h

دایرکتوری خانگی

%d

مقدار krb5_ccachedir

%P

شناسه فرایند (PID) کلاینت SSSD

%%

نویسه واقعی '%'

اگر قالب با 'XXXXXX' به پایان برسد، از mkstemp(3) برای ایجاد نام پرونده یکتا به روشی امن استفاده می‌شود.

هنگام استفاده از انواع KEYRING، تنها سازوکار پشتیبانی‌شده “KEYRING:persistent:%U” است که از دسته‌کلید هسته لینوکس (Linux kernel keyring) برای ذخیره گواهی‌نامه‌ها بر پایه هر UID استفاده می‌کند. این گزینه همچنین انتخاب توصیه‌شده است، زیرا امن‌ترین و پیش‌بینی‌پذیرترین روش محسوب می‌شود.

مقدار پیش‌فرض نام حافظه موقت گواهی‌نامه از نمایه ذخیره‌شده در پرونده پیکربندی سراسری krb5.conf در بخش [libdefaults] تأمین می‌شود. نام این گزینه default_ccache_name است. برای اطلاعات بیشتر در مورد قالب گسترش تعریف‌شده توسط krb5.conf، به بند PARAMETER EXPANSION در krb5.conf(5) مراجعه کنید.

نکته: لطفاً آگاه باشید که قالب گسترش ccache در libkrb5 از krb5.conf(5) توالی‌های گسترش متفاوتی را نسبت به SSSD به کار می‌برد.

پیش‌فرض: (از libkrb5)

krb5_keytab (string)

محل ذخیره keytab مورد استفاده هنگام اعتبارسنجی گواهی‌نامه‌های به‌دست‌آمده از KDCها.

پیش‌فرض: keytab سیستم، معمولاً /etc/krb5.keytab

krb5_store_password_if_offline (boolean)

ذخیره گذرواژه کاربر در صورت آفلاین بودن ارائه‌دهنده و استفاده از آن برای درخواست TGT زمانی که ارائه‌دهنده دوباره آنلاین می‌شود.

نکته: این ویژگی فقط در لینوکس موجود است. گذرواژه‌های ذخیره‌شده به این روش به صورت متن ساده در دسته‌کلید هسته نگهداری می‌شوند و به طور بالقوه برای کاربر ریشه (با دشواری) قابل دسترسی هستند.

پیش‌فرض: false

krb5_use_fast (string)

فعال‌سازی تونل‌زنی امن احراز هویت انعطاف‌پذیر (FAST) برای پیش‌احراز هویت Kerberos. گزینه‌های زیر پشتیبانی می‌شوند:

never هرگز از FAST استفاده نکند. این معادل تنظیم نکردن این گزینه است.

try برای استفاده از FAST تلاش کند. اگر سرور از FAST پشتیبانی نکند، احراز هویت بدون آن ادامه می‌یابد.

demand استفاده از FAST الزامی باشد. در صورتی که سرور به fast نیاز نداشته باشد، احراز هویت با شکست مواجه می‌شود.

پیش‌فرض: تنظیم نشده، یعنی از FAST استفاده نمی‌شود.

نکته: برای استفاده از FAST یک keytab یا پشتیبانی از PKINIT ناشناس مورد نیاز است.

نکته: SSSD فقط از FAST با MIT Kerberos نسخه 1.8 و بالاتر پشتیبانی می‌کند. اگر SSSD با نسخه قدیمی‌تری از MIT Kerberos استفاده شود، استفاده از این گزینه یک خطای پیکربندی محسوب می‌شود.

krb5_fast_principal (string)

مشخص می‌کند که کدام کاربر ارشد سرور (server principal) برای FAST استفاده شود.

krb5_fast_use_anonymous_pkinit (boolean)

اگر روی true تنظیم شود، به جای استفاده از یک keytab، تلاش می‌کند از PKINIT ناشناس برای دریافت گواهی‌نامه لازم برای FAST استفاده کند. گزینه krb5_fast_principal در این حالت نادیده گرفته می‌شود.

پیش‌فرض: false

krb5_use_kdcinfo (boolean)

مشخص می‌کند که آیا SSSD باید به کتابخانه‌های Kerberos بگوید که از کدام قلمرو و کدام KDCها استفاده کنند. این گزینه به طور پیش‌فرض فعال است؛ اگر آن را غیرفعال کنید، باید کتابخانه Kerberos را با استفاده از پرونده پیکربندی krb5.conf(5) پیکربندی نمایید.

برای اطلاعات بیشتر درباره پلاگین مکان‌یاب، به صفحه راهنمای sssd_krb5_locator_plugin(8) مراجعه کنید.

پیش‌فرض: true

krb5_kdcinfo_lookahead (string)

هنگامی که krb5_use_kdcinfo روی true تنظیم شده است، می‌توانید تعداد سرورهای تحویل‌داده‌شده به sssd_krb5_locator_plugin(8) را محدود کنید. این کار در مواردی که سرورهای زیادی با استفاده از رکوردهای SRV کشف می‌شوند، می‌تواند مفید باشد.

گزینه krb5_kdcinfo_lookahead شامل دو عدد است که با دو نقطه از هم جدا شده‌اند. عدد اول نشان‌دهنده تعداد سرورهای اصلی مورد استفاده و عدد دوم مشخص‌کننده تعداد سرورهای پشتیبان است.

برای نمونه 10:0 بدین معنی است که تا ۱۰ سرور اصلی به sssd_krb5_locator_plugin(8) تحویل داده می‌شوند، اما هیچ سرور پشتیبانی داده نخواهد شد.

پیش‌فرض: 3:1

krb5_use_enterprise_principal (boolean)

مشخص می‌کند که آیا کاربر ارشد (user principal) باید به عنوان کاربر ارشد سازمانی (enterprise principal) در نظر گرفته شود یا خیر. برای جزئیات بیشتر درباره enterprise principal به بخش ۵ از RFC 6806 مراجعه کنید.

پیش‌فرض: false (ارائه‌دهنده AD: برابر true)

ارائه‌دهنده IPA در صورتی که تشخیص دهد سرور قادر به رسیدگی به کاربران ارشد سازمانی است و این گزینه به طور صریح در پرونده پیکربندی تنظیم نشده باشد، این گزینه را روی 'true' تنظیم خواهد کرد.

krb5_use_subdomain_realm (boolean)

استفاده از قلمروهای زیردامنه‌ها را برای احراز هویت کاربران دامنه‌های مورد اعتماد مشخص می‌کند. اگر enterprise principalها با upnSuffixهایی استفاده شوند که در KDCهای دامنه والد شناخته‌شده نیستند، می‌توان این گزینه را روی 'true' تنظیم کرد. اگر این گزینه روی 'true' تنظیم شود، SSSD تلاش می‌کند درخواست را مستقیماً به یک KDC از دامنه مورد اعتمادی که کاربر از آن می‌آید ارسال کند.

پیش‌فرض: false

krb5_map_user (string)

فهرست نگاشت‌ها به صورت فهرستی جداشده با ویرگول از جفت‌های “username:primary” داده می‌شود که در آن “username” یک نام کاربری یونیکس و “primary” بخش کاربری یک کاربر ارشد کربروس است. این نگاشت زمانی استفاده می‌شود که کاربر با استفاده از “auth_provider = krb5” احراز هویت می‌کند.

مثال:

krb5_realm = REALM
krb5_map_user = joe:juser,dick:richard

“joe” و “dick” نام‌های کاربری یونیکس هستند و “juser” و “richard” بخش‌های اصلی (primaries) کاربران ارشد کربروس می‌باشند. برای کاربر “joe” یا “dick”، SSSD تلاش می‌کند به عنوان “juser@REALM” یا “richard@REALM” دستور kinit را اجرا کند.

پیش‌فرض: تنظیم نشده

krb5_auth_timeout (integer)

مهلت زمانی به ثانیه که پس از آن یک درخواست احراز هویت آنلاین یا درخواست تغییر گذرواژه لغو می‌شود. در صورت امکان، درخواست احراز هویت به صورت آفلاین ادامه می‌یابد.

پیش‌فرض: 6

krb5_validate (boolean)

با کمک krb5_keytab تأیید می‌کند که TGT به‌دست‌آمده جعل نشده باشد. مدخل‌های keytab به ترتیب بررسی می‌شوند و اولین مدخل با قلمرو منطبق برای اعتبارسنجی استفاده می‌شود. اگر هیچ مدخلی با قلمرو تطابق نداشته باشد، آخرین مدخل در keytab استفاده می‌شود. این فرایند می‌تواند برای اعتبارسنجی محیط‌هایی که از اعتماد بین‌قلمرویی (cross-realm trust) استفاده می‌کنند، با قرار دادن مدخل keytab مناسب به عنوان آخرین یا تنها مدخل در پرونده keytab، مورد استفاده قرار گیرد.

پیش‌فرض: false (ارائه‌دهنده IPA و AD: برابر true)

لطفاً توجه داشته باشید که اعتبارسنجی بلیت، اولین گام هنگام بررسی PAC است (برای جزئیات به 'pac_check' در صفحه راهنمای sssd.conf(5) مراجعه کنید). در صورت غیرفعال بودن اعتبارسنجی بلیت، بررسی‌های PAC نیز نادیده گرفته خواهند شد.

krb5_renewable_lifetime (string)

درخواست بلیت قابل تمدید با طول عمر کل مشخص؛ به صورت یک عدد صحیح که بلافاصله پس از آن یک واحد زمانی می‌آید:

s برای ثانیه

m برای دقیقه

h برای ساعت

d برای روز.

اگر هیچ واحدی مشخص نشود، s فرض می‌شود.

نکته: ترکیب واحدها امکان‌پذیر نیست. برای تنظیم طول عمر قابل تمدید روی یک ساعت و نیم، به جای '1h30m' از '90m' استفاده کنید.

پیش‌فرض: تنظیم نشده، یعنی TGT قابل تمدید نیست

krb5_lifetime (string)

درخواست بلیت با طول عمر مشخص؛ به صورت یک عدد صحیح که بلافاصله پس از آن یک واحد زمانی می‌آید:

s برای ثانیه

m برای دقیقه

h برای ساعت

d برای روز.

اگر هیچ واحدی مشخص نشود s فرض می‌شود.

نکته: ترکیب واحدها امکان‌پذیر نیست. برای تنظیم طول عمر روی یک ساعت و نیم، لطفاً به جای '1h30m' از '90m' استفاده کنید.

پیش‌فرض: تنظیم نشده، یعنی طول عمر پیش‌فرض بلیت که روی KDC پیکربندی شده است.

krb5_renew_interval (string)

زمان به ثانیه بین دو بررسی برای این‌که آیا TGT باید تمدید شود یا خیر. اگر حدود نیمی از طول عمر TGT سپری شده باشد، تمدید می‌شود؛ به صورت یک عدد صحیح که بلافاصله پس از آن یک واحد زمانی می‌آید:

s برای ثانیه

m برای دقیقه

h برای ساعت

d برای روز.

اگر هیچ واحدی مشخص نشود، s فرض می‌شود.

نکته: ترکیب واحدها امکان‌پذیر نیست. برای تنظیم طول عمر قابل تمدید روی یک ساعت و نیم، به جای '1h30m' از '90m' استفاده کنید.

اگر این گزینه تنظیم نشده باشد یا 0 باشد، تمدید خودکار غیرفعال است.

پیش‌فرض: تنظیم نشده

krb5_canonicalize (boolean)

مشخص می‌کند که آیا کاربر ارشد میزبان و کاربر باید استانداردسازی (canonicalize) شوند یا خیر. این ویژگی با MIT Kerberos 1.7 و نسخه‌های بعدی در دسترس است.

پیش‌فرض: false

قابلیت جایگزینی هنگام خرابی به بک‌اندها اجازه می‌دهد تا در صورت خرابی سرور فعلی، به طور خودکار به سرور دیگری سوییچ کنند.

فهرست سرورها به صورت فهرستی جداشده با ویرگول مشخص می‌شود؛ هر تعداد فاصله در اطراف ویرگول مجاز است. سرورها به ترتیب اولویت فهرست می‌شوند. فهرست می‌تواند شامل هر تعداد سرور باشد.

برای هر گزینه پیکربندی مجهز به قابلیت جایگزینی هنگام خرابی، دو حالت وجود دارد: primary و backup. ایده این است که سرورهای فهرست اصلی (primary) ترجیح داده می‌شوند و سرورهای پشتیبان (backup) تنها در صورتی جستجو می‌شوند که هیچ سرور اصلی‌ای در دسترس نباشد. اگر یک سرور پشتیبان انتخاب شود، مهلت زمانی ۳۱ ثانیه‌ای تنظیم می‌شود. پس از این مهلت زمانی، SSSD به طور دوره‌ای تلاش می‌کند تا دوباره به یکی از سرورهای اصلی متصل شود. در صورت موفقیت، سرور فعال فعلی (پشتیبان) جایگزین خواهد شد.

سازوکار جایگزینی هنگام خرابی میان یک ماشین و یک سرویس تمایز قائل می‌شود. بک‌اند ابتدا تلاش می‌کند تا نام میزبان ماشین مورد نظر را ارزیابی (resolve) کند؛ اگر این تلاش ناموفق باشد، ماشین آفلاین تلقی می‌شود. هیچ تلاش دیگری برای اتصال به این ماشین برای هر سرویس دیگری صورت نخواهد گرفت. اگر ارزیابی موفقیت‌آمیز باشد، بک‌اند تلاش می‌کند به سرویسی روی این ماشین متصل شود. اگر تلاش برای اتصال به سرویس شکست بخورد، تنها آن سرویس خاص آفلاین در نظر گرفته می‌شود و بک‌اند به طور خودکار به سرویس بعدی سوییچ می‌کند. ماشین همچنان آنلاین تلقی شده و ممکن است برای سرویس دیگری دوباره امتحان شود.

تلاش‌های بعدی برای اتصال به ماشین‌ها یا سرویس‌هایی که به عنوان آفلاین علامت‌گذاری شده‌اند، پس از یک بازه زمانی مشخص انجام می‌شود؛ این مقدار در حال حاضر روی ۳۰ ثانیه کدگذاری ثابت (hard-coded) شده است.

اگر ماشین دیگری برای امتحان وجود نداشته باشد، کل بک‌اند به حالت آفلاین تغییر وضعیت می‌دهد و سپس هر ۳۰ ثانیه یک بار برای اتصال مجدد تلاش می‌کند.

ارزیابی یک سرور جهت اتصال می‌تواند به سادگی اجرای یک پرس‌وجوی DNS تکی باشد یا شامل چندین مرحله شود، مانند یافتن سایت (site) صحیح یا آزمودن چندین نام میزبان در صورتی که برخی از سرورهای پیکربندی‌شده در دسترس نباشند. سناریوهای پیچیده‌تر ممکن است مدتی طول بکشند و SSSD باید میان دادن زمان کافی برای اتمام فرایند ارزیابی و از سوی دیگر، تلاش نکردن بیش از حد طولانی پیش از رفتن به حالت آفلاین، تعادل برقرار کند. اگر گزارش‌های رفع اشکال در SSSD نشان می‌دهند که ارزیابی سرور پیش از برقراری ارتباط با یک سرور زنده به پایان مهلت زمانی می‌رسد، می‌توانید تغییر مهلت‌های زمانی را در نظر بگیرید.

این بخش گزینه‌های قابل تنظیم موجود را فهرست می‌کند. لطفاً برای شرح آن‌ها به صفحه راهنمای sssd.conf(5) مراجعه نمایید.

dns_resolver_server_timeout

زمان به میلی‌ثانیه که مشخص می‌کند SSSD پیش از رفتن سراغ سرور بعدی، چقدر با یک سرور DNS مشخص گفتگو کند.

پیش‌فرض: 1000

dns_resolver_op_timeout

زمان به ثانیه که مشخص می‌کند SSSD پیش از امتحان نام میزبان یا دامنه شناسایی بعدی، چه مدت برای ارزیابی یک پرس‌وجوی DNS منفرد (مانند ارزیابی نام میزبان یا یک رکورد SRV) تلاش کند.

پیش‌فرض: 3

dns_resolver_timeout

مدت زمانی که SSSD تلاش می‌کند یک سرویس جایگزینی هنگام خرابی را ارزیابی کند. این ارزیابی سرویس در درون خود ممکن است شامل چندین مرحله باشد، مانند ارزیابی پرس‌وجوهای DNS SRV یا مکان‌یابی سایت.

پیش‌فرض: 6

برای ارائه‌دهندگان مبتنی بر LDAP، عملیات ارزیابی به عنوان بخشی از عملیات اتصال LDAP انجام می‌شود. بنابراین، مهلت زمانی “ldap_opt_timeout” نیز باید روی مقداری بزرگ‌تر از “dns_resolver_timeout” تنظیم شود، که آن هم به نوبه خود باید روی مقداری بزرگ‌تر از “dns_resolver_op_timeout” تنظیم گردد، که آن هم باید از “dns_resolver_server_timeout” بزرگ‌تر باشد.

قابلیت شناسایی سرویس به بک‌اندها اجازه می‌دهد تا با استفاده از یک پرس‌وجوی ویژه DNS به طور خودکار سرورهای مناسب را برای اتصال پیدا کنند. این ویژگی برای سرورهای پشتیبان پشتیبانی نمی‌شود.

اگر هیچ سروری مشخص نشده باشد، بک‌اند به طور خودکار از شناسایی سرویس برای یافتن سرور استفاده می‌کند. به طور اختیاری، کاربر می‌تواند با قرار دادن کلمه کلیدی ویژه “_srv_” در فهرست سرورها، از هر دو روش نشانی‌های سرور ثابت و شناسایی سرویس استفاده کند. ترتیب اولویت حفظ می‌شود. این ویژگی برای مواردی مفید است که مثلاً کاربر ترجیح می‌دهد تا جای ممکن از شناسایی سرویس استفاده کند و در صورتی که هیچ سروری از طریق DNS کشف نشد، به یک سرور خاص رجوع نماید.

لطفاً برای جزئیات بیشتر به پارامتر “dns_discovery_domain” در صفحه راهنمای sssd.conf(5) مراجعه کنید.

پرس‌وجوها معمولاً _tcp را به عنوان پروتکل تعیین می‌کنند. موارد استثنا در توضیحات گزینه مربوطه مستند شده است.

برای اطلاعات بیشتر درباره سازوکار شناسایی سرویس، به RFC 2782 مراجعه کنید.

مثال زیر فرض می‌کند که SSSD به درستی پیکربندی شده است و FOO یکی از دامنه‌ها در بخش [sssd] است. این مثال تنها پیکربندی احراز هویت Kerberos را نشان می‌دهد و شامل هیچ ارائه‌دهنده هویتی نیست.

[domain/FOO]
auth_provider = krb5
krb5_server = 192.168.1.1
krb5_realm = EXAMPLE.COM

sssd(8), sssd.conf(5), sssd-ldap(5), sssd-ldap-attributes(5), sssd-krb5(5), sssd-simple(5), sssd-ipa(5), sssd-ad(5), sssd-idp(5), sssd-sudo(5), sssd-session-recording(5), sss_cache(8), sss_debuglevel(8), sss_obfuscate(8), sss_seed(8), sssd_krb5_locator_plugin(8), sss_ssh_authorizedkeys(1), sss_ssh_knownhosts(1), sssd-ifp(5), pam_sss(8). sss_rpcidmapd(5)

The SSSD upstream - https://github.com/SSSD/sssd

06/09/2026 SSSD