SYSTEMD.SYSTEM-CREDENTIALS(7) systemd.system-credentials BEZEICHNUNG systemd.system-credentials - Systemzugangsberechtigungen BESCHREIBUNG System- und Dienste-Zugangsberechtigungen[1] sind Datenobjekte, die an gestartete Systeme oder Systemdienste bei deren Aufruf ubergeben werden konnen. Sie konnen von verschiedenen externen Quellen erlangt und in das System weitergeleitet werden und von dort aus in Systemdienste. Zugangsberechtigungen konnen optional mit einem maschinenspezifischen Schlussel verschlusselt und/oder im lokalen TPM2-Gerat gesperrt sein und nur entschlusselt werden, wenn der benutzende Dienst aufgerufen wird. System-Zugangsberechtigungen konnen zur Erbringung und Konfiguration verschiedener Aspekte des Systems verwandt werden. Abhangig von der benutzenden Komponente werden Zugangsberechtigungen nur bei dem anfanglichen Aufruf verwandt oder werden fur alle Aufrufe benotigt. Zugangsberechtigungen konnen fur alle Arten von Daten, binar oder Text, verwandt werden und konnen Passworter, Geheimnisse, Zertifikate, kryptographisches Schlusselmaterial, Identitatsinformationen, Konfiguration und weiteres transportieren. GUT BEKANNTE SYSTEM-ZUGANGSBERECHTIGUNGEN firstboot.keymap Die zu setzende Tastaturzuordnung fur die Konsole (z.B. >>de<<). Wird von systemd-firstboot(1) gelesen und nur berucksichtigt, falls vorher keine Konsolen-Tastaturzuordnung konfiguriert wurde. Hinzugefugt in Version 252. firstboot.locale, firstboot.locale-messages Die zu setzende System-Locale (z.B. >>de_DE.UTF-8<<). Wird von systemd-firstboot(1) gelesen und nur berucksichtigt, falls vorher keine Locale konfiguriert wurde. firstboot.locale setzt >>LANG<<, wahrend firstboot.locale-message >>LC_MESSAGES<< setzt. Hinzugefugt in Version 252. firstboot.timezone Die zu setzende System-Zeitzone (z.B. >>Europe/Berlin<<). Wird von systemd-firstboot(1) gelesen und nur berucksichtigt, falls vorher keine Zeitzone konfiguriert wurde. Hinzugefugt in Version 252. login.issue Die Daten dieser Zugangsberechtigung werden nach /etc/issue.d/50-provision.conf geschrieben, falls diese Datei noch nicht existiert. agetty(8) liest diese Datei und zeigt ihren Inhalt bei der Anmeldeeingabeaufforderung von Terminal-Anmeldungen. Siehe issue(5) fur Details. Wird von /usr/lib/tmpfiles.d/provision.conf benutzt, siehe tmpfiles.d(5). Hinzugefugt in Version 252. login.motd Die Daten dieser Zugangsberechtigung werden nach /etc/motd.d/50-provision.conf geschrieben, falls diese Datei noch nicht existiert. pam_motd(8) liest diese Datei und zeigt ihren Inhalt als >>Nachricht des Tages<< wahrend Anmeldungen auf Terminals an. Siehe motd(5) fur Details. Wird von /usr/lib/tmpfiles.d/provision.conf benutzt, siehe tmpfiles.d(5). Hinzugefugt in Version 252. network.hosts Die Daten dieser Zugangsberechtigung werden nach /etc/hosts geschrieben, falls diese Datei noch nicht existiert. Siehe hosts(5) fur Details. Wird von /usr/lib/tmpfiles.d/provision.conf benutzt, siehe tmpfiles.d(5). Hinzugefugt in Version 252. network.dns, network.search_domains DNS-Server-Informationen und Such-Domains. Wird von systemd-resolved.service(8) gelesen. Hinzugefugt in Version 253. network.conf.*, network.link.*, network.netdev.*, network.network.* Konfiguriert Netzwerkgerate. Wird von systemd-network-generator.service(8) gelesen. Diese Zugangsberechtigungen sollten gultige Konfigurationsdaten fur networkd.conf(5), systemd.link(5), systemd.netdev(5), systemd.network(5) enthalten. Fur jede passende Netzwerkzugangsberechtigung wird eine separate Datei erstellt. Beispiel: Der Inhalt eine Zugangsberechtigung network.link.50-foobar wird in 50-foobar.link kopiert. Beachten Sie, dass die erstellten Dateien welt-lesbar sind, es wird daher empfohlen, keine Geheimnisse in diese Zugangsberechtigungen aufzunehmen, sondern sie mittels separaten Zugangsberechtigungen direkt an systemd-networkd.service(8) bereitzustellen, z.B. network.wireguard.* wie unten beschrieben. Hinzugefugt in Version 256. network.wireguard.* Konfiguriert Geheimnisse fur WireGuard-Netdevs. Wird von systemd-networkd.service(8) gelesen. Zu weiteren Informationen lesen Sie den Abschnitt [WireGuard] in systemd.netdev(5). Hinzugefugt in Version 256. passwd.hashed-password.root, passwd.plaintext-password.root Darf das Passwort (entweder im gehashten UNIX-Format oder im Klartext) fur den Benutzer >>root<< enthalten. Wird von sowohl systemd-firstboot(1) als auch systemd-sysusers(8) gelesen und nur berucksichtigt, falls vorher kein Passwort fur den Benutzer >>root<< konfiguriert wurde. Hinzugefugt in Version 252. passwd.shell.root Der Pfad zum dem Shell-Programm (z.B. >>/bin/bash<<) fur den Benutzer >>root<<. Wird von sowohl systemd-firstboot(1) als auch systemd-sysusers(8) gelesen und nur berucksichtigt, falls vorher keine Shell fur den Benutzer >>root<< konfiguriert wurde. Hinzugefugt in Version 252. ssh.ephemeral-authorized_keys-all Stellt zusatzliche offentliche Schlussel bereit, die im gewohnten authorized_keys-Format angegeben sind. Diese sind fur alle Benutzer, fur eingehende Verbindungen mittels der erstellten AF_VSOCK- und AF_UNIX-Socket-Units. Diese sind fur das Hauptsystem (in entweder VM- oder Container-Konfigurationen) gedacht, um ein Schlusselpaar zu erstellen und es in den offentlichen Schlussel im Gast zu integrieren, wobei der private Schlussel fur Verbindungen zu jedem Benutzerkonto auf dem Gast mittels Ssh ohne zusatzliche Authentifizierung verwandt wird. Wird von systemd-ssh-generator(8) verwandt. Hinzugefugt in Version 256. ssh.authorized_keys.root Die Daten dieser Zugangsberechtigung werden nach /root/.ssh/authorized_keys geschrieben, falls diese Datei noch nicht existiert. Dies erlaubt das Erbringen von SSH-Zugriff fur den Benutzer >>root<< des Systems. Wird von /usr/lib/tmpfiles.d/provision.conf benutzt, siehe tmpfiles.d(5). Hinzugefugt in Version 252. ssh.listen Kann zur Konfiguration von SSH-Sockets verwandt werden, auf denen das System erreichbar sein soll. Siehe systemd-ssh-generator(8) zu Details. Hinzugefugt in Version 256. sysusers.extra Zusatzliche sysusers.d(5)-Zeilen, die wahrend des Systemstarts verarbeitet werden. Hinzugefugt in Version 252. sysctl.extra Zusatzliche sysctl.d(5)-Zeilen, die wahrend des Systemstarts verarbeitet werden. Hinzugefugt in Version 252. tmpfiles.extra Zusatzliche tmpfiles.d(5)-Zeilen, die wahrend des Systemstart verarbeitet werden. Hinzugefugt in Version 252. fstab.extra Zusatzliche Einhangungen, die beim Systemstart etabliert werden sollen. Zu Details siehe systemd-fstab-generator(8). Hinzugefugt in Version 254. vconsole.keymap, vconsole.keymap_toggle, vconsole.font, vconsole.font_map, vconsole.font_unimap Anzuwendende Konsoleeinstellungen, siehe systemd-vconsole-setup.service(8) fur Details. Hinzugefugt in Version 253. getty.auto Wird zum Steuern des Ausfuhrungsmodus von systemd-getty-generator verwandt, siehe systemd-getty-generator(8) zu Details. Hinzugefugt in Version 258. getty.ttys.serial, getty.ttys.container Wird zum Erzeugen zusatzlicher Anmeldeeingaben verwandt, siehe systemd-getty-generator(8) zu Details. Hinzugefugt in Version 254. journal.forward_to_socket Wird von systemd-journald(8) verwandt, um zu bestimmen, wohin bei Socket-Weiterleitungen Meldungen weitergeleitet werden sollen, siehe journald.conf(5) zu Details. Hinzugefugt in Version 256. journal.storage Wird von systemd-journald(8) verwandt, um zu bestimmen, wo Journal-Dateien gespeichert werden sollen, siehe journald.conf(5) zu Details. Hinzugefugt in Version 256. vmm.notify_socket Konfiguriert einen zu sd_notify(3) kompatiblen AF_VSOCK-Socket, fur den der Diensteverwalter Statusinformationen, Bereitschaftsbenachrichtigungen und Exit-Status berichten wird. Zu Details siehe systemd(1). Hinzugefugt in Version 253. shell.prompt.prefix, shell.prompt.suffix Definiert Zeichenketten, die allen interaktiven UNIX-Shell-Eingabeaufforderungen vorangestellt oder angehangt werden. Zu Details siehe pam_systemd(8). Hinzugefugt in Version 257. shell.welcome Definiert eine Zeichenkette, die ausgegeben wird, wenn sich eine interaktive UNIX-Shell initialisiert. Zu Details siehe pam_systemd(8). Hinzugefugt in Version 257. system.machine_id Akzeptiert eine 128-bit-Kennung, aus der die Maschinenkennung initialisiert wird (falls sie noch nicht gesetzt ist). Wird vom Diensteverwalter (PID 1) interpretiert. Zu Details siehe systemd(1). Hinzugefugt in Version 254. system.hostname Akezptiert einen (fluchtigen) Rechnernamen fur die Konfiguration im fruhen Systemstart. Der in /etc/hostname angegebene statische Rechnername hat Vorrang, falls konfiguriert, vor dieser Einstellung. Wird vom Diensteverwalter (PID 1) interpretiert. Zu Details siehe systemd(1). Hinzugefugt in Version 254. home.add-signing-key.* Fugt einen neuen Signaturschlussel fur Benutzerdatensatze zum System hinzu. Der Inhalt der Zugangsberechtigung sollte einen Benutzer-Signaturschlussel enthalten, beispielsweise wie er durch homectl get-signing-key berichtet wird. Es konnen mehrere Schlussel festgelegt werden und sie werden unter dem Namen der Endung der Zugangsberechtigung abgelegt (die wiederum die Endung .public tragen muss). Details finden Sie in homectl(1). Hinzugefugt in Version 258. home.create.* Erstellt einen neuen Home-Bereich fur den festgelegten Benutzer, wobei die Benutzerdatensatzdaten hereingereicht werden. Zu Details siehe homectl(1). Hinzugefugt in Version 256. home.register.* Registriert einen bestehenden Home-Bereich fur den festgelegten Benutzer, wobei die Benutzerdatensatzdaten hereingereicht werden. Zu Details siehe homectl(1). Hinzugefugt in Version 258. cryptsetup.passphrase, cryptsetup.tpm2-pin, cryptsetup.fido2-pin, cryptsetup.pkcs11-pin, cryptsetup.luks2-pin Spezifiziert die Passhprasen/PINs, die zum Entsperren von verschlusselten Speicherdatentragern verwandt werden. Zu Details sieh systemd-cryptsetup(8). Hinzugefugt in Version 256. systemd.extra-unit.*, systemd.unit-dropin.* Diese Zugangsberechtigungen spezifizieren zusatzliche Units und Erganzungen, die zu dem System hinzugefugt werden sollen. Zu Details siehe systemd-debug-generator(8). Hinzugefugt in Version 256. udev.conf.*, udev.rules.* Konfiguriert die Udev-Konfigurationsdateien und -Regeln. Wird von systemd-udev-load-credentials.service gelesen, das udevadm control --load-credentials aufruft. Diese Zugangsberechtigungen werden direkt in eine ubereinstimmende udev.conf(5)- oder udev(7)-Regeldatei ubersetzt. Beispiel: Der Inhalt einer Zugangsberechtigungs-udev.conf.50-foobar wird in die Datei /run/udev/udev.conf.d/50-foobar.conf kopiert und udev.rules.50-foobar wird in eine Datei /run/udev/rules.d/50-foobar.rules kopiert. Siehe udev(7), udev.conf(5) und udevadm(8) zu Details. Hinzugefugt in Version 256. import.pull Festgelegte Plattenabbilder (Tarballe und DDIs), die beim Systemstart automatisch heruntergeladen und installiert werden. Zu Details siehe systemd-import-generator(8). Hinzugefugt in Version 257. userdb.user.*, userdb.group.*, userdb.transient.user.*, userdb.transient.group.* Konfiguriert JSON-Benutzer- und -Gruppen-Datensatze. Wird von systemd-userdb-load-credentials.service gelesen, das userdbctl load-credentials aufruft. Diese Zugangsberechtigungen werden direkt in ubereinstimmende JSON-Benutzer-[2] und JSON-Gruppen-[3]Datensatze ubersetzt. Beispiel: Der Inhalt einer Zugangsberechtigungs-userdb.user.foobar wird in eine Datei /etc/userdb/foobar.user kopiert und userdb.group.foobar wird in eine Datei /etc/userdb/foobar.group kopiert. Symlinks fur die uid/gid werden ebenfalls in /etc/userdb/ erstellt sowie die entsprechenden Dateien .membership. In systemd-userdbd.service(7), nss-systemd(8) und userdbctl(1) finden Sie weitere Details. Alle ubergebenen Benutzerdatensatze mussen die Felder uid und gid enthalten. Alle ubergebenen Gruppendatensatze mussen ein Feld gid enthalten. Sowohl bei Benutzer- als auch Gruppendatensatzen muss die Endung der Zugangsberechtigung (fur >>userdb.user.foobar<< ist die Endung >>foobar<<) auf das Benutzer- oder Gruppennamenfeld aus dem Benutzer- oder Gruppendatensatz passen. Beachten Sie, dass fur die Zugangsberechtigungen userdb.user.* und userdb.group.* erstellte Datensatze in /etc/userdb/ und die fur userdb.transient.user.* und userdb.transient.group.* erstellten Datensatze in /run/userdb/ erstellt werden (/etc/passwd und /etc/group werden nicht verandert). Hinzugefugt in Version 258. fsck.* Wird von systemd-fsck@.service, systemd-fsck-root.service und systemd-fsck-usr.service gelesen. Weitere Details finden Sie in systemd-fsck@.service(8). Hinzugefugt in Version 258. quotacheck.* Wird von systemd-quotacheck@.service und systemd-quotacheck-root.service gelesen. Weitere Details finden Sie in systemd-quotacheck(8). Hinzugefugt in Version 258. SIEHE AUCH systemd(1), kernel-command-line(7), smbios-type-11(7) ANMERKUNGEN 1. System- und Dienste-Zugangsberechtigungen https://systemd.io/CREDENTIALS 2. JSON-Benutzer https://systemd.io/USER_RECORD 3. JSON-Gruppe https://systemd.io/GROUP_RECORD UBERSETZUNG Die deutsche Ubersetzung dieser Handbuchseite wurde von Helge Kreutzmann erstellt. Diese Ubersetzung ist Freie Dokumentation; lesen Sie die GNU General Public License Version 3 oder neuer bezuglich der Copyright-Bedingungen. Es wird KEINE HAFTUNG ubernommen. Wenn Sie Fehler in der Ubersetzung dieser Handbuchseite finden, schicken Sie bitte eine E-Mail an die Mailingliste der Ubersetzer . systemd 260.2 SYSTEMD.SYSTEM-CREDENTIALS(7)