'\" t
.\"     Title: authselect-migration
.\"    Author: [FIXME: author] [see http://www.docbook.org/tdg5/en/html/author]
.\" Generator: DocBook XSL Stylesheets vsnapshot <http://docbook.sf.net/>
.\"      Date: 2021-06-05
.\"    Manual: \ \&
.\"    Source: \ \&
.\"  Language: English
.\"
.TH "AUTHSELECT\-MIGRATIO" "7" "2021\-06\-05" "\ \&" "\ \&"
.\" -----------------------------------------------------------------
.\" * Define some portability stuff
.\" -----------------------------------------------------------------
.\" ~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~
.\" http://bugs.debian.org/507673
.\" http://lists.gnu.org/archive/html/groff/2009-02/msg00013.html
.\" ~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~
.ie \n(.g .ds Aq \(aq
.el       .ds Aq '
.\" -----------------------------------------------------------------
.\" * set default formatting
.\" -----------------------------------------------------------------
.\" disable hyphenation
.nh
.\" disable justification (adjust text to left margin only)
.ad l
.\" -----------------------------------------------------------------
.\" * MAIN CONTENT STARTS HERE *
.\" -----------------------------------------------------------------
.SH "NAME"
authselect-migration \- En guide till hur man migrerar från authconfig till authselect\&.
.SH "BESKRIVNING"
.sp
Denna manualsida förklarar huvudskillnaderna mellan authconfig, det tidigare verktyget för att konfigurera systemautenticering och identitetskällor, och authselect som ersätter det\&. Den förklarar även vilka åtgärder som behöver göras för att migrera från authconfig till authselect\&.
.SH "HUVUDSAKLIGA SKILLNADER"
.sp
Authselect har ett helt annat angreppssätt till systemkonfiguration än det tidigare verktyget authconfig\&.
.sp
Authconfig gör sitt bästa för att behålla användarens manuella ändringar av filer det genererar\&. Det genererar inte endast PAM\-konfigurationsfiler och nsswitch\&.conf (för att sätta upp autentiseringsmoduler och identitetskällor) utan genererar även enkla konfigurationsfiler för flera tjänster såsom LDAP och Kerberos\&.
.sp
Authselect gör inget sådant\&. Det genererar inte några konfigurationsfiler vid sidan av PAM och nsswitch\&.conf och förhindrar strikt eventuella manuella ändringar av den genererade konfigurationen\&. Det tillhandahåller ett antal filer som kallas profiler\&. Varje profil beskriver hur den resulterande konfigurationen skall se ut och smärre ändringar av den kan göras genom att aktivera eller avaktivera vissa valfria funktioner\&. Om behovet uppstår av en annan profil än vad suthselect kommer med, administratören ha möjligheten att skapa en helt ny profil och använda den tillsammans med authselect\&. Se authselect\-profiles(5) för att få reda på mer om profiler\&.
.sp
Detta kan förefalla att vara en stor nackdel, men i verkligheten är det motsatsen\&. Authconfig är ett väldigt gammalt verktyg och program som erbjuder nödvändiga tjänster har ändrats snabbt under åren\&. Typiskt finns det inte längre ett behov av att ha flera autentiseringsmoduler i PAM och nsswitch\&.conf, eftersom den övervägande majoriteten av användningsfall täcks av SSSD\&. Därför finns det inget behov av att lägga till eller ta bort dem specifikt\&. Det finns även bättre verktyg för att generera konfiguration för systemdemoner som kan hjälpa till att automatisera processen att gå med i en fjärrdomän såsom \(rqrike\(rq\&. Dessutom ger de levererade profilerna en omfattande och deterministisk systemkonfiguration som kan testas fullständigt och är mycket mindre felbenäget\&. Det är också mycket enklare att distribuera sådan konfiguration över många system\&.
.sp
Den förmodligen mest kontroversiella ändringen är att authselect bara levererar profiler för leverantörerna sssd och winbind\&. Dessa två leverantörer täcker alla moderna användningsfall från att ha lokala användare och gamla LDAP\-domäner till komplexa konfigurationer med servrar för IPA eller Active Directory\&. Profilerna innehåller inte längre stöd för nss\-pam\-ldapd och användare uppmuntras att byta till sssd\&.
.SH "GÅ MED I FJÄRRDOMÄNER"
.sp
Man kan använda antingen \(rqipa\-client\-install\(rq eller \(rqrealm\(rq för att gå med i en IPA\-domän och \(rqrealm\(rq för att gå med i en Activer Directory\-domän\&. Dessa verktyg kommer se till att rätt authselect\-profil väljs och att alla demoner och tjänster konfigureras riktigt\&.
.SH "KONVERTERING AV ENS SKRIPT"
.sp
Om man använder \(rqipa\-client\-install\(rq eller \(rqrealm\(rq för att gå med i en domän kan man helt enkelt ta bort anrop av authconfig i dina skript\&. Om detta inte är ett alternativ måste man ersätta varje anrop av authconfig med dess ekvivalenta anrop av authselect för att välja rätt profil med önskade funktioner\&. Sedan måste man även skriva konfigurationsfiler för begärda tjänster\&.
.sp
.it 1 an-trap
.nr an-no-space-flag 1
.nr an-break-flag 1
.br
.B Table\ \&1.\ \&Relationen mellan authconfig\-flaggor och authselect\-profiler
.TS
allbox tab(:);
lt lt.
T{
.sp
\-\-enablenis
T}:T{
.sp
none
T}
.TE
.sp 1
.sp
.it 1 an-trap
.nr an-no-space-flag 1
.nr an-break-flag 1
.br
.B Table\ \&2.\ \&Relationen mellan authconfig\-flaggor och authselects profilfunktioner
.TS
allbox tab(:);
lt lt
lt lt
lt lt
lt lt
lt lt
lt lt
lt lt
lt lt
lt lt
lt lt.
T{
.sp
\fBAuthconfig\-flaggor\fR
T}:T{
.sp
\fBAuthselects profilfunktion\fR
T}
T{
.sp
\-\-enablesmartcard
T}:T{
.sp
with\-smartcard
T}
T{
.sp
\-\-enablefingerprint
T}:T{
.sp
with\-fingerprint
T}
T{
.sp
\-\-enableecryptfs
T}:T{
.sp
with\-ecryptfs
T}
T{
.sp
\-\-enablemkhomedir
T}:T{
.sp
with\-mkhomedir
T}
T{
.sp
\-\-enablefaillock
T}:T{
.sp
with\-faillock
T}
T{
.sp
\-\-enablepamaccess
T}:T{
.sp
with\-pamaccess
T}
T{
.sp
\-\-enablewinbindkrb5
T}:T{
.sp
with\-krb5
T}
T{
.sp
\-\-enableshadow
T}:T{
.sp
\fIingen\fR
T}
T{
.sp
\-\-passalgo
T}:T{
.sp
\fIingen\fR
T}
.TE
.sp 1
.if n \{\
.sp
.\}
.RS 4
.it 1 an-trap
.nr an-no-space-flag 1
.nr an-break-flag 1
.br
.ps +1
\fBNote\fR
.ps -1
.br
.sp
Authconfig\-flaggorna \(rq\-\-enableshadow\(rq och \(rq\-\-passalgo=sha512\(rq användes ofta för att säkerställa att lösenord lagras i \(rq/etc/shadow\(rq med algoritmen \(rqsha512\(rq\&. \fBAuthselect\-profilerna använder nu hashningsmetoden yescrypt\fR och det kan inte ändras genom någon flagga (endast genom att skapa en anpassad profil)\&. Du kan helt enkelt utelämna dessa flaggor\&.
.sp .5v
.RE
.PP
\fBExempel\fR. 
.sp
.if n \{\
.RS 4
.\}
.nf
authconfig \-\-enableldap \-\-enableldapauth \-\-enablefaillock \-\-updateall
authselect select sssd with\-faillock

authconfig \-\-enablesssd \-\-enablesssdauth \-\-enablesmartcard \-\-smartcardmodule=sssd \-\-updateall
authselect select sssd with\-smartcard

authconfig \-\-enableecryptfs \-\-enablepamaccess \-\-updateall
authselect select sssd with\-ecryptfs with\-pamaccess

authconfig \-\-enablewinbind \-\-enablewinbindauth \-\-winbindjoin=Administrator \-\-updateall
realm join \-U Administrator \-\-client\-software=winbind WINBIND\-DOMÄN
.fi
.if n \{\
.RE
.\}
.sp
.SH "KONFIGURATIONSFILER"
.sp
Detta avsnitt innehåller kodsnuttar för minimal konfiguration av diverse tjänster\&.
.SS "LDAP"
.sp
Även om LDAP inte används direkt via \(rqpam_ldap\(rq och \(rqnss_ldap\(rq är det ändå användbart att konfigurera ldap\&.conf för att konfigurera openldap\-libs och indirekt, t\&.ex\&. LDAP\-verktyg såsom \(rqldapsearch\(rq\&.
.PP
\fB"/etc"/openldap/ldap.conf\fR. 
.sp
.if n \{\
.RS 4
.\}
.nf
# Ange standard\-basdomän
BASE   dc=example,dc=com

# Ange standard\-LDAP\-server
URI    ldap://ldap\&.example\&.com ldap://ldap\-master\&.example\&.com:666
.fi
.if n \{\
.RE
.\}
.sp
.SS "KERBEROS"
.sp
Om du använder Kerberos skall Kerberos standardrike konfigureras för att krb5\-libs och därmed verktyg såsom \(rqkinit\(rq skall fungera från utgångsläget\&.
.PP
\fB"/etc"/krb5.conf\fR. 
.sp
.if n \{\
.RS 4
.\}
.nf
[libdefaults]
 default_realm = MITTRIKE

[realms]
 MITTRIKE = {
  kdc = kdc\&.mittrike\&.se
 }

[domain_realm]
 myrealm\&.org = MITTRIKE
 \&.myrealm\&.org = MITTRIKE
.fi
.if n \{\
.RE
.\}
.sp
.SS "SSSD"
.sp
Authselect uppmuntrar användare att använda SSSD närhelst det är möjligt\&. Det finns många konfigurationsalternativ, se sssd\&.conf(5)\&. Detta är en minimal konfiguration som skapar en LDAP\-domän som kallas \(rqdefault\(rq\&. LDAP\-servern upptäcks automatiskt via DNS\-upplsagningar\&.
.PP
\fB"/etc"/sssd/sssd.conf\fR. 
.sp
.if n \{\
.RS 4
.\}
.nf
[sssd]
config_file_version = 2
domains = default

[domain/default]
id_provider = ldap
ldap_uri = _srv_
dns_discovery_domain = mittrike
.fi
.if n \{\
.RE
.\}
.sp
Och här är konfigurationssnutten för samma domän men nu görs autentiseringen över Kerberos\&. KDC\-servern upptäcks automatiskt via DNS\-uppslagningar\&.
.PP
\fB"/etc"/sssd/sssd.conf\fR. 
.sp
.if n \{\
.RS 4
.\}
.nf
[sssd]
config_file_version = 2
domains = default

[domain/default]
id_provider = ldap
auth_provider = krb5
ldap_uri = _srv_
krb5_server = _srv_
krb5_realm = MITTRIKE
dns_discovery_domain = mittrike
.fi
.if n \{\
.RE
.\}
.sp
Om man vill konfigurera SSSD för en IPA\- eller Active Directory\-domän, använd verktyget \(rqrealm\(rq\&. Detta kommer utföra den första uppsättningen som omfattar inkluderar att skapa en Kerberos\-keytab och att generera grundläggande SSSD\-konfiguration\&. Man kan sedan trimma den genom att ändra "/etc"/sssd/sssd\&.conf\&.
.SS "WINBIND"
.sp
Om man vill konfigurera maskinen för att använda Winbind, använd \(rqrealm\(rq\&. Detta kommer utföra den första uppsättningen som inkluderar att skapa en Kerberos\-keytab och kör \(rqaddcli\(rq för att gå med i domänen\&. Det gör även ändringar till \(rqsmb\&.conf\(rq\&. Man kan sedan trimma den genom att ändra "/etc"/samba/smb\&.conf\&.
.SS "LÖSENORDSKVALITET"
.sp
Authselect aktiverar modulen \(rqpam_pwquality\(rq för att framtvinga begränsningar för lösenordskvalitet\&. Fjärranvändare skall använda lösenordspolicyn som påtvingas av respektive fjärrserver\&.
.sp
Modulen \(rqpam_pwquality\(rq kan konfigureras i "/etc"/security/pwquality\&.conf\&. Se pam_pwquality(8) för att se dess konfigurationsalternativ och standardvärden\&.
.SH "STARTA TJÄNSTER"
.sp
Beroende på konfigurationen behöver man starta nödvändiga tjänster manuellt med systemd\&.
.sp
.RS 4
.ie n \{\
\h'-04'\(bu\h'+03'\c
.\}
.el \{\
.sp -1
.IP \(bu 2.3
.\}
SSSD
.sp
.if n \{\
.RS 4
.\}
.nf
systemctl enable sssd\&.service ; systemctl start sssd\&.service
.fi
.if n \{\
.RE
.\}
.RE
.sp
.RS 4
.ie n \{\
\h'-04'\(bu\h'+03'\c
.\}
.el \{\
.sp -1
.IP \(bu 2.3
.\}
Winbind
.sp
.if n \{\
.RS 4
.\}
.nf
systemctl enable winbind\&.service ; systemctl start winbind\&.service
.fi
.if n \{\
.RE
.\}
.RE
.sp
.RS 4
.ie n \{\
\h'-04'\(bu\h'+03'\c
.\}
.el \{\
.sp -1
.IP \(bu 2.3
.\}
NIS
.sp
.if n \{\
.RS 4
.\}
.nf
systemctl enable rpcbind\&.service ; systemctl start rpcbind\&.service
systemctl enable ypbind\&.service ; systemctl start ypbind\&.service
.fi
.if n \{\
.RE
.\}
.RE
.sp
.RS 4
.ie n \{\
\h'-04'\(bu\h'+03'\c
.\}
.el \{\
.sp -1
.IP \(bu 2.3
.\}
Om funktionen mkhomedir är aktiverad
.sp
.if n \{\
.RS 4
.\}
.nf
systemctl enable oddjobd\&.service ; systemctl start oddjobd\&.service
.fi
.if n \{\
.RE
.\}
.RE
.SH "AUTHCONFIG\-VERKTYG"
.sp
Authconfig kommer med ett verktyg som kallas \fIcacertdir_rehash\fR\&. Om man beror på detta verktyg, byter man till det vanliga kommandot \fIopenssl\fR: \(rqopenssl rehash <katalog>\(rq som fyller samma syfte\&.
.SH "SE ÄVEN"
.sp
authselect(8), authselect\-profiles(5), realm(8), ipa\-client\-install(1), sssd\&.conf(5), smb\&.conf(5), ldap\&.conf(5), krb5\&.conf(5)
