GSSPROXY.CONF(5) فایلهای پیکربندی GSSPROXY.CONF(5)

gssproxy.conf - فایل پیکربندی برای دیمن پروکسی امنیتی gssproxy

فایل gssproxy.conf پیکربندی سرویس gssproxy و بخشهای سرویسهای احراز هویت مجاز را مشخص میکند.

دستورالعمل‌های پیکربندی اختیاری برای دیمن gssproxy.

فایل‌های پیکربندی GSS-Proxy از نوع فایل‌های سنتی سبک ini هستند. هر گزینه شامل یک جفت key = value است. تمام کاراکترهای پس از '#' به عنوان کامنت در نظر گرفته شده و نادیده گرفته می‌شوند. پارامترهای بولی مقادیر "1"، "true"، "yes" و "on" را به عنوان مقادیر مثبت می‌پذیرند. تمام مقادیر دیگر به عنوان مقادیر منفی در نظر گرفته خواهند شد.

فایل‌های پیکربندی GSS-Proxy باید حتماً یا با نام "gssproxy.conf" نام‌گذاری شوند، یا به قالب "##-foo.conf" باشند (یعنی با دو عدد آغاز شده و به دنبال آن یک خط تیره و در پایان به ".conf" ختم شوند). فایل‌هایی که با این الگو مطابقت نداشته باشند نادیده گرفته می‌شوند مگر آنکه صراحتاً از طریق پارامترهای خط فرمان درخواست شده باشند. در یک فایل منفرد، هرگونه مقادیر یا بخش‌های تکراری ادغام خواهند شد. در میان چندین فایل مختلف، موارد تکراری یک هشدار ایجاد می‌کنند و اولین مقدار مشاهده‌شده اولویت خواهد داشت (یعنی هیچ‌گونه ادغامی صورت نمی‌گیرد).

یک بخش در فایل پیکربندی GSS-Proxy با نام بخش در داخل براکت‌ها ([sectionname]) مشخص می‌شود.

یک بخش ویژه برای تنظیمات سراسری gssproxy به نام [gssproxy] وجود دارد.

سرویس‌هایی مانند nfs، apache، ssh و غیره با بخش‌هایی مانند [service/nfs]، [service/apache] و غیره نمایش داده می‌شوند و با تنظیم "euid" (به زیر مراجعه کنید) شناسایی می‌گردند.

پارامترهای رشته‌ای ممکن است حاوی الگوهای جایگزینی باشند. این امر به gssproxy اجازه می‌دهد تا با الگوهای محل ذخیره‌سازی keytabها یا حافظه‌های موقت گواهی‌ها (credential caches) آسان‌تر کار کند.

الگوهای پشتیبانی‌شده عبارتند از:

%U

با شناسه عددی کاربر (uid) جایگزین می‌شود (به عنوان مثال 123).

%u

با نام کاربری کاربر جایگزین می‌شود (به عنوان مثال john).

برنامه gssproxy از گزینه‌های زیر پشتیبانی می‌کند:

allow_any_uid (بولی)

به هر فرآیندی از هر کاربری اجازه می‌دهد از این سرویس استفاده کند.

توجه داشته باشید که در نبود گزینه سوکت سفارشی، این گزینه ممکن است باعث شود تعریف یک سرویس، دسترسی به سرویس‌های بعدی را بپوشاند (ماسک کند). برای جلوگیری از بروز مشکلات، ترتیب سرویس‌ها را در فایل پیکربندی خود به گونه‌ای تغییر دهید که سرویس‌هایی با فعال بودن allow_any_uid در انتهای لیست قرار گیرند، یا یک سوکت سفارشی برای سایر سرویس‌ها تعریف کنید.

پیش‌فرض: false

allow_protocol_transition (بولی)

به کلاینت‌ها اجازه می‌دهد برای یک کاربر دلخواه، بلیط به خود (ticket to self) درخواست کنند.

این گزینه کنترل می‌کند که آیا درخواست‌های s4u2self برای کلاینت درخواست‌کننده مجاز هستند یا خیر. از keytab پیکربندی‌شده به عنوان هویت سرویسی که بلیط برای آن درخواست شده است استفاده می‌شود. برای موفقیت‌آمیز بودن این عملیات، KDC همچنان باید اجازه آن را صادر کند.

پیش‌فرض: false

allow_constrained_delegation (بولی)

به کلاینت‌ها اجازه می‌دهد با استفاده از یک بلیط مدرک (evidence ticket) برای سرویسی دیگر بلیط درخواست کنند.

این گزینه کنترل می‌کند که آیا درخواست‌های s4u2proxy برای کلاینت درخواست‌کننده مجاز هستند یا خیر. برای موفقیت‌آمیز بودن این عملیات، KDC همچنان باید اجازه آن را صادر کند.

پیش‌فرض: false

allow_client_ccache_sync (بولی)

به کلاینت‌ها اجازه می‌دهد درخواست کنند گواهی‌ها جهت کش‌گذاری بهتر بازگردانده شوند.

این گزینه به پروکسی اجازه می‌دهد در شرایط خاصی، هنگامی که تشخیص می‌دهد ممکن است یک بلیط جدید به ccache داخلی اضافه شده باشد، یک گزینه اضافی در ساختار پاسخ برخی از فراخوانی‌ها بازگرداند. سپس کلاینت‌ها می‌توانند نسخه (رمزگذاری‌شده) خود را با ccache به‌روزرسانی‌شده جایگزین کنند.

پیش‌فرض: false

cred_store (رشته)

این پارامتر امکان کنترل نحوه استفاده gssproxy از رابط cred_store ارائه‌شده توسط GSSAPI را فراهم می‌کند. این پارامتر می‌تواند به ازای هر سرویس چندین بار تعریف شود.

نحو پارامتر cred_store به صورت زیر است: cred_store = <گزینه_cred_store>:<مقدار_cred_store>

در حال حاضر این رابط از گزینه‌های زیر پشتیبانی می‌کند:

keytab

مشخص‌کننده keytab مورد استفاده توسط سرویس است. مثال: cred_store = keytab:/path/to/keytab

client_keytab

مشخص‌کننده client keytab مورد استفاده توسط سرویس است. مثال: cred_store = client_keytab:/path/to/client_keytab

ccache

مشخص‌کننده حافظه موقت گواهی (credential cache) مورد استفاده توسط سرویس است. مثال: cred_store = ccache:/path/to/ccache

به‌ویژه تنظیمات client_keytab و ccache معمولاً با متغیرهای جانشینی (به بالا مراجعه کنید) به کار می‌روند. به عنوان مثال:

cred_store = keytab:/etc/krb5.keytab
cred_store = ccache:FILE:/var/lib/gssproxy/krb5cc_%U
cred_store = client_keytab:/var/lib/gssproxy/%U.keytab

پیش‌فرض: cred_store =

cred_usage (رشته)

امکان محدود کردن نوع عملیات مجاز برای این سرویس را فراهم می‌کند.

گزینه‌های مجاز عبارتند از: initiate، accept، both

پیش‌فرض: cred_usage = both

debug (بولی)

اشکال‌زدایی (دیباگ) در syslog را فعال می‌کند. تنظیم آن بر روی true معادل تنظیم debug_level بر روی 1 است.

پیش‌فرض: debug = false

debug_level (عدد صحیح)

سطح جزئیات برای ثبت پیام‌های اشکال‌زدایی را مشخص می‌کند. مقدار 0 به معنای عدم ثبت گزارش است، در حالی که 1 گزارش اشکال‌زدایی پایه را فعال می‌کند. سطح 2 میزان پرگویی (verbosity) را افزایش داده و شامل راستی‌آزمایی دقیق‌تر گواهی‌ها می‌شود.

در سطح 3 و بالاتر، خروجی KRB5_TRACE ثبت می‌شود. اگر KRB5_TRACE از قبل در محیط اجرا تنظیم شده باشد، خروجی ردگیری به مقدار آن ارسال می‌شود. برای اطلاعات بیشتر به docs/KRB5_TRACE.md مراجعه کنید.

پیش‌فرض: 1 در صورت true بودن debug، وگرنه 0

enforce_flags (رشته)

فهرستی از فلگ‌های درخواست GSS که بدون قید و شرط به تمام فراخوانی‌های مقداردهی اولیه کانتکست (context initialization) اضافه می‌شوند. فلگ‌ها تنها با قرار دادن علامت +/- در ابتدای نام یا مقدار فلگ می‌توانند به فهرست اضافه یا از آن حذف شوند.

نام فلگ‌های شناخته‌شده: DELEGATE، MUTUAL_AUTH، REPLAY_DETECT، SEQUENCE، CONFIDENTIALITY، INTEGRITY، ANONYMOUS

مثال‌ها:

enforce_flags = +REPLAY_DETECT
enforce_flags = -0x0001

پیش‌فرض: enforce_flags =

euid (عدد صحیح یا رشته)

شناسه کاربری موثر (effective uid) فرآیند در حال اجرا، به صورت عددی (مانند 48) یا نمادین (مانند apache) که برای شناسایی سرویس الزامی است.

پارامتر "euid" اجباری است؛ هر بخشی که فاقد آن باشد نادیده گرفته خواهد شد.

پیش‌فرض: euid =

filter_flags (رشته)

فهرستی از فلگ‌های درخواست GSS که بدون قید و شرط از تمام فراخوانی‌های مقداردهی اولیه کانتکست فیلتر (حذف) می‌شوند. فلگ‌ها تنها با قرار دادن علامت +/- در ابتدای نام یا مقدار فلگ می‌توانند به فهرست اضافه یا از آن حذف شوند.

نکته: از آنجا که اغلب از gssproxy برای دریغ کردن دسترسی به گواهی‌ها استفاده می‌شود، فلگ Delegate به طور پیش‌فرض فیلتر می‌شود. برای اینکه به یک سرویس اجازه تفویض گواهی‌ها (delegate credentials) داده شود، از مثال اول در زیر استفاده کنید.

نام فلگ‌های شناخته‌شده: DELEGATE، MUTUAL_AUTH، REPLAY_DETECT، SEQUENCE، CONFIDENTIALITY، INTEGRITY، ANONYMOUS

مثال‌ها:

filter_flags = -DELEGATE
filter_flags = -0x0001 +ANONYMOUS

پیش‌فرض: filter_flags = +DELEGATE

impersonate (بولی)

استفاده از جعل هویت / هویت‌نمایی (impersonation) از طریق (s4u2self + s4u2proxy) برای دریافت گواهی‌ها.

پیش‌فرض: impersonate = false

kernel_nfsd (بولی)

فلگ بولی که به هسته لینوکس اجازه می‌دهد بررسی کند آیا gssproxy در حال اجراست یا خیر (از طریق /proc/net/rpc/use-gss-proxy).

پیش‌فرض: kernel_nfsd = false

krb5_principal (رشته)

شناسه اصلی (principal) کربروس krb5 ترجیحی مورد استفاده برای این سرویس، در صورتی که توسط برنامه کاربردی درخواست نشده باشد. توجه داشته باشید که این گزینه استفاده از این نام خاص را اجباری نمی‌کند؛ بلکه صرفاً یک مقدار پیش‌فرض تعیین می‌کند.

پیش‌فرض: krb5_principal =

mechs (رشته)

در حال حاضر تنها krb5 پشتیبانی می‌شود.

پارامتر "mechs" اجباری است؛ هر بخشی که فاقد آن باشد نادیده گرفته خواهد شد.

پیش‌فرض: mechs =

min_lifetime (عدد صحیح)

حداقل طول عمر یک گواهی کش‌شده بر حسب ثانیه.

اگر مقداری غیر از صفر باشد، هنگامی که gssproxy در حال تصمیم‌گیری درباره استفاده از یک گواهی کش‌شده است، طول عمر گواهی کش‌شده را با این مقدار مقایسه می‌کند. اگر طول عمر گواهی کش‌شده کمتر باشد، gssproxy با گواهی کش‌شده به عنوان یک گواهی منقضی‌شده رفتار کرده و تلاش می‌کند یک گواهی جدید دریافت کند.

پیش‌فرض: min_lifetime = 15

program (رشته)

در صورت تعیین شدن، این سرویس تنها زمانی مطابقت داده می‌شود که برنامه در حال اجرا با رشته مشخص‌شده یکسان باشد.

فرض بر این است که برنامه‌ها به عنوان مسیرهای متعارف (canonical paths) مشخص می‌شوند (یعنی بدون مسیرهای نسبی و بدون پیوندهای نمادین). علاوه بر این، کاراکتر '|' برای استفاده‌های آینده رزرو شده و بنابراین ممنوع است.

run_as_user (رشته)

نام کاربری که gssproxy اختیارات خود را به آن کاهش می‌دهد (drop privileges).

این گزینه تنها در بخش سراسری (global section) دردسترس است.

پیش‌فرض: run_as_user =

selinux_context (رشته)

این گزینه منسوخ شده است. به جای آن از یک سوکت سفارشی یا euid استفاده کنید.

socket (رشته)

این پارامتر امکان ایجاد یک فایل سوکت به ازای هر سرویس را فراهم می‌سازد که مولفه‌های کلاینت و سرور gssproxy از طریق آن ارتباط برقرار می‌کنند.

هنگامی که این پارامتر تنظیم نشده باشد، gssproxy از مقدار پیش‌فرض داخلی کامپایل‌شده استفاده خواهد کرد.

syslog_status (بولی)

خروجی اشکال‌زدایی به ازای هر فراخوانی را در syslog فعال می‌کند. این قابلیت ممکن است برای بررسی مشکلات در برنامه‌هایی که از gssproxy استفاده می‌کنند مفید باشد.

پیش‌فرض: syslog_status = false

trusted (بولی)

مشخص می‌کند که آیا این سرویس مورد اعتماد در نظر گرفته می‌شود یا خیر. با احتیاط استفاده کنید، زیرا این گزینه امکان جعل هویت (impersonation) را فعال می‌سازد.

پیش‌فرض: trusted = false

worker threads (عدد صحیح)

تعداد نخ‌های پردازشی کارگر (worker threads) را که gssproxy در زمان راه‌اندازی ایجاد می‌کند، مشخص می‌نماید.

پیش‌فرض: worker threads =

gssproxy(8) و gssproxy-mech(8).

GSS-Proxy - http://fedorahosted.org/gss-proxy

مه ۲۰۲۵ gssproxy