Параметры конфигурации

На главную  Назад 

Компонент использует параметры конфигурации, заданные в секции [LookupD] объединенного конфигурационного файла продукта Dr.Web для UNIX.

В секции представлены следующие параметры:

LogLevel = {уровень подробности}

Уровень подробности ведения журнала компонента.

Если значение параметра не указано, используется значение параметра DefaultLogLevel из секции [Root].

Значение по умолчанию:

LogLevel = Notice

Log = {тип журнала}

Метод ведения журнала компонента.

Значение по умолчанию:

Log = Auto

ExePath = {путь к файлу}

Путь к исполняемому файлу компонента.

Значение по умолчанию:

ExePath = <opt_dir>/bin/drweb-lookupd

Для Linux:

ExePath = /opt/drweb.com/bin/drweb-lookupd

Для FreeBSD:

ExePath = /usr/local/libexec/drweb.com/bin/drweb-lookupd

Для Solaris:

ExePath = /opt/drweb.com/bin/drweb-lookupd

RunAsUser = {UID | имя пользователя}

Параметр указывает компоненту, от имени какого пользователя ему следует запускаться при работе. Можно указать как числовой UID пользователя, так и его имя (логин). Если имя пользователя состоит из цифр (т.е. похоже на числовой UID), то оно указывается с префиксом «name:», например: RunAsUser = name:123456.

Если имя пользователя не указано, работа компонента завершается ошибкой сразу после попытки запуска.

Значение по умолчанию:

RunAsUser = drweb

IdleTimeLimit = {интервал времени}

Максимальное время простоя компонента, по превышению которого он завершает свою работу.

Минимальное значение – 10s.

Значение по умолчанию:

IdleTimeLimit = 30s

DebugLibldap = {логический}

Включать или нет в журнал на отладочном уровне (при LogLevel = DEBUG) также и отладочные сообщения библиотеки libldap.

Значение по умолчанию:

DebugLibldap = No

LdapCheckCertificate = {No | Allow | Try | Yes}

Режим проверки сертификатов при подключении к LDAP через SSL/TLS.

Возможные значения:

No – Никогда не запрашивать сертификат сервера.

Allow – Запрашивать сертификат сервера, и если он не будет предоставлен, сессия будет продолжена нормальным образом; если же серверный сертификат предоставлен, но не может быть проверен (не удалось найти соответствующий корневой сертификат), то сертификат сервера будет проигнорирован и сессия будет продолжена нормальным образом.

Try – Запрашивать сертификат сервера, и если он не будет предоставлен, сессия будет продолжена нормальным образом; если же серверный сертификат предоставлен, но не может быть проверен (не удалось найти соответствующий корневой сертификат), то сессия будет прервана.

Yes – Запрашивать сертификат сервера, и если он не будет предоставлен, сессия будет прервана; если серверный сертификат не может быть проверен (не удалось найти соответствующий корневой сертификат), то сессия также будет прервана.

Для источников данных типа LDAP влияет на обработку URL по схеме ldaps:// или с использованием расширения StartTLS; для источников данных типа AD влияет на соединение с сервером, если в соответствующей секции установлено UseSSL=Yes (см. ниже).

Значение по умолчанию:

LdapCheckCertificate = Yes

LdapCertificatePath = {путь к файлу}

Путь к файлу сертификата SSL, используемого для подключения к серверам LDAP (Active Directiory) через безопасное соединение SSL/TLS.

Обратите внимание, что файл сертификата и файл закрытого ключа (определяется следующим параметром) должны соответствовать друг другу.

Значение по умолчанию:

LdapCertificatePath =

LdapKeyPath = {путь к файлу}

Путь к файлу закрытого ключа, используемого для подключения к серверам LDAP (Active Directiory) через безопасное соединение SSL/TLS.

Обратите внимание, что файл сертификата и файл закрытого ключа (определяется предыдущим параметром) должны соответствовать друг другу.

Значение по умолчанию:

LdapKeyPath =

LdapCaPath = {путь}

Путь к каталогу или файлу, в котором располагается перечень корневых сертификатов, являющихся доверенными при обмене данными по протоколу LDAP через SSL/TLS.

Значение по умолчанию:

Путь к системному перечню доверенных сертификатов. Зависит от дистрибутива GNU/Linux:

Для Astra Linux, Debian, Linux Mint, SUSE Linux и Ubuntu это обычно путь /etc/ssl/certs/;

Для CentOS и Fedora – путь /etc/pki/tls/certs/ca-bundle.crt.

Для других дистрибутивов путь может быть определен через результат вызова команды openssl version -d.

Если команда недоступна или дистрибутив ОС опознать не удалось, используется значение /etc/ssl/certs/.

Секции источников данных

Кроме основной секции [LookupD], в файле конфигурации также задаются секции, описывающие подключения к серверам LDAP и Active Directory (по одной на каждое подключение). Эти секции именуются по схеме [LookupD.<type>.<tag>], где:

<type> – тип подключения: LDAP (для LDAP) или AD (для Active Directory).

<tag> – уникальный идентификатор (тег) подключения для ссылки на него из правил.

Например: [LookupD.LDAP.auth1]. Секции, описывающие подключение, содержат набор параметров, зависящих от типа источника. Количество секций не ограничено.

1. Параметры секций типа LDAP

Url = {строка}

URL, определяющий используемый сервер LDAP и извлекаемые данные. Согласно RFC 4516, URL строится по следующей схеме:

<scheme>://<host>[:<port>]/<dn>[?<attrs>[?<scope>[?<filter>[?<extensions>]]]]

Здесь:

<scheme> – способ подключения к серверу (допускаются схемы ldap, ldaps и ldapi);

<host>[:<port>] – адрес сервера LDAP, к которому направляется запрос;

<dn> – уникальное имя (distinguished name) объекта, информация о котором получается;

<attrs> – имена атрибутов записей, значения которых должны быть получены в запросе;

<scope> – область поиска (base, one, sub);

<filter> – фильтрующее условие на значения извлекаемых атрибутов.

<extensions> – перечень используемых в запросе расширений LDAP.

Особенности:

В списке атрибутов <attrs> можно использовать спецсимволы выбора '*', '+' и '1.1'.

В частях URL <dn> и <filter> могут быть использованы следующие автоматически разрешаемые маркеры:

$u – заменяется на имя пользователя, переданное клиентским компонентом.

$d – заменяется на имя домена, переданное клиентским компонентом.

$D – цепочка <subdomain>.<domain>, преобразованная в dc=<subdomain>,dc=<domain>.

$$ – символ '$'.

Если в условии <filter> требуется использовать специальные символы (например: '*', '(', ')', '\', символ с кодом 0) как обычные, то их следует записывать в виде \XX. Кроме того, специальные символы в URL LDAP кодируются с помощью последовательностей %XX. Например, при использовании символа '/' в URL по схеме ldapi в качестве части пути к локальному сокету сервера LDAP, этот символ кодируется как %2f.

В качестве допустимых расширений в <extensions> поддерживаются только StartTLS и 1.3.6.1.4.1.1466.20037, которые включают использование механизма TLS (т.е. организация защищенного соединения с сервером LDAP, даже если явно не указано использование защищенной схемы ldaps) Если перед именем используемого расширения указан символ '!', то использование TLS обязательно, т.е. в случае невозможности установки безопасного соединения запрос не будет исполнен. В противном случае запрос будет исполнен, даже если безопасное соединение не будет установлено.

Указанные расширения не могут применяться в случае использования защищенной схемы ldaps.

 

Для получения более подробной информации воспользуйтесь RFC 4516 или man ldap_search_ext_s.

Примеры:

"ldaps://ds.example.com:990/$D?givenName,sn,cn?sub?(uid=$u)"
"ldap://ldap.local/o=org,dc=nodomain?ipNetworkNumber?sub?(objectClass=ipNetwork)?!StartTLS"

Значение по умолчанию:

Url =

BindDn = {строка}

Объект в каталоге LDAP, связываемый с пользователем для авторизации.

Пример:

"cn=admin,dc=nodomain"

Значение по умолчанию:

BindDn =

BindPassword = {строка}

Пароль для аутентификации доступа к серверу LDAP.

Значение по умолчанию:

BindPassword =

ChaseReferrals = {логический}

Следовать ли по отсылкам на другие LDAP-серверы, если текущий сервер LDAP присылает их в ответ на запросы.

Значение по умолчанию:

ChaseReferrals = No

2. Параметры секции типа AD

Host = {строка}

Имя хоста (FQDN) или IP-адрес хоста, на котором находится сервер службы Active Directory, к которому необходимо подключиться.

Пример:

"win2012.win.local"

Значение по умолчанию:

Host =

Port = {целое число}

Порт на хосте, прослушиваемый сервером службы Active Directory.

Значение по умолчанию:

Port = 389

Dn = {строка}

DN объекта в каталоге Active Directory (аналог части dn в URL LDAP).

Пример:

"dc=win,dc=local"

Значение по умолчанию:

Dn =

User = {строка}

Полный идентификатор пользователя на сервере для идентификации.

Пример:

"Administrator@WIN.LOCAL"

Значение по умолчанию:

User =

Password = {строка}

Пароль для аутентификации доступа к серверу Active Directory.

Значение по умолчанию:

Password =

ChaseReferrals = {логический}

Следовать ли по отсылкам на другие LDAP-серверы, если текущий сервер Active Directory присылает их в ответ на запросы.

Значение по умолчанию:

ChaseReferrals = No

UseSSL = {логический}

Использовать SSL/TLS при обращении к серверу Active Directory.

Значение по умолчанию:

UseSSL = No

Добавление секций источников данных

Чтобы добавить новую секцию параметров для источника данных некоторого типа с тегом <someTag> при помощи утилиты управления продуктом Dr.Web для UNIX из командной строки Dr.Web Ctl (запускается командой drweb-ctl), достаточно использовать команду:

# drweb-ctl cfset LookupD.<type> -a <someTag>

Пример:

# drweb-ctl cfset LookupD.AD -a WinAD1
# drweb-ctl cfset LookupD.AD.WinAD1.Host 192.168.0.20

Первая команда добавит в файл конфигурации секцию [LookupD.AD.WinAD1], а вторая изменит в ней значение параметра Host.

Кроме того, вы можете записать новую секцию непосредственно в файле конфигурации (например, добавив ее в конец файла):

[LookupD.AD.WinAD1]
Host = 192.168.0.20

Оба способа задания настроек приведут к одинаковому результату, но в случае непосредственной правки файла конфигурации необходимо применить измененные настройки, отправив сигнал SIGHUP модулю drweb-configd (для этого вы можете выполнить команду drweb-ctl reload).