Au-delà de Linux® From Scratch (édition systemd) - Version 11.1

Chapitre 4. Sécurité

Cyrus SASL-2.1.27

Introduction à Cyrus SASL

Le paquet Cyrus SASL contient une Simple Authentication and Security Layer (simple couche d'authentification et de sécurité), une méthode pour ajouter le support de l'authentification aux protocoles basés sur la connexion. Pour utiliser SASL, un protocole se compose d'une commande d'identification et d'authentification d'un utilisateur sur un serveur ainsi que d'une négociation éventuelle de la protection des interactions consécutives du protocole. Si son utilisation est négociée, une couche de sécurité est insérée entre le protocole et la connexion.

This package is known to build and work properly using an LFS-11.1 platform.

Informations sur le paquet

Téléchargements supplémentaires

Dépendances de Cyrus SASL

Recommandées

Berkeley DB-5.3.28

Facultatives

Linux-PAM-1.5.2, MIT Kerberos V5-1.19.2, MariaDB-10.6.7 ou MySQL, OpenJDK-17.0.2, OpenLDAP-2.6.1, PostgreSQL-14.2, SQLite-3.37.2, krb4, Dmalloc, Pod::POM::View::Restructured et Sphinx

Notes utilisateur : https://wiki.linuxfromscratch.org/blfs/wiki/cyrus-sasl

Installation de Cyrus SASL

[Note]

Note

Ce paquet ne supporte pas la construction en parallèle.

Commencez par corriger un échec à la construction si Sphinx ou docutils-0.18.1 est installé sur le système : 

patch -Np1 -i ../cyrus-sasl-2.1.27-doc_fixes-1.patch

Installez Cyrus SASL en exécutant les commandes suivantes : 

./configure --prefix=/usr        \
            --sysconfdir=/etc    \
            --enable-auth-sasldb \
            --with-dbpath=/var/lib/sasl/sasldb2 \
            --with-sphinx-build=no              \
            --with-saslauthd=/var/run/saslauthd &&
make -j1

Ce paquet n'a pas de suite de tests. Si vous envisagez d'utiliser le mécanisme d'authentification GSSAPI, testez-le après l'installation du paquet en utilisant le serveur donné comme exemple et les programmes clients qui ont été construits à l'étape précédente. Vous pouvez trouver des instructions pour effectuer cela sur https://www.linuxfromscratch.org/hints/downloads/files/cyrus-sasl.txt.

Maintenant, en tant qu'utilisateur root : 

make install &&
install -v -dm755                          /usr/share/doc/cyrus-sasl-2.1.27/html &&
install -v -m644  saslauthd/LDAP_SASLAUTHD /usr/share/doc/cyrus-sasl-2.1.27      &&
install -v -m644  doc/legacy/*.html        /usr/share/doc/cyrus-sasl-2.1.27/html &&
install -v -dm700 /var/lib/sasl

Explication des commandes

--with-dbpath=/var/lib/sasl/sasldb2 : Ce paramètre force la base de données sasldb à être créée dans /var/lib/sasl au lieu de /etc.

--with-saslauthd=/var/run/saslauthd : Ce paramètre oblige saslauthd à utiliser les données en cours d'exécution de la variable du répertoire /var/run/saslauthd conformément à la FHS.

--enable-auth-sasldb : Ce paramètre active l'authentification SASLDB.

--with-dblib=gdbm : Ce paramètre oblige l'utilisation de GDBM au lieu de Berkeley DB.

--with-ldap: Ce paramètre active l'utilisation avec OpenLDAP.

--enable-ldapdb : Ce paramètre active l'authentification LDAPDB. Il y a une dépendance circulaire avec ce paramètre. Voir https://wiki.linuxfromscratch.org/blfs/wiki/cyrus-sasl pour une solution à ce problème.

--enable-java : Cette option active la compilation des bibliothèques de support Java.

--enable-login : Cette option active l'authentification LOGIN non supportée.

--enable-ntlm : Cette option active l'authentification NTLM non supportée.

install -v -m644 ... : Ces commandes installent la documentation qui n'est pas installée par la commande make install.

install -v -m700 -d /var/lib/sasl : Ces répertoires doivent exister au démarrage de saslauthd ou pendant l'utilisation de l'extension sasldb. Si vous n'allez pas utiliser le démon ou les greffons, vous pouvez vous passer de la création de ce répertoire.

Configuration de Cyrus SASL

Fichiers de configuration

/etc/saslauthd.conf (pour la configuration LDAP de saslauthd) et /etc/sasl2/Appname.conf (où « Appname » est le nom de l'application)

Informations de configuration

Voir https://www.cyrusimap.org/sasl/sasl/sysadmin.html pour des informations sur ce que contiennent les fichiers de configuration de l'application.

Voir file:///usr/share/doc/cyrus-sasl-2.1.27/LDAP_SASLAUTHD pour la configuration de saslauthd avec OpenLDAP.

Voir https://www.cyrusimap.org/sasl/sasl/gssapi.html#gssapi pour la configuration de saslauthd avec Kerberos.

Unité Systemd

Si vous devez exécuter le démon saslauthd au démarrage du système, installez l'unitésaslauthd.service fournie dans le paquet blfs-systemd-units-20220227 en utilisant la commande suivante : 

make install-saslauthd
[Note]

Note

Vous devrez modifier /etc/default/saslauthd et remplacer le paramètre MECHANISM par le mécanisme d'authentification que vous désirez. Le mécanisme d'authentification par défaut est « shadow ».

Contenu

Programmes installés: pluginviewer, saslauthd, sasldblistusers2, saslpasswd2 et testsaslauthd
Bibliothèque installée: libsasl2.so
Répertoires installés: /usr/include/sasl, /usr/lib/sasl2, /usr/share/doc/cyrus-sasl-2.1.27 et /var/lib/sasl

Descriptions courtes

pluginviewer

est utilisé pour lister les greffons SASL chargeables et leurs propriétés

saslauthd

est le serveur d'authentification SASL

sasldblistusers2

est utilisé pour lister les utilisateurs de la base de données de mots de passe SASL sasldb2

saslpasswd2

est utilisé pour paramétrer et effacer un mot de passe SASL d'utilisateur et les secrets spécifiques au mécanisme dans la base de données de mots de passe SASL sasldb2

testsaslauthd

est un outil de test pour le serveur d'authentification SASL

libsasl2.so

est une bibliothèque d'authentification généraliste pour des applications serveur et client

Last updated on