6.16. SSSD

支持 authselect 中添加的组合并

如果您使用 authselect 工具，您不再需要手动编辑 nssswitch.conf 文件来启用组合并。有了此更新，它现在被集成到 authselect 配置文件中，消除了手动更改的需要。

authselect 现在是 PAM 所必需的，且不能卸载

有了此增强，authselect-libs 软件包现在拥有 /etc/nsswitch.conf 和所选的 PAM 配置，包括 /etc/pam.d/ 中的 system-auth,password-auth,smartcard-auth,fingerprint-auth 和 postlogin。这些文件的所有权已转给 authselect-libs 软件包，其带有之前由 'glibc 软件包拥有的 /etc/nsswitch.conf' 和之前由 pam 软件包拥有的 PAM 配置文件。由于 authselect 是 pam 软件包所必需的，所以不能卸载它。

Local 配置文件是新的默认 authselect 配置文件

由于删除了 SSSD 文件提供者，因此引进了一个新的 authselect local 配置文件来处理本地用户管理，而无需依赖 SSSD。local 配置文件替换了之前的 minimal 配置文件，并成为新安装的默认 authselect 配置文件，而不是 sssd 配置文件。

在 SSSD 中支持动态 DoT 更新

SSSD 支持使用 DNS-over-TLS (DoT)执行所有动态 DNS (dyndns)查询。当 IP 地址更改了时，您可以安全地更新 DNS 记录，如身份管理(IdM)和活动目录服务器。要启用这个功能，您必须从 bind9.18-utils 软件包安装 nsupdate 工具。

新的 SSSD 选项：exop_force

您可以使用 exop_force 选项强制更改密码，即使没有剩余的宽限期登录。在以前的版本中，如果 LDAP 服务器表示没有剩余的宽限期登录，SSSD 不会尝试密码更改。现在，如果您在 sssd.conf 文件的 [domain/…​] 部分中设置了 ldap_pwmodify_mode = exop_force，SSSD 会尝试更改密码，即使没有剩余的宽限期登录。

使用减少了的特权运行 SSSD

为了支持常规系统强化（运行具有最低权限的软件），系统安全服务守护进程(SSSD)服务被配置为使用 systemd 服务配置文件（服务用户）在 sssd 或 root 下运行。现在，这个服务用户默认为 sssd，无论配置了哪个服务用户( root 或 sssd )，除了一些特权帮助程序进程外，所有 root 功能都会被删除。

对 KnownHostsCommand 的支持已添加到 SSSD 中

有了此更新，对 KnownHostsCommand 的支持已添加到 SSSD 中。您可以使用带有 SSH KnownHostsCommand 配置选项的工具 sss_ssh_knownhosts 来从远程服务器（如 FreeIPA、LDAP 等）检索主机的公钥。sss_ssh_knownhosts 工具替换了不太可靠的 sss_ssh_knownhostsproxy 工具。sss_ssh_knownhostsproxy 不再可用，并显示一条消息表示该工具已过时。