saslauthd/saslauthd.8

   1 SASLAUTHD(8)              BSD System Manager’s Manual             SASLAUTHD(8)
   2
   3 N\bNA\bAM\bME\bE
   4      s\bsa\bas\bsl\bla\bau\but\bth\bhd\bd - sasl authentication server
   5
   6 S\bSY\bYN\bNO\bOP\bPS\bSI\bIS\bS
   7      s\bsa\bas\bsl\bla\bau\but\bth\bhd\bd -\b-a\ba _\ba_\bu_\bt_\bh_\bm_\be_\bc_\bh [-\b-T\bTv\bvd\bdc\bch\bhl\blr\br] [-\b-O\bO _\bo_\bp_\bt_\bi_\bo_\bn] [-\b-m\bm _\bm_\bu_\bx_\b__\bp_\ba_\bt_\bh] [-\b-n\bn _\bt_\bh_\br_\be_\ba_\bd_\bs]
   8                [-\b-s\bs _\bs_\bi_\bz_\be] [-\b-t\bt _\bt_\bi_\bm_\be_\bo_\bu_\bt]
   9
  10 D\bDE\bES\bSC\bCR\bRI\bIP\bPT\bTI\bIO\bON\bN
  11      s\bsa\bas\bsl\bla\bau\but\bth\bhd\bd is a daemon process that handles plaintext authentication
  12      requests on behalf of the SASL library.
  13
  14      The server fulfills two roles: it isolates all code requiring superuser
  15      privileges into a single process, and it can be used to provide _\bp_\br_\bo_\bx_\by
  16      authentication services to clients that do not understand SASL based
  17      authentication.
  18
  19      s\bsa\bas\bsl\bla\bau\but\bth\bhd\bd should be started from the system boot scripts when going to
  20      multi-user mode. When running against a protected authentication database
  21      (e.g. the shadow mechanism), it must be run as the superuser.
  22
  23    O\bOp\bpt\bti\bio\bon\bns\bs
  24      Options named by lower-case letters configure the server itself.
  25      Upper-case options control the behavior of specific authentication mecha-
  26      nisms; their applicability to a particular authentication mechanism is
  27      described in the _\bA_\bU_\bT_\bH_\bE_\bN_\bT_\bI_\bC_\bA_\bT_\bI_\bO_\bN _\bM_\bE_\bC_\bH_\bA_\bN_\bI_\bS_\bM_\bS section.
  28
  29      -\b-a\ba _\ba_\bu_\bt_\bh_\bm_\be_\bc_\bh
  30              Use _\ba_\bu_\bt_\bh_\bm_\be_\bc_\bh as the authentication mechanism. (See the
  31              _\bA_\bU_\bT_\bH_\bE_\bN_\bT_\bI_\bC_\bA_\bT_\bI_\bO_\bN _\bM_\bE_\bC_\bH_\bA_\bN_\bI_\bS_\bM_\bS section below.) This parameter is
  32              mandatory.
  33
  34      -\b-O\bO _\bo_\bp_\bt_\bi_\bo_\bn
  35              A mechanism specific option (e.g. rimap hostname or config file
  36              path)
  37
  38      -\b-H\bH _\bh_\bo_\bs_\bt_\bn_\ba_\bm_\be
  39              The remote host to be contacted by the rimap authentication mech-
  40              anism. (Depricated, use -O instead)
  41
  42      -\b-m\bm _\bp_\ba_\bt_\bh
  43              Use _\bp_\ba_\bt_\bh as the pathname to the named socket to listen on for
  44              connection requests. This must be an absolute pathname, and MUST
  45              NOT include the trailing "/mux".  Note that the default for this
  46              value is "/var/state/saslauthd" (or what was specified at compile
  47              time) and that this directory must exist for saslauthd to func-
  48              tion.
  49
  50      -\b-n\bn _\bt_\bh_\br_\be_\ba_\bd_\bs
  51              Use _\bt_\bh_\br_\be_\ba_\bd_\bs processes for responding to authentication queries.
  52              (default: 5)  A value of zero will indicate that saslauthd should
  53              fork an individual process for each connection.  This can solve
  54              leaks that occur in some deployments..
  55
  56      -\b-s\bs _\bs_\bi_\bz_\be
  57              Use _\bs_\bi_\bz_\be as the table size of the hash table (in kilobytes)
  58
  59      -\b-t\bt _\bt_\bi_\bm_\be_\bo_\bu_\bt
  60              Use _\bt_\bi_\bm_\be_\bo_\bu_\bt as the expiration time of the authentication cache
  61              (in seconds)
  62
  63      -\b-T\bT      Honour time-of-day login restrictions.
  64
  65      -\b-h\bh      Show usage information
  66
  67      -\b-c\bc      Enable cacheing of authentication credentials
  68
  69      -\b-l\bl      Disable the use of a lock file for controlling access to
  70              accept().
  71
  72      -\b-r\br      Combine the realm with the login (with an ’@’ sign in between).
  73              e.g.  login: "foo" realm: "bar" will get passed as login:
  74              "foo@bar".  Note that the realm will still be passed, which may
  75              lead to unexpected behavior.
  76
  77      -\b-v\bv      Print the version number and available authentication mechanisms
  78              on standard error, then exit.
  79
  80      -\b-d\bd      Debugging mode.
  81
  82    L\bLo\bog\bgg\bgi\bin\bng\bg
  83      s\bsa\bas\bsl\bla\bau\but\bth\bhd\bd logs it’s activities via s\bsy\bys\bsl\blo\bog\bgd\bd using the LOG_AUTH facility.
  84
  85 A\bAU\bUT\bTH\bHE\bEN\bNT\bTI\bIC\bCA\bAT\bTI\bIO\bON\bN M\bME\bEC\bCH\bHA\bAN\bNI\bIS\bSM\bMS\bS
  86      s\bsa\bas\bsl\bla\bau\but\bth\bhd\bd supports one or more "authentication mechanisms", dependent
  87      upon the facilities provided by the underlying operating system.  The
  88      mechanism is selected by the -\b-a\bah\bho\bo flag from the following list of
  89      choices:
  90
  91      dce        _\b(_\bA_\bI_\bX_\b)
  92
  93                 Authenticate using the DCE authentication environment.
  94
  95      getpwent   _\b(_\bA_\bl_\bl _\bp_\bl_\ba_\bt_\bf_\bo_\br_\bm_\bs_\b)
  96
  97                 Authenticate using the g\bge\bet\btp\bpw\bwe\ben\bnt\bt() library function. Typically
  98                 this authenticates against the local password file. See your
  99                 systems getpwent(3) man page for details.
 100
 101      kerberos4  _\b(_\bA_\bl_\bl _\bp_\bl_\ba_\bt_\bf_\bo_\br_\bm_\bs_\b)
 102
 103                 Authenticate against the local Kerberos 4 realm. (See the
 104                 _\bN_\bO_\bT_\bE_\bS section for caveats about this driver.)
 105
 106      kerberos5  _\b(_\bA_\bl_\bl _\bp_\bl_\ba_\bt_\bf_\bo_\br_\bm_\bs_\b)
 107
 108                 Authenticate against the local Kerberos 5 realm.
 109
 110      pam        _\b(_\bL_\bi_\bn_\bu_\bx_\b, _\bS_\bo_\bl_\ba_\br_\bi_\bs_\b)
 111
 112                 Authenticate using Pluggable Authentication Modules (PAM).
 113
 114      rimap      _\b(_\bA_\bl_\bl _\bp_\bl_\ba_\bt_\bf_\bo_\br_\bm_\bs_\b)
 115
 116                 Forward authentication requests to a remote IMAP server. This
 117                 driver connects to a remote IMAP server, specified using the
 118                 -O flag, and attempts to login (via an IMAP ‘LOGIN’ command)
 119                 using the credentials supplied to the local server. If the
 120                 remote authentication succeeds the local connection is also
 121                 considered to be authenticated. The remote connection is
 122                 closed as soon as the tagged response from the ‘LOGIN’ command
 123                 is received from the remote server.
 124
 125                 The _\bo_\bp_\bt_\bi_\bo_\bn parameter to the -\b-O\bO flag describes the remote
 126                 server to forward authentication requests to.  _\bh_\bo_\bs_\bt_\bn_\ba_\bm_\be can be
 127                 a hostname (imap.example.com) or a dotted-quad IP address
 128                 (192.168.0.1). The latter is useful if the remote server is
 129                 multi-homed and has network interfaces that are unreachable
 130                 from the local IMAP server. The remote host is contacted on
 131                 the ‘imap’ service port. A non-default port can be specified
 132                 by appending a slash and the port name or number to the
 133                 _\bh_\bo_\bs_\bt_\bn_\ba_\bm_\be argument.
 134
 135                 The -\b-O\bO flag and argument are mandatory when using the rimap
 136                 mechanism.
 137
 138      shadow     _\b(_\bA_\bI_\bX_\b, _\bI_\br_\bi_\bx_\b, _\bL_\bi_\bn_\bu_\bx_\b, _\bS_\bo_\bl_\ba_\br_\bi_\bs_\b)
 139
 140                 Authenticate against the local "shadow password file".  The
 141                 exact mechanism is system dependent.  s\bsa\bas\bsl\bla\bau\but\bth\bhd\bd currently
 142                 understands the g\bge\bet\bts\bsp\bpn\bna\bam\bm() and g\bge\bet\btu\bus\bse\ber\brp\bpw\bw() library routines.
 143                 Some systems honour the -\b-T\bT flag.
 144
 145      sasldb     _\b(_\bA_\bl_\bl _\bp_\bl_\ba_\bt_\bf_\bo_\br_\bm_\bs_\b)
 146
 147                 Authenticate against the SASL authentication database.  Note
 148                 that this is probabally not what you want to be using, and is
 149                 even disabled at compile-time by default.  If you want to use
 150                 sasldb with the SASL library, you probably want to use the
 151                 pwcheck_method of "auxprop" along with the sasldb auxprop plu-
 152                 gin instead.
 153
 154      ldap       _\b(_\bA_\bl_\bl _\bp_\bl_\ba_\bt_\bf_\bo_\br_\bm_\bs _\bt_\bh_\ba_\bt _\bs_\bu_\bp_\bp_\bo_\br_\bt _\bO_\bp_\be_\bn_\bL_\bD_\bA_\bP _\b2_\b._\b0 _\bo_\br _\bh_\bi_\bg_\bh_\be_\br_\b)
 155
 156                 Authenticate against an ldap server.  The ldap configuration
 157                 parameters are read from /usr/local/etc/saslauthd.conf.  The
 158                 location of this file can be changed with the -O parameter.
 159                 See the LDAP_SASLAUTHD file included with the distribution for
 160                 the list of available parameters.
 161
 162      sia        _\b(_\bD_\bi_\bg_\bi_\bt_\ba_\bl _\bU_\bN_\bI_\bX_\b)
 163
 164                 Authenticate using the Digital UNIX Security Integration
 165                 Architecture (a.k.a.  "enhanced security").
 166
 167 N\bNO\bOT\bTE\bES\bS
 168      The kerberos4 authentication driver consumes considerable resources. To
 169      perform an authentication it must obtain a ticket granting ticket from
 170      the TGT server o\bon\bn e\bev\bve\ber\bry\by a\bau\but\bth\bhe\ben\bnt\bti\bic\bca\bat\bti\bio\bon\bn r\bre\beq\bqu\bue\bes\bst\bt.\b. The Kerberos library rou-
 171      tines that obtain the TGT also create a local ticket file, on the reason-
 172      able assumption that you will want to save the TGT for use by other Ker-
 173      beros applications. These ticket files are unusable by s\bsa\bas\bsl\bla\bau\but\bth\bhd\bd , how-
 174      ever there is no way not to create them. The overhead of creating and
 175      removing these ticket files can cause serious performance degradation on
 176      busy servers. (Kerberos was never intended to be used in this manner,
 177      anyway.)
 178
 179 F\bFI\bIL\bLE\bES\bS
 180      /var/run/saslauthd/mux  The default communications socket.
 181
 182      /usr/local/etc/saslauthd.conf
 183                              The default configuration file for ldap support.
 184
 185 S\bSE\bEE\bE A\bAL\bLS\bSO\bO
 186      passwd(1), getpwent(3), getspnam(3), getuserpw(3), sasl_checkpass(3)
 187      sia_authenticate_user(3),
 188
 189 CMU-SASL                          10 24 2002                          CMU-SASL