Installer le paquet nss-sss
Garantit que le module NSS libnss-sss (requis par SSSD) est installé.
Vérifié sur ce qui est installé ou enregistré, paquets présents/absents, bases de comptes.
Un mapping est une référence croisée vers l’endroit où chaque norme situe cette exigence, ancrée et recoupée, pas une affirmation d’équivalence. Un check réussi est une preuve vers ces références, comment le lire.
Pourquoi cette règle
libnss-sss fournit le module NSS (Name Service Switch) requis par SSSD (System Security Services Daemon). Sans lui, les entrées sss de /etc/nsswitch.conf ne peuvent pas être résolues et le système ne peut pas utiliser SSSD pour l'identité, l'authentification et le contrôle d'accès centralisés. SSSD est le remplaçant moderne et sécurisé des mécanismes hérités comme NIS et nss_ldap direct, offrant un cache hors-ligne, l'intégration Kerberos et un transport chiffré.
Ce que vérifie Pavois
Pavois interroge le gestionnaire de paquets pour savoir si libnss-sss est installé via la ressource InSpec package (équivalent à dpkg-query -W libnss-sss). Vérifier directement l'état des paquets installés confirme que le module NSS est réellement présent, plutôt que de le déduire de lignes de nsswitch.conf qui pourraient référencer sss sans que la bibliothèque sous-jacente soit installée.
describe package('libnss-sss') do
it { should be_installed }
endComment vérifier qu’elle est appliquée
Exécutez dpkg-query -W -f='${Status}\n' libnss-sss. La sortie attendue contient install ok installed. Vous pouvez aussi confirmer le câblage du module avec grep sss /etc/nsswitch.conf.
Inspecter et investiguer
dpkg-query -W libnss-sss, confirme la présence du paquet.journalctl -u sssd, montre l'activité de SSSD une fois configuré.getent passwd <user>, résout un utilisateur géré de façon centralisée via la source NSSssslorsque tout fonctionne.
Remédiation
Le plan de durcissement de Pavois déclare une ressource package pour nss-sss avec l'action install et l'applique avec pavois harden apply, ce qui exécute apt-get install libnss-sss en arrière-plan. La configuration de SSSD elle-même (domaines, nsswitch.conf) reste une étape distincte.
Pavois applique ceci avec son propre moteur harden, le plan ci-dessous, pas un script shell :
| action | install |
|---|---|
| name | libnss-sss |
| resource | package |
pavois harden plan localoù la cible est local, un alias SSH user@hôte, ou un conteneur , Docs
Impact & précautions
Installer le paquet seul est non perturbateur, cela ajoute seulement une bibliothèque. Le risque réside dans la configuration de SSSD : un sssd.conf ou un nsswitch.conf cassé référençant sss sans backend d'identité joignable peut casser les recherches d'utilisateurs et bloquer les connexions distantes. Précaution : conservez un compte sudo/root local, configurez et testez SSSD avant de pointer nsswitch.conf vers sss, et validez avec getent passwd <user> avant de vous y fier.
Mapping des normes
| Norme | Référence | Type | Version | Confiance |
|---|---|---|---|---|
| DISA STIG | UBTU-22-254010, UBTU-24-100650 | direct | per OS STIG release | haute |
Chaque référence est une référence croisée ancrée dans le benchmark amont et recoupée avec le SCAP Security Guide et ansible-lockdown, pas une affirmation d’équivalence. Direct = une exigence prescriptive au niveau de la ligne ; support = une famille de contrôle abstraite (NIST) vers laquelle le check apporte une preuve. Comment lire un mapping.