Модуль Apache mod_authz_core

Директива AuthMerging

AuthMerging Off | And | Or

AuthMerging Off

Когда авторизация включена, она обычно наследуется каждым последующим разделом конфигурации, если не указано иное множество директив авторизации. Это действие по умолчанию, соответствующее явным указанием AuthMerging Off.

Однако, могут возникнуть ситуации, когда желательно объединить авторизацию раздела конфигурации с авторизацией предшественника при объединении разделов конфигурации. Для этого доступны два варианта: And и Or.

Когда раздел конфигурации содержит AuthMerging And или AuthMerging Or, его логика авторизации объединяется с логикой ближайшего предшественника (согласно общему порядку разделов конфигурации), который также содержит логику авторизации, как если бы эти два раздела находились совместно внутри директивы <RequireAll> или <RequireAny> соответственно.

<Directory "/www/docs">
    AuthType Basic
    AuthName Documents
    AuthBasicProvider file
    AuthUserFile "/usr/local/apache/passwd/passwords"
    Require group alpha
</Directory>

<Directory "/www/docs/ab">
    AuthMerging Or
    Require group beta
</Directory>

<Directory "/www/docs/ab/gamma">
    Require group gamma
</Directory>

<AuthzProviderAlias> Директива

<AuthzProviderAlias baseProvider Alias Require-Parameters> ... </AuthzProviderAlias>

<AuthzProviderAlias> и </AuthzProviderAlias> используются для заключения группы директив авторизации, которые могут быть использованы по имени псевдонима с помощью директивы Require.

Если требуется несколько параметров в Require-Parameters, они должны быть заключены в кавычки. В противном случае, во внимание принимается только первый.

# In this example, for both addresses to be taken into account, they MUST be enclosed
# between quotation marks
<AuthzProviderAlias ip reject-ips "XXX.XXX.XXX.XXX YYY.YYY.YYY.YYY">
</AuthzProviderAlias>

<Directory "/path/to/dir">
    <RequireAll>
        Require not reject-ips
        Require all granted
    </RequireAll>
</Directory>

Директива AuthzSendForbiddenOnFailure

AuthzSendForbiddenOnFailure On|Off

AuthzSendForbiddenOnFailure Off

Если аутентификация прошла успешно, но авторизация не удалась, Apache HTTPD по умолчанию ответит с кодом HTTP '401 НЕАВТОРИЗОВАНО'. Это обычно приводит к тому, что браузеры снова отображают диалог пароля пользователю, что нежелательно во всех ситуациях. AuthzSendForbiddenOnFailure позволяет изменить код ответа на '403 ЗАПРЕЩЕНО'.

Директива Require

Require [not] entity-name [entity-name] ...

Данная директива проверяет, авторизован ли аутентифицированный пользователь в соответствии с конкретным поставщиком авторизации и указанными ограничениями. mod_authz_core предоставляет следующие общие поставщики авторизации:

Require all granted

Доступ разрешен безусловно.

Require all denied

Доступ запрещен безусловно.

Require env env-var [env-var] ...

Доступ разрешен только если одна из указанных переменных среды установлена.

Require method http-method [http-method] ...

Доступ разрешен только для указанных HTTP-методов.

Require expr expression

Доступ разрешен, если выражение вычисляется в значение true.

Некоторые из допустимых синтаксисов, предоставляемых mod_authz_user, mod_authz_host, и mod_authz_groupfile, включают:

Require user userid [userid] ...

Только указанные пользователи могут получить доступ к ресурсу.

Require group group-name [group-name] ...

Только пользователи из указанных групп могут получить доступ к ресурсу.

Require valid-user

Все валидные пользователи могут получить доступ к ресурсу.

Require ip 10 172.20 192.168.2

Клиенты из указанных диапазонов IP-адресов могут получить доступ к ресурсу.

Require forward-dns dynamic.example.org

Клиенту, IP-адрес которого разрешен по имени dynamic.example.org, будет предоставлен доступ.

Другие модули авторизации, реализующие опции require, включают mod_authnz_ldap, mod_authz_dbm, mod_authz_dbd, mod_authz_owner и mod_ssl.

В большинстве случаев для полной конфигурации аутентификации и авторизации Require должна быть дополнена директивами AuthName, AuthType и AuthBasicProvider или AuthDigestProvider , а также директивами, такими как AuthUserFile и AuthGroupFile (для определения пользователей и групп), чтобы работать корректно. Пример:

AuthType Basic
AuthName "Restricted Resource"
AuthBasicProvider file
AuthUserFile "/web/users"
AuthGroupFile "/web/groups"
Require group admin

Контроль доступа, примененный таким образом, эффективен для всех методов. Это обычно желательно. Если вы хотите применить контроль доступа только к определённым методам, оставив другие методы незащищёнными, поместите оператор Require в раздел <Limit>.

Результат директивы Require может быть отменён с помощью опции not. Как и в случае с другими отменёнными директивами авторизации <RequireNone>, когда директива Require отменяется, она может только отказать или вернуть нейтральный результат, и поэтому никогда не может самостоятельно авторизовать запрос.

В следующем примере все пользователи из групп alpha и beta авторизованы, за исключением тех, кто также входит в группу reject.

<Directory "/www/docs">
    <RequireAll>
        Require group alpha beta
        Require not group reject
    </RequireAll>
</Directory>

Если несколько директив Require используются в одном разделе конфигурации и не содержатся в другой директиве авторизации, такой как <RequireAll>, они неявно содержатся внутри директивы <RequireAny> . Таким образом, первая директива, авторизующая пользователя, авторизует весь запрос, а последующие директивы Require игнорируются.

См. также

• Руководство по контролю доступа
• Контейнеры авторизации
• mod_authn_core
• mod_authz_host

<RequireAll> Директива

<RequireAll> ... </RequireAll>

<RequireAll> и </RequireAll> используются для оборачивания группы директив авторизации, ни одна из которых не должна завершаться неудачей, и по крайней мере одна из которых должна иметь успех, чтобы директива <RequireAll> имела успех.

Если ни одна из директив, содержащихся в директиве <RequireAll>, не завершается неудачей, и по крайней мере одна завершается успешно, то директива <RequireAll> завершается успешно. Если ни одна не имеет успеха и ни одна не завершается неудачей, то она возвращает нейтральный результат. Во всех остальных случаях она завершается неудачей.

См. также

• Контейнеры авторизации
• Аутентификация, авторизация и контроль доступа

<RequireAny> Директива

<RequireAny> ... </RequireAny>

<RequireAny> и </RequireAny> используются для оборачивания группы директив авторизации, одна из которых должна иметь успех, чтобы директива <RequireAny> имела успех.

Если одна или несколько директив, содержащихся в директиве <RequireAny>, завершаются успешно, то директива <RequireAny> завершается успешно. Если ни одна не имеет успеха и ни одна не завершается неудачей, то она возвращает нейтральный результат. Во всех остальных случаях она завершается неудачей.

См. также

• Контейнеры авторизации
• Аутентификация, авторизация и контроль доступа

<RequireNone> Директива

<RequireNone> ... </RequireNone>

<RequireNone> и </RequireNone> используются для оборачивания группы директив авторизации, ни одна из которых не должна иметь успех для того, чтобы директива <RequireNone> не завершилась неудачей.

Если одна или несколько директив, содержащихся в директиве <RequireNone>, завершаются успешно, то директива <RequireNone> завершается неудачей. Во всех остальных случаях она возвращает нейтральный результат. Таким образом, как и в случае с другой отменённой директивой авторизации Require not, она никогда не может самостоятельно авторизовать запрос, поскольку никогда не может вернуть успешный результат. Однако она может использоваться для ограничения набора пользователей, авторизованных для доступа к ресурсу.

См. также

• Контейнеры авторизации
• Аутентификация, авторизация и контроль доступа