Модуль Apache mod_ldap

Краткое описание

Этот модуль создан для повышения производительности веб-сайтов, использующих подключения к серверам LDAP в качестве серверной части. В дополнение к функциям стандартных библиотек LDAP модуль добавляет пул LDAP-подключений и кэш LDAP в разделяемой памяти.

Чтобы включить этот модуль, поддержку LDAP необходимо скомпилировать в apr-util. Для этого при сборке Apache в скрипт configure добавляется флаг --with-ldap.

Поддержка SSL/TLS зависит от того, с каким набором инструментов LDAP скомпонован APR. На момент написания этого текста APR-util поддерживает: OpenLDAP SDK (версии 2.x и более поздние), Novell LDAP SDK, Mozilla LDAP SDK, встроенный Solaris LDAP SDK (на основе Mozilla) и встроенный Microsoft LDAP SDK. Подробности см. на веб-сайте APR.

Пример конфигурации

Ниже приведен пример конфигурации, в которой используется mod_ldap для повышения производительности HTTP-аутентификации Basic, предоставляемой mod_authnz_ldap.

# Enable the LDAP connection pool and shared
# memory cache. Enable the LDAP cache status
# handler. Requires that mod_ldap and mod_authnz_ldap
# be loaded. Change the "yourdomain.example.com" to
# match your domain.

LDAPSharedCacheSize 500000
LDAPCacheEntries 1024
LDAPCacheTTL 600
LDAPOpCacheEntries 1024
LDAPOpCacheTTL 600

<Location "/ldap-status">
    SetHandler ldap-status

    Require host yourdomain.example.com

    Satisfy any
    AuthType Basic
    AuthName "LDAP Protected"
    AuthBasicProvider ldap
    AuthLDAPURL "ldap://127.0.0.1/dc=example,dc=com?uid?one"
    Require valid-user
</Location>

Пул LDAP-подключений

LDAP-подключения объединяются в пул и повторно используются для обработки запросов. Благодаря этому подключение к серверу LDAP остается установленным и готовым к обработке следующего запроса, без необходимости выполнять отключение, подключение и повторную привязку. Выигрыш в производительности сопоставим с эффектом от использования постоянных HTTP-соединений.

На загруженном сервере множество запросов могут одновременно попытаться обратиться к одному и тому же LDAP-подключению. Если LDAP-подключение занято, Apache создаст новое подключение параллельно с исходным. Это не позволяет пулу подключений стать узким местом.

Вручную включать пул подключений в конфигурации Apache не требуется. Все модули, использующие этот модуль для доступа к службам LDAP, будут совместно использовать пул подключений.

LDAP-подключения могут сохранять учетные данные клиента LDAP, использованные при привязке к серверу LDAP. Эти учетные данные могут передаваться серверам LDAP, которые не разрешают анонимную привязку при переходе по ссылкам-переадресациям. Настройка этой функции описана в директивах LDAPReferrals и LDAPReferralHopLimit. По умолчанию функция включена.

Кэш LDAP

Для повышения производительности mod_ldap использует стратегию агрессивного кэширования, чтобы свести к минимуму число обращений к серверу LDAP. Кэширование может вдвое или втрое увеличить пропускную способность Apache при обслуживании страниц, защищенных с помощью mod_authnz_ldap. Кроме того, нагрузка на сервер LDAP значительно снизится.

mod_ldap поддерживает два типа кэширования LDAP: на этапе поиска и привязки используется кэш поиска/привязки, а на этапе сравнения — два кэша операций. Для каждого URL LDAP, используемого сервером, создается собственный набор из этих трех кэшей.

Кэш поиска/привязки

Поиск с последующей привязкой — самая затратная по времени операция LDAP, особенно если каталог велик. Кэш поиска/привязки используется для кэширования всех поисковых запросов, завершившихся успешной привязкой. Отрицательные результаты (т. е. неудачные поисковые запросы или запросы, не завершившиеся успешной привязкой) не кэшируются. Это решение объясняется тем, что подключения с неверными учетными данными составляют лишь малую долю от общего числа подключений, поэтому отказ от кэширования неверных учетных данных уменьшает размер кэша.

mod_ldap сохраняет в кэше имя пользователя, полученное DN, пароль, использованный для привязки, и время привязки. При установлении нового подключения с тем же именем пользователя mod_ldap сравнивает пароль нового подключения с паролем в кэше. Если пароли совпадают и срок хранения записи в кэше не истек, mod_ldap пропускает этап поиска/привязки.

Кэш поиска и привязки настраивается директивами LDAPCacheEntries и LDAPCacheTTL.

Кэши операций

При сравнении атрибутов и отличительных имен mod_ldap использует два кэша операций для кэширования результатов операций сравнения. Первый кэш сравнения используется для хранения результатов сравнений, выполняемых при проверке членства в группах LDAP. Второй кэш сравнения используется для хранения результатов сравнений отличительных имен.

Обратите внимание: при проверке членства в группе результаты любых сравнений с подгруппами кэшируются, чтобы ускорить последующие сравнения подгрупп.

Поведение обоих этих кэшей настраивается директивами LDAPOpCacheEntries и LDAPOpCacheTTL.

Мониторинг кэша

В mod_ldap предусмотрен обработчик содержимого, позволяющий администраторам отслеживать производительность кэша. Обработчик содержимого называется ldap-status, поэтому для доступа к сведениям о кэше mod_ldap можно использовать следующие директивы:

<Location "/server/cache-info">
    SetHandler ldap-status
</Location>

Запросив URL http://servername/cache-info, администратор может получить отчет о состоянии каждого кэша, используемого кэшем mod_ldap. Обратите внимание: если Apache не поддерживает разделяемую память, у каждого экземпляра httpd будет собственный кэш. Поэтому при повторном запросе URL будут отображаться разные сведения в зависимости от того, какой экземпляр httpd обработает запрос.

Использование SSL/TLS

Возможность создания SSL- и TLS-подключений к серверу LDAP определяется директивами LDAPTrustedGlobalCert, LDAPTrustedClientCert и LDAPTrustedMode. Эти директивы указывают используемые центры сертификации и необязательные сертификаты клиента, а также тип шифрования подключения (без шифрования, SSL или TLS/STARTTLS).

# Establish an SSL LDAP connection on port 636. Requires that
# mod_ldap and mod_authnz_ldap be loaded. Change the
# "yourdomain.example.com" to match your domain.

LDAPTrustedGlobalCert CA_DER "/certs/certfile.der"

<Location "/ldap-status">
    SetHandler ldap-status

    Require host yourdomain.example.com

    Satisfy any
    AuthType Basic
    AuthName "LDAP Protected"
    AuthBasicProvider ldap
    AuthLDAPURL "ldaps://127.0.0.1/dc=example,dc=com?uid?one"
    Require valid-user
</Location>

# Establish a TLS LDAP connection on port 389. Requires that
# mod_ldap and mod_authnz_ldap be loaded. Change the
# "yourdomain.example.com" to match your domain.

LDAPTrustedGlobalCert CA_DER "/certs/certfile.der"

<Location "/ldap-status">
    SetHandler ldap-status

    Require host yourdomain.example.com

    Satisfy any
    AuthType Basic
    AuthName "LDAP Protected"
    AuthBasicProvider ldap
    AuthLDAPURL "ldap://127.0.0.1/dc=example,dc=com?uid?one" TLS
    Require valid-user
</Location>

Сертификаты SSL/TLS

В разных SDK LDAP используются существенно различающиеся способы настройки и обработки сертификатов центра сертификации и клиентских сертификатов.

Если вы собираетесь использовать SSL или TLS, ВНИМАТЕЛЬНО прочитайте этот раздел, чтобы понять различия конфигураций для поддерживаемых наборов инструментов LDAP.

SDK Netscape/Mozilla/iPlanet

Сертификаты центров сертификации указываются в файле cert7.db. SDK не будет взаимодействовать с сервером LDAP, сертификат которого не подписан центром сертификации, указанным в этом файле. Если требуются клиентские сертификаты, можно указать необязательный файл key3.db и пароль к нему. При необходимости можно указать файл secmod. Эти файлы имеют тот же формат, что и файлы браузеров Netscape Communicator или Mozilla. Проще всего получить их из каталога установки браузера.

Клиентские сертификаты указываются отдельно для каждого подключения с помощью директивы LDAPTrustedClientCert, где задается «псевдоним» сертификата. Для разблокировки закрытого ключа сертификата можно указать необязательный пароль.

SDK поддерживает только SSL. Попытка использовать STARTTLS приведет к ошибке при обращении к серверу LDAP во время выполнения.

# Specify a Netscape CA certificate file
LDAPTrustedGlobalCert CA_CERT7_DB "/certs/cert7.db"
# Specify an optional key3.db file for client certificate support
LDAPTrustedGlobalCert CERT_KEY3_DB "/certs/key3.db"
# Specify the secmod file if required
LDAPTrustedGlobalCert CA_SECMOD "/certs/secmod"
<Location "/ldap-status">
    SetHandler ldap-status

    Require host yourdomain.example.com

    Satisfy any
    AuthType Basic
    AuthName "LDAP Protected"
    AuthBasicProvider ldap
    LDAPTrustedClientCert CERT_NICKNAME <nickname> [password]
    AuthLDAPURL "ldaps://127.0.0.1/dc=example,dc=com?uid?one"
    Require valid-user
</Location>

SDK Novell

Для корректной работы SDK Novell необходимо указать один или несколько сертификатов центров сертификации. Сертификаты можно указать в виде двоичных файлов DER или файлов в кодировке Base64 (PEM).

Примечание: клиентские сертификаты указываются глобально, а не отдельно для каждого подключения, поэтому их необходимо задать с помощью директивы LDAPTrustedGlobalCert, как показано ниже. Попытка задать клиентские сертификаты с помощью директивы LDAPTrustedClientCert приведет к записи ошибки при попытке подключения к серверу LDAP.

SDK поддерживает SSL и STARTTLS; режим задается параметром LDAPTrustedMode. Если указан URL ldaps://, принудительно включается режим SSL, переопределяющий эту директиву.

# Specify two CA certificate files
LDAPTrustedGlobalCert CA_DER "/certs/cacert1.der"
LDAPTrustedGlobalCert CA_BASE64 "/certs/cacert2.pem"
# Specify a client certificate file and key
LDAPTrustedGlobalCert CERT_BASE64 "/certs/cert1.pem"
LDAPTrustedGlobalCert KEY_BASE64 "/certs/key1.pem" [password]
# Do not use this directive, as it will throw an error
#LDAPTrustedClientCert CERT_BASE64 "/certs/cert1.pem"

SDK OpenLDAP

Для корректной работы SDK OpenLDAP необходимо указать один или несколько сертификатов центров сертификации. Сертификаты можно указать в виде двоичных файлов DER или файлов в кодировке Base64 (PEM).

Сертификаты центров сертификации и клиентские сертификаты можно задавать глобально (LDAPTrustedGlobalCert) или отдельно для каждого подключения (LDAPTrustedClientCert). Если настройки заданы отдельно для подключения, они имеют приоритет над глобальными.

Согласно документации SDK, поддерживаются SSL и STARTTLS, однако STARTTLS, по-видимому, работает не во всех версиях SDK. Режим SSL/TLS можно задать с помощью параметра LDAPTrustedMode. Если указан URL ldaps://, принудительно включается режим SSL. В документации OpenLDAP указано, что поддержку SSL (ldaps://) объявили устаревшей и планируют заменить TLS, хотя функциональность SSL по-прежнему работает.

# Specify two CA certificate files
LDAPTrustedGlobalCert CA_DER "/certs/cacert1.der"
LDAPTrustedGlobalCert CA_BASE64 "/certs/cacert2.pem"
<Location "/ldap-status">
    SetHandler ldap-status

    Require host yourdomain.example.com

    LDAPTrustedClientCert CERT_BASE64 "/certs/cert1.pem"
    LDAPTrustedClientCert KEY_BASE64 "/certs/key1.pem"
    # CA certs respecified due to per-directory client certs
    LDAPTrustedClientCert CA_DER "/certs/cacert1.der"
    LDAPTrustedClientCert CA_BASE64 "/certs/cacert2.pem"
    Satisfy any
    AuthType Basic
    AuthName "LDAP Protected"
    AuthBasicProvider ldap
    AuthLDAPURL "ldaps://127.0.0.1/dc=example,dc=com?uid?one"
    Require valid-user
</Location>

SDK Solaris

Поддержка SSL/TLS во встроенных библиотеках LDAP Solaris пока отсутствует. При необходимости установите и используйте библиотеки OpenLDAP.

SDK Microsoft

Настройка сертификатов SSL/TLS для встроенных библиотек LDAP Microsoft выполняется в системном реестре, поэтому директивы конфигурации не требуются.

Поддерживаются SSL и TLS: для этого используется формат URL ldaps:// либо соответствующим образом применяется директива LDAPTrustedMode.

Примечание: поддержка клиентских сертификатов в этом наборе инструментов пока не изучена.

LDAPCacheEntries number

LDAPCacheEntries 1024

LDAPCacheTTL seconds

LDAPCacheTTL 600

LDAPConnectionPoolTTL n

LDAPConnectionPoolTTL -1

LDAPConnectionTimeout seconds

LDAPLibraryDebug 7

LDAPOpCacheEntries number

LDAPOpCacheEntries 1024

LDAPOpCacheTTL seconds

LDAPOpCacheTTL 600

LDAPReferralHopLimit number

SDK dependent, typically between 5 and 10

LDAPReferrals On|Off|default

LDAPReferrals On

LDAPRetries number-of-retries

LDAPRetries 3

LDAPRetryDelay seconds

LDAPRetryDelay 0

LDAPSharedCacheFile directory-path/filename

LDAPSharedCacheSize bytes

LDAPSharedCacheSize 500000

LDAPTimeout seconds

LDAPTimeout 60

LDAPTrustedClientCert type directory-path/filename/nickname [password]

LDAPTrustedGlobalCert type directory-path/filename [password]

LDAPTrustedMode type

LDAPVerifyServerCert On|Off

LDAPVerifyServerCert On