Apache模块mod_authnz_ldap

内容

• 一般警告
• 运作方式
  • 认证阶段
  • 授权阶段
• 需求指令
  • 需要ldap用户
  • 需要ldap组
  • 需要ldap-dn
  • 需要ldap属性
  • 需要ldap过滤器
• 例子
• 使用TLS
• 使用SSL
• 公开登录信息
• 使用活动目录
• 将Microsoft FrontPage与 mod_authnz_ldap
  • 怎么运行的
  • 注意事项

一般警告

此模块根据的配置缓存身份验证和授权结果mod_ldap。对后备LDAP服务器所做的更改不会立即反映在HTTP Server上，包括但不限于用户锁定/撤消，密码更改或组成员身份更改。有关mod_ldap高速缓存可调参数的详细信息，请查阅中的指令。

运作方式

向用户授予访问权分为两个阶段。第一阶段是身份验证，其中mod_authnz_ldap 身份验证提供程序验证用户的凭据有效。这也称为搜索/绑定阶段。第二阶段是授权，其中mod_authnz_ldap确定是否允许经过身份验证的用户访问所讨论的资源。这也称为比较 阶段。

mod_authnz_ldap同时注册authn_ldap身份验证提供程序和authz_ldap授权处理程序。可以AuthBasicProvider使用该ldap值通过指令启用authn_ldap身份验证提供程序 。该authz_ldap处理器扩展了 Require通过添加指令的授权类型ldap-user，ldap-dn和ldap-group 值。

认证阶段

在身份验证阶段，请mod_authnz_ldap 在目录中搜索与HTTP客户端传递的用户名匹配的条目。如果找到单个唯一匹配项，则mod_authnz_ldap尝试使用条目的DN加上HTTP客户端提供的密码来绑定到目录服务器。因为它先进行搜索，然后进行绑定，所以通常称为搜索/绑定阶段。这是在搜索/绑定阶段采取的步骤。

1. 通过将AuthLDAPURL指令中提供的属性和过滤器与HTTP客户端传递的用户名相结合，生成搜索过滤器。
2. 使用生成的过滤器搜索目录。如果搜索未完全返回一个条目，请拒绝或拒绝访问。
3. 获取从搜索中检索到的条目的可分辨名称，并尝试使用该DN和HTTP客户端传递的密码绑定到LDAP服务器。如果绑定失败，请拒绝或拒绝访问。

在搜索/绑定阶段使用以下指令

授权阶段

在授权阶段，mod_authnz_ldap 尝试确定用户是否被授权访问资源。其中许多检查都需要 mod_authnz_ldap在LDAP服务器上执行比较操作。这就是为什么此阶段通常称为比较阶段的原因。mod_authnz_ldap接受以下Require 指令以确定凭据是否可接受：

• 如果存在Require ldap-user指令，则授予访问权限，并且指令中的用户名与客户端传递的用户名匹配。
• 如果存在Require ldap-dn指令，则授予访问权限，并且该指令中的DN与从LDAP目录获取的DN匹配。
• 如果有Require ldap-group指令，则授予访问权限，并且从LDAP目录（或客户端传递的用户名）中提取的DN出现在LDAP组中，或者可能在其子组之一中。
• 如果有 指令，并且从LDAP目录获取的属性与给定值匹配，则授予访问权限。 Require ldap-attribute
• 如果有 指令，则授予访问权限，并且搜索过滤器成功找到与已认证用户的dn匹配的单个用户对象。 Require ldap-filter
• 否则，拒绝或拒绝访问

Require也可以使用可能需要加载其他授权模块的其他值。

• 如果有Require valid-user 指令，则向所有成功通过身份验证的用户授予访问权限。（要求mod_authz_user）
• 如果有Require group指令，并且mod_authz_groupfile已加载 AuthGroupFile 指令集， 则授予访问权限。
• 其他...

mod_authnz_ldap 在比较阶段使用以下指令：

需求指令

Require 在授权阶段使用Apache的指令，以确保允许用户访问资源。mod_authnz_ldap模块扩展的授权类型的ldap-user，ldap-dn， ldap-group，ldap-attribute和 ldap-filter。也可以使用其他授权类型，但可能需要加载其他授权模块。

从v2.4.8开始，LDAP require指令支持表达式。

需要ldap用户

该Require ldap-user指令指定哪些用户名可以访问资源。一旦 mod_authnz_ldap已经从目录中检索唯一的DN，它使用指定的用户名的LDAP比较操作Require ldap-user，看看该用户名是刚刚取LDAP条目的一部分。通过将多个用户名放在行中并用空格分隔，可以授予多个用户访问权限。如果用户名中有空格，则必须用双引号将其引起来。也可以通过使用多个Require ldap-user 指令来授予多个用户访问权限，每行一个用户。例如，使用AuthLDAPURLof ldap://ldap/o=Example?cn（即cn用于搜索），可以使用以下Require指令来限制访问：

Require ldap-user "Barbara Jenson"
Require ldap-user "Fred User"
Require ldap-user "Joe Manager"

由于mod_authnz_ldap该指令的处理方式，Barbara Jenson可以以Barbara Jenson，Babs Jenson或cn她在LDAP条目中拥有的任何其他方式登录。只Require ldap-user需要一行就可以支持用户条目中属性的所有值。

如果使用该uid属性而不是cn上面URL 中的 属性，则以上三行可以压缩为

Require ldap-user bjenson fuser jmanager

需要ldap组

该伪指令指定允许其成员访问的LDAP组。它采用LDAP组的专有名称。注意：组名称不要用引号引起来。例如，假定LDAP目录中存在以下条目：

dn: cn=Administrators, o=Example
objectClass: groupOfUniqueNames
uniqueMember: cn=Barbara Jenson, o=Example
uniqueMember: cn=Fred User, o=Example

以下指令将授予对Fred和Barbara的访问权限：

Require ldap-group cn=Administrators, o=Example

如果AuthLDAPMaxSubGroupDepth 将值设置为大于0，则还可以在指定的LDAP组的子组中找到成员。例如，假定LDAP目录中存在以下条目：

dn: cn=Employees, o=Example
objectClass: groupOfUniqueNames
uniqueMember: cn=Managers, o=Example
uniqueMember: cn=Administrators, o=Example
uniqueMember: cn=Users, o=Example

dn: cn=Managers, o=Example
objectClass: groupOfUniqueNames
uniqueMember: cn=Bob Ellis, o=Example
uniqueMember: cn=Tom Jackson, o=Example

dn: cn=Administrators, o=Example
objectClass: groupOfUniqueNames
uniqueMember: cn=Barbara Jenson, o=Example
uniqueMember: cn=Fred User, o=Example

dn: cn=Users, o=Example
objectClass: groupOfUniqueNames
uniqueMember: cn=Allan Jefferson, o=Example
uniqueMember: cn=Paul Tilley, o=Example
uniqueMember: cn=Temporary Employees, o=Example

dn: cn=Temporary Employees, o=Example
objectClass: groupOfUniqueNames
uniqueMember: cn=Jim Swenson, o=Example
uniqueMember: cn=Elliot Rhodes, o=Example

以下指令将允许访问Bob Ellis，Tom Jackson，Barbara Jenson，Fred User，Allan Jefferson和Paul Tilley，但不允许访问Jim Swenson或Elliot Rhodes（因为它们的子组深度为2） ：

Require ldap-group cn=Employees, o=Example
AuthLDAPMaxSubGroupDepth 1

这个指令的行为是修改的AuthLDAPGroupAttribute，AuthLDAPGroupAttributeIsDN，AuthLDAPMaxSubGroupDepth，AuthLDAPSubGroupAttribute，和AuthLDAPSubGroupClass 指令。

需要ldap-dn

该Require ldap-dn指令允许管理员基于专有名称授予访问权限。它指定必须匹配才能授予访问权限的DN。如果从目录服务器检索到的专有名称与中的专有名称匹配Require ldap-dn，则将授予授权。注意：专有名称不要用引号引起来。

以下指令将授予对特定DN的访问权限：

Require ldap-dn cn=Barbara Jenson, o=Example

该指令的行为由指令修改AuthLDAPCompareDNOnServer 。

需要ldap属性

该Require ldap-attribute指令允许管理员基于LDAP目录中经过身份验证的用户的属性来授予访问权限。如果目录中的属性与配置中给定的值匹配，则授予访问权限。

以下指令将授予具有employeeType = active属性的任何人访问权限

Require ldap-attribute employeeType="active"

可以在同一行上用空格分隔指定多个属性/值对，也可以在多个Require ldap-attribute指令中指定它们 。列出多个属性/值对的效果是“或”运算。如果任何列出的属性值与用户对象中相应属性的值匹配，将授予访问权限。如果属性的值包含空格，则仅该值必须在双引号内。

以下指令将授予具有city属性等于“ San Jose”或status等于“ Active”的任何人的访问权限

Require ldap-attribute city="San Jose" status="active"

需要ldap过滤器

该Require ldap-filter指令允许管理员基于复杂的LDAP搜索过滤器授予访问权限。如果过滤器搜索返回的dn与经过身份验证的用户dn匹配，则授予访问权限。

以下指令将授予拥有手机且在市场部门的任何人访问权限

Require ldap-filter "&(cell=*)(department=marketing)"

Require ldap-filter伪指令与 Require ldap-attribute伪指令之间的区别在于，ldap-filter 使用指定的搜索过滤器而不是简单的属性比较对LDAP目录执行搜索操作。如果仅需要简单的属性比较，则由进行的比较操作 ldap-attribute将比ldap-filter尤其是在大目录中使用的搜索操作快。

例子

• 使用其UID进行搜索，将访问权限授予LDAP目录中存在的任何人。

  AuthLDAPURL "ldap://ldap1.example.com:389/ou=People, o=Example?uid?sub?(objectClass=*)"
  Require valid-user

• 下一个示例与上述相同；但是省略了具有有用默认值的字段。另外，请注意使用冗余LDAP服务器。

  AuthLDAPURL "ldap://ldap1.example.com ldap2.example.com/ou=People, o=Example"
  Require valid-user

• 下一个示例与上一个示例相似，但是使用通用名称而不是UID。请注意，如果目录中的多个人共享同cn一个目录，这可能会出现问题，因为对on的搜索cn 必须恰好返回一个条目。这就是为什么不推荐使用这种方法的原因：最好选择一个在目录中保证唯一的属性，例如uid。

  AuthLDAPURL "ldap://ldap.example.com/ou=People, o=Example?cn"
  Require valid-user

• 将访问权限授予Administrators组中的任何人。用户必须使用其UID进行身份验证。

  AuthLDAPURL ldap://ldap.example.com/o=Example?uid
  Require ldap-group cn=Administrators, o=Example

• 向组中名称与虚拟主机的主机名匹配的任何人授予访问权限。在此示例中，使用 表达式构建过滤器。

  AuthLDAPURL ldap://ldap.example.com/o=Example?uid
  Require ldap-group cn=%{SERVER_NAME}, o=Example

• 下一个示例假定Example中每个携带字母数字寻呼机的人的LDAP属性均为qpagePagerID。该示例仅向具有字母数字寻呼机的人员（通过其UID进行身份验证）授予访问权限：

  AuthLDAPURL ldap://ldap.example.com/o=Example?uid??(qpagePagerID=*)
  Require valid-user

• 下一个示例演示了使用过滤器来完成复杂的管理要求的功能。如果没有过滤器，则必须创建一个新的LDAP组并确保该组的成员与寻呼机用户保持同步。这对于过滤器来说是微不足道的。目标是向拥有寻呼机的任何人授予访问权限，并向没有寻呼机但需要访问相同资源的Joe Manager授予访问权限：

  AuthLDAPURL ldap://ldap.example.com/o=Example?uid??(|(qpagePagerID=*)(uid=jmanager))
  Require valid-user

  刚开始时，这最后看起来可能会令人困惑，因此，它有助于根据谁的联系来评估搜索过滤器的外观，如下所示。如果Fred User以as身份连接fuser，则过滤器将如下所示

  (&(|(qpagePagerID=*)(uid=jmanager))(uid=fuser))

  只有在定影器具有寻呼机的情况下，以上搜索才会成功。当Joe Manager以jmanager身份连接时，过滤器看起来像

  (&(|(qpagePagerID=*)(uid=jmanager))(uid=jmanager))

  无论jmanager是否 具有寻呼机，上述搜索都将成功。

使用TLS

要使用TLS，请参阅mod_ldap指令LDAPTrustedClientCert，LDAPTrustedGlobalCert和LDAPTrustedMode。

可以将可选的第二个参数添加到中， AuthLDAPURL以覆盖由设置的默认连接类型LDAPTrustedMode。这将使由ldap：// Url 建立的连接升级为同一端口上的安全连接。

使用SSL

要使用SSL，请参阅mod_ldap指令LDAPTrustedClientCert，LDAPTrustedGlobalCert和LDAPTrustedMode。

要指定安全的LDAP服务器，请在 指令中使用ldaps：//AuthLDAPURL而不是ldap：//。

公开登录信息

当此模块执行认证时，AuthLDAPURL 伪指令中指定的ldap属性将放置在带有前缀“ AUTHENTICATE_”的环境变量中。

当此模块执行授权时，AuthLDAPURL 伪指令中指定的ldap属性将放置在带有前缀“ AUTHORIZE_”的环境变量中。

如果属性字段包含用户名，用户的常用名和电话号码，则C​​GI程序将有权访问此信息，而无需进行第二次独立的LDAP查询来收集此附加信息。

这有可能极大简化某些Web应用程序中所需的编码和配置。

使用活动目录

Active Directory安装可能同时支持多个域。为了在域之间区分用户，可以将名为“用户主体名称”（UPN）的标识符添加到目录中的用户条目。该UPN通常采用用户帐户名的形式，后跟特定域的域组件，例如somebody@nz.example.com。

您可能希望将mod_authnz_ldap 模块配置为对组成Active Directory林的任何域中存在的用户进行身份验证。这样， 可以同时使用同一查询对 somebody@nz.example.com和someone@au.example.com进行身份验证。

为了使之实用，Active Directory支持全局编录的概念。此全局编录是Active Directory林中所有Active Directory服务器的选定属性的只读副本。通过查询全局目录，可以在单个查询中查询所有域，而查询不会跨服务器访问速度较慢的链接。

如果启用，则全局编录是运行在端口3268（对于SSL为3269）上的独立目录服务器。要搜索用户，请在子树中使用空的搜索根搜索属性userPrincipalName，如下所示：

AuthLDAPBindDN apache@example.com
AuthLDAPBindPassword password
AuthLDAPURL ldap://10.0.0.1:3268/?userPrincipalName?sub

用户将需要输入他们的用户主体名称作为登录名，形式为somebody@nz.example.com。

将Microsoft FrontPage与mod_authnz_ldap一起使用

通常，FrontPage使用特定于FrontPage Web的用户/组文件（即mod_authn_file和 mod_authz_groupfile模块）来处理所有身份验证。不幸的是，不可能仅通过添加适当的指令来更改为LDAP身份验证，因为它会破坏FrontPage客户端中的Permissions表单，后者试图修改基于文本的标准授权文件。

创建FrontPage网站后，向其添加LDAP身份验证就是向在网站中创建的每个 .htaccess文件添加以下指令的问题

AuthLDAPURL       "the url"
AuthGroupFile     "mygroupfile"
Require group     "mygroupfile"

怎么运行的

FrontPage通过将Require valid-user指令添加到.htaccess 文件来限制对Web的访问。Require valid-user对于LDAP而言，该指令将对任何有效的用户成功。这意味着在LDAP目录中具有条目的任何人都被视为有效用户，而FrontPage仅将本地用户文件中的那些人视为有效用户。通过用组文件授权替换ldap-group，Apache可以在处理授权用户时查阅本地用户文件（由FrontPage管理）而不是LDAP。

如上指定添加指令后，FrontPage用户将能够从FrontPage客户端执行所有管理操作。

注意事项

• 选择LDAP URL时，用于身份验证的属性应该是对放入mod_authn_file用户文件中同样有效的属性。用户ID是理想的选择。
• 通过FrontPage添加用户时，FrontPage管理员应选择LDAP目录中已经存在的用户名（出于明显的原因）。同样，管理员输入表单的密码也将被忽略，因为Apache实际上将根据LDAP数据库中的密码进行身份验证，而不是根据本地用户文件中的密码进行身份验证。这可能会引起Web管理员的困惑。
• 阿帕奇必须进行编译mod_auth_basic， mod_authn_file并 mod_authz_groupfile以使用FrontPage支持。这是因为Apache仍将使用mod_authz_groupfile组文件来确定用户对FrontPage网站的访问范围。
• 指令必须放在.htaccess 文件中。试图将它们放入内部<Location>或<Directory>指令将不起作用。这是因为mod_authnz_ldap必须能够获取AuthGroupFile FrontPage .htaccess 文件中找到的指令，以便它知道在哪里寻找有效的用户列表。如果mod_authnz_ldap指令.htaccess与FrontPage指令不在同一个 文件中，则该破解将无法进行，因为mod_authnz_ldap将永远没有机会处理该.htaccess文件，并且将无法找到FrontPage管理的用户文件。