Apache 模組 mod_authnz_ldap

目錄

• 一般注意事項
• 操作
  • 驗證階段
  • 授權階段
• Require 指令
  • Require ldap-user
  • Require ldap-group
  • Require ldap-dn
  • Require ldap-attribute
  • Require ldap-filter
• 範例
• 使用 TLS
• 使用 SSL
• 公開登入資訊
• 使用 Active Directory
• 與 Microsoft FrontPage 使用 mod_authnz_ldap
  • 運作方式
  • 注意事項

一般注意事項

此模組會依據 mod_ldap 的設定快取驗證和授權結果。對後端 LDAP 伺服器所做的變更，將不會立即反映在 HTTP 伺服器上，包括但不限於使用者鎖定/取消、變更密碼或變更群組成員資格。請參閱 mod_ldap 中的指令，取得快取可調整項目詳細資料。

操作

授與使用者存取權時，共有兩個階段。第一階段是驗證，在此階段中 mod_authnz_ldap 驗證提供者會驗證使用者的憑證是否有效。這也被稱為搜尋/繫結階段。第二階段是授權，在此階段中 mod_authnz_ldap 會判斷經過驗證的使用者是否允許存取有爭議的資源。這也稱為比較階段。

mod_authnz_ldap 註冊一個 authn_ldap 身份驗證提供者與一個 authz_ldap 授權處理器。authn_ldap 驗證提供者可以使用 AuthBasicProvider 指令使用 ldap 值啟用。authz_ldap 處理器會透過增加 ldap-user、ldap-dn 與 ldap-group 值擴充 Require 指令的授權類型。

驗證階段

在驗證階段期間，mod_authnz_ldap 會搜尋目錄中的條目，以比對 HTTP 用戶端所傳遞的使用者名稱。如果找到單一的唯一比對，則 mod_authnz_ldap 會嘗試使用該條目的 DN 與 HTTP 用戶端所提供的密碼連結到目錄伺服器。由於它會執行搜尋，然後再進行連結，因此常被稱為搜尋/連結階段。
以下是搜尋/連結階段期間執行的步驟。

1. 結合 AuthLDAPURL 指令中所提供的屬性和過濾條件，並配上 HTTP 用戶端所傳遞的使用者名稱，以產生搜尋過濾條件。
2. 使用所產生的過濾條件搜尋目錄。如果搜尋結果不是剛好只有一個條目，則拒絕或取消存取。
3. 取得經由搜尋所擷取條目的已驗別名稱，並嘗試使用該 DN 與 HTTP 用戶端所傳遞的密碼連結到 LDAP 伺服器。如果連結失敗，則拒絕或取消存取。

在搜尋/連結階段期間會使用下列指令

授權階段

在授權階段期間，mod_authnz_ldap 會嘗試判斷使用者是否獲准存取資源。這些檢查中有很多需要 mod_authnz_ldap 對 LDAP 伺服器執行比較操作。這也就是為何此階段常被稱為比較階段。mod_authnz_ldap 會接受下列 Require 指令，以判斷憑據是否可接受

• 如果有一個 Require ldap-user 指令，且指令中的使用者名稱與用戶端所傳遞的使用者名稱相符，則准許存取。
• 如果有一個 Require ldap-dn 指令，且指令中的 DN 與從 LDAP 目錄中擷取的 DN 相符，則准許存取。
• 如存在 Require ldap-group 指令，且從 LDAP 目錄中取得的 DN（或客戶端傳遞的使用者名稱）位於 LDAP 群組中，或潛在地位於其子群組中的某個位置，則授予存取權限。
• 如存在 Require ldap-attribute 指令，且從 LDAP 目錄中取得的屬性與給定值相符，則授予存取權限。
• 如存在 Require ldap-filter 指令，且尋找篩選成功找到一個與經過驗證使用者的 dn 相符的單一使用者物件，則授予存取權限。
• 否則，拒絕或拒絕存取。

其他 Require 值也可以使用，這可能需要載入額外的授權模組。

• 如存在 Require valid-user 指令，則授予所有已成功驗證使用者存取權限。（需要 mod_authz_user）
• 如存在 Require group 指令，且 mod_authz_groupfile 已載入設定了 AuthGroupFile 指令。
• 其他...

mod_authnz_ldap 在比較階段會使用下列指令

Require 指令

Apache 的 Require 指令在授權階段使用，以確保使用者被允許存取資源。mod_authnz_ldap 使用 ldap-user、ldap-dn、ldap-group、ldap-attribute 和 ldap-filter 延伸授權類型。其他授權類型也可以使用，但可能需要載入額外的授權模組。

自 2.4.8 版起，LDAP 需要指令中會支援 表達式。

Require ldap-user

Require ldap-user 指令指定哪些使用者名稱可以存取資源。一旦 mod_authnz_ldap 從目錄中擷取到唯一的 DN，它就會使用 Require ldap-user 中指定使用者名稱，執行 LDAP 比對作業，以查看該使用者名稱是否屬於剛剛擷取的 LDAP 條目的一部分。透過在行中輸入多個使用者名稱（以空格分隔）的方式，可以授權給多個使用者。如果使用者名稱中有空格，則必須加上雙引號。也可以透過使用多個 Require ldap-user 指令（每行一個使用者）的方式，授權給多個使用者。例如，ldap://ldap/o=範例？cn（也就是說 cn 用於搜尋），以下的 Require 指令可用於限制存取權

Require ldap-user "Barbara Jenson"
Require ldap-user "Fred User"
Require ldap-user "Joe Manager"

由於 mod_authnz_ldap 處理此指令的方式，Barbara Jenson 可用身分登入為 Barbara Jenson、Babs Jenson 或 LDAP 條目中的任何其他 cn。只有一個 Require ldap-user 行即可支援使用者條目中該屬性的所有值。

如果在上述網址中使用 uid 屬性而非 cn 屬性，上述三行可濃縮成

Require ldap-user bjenson fuser jmanager

Require ldap-group

此指令指定一個 LDAP 群組，其成員有權存取。它會採用 LDAP 群組的識別名稱。注意：不要加上引號將群組名稱括號起來。例如，假設 LDAP 目錄中有下列條目

dn: cn=Administrators, o=Example
objectClass: groupOfUniqueNames
uniqueMember: cn=Barbara Jenson, o=Example
uniqueMember: cn=Fred User, o=Example

下列指令會授權 Fred 及 Barbara

Require ldap-group cn=Administrators, o=Example

如果將 AuthLDAPMaxSubGroupDepth 設定為大於 0 的值，也可以在指定 LDAP 群組的次群組中找到成員。例如，假設 LDAP 目錄中有下列條目

dn: cn=Employees, o=Example
objectClass: groupOfUniqueNames
uniqueMember: cn=Managers, o=Example
uniqueMember: cn=Administrators, o=Example
uniqueMember: cn=Users, o=Example

dn: cn=Managers, o=Example
objectClass: groupOfUniqueNames
uniqueMember: cn=Bob Ellis, o=Example
uniqueMember: cn=Tom Jackson, o=Example

dn: cn=Administrators, o=Example
objectClass: groupOfUniqueNames
uniqueMember: cn=Barbara Jenson, o=Example
uniqueMember: cn=Fred User, o=Example

dn: cn=Users, o=Example
objectClass: groupOfUniqueNames
uniqueMember: cn=Allan Jefferson, o=Example
uniqueMember: cn=Paul Tilley, o=Example
uniqueMember: cn=Temporary Employees, o=Example

dn: cn=Temporary Employees, o=Example
objectClass: groupOfUniqueNames
uniqueMember: cn=Jim Swenson, o=Example
uniqueMember: cn=Elliot Rhodes, o=Example

下列指令會允許 Bob Ellis、Tom Jackson、Barbara Jenson、Fred User、Allan Jefferson 和 Paul Tilley 存取，但會拒絕 Jim Swenson 或 Elliot Rhodes（因為他們位於次群組深度 2）的存取權

Require ldap-group cn=Employees, o=Example
AuthLDAPMaxSubGroupDepth 1

此指令的行為會受到 AuthLDAPGroupAttribute、AuthLDAPGroupAttributeIsDN、AuthLDAPMaxSubGroupDepth、AuthLDAPSubGroupAttribute 和 AuthLDAPSubGroupClass 指令的修改。

Require ldap-dn

Require ldap-dn 指令容許管理員根據識別名稱授與存取權。它指定必須比對才能授與存取權的 DN。如果從目錄伺服器擷取到的識別名稱與 Require ldap-dn 中的識別名稱相符，則授與授權。注意：不要加上引號將識別名稱括號起來。

下列指令會授與特定的 DN 存取權

Require ldap-dn cn=Barbara Jenson, o=Example

AuthLDAPCompareDNOnServer 指令修改此指令的行為。

Require ldap-attribute

Require ldap-attribute 指令允許管理員根據已驗證使用者在 LDAP 目錄中的屬性授予存取權。如果目錄中的屬性與設定中的值相符，則會授予存取權。

下列指令會授予所有具有屬性 employeeType = active 的人存取權

Require ldap-attribute employeeType="active"

可在同一行中以空格分隔指定多個屬性/值對，或可在多個 Require ldap-attribute 指令中指定。列出多個屬性/值對的效果為 OR 運算。如果任一列出的屬性值與使用者物件中對應屬性的值相符，則會授予存取權。如果屬性的值包含空格，則必須只將值置於雙引號內。

下列指令會授予城市屬性等於「San Jose」或狀態屬性等於「Active」的所有人存取權

Require ldap-attribute city="San Jose" status="active"

Require ldap-filter

Require ldap-filter 指令允許管理員根據複雜的 LDAP 搜尋篩選條件授予存取權。如果篩選條件搜尋傳回的 distinguished name 與已驗證使用者的 distinguished name 相符，則會授予存取權。

下列指令會授予所有有手機且在行銷部門的人員存取權

Require ldap-filter "&(cell=*)(department=marketing)"

Require ldap-filter 指令與 Require ldap-attribute 指令的差異在於，ldap-filter 會使用指定的搜尋篩選條件對 LDAP 目錄執行搜尋作業，而非執行簡單的屬性比較。如果只需要進行簡單的屬性比較，則由 ldap-attribute 執行的比較作業會比由 ldap-filter 使用的搜尋作業更快，尤其是在大型目錄中。

在篩選條件中使用 表達式 時，必須小心，確保以正確方式跳脫 LDAP 篩選條件，以防止 LDAP 注入。ldap 函數可用於此目的。

<LocationMatch ^/dav/(?<SITENAME>[^/]+)/>
  Require ldap-filter (memberOf=cn=%{ldap:%{unescape:%{env:MATCH_SITENAME}},ou=Websites,o=Example)
</LocationMatch>

範例

• 授予所有存在於 LDAP 目錄且使用他們的 UID 進行搜尋的人存取權。

  AuthLDAPURL "ldap://ldap1.example.com:389/ou=People, o=Example?uid?sub?(objectClass=*)"
  Require valid-user

• 下一個範例與上一個範例相同；但省略具有有用預設值欄位。此外，請注意使用備用 LDAP 伺服器。

  AuthLDAPURL "ldap://ldap1.example.com ldap2.example.com/ou=People, o=Example"
  Require valid-user

• 下一個範例與前一個範例類似，但使用通用名稱，而非 UID。請注意，如果目錄中有多個人共用相同的 cn，這會產生問題，這是因為對 cn 的搜尋必須傳回單一項目。因此不建議使用此方法：最好選擇目錄中保證唯一的屬性，例如 uid。

  AuthLDAPURL "ldap://ldap.example.com/ou=People, o=Example?cn"
  Require valid-user

• 授予 Adminstrators 群組中的任何人存取權。使用者必須使用他們的 UID 進行驗證。

  AuthLDAPURL ldap://ldap.example.com/o=Example?uid
  Require ldap-group cn=Administrators, o=Example

• 授予名稱與虛擬主機主機名稱相符的群組中的任何人存取權。在此範例中，使用 表達式 建立篩選條件。

  AuthLDAPURL ldap://ldap.example.com/o=Example?uid
  Require ldap-group cn=%{SERVER_NAME}, o=Example

• 以下範例假設 Example 中會攜帶字母數字尋呼機的每個人都會有一個 qpagePagerID 的 LDAP 屬性。範例只會授予有字母數字尋呼機（透過他們的 UID 驗證）的人員存取權

  AuthLDAPURL ldap://ldap.example.com/o=Example?uid??(qpagePagerID=*)
  Require valid-user

• 以下範例示範如何運用篩選器達成複雜的管理需求。沒有篩選器的話，就必須建立一個新的 LDAP 群組，並確保群組的成員保持與尋呼機使用者同步。這樣一來，篩選器就變得微不足道了。目標是授予有尋呼機的任何人存取權，同時也授予沒有尋呼機，但需要存取相同資源的 Joe Manager 存取權

  AuthLDAPURL ldap://ldap.example.com/o=Example?uid??(|(qpagePagerID=*)(uid=jmanager))
  Require valid-user

  一開始，這最後一個範例可能看起來令人困惑，所以利用如下所示，根據連線的人來評估搜尋篩選器的樣貌會很有幫助。如果 Fred User 以 fuser 連線，那麼篩選器會看起來像

  (&(|(qpagePagerID=*)(uid=jmanager))(uid=fuser))

  如果 fuser 有尋呼機，上面的搜尋只會成功。當 Joe Manager 以 jmanager 連線時，篩選器會看起來像

  (&(|(qpagePagerID=*)(uid=jmanager))(uid=jmanager))

  無論 jmanager 是否有尋呼機，上面的搜尋都會成功。

使用 TLS

如要使用 TLS，請參閱 mod_ldap 指令 LDAPTrustedClientCert、LDAPTrustedGlobalCert 和 LDAPTrustedMode。

可以將一個選擇性第二個參數新增到 AuthLDAPURL，以覆寫由 LDAPTrustedMode 設定的預設連線類型。這將允許由 ldap:// Url 建立的連線在同一個埠升級為安全的連線。

使用 SSL

如要使用 SSL，請參閱 mod_ldap 指令 LDAPTrustedClientCert、LDAPTrustedGlobalCert 和 LDAPTrustedMode。

如要指定安全的 LDAP 伺服器，請在 AuthLDAPURL 指令中使用 ldaps:// ，而不是 ldap://。

公開登入資訊

當這個模組執行 驗證 時，指定在 AuthLDAPURL 指令的前綴為 "AUTHENTICATE_" 的 LDAP 屬性都會被放入環境變數中。

當這個模組執行 授權 時，指定在 AuthLDAPURL 指令的前綴為 "AUTHORIZE_" 的 LDAP 屬性都會被放入環境變數中。

如果屬性欄位包含使用者的使用者名稱、一般名稱和電話號碼，CGI 程式就能夠存取這些資訊，而無須提出第二次的獨立 LDAP 查詢來收集這些其他資訊。

這樣有可能大幅地簡化在某些 Web 應用程式中所要求的編碼與組態。

使用 Active Directory

Active Directory 安裝可能同時支援多個網域。若要分辨網域間的使用者，會將稱為使用者主體名稱 (UPN) 的識別碼加入至目錄中使用者的項目。此 UPN 通常會採用使用者的帳戶名稱格式，後接特定網域的網域組件，例如 somebody@nz.example.com。

您可能想設定 mod_authnz_ldap 模組，以驗證存在於組成 Active Directory 林的任何網域中的使用者。透過這種方式，somebody@nz.example.com 和 someone@au.example.com 可以在同時使用同一查詢進行驗證。

為了讓這項實務可行，Active Directory 支援全球目錄的概念。此全球目錄是 Active Directory 林內所有 Active Directory 伺服器中選取的屬性的唯讀副本。查詢全球目錄，只要一個查詢便可讓所有網域進行查詢，而不用跨越伺服器而且網速很慢。

如果啟用，全球目錄是獨立的目錄伺服器，使用第 3268 號埠 (SSL 為第 3269 號埠) 來執行。若要搜尋使用者，針對屬性 userPrincipalName 進行子樹搜尋，其搜尋根目錄為空白，如下所示

AuthLDAPBindDN apache@example.com
AuthLDAPBindPassword password
AuthLDAPURL ldap://10.0.0.1:3268/?userPrincipalName?sub

使用者需要以 somebody@nz.example.com 格式輸入其使用者主體名稱作為登入名稱。

在 mod_authnz_ldap 中使用 Microsoft FrontPage

通常，FrontPage 使用 FrontPage 網頁專用的使用者/群組檔案（亦即 mod_authn_file 和 mod_authz_groupfile 模組）來處理所有驗證。遺憾的是，無法僅透過新增適當的指令就變更為 LDAP 驗證，因為這將會損毀 FrontPage 應用程式中會嘗試修改標準文字授權檔的 權限 表單。

一旦建立了 FrontPage 網頁，對其新增 LDAP 驗證的方式是將下列指令加入在網頁中建立的每個 .htaccess 檔案中

AuthLDAPURL       "the url"
AuthGroupFile     "mygroupfile"
Require group     "mygroupfile"

運作方式

FrontPage 透過將 Require valid-user 指令加入到 .htaccess 檔案來限制對網頁的存取。Require valid-user 指令會對根據 LDAP 的觀點任何有效的使用者成功執行。這表示，在 LDAP 目錄中擁有項目的任何人都會被視為有效使用者，而 FrontPage 僅將本機使用者檔案中的人視為有效。Apache 會以 ldap-group 搭配群組檔案授權取代，因此在處理使用者的授權時，Apache 會查詢本機使用者檔案（由 FrontPage 管理），而非 LDAP。

在如上所述加入指令後，FrontPage 使用者便能透過 FrontPage 應用程式執行所有管理操作。

注意事項

• 在選擇 LDAP URL 時，應使用身分驗證屬性為可放入使用者檔案 mod_authn_file 的內容，理想選擇為使用者 ID。
• 如果透過 FrontPage 新增使用者，FrontPage 管理員 (基於顯而易見的原因) 應選擇已存在於 LDAP 目錄的使用者名稱；此外，管理員輸入到表單的密碼將會被忽略，因為 Apache 實質上將會針對 LDAP 資料庫中的密碼進行身分驗證，而非針對本機使用者檔案中的密碼進行身分驗證，這可能會讓網路管理員感到困惑。
• 若要使用 FrontPage 支援，必須結合 mod_auth_basic、mod_authn_file 及 mod_authz_groupfile 編譯 Apache，這是因為 Apache 仍會使用 mod_authz_groupfile 群組檔案來決定使用者存取 FrontPage 網站的範圍。
• 指令必須放在 .htaccess 檔案中，嘗試將其放在 <Location> 或 <Directory> 指令中並不會運作，這是因為 mod_authnz_ldap 必須能夠擷取 FrontPage .htaccess 檔案中找到的 AuthGroupFile 指令，它才能知道去哪裡尋找有效的使用者清單；如果 mod_authnz_ldap 指令與 FrontPage 指令不在同一個 .htaccess 檔案中，那麼此破解程式碼將會無法運作，因為 mod_authnz_ldap 將不會有機會處理 .htaccess 檔案，且無法找到 FrontPage 管理的使用者檔案。