Apache 模組 mod_ldap

設定範例

以下是一個設定範例，使用 mod_ldap 來提升由 mod_authnz_ldap 提供的 HTTP 基本驗證效能。

# Enable the LDAP connection pool and shared
# memory cache. Enable the LDAP cache status
# handler. Requires that mod_ldap and mod_authnz_ldap
# be loaded. Change the "yourdomain.example.com" to
# match your domain.

LDAPSharedCacheSize 500000
LDAPCacheEntries 1024
LDAPCacheTTL 600
LDAPOpCacheEntries 1024
LDAPOpCacheTTL 600

<Location "/ldap-status">
    SetHandler ldap-status

    Require host yourdomain.example.com

    Satisfy any
    AuthType Basic
    AuthName "LDAP Protected"
    AuthBasicProvider ldap
    AuthLDAPURL "ldap://127.0.0.1/dc=example,dc=com?uid?one"
    Require valid-user
</Location>

LDAP 連線池

LDAP 連線會從請求到請求池化。這允許 LDAP 伺服器保持連線，並針對下一個請求進行繫結，而不用解除繫結/連線/重新繫結。效能提升類似於 HTTP 保持連線。

在忙碌的伺服器上，有可能許多請求會同時嘗試存取同一個 LDAP 伺服器連線。當 LDAP 連線正在使用時，Apache 會在原有的連線旁邊建立一個新的連線。這可以確保連線池不會變成瓶頸。

不需要在 Apache 設定中手動啟用連線池。任何使用此模組存取 LDAP 服務的模組都將共用連線池。

LDAP 連線可以追蹤在繫結到 LDAP 伺服器時所使用的 LDAP 客戶端認證。這些認證可以提供給在轉介追蹤期間不允許匿名繫結的 LDAP 伺服器。若要控制此功能，請參閱 LDAPReferrals 和 LDAPReferralHopLimit 指令。預設情況下，此功能已啟用。

LDAP 快取

為了提升效能，mod_ldap 使用激進的快取策略，以最小化必須與 LDAP 伺服器連繫的次數。快取在使用 mod_authnz_ldap 保護的網頁時，可以輕易地將 Apache 的吞吐量提升兩到三倍。此外，LDAP 伺服器的負載也會顯著減少。

mod_ldap 在使用搜尋/繫結快取進行搜尋/繫結階段期間，以及使用兩個運算快取進行比較階段期間，支援兩種類型的 LDAP 快取。伺服器所使用的每個 LDAP URL 都有一組這三個快取。

搜尋/繫結快取

進行搜尋然後繫結的處理是 LDAP 作業中最耗時的方面，特別是如果目錄很大。搜尋/繫結快取用於快取所有產生成功繫結的搜尋。負面的結果（例如，不成功的搜尋或未產生成功繫結的搜尋）不會快取。這樣決定的背後理由是，擁有無效憑證的連線僅占所有連線中一小部分，因此透過不快取無效憑證來降低快取大小。

mod_ldap 將快取中的使用者名稱、擷取的 DN、用於繫結的密碼和繫結時間儲存起來。當以同一使用者名稱發起新的連線時，mod_ldap 會將新連線的密碼與快取中的密碼進行比較。如果密碼相符，且快取中的項目並未過時，mod_ldap 會略過搜尋/繫結階段。

搜尋和繫結快取由 LDAPCacheEntries 和 LDAPCacheTTL 指令控制。

操作快取

在屬性和識別名稱的比較函數期間，mod_ldap 會使用兩個操作快取對比較作業進行快取。第一個比較快取用於快取測試 LDAP 群組成員資格時所進行比較的結果。第二個比較快取用於快取識別名稱間所進行比較的結果。

請注意，當檢查群組成員資格時，任何次群組比較結果均會快取，以加速後續的次群組比較。

這兩個快取的行為由 LDAPOpCacheEntries 和 LDAPOpCacheTTL 指令控制。

監控快取

mod_ldap 有一個內容處理程式，讓管理員可以監控快取效能。該內容處理程式名稱為 ldap-status，因此下列指令可用於存取 mod_ldap 快取資訊

<Location "/server/cache-info">
    SetHandler ldap-status
</Location>

透過取得 URL http://servername/cache-info，管理員可以取得 mod_ldap 快取使用的每個快取的狀態報告。請注意，如果 Apache 不支援共用記憶體，則每一個 httpd 執行個體都有自己的快取，因此重新載入 URL 時將會產生不同的資訊，這取決於處理該要求的 httpd 執行個體。

使用 SSL/TLS

建立 SSL 和 TLS 連線至 LDAP 伺服器的能力是由指令 LDAPTrustedGlobalCert、LDAPTrustedClientCert 和 LDAPTrustedMode 定義。這些指令指定要使用的 CA 和選用式的用戶端憑證，以及連線上要使用的加密類型（無、SSL 或 TLS/STARTTLS）。

# Establish an SSL LDAP connection on port 636. Requires that
# mod_ldap and mod_authnz_ldap be loaded. Change the
# "yourdomain.example.com" to match your domain.

LDAPTrustedGlobalCert CA_DER "/certs/certfile.der"

<Location "/ldap-status">
    SetHandler ldap-status

    Require host yourdomain.example.com

    Satisfy any
    AuthType Basic
    AuthName "LDAP Protected"
    AuthBasicProvider ldap
    AuthLDAPURL "ldaps://127.0.0.1/dc=example,dc=com?uid?one"
    Require valid-user
</Location>

# Establish a TLS LDAP connection on port 389. Requires that
# mod_ldap and mod_authnz_ldap be loaded. Change the
# "yourdomain.example.com" to match your domain.

LDAPTrustedGlobalCert CA_DER "/certs/certfile.der"

<Location "/ldap-status">
    SetHandler ldap-status

    Require host yourdomain.example.com

    Satisfy any
    AuthType Basic
    AuthName "LDAP Protected"
    AuthBasicProvider ldap
    AuthLDAPURL "ldap://127.0.0.1/dc=example,dc=com?uid?one" TLS
    Require valid-user
</Location>

SSL/TLS 憑證

不同的 LDAP SDK 會有截然不同的方法來設定和處理 CA 和用戶端憑證。

如果您打算使用 SSL 或 TLS，請仔細閱讀本節，以了解所支援的不同 LDAP 工具組之間組態的差異。

Netscape/Mozilla/iPlanet SDK

CA 憑證指定在名為 cert7.db 的檔案內。SDK 對於憑證未由此檔案中指定的 CA 簽署的任何 LDAP 伺服器，不會與其進行通訊。如果需要用戶端憑證，則可用選用式的密碼指定選用式的 key3.db 檔案。如果需要，可以指定 secmod 檔案。這些檔案的格式與 Netscape Communicator 或 Mozilla 網路瀏覽器所用的相同。取得這些檔案的最簡單方法，就是從您的瀏覽器安裝中取得。

用戶端憑證會使用 LDAPTrustedClientCert 指令指定，依據憑證「暱稱」進行指定。可以使用選用式的密碼來解除鎖定憑證的私人金鑰。

SDK 僅支援 SSL。嘗試使用 STARTTLS 時，在執行時期嘗試與 LDAP 伺服器連線時會導致錯誤。

# Specify a Netscape CA certificate file
LDAPTrustedGlobalCert CA_CERT7_DB "/certs/cert7.db"
# Specify an optional key3.db file for client certificate support
LDAPTrustedGlobalCert CERT_KEY3_DB "/certs/key3.db"
# Specify the secmod file if required
LDAPTrustedGlobalCert CA_SECMOD "/certs/secmod"
<Location "/ldap-status">
    SetHandler ldap-status

    Require host yourdomain.example.com

    Satisfy any
    AuthType Basic
    AuthName "LDAP Protected"
    AuthBasicProvider ldap
    LDAPTrustedClientCert CERT_NICKNAME <nickname> [password]
    AuthLDAPURL "ldaps://127.0.0.1/dc=example,dc=com?uid?one"
    Require valid-user
</Location>

Novell SDK

為了讓 Novell SDK 能正常運作，必須指定一個或多個 CA 憑證。這些憑證可以指定為二進位 DER 或 Base64 (PEM) 編碼檔案。

注意：用戶端憑證是指定為全域性的，非特定於連線，所以必須使用 LDAPTrustedGlobalCert 指令指定，如下所示。嘗試使用 LDAPTrustedClientCert 指令設定用戶端憑證，會在嘗試連線至 LDAP 伺服器時造成錯誤記錄。

SDK 同時支援 SSL 和 STARTTLS，使用 LDAPTrustedMode 參數設定。如果指定了 ldaps:// URL，SSL 模式會強制執行，覆寫此指令。

# Specify two CA certificate files
LDAPTrustedGlobalCert CA_DER "/certs/cacert1.der"
LDAPTrustedGlobalCert CA_BASE64 "/certs/cacert2.pem"
# Specify a client certificate file and key
LDAPTrustedGlobalCert CERT_BASE64 "/certs/cert1.pem"
LDAPTrustedGlobalCert KEY_BASE64 "/certs/key1.pem" [password]
# Do not use this directive, as it will throw an error
#LDAPTrustedClientCert CERT_BASE64 "/certs/cert1.pem"

OpenLDAP SDK

為了讓 OpenLDAP SDK 能正常運作，必須指定一個或多個 CA 憑證。這些憑證可以指定為二進位 DER 或 Base64 (PEM) 編碼檔案。

CA 和用戶端憑證可以全局（LDAPTrustedGlobalCert）或每個連接指定（LDAPTrustedClientCert）。當對於每個連接指定任何設定時，將會取代全局設定。

SDK 的文件宣稱支援 SSL 和 STARTTLS，然而 STARTTLS 似乎不適用於所有版本的 SDK。SSL/TLS 模式可使用 LDAPTrustedMode 參數設定。如果指定 ldaps:// URL，將強制套用 SSL 模式。OpenLDAP 文件宣稱已棄用 SSL（ldaps://）支援，由 TLS 取代，但 SSL 功能仍然運作。

# Specify two CA certificate files
LDAPTrustedGlobalCert CA_DER "/certs/cacert1.der"
LDAPTrustedGlobalCert CA_BASE64 "/certs/cacert2.pem"
<Location "/ldap-status">
    SetHandler ldap-status

    Require host yourdomain.example.com

    LDAPTrustedClientCert CERT_BASE64 "/certs/cert1.pem"
    LDAPTrustedClientCert KEY_BASE64 "/certs/key1.pem"
    # CA certs respecified due to per-directory client certs
    LDAPTrustedClientCert CA_DER "/certs/cacert1.der"
    LDAPTrustedClientCert CA_BASE64 "/certs/cacert2.pem"
    Satisfy any
    AuthType Basic
    AuthName "LDAP Protected"
    AuthBasicProvider ldap
    AuthLDAPURL "ldaps://127.0.0.1/dc=example,dc=com?uid?one"
    Require valid-user
</Location>

Solaris SDK

原生 Solaris LDAP 函式庫的 SSL/TLS 尚未支援。如有需要，請安裝和使用 OpenLDAP 函式庫。

Microsoft SDK

原生 Microsoft LDAP 函式庫的 SSL/TLS 憑證設定在系統登錄檔內進行，不需要任何設定指令。

SSL 和 TLS 皆支援使用 ldaps:// URL 格式，或使用對應的 LDAPTrustedMode 指令。

注意：此工具組尚未得知對用戶端憑證的支援狀況。