Apache 模块 mod_authnz_ldap

内容

• 一般注意事项
• 操作
  • 身份验证阶段
  • 授权阶段
• Require 指令
  • Require ldap-user
  • Require ldap-group
  • Require ldap-dn
  • Require ldap-attribute
  • Require ldap-filter
• 示例
• 使用 TLS
• 使用 SSL
• 公开登录信息
• 使用 Active Directory
• 使用 Microsoft FrontPage 与 mod_authnz_ldap
  • 工作原理
  • 注意事项

一般注意事项

此模块根据 mod_ldap 的配置缓存身份验证和授权结果。对后端 LDAP 服务器所做的更改不会立即反映在 HTTP 服务器上，包括但不限于用户锁定/撤销、密码更改或组成员资格更改。有关缓存可调参数的详细信息，请参阅 mod_ldap 中的指令。

操作

向用户授予访问权限有两个阶段。第一个阶段是身份验证，在此阶段，mod_authnz_ldap 身份验证提供程序验证用户的凭据是否有效。这也被称为搜索/绑定阶段。第二个阶段是授权，在此阶段，mod_authnz_ldap 确定已验证的用户是否被允许访问所讨论的资源。这也被称为比较阶段。

mod_authnz_ldap 注册了一个 authn_ldap 身份验证提供程序和一个 authz_ldap 授权处理程序。authn_ldap 身份验证提供程序可以通过 AuthBasicProvider 指令使用 ldap 值启用。authz_ldap 处理程序通过添加 ldap-user、ldap-dn 和 ldap-group 值来扩展 Require 指令的授权类型。

身份验证阶段

在身份验证阶段，mod_authnz_ldap 在目录中搜索与 HTTP 客户端传递的用户名匹配的条目。如果找到一个唯一的匹配项，则 mod_authnz_ldap 尝试使用条目的 DN 加上 HTTP 客户端提供的密码绑定到目录服务器。因为它执行搜索，然后绑定，所以它通常被称为搜索/绑定阶段。以下是搜索/绑定阶段执行的步骤。

1. 通过将 AuthLDAPURL 指令中提供的属性和过滤器与 HTTP 客户端传递的用户名组合来生成搜索过滤器。
2. 使用生成的过滤器搜索目录。如果搜索没有返回完全一个条目，则拒绝或拒绝访问。
3. 获取从搜索中检索到的条目的可分辨名称，并尝试使用该 DN 和 HTTP 客户端传递的密码绑定到 LDAP 服务器。如果绑定不成功，则拒绝或拒绝访问。

以下指令在搜索/绑定阶段使用

授权阶段

在授权阶段，mod_authnz_ldap 尝试确定用户是否有权访问该资源。许多这些检查都需要 mod_authnz_ldap 对 LDAP 服务器执行比较操作。这就是为什么这个阶段通常被称为比较阶段。 mod_authnz_ldap 接受以下 Require 指令来确定凭据是否可接受

• 如果存在 Require ldap-user 指令，并且指令中的用户名与客户端传递的用户名匹配，则授予访问权限。
• 如果存在 Require ldap-dn 指令，并且指令中的 DN 与从 LDAP 目录中获取的 DN 匹配，则授予访问权限。
• 如果存在 Require ldap-group 指令，并且从 LDAP 目录中获取的 DN（或客户端传递的用户名）出现在 LDAP 组中，或者可能出现在其子组之一中，则授予访问权限。
• 如果存在 Require ldap-attribute 指令，并且从 LDAP 目录中获取的属性与给定值匹配，则授予访问权限。
• 如果存在 Require ldap-filter 指令，并且搜索过滤器成功找到一个与已验证用户的 dn 匹配的单个用户对象，则授予访问权限。
• 否则，拒绝或拒绝访问

也可以使用其他 Require 值，这些值可能需要加载其他授权模块。

• 如果存在 Require valid-user 指令，则授予所有成功验证的用户访问权限。（需要 mod_authz_user）
• 如果存在 Require group 指令，并且 mod_authz_groupfile 已使用 AuthGroupFile 指令加载，则授予访问权限。
• 其他...

mod_authnz_ldap 在比较阶段使用以下指令

Require 指令

Apache的Require指令在授权阶段使用，以确保用户被允许访问资源。mod_authnz_ldap使用ldap-user、ldap-dn、ldap-group、ldap-attribute和ldap-filter扩展了授权类型。也可以使用其他授权类型，但可能需要加载额外的授权模块。

从v2.4.8开始，LDAP require指令中支持表达式。

Require ldap-user

Require ldap-user指令指定哪些用户名可以访问资源。一旦mod_authnz_ldap从目录中检索到唯一的DN，它就会使用Require ldap-user中指定的用户名执行LDAP比较操作，以查看该用户名是否属于刚刚获取的LDAP条目。可以通过在同一行上用空格分隔多个用户名来授予多个用户访问权限。如果用户名中包含空格，则必须用双引号将其括起来。也可以使用多个Require ldap-user指令来授予多个用户访问权限，每个指令一行。例如，对于AuthLDAPURL为ldap://ldap/o=Example?cn（即，cn用于搜索），可以使用以下Require指令来限制访问权限

Require ldap-user "Barbara Jenson"
Require ldap-user "Fred User"
Require ldap-user "Joe Manager"

由于mod_authnz_ldap处理此指令的方式，Barbara Jenson可以以Barbara Jenson、Babs Jenson或她LDAP条目中的任何其他cn登录。只需要一行Require ldap-user即可支持用户条目中属性的所有值。

如果在上面的URL中使用uid属性而不是cn属性，则可以将上面的三行缩减为

Require ldap-user bjenson fuser jmanager

Require ldap-group

此指令指定一个LDAP组，其成员被允许访问。它接受LDAP组的识别名称。注意：不要用引号将组名括起来。例如，假设LDAP目录中存在以下条目

dn: cn=Administrators, o=Example
objectClass: groupOfUniqueNames
uniqueMember: cn=Barbara Jenson, o=Example
uniqueMember: cn=Fred User, o=Example

以下指令将授予Fred和Barbara访问权限

Require ldap-group cn=Administrators, o=Example

如果AuthLDAPMaxSubGroupDepth设置为大于0的值，则还可以从指定LDAP组的子组中找到成员。例如，假设LDAP目录中存在以下条目

dn: cn=Employees, o=Example
objectClass: groupOfUniqueNames
uniqueMember: cn=Managers, o=Example
uniqueMember: cn=Administrators, o=Example
uniqueMember: cn=Users, o=Example

dn: cn=Managers, o=Example
objectClass: groupOfUniqueNames
uniqueMember: cn=Bob Ellis, o=Example
uniqueMember: cn=Tom Jackson, o=Example

dn: cn=Administrators, o=Example
objectClass: groupOfUniqueNames
uniqueMember: cn=Barbara Jenson, o=Example
uniqueMember: cn=Fred User, o=Example

dn: cn=Users, o=Example
objectClass: groupOfUniqueNames
uniqueMember: cn=Allan Jefferson, o=Example
uniqueMember: cn=Paul Tilley, o=Example
uniqueMember: cn=Temporary Employees, o=Example

dn: cn=Temporary Employees, o=Example
objectClass: groupOfUniqueNames
uniqueMember: cn=Jim Swenson, o=Example
uniqueMember: cn=Elliot Rhodes, o=Example

以下指令将允许Bob Ellis、Tom Jackson、Barbara Jenson、Fred User、Allan Jefferson和Paul Tilley访问，但不会允许Jim Swenson或Elliot Rhodes访问（因为它们位于子组深度为2的位置）。

Require ldap-group cn=Employees, o=Example
AuthLDAPMaxSubGroupDepth 1

此指令的行为受AuthLDAPGroupAttribute、AuthLDAPGroupAttributeIsDN、AuthLDAPMaxSubGroupDepth、AuthLDAPSubGroupAttribute和AuthLDAPSubGroupClass指令的影响。

Require ldap-dn

Require ldap-dn指令允许管理员根据识别名称授予访问权限。它指定一个必须匹配的DN才能授予访问权限。如果从目录服务器检索到的识别名称与Require ldap-dn中的识别名称匹配，则授予授权。注意：不要用引号将识别名称括起来。

以下指令将授予特定DN访问权限

Require ldap-dn cn=Barbara Jenson, o=Example

此指令的行为受AuthLDAPCompareDNOnServer指令的影响。

Require ldap-attribute

Require ldap-attribute指令允许管理员根据LDAP目录中已验证用户的属性授予访问权限。如果目录中的属性与配置中给定的值匹配，则授予访问权限。

以下指令将授予任何具有属性employeeType = active的用户的访问权限

Require ldap-attribute employeeType="active"

可以在同一行上用空格分隔多个属性/值对，也可以在多个Require ldap-attribute指令中指定它们。列出多个属性/值对的效果是OR操作。如果任何列出的属性值与用户对象中相应属性的值匹配，则授予访问权限。如果属性的值包含空格，则只有该值必须用双引号括起来。

以下指令将授予任何具有city属性等于“San Jose”或status等于“Active”的用户的访问权限

Require ldap-attribute city="San Jose" status="active"

Require ldap-filter

Require ldap-filter指令允许管理员根据复杂的LDAP搜索过滤器授予访问权限。如果过滤器搜索返回的dn与已验证用户的dn匹配，则授予访问权限。

以下指令将授予任何拥有手机并且在营销部门的用户的访问权限

Require ldap-filter "&(cell=*)(department=marketing)"

Require ldap-filter指令和Require ldap-attribute指令之间的区别在于，ldap-filter使用指定的搜索过滤器对LDAP目录执行搜索操作，而不是简单的属性比较。如果只需要简单的属性比较，则ldap-attribute执行的比较操作将比ldap-filter使用的搜索操作更快，尤其是在大型目录中。

在过滤器中使用表达式时，必须注意确保正确转义LDAP过滤器，以防止LDAP注入。可以使用ldap函数来实现此目的。

<LocationMatch ^/dav/(?<SITENAME>[^/]+)/>
  Require ldap-filter (memberOf=cn=%{ldap:%{unescape:%{env:MATCH_SITENAME}},ou=Websites,o=Example)
</LocationMatch>

示例

• 授予LDAP目录中任何存在的用户的访问权限，使用他们的UID进行搜索。

  AuthLDAPURL "ldap://ldap1.example.com:389/ou=People, o=Example?uid?sub?(objectClass=*)"
  Require valid-user

• 下一个示例与上面的示例相同；但省略了具有有用默认值的字段。此外，请注意使用冗余的LDAP服务器。

  AuthLDAPURL "ldap://ldap1.example.com ldap2.example.com/ou=People, o=Example"
  Require valid-user

• 下一个示例类似于上一个示例，但它使用通用名称而不是UID。请注意，如果目录中的多个人共享相同的cn，这可能会出现问题，因为对cn的搜索**必须**返回一个条目。这就是不推荐这种方法的原因：最好选择一个在目录中保证唯一的属性，例如uid。

  AuthLDAPURL "ldap://ldap.example.com/ou=People, o=Example?cn"
  Require valid-user

• 授予Administrators组中任何人的访问权限。用户必须使用他们的UID进行身份验证。

  AuthLDAPURL ldap://ldap.example.com/o=Example?uid
  Require ldap-group cn=Administrators, o=Example

• 授予任何与虚拟主机主机名匹配的组中任何人的访问权限。在此示例中，使用表达式来构建过滤器。

  AuthLDAPURL ldap://ldap.example.com/o=Example?uid
  Require ldap-group cn=%{SERVER_NAME}, o=Example

• 下一个示例假设Example中所有拥有字母数字寻呼机的人员都将拥有一个名为qpagePagerID的LDAP属性。该示例将仅授予拥有字母数字寻呼机的人员（通过他们的UID进行身份验证）访问权限

  AuthLDAPURL ldap://ldap.example.com/o=Example?uid??(qpagePagerID=*)
  Require valid-user

• 下一个示例演示了使用过滤器来完成复杂管理要求的强大功能。如果没有过滤器，就需要创建一个新的LDAP组，并确保该组的成员与寻呼机用户保持同步。使用过滤器，这变得微不足道。目标是授予任何拥有寻呼机的人员访问权限，以及授予Joe Manager访问权限，他虽然没有寻呼机，但需要访问相同的资源

  AuthLDAPURL ldap://ldap.example.com/o=Example?uid??(|(qpagePagerID=*)(uid=jmanager))
  Require valid-user

  最后这个可能乍一看很令人困惑，因此，根据谁连接，评估搜索过滤器将是什么样子会有所帮助，如下所示。如果Fred User以fuser身份连接，则过滤器将如下所示

  (&(|(qpagePagerID=*)(uid=jmanager))(uid=fuser))

  上面的搜索只有在fuser拥有寻呼机时才会成功。当Joe Manager以jmanager身份连接时，过滤器如下所示

  (&(|(qpagePagerID=*)(uid=jmanager))(uid=jmanager))

  上面的搜索无论jmanager是否拥有寻呼机都会成功。

使用 TLS

要使用TLS，请参见mod_ldap指令LDAPTrustedClientCert、LDAPTrustedGlobalCert和LDAPTrustedMode。

可以在AuthLDAPURL中添加一个可选的第二个参数来覆盖LDAPTrustedMode设置的默认连接类型。这将允许由ldap:// URL建立的连接在同一端口上升级到安全连接。

使用 SSL

要使用SSL，请参见mod_ldap指令LDAPTrustedClientCert、LDAPTrustedGlobalCert和LDAPTrustedMode。

要指定一个安全的LDAP服务器，请在AuthLDAPURL指令中使用ldaps://，而不是ldap://。

公开登录信息

当此模块执行身份验证时，AuthLDAPURL指令中指定的ldap属性将被放置在以“AUTHENTICATE_”为前缀的环境变量中。

当此模块执行授权时，AuthLDAPURL指令中指定的ldap属性将被放置在以“AUTHORIZE_”为前缀的环境变量中。

如果属性字段包含用户的用户名、通用名称和电话号码，则CGI程序可以访问此信息，而无需进行第二次独立的LDAP查询来收集此附加信息。

这有可能极大地简化某些Web应用程序所需的编码和配置。

使用 Active Directory

Active Directory安装可以同时支持多个域。为了区分不同域的用户，可以在目录中用户的条目中添加一个名为用户主体名称（UPN）的标识符。此UPN通常采用用户的帐户名称后跟特定域的域组件的形式，例如[email protected]。

您可能希望配置mod_authnz_ldap模块来验证构成Active Directory林的所有域中存在的用户。这样，[email protected]和[email protected]都可以使用相同的查询同时进行身份验证。

为了使这成为现实，Active Directory支持全局目录的概念。此全局目录是Active Directory林中所有Active Directory服务器的选定属性的只读副本。查询全局目录允许在单个查询中查询所有域，而无需查询跨越可能速度很慢的链接的服务器。

如果启用，全局目录是一个独立的目录服务器，它在端口3268（SSL为3269）上运行。要搜索用户，请对属性userPrincipalName执行子树搜索，搜索根为空，如下所示

AuthLDAPBindDN [email protected]
AuthLDAPBindPassword password
AuthLDAPURL ldap://10.0.0.1:3268/?userPrincipalName?sub

用户需要以[email protected]的形式输入他们的用户主体名称作为登录名。

将mod_authnz_ldap与Microsoft FrontPage一起使用

通常，FrontPage使用FrontPage Web特定的用户/组文件（即，mod_authn_file和mod_authz_groupfile模块）来处理所有身份验证。不幸的是，无法通过添加适当的指令来简单地更改为LDAP身份验证，因为它会破坏FrontPage客户端中的权限表单，这些表单试图修改标准的基于文本的授权文件。

创建FrontPage Web后，向其添加LDAP身份验证只需向Web中创建的每个.htaccess文件添加以下指令即可

AuthLDAPURL       "the url"
AuthGroupFile     "mygroupfile"
Require group     "mygroupfile"

工作原理

FrontPage 通过在 .htaccess 文件中添加 Require valid-user 指令来限制对网站的访问。Require valid-user 指令对于任何在 LDAP 中有效的用户来说都会成功。这意味着任何在 LDAP 目录中拥有条目的人都被视为有效用户，而 FrontPage 仅将本地用户文件中的那些人视为有效用户。通过用组文件授权替换 ldap-group，Apache 可以在处理用户授权时查询本地用户文件（由 FrontPage 管理）——而不是 LDAP。

在按照上述说明添加指令后，FrontPage 用户将能够从 FrontPage 客户端执行所有管理操作。

注意事项

• 在选择 LDAP URL 时，用于身份验证的属性应该是有效的，以便将其放入 mod_authn_file 用户文件中。用户 ID 是最理想的选择。
• 在通过 FrontPage 添加用户时，FrontPage 管理员应选择已存在于 LDAP 目录中的用户名（出于显而易见的原因）。此外，管理员在表单中输入的密码将被忽略，因为 Apache 实际上将针对 LDAP 数据库中的密码进行身份验证，而不是针对本地用户文件中的密码进行身份验证。这可能会给网站管理员带来困惑。
• Apache 必须使用 mod_auth_basic、mod_authn_file 和 mod_authz_groupfile 进行编译才能使用 FrontPage 支持。这是因为 Apache 仍然会使用 mod_authz_groupfile 组文件来确定用户对 FrontPage 网站的访问权限。
• 这些指令必须放在 .htaccess 文件中。尝试将它们放在 <Location> 或 <Directory> 指令中将不起作用。这是因为 mod_authnz_ldap 必须能够获取在 FrontPage .htaccess 文件中找到的 AuthGroupFile 指令，以便它知道在哪里查找有效用户列表。如果 mod_authnz_ldap 指令不在与 FrontPage 指令相同的 .htaccess 文件中，那么这个技巧将不起作用，因为 mod_authnz_ldap 将永远没有机会处理 .htaccess 文件，并且无法找到 FrontPage 管理的用户文件。