Autorizace dopředného proxy v Apache: Require a AuthMerging
Sledujte globální autorizaci proxy i autorizaci na virtuálním hostiteli prostřednictvím pravidel slučování sekcí Apache, místo abyste proxy.conf považovali za samostatnou vrstvu zásad.
Pravidlo v proxy.conf není zvláštní třída pravidel. Apache načítá vloženou konfiguraci do svého konfiguračního stromu; nadřazená globální sekce, VirtualHost nebo odpovídající sekce určuje, jak se direktiva účastní.
Začněte listenerem a virtuálním hostitelem, které obsluhují požadavek dopředného proxy. Potom shromážděte odpovídající sekce Proxy z tohoto kontextu a z hlavní konfigurace. Záleží na pořadí zpracování sekcí, ne jen na tom, který soubor byl naposledy upraven.
Autorizace není vždy kumulativní
Při výchozím chování AuthMerging Off se autorizace dědí, dokud pozdější použitelná sekce nepřinese vlastní autorizační logiku. Tato nová logika může nahradit předchozí požadavky, místo aby přidala další omezení.
| Nastavení | Kombinace s nejbližší předchozí autorizační sekcí |
|---|---|
| Off | Nová autorizace může přepsat zděděnou logiku |
| And | Obě sady musí autorizovat |
| Or | Autorizovat může kterákoli sada |
AuthMerging je sám lokální pro sekci, která jej obsahuje. Nepředpokládejte, že jednorázové nastavení And změní každou další sekci.
Udržujte zamýšlenou zásadu pokud možno explicitní. Dva řádky Require bez obklopujícího autorizačního kontejneru jsou implicitně alternativy, takže pravidlo IP plus valid-user není automaticky „IP a uživatel“. Použijte RequireAll, když obě podmínky patří ke stejnému rozhodnutí.
Před změnou proxy účtu nebo otevřením přístupu si projděte úplnou odpovídající konfiguraci. Potom otestujte povolené i zamítnuté případy proti běžícímu listeneru. Požadavek může být odmítnut—nebo nečekaně povolen—protože efektivní autorizaci poskytla jiná sekce.