Autorizacija posredničkog proxyja u Apacheu: Require i AuthMerging
Pratite globalnu autorizaciju proxyja i onu na virtualnom hostu kroz Apacheova pravila spajanja sekcija, umjesto da proxy.conf tretirate kao zaseban sloj politike.
Pravilo u proxy.conf nije posebna klasa pravila. Apache učitava uključenu konfiguraciju u svoje konfiguracijsko stablo; obuhvaćajuća globalna, VirtualHost ili odgovarajuća sekcija određuje kako direktiva sudjeluje.
Počnite s listenerom i virtualnim hostom koji poslužuju zahtjev posredničkog proxyja. Zatim prikupite odgovarajuće Proxy sekcije iz tog konteksta i glavne konfiguracije. Važan je redoslijed obrade sekcija, a ne samo to koja je datoteka posljednja uređena.
Autorizacija nije uvijek kumulativna
Uz zadano ponašanje AuthMerging Off, autorizacija se nasljeđuje dok kasnija primjenjiva sekcija ne pruži vlastitu logiku autorizacije. Ta nova logika može zamijeniti prethodne zahtjeve umjesto da doda još jedno ograničenje.
| Postavka | Kombinacija s najbližom prethodnom sekcijom autorizacije |
|---|---|
| Off | Nova autorizacija može nadjačati naslijeđenu logiku |
| And | Oba skupa moraju autorizirati |
| Or | Bilo koji skup može autorizirati |
Sam AuthMerging lokaliziran je na sekciju koja ga sadrži. Ne pretpostavljajte da jedno postavljanje And mijenja svaku kasniju sekciju.
Držite namjeravanu politiku eksplicitnom gdje je moguće. Dva retka Require bez obuhvaćajućeg spremnika autorizacije implicitno su alternative, pa IP pravilo plus valid-user nije automatski „IP i korisnik“. Koristite RequireAll kada oba uvjeta pripadaju istoj odluci.
Pregledajte potpunu odgovarajuću konfiguraciju prije nego promijenite proxy račun ili otvorite pristup. Zatim testirajte dopuštene i odbijene slučajeve na aktivnom listeneru. Zahtjev može biti odbijen—ili neočekivano dopušten—jer je druga sekcija pružila efektivnu autorizaciju.