Apache-videresendt proxy-autorisasjon: Require og AuthMerging
Følg autorisasjon for global og virtuell verts proxy gjennom Apaches regler for sammenslåing av seksjoner, i stedet for å behandle proxy.conf som et eget policy-lag.
En regel i proxy.conf er ikke en spesiell regelklasse. Apache leser inkludert konfigurasjon inn i konfigurasjonstreet sitt; den omsluttende globale seksjonen, VirtualHost eller samsvarende seksjon avgjør hvordan direktivet deltar.
Start med lytteren og den virtuelle verten som betjener proxy-videresendingen. Samle deretter de samsvarende Proxy-seksjonene fra den konteksten og hovedkonfigurasjonen. Rekkefølgen seksjonene behandles i er viktig, ikke bare hvilken fil som ble redigert sist.
Autorisasjon er ikke alltid kumulativ
Med standardoppførselen AuthMerging Off arves autorisasjon til en senere anvendelig seksjon leverer sin egen autorisasjonslogikk. Den nye logikken kan erstatte de foregående kravene i stedet for å legge til nok en begrensning.
| Innstilling | Kombinasjon med nærmeste foregående autorisasjonsseksjon |
|---|---|
| Off | Ny autorisasjon kan overstyre arvet logikk |
| And | Begge settene må autorisere |
| Or | Hvilket som helst av settene kan autorisere |
AuthMerging selv er lokalt for seksjonen som inneholder det. Ikke anta at én innstilling av And endrer hver senere seksjon.
Hold den tiltenkte policyen eksplisitt der det er mulig. To Require-linjer uten en omsluttende autorisasjonsbeholder er implisitt alternativer, så en IP-regel pluss valid-user er ikke automatisk «IP og bruker». Bruk RequireAll når begge betingelsene hører til samme beslutning.
Gå gjennom den komplette samsvarende konfigurasjonen før du endrer en proxykonto eller åpner tilgang. Test deretter de tillatte og avviste tilfellene mot den kjørende lytteren. En forespørsel kan avvises—eller uventet tillates—fordi en annen seksjon leverte den effektive autorisasjonen.