Apache forward-proxy-autorisatie: Require en AuthMerging
Volg globale en virtuele-host-proxyauthorisatie via de regels voor het samenvoegen van secties van Apache, in plaats van proxy.conf als een aparte beleidslaag te behandelen.
Een regel in proxy.conf is geen bijzondere regelklasse. Apache leest inbegrepen configuratie in zijn configuratieboom; de omsluitende globale, VirtualHost- of overeenkomende sectie bepaalt hoe de richtlijn deelneemt.
Begin bij de listener en virtuele host die het forward-proxyverzoek bedienen. Verzamel vervolgens de overeenkomende Proxy-secties uit die context en de hoofdconfiguratie. De volgorde waarin secties worden verwerkt is belangrijk, niet alleen welk bestand als laatste is bewerkt.
Autorisatie is niet altijd cumulatief
Met het standaardgedrag AuthMerging Off wordt autorisatie geërfd totdat een latere toepasselijke sectie zijn eigen autorisatielogica levert. Die nieuwe logica kan de voorgaande vereisten vervangen in plaats van nog een beperking toe te voegen.
| Instelling | Combinatie met de dichtstbijzijnde voorafgaande autorisatiesectie |
|---|---|
| Off | Nieuwe autorisatie kan geërfde logica overschrijven |
| And | Beide sets moeten autoriseren |
| Or | Elke set kan autoriseren |
AuthMerging zelf is lokaal voor de sectie die het bevat. Ga er niet van uit dat één keer And instellen elke latere sectie verandert.
Houd het beoogde beleid waar mogelijk expliciet. Twee Require-regels zonder omsluitende autorisatiecontainer zijn impliciet alternatieven, dus een IP-regel plus valid-user is niet automatisch ‘IP en gebruiker’. Gebruik RequireAll wanneer beide voorwaarden bij dezelfde beslissing horen.
Controleer de volledige overeenkomende configuratie voordat je een proxyaccount wijzigt of toegang opent. Test daarna de toegestane en geweigerde gevallen tegen de draaiende listener. Een verzoek kan worden geweigerd—of onverwacht worden toegestaan—omdat een andere sectie de effectieve autorisatie leverde.