Apache-vidaresend proxy-autorisasjon: Require og AuthMerging
Fylg autorisasjonen for global og virtuell vert-proxy gjennom Apaches reglar for samanslåing av seksjonar, i staden for å handsame proxy.conf som eit eige politikk-lag.
Ein regel i proxy.conf er ikkje ein spesiell regelklasse. Apache les inkludert konfigurasjon inn i konfigurasjonstreet sitt; den omsluttande globale seksjonen, VirtualHost eller samsvarande seksjon avgjer korleis direktivet deltek.
Start med lyttaren og den virtuelle verten som tener proxy-vidaresendinga. Samle deretter dei samsvarande Proxy-seksjonane frå den konteksten og hovudkonfigurasjonen. Rekkjefølgja seksjonane vert handsama i er viktig, ikkje berre kva fil som vart redigert sist.
Autorisasjon er ikkje alltid kumulativ
Med standardåtferda AuthMerging Off vert autorisasjon arva til ein seinare anvendeleg seksjon leverer si eiga autorisasjonslogikk. Den nye logikken kan erstatte dei føregåande krava i staden for å leggje til endå ei avgrensing.
| Innstilling | Kombinasjon med næraste føregåande autorisasjonsseksjon |
|---|---|
| Off | Ny autorisasjon kan overstyre arva logikk |
| And | Begge setta må autorisere |
| Or | Kva som helst av setta kan autorisere |
AuthMerging sjølv er lokalt for seksjonen som inneheld det. Ikkje gå ut frå at éin innstilling av And endrar kvar seinare seksjon.
Hald den tiltenkte politikken eksplisitt der det er mogleg. To Require-linjer utan ein omsluttande autorisasjonsbehaldar er implisitt alternativ, så ein IP-regel pluss valid-user er ikkje automatisk «IP og brukar». Bruk RequireAll når båe vilkåra høyrer til same avgjerd.
Gå gjennom den komplette samsvarande konfigurasjonen før du endrar ein proxykonto eller opnar tilgang. Test deretter dei tillatne og avviste tilfella mot den køyrande lyttaren. Ein førespurnad kan verte avvist—eller uventa tillaten—fordi ein annan seksjon leverte den effektive autorisasjonen.