Autorizácia dopredného proxy v Apache: Require a AuthMerging
Sledujte globálnu autorizáciu proxy aj autorizáciu na virtuálnom hostiteľovi cez pravidlá zlučovania sekcií Apache, namiesto toho, aby ste proxy.conf považovali za samostatnú vrstvu zásad.
Pravidlo v proxy.conf nie je špeciálna trieda pravidiel. Apache načítava vloženú konfiguráciu do svojho konfiguračného stromu; nadradená globálna sekcia, VirtualHost alebo zodpovedajúca sekcia určuje, ako sa direktíva zúčastňuje.
Začnite listenerom a virtuálnym hostiteľom, ktoré obsluhujú požiadavku dopredného proxy. Potom zozbierajte zodpovedajúce sekcie Proxy z tohto kontextu a z hlavnej konfigurácie. Rozhoduje poradie spracovania sekcií, nie len to, ktorý súbor bol upravený naposledy.
Autorizácia nie je vždy kumulatívna
Pri predvolenom správaní AuthMerging Off sa autorizácia dedí, kým neskoršia použiteľná sekcia neposkytne vlastnú autorizačnú logiku. Táto nová logika môže nahradiť predchádzajúce požiadavky, namiesto toho aby pridala ďalšie obmedzenie.
| Nastavenie | Kombinácia s najbližšou predchádzajúcou autorizačnou sekciou |
|---|---|
| Off | Nová autorizácia môže prepísať zdedenú logiku |
| And | Obe sady musia autorizovať |
| Or | Autorizovať môže ktorákoľvek sada |
Samotný AuthMerging je lokálny pre sekciu, ktorá ho obsahuje. Nepredpokladajte, že jednorazové nastavenie And zmení každú ďalšiu sekciu.
Udržujte zamýšľanú zásadu podľa možnosti explicitnú. Dva riadky Require bez obklopujúceho autorizačného kontajnera sú implicitne alternatívy, takže pravidlo IP plus valid-user nie je automaticky „IP a používateľ“. Použite RequireAll, keď obe podmienky patria k rovnakému rozhodnutiu.
Pred zmenou proxy účtu alebo otvorením prístupu si prejdite úplnú zodpovedajúcu konfiguráciu. Potom otestujte povolené aj zamietnuté prípady na bežiacom listeneri. Požiadavka môže byť zamietnutá—alebo nečakane povolená—pretože efektívnu autorizáciu poskytla iná sekcia.