Avtorizacija posredniškega proxyja v Apacheu: Require in AuthMerging
Sledite globalni avtorizaciji proxyja in avtorizaciji na navideznem gostitelju prek pravil združevanja razdelkov Apache, namesto da bi proxy.conf obravnavali kot ločeno plast politike.
Pravilo v proxy.conf ni poseben razred pravil. Apache prebere vključeno konfiguracijo v svoje konfiguracijsko drevo; obdajajoči globalni razdelek, VirtualHost ali ustrezen razdelek določi, kako direktiva sodeluje.
Začnite s poslušalcem in navideznim gostiteljem, ki strežeta zahtevi posredniškega proxyja. Nato zberite ustrezne razdelke Proxy iz tega konteksta in glavne konfiguracije. Pomemben je vrstni red obdelave razdelkov, ne le to, katera datoteka je bila nazadnje urejena.
Avtorizacija ni vedno kumulativna
Pri privzetem vedenju AuthMerging Off se avtorizacija deduje, dokler poznejši veljavni razdelek ne zagotovi lastne logike avtorizacije. Ta nova logika lahko nadomesti prejšnje zahteve, namesto da bi dodala še eno omejitev.
| Nastavitev | Kombinacija z najbližjim prejšnjim avtorizacijskim razdelkom |
|---|---|
| Off | Nova avtorizacija lahko preglasi podedovano logiko |
| And | Oba nabora morata avtorizirati |
| Or | Kateri koli nabor lahko avtorizira |
AuthMerging sam je lokalen za razdelek, ki ga vsebuje. Ne predpostavljajte, da enkratna nastavitev And spremeni vsak poznejši razdelek.
Kjer je mogoče, ohranite predvideno politiko izrecno. Dve vrstici Require brez obdajajočega avtorizacijskega vsebnika sta implicitno alternativi, zato pravilo IP skupaj z valid-user ni samodejno »IP in uporabnik«. Uporabite RequireAll, ko oba pogoja pripadata isti odločitvi.
Preden spremenite proxy račun ali odprete dostop, pregledajte celotno ustrezno konfiguracijo. Nato preizkusite dovoljene in zavrnjene primere na delujočem poslušalcu. Zahteva je lahko zavrnjena—ali nepričakovano dovoljena—ker je učinkovito avtorizacijo zagotovil drug razdelek.