Untitled - Vitajte na stránkach www.einsty.hostujem.sk

S O F T W A R ELinuxWareAPACHE – autorizácia používate¾ovV predchádzajúcich èíslach PC REVUE bežal seriál o WWWserveri Apache (autorom bol Peter Palúch), kde bola rozobranájeho základná konfigurácia. V èísle 7/2001 som písalo konfigurácii Apache pre viac domén. Teraz nadväzujemna túto tému s ïalšou èas ou, kde opíšeme, ako obmedzovaprístup používate¾ov k jednotlivým adresárom nazáklade používate¾ského mena a hesla.Na zaèiatok predpokladajme, že všetky dokumentyukladáme do /var/www/html (tento adresár je v skorokaždej distribúcii iný, ja mám nainštalovaný RH 7.1, ale nastarých RedHat to bol napríklad /home/httpd). Tu si vytvorímepodadresár tajne, kde si uložíme nejaké súbory, kuktorým chceme povoli prístup len niektorým používate¾om,ak sa preukážu správnym menom a heslom. Terazsa presunieme do konfiguraèného súboru httpd.conf, kdezapíšeme nasledujúce riadky:Options Indexes IncludesAllowOverride AuthConfigorder allow,denyallow from allDirektívou AllowOverride AuthConfig si zaistíme, že v konfiguraènomsúbore .htaccess (meno sa skutoène zaèínabodkou), ktorý vytvoríme v našom adresári tajne, budememôc obmedzova prístup. Keby sme nepoužili súbor.htaccess, môžeme postup uvedený ïalej aplikova aj priamov súbore httpd.conf. Má to však tú nevýhodu, že prikaždej zmene httpd.conf sa musí reštartova celý Apache,kým pri zmene .htaccess sa táto zmena prejaví hneï.Obsah .htaccess bude nasledujúci:require user miroAuthType BasicAuthName TajneAuthUserFile /var/www/usersAuthGroupFile /var/www/groupsDirektíva require môže ma dve hodnoty: user a group.Hodnota user povolí prístup len uvedeným používate¾om(v našom prípade používate¾ovi miro, keby ste ich chceliuvies viac, oddelíte ich medzerou). Ešte poznamenám, žekeby niekto aj vedel meno a heslo, ale nebol by uvedenýv require, systém ho ïalej nepustí. Ak máme ve¾a používate¾ov,vytvoríme skupiny, kde týchto používate¾ovzaradíme a použijeme hodnotu group spolu s názvompríslušnej skupiny.Direktíva AuthType urèuje typ autorizácie, môže byBasic alebo Digest, my použijeme prvú. Typ Digest poskytujetrochu širšie možnosti (napr. èas, za ktorý autorizáciastratí platnos ), ale tu sa tomu nebudeme venova .Direktíva AuthName nastavuje meno autorizaènejoblasti (ak sa skladá z viacerých slov, použite apostrofy).Autorizaèná oblas je jeden alebo viac adresárov s rovnakýmmenom, kde platí naše zadané používate¾ské menoa heslo. Ako som spomínal, browser si pamätá toto menoa heslo a posiela ho pri každej požiadavke klienta na server.Ak vstúpime do inej autorizaènej oblasti (zmení saautorizaèná oblas ), budeme musie zada znova používate¾skémeno a heslo (tu poznamenám, že v Netscape, ajkeï sa zmenilo meno tejto oblasti, browser automatickyskúsil staré používate¾ské meno a heslo, hoci by si malpýta nové a až potom posla požiadavku na server).Direktíva AuthUserFile nastavuje meno súboru, kdebudú uložené používate¾ské mená a heslá.A nakoniec direktíva AuthGroupFile nastavuje, ktorípoužívatelia budú patri do ktorej skupiny (toto si vysvetlímeneskôr na príkladoch).Vytvorme si teraz súbor s heslami pomocou príkazuhtpasswd:htpasswd –c /var/www/users mirohtpasswd /var/www/users adamhtpasswd /var/www/users enemyParameter -c zaistí vytvorenie súboru /var/www/users, akpredtým neexistoval. Ïalej vytvoríme súbor /var/www/groups v tomto tvare:zamestnanci: miro adamKonfiguráciu by sme mali za sebou, reštartujme Apache,aby sa uplatnili zmeny v httpd.conf. Keï teraz nasmerujemebrowser na http://www.server.sk/tajne, objaví sa hlásenie,že máme zada meno a heslo. Takže zadajme meno„miro“ a heslo také, aké ste si vymysleli pri tvorbe/var/www/users. Ak ste správne postupovali, mal by savám zobrazi obsah adresára. Zakaždým, keï budetechcie otestova nové nastavenie, musíte nielen urobizmeny v .htaccess, ale aj ukonèi a spusti browser, leboväèšina browserov si ukladá do pamäte meno a heslo, abypoužívate¾ nebol stále ob ažovaný požiadavkami na tietoúdaje. Teraz vyskúšajte zada meno „adam“ a jeho heslo.Ale èo to?! Server nám prístup nepovolil, lebo direktívourequire v súbore .htaccess sme povedali, že prístup má lenmiro, ale adam nie. Takže require zmeòte takto:require user miro adamTeraz postupne vyskúšajte prístup pre mira a adama(zakaždým ukonèite a spustite browser, lebo teraz chcemepouži iné používate¾ské meno a heslo), ale keï tentorazzadáte používate¾a „enemy“, prístup bude, pochopite¾ne,zamietnutý. Ïalej vyskúšajte zmeni require takto:require group zamestnanciTýmto si u¾ahèíme prácu, lebo nemusíme prácne vypisovapoužívate¾ov, ale staèí zada meno skupiny, do ktorej patria.Už sme uviedli súbor /var/www/groups, ktorý do tejtoskupiny zaradil používate¾ov „miro“ a „adam“, alepoužívate¾ „enemy“ tam nepatrí, takže prístup mu budezamietnutý. Ešte poznamenám, že ak použijete nasledujúciriadokrequire valid-usernemusíte vymenováva používate¾ov ani skupiny, prístupbude ma každý, kto sa preukáže platným menom a heslom.Vyskúšajte si trochu zaexperimentova a urèite vám topôjde. Ešte jedna poznámka: súbory /var/www/usersa5/var/www/groups by mali by umiestnené tak, aby sak nim nedalo normálne pristupova èi už cez web, alebocez príkazový riadok. Keby ste ich umiestnili napr. do adresára/var/www/html/tajne, používatelia by k nim mali prístupcez browser a ¾ahko by ste mohli takto server ohrozi. Keby ste mali akéko¾vek otázky alebo námety, pošlitemi ich na dulik@rocketmail.com, rád vám na ne odpoviem,prípadne poradím.Miroslav Ïulík ml.88 PC REVUE 10/2001