Serveur Apache HTTP Version 2.4
Serveur Apache HTTP Version 2.4
| Description: | Autorisation en groupe et reconnaissance d'identité avec base SQL |
|---|---|
| Statut: | Extension |
| Identificateur de Module: | authz_dbd_module |
| Fichier Source: | mod_authz_dbd.c |
| Compatibilité: | Disponible dans les versions 2.4 et supérieures d'Apache |
Ce module fournit des fonctionnalités d'autorisation permettant
d'accorder ou de refuser aux utilisateurs authentifiés l'accès à
certaines zones du site web en fonction de leur appartenance à tel
ou tel groupe. Les modules mod_authz_groupfile et
mod_authz_dbm fournissent une fonctionnalité
similaire, mais ici le module interroge une base de données SQL pour
déterminer si un utilisateur appartient ou non à tel ou tel groupe.
Ce module propose également des fonctionnalités de connexion
utilisateur s'appuyant sur une base de données, ce qui peut se révéler
particulièrement utile lorsque le module est utilisé conjointement avec
mod_authn_dbd.
Ce module s'appuie sur mod_dbd pour spécifier le
pilote de la base de données sous-jacente et les paramètres de
connexion, et gérer les connexions à la base de données.
Les directives Require Reconnaissance d'identité s'appuyant sur une base de données Reconnaissance d'identité côté client Exemple de configuration
Les directives Require d'Apache permettent,
au cours de la phase d'autorisation, de s'assurer qu'un utilisateur
est bien autorisé à accéder à une ressource. mod_authz_dbd ajoute
les types d'autorisation dbd-group,
dbd-login et dbd-logout.
A partir de la version 2.5.0, les directives require DBD supportent les expressions.
Cette directive permet de spécifier à quel groupe un utilisateur doit appartenir pour obtenir l'autorisation d'accès.
Require dbd-group team
AuthzDBDQuery "SELECT group FROM authz WHERE user = %s"
Cette directive permet de spécifier une requête à exécuter pour indiquer que l'utilisateur s'est authentifié.
Require dbd-login
AuthzDBDQuery "UPDATE authn SET login = 'true' WHERE user = %s"
Cette directive permet de spécifier une requête à exécuter pour indiquer que l'utilisateur s'est déconnecté.
Require dbd-logout
AuthzDBDQuery "UPDATE authn SET login = 'false' WHERE user = %s"
Outre sa fonction d'autorisation standard consistant à vérifier l'appartenance à des groupes, ce module permet aussi de gérer des sessions utilisateur côté serveur grâce à sa fonctionnalité de connexion utilisateur en s'appuyant sur une base de données. En particulier, il peut mettre à jour le statut de session de l'utilisateur dans la base de données chaque fois que celui-ci visite certaines URLs (sous réserve bien entendu que l'utilisateur fournissent les informations de connexion nécessaires).
Pour cela, il faut definir deux directives Require spéciales : Require
dbd-login et Require dbd-logout. Pour les détails de
leur utilisation, voir l'exemple de configuration ci-dessous.
Certains administrateurs peuvent vouloir implémenter une gestion de
session côté client fonctionnant de concert avec les fonctionnalités de
connexion/déconnexion des utilisateurs côté serveur offertes par ce module, en
définissant ou en annulant par exemple un cookie HTTP ou un jeton
similaire lorsqu'un utilisateur se connecte ou se déconnecte. Pour
supporter une telle intégration, mod_authz_dbd exporte
un programme à déclenchement optionnel (hook) qui sera lancé chaque fois
que le statut d'un utilisateur sera mis à jour dans la base de données.
D'autres modules de gestion de session pourront alors utiliser ce
programme pour implémenter des fonctions permettant d'ouvrir et de
fermer des sessions côté client.
# configuration de mod_dbd
DBDriver pgsql
DBDParams "dbname=apacheauth user=apache pass=xxxxxx"
DBDMin 4
DBDKeep 8
DBDMax 20
DBDExptime 300
<Directory /usr/www/mon.site/team-private/>
# configuration de mod_authn_core et mod_auth_basic
# pour mod_authn_dbd
AuthType Basic
AuthName Team
AuthBasicProvider dbd
# requête SQL de mod_authn_dbd pour authentifier un utilisateur qui se
# connecte
AuthDBDUserPWQuery \
"SELECT password FROM authn WHERE user = %s AND login = 'true'"
# configuration de mod_authz_core pour mod_authz_dbd
Require dbd-group team
# configuration de mod_authz_dbd
AuthzDBDQuery "SELECT group FROM authz WHERE user = %s"
# lorsqu'un utilisateur échoue dans sa tentative d'authentification ou
# d'autorisation, on l'invite à se connecter ; cette page doit
# contenir un lien vers /team-private/login.html
ErrorDocument 401 /login-info.html
<Files login.html>
# il n'est pas nécessaire que l'utilisateur soit déjà connecté !
AuthDBDUserPWQuery "SELECT password FROM authn WHERE user = %s"
# le processus de connexion dbd exécute une requête pour enregistrer
# la connexion de l'utilisateur
Require dbd-login
AuthzDBDQuery "UPDATE authn SET login = 'true' WHERE user = %s"
# redirige l'utilisateur vers la page d'origine (si elle existe)
# après une connexion réussie
AuthzDBDLoginToReferer On
</Files>
<Files logout.html>
# le processus de déconnexion dbd exécute une requête pour
# enregistrer la déconnexion de l'utilisateur
Require dbd-logout
AuthzDBDQuery "UPDATE authn SET login = 'false' WHERE user = %s"
</Files>
</Directory>
| Description: | Définit si le client doit être redirigé vers la page
d'origine en cas de connexion ou de déconnexion réussie si un en-tête
de requête Referer est présent |
|---|---|
| Syntaxe: | AuthzDBDLoginToReferer On|Off |
| Défaut: | AuthzDBDLoginToReferer Off |
| Contexte: | répertoire |
| Statut: | Extension |
| Module: | mod_authz_dbd |
Utilisée en conjonction avec Require dbd-login ou
Require dbd-logout, cette directive permet de rediriger
le client vers la page d'origine (l'URL contenue dans l'en-tête
de requête HTTP Referer, s'il est présent). En
l'absence d'en-tête Referer, la définition
AuthzDBDLoginToReferer On sera ignorée.
| Description: | Définit la requête SQL pour l'opération requise |
|---|---|
| Syntaxe: | AuthzDBDQuery requête |
| Contexte: | répertoire |
| Statut: | Extension |
| Module: | mod_authz_dbd |
La directive AuthzDBDQuery permet de
spécifier une requête SQL à exécuter. Le but de cette requête dépend
de la directive Require en cours de
traitement.
Require dbd-group, elle spécifie
une requête permettant de rechercher les groupes d'appartenance de
l'utilisateur courant. Ceci correspond à la fonctionnalité standard
d'autres modules d'autorisation comme
mod_authz_groupfile et
mod_authz_dbm.
La première colonne de chaque enregistrement renvoyé par la requête
doit contenir une chaîne de caractères correspondant à un nom de
groupe. La requête peut renvoyer zéro, un ou plusieurs
enregistrements.
Require dbd-group AuthzDBDQuery "SELECT group FROM groups WHERE user = %s"
Require dbd-login ou
Require dbd-logout, elle ne refusera jamais l'accès,
mais au contraire exécutera une requête SQL permettant d'enregistrer
la connexion ou la déconnexion de l'utilisateur. Ce dernier doit
être déjà authentifié avec mod_authn_dbd.
Require dbd-login AuthzDBDQuery "UPDATE authn SET login = 'true' WHERE user = %s"
Dans tous les cas, l'identifiant utilisateur sera transmis comme
paramètre sous la forme d'une simple chaîne lorsque la requête SQL
sera exécutée. Il y sera fait référence dans la requête en utilisant
le spécificateur de format %s.
| Description: | Définit une requête pour rechercher une page vers laquelle rediriger l'utilisateur après une connexion réussie |
|---|---|
| Syntaxe: | AuthzDBDRedirectQuery requête |
| Contexte: | répertoire |
| Statut: | Extension |
| Module: | mod_authz_dbd |
Spécifie une requête SQL optionnelle à utiliser après une
connexion (ou une déconnexion) réussie pour rediriger l'utilisateur
vers une URL, qui peut être spécifique à l'utilisateur.
L'identifiant utilisateur sera transmis comme paramètre sous la
forme d'une simple chaîne lorsque la requête SQL sera exécutée. Il y
sera fait référence dans la requête en utilisant le spécificateur de
format %s.
AuthzDBDRedirectQuery "SELECT userpage FROM userpages WHERE user = %s"
La première colonne du premier enregistrement renvoyé par la requête doit contenir une chaîne de caractères correspondant à une URL vers laquelle rediriger le client. Les enregistrements suivants sont ignorés. Si aucun enregistrement n'est renvoyé, le client ne sera pas redirigé.
Notez que AuthzDBDLoginToReferer l'emporte
sur cette directive si les deux sont définies.