アクセス制御とセキュリティ

• WWWブラウザのIPアドレスまたはドメイン名
• ユーザー名とパスワードによるユーザー認証。これはユーザー認証機 能をWWWブラウザでサポートされている必要があります。新しい httpd では Kerberos をサポートしていますが、米国の暗号ソフトウェアの 輸出規制のため日本では利用できません。

アクセス制御ファイル

• サーバ全体またはディレクトリ毎のアクセス制御はグローバルアクセ ス制御ファイル(ACF)によって制御されます。
• ディレクトリ毎に設定する場合、デフォルトでは各ディレクトリにあ る .htaccessファイルで行います。

ディレクトリのアクセス制限をグローバル ACF で行う場合は、次のように <Directory>ディレクティブで制限したいディレクトリを指定 して、制限を行なう<Limit>ディレクティブを使用します。

<Directory /usr/local/etc/httpd/htdocs/subdirecty>
        <Limit GET POST>
        order,
        deny from,
        allow from,
        require
        <Limit>
</Directory>

とします。

<Limit>ディレクティブは、次のようにメソッドによりクライ アントからの要求を制限します。

<Limit メソッド1 メソッド2 ... メソッドn>

ただし、メソッドは GET と POST のみサポートしています。Limitディレクティ ブを閉じる場合は</Limit>を使用します。

<Limit GET>
  order,
  deny from,
  allow from,
  require
</Limit>

アクセス制御用ディレクティブ

ディレクティブ	パラメータ例	用途
<Limit>	<Limit GET POST>		アクセス制限節の開始
</Limit>	</Limit>		アクセス制限節の終了
order	deny,allow		アクセスの 評価順
deny from	.foo.co.jp		アクセ ス拒否するドメインまたはIPアドレス
allow from	.foo.co.jp		アクセ ス許可するドメインまたはIPアドレス
requre	ben bob tom		アクセス を許可するユーザまたはグループ
AuthName	Foo Members Only		認証を要求する際に表示されるメッセージ
AuthType	Basic		認証方式 (Basic, PGP, PEM)
AuthUserFile	/www/etc/passwd		パスワードファイルのパス名
AuthGroupFile	/www/etc/group		グループファイルのパス名

ドメイン毎のアクセス制限

ドメイン制御ディレクティブ

order

Limit節の中で評価される denyとallow の順番を定義します。deny → allowの順番がデフォ ルトです。

allow

ホストがディレクトリにアクセスできることを定義します。

deny

ホストがディレクトリにアクセスできないことを定義します。

アクセス制御の方法

<Directory /usr/local/etc/httpd/htdocs>
        Options Indexes FollowSymlinks
        AllowOverride All
        <Limit GET>
                order allow,deny
                allow from all
        <Limit>
<Directory>

例えば、ローカル組織内でアクセス制限をする場合、 access.confを次のように変更し、httpdを再起動します。

<Directory /usr/local/etc/httpd/htdocs>
        Options Indexes FollowSymlinks
        AllowOverride None
        <Limit GET>
                order deny,allow
                deny from all
                allow from foo.co.jp
        <Limit>
<Directory>

アクセス制限のないパターンとの違いは次のとおりです。

• orderディレクティブは allow,denyから deny,allowに変わっています。これは httpdが denyを先に評価し、それをベースにallowを評価し、 allowを許したドメインからのアクセスを許可します。
• deny from allが書き加えられています。
• allowディレクティブが allからローカルドメイン (foo.co.jp)だけになっています。

allow foo.co.jp foo.com 172.16.

ディレクトリ毎に制限する場合、.htaccessファイルに <Limit>ディレクティブを置き、ACFの時と同様の記述形式で 制限します。

<Limit GET>
        order deny,allow
        deny from all
        allow from foo.co.jp
</Limit>

ユーザー認証

NCSA Mosaic の場合、ユーザー認証が設定されてくると次のようなプロンプト が表示されます。

NCSA Mosaic のユーザ認証ウィンドウ(ユーザ名入力)

ユーザ名入力後、

NCSA Mosaic のユーザ認証ウィンドウ(パスワード入力)

Netscapeの場合、一度にユーザー名とパスワードを入力するウィンドウが次の ように表示されます。

Netscape のユーザ認証ウィンドウ

ユーザー認証はWWWサーバ全体に行われる事は少なく、一 般に特定のディレクトリに対して行われます。そして、ユーザー名とパスワー ドを収めたファイルは一つにまとめることもできますし、個々のディレクトリ 毎に持つ事もできます。そのパスワードファイルは一般に.htpasswdと いう名称で使われます。

例です (ユーザ名をyamada、パスワードを yamada で 入力してみて下さい)

パスワードファイルの管理

% htpasswd [-c] .htpasswd username 

ユーザ名:暗号化されたパスワード

taro:y1ia3tjWkhCK2
jiro:kd03g0Wk09ErD
saburo:tck3GxmQE7h

access.confによる認証設定

<Directory /usr/local/etc/httpd/htdocs>
        Options Indexes FollowSymlinks
        AllowOverride None
        AuthUserFile /usr/local/etc/httpd/conf/.htpasswd
        AuthGroupFile /dev/null
        AuthName By Secret Password Only!
        AuthType Basic
        <Limit GET>
                require user username
        </Limit>
</Directory>

• AuthUserFileディレクティブはパスワードファイルの絶対パ ス名(ルート(/)から記述)を指定します。
• AuthGroupFileディレクトリはグループ認証を行うためのグ ループファイルを設定します。無ければ、/dev/nullを設定し ます。
• AuthNameディレクティブはユーザー名を尋ねるウィンドウに 表示するコメントです。この場合、By Secret Password Only!というメッセージが表示されます。
• AuthTypeディレクティブは認証をタイプを指定します。普通 のパスワード入力のみであるため、Basicと設定します。 NCSA httpd 1.5 では、MD5 (Digest)や Kerberos V4, V5 (KerberosV4, KerberosV5)が使用できます。 但し、Kerberos は米国外では利用できません。
• 認証関係(Auth)のディレクティブはLimit部の外に置きます。
• <Limit>部がrequireのみになっています。これは、 usernameを持つユーザー名によるアクセスのみを要求している ことを意味します。requireディレクティブには、 AuthUserFile, AuthGroupFile, AuthName, AuthTypeディレ クティブが必要です。また、order, allow, denyと組み合わ せて、特定のホストからのみそのユーザーがアクセスが可能なように も設定できます。

% htpasswd -c /usr/local/etc/httpd/conf/.htpasswd username

ディレクトリ毎に行う場合

AuthUserFile /usr/local/etc/httpd/conf/.htpasswd
AuthGroupFile /dev/null
AuthName By Secret Password Only!
AuthType Basic
<Limit GET>
        require user username
</Limit>

個々のディレクトリで設定する場合には、<Directory>節は必要ありま せん。

グループ認証

• グループACF (access.conf) を変更します。
• 複数のユーザーをメンバーとして登録したグループファイル (.htgroup)を作成します。
• グループファイルの名かの全てのユーザーがパスワードファイルにあ るかどうかをチェックします。

<Directory /usr/local/etc/httpd/htdocs>
        Options Indexes FollowSymlinks
        AllowOverride None
        AuthUserFile /usr/local/etc/httpd/conf/.htpasswd
        AuthGroupFile /usr/local/etc/httpd/conf/.htgroup
        AuthName By Secret Password Only!
        AuthType Basic
        <Limit GET>
                require group groupname
        </Limit>
</Directory>

• まず、AuthGroupFileに作成するグループファイルの絶対パ ス名を書き込みます。
• requireディレクティブを groupにして、該当する groupnameを書き込ます。

groupname: username1 username2 username3 ... usernameN

個々のディレクトリで設定を行う場合、アクセス制御の時と同様のファイル .htaccessを使って、以下のように設定します。

AuthUserFile /usr/local/etc/httpd/conf/.htpasswd
AuthGroupFile /usr/local/etc/httpd/conf/.htgroup
AuthName By Secret Password Only!
AuthType Basic
<Limit GET>
        require group groupname
</Limit>

個々のディレクトリで設定する場合には、<Directory>節は必要ありま せん。

ディレクトリのセキュリティ上の注意

ユーザーのホームディレクトリにpublic_htmlディレクトリを設けると、 http://www.foo.co.jp/~username/ でアクセスできます。こ こに対して、個々にグローバルACFを許さないようにプロテクトをかける場合、 次の方法があります。

もし、全てのユーザーがあるディレクトリ(例えば、/home)にいる場合、 /home ディレクトリ全体にプロテクトをかけるだけです。 access.confファイルの中に次のディレクティブを加えます。

<Directory /home>
        AllowOverride None
        Options Indexes
</Directory>

ユーザーディレクトリがバラバラの場合、次のようにワイルドカードを使って 設定します。

<Directory /*/*/public_html*>
        AllowOverride None
        Options Indexes
</Directory>