Module Apache mod_authz_core

AuthMerging Directive

Lorsque l'autorisation est activ�e, elle est normalement h�rit�e par chaque section de configuration suivante, � moins qu'un jeu de directives d'autorisations diff�rent ne soit sp�cifi�. Il s'agit du comportement par d�faut, qui correspond � la d�finition explicite AuthMerging Off.

Dans certaines situations cependant, il peut �tre souhaitable de combiner la logique d'autorisation d'une section de configuration avec celle de la section pr�c�dente lorsque les sections de configuration se combinent entre elles. Dans ce cas, deux options sont disponibles, And et Or.

Lorsqu'une section de configuration contient AuthMerging And ou AuthMerging Or, sa logique d'autorisation se combine avec celle de la section de configuration qui la pr�c�de (selon l'ordre g�n�ral des sections de configuration), et qui contient aussi une logique d'autorisation, comme si les deux sections �taient concat�n�es respectivement dans une directive <RequireAll> ou <RequireAny>.

<Directory /www/docs>
    AuthType Basic
    AuthName Documents
    AuthBasicProvider file
    AuthUserFile /usr/local/apache/passwd/passwords
    Require group alpha
</Directory>

<Directory /www/docs/ab>
    AuthMerging Or
    Require group beta
</Directory>

<Directory /www/docs/ab/gamma>
    Require group gamma
</Directory>

<AuthzProviderAlias> Directive

Les balises <AuthzProviderAlias> et </AuthzProviderAlias> permettent de regrouper des directives d'autorisation auxquelles on pourra faire r�f�rence � l'aide de l'alias sp�cifi� dans une directive Require.

AuthzSendForbiddenOnFailure Directive

Par d�faut, si l'authentification r�ussit, alors que l'autorisation est refus�e, Apache HTTPD renvoie un code de r�ponse HTTP '401 UNAUTHORIZED'. En g�n�ral, les navigateurs proposent alors une nouvelle fois � l'utilisateur la bo�te de dialogue de saisie du mot de passe, ce qui n'est pas toujours souhaitable. La directive AuthzSendForbiddenOnFailure permet de changer le code de r�ponse en '403 FORBIDDEN'.

Require Directive

Cette directive permet de v�rifier si un utilisateur authentifi� a l'autorisation d'acc�s accord�e pour un certain fournisseur d'autorisation et en tenant compte de certaines restrictions. mod_authz_core met � disposition les fournisseurs d'autorisation g�n�riques suivants :

Require all granted

L'acc�s est autoris� sans restriction.

Require all denied

L'acc�s est syst�matiquement refus�.

Require env env-var [env-var] ...

L'acc�s n'est autoris� que si l'une au moins des variables d'environnement sp�cifi�es est d�finie.

Require method http-method [http-method] ...

L'acc�s n'est autoris� que pour les m�thodes HTTP sp�cifi�es.

Require expr expression

L'acc�s est autoris� si expression est �valu� � vrai.

Voici quelques exemples de syntaxes autoris�es par mod_authz_user, mod_authz_host et mod_authz_groupfile :

Require user identifiant utilisateur [identifiant utilisateur] ...

Seuls les utilisateurs sp�cifi�s auront acc�s � la ressource.

Require group nom groupe [nom groupe] ...

Seuls les utilisateurs appartenant aux groupes sp�cifi�s auront acc�s � la ressource.

Require valid-user

Tous les utilisateurs valides auront acc�s � la ressource.

Require ip 10 172.20 192.168.2

Les clients dont les adresses IP font partie des tranches sp�cifi�es auront acc�s � la ressource.

D'autres modules d'autorisation comme mod_authnz_ldap, mod_authz_dbm, mod_authz_dbd, mod_authz_owner et mod_ssl impl�mentent des options de la directive Require.

Pour qu'une configuration d'authentification et d'autorisation fonctionne correctement, la directive Require doit �tre accompagn�e dans la plupart des cas de directives AuthName, AuthType et AuthBasicProvider ou AuthDigestProvider, ainsi que de directives telles que AuthUserFile et AuthGroupFile (pour la d�finition des utilisateurs et des groupes). Exemple :

AuthType Basic
AuthName "Restricted Resource"
AuthBasicProvider file
AuthUserFile /web/users
AuthGroupFile /web/groups
Require group admin

Les contr�les d'acc�s appliqu�s de cette mani�re sont effectifs pour toutes les m�thodes. C'est d'ailleurs ce que l'on souhaite en g�n�ral. Si vous voulez n'appliquer les contr�les d'acc�s qu'� certaines m�thodes, tout en laissant les autres m�thodes sans protection, placez la directive Require dans une section <Limit>.

Le r�sultat de la directive Require peut �tre invers� en utilisant l'option not. Comme dans le cas de l'autre directive d'autorisation invers�e <RequireNone>, si la directive Require est invers�e, elle ne peut qu'�chouer ou produire un r�sultat neutre ; elle ne peut donc alors pas autoriser une requ�te de mani�re ind�pendante.

Dans l'exemple suivant, tous les utilisateurs appartenant aux groupes alpha et beta ont l'autorisation d'acc�s, � l'exception de ceux appartenant au groupe reject.

<Directory /www/docs>
    <RequireAll>
        Require group alpha beta
        Require not group reject
    </RequireAll>
</Directory>

Lorsque plusieurs directives Require sont plac�es dans une m�me section de configuration, et ne se trouvent pas dans une autre directive d'autorisation comme <RequireAll>, elles sont implicitement contenues dans une directive <RequireAny>. Ainsi, la premi�re directive Require qui autorise l'acc�s � un utilisateur autorise l'acc�s pour l'ensemble de la requ�te, et les directives Require suivantes sont ignor�es.

Voir aussi

• Tutoriel du contr�le d'acc�s
• Conteneurs d'autorisation
• mod_authn_core
• mod_authz_host

<RequireAll> Directive

Les balises <RequireAll> et </RequireAll> permettent de regrouper des directives d'autorisation dont aucune ne doit �chouer, et dont au moins une doit retourner un r�sultat positif pour que la directive <RequireAll> retourne elle-m�me un r�sultat positif.

Si aucune des directives contenues dans la directive <RequireAll> n'�choue, et si au moins une retourne un r�sultat positif, alors la directive <RequireAll> retourne elle-m�me un r�sultat positif. Si aucune ne retourne un r�sultat positif, et si aucune n'�choue, la directive globale retourne un r�sultat neutre. Dans tous les autres cas, elle �choue.

Voir aussi

• Conteneurs d'autorisation
• Authentification, autorisation et contr�le d'acc�s

<RequireAny> Directive

Les balises <RequireAny> et </RequireAny> permettent de regrouper des directives d'autorisation dont au moins une doit retourner un r�sultat positif pour que la directive <RequireAny> retourne elle-m�me un r�sultat positif.

Si une ou plusieurs directives contenues dans la directive <RequireAny> retournent un r�sultat positif, alors la directive <RequireAny> retourne elle-m�me un r�sultat positif. Si aucune ne retourne un r�sultat positif et aucune n'�choue, la directive globale retourne un r�sultat neutre. Dans tous les autres cas, elle �choue.

Voir aussi

• Conteneurs d'autorisation
• Authentification, autorisation et contr�le d'acc�s

<RequireNone> Directive

Les balises <RequireNone> et </RequireNone> permettent de regrouper des directives d'autorisation dont aucune ne doit retourner un r�sultat positif pour que la directive <RequireNone> n'�choue pas.

Si une ou plusieurs directives contenues dans la directive <RequireNone> retournent un r�sultat positif, la directive <RequireNone> �chouera. Dans tous les autres cas, cette derni�re retournera un r�sultat neutre. Ainsi, comme pour la directive d'autorisation invers�e Require not, elle ne peut jamais autoriser une requ�te de mani�re ind�pendante car elle ne pourra jamais retourner un r�sultat positif. Par contre, on peut l'utiliser pour restreindre l'ensemble des utilisateurs autoris�s � acc�der � une ressource.

Voir aussi

• Conteneurs d'autorisation
• Authentification, autorisation et contr�le d'acc�s