Serveur HTTP Apache Version 2.4 (original) (raw)

Module Apache mod_authz_dbd

Langues Disponibles: en | fr

Sommaire

Ce module fournit des fonctionnalités d'autorisation permettant d'accorder ou de refuser aux utilisateurs authentifiés l'accès à certaines zones du site web en fonction de leur appartenance à tel ou tel groupe. Les modules [mod_authz_groupfile](../mod/mod%5Fauthz%5Fgroupfile.html) et[mod_authz_dbm](../mod/mod%5Fauthz%5Fdbm.html) fournissent une fonctionnalité similaire, mais ici le module interroge une base de données SQL pour déterminer si un utilisateur appartient ou non à tel ou tel groupe.

Ce module propose également des fonctionnalités de connexion utilisateur s'appuyant sur une base de données, ce qui peut se révéler particulièrement utile lorsque le module est utilisé conjointement avec[mod_authn_dbd](../mod/mod%5Fauthn%5Fdbd.html).

Ce module s'appuie sur [mod_dbd](../mod/mod%5Fdbd.html) pour spécifier le pilote de la base de données sous-jacente et les paramètres de connexion, et gérer les connexions à la base de données.

Les directives Require

Les directives [Require](../mod/mod%5Fauthz%5Fcore.html#require) d'Apache permettent, au cours de la phase d'autorisation, de s'assurer qu'un utilisateur est bien autorisé à accéder à une ressource. mod_authz_dbd ajoute les types d'autorisation dbd-group,dbd-login et dbd-logout.

A partir de la version 2.4.8, les directives require DBD supportent les expressions.

Require dbd-group

Cette directive permet de spécifier à quel groupe un utilisateur doit appartenir pour obtenir l'autorisation d'accès.

Require dbd-group team AuthzDBDQuery "SELECT user_group FROM authz WHERE user = %s"

Require dbd-login

Cette directive permet de spécifier une requête à exécuter pour indiquer que l'utilisateur s'est authentifié.

Require dbd-login AuthzDBDQuery "UPDATE authn SET login = 'true' WHERE user = %s"

Require dbd-logout

Cette directive permet de spécifier une requête à exécuter pour indiquer que l'utilisateur s'est déconnecté.

Require dbd-logout AuthzDBDQuery "UPDATE authn SET login = 'false' WHERE user = %s"

Reconnaissance d'identité s'appuyant sur une base de données

Outre sa fonction d'autorisation standard consistant à vérifier l'appartenance à des groupes, ce module permet aussi de gérer des sessions utilisateur côté serveur grâce à sa fonctionnalité de connexion utilisateur en s'appuyant sur une base de données. En particulier, il peut mettre à jour le statut de session de l'utilisateur dans la base de données chaque fois que celui-ci visite certaines URLs (sous réserve bien entendu que l'utilisateur fournissent les informations de connexion nécessaires).

Pour cela, il faut definir deux directives [Require](../mod/mod%5Fauthz%5Fcore.html#require) spéciales : Require dbd-login et Require dbd-logout. Pour les détails de leur utilisation, voir l'exemple de configuration ci-dessous.

Reconnaissance d'identité côté client

Certains administrateurs peuvent vouloir implémenter une gestion de session côté client fonctionnant de concert avec les fonctionnalités de connexion/déconnexion des utilisateurs côté serveur offertes par ce module, en définissant ou en annulant par exemple un cookie HTTP ou un jeton similaire lorsqu'un utilisateur se connecte ou se déconnecte.

Pour supporter une telle intégration, [mod_authz_dbd](../mod/mod%5Fauthz%5Fdbd.html) exporte un programme à déclenchement optionnel (hook) qui sera lancé chaque fois que le statut d'un utilisateur sera mis à jour dans la base de données. D'autres modules de gestion de session pourront alors utiliser ce programme pour implémenter des fonctions permettant d'ouvrir et de fermer des sessions côté client.

Exemple de configuration

configuration de mod_dbd

DBDriver pgsql DBDParams "dbname=apacheauth user=apache pass=xxxxxx"

DBDMin 4 DBDKeep 8 DBDMax 20 DBDExptime 300

<Directory "/usr/www/mon.site/team-private/">

configuration de mod_authn_core et mod_auth_basic

pour mod_authn_dbd

AuthType Basic AuthName Team AuthBasicProvider dbd

requête SQL de mod_authn_dbd pour authentifier un utilisateur qui se

connecte

AuthDBDUserPWQuery
"SELECT password FROM authn WHERE user = %s AND login = 'true'"

configuration de mod_authz_core pour mod_authz_dbd

Require dbd-group team

configuration de mod_authz_dbd

AuthzDBDQuery "SELECT group FROM authz WHERE user = %s"

lorsqu'un utilisateur échoue dans sa tentative d'authentification ou

d'autorisation, on l'invite à se connecter ; cette page doit

contenir un lien vers /team-private/login.html

ErrorDocument 401 "/login-info.html"

<Files "login.html"> # il n'est pas nécessaire que l'utilisateur soit déjà connecté ! AuthDBDUserPWQuery "SELECT password FROM authn WHERE user = %s"

# le processus de connexion dbd exécute une requête pour enregistrer
# la connexion de l'utilisateur
Require dbd-login
AuthzDBDQuery "UPDATE authn SET login = 'true' WHERE user = %s"

# redirige l'utilisateur vers la page d'origine (si elle existe)
# après une connexion réussie
AuthzDBDLoginToReferer On

<Files "logout.html"> # le processus de déconnexion dbd exécute une requête pour # enregistrer la déconnexion de l'utilisateur Require dbd-logout AuthzDBDQuery "UPDATE authn SET login = 'false' WHERE user = %s"

Directive AuthzDBDLoginToReferer

Utilisée en conjonction avec Require dbd-login ouRequire dbd-logout, cette directive permet de rediriger le client vers la page d'origine (l'URL contenue dans l'en-tête de requête HTTP Referer, s'il est présent). En l'absence d'en-tête Referer, la définitionAuthzDBDLoginToReferer On sera ignorée.

Directive AuthzDBDQuery

La directive AuthzDBDQuery permet de spécifier une requête SQL à exécuter. Le but de cette requête dépend de la directive [Require](../mod/mod%5Fauthz%5Fcore.html#require) en cours de traitement.

• Avec la directive Require dbd-group, elle spécifie une requête permettant de rechercher les groupes d'appartenance de l'utilisateur courant. Ceci correspond à la fonctionnalité standard d'autres modules d'autorisation comme[mod_authz_groupfile](../mod/mod%5Fauthz%5Fgroupfile.html) et[mod_authz_dbm](../mod/mod%5Fauthz%5Fdbm.html). La première colonne de chaque enregistrement renvoyé par la requête doit contenir une chaîne de caractères correspondant à un nom de groupe. La requête peut renvoyer zéro, un ou plusieurs enregistrements.
  Require dbd-group
  AuthzDBDQuery "SELECT group FROM groups WHERE user = %s"
• Avec la directive Require dbd-login ouRequire dbd-logout, elle ne refusera jamais l'accès, mais au contraire exécutera une requête SQL permettant d'enregistrer la connexion ou la déconnexion de l'utilisateur. Ce dernier doit être déjà authentifié avec [mod_authn_dbd](../mod/mod%5Fauthn%5Fdbd.html).
  Require dbd-login
  AuthzDBDQuery "UPDATE authn SET login = 'true' WHERE user = %s"

Dans tous les cas, l'identifiant utilisateur sera transmis comme paramètre sous la forme d'une simple chaîne lorsque la requête SQL sera exécutée. Il y sera fait référence dans la requête en utilisant le spécificateur de format %s.

Directive AuthzDBDRedirectQuery

Spécifie une requête SQL optionnelle à utiliser après une connexion (ou une déconnexion) réussie pour rediriger l'utilisateur vers une URL, qui peut être spécifique à l'utilisateur. L'identifiant utilisateur sera transmis comme paramètre sous la forme d'une simple chaîne lorsque la requête SQL sera exécutée. Il y sera fait référence dans la requête en utilisant le spécificateur de format %s.

AuthzDBDRedirectQuery "SELECT userpage FROM userpages WHERE user = %s"

La première colonne du premier enregistrement renvoyé par la requête doit contenir une chaîne de caractères correspondant à une URL vers laquelle rediriger le client. Les enregistrements suivants sont ignorés. Si aucun enregistrement n'est renvoyé, le client ne sera pas redirigé.

Notez que AuthzDBDLoginToReferer l'emporte sur cette directive si les deux sont définies.