Authentification et autorisation

htpasswd -c /usr/local/apache/passwd/passwords rbowen

(Following line optional) AuthBasicProvider file AuthUserFile /usr/local/apache/passwd/passwords Require user rbowen

Optional line: AuthBasicProvider file AuthUserFile /usr/local/apache/passwd/passwords AuthGroupFile /usr/local/apache/passwd/groups Require group GroupName

L'authentification est un processus qui vous permet de vérifier qu'une personne est bien celle qu'elle prétend être. L'autorisation est un processus qui permet à une personne d'aller là où elle veut aller, ou d'obtenir les informations qu'elle désire.

Pour le contrôle d'accès en général, voir le How-To Contrôle d'accès.

. Ces modules implémentent des directives générales qui opèrent au dessus de tous les modules d'authentification.modauthzcore

fournit une autorisation et un contrôle d'accès basés sur le nom du serveur, l'adresse IP ou certaines caractéristiques de la requête, mais ne fait pas partie du système fournisseur d'authentification. Le module modauthzhost

a été créé à des fins de compatibilité ascendante avec modaccess.modaccess_compat

Vous devriez aussi jeter un coup d'oeil au manuel de recettes de Contrôle d'accès, qui décrit les différentes méthodes de contrôle d'accès à votre serveur.

Cet article décrit les méthodes "standards" de protection de parties de votre site web que la plupart d'entre vous sont appelés à utiliser.

Si vos données ont un réel besoin de sécurisation, prévoyez l'utilisation de

, la configuration de votre serveur devra permettre l'ajout de directives d'authentification dans ces fichiers. Pour ce faire, on utilise la directive

, qui spécifie quelles directives pourront éventuellement contenir les fichiers de configuration de niveau répertoire.AllowOverride

Comme il est ici question d'authentification, vous aurez besoin d'une directive

Si vous avez l'intention d'ajouter les directives directement dans le fichier de configuration principal, vous devrez bien entendu posséder les droits en écriture sur ce fichier.

Vous devrez aussi connaître un tant soit peu la structure des répertoires de votre serveur, ne serait-ce que pour savoir où se trouvent certains fichiers. Cela ne devrait pas présenter de grandes difficultés, et nous essaierons de clarifier tout ça lorsque le besoin s'en fera sentir.

ont été soit compilés avec le binaire httpd, soit chargés par le fichier de configuration apache2.conf. Ces deux modules fournissent des directives générales et des fonctionnalités qui sont critiques quant à la configuration et l'utilisation de l'authentification et de l'autorisation au sein du serveur web.modauthzcore

Vous devez en premier lieu créer un fichier de mots de passe. La méthode exacte selon laquelle vous allez créer ce fichier va varier en fonction du fournisseur d'authentification choisi. Mais nous entrerons dans les détails plus loin, et pour le moment, nous nous contenterons d'un fichier de mots de passe en mode texte.

Ce fichier doit être enregistré à un endroit non accessible depuis le web, de façon à ce que les clients ne puissent pas le télécharger. Par exemple, si vos documents sont servis à partir de /usr/local/apache/htdocs

fourni avec Apache permet de créer ce fichier. Vous le trouverez dans le répertoire htpasswdbin

de votre installation d'Apache. Si vous avez installé Apache à partir d'un paquetage tiers, il sera probablement dans le chemin par défaut de vos exécutables.

vous demandera d'entrer le mot de passe, et de le retaper pour confirmation :htpasswd

New password: mot-de-passe

Adding password for user rbowen

n'est pas dans le chemin par défaut de vos exécutables, vous devrez bien entendu entrer le chemin complet du fichier. Dans le cas d'une installation par défaut, il se trouve à htpasswd/usr/local/apache2/bin/htpasswd

Ensuite, vous allez devoir configurer le serveur de façon à ce qu'il demande un mot de passe et lui préciser quels utilisateurs ont l'autorisation d'accès. Pour ce faire, vous pouvez soit éditer le fichier apache2.conf

. Par exemple, si vous voulez protéger le répertoire /usr/local/apache/htdocs/secret

AuthType Basic AuthName "Restricted Files" # (Following line optional) AuthBasicProvider file AuthUserFile /usr/local/apache/passwd/passwords Require user rbowen

définit la méthode utilisée pour authentifier l'utilisateur. La méthode la plus courante est AuthTypeBasic

. Il faut cependant garder à l'esprit que l'authentification Basic transmet le mot de passe depuis le client vers le serveur en clair. Cette méthode ne devra donc pas être utilisée pour la transmission de données hautement sensibles si elle n'est pas associée au module modauthbasic

. Apache supporte une autre méthode d'authentification : mod_ssl AuthType Digest

et a été conçue pour améliorer la sécurité. Ce but n'a cependant pas été atteint et il est préférable de chiffrer la connexion avec modauthdigest

définit l'Identificateur (Realm) à utiliser avec l'authentification. L'identificateur possède deux fonctions. Tout d'abord, le client présente en général cette information à l'utilisateur dans le cadre de la boîte de dialogue de mot de passe. Ensuite, le client l'utilise pour déterminer quel mot de passe envoyer pour une zone authentifiée donnée.AuthName

Ainsi par exemple, une fois un client authentifié dans la zone "Fichiers réservés"

, il soumettra à nouveau automatiquement le même mot de passe pour toute zone du même serveur marquée de l'identificateur "Fichiers réservés"

. De cette façon, vous pouvez éviter à un utilisateur d'avoir à saisir plusieurs fois le même mot de passe en faisant partager le même identificateur entre plusieurs zones réservées. Bien entendu et pour des raisons de sécurité, le client devra redemander le mot de passe chaque fois que le nom d'hôte du serveur sera modifié.

est, dans ce cas, facultative, car AuthBasicProviderfile

est la valeur par défaut pour cette directive. Par contre, cette directive sera obligatoire si vous utilisez une autre source d'authentification comme

. Si vous possédez un grand nombre d'utilisateurs, la durée de la recherche dans un fichier texte pour authentifier un utilisateur à chaque requête va augmenter rapidement, et pour pallier cet inconvénient, Apache peut aussi stocker les données relatives aux utilisateurs dans des bases de données rapides. Le module htpasswd

permettent de créer et manipuler ces fichiers. Vous trouverez de nombreuses options d'autres types d'authentification fournies par des modules tiers dans la htdbmBase de données des modules d'Apache.

implémente la partie autorisation du processus en définissant l'utilisateur autorisé à accéder à cette zone du serveur. Dans la section suivante, nous décrirons les différentes méthodes d'utilisation de la directive Require

Si vous voulez autoriser l'accès à plusieurs personnes, vous devez créer un fichier de groupes qui associe des noms de groupes avec une liste d'utilisateurs de ce groupe. Le format de ce fichier est très simple, et vous pouvez le créer avec votre éditeur favori. Son contenu se présente comme suit :

Nom-de-groupe: rbowen dpitts sungo rshersey

Il s'agit simplement une liste des membres du groupe sous la forme d'une ligne séparée par des espaces.

Pour ajouter un utilisateur à votre fichier de mots de passe préexistant, entrez :

Vous obtiendrez le même effet qu'auparavant, mais le mot de passe sera ajouté au fichier, plutôt que d'en créer un nouveau (C'est le drapeau -c

AuthType Basic AuthName "By Invitation Only" # Optional line: AuthBasicProvider file AuthUserFile /usr/local/apache/passwd/passwords AuthGroupFile /usr/local/apache/passwd/groups Require group GroupName

Maintenant, quiconque appartient au groupe Nom-de-groupe

pourra accéder au répertoire s'il tape le bon mot de passe.

Il existe une autre méthode moins contraignante pour autoriser l'accès à plusieurs personnes. Plutôt que de créer un fichier de groupes, il vous suffit d'ajouter la directive suivante :

autorisera l'accès à quiconque possédant une entrée dans le fichier password, et ayant tapé le bon mot de passe.

L'authentification Basic est spécifiée d'une telle manière que vos nom d'utilisateur et mot de passe doivent être vérifiés chaque fois que vous demandez un document au serveur, et ceci même si vous rechargez la même page, et pour chaque image contenue dans la page (si elles sont situées dans un répertoire protégé). Comme vous pouvez l'imaginer, ceci ralentit un peu le fonctionnement. La mesure dans laquelle le fonctionnement est ralenti est proportionnelle à la taille du fichier des mots de passe, car ce dernier doit être ouvert et la liste des utilisateurs parcourue jusqu'à ce que votre nom soit trouvé, et ceci chaque fois qu'une page est chargée.

En conséquence, ce ralentissement impose une limite pratique au nombre d'utilisateurs que vous pouvez enregistrer dans un fichier de mots de passe. Cette limite va varier en fonction des performances de votre serveur, mais vous commencerez à remarquer un ralentissement lorsque vous atteindrez quelques centaines d'utilisateurs, et serez alors appelés à utiliser une méthode d'authentification différente.

Par exemple, pour sélectionner un fichier dbm à la place d'un fichier texte :

AuthName "Private" AuthType Basic AuthBasicProvider dbm AuthDBMUserFile /www/passwords/passwd.dbm Require valid-user

Depuis l'arrivée des nouvelles architecture d'autorisation et d'authentification basées sur les fournisseurs, vous n'êtes plus limité à une méthode d'authentification et d'autorisation unique. En fait, on peut panacher autant de fournisseurs que l'on veut, ce qui vous permet d'élaborer l'architecture qui correspond exactement à vos besoins. Dans l'exemple suivant, on utilise conjointement les fournisseurs d'authentification file et LDAP :

AuthName "Private" AuthType Basic AuthBasicProvider file ldap AuthUserFile /usr/local/apache/passwd/passwords AuthLDAPURL ldap://ldaphost/o=yourorg Require valid-user

Dans cet exemple, le fournisseur file va tenter d'authentifier l'utilisateur en premier. S'il n'y parvient pas, le fournisseur LDAP sera sollicité. Ceci permet l'élargissement des possibilités d'authentification si votre organisation implémente plusieurs types de bases d'authentification. D'autres scénarios d'authentification et d'autorisation peuvent associer un type d'authentification avec un autre type d'autorisation. Par exemple, une authentification basée sur un fichier de mots de passe peut permettre l'attribution d'autorisations basée sur un annuaire LDAP.

Pour un scénario d'autorisation un peu plus avancé, des directives de conteneur d'autorisation comme

permettent d'appliquer une logique telle que l'ordre dans lequel les autorisations sont appliquées peut être entièrement contrôlé au niveau de la configuration. Voir Conteneurs d'autorisations pour un exemple de ce contrôle.

Le contrôle de la manière et de l'ordre selon lesquels le processus d'autorisation était appliqué constituait une sorte de mystère par le passé. Dans Apache 2.2, un mécanisme d'authentification basé sur les fournisseurs a été développé afin de séparer le véritable processus d'authentification de l'autorisation et ses différentes fonctionnalités. Un des avantages colatéraux résidait dans le fait que les fournisseurs d'authentification pouvaient être configurés et appelés selon un ordre particulier indépendant de l'ordre de chargement du module auth proprement dit. Ce mécanisme basé sur les fournisseurs a été étendu au processus d'autorisation. Ceci signifie que la directive

définit non seulement quelles méthodes d'autorisation doivent être utilisées, mais aussi l'ordre dans lequel elles sont appelées. Les méthodes d'autorisation sont appelées selon l'ordre dans lequel les directives Require

, la configuration contrôle aussi le moment où les méthodes d'autorisation sont appelées, et quels critères déterminent l'autorisation d'accès. Voir Conteneurs d'autorisations pour un exemple de la manière de les utiliser pour exprimer des logiques d'autorisation complexes.

sont traitées comme si elles étaient contenues dans une directive Require

. En d'autres termes, il suffit qu'une méthode d'autorisation s'applique avec succès pour que l'autorisation soit accordée.

La vérification du nom d'utilisateur et du mot de passe ne constituent qu'un aspect des méthodes d'authentification. Souvent, le contrôle d'accès à certaines personnes n'est pas basé sur leur identité ; il peut dépendre, par exemple de leur provenance.

vous permettent d'accorder ou refuser l'accès en fonction de critères tels que le nom d'hôte ou l'adresse IP de la machine qui effectue la requête.

. Cette directive permet d'enregistrer quels fournisseurs d'autorisation seront appelés dans le processus d'autorisation au cours du traitement de la requête. Par exemple :Require

où nom_domaine est un nom de domaine entièrement qualifé (ou un nom de domaine partiel) ; vous pouvez indiquer plusieurs adresses ou noms de domaines, si vous le désirez.

Par exemple, si vous voulez rejeter les spams dont une machine vous inonde, vous pouvez utiliser ceci :

Require all granted Require not ip 10.252.46.165

Ainsi, les visiteurs en provenance de cette adresse ne pourront pas voir le contenu concerné par cette directive. Si, par contre, vous connaissez le nom de la machine, vous pouvez utiliser ceci :

Require all granted Require not host host.example.com

Et si vous voulez interdire l'accès à toutes les machines d'un domaine, vous pouvez spécifier une partie seulement de l'adresse ou du nom de domaine :

Require all granted Require not ip 192.168.205 Require not host phishers.example.com moreidiots.example Require not host ke

, n'accordera l'accès que si toutes les conditions négatives sont vérifiées. En d'autres termes, l'accès sera refusé si au moins une des conditions négatives n'est pas vérifiée.

L'adoption d'un mécanisme à base de fournisseurs pour l'authentification, a pour effet colatéral de rendre inutiles les directives

. Cependant, et à des fins de compatibilité ascendante vers les anciennes configurations, ces directives ont été déplacées vers le module Satisfy

, qui permet de mettre en cache les données d'authentification, et ainsi réduire la charge du/des fournisseurs(s) originels.modauthnsocache

Cette mise en cache apportera un gain en performance substantiel à certains utilisateurs.

Les différents algorithmes de chiffrement supportés par Apache pour authentifier les données sont expliqués dans PasswordEncryptions.

Enfin vous pouvez consulter la recette Contrôle d'accès, qui décrit un certain nombre de situations en relation avec le sujet.

Modules | Directives | FAQ | Glossaire | Plan du site

Serveur Apache HTTP Version 2.4