クライアントSSL証明書または基本認証で認証する

Question 1

この質問は 3 か月前の質問なので、私の回答は OP には必要ないかもしれませんが、この構成を希望する人には役立つかもしれません。

質問には apache-2.4 のタグが付けられていますが、設定は 2.2 に適したもののように見えます。Apache 2.4 ドキュメントの多くの例自体が 2.4 に適していないように見えるため、これはまったく驚くべきことではありません。

2.2 ではこのような構成が機能していましたが (「Allow from」は機能しませんでした)、2.4 用に書き直す必要がありました。ドキュメントではすぐには明らかにならなかったいくつかの要素が必要であることがわかりました。

これについては保証しません。これはテストなしの構成ファイルに基づいています。+StrictRequire必要ない場合もありますSSLOptions。これなしで試したことはありません。ただし、この方法では動作します。

実際のところ、SSLOptions行はまったく必要ないかもしれません。オプションはおそらく使用されていないでしょう。ここでの設定では、が証明書に見つかる+FakeBasicAuthとすぐにアクセスが許可されます。私の理解では、は (単独で) とともに使用され、で定義されたユーザーリストに証明書の DN が見つかり、適切なパスワードも見つかった場合にアクセスが許可されます。私のシステムはそのようには動作しませんし、OP もそのようにしたくなかったのではないかと思います。Company_O+FakeBasicAuthRequire valid-userAuthUserFile

<Directory /opt/app/system/html>
    RedirectMatch permanent ^/$ /exec/login.pl
    Options -Indexes +FollowSymLinks

    # Anything which matches a Require rule will let us in

    # Make server ask for client certificate, but not insist on it
    SSLVerifyClient optional
    SSLVerifyDepth  2
    SSLOptions      +FakeBasicAuth +StrictRequire

    # Client with appropriate client certificate is OK
    <RequireAll>
        Require ssl-verify-client
        # Correction: eq is integer comparison, string comparison requires ==
        # Require expr %{SSL_CLIENT_I_DN_O} eq "Company_O"
        Require expr %{SSL_CLIENT_I_DN_O} == "Company_O"
    </RequireAll>

    # Set up basic (username/password) authentication
    AuthType Basic
    AuthName "Zugriffsschutz"
    AuthBasicProvider file
    AuthUserFile /etc/apache2/htaccess/iapp.passwd

    # User which is acceptable to basic authentication is OK
    Require valid-user

    # Access from these addresses is OK
    Require ip 10.20.0.0/255.255.0.0
    Require ip 10.144.100
</Directory>

私は持っています

<Directory />
    ...
    Require all denied
    ...
</Directory>

別の設定ファイルでは、それがレシピの重要な部分である可能性があります。

これを動作させるのに時間がかかったのは、ビットRequire expr %{SSL_CLIENT自体が単独で動作するように見えたが、最終的にはそれがRequire ssl-verify-client必要であることに気付いたからだ（認証プロバイダ）

Answer