Apache Zugriffsschutz mit Systemusern

[Dennis]

Hi Sven,

Dein Wunsch ist in deiner Gedankenwelt leider undurchführbar. Die Passworte der User stehen nicht in /etc/passwd, sondern in /etc/shadow - diese Datei ist aber aus Sicherheitsgründen nur für root lesbar, der Apache hat darauf keinerlei Zugriff.

Stimmt, daran hatte ich gar nicht gedacht.

Was du suchst, ist eine Möglichkeit, mit einem Modul die Systemauthentifikation anzuzapfen. Da moderne Linuxe PAM als Authentifizierung benutzen, auch um diverse Passwortspeicher (/etc/shadow, MySQL, LDAP,...) mit einer einheitlichen Schnittstelle anzusprechen, suchst du also eher etwas wie "mod_auth_pam" - und genau das wird bei Google auch gefunden.

Ich habe mich jetzt mal etwas in das Thema eingelesen - ich fand den Wikipedia-Artikel, sowie die dort verlinkte PDF-Datei ganz hilfreich als Einstieg.

Auch das unten von dir genannte Modul habe ich mir mal was näher angeschaut, eine Sache ist mir allerdings aufgefallen: Auch dieses Modul kommt nicht um die Problematik herum, dass /etc/shadow für nicht-roots nicht zu lesen ist! Hier wird einfach gesagt, dass man über die Gruppenzugehörigkeit dem Apache Lese-Rechte auf die Datei geben soll.

Als Apache ist derzeit 2.2.0 im Einsatz, der bietet ja schon Einiges an Auth-Modulen, allerdings habe ich da in der (noch etwas spärlichen) Dokumentation nichts gefunden, was mir oben geanntes Vorgehen ermöglichen würde. Ich würde auch gerne bei Apache 2.2.x bleiben.

Version 2.2 könnte etwas zu neu sein für deinen Wunsch. Modulhersteller sind da der Entwicklung immer etwas hinterher. Das Modul hier ist jedenfalls nur für Apache 1.3 und 2.0 erhältlich - ich erwarte größere Probleme beim Versuch, es für 2.2 zu benutzen. Aber wenn du die notwendigen Anpassungen gleich als Patch anbietest - warum nicht? :)

Hm, ich fürchte auch, dass Apache 2.2.x etwas zu neu sein könnte :-( Nun ja, ein patchen würde daran scheitern, dass ich nicht wirklich Ahnung von C geschweige den von der Apache Plugin API habe ;-)

Ich werde mich da allerdings mal noch etwas vertiefen bzw. jetzt erst mal probieren, die Version von mod_auth_pam für 2.0.x unter 2.2.x zu verwenden, auch wenn ich mir da so gut wie keine Hoffnungen mache. Auf jeden Fall hast du mich jetzt auf die richtige Spur gebracht, Danke. :-)

MfG, Dennis.