Как настроить apache для принятия клиентского ssl-сертификата (если он есть) или аутентификации с помощью ldap (если сертификат отсутствует)?

Я придумал способ сделать это как для Apache 2.2, так и для 2.4, хотя потребуется некоторая окончательная очистка для любых ваших нужд, но нужно сделать сложную часть (или, по крайней мере, сделать достаточно, чтобы кто-то еще понял, где перейти отсюда).

Обе конфигурации приводят к одной и той же конечной цели: клиент / пользователь может предоставить сертификат, если он не предоставлен, им будет предложено ввести учетные данные LDAP.

Вам нужно будет включить mod_ssl и mod_authnz_ldap. Для Apache 2.2 вам также необходимо включить mod_rewrite и mod_alias.

Apache 2.4 вводит директиву If / ElseIf / Else общего назначения, которая значительно упрощает эту задачу: http://httpd.apache.org/docs/current/mod/core.html#if

Я не гуру Apache, поэтому может быть что-то ужасно неправильное в том, что я сделал, но похоже, что это достигло цели государства.

Apache 2.2:

<IfModule mod_ssl.c>
<VirtualHost _default_:443>
    ServerName Dummy-testing-kbd
    ServerAdmin webmaster@localhost

    # Normal HTTPS Server Certificate Config
    SSLEngine on
    SSLCertificateFile /etc/apache2/ssl/server.crt
    SSLCertificateKeyFile /etc/apache2/ssl/server.key
    # End HTTPS Config

    DocumentRoot /var/www

    Alias /ldap /
    <Location /ldap/>
        # LDAP Authentication Config
        AuthType Basic
        AuthBasicProvider ldap
        AuthzLDAPAuthoritative on
        AuthName "Password Protected. Enter your AD Username and Password"
        AuthLDAPURL "ldaps://ldaps-auth.mydomain.com/OU=People,DC=mydomain"
        Require valid-user
        # End LDAP
    </Location>

    <Location />
        # Client Cert Config
        SSLRequireSSL
        SSLCACertificateFile /etc/ssl/ca/private/ca.crt
        SSLVerifyClient optional
        SSLVerifyDepth 2

        # Populate REMOTE_USER with the value from the client certificate
        SSLUserName SSL_CLIENT_S_DN_CN
        # End Client Cert Config

        # Hacky way to use an internal redirect to force LDAP authentication if the certificate didn't populate the REMOTE_USER variable
        RewriteEngine on
        RewriteCond %{REMOTE_USER} ^$
        RewriteRule (.*) /ldap/$1 [L]
    </Location>

    ErrorLog ${APACHE_LOG_DIR}/cert_or_ldap_error.log

    # Possible values include: debug, info, notice, warn, error, crit,
    # alert, emerg.
    LogLevel debug

    CustomLog ${APACHE_LOG_DIR}/cert_or_ldap_access.log combined
</VirtualHost>
</IfModule>

Apache 2.4:

<IfModule mod_ssl.c>
<VirtualHost _default_:443>
    ServerName Dummy-testing-kbd2
    ServerAdmin webmaster@localhost

    # Normal HTTPS Server Certificate Config
    SSLEngine on
    SSLCertificateFile /etc/apache2/ssl/server.crt
    SSLCertificateKeyFile /etc/apache2/ssl/server.key
    # End HTTPS Config

    # Client Cert Config - setup Certificate Authority
    SSLCACertificateFile /etc/ssl/ca/private/ca.crt
    # End Client Cert Config

    DocumentRoot /var/www
    <Location />
        # Client Cert Config
        SSLRequireSSL
        SSLVerifyClient optional
        SSLVerifyDepth 2

        # Populate REMOTE_USER with the value from the client certificate
        SSLUserName SSL_CLIENT_S_DN_CN
        # End Client Cert Config

        # Configuring LDAP:
        # If no REMOTE_USER is defined (by the certificate) then do LDAP authentication
        <If "-z %{REMOTE_USER}">
            AuthType Basic
            AuthBasicProvider ldap
            AuthName "Password Protected. Enter your AD Username and Password"
            AuthLDAPURL "ldaps://ldaps-auth.mydomain.com/OU=People,DC=mydomain"
            Require valid-user
        </If>
        # End LDAP
    </Location>

    ErrorLog ${APACHE_LOG_DIR}/cert_or_ldap_error.log

    # Possible values include: debug, info, notice, warn, error, crit,
    # alert, emerg.
    LogLevel debug

    CustomLog ${APACHE_LOG_DIR}/cert_or_ldap_access.log combined
</VirtualHost>
</IfModule>

Это в некоторой степени предположение (у меня нет простого способа попробовать это), но, возможно, какая-то комбинация SSLOptions +FakeBasicAuth и Satisfy Any увидим вас до конца?

Вам придется выполнять такую ​​логику на внутреннем сервере, будь то PHP, Java или Perl. Затем перенаправьте, установив заголовок Location: в фактическую систему управления версиями.

Если вам нужна логика типа if / then / else, вы должны реализовать это на языке программирования.

Я не уверен, что вы имеете в виду под своим заявлением. Вы сказали, что эта конфигурация разрешает только клиентский сертификат, и вы также сказали, что LDAP будет работать. Это звучит так, будто у вас все работает, и все готово!

Я бы сменил на. Каталог обычно предназначен для конкретных вещей файловой системы, хотя они в некотором роде похожи.

Попробуйте использовать два разных и позволить пользователю выбирать URL-адрес на основе аутентификации, которую он хочет попробовать.

SSLVerifyClient optional просто позволит клиенту представить сертификат, если он того захочет. Возможно, вам придется перейти на require. Аутентификация будет происходить на уровне Apache, и в случае сбоя они получат ошибку сервера.

https://httpd.apache.org/docs/2.4/mod/mod_ssl.html#sslverifyclient

Поместите LDAP в другой, и вместо этого пользователь сможет перейти туда. Я не использовал модуль аутентификации LDAP от Apache.

Вы можете изменить файл ошибки, чтобы включить ссылку или автоматическое перенаправление на ссылку LDAP, если они не работают по ссылке SSL.