У меня есть установка Linux для аутентификации пользователей с помощью Active Directory с помощью samba / winbind.
Затем Apache настраивается на использование этого для аутентификации пользователей. Это делается с помощью:
<IfModule mod_authnz_external.c>
AddExternalAuth pwauth /usr/sbin/pwauth
SetExternalAuthMethod pwauth pipe
</IfModule>
Но запросы страниц, занимающие менее 1 секунды без аутентификации, теперь занимают> 6 секунд. Глядя на логин /var/log/samba/log.winbindd не показывает никаких ошибок, но каждая загрузка страницы требует большого количества запросов аутентификации. В основном, похоже, есть одна аутентификация для каждого загруженного ресурса, например для каждого файла css.
В /etc/samba/smb.conf Я пробовал поиграть с некоторыми настройками, такими как winbind cache time = 300 и winbind offline logon = yes. Я также попытался изменить бэкэнд idmap с tdb на ad.
Во время загрузки страницы загрузка процессора winbindd становится очень высокой, ~ 50-60%, в то время как ни один другой процесс не превышает 10-20%.
Пропустил ли я какую-то конфигурацию, которая могла бы ускорить это, или есть лучшие подходы к этой проблеме (например, использование чего-то другого, кроме mod_authnz_external)?
Я так и не нашел, как повысить производительность при использовании mod_authnz_external. Однако переход на другой модуль apache mod_authnz_ldap избавил от проблемы с производительностью. Единственным недостатком является то, что конфигурация ldap дублируется для системы и для apache.
В аналогичной настройке с использованием Ubuntu 18.04 в качестве клиента и Samba 4.7.8 в качестве сервера одна аутентификация с pwauth занимает около 200 мс, что неприемлемо для операций SVN, потому что простой листинг репозитория использует довольно много запросов.
Загрузка authn_socache в качестве кеша аутентификации (пример включает authnz_external и authz_unixgroup) со следующими настройками приводит к повышению производительности:
<Location /svn>
DAV svn
SVNParentPath /var/local/svn/
SVNListParentPath on
AuthType Basic
AuthName "private area"
AuthBasicProvider socache external
AuthExternal pwauth
AuthExternalProvideCache on
AuthnCacheProvideFor external
AuthnCacheTimeout 300
Require unix-group svngroup
</Location>
AuthExternalProvideCache On важно, иначе authnz_external не будет кэшировать логины.