バーチャルホストのセキュリティ

目次

アクセス制御

許可リスト | 拒否リスト

認可レルム

レルム名 | ユーザーDBの場所 | ユーザーDB最大キャッシュサイズ | ユーザーDBキャッシュタイムアウト(秒) | グループDBの場所 | グループDB最大キャッシュサイズ | グループDBキャッシュタイムアウト(秒)

アクセス制御

説明

どのサブネットワークおよび/またはIPアドレスがサーバーにアクセスできるかを指定します。 サーバレベルでは、この設定はすべてのバーチャルホストに影響します。 バーチャルホストレベルで各バーチャルホストに固有のアクセス制御を設定することもできます。 バーチャルホストレベルの設定はサーバーレベルの設定を上書きしません。

ブロック/ IPの許可は、許可リストと拒否リストの組み合わせによって決まります。 特定のIPまたはサブネットワークのみをブロックする場合は、許可リスト*またはALLを入れ、ブロックされたIPまたはサブネットワークを拒否リスト
特定のIPまたはサブネットワークのみを許可する場合は、拒否リスト*またはALLを入れ、許可されたIPまたはサブネットワークを許可リスト
IPに適合する最小スコープの設定は、アクセスを決定するために使用されます。

サーバーレベル:信頼できるIPまたはサブネットワークは、許可リストに、末尾の "T"を追加することで指定する必要があります。 信頼できるIPまたはサブネットワークは、接続/スロットリング制限の影響を受けません。 信頼できるIP/サブネットワークは、サーバーレベルのアクセス制御でのみ設定できます。

ヒント

[セキュリティ]すべてのバーチャルホストに適用される一般的な制限については、サーバーレベルでこれを使用してください。

許可リスト

説明

許可されるIPまたはサブネットワークのリストを指定します。 *またはALLが受け入れられます。

構文

IPアドレスまたはサブネットワークのカンマ区切りリスト。 末尾の「T」は、192.168.1.*Tなどの信頼できるIPまたはサブネットワークを示すために使用できます。

Sub-networks: 192.168.1.0/255.255.255.0, 192.168.1.0/24, 192.168.1, or 192.168.1.*
IPv6 addresses: ::1 or [::1]
IPv6 subnets: 3ffe:302:11:2:20f:1fff:fe29:717c/64 or [3ffe:302:11:2:20f:1fff:fe29:717c]/64

ヒント

[セキュリティ]サーバーレベルのアクセス制御で設定された信頼されたIPまたはサブネットワークは、接続/スロットリングの制限から除外されます。

拒否リスト

説明

許可されていないIPまたはサブネットワークのリストを指定します。

構文

IPアドレスまたはサブネットワークのカンマ区切りリスト。 *またはALLが受け入れられます。

Sub-networks: 192.168.1.0/255.255.255.0, 192.168.1.0/24, 192.168.1, or 192.168.1.*
IPv6 addresses: ::1 or [::1]
IPv6 subnets: 3ffe:302:11:2:20f:1fff:fe29:717c/64 or [3ffe:302:11:2:20f:1fff:fe29:717c]/64

認可レルム

説明

このバーチャルホストのすべての許可レルムをリストします。 認可レルムは、権限のないユーザーが保護されたWebページにアクセスするのをブロックするために使用されます。 レルムは、オプションのグループ分類を持つユーザー名とパスワードを含むユーザーディレクトリです。 認可は、コンテキスト・レベルで実行されます。 異なるコンテキストは同じレルム(ユーザデータベース)を共有できるため、レルムはそれらを使用するコンテキストとは別に定義されます。 コンテキスト設定では、これらの名前でレルムを参照できます。

レルム名

説明

認可レルムの一意の名前を指定します。

ユーザーDBの場所

説明

ユーザーデータベースの場所を指定します。 DBタイプパスワードファイルの場合、ユーザ/パスワード定義を含むフラットファイルへのパスです。 ファイル名をクリックするとWebAdminコンソールからこのファイルを編集できます。

ユーザーファイルの各行には、ユーザー名の後にコロン、crypt()で暗号化されたパスワードが続き、オプションでコロンとユーザーが所属するグループ名が続きます。 グループ名はカンマで区切られます。 グループ情報がユーザーデータベースに指定されている場合、グループデータベースはチェックされません。
例:

john:HZ.U8kgjnMOHo:admin,user


DBタイプ LDAP の場合、ユーザー情報を照会するのはLDAP URLです。 有効なユーザーごとに、LDAPサーバーに格納されている認証データには、少なくともユーザーIDとユーザーパスワードが含まれている必要があります。 HTTP認証ヘッダーで受け取ったこのURLとユーザー名に基づいて、LDAP検索要求で1つだけのレコードを返す必要があります。 "$ k"はURLのフィルタ部分で指定する必要があり、ユーザー名で置き換えられます。 ユーザーのパスワード属性は、照会結果に戻されなければなりません。 ユーザーのパスワードの属性名は、パスワード属性で指定します。 グループ情報は、Member-of属性で任意に指定できます。

例: 少なくとも、オブジェクトクラス(uidObject、simpleSecurityObject、およびorganizationalRole)を使用してLDAPでユーザーを定義できます。 次のURLを使用できます:

ldap://localhost/ou=UserDB,dc=example,dc=com???(&(objectClass=*)(uid=$k))

構文

ユーザーDBファイルまたはLDAP URL(RFC 2255)へのパス。

ヒント

[セキュリティ]ユーザーのパスワードファイルをドキュメントツリーの外部に保存することをお勧めします。 ユーザーのパスワードファイルをドキュメントツリー内に配置する必要がある場合は、.htuserのような先頭の ".ht"という名前を付けて、静的ファイルとして扱わないようにします。 LiteSpeed Web Serverでは、接頭辞が ".ht"のファイルは提供されません。

参照

グループDBの場所, パスワード属性, Member-of属性

ユーザーDB最大キャッシュサイズ

説明

ユーザーデータベースの最大キャッシュサイズを指定します。 最近アクセスされたユーザー認証データは、最大のパフォーマンスを提供するためにメモリにキャッシュされます。

構文

整数

ヒント

[パフォーマンス]キャッシュが大きくなるとメモリが消費されるため、値が高くなるほどパフォーマンスが向上する場合があります。 ユーザーのデータベースサイズとサイトの使用状況に応じて適切なサイズに設定します。

ユーザーDBキャッシュタイムアウト(秒)

説明

バックエンドユーザーデータベースの変更の確認頻度を指定します。 キャッシュ内のすべてのエントリにタイムスタンプがあります。 キャッシュされたデータが指定されたタイムアウトよりも古い場合、バックエンドデータベースの変更がチェックされます。 変更がなければ、タイムスタンプは現在の時刻にリセットされ、そうでない場合は新しいデータがロードされます。 Sevrerのリロードと穏やかな再起動により、キャッシュは直ちにクリアされます。

構文

整数

ヒント

[パフォーマンス]バックエンドデータベースが頻繁に変更されない場合は、パフォーマンスを向上させるために、より長いタイムアウトを設定します。

グループDBの場所

説明

グループデータベースの場所を指定します。
グループ情報は、ユーザデータベースまたはこのスタンドアロングループDBに設定することができます。ユーザ認証の場合、ユーザDBが最初にチェックされます。ユーザDBにグループ情報も含まれている場合、グループDBはチェックされません。

DBタイプのパスワードファイルの場合、グループDBロケーションは、グループ定義を含むフラットファイルへのパスでなければなりません。ファイル名をクリックするとWebAdminコンソールからこのファイルを編集できます。
グループファイルの各行には、コロンとそのあとにスペース区切りのユーザー名のグループが続くグループ名が含まれている必要があります。例:

testgroup: user1 user2 user3

DBタイプLDAPの場合、グループDBロケーションは、グループ情報を照会するLDAP URLでなければなりません。 有効なグループごとに、このURLと必要(許可ユーザー/グループ)で指定されたグループ名に基づいて、LDAP検索リクエストで1つのレコードしか返されません。 "$k"はURLのフィルタ部分に指定する必要があり、グループ名に置き換えられます。 このグループのメンバーを指定する属性の名前は、グループメンバ属性によって指定されます。

例: objectClass posixGroupがグループ情報の格納に使用されている場合 次のURLを使用できます:
ldap://localhost/ou=GroupDB,dc=example,dc=com???(&(objectClass=*)(cn=$k))

構文

ファイル名への絶対パス又は$SERVER_ROOT、$VH_ROOTからの相対パス。

ヒント

[セキュリティ]文書ツリーの外にグループファイルを保存することをお勧めします。 ドキュメントツリー内に配置する必要がある場合は、.htgroupのような先頭の 「.ht」という名前を付けるだけでファイルが静的ファイルとして提供されないようにします。 LiteSpeed Web Serverでは、接頭辞が 「.ht」のファイルは提供されません。

参照

ユーザーDBの場所, Context 必要(許可ユーザー/グループ), グループメンバ属性

グループDB最大キャッシュサイズ

説明

グループデータベースの最大キャッシュサイズを指定します。

構文

整数

ヒント

[パフォーマンス]キャッシュが大きくなるとメモリが消費されるため、値が高くなるほどパフォーマンスが向上する場合があります。 ユーザーのデータベースサイズとサイトの使用状況に応じて適切なサイズに設定します。

参照

ユーザーDB最大キャッシュサイズ