EDV:WebSeitenEditieren/Zugriffskontrolle

Zugriffskontrolle auf KIP-Webseiten

Den Zugriff auf bestimmte Bereich im Web können Sie mit Hilfe der .htaccess-Dateien einschränken. Der Zugriffsschutz bezieht sich dabei immer auf Verzeichnisse. Näheres können Sie unter https://httpd.apache.org/docs/2.4/howto/access.html nachlesen

Einschränkung auf IP-Bereiche

Sie können den Zugriff auf bestimmte Netzbereiche einschränken: Dazu gibt es die Anweisung 'require'. Also z.B.

require ip 129.206.0.0/16

Wenn es mehrere erlaubte Bereiche geben soll, hilft 'RequireAny'

Beispiel: Zugriff nur von innerhalb der Uni

<RequireAny>
  require host .uni-heidelberg.de
  require ip 129.206.0.0/16
  require ip 147.142.0.0/16
</RequireAny>

Es kann auch sein, dass zusätzlich zu dieser Bedingung auch eine andere noch erfüllt sein muss (z.B. ein erlaubter Benutzer). Dann hilft 'RequireAll'. Das kann auch in Kombination mit 'RequireAny' benutzt werden.

Hier ein Beispiel:

<RequireAll>
  require user weis gast besucher
  <RequireAny>
    require host .uni-heidelberg.de
    require ip 129.206.0.0/16
    require ip 147.142.0.0/16
  </RequireAny>
</RequireAll>

In diesem Fall ist der Zugriff nur für die Nutzer weis, gast und besucher gestattet und auch nur, wenn sie von innerhalb der Uni anfragen.

Die alte Methode (Apache 2.0) funktioniert noch, weil der Kompatibilitätsmodus aktiviert ist:

<Limit GET>
deny from all
allow from .uni-heidelberg.de
</Limit>

oder auch

<Limit GET>
deny from all
allow from 129.206.0.0/255.255.0.0
allow from 147.142.0.0/255.255.0.0
</Limit>

Zugriff nur für KIP-Accounts

Hier nun ein Beispiel für eine .htaccess-Konfiguration, mit der man erreichen kann, dass Web-Bereiche nur für KIP-Accounts abrufbar sind:

AuthType Basic
AuthName "protected area please use your KIP Account"

AuthBasicProvider ldap
AuthBasicAuthoritative On
AuthLDAPURL ldap://ldap.kip.uni-heidelberg.de/ou=people,dc=kip.uni-heidelberg,dc=de?uid?sub?(objectClass=KIPUserObject)

require valid-user

Zugriff nur für selbst definierte Accounts

Sie können sich aber auch selbst eine Passwort-Datei anlegen, die für die Authentifikation benutzt wird. Achten Sie bitte darauf, dass die Passwortdatei in einem Bereich gespeichert ist, der vom Webserver gelesen werden kann.

Beispiel : /afs/kip/user/weis/public_html/.htpasswd

Die Passwortdatei können Sie selbst erzeugen: (Zum Beispiel von kip1 aus)

> htpasswd -c /afs/kip/user/weis/public_html/.htpasswd gast1
New password:
Re-type new password:
Adding password for user gast1

Mit htpasswd2 kann das Passwort verändert bzw. weitere Benutzer angelegt werden:

> htpasswd -b /afs/kip/user/weis/public_html/.htpasswd Student MELecture
Adding password for user Student

> cat /afs/kip/user/weis/public_html/.htpasswd
gast1:xjNSN5Vx3dDt2
Student:ow1i0zkBsTf8I

Weitere Infos zu htpasswd gibt es mit 'man htpasswd'

Die .htaccess-Datei sieht dann so aus:

AuthType Basic
AuthName "protected area please give your Password"

AuthBasicProvider file
AuthBasicAuthoritative On
AuthUserFile /afs/kip/user/weis/public_html/.htpasswd
 
require valid-user
# oder auch
# require user gast1 entwickler3

Kombination : LDAP und IP-Bereiche

ACHTUNG: dies ist die alte Methode (Apache 2.0)

Wenn Sie die zwei Methoden kombinieren möchten, d.h. freier Zugriff aus bestimmten Bereichen, sonst aber nur mit Angabe des KIP-Accounts, dann sieht das so aus:

AuthType Basic
AuthName "protected area please use your KIP Account"

AuthBasicProvider ldap
AuthBasicAuthoritative On
AuthUserFile /dev/null
AuthLDAPURL ldap://ldap.kip.uni-heidelberg.de/ou=people,dc=kip.uni-heidelberg,dc=de?uid?sub?(objectClass=KIPUserObject)

require valid-user

satisfy any

<Limit GET>
deny from all
allow from .uni-heidelberg.de
</Limit>

Und falls Sie möchten, dass beide Bedingungen erfüllt sein müssen. D.h. Zugriff aus der Uni-Heidelberg UND authentifiziert über den KIP-Account, dann ersetzen Sie satisfy any durch satisfy all.

Kombination : LDAP und selbst definierte Accounts

Ein Beispiel:

Zugriff nur für die LDAP-Accounts 'weis' und 'voerg' und für den selbst definierten Account 'gast1':

Die zugehörige htpasswd-Datei wurde so wie oben erklärt erzeugt.

AuthType Basic
AuthName "protected area please use your KIP Account"

AuthBasicProvider ldap file
AuthBasicAuthoritative On
AuthUserFile /afs/kip/user/weis/public_html/.htpasswd
AuthLDAPURL ldap://ldap.kip.uni-heidelberg.de/ou=people,dc=kip.uni-heidelberg,dc=de?uid?sub?(objectClass=KIPUserObject)

require user weis voerg gast1