1
2
3
4
5
6
7
8
9
10
11
12
13
14
15
16
17
18
19
20
21
22
23
24
25
26
27
28
29
30
31
32
33
34
35
36
37
38
39
40
41
42
43
44
45
46
47
48
49
50
51
52
53
54
55
56
57
58
59
60
61
62
63
64
65
66
67
68
69
70
71
72
73
74
75
76
77
78
79
80
81
82
83
84
85
86
87
88
89
90
91
92
93
94
95
96
97
98
99
100
101
102
103
104
105
106
107
108
109
110
111
112
113
114
115
116
117
118
119
120
121
122
123
124
125
126
127
128
129
130
131
132
133
134
135
136
137
138
139
140
141
142
143
144
145
146
147
148
149
150
151
152
153
154
155
156
157
158
159
160
161
162
163
164
165
166
167
168
169
170
171
172
173
174
175
176
177
178
179
180
181
182
183
184
185
186
187
188
189
190
191
192
193
194
195
196
197
198
199
200
201
202
203
204
205
206
207
208
209
210
211
212
213
214
215
216
217
218
219
220
221
222
223
224
225
226
227
228
229
230
231
232
233
234
235
236
237
238
239
240
241
242
243
244
245
246
247
248
249
250
251
252
253
254
255
256
257
258
259
260
261
262
263
264
265
266
267
268
269
270
271
272
273
274
275
276
277
278
279
280
281
282
283
284
285
286
287
288
289
290
291
292
293
294
295
296
297
298
299
300
301
302
303
304
305
306
307
308
309
310
311
312
313
314
315
316
317
318
319
320
321
322
323
324
325
326
327
328
329
330
331
332
333
334
335
336
337
338
339
340
341
342
343
344
345
346
347
348
349
350
351
352
353
354
355
356
357
358
359
360
361
362
363
364
365
366
367
368
369
370
371
372
373
374
375
376
377
378
379
380
381
382
383
384
385
386
387
388
389
390
391
392
393
394
395
396
397
398
399
400
401
402
403
404
405
406
407
408
409
410
411
412
413
414
415
416
417
418
419
420
421
422
423
424
425
426
427
428
429
430
431
432
433
434
435
436
437
438
439
440
441
442
443
444
445
446
447
448
449
450
451
452
453
454
455
456
457
458
459
460
461
462
463
464
465
466
467
468
469
470
471
472
473
474
475
476
477
478
479
480
481
482
483
484
485
486
487
488
489
490
491
492
493
494
495
496
497
498
499
500
501
502
503
504
505
506
507
508
509
510
511
512
513
514
515
516
517
518
519
520
521
522
523
524
525
526
527
528
529
530
531
532
533
534
535
536
537
538
539
540
541
542
543
544
545
546
547
548
549
550
551
552
553
554
555
556
557
558
559
560
561
562
563
564
565
566
567
568
569
570
571
572
573
574
575
576
577
578
579
580
581
582
583
584
585
586
587
588
589
590
591
592
593
594
595
596
597
598
599
600
601
602
603
604
605
606
607
608
609
610
611
612
613
614
615
616
617
618
619
620
621
622
623
624
625
626
627
628
629
630
631
632
633
634
635
636
637
638
639
640
641
642
643
644
645
646
647
648
649
650
651
652
653
654
655
656
657
658
659
660
661
662
663
664
665
666
667
668
669
670
671
672
673
674
675
676
677
678
679
680
681
682
683
684
|
<?xml version="1.0" encoding="ISO-8859-1"?>
<!DOCTYPE html PUBLIC "-//W3C//DTD XHTML 1.0 Strict//EN" "http://www.w3.org/TR/xhtml1/DTD/xhtml1-strict.dtd">
<html xmlns="http://www.w3.org/1999/xhtml" lang="fr" xml:lang="fr"><head>
<meta content="text/html; charset=ISO-8859-1" http-equiv="Content-Type" />
<!--
XXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXX
This file is generated from xml source: DO NOT EDIT
XXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXX
-->
<title>Authentification et autorisation - Serveur Apache HTTP Version 2.5</title>
<link href="../style/css/manual.css" rel="stylesheet" media="all" type="text/css" title="Main stylesheet" />
<link href="../style/css/manual-loose-100pc.css" rel="alternate stylesheet" media="all" type="text/css" title="No Sidebar - Default font size" />
<link href="../style/css/manual-print.css" rel="stylesheet" media="print" type="text/css" /><link rel="stylesheet" type="text/css" href="../style/css/prettify.css" />
<script src="../style/scripts/prettify.min.js" type="text/javascript">
</script>
<link href="../images/favicon.ico" rel="shortcut icon" /></head>
<body id="manual-page"><div id="page-header">
<p class="menu"><a href="../mod/">Modules</a> | <a href="../mod/quickreference.html">Directives</a> | <a href="http://wiki.apache.org/httpd/FAQ">FAQ</a> | <a href="../glossary.html">Glossaire</a> | <a href="../sitemap.html">Plan du site</a></p>
<p class="apache">Serveur Apache HTTP Version 2.5</p>
<img alt="" src="../images/feather.png" /></div>
<div class="up"><a href="./"><img title="<-" alt="<-" src="../images/left.gif" /></a></div>
<div id="path">
<a href="http://www.apache.org/">Apache</a> > <a href="http://httpd.apache.org/">Serveur HTTP</a> > <a href="http://httpd.apache.org/docs/">Documentation</a> > <a href="../">Version 2.5</a> > <a href="./">Recettes / Tutoriels</a></div><div id="page-content"><div id="preamble"><h1>Authentification et autorisation</h1>
<div class="toplang">
<p><span>Langues Disponibles: </span><a href="../en/howto/auth.html" hreflang="en" rel="alternate" title="English"> en </a> |
<a href="../es/howto/auth.html" hreflang="es" rel="alternate" title="Espa�ol"> es </a> |
<a href="../fr/howto/auth.html" title="Fran�ais"> fr </a> |
<a href="../ja/howto/auth.html" hreflang="ja" rel="alternate" title="Japanese"> ja </a> |
<a href="../ko/howto/auth.html" hreflang="ko" rel="alternate" title="Korean"> ko </a> |
<a href="../tr/howto/auth.html" hreflang="tr" rel="alternate" title="T�rk�e"> tr </a></p>
</div>
<p>L'authentification est un processus qui vous permet de v�rifier
qu'une personne est bien celle qu'elle pr�tend �tre. L'autorisation
est un processus qui permet � une personne d'aller l� o� elle veut
aller, ou d'obtenir les informations qu'elle d�sire.</p>
<p>Pour le contr�le d'acc�s en g�n�ral, voir le How-To <a href="access.html">Contr�le d'acc�s</a>.</p>
</div>
<div id="quickview"><ul id="toc"><li><img alt="" src="../images/down.gif" /> <a href="#related">Modules et directives concern�s</a></li>
<li><img alt="" src="../images/down.gif" /> <a href="#introduction">Introduction</a></li>
<li><img alt="" src="../images/down.gif" /> <a href="#theprerequisites">Les pr�requis</a></li>
<li><img alt="" src="../images/down.gif" /> <a href="#gettingitworking">Mise en oeuvre</a></li>
<li><img alt="" src="../images/down.gif" /> <a href="#lettingmorethanonepersonin">Autorisation d'acc�s �
plusieurs personnes</a></li>
<li><img alt="" src="../images/down.gif" /> <a href="#possibleproblems">Probl�mes possibles</a></li>
<li><img alt="" src="../images/down.gif" /> <a href="#dbmdbd">Autre m�thode de stockage des mots de
passe</a></li>
<li><img alt="" src="../images/down.gif" /> <a href="#multprovider">Utilisation de plusieurs fournisseurs
d'authentification</a></li>
<li><img alt="" src="../images/down.gif" /> <a href="#beyond">Pour aller plus loin qu'une simple
autorisation</a></li>
<li><img alt="" src="../images/down.gif" /> <a href="#socache">Mise en cache de l'authentification</a></li>
<li><img alt="" src="../images/down.gif" /> <a href="#moreinformation">Pour aller plus loin . . .</a></li>
</ul><h3>Voir aussi</h3><ul class="seealso"><li><a href="#comments_section">Commentaires</a></li></ul></div>
<div class="top"><a href="#page-header"><img alt="top" src="../images/up.gif" /></a></div>
<div class="section">
<h2><a name="related" id="related">Modules et directives concern�s</a></h2>
<p>Trois groupes de modules sont concern�s par le processus
d'authentification et d'autorisation. Vous devrez utiliser au moins un
module de chaque groupe.</p>
<ul>
<li>Type d'authentification (voir la directive <code class="directive"><a href="../mod/mod_authn_core.html#authtype">AuthType</a></code>)
<ul>
<li><code class="module"><a href="../mod/mod_auth_basic.html">mod_auth_basic</a></code></li>
<li><code class="module"><a href="../mod/mod_auth_digest.html">mod_auth_digest</a></code></li>
</ul>
</li>
<li>Fournisseur d'authentification (voir les directives <code class="directive"><a href="../mod/mod_auth_basic.html#authbasicprovider">AuthBasicProvider</a></code> et <code class="directive"><a href="../mod/mod_auth_digest.html#authdigestprovider">AuthDigestProvider</a></code>)
<ul>
<li><code class="module"><a href="../mod/mod_authn_anon.html">mod_authn_anon</a></code></li>
<li><code class="module"><a href="../mod/mod_authn_dbd.html">mod_authn_dbd</a></code></li>
<li><code class="module"><a href="../mod/mod_authn_dbm.html">mod_authn_dbm</a></code></li>
<li><code class="module"><a href="../mod/mod_authn_file.html">mod_authn_file</a></code></li>
<li><code class="module"><a href="../mod/mod_authnz_ldap.html">mod_authnz_ldap</a></code></li>
<li><code class="module"><a href="../mod/mod_authn_socache.html">mod_authn_socache</a></code></li>
</ul>
</li>
<li>Autorisation (voir la directive <code class="directive"><a href="../mod/mod_authz_core.html#require">Require</a></code>)
<ul>
<li><code class="module"><a href="../mod/mod_authnz_ldap.html">mod_authnz_ldap</a></code></li>
<li><code class="module"><a href="../mod/mod_authz_dbd.html">mod_authz_dbd</a></code></li>
<li><code class="module"><a href="../mod/mod_authz_dbm.html">mod_authz_dbm</a></code></li>
<li><code class="module"><a href="../mod/mod_authz_groupfile.html">mod_authz_groupfile</a></code></li>
<li><code class="module"><a href="../mod/mod_authz_host.html">mod_authz_host</a></code></li>
<li><code class="module"><a href="../mod/mod_authz_owner.html">mod_authz_owner</a></code></li>
<li><code class="module"><a href="../mod/mod_authz_user.html">mod_authz_user</a></code></li>
</ul>
</li>
</ul>
<p>On peut aussi ajouter <code class="module"><a href="../mod/mod_authn_core.html">mod_authn_core</a></code> et
<code class="module"><a href="../mod/mod_authz_core.html">mod_authz_core</a></code>. Ces modules impl�mentent des
directives g�n�rales qui op�rent au dessus de tous les modules
d'authentification.</p>
<p>Le module <code class="module"><a href="../mod/mod_authnz_ldap.html">mod_authnz_ldap</a></code> est un fournisseur
d'authentification et d'autorisation. Le module
<code class="module"><a href="../mod/mod_authz_host.html">mod_authz_host</a></code> fournit une autorisation et un
contr�le d'acc�s bas�s sur le nom du serveur, l'adresse IP ou
certaines caract�ristiques de la requ�te, mais ne fait pas partie du
syst�me fournisseur d'authentification. Le module
<code class="module"><a href="../mod/mod_access_compat.html">mod_access_compat</a></code> a �t� cr�� � des fins de
compatibilit� ascendante avec mod_access.</p>
<p>Vous devriez aussi jeter un coup d'oeil au manuel de recettes de <a href="access.html">Contr�le d'acc�s</a>, qui d�crit les diff�rentes
m�thodes de contr�le d'acc�s � votre serveur.</p>
</div><div class="top"><a href="#page-header"><img alt="top" src="../images/up.gif" /></a></div>
<div class="section">
<h2><a name="introduction" id="introduction">Introduction</a></h2>
<p>Si votre site web contient des informations sensibles ou
destin�es seulement � un groupe de personnes restreint, les
techniques expos�es dans cet article vont vous aider � vous assurer
que les personnes qui ont acc�s � ces pages sont bien celles
auxquelles vous avez donn� l'autorisation d'acc�s.</p>
<p>Cet article d�crit les m�thodes "standards" de protection de
parties de votre site web que la plupart d'entre vous sont appel�s �
utiliser.</p>
<div class="note"><h3>Note :</h3>
<p>Si vos donn�es ont un r�el besoin de s�curisation, pr�voyez
l'utilisation de <code class="module"><a href="../mod/mod_ssl.html">mod_ssl</a></code> en plus de toute m�thode
d'authentification.</p>
</div>
</div><div class="top"><a href="#page-header"><img alt="top" src="../images/up.gif" /></a></div>
<div class="section">
<h2><a name="theprerequisites" id="theprerequisites">Les pr�requis</a></h2>
<p>Les directives d�crites dans cet article devront �tre ins�r�es
soit au niveau de la configuration de votre serveur principal (en
g�n�ral dans une section <code class="directive"><a href="../mod/core.html#directory"><Directory></a></code>), soit au niveau de la
configuration des r�pertoires (fichiers <code>.htaccess</code>)</p>
<p>Si vous envisagez l'utilisation de fichiers
<code>.htaccess</code>, la configuration de votre serveur devra
permettre l'ajout de directives d'authentification dans ces
fichiers. Pour ce faire, on utilise la directive <code class="directive"><a href="../mod/core.html#allowoverride">AllowOverride</a></code>, qui sp�cifie quelles
directives pourront �ventuellement contenir les fichiers de
configuration de niveau r�pertoire.</p>
<p>Comme il est ici question d'authentification, vous aurez besoin
d'une directive <code class="directive"><a href="../mod/core.html#allowoverride">AllowOverride</a></code>
du style :</p>
<pre class="prettyprint lang-config">AllowOverride AuthConfig</pre>
<p>Si vous avez l'intention d'ajouter les directives directement
dans le fichier de configuration principal, vous devrez bien entendu
poss�der les droits en �criture sur ce fichier.</p>
<p>Vous devrez aussi conna�tre un tant soit peu la structure des
r�pertoires de votre serveur, ne serait-ce que pour savoir o� se
trouvent certains fichiers. Cela ne devrait pas pr�senter de grandes
difficult�s, et nous essaierons de clarifier tout �a lorsque le besoin
s'en fera sentir.</p>
<p>Enfin, vous devrez vous assurer que les modules
<code class="module"><a href="../mod/mod_authn_core.html">mod_authn_core</a></code> et <code class="module"><a href="../mod/mod_authz_core.html">mod_authz_core</a></code>
ont �t� soit compil�s avec le binaire httpd, soit charg�s par le
fichier de configuration httpd.conf. Ces deux modules fournissent
des directives g�n�rales et des fonctionnalit�s qui sont critiques
quant � la configuration et l'utilisation de l'authentification et
de l'autorisation au sein du serveur web.</p>
</div><div class="top"><a href="#page-header"><img alt="top" src="../images/up.gif" /></a></div>
<div class="section">
<h2><a name="gettingitworking" id="gettingitworking">Mise en oeuvre</a></h2>
<p>Nous d�crivons ici les bases de la protection par mot de passe
d'un r�pertoire de votre serveur.</p>
<p>Vous devez en premier lieu cr�er un fichier de mots de passe. La
m�thode exacte selon laquelle vous allez cr�er ce fichier va varier
en fonction du fournisseur d'authentification choisi. Mais nous
entrerons dans les d�tails plus loin, et pour le moment, nous nous
contenterons d'un fichier de mots de passe en mode texte.</p>
<p>Ce fichier doit �tre enregistr� � un endroit non accessible
depuis le web, de fa�on � ce que les clients ne puissent pas le
t�l�charger. Par exemple, si vos documents sont servis � partir de
<code>/usr/local/apache/htdocs</code>, vous pouvez enregistrer le
fichier des mots de passe dans
<code>/usr/local/apache/passwd</code>.</p>
<p>L'utilitaire <code class="program"><a href="../programs/htpasswd.html">htpasswd</a></code> fourni avec Apache
permet de cr�er ce fichier. Vous le trouverez dans le r�pertoire
<code>bin</code> de votre installation d'Apache. Si vous avez
install� Apache � partir d'un paquetage tiers, il sera probablement
dans le chemin par d�faut de vos ex�cutables.</p>
<p>Pour cr�er le fichier, tapez :</p>
<div class="example"><p><code>
htpasswd -c /usr/local/apache/passwd/passwords rbowen
</code></p></div>
<p><code class="program"><a href="../programs/htpasswd.html">htpasswd</a></code> vous demandera d'entrer le mot de
passe, et de le retaper pour confirmation :</p>
<div class="example"><p><code>
# htpasswd -c /usr/local/apache/passwd/passwords rbowen<br />
New password: mot-de-passe<br />
Re-type new password: mot-de-passe<br />
Adding password for user rbowen
</code></p></div>
<p>Si <code class="program"><a href="../programs/htpasswd.html">htpasswd</a></code> n'est pas dans le chemin par
d�faut de vos ex�cutables, vous devrez bien entendu entrer le chemin
complet du fichier. Dans le cas d'une installation par d�faut, il se
trouve � <code>/usr/local/apache2/bin/htpasswd</code>.</p>
<p>Ensuite, vous allez devoir configurer le serveur de fa�on � ce
qu'il demande un mot de passe et lui pr�ciser quels utilisateurs ont
l'autorisation d'acc�s. Pour ce faire, vous pouvez soit �diter le
fichier <code>httpd.conf</code>, soit utiliser un fichier
<code>.htaccess</code>. Par exemple, si vous voulez prot�ger le
r�pertoire <code>/usr/local/apache/htdocs/secret</code>, vous pouvez
utiliser les directives suivantes, soit dans le fichier
<code>/usr/local/apache/htdocs/secret/.htaccess</code>, soit dans le
fichier <code>httpd.conf</code> � l'int�rieur d'une section <Directory
"/usr/local/apache/htdocs/secret"> :</p>
<pre class="prettyprint lang-config">AuthType Basic
AuthName "Restricted Files"
# (Following line optional)
AuthBasicProvider file
AuthUserFile "/usr/local/apache/passwd/passwords"
Require user rbowen</pre>
<p>Examinons ces directives une � une. La directive <code class="directive"><a href="../mod/mod_authn_core.html#authtype">AuthType</a></code> d�finit la m�thode
utilis�e pour authentifier l'utilisateur. La m�thode la plus
courante est <code>Basic</code>, et elle est impl�ment�e par
<code class="module"><a href="../mod/mod_auth_basic.html">mod_auth_basic</a></code>. Il faut cependant garder � l'esprit
que l'authentification Basic transmet le mot de passe depuis le
client vers le serveur en clair. Cette m�thode ne devra donc pas
�tre utilis�e pour la transmission de donn�es hautement sensibles si
elle n'est pas associ�e au module <code class="module"><a href="../mod/mod_ssl.html">mod_ssl</a></code>. Apache
supporte une autre m�thode d'authentification : <code>AuthType
Digest</code>. Cette m�thode est impl�ment�e
par le module <code class="module"><a href="../mod/mod_auth_digest.html">mod_auth_digest</a></code> et a �t� con�ue pour
am�liorer la s�curit�. Ce but n'a cependant pas �t� atteint et il est pr�f�rable
de chiffrer la connexion avec <code class="module"><a href="../mod/mod_ssl.html">mod_ssl</a></code>.</p>
<p>La directive <code class="directive"><a href="../mod/mod_authn_core.html#authname">AuthName</a></code> d�finit
l'<dfn>Identificateur</dfn> (Realm) � utiliser avec
l'authentification. L'identificateur poss�de deux fonctions. Tout
d'abord, le client pr�sente en g�n�ral cette information �
l'utilisateur dans le cadre de la bo�te de dialogue de mot de passe.
Ensuite, le client l'utilise pour d�terminer quel mot de passe
envoyer pour une zone authentifi�e donn�e.</p>
<p>Ainsi par exemple, une fois un client authentifi� dans la zone
<code>"Fichiers r�serv�s"</code>, il soumettra � nouveau
automatiquement le m�me mot de passe pour toute zone du m�me serveur
marqu�e de l'identificateur <code>"Fichiers r�serv�s"</code>. De
cette fa�on, vous pouvez �viter � un utilisateur d'avoir � saisir
plusieurs fois le m�me mot de passe en faisant partager le m�me
identificateur entre plusieurs zones r�serv�es. Bien entendu et pour
des raisons de s�curit�, le client devra redemander le mot
de passe chaque fois que le nom d'h�te du serveur sera modifi�.</p>
<p>La directive <code class="directive"><a href="../mod/mod_auth_basic.html#authbasicprovider">AuthBasicProvider</a></code> est, dans ce
cas, facultative, car <code>file</code> est la valeur par d�faut
pour cette directive. Par contre, cette directive sera obligatoire
si vous utilisez une autre source d'authentification comme
<code class="module"><a href="../mod/mod_authn_dbm.html">mod_authn_dbm</a></code> ou
<code class="module"><a href="../mod/mod_authn_dbd.html">mod_authn_dbd</a></code>.</p>
<p>La directive <code class="directive"><a href="../mod/mod_authn_file.html#authuserfile">AuthUserFile</a></code> d�finit le chemin
du fichier de mots de passe que nous venons de cr�er avec
<code class="program"><a href="../programs/htpasswd.html">htpasswd</a></code>. Si vous poss�dez un grand nombre
d'utilisateurs, la dur�e de la recherche dans un fichier texte pour
authentifier un utilisateur � chaque requ�te va augmenter
rapidement, et pour pallier cet inconv�nient, Apache peut aussi
stocker les donn�es relatives aux
utilisateurs dans des bases de donn�es rapides. Le module
<code class="module"><a href="../mod/mod_authn_dbm.html">mod_authn_dbm</a></code> fournit la directive <code class="directive"><a href="../mod/mod_authn_dbm.html#authdbmuserfile">AuthDBMUserFile</a></code>. Les programmes <code class="program"><a href="../programs/dbmmanage.html">dbmmanage</a></code> et <code class="program"><a href="../programs/htdbm.html">htdbm</a></code> permettent de
cr�er et manipuler ces fichiers. Vous
trouverez de nombreuses options d'autres types d'authentification
fournies par des modules tiers dans la <a href="http://modules.apache.org/">Base de donn�es des modules
d'Apache</a>.</p>
<p>Enfin, la directive <code class="directive"><a href="../mod/mod_authz_core.html#require">Require</a></code> impl�mente la partie
autorisation du processus en d�finissant l'utilisateur autoris� �
acc�der � cette zone du serveur. Dans la section suivante, nous
d�crirons les diff�rentes m�thodes d'utilisation de la directive
<code class="directive"><a href="../mod/mod_authz_core.html#require">Require</a></code>.</p>
</div><div class="top"><a href="#page-header"><img alt="top" src="../images/up.gif" /></a></div>
<div class="section">
<h2><a name="lettingmorethanonepersonin" id="lettingmorethanonepersonin">Autorisation d'acc�s �
plusieurs personnes</a></h2>
<p>Les directives ci-dessus n'autorisent qu'une personne (quelqu'un
poss�dant le nom d'utilisateur <code>rbowen</code>) � acc�der au
r�pertoire. Dans la plupart des cas, vous devrez autoriser
l'acc�s � plusieurs personnes. C'est ici
qu'intervient la directive <code class="directive"><a href="../mod/mod_authz_groupfile.html#authgroupfile">AuthGroupFile</a></code>.</p>
<p>Si vous voulez autoriser l'acc�s � plusieurs personnes, vous
devez cr�er un fichier de groupes qui associe des noms de groupes
avec une liste d'utilisateurs de ce groupe. Le format de ce fichier
est tr�s simple, et vous pouvez le cr�er avec votre �diteur favori.
Son contenu se pr�sente comme suit :</p>
<div class="example"><p><code>
Nom-de-groupe: rbowen dpitts sungo rshersey
</code></p></div>
<p>Il s'agit simplement une liste des membres du groupe sous la
forme d'une ligne s�par�e par des espaces.</p>
<p>Pour ajouter un utilisateur � votre fichier de mots de passe
pr�existant, entrez :</p>
<div class="example"><p><code>
htpasswd /usr/local/apache/passwd/passwords dpitts
</code></p></div>
<p>Vous obtiendrez le m�me effet qu'auparavant, mais le mot de passe
sera ajout� au fichier, plut�t que d'en cr�er un nouveau (C'est le
drapeau <code>-c</code> qui permet de cr�er un nouveau fichier de
mots de passe)..</p>
<p>Maintenant, vous devez modifier votre fichier
<code>.htaccess</code> comme suit :</p>
<pre class="prettyprint lang-config">AuthType Basic
AuthName "By Invitation Only"
# Optional line:
AuthBasicProvider file
AuthUserFile "/usr/local/apache/passwd/passwords"
AuthGroupFile "/usr/local/apache/passwd/groups"
Require group GroupName</pre>
<p>Maintenant, quiconque appartient au groupe
<code>Nom-de-groupe</code>, et poss�de une entr�e dans le fichier
<code>password</code> pourra acc�der au r�pertoire s'il tape le bon
mot de passe.</p>
<p>Il existe une autre m�thode moins contraignante pour autoriser
l'acc�s � plusieurs personnes. Plut�t que de cr�er un fichier de
groupes, il vous suffit d'ajouter la directive suivante :</p>
<pre class="prettyprint lang-config">Require valid-user</pre>
<p>Le remplacement de la ligne <code>Require user rbowen</code> par
la ligne <code>Require valid-user</code> autorisera l'acc�s �
quiconque poss�dant une entr�e dans le fichier password, et ayant
tap� le bon mot de passe. Vous pouvez m�me simuler le comportement
des groupes en associant un fichier de mots de passe diff�rent pour
chaque groupe. L'avantage de cette approche r�side dans le fait
qu'Apache ne doit consulter qu'un fichier au lieu de deux. Par
contre, vous devez maintenir un nombre plus ou moins important de
fichiers de mots de passe, et vous assurer de faire r�f�rence au bon
fichier dans la directive <code class="directive"><a href="../mod/mod_authn_file.html#authuserfile">AuthUserFile</a></code>.</p>
</div><div class="top"><a href="#page-header"><img alt="top" src="../images/up.gif" /></a></div>
<div class="section">
<h2><a name="possibleproblems" id="possibleproblems">Probl�mes possibles</a></h2>
<p>L'authentification Basic est sp�cifi�e d'une telle mani�re que
vos nom d'utilisateur et mot de passe doivent �tre v�rifi�s chaque
fois que vous demandez un document au serveur, et ceci m�me si vous
rechargez la m�me page, et pour chaque image contenue dans la page
(si elles sont situ�es dans un r�pertoire prot�g�). Comme vous
pouvez l'imaginer, ceci ralentit un peu le fonctionnement. La mesure
dans laquelle le fonctionnement est ralenti est proportionnelle � la
taille du fichier des mots de passe, car ce dernier doit �tre ouvert
et la liste des utilisateurs parcourue jusqu'� ce que votre nom soit
trouv�, et ceci chaque fois qu'une page est charg�e.</p>
<p>En cons�quence, ce ralentissement impose une limite pratique au
nombre d'utilisateurs que vous pouvez enregistrer dans un fichier de
mots de passe. Cette limite va varier en fonction des performances
de votre serveur, mais vous commencerez � remarquer un
ralentissement lorsque vous atteindrez quelques centaines
d'utilisateurs, et serez alors appel�s � utiliser une m�thode
d'authentification diff�rente.</p>
</div><div class="top"><a href="#page-header"><img alt="top" src="../images/up.gif" /></a></div>
<div class="section">
<h2><a name="dbmdbd" id="dbmdbd">Autre m�thode de stockage des mots de
passe</a></h2>
<p>Suite au probl�me �voqu� pr�c�demment et induit par le stockage
des mots de passe dans un fichier texte, vous pouvez �tre appel� �
stocker vos mots de passe d'une autre mani�re, par exemple dans une
base de donn�es.</p>
<p>Pour y parvenir, on peut utiliser les modules
<code class="module"><a href="../mod/mod_authn_dbm.html">mod_authn_dbm</a></code> ou <code class="module"><a href="../mod/mod_authn_dbd.html">mod_authn_dbd</a></code>.
Vous pouvez choisir comme format de stockage <code>dbm</code> ou
<code>dbd</code> � la place de <code>file</code> pour la directive
<code class="directive"><a href="../mod/mod_auth_basic.html#authbasicprovider">AuthBasicProvider</a></code>.</p>
<p>Par exemple, pour s�lectionner un fichier dbm � la place d'un
fichier texte :</p>
<pre class="prettyprint lang-config"><Directory "/www/docs/private">
AuthName "Private"
AuthType Basic
AuthBasicProvider dbm
AuthDBMUserFile "/www/passwords/passwd.dbm"
Require valid-user
</Directory></pre>
<p>D'autres options sont disponibles. Consultez la documentation de
<code class="module"><a href="../mod/mod_authn_dbm.html">mod_authn_dbm</a></code> pour plus de d�tails.</p>
</div><div class="top"><a href="#page-header"><img alt="top" src="../images/up.gif" /></a></div>
<div class="section">
<h2><a name="multprovider" id="multprovider">Utilisation de plusieurs fournisseurs
d'authentification</a></h2>
<p>Depuis l'arriv�e des nouvelles architecture d'autorisation et
d'authentification bas�es sur les fournisseurs, vous n'�tes plus
limit� � une m�thode d'authentification et d'autorisation
unique. En fait, on peut panacher autant de fournisseurs que l'on
veut, ce qui vous permet d'�laborer l'architecture qui correspond
exactement � vos besoins. Dans l'exemple suivant, on utilise
conjointement les fournisseurs d'authentification
file et LDAP :</p>
<pre class="prettyprint lang-config"><Directory "/www/docs/private">
AuthName "Private"
AuthType Basic
AuthBasicProvider file ldap
AuthUserFile "/usr/local/apache/passwd/passwords"
AuthLDAPURL ldap://ldaphost/o=yourorg
Require valid-user
</Directory></pre>
<p>Dans cet exemple, le fournisseur file va tenter d'authentifier
l'utilisateur en premier. S'il n'y parvient pas, le fournisseur LDAP
sera sollicit�. Ceci permet l'�largissement des possibilit�s
d'authentification si votre organisation impl�mente plusieurs types
de bases d'authentification. D'autres sc�narios d'authentification
et d'autorisation peuvent associer un type d'authentification avec
un autre type d'autorisation. Par exemple, une authentification
bas�e sur un fichier de mots de passe peut permettre l'attribution
d'autorisations bas�e sur un annuaire LDAP.</p>
<p>Tout comme plusieurs fournisseurs d'authentification peuvent �tre
impl�ment�s, on peut aussi utiliser plusieurs m�thodes
d'autorisation. Dans l'exemple suivant, on utilise � la fois une
autorisation � base de fichier de groupes et une autorisation � base
de groupes LDAP.</p>
<pre class="prettyprint lang-config"><Directory "/www/docs/private">
AuthName "Private"
AuthType Basic
AuthBasicProvider file
AuthUserFile "/usr/local/apache/passwd/passwords"
AuthLDAPURL ldap://ldaphost/o=yourorg
AuthGroupFile "/usr/local/apache/passwd/groups"
Require group GroupName
Require ldap-group cn=mygroup,o=yourorg
</Directory></pre>
<p>Pour un sc�nario d'autorisation un peu plus avanc�, des
directives de conteneur d'autorisation comme <code class="directive"><a href="../mod/mod_authz_core.html#requireall"><RequireAll></a></code> et
<code class="directive"><a href="../mod/mod_authz_core.html#requireany"><RequireAny></a></code> permettent d'appliquer une
logique telle que l'ordre dans lequel les autorisations sont
appliqu�es peut �tre enti�rement contr�l� au niveau de la
configuration. Voir <a href="../mod/mod_authz_core.html#logic">Conteneurs
d'autorisations</a> pour un exemple de ce contr�le.</p>
</div><div class="top"><a href="#page-header"><img alt="top" src="../images/up.gif" /></a></div>
<div class="section">
<h2><a name="beyond" id="beyond">Pour aller plus loin qu'une simple
autorisation</a></h2>
<p>La mani�re dont les autorisations sont accord�es est d�sormais
beaucoup plus souple qu'une simple v�rification aupr�s d'une seule
base de donn�es. Il est maintenant possible de choisir l'ordre, la
logique et la mani�re selon lesquels une autorisation est
accord�e.</p>
<h3><a name="authandororder" id="authandororder">Appliquer logique et
ordonnancement</a></h3>
<p>Le contr�le de la mani�re et de l'ordre selon lesquels le
processus d'autorisation �tait appliqu�
constituait une sorte de myst�re par
le pass�. Dans Apache 2.2, un m�canisme d'authentification bas�
sur les fournisseurs a �t� d�velopp� afin de s�parer le
v�ritable processus d'authentification de l'autorisation et ses
diff�rentes fonctionnalit�s. Un des avantages colat�raux
r�sidait dans le fait que les fournisseurs d'authentification
pouvaient �tre configur�s et appel�s selon un ordre particulier
ind�pendant de l'ordre de chargement du module auth proprement
dit. Ce m�canisme bas� sur les fournisseurs a �t� �tendu au
processus d'autorisation. Ceci signifie que la directive
<code class="directive"><a href="../mod/mod_authz_core.html#require">Require</a></code> d�finit
non seulement quelles m�thodes d'autorisation doivent �tre
utilis�es, mais aussi l'ordre dans lequel elles sont appel�es.
Les m�thodes d'autorisation sont appel�es selon l'ordre dans
lequel les directives <code class="directive"><a href="../mod/mod_authz_core.html#require">Require</a></code> apparaissent dans la
configuration.</p>
<p>Avec l'introduction des directives de conteneur
d'autorisations <code class="directive"><a href="../mod/mod_authz_core.html#requireall"><RequireAll></a></code>
et <code class="directive"><a href="../mod/mod_authz_core.html#requireany"><RequireAny></a></code>, la
configuration contr�le aussi le moment o� les m�thodes
d'autorisation sont appel�es, et quels crit�res d�terminent
l'autorisation d'acc�s. Voir <a href="../mod/mod_authz_core.html#logic">Conteneurs
d'autorisations</a> pour un exemple de la mani�re de les
utiliser pour exprimer des logiques d'autorisation
complexes.</p>
<p>Par d�faut, toutes les directives <code class="directive"><a href="../mod/mod_authz_core.html#require">Require</a></code> sont
trait�es comme si elles �taient contenues dans une directive
<code class="directive"><a href="../mod/mod_authz_core.html#requireany"><RequireAny></a></code>. En d'autres termes, il
suffit
qu'une m�thode d'autorisation s'applique avec succ�s pour que
l'autorisation soit accord�e.</p>
<h3><a name="reqaccessctrl" id="reqaccessctrl">Utilisation de fournisseurs
d'autorisation pour le contr�le d'acc�s</a></h3>
<p>La v�rification du nom d'utilisateur et du mot de passe ne
constituent qu'un aspect des m�thodes d'authentification.
Souvent, le contr�le d'acc�s � certaines personnes n'est pas
bas� sur leur identit� ; il peut d�pendre, par exemple de leur
provenance.</p>
<p>Les fournisseurs d'autorisation <code>all</code>,
<code>env</code>, <code>host</code> et <code>ip</code> vous
permettent d'accorder ou refuser l'acc�s en
fonction de crit�res tels que le nom d'h�te ou l'adresse
IP de la machine qui effectue la requ�te.</p>
<p>L'utilisation de ces fournisseurs est sp�cifi�e � l'aide de
la directive <code class="directive"><a href="../mod/mod_authz_core.html#require">Require</a></code>. Cette directive
permet d'enregistrer quels fournisseurs d'autorisation
seront appel�s dans le processus d'autorisation au cours du
traitement de la requ�te. Par exemple :</p>
<pre class="prettyprint lang-config">Require ip <var>address</var></pre>
<p>o� <var>adresse</var> est une adresse IP (ou une adresse IP
partielle) ou :</p>
<pre class="prettyprint lang-config">Require host <var>domain_name</var></pre>
<p>o� <var>nom_domaine</var> est un nom de domaine enti�rement
qualif� (ou un nom de domaine partiel) ; vous pouvez indiquer
plusieurs adresses ou noms de domaines, si vous le d�sirez.</p>
<p>Par exemple, si vous voulez rejeter les spams dont une
machine vous inonde, vous pouvez utiliser ceci :</p>
<pre class="prettyprint lang-config"><RequireAll>
Require all granted
Require not ip 10.252.46.165
</RequireAll></pre>
<p>Ainsi, les visiteurs en provenance de cette adresse ne
pourront pas voir le contenu concern� par cette directive. Si,
par contre, vous connaissez le nom de la machine, vous pouvez
utiliser ceci :</p>
<pre class="prettyprint lang-config"><RequireAll>
Require all granted
Require not host host.example.com
</RequireAll></pre>
<p>Et si vous voulez interdire l'acc�s � toutes les machines
d'un domaine, vous pouvez sp�cifier une partie seulement de
l'adresse ou du nom de domaine :</p>
<pre class="prettyprint lang-config"><RequireAll>
Require all granted
Require not ip 192.168.205
Require not host phishers.example.com moreidiots.example
Require not host ke
</RequireAll></pre>
<p>L'utilisation de la directive <code class="directive"><a href="../mod/mod_authz_core.html#requireall"><RequireAll></a></code>
avec de multiples directives <code class="directive"><a href="../mod/mod_authz_core.html#require"><Require></a></code>, toutes avec la n�gation
<code>not</code>, n'accordera l'acc�s que si toutes les
conditions n�gatives sont v�rifi�es. En d'autres termes, l'acc�s
sera refus� si au moins une des conditions n�gatives n'est pas
v�rifi�e.</p>
<h3><a name="filesystem" id="filesystem">Compatibilit� ascendante du contr�le
d'acc�s</a></h3>
<p>L'adoption d'un m�canisme � base de fournisseurs pour
l'authentification, a pour effet colat�ral de rendre inutiles
les directives <code class="directive"><a href="../mod/mod_access_compat.html#order">Order</a></code>, <code class="directive"><a href="../mod/mod_access_compat.html#allow">Allow</a></code>, <code class="directive"><a href="../mod/mod_access_compat.html#deny">Deny</a></code> et <code class="directive"><a href="../mod/mod_access_compat.html#satisfy">Satisfy</a></code>. Cependant, et �
des fins de compatibilit� ascendante vers les anciennes
configurations, ces directives ont �t� d�plac�es vers le module
<code class="module"><a href="../mod/mod_access_compat.html">mod_access_compat</a></code>.</p>
<div class="warning"><h3>Note</h3>
<p>Les directives fournies par le module
<code class="module"><a href="../mod/mod_access_compat.html">mod_access_compat</a></code> sont devenues obsol�tes depuis
la refonte du module <code class="module"><a href="../mod/mod_authz_host.html">mod_authz_host</a></code>. M�langer d'anciennes
directives comme <code class="directive"><a href="../mod/mod_access_compat.html#order">Order</a></code>, <code class="directive"><a href="../mod/mod_access_compat.html#allow">Allow</a></code> ou <code class="directive"><a href="../mod/mod_access_compat.html#deny">Deny</a></code> avec des nouvelles comme
<code class="directive"><a href="../mod/mod_authz_core.html#require">Require</a></code> est techniquement
possible mais d�conseill�. En effet, <code class="module"><a href="../mod/mod_access_compat.html">mod_access_compat</a></code> a
�t� con�u pour supporter des configurations ne contenant que des anciennes
directives afin de faciliter le passage � la version 2.4. Voir le document
<a href="../upgrading.html">upgrading</a> pour plus de d�tails.
</p>
</div>
</div><div class="top"><a href="#page-header"><img alt="top" src="../images/up.gif" /></a></div>
<div class="section">
<h2><a name="socache" id="socache">Mise en cache de l'authentification</a></h2>
<p>Dans certains cas, l'authentification constitue une charge
inacceptable pour un fournisseur d'authentification ou votre r�seau.
Ceci est susceptible d'affecter les utilisateurs du module
<code class="module"><a href="../mod/mod_authn_dbd.html">mod_authn_dbd</a></code> (ou les fournisseurs
tiers/personnalis�s). Pour r�soudre ce probl�me, HTTPD 2.3/2.4
propose un nouveau fournisseur de mise en cache,
<code class="module"><a href="../mod/mod_authn_socache.html">mod_authn_socache</a></code>, qui permet de mettre en cache
les donn�es d'authentification, et ainsi r�duire la charge du/des
fournisseurs(s) originels.</p>
<p>Cette mise en cache apportera un gain en performance substantiel
� certains utilisateurs.</p>
</div><div class="top"><a href="#page-header"><img alt="top" src="../images/up.gif" /></a></div>
<div class="section">
<h2><a name="moreinformation" id="moreinformation">Pour aller plus loin . . .</a></h2>
<p>Vous pouvez aussi lire la documentation de
<code class="module"><a href="../mod/mod_auth_basic.html">mod_auth_basic</a></code> et <code class="module"><a href="../mod/mod_authz_host.html">mod_authz_host</a></code>
qui contient des informations suppl�mentaires � propos du
fonctionnement de tout ceci.
Certaines configurations d'authentification peuvent aussi �tre
simplifi�es � l'aide de la directive <code class="directive"><a href="../mod/mod_authn_core.html#authnprovideralias"><AuthnProviderAlias></a></code>.</p>
<p>Les diff�rents algorithmes de chiffrement support�s par Apache
pour authentifier les donn�es sont expliqu�s dans <a href="../misc/password_encryptions.html">PasswordEncryptions</a>.</p>
<p>Enfin vous pouvez consulter la recette <a href="access.html">Contr�le
d'acc�s</a>, qui d�crit un certain nombre de situations en relation
avec le sujet.</p>
</div></div>
<div class="bottomlang">
<p><span>Langues Disponibles: </span><a href="../en/howto/auth.html" hreflang="en" rel="alternate" title="English"> en </a> |
<a href="../es/howto/auth.html" hreflang="es" rel="alternate" title="Espa�ol"> es </a> |
<a href="../fr/howto/auth.html" title="Fran�ais"> fr </a> |
<a href="../ja/howto/auth.html" hreflang="ja" rel="alternate" title="Japanese"> ja </a> |
<a href="../ko/howto/auth.html" hreflang="ko" rel="alternate" title="Korean"> ko </a> |
<a href="../tr/howto/auth.html" hreflang="tr" rel="alternate" title="T�rk�e"> tr </a></p>
</div><div class="top"><a href="#page-header"><img src="../images/up.gif" alt="top" /></a></div><div class="section"><h2><a id="comments_section" name="comments_section">Commentaires</a></h2><div class="warning"><strong>Notice:</strong><br />This is not a Q&A section. Comments placed here should be pointed towards suggestions on improving the documentation or server, and may be removed again by our moderators if they are either implemented or considered invalid/off-topic. Questions on how to manage the Apache HTTP Server should be directed at either our IRC channel, #httpd, on Freenode, or sent to our <a href="http://httpd.apache.org/lists.html">mailing lists</a>.</div>
<script type="text/javascript"><!--//--><![CDATA[//><!--
var comments_shortname = 'httpd';
var comments_identifier = 'http://httpd.apache.org/docs/trunk/howto/auth.html';
(function(w, d) {
if (w.location.hostname.toLowerCase() == "httpd.apache.org") {
d.write('<div id="comments_thread"><\/div>');
var s = d.createElement('script');
s.type = 'text/javascript';
s.async = true;
s.src = 'https://comments.apache.org/show_comments.lua?site=' + comments_shortname + '&page=' + comments_identifier;
(d.getElementsByTagName('head')[0] || d.getElementsByTagName('body')[0]).appendChild(s);
}
else {
d.write('<div id="comments_thread">Comments are disabled for this page at the moment.<\/div>');
}
})(window, document);
//--><!]]></script></div><div id="footer">
<p class="apache">Copyright 2018 The Apache Software Foundation.<br />Autoris� sous <a href="http://www.apache.org/licenses/LICENSE-2.0">Apache License, Version 2.0</a>.</p>
<p class="menu"><a href="../mod/">Modules</a> | <a href="../mod/quickreference.html">Directives</a> | <a href="http://wiki.apache.org/httpd/FAQ">FAQ</a> | <a href="../glossary.html">Glossaire</a> | <a href="../sitemap.html">Plan du site</a></p></div><script type="text/javascript"><!--//--><![CDATA[//><!--
if (typeof(prettyPrint) !== 'undefined') {
prettyPrint();
}
//--><!]]></script>
</body></html>
|
