mod_auth_ldap 和 mod_authnz_ldap 之间的区别

Question

我们使用 LDAP 通过 Apache httpd 进行 Subversion 访问。我们最初让所有用户都可以使用以下命令访问所有 Subversion 存储库：

<Location /src>
    DAV svn
    SVNParentPath /opt/svn_repos
    AuthType basic
    AuthName "SVN Repository"
    AuthBasicProvider ldap
    AuthzLDAPAuthoritative off
    AuthLDAPURL "ldap://ldap.mycorp.com:3268/dc=mycorp,dc=com?sAMAccountName" NONE
    AuthLDAPBindDN "CN=svn_acct,OU=Users,DC=mycorp,DC=com"
    AuthLDAPBindPassword "swordfish"
    Require valid-user
</Location>

一切都很好。我被要求将 CM 存储库移至其他位置，并使其仅可供 CM 组中的人员访问。我做了以下事情：

<Location /cm>
    DAV svn
    SVNPath /opt/cm_svn_repos
    AuthType basic
    AuthName "CM Repository"
    AuthBasicProvider ldap
    AuthzLDAPAuthoritative off
    AuthLDAPURL "ldap://ldap.mycorp.com:3268/dc=mycorp,dc=com?sAMAccountName" NONE
    AuthLDAPBindDN "CN=svn_acct,OU=Users,DC=mycorp,DC=com"
    AuthLDAPBindPassword "swordfish"
    Require group CN=cm-group,OU=Groups,DC=mycorp,DC=com
</Location>

我花了几个小时才意识到我使用的是 mod_authnz_ldap 而不是普通的 ol' mod_auth_ldap。因此，我在 Require 语句中需要 ldap-group 而不是 group。那行得通。

我的同事告诉我，我们使用 mod_authnz_ldap 而不是 mod_auth_ldap 是有原因的，但他不记得为什么了。我们查阅了 Apache httpd 文档，但该文档没有提供任何线索为什么您要使用其中一种而不是另一种。

那么，mod_auth_ldap 和 mod_authnz_ldap 之间有什么区别，为什么要使用其中一个而不是另一个呢？

Answer 1

还有谁遇到过这个问题。它与较新版本的 Apache httpd 有关。我的困惑源于httpd 2.1 和2.2 版本之间的变化。由于我有 Apache 2.2，我打算使用新框架：

• mod_auth_ldap 适用于 2.2 之前的 Apache 版本
• mod_authnz_ldap 适用于 Apache 2.2 及更高版本。

---

来自 Apache 2.2 手册

模块增强

Authn/Authz

aaa 目录中的模块已重命名，并为摘要身份验证提供更好的支持。例如，mod_auth 现在分为 mod_auth_basic 和 mod_authn_file； mod_auth_dbm 现在称为 mod_authn_dbm； mod_access 已重命名为 mod_authz_host。还有一个新的 mod_authn_alias（已从 2.3/2.4 中删除）模块用于简化某些身份验证配置。

mod_authnz_ldap

该模块是 2.0 mod_auth_ldap 模块到 2.2 Authn/Authz 框架的端口。新功能包括在 Require 指令中使用 LDAP 属性值和复杂的搜索过滤器。

模块开发者更改

Authn/Authz

捆绑的身份验证和授权模块已按以下方式重命名：

• mod_auth_* ->实现 HTTP 身份验证机制的模块
• mod_authn_* ->提供后端身份验证提供程序的模块
• mod_authz_* ->实现授权（或访问）的模块
• mod_authnz_* ->实现身份验证和身份验证的模块授权