Настройка PAM авторизации в защищенном Apache

Как уже упоминалось в одной из наших предыдущих заметок, в состав Astra Linux Special Edition входит защищенный комплекс программ гипертекстовой обработки данных.

В качестве веб-сервера туда включен Apache2, который доработан с целью улучшения безопасности. В данной заметке мы коротко опишем как настроить данный веб-сервер  с использованием PAM авторизации.

1. Ставим пакеты

   aptitude install apache2 libapache2-mod-auth-pam

2. Проверяем, что в файле /etc/apache2/ports.conf содержатся следующие строки(если конечно Вы собираетесь использовать стандартный 80, а не какой-нибудь другой порт):

   NameVirtualHost *:80
   Listen 80

3. Создаем конфигурацию виртуального хоста (в примере сайтик из одной стандартной страницы It works!):

   <VirtualHost *:80>
       ServerAdmin webmaster@localhost
       ServerName имясервера
       DocumentRoot /var/www/
       <Directory /var/www/>
            AuthPAM_Enabled on
            AuthType Basic
            AuthName "PAM authentication"
            require valid-user
            Options Indexes FollowSymLinks MultiViews
            AllowOverride None
       </Directory>
       ErrorLog /var/log/apache2/error.log
       LogLevel debug
       CustomLog /var/log/apache2/access.log common
   </VirtualHost>

4. Включаем PAM авторизацию и наш виртуальный хост:

   a2enmod auth_pam
   a2ensite имя_файла_конфигурации
   service apache2 reload
   

5. Для корректного функционирования авторизации через PAM пользователю, от которого работает веб-сервер (по-умолчанию — www-data), необходимо выдать права на чтение информации из БД пользователей и сведений о мандатных метках, для этого выполняем следующие команды:

   usermod -a -G shadow www-data
   setfacl -d -m u:www-data:r /etc/parsec/macdb
   setfacl -R -m u:www-data:r /etc/parsec/macdb
   setfacl -m u:www-data:rx /etc/parsec/macdb

6. Затем для пользователя под которым будем заходить, выполняем команду настройки(по-сути просто сбрасываем в 0) минимальный и максимальный наборы мандатных категорий(мы их и не настраивали):

   usermac -c 0:0 имя_пользователя_под_которым_будем_заходить

7. Открываем браузер обращаемся по именисервера, который указали в конфигурационном файле виртуального хоста, и должны увидеть сперва окно с предложением ввести логи\пароль и после успешного ввода данных Вам откроется страница c текстом «It works!», как на картинке ниже:
   

На очереди рассказ про настройку kerberos авторизации. Stay tuned!

P.S. Смотрите также нашу статью «Веб-приложения в защищённой среде» и вопросы посетителей, касающиеся Apache.