Module Apache mod_privileges

DTracePrivileges Directive

Cette directive qui s'applique � l'ensemble du serveur permet de d�terminer si Apache s'ex�cutera avec les privil�ges requis pour ex�cuter dtrace. Notez que la d�finition DTracePrivileges On n'activera pas � elle-seule DTrace, mais que DTracePrivileges Off l'emp�chera de fonctionner.

PrivilegesMode Directive

Cette directive permet de faire un compromis entre les performances et la s�curit� � l'encontre des codes malicieux supportant les privil�ges. En mode SECURE, chaque requ�te est trait�e dans un sous-processus s�curis�, ce qui induit une d�gradation sensible des performances. En mode FAST, le serveur n'est pas prot�g� contre l'augmentation de privil�ge comme d�crit plus haut.

Cette directive est sensiblement diff�rente selon qu'elle se trouve dans une section <Directory> (ou Location/Files/If) ou au niveau global ou dans un <VirtualHost>.

Au niveau global, elle d�finit un comportement par d�faut dont h�riteront les serveurs virtuels. Dans un serveur virtuel, les modes FAST ou SECURE agissent sur l'ensemble de la requ�te HTTP, et toute d�finition de ces modes dans une section <Directory> sera ignor�e. Le pseudo-mode SELECTIVE confie le choix du mode FAST ou SECURE aux directives contenues dans une section<Directory>.

Dans une section <Directory>, elle ne s'applique que lorsque le mode SELECTIVE a �t� d�fini pour le serveur virtuel. Seuls FAST ou SECURE peuvent �tre d�finis dans ce contexte (SELECTIVE n'aurait pas de sens).

VHostCGIMode Directive

D�termine si le serveur virtuel est autoris� � ex�cuter fork et exec, et d�finit les privil�ges requis pour ex�cuter des sous-processus. Si cette directive est d�finie � Off le serveur virtuel ne disposera d'aucun privil�ge et ne pourra ex�cuter ni des programmes ou scripts CGI classiques via le module traditionnel mod_cgi, ni des programmes externes similaires tels que ceux cr��s via le module mod_ext_filter ou les programmes de r��criture externes utilis�s par la directive RewriteMap. Notez que ceci n'emp�che pas l'ex�cution de programmes CGI via d'autres processus et sous d'autres mod�les de s�curit� comme mod_fcgid, ce qui est la solution recommand�e sous Solaris.

Si cette directive est d�finie � On ou Secure, le serveur virtuel pourra ex�cuter les scripts et programmes externes cit�s ci-dessus. D�finir la directive VHostCGIMode � Secure a pour effet suppl�mentaire de n'accorder aucun privil�ge aux sous-processus, comme d�crit dans la directive VHostSecure.

VHostCGIPrivs Directive

La directive VHostCGIPrivs permet d'assigner des privil�ges au choix aux sous-processus cr��s par un serveur virtuel, comme d�crit dans la directive VHostCGIMode. Chaque nom-privil�ge correspond � un privil�ge Solaris tel que file_setid ou sys_nfs.

nom-privil�ge peut �tre �ventuellement pr�fix� par + ou -, ce qui va respectivement accorder ou refuser le privil�ge. Si nom-privil�ge est sp�cifi� sans + ni -, tous les autres privil�ges pr�alablement assign�s au serveur virtuel seront refus�s. Cette directive permet de construire ais�ment votre propre jeu de privil�ges en annulant tout r�glage par d�faut.

VHostGroup Directive

La directive VHostGroup permet de d�finir l'identifiant du groupe unix sous lequel le serveur va traiter les requ�tes par l'interm�diaire d'un serveur virtuel. L'identifiant du groupe est d�fini avant le traitement de la requ�te, puis restaur� � sa valeur de d�part via les Privil�ges Solaris. Comme la d�finition s'applique au processus, cette directive est incompatible avec les modules MPM thread�s.

Unix-group peut �tre :

Un nom de groupe

Fait r�f�rence au groupe donn� par son nom.

# suivi d'un num�ro de groupe.

Fait r�f�rence au groupe donn� par son num�ro.

Voir aussi

• Group
• SuexecUserGroup

VHostPrivs Directive

La directive VHostPrivs permet d'assigner des privil�ges au choix � un serveur virtuel. Chaque nom-privil�ge correspond � un privil�ge Solaris tel que file_setid ou sys_nfs.

nom-privil�ge peut �tre �ventuellement pr�fix� par + ou -, ce qui va respectivement accorder ou refuser le privil�ge. Si nom-privil�ge est sp�cifi� sans + ni -, tous les autres privil�ges pr�alablement assign�s au serveur virtuel seront refus�s. Cette directive permet de construire ais�ment votre propre jeu de privil�ges en annulant tout r�glage par d�faut.

VHostSecure Directive

D�termine si les serveurs virtuels traitent les requ�tes avec une s�curit� avanc�e en supprimant les Privil�ges rarement requis par un serveur web, mais disponibles par d�faut pour un utilisateur Unix standard, et donc susceptibles d'�tre demand�s par des modules et des applications. Il est recommand� de conserver la d�finition par d�faut (On), sauf si elle emp�che une application de fonctionner. Comme la d�finition s'applique au processus, cette directive est incompatible avec les modules MPM thread�s.

VHostUser Directive

La directive VHostUser permet de d�finir l'identifiant utilisateur unix sous lequel le serveur va traiter les requ�tes par l'interm�diaire d'un serveur virtuel. L'identifiant utilisateur est d�fini avant le traitement de la requ�te, puis restaur� � sa valeur de d�part via les Privil�ges Solaris. Comme la d�finition s'applique au processus, cette directive est incompatible avec les modules MPM thread�s.

identifiant-utilisateur-unix peut �tre :

Un nom d'utilisateur

Fait r�f�rence � l'utilisateur donn� par son nom.

# suivi d'un num�ro d'utilisateur.

Fait r�f�rence � l'utilisateur donn� par son num�ro.

Voir aussi

• User
• SuexecUserGroup