|
Packit |
90a5c9 |
|
|
Packit |
90a5c9 |
|
|
Packit |
90a5c9 |
<html xmlns="http://www.w3.org/1999/xhtml" lang="fr" xml:lang="fr"><head>
|
|
Packit |
90a5c9 |
<meta content="text/html; charset=UTF-8" http-equiv="Content-Type" />
|
|
Packit |
90a5c9 |
|
|
Packit |
90a5c9 |
XXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXX
|
|
Packit |
90a5c9 |
This file is generated from xml source: DO NOT EDIT
|
|
Packit |
90a5c9 |
XXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXX
|
|
Packit |
90a5c9 |
-->
|
|
Packit |
90a5c9 |
<title>mod_privileges - Serveur HTTP Apache Version 2.4</title>
|
|
Packit |
90a5c9 |
<link href="../style/css/manual.css" rel="stylesheet" media="all" type="text/css" title="Main stylesheet" />
|
|
Packit |
90a5c9 |
<link href="../style/css/manual-loose-100pc.css" rel="alternate stylesheet" media="all" type="text/css" title="No Sidebar - Default font size" />
|
|
Packit |
90a5c9 |
<link href="../style/css/manual-print.css" rel="stylesheet" media="print" type="text/css" /><link rel="stylesheet" type="text/css" href="../style/css/prettify.css" />
|
|
Packit |
90a5c9 |
<script src="../style/scripts/prettify.min.js" type="text/javascript">
|
|
Packit |
90a5c9 |
</script>
|
|
Packit |
90a5c9 |
|
|
Packit |
90a5c9 |
<link href="../images/favicon.ico" rel="shortcut icon" /></head>
|
|
Packit |
90a5c9 |
<body>
|
|
Packit |
90a5c9 |
|
|
Packit |
90a5c9 |
Modules | Directives | FAQ | Glossaire | Plan du site
|
|
Packit |
90a5c9 |
Serveur HTTP Apache Version 2.4
|
|
Packit |
90a5c9 |
|
|
Packit |
90a5c9 |
|
|
Packit |
90a5c9 |
|
|
Packit |
90a5c9 |
Apache > Serveur HTTP > Documentation > Version 2.4 > Modules
|
|
Packit |
90a5c9 |
|
|
Packit |
90a5c9 |
Module Apache mod_privileges
|
|
Packit |
90a5c9 |
|
|
Packit |
90a5c9 |
Langues Disponibles: en |
|
|
Packit |
90a5c9 |
fr
|
|
Packit |
90a5c9 |
|
|
Packit |
90a5c9 |
| Description: | Support des privilèges de Solaris et de l'exécution des |
|---|
|
|
Packit |
90a5c9 |
serveurs virtuels sous différents identifiants
|
|
Packit |
90a5c9 |
utilisateurs.
|
|
Packit |
90a5c9 |
Statut:Expérimental
|
|
Packit |
90a5c9 |
Identificateur de Module:privileges_module
|
|
Packit |
90a5c9 |
Fichier Source:mod_privileges.c
|
|
Packit |
90a5c9 |
Compatibilité:Disponible depuis la version 2.3 d'Apache sur les
|
|
Packit |
90a5c9 |
plates-formes Solaris 10 et OpenSolaris
|
|
Packit |
90a5c9 |
Sommaire
|
|
Packit |
90a5c9 |
|
|
Packit |
90a5c9 |
Ce module permet l'exécution de différents serveurs virtuels sous
|
|
Packit |
90a5c9 |
différents identifiants Unix User et Group,
|
|
Packit |
90a5c9 |
et avec différents Privilèges
|
|
Packit |
90a5c9 |
Solaris. En particulier, il apporte au problème de
|
|
Packit |
90a5c9 |
séparation des privilèges entre les différents serveurs virtuels la
|
|
Packit |
90a5c9 |
solution que devait apporter le module MPM abandonné perchild. Il
|
|
Packit |
90a5c9 |
apporte aussi d'autres améliorations en matière de sécurité.
|
|
Packit |
90a5c9 |
|
|
Packit |
90a5c9 |
À la différence de perchild, mod_privileges n'est
|
|
Packit |
90a5c9 |
pas un module MPM. Il travaille au sein d'un modèle de
|
|
Packit |
90a5c9 |
traitement pour définir les privilèges et les User/Group pour chaque
|
|
Packit |
90a5c9 |
requête dans un même processus. Il n'est donc pas compatible avec
|
|
Packit |
90a5c9 |
les MPM threadés, et refusera de s'exécuter en cas d'utilisation d'un de
|
|
Packit |
90a5c9 |
ces derniers.
|
|
Packit |
90a5c9 |
|
|
Packit |
90a5c9 |
mod_privileges traite des problèmes de sécurité
|
|
Packit |
90a5c9 |
similaires à ceux de suexec ; mais à la
|
|
Packit |
90a5c9 |
différence de ce dernier, il ne s'applique pas seulement aux programmes
|
|
Packit |
90a5c9 |
CGI, mais à l'ensemble du cycle de traitement d'une requête, y compris
|
|
Packit |
90a5c9 |
les applications in-process et les sous-processus. Il convient
|
|
Packit |
90a5c9 |
particulièrement à l'exécution des applications PHP sous
|
|
Packit |
90a5c9 |
mod_php, qui est lui-même incompatible avec les modules
|
|
Packit |
90a5c9 |
MPM threadés. Il est également bien adapté aux autres applications de type
|
|
Packit |
90a5c9 |
script in-process comme mod_perl,
|
|
Packit |
90a5c9 |
mod_python, et mod_ruby, ainsi qu'aux
|
|
Packit |
90a5c9 |
applications en langage C telles que les modules Apache pour lesquels la
|
|
Packit |
90a5c9 |
séparation des privilèges constitue un problème.
|
|
Packit |
90a5c9 |
|
|
Packit |
90a5c9 |
|
|
Packit |
90a5c9 |
![Support Apache!]() Sujets
|
|
Packit |
90a5c9 |
|
|
Packit |
90a5c9 |
 Considérations à propos de sécurité
|
|
Packit |
90a5c9 |
Directives
|
|
Packit |
90a5c9 |
|
|
Packit |
90a5c9 |
DTracePrivileges
|
|
Packit |
90a5c9 |
PrivilegesMode
|
|
Packit |
90a5c9 |
VHostCGIMode
|
|
Packit |
90a5c9 |
VHostCGIPrivs
|
|
Packit |
90a5c9 |
VHostGroup
|
|
Packit |
90a5c9 |
VHostPrivs
|
|
Packit |
90a5c9 |
VHostSecure
|
|
Packit |
90a5c9 |
VHostUser
|
|
Packit |
90a5c9 |
|
|
Packit |
90a5c9 |
Traitement des bugsVoir aussi
|
|
Packit |
90a5c9 |
|
|
Packit |
90a5c9 |
Commentaires
|
|
Packit |
90a5c9 |
|
|
Packit |
90a5c9 |
|
|
Packit |
90a5c9 |
|
|
Packit |
90a5c9 |
|
|
Packit |
90a5c9 |
mod_privileges introduit de nouveaux problèmes de
|
|
Packit |
90a5c9 |
sécurité dans les situations où du code non sûr peut
|
|
Packit |
90a5c9 |
s'exécuter à l'intérieur du processus du serveur web.
|
|
Packit |
90a5c9 |
Ceci s'applique aux modules non sûrs, et aux scripts s'exécutant sous
|
|
Packit |
90a5c9 |
des modules comme mod_php ou mod_perl. Les scripts s'exécutant en
|
|
Packit |
90a5c9 |
externe (comme par exemple les scripts CGI ou ceux s'exécutant sur un
|
|
Packit |
90a5c9 |
serveur d'applications derrière mod_proxy ou mod_jk) ne sont pas
|
|
Packit |
90a5c9 |
concernés.
|
|
Packit |
90a5c9 |
|
|
Packit |
90a5c9 |
Les principaux problèmes de sécurité que l'on rencontre avec
|
|
Packit |
90a5c9 |
mod_privileges sont :
|
|
Packit |
90a5c9 |
|
|
Packit |
90a5c9 |
|
|
Packit |
90a5c9 |
- L'exécution sous un utilisateur système pose les mêmes problèmes
|
|
Packit |
90a5c9 |
de sécurité que mod_suexec, et pratiquement les mêmes que cgiwrap et
|
|
Packit |
90a5c9 |
suphp.
|
|
Packit |
90a5c9 |
Une extension utilisateur (module ou script) malveillante, écrite en connaissant les mécanismes
|
|
Packit |
90a5c9 |
utilisés par mod_privileges,
|
|
Packit |
90a5c9 |
pourrait élever ses privilèges à tout niveau
|
|
Packit |
90a5c9 |
accessible au processus httpd dans tout serveur virtuel. Ceci introduit
|
|
Packit |
90a5c9 |
de nouveaux risques si (et seulement si) mod_privileges est compilé avec
|
|
Packit |
90a5c9 |
l'option BIG_SECURITY_HOLE.
|
|
Packit |
90a5c9 |
Une extension utilisateur (module ou script) malveillante, écrite en connaissant les mécanismes
|
|
Packit |
90a5c9 |
utilisés par mod_privileges,
|
|
Packit |
90a5c9 |
pourrait élever ses privilèges pour s'attribuer
|
|
Packit |
90a5c9 |
l'identifiant utilisateur d'un autre utilisateur (et/ou groupe)
|
|
Packit |
90a5c9 |
système.
|
|
Packit |
90a5c9 |
|
|
Packit |
90a5c9 |
|
|
Packit |
90a5c9 |
La directive PrivilegesMode vous permet de
|
|
Packit |
90a5c9 |
sélectionner soit le mode FAST, soit le mode
|
|
Packit |
90a5c9 |
SECURE. Vous pouvez panacher les modes en utilisant par
|
|
Packit |
90a5c9 |
exemple le mode FAST pour les utilisateurs de confiance et
|
|
Packit |
90a5c9 |
les chemins contenant du code entièrement audité, tout en imposant le
|
|
Packit |
90a5c9 |
mode SECURE où un utilisateur non sûr a la possibilité
|
|
Packit |
90a5c9 |
d'introduire du code.
|
|
Packit |
90a5c9 |
Avant de décrire les modes, il nous faut présenter les cas
|
|
Packit |
90a5c9 |
d'utilisation de la cible : "Benign" ou "Hostile". Dans une situation
|
|
Packit |
90a5c9 |
"Benign", vous voulez séparer les utilisateurs pour leur confort, et les
|
|
Packit |
90a5c9 |
protéger, ainsi que le serveur, contre les risques induits par les
|
|
Packit |
90a5c9 |
erreurs involontaires. Dans une situation "Hostile" - par exemple
|
|
Packit |
90a5c9 |
l'hébergement d'un site commercial - il se peut que des utilisateurs
|
|
Packit |
90a5c9 |
attaquent délibérément le serveur ou s'attaquent entre eux.
|
|
Packit |
90a5c9 |
|
|
Packit |
90a5c9 |
Mode FAST
|
|
Packit |
90a5c9 |
En mode FAST, les requêtes sont traitées "in-process"
|
|
Packit |
90a5c9 |
avec les uid/gid et privilèges sélectionnés, si bien que la
|
|
Packit |
90a5c9 |
surcharge est négligeable. Ceci convient aux situations "Benign", mais
|
|
Packit |
90a5c9 |
n'est pas sécurisé contre un attaquant augmentant ses privilèges avec un
|
|
Packit |
90a5c9 |
module ou script "in-process".
|
|
Packit |
90a5c9 |
Mode SECURE
|
|
Packit |
90a5c9 |
Une requête en mode SECURE génère un sous-processus qui
|
|
Packit |
90a5c9 |
supprime les privilèges. Ce comportement est très similaire à
|
|
Packit |
90a5c9 |
l'exécution d'un programme CGI avec suexec, mais il reste valable tout
|
|
Packit |
90a5c9 |
au long du cycle de traitement de la requête, avec en plus l'avantage
|
|
Packit |
90a5c9 |
d'un contrôle précis des privilèges.
|
|
Packit |
90a5c9 |
|
|
Packit |
90a5c9 |
Vous pouvez sélectionner différents
|
|
Packit |
90a5c9 |
PrivilegesModes pour chaque serveur virtuel, et
|
|
Packit |
90a5c9 |
même dans un contexte de répertoire à l'intérieur d'un serveur virtuel.
|
|
Packit |
90a5c9 |
Le mode FAST convient lorsque les utilisateurs sont sûrs
|
|
Packit |
90a5c9 |
et/ou n'ont pas le privilège de charger du code "in-process". Le mode
|
|
Packit |
90a5c9 |
SECURE convient dans les cas où du code non sûr peut
|
|
Packit |
90a5c9 |
s'exécuter "in-process". Cependant, même en mode SECURE, il
|
|
Packit |
90a5c9 |
n'y a pas de protection contre un utilisateur malveillant qui a la
|
|
Packit |
90a5c9 |
possibilité d'introduire du code supportant les privilèges avant le
|
|
Packit |
90a5c9 |
début du cycle de traitement de la requête.
|
|
Packit |
90a5c9 |
|
|
Packit |
90a5c9 |
|
|
Packit |
90a5c9 |
|
|
Packit |
90a5c9 |
|
|
Packit |
90a5c9 |
|
|
Packit |
90a5c9 |
Description:Détermine si les privilèges requis par dtrace sont
|
|
Packit |
90a5c9 |
activés.
|
|
Packit |
90a5c9 |
Syntaxe:DTracePrivileges On|Off
|
|
Packit |
90a5c9 |
Défaut:DTracePrivileges Off
|
|
Packit |
90a5c9 |
Contexte:configuration globale
|
|
Packit |
90a5c9 |
Statut:Expérimental
|
|
Packit |
90a5c9 |
Module:mod_privileges
|
|
Packit |
90a5c9 |
Compatibilité:>Disponible sous Solaris 10 et OpenSolaris avec les
|
|
Packit |
90a5c9 |
modules MPM non-threadés (prefork ou MPM
|
|
Packit |
90a5c9 |
personnalisé).
|
|
Packit |
90a5c9 |
|
|
Packit |
90a5c9 |
Cette directive qui s'applique à l'ensemble du serveur permet de
|
|
Packit |
90a5c9 |
déterminer si Apache s'exécutera avec les privilèges requis pour exécuter dtrace.
|
|
Packit |
90a5c9 |
Notez que la définition DTracePrivileges On n'activera
|
|
Packit |
90a5c9 |
pas à elle-seule DTrace, mais que DTracePrivileges Off
|
|
Packit |
90a5c9 |
l'empêchera de fonctionner.
|
|
Packit |
90a5c9 |
|
|
Packit |
90a5c9 |
|
|
Packit |
90a5c9 |
|
|
Packit |
90a5c9 |
|
|
Packit |
90a5c9 |
|
|
Packit |
90a5c9 |
Description:Fait un compromis entre d'une part l'efficacité et la
|
|
Packit |
90a5c9 |
vitesse de traitement et d'autre part la sécurité à l'encontre des codes
|
|
Packit |
90a5c9 |
malicieux supportant les privilèges.
|
|
Packit |
90a5c9 |
Syntaxe:PrivilegesMode FAST|SECURE|SELECTIVE
|
|
Packit |
90a5c9 |
Défaut:PrivilegesMode FAST
|
|
Packit |
90a5c9 |
Contexte:configuration globale, serveur virtuel, répertoire
|
|
Packit |
90a5c9 |
Statut:Expérimental
|
|
Packit |
90a5c9 |
Module:mod_privileges
|
|
Packit |
90a5c9 |
Compatibilité:Disponible sous Solaris 10 et OpenSolaris avec des
|
|
Packit |
90a5c9 |
modules MPMs non threadés (comme prefork ou un module
|
|
Packit |
90a5c9 |
personnalisé).
|
|
Packit |
90a5c9 |
Cette directive permet de faire un compromis entre les
|
|
Packit |
90a5c9 |
performances et la sécurité à l'encontre des codes malicieux supportant
|
|
Packit |
90a5c9 |
les privilèges. En mode SECURE, chaque requête est traitée
|
|
Packit |
90a5c9 |
dans un sous-processus sécurisé, ce qui induit une dégradation sensible
|
|
Packit |
90a5c9 |
des performances. En mode FAST, le serveur n'est pas protégé
|
|
Packit |
90a5c9 |
contre l'augmentation de privilège comme décrit plus haut.
|
|
Packit |
90a5c9 |
Cette directive est sensiblement différente selon qu'elle se trouve
|
|
Packit |
90a5c9 |
dans une section <Directory> (ou Location/Files/If)
|
|
Packit |
90a5c9 |
ou au niveau global ou dans un <VirtualHost>.
|
|
Packit |
90a5c9 |
Au niveau global, elle définit un comportement par défaut dont
|
|
Packit |
90a5c9 |
hériteront les serveurs virtuels. Dans un serveur virtuel, les modes
|
|
Packit |
90a5c9 |
FAST ou SECURE agissent sur l'ensemble de la requête HTTP, et toute
|
|
Packit |
90a5c9 |
définition de ces modes dans une section <Directory>
|
|
Packit |
90a5c9 |
sera ignorée. Le pseudo-mode SELECTIVE confie le choix
|
|
Packit |
90a5c9 |
du mode FAST ou SECURE aux directives contenues dans une
|
|
Packit |
90a5c9 |
section<Directory>.
|
|
Packit |
90a5c9 |
Dans une section <Directory>, elle ne s'applique
|
|
Packit |
90a5c9 |
que lorsque le mode SELECTIVE a été défini pour le serveur virtuel.
|
|
Packit |
90a5c9 |
Seuls FAST ou SECURE peuvent être définis dans ce contexte (SELECTIVE
|
|
Packit |
90a5c9 |
n'aurait pas de sens).
|
|
Packit |
90a5c9 |
Avertissement
|
|
Packit |
90a5c9 |
Lorsque le mode SELECTIVE a été défini pour un serveur virtuel,
|
|
Packit |
90a5c9 |
l'activation des privilèges doit être reportée après
|
|
Packit |
90a5c9 |
la détermination, par la phase de comparaison du traitement de
|
|
Packit |
90a5c9 |
la requête, du contexte <Directory> qui
|
|
Packit |
90a5c9 |
s'applique à la requête. Ceci peut donner à un attaquant
|
|
Packit |
90a5c9 |
l'opportunité d'introduire du code via une directive RewriteMap s'exécutant au
|
|
Packit |
90a5c9 |
niveau global ou d'un serveur virtuel avant que les
|
|
Packit |
90a5c9 |
privilèges n'aient été supprimés et l'uid/gid défini.
|
|
Packit |
90a5c9 |
|
|
Packit |
90a5c9 |
|
|
Packit |
90a5c9 |
|
|
Packit |
90a5c9 |
|
|
Packit |
90a5c9 |
|
|
Packit |
90a5c9 |
|
|
Packit |
90a5c9 |
Description:Détermine si le serveur virtuel peut exécuter des
|
|
Packit |
90a5c9 |
sous-processus, et définit les privilèges disponibles pour ces
|
|
Packit |
90a5c9 |
dernier.
|
|
Packit |
90a5c9 |
Syntaxe:VHostCGIMode On|Off|Secure
|
|
Packit |
90a5c9 |
Défaut:VHostCGIMode On
|
|
Packit |
90a5c9 |
Contexte:serveur virtuel
|
|
Packit |
90a5c9 |
Statut:Expérimental
|
|
Packit |
90a5c9 |
Module:mod_privileges
|
|
Packit |
90a5c9 |
Compatibilité:Disponible sous Solaris 10 et OpenSolaris avec les
|
|
Packit |
90a5c9 |
modules MPM non-threadés (prefork ou MPM
|
|
Packit |
90a5c9 |
personnalisé).
|
|
Packit |
90a5c9 |
|
|
Packit |
90a5c9 |
Détermine si le serveur virtuel est autorisé à exécuter fork et
|
|
Packit |
90a5c9 |
exec, et définit les privilèges requis pour exécuter des sous-processus. Si cette
|
|
Packit |
90a5c9 |
directive est définie à Off le serveur virtuel ne
|
|
Packit |
90a5c9 |
disposera d'aucun privilège et ne pourra exécuter ni des programmes
|
|
Packit |
90a5c9 |
ou scripts CGI classiques via le module traditionnel
|
|
Packit |
90a5c9 |
mod_cgi, ni des programmes externes similaires tels
|
|
Packit |
90a5c9 |
que ceux créés via le module mod_ext_filter ou les
|
|
Packit |
90a5c9 |
programmes de réécriture externes utilisés par la directive
|
|
Packit |
90a5c9 |
RewriteMap. Notez que
|
|
Packit |
90a5c9 |
ceci n'empêche pas l'exécution de programmes CGI via d'autres
|
|
Packit |
90a5c9 |
processus et sous d'autres modèles de sécurité comme mod_fcgid, ce qui est la
|
|
Packit |
90a5c9 |
solution recommandée sous Solaris.
|
|
Packit |
90a5c9 |
Si cette directive est définie à On ou
|
|
Packit |
90a5c9 |
Secure, le serveur virtuel pourra exécuter les scripts et
|
|
Packit |
90a5c9 |
programmes externes cités ci-dessus. Définir la directive
|
|
Packit |
90a5c9 |
VHostCGIMode à Secure a pour effet
|
|
Packit |
90a5c9 |
supplémentaire de n'accorder aucun privilège aux sous-processus,
|
|
Packit |
90a5c9 |
comme décrit dans la directive
|
|
Packit |
90a5c9 |
VHostSecure.
|
|
Packit |
90a5c9 |
|
|
Packit |
90a5c9 |
|
|
Packit |
90a5c9 |
|
|
Packit |
90a5c9 |
|
|
Packit |
90a5c9 |
|
|
Packit |
90a5c9 |
Description:Assigne des privilèges au choix aux sous-processus créés
|
|
Packit |
90a5c9 |
par un serveur virtuel.
|
|
Packit |
90a5c9 |
Syntaxe:VHostPrivs [+-]?nom-privilège [[+-]?nom-privilège] ...
|
|
Packit |
90a5c9 |
Défaut:Aucun
|
|
Packit |
90a5c9 |
Contexte:serveur virtuel
|
|
Packit |
90a5c9 |
Statut:Expérimental
|
|
Packit |
90a5c9 |
Module:mod_privileges
|
|
Packit |
90a5c9 |
Compatibilité:Disponible sous Solaris 10 et OpenSolaris avec les
|
|
Packit |
90a5c9 |
modules MPM non-threadés (prefork ou MPM
|
|
Packit |
90a5c9 |
personnalisé) et lorsque mod_privileges est construit
|
|
Packit |
90a5c9 |
avec l'option de compilation
|
|
Packit |
90a5c9 |
BIG_SECURITY_HOLE.
|
|
Packit |
90a5c9 |
|
|
Packit |
90a5c9 |
La directive VHostCGIPrivs permet
|
|
Packit |
90a5c9 |
d'assigner des privilèges au choix aux sous-processus créés par un serveur
|
|
Packit |
90a5c9 |
virtuel, comme décrit dans la directive
|
|
Packit |
90a5c9 |
VHostCGIMode. Chaque
|
|
Packit |
90a5c9 |
nom-privilège correspond à un privilège Solaris tel que
|
|
Packit |
90a5c9 |
file_setid ou sys_nfs.
|
|
Packit |
90a5c9 |
|
|
Packit |
90a5c9 |
nom-privilège peut être éventuellement préfixé par +
|
|
Packit |
90a5c9 |
ou -, ce qui va respectivement accorder ou refuser le privilège. Si
|
|
Packit |
90a5c9 |
nom-privilège est spécifié sans + ni -, tous les autres
|
|
Packit |
90a5c9 |
privilèges préalablement assignés au serveur virtuel seront refusés.
|
|
Packit |
90a5c9 |
Cette directive permet de construire aisément votre propre jeu de
|
|
Packit |
90a5c9 |
privilèges en annulant tout réglage par défaut.
|
|
Packit |
90a5c9 |
|
|
Packit |
90a5c9 |
Sécurité
|
|
Packit |
90a5c9 |
L'utilisation de cette directive peut ouvrir d'immenses trous de
|
|
Packit |
90a5c9 |
sécurité dans les sous-processus Apache, jusqu'à leur exécution avec les
|
|
Packit |
90a5c9 |
droits de root. Ne l'utilisez que si vous êtes absolument sûr de
|
|
Packit |
90a5c9 |
comprendre ce que vous faites !
|
|
Packit |
90a5c9 |
|
|
Packit |
90a5c9 |
|
|
Packit |
90a5c9 |
|
|
Packit |
90a5c9 |
|
|
Packit |
90a5c9 |
|
|
Packit |
90a5c9 |
Description:Définit l'identifiant du groupe sous lequel s'exécute un
|
|
Packit |
90a5c9 |
serveur virtuel.
|
|
Packit |
90a5c9 |
Syntaxe:VHostGroup identifiant-groupe-unix
|
|
Packit |
90a5c9 |
Défaut:Hérite de l'identifiant du groupe spécifié par la directive
|
|
Packit |
90a5c9 |
Group
|
|
Packit |
90a5c9 |
Contexte:serveur virtuel
|
|
Packit |
90a5c9 |
Statut:Expérimental
|
|
Packit |
90a5c9 |
Module:mod_privileges
|
|
Packit |
90a5c9 |
Compatibilité:Disponible sous Solaris 10 et OpenSolaris avec les
|
|
Packit |
90a5c9 |
modules MPM non-threadés (prefork ou MPM
|
|
Packit |
90a5c9 |
personnalisé).
|
|
Packit |
90a5c9 |
|
|
Packit |
90a5c9 |
La directive VHostGroup permet de définir
|
|
Packit |
90a5c9 |
l'identifiant du groupe unix sous lequel le serveur va traiter les
|
|
Packit |
90a5c9 |
requêtes par l'intermédiaire d'un serveur virtuel. L'identifiant
|
|
Packit |
90a5c9 |
du groupe est défini avant le traitement de la requête, puis
|
|
Packit |
90a5c9 |
restauré à sa valeur de départ via les Privilèges
|
|
Packit |
90a5c9 |
Solaris. Comme la définition
|
|
Packit |
90a5c9 |
s'applique au processus, cette directive est incompatible
|
|
Packit |
90a5c9 |
avec les modules MPM threadés.
|
|
Packit |
90a5c9 |
Unix-group peut être :
|
|
Packit |
90a5c9 |
|
|
Packit |
90a5c9 |
Un nom de groupe
|
|
Packit |
90a5c9 |
Fait référence au groupe donné par son nom.
|
|
Packit |
90a5c9 |
|
|
Packit |
90a5c9 |
# suivi d'un numéro de groupe.
|
|
Packit |
90a5c9 |
Fait référence au groupe donné par son numéro.
|
|
Packit |
90a5c9 |
|
|
Packit |
90a5c9 |
|
|
Packit |
90a5c9 |
Sécurité
|
|
Packit |
90a5c9 |
Cette directive ne peut pas être utilisée pour exécuter Apache en
|
|
Packit |
90a5c9 |
tant que root ! Elle est tout de même susceptible de poser des
|
|
Packit |
90a5c9 |
problèmes de sécurité similaires à ceux décrits dans la
|
|
Packit |
90a5c9 |
documentation de suexec.
|
|
Packit |
90a5c9 |
|
|
Packit |
90a5c9 |
Voir aussi
|
|
Packit |
90a5c9 |
|
|
Packit |
90a5c9 |
Group
|
|
Packit |
90a5c9 |
SuexecUserGroup
|
|
Packit |
90a5c9 |
|
|
Packit |
90a5c9 |
|
|
Packit |
90a5c9 |
|
|
Packit |
90a5c9 |
|
|
Packit |
90a5c9 |
|
|
Packit |
90a5c9 |
Description:Assigne des privilèges à un serveur virtuel.
|
|
Packit |
90a5c9 |
Syntaxe:VHostPrivs [+-]?nom-privilège [[+-]?nom-privilège] ...
|
|
Packit |
90a5c9 |
Défaut:Aucun
|
|
Packit |
90a5c9 |
Contexte:serveur virtuel
|
|
Packit |
90a5c9 |
Statut:Expérimental
|
|
Packit |
90a5c9 |
Module:mod_privileges
|
|
Packit |
90a5c9 |
Compatibilité:Disponible sous Solaris 10 et OpenSolaris avec les
|
|
Packit |
90a5c9 |
modules MPM non-threadés (prefork ou MPM
|
|
Packit |
90a5c9 |
personnalisé) et lorsque mod_privileges est construit
|
|
Packit |
90a5c9 |
avec l'option de compilation
|
|
Packit |
90a5c9 |
BIG_SECURITY_HOLE.
|
|
Packit |
90a5c9 |
|
|
Packit |
90a5c9 |
La directive VHostPrivs permet d'assigner
|
|
Packit |
90a5c9 |
des privilèges au choix à un serveur virtuel. Chaque
|
|
Packit |
90a5c9 |
nom-privilège correspond à un privilège Solaris tel que
|
|
Packit |
90a5c9 |
file_setid ou sys_nfs.
|
|
Packit |
90a5c9 |
|
|
Packit |
90a5c9 |
nom-privilège peut être éventuellement préfixé par +
|
|
Packit |
90a5c9 |
ou -, ce qui va respectivement accorder ou refuser le privilège. Si
|
|
Packit |
90a5c9 |
nom-privilège est spécifié sans + ni -, tous les autres
|
|
Packit |
90a5c9 |
privilèges préalablement assignés au serveur virtuel seront refusés.
|
|
Packit |
90a5c9 |
Cette directive permet de construire aisément votre propre jeu de
|
|
Packit |
90a5c9 |
privilèges en annulant tout réglage par défaut.
|
|
Packit |
90a5c9 |
|
|
Packit |
90a5c9 |
Sécurité
|
|
Packit |
90a5c9 |
L'utilisation de cette directive peut ouvrir d'immenses trous de
|
|
Packit |
90a5c9 |
sécurité dans Apache, jusqu'au traitement de requêtes avec les
|
|
Packit |
90a5c9 |
droits de root. Ne l'utilisez que si vous êtes absolument sûr de
|
|
Packit |
90a5c9 |
comprendre ce que vous faites !
|
|
Packit |
90a5c9 |
|
|
Packit |
90a5c9 |
|
|
Packit |
90a5c9 |
|
|
Packit |
90a5c9 |
|
|
Packit |
90a5c9 |
|
|
Packit |
90a5c9 |
Description:Détermine si le serveur s'exécute avec une sécurité avancée
|
|
Packit |
90a5c9 |
pour les serveurs virtuels.
|
|
Packit |
90a5c9 |
Syntaxe:VHostSecure On|Off
|
|
Packit |
90a5c9 |
Défaut:VHostSecure On
|
|
Packit |
90a5c9 |
Contexte:serveur virtuel
|
|
Packit |
90a5c9 |
Statut:Expérimental
|
|
Packit |
90a5c9 |
Module:mod_privileges
|
|
Packit |
90a5c9 |
Compatibilité:Disponible sous Solaris 10 et OpenSolaris avec les
|
|
Packit |
90a5c9 |
modules MPM non-threadés (prefork ou MPM
|
|
Packit |
90a5c9 |
personnalisé).
|
|
Packit |
90a5c9 |
|
|
Packit |
90a5c9 |
Détermine si les serveurs virtuels traitent les requêtes avec une
|
|
Packit |
90a5c9 |
sécurité avancée en supprimant les Privilèges rarement requis par un serveur web, mais disponibles
|
|
Packit |
90a5c9 |
par défaut pour un utilisateur Unix standard, et donc susceptibles
|
|
Packit |
90a5c9 |
d'être demandés par des modules et des applications. Il est
|
|
Packit |
90a5c9 |
recommandé de conserver la définition par défaut (On), sauf si elle
|
|
Packit |
90a5c9 |
empêche une application de fonctionner. Comme la définition
|
|
Packit |
90a5c9 |
s'applique au processus, cette directive est incompatible
|
|
Packit |
90a5c9 |
avec les modules MPM threadés.
|
|
Packit |
90a5c9 |
Note
|
|
Packit |
90a5c9 |
Le fait que la directive VHostSecure
|
|
Packit |
90a5c9 |
empêche une application de fonctionner peut constituer un signal
|
|
Packit |
90a5c9 |
d'avertissement indiquant que la sécurité de l'application doit être
|
|
Packit |
90a5c9 |
revue.
|
|
Packit |
90a5c9 |
|
|
Packit |
90a5c9 |
|
|
Packit |
90a5c9 |
|
|
Packit |
90a5c9 |
|
|
Packit |
90a5c9 |
|
|
Packit |
90a5c9 |
Description:Définit l'identifiant utilisateur sous lequel s'exécute un
|
|
Packit |
90a5c9 |
serveur virtuel.
|
|
Packit |
90a5c9 |
Syntaxe:VHostUser identifiant-utilisateur-unix
|
|
Packit |
90a5c9 |
Défaut:Hérite de l'identifiant utilisateur spécifié par la directive
|
|
Packit |
90a5c9 |
User
|
|
Packit |
90a5c9 |
Contexte:serveur virtuel
|
|
Packit |
90a5c9 |
Statut:Expérimental
|
|
Packit |
90a5c9 |
Module:mod_privileges
|
|
Packit |
90a5c9 |
Compatibilité:Disponible sous Solaris 10 et OpenSolaris avec les
|
|
Packit |
90a5c9 |
modules MPM non-threadés (prefork ou MPM
|
|
Packit |
90a5c9 |
personnalisé).
|
|
Packit |
90a5c9 |
|
|
Packit |
90a5c9 |
La directive VHostUser permet de définir
|
|
Packit |
90a5c9 |
l'identifiant utilisateur unix sous lequel le serveur va traiter les
|
|
Packit |
90a5c9 |
requêtes par l'intermédiaire d'un serveur virtuel. L'identifiant
|
|
Packit |
90a5c9 |
utilisateur est défini avant le traitement de la requête, puis
|
|
Packit |
90a5c9 |
restauré à sa valeur de départ via les Privilèges
|
|
Packit |
90a5c9 |
Solaris. Comme la définition
|
|
Packit |
90a5c9 |
s'applique au processus, cette directive est incompatible
|
|
Packit |
90a5c9 |
avec les modules MPM threadés.
|
|
Packit |
90a5c9 |
identifiant-utilisateur-unix peut être :
|
|
Packit |
90a5c9 |
|
|
Packit |
90a5c9 |
Un nom d'utilisateur
|
|
Packit |
90a5c9 |
Fait référence à l'utilisateur donné par son nom.
|
|
Packit |
90a5c9 |
|
|
Packit |
90a5c9 |
# suivi d'un numéro d'utilisateur.
|
|
Packit |
90a5c9 |
Fait référence à l'utilisateur donné par son numéro.
|
|
Packit |
90a5c9 |
|
|
Packit |
90a5c9 |
|
|
Packit |
90a5c9 |
Sécurité
|
|
Packit |
90a5c9 |
Cette directive ne peut pas être utilisée pour exécuter Apache en
|
|
Packit |
90a5c9 |
tant que root ! Elle est tout de même susceptible de poser des
|
|
Packit |
90a5c9 |
problèmes de sécurité similaires à ceux décrits dans la
|
|
Packit |
90a5c9 |
documentation de suexec.
|
|
Packit |
90a5c9 |
|
|
Packit |
90a5c9 |
Voir aussi
|
|
Packit |
90a5c9 |
|
|
Packit |
90a5c9 |
User
|
|
Packit |
90a5c9 |
SuexecUserGroup
|
|
Packit |
90a5c9 |
|
|
Packit |
90a5c9 |
|
|
Packit |
90a5c9 |
|
|
Packit |
90a5c9 |
|
|
Packit |
90a5c9 |
Langues Disponibles: en |
|
|
Packit |
90a5c9 |
fr
|
|
Packit |
90a5c9 |
Notice:This is not a Q&A section. Comments placed here should be pointed towards suggestions on improving the documentation or server, and may be removed again by our moderators if they are either implemented or considered invalid/off-topic. Questions on how to manage the Apache HTTP Server should be directed at either our IRC channel, #httpd, on Freenode, or sent to our mailing lists.
|
|
Packit |
90a5c9 |
<script type="text/javascript">
|
|
Packit |
90a5c9 |
var comments_shortname = 'httpd';
|
|
Packit |
90a5c9 |
var comments_identifier = 'http://httpd.apache.org/docs/2.4/mod/mod_privileges.html';
|
|
Packit |
90a5c9 |
(function(w, d) {
|
|
Packit |
90a5c9 |
if (w.location.hostname.toLowerCase() == "httpd.apache.org") {
|
|
Packit |
90a5c9 |
d.write('
|
|
Packit |
90a5c9 |
var s = d.createElement('script');
|
|
Packit |
90a5c9 |
s.type = 'text/javascript';
|
|
Packit |
90a5c9 |
s.async = true;
|
|
Packit |
90a5c9 |
s.src = 'https://comments.apache.org/show_comments.lua?site=' + comments_shortname + '&page=' + comments_identifier;
|
|
Packit |
90a5c9 |
(d.getElementsByTagName('head')[0] || d.getElementsByTagName('body')[0]).appendChild(s);
|
|
Packit |
90a5c9 |
}
|
|
Packit |
90a5c9 |
else {
|
|
Packit |
90a5c9 |
d.write('
|
|
Packit |
90a5c9 |
}
|
|
Packit |
90a5c9 |
})(window, document);
|
|
Packit |
90a5c9 |
//--></script>
|
|
Packit |
90a5c9 |
Copyright 2018 The Apache Software Foundation.
Autorisé sous Apache License, Version 2.0.
|
|
Packit |
90a5c9 |
Modules | Directives | FAQ | Glossaire | Plan du site <script type="text/javascript">
|
|
Packit |
90a5c9 |
if (typeof(prettyPrint) !== 'undefined') {
|
|
Packit |
90a5c9 |
prettyPrint();
|
|
Packit |
90a5c9 |
}
|
|
Packit |
90a5c9 |
//--></script>
|
|
Packit |
90a5c9 |
</body></html>
|
