(Apache + SVN) Групповая / IP-аутентификация / авторизация - PullRequest
0 голосов
/ 01 июля 2019

Предполагая, что у каждого пользователя есть обычная учетная запись пользователя"test" и индивидуальная учетная запись администратора"test-adm" для выделенной части на сервере.

Я хочу предоставить доступ к области на сервере (репозиторий SVN), когда пользователь приходит с « admin-account » из определенного диапазона IP-адресов ,В то же время эта учетная запись администратора не должна иметь права на запись для остальной части сервера.

Эта учетная запись администратора не должна работать в защищенной области.вне диапазона IP-адреса , но есть другие (LDAP) группы пользователей, которым должен быть разрешен доступ к защищенной области с использованием их учетной записи обычного пользователя .

Есть лилюбой подход к реализации концепции взаимного исключения в рамках ограничения доступа пользователей в Apache?


Матрица доступа к «защищенному» репо

1 Ответ

0 голосов
/ 01 июля 2019

Я хочу предоставить доступ к области на сервере (репозиторий SVN), когда пользователь приходит с «учетной записью администратора» из определенного диапазона IP-адресов

ACL на основе IP-адресов вне области действия для SVN Авторизация на основе пути - он знает только сущности "пользователь", "группа", "путь внутри репо"

В то же время эта учетная запись администратора не должна иметь права на запись в остальная часть сервера.

Это также ответственность (Apache), а не SVN-части

Этот админ-аккаунт не должен работать на охраняемой территории извне диапазон IP-адресов, но есть другие (LDAP) группы пользователей,

У вас есть еще худший случай - SVN может использовать имена пользователей из других слоев авторизации в authz-файле (даже LDAP | AD), но не имеет доступа к LDAP-группам , вам нужно перенести LDAP- группы в SVN (но некоторые решения уже существуют)

И если | если у одного пользователя может быть две роли (ro или rw), в зависимости от условий, это работа подсистемы авторизации вне SVN, чтобы представлять ее как разных пользователей, вы должны спросить LDAP-гуру о возможностях (это будет проще и быстрее, чем включить в другую группу и синхронизировать группы с SVN)

...