我不确定这是否是提出此类问题的正确地方,但同时我也不知道有更好的地方,所以请耐心等待。
我已将 Apache 配置为 PostGraphile 服务的反向代理。我的想法是使用 Apache 进行 Kerberos 身份验证,然后使经过身份验证的用户可以使用 PostGraphile 服务。
我还需要向该服务传递一些自定义标头。
此时,我可以启用 Kerberos 身份验证或传递标头。一旦我启用身份验证,服务端就不会出现标头。
这是我的虚拟主机配置:
<VirtualHost *:80>
<Location />
AuthType Kerberos
AuthName "Kerberos Authentication"
KrbAuthRealsm MY.REALM
KrbServiceName HTTP
BrowseMatch Windows gssapi-no-negotiate
KrbMethodNegotiate on
KrbMethodK5Passwd off
Krb5Keytab /path/to/keytab.keytab
# require valid-user # with this line uncomented headers defined later do not appear on service side
require all granted # with this line uncommented headers defined later do appear on service side however any user can access the service
ProxyPass 'http://my.service:5000'
ProxyPassReverse 'http://my.service:5000'
</Location>
<Proxy *>
Order Deny,Allow
Deny from all
Allow from local.ip.range
</Proxy>
RequestHeader set MYCUSTOMHEADER foo
</VirtualHost>
我没什么主意了。
我一直在阅读 Apache 文档、auth_mode_kerb 文档、堆栈线程和博客,但似乎我在这里遇到了一些奇怪的错误或缺少了一些基本的东西......
任何提示都会非常受欢迎
答案1
经过试验,我终于找到了满足我需求的解决方案,但我必须承认,我不知道为什么它会按照看起来的方式工作。
如果我在配置中添加以下内容,我就可以在Authorization
标题中传递我需要的信息。
RewriteEngine On
RewriteCond %{LA-U:REMOTE_USER} (.+)
RewriteRule .* - [E=RU:%1]
RequestHeader add Authorization %{RU}e
但是其他自定义标题仍然没有出现,这对我来说仍然是一个谜。
编辑:
经过进一步的调整,我发现只要我覆盖授权标头,我的自定义标头也会显示出来。如果能了解这是预期行为(可能是安全功能)还是 mod-auth-kerb 中的错误,那就太好了。
编辑:
KrbAuthRealsm
匿名用户强调说(应该是)中有一个拼写错误KrbAuthRealm
- 我无法访问该测试台并且不记得我是复制/粘贴还是键入,但是由于同一位匿名用户决定删除答案,因此我在此处将其添加为编辑。