5. アクセスコントロールモデルの導入
5.1. Apache 2.0
「セキュアなWebDAVサーバの導入」においてRed HatおよびDebianにおけるApache 2.0 の設定を示した。どちらにおいてもWebDAVに関する設定はssl.confにまとめているので、こ こでは両者を一括して記述する。
5.1.1. HTTP ユーザの作成
Apacheにおいては、HTTP認証の対象となるユーザはOSのユーザとは別に取り扱われる。
そのため、ユーザ認証を行うためにはまずHTTPユーザを作成する必要がある。
最初に、パスワードファイルを置く場所を決める。パスワードファイルをHTTPでアクセス されないように、コンテンツとは異なる空間に置くことが望ましい。ここでは同様に取り扱われ
るべきApacheの設定ファイルと同じディレクトリ内に置くことにする。
Red Hat 8.0では、/etc/httpd/auth、Debianでは/etc/apache2/authディレクトリをそれぞれ 作成し、その中にpasswdという名前で作成する。
# mkdir /etc/apache2/auth
ユーザの作成、パスワードの管理はhtpasswd（Debianではhtpasswd2）コマンドで行う。
初回のみ「-c」オプションをつけ、passwdファイルの新規作成を行う。
# /usr/bin/htpasswd2 -c /etc/apache2/auth/passwd user1 New password:
Re-type new password:
Adding password for user user1
# /usr/bin/htpasswd2 /etc/apache2/auth/htpass user2 New password:
Re-type new password:
Adding password for user user2
グループを作成する場合は、パスワードファイルと同じディレクトリに group というテキス トファイルを作成する。このファイルにはグループ名と所属するユーザを列挙して定義する。例 として、user1とuser2がWebDAVグループに含まれる場合のgroupの内容を以下に示す。
webdav: user1 user2
5.1.2. ユーザ認証
ユーザ認証を行うためには、まず認証方式やパスワードファイルの所在を指定する必要があ る。以下のディレクティブを用いて指定する。
表 5-1 ユーザ認証に関するディレクティブ
AuthType 認証方式の指定。Basic又はDigest。
AuthName 認証の領域（realm）を示す。
AuthUserFile HTTPパスワードファイルを指定する
ユーザ認証によるアクセスコントロールにはrequireディレクティブを用いる。書式を示す。
表 5-2 requireディレクティブの書式
require user <username*> 指定したユーザを許可する require group <groupname*> 指定したグループを許可する
require valid-user AuthUserFile に含まれる全てのユーザ
5.1.3. メソッド実行の制限
Apacheでは、LimitディレクティブおよびLimitExceptディレクティブによりメソッドの実 行を制限できる。Limitは指定したメソッドの実行を制限し、LimitExceptは指定したメソッド 以外の実行を制限する。条件の例を以下に示す。
HTTP/1.1ブラウザからのアクセスは無条件で許可
WebDAV関連メソッドの実行は認証が必要（WebDAVグループに対して許可）
上のような条件の場合は、LimitExceptを用いて以下のように記述できる。ただしCGIを用 いる際にはPOSTメソッドの実行も例外として無条件に許可することが必要な場合もある。
<LimitExcept GET HEAD OPTIONS>
Dav on
require group webdav
</LimitExcept>
コンテンツの公開に対しても認証によるアクセスコントロールを行う場合は、requireの対象 となるユーザー（もしくはグループ）を変えることで実現する。以下に示す例ではvisitorグル ープを用いている。visitor グループに WebDAV グループのメンバーが含まれていないと、
webdavグループのメンバーによるブラウズが行えなくなることには注意を要する。
<Limit GET HEAD OPTIONS>
require group visitor
</Limit>
<LimitExcept GET HEAD OPTIONS>
Dav on
require group webdav
</LimitExcept>
5.1.4. スクリプトソース編集用空間
スクリプトのソースをWebDAV から編集可能にする場合は、cgi の許可方法に特に注意する 必要がある。AddHandlerディレクティブを上書きできないので、仮想ホスト全体に対して.cgi を指定したAddHandlerを設定するとその仮想ホストではForceTypeディレクティブを用いた ソースへのアクセスができなくなる。（ただし、これはセキュリティ上有益な仕様である）
スクリプトはScriptAliasディレクティブを用いて/cgi-binなどの特定の空間に集約させるこ とが望ましい。Red HatとDebianにはデフォルト設定で/cgi-binが用意されており、その実体 はRed Hatは/var/www/cgi-bin、Debianは/usr/lib/cgi-binに存在する。
Debianにおいて、/usr/lib/cgi-binにソース編集可能なWebDAV空間を設定する例を示す。
ScriptAlias /cgi-bin /usr/lib/cgi-bin Alias /webdav-script "/usr/lib/cgi-bin"
<Location /webdav-script>
（略）
Dav on
require group webdav ForceType text/plain
</Location>
5.1.5. その他の設定
(a) メッセージボディの制限
WebDAV メソッドのメッセージボディはXML で記述されているが、その最大サイズの制限
を行う方法は通常のリクエストボディと異なり、LimitXMLRequestBody ディレクティブで指 定する。ただし、この制限は全てのXMLメッセージボディに影響するので注意が必要である。
(b) Depth ヘッダの制限
WebDAVプロトコルには、巨大なコレクションに対してDepthヘッダでInfinityを指定した 要求を発行することによりDoS攻撃が成立する問題が存在する。これに対応するため、Apache 2ではデフォルト状態ではDepthヘッダにInfinityを指定できない。DavDepthInfinityをon に変更は可能だが、セキュリティ上の観点からoffのままで運用することが望ましい。