.htaccess -> ohne GroupsFile - Bitte um Hilfe

[Aqua]

Hallo =))

Bitte bitte helft mir mal eben,
ich habe den Artikel http://de.selfhtml.org/diverses/htaccess.htm
aufmerksam durchgelesen,  und war auch in der Lage mit den
Beispielen ein Verzeichnis mit Passwort zu schützen.

Der Artikel beschreibt nur,
wie es geht wenn man einen user-datei UND eine groups-datei
verwendet und mit Gruppen arbeitet.

Es wird zwar auch gesagt, dass es auch ohne Gruppen geht,
aber wenn ich das Probiere,  klappts nicht mehr.

Daher wollte ich um ein sicher funktionierendes
Beispiel bitten wie das auch OHNE "groups" geht.

Oder sollte ich unbedingt groups verwenden?

Muss ich eigentlich in der .htaccess immer die neuen User
die ich hinzufüge mit require dazuschreiben oder geht das, dass ich
dir nur mehr in die "user" datei schreibe?

Wie gesagt,
bitte um ein Beispiel mit .htaccess für Passwortschutz
ohne groups (ausser man sollte die unbedingt verwenden,
aber für mich macht das nicht viel sinn bei 10 Benutzern auf oder ab)

Danke!
Aqua

[Markus Pitha]

Hallo,
also ich habe es bisher nie mit Groups gemacht, weil mir der Nutzen hierbei nicht ganz klar ist. Mein Passwortschutz sieht so aus:

.htaccess
---------------------
AuthUserFile /absoluter/serverpfad/zu/.htpasswd
AuthType Basic
AuthName name_der_in_der_eingabebox_angezeigt_wird
require user Anmeldename

.htpasswd
---------------------
Anmeldename:kodiertesPasswort

Markus.

[Christoph Schnauß]

hallo Aqua,

ich habe den Artikel http://de.selfhtml.org/diverses/htaccess.htm
aufmerksam durchgelesen

Brav. Allerdings ist der Artikel nicht mehr ganz taufrisch, Michael Schröpl hat überlegt, ob er ihn neu fassen sollte, aber mittlerweile steht er dem Forum hier bedauerlicherweise so gut wie nicht mehr zur Verfügung. Es schadet trotzdem nix, seinen Artikel gründlich zu lesen, vieles ist nach wie vor gültig.

Der Artikel beschreibt nur, wie es geht wenn man einen user-datei UND eine groups-datei verwendet und mit Gruppen arbeitet.

Selbstverständlich. Weil ein "Benutzer" auf einer UNIX-/LINUX-Kiste nun einmal zu einer Gruppe gehört, anders hat er keine Existenzberechtigung.

Es wird zwar auch gesagt, dass es auch ohne Gruppen geht,
aber wenn ich das Probiere,  klappts nicht mehr.

Laß es lieber. Ja, es geht auch, wenn man die Gruppenzugehörigkeit des "users" außen vor läßt  -  vorausgesetzt, die Rechte für die Gruppe, der dieser "user" nun einmal angehört, sind bereits gesetzt.

Daher wollte ich um ein sicher funktionierendes
Beispiel bitten wie das auch OHNE "groups" geht.

Ein wirklich _sicher_ funktionierendes Beispiel bekommst du erst, wenn die Einstellungen für die Gruppe korrekt sind.

Oder sollte ich unbedingt groups verwenden?

Jaein. Du solltest dir überlegen, welchen Zusammenhang es zwischen diesen scheinbar verschiedenen Einstellungen gibt.

Muss ich eigentlich in der .htaccess immer die neuen User
die ich hinzufüge mit require dazuschreiben oder geht das, dass ich
dir nur mehr in die "user" datei schreibe?

Beides ;-)

bitte um ein Beispiel mit .htaccess für Passwortschutz

och, Aqua ... du solltest doch wissen, daß du gerade zu diesem Thema Unmengen an teilweise sogar ganz informativen Beiträgen im Forums-Archiv findest.

Grüße aus Berlin

Christoph S.

[wahsaga]

hi,

Es wird zwar auch gesagt, dass es auch ohne Gruppen geht,
aber wenn ich das Probiere,  klappts nicht mehr.

Laß es lieber. Ja, es geht auch, wenn man die Gruppenzugehörigkeit des "users" außen vor läßt  -  vorausgesetzt, die Rechte für die Gruppe, der dieser "user" nun einmal angehört, sind bereits gesetzt.

sorry, aber ich sehe absolut keinen grund, den user einer gruppe zuzuordnen, wenn es lediglich darum geht, eine webseite zu schützen, so das ein einzelner user zugriff darauf hat (und darum geht's ja idR. bei solchen fragen).

Der Artikel beschreibt nur, wie es geht wenn man einen user-datei UND eine groups-datei verwendet und mit Gruppen arbeitet.

Selbstverständlich. Weil ein "Benutzer" auf einer UNIX-/LINUX-Kiste nun einmal zu einer Gruppe gehört, anders hat er keine Existenzberechtigung.

ich sehe hier absolut keinen bezug zum rechtesystem von unix/linux.
klar, den kann es u.U. geben - z.b. könnte man ja als password-/group-datei einfach eine angeben, die auf dem system sowieso schon existent ist und auch für andere zwecke genutzt wird.

aber das ist doch, wenn du das in einer furznormalen shared hosting umgebung einsetzt, so gut wie nie der fall.

fazit: es macht in meinen augen absolut keinen sinn, hier den user einer gruppe zuzuordnen, wenn man nur ein verzeichns "per htaccess" schützen will.

gruß,
wahsaga

[Christoph Schnauß]

hallo,

grmpf, ich sollte doch lieber angegebene links korrekt nachlesen und nicht an das denklen, was ich grade selber mal wieder nachgelesen habe. Aqua hat _nicht_ den Artikel von Michael gemeint, sondern das Beispiel, das eh in SELFHTML enthalten ist.

sorry, aber ich sehe absolut keinen grund, den user einer gruppe zuzuordnen

Alles hängt von den Anmeldedaten ab. Ich gehe einfach nicht davon aus, daß die ganze Anmeldeprozedur für einen Apache gelten soll, der auf einer Windows-Kiste läuft.

fazit: es macht in meinen augen absolut keinen sinn, hier den user einer gruppe zuzuordnen

_du_ mußt das normalerweise auch nicht zwingend machen, weil dir der Server bereits vorschreiben sollte, in welche Gruppe du gehörst.

Grüße aus Berlin

Christoph S.

[Christoph Schnauß]

hi,

ausschlaggebend ist letzten Endes: "In general, you should never use .htaccess files unless you don't have access to the main server configuration file. There is, for example, a prevailing misconception that user authentication should always be done in .htaccess files. This is simply not the case. You can put user authentication configurations in the main server configuration, and this is, in fact, the preferred way to do things."

Nachlesbar in http://httpd.apache.org/docs-2.0/howto/htaccess.html

Nun muß man nur noch darüber nachdenken, was denn eine "prevailing misconception" sein könnte. Aber möglicherweise bringt dieser Rückverweis auf die Apache-Dokumentation mehr Verwirrung als Klarheit. Es ist nicht immer erkennbar, ob und wann sich die Apache-Doku an den Server-Administrator oder aber an einen "user" wendet, der ja keinen Zugriff auf die httpd.conf selbst hat.

Grüße aus Berlin

Christoph S.

[Aqua]

Hallo Christoph!

Danke für die lange Antwort!

Ein wirklich _sicher_ funktionierendes Beispiel bekommst du erst, wenn die Einstellungen für die Gruppe korrekt sind.

und wie / wann  sind die einstellungen für die Gruppe korrekt?
Wenn ich das Beispiel von Selfhtml http://de.selfhtml.org/diverses/htaccess.htm
1:1 kopiere also sowohl die user-file als auch die groups-file und die htaccess-file, habe ich dann einen ausreichenden Schutz?

Oder sind die Gruppen imaginaer und ich muss schauen dass ich
tatsaechliche Gruppen finde die der Unix Server kennt?

Wie falsch sind die Beispiele in Self zur htaccess?

Warum ist das nicht so sicher oder unsicher
wenn man keinen Zugriff zur  httpd.conf hat wie
du in deinem Nachtrag geschrieben hast?

Ist das ganze nun überhaupt nicht sicher wenn ich es 1:1 so mache
wie es in http://de.selfhtml.org/diverses/htaccess.htm steht?

Danke!
Aqua

[wahsaga]

hi,

und wie / wann  sind die einstellungen für die Gruppe korrekt?

vergiss das einfach wieder, und halte dich an markus antwort - lasse das
require group hassenichgesehen
einfach weg.

Oder sind die Gruppen imaginaer und ich muss schauen dass ich
tatsaechliche Gruppen finde die der Unix Server kennt?

nein, wozu auch?
Christoph geht m.E. zu sehr aus der sicht eines wirklichen linux-"kenners" an die sache ran - ein solcher denkt halt bei usern auch immer gleich an gruppen, weil er das rechtesystem derart verinnerlicht hat.

es mag sicher fälle geben, wo zu jedem webseiten-"benutzer" auch ein "wirklicher" benutzeraccount auf betriebssystemebene existiert, und da mag das dann auch sinnvoll sein, hier die gruppenzuordnung einfach zu übernehmen.

aber du willst hier doch kein großartiges berechtigungskonzept für mehrere dutzend user aufziehen, die in verschiedene gruppen mit jeweils unterschiedlichen berechtigungen eingeteilt sind, oder?

nein, sondern du willst lediglich den HTTP-zugriff auf ein verzeichnis derart schützen, dass man da nur mit benutzername und passwort drankommt (ob das jetzt eine gültige login-kombination werden soll, oder ob hund und kaninchen ihre eigenen zugangsdaten kriegen, ist hier auch weitgehend uninteressant).

und dafür reicht ein require valid user und eine username/passwort-kombination im .htpasswd-file m.E. vollkommen aus.

gruß,
wahsaga

[Christoph Schnauß]

hallo ;-)

Christoph geht m.E. zu sehr aus der sicht eines wirklichen linux-"kenners" an die sache ran

danke für die Blumen. Möglicherweise hast du allerdings recht.

Grüße aus Berlin

Christoph S.