액세스 제어 설정 편집

인증, 권한 및 액세스 제어 등 다양한 보안 서비스 및 기법을 통해 웹 서버에 있는 자원을 보호할 수 있습니다.

인증은 신분을 확인하는 과정입니다. 권한은 특정 사용자가 제한된 자원에 액세스할 수 있도록 허용하는 것을 의미하며 액세스 제어 기법을 통해 이러한 제한을 실행합니다. 인증 및 권한은 여러 보안 모델 및 서비스를 통해 실행될 수 있습니다.

다음 절에서는 선택한 구성에 대한 보안 설정 구성 과정에 대해 설명합니다.

인증 데이터베이스 편집

auth-db라고도 하는 인증 데이터베이스는 알려진 사용자의 데이터베이스 하나와 그 데이터베이스에 대해 클라이언트 요청을 인증하는 기법을 나타냅니다. 서버에는 동시에 여러 auth-db 항목을 구성할 수 있으며 항목은 같은 유형이나 다른 유형 또는 그 조합일 수 있습니다. auth-db 사용자 데이터베이스는 ACL 엔진에서 사용됩니다. 서버에서는 Java Realm이라는 다른 유형의 사용자 데이터베이스도 지원합니다.

  1. LDAP — 사용자 데이터는 Sun Java System Directory Server를 포함한 모든 LDAP 디렉토리 서버에 저장됩니다.

  2. 파일 — 사용자 데이터는 디스크 파일에 저장됩니다. 이 auth-db는 중앙 집중식 사용자 관리를 사용할 수 없는(또는 바람직하지 않은) 개발 또는 소규모 배포의 경우 특히 편리합니다. 파일 auth-db에서는 다양한 파일 형식을 지원합니다.

  3. PAM — PAM은 Sun Java System Web Server 7.0에서 지원되는 새로운 auth-db입니다. PAM auth-db는 인증을 Solaris PAM 스택에 위임하여 웹 서버 시스템에 있는 기존 Solaris 사용자도 웹 서버에 인증될 수 있도록 합니다. PAM auth-db는 Solaris 9 및 10(이상)에서만 지원되며 웹 서버 인스턴스가 루트로 실행 중이어야 합니다.

사용자 및 그룹 편집

관리 서버에서 LDAP 및 파일 auth-db 유형 모두의 사용자 계정, 그룹 목록, 액세스 권한, 조직 단위, 기타 사용자 및 그룹 특정 정보를 편집할 수 있습니다.

사용자 및 그룹 정보는 일반 파일에 텍스트 형식으로 저장되거나 LDAP(Lightweight Directory Access Protocol)를 지원하는 Sun Java System Directory Server와 같은 디렉토리 서버에 저장됩니다. LDAP는 개방형 디렉토리 액세스 프로토콜로 TCP/IP를 통해 실행되며 전역 규모의 수백만 항목을 수용하도록 확장될 수 있습니다.

키 파일은 해시 형식의 사용자 비밀번호와 사용자가 속한 그룹 목록이 포함된 텍스트 파일입니다. 키 파일에 저장된 사용자 및 그룹은 파일 영역에 의한 인증 및 권한 부여에만 사용되며 시스템 사용자 및 그룹과는 관계가 없습니다.

사용자 추가

  1. 구성을 선택합니다.

    구성 목록에서 구성을 선택합니다. 구성 탭을 눌러 목록을 가져옵니다.

  2. 액세스 제어 > 사용자 탭을 누릅니다.

  3. 새로 만들기 버튼을 누릅니다.

  4. 사용자 정보를 추가합니다.

    사용자 아이디 및 비밀번호를 입력합니다. 사용자가 속한 그룹을 입력합니다(선택 사항). 사용자 아이디는 반드시 고유해야 합니다. LDAP 기반 인증 DB 경우 Administration Server는 사용자 아이디가 사용 중인지 확인하기 위해 검색 기준(기본 DN) 아래의 전체 디렉토리를 검색하여 사용자 아이디가 고유함을 확인합니다. 하지만 디렉토리 서버 ldapmodify 명령줄 유틸리티(사용 가능한 경우)를 사용하여 사용자를 만들면 사용자 아이디가 고유한지 확인되지 않습니다.

그룹 추가

  1. 구성을 선택합니다.

    구성 목록에서 구성을 선택합니다. 구성 탭을 눌러 목록을 가져옵니다.

  2. 액세스 제어 > 그룹 탭을 누릅니다.

  3. 새로 만들기 버튼을 누릅니다.

  4. 그룹 이름을 입력합니다.

  5. 그룹에 사용자 추가 섹션에서 기존 사용자를 검색하여 그룹에 추가합니다.

    주 – keyfile 또는 digestfile과 같은 인증 데이터베이스에서 그룹을 만들려면 사용자를 한 명 이상 지정해야 합니다.

사용자 삭제

  1. 구성을 선택합니다.

    구성 목록에서 구성을 선택합니다. 구성 탭을 눌러 목록을 가져옵니다.

  2. 액세스 제어 > 사용자 탭을 누릅니다.

  3. 사용자를 삭제할 인증 데이터베이스를 선택합니다.

  4. 사용자 검색 입력란에 사용자 아이디를 입력하고 검색 버튼을 누릅니다.

  5. 사용자 아이디 열에서 사용자를 선택하고 삭제 버튼을 누릅니다.

    주의 주의 – 사용자를 삭제한 후 그룹에 구성원이 남지 않게 되는 경우 keyfile/digestfile 인증 데이터베이스에서 사용자를 삭제하면 연결된 그룹도 삭제됩니다. 구성원이 없는 그룹은 keyfile/digestfile 인증 데이터베이스에서 사용할 수 없기 때문입니다.

그룹 삭제

  1. 구성을 선택합니다.

    구성 목록에서 구성을 선택합니다. 구성 탭을 눌러 목록을 가져옵니다.

  2. 액세스 제어 > 그룹 탭을 누릅니다.

  3. 그룹을 삭제할 인증 데이터베이스를 선택합니다.

  4. 사용자 검색 입력란에 사용자 아이디를 입력하고 검색 버튼을 누릅니다.

  5. 사용자 아이디 열에서 사용자를 선택하고 삭제 버튼을 누릅니다.

    주 – 그룹을 삭제해도 그룹에 속한 사용자는 삭제되지 않습니다. 사용자를 직접 삭제하거나 그룹을 다시 지정해야 합니다.

액세스 제어 편집

서버는 로컬에 저장된 액세스 제어 목록(ACL)을 사용하여 인증 및 권한을 지원합니다. 이 ACL에는 자원에 대해 사용자가 가지는 액세스 권한이 설명되어 있습니다. 예를 들어, ACL에 있는 항목에서 John이라는 이름의 사용자에게 misc라는 특정 폴더에 대해 read 권한을 부여할 수 있습니다.

이 절에서는 웹 사이트의 파일 및 디렉토리에 대한 액세스를 제한하는 과정에 대해 설명합니다. 모든 서버에 대한 전역 액세스 제어 규칙을 설정할 수도 있고 특정 서버에 대한 개별 규칙을 설정할 수도 있습니다. 예를 들어, 인력 관리 부서에서는 모든 인증된 사용자가 자신의 연봉 데이터를 볼 수 있으나 오직 인력 관리 부서의 연봉을 담당하는 직원만 데이터를 업데이트할 수 있도록 제한하는 ACL을 만들 수 있습니다.

서버가 지원하는 핵심 ACL에는 기본, SSL 및 다이제스트와 같은 세 가지 유형의 인증이 있습니다.

액세스 제어 설정을 편집하려면 다음 작업을 수행하십시오.

  1. 구성 탭을 누르고 구성을 선택합니다.

  2. 액세스 제어 탭 > 액세스 제어 목록 하위 탭을 누릅니다.

  3. 새로 만들기 버튼을 눌러 새 ACL을 추가하거나 기존 ACL을 눌러 설정을 편집합니다.

새 ACL 추가

다음 절에서는 구성에 새 ACL을 추가하는 과정에 대해 설명합니다.

  1. 구성 탭을 누르고 구성을 선택합니다.

  2. 액세스 제어 탭 > 액세스 제어 목록 하위 탭을 누릅니다.

  3. 새로 만들기 버튼을 눌러 새 ACL을 추가합니다.

다음 표에서는 새 ACL 추가 페이지의 필드에 대해 설명합니다.

표 18 필드 설명 > ACL 추가

필드

설명

자원

이름 지정/URI/경로

액세스 제한을 설정해야 하는 자원의 유형을 선택하고 값을 지정합니다.

URI 자원 예 — "/sales"

경로 자원 예 — "/usr/sun/server4/docs/cgi-bin/*"

인증 DB

인증 데이터베이스를 사용하여 서버가 사용자를 인증하는 데 사용할 데이터베이스를 선택할 수 있습니다.

기본값은 keyfile입니다.

인증 방법

  1. Basic — HTTP Basic 방법을 사용하여 클라이언트에서 인증 정보를 가져옵니다. 서버에 대해 SSL을 사용하는 경우 사용자 이름 및 암호는 네트워크를 통해서만 암호화됩니다.

  2. SSL — 클라이언트 인증서를 사용하여 사용자를 인증합니다. 이 방법을 사용하려면 반드시 서버에 SSL을 사용해야 합니다. 암호화를 사용하는 경우 Basic과 SSL 메소드를 조합할 수 있습니다.

  3. Digest — 사용자 이름과 비밀번호를 일반 텍스트로 보내지 않고 브라우저가 사용자 이름과 비밀번호를 기준으로 인증하는 방법을 제공하는 인증 기법을 사용합니다. 브라우저는 MD5 알고리즘을 사용하여 웹 서버에서 제공하는 사용자 비밀번호 및 일부 정보를 사용하는 Digest 값을 만듭니다. Digest를 사용하려면 배후의 auth-db에서도 digest를 지원해야 합니다. 즉, digestfile을 사용하는 파일 auth-db 또는 Digest 인증 플러그인이 설치된 LDAP auth-db를 의미합니다.

  4. 기타 — 액세스 제어 API를 사용하여 만들어진 사용자 정의 메소드를 사용합니다.

인증 확인 프롬프트

인증 확인 프롬프트 옵션을 사용하여 인증 대화 상자에 표시되는 메시지 텍스트를 입력할 수 있습니다. 이 텍스트를 사용하여 사용자가 입력해야 하는 내용을 설명할 수 있습니다. 브라우저에 따라 사용자는 프롬프트의 처음 40자 정도만 볼 수 있습니다.

웹 브라우저는 일반적으로 사용자 이름과 비밀번호를 캐시하고 프롬프트 텍스트에 연결합니다. 사용자가 동일한 프롬프트를 가지는 서버의 파일 및 디렉토리에 액세스하는 경우에는 사용자 이름과 비밀번호를 다시 입력하지 않아도 됩니다. 특정 파일 및 디렉토리에 대해 사용자 인증을 원하는 경우 간단히 해당 자원에 대한 ACL용 프롬프트를 변경하면 됩니다.

거부된 액세스 응답

자원에 대한 액세스가 거부되었을 때의 응답 작업을 지정합니다.

1. 기본 메시지로 응답 — 서버의 표준 액세스 거부 메시지를 표시하는 경우 이 옵션을 선택합니다.

2. URL로 응답 — 요청을 다른 외부 URL 또는 오류 페이지로 전달하는 경우 이 옵션을 선택합니다.

새 ACE 추가를 참조하십시오.

새 ACE 추가

이 절에서는 선택한 구성에 대해 새 액세스 제어 항목(ACE)을 추가하는 과정에 대해 설명합니다.

  1. 구성 탭을 누르고 구성을 선택합니다.

  2. 액세스 제어 탭 > 액세스 제어 목록 > 새로 만들기 버튼을 누릅니다.

  3. 액세스 제어 항목에서 새로 만들기 버튼을 눌러 새 ACE를 추가합니다.

다음 표에서는 새 ACE 마법사 페이지의 필드에 대해 설명합니다.

표 19 필드 설명 > 새 ACE 추가

필드

설명

작업

  • 허용은 사용자 또는 시스템이 요청된 자원에 액세스할 수 있음을 나타냅니다.

  • 거부는 사용자 또는 시스템이 자원에 액세스할 수 없음을 나타냅니다.

    서버는 ACE(Access Control Expression) 목록 전체를 확인하여 액세스 권한을 판단합니다.

사용자

1.모든 사용자 — 인증이 없습니다. 모든 사용자에게 액세스를 허용합니다.

2. 인증 DB의 모든 사용자 — 인증 데이터베이스에 지정된 모든 사용자에게 액세스를 허용합니다.

3. 인증 DB의 다음 사용자만 — 인증 DB에서 선택된 사용자에 대해서만 액세스를 허용합니다.

이름, 성 및 전자 메일 주소와 같은 공통 속성을 기반으로 인증 DB를 쿼리할 수 있습니다.

그룹

그룹 인증을 사용하면 사용자가 액세스 제어 규칙에 지정된 자원에 액세스하기 전에 사용자 이름 및 비밀번호를 입력하라는 프롬프트가 표시됩니다.

이 옵션을 사용하여 특정 그룹에 대한 액세스를 제한합니다.

시작 호스트

요청을 보내는 컴퓨터를 기준으로 Administration Server 또는 웹 사이트에 대한 액세스를 제한할 수 있습니다.

  • 모든 위치는 모든 사용자 및 시스템에 대한 액세스를 허용합니다.

  • 다음 위치에서만은 특정 호스트 이름 또는 IP 주소에 대한 액세스를 제한할 수 있습니다.

다음 위치에서만 옵션을 선택하는 경우에는 호스트 이름 또는 IP 주소 필드에 와일드카드 패턴 또는 쉼표로 분리된 목록을 입력합니다. 호스트 이름을 기준으로 제한하는 것이 IP 주소를 기준으로 제한하는 것보다 유연성이 큽니다. 사용자의 IP 주소가 변경되더라도 목록을 업데이트할 필요가 없습니다. 그러나 IP 주소를 기준으로 제한하는 것이 더욱 안전합니다. 연결된 클라이언트에 대한 DNS 조회가 실패하면 호스트 이름 제한은 사용할 수 없습니다.

컴퓨터의 호스트 이름 또는 IP 주소를 검색하는 와일드카드 패턴에는 * 와일드카드만 사용할 수 있습니다. 예를 들어, 특정 도메인에 있는 모든 컴퓨터를 허용하거나 거부하려면 해당 도메인에 있는 모든 호스트와 일치하는 와일드카드 패턴(예: *.sun.com)을 입력합니다. Administration Server에 액세스하는 수퍼유저를 위해 다른 호스트 이름 및 IP 주소를 설정할 수 있습니다.

호스트 이름의 경우 *는 반드시 이름의 전체 구성 요소를 대체해야 합니다. 즉, *.sun.com은 사용할 수 있지만 *users.sun.com은 사용할 수 없습니다. 호스트 이름에 *를 사용하는 경우 가장 왼쪽에 표시해야 합니다.

예를 들어, *.sun.com은 사용할 수 있지만 users.*.com은 사용할 수 없습니다. IP 주소의 경우 *는 반드시 주소의 전체 바이트를 대체해야 합니다. 예를 들어 198.95.251.*는 사용할 수 있지만 198.95.251.3*는 사용할 수 없습니다. IP 주소에 *를 사용하는 경우 가장 오른쪽에 표시해야 합니다. 예를 들어 198.*는 사용할 수 있지만 198.*.251.30은 사용할 수 없습니다.

권한

액세스 권한은 웹 사이트의 파일 및 디렉토리에 대한 액세스를 제한합니다. 모든 액세스 권한을 허용 또는 거부하는 규칙 외에 부분적인 액세스 권한을 허용 또는 거부하는 규칙을 지정할 수 있습니다. 예를 들어, 사용자에게 파일에 대한 읽기 전용 액세스 권한을 허용하면 사용자가 정보를 볼 수 있지만 파일을 변경할 수는 없습니다.

  • 모든 액세스 권한은 기본값이며 모든 권한을 허용하거나 거부합니다.

  • 다음 권한만에서는 허용 또는 거부할 권한을 조합하여 선택할 수 있습니다.

    • 읽기는 사용자가 HTTP 메소드 GET,HEAD,POST 및INDEX를 포함하여 파일을 볼 수 있게 합니다.

    • 쓰기는 사용자가 HTTP 메소드 PUT,DELETE,MKDIR,RMDIR 및MOVE를 포함하여 파일을 변경 및 삭제할 수 있게 합니다. 파일을 삭제하려면 사용자에게 반드시 쓰기 및 삭제 권한이 있어야 합니다.

    • 실행은 사용자가 서버측 응용 프로그램(예: CGI 프로그램, Java 애플릿 및 에이전트)을 실행할 수 있게 합니다.

    • 삭제는 쓰기 권한을 가진 사용자가 파일 또는 디렉토리를 삭제할 수 있게 합니다.

    • 목록은 사용자가 index.html 파일을 포함하지 않는 디렉토리의 파일 목록에 액세스할 수 있게 합니다.

    • 정보는 사용자가 URI에 대한 정보(예: http_head)를 받을 수 있게 합니다 .

계속

서버는 ACE(Access Control Expression) 목록 전체를 확인하여 액세스 권한을 판단합니다. 예를 들어, 첫 번째 ACE는 보통 모든 사용자를 거부합니다. 첫 번째 ACE가 "계속"으로 설정된 경우 서버는 목록에 있는 두 번째 ACE를 확인하며, 일치하는 경우 다음 ACE를 사용합니다.

계속이 선택되지 않은 경우 자원에 대한 모든 사용자의 액세스가 거부됩니다. 서버는 일치하지 않는 ACE를 발견하거나 일치하지만 계속으로 설정되지 않은 ACE를 발견할 때까지 계속해서 목록을 검색합니다. 마지막으로 일치되는 ACE에 따라 액세스의 허용 또는 거부가 결정됩니다.

새 ACL 추가를 참조하십시오.