人間とウェブの未来

これまでのApache2.2系以前でのアクセス制御の書き方は賛否両論でした。僕はあまり好きじゃありませんでした。

過去のアクセス制御に関しては、以下の記事がとてもわかりやすくまとめられていると思います。

こせきの技術日記 – Apacheのアクセス制御をちゃんと理解する。

ここで、以下のように言及されています。

こんなバッドノウハウ、本当はどうでもいいと思う。Apache 3.0では、かっこいいDSL(VCL)で書けるようにする構想があるらしいのでがんばってほしい。

ということで、2.4系ではDSLとはいかないまでも、Require*というディレクティブを使ったモダンな書き方ができるようになったので、それを2.2系以前のアクセス制御の記述と比較しながら紹介したいと思います。

基本的なアクセス制御

2.2系以前のアクセス制御では、Order、Deny、Allow、Satisfy等を利用して書いてきました。これが非常にやっかいで分かりにくく、結構はまった人も多いんじゃないかと思います。

こせきの技術日記 – Apacheのアクセス制御をちゃんと理解する。に詳しく言及されていますが、例えば、ある特定のIPアドレスからのみアクセスを許可したい場合は、以下のように書く必要があります。

これを、例えば以下のように書いてしまうと、全てのアクセスを拒否してしまいます。

非常にわかりにくい！なんだこれは！と個人的には思っています。こういうミスではまった人も多いんじゃないでしょうか。

そこで、Apache2.4系のRequireを使うと、上記を以下のように書く事ができます。

シンプルですね。非常にわかりやすいです。

Require ipのほかにも、Require hostとかけたりします。この辺りはApache2.4のマニュアルを見るといくつかentityについて書かれれているでしょう。基本は以下のような文法です。

グループ単位でアクセス制御する場合は、以下のように書けます。

リクエストメソッドでも、以下のように簡単にかけます。

また、ローカルから（127.0.0.1だったり::1だったり自身のグローバルIPアドレスだったり）を許可する場合は、まるっと以下のようにも書けます。

正規表現や環境変数を利用したアクセス制御

さらに、環境変数を使ったアクセス制御で、2.2系以前では以下のように書いていました。たとえば、User-Agentが特定のものだけを許可するようなアクセス制御だと、以下のように書きます。

それを、Apache2.4系のモダンな書き方では以下のように書きます。

グッとシンプルかつ分かりやすい記述になりましたね。さらにこれをスーパーモダンに書くと以下のようになります。

さらにシンプルになりました。この、Require exprを使うと、例えば、ある時間帯のみアクセスを許可するような設定も、以下のように簡単かつモダンに書けてしまいます。

簡単ですね。

複数の制御を組み合わせたアクセス制御

さらにApache2.4系のモダンなアクセス制御では、以下のようなディレクティブを使う事ができます。

• RequireAll
  • 2.2系以前のSatisfy Allのような意味で全ての条件にマッチするば新
• RequireAny
  • 2.2系以前のSatisfy Anyのような意味で1つ以上の条件にマッチすれば真
• RequireNone
  • どれにもマッチしなければ真

上記のディレクティブを使って、複数の条件を組み合わせてアクセス制御をモダンに記述することができます。

例えば、特定のIPレンジから、かつ、特定のグループからのみアクセスできる記述は以下のようになります。

さらに、「特定のIPレンジからならアクセスOKだし、特定のIPレンジ以外でも特定のグループに属していればアクセス可能」という記述をしたい場合、2.2系以前ではSatisyfy anyを使って以下のように書く必要がありました。

しかし、これを2.4系のモダンなアクセス制御に書き換えると、RequireAnyを使って以下のように書きます。

直観的で、少しDSLっぽくなってきたようにも思えます。Orderを使ってはまっていたのと比べると、非常にわかりやすくなったと思います。

少し複雑なアクセス制御を書いてみよう

最後は、少し複雑なアクセス制御を実装してみましょう。

例えば、

「アクセス元のuserがsuperadminだったら無条件で許可、または、IPアドレスが192.168配下で、かつ、adminグループであるか192.168.1以下のIPアドレスっだたら許可。ただし、上記が問題なくても、groupがblacklistに所属している場合はさすがにだめ」

を書きたいとします。これを実際にモダンなアクセス制御の記述で書いてみると以下のようになります。

プログラムの経験がある人だと、それなりに後から読んでも理解できそうに思えます。これを2.2系以前の書き方で書くとどうなるか、考えてもいませんが、どうなるか見てみたいものです。

最後に

以上が、2.4系からのモダンなアクセス制御の書き方になります。DSL、とまではいかないかもしれませんが、Require[All,Any,None]ディレクティブの存在やRequire entityの存在によって、かなり可読性があがり、直観的に書けるようになったと、個人的に思っています。

また、今回は混乱を招かないように、IfやElseIf、Else等をあえて紹介しないようにしましたが、それらの条件式を使うとさらに柔軟でDSLのような記述ができるようになりますので、色々試してみて下さい。それらで工夫して書いてみたアクセス制御の記述とか見てみたいです。

皆さんもぜひ、Require*を使ったモダンなアクセス制御で記述して、「あー、セキュリティ的にやっちゃってたー」みたいな事にならないようにして頂ければ、この記事を書いて良かったとうれしくなります。