nginx: Grundlegende Authentifizierung & Autorisierung

Passwörter in Passwortdateien können nicht sicher gespeichert werden. Ihre Passwörter werden in der Konfiguration im Klartext und in den nginx-Passwortdateien als md5 gespeichert. Sichere Passwort-Hashes wie bcrypt, scrypt oder Argon 2 werden derzeit von nginx nicht unterstützt.

Beachten Sie auch, dass bei der einfachen Authentifizierung die Anmeldedaten im Klartext an den Server übertragen werden. Es wird empfohlen, sie nur über HTTPS zu verwenden, da sonst jeder Angreifer mit einem Netzwerk-Sniffer wie Wireshark (und möglicherweise einigen zusätzlichen Man-in-the-Middle-Tools wie ettercap oder fake_router6) in der Lage ist, Ihre Verbindung zum Server abzufangen und Ihr Passwort auszulesen.

Hintergrundinformationen

Bei der einfachen Authentifizierung werden der Benutzername und das Kennwort in einem HTTP-Header in Base64 verschlüsselt. Da sie wirklich einfach zu implementieren ist, unterstützt sie fast jeder HTTP-Client. Aus diesem Grund verwendet man sie zum Schutz von REST-Schnittstellen und so weiter. Auch die Authentifizierung für die Schulrouter Plus API unterstützt diese Art der Authentifizierung.

Konfiguration

Benutzer erstellen

Navigieren Sie zur Registerkarte „Zugangsdaten“.

Geben Sie einen Benutzernamen und ein Passwort ein und drücken Sie Speichern.

Erstellen einer Benutzerliste

Navigieren Sie zur Registerkarte „Benutzerliste“.

Wählen Sie alle Benutzer aus, die Zugriff auf eine bestimmte Ressource haben sollen, und geben Sie dieser Gruppe einen Namen.

Einem Standort zuordnen

Im letzten Schritt muss die Benutzerliste zum Standort hinzugefügt werden.

Sobald Sie den Server neu starten, müssen Sie sich anmelden, um auf den Inhalt dieses Verzeichnisses zuzugreifen. Dazu können Sie eine beliebige Zeichenfolge in das Feld für die grundlegende Authentifizierung eingeben, die als Realm gesendet wird. Die Benutzerliste ist die zuvor erstellte Liste.

Laden Sie den Server neu.

Testen

Sie können curl verwenden, um zu prüfen, ob es funktioniert. In einem Browser wie Firefox sollte sich ein Dialog öffnen, der nach Anmeldeinformationen fragt.

curl -v -u user:password  "http://example.com/restricted/image.png"

Erweiterte Authentifizierung

Der Eintrag erweiterte Authentifizierung dient zum Aufruf eines externen Authentifizierungsanbieters. Im Fall des Schulrouter Plus ist dies derzeit ein spezielles Skript, das sich gegen die lokale Datenbank authentifiziert. Wenn Sie es verwenden wollen, geben Sie weder einen Realm an noch wählen Sie eine Benutzerliste aus. Bitte beachten Sie, dass sich diese Funktion in Zukunft noch ändern kann.