先に紹介したとおり、PostgreSQLを使ってデータベース認証を行うにはmod_auth_pgsqlを入手する必要がある。入手先:http://www.giuseppetanzilli.it/mod_auth_pgsql/2001年12月現在の最新バージョンは0.9.11だが、バージョンに大きな隔たりがなければLinxuディストリビューションなどのCD-ROMからインストールするのもいいだろう。対応するPostgreSQLのバージョンは7.xとなっているが、こちらはたいていの場合問題ないだろう。ちなみに、PostgreSQLの2001年12月現在の最新バージョンは7.1.3である。ApacheとPostgreSQLは、Linux環境にあらかじめインストールしておく必要がある。この手順については、筆者が以前に執筆したPHP4での開発に必要なものを用意するが役に立つと思う。apxsを使ったインストールここでは、「apxs」と呼ばれるプログラムを使ったインストール方法を解説する。apxsを使うことで、mod_auth_pgsqlは「DSO」と呼ばれる形式のモジュールとしてコンパイルされる。この方法であれば、Apacheが導入済みの環境でもApacheを再コンパイルすることなくインストールできる。Apacheをまだ導入していない環境であったり、再コンパイルしても構わないというのであれば、別の道を選ぶことも可能だ。その場合、mod_auth_pgsqlはApacheのスタティック・モジュールとして導入される。それは面倒であまり一般的とはいい難い方法である。ApacheとPostgreSQLを導入し、稼働確認も済ませたうえで必要なモジュールをDSOで組み込む方が簡単だからだ。DSOで組み込めるモジュールは、無理せずDSOを利用することをお勧めする。DSOのメリットApacheのモジュールには、大きく分けて2つの方式がある。1つは、Apacheのコンパイル時にモジュールを組み込んでしまう方式。1つは、必要に応じて実行時にモジュールをダイナミックに組み込む方式である。後者のように動作するモジュールをDSO形式と呼ぶ。モジュールを容易に組み込むために用意された方法である。パフォーマンスなどを厳密に追求すれば若干の差があるのかもしれないが、使い勝手を考えればDSOを使う方が有利であろう。問題は、Apacheのインストール時にDSOをサポートするモードにしているかどうかだ。これは、apxsファイルの存在を確認するのが恐らく最も手っ取り早い。Apacheのバイナリディレクトリ(/usr/local/apache/binなど)に、apxsという名前のファイルがあるかどうかを確認してほしい。Squareフォーラムの多くの記事で取り上げられている。そこで、mod_auth_pgsqlのインストール手順については簡単な紹介にとどめる。1.ソースコードの展開tarコマンドやgzipコマンドを使って、入手したソースコードを展開する。mod_auth_pgsql-0.9.113.INSTALLの参照インストール手順の確認のため、INSTALLファイルの内容を確認しておく。INSTALL4.configureの実行INSTALLファイルのインストール手順に従って、configureを実行する。以下の例は、Apacheが/usr/local/apache、PostgreSQLが/usr/local/pgsqlにインストールされているものとする。--with-pgsql=/usr/local/pgsql5.モジュールのコンパイル以下のコマンドでコンパイルを行う。auth_pgsql_shared_stub.c6.モジュールのインストールコンパイルしたモジュールをインストールする。この作業のみ、rootユーザーでなくては行えない。一般ユーザーに戻り、Apacheの設定ファイル(httpd.conf)の内容を確認する。以下のような行が自動的に追加されているはずである。.htaccess)の設定を行おう。本来ならデータベースを先に用意するべきだが、説明の都合上こちらを先にする。これらのファイルの設定は、前回説明したようにディレクトリ別のセキュリティ設定に用いられる。ここでは、httpd.confに/usr/local/apache/htdocsで公開されているコンテンツへのアクセス制限を設定する方法を紹介する。valid-user</Limit><Directory>これは、ごく単純なデータベース認証を設定した例である。5432でポートが5432であることを指定している。pg_passwordデータベースへのアクセスには、ユーザー「postgres」とパスワード「pg_password」を用いる。passwdこの3行では、テーブル名が「user_data」であり、その「user_name」フィールドをユーザー名、passwdフィールドをパスワードとして扱うことを指定している。この場合、user_dataテーブルに含まれるデータに一致すれば、アクセス権を持つユーザーとして認証する。このように、mod_auth_pgsqlではユーザー名とパスワードを含むテーブル名やフィールド名は自由に決定できる。悩ましいのは、PostgreSQLへアクセスするユーザー名とパスワードをここに記述している点である。ユーザー名とパスワードを書いてしまうのでは、データベースのセキュリティを低くしてしまう。解決策の1つは、user_dataテーブル(認証に使うテーブル)にnobodyユーザーでアクセスできるように権限設定することだ。すれば、設定ファイルにユーザー名とパスワードを書かなくても(省略しても)、ちゃんとデータを読み取ることができるようになる。今度はだれでもデータを読み取れることになる。何とも悩ましいところだが、筆者はnobodyユーザーに権限を与える方法を勧める。そこに格納するパスワードは、次に紹介するように暗号化することも可能だからだ。設定が済んだら、データベースにユーザーを準備しよう。先に説明したとおり、ユーザーを登録するテーブルやフィールドの名称は自由に決めて構わない。1つのテーブルにユーザー名とパスワードに当たるフィールドがあればいいのだ。ここでは、先の例になぞらえてuser_dataテーブルを作成しよう。nobodyユーザーに権限を与え、データを登録してみる。1.nobodyユーザーの作成PostgreSQLにnobodyユーザーを登録していなければ、以下の手順でユーザー登録を行う。nobodyただし、データベースを作る権限は与えない方がいい。n新規ユーザーを作る権限も与えない方がいい。values('ichishi','xxj31ZMTZzkVA');後は手順4を繰り返し、必要なだけユーザーを登録すればいい。ポイントは、パスワードのフィールドに格納している意味不明な文字列だろう。この文字列は、CRYPT方式で暗号化されたパスワードである。mod_auth_pgsqlは、デフォルトでCRYPT方式で暗号化されたパスワードを採用している。MD5という行をhttpd.conf(または.htpasswd)に設定する必要がある。.htpasswd)に設定する。CRYPT方式で暗号化されたパスワードは、意外に簡単に作成できる。Perlがインストールされているなら、以下のようにするのが簡単だ。"xx");'上記の「xx」は、自由に決めた2文字の英数字を入れること。同じ文字列を暗号化する場合でも、この2文字の英数字によって結果が変化するようになっている。暗号化したパスワードの先頭の2文字は、ここで指定した2文字と一致するようになっている。ここまで説明すれば、後は想像に難くないだろう。ユーザーが入力したパスワードを検査する際、先頭の2文字を読み取って入力したパスワードを暗号化するのである。一度暗号化した文字列は、決して元に戻すことはできない。少なくとも、そんなアルゴリズムは紹介されていない。パスワードを暴くには、適当な文字列を暗号化して、一致するものを探すしかないのである。辞書に載っているような単語であれば、それを暗号化した辞書を作るのは簡単だ。従って、簡単な文字列の場合、暗号化した後の文字列さえ分かれば比較的容易に破られてしまう。この弱点を補うには、辞書に載っているような単語をパスワードにしないようにするしかない。暗号、過信は禁物ここで紹介しているCRYPT方式のように、英数字2文字でできるパターンは(26×2+10)2=384426×2:英大文字+小文字、10:数字しかない。2万語の辞書を3844パターンで暗号化すると7688万通りで、決して天文学的数字ではない。普通のコンピュータでも簡単に暗号データベースを作成できてしまう。次は、グループでの認証を行う方法である。これには、ユーザーを管理するテーブルのほかに、グループを管理するテーブルが必要となる。mod_auth_pgsqlの仕様的には、同じテーブルでユーザーとグループを管理することもできる。この場合は1人のユーザーが複数のグループに所属するような管理が難しい。RDBの設計上も、こうした設計は冗長なものと見なされる。従って、グループを柔軟に管理しやすいよう、複数のテーブルを作成する方法をお勧めする。group_dataテーブル上のようなテーブルを作成した場合、グループ名はgroup_nameフィールドに格納される。その中のAdminグループにのみアクセス権限を与えるのであれば、次のように設定すればよい。admin</Limit><Directory>より高度なセキュリティ設定mod_auth_pgsqlにはほかにもディレクティブが存在する。その中で重要と思われるのが「Auth_PG_pwd_whereclause」と「Auth_PG_grp_whereclause」である。これは、Auth_PG_pwd_tableもしくはAuth_PG_grp_tableで指定したテーブルに、さらに条件を付け加えるために用いられる。TOKYOのユーザーだけを認証するとしよう。location='TOKYO'"となる。このように、「""」で条件を囲み、その条件の先頭には「and」を付け加える。同様に、グループを登録したテーブルに含まれる列に対して特定の条件を付け加えたいのであれば、Auth_PG_grp_whereclauseを使えばよい。監査(ログを取る)mod_auth_pgsqlは、PostgreSQLを使って独自にアクセスログを収集できる。ログは、認証に成功した際にログ用テーブルに記録される。記録できるのは、ユーザー名、時刻、リクエストしたURI、クライアントのIPアドレス、パスワード(平文)となっている。通常、パスワードを記録することはないと思われるが、場合によっては制限されたコンテンツに対してだれがどこからいつアクセスしたかを記録したいこともあるだろう。その際は、以下のように設定すればよい。valid-user</Limit><Directory>この設定例では、log_dataテーブルの各フィールドにユーザー、時刻、URI、IPアドレスが記録される。注意点は、やみくもに記録したのではディスクを無駄に消費するだけになるということである。ログを記録するのであれば、その運用についてもルールを定め、定期的にデータをクリーニングするなどの手段を用意しなければならない。ほかのデータベースでも、基本的な流れやできることに大差はない。これを参考に、ほかのデータベースを使ってみるのもよいだろう。次回は、SSLを使ってHTTP通信を暗号化する設定を紹介する。メールマガジンをご購読ください。申し込みページへITmediaはアイティメディア株式会社の登録商標です。