☰

Linux用のマルチユーザーwebdavサーバーはありますか？

tag-icon • tag-icon multiuser webdav
Linux用のマルチユーザーwebdavサーバーはありますか？

SMBAサービスを完全に停止し、WebDavサービスと交換したいと思います。

これまで、すべてのGoogle検索ではApache / Webdavを使用していることがわかりました。これは私が必要とするものに近いですが、私が知っている限り、私のユーザーのファイルにアクセスするにはApacheが必要です。 一部のユーザーはSSHに直接アクセスできるため、ファイルに対する正しいUnixの所有権と権限が必要です。

だから私はApache / Webdavが複数のユーザーと「正しく」動作するようにする方法を探しています（例：ファイルを提供する前に、unixユーザーをログインしているユーザーに変更してください。）またはApache / Webdavの完全な代替品を見つけてください。

検索してみたところ、これまで何も出ていませんでした。

答え1

ユーザー名および/またはuidがある場合は、nginx + lua + luarocks ljsyscallを使用してこれを実行できます。

Debian システムでは、設定は次のようになります。

apt-get -y install nginx libnginx-mod-http-dav-ext libnginx-mod-http-lua luarocks
luarocks install ljsyscall

nginxの設定は次のとおりです。

user  root;
worker_processes  1;

load_module modules/ngx_http_dav_ext_module.so;
load_module modules/ndk_http_module.so;
load_module modules/ngx_http_lua_module.so;

error_log  /var/log/nginx/error.log warn;
pid        /var/run/nginx.pid;


events {
    worker_connections  1024;
}


http {
    sendfile        on;
    keepalive_timeout  65;
    gzip  on;

    server {
        listen      80;
        listen [::]:80;

        location / {
            rewrite ^ http://$host$request_uri?; # permanent;
        }
    }

    server {
        listen      443           ssl http2;
        listen [::]:443           ssl http2;

        ssl                       on;    
        # [ SSL Sections Omitted ]

        # Set the maximum size of uploads
        client_max_body_size 200m;

        # Default is 60, May need to be increased for very large uploads
        client_body_timeout 120s; 

        # other configs
        location /webdav/ {
            autoindex              on;
            alias                  /data/www/;
            client_body_temp_path  /data/client_temp;

            dav_methods PUT DELETE MKCOL COPY MOVE;
            dav_ext_methods PROPFIND OPTIONS;

            create_full_put_path   on;
            # Not sure if you want to tweak this
            # dav_access             group:rw  all:r;

            # Let's assume you have an auth subrequest that can set X-UID
            auth_request  /auth
            auth_request_set $auth_status $upstream_status;
            auth_request_set $saved_remote_user $upstream_http_REMOTE_USER;
            auth_request_set $saved_remote_uid $upstream_http_X_UID;

            # Per-Request Impersonation
            access_by_lua_block {
                # Boilerplate because ljsyscall doesn't have setfsuid implemented directly
                local syscall_api = require 'syscall'
                local ffi = require "ffi"
                local nr = require("syscall.linux.nr")
                local sys = nr.SYS
                local uint = ffi.typeof("unsigned int")
                local syscall_long = ffi.C.syscall -- returns long
                local function syscall(...) return tonumber(syscall_long(...)) end 
                local function setfsuid(id) return syscall(sys.setfsuid, uint(id)) end
                -- If you only have ngx.var.saved_remote_user, install luaposix and do this ...
                -- local pwd = require 'posix.pwd'
                -- local new_uid = pwd.getpwnam(ngx.saved_remote_user).pw_uid
                local new_uid = tonumber(ngx.var.saved_remote_uid)
                ngx.log(ngx.NOTICE, "[Impersonating User #" .. new_uid .. "]")
                local previous = setfsuid(new_uid)
                local actual = setfsuid(new_uid)
                if actual ~= new_uid then
                    ngx.log(ngx.CRIT, "Unable to impersonate users")
                    ngx.exit(ngx.HTTP_INTERNAL_SERVER_ERROR)
                end
            }
        }

        location = /auth {
            internal;
            proxy_pass              http://localhost:8080/auth;
            proxy_pass_request_body off;
            proxy_set_header        Content-Length "";
            proxy_set_header        X-Original-URI $request_uri;
            proxy_set_header        X-Original-Method $request_method;
        }
    }
}

これにより、nginxワーカースレッドが提供するすべての要求に対してsetfsuidが実行されます。残念ながら、これが機能するにはnginxをrootとして実行する必要があるようです。プロセスがrootで始まり、他のユーザーに削除され、CAP_SETUIDが保存され（ドキュメントを参照capsh）user、そのディレクティブがnginx設定ファイルにない場合は、他のユーザーとも機能すると思います。

グループIDの設定が必要な場合があります。

ユーザーIDの変更が機能に与える影響の表示 http://man7.org/linux/man-pages/man7/capability.7.html

答え2

長い間検索しても見つかりませんでした。マルチユーザーサーバーは多数ありますが、システムユーザーとして実行されているサーバーは見つかりません。

だから私は自分で書いた。これは私が直接テストしたものです。しかし、とにかくソースコードは次のようになります。

https://github.com/couling/WebDAV-デーモン

答え3

ここで、

私は同じことを探していて、ついにapache2を使って解決策を集めました。 npm webdav-serverを使用してノードソリューションを試したところ、すべてのソリューションがApacheモジュールを使用するのと同じくらい良いわけではありませんでした。その後、より良いパフォーマンスを発揮し、解決策になる可能性があるjsDAVベースのnpm dav-serverを試しましたが、不都合な3g接続を処理する必要があるため、Apacheを好み、いくつかのインスタンススクリプトを見つけました。

だからここに私の経験を共有します。

http://helpcenter.epages.com/Doc/doc/apache2/README.multiple-instances

私はwebdavユーザーごとに1つのインスタンスを実行します。スケーラビリティはありませんが、小さなチームで作業するのに十分です。

myUserをユーザーに置き換えます。

Ubuntu 14.04で

sh /usr/share/doc/apache2/examples/setup-instance myUser

そのため、/etc/apache2-myUser/envarsで定義されたmyUserユーザーとしてApacheプロセスを実行します。

export APACHE_RUN_USER=myUser
export APACHE_RUN_GROUP=myUser

ports.conf 編集

# If you proxy with nginx as I did better to limit to local interface
listen localhost:8080
# listen 8080

Ubuntu 14.04ではPAM認証が利用できないため、基本認証になりすまし、nginxを使用してhttpsでラップする必要があります。

htpasswd -c /etc/apache2/htpasswd myUser

その後、/etc/apache2-myUser/sites-available/000-default.conf

<VirtualHost *:8080>

DocumentRoot /var/www/html

Alias /${APACHE_RUN_USER} /home/${APACHE_RUN_USER}
<Directory /home/${APACHE_RUN_USER}>
    Require all granted
    Options +Indexes
</Directory>

<Location /${APACHE_RUN_USER}>
      DAV On
      AuthType Basic
      AuthName "Restricted Area"
      AuthUserFile /etc/apache2/htpasswd
      Require valid-user
</Location>

DavLockDB /home/${APACHE_RUN_USER}/.DavLock
ErrorLog ${APACHE_LOG_DIR}/error.log
CustomLog ${APACHE_LOG_DIR}/access.log combined
</VirtualHost>

その後、nginxプロキシには、ブラウザでwebdavのパフォーマンスが低下するように、Header Destinationを介してアイコンフォルダを渡すトリックがあります。

server {
listen 443 ssl http2;
server_name exemple.com;

location ~ ^/(myUser|icons)/ {

    proxy_pass http://dav-myUser;

#         auth_basic "Restricted Content";
#         auth_basic_user_file /etc/nginx/htpasswd;

#         proxy_set_header Authorization $http_authorization;

    proxy_pass_header  Authorization;
    proxy_pass_request_headers on;

    proxy_set_header Host $host;
    proxy_set_header X-Forwarded-Host $http_host;
    proxy_set_header X-Forwarded-For $proxy_add_x_forwarded_for;
    proxy_set_header X-Real-IP $remote_addr;
    proxy_set_header X-Forwarded-Proto $scheme;

    port_in_redirect off;

    # to avoid 502 Bad Gateway:
    # http://vanderwijk.info/Members/ivo/articles/ComplexSVNSetupFix
    set $destination $http_destination;

    if ($destination ~* ^https(.+)$) {
        set $destination http$1;
    }

    proxy_set_header Destination $destination;

    proxy_read_timeout     300;
    proxy_connect_timeout  5;

    # Default is HTTP/1, keepalive is only enabled in HTTP/1.1
    proxy_http_version 1.1;

    # Remove the Connection header if the client sends it,
    # it could be "close" to close a keepalive connection
    proxy_set_header Connection "";
}

ssl on;
ssl_certificate /etc/letsencrypt/live/exemple.com/fullchain.pem;
ssl_certificate_key /etc/letsencrypt/live/exemple.com/privkey.pem;

include /etc/letsencrypt/options-ssl-nginx.conf;

}

nginxをプロキシとして使用する義務はありません。 Apacheはhttpsをうまくやっていますが、プロキシターゲットに問題が発生したときに言及する価値があると思いました。

答え4

SFTPGOユーザーと権限を追加および削除できる管理UIがあります。次に、webdav、ftp、sftpポートを開き、そこでファイルをホストします。ユーザーは、3つのプロトコルすべてに同じユーザー名/パスワードを使用できます。

関連情報