IT pass HikiWiki - [ITPASS2011a]apache2のインストールと設定 Diff
- Added parts are displayed like this.
- Deleted parts are displayed
like this.
{{toc}}
[((<ITPASSサーバ構築・運用ドキュメント>)) へ戻る]
= 概要
ITPASS サーバでは, www サービスとして http と https の両方を提供する.
ここでは, Apache 2.2 のインストールと設定について記す.
なお, Apache 2.2 はソースからインストールする. バージョンについては適宜読み替えること.
= 準備
itpass サーバには cps グループが存在しているが, cps のご本尊は別のサーバに移行された.
以下には cps グループについて設定を行う項目がいくつかあるが, 該当年度において必要かどうか cps の方に確認を取ってから作業を行うこと.
なお, 2011 年度は行っていない.
= ビルドのための設定
* ソースを取得・展開する.
# cd /usr/local/src
# wget http://www.meisei-u.ac.jp/mirror/apache/httpd/httpd-2.2.21.tar.gz
# tar xvfz httpd-2.2.21.tar.gz
# cd httpd-2.2.21
apache の最新バージョンは((<URL:http://www.meisei-u.ac.jp/mirror/apache/httpd/>))から確認できる.
※ 2011 年 10 月 11 日時点の最新バージョンは 2.2.21 である.
* configure を行う
* インストール先と configure の際につけるオプションは以下の通りである.
* インストール先
* /usr/local/apache2 (apache2 のデフォルト)
* configure の際に --prefix の設定は不要
* configure オプション (: 目的)
* --enable-ssl (; apache-ssl を動作させるため)
* --enable-rewrite (: mod_rewrite を使用するため)
* gate の登録窓口を http から https へ移動させたい
* --enable-so (: DSO (Dynamic shared object: 動的共有オブジェクト) を使用するため)
* --with-included-apr (; ビルド時に "Cannot use an external APR-util with the bundled APR" とエラーが生じる場合があるため)
以上を踏まえて, congifure を行う.
# ./configure --enable-ssl --enable-rewrite --enable-so --with-included-apr
configure の結果は config.log や build/config_vars.mk を参照する.
= ビルドとインストール
# make
# make install
/usr/local/apache2 以下に複数のディレクトリが作成されていることを確認する.
== 実行ファイルへのパスの設定
インストールされた Apache のバイナリファイル群へパスを通す.
((<[ITPASS2011a]パスの設定>)) の((* <一般ユーザ用コマンドのパス> *)) と ((* <システム管理用コマンドのパス> *)) の両方に ((*/usr/local/apache2/bin*)) を追加する.
(システム管理用コマンドも一般ユーザ用コマンドと同じ場所にインストールされているため, システ管理用コマンドの設定を別途行う必要は無い).
具体的には, /etc/bash.bashrc の冒頭を
# add PATH for local installed softwares
PATH="${PATH}:/usr/local/apache2/bin"
# add PATH for local installed softwares (for root)
if [ "`id -u`" -eq 0 ]; then
PATH="${PATH}:/usr/local/apache2/bin"
fi
export PATH
のようにする. 以下 csh, tcsh, zsh についても同様に追加する.
= マニュアルへのパスの設定
インストールされた Apache のマニュアル群へパスを通す.
/etc/manpath.config に以下の行を追加する.
詳しくは ((<[ITPASS2011a]パスの設定#man 関連のパスの設定>)) を参照.
MANDATORY_MANPATH /usr/local/apache2/man
MANPATH_MAP /usr/local/apache2/bin /usr/local/apache2/man
MANDB_MAP /usr/local/apache2/man /usr/local/apache2/man
== モジュールの確認, 追加
インストールした apache2 で有効になっているモジュールを確認する.
# /usr/local/apache2/bin/apachectl -t -D DUMP_MODULES
最低限,
* ssl_module
* rewrite_module
* userdir_module
を有効にしておくこと.
モジュールが足りない場合, DSO(Dynamic Shared Object) を有効にしていれば (configure 時に --enable-so をつけていれば), 後からモジュールを追加できる.
DSO が有効になっている場合には
# httpd -l
Compiled in modules:
core.c
mod_authn_file.c
mod_authn_default.c
...
mod_so.c <-- DSO モジュール
で mod_so.c が組み込まれている.
もしも DSO が有効になっていなければ configure からやり直す.
後からモジュールを追加する場合には apache のソースがあるディレクトリにおいて apxs コマンドを実行する.
例えば mod_rewrite を追加する場合には
# cd /usr/local/src/httpd-2.2.21/modules/mapper
# apxs -c mod_rewrite.c
# apxs -i -a -n rewrite mod_rewrite.la
とすればよい.
= 設定ファイルの編集
各種設定ファイルは以下のとおり.
* httpd 用
* /usr/local/apache2/conf/httpd.conf
* httpd-ssl
* /usr/local/apache2/conf/extra/httpd-ssl.conf
* 各ユーザの public_html 以下の設定用
* /usr/local/apache2/conf/extra/httpd-userdir.conf
変更の要点は以下の通りである(以下は変更点の概要であり, 実際に行う作業はこのあとに記述).
* httpd.conf
* HTTP デーモンを起動するユーザを www-data にする
* サーバ管理者 (ServerAdmin) のメールアドレスを設定
* サーバ名 (ServerName) を設定
* サーバのデフォルトルート (DefaultRoot) を /~itpass に設定
* ディレクトリのインデックスファイルに index.html 以外に
index.htm index.htm.en index.html.en index.htm.ja index.html.ja
も追加.
* エラーログファイルを /var/log/httpd-error.log に設定
* アクセスログファイルを /var/log/httpd-access.log に設定
* CGI に関する設定を変更
* extra/httpd-vhosts.confをロード
* extra/httpd-userdir.conf をロード
* extra/httpd-ssl.conf をロード
* /~gate, および /cgi-bin に対するアクセスを HTTPS へ移動させる.
* 以下の 4 つの Hiki 領域
~epalab/hiki , ~itpass/hiki, ~itpass/hiki-secret,
~tansaku/hiki に関する設定を各領域毎の .htaccess により可能にする
# (AllowOverride FileInfo AuthConfig Limit Indexes Options=ExecCGI,FollowSymlinks).
* httpd-vhosts.conf
* {epa,aoe}.scitec.kobe-u.ac.jp 宛の接続を受ける (virtual host)
* ドキュメントルートは /home/{epalab,aoelab}/public_html にする
* 管理者メールアドレスは itpadmin _at_ ... にする
* http://{epa,aoe}.scitec.kobe-u.ac.jp/~gate/ 以下に対するアクセスを https://itpass.scitec.kobe-u.ac.jp/~gate に移動させる
* http://itpass.scitec.kobe-u.ac.jp/{/hiki, /~epalab/hiki, /~itpass/hiki} に対するアクセスのみ HTTPS へ移動させる.
その際, URI のエンコードは行わない.
* httpd-userdir.conf
* 所有者がマッチしなくてもシンボリックリンクの公開を許可する.
# (SymLinksIfOwnerMatch -> FollowSymLinks).
* httpd-ssl.conf
* ドキュメントルート (DocumentRoot),
サーバ名 (ServerName),
サーバ管理者アドレス (ServerAdmin),
エラーログ (ErrorLog),
アクセスログ (TransferLog) を設定する
* epa.scitec, aoe.scitec の場合の https 接続を設定する
((*<注意>*))
* 以下の作業を行う前に管理者用メールアドレスを必ず確認のこと.
以下の作業を行ったのち, アドレスが違っていたら, この作業はすべてやり直しとなる.
* 設定ファイルのところどころにメールアドレスを指定する項目がある.
以下の diff では "_at_" となっているが, 実際にファイルを書き換える際にはすべて "@" に読み替えて書き換えること.
オリジナルとの diff は以下の通り.
== httpd.conf
root@tako-itpass:/usr/local/apache2/conf# diff -u original/httpd.conf httpd.conf
--- original/httpd.conf 2011-10-11 16:11:04.000000000 +0900
+++ httpd.conf 2011-10-11 17:44:36.000000000 +0900
@@ -50,7 +50,7 @@
#
# Example:
# LoadModule foo_module modules/mod_foo.so
-#
+# LoadModule rewrite_module modules/mod_rewrite.so
<IfModule !mpm_netware_module>
<IfModule !mpm_winnt_module>
@@ -62,8 +62,8 @@
# It is usually good practice to create a dedicated user and group for
# running httpd, as with most system services.
#
-User daemon
-Group daemon
+User www-data
+Group www-data
</IfModule>
</IfModule>
@@ -85,7 +85,7 @@
# e-mailed. This address appears on some server-generated pages, such
# as error documents. e.g. admin@your-domain.com
#
-ServerAdmin you@example.com
+ServerAdmin itpadmin@itpass.scitec.kobe-u.ac.jp
#
# ServerName gives the name and port that the server uses to identify itself.
@@ -94,14 +94,14 @@
#
# If your host doesn't have a registered DNS name, enter its IP address here.
#
-#ServerName www.example.com:80
+ServerName itpass.scitec.kobe-u.ac.jp:80
#
# DocumentRoot: The directory out of which you will serve your
# documents. By default, all requests are taken from this directory, but
# symbolic links and aliases may be used to point to other locations.
#
-DocumentRoot "/usr/local/apache2/htdocs"
+DocumentRoot "/home/itpass/public_html"
#
# Each directory to which Apache has access can be configured with respect
@@ -115,7 +115,7 @@
Options FollowSymLinks
AllowOverride None
Order deny,allow
- Deny from all
+
</Directory>
#
@@ -128,7 +128,7 @@
#
# This should be changed to whatever you set DocumentRoot to.
#
-<Directory "/usr/local/apache2/htdocs">
+<Directory "/home/itpass/public_html">
#
# Possible values for the Options directive are "None", "All",
# or any combination of:
@@ -163,7 +163,8 @@
# is requested.
#
<IfModule dir_module>
- DirectoryIndex index.html
+ DirectoryIndex index.html index.htm index.htm.en index.html.en index.htm.ja index.html.ja
+
</IfModule>
#
@@ -183,7 +184,7 @@
# logged here. If you *do* define an error logfile for a <VirtualHost>
# container, that host's errors will be logged there and not here.
#
-ErrorLog "logs/error_log"
+ErrorLog "/var/log/httpd-error.log"
#
# LogLevel: Control the number of messages logged to the error_log.
@@ -212,13 +213,13 @@
# define per-<VirtualHost> access logfiles, transactions will be
# logged therein and *not* in this file.
#
- CustomLog "logs/access_log" common
+ #CustomLog "logs/access_log" common
#
# If you prefer a logfile with access, agent, and referer information
# (Combined Logfile Format) you can use the following directive.
#
- #CustomLog "logs/access_log" combined
+ CustomLog "/var/log/httpd-access_org" combined
</IfModule>
<IfModule alias_module>
@@ -265,10 +266,8 @@
# CGI directory exists, if you have that configured.
#
<Directory "/usr/local/apache2/cgi-bin">
- AllowOverride None
- Options None
- Order allow,deny
- Allow from all
+ AllowOverride AuthConfig Limit
+ Options ExecCGI FollowSymLinks IncludesNoExec
</Directory>
#
@@ -315,7 +314,7 @@
# To use CGI scripts outside of ScriptAliased directories:
# (You will also need to add "ExecCGI" to the "Options" directive.)
#
- #AddHandler cgi-script .cgi
+ AddHandler cgi-script .cgi .rb
# For type maps (negotiated resources):
#AddHandler type-map var
@@ -385,13 +384,13 @@
#Include conf/extra/httpd-languages.conf
# User home directories
-#Include conf/extra/httpd-userdir.conf
+Include conf/extra/httpd-userdir.conf
# Real-time info on requests and configuration
#Include conf/extra/httpd-info.conf
# Virtual hosts
-#Include conf/extra/httpd-vhosts.conf
+Include conf/extra/httpd-vhosts.conf
# Local access to the Apache HTTP Server Manual
#Include conf/extra/httpd-manual.conf
@@ -403,7 +402,7 @@
#Include conf/extra/httpd-default.conf
# Secure (SSL/TLS) connections
-#Include conf/extra/httpd-ssl.conf
+Include conf/extra/httpd-ssl.conf
#
# Note: The following must must be present to support
# starting without SSL on platforms with no /dev/random equivalent
@@ -413,3 +412,61 @@
SSLRandomSeed startup builtin
SSLRandomSeed connect builtin
</IfModule>
+
+#
+# Setting for Hiki Area
+#
+<Directory "/home/epalab/public_html/hiki">
+ AllowOverride ALL
+ Options -MultiViews
+</Directory>
+
+<Directory "/home/itpass/public_html/hiki">
+ AllowOverride ALL
+ Options -MultiViews
+</Directory>
+
+<Directory "/home/itpass/public_html/hiki-secret">
+ AllowOverride ALL
+ Options -MultiViews
+</Directory>
+
+<Directory "/home/tansaku/public_html/hiki">
+ AllowOverride ALL
+ Options -MultiViews
+</Directory>
+
+<Directory "/home/uwabami/public_html/hiki">
+ AllowOverride FileInfo AuthConfig Limit Indexes Options=ExecCGI,FollowSymlinks
+ Options -MultiViews
+</Directory>
+
+<Directory "/home/gpgpu/public_html/hiki">
+ AllowOverride FileInfo AuthConfig Limit Indexes Options=ExecCGI,FollowSymlinks
+ Options -MultiViews
+</Directory>
+
+<Directory "/home/gridcomp/public_html/hiki">
+ AllowOverride FileInfo AuthConfig Limit Indexes Options=ExecCGI,FollowSymlinks
+ Options -MultiViews
+</Directory>
+
+<Directory "/home/ayako/public_html/suzuhiki">
+ AllowOverride FileInfo AuthConfig Limit Indexes Options=ExecCGI,FollowSymlinks
+ Options -MultiViews
+</Directory>
+
+<Directory "/home/pschool/public_html/hiki">
+ AllowOverride FileInfo AuthConfig Limit Indexes Options=ExecCGI,FollowSymlinks
+ Options -MultiViews
+</Directory>
+
+<Directory "/home/bldg3/public_html/hiki">
+ AllowOverride ALL
+ Options -MultiViews
+</Directory>
+
+<Directory "/home/fourtran/public_html/hiki">
+ AllowOverride FileInfo AuthConfig Limit Indexes Options=ExecCGI,FollowSymlinks
+ Options -MultiViews
+</Directory>
== extra/httpd-ssl.conf
root@tako-itpass:/usr/local/apache2/conf# diff -u original/extra/httpd-ssl.conf extra/httpd-ssl.conf
--- original/extra/httpd-ssl.conf 2011-10-11 16:11:05.000000000 +0900
+++ extra/httpd-ssl.conf 2011-10-11 17:50:07.000000000 +0900
@@ -71,14 +71,15 @@
## SSL Virtual Host Context
##
-<VirtualHost _default_:443>
+NameVirtualHost *:443
+<VirtualHost *:443>
# General setup for the virtual host
-DocumentRoot "/usr/local/apache2/htdocs"
-ServerName www.example.com:443
-ServerAdmin you@example.com
-ErrorLog "/usr/local/apache2/logs/error_log"
-TransferLog "/usr/local/apache2/logs/access_log"
+DocumentRoot "/home/itpass/public_html"
+ServerName itpass.scitec.kobe-u.ac.jp:443
+ServerAdmin itpadmin_at_itpass.scitec.kobe-u.ac.jp
+ErrorLog "/var/log/httpd-ssl-error.log"
+TransferLog "/var/log/httpd-ssl-access.log"
# SSL Engine Switch:
# Enable/Disable SSL for this virtual host.
@@ -96,7 +97,7 @@
# in mind that if you have both an RSA and a DSA certificate you
# can configure both in parallel (to also allow the use of DSA
# ciphers, etc.)
-SSLCertificateFile "/usr/local/apache2/conf/server.crt"
+SSLCertificateFile "/usr/local/apache2/conf/ca/itpass/server.crt"
#SSLCertificateFile "/usr/local/apache2/conf/server-dsa.crt"
# Server Private Key:
@@ -104,7 +105,7 @@
# directive to point at the key file. Keep in mind that if
# you've both a RSA and a DSA private key you can configure
# both in parallel (to also allow the use of DSA ciphers, etc.)
-SSLCertificateKeyFile "/usr/local/apache2/conf/server.key"
+SSLCertificateKeyFile "/usr/local/apache2/conf/ca/itpass/server.key"
#SSLCertificateKeyFile "/usr/local/apache2/conf/server-dsa.key"
# Server Certificate Chain:
@@ -114,7 +115,7 @@
# the referenced file can be the same as SSLCertificateFile
# when the CA certificates are directly appended to the server
# certificate for convinience.
-#SSLCertificateChainFile "/usr/local/apache2/conf/server-ca.crt"
+#SSLCertificateChainFile "/usr/local/apache2/conf/server.crt"
# Certificate Authority (CA):
# Set the CA certificate verification path where to find CA
@@ -228,4 +229,29 @@
CustomLog "/usr/local/apache2/logs/ssl_request_log" \
"%t %h %{SSL_PROTOCOL}x %{SSL_CIPHER}x \"%r\" %b"
-</VirtualHost>
+</VirtualHost>
+
+<VirtualHost *:443>
+ DocumentRoot "/home/aoelab/public_html"
+ ServerName aoe.scitec.kobe-u.ac.jp:443
+ ServerAdmin itpadmin_at_itpass.scitec.kobe-u.ac.jp
+ ErrorLog /var/log/httpd-ssl-error.log
+ TransferLog /var/log/httpd-ssl-access.log
+ SSLEngine on
+ SSLCipherSuite ALL:!ADH:!EXPORT56:RC4+RSA:+HIGH:+MEDIUM:+LOW:+SSLv2:+EXP:+eNULL
+ SSLCertificateFile "/usr/local/apache2/conf/ca/aoe/server.crt"
+ SSLCertificateKeyFile "/usr/local/apache2/conf/ca/aoe/server.key"
+</VirtualHost>
+
+
+<VirtualHost *:443>
+ DocumentRoot "/home/epalab/public_html"
+ ServerName epa.scitec.kobe-u.ac.jp:443
+ ServerAdmin itpadmin_at_itpass.scitec.kobe-u.ac.jp
+ ErrorLog /var/log/httpd-ssl-error.log
+ TransferLog /var/log/httpd-ssl-access.log
+ SSLEngine on
+ SSLCipherSuite ALL:!ADH:!EXPORT56:RC4+RSA:+HIGH:+MEDIUM:+LOW:+SSLv2:+EXP:+eNULL
+ SSLCertificateFile "/usr/local/apache2/conf/ca/epa/server.crt"
+ SSLCertificateKeyFile "/usr/local/apache2/conf/ca/epa/server.key"
+ </VirtualHost>
=== extra/httpd-vhosts.conf の diff
root@tako-itpass:/usr/local/apache2/conf# diff -u original/extra/httpd-vhosts.conf extra/httpd-vhosts.conf
--- original/extra/httpd-vhosts.conf 2011-10-11 16:11:05.000000000 +0900
+++ extra/httpd-vhosts.conf 2011-10-11 17:39:51.000000000 +0900
@@ -25,21 +25,72 @@
# match a ServerName or ServerAlias in any <VirtualHost> block.
#
<VirtualHost *:80>
- ServerAdmin webmaster@dummy-host.example.com
- DocumentRoot "/usr/local/apache2/docs/dummy-host.example.com"
- ServerName dummy-host.example.com
- ServerAlias www.dummy-host.example.com
- ErrorLog "logs/dummy-host.example.com-error_log"
- CustomLog "logs/dummy-host.example.com-access_log" common
+ ServerAdmin itpadmin_at_itpass.scitec.kobe-u.ac.jp
+ DocumentRoot "/home/itpass/public_html"
+ ServerName itpass.scitec.kobe-u.ac.jp
+ ErrorLog "/var/log/httpd-error.log"
+ CustomLog "/var/log/httpd-access.log" combined
+
+ <IfModule mod_rewrite.c>
+ RewriteEngine On
+ RewriteLog "/var/log/httpd-rewrite.log"
+ RewriteLogLevel 0
+ RewriteCond %{SERVER_PORT} !^443$
+ RewriteRule ^/hiki/(.*)?$ https://itpass.scitec.kobe-u.ac.jp/hiki/$1 [L,R,NE]
+ RewriteRule ^/hiki/(.*)?$ https://itpass.scitec.kobe-u.ac.jp/hiki-secret/$1 [L,R,NE]
+ # ---- hiki
+ RewriteRule ^/hiki/(.*)?$ https://itpass.scitec.kobe-u.ac.jp/hiki/$1 [L,R,NE]
+ RewriteRule ^/~bldg3/hiki/(.*)?$ https://itpass.scitec.kobe-u.ac.jp/~bldg3/hiki/$1 [L,R,NE]
+ RewriteRule ^/~epalab/hiki/(.*)?$ https://itpass.scitec.kobe-u.ac.jp/~epalab/hiki/$1 [L,R,NE]
+ RewriteRule ^/~itpass/hiki/(.*)?$ https://itpass.scitec.kobe-u.ac.jp/~itpass/hiki/$1 [L,R,NE]
+ RewriteRule ^/~itpass/hiki-secret/(.*)?$ https://itpass.scitec.kobe-u.ac.jp/~itpass/hiki-secret/$1 [L,R,NE]
+ # ---- gate
+ RewriteRule ^/~gate/(.*)?$ https://itpass.scitec.kobe-u.ac.jp/~gate/$1 [L,R,NE]
+ RewriteRule ^/cgi-bin/(.*)?$ https://itpass.scitec.kobe-u.ac.jp/cgi-bin/$1 [L,R,NE]
+ </IfModule>
</VirtualHost>
+# ---- aoelab ----
<VirtualHost *:80>
- ServerAdmin webmaster@dummy-host2.example.com
- DocumentRoot "/usr/local/apache2/docs/dummy-host2.example.com"
- ServerName dummy-host2.example.com
- ErrorLog "logs/dummy-host2.example.com-error_log"
- CustomLog "logs/dummy-host2.example.com-access_log" common
+ ServerAdmin itpadmin_at_itpass.scitec.kobe-u.ac.jp
+ DocumentRoot "/home/aoelab/public_html"
+ ServerName aoe.scitec.kobe-u.ac.jp
+ ErrorLog "/var/log/httpd-error.log"
+ CustomLog "/var/log/httpd-access.log" combined
+ <IfModule mod_rewrite.c>
+ RewriteEngine On
+ RewriteLog "/var/log/httpd-rewrite.log"
+ RewriteLogLevel 0
+ RewriteCond %{SERVER_PORT} !^443$
+ # ---- hiki
+ RewriteRule ^/hiki/(.*)?$ https://itpass.scitec.kobe-u.ac.jp/hiki/$1 [L,R]
+ # ---- gate
+ RewriteRule ^/~gate/(.*)?$ https://itpass.scitec.kobe-u.ac.jp/~gate/$1 [L,R,NE]
+ RewriteRule ^/cgi-bin/(.*)?$ https://itpass.scitec.kobe-u.ac.jp/cgi-bin/$1 [L,R,NE]
+ </IfModule>
+ </VirtualHost>
+
+
+# ---- epalab ----
+<VirtualHost *:80>
+ ServerAdmin itpadmin_at_itpass.scitec.kobe-u.ac.jp
+ DocumentRoot "/home/epalab/public_html"
+ ServerName epa.scitec.kobe-u.ac.jp
+ ErrorLog /var/log/httpd-error.log
+ CustomLog /var/log/httpd-access.log combined
+ <IfModule mod_rewrite.c>
+ RewriteEngine On
+ RewriteLog "/var/log/httpd-rewrite.log"
+ RewriteLogLevel 0
+ RewriteCond %{SERVER_PORT} !^443$
+ # ---- hiki
+ RewriteRule ^/hiki/(.*)?$ https://epa.scitec.kobe-u.ac.jp/hiki/$1 [L,R,NE]
+ # ---- gate
+ RewriteRule ^/~gate/(.*)?$ https://itpass.scitec.kobe-u.ac.jp/~gate/$1 [L,R,NE]
+ RewriteRule ^/cgi-bin/(.*)?$ https://itpass.scitec.kobe-u.ac.jp/cgi-bin/$1 [L,R,NE]
+ </IfModule>
</VirtualHost>
+
== extra/httpd-userdir.conf
root@tako-itpass:/usr/local/apache2/conf# diff -u original/extra/httpd-userdir.conf extra/httpd-userdir.conf
--- original/extra/httpd-userdir.conf 2011-10-11 16:11:05.000000000 +0900
+++ extra/httpd-userdir.conf 2011-10-11 17:58:18.000000000 +0900
@@ -1,3 +1,4 @@
+# -*- apache -*-
# Settings for user home directories
#
# Required module: mod_userdir
@@ -15,7 +16,7 @@
#
<Directory "/home/*/public_html">
AllowOverride FileInfo AuthConfig Limit Indexes
- Options MultiViews Indexes SymLinksIfOwnerMatch IncludesNoExec
+ Options MultiViews Indexes FollowSymLinks IncludesNoExec
<Limit GET POST OPTIONS>
Order allow,deny
Allow from all
@@ -24,5 +25,12 @@
Order deny,allow
Deny from all
</LimitExcept>
+ <IfModule negotiation_module>
+ AddLanguage ja .ja
+ AddLanguage ja-JP .ja
+ AddLanguage en .en
+ LanguagePriority en ja
+ ForceLanguagePriority Prefer Fallback
+ </IfModule>
</Directory>
= ログローテートの設定
* /etc/logrotate.conf を編集して圧縮オプションを追加する
* compressのコメントアウトを外す
* /etc/logrotate.d/ 以下の apache2 ファイルに以下の内容を書き込み, もともとあった内容をコメントアウトする
#/var/log/apache2/*.log {
# weekly
# missingok
# rotate 52
# compress
# delaycompress
# notifempty
# create 640 root adm
# sharedscripts
# postrotate
# /etc/init.d/apache2 reload > /dev/null
# endscript
#}
/var/log/httpd-access.log {
missingok
weekly
rotate 12
postrotate
/usr/bin/killall -HUP httpd 2> /dev/null || true
endscript
}
/var/log/httpd-error.log {
missingok
weekly
rotate 12
postrotate
/usr/bin/killall -HUP httpd 2> /dev/null || true
endscript
}
/var/log/httpd-ssl-access.log {
missingok
weekly
rotate 12
postrotate
/usr/bin/killall -HUP httpd 2> /dev/null || true
endscript
}
/var/log/httpd-ssl-error.log {
missingok
weekly
rotate 12
postrotate
/usr/bin/killall -HUP httpd 2> /dev/null || true
endscript
}
= SSL 用の証明書の作成
== openssl の設定を変更
/etc/ssl/openssl.conf について以下の二点の変更を加える.
* [usr_cert] セクションにある nsCertType=server のコメントアウトを外す
* [v3_ca] セクションにある nsCertType=sslCA,emailCA のコメントアウトを外す
=== プライベート CA の作成
apache の config ディレクトリに入り, 次のように証明書を格納するディレクトリを作成する.
# cd /usr/local/apache2/conf
# mkdir ca
# cd ./ca/
# mkdir {itpass,epa,aoe,cps のそれぞれの名称で作成}
以下の作業は ServerName : itpass.scitec.kobe-u.ac.jp, epa.scitec.kobe-u.ac.jp, aoe.scitec.kobe-u.ac.jp, cps.scitec.kobe-u.ac.jp
のそれぞれについて行う. サーバ名を適宜読みかえ, 4 回実行する.
((*< 4 回実行する作業 ここから>*))
# /usr/lib/ssl/misc/CA.pl -newca
CA certificate filename (or enter to create) (空で Enter)
Enter PEM pass phrase: (適当な文字列入力)
Country Name (2 letter code) [AU]: JP
State or Province Name (full name) [Some-State]: Hyogo
Locality Name (eg, city) []: Kobe
Organization Name (eg, company) [Internet Widgits Pty Ltd]: Private_CA
Organizational Unit Name (eg, section) []: Private_CA
Common Name (eg, YOUR name) : Private_CA
Email Address: itpadmin_at_itpass.scitec.kobe-u.ac.jp
A challenge password: (空で Enter)
A optional company name: (空で Enter)
Enter pass phrase for ./demoCA/private/./cakey.pem: (先と同じパスフレーズ)
この作業で以下のようなディレクトリ構造になったことを確認.
/usr/local/apache2/conf/ca
｜
└ demoCA ［ 各種証明書等のルートディレクトリ ]
｜
├ certs [ 証明書等のディレクトリ(バックアップに利用) ]
｜
├ crl [ 破棄証明書一覧用のディレクトリ ]
｜
├ newcerts [ クライアント証明書(sireal追番)のディレクトリ ]
｜ ｜
｜ ├ xxxxx..pem [ クライアント証明書 ]
｜ ｜ :
｜ └ xxxxx..pem [ クライアント証明書 ]
｜
├ private [ CA用の秘密鍵用ディレクトリ ]
｜ ｜
｜ └ cakey.pem [ CA用の秘密鍵 ]
｜
├ cacert.pem [ CA用の証明書 ]
├ index.txt [ クライアント証明書用DB ]
└ serial [ クライアント証明書用シリアル ]
サーバ用 CA 証明書を作成する.
# openssl x509 -in ./demoCA/cacert.pem -out ./demoCA/cacert.crt
ブラウザに登録されるバイナリ DER フォーマットで記述されたファイルの作成.
# openssl x509 -inform PEM -outform DER -in ./demoCA/cacert.pem der -out ./demoCA/ca.der
サーバ用秘密鍵の作成.
# /usr/lib/ssl/misc/CA.pl -newreq-nodes
Country Name (2 letter code) [AU]: JP
State or Province Name (full name) [Some-State]: Hyogo
Locality Name (eg, city) []: Kobe
Organization Name (eg, company) [Internet Widgits Pty Ltd]: Kobe University
Organizational Unit Name (eg, section) []: ITPASS (他に "EPA lab.", "AOE lab." として登録)
Common Name (eg, YOUR name) : itpass.scitec.kobe-u.ac.jp (ここは itpass の他に, epa, aoe の分をそれぞれ作成する)
Email Address: itpadmin_at_itpass.scitec.kobe-u.ac.jp
A challenge password: (空で Enter)
A optional company name: (空で Enter)
サーバ用証明書の作成.
# /usr/lib/ssl/misc/CA.pl -sign
...
Enter pass phrase for ./demoCA/private/cakey.pem: (さきほどのパスフレーズを入力)
...
Sign the certificate? [y/n]: y[Enter]
1 out of 1 certificate requests certified, commit? [y/n] y[Enter]
サーバ証明書を crt ファイルへ書き出す.
# openssl x509 -in newcert.pem -out server.crt
以上の作業により, demoCA 以下に ca.der が, カレントディレクトリに server.crt, newkey.pem が作成される.
これらのファイルを, 証明書を格納するために作成した ca ディレクトリ以下に格納する.
# mv server.crt ./itpass(この名称は適宜読み替え)/
# mv newkey.pem ./itpass(この名称は適宜読み替え)/server.key
# mv demoCA/ca.der ./itpass(この名称は適宜読み替え)/
最後に demoCA ディレクトリ以下を削除する.
# rm -r demoCA/
これで鍵の作成は完了である. ここまでを itpass, epa, aoe, cps のそれぞれについて計 4 回行う.
((*< 4 回実行する作業 ここまで>*))
= 動作チェック
* apache を起動する前に, ドキュメントルートとなるディレクトリを作成しておく.
* /home/ 以下に itpass/, epalab/, aoelab/ という名前のディレクトリを作る
* さらにそれぞれのディレクトリ内に public_html/ という名前のディレクトリを作る
* apache を起動する
* apache は /usr/local/apache2/bin/apachectl で起動/停止する
# /usr/local/apache2/bin/apachectl -k start
* 起動したかどうかを以下のコマンドで確認する.
# ps aux
画面左端に www-data と表示されていれば, 起動していると分かる.
* ~itpass/public_html/ に test という名前のディレクトリを作成し, その中に test.txt というファイルを作成する
* ブラウザで text.txt が正常に表示されるかどうかを確認する
* URL は http://tako-itpass.scitec.kobe-u.ac.jp/~itpass/test/test.txt, https://tako-itpass.scitec.kobe-u.ac.jp/~itpass/test/test.txt
* "http://..." と "https://..." の両方に関して行うこと.
#さらに, サーバ移行後に, ブラウザで, https://{} の {} 部分を epa, itpass で書き換えた URL を指定し, サーバ証明書の詳細を表示させたとき, ちゃんと epa, itpass のそれぞれをサーバ名とする証明書を表示しているかを確認する.
* apache を停止する
# /usr/local/apache2/bin/apachectl -k graceful-stop
* 停止したかどうかを確認する
* apache のエラーログ /var/log/httpd-error.log を確認し, エラーなどが出ていないことを確認する
== 補足事項: ロード済みモジュールの表示
以下のように httpd コマンドに -M オプションをつけて実行することで,
静的にロードされたモジュールと動的にロードされたモジュールの両方が
表示される. 以下の出力結果は 2012/03/09 現在の ika-itpass において実行した際のものである,.
$ /usr/local/apache2/bin/httpd -M
Loaded Modules:
core_module (static)
authn_file_module (static)
authn_default_module (static)
authz_host_module (static)
authz_groupfile_module (static)
authz_user_module (static)
authz_default_module (static)
auth_basic_module (static)
include_module (static)
filter_module (static)
log_config_module (static)
env_module (static)
setenvif_module (static)
version_module (static)
ssl_module (static)
mpm_prefork_module (static)
http_module (static)
mime_module (static)
status_module (static)
autoindex_module (static)
asis_module (static)
cgi_module (static)
negotiation_module (static)
dir_module (static)
actions_module (static)
userdir_module (static)
alias_module (static)
rewrite_module (static)
so_module (static)
Syntax OK
以下のように -l オプションを指定すると, 組み込みモジュールのリストが
表示できる.
$ /usr/local/apache2/bin/httpd -l
Compiled in modules:
core.c
mod_authn_file.c
mod_authn_default.c
mod_authz_host.c
mod_authz_groupfile.c
mod_authz_user.c
mod_authz_default.c
mod_auth_basic.c
mod_include.c
mod_filter.c
mod_log_config.c
mod_env.c
mod_setenvif.c
mod_version.c
mod_ssl.c
prefork.c
http_core.c
mod_mime.c
mod_status.c
mod_autoindex.c
mod_asis.c
mod_cgi.c
mod_negotiation.c
mod_dir.c
mod_actions.c
mod_userdir.c
mod_alias.c
mod_rewrite.c
mod_so.c
= 起動スクリプトの用意
サーバ起動時に apache を自動的に起動させるため, の起動スクリプトを作成する.
* Debian の apache パッケージに含まれる/etc/init.d/apache を元に起動スクリプトを apache2 用に多少書き換えたものが
((<apache2|URL:../../server/2010/apache/apache2>))から入手できる.
このファイルを /etc/init.d/apache2 にコピーし, 以下のようにパーミッションを設定する.
# wget http://itpass.scitec.kobe-u.ac.jp/server/2010/apache/apache2
# cp apache2 /etc/init.d/
# chown root:root /etc/init.d/apache2
# chmod 755 /etc/init.d/apache2
* さらに, スクリプトの冒頭に以下の記述を書き加える.
### BEGIN INIT INFO
# Provides: apache2
# Required-Start: $remote_fs
# Required-Stop: $remote_fs
# Should-Start: $network $syslog
# Should-Stop: $network $syslog
# Default-Start: 2 3 4 5
# Default-Stop: 0 1 6
# Short-Description: Start and stop apache2
# Description: bind9 is a Domain Name Server (DNS)
# which translates ip addresses to and from internet names
### END INIT INFO
* ランレベルごとに apache2 の動作を設定する.
# update-rc.d apache2 defaults
以下のようなメッセージが出る.
update-rc.d: using dependency based boot sequencing
* 再起動して apache が起動するかを確認する.
[((<ITPASSサーバ構築・運用ドキュメント>)) へ戻る]
[((<ITPASSサーバ構築・運用ドキュメント>)) へ戻る]
= 概要
ITPASS サーバでは, www サービスとして http と https の両方を提供する.
ここでは, Apache 2.2 のインストールと設定について記す.
なお, Apache 2.2 はソースからインストールする. バージョンについては適宜読み替えること.
= 準備
itpass サーバには cps グループが存在しているが, cps のご本尊は別のサーバに移行された.
以下には cps グループについて設定を行う項目がいくつかあるが, 該当年度において必要かどうか cps の方に確認を取ってから作業を行うこと.
なお, 2011 年度は行っていない.
= ビルドのための設定
* ソースを取得・展開する.
# cd /usr/local/src
# wget http://www.meisei-u.ac.jp/mirror/apache/httpd/httpd-2.2.21.tar.gz
# tar xvfz httpd-2.2.21.tar.gz
# cd httpd-2.2.21
apache の最新バージョンは((<URL:http://www.meisei-u.ac.jp/mirror/apache/httpd/>))から確認できる.
※ 2011 年 10 月 11 日時点の最新バージョンは 2.2.21 である.
* configure を行う
* インストール先と configure の際につけるオプションは以下の通りである.
* インストール先
* /usr/local/apache2 (apache2 のデフォルト)
* configure の際に --prefix の設定は不要
* configure オプション (: 目的)
* --enable-ssl (; apache-ssl を動作させるため)
* --enable-rewrite (: mod_rewrite を使用するため)
* gate の登録窓口を http から https へ移動させたい
* --enable-so (: DSO (Dynamic shared object: 動的共有オブジェクト) を使用するため)
* --with-included-apr (; ビルド時に "Cannot use an external APR-util with the bundled APR" とエラーが生じる場合があるため)
以上を踏まえて, congifure を行う.
# ./configure --enable-ssl --enable-rewrite --enable-so --with-included-apr
configure の結果は config.log や build/config_vars.mk を参照する.
= ビルドとインストール
# make
# make install
/usr/local/apache2 以下に複数のディレクトリが作成されていることを確認する.
== 実行ファイルへのパスの設定
インストールされた Apache のバイナリファイル群へパスを通す.
((<[ITPASS2011a]パスの設定>)) の((* <一般ユーザ用コマンドのパス> *)) と ((* <システム管理用コマンドのパス> *)) の両方に ((*/usr/local/apache2/bin*)) を追加する.
(システム管理用コマンドも一般ユーザ用コマンドと同じ場所にインストールされているため, システ管理用コマンドの設定を別途行う必要は無い).
具体的には, /etc/bash.bashrc の冒頭を
# add PATH for local installed softwares
PATH="${PATH}:/usr/local/apache2/bin"
# add PATH for local installed softwares (for root)
if [ "`id -u`" -eq 0 ]; then
PATH="${PATH}:/usr/local/apache2/bin"
fi
export PATH
のようにする. 以下 csh, tcsh, zsh についても同様に追加する.
= マニュアルへのパスの設定
インストールされた Apache のマニュアル群へパスを通す.
/etc/manpath.config に以下の行を追加する.
詳しくは ((<[ITPASS2011a]パスの設定#man 関連のパスの設定>)) を参照.
MANDATORY_MANPATH /usr/local/apache2/man
MANPATH_MAP /usr/local/apache2/bin /usr/local/apache2/man
MANDB_MAP /usr/local/apache2/man /usr/local/apache2/man
== モジュールの確認, 追加
インストールした apache2 で有効になっているモジュールを確認する.
# /usr/local/apache2/bin/apachectl -t -D DUMP_MODULES
最低限,
* ssl_module
* rewrite_module
* userdir_module
を有効にしておくこと.
モジュールが足りない場合, DSO(Dynamic Shared Object) を有効にしていれば (configure 時に --enable-so をつけていれば), 後からモジュールを追加できる.
DSO が有効になっている場合には
# httpd -l
Compiled in modules:
core.c
mod_authn_file.c
mod_authn_default.c
...
mod_so.c <-- DSO モジュール
で mod_so.c が組み込まれている.
もしも DSO が有効になっていなければ configure からやり直す.
後からモジュールを追加する場合には apache のソースがあるディレクトリにおいて apxs コマンドを実行する.
例えば mod_rewrite を追加する場合には
# cd /usr/local/src/httpd-2.2.21/modules/mapper
# apxs -c mod_rewrite.c
# apxs -i -a -n rewrite mod_rewrite.la
とすればよい.
= 設定ファイルの編集
各種設定ファイルは以下のとおり.
* httpd 用
* /usr/local/apache2/conf/httpd.conf
* httpd-ssl
* /usr/local/apache2/conf/extra/httpd-ssl.conf
* 各ユーザの public_html 以下の設定用
* /usr/local/apache2/conf/extra/httpd-userdir.conf
変更の要点は以下の通りである(以下は変更点の概要であり, 実際に行う作業はこのあとに記述).
* httpd.conf
* HTTP デーモンを起動するユーザを www-data にする
* サーバ管理者 (ServerAdmin) のメールアドレスを設定
* サーバ名 (ServerName) を設定
* サーバのデフォルトルート (DefaultRoot) を /~itpass に設定
* ディレクトリのインデックスファイルに index.html 以外に
index.htm index.htm.en index.html.en index.htm.ja index.html.ja
も追加.
* エラーログファイルを /var/log/httpd-error.log に設定
* アクセスログファイルを /var/log/httpd-access.log に設定
* CGI に関する設定を変更
* extra/httpd-vhosts.confをロード
* extra/httpd-userdir.conf をロード
* extra/httpd-ssl.conf をロード
* /~gate, および /cgi-bin に対するアクセスを HTTPS へ移動させる.
* 以下の 4 つの Hiki 領域
~epalab/hiki , ~itpass/hiki, ~itpass/hiki-secret,
~tansaku/hiki に関する設定を各領域毎の .htaccess により可能にする
# (AllowOverride FileInfo AuthConfig Limit Indexes Options=ExecCGI,FollowSymlinks).
* httpd-vhosts.conf
* {epa,aoe}.scitec.kobe-u.ac.jp 宛の接続を受ける (virtual host)
* ドキュメントルートは /home/{epalab,aoelab}/public_html にする
* 管理者メールアドレスは itpadmin _at_ ... にする
* http://{epa,aoe}.scitec.kobe-u.ac.jp/~gate/ 以下に対するアクセスを https://itpass.scitec.kobe-u.ac.jp/~gate に移動させる
* http://itpass.scitec.kobe-u.ac.jp/{/hiki, /~epalab/hiki, /~itpass/hiki} に対するアクセスのみ HTTPS へ移動させる.
その際, URI のエンコードは行わない.
* httpd-userdir.conf
* 所有者がマッチしなくてもシンボリックリンクの公開を許可する.
# (SymLinksIfOwnerMatch -> FollowSymLinks).
* httpd-ssl.conf
* ドキュメントルート (DocumentRoot),
サーバ名 (ServerName),
サーバ管理者アドレス (ServerAdmin),
エラーログ (ErrorLog),
アクセスログ (TransferLog) を設定する
* epa.scitec, aoe.scitec の場合の https 接続を設定する
((*<注意>*))
* 以下の作業を行う前に管理者用メールアドレスを必ず確認のこと.
以下の作業を行ったのち, アドレスが違っていたら, この作業はすべてやり直しとなる.
* 設定ファイルのところどころにメールアドレスを指定する項目がある.
以下の diff では "_at_" となっているが, 実際にファイルを書き換える際にはすべて "@" に読み替えて書き換えること.
オリジナルとの diff は以下の通り.
== httpd.conf
root@tako-itpass:/usr/local/apache2/conf# diff -u original/httpd.conf httpd.conf
--- original/httpd.conf 2011-10-11 16:11:04.000000000 +0900
+++ httpd.conf 2011-10-11 17:44:36.000000000 +0900
@@ -50,7 +50,7 @@
#
# Example:
# LoadModule foo_module modules/mod_foo.so
-#
+# LoadModule rewrite_module modules/mod_rewrite.so
<IfModule !mpm_netware_module>
<IfModule !mpm_winnt_module>
@@ -62,8 +62,8 @@
# It is usually good practice to create a dedicated user and group for
# running httpd, as with most system services.
#
-User daemon
-Group daemon
+User www-data
+Group www-data
</IfModule>
</IfModule>
@@ -85,7 +85,7 @@
# e-mailed. This address appears on some server-generated pages, such
# as error documents. e.g. admin@your-domain.com
#
-ServerAdmin you@example.com
+ServerAdmin itpadmin@itpass.scitec.kobe-u.ac.jp
#
# ServerName gives the name and port that the server uses to identify itself.
@@ -94,14 +94,14 @@
#
# If your host doesn't have a registered DNS name, enter its IP address here.
#
-#ServerName www.example.com:80
+ServerName itpass.scitec.kobe-u.ac.jp:80
#
# DocumentRoot: The directory out of which you will serve your
# documents. By default, all requests are taken from this directory, but
# symbolic links and aliases may be used to point to other locations.
#
-DocumentRoot "/usr/local/apache2/htdocs"
+DocumentRoot "/home/itpass/public_html"
#
# Each directory to which Apache has access can be configured with respect
@@ -115,7 +115,7 @@
Options FollowSymLinks
AllowOverride None
Order deny,allow
- Deny from all
+
</Directory>
#
@@ -128,7 +128,7 @@
#
# This should be changed to whatever you set DocumentRoot to.
#
-<Directory "/usr/local/apache2/htdocs">
+<Directory "/home/itpass/public_html">
#
# Possible values for the Options directive are "None", "All",
# or any combination of:
@@ -163,7 +163,8 @@
# is requested.
#
<IfModule dir_module>
- DirectoryIndex index.html
+ DirectoryIndex index.html index.htm index.htm.en index.html.en index.htm.ja index.html.ja
+
</IfModule>
#
@@ -183,7 +184,7 @@
# logged here. If you *do* define an error logfile for a <VirtualHost>
# container, that host's errors will be logged there and not here.
#
-ErrorLog "logs/error_log"
+ErrorLog "/var/log/httpd-error.log"
#
# LogLevel: Control the number of messages logged to the error_log.
@@ -212,13 +213,13 @@
# define per-<VirtualHost> access logfiles, transactions will be
# logged therein and *not* in this file.
#
- CustomLog "logs/access_log" common
+ #CustomLog "logs/access_log" common
#
# If you prefer a logfile with access, agent, and referer information
# (Combined Logfile Format) you can use the following directive.
#
- #CustomLog "logs/access_log" combined
+ CustomLog "/var/log/httpd-access_org" combined
</IfModule>
<IfModule alias_module>
@@ -265,10 +266,8 @@
# CGI directory exists, if you have that configured.
#
<Directory "/usr/local/apache2/cgi-bin">
- AllowOverride None
- Options None
- Order allow,deny
- Allow from all
+ AllowOverride AuthConfig Limit
+ Options ExecCGI FollowSymLinks IncludesNoExec
</Directory>
#
@@ -315,7 +314,7 @@
# To use CGI scripts outside of ScriptAliased directories:
# (You will also need to add "ExecCGI" to the "Options" directive.)
#
- #AddHandler cgi-script .cgi
+ AddHandler cgi-script .cgi .rb
# For type maps (negotiated resources):
#AddHandler type-map var
@@ -385,13 +384,13 @@
#Include conf/extra/httpd-languages.conf
# User home directories
-#Include conf/extra/httpd-userdir.conf
+Include conf/extra/httpd-userdir.conf
# Real-time info on requests and configuration
#Include conf/extra/httpd-info.conf
# Virtual hosts
-#Include conf/extra/httpd-vhosts.conf
+Include conf/extra/httpd-vhosts.conf
# Local access to the Apache HTTP Server Manual
#Include conf/extra/httpd-manual.conf
@@ -403,7 +402,7 @@
#Include conf/extra/httpd-default.conf
# Secure (SSL/TLS) connections
-#Include conf/extra/httpd-ssl.conf
+Include conf/extra/httpd-ssl.conf
#
# Note: The following must must be present to support
# starting without SSL on platforms with no /dev/random equivalent
@@ -413,3 +412,61 @@
SSLRandomSeed startup builtin
SSLRandomSeed connect builtin
</IfModule>
+
+#
+# Setting for Hiki Area
+#
+<Directory "/home/epalab/public_html/hiki">
+ AllowOverride ALL
+ Options -MultiViews
+</Directory>
+
+<Directory "/home/itpass/public_html/hiki">
+ AllowOverride ALL
+ Options -MultiViews
+</Directory>
+
+<Directory "/home/itpass/public_html/hiki-secret">
+ AllowOverride ALL
+ Options -MultiViews
+</Directory>
+
+<Directory "/home/tansaku/public_html/hiki">
+ AllowOverride ALL
+ Options -MultiViews
+</Directory>
+
+<Directory "/home/uwabami/public_html/hiki">
+ AllowOverride FileInfo AuthConfig Limit Indexes Options=ExecCGI,FollowSymlinks
+ Options -MultiViews
+</Directory>
+
+<Directory "/home/gpgpu/public_html/hiki">
+ AllowOverride FileInfo AuthConfig Limit Indexes Options=ExecCGI,FollowSymlinks
+ Options -MultiViews
+</Directory>
+
+<Directory "/home/gridcomp/public_html/hiki">
+ AllowOverride FileInfo AuthConfig Limit Indexes Options=ExecCGI,FollowSymlinks
+ Options -MultiViews
+</Directory>
+
+<Directory "/home/ayako/public_html/suzuhiki">
+ AllowOverride FileInfo AuthConfig Limit Indexes Options=ExecCGI,FollowSymlinks
+ Options -MultiViews
+</Directory>
+
+<Directory "/home/pschool/public_html/hiki">
+ AllowOverride FileInfo AuthConfig Limit Indexes Options=ExecCGI,FollowSymlinks
+ Options -MultiViews
+</Directory>
+
+<Directory "/home/bldg3/public_html/hiki">
+ AllowOverride ALL
+ Options -MultiViews
+</Directory>
+
+<Directory "/home/fourtran/public_html/hiki">
+ AllowOverride FileInfo AuthConfig Limit Indexes Options=ExecCGI,FollowSymlinks
+ Options -MultiViews
+</Directory>
== extra/httpd-ssl.conf
root@tako-itpass:/usr/local/apache2/conf# diff -u original/extra/httpd-ssl.conf extra/httpd-ssl.conf
--- original/extra/httpd-ssl.conf 2011-10-11 16:11:05.000000000 +0900
+++ extra/httpd-ssl.conf 2011-10-11 17:50:07.000000000 +0900
@@ -71,14 +71,15 @@
## SSL Virtual Host Context
##
-<VirtualHost _default_:443>
+NameVirtualHost *:443
+<VirtualHost *:443>
# General setup for the virtual host
-DocumentRoot "/usr/local/apache2/htdocs"
-ServerName www.example.com:443
-ServerAdmin you@example.com
-ErrorLog "/usr/local/apache2/logs/error_log"
-TransferLog "/usr/local/apache2/logs/access_log"
+DocumentRoot "/home/itpass/public_html"
+ServerName itpass.scitec.kobe-u.ac.jp:443
+ServerAdmin itpadmin_at_itpass.scitec.kobe-u.ac.jp
+ErrorLog "/var/log/httpd-ssl-error.log"
+TransferLog "/var/log/httpd-ssl-access.log"
# SSL Engine Switch:
# Enable/Disable SSL for this virtual host.
@@ -96,7 +97,7 @@
# in mind that if you have both an RSA and a DSA certificate you
# can configure both in parallel (to also allow the use of DSA
# ciphers, etc.)
-SSLCertificateFile "/usr/local/apache2/conf/server.crt"
+SSLCertificateFile "/usr/local/apache2/conf/ca/itpass/server.crt"
#SSLCertificateFile "/usr/local/apache2/conf/server-dsa.crt"
# Server Private Key:
@@ -104,7 +105,7 @@
# directive to point at the key file. Keep in mind that if
# you've both a RSA and a DSA private key you can configure
# both in parallel (to also allow the use of DSA ciphers, etc.)
-SSLCertificateKeyFile "/usr/local/apache2/conf/server.key"
+SSLCertificateKeyFile "/usr/local/apache2/conf/ca/itpass/server.key"
#SSLCertificateKeyFile "/usr/local/apache2/conf/server-dsa.key"
# Server Certificate Chain:
@@ -114,7 +115,7 @@
# the referenced file can be the same as SSLCertificateFile
# when the CA certificates are directly appended to the server
# certificate for convinience.
-#SSLCertificateChainFile "/usr/local/apache2/conf/server-ca.crt"
+#SSLCertificateChainFile "/usr/local/apache2/conf/server.crt"
# Certificate Authority (CA):
# Set the CA certificate verification path where to find CA
@@ -228,4 +229,29 @@
CustomLog "/usr/local/apache2/logs/ssl_request_log" \
"%t %h %{SSL_PROTOCOL}x %{SSL_CIPHER}x \"%r\" %b"
-</VirtualHost>
+</VirtualHost>
+
+<VirtualHost *:443>
+ DocumentRoot "/home/aoelab/public_html"
+ ServerName aoe.scitec.kobe-u.ac.jp:443
+ ServerAdmin itpadmin_at_itpass.scitec.kobe-u.ac.jp
+ ErrorLog /var/log/httpd-ssl-error.log
+ TransferLog /var/log/httpd-ssl-access.log
+ SSLEngine on
+ SSLCipherSuite ALL:!ADH:!EXPORT56:RC4+RSA:+HIGH:+MEDIUM:+LOW:+SSLv2:+EXP:+eNULL
+ SSLCertificateFile "/usr/local/apache2/conf/ca/aoe/server.crt"
+ SSLCertificateKeyFile "/usr/local/apache2/conf/ca/aoe/server.key"
+</VirtualHost>
+
+
+<VirtualHost *:443>
+ DocumentRoot "/home/epalab/public_html"
+ ServerName epa.scitec.kobe-u.ac.jp:443
+ ServerAdmin itpadmin_at_itpass.scitec.kobe-u.ac.jp
+ ErrorLog /var/log/httpd-ssl-error.log
+ TransferLog /var/log/httpd-ssl-access.log
+ SSLEngine on
+ SSLCipherSuite ALL:!ADH:!EXPORT56:RC4+RSA:+HIGH:+MEDIUM:+LOW:+SSLv2:+EXP:+eNULL
+ SSLCertificateFile "/usr/local/apache2/conf/ca/epa/server.crt"
+ SSLCertificateKeyFile "/usr/local/apache2/conf/ca/epa/server.key"
+ </VirtualHost>
=== extra/httpd-vhosts.conf の diff
root@tako-itpass:/usr/local/apache2/conf# diff -u original/extra/httpd-vhosts.conf extra/httpd-vhosts.conf
--- original/extra/httpd-vhosts.conf 2011-10-11 16:11:05.000000000 +0900
+++ extra/httpd-vhosts.conf 2011-10-11 17:39:51.000000000 +0900
@@ -25,21 +25,72 @@
# match a ServerName or ServerAlias in any <VirtualHost> block.
#
<VirtualHost *:80>
- ServerAdmin webmaster@dummy-host.example.com
- DocumentRoot "/usr/local/apache2/docs/dummy-host.example.com"
- ServerName dummy-host.example.com
- ServerAlias www.dummy-host.example.com
- ErrorLog "logs/dummy-host.example.com-error_log"
- CustomLog "logs/dummy-host.example.com-access_log" common
+ ServerAdmin itpadmin_at_itpass.scitec.kobe-u.ac.jp
+ DocumentRoot "/home/itpass/public_html"
+ ServerName itpass.scitec.kobe-u.ac.jp
+ ErrorLog "/var/log/httpd-error.log"
+ CustomLog "/var/log/httpd-access.log" combined
+
+ <IfModule mod_rewrite.c>
+ RewriteEngine On
+ RewriteLog "/var/log/httpd-rewrite.log"
+ RewriteLogLevel 0
+ RewriteCond %{SERVER_PORT} !^443$
+ RewriteRule ^/hiki/(.*)?$ https://itpass.scitec.kobe-u.ac.jp/hiki/$1 [L,R,NE]
+ RewriteRule ^/hiki/(.*)?$ https://itpass.scitec.kobe-u.ac.jp/hiki-secret/$1 [L,R,NE]
+ # ---- hiki
+ RewriteRule ^/hiki/(.*)?$ https://itpass.scitec.kobe-u.ac.jp/hiki/$1 [L,R,NE]
+ RewriteRule ^/~bldg3/hiki/(.*)?$ https://itpass.scitec.kobe-u.ac.jp/~bldg3/hiki/$1 [L,R,NE]
+ RewriteRule ^/~epalab/hiki/(.*)?$ https://itpass.scitec.kobe-u.ac.jp/~epalab/hiki/$1 [L,R,NE]
+ RewriteRule ^/~itpass/hiki/(.*)?$ https://itpass.scitec.kobe-u.ac.jp/~itpass/hiki/$1 [L,R,NE]
+ RewriteRule ^/~itpass/hiki-secret/(.*)?$ https://itpass.scitec.kobe-u.ac.jp/~itpass/hiki-secret/$1 [L,R,NE]
+ # ---- gate
+ RewriteRule ^/~gate/(.*)?$ https://itpass.scitec.kobe-u.ac.jp/~gate/$1 [L,R,NE]
+ RewriteRule ^/cgi-bin/(.*)?$ https://itpass.scitec.kobe-u.ac.jp/cgi-bin/$1 [L,R,NE]
+ </IfModule>
</VirtualHost>
+# ---- aoelab ----
<VirtualHost *:80>
- ServerAdmin webmaster@dummy-host2.example.com
- DocumentRoot "/usr/local/apache2/docs/dummy-host2.example.com"
- ServerName dummy-host2.example.com
- ErrorLog "logs/dummy-host2.example.com-error_log"
- CustomLog "logs/dummy-host2.example.com-access_log" common
+ ServerAdmin itpadmin_at_itpass.scitec.kobe-u.ac.jp
+ DocumentRoot "/home/aoelab/public_html"
+ ServerName aoe.scitec.kobe-u.ac.jp
+ ErrorLog "/var/log/httpd-error.log"
+ CustomLog "/var/log/httpd-access.log" combined
+ <IfModule mod_rewrite.c>
+ RewriteEngine On
+ RewriteLog "/var/log/httpd-rewrite.log"
+ RewriteLogLevel 0
+ RewriteCond %{SERVER_PORT} !^443$
+ # ---- hiki
+ RewriteRule ^/hiki/(.*)?$ https://itpass.scitec.kobe-u.ac.jp/hiki/$1 [L,R]
+ # ---- gate
+ RewriteRule ^/~gate/(.*)?$ https://itpass.scitec.kobe-u.ac.jp/~gate/$1 [L,R,NE]
+ RewriteRule ^/cgi-bin/(.*)?$ https://itpass.scitec.kobe-u.ac.jp/cgi-bin/$1 [L,R,NE]
+ </IfModule>
+ </VirtualHost>
+
+
+# ---- epalab ----
+<VirtualHost *:80>
+ ServerAdmin itpadmin_at_itpass.scitec.kobe-u.ac.jp
+ DocumentRoot "/home/epalab/public_html"
+ ServerName epa.scitec.kobe-u.ac.jp
+ ErrorLog /var/log/httpd-error.log
+ CustomLog /var/log/httpd-access.log combined
+ <IfModule mod_rewrite.c>
+ RewriteEngine On
+ RewriteLog "/var/log/httpd-rewrite.log"
+ RewriteLogLevel 0
+ RewriteCond %{SERVER_PORT} !^443$
+ # ---- hiki
+ RewriteRule ^/hiki/(.*)?$ https://epa.scitec.kobe-u.ac.jp/hiki/$1 [L,R,NE]
+ # ---- gate
+ RewriteRule ^/~gate/(.*)?$ https://itpass.scitec.kobe-u.ac.jp/~gate/$1 [L,R,NE]
+ RewriteRule ^/cgi-bin/(.*)?$ https://itpass.scitec.kobe-u.ac.jp/cgi-bin/$1 [L,R,NE]
+ </IfModule>
</VirtualHost>
+
== extra/httpd-userdir.conf
root@tako-itpass:/usr/local/apache2/conf# diff -u original/extra/httpd-userdir.conf extra/httpd-userdir.conf
--- original/extra/httpd-userdir.conf 2011-10-11 16:11:05.000000000 +0900
+++ extra/httpd-userdir.conf 2011-10-11 17:58:18.000000000 +0900
@@ -1,3 +1,4 @@
+# -*- apache -*-
# Settings for user home directories
#
# Required module: mod_userdir
@@ -15,7 +16,7 @@
#
<Directory "/home/*/public_html">
AllowOverride FileInfo AuthConfig Limit Indexes
- Options MultiViews Indexes SymLinksIfOwnerMatch IncludesNoExec
+ Options MultiViews Indexes FollowSymLinks IncludesNoExec
<Limit GET POST OPTIONS>
Order allow,deny
Allow from all
@@ -24,5 +25,12 @@
Order deny,allow
Deny from all
</LimitExcept>
+ <IfModule negotiation_module>
+ AddLanguage ja .ja
+ AddLanguage ja-JP .ja
+ AddLanguage en .en
+ LanguagePriority en ja
+ ForceLanguagePriority Prefer Fallback
+ </IfModule>
</Directory>
= ログローテートの設定
* /etc/logrotate.conf を編集して圧縮オプションを追加する
* compressのコメントアウトを外す
* /etc/logrotate.d/ 以下の apache2 ファイルに以下の内容を書き込み, もともとあった内容をコメントアウトする
#/var/log/apache2/*.log {
# weekly
# missingok
# rotate 52
# compress
# delaycompress
# notifempty
# create 640 root adm
# sharedscripts
# postrotate
# /etc/init.d/apache2 reload > /dev/null
# endscript
#}
/var/log/httpd-access.log {
missingok
weekly
rotate 12
postrotate
/usr/bin/killall -HUP httpd 2> /dev/null || true
endscript
}
/var/log/httpd-error.log {
missingok
weekly
rotate 12
postrotate
/usr/bin/killall -HUP httpd 2> /dev/null || true
endscript
}
/var/log/httpd-ssl-access.log {
missingok
weekly
rotate 12
postrotate
/usr/bin/killall -HUP httpd 2> /dev/null || true
endscript
}
/var/log/httpd-ssl-error.log {
missingok
weekly
rotate 12
postrotate
/usr/bin/killall -HUP httpd 2> /dev/null || true
endscript
}
= SSL 用の証明書の作成
== openssl の設定を変更
/etc/ssl/openssl.conf について以下の二点の変更を加える.
* [usr_cert] セクションにある nsCertType=server のコメントアウトを外す
* [v3_ca] セクションにある nsCertType=sslCA,emailCA のコメントアウトを外す
=== プライベート CA の作成
apache の config ディレクトリに入り, 次のように証明書を格納するディレクトリを作成する.
# cd /usr/local/apache2/conf
# mkdir ca
# cd ./ca/
# mkdir {itpass,epa,aoe,cps のそれぞれの名称で作成}
以下の作業は ServerName : itpass.scitec.kobe-u.ac.jp, epa.scitec.kobe-u.ac.jp, aoe.scitec.kobe-u.ac.jp, cps.scitec.kobe-u.ac.jp
のそれぞれについて行う. サーバ名を適宜読みかえ, 4 回実行する.
((*< 4 回実行する作業 ここから>*))
# /usr/lib/ssl/misc/CA.pl -newca
CA certificate filename (or enter to create) (空で Enter)
Enter PEM pass phrase: (適当な文字列入力)
Country Name (2 letter code) [AU]: JP
State or Province Name (full name) [Some-State]: Hyogo
Locality Name (eg, city) []: Kobe
Organization Name (eg, company) [Internet Widgits Pty Ltd]: Private_CA
Organizational Unit Name (eg, section) []: Private_CA
Common Name (eg, YOUR name) : Private_CA
Email Address: itpadmin_at_itpass.scitec.kobe-u.ac.jp
A challenge password: (空で Enter)
A optional company name: (空で Enter)
Enter pass phrase for ./demoCA/private/./cakey.pem: (先と同じパスフレーズ)
この作業で以下のようなディレクトリ構造になったことを確認.
/usr/local/apache2/conf/ca
｜
└ demoCA ［ 各種証明書等のルートディレクトリ ]
｜
├ certs [ 証明書等のディレクトリ(バックアップに利用) ]
｜
├ crl [ 破棄証明書一覧用のディレクトリ ]
｜
├ newcerts [ クライアント証明書(sireal追番)のディレクトリ ]
｜ ｜
｜ ├ xxxxx..pem [ クライアント証明書 ]
｜ ｜ :
｜ └ xxxxx..pem [ クライアント証明書 ]
｜
├ private [ CA用の秘密鍵用ディレクトリ ]
｜ ｜
｜ └ cakey.pem [ CA用の秘密鍵 ]
｜
├ cacert.pem [ CA用の証明書 ]
├ index.txt [ クライアント証明書用DB ]
└ serial [ クライアント証明書用シリアル ]
サーバ用 CA 証明書を作成する.
# openssl x509 -in ./demoCA/cacert.pem -out ./demoCA/cacert.crt
ブラウザに登録されるバイナリ DER フォーマットで記述されたファイルの作成.
# openssl x509 -inform PEM -outform DER -in ./demoCA/cacert.pem der -out ./demoCA/ca.der
サーバ用秘密鍵の作成.
# /usr/lib/ssl/misc/CA.pl -newreq-nodes
Country Name (2 letter code) [AU]: JP
State or Province Name (full name) [Some-State]: Hyogo
Locality Name (eg, city) []: Kobe
Organization Name (eg, company) [Internet Widgits Pty Ltd]: Kobe University
Organizational Unit Name (eg, section) []: ITPASS (他に "EPA lab.", "AOE lab." として登録)
Common Name (eg, YOUR name) : itpass.scitec.kobe-u.ac.jp (ここは itpass の他に, epa, aoe の分をそれぞれ作成する)
Email Address: itpadmin_at_itpass.scitec.kobe-u.ac.jp
A challenge password: (空で Enter)
A optional company name: (空で Enter)
サーバ用証明書の作成.
# /usr/lib/ssl/misc/CA.pl -sign
...
Enter pass phrase for ./demoCA/private/cakey.pem: (さきほどのパスフレーズを入力)
...
Sign the certificate? [y/n]: y[Enter]
1 out of 1 certificate requests certified, commit? [y/n] y[Enter]
サーバ証明書を crt ファイルへ書き出す.
# openssl x509 -in newcert.pem -out server.crt
以上の作業により, demoCA 以下に ca.der が, カレントディレクトリに server.crt, newkey.pem が作成される.
これらのファイルを, 証明書を格納するために作成した ca ディレクトリ以下に格納する.
# mv server.crt ./itpass(この名称は適宜読み替え)/
# mv newkey.pem ./itpass(この名称は適宜読み替え)/server.key
# mv demoCA/ca.der ./itpass(この名称は適宜読み替え)/
最後に demoCA ディレクトリ以下を削除する.
# rm -r demoCA/
これで鍵の作成は完了である. ここまでを itpass, epa, aoe, cps のそれぞれについて計 4 回行う.
((*< 4 回実行する作業 ここまで>*))
= 動作チェック
* apache を起動する前に, ドキュメントルートとなるディレクトリを作成しておく.
* /home/ 以下に itpass/, epalab/, aoelab/ という名前のディレクトリを作る
* さらにそれぞれのディレクトリ内に public_html/ という名前のディレクトリを作る
* apache を起動する
* apache は /usr/local/apache2/bin/apachectl で起動/停止する
# /usr/local/apache2/bin/apachectl -k start
* 起動したかどうかを以下のコマンドで確認する.
# ps aux
画面左端に www-data と表示されていれば, 起動していると分かる.
* ~itpass/public_html/ に test という名前のディレクトリを作成し, その中に test.txt というファイルを作成する
* ブラウザで text.txt が正常に表示されるかどうかを確認する
* URL は http://tako-itpass.scitec.kobe-u.ac.jp/~itpass/test/test.txt, https://tako-itpass.scitec.kobe-u.ac.jp/~itpass/test/test.txt
* "http://..." と "https://..." の両方に関して行うこと.
#さらに, サーバ移行後に, ブラウザで, https://{} の {} 部分を epa, itpass で書き換えた URL を指定し, サーバ証明書の詳細を表示させたとき, ちゃんと epa, itpass のそれぞれをサーバ名とする証明書を表示しているかを確認する.
* apache を停止する
# /usr/local/apache2/bin/apachectl -k graceful-stop
* 停止したかどうかを確認する
* apache のエラーログ /var/log/httpd-error.log を確認し, エラーなどが出ていないことを確認する
== 補足事項: ロード済みモジュールの表示
以下のように httpd コマンドに -M オプションをつけて実行することで,
静的にロードされたモジュールと動的にロードされたモジュールの両方が
表示される. 以下の出力結果は 2012/03/09 現在の ika-itpass において実行した際のものである,.
$ /usr/local/apache2/bin/httpd -M
Loaded Modules:
core_module (static)
authn_file_module (static)
authn_default_module (static)
authz_host_module (static)
authz_groupfile_module (static)
authz_user_module (static)
authz_default_module (static)
auth_basic_module (static)
include_module (static)
filter_module (static)
log_config_module (static)
env_module (static)
setenvif_module (static)
version_module (static)
ssl_module (static)
mpm_prefork_module (static)
http_module (static)
mime_module (static)
status_module (static)
autoindex_module (static)
asis_module (static)
cgi_module (static)
negotiation_module (static)
dir_module (static)
actions_module (static)
userdir_module (static)
alias_module (static)
rewrite_module (static)
so_module (static)
Syntax OK
以下のように -l オプションを指定すると, 組み込みモジュールのリストが
表示できる.
$ /usr/local/apache2/bin/httpd -l
Compiled in modules:
core.c
mod_authn_file.c
mod_authn_default.c
mod_authz_host.c
mod_authz_groupfile.c
mod_authz_user.c
mod_authz_default.c
mod_auth_basic.c
mod_include.c
mod_filter.c
mod_log_config.c
mod_env.c
mod_setenvif.c
mod_version.c
mod_ssl.c
prefork.c
http_core.c
mod_mime.c
mod_status.c
mod_autoindex.c
mod_asis.c
mod_cgi.c
mod_negotiation.c
mod_dir.c
mod_actions.c
mod_userdir.c
mod_alias.c
mod_rewrite.c
mod_so.c
= 起動スクリプトの用意
サーバ起動時に apache を自動的に起動させるため, の起動スクリプトを作成する.
* Debian の apache パッケージに含まれる/etc/init.d/apache を元に起動スクリプトを apache2 用に多少書き換えたものが
((<apache2|URL:../../server/2010/apache/apache2>))から入手できる.
このファイルを /etc/init.d/apache2 にコピーし, 以下のようにパーミッションを設定する.
# wget http://itpass.scitec.kobe-u.ac.jp/server/2010/apache/apache2
# cp apache2 /etc/init.d/
# chown root:root /etc/init.d/apache2
# chmod 755 /etc/init.d/apache2
* さらに, スクリプトの冒頭に以下の記述を書き加える.
### BEGIN INIT INFO
# Provides: apache2
# Required-Start: $remote_fs
# Required-Stop: $remote_fs
# Should-Start: $network $syslog
# Should-Stop: $network $syslog
# Default-Start: 2 3 4 5
# Default-Stop: 0 1 6
# Short-Description: Start and stop apache2
# Description: bind9 is a Domain Name Server (DNS)
# which translates ip addresses to and from internet names
### END INIT INFO
* ランレベルごとに apache2 の動作を設定する.
# update-rc.d apache2 defaults
以下のようなメッセージが出る.
update-rc.d: using dependency based boot sequencing
* 再起動して apache が起動するかを確認する.
[((<ITPASSサーバ構築・運用ドキュメント>)) へ戻る]