ユーザー認証でタイムアウトを設定する「mod_auth_timeout」

　「mod_auth_timeout」はユーザー認証時にタイムアウトを設定するモジュールです。通常Basic認証では、クライアント側でWebブラウザを閉じるなどの操作が行われない限り、一度認証に成功したパスワードをWebブラウザで保持し、アクセスの度にユーザーがいちいち入力する手間を省いています。

　しかし、オンラインバンキングなど、高いセキュリティーが求められるWebサイトでは、ユーザーが一定時間操作を行わなかった場合に、強制的にログアウトし、再度ログインを求めるような仕組みがとられています。

　こうしたWebアプリケーションでは、Webフォームとセッション変数を使った認証方法が用いられています。セッション変数とはサーバー内に蓄えられる情報で、サーバーとクライアントのセッション情報に基づいて管理されたデータです。セッション変数を使うことで、コネクションレスなHTTPプロトコルでも、継続的に変数を持続させることができ、このセッション変数の有効期限を設定することで、ユーザー認証の有効期間を調整することができます。

　今回紹介する「mod_auth_timeout」は、セッション変数を使用しないBasic認証でも、ユーザー認証のタイムアウトを発生させることができます。

　ユーザーのログイン時間はDBMファイルを使って管理します。秒単位で有効期間を設定することができます。認証フロントエンドはBasic認証に限られますが、バックエンドはLDAPでもMySQLでもhtaccessファイルでも、自由に使用することができます。

mod_auth_timeoutのインストール

　ソースファイルからインストールする方法を解説します。ここではLinuxディストリビューション「CentOS 5.2」での作業を例に解説をすすめます。

　まずソースアーカイブをmod_auth_timeoutのページ（http://secure.linuxbox.com/tiki/tiki-index.php?page=mod_auth_timeout）からダウンロードし展開します。以下の例ではダウンロードにwgetコマンドを使用しています。

# wget http://secure.linuxbox.com/tiki/files/mod_auth_timeout-1.0.4.1.tar.gz
# tar xvf mod_auth_timeout-1.0.4.1.tar.gz

　展開したディレクトリに移動し、「configure.sh」を実行します。この際apxsコマンド（またはapxs2）に対しパスが通っている必要があります。

# cd mod_auth_timeout-1.0.4.1
# ./configure.sh

　作成されたMakefileに対し、makeコマンドを実行します。

# make
# make install

　「make install」実行で、mod_auth_timeout.soファイルがモジュールディレクトリ（CentOSでは/usr/lib/httpd/modules/）にインストールされます。

　次にApacheの設定ファイル「httpd.conf」を前回使用した基本的なbasic認証の設定（http://www.thinkit.co.jp/article/120/2/2.html）を元に、図2のように修正します。

　「AuthTimeOut」でタイムアウト値を、「AuthTimeOutDBMFile」でログイン時間を管理するファイルを指定します。管理ファイルを設置するディレクトリには「/var/spool/auth_timeout/」を用意し、Apacheのデーモン権限で管理ファイルを作成・更新できるよう、オーナー情報を変更します。オーナー・グループ名にはApacheデーモンのものを使用します。一般的には「apache」が使用されていますが、「nobody」を使用するケースもあります。httpd.confの「User」と「Group」を確認します。

# mkdir /var/spool/auth_timeout/
# chown apache /var/spool/auth_timeout/
# chgrp apache /var/spool/httpd/auth_timeout/

　設定完了後Apacheを起動、または再起動しmod_auth_timeoutを有効にします。apachectlコマンドを使用して再起動する場合は以下を実行します。

# apachectl restart

　またはOSで用意された起動スクリプト（CentOSでは/etc/init.d/httpd）を利用する場合は以下を実行します。

# /etc/init.d/httpd restart

　クライアントから、対象URL（図2の例では「http://サーバーのアドレス/restricted」）に対し、時間をあけてアクセスし、タイムアウトが働き、再度ユーザー名とパスワードの入力が促されることを確認します。なお筆者が試した限り、タイムアウトを120秒以下に設定することはできませんでした。300秒など、現実的な値を設定するようにします。

　次は、「mod_auth_shadow」のインストールと設定について説明しましょう。