Kort fortalt:

root@maskin.uio.no# /local/etc/init.d/httpd {init|start|stop|restart|graceful|status|
                                        fullstatus|configtest|help|check}

der de forskjellige kommandoene betyr følgende:

Til forskjell fra tidligere versjoner av Apache fra Store så har ikke Apache2.2 en startssl-opsjon for å aktivere en SSL-konfigurasjon i servern. Dette er fordi Apache2.2 har en noe endret konfigurasjonsfilosofi fra tidligere versjoner. Hvis man aktiverer SSL-konfigurasjon for sin server så bruker man altså bare den samme startssl-opsjonen for å starte httpd.

For at Apache skal starte automatisk ved boot må filen /etc/usit/http.server finnes. Den kan lages slik:

root@maskin.uio.no# touch /etc/usit/http.server

	Obs
	Hvis man bruker SSL-sertifikater (.crt,.pem o.l. filtyper) for HTTPS-grensesnitt, så er det viktig at man beskytter privatnøkkelen (.key-fila) som hører med sertifikatet. Denne må være eid og kun lesbar av root. Hvis fila kommer på avveie så er ikke SSL-sertifikatet lenger gyldig og må ugyldiggjøres hos sertifikatutsteder og erstattes.

SSL-enablet server: For at httpd skal starte med SSL-enablet må taste inn en SSL-passphrase fordi privatnøkkelen ofte er kryptert. Ved boot vil ikke få dette spørsmålet om SSL-passphrase, så servern vil ikke starte. Ettersom Apache2.2 ikke støtter startssl-opsjonen for å eksplisitt slå på SSL-funksjonaliteten i httpd vil en eventuell SSL-konfigurasjon typisk være enablet hele tiden, dvs når man kaller init-skriptet med start-opsjonen. Ved boot vil derfor en eventuell SSL-konfigurasjon slås på, og hvis privatnøkkelen er kryptert vil den ikke starte ved boot. Det eneste reelle alternativet er at man fjerner krypteringen på privatnøkkelen - da vil man ikke lenger bli spurt om SSL-passphrase ved start av httpd, og den vil da kunne starte ved boot også.

Dette er ikke en anbefalt løsning, men hvis man fjerner krypteringen på privatnøkkelen må man være veldig påpasselig med å sikre nøkkelen: den må være eid av root, og bør kun være lesbar for root. Vi anbefaler følgende for å sette fornuftige rettigheter på en ukryptert SSL-privatnøkkel:

root@maskin.uio.no# chown root:root /path/to/ssl-privatekey.key
root@maskin.uio.no# chmod 400 /path/to/ssl-privatekey.key

Oversikten viser utvalgte kataloger og filer som kan være relevante for en tjeneradministrator, det er ikke en uttømmende liste. Se neste punkt for mer utfyllende informasjon om de mest relevante konfigurasjonsfilene.

Konfigurasjonsfilen til Apache2.2 er distribuert via Store, og dermed kan ikke modifiseres på den enkelte maskin. For at webserven så skal kunne tilpasses av den lokale administrator inkluderes to lokale filer inn i den sentrale konfigurasjonsfilen (/local/opt/apache2.2/conf/httpd.conf):

I tillegg til kommer konfigurasjonsfiler for tilleggsmoduler skilt ut i egne Store-pakker, f.eks. UHTML eller PHP. Se deres egne punkter for beskrivelse.

Default datakatalog (htdocs) har følgende path:

/site/opt/apache2.2/htdocs

Denne stien er konfigurert opp i den sentrale konfigurasjonsfilen til Apache (/local/opt/apache2.2/conf/httpd.conf). Den kan overstyres i din lokale /etc/httpd.conf.

Når man initierer webserveren så må katalogen /site/ være tilgjengelig, ellers feiler initieringen. Denne katalogen kan med fordel være en symlink til en annen partisjon der man legger alle dataene til webserveren. God skikk er å opprette partisjonen /<institusjon>/<maskinnavn>/site og så lage en symlink til denne under rotkatalogen. Eksempelvis /site -> /usit/caesar/site, for USIT-maskinen caesar.uio.no.

Default loggkatalogen (logs) har følgende path:

/site/opt/apache2.2/logs

Her finner man loggfilene for alle henvendelsene til serveren og de feilmeldingene som kommer fra servern. I tillegg kommer det en loggfil for alle meldinger fra SSL hvis serveren er startet for å bruke HTTPS. Filene er døpt det følgende:

	Obs
	Hvis du enabler SSL så sørg for at kun root har skrivetilgang til logs-katalogen.

Skriptet /local/opt/apache2.2/bin/httpd-logrotate er skrevet for å gjøre loggrotering basert på katalogstrukeren til Apache fra Store (se over). I sin default-modus er skriptet beregnet på månedlig loggrotasjon, og bør derfor kalles av en cronjobb som går ett minutt over midnatt den første i hver måned. Ved initialisering av Apache settes en slik månedlig rotasjon opp automatisk:

root@maskin.uio.no# /local/etc/init.d/httpd init

Skriptet støtter også ukentlig og daglig rotasjon. Cronjobben må eventuelt tilpasses en slik type rotasjon. Det følgende er forslag til cronjobber for å gjøre en hhv månedlig, ukentlig eller daglig loggrotasjon:

# 1. Example - monthly Apache2.2 log rotation:
1 0 1 * * /local/opt/apache2.2/bin/httpd-logrotate

# 2. Example - weekly Apache2.2 log rotation:
1 0 * * 1 /local/opt/apache2.2/bin/httpd-logrotate -w

# 3. Example - daily Apache2.2 log rotation:
1 0 * * * /local/opt/apache2.2/bin/httpd-logrotate -d

Rotering foregår ved at loggfilene (f.eks. access_log) flyttes til en underkatalog av loggkatalogen (default: /site/opt/apache2.2/logs/old), Apache restartes for å begynne å logge til ny fil, og så pakkes den gamle filen ned med gzip. Den nedpakkede filen får et datostempel for hvilken måneds logg den inneholder, typisk access_log.2007-01.gz for januar 2007.

Skriptet tar også høyde for å kunne rotere logger for virtuelle grensesnitt med egne loggfiler man måtte ha konfigurert opp, såfremt de bruker følgende katalogstruktur:

/site/opt/apache2.2/virtual/<virtualhost>/logs

der <virtualhost> kan være navnet på grensesnittet (f.eks. www.foo.uio.no). Skriptet roterer isåfall loggene på samme måte som beskrevet over; flytter filene til old-katalogen (nå relativ til .../<virtualhost>/logs/), restarter Apache og pakker ned de gamle loggfilene.

For at websidene skal kunne bruke UiO-profil må maskinen ha Store-pakken usit-visuell-profil. Denne er derfor inkludert i profilen @usit-httpd. Bruker du ikke denne profilen må du hente ned pakken manuelt (se egen dokumentasjon for dette: http://www.usit.uio.no/it/unix/store/programmer.html#PROGRAM-ADD).

For å bruke UHTML må du også ha mod_perl installert (følger med i profilen @usit-httpd). Ved å (re-)initialisere Apache-installasjonen (/local/opt/init.d/httpd init) vil man få lagt til den nødvendige konfigurasjonen i din lokale /etc/httpd.conf. Du kan også legge til det følgende manuelt:

# Include UHTML config:
<IfModule perl_module>
    Include /local/opt/usit-visuell-profil/apacheconf/uhtml2.inc
</IfModule>

Hvis du ønsker å tilpasse UHTML-installasjonen, f.eks. hvis du skal ha en VirtualHost uten UiO-profil, bør du lese den følgende fila for hjelp (finnes på servern når du har installert usit-visuell-profil):

/local/opt/usit-visuell-profil/apacheconf/uhtml2.inc

Hentingen av UiO-profilene er todelt, der en del er distribuert via den overnenvte Store-pakken usit-visuell-profil, som inneholder noen få bilder, CSS-filer og Perlmoduler.

Den andre delen hentes ned fra nattlig med en cronjobb fra serveren rica.uio.no. Denne cronjobben settes opp på den lokale webserveren under initieringen av webserveren (/local/opt/init.d/httpd init). Serveradministrator må selv bestemmer selv hvilke profiler som hentes ned ved å legge de til i følgende konfigurasjonsfil:

/site/opt/usit-visuell-profil/uioprofil.conf

Denne filen skal inneholde en liste med profiler (et profilnavn per linje) som serveradmin ønsker å hente ned. Cronjobben kjøres en gang i døgnet, men skulle man trenge en ny profil med en gang kan man kjøre importskriptet manuelt på følgende måte:

root@maskin.uio.no# /local/opt/usit-visuell-profil/bin/hent_uioprofil

For å se hvilke profiler som er tilgjengelig, se http://wo.uio.no/as/WebObjects/metaredigering.woa/wo/ShowOrgUnit.wo

Se eget avsnitt om Tredjepartsmoduler til Apache2.2.

Apache2.2 er tilrettelagt på samme måte som den gamle Apache1.3-disten for å kjøre flere webgrensesnitt i såkalte VirtualHosts. Hvis du ønsker å dele opp din serverkonfigurasjon i VirtualHosts anbefaler vi at lager en katalog per VirtualHost under følgende katalog:

/site/opt/apache2.2/virtual/<virtualhost>

der <virtualhost> kan være navngitt hva som helst, men vi anbefaler et navn som reflekterer webgrensesnittet (f.eks. "www.foo.uio.no"). Under den overnevnte katalogen kan du legge dine egne htdocs/-, cgi-bin/- og conf/-kataloger for det spesifike webgrensesnittet.

Hvis en ønsker å ha egne logger for VirtualHostene, så vil loggrotasjonsskriptet rotere loggene dine på samme måte som de primære loggfilene hvis de ligger i følgende katalog:

/site/opt/apache2.2/virtual/<virtualhost>/logs

Se eget punkt om loggrotasjon for mer informasjon.

Tips

Loggrotasjonsskriptet bryr seg ikke om at .../virtual/<virtualhost>/logs-katalogen er en ekte katalog eller en symbolsk lenke (symbolic link, symlink) til en annen katalog. Hvis du har en helt egen katalogstruktur for dine webdata og weblogger kan du bruke symbolske lenker til dine VirtualHosts' loggkataloger og få rotert loggene dine der de er (f.eks. /site/opt/apache2.2/virtual/foo.uio.no/logs -> /www/foo.uio.no/logs).

For å få "alt":

Legg til gruppen @usit-httpd i /etc/usit/sw-localcopy og kjør /local/sbin/storeapp for å installere de nødvendige pakkene. For mer informasjon, les installasjonsveiledningen.

(Pakkene i dette avsnittet kan installeres på vanlig måte for Store-pakker; se egen dokumentasjon for mer informasjon.)

For "bare" webserveren - Apache2.2 med avhengigheter:

Tillegg: få støtte for mod_perl (Forutsetter: apache2.2 m/avhengigheter listet over):

Tillegg: få støtte for PHP v5.x (Forutsetter: apache2.2 m/avhengigheter listet over):

Tillegg: få støtte for UiO profil (UHTML) (Forutsetter: apache2.2 m/avhengigheter, samt mod_perl2-pakkene):

mod_perl benyttes for å kjøre persistente Perl-skript i Apache.

For å bruke mod_perl må du ha Apache2.2 med avhengigheter installert, og så må du installere de følgende to pakkene:

mod_perl
perl5

Modulen skal automatisk lastes inn i Apache etter installasjon ved å re-initiere Apache med /local/etc/init.d/httpd init, men man kan også manuelt legge til det følgende i /etc/httpd.conf.modules, og deretter restarte Apache:

LoadModule perl_module modules/mod_perl.so

mod_perl benyttes av UHTML.

For mer informasjon om mod_perl, se egen dokumentasjon på: http://perl.apache.org/

I Apache2.2-disten har vi tatt steget over på PHP5. Det er ikke tenkt laget offisiell støtte for tidligere versjoner av PHP, så hvis du har behov for PHP4 eller tidligere må du lage det selv.

For å bruke mod_php5 (Store-pakkenavn) må du ha Apache2.2 med avhengigheter installert, og så må du installere de følgende pakkene (php+avhengigheter):

mod_php5
curl
libjpeg
libpng
libxml2
libxslt
mysql-lib
pgsql-lib

Modulen skal automatisk lastes inn i Apache etter installasjon ved å re-initiere Apache med /local/etc/init.d/httpd init, men man kan også manuelt legge til det følgende i /etc/httpd.conf.modules, og restarte Apache:

LoadModule php5_module modules/libphp5.so

PHP5-modulen er pr. 2007-06-04 basert på PHP v5.2.2 og har innkompilert støtte for den følgende tredjepartsfunksjonalitet:

For å oppdatere PHP-konfigurasjonen modifiserer du på /etc/php.ini og restarter Apache.

	Obs
	Default php.ini er som den er av sikkerhetshensyn. Å gjøre lokale modifikasjoner i denne kan kompromittere sikkerheten til tjeneren hvis man ikke vet hva man gjør, så det advares mot å gjøre endringer hvis man ikke har oversikt over konsekvensene.

For mer informasjon om PHP, se PHPs egen dokumentasjon på http://no.php.net/

Videre følger moduler for spesielle behov. De er ikke nødvendige for den vanlige webservern. De følger ikke med i noen profiler (som f.eks. @usit-httpd) og må eksplisitt hentes ned.

root@maskin.uio.no# storeapp -a mod_caucho

LoadModule caucho_module modules/mod_caucho.so

Apache2.2 har god støtte for å gjøre autentisering og autorisasjon mot LDAP. Dette er basert på en utvidelse til modulen for HTTP Basic authentication (mod_auth_basic), og blir tilgjengelig ved å laste modulene mod_ldap og mod_authnz_ldap (begge er aktivert per default).

	Obs
	For å benytte denne funksjonaliteten til å autentisere vanlige UiO-brukere stilles det ett absolutt krav: det må gjøres over HTTPS, altså over kryptert HTTP. Det er ikke tillatt å autentisere UiO-brukere over vanlig, ukryptert HTTP ettersom en brukers passord vil gå i klartekst mellom browser og webserver.

Før man kan begynne å autentisere brukere mot ldap.uio.no må man konfigurere LDAP-modulen (mod_ldap). Ettersom LDAP-servern til UiO benytter et selvsignert sertifikat må man ha lagret dette CA-sertifkatet (CA-sertifikatet kan fås ved henvendelse til www-drift@usit) på sin egen server slik at LDAP-autentiseringsmodulen kjenner igjen serversertifikatet. Dette gjøres med å legge til følgende konfigurasjonsblokk i /etc/httpd.conf:

# LDAP settings
<IfModule ldap_module>
    # Defaultverdier, kun nødvendig for tuning:
    LDAPSharedCacheSize 200000
    LDAPCacheEntries 1024
    LDAPCacheTTL 600
    LDAPOpCacheEntries 1024
    LDAPOpCacheTTL 600
    LDAPConnectionTimeout 10

    # Påkrevet verifisering av SSL-sertifikatet:
    LDAPVerifyServerCert On

    # Spesifisert sti til lagret CA-sertifikat for ldap.uio.no:
    LDAPTrustedGlobalCert CA_BASE64 /site/opt/apache2.2/conf/w3cacert.pem
</IfModule>

Det er flere måter å autentisere og autorisere brukere med LDAP. En kan autorisere alle brukere som har et gyldig brukernavn, eller de som er medlem av en spesifisert (nett-,fil-)gruppe. Man kan også autorisere på bakgrunn av diverse LDAP-attributter som er tilgjengelig for den registrerte brukeren mm. Les Apaches egen dokumentasjon om mod_authnz_ldap for nødvendig informasjon.

Se egen dokumentasjon for LDAP-katalogen for informasjon om struktur og innhold, samt kontaktpunkt for eventuelle spørsmål.

Se også følgende eksempler for tips:

# AuthLDAP test - alle gyldige brukere:
<IfModule authnz_ldap_module>
<IfModule authz_user_module>
    <Location /ldap>
        AuthType Basic
        AuthName "Authenticate with your LDAP-user!"
        AuthBasicProvider ldap

        # Autentisering mot users-treet i ldap.uio.no:
        AuthLDAPURL ldap://ldap.uio.no/cn=users,cn=system,dc=uio,dc=no TLS

        # Alt. 1: gyldige brukere  -  merk: "valid-user" krever også at
        #                             modulen 'mod_authz_user' er lastet
        AuthzLDAPAuthoritative off
        require valid-user 
    </Location>
</IfModule>
</IfModule>

# AuthLDAP test - spesifikke brukere
<IfModule authnz_ldap_module>
    <Location /ldap>
        AuthType Basic
        AuthName "Authenticate with your LDAP-user!"
        AuthBasicProvider ldap

        # Autentisering mot users-treet i ldap.uio.no:
        AuthLDAPURL ldap://ldap.uio.no/cn=users,cn=system,dc=uio,dc=no TLS

        # Alt. 2: spesifiserte brukere
        AuthzLDAPAuthoritative on
        require ldap-user brukernavn1 brukernavn2 brukernavn3
    </Location>
</IfModule>

# AuthLDAP test - medlemmer av spesifisert (fil-)gruppe
<IfModule authnz_ldap_module>
    <Location /ldap>
        AuthType Basic
        AuthName "Authenticate with your LDAP-user!"
        AuthBasicProvider ldap

        # Autentisering mot users-treet i ldap.uio.no:
        AuthLDAPURL ldap://ldap.uio.no/cn=users,cn=system,dc=uio,dc=no TLS

        # Alt. 3: fil-/nettgrupper
        AuthzLDAPAuthoritative on
        AuthLDAPGroupAttribute memberUid
        AuthLDAPGroupAttributeIsDN off
        require ldap-group cn=filgruppe1,cn=filegroups,cn=system,dc=uio,dc=no
    </Location>
</IfModule>

# AuthLDAP test - attributter
<IfModule authnz_ldap_module>
    <Location /ldap>
        AuthType Basic
        AuthName "Authenticate with your LDAP-user!"
        AuthBasicProvider ldap

        # Autentisering mot users-treet i ldap.uio.no:
        AuthLDAPURL ldap://ldap.uio.no/cn=users,cn=system,dc=uio,dc=no TLS

        # Alt. 4: autorisasjon med attributter, f.eks. alle ansatte:
        AuthzLDAPAuthoritative on
        require ldap-attribute eduPersonAffiliation=staff
    </Location>
</IfModule>

# AuthLDAP test - people-treet
<IfModule authnz_ldap_module>
    <Location /ldap>
        AuthType Basic
        AuthName "Authenticate with your LDAP-user!"
        AuthBasicProvider ldap

        # Auth mot people-treet:
        AuthLDAPURL ldap://ldap.uio.no/cn=people,dc=uio,dc=no TLS

        # Autoriser kun de spesifiserte brukerne:
        AuthzLDAPAuthoritative on
        require ldap-user brukernavn1 brukernavn2 brukernavn3
    </Location>
</IfModule>

	Obs
	Denne informasjonen er uttdatert ettersom den er kopiert verbatim fra dokumentasjonen til den gamle Apache1.3-disten.

USITs opplegg for generering av webstatistikk på lokale webtjenere baserer seg på Webalizer og startes fra en cronjobb etter at loggfilene til Apache er rotert. Det er gjort klart for to forskjellige oppsett; et enkelt for de som kun har et domene de ønsker å generere statistikk for og et litt mer avansert for de som har flere VirtualHosts og ønsker statistikk for flere at disse og/eller ønsker å generere statistikk for flere forskjellige sett med URI'er.

Uansett om du ønsker den enkle eller avanserte løsningen, må dette utføres:

Hvis du ønsker den enkle løsningen, må du utføre disse stegene:

Hvis webserveren har flere enn en virtualhost som det er ønskelig å generere webstatistikk for, må disse stegene utføres:

Mer overflødig informasjon om denne tjenesten er tilgjengelig via produktkatalogen for webtjenester: http://www.usit.uio.no/it/web/produktkatalog/.

SSI er ikke aktivert per default da dette gjør prosesseringen av HTML-filene tyngre, og derav serveren tregere (hvor mye tregere er naturligvis relativt til hardware og trafikkmengde). Vil man bruke SSI for å inkludere filer (eks.: <!--#include virtual="include.html"-->) o.l. inn i HTML-filene sine er følgende metoder man kan bruke: