[ITPASS2011]apache2のインストールと設定

以下では, Apache 2.2 のインストールと設定について記す. サービスとして http と https の両方を提供する.

[ITPASSサーバ構築ドキュメント へ戻る]

ビルドのための設定

ソースからインストールする. インストール先は apache2 のデフォルト である /usr/local/apache2 とする. この場合, configure で --prefix の設定は不要. apache-ssl を動作させたいため --enable-ssl を, mod_rewrite を使用したいため --enable-rewrite を (gate の 登録窓口を http から https へ移動させたい), DSO (Dynamic shared object: 動的共有オブジェクト) を使用したいため --enable-so をオプションとして指定する. また, ビルド時に "Cannot use an external APR-util with the bundled APR" とエラーが生じる場合があるため, --with-included-apr オプションも指定する.

# cd /usr/local/src
# wget http://www.meisei-u.ac.jp/mirror/apache/httpd/httpd-2.2.21.tar.gz
# tar xvfz httpd-2.2.21.tar.gz
# cd httpd-2.2.21
# ./configure --enable-ssl --enable-rewrite --enable-so --with-included-apr

configure の結果は config.log や build/config_vars.mk を参照する.

apache の最新バージョンは<URL:http://www.meisei-u.ac.jp/mirror/apache/httpd/>から確認できる.

※ 2011 年 10 月 11 日時点の最新バージョンは 2.2.21 である.

ビルドとインストール

# make
# make install

/usr/local/apache2 以下に複数のディレクトリが作成されていることを確認する.

インストールした実行ファイルへのパスの設定

インストールされた Apache のバイナリファイル群へパスを通す.

[ITPASS2011]パスの設定 <一般ユーザ用コマンドのパス> <システム管理用コマンドのパス> の両方に /usr/local/apache2/bin を追加する. (システム用コマンドも一般ユーザ用コマンドと同じ場所に インストールされているため, システム用コマンドの設定を 別途行う必要は無い).

具体的には, /etc/bash.bashrc の冒頭を

# add PATH for local installed softwares
PATH="${PATH}:/usr/local/apache2/bin"

# add PATH for local installed softwares (for root)
if [ "`id -u`" -eq 0 ]; then
PATH="${PATH}:/usr/local/apache2/bin"
fi

export PATH

のようにする. 以下 csh, tcsh, zsh についても同様に追加する.

インストールしたマニュアルへのパスの設定

/etc/manpath.config に以下の行を追加する. 詳しくは [ITPASS2011]パスの設定#man 関連のパスの設定 を参照.

MANDATORY_MANPATH                          /usr/local/apache2/man
MANPATH_MAP        /usr/local/apache2/bin  /usr/local/apache2/man
MANDB_MAP          /usr/local/apache2/man  /usr/local/apache2/man

モジュールの確認, 追加

インストールした apache2 で有効になっているモジュールを

# /usr/local/apache2/bin/apachectl -t -D DUMP_MODULES

で確認する. 最低限,

  • ssl_module
  • rewrite_module
  • userdir_module

を有効にしておくこと. モジュールが足りない場合, DSO(Dynamic Shared Object) を有効にしている (configure 時に --enable-so をつけている)と, 後からモジュールを追加できる. DSO が有効になっているかを確認するには

# httpd -l
Compiled in modules:
core.c
mod_authn_file.c
mod_authn_default.c
...
mod_so.c           <-- DSO モジュール

で mod_so.c が組み込まれていれば良い. DSO が有効になっていない場合には, もういちど configure からやり直し.

後からモジュールを追加する場合には apxs コマンドを使用する. 例えば mod_rewrite を追加する場合には apache のソースに行き,

# cd /usr/local/src/httpd-2.2.21/modules/mapper
# apxs -c mod_rewrite.c
# apxs -i -a -n rewrite mod_rewrite.la

とする.

設定ファイルの編集

各種設定ファイルは以下のとおり.

<要確認> 以下に cps グループについて設定を行う項目がいくつかあるが, cps 関連は別サーバに移行された. そのため, cps グループは itpass サーバ内に存在しているが, cps グループ用の各種設定は必要かどうか上の人に確認を取ってから設定を行うこと. なお, 2011 年度は行っていない.

httpd 用 -> /usr/local/apache2/conf/httpd.conf
httpd-ssl 用 -> /usr/local/apache2/conf/extra/httpd-ssl.conf
各ユーザの public_html 以下の設定用 -> /usr/local/apache2/conf/extra/httpd-userdir.conf

これらを編集する.

変更の要点は以下の通りである(以下は変更点の概要であり, 実際に行う作業はこのあとに記述).

  • httpd.conf
    • HTTP デーモンを起動するユーザを www-data にする.
    • サーバ管理者 (ServerAdmin) のメールアドレスを設定
    • サーバ名 (ServerName) を設定
    • サーバのデフォルトルート (DefaultRoot) を /~itpass に設定
    • ディレクトリのインデックスファイルに index.html 以外に index.htm index.htm.en index.html.en index.htm.ja index.html.ja も追加.
    • エラーログファイルを /var/log/httpd-error.log に設定
    • アクセスログファイルを /var/log/httpd-access.log に設定
    • CGI に関する設定を変更
    • extra/httpd-vhosts.confをロード
    • extra/httpd-userdir.conf をロード
    • extra/httpd-ssl.conf をロード
    • /~gate, および /cgi-bin に対してのアクセスは HTTPS へ移動させる.
    • 以下の 4 つの Hiki 領域 ~epalab/hiki , ~itpass/hiki, ~itpass/hiki-secret, ~tansaku/hiki に関する設定を, 各領域毎の .htaccess により可能にする

      (AllowOverride FileInfo AuthConfig Limit Indexes Options=ExecCGI,FollowSymlinks).

  • httpd-vhosts.conf
    • {epa,aoe}.scitec.kobe-u.ac.jp 宛の接続を受ける(virtual host).
      • ドキュメントルートは /home/{epalab,aoelab}/public_html にする.
      • 管理者メールアドレスは itpadmin _at_ ... にする.
      • http://{epa,aoe}.scitec.kobe-u.ac.jp/~gate/ 以下にアクセスされた場合には, https://itpass.scitec.kobe-u.ac.jp/~gate に飛ばす.
    • itpass.scitec.kobe-u.ac.jp 宛の接続のときのみ, /hiki, /~epalab/hiki, /~itpass/hiki に対してのアクセスは HTTPS へ移動させる. その際, URI のエンコードは行わない.
  • httpd-userdir.conf
    • 所有者がマッチしなくてもシンボリックリンクの公開を許可する. (SymLinksIfOwnerMatch -> FollowSymLinks).
  • httpd-ssl.conf
    • ドキュメントルート (DocumentRoot), サーバ名 (ServerName), サーバ管理者アドレス (ServerAdmin), エラーログ (ErrorLog), アクセスログ (TransferLog) の設定.
    • epa.scitec, aoe.scitec の場合の https 接続を設定しておく.

<注意>

  • 以下の作業を行う前に管理者用メールアドレスを必ず確認のこと. 以下の作業を行ったのち, アドレスが違っていたら, この作業はすべてやり直しとなる.
  • 設定ファイルのところどころにメールアドレスを指定する項目がある. 以下の diff では "_at_" となっているが, 実際にファイルを書き換える際にはすべて "@" に読み替えて書き換えること.

オリジナルとの diff は以下の通り.

httpd.conf の diff

root@tako-itpass:/usr/local/apache2/conf# diff -u original/httpd.conf httpd.conf
--- original/httpd.conf	2011-10-11 16:11:04.000000000 +0900
+++ httpd.conf	2011-10-11 17:44:36.000000000 +0900
@@ -50,7 +50,7 @@
 #
 # Example:
 # LoadModule foo_module modules/mod_foo.so
-#
+# LoadModule rewrite_module modules/mod_rewrite.so 

 <IfModule !mpm_netware_module>
 <IfModule !mpm_winnt_module>
@@ -62,8 +62,8 @@
 # It is usually good practice to create a dedicated user and group for
 # running httpd, as with most system services.
 #
-User daemon
-Group daemon
+User www-data
+Group www-data

 </IfModule>
 </IfModule>
@@ -85,7 +85,7 @@
 # e-mailed.  This address appears on some server-generated pages, such
 # as error documents.  e.g. admin@your-domain.com
 #
-ServerAdmin you@example.com
+ServerAdmin itpadmin@itpass.scitec.kobe-u.ac.jp

 #
 # ServerName gives the name and port that the server uses to identify itself.
@@ -94,14 +94,14 @@
 #
 # If your host doesn't have a registered DNS name, enter its IP address here.
 #
-#ServerName www.example.com:80
+ServerName itpass.scitec.kobe-u.ac.jp:80

 #
 # DocumentRoot: The directory out of which you will serve your
 # documents. By default, all requests are taken from this directory, but
 # symbolic links and aliases may be used to point to other locations.
 #
-DocumentRoot "/usr/local/apache2/htdocs"
+DocumentRoot "/home/itpass/public_html"

 #
 # Each directory to which Apache has access can be configured with respect
@@ -115,7 +115,7 @@
     Options FollowSymLinks
     AllowOverride None
     Order deny,allow
-    Deny from all
+
 </Directory>

 #
@@ -128,7 +128,7 @@
 #
 # This should be changed to whatever you set DocumentRoot to.
 #
-<Directory "/usr/local/apache2/htdocs">
+<Directory "/home/itpass/public_html">
     #
     # Possible values for the Options directive are "None", "All",
     # or any combination of:
@@ -163,7 +163,8 @@
 # is requested.
 #
 <IfModule dir_module>
-    DirectoryIndex index.html
+    DirectoryIndex index.html index.htm index.htm.en index.html.en index.htm.ja index.html.ja
+
 </IfModule>

 #
@@ -183,7 +184,7 @@
 # logged here.  If you *do* define an error logfile for a <VirtualHost>
 # container, that host's errors will be logged there and not here.
 #
-ErrorLog "logs/error_log"
+ErrorLog "/var/log/httpd-error.log"

 #
 # LogLevel: Control the number of messages logged to the error_log.
@@ -212,13 +213,13 @@
     # define per-<VirtualHost> access logfiles, transactions will be
     # logged therein and *not* in this file.
     #
 -    CustomLog "logs/access_log" common
+    #CustomLog "logs/access_log" common

     #
     # If you prefer a logfile with access, agent, and referer information
     # (Combined Logfile Format) you can use the following directive.
     #
-    #CustomLog "logs/access_log" combined
+    CustomLog "/var/log/httpd-access_org" combined
 </IfModule>

 <IfModule alias_module>
@@ -265,10 +266,8 @@
 # CGI directory exists, if you have that configured.
 #
 <Directory "/usr/local/apache2/cgi-bin">
-    AllowOverride None
-    Options None
-    Order allow,deny
-    Allow from all
+    AllowOverride AuthConfig Limit
+    Options ExecCGI FollowSymLinks IncludesNoExec
 </Directory>

 #
@@ -315,7 +314,7 @@
     # To use CGI scripts outside of ScriptAliased directories:
     # (You will also need to add "ExecCGI" to the "Options" directive.)
     #
-    #AddHandler cgi-script .cgi
+    AddHandler cgi-script .cgi .rb

     # For type maps (negotiated resources):
     #AddHandler type-map var
@@ -385,13 +384,13 @@
 #Include conf/extra/httpd-languages.conf

 # User home directories
-#Include conf/extra/httpd-userdir.conf
+Include conf/extra/httpd-userdir.conf

 # Real-time info on requests and configuration
 #Include conf/extra/httpd-info.conf

 # Virtual hosts
-#Include conf/extra/httpd-vhosts.conf
+Include conf/extra/httpd-vhosts.conf

 # Local access to the Apache HTTP Server Manual
 #Include conf/extra/httpd-manual.conf
@@ -403,7 +402,7 @@
 #Include conf/extra/httpd-default.conf 

 # Secure (SSL/TLS) connections
-#Include conf/extra/httpd-ssl.conf
+Include conf/extra/httpd-ssl.conf
 #
 # Note: The following must must be present to support
 #       starting without SSL on platforms with no /dev/random equivalent
@@ -413,3 +412,61 @@
 SSLRandomSeed startup builtin
 SSLRandomSeed connect builtin
 </IfModule>
+
+#
+# Setting for Hiki Area
+#
+<Directory "/home/epalab/public_html/hiki">
+ AllowOverride ALL
+ Options -MultiViews
+</Directory>
+
+<Directory "/home/itpass/public_html/hiki">
+ AllowOverride ALL
+ Options -MultiViews
+</Directory>
+
+<Directory "/home/itpass/public_html/hiki-secret">
+ AllowOverride ALL
+ Options -MultiViews
+</Directory>
+
+<Directory "/home/tansaku/public_html/hiki">
+ AllowOverride ALL
+ Options -MultiViews
+</Directory> 
+
+<Directory "/home/uwabami/public_html/hiki">
+ AllowOverride FileInfo AuthConfig Limit Indexes Options=ExecCGI,FollowSymlinks
+ Options -MultiViews
+</Directory>
+
+<Directory "/home/gpgpu/public_html/hiki">
+ AllowOverride FileInfo AuthConfig Limit Indexes   Options=ExecCGI,FollowSymlinks
+ Options -MultiViews
+</Directory>
+
+<Directory "/home/gridcomp/public_html/hiki">
+ AllowOverride FileInfo AuthConfig Limit Indexes Options=ExecCGI,FollowSymlinks
+ Options -MultiViews
+</Directory>
+
+<Directory "/home/ayako/public_html/suzuhiki">
+ AllowOverride FileInfo AuthConfig Limit Indexes Options=ExecCGI,FollowSymlinks
+ Options -MultiViews
+</Directory>
+
+<Directory "/home/pschool/public_html/hiki">
+ AllowOverride FileInfo AuthConfig Limit Indexes Options=ExecCGI,FollowSymlinks
+ Options -MultiViews
+</Directory>
+
+<Directory "/home/bldg3/public_html/hiki">
+ AllowOverride ALL
+ Options -MultiViews
+</Directory>
+
+<Directory "/home/fourtran/public_html/hiki">
+ AllowOverride FileInfo AuthConfig Limit Indexes Options=ExecCGI,FollowSymlinks
+ Options -MultiViews
+</Directory>

extra/httpd-ssl.conf の diff

root@tako-itpass:/usr/local/apache2/conf# diff -u original/extra/httpd-ssl.conf  extra/httpd-ssl.conf 
--- original/extra/httpd-ssl.conf	2011-10-11 16:11:05.000000000 +0900
+++ extra/httpd-ssl.conf	2011-10-11 17:50:07.000000000 +0900
@@ -71,14 +71,15 @@
 ## SSL Virtual Host Context
 ##
-<VirtualHost _default_:443>
+NameVirtualHost *:443
+<VirtualHost *:443>

 #   General setup for the virtual host
-DocumentRoot "/usr/local/apache2/htdocs"
-ServerName www.example.com:443
-ServerAdmin you@example.com
-ErrorLog "/usr/local/apache2/logs/error_log"
-TransferLog "/usr/local/apache2/logs/access_log"
+DocumentRoot "/home/itpass/public_html"
+ServerName itpass.scitec.kobe-u.ac.jp:443
+ServerAdmin itpadmin_at_itpass.scitec.kobe-u.ac.jp
+ErrorLog "/var/log/httpd-ssl-error.log"
+TransferLog "/var/log/httpd-ssl-access.log"

 #   SSL Engine Switch:
 #   Enable/Disable SSL for this virtual host.
@@ -96,7 +97,7 @@
 #   in mind that if you have both an RSA and a DSA certificate you
 #   can configure both in parallel (to also allow the use of DSA
 #   ciphers, etc.)
-SSLCertificateFile "/usr/local/apache2/conf/server.crt"
+SSLCertificateFile "/usr/local/apache2/conf/ca/itpass/server.crt"
 #SSLCertificateFile "/usr/local/apache2/conf/server-dsa.crt"

 #   Server Private Key:
@@ -104,7 +105,7 @@
 #   directive to point at the key file.  Keep in mind that if
 #   you've both a RSA and a DSA private key you can configure
 #   both in parallel (to also allow the use of DSA ciphers, etc.)
-SSLCertificateKeyFile "/usr/local/apache2/conf/server.key"
+SSLCertificateKeyFile "/usr/local/apache2/conf/ca/itpass/server.key"
 #SSLCertificateKeyFile "/usr/local/apache2/conf/server-dsa.key"

 #   Server Certificate Chain:
@@ -114,7 +115,7 @@
 #   the referenced file can be the same as SSLCertificateFile
 #   when the CA certificates are directly appended to the server
 #   certificate for convinience.
-#SSLCertificateChainFile "/usr/local/apache2/conf/server-ca.crt"
+#SSLCertificateChainFile "/usr/local/apache2/conf/server.crt"

 #   Certificate Authority (CA):
 #   Set the CA certificate verification path where to find CA
@@ -228,4 +229,29 @@
 CustomLog "/usr/local/apache2/logs/ssl_request_log" \
           "%t %h %{SSL_PROTOCOL}x %{SSL_CIPHER}x \"%r\" %b"

-</VirtualHost>                                  
+</VirtualHost>
+
+<VirtualHost *:443>
+ DocumentRoot "/home/aoelab/public_html"
+ ServerName aoe.scitec.kobe-u.ac.jp:443
+ ServerAdmin itpadmin_at_itpass.scitec.kobe-u.ac.jp
+ ErrorLog /var/log/httpd-ssl-error.log
+ TransferLog /var/log/httpd-ssl-access.log
+ SSLEngine on
+ SSLCipherSuite ALL:!ADH:!EXPORT56:RC4+RSA:+HIGH:+MEDIUM:+LOW:+SSLv2:+EXP:+eNULL
+ SSLCertificateFile "/usr/local/apache2/conf/ca/aoe/server.crt"
+ SSLCertificateKeyFile "/usr/local/apache2/conf/ca/aoe/server.key"
+</VirtualHost>
+
+
+<VirtualHost *:443>
+ DocumentRoot "/home/epalab/public_html"
+ ServerName epa.scitec.kobe-u.ac.jp:443
+ ServerAdmin itpadmin_at_itpass.scitec.kobe-u.ac.jp
+ ErrorLog /var/log/httpd-ssl-error.log
+ TransferLog /var/log/httpd-ssl-access.log
+ SSLEngine on
+ SSLCipherSuite ALL:!ADH:!EXPORT56:RC4+RSA:+HIGH:+MEDIUM:+LOW:+SSLv2:+EXP:+eNULL
+ SSLCertificateFile "/usr/local/apache2/conf/ca/epa/server.crt"
+ SSLCertificateKeyFile "/usr/local/apache2/conf/ca/epa/server.key"
+ </VirtualHost>

extra/httpd-vhosts.conf の diff

root@tako-itpass:/usr/local/apache2/conf# diff -u original/extra/httpd-vhosts.conf extra/httpd-vhosts.conf 
--- original/extra/httpd-vhosts.conf	2011-10-11 16:11:05.000000000 +0900
+++ extra/httpd-vhosts.conf	2011-10-11 17:39:51.000000000 +0900
@@ -25,21 +25,72 @@
 # match a ServerName or ServerAlias in any <VirtualHost> block.
 #
 <VirtualHost *:80>
-    ServerAdmin webmaster@dummy-host.example.com
-    DocumentRoot "/usr/local/apache2/docs/dummy-host.example.com"
-    ServerName dummy-host.example.com
-    ServerAlias www.dummy-host.example.com
-    ErrorLog "logs/dummy-host.example.com-error_log"
-    CustomLog "logs/dummy-host.example.com-access_log" common
+    ServerAdmin itpadmin_at_itpass.scitec.kobe-u.ac.jp
+    DocumentRoot "/home/itpass/public_html"
+    ServerName itpass.scitec.kobe-u.ac.jp
+    ErrorLog "/var/log/httpd-error.log"
+    CustomLog "/var/log/httpd-access.log" combined
+
+   <IfModule mod_rewrite.c>
+      RewriteEngine On
+      RewriteLog "/var/log/httpd-rewrite.log"
+      RewriteLogLevel 0
+      RewriteCond %{SERVER_PORT} !^443$
+      RewriteRule ^/hiki/(.*)?$ https://itpass.scitec.kobe-u.ac.jp/hiki/$1 [L,R,NE]
+      RewriteRule ^/hiki/(.*)?$ https://itpass.scitec.kobe-u.ac.jp/hiki-secret/$1 [L,R,NE]
+      # ---- hiki
+      RewriteRule ^/hiki/(.*)?$ https://itpass.scitec.kobe-u.ac.jp/hiki/$1 [L,R,NE]
+      RewriteRule ^/~bldg3/hiki/(.*)?$ https://itpass.scitec.kobe-u.ac.jp/~bldg3/hiki/$1 [L,R,NE]
+      RewriteRule ^/~epalab/hiki/(.*)?$ https://itpass.scitec.kobe-u.ac.jp/~epalab/hiki/$1 [L,R,NE]
+      RewriteRule ^/~itpass/hiki/(.*)?$ https://itpass.scitec.kobe-u.ac.jp/~itpass/hiki/$1 [L,R,NE]
+      RewriteRule ^/~itpass/hiki-secret/(.*)?$ https://itpass.scitec.kobe-u.ac.jp/~itpass/hiki-secret/$1 [L,R,NE]
+      # ---- gate
+      RewriteRule ^/~gate/(.*)?$ https://itpass.scitec.kobe-u.ac.jp/~gate/$1 [L,R,NE]
+      RewriteRule ^/cgi-bin/(.*)?$ https://itpass.scitec.kobe-u.ac.jp/cgi-bin/$1 [L,R,NE]
+    </IfModule>
 </VirtualHost>

+# ---- aoelab ----
 <VirtualHost *:80>
-    ServerAdmin webmaster@dummy-host2.example.com
-    DocumentRoot "/usr/local/apache2/docs/dummy-host2.example.com"
-    ServerName dummy-host2.example.com
-    ErrorLog "logs/dummy-host2.example.com-error_log"
-    CustomLog "logs/dummy-host2.example.com-access_log" common
+    ServerAdmin itpadmin_at_itpass.scitec.kobe-u.ac.jp
+    DocumentRoot "/home/aoelab/public_html"
+    ServerName aoe.scitec.kobe-u.ac.jp
+    ErrorLog "/var/log/httpd-error.log"
+    CustomLog "/var/log/httpd-access.log" combined
+    <IfModule mod_rewrite.c>
+      RewriteEngine On
+      RewriteLog "/var/log/httpd-rewrite.log"
+      RewriteLogLevel 0
+      RewriteCond %{SERVER_PORT} !^443$
+      # ---- hiki
+      RewriteRule ^/hiki/(.*)?$ https://itpass.scitec.kobe-u.ac.jp/hiki/$1 [L,R]
+      # ---- gate
+      RewriteRule ^/~gate/(.*)?$ https://itpass.scitec.kobe-u.ac.jp/~gate/$1 [L,R,NE]
+      RewriteRule ^/cgi-bin/(.*)?$ https://itpass.scitec.kobe-u.ac.jp/cgi-bin/$1 [L,R,NE]
+    </IfModule>
+ </VirtualHost>
+
+
+# ---- epalab ----
+<VirtualHost *:80>
+    ServerAdmin itpadmin_at_itpass.scitec.kobe-u.ac.jp
+    DocumentRoot "/home/epalab/public_html"
+    ServerName epa.scitec.kobe-u.ac.jp
+    ErrorLog /var/log/httpd-error.log
+    CustomLog /var/log/httpd-access.log combined
+    <IfModule mod_rewrite.c>
+      RewriteEngine On
+      RewriteLog "/var/log/httpd-rewrite.log"
+      RewriteLogLevel 0
+      RewriteCond %{SERVER_PORT} !^443$
+      # ---- hiki
+      RewriteRule ^/hiki/(.*)?$ https://epa.scitec.kobe-u.ac.jp/hiki/$1 [L,R,NE]
+      # ---- gate
+      RewriteRule ^/~gate/(.*)?$ https://itpass.scitec.kobe-u.ac.jp/~gate/$1 [L,R,NE]
+      RewriteRule ^/cgi-bin/(.*)?$ https://itpass.scitec.kobe-u.ac.jp/cgi-bin/$1 [L,R,NE]
+    </IfModule>
 </VirtualHost>



+

extra/httpd-userdir.conf の diff

root@tako-itpass:/usr/local/apache2/conf# diff -u original/extra/httpd-userdir.conf extra/httpd-userdir.conf 
--- original/extra/httpd-userdir.conf	2011-10-11 16:11:05.000000000 +0900
+++ extra/httpd-userdir.conf	2011-10-11 17:58:18.000000000 +0900
@@ -1,3 +1,4 @@
+# -*- apache -*-
 # Settings for user home directories
 #
 # Required module: mod_userdir
@@ -15,7 +16,7 @@
 #
 <Directory "/home/*/public_html">
     AllowOverride FileInfo AuthConfig Limit Indexes
-    Options MultiViews Indexes SymLinksIfOwnerMatch IncludesNoExec
+    Options MultiViews Indexes FollowSymLinks IncludesNoExec
     <Limit GET POST OPTIONS>
         Order allow,deny
         Allow from all
@@ -24,5 +25,12 @@
         Order deny,allow
         Deny from all
     </LimitExcept>
+    <IfModule negotiation_module>
+        AddLanguage ja .ja
+        AddLanguage ja-JP .ja
+        AddLanguage en .en
+        LanguagePriority en ja
+        ForceLanguagePriority Prefer Fallback
+    </IfModule>
 </Directory>

ログローテートの設定

/etc/logrotate.conf を編集して圧縮オプションを追加する. (compressのコメントアウトを外す).

/etc/logrotate.d/ 以下の apache2 ファイルに, 以下の内容を書き込み, もともとあった内容はコメントアウトする.

#/var/log/apache2/*.log {
#       weekly
#       missingok
#       rotate 52
#       compress
#       delaycompress
#       notifempty
#       create 640 root adm
#       sharedscripts
#       postrotate
#               /etc/init.d/apache2 reload > /dev/null
#       endscript
#}

/var/log/httpd-access.log {
    missingok
    weekly
    rotate 12
    postrotate
        /usr/bin/killall -HUP httpd 2> /dev/null || true
    endscript
}

/var/log/httpd-error.log {
    missingok
    weekly
    rotate 12
    postrotate
        /usr/bin/killall -HUP httpd 2> /dev/null || true
    endscript
}

/var/log/httpd-ssl-access.log {
    missingok
    weekly
    rotate 12
    postrotate
        /usr/bin/killall -HUP httpd 2> /dev/null || true
    endscript
}

/var/log/httpd-ssl-error.log {
    missingok
    weekly
    rotate 12
    postrotate
        /usr/bin/killall -HUP httpd 2> /dev/null || true
    endscript
}

SSL 用の証明書の作成

openssl の設定を変更

# vi /etc/ssl/openssl.cnf

[usr_cert] セクションの
nsCertType=server のコメントアウトを外す. 

[v3_ca] セクションの
nsCertType=sslCA,emailCA のコメントアウトを外す. 

プライベート CA の作成

> まず, apache の config ディレクトリに入り, 次のように証明書を格納するディレクトリを作成する.

# cd /usr/local/apache2/conf
# mkdir ca
# cd ./ca/
# mkdir {itpass,epa,aoe,cps のそれぞれの名称で作成}

以下の作業は ServerName : itpass.scitec.kobe-u.ac.jp, epa.scitec.kobe-u.ac.jp, aoe.scitec.kobe-u.ac.jp, cps.scitec.kobe-u.ac.jp のそれぞれについて行う. サーバ名を適宜読みかえ, 4 回実行する.

< 4 回実行する作業 ここから>

# /usr/lib/ssl/misc/CA.pl -newca
CA certificate filename (or enter to create) (空で Enter)

Enter PEM pass phrase: (適当な文字列入力)

Country Name (2 letter code) [AU]: JP
State or Province Name (full name) [Some-State]: Hyogo
Locality Name (eg, city) []: Kobe
Organization Name (eg, company) [Internet Widgits Pty Ltd]: Private_CA
Organizational Unit Name (eg, section) []: Private_CA
Common Name (eg, YOUR name) : Private_CA
Email Address: itpadmin_at_itpass.scitec.kobe-u.ac.jp
A challenge password: (空で Enter)
A optional company name: (空で Enter)

Enter pass phrase for ./demoCA/private/./cakey.pem: (先と同じパスフレーズ)

この作業で以下のようなディレクトリ構造になったことを確認.

/usr/local/apache2/conf/ca
                        |
                        └ demoCA [ 各種証明書等のルートディレクトリ ]
                            |
                            ├ certs [ 証明書等のディレクトリ(バックアップに利用) ]
                            |
                            ├ crl [ 破棄証明書一覧用のディレクトリ ]
                            |
                            ├ newcerts [ クライアント証明書(sireal追番)のディレクトリ ]
                            |   |
                            |  ├ xxxxx..pem [ クライアント証明書 ]
                            |  |    :
                            |  └ xxxxx..pem [ クライアント証明書 ]
                            |
                            ├ private [ CA用の秘密鍵用ディレクトリ ]
                            |  |
                            |  └ cakey.pem [ CA用の秘密鍵 ]
                            |
                            ├ cacert.pem [ CA用の証明書 ]
                            ├ index.txt     [ クライアント証明書用DB ]
                            └ serial [ クライアント証明書用シリアル ]

以下で, サーバ用 CA 証明書を作成する.

# openssl x509 -in ./demoCA/cacert.pem -out ./demoCA/cacert.crt

ブラウザに登録されるバイナリ DER フォーマットで記述されたファイルの作成.

# openssl x509 -inform PEM -outform DER -in ./demoCA/cacert.pem der -out ./demoCA/ca.der

サーバ用秘密鍵の作成.

# /usr/lib/ssl/misc/CA.pl -newreq-nodes

 Country Name (2 letter code) [AU]: JP
 State or Province Name (full name) [Some-State]: Hyogo
 Locality Name (eg, city) []: Kobe
 Organization Name (eg, company) [Internet Widgits Pty Ltd]: Kobe University
 Organizational Unit Name (eg, section) []: ITPASS (他に "EPA lab.", "AOE lab." として登録)
 Common Name (eg, YOUR name) : itpass.scitec.kobe-u.ac.jp (ここは itpass の他に, epa, aoe の分をそれぞれ作成する)
 Email Address: itpadmin_at_itpass.scitec.kobe-u.ac.jp
 A challenge password: (空で Enter)
 A optional company name: (空で Enter)

サーバ用証明書の作成.

# /usr/lib/ssl/misc/CA.pl -sign
...
Enter pass phrase for ./demoCA/private/cakey.pem: (さきほどのパスフレーズを入力)
...
Sign the certificate? [y/n]: y[Enter]
1 out of 1 certificate requests certified, commit? [y/n] y[Enter]

サーバ証明書を crt ファイルへ書き出す.

# openssl x509 -in newcert.pem -out server.crt

これらの作業により, demoCA 以下に ca.der が, カレントディレクトリに server.crt, newkey.pem が作成される. これらのファイルを証明書を格納するために作成した ca ディレクトリ以下に格納する.

# mv server.crt ./itpass(この名称は適宜読み替え)/
# mv newkey.pem ./itpass(この名称は適宜読み替え)/server.key
# mv demoCA/ca.der ./itpass(この名称は適宜読み替え)/

最後に demoCA ディレクトリ以下を削除する.

# rm -r demoCA/

これで鍵の作成は完了である. ここまでを itpass, epa, aoe, cps のそれぞれについて計 4 回行う.

< 4 回実行する作業 ここまで>

動作チェック

apache を起動する前に, ドキュメントルートとなるディレクトリを作成しておく. 具体的には, /home/ 以下に itpass/, epalab/, aoelab/ という 3 つのディレクトリを作り, さらにそれぞれのディレクトリ内に public_html/ というディレクトリを作る.

apache は /usr/local/apache2/bin/apachectl で起動/停止する. 以下のコマンドで apache を起動する.

# /usr/local/apache2/bin/apachectl -k start

起動したかどうかを以下のコマンドで確認する.

# ps aux

画面左端に www-data と表示されていれば, 起動していると分かる.

itpass ディレクトリの下に public_html ディレクトリを作成し, そこに test というディレクトリを作成する. test ディレクトリの下に test.txt というファイルを作成する. ブラウザで当該 URL (http://tako-itpass.scitec.kobe-u.ac.jp/test/test.txt)にアクセスし, そのファイルの内容が正常に表示されていることを確認する. URL に記述するとき, "http://..." と "https://..." の両方に関して行うこと.

さらに, サーバ移行後に, ブラウザで, https://{} の {} 部分を epa, itpass で書き換えた URL を指定し, サーバ証明書の詳細を表示させたとき, ちゃんと epa, itpass のそれぞれをサーバ名とする証明書を表示しているかを確認する.

以下のコマンドで apache を停止する.

# /usr/local/apache2/bin/apachectl -k graceful-stop

画面左端の www-data の表示が消え, apache が停止したことを確認する. apache のエラーログ /var/log/httpd-error.log を確認し, 特にエラーなどは出ていないことを確認する.

起動スクリプトを用意する

サーバの起動時に自動的に起動させるため, apache2 の起動スクリプト を作成する.

Debian の apache パッケージに含まれる/etc/init.d/apache を元に 起動スクリプトを apache2 用に多少書き換えたものが apache2 から入手できる. このファイルを /etc/init.d/apache2 にコピーし, 以下のようにパーミッションを設定する.

# wget http://itpass.scitec.kobe-u.ac.jp/server/2010/apache/apache2
# cp apache2 /etc/init.d/
# chown root:root /etc/init.d/apache2
# chmod 755 /etc/init.d/apache2

さらに, スクリプトに以下の記述を書き加える.

### BEGIN INIT INFO
# Provides:          apache2
# Required-Start:    $remote_fs
# Required-Stop:     $remote_fs
# Should-Start:      $network $syslog
# Should-Stop:       $network $syslog
# Default-Start:     2 3 4 5
# Default-Stop:      0 1 6
# Short-Description: Start and stop apache2
# Description:       bind9 is a Domain Name Server (DNS)
#        which translates ip addresses to and from internet names
### END INIT INFO

ランレベルごとに apache2 の動作を設定する.

# update-rc.d apache2 defaults

以下のようなメッセージが出る.

update-rc.d: using dependency based boot sequencing

再起動して apache が起動するかを確認する.

補足事項

ロード済みモジュールの表示

以下のように httpd コマンドに -M オプションをつけて実行することで, 静的にロードされたモジュールと動的にロードされたモジュールの両方が 表示される.

$ /usr/local/apache2/bin/httpd -M

以下のように -l オプションを指定すると, 組み込みモジュールのリストが 表示できる.

$ /usr/local/apache2/bin/httpd -l

[ITPASSサーバ構築ドキュメント へ戻る]