granicus.if.org Git - apache/blob - docs/manual/mod/mod_ldap.html.en

   1 <?xml version="1.0" encoding="ISO-8859-1"?>
   2 <!DOCTYPE html PUBLIC "-//W3C//DTD XHTML 1.0 Strict//EN" "http://www.w3.org/TR/xhtml1/DTD/xhtml1-strict.dtd">
   3 <html xmlns="http://www.w3.org/1999/xhtml" lang="en" xml:lang="en"><head>
   4 <meta content="text/html; charset=ISO-8859-1" http-equiv="Content-Type" />
   5 <!--
   6         XXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXX
   7               This file is generated from xml source: DO NOT EDIT
   8         XXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXX
   9       -->
  10 <title>mod_ldap - Apache HTTP Server Version 2.5</title>
  11 <link href="../style/css/manual.css" rel="stylesheet" media="all" type="text/css" title="Main stylesheet" />
  12 <link href="../style/css/manual-loose-100pc.css" rel="alternate stylesheet" media="all" type="text/css" title="No Sidebar - Default font size" />
  13 <link href="../style/css/manual-print.css" rel="stylesheet" media="print" type="text/css" /><link rel="stylesheet" type="text/css" href="../style/css/prettify.css" />
  14 <script src="../style/scripts/prettify.min.js" type="text/javascript">
  15 </script>
  16
  17 <link href="../images/favicon.ico" rel="shortcut icon" /></head>
  18 <body>
  19 <div id="page-header">
  20 <p class="menu"><a href="../mod/">Modules</a> | <a href="../mod/quickreference.html">Directives</a> | <a href="http://wiki.apache.org/httpd/FAQ">FAQ</a> | <a href="../glossary.html">Glossary</a> | <a href="../sitemap.html">Sitemap</a></p>
  21 <p class="apache">Apache HTTP Server Version 2.5</p>
  22 <img alt="" src="../images/feather.png" /></div>
  23 <div class="up"><a href="./"><img title="&lt;-" alt="&lt;-" src="../images/left.gif" /></a></div>
  24 <div id="path">
  25 <a href="http://www.apache.org/">Apache</a> &gt; <a href="http://httpd.apache.org/">HTTP Server</a> &gt; <a href="http://httpd.apache.org/docs/">Documentation</a> &gt; <a href="../">Version 2.5</a> &gt; <a href="./">Modules</a></div>
  26 <div id="page-content">
  27 <div id="preamble"><h1>Apache Module mod_ldap</h1>
  28 <div class="toplang">
  29 <p><span>Available Languages: </span><a href="../en/mod/mod_ldap.html" title="English">&nbsp;en&nbsp;</a> |
  30 <a href="../fr/mod/mod_ldap.html" hreflang="fr" rel="alternate" title="Français">&nbsp;fr&nbsp;</a></p>
  31 </div>
  32 <table class="module"><tr><th><a href="module-dict.html#Description">Description:</a></th><td>LDAP connection pooling and result caching services for use
  33 by other LDAP modules</td></tr>
  34 <tr><th><a href="module-dict.html#Status">Status:</a></th><td>Extension</td></tr>
  35 <tr><th><a href="module-dict.html#ModuleIdentifier">Module Identifier:</a></th><td>ldap_module</td></tr>
  36 <tr><th><a href="module-dict.html#SourceFile">Source File:</a></th><td>util_ldap.c</td></tr></table>
  37 <h3>Summary</h3>
  38
  39     <p>This module was created to improve the performance of
  40     websites relying on backend connections to LDAP servers. In
  41     addition to the functions provided by the standard LDAP
  42     libraries, this module adds an LDAP connection pool and an LDAP
  43     shared memory cache.</p>
  44
  45     <p>To enable this module, LDAP support must be compiled into
  46     apr-util. This is achieved by adding the <code>--with-ldap</code>
  47     flag to the <code class="program"><a href="../programs/configure.html">configure</a></code> script when building
  48     Apache.</p>
  49
  50     <p>SSL/TLS support is dependent on which LDAP toolkit has been
  51     linked to <a class="glossarylink" href="../glossary.html#apr" title="see glossary">APR</a>. As of this writing, APR-util supports:
  52     <a href="http://www.openldap.org/">OpenLDAP SDK</a> (2.x or later),
  53     <a href="http://developer.novell.com/ndk/cldap.htm">Novell LDAP
  54     SDK</a>, <a href="https://wiki.mozilla.org/LDAP_C_SDK">
  55     Mozilla LDAP SDK</a>, native Solaris LDAP SDK (Mozilla based) or the
  56     native Microsoft LDAP SDK. See the <a href="http://apr.apache.org">APR</a>
  57     website for details.</p>
  58
  59 </div>
  60 <div id="quickview"><h3>Topics</h3>
  61 <ul id="topics">
  62 <li><img alt="" src="../images/down.gif" /> <a href="#exampleconfig">Example Configuration</a></li>
  63 <li><img alt="" src="../images/down.gif" /> <a href="#pool">LDAP Connection Pool</a></li>
  64 <li><img alt="" src="../images/down.gif" /> <a href="#cache">LDAP Cache</a></li>
  65 <li><img alt="" src="../images/down.gif" /> <a href="#usingssltls">Using SSL/TLS</a></li>
  66 <li><img alt="" src="../images/down.gif" /> <a href="#settingcerts">SSL/TLS Certificates</a></li>
  67 </ul><h3 class="directives">Directives</h3>
  68 <ul id="toc">
  69 <li><img alt="" src="../images/down.gif" /> <a href="#ldapcacheentries">LDAPCacheEntries</a></li>
  70 <li><img alt="" src="../images/down.gif" /> <a href="#ldapcachettl">LDAPCacheTTL</a></li>
  71 <li><img alt="" src="../images/down.gif" /> <a href="#ldapconnectionpoolttl">LDAPConnectionPoolTTL</a></li>
  72 <li><img alt="" src="../images/down.gif" /> <a href="#ldapconnectiontimeout">LDAPConnectionTimeout</a></li>
  73 <li><img alt="" src="../images/down.gif" /> <a href="#ldaplibrarydebug">LDAPLibraryDebug</a></li>
  74 <li><img alt="" src="../images/down.gif" /> <a href="#ldapopcacheentries">LDAPOpCacheEntries</a></li>
  75 <li><img alt="" src="../images/down.gif" /> <a href="#ldapopcachettl">LDAPOpCacheTTL</a></li>
  76 <li><img alt="" src="../images/down.gif" /> <a href="#ldapreferralhoplimit">LDAPReferralHopLimit</a></li>
  77 <li><img alt="" src="../images/down.gif" /> <a href="#ldapreferrals">LDAPReferrals</a></li>
  78 <li><img alt="" src="../images/down.gif" /> <a href="#ldapretries">LDAPRetries</a></li>
  79 <li><img alt="" src="../images/down.gif" /> <a href="#ldapretrydelay">LDAPRetryDelay</a></li>
  80 <li><img alt="" src="../images/down.gif" /> <a href="#ldapsharedcachefile">LDAPSharedCacheFile</a></li>
  81 <li><img alt="" src="../images/down.gif" /> <a href="#ldapsharedcachesize">LDAPSharedCacheSize</a></li>
  82 <li><img alt="" src="../images/down.gif" /> <a href="#ldaptimeout">LDAPTimeout</a></li>
  83 <li><img alt="" src="../images/down.gif" /> <a href="#ldaptrustedclientcert">LDAPTrustedClientCert</a></li>
  84 <li><img alt="" src="../images/down.gif" /> <a href="#ldaptrustedglobalcert">LDAPTrustedGlobalCert</a></li>
  85 <li><img alt="" src="../images/down.gif" /> <a href="#ldaptrustedmode">LDAPTrustedMode</a></li>
  86 <li><img alt="" src="../images/down.gif" /> <a href="#ldapverifyservercert">LDAPVerifyServerCert</a></li>
  87 </ul>
  88 <h3>Bugfix checklist</h3><ul class="seealso"><li><a href="https://www.apache.org/dist/httpd/CHANGES_2.4">httpd changelog</a></li><li><a href="https://bz.apache.org/bugzilla/buglist.cgi?bug_status=__open__&amp;list_id=144532&amp;product=Apache%20httpd-2&amp;query_format=specific&amp;order=changeddate%20DESC%2Cpriority%2Cbug_severity&amp;component=mod_ldap">Known issues</a></li><li><a href="https://bz.apache.org/bugzilla/enter_bug.cgi?product=Apache%20httpd-2&amp;component=mod_ldap">Report a bug</a></li></ul><h3>See also</h3>
  89 <ul class="seealso">
  90 <li><a href="#comments_section">Comments</a></li></ul></div>
  91 <div class="top"><a href="#page-header"><img alt="top" src="../images/up.gif" /></a></div>
  92 <div class="section">
  93 <h2><a name="exampleconfig" id="exampleconfig">Example Configuration</a></h2>
  94     <p>The following is an example configuration that uses
  95     <code class="module"><a href="../mod/mod_ldap.html">mod_ldap</a></code> to increase the performance of HTTP Basic
  96     authentication provided by <code class="module"><a href="../mod/mod_authnz_ldap.html">mod_authnz_ldap</a></code>.</p>
  97
  98     <pre class="prettyprint lang-config"># Enable the LDAP connection pool and shared
  99 # memory cache. Enable the LDAP cache status
 100 # handler. Requires that mod_ldap and mod_authnz_ldap
 101 # be loaded. Change the "yourdomain.example.com" to
 102 # match your domain.
 103
 104 LDAPSharedCacheSize 500000
 105 LDAPCacheEntries 1024
 106 LDAPCacheTTL 600
 107 LDAPOpCacheEntries 1024
 108 LDAPOpCacheTTL 600
 109
 110 &lt;Location "/ldap-status"&gt;
 111     SetHandler ldap-status
 112
 113     Require host yourdomain.example.com
 114
 115     Satisfy any
 116     AuthType Basic
 117     AuthName "LDAP Protected"
 118     AuthBasicProvider ldap
 119     AuthLDAPURL ldap://127.0.0.1/dc=example,dc=com?uid?one
 120     Require valid-user
 121 &lt;/Location&gt;</pre>
 122
 123 </div><div class="top"><a href="#page-header"><img alt="top" src="../images/up.gif" /></a></div>
 124 <div class="section">
 125 <h2><a name="pool" id="pool">LDAP Connection Pool</a></h2>
 126
 127     <p>LDAP connections are pooled from request to request. This
 128     allows the LDAP server to remain connected and bound ready for
 129     the next request, without the need to unbind/connect/rebind.
 130     The performance advantages are similar to the effect of HTTP
 131     keepalives.</p>
 132
 133     <p>On a busy server it is possible that many requests will try
 134     and access the same LDAP server connection simultaneously.
 135     Where an LDAP connection is in use, Apache will create a new
 136     connection alongside the original one. This ensures that the
 137     connection pool does not become a bottleneck.</p>
 138
 139     <p>There is no need to manually enable connection pooling in
 140     the Apache configuration. Any module using this module for
 141     access to LDAP services will share the connection pool.</p>
 142
 143     <p>LDAP connections can keep track of the ldap client
 144     credentials used when binding to an LDAP server. These
 145     credentials can be provided to LDAP servers that do not
 146     allow anonymous binds during referral chasing. To control
 147     this feature, see the
 148     <code class="directive"><a href="#ldapreferrals">LDAPReferrals</a></code> and
 149     <code class="directive"><a href="#ldapreferralhoplimit">LDAPReferralHopLimit</a></code>
 150     directives. By default, this feature is enabled.</p>
 151 </div><div class="top"><a href="#page-header"><img alt="top" src="../images/up.gif" /></a></div>
 152 <div class="section">
 153 <h2><a name="cache" id="cache">LDAP Cache</a></h2>
 154
 155     <p>For improved performance, <code class="module"><a href="../mod/mod_ldap.html">mod_ldap</a></code> uses an aggressive
 156     caching strategy to minimize the number of times that the LDAP
 157     server must be contacted. Caching can easily double or triple
 158     the throughput of Apache when it is serving pages protected
 159     with mod_authnz_ldap. In addition, the load on the LDAP server
 160     will be significantly decreased.</p>
 161
 162     <p><code class="module"><a href="../mod/mod_ldap.html">mod_ldap</a></code> supports two types of LDAP caching during
 163     the search/bind phase with a <em>search/bind cache</em> and
 164     during the compare phase with two <em>operation
 165     caches</em>. Each LDAP URL that is used by the server has
 166     its own set of these three caches.</p>
 167
 168     <h3><a name="search-bind" id="search-bind">The Search/Bind Cache</a></h3>
 169       <p>The process of doing a search and then a bind is the
 170       most time-consuming aspect of LDAP operation, especially if
 171       the directory is large. The search/bind cache is used to
 172       cache all searches that resulted in successful binds.
 173       Negative results (<em>i.e.</em>, unsuccessful searches, or searches
 174       that did not result in a successful bind) are not cached.
 175       The rationale behind this decision is that connections with
 176       invalid credentials are only a tiny percentage of the total
 177       number of connections, so by not caching invalid
 178       credentials, the size of the cache is reduced.</p>
 179
 180       <p><code class="module"><a href="../mod/mod_ldap.html">mod_ldap</a></code> stores the username, the DN
 181       retrieved, the password used to bind, and the time of the bind
 182       in the cache. Whenever a new connection is initiated with the
 183       same username, <code class="module"><a href="../mod/mod_ldap.html">mod_ldap</a></code> compares the password
 184       of the new connection with the password in the cache. If the
 185       passwords match, and if the cached entry is not too old,
 186       <code class="module"><a href="../mod/mod_ldap.html">mod_ldap</a></code> bypasses the search/bind phase.</p>
 187
 188       <p>The search and bind cache is controlled with the <code class="directive"><a href="#ldapcacheentries">LDAPCacheEntries</a></code> and <code class="directive"><a href="#ldapcachettl">LDAPCacheTTL</a></code> directives.</p>
 189
 190
 191     <h3><a name="opcaches" id="opcaches">Operation Caches</a></h3>
 192       <p>During attribute and distinguished name comparison
 193       functions, <code class="module"><a href="../mod/mod_ldap.html">mod_ldap</a></code> uses two operation caches
 194       to cache the compare operations. The first compare cache is
 195       used to cache the results of compares done to test for LDAP
 196       group membership. The second compare cache is used to cache
 197       the results of comparisons done between distinguished
 198       names.</p>
 199
 200       <p>Note that, when group membership is being checked, any sub-group
 201       comparison results are cached to speed future sub-group comparisons.</p>
 202
 203       <p>The behavior of both of these caches is controlled with
 204       the <code class="directive"><a href="#ldapopcacheentries">LDAPOpCacheEntries</a></code>
 205       and <code class="directive"><a href="#ldapopcachettl">LDAPOpCacheTTL</a></code>
 206       directives.</p>
 207
 208
 209     <h3><a name="monitoring" id="monitoring">Monitoring the Cache</a></h3>
 210       <p><code class="module"><a href="../mod/mod_ldap.html">mod_ldap</a></code> has a content handler that allows
 211       administrators to monitor the cache performance. The name of
 212       the content handler is <code>ldap-status</code>, so the
 213       following directives could be used to access the
 214       <code class="module"><a href="../mod/mod_ldap.html">mod_ldap</a></code> cache information:</p>
 215
 216       <pre class="prettyprint lang-config">&lt;Location "/server/cache-info"&gt;
 217     SetHandler ldap-status
 218 &lt;/Location&gt;</pre>
 219
 220
 221       <p>By fetching the URL <code>http://servername/cache-info</code>,
 222       the administrator can get a status report of every cache that is used
 223       by <code class="module"><a href="../mod/mod_ldap.html">mod_ldap</a></code> cache. Note that if Apache does not
 224       support shared memory, then each <code class="program"><a href="../programs/httpd.html">httpd</a></code> instance has its
 225       own cache, so reloading the URL will result in different
 226       information each time, depending on which <code class="program"><a href="../programs/httpd.html">httpd</a></code>
 227       instance processes the request.</p>
 228
 229 </div><div class="top"><a href="#page-header"><img alt="top" src="../images/up.gif" /></a></div>
 230 <div class="section">
 231 <h2><a name="usingssltls" id="usingssltls">Using SSL/TLS</a></h2>
 232
 233     <p>The ability to create an SSL and TLS connections to an LDAP server
 234     is defined by the directives
 235     <code class="directive"><a href="#ldaptrustedglobalcert">LDAPTrustedGlobalCert</a></code>,
 236     <code class="directive"><a href="#ldaptrustedclientcert">LDAPTrustedClientCert</a></code>
 237      and <code class="directive"><a href="#ldaptrustedmode">LDAPTrustedMode</a></code>.
 238     These directives specify the CA and optional client certificates to be used,
 239     as well as the type of encryption to be used on the connection (none, SSL or
 240     TLS/STARTTLS).</p>
 241
 242     <pre class="prettyprint lang-config"># Establish an SSL LDAP connection on port 636. Requires that
 243 # mod_ldap and mod_authnz_ldap be loaded. Change the
 244 # "yourdomain.example.com" to match your domain.
 245
 246 LDAPTrustedGlobalCert CA_DER /certs/certfile.der
 247
 248 &lt;Location "/ldap-status"&gt;
 249     SetHandler ldap-status
 250
 251     Require host yourdomain.example.com
 252
 253     Satisfy any
 254     AuthType Basic
 255     AuthName "LDAP Protected"
 256     AuthBasicProvider ldap
 257     AuthLDAPURL ldaps://127.0.0.1/dc=example,dc=com?uid?one
 258     Require valid-user
 259 &lt;/Location&gt;</pre>
 260
 261
 262     <pre class="prettyprint lang-config"># Establish a TLS LDAP connection on port 389. Requires that
 263 # mod_ldap and mod_authnz_ldap be loaded. Change the
 264 # "yourdomain.example.com" to match your domain.
 265
 266 LDAPTrustedGlobalCert CA_DER /certs/certfile.der
 267
 268 &lt;Location "/ldap-status"&gt;
 269     SetHandler ldap-status
 270
 271     Require host yourdomain.example.com
 272
 273     Satisfy any
 274     AuthType Basic
 275     AuthName "LDAP Protected"
 276     AuthBasicProvider ldap
 277     AuthLDAPURL ldap://127.0.0.1/dc=example,dc=com?uid?one TLS
 278     Require valid-user
 279 &lt;/Location&gt;</pre>
 280
 281
 282 </div><div class="top"><a href="#page-header"><img alt="top" src="../images/up.gif" /></a></div>
 283 <div class="section">
 284 <h2><a name="settingcerts" id="settingcerts">SSL/TLS Certificates</a></h2>
 285
 286     <p>The different LDAP SDKs have widely different methods of setting
 287     and handling both CA and client side certificates.</p>
 288
 289     <p>If you intend to use SSL or TLS, read this section CAREFULLY so as to
 290     understand the differences between configurations on the different LDAP
 291     toolkits supported.</p>
 292
 293     <h3><a name="settingcerts-netscape" id="settingcerts-netscape">Netscape/Mozilla/iPlanet SDK</a></h3>
 294         <p>CA certificates are specified within a file called cert7.db.
 295         The SDK will not talk to any LDAP server whose certificate was
 296         not signed by a CA specified in this file. If
 297         client certificates are required, an optional key3.db file may
 298         be specified with an optional password. The secmod file can be
 299         specified if required. These files are in the same format as
 300         used by the Netscape Communicator or Mozilla web browsers. The easiest
 301         way to obtain these files is to grab them from your browser
 302         installation.</p>
 303
 304         <p>Client certificates are specified per connection using the
 305         LDAPTrustedClientCert directive by referring
 306         to the certificate "nickname". An optional password may be
 307         specified to unlock the certificate's private key.</p>
 308
 309         <p>The SDK supports SSL only. An attempt to use STARTTLS will cause
 310         an error when an attempt is made to contact the LDAP server at
 311         runtime.</p>
 312
 313         <pre class="prettyprint lang-config"># Specify a Netscape CA certificate file
 314 LDAPTrustedGlobalCert CA_CERT7_DB /certs/cert7.db
 315 # Specify an optional key3.db file for client certificate support
 316 LDAPTrustedGlobalCert CERT_KEY3_DB /certs/key3.db
 317 # Specify the secmod file if required
 318 LDAPTrustedGlobalCert CA_SECMOD /certs/secmod
 319 &lt;Location "/ldap-status"&gt;
 320     SetHandler ldap-status
 321
 322     Require host yourdomain.example.com
 323
 324     Satisfy any
 325     AuthType Basic
 326     AuthName "LDAP Protected"
 327     AuthBasicProvider ldap
 328     LDAPTrustedClientCert CERT_NICKNAME &lt;nickname&gt; [password]
 329     AuthLDAPURL ldaps://127.0.0.1/dc=example,dc=com?uid?one
 330     Require valid-user
 331 &lt;/Location&gt;</pre>
 332
 333
 334
 335
 336     <h3><a name="settingcerts-novell" id="settingcerts-novell">Novell SDK</a></h3>
 337
 338         <p>One or more CA certificates must be specified for the Novell
 339         SDK to work correctly. These certificates can be specified as
 340         binary DER or Base64 (PEM) encoded files.</p>
 341
 342         <p>Note: Client certificates are specified globally rather than per
 343         connection, and so must be specified with the LDAPTrustedGlobalCert
 344         directive as below. Trying to set client certificates via the
 345         LDAPTrustedClientCert directive will cause an error to be logged
 346         when an attempt is made to connect to the LDAP server..</p>
 347
 348         <p>The SDK supports both SSL and STARTTLS, set using the
 349         LDAPTrustedMode parameter. If an ldaps:// URL is specified,
 350         SSL mode is forced, override this directive.</p>
 351
 352         <pre class="prettyprint lang-config"># Specify two CA certificate files
 353 LDAPTrustedGlobalCert CA_DER /certs/cacert1.der
 354 LDAPTrustedGlobalCert CA_BASE64 /certs/cacert2.pem
 355 # Specify a client certificate file and key
 356 LDAPTrustedGlobalCert CERT_BASE64 /certs/cert1.pem
 357 LDAPTrustedGlobalCert KEY_BASE64 /certs/key1.pem [password]
 358 # Do not use this directive, as it will throw an error
 359 #LDAPTrustedClientCert CERT_BASE64 /certs/cert1.pem</pre>
 360
 361
 362
 363
 364     <h3><a name="settingcerts-openldap" id="settingcerts-openldap">OpenLDAP SDK</a></h3>
 365
 366         <p>One or more CA certificates must be specified for the OpenLDAP
 367         SDK to work correctly. These certificates can be specified as
 368         binary DER or Base64 (PEM) encoded files.</p>
 369
 370         <p>Both CA and client certificates may be specified globally
 371         (LDAPTrustedGlobalCert) or per-connection (LDAPTrustedClientCert).
 372         When any settings are specified per-connection, the global
 373         settings are superseded.</p>
 374
 375         <p>The documentation for the SDK claims to support both SSL and
 376         STARTTLS, however STARTTLS does not seem to work on all versions
 377         of the SDK. The SSL/TLS mode can be set using the
 378         LDAPTrustedMode parameter. If an ldaps:// URL is specified,
 379         SSL mode is forced. The OpenLDAP documentation notes that SSL
 380         (ldaps://) support has been deprecated to be replaced with TLS,
 381         although the SSL functionality still works.</p>
 382
 383         <pre class="prettyprint lang-config"># Specify two CA certificate files
 384 LDAPTrustedGlobalCert CA_DER /certs/cacert1.der
 385 LDAPTrustedGlobalCert CA_BASE64 /certs/cacert2.pem
 386 &lt;Location "/ldap-status"&gt;
 387     SetHandler ldap-status
 388
 389     Require host yourdomain.example.com
 390
 391     LDAPTrustedClientCert CERT_BASE64 /certs/cert1.pem
 392     LDAPTrustedClientCert KEY_BASE64 /certs/key1.pem
 393     # CA certs respecified due to per-directory client certs
 394     LDAPTrustedClientCert CA_DER /certs/cacert1.der
 395     LDAPTrustedClientCert CA_BASE64 /certs/cacert2.pem
 396     Satisfy any
 397     AuthType Basic
 398     AuthName "LDAP Protected"
 399     AuthBasicProvider ldap
 400     AuthLDAPURL ldaps://127.0.0.1/dc=example,dc=com?uid?one
 401     Require valid-user
 402 &lt;/Location&gt;</pre>
 403
 404
 405
 406
 407     <h3><a name="settingcerts-solaris" id="settingcerts-solaris">Solaris SDK</a></h3>
 408
 409         <p>SSL/TLS for the native Solaris LDAP libraries is not yet
 410         supported. If required, install and use the OpenLDAP libraries
 411         instead.</p>
 412
 413
 414
 415     <h3><a name="settingcerts-microsoft" id="settingcerts-microsoft">Microsoft SDK</a></h3>
 416
 417         <p>SSL/TLS certificate configuration for the native Microsoft
 418         LDAP libraries is done inside the system registry, and no
 419         configuration directives are required.</p>
 420
 421         <p>Both SSL and TLS are supported by using the ldaps:// URL
 422         format, or by using the LDAPTrustedMode directive accordingly.</p>
 423
 424         <p>Note: The status of support for client certificates is not yet known
 425         for this toolkit.</p>
 426
 427
 428
 429 </div>
 430 <div class="top"><a href="#page-header"><img alt="top" src="../images/up.gif" /></a></div>
 431 <div class="directive-section"><h2><a name="LDAPCacheEntries" id="LDAPCacheEntries">LDAPCacheEntries</a> <a name="ldapcacheentries" id="ldapcacheentries">Directive</a></h2>
 432 <table class="directive">
 433 <tr><th><a href="directive-dict.html#Description">Description:</a></th><td>Maximum number of entries in the primary LDAP cache</td></tr>
 434 <tr><th><a href="directive-dict.html#Syntax">Syntax:</a></th><td><code>LDAPCacheEntries <var>number</var></code></td></tr>
 435 <tr><th><a href="directive-dict.html#Default">Default:</a></th><td><code>LDAPCacheEntries 1024</code></td></tr>
 436 <tr><th><a href="directive-dict.html#Context">Context:</a></th><td>server config</td></tr>
 437 <tr><th><a href="directive-dict.html#Status">Status:</a></th><td>Extension</td></tr>
 438 <tr><th><a href="directive-dict.html#Module">Module:</a></th><td>mod_ldap</td></tr>
 439 </table>
 440     <p>Specifies the maximum size of the primary LDAP cache. This
 441     cache contains successful search/binds. Set it to 0 to turn off
 442     search/bind caching. The default size is 1024 cached
 443     searches.</p>
 444
 445 </div>
 446 <div class="top"><a href="#page-header"><img alt="top" src="../images/up.gif" /></a></div>
 447 <div class="directive-section"><h2><a name="LDAPCacheTTL" id="LDAPCacheTTL">LDAPCacheTTL</a> <a name="ldapcachettl" id="ldapcachettl">Directive</a></h2>
 448 <table class="directive">
 449 <tr><th><a href="directive-dict.html#Description">Description:</a></th><td>Time that cached items remain valid</td></tr>
 450 <tr><th><a href="directive-dict.html#Syntax">Syntax:</a></th><td><code>LDAPCacheTTL <var>seconds</var></code></td></tr>
 451 <tr><th><a href="directive-dict.html#Default">Default:</a></th><td><code>LDAPCacheTTL 600</code></td></tr>
 452 <tr><th><a href="directive-dict.html#Context">Context:</a></th><td>server config</td></tr>
 453 <tr><th><a href="directive-dict.html#Status">Status:</a></th><td>Extension</td></tr>
 454 <tr><th><a href="directive-dict.html#Module">Module:</a></th><td>mod_ldap</td></tr>
 455 </table>
 456     <p>Specifies the time (in seconds) that an item in the
 457     search/bind cache remains valid. The default is 600 seconds (10
 458     minutes).</p>
 459
 460 </div>
 461 <div class="top"><a href="#page-header"><img alt="top" src="../images/up.gif" /></a></div>
 462 <div class="directive-section"><h2><a name="LDAPConnectionPoolTTL" id="LDAPConnectionPoolTTL">LDAPConnectionPoolTTL</a> <a name="ldapconnectionpoolttl" id="ldapconnectionpoolttl">Directive</a></h2>
 463 <table class="directive">
 464 <tr><th><a href="directive-dict.html#Description">Description:</a></th><td>Discard backend connections that have been sitting in the connection pool too long</td></tr>
 465 <tr><th><a href="directive-dict.html#Syntax">Syntax:</a></th><td><code>LDAPConnectionPoolTTL <var>n</var></code></td></tr>
 466 <tr><th><a href="directive-dict.html#Default">Default:</a></th><td><code>LDAPConnectionPoolTTL -1</code></td></tr>
 467 <tr><th><a href="directive-dict.html#Context">Context:</a></th><td>server config, virtual host</td></tr>
 468 <tr><th><a href="directive-dict.html#Status">Status:</a></th><td>Extension</td></tr>
 469 <tr><th><a href="directive-dict.html#Module">Module:</a></th><td>mod_ldap</td></tr>
 470 <tr><th><a href="directive-dict.html#Compatibility">Compatibility:</a></th><td>Apache HTTP Server 2.3.12 and later</td></tr>
 471 </table>
 472     <p>Specifies the maximum age, in seconds, that a pooled LDAP connection can remain idle
 473     and still be available for use.  Connections are cleaned up when they are next needed,
 474     not asynchronously.</p>
 475
 476     <p>A setting of 0 causes connections to never be saved in the backend
 477     connection pool.  The default value of -1, and any other negative value,
 478     allows connections of any age to be reused.</p>
 479
 480     <p>For performance reasons, the reference time used by this directive is
 481     based on when the LDAP connection is returned to the pool, not the time
 482     of the last successful I/O with the LDAP server.  </p>
 483
 484     <p>Since 2.4.10, new measures are in place to avoid the reference time
 485     from being inflated by cache hits or slow requests.  First, the reference
 486     time is not updated if no backend LDAP conncetions were needed. Second,
 487     the reference time uses the time the HTTP request was received instead
 488     of the time the request is completed.</p>
 489
 490     <div class="note"><p>This timeout defaults to units of seconds, but accepts
 491     suffixes for milliseconds (ms), minutes (min), and hours (h).
 492     </p></div>
 493
 494 </div>
 495 <div class="top"><a href="#page-header"><img alt="top" src="../images/up.gif" /></a></div>
 496 <div class="directive-section"><h2><a name="LDAPConnectionTimeout" id="LDAPConnectionTimeout">LDAPConnectionTimeout</a> <a name="ldapconnectiontimeout" id="ldapconnectiontimeout">Directive</a></h2>
 497 <table class="directive">
 498 <tr><th><a href="directive-dict.html#Description">Description:</a></th><td>Specifies the socket connection timeout in seconds</td></tr>
 499 <tr><th><a href="directive-dict.html#Syntax">Syntax:</a></th><td><code>LDAPConnectionTimeout <var>seconds</var></code></td></tr>
 500 <tr><th><a href="directive-dict.html#Context">Context:</a></th><td>server config</td></tr>
 501 <tr><th><a href="directive-dict.html#Status">Status:</a></th><td>Extension</td></tr>
 502 <tr><th><a href="directive-dict.html#Module">Module:</a></th><td>mod_ldap</td></tr>
 503 </table>
 504     <p>This directive configures the LDAP_OPT_NETWORK_TIMEOUT (or LDAP_OPT_CONNECT_TIMEOUT)
 505     option in the underlying LDAP client library, when available.  This value
 506     typically controls how long the LDAP client library will wait for the TCP
 507     connection to the LDAP server to complete.</p>
 508
 509     <p> If a connection is not successful with the timeout period, either an error will be
 510     returned or the LDAP client library will attempt to connect to a secondary LDAP
 511     server if one is specified (via a space-separated list of hostnames in the
 512     <code class="directive"><a href="../mod/mod_authnz_ldap.html#authldapurl">AuthLDAPURL</a></code>).</p>
 513
 514     <p>The default is 10 seconds, if the LDAP client library linked with the
 515     server supports the LDAP_OPT_NETWORK_TIMEOUT option.</p>
 516
 517     <div class="note">LDAPConnectionTimeout is only available when the LDAP client library linked
 518     with the server supports the LDAP_OPT_NETWORK_TIMEOUT
 519     (or LDAP_OPT_CONNECT_TIMEOUT) option, and the ultimate behavior is
 520     dictated entirely by the LDAP client library.
 521     </div>
 522
 523 </div>
 524 <div class="top"><a href="#page-header"><img alt="top" src="../images/up.gif" /></a></div>
 525 <div class="directive-section"><h2><a name="LDAPLibraryDebug" id="LDAPLibraryDebug">LDAPLibraryDebug</a> <a name="ldaplibrarydebug" id="ldaplibrarydebug">Directive</a></h2>
 526 <table class="directive">
 527 <tr><th><a href="directive-dict.html#Description">Description:</a></th><td>Enable debugging in the LDAP SDK</td></tr>
 528 <tr><th><a href="directive-dict.html#Syntax">Syntax:</a></th><td><code>LDAPLibraryDebug <var>7</var></code></td></tr>
 529 <tr><th><a href="directive-dict.html#Default">Default:</a></th><td><code>disabled</code></td></tr>
 530 <tr><th><a href="directive-dict.html#Context">Context:</a></th><td>server config</td></tr>
 531 <tr><th><a href="directive-dict.html#Status">Status:</a></th><td>Extension</td></tr>
 532 <tr><th><a href="directive-dict.html#Module">Module:</a></th><td>mod_ldap</td></tr>
 533 </table>
 534     <p>Turns on SDK-specific LDAP debug options that generally cause the LDAP
 535     SDK to log verbose trace information to the main Apache error log.
 536     The trace messages from the LDAP SDK provide gory details that
 537     can be useful during debugging of connectivity problems with backend LDAP servers</p>
 538
 539     <p>This option is only configurable when Apache HTTP Server is linked with
 540     an LDAP SDK that implements <code>LDAP_OPT_DEBUG</code> or
 541     <code>LDAP_OPT_DEBUG_LEVEL</code>, such as OpenLDAP (a value of 7 is verbose)
 542     or Tivoli Directory Server (a value of 65535 is verbose).</p>
 543
 544     <div class="warning">
 545     <p>The logged information will likely contain plaintext credentials being used or
 546     validated by LDAP authentication, so care should be taken in protecting and purging
 547     the error log when this directive is used.</p>
 548     </div>
 549
 550
 551 </div>
 552 <div class="top"><a href="#page-header"><img alt="top" src="../images/up.gif" /></a></div>
 553 <div class="directive-section"><h2><a name="LDAPOpCacheEntries" id="LDAPOpCacheEntries">LDAPOpCacheEntries</a> <a name="ldapopcacheentries" id="ldapopcacheentries">Directive</a></h2>
 554 <table class="directive">
 555 <tr><th><a href="directive-dict.html#Description">Description:</a></th><td>Number of entries used to cache LDAP compare
 556 operations</td></tr>
 557 <tr><th><a href="directive-dict.html#Syntax">Syntax:</a></th><td><code>LDAPOpCacheEntries <var>number</var></code></td></tr>
 558 <tr><th><a href="directive-dict.html#Default">Default:</a></th><td><code>LDAPOpCacheEntries 1024</code></td></tr>
 559 <tr><th><a href="directive-dict.html#Context">Context:</a></th><td>server config</td></tr>
 560 <tr><th><a href="directive-dict.html#Status">Status:</a></th><td>Extension</td></tr>
 561 <tr><th><a href="directive-dict.html#Module">Module:</a></th><td>mod_ldap</td></tr>
 562 </table>
 563     <p>This specifies the number of entries <code class="module"><a href="../mod/mod_ldap.html">mod_ldap</a></code>
 564     will use to cache LDAP compare operations. The default is 1024
 565     entries.  Setting it to 0 disables operation caching.</p>
 566
 567 </div>
 568 <div class="top"><a href="#page-header"><img alt="top" src="../images/up.gif" /></a></div>
 569 <div class="directive-section"><h2><a name="LDAPOpCacheTTL" id="LDAPOpCacheTTL">LDAPOpCacheTTL</a> <a name="ldapopcachettl" id="ldapopcachettl">Directive</a></h2>
 570 <table class="directive">
 571 <tr><th><a href="directive-dict.html#Description">Description:</a></th><td>Time that entries in the operation cache remain
 572 valid</td></tr>
 573 <tr><th><a href="directive-dict.html#Syntax">Syntax:</a></th><td><code>LDAPOpCacheTTL <var>seconds</var></code></td></tr>
 574 <tr><th><a href="directive-dict.html#Default">Default:</a></th><td><code>LDAPOpCacheTTL 600</code></td></tr>
 575 <tr><th><a href="directive-dict.html#Context">Context:</a></th><td>server config</td></tr>
 576 <tr><th><a href="directive-dict.html#Status">Status:</a></th><td>Extension</td></tr>
 577 <tr><th><a href="directive-dict.html#Module">Module:</a></th><td>mod_ldap</td></tr>
 578 </table>
 579     <p>Specifies the time (in seconds) that entries in the
 580     operation cache remain valid. The default is 600 seconds.</p>
 581
 582 </div>
 583 <div class="top"><a href="#page-header"><img alt="top" src="../images/up.gif" /></a></div>
 584 <div class="directive-section"><h2><a name="LDAPReferralHopLimit" id="LDAPReferralHopLimit">LDAPReferralHopLimit</a> <a name="ldapreferralhoplimit" id="ldapreferralhoplimit">Directive</a></h2>
 585 <table class="directive">
 586 <tr><th><a href="directive-dict.html#Description">Description:</a></th><td>The maximum number of referral hops to chase before terminating an LDAP query.</td></tr>
 587 <tr><th><a href="directive-dict.html#Syntax">Syntax:</a></th><td><code>LDAPReferralHopLimit <var>number</var></code></td></tr>
 588 <tr><th><a href="directive-dict.html#Default">Default:</a></th><td><code>SDK dependent, typically between 5 and 10</code></td></tr>
 589 <tr><th><a href="directive-dict.html#Context">Context:</a></th><td>directory, .htaccess</td></tr>
 590 <tr><th><a href="directive-dict.html#Override">Override:</a></th><td>AuthConfig</td></tr>
 591 <tr><th><a href="directive-dict.html#Status">Status:</a></th><td>Extension</td></tr>
 592 <tr><th><a href="directive-dict.html#Module">Module:</a></th><td>mod_ldap</td></tr>
 593 </table>
 594     <p>This directive, if enabled by the <code class="directive">LDAPReferrals</code> directive,
 595     limits the number of referral hops that are followed before terminating an
 596     LDAP query.</p>
 597
 598 <div class="warning">
 599 <p> Support for this tunable is uncommon in LDAP SDKs.</p>
 600 </div>
 601
 602 </div>
 603 <div class="top"><a href="#page-header"><img alt="top" src="../images/up.gif" /></a></div>
 604 <div class="directive-section"><h2><a name="LDAPReferrals" id="LDAPReferrals">LDAPReferrals</a> <a name="ldapreferrals" id="ldapreferrals">Directive</a></h2>
 605 <table class="directive">
 606 <tr><th><a href="directive-dict.html#Description">Description:</a></th><td>Enable referral chasing during queries to the LDAP server.</td></tr>
 607 <tr><th><a href="directive-dict.html#Syntax">Syntax:</a></th><td><code>LDAPReferrals <var>On|Off|default</var></code></td></tr>
 608 <tr><th><a href="directive-dict.html#Default">Default:</a></th><td><code>LDAPReferrals On</code></td></tr>
 609 <tr><th><a href="directive-dict.html#Context">Context:</a></th><td>directory, .htaccess</td></tr>
 610 <tr><th><a href="directive-dict.html#Override">Override:</a></th><td>AuthConfig</td></tr>
 611 <tr><th><a href="directive-dict.html#Status">Status:</a></th><td>Extension</td></tr>
 612 <tr><th><a href="directive-dict.html#Module">Module:</a></th><td>mod_ldap</td></tr>
 613 <tr><th><a href="directive-dict.html#Compatibility">Compatibility:</a></th><td>The <var>default</var> parameter is available in Apache 2.4.7 and later</td></tr>
 614 </table>
 615     <p>Some LDAP servers divide their directory among multiple domains and use referrals
 616     to direct a client when a domain boundary is crossed. This is similar to a HTTP redirect.
 617     LDAP client libraries may or may not chase referrals by default. This directive
 618     explicitly configures the referral chasing in the underlying SDK.</p>
 619
 620
 621     <p><code class="directive">LDAPReferrals</code> takes the following values:</p>
 622     <dl>
 623      <dt>"on"</dt>
 624      <dd> <p> When set to "on", the underlying SDK's referral chasing state
 625               is enabled, <code class="directive">LDAPReferralHopLimit</code> is used to
 626               override the SDK's hop limit, and an LDAP rebind callback is
 627               registered.</p></dd>
 628      <dt>"off"</dt>
 629      <dd> <p> When set to "off", the underlying SDK's referral chasing state
 630               is disabled completely.</p></dd>
 631      <dt>"default"</dt>
 632      <dd> <p> When set to "default", the underlying SDK's referral chasing state
 633               is not changed, <code class="directive">LDAPReferralHopLimit</code> is not
 634               used to overide the SDK's hop limit, and no LDAP rebind callback is
 635               registered.</p></dd>
 636     </dl>
 637
 638     <p>The directive <code class="directive">LDAPReferralHopLimit</code> works in conjunction with
 639     this directive to limit the number of referral hops to follow before terminating the LDAP query.
 640     When referral processing is enabled by a value of "On", client credentials will be provided,
 641     via a rebind callback, for any LDAP server requiring them.</p>
 642
 643 </div>
 644 <div class="top"><a href="#page-header"><img alt="top" src="../images/up.gif" /></a></div>
 645 <div class="directive-section"><h2><a name="LDAPRetries" id="LDAPRetries">LDAPRetries</a> <a name="ldapretries" id="ldapretries">Directive</a></h2>
 646 <table class="directive">
 647 <tr><th><a href="directive-dict.html#Description">Description:</a></th><td>Configures the number of LDAP server retries.</td></tr>
 648 <tr><th><a href="directive-dict.html#Syntax">Syntax:</a></th><td><code>LDAPRetries <var>number-of-retries</var></code></td></tr>
 649 <tr><th><a href="directive-dict.html#Default">Default:</a></th><td><code>LDAPRetries 3</code></td></tr>
 650 <tr><th><a href="directive-dict.html#Context">Context:</a></th><td>server config</td></tr>
 651 <tr><th><a href="directive-dict.html#Status">Status:</a></th><td>Extension</td></tr>
 652 <tr><th><a href="directive-dict.html#Module">Module:</a></th><td>mod_ldap</td></tr>
 653 </table>
 654     <p>The server will retry failed LDAP requests up to
 655     <code class="directive">LDAPRetries</code> times.  Setting this
 656     directive to 0 disables retries.</p>
 657     <p>LDAP errors such as timeouts and refused connections are retryable.</p>
 658
 659 </div>
 660 <div class="top"><a href="#page-header"><img alt="top" src="../images/up.gif" /></a></div>
 661 <div class="directive-section"><h2><a name="LDAPRetryDelay" id="LDAPRetryDelay">LDAPRetryDelay</a> <a name="ldapretrydelay" id="ldapretrydelay">Directive</a></h2>
 662 <table class="directive">
 663 <tr><th><a href="directive-dict.html#Description">Description:</a></th><td>Configures the delay between LDAP server retries.</td></tr>
 664 <tr><th><a href="directive-dict.html#Syntax">Syntax:</a></th><td><code>LDAPRetryDelay <var>seconds</var></code></td></tr>
 665 <tr><th><a href="directive-dict.html#Default">Default:</a></th><td><code>LDAPRetryDelay 0</code></td></tr>
 666 <tr><th><a href="directive-dict.html#Context">Context:</a></th><td>server config</td></tr>
 667 <tr><th><a href="directive-dict.html#Status">Status:</a></th><td>Extension</td></tr>
 668 <tr><th><a href="directive-dict.html#Module">Module:</a></th><td>mod_ldap</td></tr>
 669 </table>
 670     <p>If <code class="directive">LDAPRetryDelay</code> is set to a non-zero
 671     value, the server will delay retrying an LDAP request for the
 672     specified amount of time.  Setting this directive to 0 will
 673     result in any retry to occur without delay.</p>
 674
 675     <p>LDAP errors such as timeouts and refused connections are retryable.</p>
 676
 677 </div>
 678 <div class="top"><a href="#page-header"><img alt="top" src="../images/up.gif" /></a></div>
 679 <div class="directive-section"><h2><a name="LDAPSharedCacheFile" id="LDAPSharedCacheFile">LDAPSharedCacheFile</a> <a name="ldapsharedcachefile" id="ldapsharedcachefile">Directive</a></h2>
 680 <table class="directive">
 681 <tr><th><a href="directive-dict.html#Description">Description:</a></th><td>Sets the shared memory cache file</td></tr>
 682 <tr><th><a href="directive-dict.html#Syntax">Syntax:</a></th><td><code>LDAPSharedCacheFile <var>file-path</var></code></td></tr>
 683 <tr><th><a href="directive-dict.html#Context">Context:</a></th><td>server config</td></tr>
 684 <tr><th><a href="directive-dict.html#Status">Status:</a></th><td>Extension</td></tr>
 685 <tr><th><a href="directive-dict.html#Module">Module:</a></th><td>mod_ldap</td></tr>
 686 </table>
 687     <p>Specifies the path of the shared memory cache file. If not set,
 688     anonymous shared memory will be used if the platform supports it.</p>
 689
 690     <p>If <var>file-path</var> is not an absolute path, the location specified
 691     will be relative to the value of
 692     <code class="directive"><a href="../mod/core.html#defaultruntimedir">DefaultRuntimeDir</a></code>.</p>
 693
 694 </div>
 695 <div class="top"><a href="#page-header"><img alt="top" src="../images/up.gif" /></a></div>
 696 <div class="directive-section"><h2><a name="LDAPSharedCacheSize" id="LDAPSharedCacheSize">LDAPSharedCacheSize</a> <a name="ldapsharedcachesize" id="ldapsharedcachesize">Directive</a></h2>
 697 <table class="directive">
 698 <tr><th><a href="directive-dict.html#Description">Description:</a></th><td>Size in bytes of the shared-memory cache</td></tr>
 699 <tr><th><a href="directive-dict.html#Syntax">Syntax:</a></th><td><code>LDAPSharedCacheSize <var>bytes</var></code></td></tr>
 700 <tr><th><a href="directive-dict.html#Default">Default:</a></th><td><code>LDAPSharedCacheSize 500000</code></td></tr>
 701 <tr><th><a href="directive-dict.html#Context">Context:</a></th><td>server config</td></tr>
 702 <tr><th><a href="directive-dict.html#Status">Status:</a></th><td>Extension</td></tr>
 703 <tr><th><a href="directive-dict.html#Module">Module:</a></th><td>mod_ldap</td></tr>
 704 </table>
 705     <p>Specifies the number of bytes to allocate for the shared
 706     memory cache. The default is 500kb. If set to 0, shared memory
 707     caching will not be used and every HTTPD process will create its
 708     own cache.</p>
 709
 710 </div>
 711 <div class="top"><a href="#page-header"><img alt="top" src="../images/up.gif" /></a></div>
 712 <div class="directive-section"><h2><a name="LDAPTimeout" id="LDAPTimeout">LDAPTimeout</a> <a name="ldaptimeout" id="ldaptimeout">Directive</a></h2>
 713 <table class="directive">
 714 <tr><th><a href="directive-dict.html#Description">Description:</a></th><td>Specifies the timeout for LDAP search and bind operations, in seconds</td></tr>
 715 <tr><th><a href="directive-dict.html#Syntax">Syntax:</a></th><td><code>LDAPTimeout <var>seconds</var></code></td></tr>
 716 <tr><th><a href="directive-dict.html#Default">Default:</a></th><td><code>LDAPTimeout 60</code></td></tr>
 717 <tr><th><a href="directive-dict.html#Context">Context:</a></th><td>server config</td></tr>
 718 <tr><th><a href="directive-dict.html#Status">Status:</a></th><td>Extension</td></tr>
 719 <tr><th><a href="directive-dict.html#Module">Module:</a></th><td>mod_ldap</td></tr>
 720 <tr><th><a href="directive-dict.html#Compatibility">Compatibility:</a></th><td>Apache HTTP Server 2.3.5 and later</td></tr>
 721 </table>
 722     <p>This directive configures the timeout for bind and search operations, as well as
 723     the LDAP_OPT_TIMEOUT option in the underlying LDAP client library, when available.</p>
 724
 725     <p> If the timeout expires, httpd will retry in case an existing connection has
 726     been silently dropped by a firewall. However, performance will be much better if
 727     the firewall is configured to send TCP RST packets instead of silently dropping
 728     packets.</p>
 729
 730     <div class="note">
 731     <p>Timeouts for ldap compare operations requires an SDK with LDAP_OPT_TIMEOUT, such as OpenLDAP &gt;= 2.4.4.</p>
 732     </div>
 733
 734
 735 </div>
 736 <div class="top"><a href="#page-header"><img alt="top" src="../images/up.gif" /></a></div>
 737 <div class="directive-section"><h2><a name="LDAPTrustedClientCert" id="LDAPTrustedClientCert">LDAPTrustedClientCert</a> <a name="ldaptrustedclientcert" id="ldaptrustedclientcert">Directive</a></h2>
 738 <table class="directive">
 739 <tr><th><a href="directive-dict.html#Description">Description:</a></th><td>Sets the file containing or nickname referring to a per
 740 connection client certificate. Not all LDAP toolkits support per
 741 connection client certificates.</td></tr>
 742 <tr><th><a href="directive-dict.html#Syntax">Syntax:</a></th><td><code>LDAPTrustedClientCert <var>type</var> <var>directory-path/filename/nickname</var> <var>[password]</var></code></td></tr>
 743 <tr><th><a href="directive-dict.html#Context">Context:</a></th><td>directory, .htaccess</td></tr>
 744 <tr><th><a href="directive-dict.html#Status">Status:</a></th><td>Extension</td></tr>
 745 <tr><th><a href="directive-dict.html#Module">Module:</a></th><td>mod_ldap</td></tr>
 746 </table>
 747     <p>It specifies the directory path, file name or nickname of a
 748     per connection client certificate used when establishing an SSL
 749     or TLS connection to an LDAP server. Different locations or
 750     directories may have their own independent client certificate
 751     settings. Some LDAP toolkits (notably Novell)
 752     do not support per connection client certificates, and will throw an
 753     error on LDAP server connection if you try to use this directive
 754     (Use the LDAPTrustedGlobalCert directive instead for Novell client
 755     certificates - See the SSL/TLS certificate guide above for details).
 756     The type specifies the kind of certificate parameter being
 757     set, depending on the LDAP toolkit being used. Supported types are:</p>
 758     <ul>
 759       <li>CA_DER - binary DER encoded CA certificate</li>
 760       <li>CA_BASE64 - PEM encoded CA certificate</li>
 761       <li>CERT_DER - binary DER encoded client certificate</li>
 762       <li>CERT_BASE64 - PEM encoded client certificate</li>
 763       <li>CERT_NICKNAME - Client certificate "nickname" (Netscape SDK)</li>
 764       <li>KEY_DER - binary DER encoded private key</li>
 765       <li>KEY_BASE64 - PEM encoded private key</li>
 766     </ul>
 767
 768 </div>
 769 <div class="top"><a href="#page-header"><img alt="top" src="../images/up.gif" /></a></div>
 770 <div class="directive-section"><h2><a name="LDAPTrustedGlobalCert" id="LDAPTrustedGlobalCert">LDAPTrustedGlobalCert</a> <a name="ldaptrustedglobalcert" id="ldaptrustedglobalcert">Directive</a></h2>
 771 <table class="directive">
 772 <tr><th><a href="directive-dict.html#Description">Description:</a></th><td>Sets the file or database containing global trusted
 773 Certificate Authority or global client certificates</td></tr>
 774 <tr><th><a href="directive-dict.html#Syntax">Syntax:</a></th><td><code>LDAPTrustedGlobalCert <var>type</var> <var>directory-path/filename</var> <var>[password]</var></code></td></tr>
 775 <tr><th><a href="directive-dict.html#Context">Context:</a></th><td>server config</td></tr>
 776 <tr><th><a href="directive-dict.html#Status">Status:</a></th><td>Extension</td></tr>
 777 <tr><th><a href="directive-dict.html#Module">Module:</a></th><td>mod_ldap</td></tr>
 778 </table>
 779     <p>It specifies the directory path and file name of the trusted CA
 780     certificates and/or system wide client certificates <code class="module"><a href="../mod/mod_ldap.html">mod_ldap</a></code>
 781     should use when establishing an SSL or TLS connection to an LDAP
 782     server. Note that all certificate information specified using this directive
 783     is applied globally to the entire server installation. Some LDAP toolkits
 784     (notably Novell) require all client certificates to be set globally using
 785     this directive. Most other toolkits require clients certificates to be set
 786     per Directory or per Location using LDAPTrustedClientCert. If you get this
 787     wrong, an error may be logged when an attempt is made to contact the LDAP
 788     server, or the connection may silently fail (See the SSL/TLS certificate
 789     guide above for details).
 790     The type specifies the kind of certificate parameter being
 791     set, depending on the LDAP toolkit being used. Supported types are:</p>
 792     <ul>
 793       <li>CA_DER - binary DER encoded CA certificate</li>
 794       <li>CA_BASE64 - PEM encoded CA certificate</li>
 795       <li>CA_CERT7_DB - Netscape cert7.db CA certificate database file</li>
 796       <li>CA_SECMOD - Netscape secmod database file</li>
 797       <li>CERT_DER - binary DER encoded client certificate</li>
 798       <li>CERT_BASE64 - PEM encoded client certificate</li>
 799       <li>CERT_KEY3_DB - Netscape key3.db client certificate database file</li>
 800       <li>CERT_NICKNAME - Client certificate "nickname" (Netscape SDK)</li>
 801       <li>CERT_PFX - PKCS#12 encoded client certificate (Novell SDK)</li>
 802       <li>KEY_DER - binary DER encoded private key</li>
 803       <li>KEY_BASE64 - PEM encoded private key</li>
 804       <li>KEY_PFX - PKCS#12 encoded private key (Novell SDK)</li>
 805     </ul>
 806
 807 </div>
 808 <div class="top"><a href="#page-header"><img alt="top" src="../images/up.gif" /></a></div>
 809 <div class="directive-section"><h2><a name="LDAPTrustedMode" id="LDAPTrustedMode">LDAPTrustedMode</a> <a name="ldaptrustedmode" id="ldaptrustedmode">Directive</a></h2>
 810 <table class="directive">
 811 <tr><th><a href="directive-dict.html#Description">Description:</a></th><td>Specifies the SSL/TLS mode to be used when connecting to an LDAP server.</td></tr>
 812 <tr><th><a href="directive-dict.html#Syntax">Syntax:</a></th><td><code>LDAPTrustedMode <var>type</var></code></td></tr>
 813 <tr><th><a href="directive-dict.html#Context">Context:</a></th><td>server config, virtual host</td></tr>
 814 <tr><th><a href="directive-dict.html#Status">Status:</a></th><td>Extension</td></tr>
 815 <tr><th><a href="directive-dict.html#Module">Module:</a></th><td>mod_ldap</td></tr>
 816 </table>
 817     <p>The following modes are supported:</p>
 818     <ul>
 819       <li>NONE - no encryption</li>
 820       <li>SSL - ldaps:// encryption on default port 636</li>
 821       <li>TLS - STARTTLS encryption on default port 389</li>
 822     </ul>
 823
 824     <p>Not all LDAP toolkits support all the above modes. An error message
 825     will be logged at runtime if a mode is not supported, and the
 826     connection to the LDAP server will fail.
 827     </p>
 828
 829     <p>If an ldaps:// URL is specified, the mode becomes SSL and the setting
 830     of LDAPTrustedMode is ignored.</p>
 831
 832 </div>
 833 <div class="top"><a href="#page-header"><img alt="top" src="../images/up.gif" /></a></div>
 834 <div class="directive-section"><h2><a name="LDAPVerifyServerCert" id="LDAPVerifyServerCert">LDAPVerifyServerCert</a> <a name="ldapverifyservercert" id="ldapverifyservercert">Directive</a></h2>
 835 <table class="directive">
 836 <tr><th><a href="directive-dict.html#Description">Description:</a></th><td>Force server certificate verification</td></tr>
 837 <tr><th><a href="directive-dict.html#Syntax">Syntax:</a></th><td><code>LDAPVerifyServerCert <var>On|Off</var></code></td></tr>
 838 <tr><th><a href="directive-dict.html#Default">Default:</a></th><td><code>LDAPVerifyServerCert On</code></td></tr>
 839 <tr><th><a href="directive-dict.html#Context">Context:</a></th><td>server config</td></tr>
 840 <tr><th><a href="directive-dict.html#Status">Status:</a></th><td>Extension</td></tr>
 841 <tr><th><a href="directive-dict.html#Module">Module:</a></th><td>mod_ldap</td></tr>
 842 </table>
 843     <p>Specifies whether to force the verification of a
 844     server certificate when establishing an SSL connection to the
 845     LDAP server.</p>
 846
 847 </div>
 848 </div>
 849 <div class="bottomlang">
 850 <p><span>Available Languages: </span><a href="../en/mod/mod_ldap.html" title="English">&nbsp;en&nbsp;</a> |
 851 <a href="../fr/mod/mod_ldap.html" hreflang="fr" rel="alternate" title="Français">&nbsp;fr&nbsp;</a></p>
 852 </div><div class="top"><a href="#page-header"><img src="../images/up.gif" alt="top" /></a></div><div class="section"><h2><a id="comments_section" name="comments_section">Comments</a></h2><div class="warning"><strong>Notice:</strong><br />This is not a Q&amp;A section. Comments placed here should be pointed towards suggestions on improving the documentation or server, and may be removed again by our moderators if they are either implemented or considered invalid/off-topic. Questions on how to manage the Apache HTTP Server should be directed at either our IRC channel, #httpd, on Freenode, or sent to our <a href="http://httpd.apache.org/lists.html">mailing lists</a>.</div>
 853 <script type="text/javascript"><!--//--><![CDATA[//><!--
 854 var comments_shortname = 'httpd';
 855 var comments_identifier = 'http://httpd.apache.org/docs/trunk/mod/mod_ldap.html';
 856 (function(w, d) {
 857     if (w.location.hostname.toLowerCase() == "httpd.apache.org") {
 858         d.write('<div id="comments_thread"><\/div>');
 859         var s = d.createElement('script');
 860         s.type = 'text/javascript';
 861         s.async = true;
 862         s.src = 'https://comments.apache.org/show_comments.lua?site=' + comments_shortname + '&page=' + comments_identifier;
 863         (d.getElementsByTagName('head')[0] || d.getElementsByTagName('body')[0]).appendChild(s);
 864     }
 865     else {
 866         d.write('<div id="comments_thread">Comments are disabled for this page at the moment.<\/div>');
 867     }
 868 })(window, document);
 869 //--><!]]></script></div><div id="footer">
 870 <p class="apache">Copyright 2017 The Apache Software Foundation.<br />Licensed under the <a href="http://www.apache.org/licenses/LICENSE-2.0">Apache License, Version 2.0</a>.</p>
 871 <p class="menu"><a href="../mod/">Modules</a> | <a href="../mod/quickreference.html">Directives</a> | <a href="http://wiki.apache.org/httpd/FAQ">FAQ</a> | <a href="../glossary.html">Glossary</a> | <a href="../sitemap.html">Sitemap</a></p></div><script type="text/javascript"><!--//--><![CDATA[//><!--
 872 if (typeof(prettyPrint) !== 'undefined') {
 873     prettyPrint();
 874 }
 875 //--><!]]></script>
 876 </body></html>