Apacheのユーザーディレクトリにアクセス不可

質問

こんにちは。

ここ最近、学習のためにCentOSでWebサーバの構築を行っていたのですが、
どうにも自力では解決できない問題に直面しているため、皆様のお力をお借りできればと思います。。

【現象】
ApacheによるWEBサーバに「http://サーバIP/~ユーザ名/index.html」でアクセスしようとすると、
「403 Forbidden」エラーでアクセスできない。

【環境】
・CentOS 6.4 64ビット (VirtualBox上のゲストOSとして稼働)
・Apache - 2.4.6 (/usr/local/apache/ 以下に存在)

【既に確認済みの事項】

・以下のディレクトリのパーミッションは755に設定されている(711も確認済み)
　「/home」 「/home/ユーザ名」 「/home/ユーザ名/public_html」
・SELinuxはDisabled（Permissiveも確認済み)
・「# restorecon -R /home」コマンドは一応実行済み
・「public_html」以下にはパーミッション644の「index.html」が存在している
・「http://サーバIP/~間違ったユーザ名/」は403でなく404エラーになる
・「http://サーバIP/~ユーザ名/存在しないファイル名」は404でなく403エラーになる
・htdocs以下のファイルには「http://サーバIP/～」で正常にアクセスできる。
(htdocs以下のフォルダのパーミッションは755で、711だと403エラーになった。)

【設定ファイル】
/usr/local/apache/conf/httpd.conf は以下の通り記述されている。

・モジュールロード部分
LoadModule userdir_module modules/mod_userdir.so

・設定部分
<IfModule mod_userdir.c>
#
# UserDir is disabled by default since it can confirm the presence
# of a username on the system (depending on home directory
# permissions).
#
#UserDir disable

#
# To enable requests to /~user/ to serve the user's public_html
# directory, remove the "UserDir disable" line above, and uncomment
# the following line instead:
#
UserDir public_html
</IfModule>

<Directory /home/*/public_html>
AllowOverride All
Options IncludesNoExec ExecCGI FollowSymLinks
<Limit GET POST OPTIONS>
Order allow,deny
Allow from all
</Limit>
<LimitExcept GET POST OPTIONS>
Order deny,allow
Deny from all
</LimitExcept>
</Directory>

同様の症状に困っている書き込み・記事等もたくさんあり、それらは確認しつくしたつもりですが、
全てパーミッション見直し・SELinuxの設定までで解決しているように見受けられます。
おそらく、自分では思いもつかない全く別の原因が存在するのではないかと思っており、
皆様のお力をお貸しいただければ幸いです。

なお、足りない情報等あればご指摘いただければと思います。
どうぞ余禄お願いいたします。

回答No.2

noname#259146 · ベストアンサー

ラベルが”:httpd_user_content_t”になっていますので正しく設定できていると思います。
しかしどこかで拒否されいますので。
/var/log/audit/audit.log の内容を確認してどこで拒否されたいるかを知られべると良いと思います。
これについては下記HPを参考にしてください。

http://www.2done.org/index.php?id=17
http://alfa.homelinux.org/pukiwiki/index.php?Linux%2FSELinux%A5%E1%A5%E2%BD%F1%A4%AD

お礼

情報ありがとうございます。
結論から申し上げると、SELinux絡みの問題ではなかったことが判明し、解決いたしました。

SELinuxはやはりPermissiveで、/var/log/audit/audit.log」にもエラーログが残っていなかったため、再度apacheのエラーログを参照しましたところ
「client denied by server configuration」
というエラーログが記録されていました。
これについて調査を行ったところ、httpd.confの.htaccess絡みの設定が間違っていたことが判明し、修正したところつながるようになりました。

<Limit GET POST OPTIONS>
Order allow,deny
Allow from all
</Limit>

↓

<Limit GET POST OPTIONS>
Require all granted
</Limit>

(参考) http://blog.netandfield.com/shar/2012/10/24-htaccess.html

恐らく、昨日の段階ではSELinuxの設定かパーミッションの設定がうまくいっておらず「permissions are missing」エラーとなっており、
再度確認のための実行時に「httpd.conf」のエラーに切り替わっていたものと考えられますが、その後エラーログを見ていなかったために気づかなかったのではないかと思います。

ご助力いただきありがとうございました。

回答No.1

noname#259146

まずモジュールmod_userdir.soは正しく読み込まれいるか？
　　Apacheの起動ログにエラーが無いことを確認してください。

ディレクトリのラベル再設定作業を再度確認してください。
ラベルを再設定するにはrootにて以下を実行します。

# restorecon /home/ユーザディレクトリ/public_html
# restorecon -R /home/ユーザディレクトリ/public_html
1行目で、~/public_htmlのラベルを初期化し、
2行目で、~/public_html配下のファイル/ディレクトリを初期化する。
結果的に、public_htmlを含めたファイル/ディレクトリのラベルが
system_u:object_r:httpd_user_content_t
になります。

index.htmlのオーナはindex.htmlが存在するユーザと同じですか？

補足

ありがとうございます。

# apachectl -M　を実行した結果以下の行が存在しますので、読み込めていると考えます。
userdir_module (shared)

Apache起動時には

AH00557: httpd: apr_sockaddr_info_get() failed for VbCent
AH00558: httpd: Could not reliably determine the server's fully qualified domain name, using 127.0.0.1. Set the 'ServerName' directive globally to suppress this message

というエラーが出力されますが、サーバ名の設定はドメインの取得を行っていないので、とりあえず保留にしていました。

また、ラベルの再設定作業を教えていただいた通りの手順で実行いたしました。

# ls -lZ /home/ユーザ名/　の結果の該当行は以下の通り。
drwxr-xr-x. ユーザ名 ユーザ名 unconfined_u:object_r:httpd_user_content_t:s0 public_html

# ls -lZ /home/ユーザ名/public_html　の結果の該当行は以下の通り。
-rw-r--r--. ユーザ名 ユーザ名 unconfined_u:object_r:httpd_user_content_t:s0 index.html

index.htmlのオーナはユーザになっていると思われますが、ラベルについては「"system"_u:object_r:object」ではなく、「"unconfined"_u:object」となっています。

起動時エラー・ラベルともに現段階の私の知識では、今回の問題と直接影響があるのか判断が付きません。
継続して調査を続けますが、取り急ぎ補足情報として書かせていただきました。