Apache正向代理通过mod_authnz_ldap模块对接AD域控实现身份认证，仅负责“谁可以发请求”，需配合IP白名单与上游网关实现双重控制和细粒度策略。
Apache 正向代理本身不直接对接域控（如 Windows Active Directory），但它可以通过 LDAP 认证模块 mod_authnz_ldap，结合域控服务器完成统一身份校验，从而实现基于组织架构的上网权限管控。关键不是“让 Apache 管理权限”，而是让它作为可信入口层，把用户登录凭证交给域控验证，并依据 AD 中的用户属性（如所属 OU、安全组）决定是否放行请求。
必须明确前提：正向代理仅负责“谁可以发请求”，不处理“能访问哪些 URL”这类细粒度策略——后者需由统一网关或上游策略系统承担；Apache 在这里只做第一道身份准入。
用 LDAP 对接域控，验证用户身份
Apache 需启用 mod_authnz_ldap 模块，并在 <Proxy> 块中配置认证逻辑，使每个代理请求都触发一次域控校验：
-
启用必要模块（确认未被注释）：
LoadModule authnz_ldap_module modules/mod_authnz_ldap.so LoadModule ldap_module modules/mod_ldap.so
-
在代理配置段添加 LDAP 认证（示例）：
<IfModule mod_proxy.c> ProxyRequests On <Proxy *> AuthType Basic AuthName "Corporate Internet Access" AuthBasicProvider ldap AuthLDAPURL "ldaps://dc.example.com:636/DC=example,DC=com?sAMAccountName?sub?(objectClass=user)" NONE AuthLDAPBindDN "CN=apache-ldap,CN=Users,DC=example,DC=com" AuthLDAPBindPassword "secure-password" Require ldap-group CN=Internet-Users,OU=Groups,DC=example,DC=com # 或按 OU 限制：Require ldap-dn "OU=Engineering,DC=example,DC=com" </Proxy> </IfModule>
注意：
AuthLDAPURL中的sAMAccountName是 AD 用户登录名字段；Require ldap-group表示只允许属于该安全组的成员使用代理；务必使用ldaps://和有效证书，避免明文传输凭据。
Apache Superset Dashboard and SQL Exploration Skill下载Apache Superset 是一个广泛采用的开源 BI 平台，用于 SQL 探索、图表构建和仪表板交付。当代理需要查询仓库数据、组装仪表板或使用成熟的分析界面解释指标而不是临时笔记本代码时，此技能非常有用。
结合 IP 白名单与域控账号双重控制
仅靠账号不够——攻击者若拿到合法凭证，仍可能从非办公网段发起请求。建议叠加网络层约束：
- 在
<Proxy>内同时启用 IP 限制和 LDAP 认证：<Proxy *> Require ip 192.168.10.0/24 10.5.0.0/16 AuthType Basic AuthName "AD Login Required" AuthBasicProvider ldap # ... LDAP 配置同上 Require ldap-group CN=Internet-Users,OU=Groups,DC=example,DC=com Satisfy all </Proxy>
这样，必须同时满足「来自内网地址」+「是 AD 中指定组成员」才允许代理转发。
向上游网关透传已认证用户身份
如果正向代理后还接了统一网关（如 APISIX 或 Spring Cloud Gateway），可把通过域控验证的用户名注入请求头，供网关做二次策略（如按部门限流、审计日志打标）：
RequestHeader set X-Remote-User %{REMOTE_USER}s
RequestHeader set X-Remote-DN %{AUTHN_LDAP_USER_DN}s网关侧需配置信任 Apache 所在 IP 段的
X-Remote-*头，并启用对应解析逻辑，否则这些头会被忽略。
安全加固不可省略
域控集成后，暴露面扩大，必须同步收紧代理本身：
- 禁用非必要 proxy 模块（如
mod_proxy_ftp、mod_proxy_connect），防止 HTTPS 隧道滥用； - 显式关闭
ProxyRequests Off以外的所有代理能力，仅保留<Proxy *>明确授权的范围； - 关闭服务器标识：
ServerSignature Off+ServerTokens Prod； - 单独记录代理访问日志，包含
%{REMOTE_USER}i和%{REQUEST_URI}i，便于审计异常行为。
不复杂但容易忽略
