Windows平台下使用Active Directory对Subversion进行权限控制（非完美解决方案）
目前网上找到的Subversion的配置说明中，关于用户权限控制都是基于Apache的User文件的或是基于svnserve.conf文件的，这种配置方式最大的问题在于用户信息保存在独立的文本文件中，维护不便（对用户的添加、修改等必须在服务器上执行，用户自己无法修改密码等），并且无法和其他系统集成。
于是琢磨可不可以用公司现有的Active Directory对Subversion的用户进行权限控制，这样可以解决上面提到的几个问题。
目前已经基本实现了对Subversion使用Active Directory验证，但是还有一些比较重要的问题没有解决，所以是“非完美解决方案”，放在这里抛砖引玉，希望能够有更好的解决方案。
Apache不能直接调用Active Directory的，只能通过Active Directory提供的LDAP方式进行访问，因此需要在Apache中打开对LDAP的支持；
Apache中自带了对LDAP的支持（默认情况下没有打开），但是官方自带的LDAP支持插件在Windows平台下有问题（我这里是经常造成Apache异常退出，服务终止）；因此在Windows平台下需要安装第三方的LDAP支持插件才可以。
在网上找了一下，发现Apache的LDAP支持模块有以下几个可供选择（来源：http://nona.net/software/ldap/）：
| 名称 | 网址 |
| mod_auth_ldap | http://nona.net/software/ldap/ |
| mod_auth_ldap | http://httpd.apache.org/docs-2.0/mod/mod_auth_ldap.html |
| auth_ldap | http://www.rudedog.org/auth_ldap/ |
| mod_auth_ldap | http://www.muquit.com/muquit/software/mod_auth_ldap/mod_auth_ldap.html |
| mod_authz_ldap | http://authzldap.othello.ch/ |
| mod_ldap | http://www.kie.berkeley.edu/people/jmorrow/mod_ldap/ |
| mod_ldap | http://hpwww.ec-lyon.fr/~vincent/apache/mod_ldap.html |
我使用的是http://www.muquit.com的mod_auth_ldap，对其他的没有试过。
一、 安装（假定已经安装了Apache+Subversion）
1. 安装文件的获取：
mm_mod_auth_ldap for MS Windows binary：从http://www.muquit.com/muquit/software/mod_auth_ldap/mod_auth_ldap.html下载。
由于mm_mod_auth_ldap是基于Sun的iPlanet C SDK 5.08开发的，运行时还需要iPlanet C SDK 5.08的一些DLL，因此还需要自己下载iPlanet C SDK 5.08（http://www.sun.com/download/index.jsp?cat=Application%20Development&tab=3，需要注册才能下载）
2. 安装和设置（来自http://www.chinaunix.net/jh/49/618651.html）:
1) 将上面所说的两个压缩包中的DLL文件复制到Apache的modules目录中；
2) 在httpd.conf中加入 LDAP 相关模块的配置，就是增加如下一行：
LoadModule auth_ldap_module modules/mod_auth_ldap.dll
二、 配置
如下是httpd.conf中Subversion段的配置，注意红字的部分就是LDAP的配置信息，具体意义参见注释；其他关于Subversion和Apache的配置资料请参见网上相关文章（例如http://cube316.net/blog/archives/200512/32）。
<Location /svn>
// 常规Subversion配置
DAV svn
SVNListParentPath on
SVNParentPath D:\SVNStore
AuthType Basic
AuthName "Subversion repositories"
# 不能使用svnaccessfile进行配置，原因见后
# AuthzSVNAccessFile conf\svnaccessfile
Require valid-user
# 以下为LDAP配置信息
# LDAP 协议版本，AD提供的LDAP为3
LDAP_Protocol_Version 3
# LDAP 服务器
LDAP_Server 192.168.1.2
# LDAP 服务器端口
LDAP_Port 389
# LDAP 基础DN
Base_DN "dc=MainDC"
# AD 的 LDAP 不允许进行匿名查询，因此需要提供一
# 个 AD 中的用户名及其密码用于 Apache 的LDAP查询
Bind_DN "cn=Administrator,cn=Users,dc=MainDC"
Bind_Pass "password"
# 供 Apache 查询的 AD Object 的属性
UID_Attr "sAMAccountName"
# 允许什么条件的 AD 用户访问 Subversion；
# 这里设置只有scmuser组的用户才可以访问，但是并没
# 有成功，事实上只要是AD中的用户现在都可以访问，
# 不清楚问题出在哪里。
require group "cn=scmuser,ou=groups,dc=MainDC"
</Location>
这样配置的意图是允许SCMUser中所有用户可以存取Subversion，其他的用户则不可以，但是事实上这样配置以后的实际结果是AD中所有用户都可以访问Subversion了，怀疑是require group中的LDAP Filter写的不正确，但是不知道该怎么写，目前就凑合着用了。
三、 问题
使用LDAP可以和其他系统比较好的集成，并且能够方便地对用户进行管理，但是这种方式对于Subversion很有问题，就是使用这种方式后无法使用AuthzSVNAccessFile来对Subversion进行目录级别的权限控制，据网上资料说是因为SVNAccessFile中的用户和组都必须在User文件中定义（参见http://svn.haxx.se/users/archive-2006-02/0586.shtml及其相关讨论），我想如果对Apache的授权模块进行自定义修改的话估计是可以的，不过目前我们对此要求不高，所以还暂时能够使用。
四、参考资料
1. 《开发服务器环境配置安装说明》（http://bbs.chinaunix.net/viewthread.php?tid=618651）
2. 《LDAP authentication module for apache》http://www.muquit.com/muquit/software/mod_auth_ldap/mod_auth_ldap.html
3. 《Subversion Users List Archives》http://svn.haxx.se/users/
