Die AuthDBMGroupFile-Direktive nennt den Namen der DBM-Datei mit der Liste der Benutzergruppen für die Authentifizierung. Als Dateipfad wird der absolute Pfad zur Gruppendatei angegeben.

Die Benutzernamen stehen verschlüsselt in der Gruppendatei. Der Eintrag für einen Benutzer besteht aus einer durch Komata getrennten Liste der Gruppen, denen der Benutzer angehört. Dieser Eintrag darf weder Leerstellen noch Doppelpunkte enthalten.

Achtung: Stellen Sie sicher, dass die AuthDBMGroupFile-Datei außerhalb des Dokumentverzeichnisses des Webservers untergebracht wird. Legen Sie sie niemals in dem Verzeichnis ab, das geschützt werden soll, da sie sonst von Clients heruntergeladen werden kann, falls sie nicht anders geschützt ist.

Kombination von User- und Group-Datei: In manchen Situationen ist es einfacher, eine einzige Datenbank zu unterhalten, die sowohl die notwendigen Angaben zum Benutzer als auch zur Gruppe verwaltet. Das erleichtert Programmen das Schreiben: Auf diese Weise müssen sie nur in eine einzige DBM-Datei schreiben und nur diese eine Datei blockieren. Das wird dadurch erreicht, dass das User- und Group-Datei auf die gleiche DBM-Datei verweisen:

Der Schlüssel für eine DBM-Datei ist der Benutzername. Das Format sieht folgendermaßen aus:

Der Passwortabschnitt enthält wie zuvor das verschlüsselte Passwort gefolgt von einem Doppelpunkt und der durch Komata getrennten Gruppenliste. Nach einem weiteren Doppelpunkt können weitere Daten folgen, die jedoch vom Authentifizierungsmodul ignoriert werden. So ist die kombinierte Passwort- und Gruppendatenbank von www.telescope.org aufgebaut.

Die AuthDBMUserFile-Direktive gibt den Namen der DBM-Datei mit der Benutzerliste und den Passwörtern für die Authentifizierung an. Der Dateipfad ist der absolute Pfad zur Benutzerdatei.

Der Schlüssel der Benutzerdatei ist der Benutzername. Der Eintrag für einen Benutzer besteht aus dem verschlüsselten Passwort, auf das optional ein Doppelpunkt sowie beliebige Daten folgen können. Der Doppelpunkt und die folgenden Daten werden vom Server nicht beachtet.

Wichtiger Hinweis zur Kompatibilität: Die Implementierung von "dbmopen()" in den Apache-Modulen liest die Länge der Zeichenkette der Hash-Werte aus der DBM-Datenstruktur, anstatt darauf zu vetrauen, dass die Zeichenfolge mit einem NULL-Byte endet. Einige Anwendungen wie zum Beispiel der Netscape-Webserver verlassen sich darauf, dass die Zeichenfolge mit einem Null-Byte endet, was was bei Verwendung von DBM-Dateien unter Umständen Probleme bereiten kann.

Mit dem Perl-Skript dbmmanage können Sie Passwortdateien im DBM-Format für die Verwendung mit diesem Modul erzeugen und bearbeiten.

Gibt den Typ der Datenbankdatei an, in der die Passwörter gespeichert werden. Die Voreinstellung wird beim Kompilieren festgelegt. Die Verfügbarkeit anderer Datenbankdateitypen hängt auch von den Einstellungen beim Kompilieren ab.

Es ist äußerst wichtig, dass das Programm, mit dem Sie die Passwortdateien erstellen, so konfiguriert ist, dass es den gleichen Datenbanktyp verwendet.

Wird die AuthDBMAuthoritative-Direktive explizit auf Off gesetzt, werden die Authentifizierungsdaten an Module auf niedrigerer Ebenen weitergereicht (wie in der Datei modules.c definiert), wenn keine User-ID oder Regel für die angegebene User-ID zutrifft. Ist eine entsprechende User-ID und/oder Regel angegeben, werden die üblichen Passwort- und Zugriffsüberprüfungen durchgeführt und beim Fehlschlag die Meldung "Authentication Required" zurückgegeben.

Taucht eine User-ID in der Datenbank mehrerer Module auf oder trifft eine gültige Require-Direktive für mehr als ein Modul zu, dann überprüft das erste Modul die Zugangsdaten und reicht keine Zugriffsrechte weiter, unabhängig davon, wie die Einstellungen der Direktive AuthDBMAuthoritative lauten.

Dies kommt häufig in Verbindung mit einem der Grundmodule wie mod_auth zum Einsatz. Dieses DBM-Modul bietet eine Vielzahl von Möglichkeiten zur Benutzerprüfung. Einige wenige (administrative) Zugriffe fallen bei einer gut geschützten .htpasswd-Datei auf eine niedrigere Ebene durch.

Gemäß Voreinstellung wird die Kontrolle nicht weitergereicht und ein unbekannter Benutzername oder eine unbekannte Regel führen zur Antwort "Authentication Required". Wird keine Angabe gemacht, bleibt das System daher geschützt und erzwingt ein NCSA entsprechendes Verhalten.