GNU/Linux >> Linux の 問題 >  >> Linux

Apache Tomcat のユーザーへのアクセス許可のベスト プラクティス

私はこのようにしています:

tomcat ユーザーを tomcat のフォルダーの所有者にします:

# chown -R tomcat:tomcat /opt/tomcat

ユーザーはできません tomcat の構成を変更します:

# chmod -R g+r /opt/tomcat/conf

ユーザーは他のフォルダーを変更できます:

# chmod -R g+w /opt/tomcat/logs
# chmod -R g+w /opt/tomcat/temp
# chmod -R g+w /opt/tomcat/webapps
# chmod -R g+w /opt/tomcat/work

新しいファイルのスティッキー ビットを有効にして、権限を定義しておきます:

# chmod -R g+s /opt/tomcat/conf
# chmod -R g+s /opt/tomcat/logs
# chmod -R g+s /opt/tomcat/temp
# chmod -R g+s /opt/tomcat/webapps
# chmod -R g+s /opt/tomcat/work

最後に、Tomcat を使用できるユーザーが必要な Tomcat グループを追加します。

# usermod -a -G tomcat MYUSER

Non-Tomcat settings Tomcat のセキュリティ ハウツーのセクションに、このトピックに関する有用な情報が記載されています。こちらをご覧ください:

  • Tomcat 7:https://tomcat.apache.org/tomcat-7.0-doc/security-howto.html
  • Tomcat 8:https://tomcat.apache.org/tomcat-8.0-doc/security-howto.html
  • Tomcat 9:https://tomcat.apache.org/tomcat-9.0-doc/security-howto.html
<ブロック引用>

root ユーザーで Tomcat を実行しないでください。 Tomcat プロセス専用のユーザーを作成し、そのユーザーにオペレーティング システムに最低限必要なアクセス許可を付与します。たとえば、Tomcat ユーザーを使用してリモートでログオンすることはできません。

ファイルのパーミッションも適切に制限する必要があります。 ASF の Tomcat インスタンスを例にとると (自動展開が無効になっていて、Web アプリケーションが展開されたディレクトリとして展開されている場合)、標準的な構成では、すべての Tomcat ファイルは、グループ Tomcat を持つ root によって所有され、所有者は読み取ります。 /書き込み権限、グループには読み取りのみがあり、世界には権限がありません。例外は、root ではなく Tomcat ユーザーが所有するログ、一時、および作業ディレクトリです .つまり、攻撃者が Tomcat プロセスを侵害したとしても、Tomcat の構成を変更したり、新しい Web アプリケーションをデプロイしたり、既存の Web アプリケーションを変更したりすることはできません。これらの権限を維持するために、Tomcat プロセスは umask 007 で実行されます。


Linux
  1. ユーザーのルートレスPodmanへのアクセスの制御

  2. ファイル/ディレクトリおよびファイル システム ユーザー タイプの権限テーブル

  3. ファイルへのアクセスが Tomcat によって提供されないようにブロックするには?

  1. APTユーザー向けのDNF

  2. リモートチームを管理するための7つのベストプラクティスのヒント

  3. Amazon EC2 インスタンス間の通信のベスト プラクティスは何ですか?

  1. Linuxユーザー向けの12のIPコマンド例

  2. Linuxでのゲームに最適なディストリビューション

  3. Linux で Apache をサンドボックス化する最良の方法