Dělám to takto:
Umístíme uživatele kocourka jako vlastníka složky kocoura:
# chown -R tomcat:tomcat /opt/tomcat
Uživatelé nemohou upravit konfiguraci kocoura:
# chmod -R g+r /opt/tomcat/conf
Uživatelé mohou upravit ostatní složky:
# chmod -R g+w /opt/tomcat/logs
# chmod -R g+w /opt/tomcat/temp
# chmod -R g+w /opt/tomcat/webapps
# chmod -R g+w /opt/tomcat/work
Aktivujte sticky-bit pro nové soubory, aby byla definována oprávnění:
# chmod -R g+s /opt/tomcat/conf
# chmod -R g+s /opt/tomcat/logs
# chmod -R g+s /opt/tomcat/temp
# chmod -R g+s /opt/tomcat/webapps
# chmod -R g+s /opt/tomcat/work
Nakonec přidáme skupinu kocourků, kterou chceme, aby uživatelé mohli používat kocour:
# usermod -a -G tomcat MYUSER
Non-Tomcat settings část návodu k zabezpečení Tomcat poskytuje užitečné informace o tomto tématu. Viz zde:
- Tomcat 7:https://tomcat.apache.org/tomcat-7.0-doc/security-howto.html
- Tomcat 8:https://tomcat.apache.org/tomcat-8.0-doc/security-howto.html
- Tomcat 9:https://tomcat.apache.org/tomcat-9.0-doc/security-howto.html
Tomcat by neměl být spuštěn pod uživatelem root. Vytvořte vyhrazeného uživatele pro proces Tomcat a poskytněte tomuto uživateli minimální potřebná oprávnění pro operační systém. Například by nemělo být možné přihlásit se vzdáleně pomocí uživatele Tomcat.
Oprávnění k souboru by také měla být vhodně omezena. Vezmeme-li jako příklad instance Tomcat v ASF (kde je zakázáno automatické nasazení a webové aplikace jsou nasazeny jako rozložené adresáře), standardní konfigurací je, aby všechny soubory Tomcat vlastnil root se skupinou Tomcat a zatímco vlastník četl /write oprávnění, skupina má pouze čtení a world nemá žádná oprávnění. Výjimkou jsou protokoly, temp a pracovní adresář, které vlastní uživatel Tomcat, nikoli root . To znamená, že i když útočník ohrozí proces Tomcat, nemůže změnit konfiguraci Tomcat, nasadit nové webové aplikace nebo upravit stávající webové aplikace. Proces Tomcat běží s umask 007 pro zachování těchto oprávnění.