centos里tomcat权限设置指南 - 问答

CentOS下Tomcat权限设置指南

1. 创建专用Tomcat用户与用户组

为避免以root身份运行Tomcat带来的安全风险，需创建专用用户及用户组。执行以下命令：

sudo groupadd tomcat          # 创建tomcat用户组
sudo useradd -M -s /sbin/nologin -g tomcat -d /opt/tomcat tomcat  # 创建无登录权限的tomcat用户（默认主目录设为Tomcat安装路径）

2. 更改Tomcat目录所有权

将Tomcat安装目录（如/opt/tomcat）的所有权转移至tomcat用户及用户组，确保其拥有对目录的控制权：

sudo chown -R tomcat:tomcat /opt/tomcat  # -R参数递归修改所有子目录及文件的所有权

3. 配置目录与文件权限

根据文件类型设置差异化权限，平衡安全性与功能性：

文件权限：普通文件设置为644（所有者可读写，组及其他用户仅可读），防止未经授权的修改：
```
sudo find /opt/tomcat -type f -exec chmod 644 {} \;
```
目录权限：目录设置为755（所有者可读、写、执行，组及其他用户可读、执行），确保Tomcat能访问目录内的文件：
```
sudo find /opt/tomcat -type d -exec chmod 755 {} \;
```
特殊目录权限：logs目录需允许Tomcat写入日志，设置为755或775（若需组内用户写入）：
```
sudo chmod -R 755 /opt/tomcat/logs  # 或775（需谨慎使用）
```

4. 配置Tomcat服务以专用用户运行

编辑Tomcat的Systemd服务文件（/etc/systemd/system/tomcat.service），指定运行用户及组，并设置权限掩码：

[Unit]
Description=Apache Tomcat Web Application Container
After=network.target

[Service]
Type=forking
Environment=JAVA_HOME=/usr/lib/jvm/java-11-openjdk-amd64  # 根据实际Java路径修改
Environment=CATALINA_PID=/opt/tomcat/temp/tomcat.pid
Environment=CATALINA_HOME=/opt/tomcat
Environment=CATALINA_BASE=/opt/tomcat
ExecStart=/opt/tomcat/bin/startup.sh
ExecStop=/opt/tomcat/bin/shutdown.sh
User=tomcat
Group=tomcat
UMask=0007  # 权限掩码，确保新创建文件权限为750（所有者可读写执行，组可读执行，其他用户无权限）
RestartSec=10
Restart=always

[Install]
WantedBy=multi-user.target

修改后执行以下命令使配置生效：

sudo systemctl daemon-reload
sudo systemctl restart tomcat

5. 配置SELinux（若系统启用）

若SELinux处于Enforcing模式（sestatus命令显示），需调整SELinux策略以允许Tomcat正常运行：

设置SELinux上下文：将Tomcat目录标记为httpd_sys_content_t（静态内容），logs目录标记为httpd_sys_rw_content_t（可读写）：
```
sudo chcon -R -t httpd_sys_content_t /opt/tomcat
sudo chcon -R -t httpd_sys_rw_content_t /opt/tomcat/logs
```
持久化上下文：编辑/etc/selinux/config文件，将SELINUX=enforcing改为SELINUX=permissive（临时允许），重启系统后再改回enforcing（强制模式）。
开启Tomcat执行内存权限（若需运行Java应用）：
```
sudo setsebool -P tomcat_execmem 1
```

6. 配置防火墙规则

允许外部访问Tomcat默认端口（8080），并限制仅信任IP访问（可选）：

sudo firewall-cmd --permanent --zone=public --add-port=8080/tcp  # 开放8080端口
sudo firewall-cmd --reload  # 重新加载防火墙配置

若需限制IP访问，可将--add-port替换为--add-rich-rule：

sudo firewall-cmd --permanent --zone=public --add-rich-rule='rule family="ipv4" source address="192.168.1.0/24" port protocol="tcp" port="8080" accept'

7. 管理Tomcat用户与角色

编辑/opt/tomcat/conf/tomcat-users.xml文件，添加管理员及管理界面访问用户：

<tomcat-users>
    <!-- 定义角色 -->
    <role rolename="manager-gui"/>  <!-- 管理界面访问权限 -->
    <role rolename="admin-gui"/>    <!-- 管理员权限 -->
    <!-- 添加用户并分配角色 -->
    <user username="admin" password="strong_password" roles="manager-gui,admin-gui"/>
</tomcat-users>

修改后重启Tomcat使配置生效：

sudo systemctl restart tomcat

8. 可选：优化资源限制

编辑/etc/security/limits.d/90-nproc.conf文件，增加Tomcat用户的进程数及文件描述符限制，避免高并发时出现资源不足错误：

* soft nproc 4096    # 软限制：最多4096个进程
* hard nproc 8192    # 硬限制：最多8192个进程
tomcat soft nofile 4096  # Tomcat用户软限制：最多4096个文件描述符
tomcat hard nofile 16384 # Tomcat用户硬限制：最多16384个文件描述符

执行ulimit -a命令验证设置是否生效。

0 赞

0 踩