CentOS 中 WebLogic 权限管理实操指南
一 操作系统层安全基线
- 创建专用系统用户与组，避免使用 root 直接运行：执行命令 groupadd weblogic、useradd -g weblogic weblogic、passwd weblogic；将 WebLogic 安装与域目录属主设为该用户，例如 chown -R weblogic:weblogic /u01/weblogic，目录权限建议 750/755，严禁 777。
- 强化系统口令与登录安全：设置复杂口令（长度≥10，包含大小写字母、数字与特殊字符），限制 su 使用范围，设置 root 自动注销（如 TMOUT），必要时对 /etc/passwd、/etc/shadow 等口令文件设置不可更改属性（chattr +i）。
- 网络与端口控制：仅开放必要端口（管理端口默认 7001），使用 firewall-cmd --zone=public --add-port=7001/tcp --permanent && firewall-cmd --reload；禁用不必要的服务与端口。
- 及时更新与补丁：保持 CentOS 与 WebLogic/JDK 为最新稳定版本，定期应用安全补丁。
二 WebLogic 控制台进行用户与角色授权
- 登录控制台：访问 http://服务器IP:7001/console，使用管理员账户进入。
- 路径与操作：进入 域结构 → 安全领域 → 选择默认安全领域（如 myrealm）→ 用户和组。
- 创建用户：新建用户（如 test），设置强密码。
- 分配组与权限：将用户加入内置组以继承权限：
- Administrators：最高权限，配置、部署、启停均可用；
- Deployers：可部署/取消应用，能浏览但不可改核心服务器配置；
- Monitors：只读与监控，不能修改；
- Operators：可启停服务器，浏览配置，不可部署。
- 典型场景：创建只读账号时，将用户加入 Monitors 组；创建部署账号时加入 Deployers 组。
三 使用 WLST 自动化用户与权限配置
- 进入 WLST（WebLogic Scripting Tool）：在域目录执行 java weblogic.WLST。
- 连接管理服务器：connect(‘weblogic’,‘密码’,‘t3://管理地址:7001’)。
- 常用脚本示例：
- 创建用户：createUser(‘test’,‘Test@123’)
- 创建组：createGroup(‘AppDeployers’)
- 分配用户到组：addMemberToGroup(‘AppDeployers’,‘test’)
- 提示：也可在 createUser 时直接指定组（部分版本/脚本支持），或后续通过 assignUser 完成。
- 批量与版本差异：将常用操作写入 .py 脚本，便于版本升级与审计；不同 WebLogic 版本 WLST 命令细节可能略有差异，建议先在测试环境验证。
四 应用与资源的访问控制
- 控制台与部署权限：通过组成员资格控制谁能部署/取消应用（Deployers）、谁能只读监控（Monitors）、谁能启停（Operators）。
- Web 应用安全约束：在应用的 weblogic.xml 中配置 、、 等，实现 URL 级访问控制与角色映射，配合 WebLogic 角色进行鉴权。
- 传输安全：为管理通道启用 HTTPS/SSL，生成密钥库（keytool -genkey …），在服务器配置中启用 SSL 监听，避免明文管理流量。
五 运维与审计要点
- 启动与凭据安全：以 weblogic 用户启动服务，避免在命令行硬编码管理员口令（如 -Dweblogic.management.username/password）；推荐使用更安全凭据存储与启动脚本封装。
- 日志与监控：定期检查域日志与服务器日志（如 server_name.out），对异常登录、权限变更、部署行为进行告警与审计。
- 合规与加固：启用安全审计（在安全领域中配置审计提供者/级别）、定期变更口令、最小化权限分配、保留变更记录并定期复盘。