Debian中WebLogic权限如何配置

Debian中WebLogic权限配置

一 操作系统层权限

• 创建专用的系统用户与组，遵循最小权限原则，禁止以root直接运行WebLogic。示例：
  • 创建用户与组：sudo groupadd weblogic；sudo useradd -g weblogic -d /home/weblogic -s /bin/bash weblogic
  • 设置目录属主与权限：将域目录（如**/opt/weblogic/domains/your_domain**）属主设为weblogic:weblogic，关键目录权限建议为750，日志与应用目录为755/644；仅在需要时开放可执行位。
  • 以专用用户启动：su – weblogic 后执行启动脚本，避免提权操作。
  • 服务管理建议：如需系统服务，使用systemd以weblogic用户运行，禁止root直接托管进程。
  • 审计与合规：定期核查关键文件与目录的属主/权限，确保与变更记录一致。

二 WebLogic内部用户与角色授权

• 管理控制台路径：登录 http://:7001/console，进入Security Realms > myrealm > Users and Groups 创建用户与组；在Roles and Policies为资源（如应用、EJB、JMS、数据源）授予角色；在Deployments中配置应用的部署/更新权限，避免非授权人员变更生产应用。
• WLST自动化示例（创建用户、组并授予角色）：
  • 连接域：connect(‘weblogic’,‘Welcome1’,‘t3://localhost:7001’)
  • 创建组与用户：create(‘app_devs’,‘Group’)；create(‘alice’,‘User’)；assign(‘alice’,‘Groups’,‘app_devs’)
  • 授予角色（示例为应用部署相关角色，具体名称以版本为准）：assign(‘app_devs’,‘AppDeployment’,‘Target=your_domain’)
  • 提交并激活变更：save(); activate()
• 安全领域与认证源：在Security Realms中配置Authentication Providers（如内置、LDAP、OAuth），在Authorization中细化到资源与操作的访问控制；对管理控制台与敏感资源设置更严格的角色约束。

三 网络与传输安全

• 防火墙限制管理口访问：仅允许受控网段访问7001/7002等管理端口；如使用UFW：sudo ufw allow from 10.0.0.0/8 to any port 7001；sudo ufw enable。生产环境建议将管理口与业务口分离，或通过反向代理/负载均衡限制来源IP。
• 启用SSL/TLS：为管理通道与业务通道配置SSL/TLS，导入可信证书，禁用明文协议与弱加密套件；对外服务优先使用443/8443并开启HSTS。
• 网络隔离：将管理网络与业务网络进行VLAN/VPC隔离，减少攻击面。

四 审计日志与补丁管理

• 日志与监控：启用WebLogic与操作系统的审计日志，集中采集access.log、server.log、audit.log等，设置告警规则监控异常登录、权限变更与部署行为；定期审计登录与授权事件。
• 安全更新：定期执行apt update && apt upgrade保持系统组件最新；同步关注并应用WebLogic安全补丁与JDK安全更新，修复已知漏洞。