• Background
• Permissions
  1. Standard Permissions
  2. Tomcat Custom Permissions
• Configuring Tomcat With A SecurityManager
• Configuring Package Protection in Tomcat
• Troubleshooting

자바의 보안 관리자 를 웹 브라우저에게 허용하는 것입니다 신뢰할 수없는 코드를 방지하기 위해 자신의 샌드 박스에서 애플릿을 실행하려면 다른 호스트에 연결, 로컬 파일 시스템에있는 파일에 액세스 하나 이상의 애플릿 등등에서 로드되었습니다. 같은 방법으로 보안 관리자는에서 실행되는 신뢰할 수 없는 애플릿으로부터 보호 Tomcat이 보호 할 수 있습니다 실행하는 동안 브라우저는 보안 관리자의 사용 트로이 서블릿, JSP를, JSP 콩 및 태그 라이브러리에서 서버. 또는 부주의 한 실수입니다.

귀하의 사이트에 JSP를 게시 할 수있는 권한이 누군가가 실수로 JSP에 다음을 포함하는 경우 상상해보십시오.

	<% System.exit(1); %>

이 JSP가 톰캣에 의해 실행 된 때마다, Tomcat이 종료됩니다. 자바 보안 관리자를 사용하면 방어의 또 하나의 라인입니다 시스템 관리자가 서버의 보안 성과 안정성을 유지하는 데 사용할 수 있습니다..

경고 -보안 감사 톰캣 코드베이스를 사용하여 실시되었다. 중요한 패키지의 대부분은 보호되어 있고 새로운 보안 패키지 보호 메커니즘이 구현되었습니다. 그래도, 당신이 신뢰할 수없는 사용자가 웹 어플리케이션, JSP, 서블릿, 빈, 태그 라이브러리를 게시 할 수 있도록 허용하기 전에 보안 관리자 환경 설정에 만족하는지 확인하십시오. 그러나 보안 관리자로 실행하는 것은 확실히 하나없이 실행보다 낫습니다.

권한 클래스는 Tomcat이로드 할 클래스의 권한을 정의하는 데 사용됩니다. 이 JDK의 표준 권한 클래스들이있습니다, 당신은 당신의 자신의 웹 응용 프로그램에 사용하기 위해 자신의 권한 클래스를 만들 수 있습니다.두 기술은 톰캣에 사용됩니다..

Standard Permissions

이것은 Tomcat에 적용 할 수있는 표준 시스템 보안 관리자 권한 클래스들의 간단한 요약입니다. 보십시요 http://java.sun.com/security/ for more information. java.util.PropertyPermission - Controls read/write access to JVM properties such as java.home. java.lang.RuntimePermission - Controls use of some System/Runtime functions like exit() and exec(). Also control the package access/definition. java.io.FilePermission - Controls read/write/execute access to files and directories. java.net.SocketPermission - Controls use of network sockets. java.net.NetPermission - Controls use of multicast network connections. java.lang.reflect.ReflectPermission - Controls use of reflection to do class introspection. java.security.SecurityPermission - Controls access to Security methods. java.security.AllPermission - Allows access to all permissions, just as if you were running Tomcat without a SecurityManager.

Tomcat Custom Permissions

tomcat은 다음과 같은 사용자 지정 권한 클래스를 사용합니다 org.apache.naming.JndiPermission. 이 권한은 JNDI라는 이름의 파일 기반 리소스에 대한 읽기 액세스를 제어합니다. 권한 부여 이름은 JNDI 이름에 아무런 조치가 없습니다. "*"가 따라 붙으면 권한을 부여 할 때 JNDI라는 이름의 파일 리소스 와일드 카드 매칭을 수행하는 데 사용할 수 있습니다. 또는 예를 들어, 당신은 당신의 정책 파일에 다음을 포함 할 수 있습니다: permission org.apache.naming.JndiPermission "jndi://localhost/examples/*"; 이와 같은 권한 항목이 그것의 자신의 정적 리소스를 읽을 수 있지만 다른 파일 (해당 파일에 대한 권한을 명시 적으로 부여되지 않는)를 읽어 파일 액세스를 사용을 거부 할 수 있도록 배포되는 각 웹 응용 프로그램에 대해 동적으로 생성됩니다. 또한, Tomcat은 항상 동적으로 다음과 같은 파일 권한을 만듭니다 permission java.io.FilePermission "** your application context**", "read"; permission java.io.FilePermission "** application working directory**", "read,write"; permission java.io.FilePermission "** application working directory**/-", "read,write,delete"; 여기서 응용 프로그램 컨텍스트를 ** ** 응용 프로그램을 배포하고 서블릿 스펙에서 요구하는대로 ** 응용 프로그램을 작업 디렉토리를 * 임시 디렉토리가 응용 프로그램에 제공되는 폴더 (또는 WAR 파일)에 해당됩니다.

정책 파일 형식

자바 보안 관리자에 의해 구현되는 보안 정책은 $CATALINA_BASE/catalina.policy/conf의 파일에서 구성 할 수 있습니다. 이 파일은 완전히 java.policy이 파일의 존재를 대체합니다. 귀하의 JDK 시스템 디렉토리합니다. 이 catalina.policy 파일 손으로 편집 할 수 있습니다, ​​또는 당신은 다음를 사용할 수 있습니다. policytool application that comes with Java 1.2 or later.

Entries in the catalina.policy이 파일이 기준이됩니다. java.policy 파일 형식은 다음과 같이:

	// 예를 들어 정책 파일 항목 grant [signedBy <signer>,] [codeBase <code source>] { permission <class> [<name> [, <action list>]]; };

권한을 부여 할 때, 서명자와 코드베이스 항목은 선택 사항입니다. 주석 행은 "//"를 현재 줄의 끝에서 끝으로 시작합니다. 코드베이스 를이 URL의 형태이며, 파일의 URL은 ${java.home} 를 하고 ${catalina.home} 를 사용할 수 있습니다에 대한 코드 속성 (JAVA_HOME를, CATALINA_HOME를하고 CATALINA_BASE를 환경 변수들을 위해 정의된 디렉토리 경로에 밖으로 확장되는).

기본 정책 파일

기본 $CATALINA_BASE/catalina.policy/conf 파일은 다음과 같습니다.

	// Licensed to the Apache Software Foundation (ASF) under one or more // contributor license agreements. See the NOTICE file distributed with // this work for additional information regarding copyright ownership. // The ASF licenses this file to You under the Apache License, Version 2.0 // (the "License"); you may not use this file except in compliance with // the License. You may obtain a copy of the License at // // http://www.apache.org/licenses/LICENSE-2.0 // // Unless required by applicable law or agreed to in writing, software // distributed under the License is distributed on an "AS IS" BASIS, // WITHOUT WARRANTIES OR CONDITIONS OF ANY KIND, either express or implied. // See the License for the specific language governing permissions and // limitations under the License. // ============================================================================ // catalina.policy - Security Policy Permissions for Tomcat 7 // // This file contains a default set of security policies to be enforced (by the // JVM) when Catalina is executed with the "-security" option. In addition // to the permissions granted here, the following additional permissions are // granted to each web application: // // * Read access to the web application's document root directory // * Read, write and delete access to the web application's working directory // // $Id$ // ============================================================================ // ========== SYSTEM CODE PERMISSIONS ========================================= // These permissions apply to javac grant codeBase "file:${java.home}/lib/-" { permission java.security.AllPermission; }; // These permissions apply to all shared system extensions grant codeBase "file:${java.home}/jre/lib/ext/-" { permission java.security.AllPermission; }; // These permissions apply to javac when ${java.home] points at $JAVA_HOME/jre grant codeBase "file:${java.home}/../lib/-" { permission java.security.AllPermission; }; // These permissions apply to all shared system extensions when // ${java.home} points at $JAVA_HOME/jre grant codeBase "file:${java.home}/lib/ext/-" { permission java.security.AllPermission; }; // ========== CATALINA CODE PERMISSIONS ======================================= // These permissions apply to the daemon code grant codeBase "file:${catalina.home}/bin/commons-daemon.jar" { permission java.security.AllPermission; }; // These permissions apply to the logging API // Note: If tomcat-juli.jar is in ${catalina.base} and not in ${catalina.home}, // update this section accordingly. // grant codeBase "file:${catalina.base}/bin/tomcat-juli.jar" {..} grant codeBase "file:${catalina.home}/bin/tomcat-juli.jar" { permission java.io.FilePermission "${java.home}${file.separator}lib${file.separator}logging.properties", "read"; permission java.io.FilePermission "${catalina.base}${file.separator}conf${file.separator}logging.properties", "read"; permission java.io.FilePermission "${catalina.base}${file.separator}logs", "read, write"; permission java.io.FilePermission "${catalina.base}${file.separator}logs${file.separator}*", "read, write"; permission java.lang.RuntimePermission "shutdownHooks"; permission java.lang.RuntimePermission "getClassLoader"; permission java.lang.RuntimePermission "setContextClassLoader"; permission java.util.logging.LoggingPermission "control"; permission java.util.PropertyPermission "java.util.logging.config.class", "read"; permission java.util.PropertyPermission "java.util.logging.config.file", "read"; permission java.util.PropertyPermission "catalina.base", "read"; permission java.util.PropertyPermission "org.apache.juli.logging.UserDataHelper.CONFIG", "read"; permission java.util.PropertyPermission "org.apache.juli.logging.UserDataHelper.SUPPRESSION_TIME", "read"; // Note: To enable per context logging configuration, permit read access to // the appropriate file. Be sure that the logging configuration is // secure before enabling such access. // E.g. for the examples web application (uncomment and unwrap // the following to be on a single line): // permission java.io.FilePermission "${catalina.base}${file.separator} // webapps${file.separator}examples${file.separator}WEB-INF // ${file.separator}classes${file.separator}logging.properties", "read"; }; // These permissions apply to the server startup code grant codeBase "file:${catalina.home}/bin/bootstrap.jar" { permission java.security.AllPermission; }; // These permissions apply to the servlet API classes // and those that are shared across all class loaders // located in the "lib" directory grant codeBase "file:${catalina.home}/lib/-" { permission java.security.AllPermission; }; // If using a per instance lib directory, i.e. ${catalina.base}/lib, // then the following permission will need to be uncommented // grant codeBase "file:${catalina.base}/lib/-" { // permission java.security.AllPermission; // }; // ========== WEB APPLICATION PERMISSIONS ===================================== // These permissions are granted by default to all web applications // In addition, a web application will be given a read FilePermission // and JndiPermission for all files and directories in its document root. grant { // Required for JNDI lookup of named JDBC DataSource's and // javamail named MimePart DataSource used to send mail permission java.util.PropertyPermission "java.home", "read"; permission java.util.PropertyPermission "java.naming.*", "read"; permission java.util.PropertyPermission "javax.sql.*", "read"; // OS Specific properties to allow read access permission java.util.PropertyPermission "os.name", "read"; permission java.util.PropertyPermission "os.version", "read"; permission java.util.PropertyPermission "os.arch", "read"; permission java.util.PropertyPermission "file.separator", "read"; permission java.util.PropertyPermission "path.separator", "read"; permission java.util.PropertyPermission "line.separator", "read"; // JVM properties to allow read access permission java.util.PropertyPermission "java.version", "read"; permission java.util.PropertyPermission "java.vendor", "read"; permission java.util.PropertyPermission "java.vendor.url", "read"; permission java.util.PropertyPermission "java.class.version", "read"; permission java.util.PropertyPermission "java.specification.version", "read"; permission java.util.PropertyPermission "java.specification.vendor", "read"; permission java.util.PropertyPermission "java.specification.name", "read"; permission java.util.PropertyPermission "java.vm.specification.version", "read"; permission java.util.PropertyPermission "java.vm.specification.vendor", "read"; permission java.util.PropertyPermission "java.vm.specification.name", "read"; permission java.util.PropertyPermission "java.vm.version", "read"; permission java.util.PropertyPermission "java.vm.vendor", "read"; permission java.util.PropertyPermission "java.vm.name", "read"; // Required for OpenJMX permission java.lang.RuntimePermission "getAttribute"; // Allow read of JAXP compliant XML parser debug permission java.util.PropertyPermission "jaxp.debug", "read"; // All JSPs need to be able to read this package permission java.lang.RuntimePermission "accessClassInPackage.org.apache.tomcat"; // Precompiled JSPs need access to these packages. permission java.lang.RuntimePermission "accessClassInPackage.org.apache.jasper.el"; permission java.lang.RuntimePermission "accessClassInPackage.org.apache.jasper.runtime"; permission java.lang.RuntimePermission "accessClassInPackage.org.apache.jasper.runtime.*"; // Precompiled JSPs need access to these system properties. permission java.util.PropertyPermission "org.apache.jasper.runtime.BodyContentImpl.LIMIT_BUFFER", "read"; permission java.util.PropertyPermission "org.apache.el.parser.COERCE_TO_ZERO", "read"; // The cookie code needs these. permission java.util.PropertyPermission "org.apache.catalina.STRICT_SERVLET_COMPLIANCE", "read"; permission java.util.PropertyPermission "org.apache.tomcat.util.http.ServerCookie.STRICT_NAMING", "read"; permission java.util.PropertyPermission "org.apache.tomcat.util.http.ServerCookie.FWD_SLASH_IS_SEPARATOR", "read"; // Applications using Comet need to be able to access this package permission java.lang.RuntimePermission "accessClassInPackage.org.apache.catalina.comet"; // Applications using WebSocket need to be able to access this package permission java.lang.RuntimePermission "accessClassInPackage.org.apache.catalina.websocket"; }; // The Manager application needs access to the following packages to support the // session display functionality. These settings support the following // configurations: // - default CATALINA_HOME == CATALINA_BASE // - CATALINA_HOME != CATALINA_BASE, per instance Manager in CATALINA_BASE // - CATALINA_HOME != CATALINA_BASE, shared Manager in CATALINA_HOME grant codeBase "file:${catalina.base}/webapps/manager/-" { permission java.lang.RuntimePermission "accessClassInPackage.org.apache.catalina"; permission java.lang.RuntimePermission "accessClassInPackage.org.apache.catalina.ha.session"; permission java.lang.RuntimePermission "accessClassInPackage.org.apache.catalina.manager"; permission java.lang.RuntimePermission "accessClassInPackage.org.apache.catalina.manager.util"; permission java.lang.RuntimePermission "accessClassInPackage.org.apache.catalina.util"; }; grant codeBase "file:${catalina.home}/webapps/manager/-" { permission java.lang.RuntimePermission "accessClassInPackage.org.apache.catalina"; permission java.lang.RuntimePermission "accessClassInPackage.org.apache.catalina.ha.session"; permission java.lang.RuntimePermission "accessClassInPackage.org.apache.catalina.manager"; permission java.lang.RuntimePermission "accessClassInPackage.org.apache.catalina.manager.util"; permission java.lang.RuntimePermission "accessClassInPackage.org.apache.catalina.util"; }; // You can assign additional permissions to particular web applications by // adding additional "grant" entries here, based on the code base for that // application, /WEB-INF/classes/, or /WEB-INF/lib/ jar files. // // Different permissions can be granted to JSP pages, classes loaded from // the /WEB-INF/classes/ directory, all jar files in the /WEB-INF/lib/ // directory, or even to individual jar files in the /WEB-INF/lib/ directory. // // For instance, assume that the standard "examples" application // included a JDBC driver that needed to establish a network connection to the // corresponding database and used the scrape taglib to get the weather from // the NOAA web server. You might create a "grant" entries like this: // // The permissions granted to the context root directory apply to JSP pages. // grant codeBase "file:${catalina.base}/webapps/examples/-" { // permission java.net.SocketPermission "dbhost.mycompany.com:5432", "connect"; // permission java.net.SocketPermission "*.noaa.gov:80", "connect"; // }; // // The permissions granted to the context WEB-INF/classes directory // grant codeBase "file:${catalina.base}/webapps/examples/WEB-INF/classes/-" { // }; // // The permission granted to your JDBC driver // grant codeBase "jar:file:${catalina.base}/webapps/examples/WEB-INF/lib/driver.jar!/-" { // permission java.net.SocketPermission "dbhost.mycompany.com:5432", "connect"; // }; // The permission granted to the scrape taglib // grant codeBase "jar:file:${catalina.base}/webapps/examples/WEB-INF/lib/scrape.jar!/-" { // permission java.net.SocketPermission "*.noaa.gov:80", "connect"; // };

Tomcat 보안 관리자로 시작

일단 당신이 catalina.policy 를 보안 관리자와 함께 사용하기위한 파일을 설정 한 톰캣은 "보안"옵션을 사용하여 장소에서 보안 관리자와 함께 시작할 수 있습니다 :

	$CATALINA_HOME/bin/catalina.sh start -security (Unix) %CATALINA_HOME%\bin\catalina start -security (Windows)

톰캣 5로 시작, 그것은 against 패키지 정의 및 액세스를 보호하는 톰캣 내부 패키지를 구성하는 것이 가능합니다. See http://java.sun.com/security/seccodeguide.html for more information.

경고: 기본 패키지 보호를 제거하면 아마 보안 구멍을 열 수 있다는 점에 유의하십시오

기본 등록 정보 파일

The default $CATALINA_BASE/conf/catalina.properties 파일은 다음과 같습니다 :

	## List of comma-separated packages that start with or equal this string # will cause a security exception to be thrown when # passed to checkPackageAccess unless the # corresponding RuntimePermission ("accessClassInPackage."+package) has # been granted. package.access=sun.,org.apache.catalina.,org.apache.coyote.,org.apache.tomcat., org.apache.jasper. ## List of comma-separated packages that start with or equal this string # will cause a security exception to be thrown when # passed to checkPackageDefinition unless the # corresponding RuntimePermission ("defineClassInPackage."+package) has # been granted. ## by default, no packages are restricted for definition, and none of # the class loaders supplied with the JDK call checkPackageDefinition. #package.definition=sun.,java.,org.apache.catalina.,org.apache.coyote., org.apache.tomcat.,org.apache.jasper.

Once you have configured the catalina.properties file for use with a SecurityManager, remember to re-start Tomcat.

웹 응용 프로그램에 필요한 권한의 부족에 의해 금지되어 조작을 실행하려고하면, 그것은 AccessControLException를 또는 SecurityException가 발생합니다. 보안 관리자가 위반을 감지 할 때. 누락 된 권한을 디버깅하는 것은 도전적이고, 실행 중에 만들어진 모든 보안 결정 사항의 디버그 출력을 설정하는 것입니다 수 있습니다. 이것은 Tomcat을 시작하기 전에 시스템 속성을 설정하여 수행됩니다. 이 작업을 수행하는 가장 쉬운 방법은 CATALINA_OPTS 환경 변수를 통해서 입니다. 이 명령을 실행합니다 :

	export CATALINA_OPTS=-Djava.security.debug=all (Unix) set CATALINA_OPTS=-Djava.security.debug=all (Windows)

tomcat을 시작하기 전에

경고 - 이것은 many megabytes을 생성하고 출력합니다! 그러나, 당신이 "실패"라는 단어를 검색하고 검사하는 한 권한을 확인하여 문제를 추적 할 수 있습니다. 당신은뿐만 아니라 여기에 지정할 수있는 추가 옵션에 대한 Java 보안 설명서를 참조하십시오.