Debian上管理WebLogic用户权限的实操指南
一 管理范围与总体思路
- 在 Debian 上，WebLogic 的权限管理通常分为两层：
- 操作系统层：创建专用的 weblogic 系统用户与组，控制文件与进程的访问权限，避免使用 root 直接启动域。
- WebLogic 层：在安全领域中管理 用户/组/角色，并通过 控制台 或 WLST 脚本进行授权与策略配置。
- 建议始终以最小权限原则运行服务，并优先采用脚本化（WLST）方式批量、可回滚地管理用户与角色。
二 操作系统层安全加固
- 创建专用用户与组（示例）：
- 创建系统用户与组：sudo adduser --system --group --home /opt/weblogic weblogic
- 将服务启动用户加入必要补充组（如 sudo usermod -aG somegroup weblogic）
- 文件与目录权限：
- 域目录（如 /opt/weblogic/user_projects/domains/your_domain）属主设为 weblogic:weblogic，权限建议 750；日志与临时目录（如 logs/、tmp/）设为 755/750，确保仅管理员与 weblogic 可写。
- 以非 root 启动域：
- 使用 startWebLogic.sh 或 systemd 服务以 weblogic 用户运行，避免以 root 启动域进程。
- 资源与登录限制（示例）：
- 通过 /etc/security/limits.conf 或 systemd 服务单元为 weblogic 设置 ulimit -n（打开文件数）、ulimit -u（进程数）等上限，防止资源耗尽。
- 网络访问控制：
- 仅开放必要端口（如 7001/7002 管理、应用端口），使用 ufw 或 iptables 限制来源 IP，减少攻击面。
三 WebLogic 层用户与角色管理
- 内置全局角色与典型用途（控制台路径：Security Realms > myrealm > Users and Groups）：
- Administrators：全域最高权限，浏览与修改配置、启停服务器、部署应用。
- Deployers：可部署/取消应用（含创建连接池/数据源），但不可修改服务器参数，且通常不可见 Security 配置。
- Monitors：仅浏览与监控，不能修改任何配置，适合给只读用户/观察员。
- Operators：可启停服务器与浏览配置，不能部署应用，通常不可见 Security 配置。
- 创建只读用户示例（控制台）：
- 进入 Security Realms > myrealm > Users and Groups → 新建用户（如 readonly）→ 进入该用户 → 选择 Groups → 将 Monitors 组移动到右侧 → 保存。
- 使用 WLST 批量创建只读用户（示例脚本）：
- 连接域：connect(‘weblogic’,‘password’,‘t3://127.0.0.1:7001’)
- 创建用户与赋权：
- create(‘readonly’,‘Users’)
- assign(‘readonly’,‘Groups’,‘Monitors’)
- 提交并退出：save(); activate(); exit()
- 安全策略与部署权限：
- 在 Deployments 中对应用设置 Security 选项（如 Run as Roles），仅允许指定角色部署/更新；对生产环境建议禁用或严格限制控制台部署权限。
四 认证强化与审计日志
- 密码策略与账号锁定（控制台：Security Realms > myrealm > Providers > DefaultAuthenticator > Provider Specific）：
- 设置 Minimum Password Length ≥ 8，并配置复杂度（如至少包含数字/特殊字符的数量）。
- 启用 Lockout：如 Lockout Enabled=true、Lockout Threshold=10、Lockout Duration=300（单位秒），防止暴力破解。
- 登录会话与访问控制：
- 配置 登录超时 与 会话空闲超时，降低会话劫持风险；对管理通道启用 SSL/TLS 强制加密。
- 审计与日志：
- 在 Environment > Servers > > Logging 启用与审计相关的日志（如 HTTP access log、服务器日志），定期审计登录成功/失败、关键操作与来源 IP。
五 安全加固清单与常见风险
- 加固清单（建议纳入变更单与巡检）：
- 域目录与密钥文件（如 SerializedSystemIni.dat）权限最小化，禁止 Web 访问；备份与访问控制到位。
- 管理口与节点管理端口限制来源 IP；对外仅暴露必要端口；启用 SSL/TLS。
- 定期应用 WebLogic 安全补丁 与 Debian 安全更新；监控与告警异常登录与配置变更。
- 常见风险与规避：
- 以 root 启动域、弱口令、未启用锁定、目录浏览开启、未限制管理口访问，均易被入侵或提权。
- 历史上存在通过任意文件读取获取 SerializedSystemIni.dat 与 config.xml 中密文，进而恢复管理员口令的案例；务必限制文件读取与备份泄露，并尽快修补相关漏洞。
