如何在Linux上管理WebLogic用户

Linux上管理WebLogic用户的完整实践

一 操作系统层用户与权限

• 创建专用的系统用户与组，遵循最小权限原则，避免使用root直接运行 WebLogic。
• 示例命令：
  • 创建组与用户：sudo groupadd weblogic、sudo useradd -m -s /bin/bash weblogic
  • 设置密码：sudo passwd weblogic
  • 调整目录属主与权限（假设安装目录为**/weblogic**）：sudo chown -R weblogic:weblogic /weblogic、sudo chmod -R 750 /weblogic
  • 如需图形化安装/配置，可临时使用 root 上传安装包并赋权，完成后务必将所有权归还给 weblogic 用户，避免后续以 root 启动导致文件权限异常。
  • 安全建议：运行 ps -ef | grep -i weblogic 检查进程属主，确保为 weblogic；必要时修正启动脚本或服务文件，使用 weblogic 账号启动。

二 使用WLST管理WebLogic内部用户与角色

• 进入 WLST（WebLogic Scripting Tool）并连接管理服务器：
  • 进入目录：cd $DOMAIN_HOME/bin
  • 启动 WLST：./wlst.sh
  • 连接示例：connect('weblogic','密码','t3://管理地址:7001')
• 常用 WLST 操作（注意 WLST 命令区分大小写，以下为正确大小写示例）：
  • 创建用户：createUser('alice','Welcome1')
  • 删除用户：deleteUser('alice')
  • 查询用户：listUsers('*')
  • 创建组：createGroup('DevOps')
  • 添加用户到组：addMemberToGroup('DevOps','alice')
  • 创建角色（示例为全局角色）：createRole('AppDeployer')
  • 授权角色给用户：grantAppRole('AppDeployer','alice','*')
  • 提交更改：save()、activate(block="true")
• 说明：通过控制台也可完成用户、组、角色管理；WLST 适合批量、自动化与脚本化管理。

三 控制台与运维安全加固

• 控制台安全：
  • 重命名或禁用默认的 console 访问路径，避免暴露管理入口；仅在内网开放访问，必要时配合反向代理与 IP 白名单。
• 账号与口令策略：
  • 删除或禁用默认/示例账户，避免共享账号；为管理用户设置强口令并定期更换；按职责创建多个管理用户并分配不同角色，减少特权账号使用。
• 运行与文件权限：
  • 确保 WebLogic 以非 root用户运行；安装与域目录仅对 weblogic 组可读写执行，其他用户最小权限。
• 日志与审计：
  • 启用并定期审计 server、access、audit 等日志，关注失败登录与权限变更事件。

四 常见问题与快速排查

• 以 root 启动过 WebLogic 后，再用 weblogic 启动报错：多为文件属主被 root 改写。修复命令：sudo chown -R weblogic:weblogic <WL_HOME> <DOMAIN_HOME>，随后用 weblogic 用户重启。
• 忘记管理员密码：
  • 在域目录执行：cd $DOMAIN_HOME/security，备份并编辑 boot.properties，写入 username=weblogic、password=新密码；重启后在控制台中修改并妥善保管。
• 无法远程访问控制台：
  • 检查 7001 端口与安全组/防火墙；确认未使用默认 console 路径或已做访问控制；必要时通过 Nginx/Apache 反向代理并启用鉴权。