tomcat--Realm域管理

朱雀 2023-08-17 15:45 22阅读 0赞

### 一、什么是Realm ###

![在这里插入图片描述][watermark_type_ZmFuZ3poZW5naGVpdGk_shadow_10_text_aHR0cHM6Ly9ibG9nLmNzZG4ubmV0L2tfeW91bmcxOTk3_size_16_color_FFFFFF_t_70]  
  首先说一下什么是Realm，可以把它理解成“域”，也可以理解成“组”，因为它类似 类Unix系统 中组的概念。

Realm域提供了一种用户密码与web应用的映射关系。

因为tomcat中可以同时部署多个应用，因此并不是每个管理者都有权限去访问或者使用这些应用，因此出现了用户的概念。但是想想，如果每个应用都去配置具有权限的用户，那是一件很麻烦的事情，因此出现了role这样一个概念。具有某一角色，就可以访问该角色对应的应用，从而达到一种域的效果。  
![在这里插入图片描述][watermark_type_ZmFuZ3poZW5naGVpdGk_shadow_10_text_aHR0cHM6Ly9ibG9nLmNzZG4ubmV0L2tfeW91bmcxOTk3_size_16_color_FFFFFF_t_70 1]  
参考上面的图：

*  每个用户我们可以设置不同的角色（在tomcat-users.xml中配置）
 *  每个应用中会设定可以访问的角色（在web.xml中配置）
 *  当tomcat启动后，就会通过Realm进行验证（在server.xml中配置），通过验证才可以访问该应用

从而达到角色安全管理的作用。

### 二、Realm获取用户信息方式 ###

目前tomcat支持多种Realm管理方式，即支持多种方式来读取用户信息进行验证。参考如下：

*  **JDBCRealm** 用户授权信息存储于某个关系型数据库中，通过JDBC驱动获取信息验证
 *  **DataSourceRealm** 用户授权信息存储于关于型数据中，通过JNDI配置JDBC数据源的方式获取信息验证
 *  **JNDIRealm** 用户授权信息存储在基于LDAP的目录服务的服务器中，通过JNDI驱动获取并验证
 *  **UserDatabaseRealm** 默认的配置方式，信息存储于XML文档中 conf/tomcat-users.xml
 *  **MemoryRealm** 用户信息存储于内存的集合中，对象集合的数据来源于xml文档 conf/tomcat-users.xml
 *  **JAASRealm** 通过JAAS框架访问授权信息

### 三、配置过程 ###

#### 1.在server.xml中配置realm访问方式 ####

参考下默认的配置server.xml中，可以看到默认情况下使用的就是UserDatabaseRealm的方式：

上面的代码配置了UserDatabase的目录文件，为conf/tomcat-users.xml

上面的代码配置使用的Realm方式。

#### 2.在tomcat-users.xml中配置用户密码以及分配角色 ####

<?xml version="1.0" encoding="UTF-8"?>
    <tomcat-users>
    
    </tomcat-users>

上面是tomcat-users.xml中的配置内容。

#### 3.在应用的web.xml中配置其访问角色以及安全限制的内容 ####

关于Realm域的使用，一般都是用来管理一些安全性要求很高的应用，最常见的就是manager应用。

manager应用用于在不停止tomcat的情况下部署或者停止某些应用，处于安全考虑，默认情况下时不能访问manager应用的，因此需要先在tomcat-users.xml中添加用户以及相应的角色，才能访问。

参考下tomcat中manager应用的角色配置，观察其web.xml配置文件，可以找到下面这段：

<security-constraint>
        <web-resource-collection>
          <web-resource-name>HTMLManger and Manager command</web-resource-name>
          <url-pattern>/jmxproxy/*</url-pattern>
          <url-pattern>/html/*</url-pattern>
          <url-pattern>/list</url-pattern>
          <url-pattern>/sessions</url-pattern>
          <url-pattern>/start</url-pattern>
          <url-pattern>/stop</url-pattern>
          <url-pattern>/install</url-pattern>
          <url-pattern>/remove</url-pattern>
          <url-pattern>/deploy</url-pattern>
          <url-pattern>/undeploy</url-pattern>
          <url-pattern>/reload</url-pattern>
          <url-pattern>/save</url-pattern>
          <url-pattern>/serverinfo</url-pattern>
          <url-pattern>/status/*</url-pattern>
          <url-pattern>/roles</url-pattern>
          <url-pattern>/resources</url-pattern>
        </web-resource-collection>
        <auth-constraint>
           
           <role-name>manager</role-name>
        </auth-constraint>
      </security-constraint>
    
      
      <login-config>
        <auth-method>BASIC</auth-method>
        <realm-name>Tomcat Manager Application</realm-name>
      </login-config>
    
      
      <security-role>
        <description>
          The role that is required to log in to the Manager Application
        </description>
        <role-name>manager</role-name>
      </security-role>

*  其中role-name就定义了可以访问的角色。
 *  其他内容中上面定义了限制访问的资源。
 *  下面的Login-config比较重要，它定义了验证的方式，BASIC就是基本的弹出对话框输入用户名密码。还是DIGEST方式，这种方式会对网络中的传输信息进行加密，更安全。

[watermark_type_ZmFuZ3poZW5naGVpdGk_shadow_10_text_aHR0cHM6Ly9ibG9nLmNzZG4ubmV0L2tfeW91bmcxOTk3_size_16_color_FFFFFF_t_70]: /images/20230810/7e2ad051a829476e85b5596cd7172cb3.png
[watermark_type_ZmFuZ3poZW5naGVpdGk_shadow_10_text_aHR0cHM6Ly9ibG9nLmNzZG4ubmV0L2tfeW91bmcxOTk3_size_16_color_FFFFFF_t_70 1]: /images/20230810/74a50554395c4949a792022b70f333e9.png