Apache Tomcat 安全性：用户管理和日志文件管理

Question

我正在尝试从安全角度监控 Tomcat 日志文件。

我的问题主要涉及两个方面：

1) 用户管理

• 1.a) Tomcat GUI 是否提供任何选项来创建和删除用户，还是必须直接通过 tomcat-users.xml 文件完成？
• 1.b) Tomcat 是否在创建/删除用户时创建任何日志条目？

2) 如何处理日志文件？

• 2.a) GUI 是否提供任何选项来修改/删除 Tomcat 日志文件？
• 2.b) 日志文件中的修改是否记录在某些日志文件中，只有 root 才能访问？

我问的原因是我想在 Tomcat 日志中查找相关的安全事件，以对此建立某种监控。但是，我唯一能找到的是 Tomcat 的“访问日志”，很遗憾它没有回答我的问题。

Answer 1

非常简短的答案：

1.a.：tomcat gui 不提供创建、修改或删除用户的选项

1.b.：因为没有对应的功能，所以没有创建任何日志

2.a.： tomcat gui 不提供修改或删除日志文件的选项

2.b.: 因为没有对应的功能，所以没有创建任何日志

---

tomcat-users.xml 是一款非常轻薄的开箱即用解决方案

---

通常开发人员使用像 ldap 这样的身份管理，或者他们开发和/或实现自己的用户管理