Создание группы и пользователя для Tomcat RHEL / CentOS

Существует столько же мнений, сколько и людей. Я думаю, что лучший способ создать пользователя tomcat можно сделать следующим образом:

# useradd -r -s /sbin/nologin tomcat
# chown -R tomcat: /usr/local/tomcat

Значит, вы создадите системную учетную запись. Информация от man useradd :

System users will be created with no aging information in /etc/shadow,
and their numeric identifiers are chosen in the SYS_UID_MIN-SYS_UID_MAX
range, defined in /etc/login.defs, instead of UID_MIN-UID_MAX (and their
GID counterparts for the creation of groups).

Также useradd -r ... создает группу с тем же именем, что и пользователь, и вам не нужно создавать ее самостоятельно.

Кстати, если вы решите что-то изменить в конфигурации пользователя (например, указать домашний каталог или изменить оболочку), вы всегда сможете сделать это с помощью команды usermod .

Прочтите man useradd и man usermod .

Правка

На самом деле вам следует ответить на несколько вопросов:

1. Вам нужен системный пользователь (с UID <500)?
2. Вам нужна оболочка или вы хотите отключить доступ к оболочке ( / sbin / nologin, / bin / false )?
3. Нужен ли вам домашний каталог для этого пользователя (кстати, tomcat, возможно, хочет его иметь)?

Хорошо, вам не нужен UID < 500 и хотите домашний каталог (сейчас его нет), выполните следующую команду:

# useradd -U -d /usr/local/tomcat -m -s /bin/false tomcat

Параметр -U создаст группу с тем же именем. Если вы хотите добавить описание пользователя, используйте -c "Пользователь Tomcat" .

Если у вас уже есть каталог tomcat:

# useradd -U -d /usr/local/tomcat -M -s /bin/false tomcat

После этого вы должны изменить владельца каталога tomcat (чтобы позволить пользователю tomcat работать с ним):

# chown -R tomcat: /usr/local/tomcat

Редактировать 2

Вы спросили, мы отвечая.

1. Если у вашего пользователя UID <500, это означает, что это только пользователь какой-то службы, а не обычный пользователь (возможно, человек, имеющий доступ к оболочке). Это не принесет вам уязвимости, потому что эти пользователи не обрабатываются операционной системой специально. Также это не даст вам расширенной функциональности. Только одно, почему использовать UID <500 нехорошо: в будущем можно установить какой-нибудь RPM-пакет, и он предоставит пользователю такой же UID. В этом случае у вас возникнут проблемы. Это оно! Кстати, tomcat, установленный из RPM, предоставляет пользователю tomcat с UID = 91 и группе с GID = 91 (по крайней мере, в моей Fedora):

$ id tomcat
uid=91(tomcat) gid=91(tomcat) groups=91(tomcat)

2. Хорошо, используйте / bin / false или / sbin / нологин .

3. Вы можете указать / в качестве домашнего каталога для вашей службы, как это делают некоторые пакеты.Например, если у вас установлен tcpdump из RPM, у вас есть следующая строка в / etc / passwd :

tcpdump:x:72:72::/:/sbin/nologin

В этом случае используйте команду useradd с ключами -d / и -M .

С другой стороны, tomcat, установленный из RPM, имеет правильный домашний каталог:

tomcat:x:91:91:Apache Tomcat:/usr/share/tomcat:/bin/nologin

А теперь несколько слов о chown .

Эти команды выполняют ту же работу:

chown tomcat:tomcat /usr/local/tomcat
chown tomcat: /usr/local/tomcat

Цитата из man chown :

Группа не изменяется, если отсутствует, но изменяется на группу входа в систему, если подразумевается ':' после символического ВЛАДЕЛЬЦА.

Использование . как разделитель ВЛАДЕЛЕЦ / ГРУППА устарел. Используйте : .