security - Apache Tomcat 安全 : User management & log file management

Question

我正在尝试从安全角度监控 Tomcat 日志文件。

我的问题与两个主要领域有关:

1) 用户管理

• 1.a) Tomcat GUI 是否提供任何创建和删除用户的选项，还是必须通过 tomcat-users.xml 文件直接完成？
• 1.b) Tomcat 在创建/删除用户时是否创建任何日志条目？

2) 如何处理日志文件？

• 2.a) GUI 是否提供任何选项来修改/删除 Tomcat 日志文件？
• 2.b) 日志文件中的修改是否记录在某些日志文件中只能由 root 访问？

我问的原因是我想在 Tomcat 日志中查找相关的安全事件，以便对此建立某种监控。然而，我唯一能找到的是 Tomcat 的“访问日志记录”，遗憾的是它没有回答我的问题。

Answer 1

非常简短的回答:

1.a.:tomcat gui 不提供创建、修改或删除用户的选项

1.b.:由于没有相应的功能，所以没有创建任何日志

2.a.:tomcat gui 不提供修改或删除日志文件的选项

2.b.: 由于缺少对应功能，因此不会创建任何日志

---

tomcat-users.xml 是一个非常轻巧的开箱即用解决方案

---

通常开发人员使用像 ldap 这样的身份管理，或者他们开发和/或实现他们自己的用户管理