The Tomcat 4 Servlet/JSP Container - Security Manager HOW-TO

자바 보안관리자에서 구현되는 보안 정책은 $CATALINA_HOME/conf/catalina.policy 파일에 설정됩니다. 이 파일은 현재 JDK 시스템 디렉토리에 있는 java.policy 파일을 대치합니다. catalina.policy 파일은 수동으로 바꿀 수 있고, Java 1.2 나 이후의 버전에 있는 정책도구 policytool 어플리케이션을 이용할 수도 있습니다.

catalina.policy 파일에 있는 엔트리들은 다음과 같이 표준 java.policy 파일 형식을 사용합니다:

signedBy 와 codeBase 항목은 권한을 부여할때 선택적입니다. 주석 줄은 "//" 로 시작하고 줄 끝까지 주석에 해당됩니다. codeBase 는 URL 형식이고, (JAVA_HOME 과 CATALINA_HOME 환경변수에 의해 정해진 디렉토리를 뜻하는) ${java.home} 과 ${catalina.home} 프로퍼티를 파일 URL 에서 사용할 수 있습니다.

기본 정책 파일 The Default Policy File

// ============================================================================
// catalina.corepolicy - Tomcat 4.0 의 보안 정책 권한
//
// 이 파일은 Catalina 실행시 "-security" 옵션을 주었을 때 (JVM 에 의해 ) 강제된
// 보안 정책 기본 세팅을 포함합니다. 여기에 부여된 권한에 추가로, 다음의 부가
// 권한이 각각의 웹 어플리케이션에 지정된 codebase 에 부여됩니다:
//
// * 도큐먼트 루트 디렉토리 읽기 접근
//
// ============================================================================


// ========== SYSTEM CODE PERMISSIONS =========================================


// javac 에 적용
grant codeBase "file:${java.home}/lib/-" {
  permission java.security.AllPermission;
};

// 모든 공유 시스템 익스텐션에 적용
grant codeBase "file:${java.home}/jre/lib/ext/-" {
  permission java.security.AllPermission;
};

// ${java.home} 이 $JAVA_HOME/jre 을 가르킬 때 javac 에 적용
grant codeBase "file:${java.home}/../lib/-" {
  permission java.security.AllPermission;
};

// ${java.home} 이 $JAVA_HOME/jre 을 가르킬 때
// 모든 공유 시스템 익스텐션에 적용
grant codeBase "file:${java.home}/lib/ext/-" {
  permission java.security.AllPermission;
};


// ========== CATALINA CODE PERMISSIONS =======================================


// 서버 시작 코드에 적용
grant codeBase "file:${catalina.home}/bin/bootstrap.jar" {
  permission java.security.AllPermission;
};

// 서블릿 API 클래스와 "common" 디렉토리에 있는 모든 클래스 로더들에
// 걸쳐서 공유된 클래스들에 적용
grant codeBase "file:${catalina.home}/common/-" {
  permission java.security.AllPermission;
};

// 컨테이너 코어 코드와 "server" 디렉토리에 설치된 부가적인
// 라이브러리에 적용
grant codeBase "file:${catalina.home}/server/-" {
  permission java.security.AllPermission;
};

// jasper 페이지 컴파일러에 적용
grant codeBase "file:${catalina.home}/shared/lib/jasper-compiler.jar" {
  permission java.security.AllPermission;
};

// jasper JSP runtime 에 적용
grant codeBase "file:${catalina.home}/shared/lib/jasper-runtime.jar" {
  permission java.security.AllPermission;
};

// 특별히 허가된 admin 과 manager 웹 어플리케이션에 적용
grant codeBase "file:${catalina.home}/server/webapps/admin/WEB-INF/classes/-" {
  permission java.security.AllPermission;
};

grant codeBase "file:${catalina.home}/server/webapps/admin/WEB-INF/lib/struts.jar" {
  permission java.security.AllPermission;
};

// ========== WEB APPLICATION PERMISSIONS =====================================


// 이 권한들은 기본적으로 모든 웹 어플리케이션에 부여된 것입니다.
// 덧붙여서, 웹 어플리케이션은 해당 문서 루트에 있는 모든 파일들과 디렉토리들에
// 대해서 FilePermission 과 JndiPermission 읽기 권한이 주어져있습니다.
grant {
  // 명명된 JDBC DataSource 의 JNDI lookup 와 메일 보내는데 사용되는 명명된
  // MimePart DataSource 의 javamail 에 요구됨
  permission java.util.PropertyPermission "java.home", "read";
  permission java.util.PropertyPermission "java.naming.*", "read";
  permission java.util.PropertyPermission "javax.sql.*", "read";

  // 읽기 접근은 허가하는 OS 에 따른 프로퍼티
  permission java.util.PropertyPermission "os.name", "read";
  permission java.util.PropertyPermission "os.version", "read";
  permission java.util.PropertyPermission "os.arch", "read";
  permission java.util.PropertyPermission "file.separator", "read";
  permission java.util.PropertyPermission "path.separator", "read";
  permission java.util.PropertyPermission "line.separator", "read";

  // 읽기 접근은 허가하는 JVM 프로퍼티
  permission java.util.PropertyPermission "java.version", "read";
  permission java.util.PropertyPermission "java.vendor", "read";
  permission java.util.PropertyPermission "java.vendor.url", "read";
  permission java.util.PropertyPermission "java.class.version", "read";
  permission java.util.PropertyPermission "java.specification.version", "read";
  permission java.util.PropertyPermission "java.specification.vendor", "read";
  permission java.util.PropertyPermission "java.specification.name", "read";

  permission java.util.PropertyPermission "java.vm.specification.version", "read";
  permission java.util.PropertyPermission "java.vm.specification.vendor", "read";
  permission java.util.PropertyPermission "java.vm.specification.name", "read";
  permission java.util.PropertyPermission "java.vm.version", "read";
  permission java.util.PropertyPermission "java.vm.vendor", "read";
  permission java.util.PropertyPermission "java.vm.name", "read";

  // BeanInfo 가져오기에 요구됨
  permission java.lang.RuntimePermission "accessClassInPackage.sun.beans.*";

  // JSPC 가 생성한 서블릿 실행에 요구됨
  permission java.lang.RuntimePermission "accessClassInPackage.org.apache.jasper.runtime.*";

  // OpenJMX 에 요구됨
  permission java.lang.RuntimePermission "getAttribute";

  // JAXP 호환 XML 파서 디버그 읽기를 허가
  permission java.util.PropertyPermission "jaxp.debug", "read";
};


// 특정한 웹 어플리케이션에 여기 있는 것처럼 추가할 "grant" 엔트리를 덧붙여서,
// 추가 권한을 설정할 수 있습니다. 해당 어플리케이션, /WEB-INF/classes/, 또는
// /WEB-INF/lib/ jar파일들의 코드 베이스에 기반합니다.
//
// JSP 페이지, /WEB-INF/classes/ 디렉토리에서 불러온 클래스 파일, /WEB-INF/lib/
// 디렉토리에 있는 모든 jar 파일, 심지어 개별적으로 만든 /WEB-INF/lib/ 에 있는
// jar 파일에 대해서도 다른 권한을 부여할 수 있습니다.
//
// 예를 들어, 표준 "examples" 어플리케이션이 NOAA 웹서버로부터 날씨정보를
// 가져오는 scrape taglib 을 사용하거나, 해당 DB에 네트워크 연결을 설정할
// 필요가 있는 JDBC 프로그램을 포함한다고 가져하면
// 이렇게 "grant" 엔트리를 만들어야 될 수도 있습니다:
//
// 컨텍스트 루트 디렉토리의 jsp 페이지에 부여되는 권한
// grant codeBase "file:${catalina.home}/webapps/examples/-" {
//   permission java.net.SocketPermission "dbhost.mycompany.com:5432", "connect";
//   permission java.net.SocketPermission "*.noaa.gov:80", "connect";
// };
//
// 컨텍스트 WEB-INF/classes 디렉토리에 주어지는 권한
// grant codeBase "file:${catalina.home}/webapps/examples/WEB-INF/classes/-" {
// };
//
// JDBC driver 에 주어지는 권한
// grant codeBase "jar:file:${catalina.home}/webapps/examples/WEB-INF/lib/driver.jar" {
//   permission java.net.SocketPermission "dbhost.mycompany.com:5432", "connect";
// };
// scrape taglib 에 주어지는 권한
// grant codeBase "jar:file:${catalina.home}/webapps/examples/WEB-INF/lib/scrape.jar" {
//   permission java.net.SocketPermission "*.noaa.gov:80", "connect";
// };

보안관리자와 함께 Tomcat 시작하기 Starting Tomcat With A SecurityManager

보안관리자를 사용하기 위해 catalina.policy 파일을 설정했다면, "-security" 옵션을 주어서 보안관리자와 함께 Tomcat 을 시작할 수 있습니다:

Security Manager HOW-TO

정책 파일 형식 Policy File Format

기본 정책 파일 The Default Policy File

보안관리자와 함께 Tomcat 시작하기 Starting Tomcat With A SecurityManager