centos weblogic安全配置有哪些

CentOS 上 WebLogic 安全配置清单

一 系统与账户安全基线

• 创建专用系统账户与组，使用最小权限运行：例如创建 weblogic 用户与组，WebLogic 安装与运行目录归属该用户，禁止以 root 直接启动域。
• 强化口令与账户策略：设置复杂度与长度要求（如最小长度 ≥10 位），在域中启用 Password Validation Provider 统一校验口令规则；对关键账户设置锁定与过期策略。
• 清理与收敛特权入口：排查 UID=0 的冗余账户，锁定或删除不必要的默认账户；限制 su 使用范围，仅允许加入 wheel 组的用户切换 root。
• 登录与环境加固：设置 TMOUT=300（root 自动注销），禁用 Ctrl+Alt+Del 物理重启，精简登录横幅（如 /etc/issue），限制 root 可登录终端（如 /etc/securetty）。
• 服务与端口最小化：关闭未使用的服务与端口，使用 firewalld/iptables 仅放行必要来源与端口，定期用 netstat -antupl 核查监听状态。

二 WebLogic 身份与访问控制

• 认证提供者选型与多源登录：优先对接企业 LDAP/AD 或数据库，使用 WebLogic Authentication provider（DefaultAuthenticator） 管理内置用户；可按需添加 SAML、Negotiate/Kerberos、X.509 等 Identity Assertion 提供者实现单点登录与令牌认证。
• 多认证提供者顺序与 JAAS 控制标志：在域安全域中配置多个认证提供者时，设置 REQUIRED/REQUISITE/SUFFICIENT/OPTIONAL 控制标志并调整调用顺序，确保主认证路径与回退路径符合业务与合规要求。
• 口令策略与账户锁定：在 DefaultAuthenticator 中设置最小口令长度；启用 Password Validation provider 强制复杂度；结合域策略配置账户锁定与解锁阈值，降低暴力破解风险。

三 传输加密与监听安全

• 启用并优先使用 HTTPS/SSL：为管理通道与业务通道配置 SSL，默认 HTTPS 监听端口为 7002；准备 身份密钥库（identity keystore） 与 信任密钥库（trust keystore），在服务器 SSL 配置中指定私钥别名与密码。
• 选择单向或双向 SSL：对外服务常用 单向 SSL；对高安全场景启用 双向 SSL（客户端证书认证），仅允许持有受信证书的主体接入。
• 主机名校验与证书链校验：启用或自定义 Host Name Verifier，防止主机名伪造；在证书验证中启用 Builtin SSL Validation and Cert Path Validators，增强证书链与吊销检查。

四 域与网络边界防护

• 运行模式与部署策略：将域设置为 生产模式，关闭 自动部署 与示例应用，减少攻击面。
• 端口与信息泄露治理：修改默认管理端口（如 7001），禁用目录浏览，隐藏 Server 标头与版本信息，配置统一的 错误页面 避免堆栈与路径泄露。
• 连接与来源管控：通过 firewalld/iptables 限制管理口与业务口来源网段；在 WebLogic 中配置 Connection Filters 限制域内外访问，仅开放必要协议与端口。
• 会话与超时：设置 HTTP/HTTPS 会话超时 与 控制台会话超时，对管理口设置来源 IP 白名单与更严格的会话策略。

五 审计日志 补丁与运维

• 日志与审计：启用 审计提供者（Auditing Provider） 记录关键安全事件；统一收集与分析 server、access、audit 日志，建立告警与追溯机制。
• 补丁与漏洞管理：定期执行 yum update 与 WebLogic 官方补丁，关注 Oracle 安全通告，及时修复已知漏洞；对公网资产开展周期性 漏洞扫描（如 OpenVAS、Nessus）。
• 备份与变更：变更前备份 config.xml、boot.properties、keystore 等关键文件；变更后在维护窗口内滚动重启，避免业务中断。