在 CentOS 7 中，为了增强 Tomcat 的安全性和功能性，你可以通过调整权限来确保只有授权用户和进程可以访问和操作 Tomcat 的相关目录和文件。以下是设置 Tomcat 权限的具体步骤：

　　1. 检查 Tomcat 安装目录

　　默认情况下，Tomcat 的安装目录可能位于以下路径之一：

　　手动安装：/opt/tomcat

　　使用包管理器安装：/usr/share/tomcat

　　你可以通过以下命令确认实际的安装路径：

　　sudo find / -name "catalina.sh"

　　通常，catalina.sh 位于 bin 目录下，比如 /opt/tomcat/bin/catalina.sh。

　　2. 创建独立用户和用户组

　　为了限制对 Tomcat 文件的访问，建议创建一个专门用于运行 Tomcat 的用户，并将文件权限分配给该用户。

　　创建 tomcat 用户和用户组：

　　sudo groupadd tomcat

　　sudo useradd -r -g tomcat -s /bin/false tomcat

• -r：创建系统用户。
• -g tomcat：将用户添加到 tomcat 组。
• -s /bin/false：禁止直接登录。

　　确保用户已创建：

　　id tomcat

　　3. 修改 Tomcat 文件权限

　　将 Tomcat 的目录权限调整为仅 tomcat 用户和组可操作：

　　更改 Tomcat 安装目录的所有者：

　　sudo chown -R tomcat:tomcat /opt/tomcat

　　设置权限：

　　目录权限：

　　sudo chmod -R 755 /opt/tomcat

　　(确保目录可被所有用户读取，但只有 tomcat 用户能写入)

　　配置文件权限(更严格)：

　　sudo chmod -R 600 /opt/tomcat/conf

　　sudo chmod -R 700 /opt/tomcat/conf/*

　　4. 配置 SELinux(可选)

　　如果启用了 SELinux，需要配置安全上下文以允许 Tomcat 正常运行。

　　查看当前 SELinux 状态：

　　sestatus

　　如果启用，继续配置。

　　添加 SELinux 上下文：

　　sudo semanage fcontext -a -t tomcat_exec_t "/opt/tomcat(/.*)?"

　　sudo restorecon -Rv /opt/tomcat

　　配置端口： 如果 Tomcat 使用自定义端口(如 8080)，需要允许其通过 SELinux：

　　sudo semanage port -a -t http_port_t -p tcp 8080

　　5. 配置 Tomcat 服务文件

　　确保 Tomcat 服务以 tomcat 用户运行。

　　编辑或创建 Tomcat 的系统服务文件：

　　sudo nano /etc/systemd/system/tomcat.service

　　添加以下内容：

　　[Unit]

　　Description=Apache Tomcat Web Application Container

　　After=network.target

　　[Service]

　　Type=forking

　　User=tomcat

　　Group=tomcat

　　Environment="JAVA_HOME=/usr/lib/jvm/jre"

　　Environment="CATALINA_PID=/opt/tomcat/temp/tomcat.pid"

　　Environment="CATALINA_HOME=/opt/tomcat"

　　Environment="CATALINA_BASE=/opt/tomcat"

　　Environment="CATALINA_OPTS=-Xms512M -Xmx1024M -server -XX:+UseParallelGC"

　　Environment="JAVA_OPTS=-Djava.awt.headless=true -Djava.security.egd=file:/dev/./urandom"

　　ExecStart=/opt/tomcat/bin/startup.sh

　　ExecStop=/opt/tomcat/bin/shutdown.sh

　　Restart=on-failure

　　[Install]

　　WantedBy=multi-user.target

　　重载并启动服务：

　　sudo systemctl daemon-reload

　　sudo systemctl start tomcat

　　sudo systemctl enable tomcat

　　确认 Tomcat 运行状态：

　　sudo systemctl status tomcat

　　6. 测试和验证

　　确认权限：

　　ls -l /opt/tomcat

　　确保所有文件归属 tomcat 用户和组。

　　访问服务： 在浏览器中访问 http://<服务器IP>:8080.确保 Tomcat 能正常运行。

　　安全性检查：

• 确保没有其他用户可以访问 /opt/tomcat/conf 文件夹。
• 如果可能，启用防火墙限制对 8080 端口的访问。

　　总结：

1. 创建专用的 tomcat 用户来运行 Tomcat。
2. 配置严格的文件权限，特别是 conf 目录。
3. 配置 SELinux(如果启用)。
4. 验证服务是否以 tomcat 用户身份运行。