从不同的主机访问 Tomcat Manager App

Question

我在远程服务器上安装了tomcat 9，启动后，它运行良好，我可以访问http://host_name:port_num并查看tomcat hello页面。但是当我尝试打开管理器应用程序来查看我部署的应用程序时，我得到 403 访问被拒绝，我已经在 tomcat 用户 xml 中添加了角色，如下所示：

<role rolename="manager"/>
<role rolename="manager-gui"/>
<role rolename="admin"/>
<user username="user" password="password" roles="admin,manager,manager-gui"/>

我看到的错误信息是：

默认情况下，主机管理器只能从与 Tomcat 运行在同一台机器上的浏览器访问。如果您希望修改此限制，则需要编辑主机管理器的 context.xml 文件。

我应该如何更改 context.xml 文件并访问管理器应用程序？

Answer 1

要从不同的机器访问 tomcat 管理器，您必须按照以下步骤操作：

1.用用户和一些角色更新 conf/tomcat-users.xml 文件：

<role rolename="manager-gui"/>
 <role rolename="manager-script"/>
 <role rolename="manager-jmx"/>
 <role rolename="manager-status"/>
 <user username="admin" password="admin" roles="manager-gui,manager-script,manager-jmx,manager-status"/>

这里管理员用户正在分配 roles="manager-gui,manager-script,manager-jmx,manager-status"。

这里的tomcat用户和密码是：admin

2。更新 webapps/manager/META-INF/context.xml 文件（允许 IP 地址）：

默认配置：

<Context antiResourceLocking="false" privileged="true" >
  
  <Valve className="org.apache.catalina.valves.RemoteAddrValve"
         allow="127\.\d+\.\d+\.\d+|::1|0:0:0:0:0:0:0:1" />
  
  <Manager sessionAttributeValueClassNameFilter="java\.lang\.(?:Boolean|Integer|Long|Number|String)|org\.apache\.catalina\.filters\.CsrfPreventionFilter\$LruCache(?:\$1)?|java\.util\.(?:Linked)?HashMap"/>
</Context>

在 Valve 中，它只允许本地机器 IP 以 127.\d+.\d+.\d+ 开头。

2.a : 允许特定 IP:

<Valve className="org.apache.catalina.valves.RemoteAddrValve"
         allow="127\.\d+\.\d+\.\d+|::1|0:0:0:0:0:0:0:1|YOUR.IP.ADDRESS.HERE" />

在这里，您只需将 |YOUR.IP.ADDRESS.HERE 替换为您的 IP 地址

2.b：允许所有IP：

<Valve className="org.apache.catalina.valves.RemoteAddrValve"
         allow=".*" />

这里使用 allow=".*" 您允许所有 IP。

谢谢:)

Answer 2

因为我必须努力学习，默认的 \etc\tomcat\server.xml 文件（至少适用于 OpenSUSE v15.2 上的 v9.0.36）已经包含了管理器和主机管理器应用程序的 <Context ...> 和 <Valve ...> 定义！这些显然推翻了您可能在其他地方定义的任何context.xml 或manager.xml 文件。默认情况下，他们限制对 localhost 的访问，这正是我所看到的。 ||-( 因此，需要调整server.xml 中的设置，或者在那里删除/评论它们，然后可以像以前一样添加其他响应中提到的文件。

Answer 3

以下两种配置对我有用。

1. tomcat-users.xml 详细信息

   ---

      <role rolename="manager-gui"/>
      <role rolename="manager-script"/>
      <role rolename="manager-jmx"/>
      <role rolename="manager-status"/>
      <role rolename="admin-gui"/>
      <role rolename="admin-script"/>
      <role rolename="tomcat"/>
    
      <user  username="tomcat"  password="tomcat" roles="tomcat"/>
    
      <user  username="admin"  password="admin" roles="admin-gui"/>
    
      <user  username="adminscript"  password="adminscrip" roles="admin-script"/>
    
      <user  username="tomcat"  password="s3cret" roles="manager-gui"/>
      <user  username="status"  password="status" roles="manager-status"/>
    
      <user  username="both"    password="both"   roles="manager-gui,manager-status"/>
    
      <user  username="script"  password="script" roles="manager-script"/>
      <user  username="jmx"     password="jmx"    roles="manager-jmx"/>

1. /webapps/manager/META-INF/context.xml 的

   context.xml 和 /webapps/host-manager/META-INF/context.xml

   ---

<Context antiResourceLocking="false" privileged="true" >
    
      <Valve className="org.apache.catalina.valves.RemoteAddrValve"
             allow=".*" />
      <Manager sessionAttributeValueClassNameFilter="java\.lang\.(?:Boolean|Integer|Long|Number|String)|org\.apache\.catalina\.filters\.CsrfPreventionFilter\$LruCache(?:\$1)?|java\.util\.(?:Linked)?HashMap"/>

Answer 4

每个部署的 webapp 都有一个 context.xml 文件

$CATALINA_BASE/conf/[enginename]/[hostname]

(conf/Catalina/localhost by default)

并且与 webapp 具有相同的名称（在这种情况下为manager.xml）。如果没有文件，则使用默认值。

因此，您需要创建一个文件conf/Catalina/localhost/manager.xml 并指定要允许远程访问的规则。例如manager.xml的以下内容将允许所有机器访问：

<Context privileged="true" antiResourceLocking="false" 
         docBase="${catalina.home}/webapps/manager">
    <Valve className="org.apache.catalina.valves.RemoteAddrValve" allow="^YOUR.IP.ADDRESS.HERE$" />
</Context>

注意Valve 元素的allow 属性是一个正则表达式，它匹配连接主机的IP 地址。因此，用您的 IP 地址替换 YOUR.IP.ADDRESS.HERE（或其他一些有用的表达式）。

其他Valve 类满足其他规则（例如RemoteHostValve 用于匹配主机名）。早期版本的 Tomcat 使用 Valve 类 org.apache.catalina.valves.RemoteIpValve 进行 IP 地址匹配。

完成上述更改后，在访问管理器 URL 时，您应该会看到一个身份验证对话框。如果您输入您在tomcat-users.xml 中提供的详细信息，您应该可以访问管理器。

Answer 5

对于Tomcat v8.5.4及以上版本，文件<tomcat>/webapps/manager/META-INF/context.xml进行了调整：

<Context antiResourceLocking="false" privileged="true" >
    <Valve className="org.apache.catalina.valves.RemoteAddrValve"
         allow="127\.\d+\.\d+\.\d+|::1|0:0:0:0:0:0:0:1" />
</Context>

更改此文件以评论Valve：

<Context antiResourceLocking="false" privileged="true" >
    <!--
    <Valve className="org.apache.catalina.valves.RemoteAddrValve"
         allow="127\.\d+\.\d+\.\d+|::1|0:0:0:0:0:0:0:1" />
    -->
</Context>

之后，刷新浏览器（无需重启Tomcat），即可看到管理页面。