由于权限错误无法启动 jstatd

Question

我尝试在linux机器上运行jstatd jvm监控工具

jboss@hostAddr:/usr/java/jdk1.6.0_18/bin> uname -a
Linux hostAddr 2.6.16.60-0.34-smp #1 SMP Fri Jan 16 14:59:01 UTC 2009 x86_64 x86_64 x86_64 GNU/Linux

使用以下命令：

jstatd -J-Djava.security.policy=~/jstatd.all.policy

jstatd.all.policy 内容

grant codebase "file:${java.home}/../lib/tools.jar" {

   permission java.security.AllPermission;

};

不幸的是，我得到以下输出：

Could not create remote object
access denied (java.util.PropertyPermission java.rmi.server.ignoreSubClasses write)
java.security.AccessControlException: access denied (java.util.PropertyPermission java.rmi.server.ignoreSubClasses write)
        at java.security.AccessControlContext.checkPermission(AccessControlContext.java:323)
        at java.security.AccessController.checkPermission(AccessController.java:546)
        at java.lang.SecurityManager.checkPermission(SecurityManager.java:532)
        at java.lang.System.setProperty(System.java:725)
        at sun.tools.jstatd.Jstatd.main(Jstatd.java:122)

由于某种原因，jstatd 在具有相同命令和策略文件的 Windows 上成功运行。

Linux java 版本：

java version "1.6.0_18"
Java(TM) SE Runtime Environment (build 1.6.0_18-b07)
Java HotSpot(TM) 64-Bit Server VM (build 16.0-b13, mixed mode)

Windows java 版本：

java version "1.6.0_26"
Java(TM) SE Runtime Environment (build 1.6.0_26-b03)
Java HotSpot(TM) 64-Bit Server VM (build 20.1-b02, mixed mode)

Answer 1

刚刚找到以下脚本来运行jstatd。我设法用这个脚本运行jstatd https://gist.github.com/nicerobot/1375032

#!/bin/sh
policy=${HOME}/.jstatd.all.policy
[ -r ${policy} ] || cat >${policy} <<'POLICY'
grant codebase "file:${java.home}/../lib/tools.jar" {
permission java.security.AllPermission;
};
POLICY

jstatd -J-Djava.security.policy=${policy} &

Answer 2

这对我有用：

1. 确保 tools.jar 文件存在并且运行 jstatd 命令的用户有权读取它。

2. 确保jstatd.all.policy 中指向 tools.jar 的 URL 正确并声明了协议（在本例中为文件）。例如，根据java.home 变量指向的位置，您可能需要像这样删除路径中的../ 部分（我必须这样做）：

   grant codebase "file:${java.home}/lib/tools.jar" {
      permission java.security.AllPermission;
   };
   

3. 从 Java 1.4 开始，策略文件需要在没有 BOM 的情况下以 UTF-8 编码。 EOL（CRLF vs LF）应该无关紧要。有关更多信息，请参阅 Oracle 的“默认策略实施和策略文件语法”文档，在“更改”部分下（未提供链接，因为我没有足够的声誉点来发布超过 2 个链接，但我确定你就能找到那个文件）。

4. 运行 jstatd 命令时使用策略文件的绝对路径，例如

   jstatd -p 12345 -J-Djava.security.policy=/absolute-path-to/jstatd.all.policy
   

   编辑：-J 参数在 Java 1.8 中可能不再需要或支持，因此该命令将改为：

   jstatd -p 12345 -Djava.security.policy=/absolute-path-to/jstatd.all.policy
   

   （感谢@lisak 指出这一点）

5. 最后，一旦你通过了这一点，你可能会发现其他问题（我做到了），这些帖子为我指明了正确的方向：Using VisualVM to monitor a remote JBoss instance 和 Remote Profiling of JBoss using VisualVM。基本上，如果 1099 已在使用中，您可能需要使用 -p 参数来使用不同的端口，并通过 JAVA_OPTS 在 JBoss run.conf 中添加一些 java 选项（假设您正在监视 JBoss 实例）。在提供的链接中更详细地解释了所有内容。

编辑： - 将死链接Using VisualVM to monitor a remote JBoss instance 指向另一个具有相同内容的页面。

Answer 3

使用process substitution 的单行符（虽然是bashism）：

jstatd -p 1099 -J-Djava.security.policy=<(echo 'grant codebase "file:${java.home}/../lib/tools.jar" {permission java.security.AllPermission;};')

包装：

jstatd -p 1099 -J-Djava.security.policy=<(echo 'grant codebase "file:${java.home}/../lib/tools.jar" {permission java.security.AllPermission;};')

截至jdk1.8.0_92，java 启动器选项前缀-J 仍然是必需的。

注意：

原始问题更可能是由于~/jstatd.all.policy 中的波浪号~ 未扩展因此无法被java 理解，同时绝对路径或使用${HOME} 应该可以工作。

Answer 4

我有同样的问题，你应该怎么做：

1. 确保javac 在您的$PATH 中
2. 在运行 jstatd 时指定策略文件的完整（绝对）路径
   jstatd -J-Djava.security.policy=/path/to/jstatd.all.policy

这对我有帮助。

Answer 5

您是否指定了错误的路径（我是）？

尝试将策略放入 /tmp/jstatd.all.policy 然后运行：

jstatd -J-Djava.security.policy=/tmp/jstatd.all.policy

Answer 6

关于以前的答案的补充一点，我花了一些时间来弄清楚。
当我在策略文件 ${java.home}/lib/tools.jar 中使用相对路径时，它实际上将 jstatd 指向 JAVA_HOME/jre/ 目录，并且由于我安装了 jdk，因此我不得不使用 ${java.home}/../lib/tools.jar 来到达正确的位置。

编辑我在一个运行带有 jdk 8 的 ubuntu 的 docker 容器中运行 jstatd（正确设置了 JAVA_HOME）。

Answer 7

如果您使用的是 Java 11，则需要查看此答案：Starting jstatd in Java 9+ - Stack Overflow
策略文件是这样的：

grant codebase "jrt:/jdk.jstatd" {    
   permission java.security.AllPermission;    
};

Answer 8

@michael nesterenko 的回答很好。

但是如果有时即使你已经启动了 Jstatd 也无法连接服务器，你可以尝试分配 'rmi.server.hostname'

#!/bin/sh
policy=${HOME}/.jstatd.all.policy
[ -r ${policy} ] || cat >${policy} <<'POLICY'
grant codebase "file:${java.home}/../lib/tools.jar" {
permission java.security.AllPermission;
};
POLICY

jstatd -J-Djava.security.policy=${policy} -J-Djava.rmi.server.hostname=192.168.x.x &

如果您想通过公共网络连接，则应将主机名分配为公共 ip。

Answer 9

我创建了包含以下内容的新政策：

授予代码库 "file:/usr/java/latest/lib/tools.jar" { 权限 java.security.AllPermission; };

然后使用以下命令使用该策略启动 jstatd：

jstatd -J-Djava.security.policy=/usr/java/jstatd.all.policy &

Answer 10

除了 LightDye 的回答之外，您还可以使用以下命令在您的网络过滤器中打开所需的端口：

for port in `netstat -nlp | grep jstatd | sed -r 's/^.*\:([0-9]{4,}).*$/\1/'`; do iptables -I INPUT 1 -p tcp --dport $port -j ACCEPT -m comment --comment jstatd; done

Answer 11

或者您可以使用 ejstatd 代替 jstatd 自动处理此问题：只需在 ejstatd 文件夹中使用 mvn exec:java 运行它。

免责声明：我是这个开源工具的作者。