Tomcat 9 trên cổng 443 chỉ hoạt động với root có thể gây khó khăn

Sau rất nhiều lần đọc các bài báo trên serverfault.com, tôi đã cấu hình thành công Tomcat 9 của mình trên cổng 443.

Nhưng vấn đề là 443 là một cổng đặc quyền mà tôi đã thêm người dùng root vào bên dưới tomcat.service nhưng làm cách nào để tránh điều này vì tôi muốn cấp quyền cho người dùng tomcat chỉ cho một dịch vụ. Tôi hy vọng bạn hiểu vấn đề của tôi và sẽ tư vấn câu trả lời tốt nhất.

vim /etc/systemd/system/tomcat.service


[Đơn vị]
Mô tả=Thùng chứa servlet Tomcat 9
Sau=mạng.mục tiêu

[Dịch vụ]
Loại = rẽ nhánh



############## Tôi đã thêm người dùng root tại đây ##########################
**Người dùng=root
Nhóm=gốc**

Môi trường = "Java_HOME =/usr/lib/jvm/jre"
Môi trường="JAVA_OPTS=-Djava.security.egd=file:///dev/urandom"

Môi trường="CATALINA_BASE=/opt/tomcat/latest"
Môi trường="CATALINA_HOME=/opt/tomcat/latest"
Môi trường="CATALINA_PID=/opt/tomcat/latest/temp/tomcat.pid"
Môi trường="CATALINA_OPTS=-Xms512M -Xmx1024M -server -XX:+UseParallelGC"

ExecStart=/opt/tomcat/latest/bin/startup.sh
ExecStop=/opt/tomcat/latest/bin/shutdown.sh

[Cài đặt]
WantedBy=multi-user.target

Bạn có thể chạy Tomcat (hoặc bất kỳ thứ gì) với tư cách không phải root và vẫn liên kết với các cổng hệ thống nếu bạn đã cấp bộ khả năng CAP_NET_BIND_SERVICE. Bạn có thể làm điều này trong đơn vị systemd của mình bằng cách thêm AmbientCapabilities= bên trong [Dịch vụ] tiết diện:

AmbientCapabilities=CAP_NET_BIND_SERVICE

Rõ ràng bạn cũng sẽ cần phải loại bỏ Người dùng = và Nhóm =.

Bạn cũng nên cân nhắc sử dụng NoNewPrivileges=true để hạn chế ứng dụng nâng cao đặc quyền của nó.