weblogic定制访问控制台用户权限步骤及注意事项

定制访问控制台用户权限步骤及注意事项

---jump227(dev2dev ID)

环境：weblogic81 sp1 ，以域mydomain及服务myserver为例。

参考：weblogic帮助文档。

（不足之处，望大家多多指正）

1、各个组的权限（mydomain—Security—Realms—myrealm—Groups）

Administrators：创建域时系统用户默认为此组，管理权限最大。可以浏览、配置、修改服务器配置及停止、启动服务器，部署和取消应用程序。

Deployers：部署和取消应用程序（包括创建连接池数据源）。可以浏览但不能修改服务器配置（主要是指myserver中各选项参数等）。如果用户属于此组时，在控制台看

不见安全性选项即Security。

Monitors：只能浏览服务器配置，监视服务器性能，不能修改任何东西。如果用户属于此组时，在控制台看不见安全性选项即Security。

Operators：启动和关闭服务器，并可以浏览服务器配置。不能部署取消应用程序(包括创建连接池河数据源)。如果用户属于此组时，在控制台看不见安全性选项即

Security。

创建用户时（mydomain—Security—Realms—myrealm—Users）可以根据需要赋予其一个或几个组的权限（每个用户都有Groups选项，将要赋予的组移到右侧栏中，Apply即可）。

2、全局角色

如果想要更详细的限制哪些用户在某个时间段访问控制台等，这就需要对全局角色Global Role（mydomain—Security—Realms—myrealm—Global Role）进行配置。每个默认的全局角色都有一定的访问策略并且对应一个特定的默认组，组的访问权限都受全局角色控制。你也可以配置自己的全局角色。系统默认对应组如下：

Admin：对应Administrators组（可以在全局角色Admin上Conditions选项中看到及其他定义条件），访问策略跟上面介绍Administrators组类似。

Deployer：对应Deployers，访问策略跟上面介绍Deployers组类似。

Monitor：对应Monitors，访问策略跟上面介绍Monitors组类似。

Operator：对应Operators，访问策略跟上面介绍Operators组类似。

Anonymous：页面显示是everyone组。（具体有什么功能俺没发现）

在每个全局角色的Conditions选项中角色条件（Role Condition）都只有三个定义条件，分别是：

User name of the caller(调用者用户名)

Caller is a member of the group(调用者是组成员)

Hours of access are between(访问时间段)。

可以根据需要填加（Add）、更改（change）、编辑（Edit）、删除（Remove）条件内容。

3、注意事项

1）、如果在配置完时所有用户都不能登陆控制台时（包括最初系统默认的管理员用户，可以把bea/user_projects/domains/mydomain/myserver/下的ldap文件夹全部删除，重新启动服务器即可（所有配置的新用户信息将丢失，只保留最初的管理员用户）。出现

这个原因主要是把管理员用户的Administrators组去移走了，或者是角色Admin配置出现了问题。

2）、要注意全局角色的Conditions中选项：更改（change），它可以更改条件中的’and’和’or’，对设置同用户组不同用户的不同条件访问有决定性作用。

3）、要注意全局角色的Conditions中定义条件的顺序，顺序不一样有可能结果也不一样。

4）、只有管理员用户才能创建新用户，其他用户没有此功能。

5）、每个用户登录控制台如果密码连续输入错误有可能被系统锁定，默认为5次，锁定时间为30分钟，可以更改，也可以取消锁定。可以在控制台：

mydomain—Security—Realms—myrealm中User Lockout更改。

6）、如果自定义全局角色，要避免与原来默认的全局角色冲突，也就是要避免出现一个用户属于两个全局角色。

7）、也可以利用Configuration Wizard自定义用户权限。

8）、如果已经冻结控制台，重新激活，将config.xml文件中修改ConsoleEnabled="true"即可。

4、示例

创建新用户user1：组为Monitors，实现浏览控制台功能

1）、点击控制台左侧mydomain—Security—Realms—myrealm—Users中的Configure a new User…如图：

2）、填入用户名user1与密码，再点击Apply，如图：

就完毕。如图：

我们可以一下效果，用user1登陆，可以看到服务器选项不可以更改，如图：

设置同用户组不同用户的不同时间访问限制

假如有user2也属于用户组Monitors而不受时间限制，但同组的user1却要限制其访问时间段，这就需要设置全局角色Monitor，来实现这个功能。如下步骤：

1）、根据上述步骤创建user2和user1属于同一组：

图：

2）、选择Monitor中的Conditions选项，出现下列页面：调用组已默认。

3）、根据需要选中条件，然后点击Add，跳出填加窗口，如图：选择User name of the caller

时，跳出下面窗口，填写要控制的用户

下图是选择Hours of access are between时跳出的窗口，修改时间：

4）上面设置user1在14：00—19：00之间有访问权限，然后再填加用户user2，并更改其条件为’or’，如图：

这样就设置好了user1访问控制台有时间限制，而user2访问则没时间控制。