ここに書いてあるのは作業記録です。間違ってる例だと思ってください。
UNIX 系の OS では、Web サーバを動かす時、ユーザ権限を nobody にするというのは定石らしい。では、Windows の場合はどうなのか。
Windows 2000 で Tomcat 5 を動かす場合、bin ディレクトリで "service.bat install" を実行してサービスとして登録すると、デフォルトでは Windows 2000 の仕様通り SYSTEM ユーザで実行される。これをせばめるには、Tomcat 実行専用のユーザを作ってやればいいっぽい。
- Tomcat 専用のユーザを作成し、Users グループに所属させる。
- Windows のインストール先 (C:\WINNT など)、ユーザ設定の保存先 (C:\Documents and Settings など) に、Users がアクセスできることを確認 (ここちょっとウソかも)。
- Java 実行環境 (C:\Program Files\Java\jdk1.5.0 等) と、Tomcat をインストールしたディレクトリについて、Tomcat 専用のユーザが利用できるようにアクセス許可を設定。
- Tomcat で SSL (HTTPS) を使用する場合は、キーストアファイルの読み取りについてもアクセス許可を設定。その他、ログ出力先などの設定を変更している場合は、それぞれアクセス許可を設定する。
- コントロールパネルの「サービス」で Tomcat 用サービス (デフォルトでは "Apache Tomcat" という名前) のプロパティを開く。「ログオン」タブでアカウントを指定する。
とりあえず、ここまでやってみたが、結果としてあまり安全になっていない。
