最先这儿的密钥管理规定，便是对于tomcat管理方法控制面板中的用户权限，即TomcatMan

ager，它是Tomcat内置的，用以对Tomcat本身及其布署在Tomcat上运用开展管理方法的web应

用。TomcatManager以授于客户相对人物角色的方法，开展密钥管理，受权其应用相对的作用。

应重新命名或删掉默认设置帐户，改动默认设置帐户的默认设置动态口令，查询tomcat文件目录

下/conf/tomcat-user.xml是不是存有admin、manager、tomcat、role1、both等默认设置帐户，动

态口令是不是为默认设置动态口令等。

 

 

应立即删掉或停止使用不必要的、到期的帐户，防止共享资源帐户的存有，查询tomcat文件目录

下/conf/tomcat-user.xml文件，确定目前帐户有什么，并了解技术人员每一个帐户的主要用途事

哪些，确定是不是存有不必要帐户。应授于管理方法客户需要的最少管理权限，完成管理方法客

户的管理权限分离出来。按最少受权标准分派，管理方法客户的管理权限分离出来，针对分布式

数据库而言应当完成不上。应由受权行为主体配备浏览控制方法，浏览控制方法要求行为主体对

行为主体的浏览标准，查询tomcat文件目录下/conf/tomcat-user.xml，确定管理人员对各客户的

密钥管理标准，即设定的相匹配人物角色。

 

各客户的人物角色管理权限:
 

1）tomcat人物角色
 

role1：具备读管理权限；
 

tomcat：具备读和运作管理权限；
 

admin：具备读、运作和写管理权限；
 

manager：具备远程控制管理员权限。
 

Tomcat6.0.18版本号仅有admin和manager二种客户人物角色，且admin客户具备manager管理

员权限。
 

2）此外版本号

Tomcat4.1.37和5.5.27版本号及之后发售的版本号默认设置除admin客户外别的用户也不具备

manager管理员权限。
 

填补:
 

Manager文件目录为默认设置管理方法文件目录，若系统软件发布后不用根据web页面管理方法

，可删掉（清除）此文件目录，那样相对性更加安全性。密钥管理的粒度分布应做到行为主体

为客户级或过程级，行为主体为文档、数据库表级，这一条文针对网络服务器、数据库查询这类

的评测目标比较好了解，针对分布式数据库本人不是太了解的，难道说是行为主体为客户级，行

为主体为web控制面板相匹配程序模块？由于网络信息安全等级保护测评规定中评测目标有包含

，也是有是判不适合的，因人有所不同的吧。解决关键行为主体和行为主体设定安全性标识，并

操纵行为主体对有安全性标识信息资源的浏览同样这条国家标准中评测目标也涉及到了分布式数

据库，也是有判不适合的。不清楚如何完成，默认设置是给不符的。