Debian e Tomcat, por que criar um usuário dedicado?

Question

Eu estava tentando instalar o tomcat 7 no Wheezy

Olhando para vários guias, notei que quase todos eles sugerem criar um usuário dedicado ... por quê?

Eu também estou perguntando isso porque eu instalei o tomcat 7 através do repositório e eu olhei que eu já tenho um usuário adequado para isso, eu acho que talvez a própria instalação do tomcat o tenha criado

cat /etc/passwd
tomcat7:x:103:106::/usr/share/tomcat7:/bin/false

Então, minha pergunta é, preciso criar um usuário (adicional) para o meu tomcat?

root@j51391:~# /usr/share/tomcat7/bin/version.sh 
Using CATALINA_BASE:   /usr/share/tomcat7
Using CATALINA_HOME:   /usr/share/tomcat7
Using CATALINA_TMPDIR: /usr/share/tomcat7/temp
Using JRE_HOME:        /usr/lib/jvm/java-7-oracle
Using CLASSPATH:       /usr/share/tomcat7/bin/bootstrap.jar:/usr/share/tomcat7/bin/tomcat-juli.jar
Server version: Apache Tomcat/7.0.28
Server built:   Dec 8 2012 06:51:43
Server number:  7.0.28.0
OS Name:        Linux
OS Version:     3.10.13-x86_64-jb1
Architecture:   amd64
JVM Version:    1.7.0_45-b18
JVM Vendor:     Oracle Corporation

    

Answer 1

É uma boa prática criar uma conta dedicada para alguns serviços, especialmente quando eles estão acessíveis pela Internet ou por qualquer rede não confiável. Então, se alguém explorar uma falha de segurança no Tomcat, isso não comprometerá todo o sistema. (A menos que ele consiga escalar privilégios, mas isso é outra história)

Na seção Considerações de segurança da documentação do Tomcat:

Tomcat should not be run under the root user. Create a dedicated user for the Tomcat process and provide that user with the minimum necessary permissions for the operating system. For example, it should not be possible to log on remotely using the Tomcat user.

No seu caso, parece que o instalador do pacote já cuidou da criação do usuário dedicado.