annat/tomcat

Tomcat非root镜像（集成Zabbix监控）

镜像概述

本镜像基于Tomcat构建，以非root用户www（UID: 1001）运行，增强容器安全性。集成Zabbix监控支持，并预配置JMX远程管理参数，便于通过Zabbix等监控工具对Tomcat实例进行状态监控与管理。

核心功能与特性

• 非root运行：使用www:1001用户运行Tomcat进程，遵循最小权限原则，降低安全风险
• Zabbix集成：支持Zabbix监控，可通过JMX协议采集Tomcat运行指标
• JMX远程管理：预配置JMX参数，支持远程连接监控，具体配置如下：
  • JMX端口：***
  • 禁用SSL：-Dcom.sun.management.jmxremote.ssl=false
  • 禁用认证：-Dcom.sun.management.jmxremote.authenticate=false
  • 绑定地址：-Djava.rmi.server.hostname=0.0.0.0（支持容器内外访问）
• 标准Tomcat功能：保留Tomcat原生功能，支持WAR包部署、虚拟主机配置等

使用场景

• 容器化环境中部署Java Web应用，需满足安全合规要求（非root运行）
• 需要通过Zabbix等监控平台对Tomcat实例进行性能监控与告警
• 开发/测试环境中需快速启用JMX远程调试或监控功能

使用方法

基本运行命令

bash
docker run -d -p 8080:8080 -p 12345:12345 \
  -e "CATALINA_OPTS=-Dcom.sun.management.jmxremote -Dcom.sun.management.jmxremote.port=12345 -Dcom.sun.management.jmxremote.ssl=false -Dcom.sun.management.jmxremote.authenticate=false -Djava.rmi.server.hostname=0.0.0.0" \
  --name tomcat-nonroot your-image-name:tag

docker-compose配置示例

yaml
version: '3'
services:
  tomcat:
    image: your-image-name:tag
    ports:
      - "8080:8080"  # Tomcat HTTP端口
      - "12345:12345"  # JMX监控端口
    environment:
      - CATALINA_OPTS=-Dcom.sun.management.jmxremote -Dcom.sun.management.jmxremote.port=12345 -Dcom.sun.management.jmxremote.ssl=false -Dcom.sun.management.jmxremote.authenticate=false -Djava.rmi.server.hostname=0.0.0.0
    user: "1001"  # 显式指定运行用户UID
    restart: unless-stopped

配置说明

环境变量

用户与权限

• 运行用户：www（UID: 1001，GID: 1001）
• 工作目录权限：/usr/local/tomcat目录及子文件权限已适配www用户，确保应用部署与日志写入正常

JMX监控配置

若需调整JMX参数（如修改端口、启用认证等），可通过CATALINA_OPTS环境变量覆盖默认配置，例如：

bash
-e "CATALINA_OPTS=-Dcom.sun.management.jmxremote -Dcom.sun.management.jmxremote.port=9999 -Dcom.sun.management.jmxremote.ssl=true -Dcom.sun.management.jmxremote.authenticate=true -Djava.rmi.server.hostname=192.168.1.100"

注意：修改JMX端口时，需同步调整容器端口映射（如-p 9999:9999）。启用认证时，需额外配置jmxremote.access和jmxremote.password文件并挂载到容器中。