中间件安全配置规范.docxVIP

中间件安全配置规范

本规范适用于企业内部所有生产、测试环境部署的Web类中间件（Nginx、ApacheHttpServer、Tomcat、Jetty、Undertow）、缓存类中间件（Redis、Memcached、Ignite）、消息类中间件（RabbitMQ、RocketMQ、Kafka）、微服务类中间件（SpringCloudGateway、Dubbo、Nacos、APISIX）、分布式协调类中间件（ZooKeeper、Etcd）的安全配置、运维管理及上线校验，所有涉及中间件部署、配置、运维的开发、运维、测试人员均需严格遵守本规范要求。

1.通用安全配置要求

所有类型中间件必须遵守本章节通用要求，专项配置要求与通用要求冲突时以更严格的要求为准。

1.1账户安全管理

1.1.1所有中间件必须禁用或删除系统默认内置账户，包括但不限于Tomcat默认admin/manager账户、RabbitMQ默认guest账户、ZooKeeper默认无认证账户、Redis默认无密码账户，不得保留任何默认账户的访问权限。确需保留默认账户的场景，必须修改默认密码为符合复杂度要求的强密码，同时限制该账户仅能从本地或指定内网IP访问。

1.1.2所有中间件访问密码必须满足复杂度要求：长度不低于12位，同时包含大写字母、小写字母、数字、特殊字符四类字符，不得包含连续3位及以上的相同字符、