メッセージングインストールおよび設定ガイド

1. お使いのシステムに RHN Classic 管理 を使用している場合は、システムを Red Hat Enterprise Linux 6 のベースチャンネルにサブスクライブします。
2. また、お使いのインストールおよび要件に関連する利用可能な MRG Messaging ソフトウェアチャネルにサブスクライブします。

   MRG メッセージングソフトウェアチャンネル

   ベースチャネル

   Additional Services Channels for Red Hat Enterprise Linux 6 / MRG Messaging v.3 (for RHEL-6 Server) チャネルにサブスクライブして、MRG Messaging Platform の完全インストールを有効にします。

   High Availability Channel

   Additional Services Channels for Red Hat Enterprise Linux 6 / RHEL Server High Availability チャネルにサブスクライブして、高可用性インストールを有効にします。

3. 以下のコマンドを使用して、MRG メッセージングサーバーおよびクライアントをインストールします。
   注記
   メッセージングクライアントサポートのみが必要な場合は、直接手順 4 に移動します。

   MRG メッセージングサーバーおよびクライアント

   root で以下の yum コマンドで「MRG Messaging」グループをインストールします。

   yum groupinstall "MRG Messaging"
   

   高可用性サポート

   高可用性サポートが必要な場合は、以下の yum コマンドを使用してパッケージをインストールします（root で）。

   yum install qpid-cpp-server-ha

4. 代替： インストールメッセージングクライアントサポートのみ

   メッセージングクライアントサポートのみが必要な場合は、以下の yum コマンドを実行して「Messaging Client Support」グループをインストールします（root で）。

   yum groupinstall "Messaging Client Support"

   「 MRG Messaging」グループがすでにインストールされている場合は、このグループをインストールする必要はありません。デフォルトでは含まれます。
   注記
   Qpid JMS AMQP 0.10 および 1.0 クライアントの両方を実行するには、Java 1.7 を実行する必要があります。システムにインストールされている Java バージョンが 1.7 以降であることを確認します。

1. お使いのシステムに RHN Classic 管理 を使用している場合は、システムを Red Hat Enterprise Linux 6 のベースチャンネルにサブスクライブします。
2. 互換性のないコンポーネントを削除します。root で以下のコマンドを実行します。

   yum erase qpid-cpp-server-cluster sesame cumin cumin-messaging python-wallaby

3. MRG v2 チャネルからシステムのサブスクライブを解除します。
4. また、お使いのインストールおよび要件に関連する利用可能な MRG Messaging ソフトウェアチャネルにサブスクライブします。

   MRG メッセージングソフトウェアチャンネル

   ベースチャネル

   Additional Services Channels for Red Hat Enterprise Linux 6 / MRG Messaging v.3 (for RHEL-6 Server) チャネルにサブスクライブして、MRG Messaging Platform の完全インストールを有効にします。

   High Availability Channel

   Additional Services Channels for Red Hat Enterprise Linux 6 / RHEL Server High Availability チャネルにサブスクライブして、高可用性インストールを有効にします。

5. 以下のコマンドを使用して MRG メッセージングサーバーおよびクライアントを更新します。
   注記
   メッセージングクライアントサポートのみが必要な場合は、直接ステップに進む必要があります。

   MRG メッセージングサーバーおよびクライアント

   root で以下の yum コマンドで「MRG Messaging」グループを更新します。

   yum groupinstall "MRG Messaging"
   

   高可用性サポート

   高可用性サポートが必要な場合は、以下の yum コマンドを使用してパッケージを更新します（root で）。

   yum install qpid-cpp-server-ha

6. メッセージングクライアントサポートのみが必要な場合は、以下の yum コマンドを実行して「Messaging Client Support」グループを更新します（root で）。

   yum groupinstall "Messaging Client Support"

   「 MRG Messaging」グループを更新している場合は、このグループを更新する必要はありません。デフォルトでは含まれます。
   注記
   Qpid JMS AMQP 0.10 および 1.0 クライアントの両方を実行するには、Java 1.7 を実行する必要があります。システムにインストールされている Java バージョンが 1.7 以降であることを確認します。

手順1.1 MRG Messaging 3.1 から 3.2 へのアップグレード方法

1. 必要なソフトウェアチャンネルがすべてに正しくサブスクライブされていることを確認します。 「Red Hat Enterprise Linux 6 への MRG-M 3 メッセージングサーバーのインストール」
2. 以下のいずれかを実行してサーバーを停止します。
   1. コマンドラインから起動 Ctrl+C した場合は、次のコマンドを実行してサーバーを正しくシャットダウンします。
   2. service qpidd stop を実行して、サービスを正しく停止します。
3. sudo yum update qpid-cpp-server-ha を実行して、最新のパッケージにアップグレードします。
4. 重要
   カスタム EFP パーティションを設定する場合は、の手順を完了し 手順1.2「Linearstore EFP を新規パーティション構造に手動でアップグレードする方法」 てください。
   実行 qpidd または要件に service qpidd start 応じてサーバーを再起動します。

手順1.2 Linearstore EFP を新規パーティション構造に手動でアップグレードする方法

1. 新しいディレクトリーを作成し qls/dat2ます。

   # mkdir dat2
   

2. Berkeley DB データベースの内容を新しい qls/dat2 ディレクトリー qls/dat にコピーします。

   # cp dat/* dat2/

3. の EFP ディレクトリーごとに qls/pNNN/efp/[size]k、2 つのサブディレクトリーを追加します。
   1. in_use

      # mkdir p001/efp/2048k/in_use
      

   2. 返済み

      # mkdir p001/efp/2048k/returned
      

   デフォルトでは、パーティションは 1 つだけです。また qls/p001、EFP サイズは 1 つだけです 2048k。
4. jrnl2 ディレクトリーを作成します。

   # mkdir jrnl2

   古い jrnl ディレクトリー（それぞれ既存キューに名前が付けられている）に、新しいディレクトリーに同じ名前のディレクトリーを作成し jrnl2 ます。

   # mkdir jrnl2/[queue-name-1]
   # mkdir jrnl2/[queue-name-2]
   ...
   

   以下のコマンドを使用すると、ディレクトリーに存在する jrnl2 ディレクトリーを一覧表示できます。

   # dir jrnl

5. 各ジャーナルファイルは、正しい efp サイズ in_use ディレクトリーで、最初に正しいパーティションディレクトリーのディレクトリーにコピーする必要があります。次に、新しい jrnl2/[queue-name] ディレクトリーにあるこのジャーナルファイルへのリンクを作成する必要があります。
   各ジャーナルファイルに 2 つの情報が必要です。
   1. 発信元となるパーティション。
   2. そのパーティション内のサイズ。
   デフォルト設定は、1 つのパーティション番号（ディレクトリー内 qls/p001）で、1 つの EFP サイズ 2048k （各ジャーナルファイルの概算サイズ）です。古いディレクトリー構造にこれらのデフォルトのみがある場合は、以下の手順を実行します。
   1. のキューごとに qls/jrnl、ジャーナルファイルが存在する点に注意してください。移動すると、どのジャーナルファイルが他のジャーナルファイルとして他のジャーナルファイルとして存在するかを区別することは容易ではありません。

      # ls -la jrnl/queue-name/*
      

   2. すべてのジャーナルファイルを古いキューディレクトリーからパーティションのディレクトリーにコピーし 2048k in_use ます。

      # cp jrnl/queue-name/* p001/efp/2048k/in_use/

   3. 最後に、上記の手順 3 で作成した新しいキューディレクトリーにこれらのファイルへのシンボリックリンクを作成します。このステップでは、上記のステップ b. でコピーしたファイルの名前が必要です。

      # ln -s /abs_path_to/qls/p001/efp/2048k/in_use/journal_1_file_name.jrnl jrnl2/queue-name/
      # ln -s /abs_path_to/qls/p001/efp/2048k/in_use/journal_2_file_name.jrnl jrnl2/queue-name/
      ...
      

      注記
      シンボリックリンクを作成する場合は、ソースファイルへの絶対パスを使用します。
   4. キューの各ジャーナルファイルに対して直前の手順を繰り返します。
      複数のパーティションが存在する場合は、どのジャーナルファイルがどのジャーナルファイルがどのパーティションに属するかを把握することが重要です。
      各ジャーナルファイルのファイルヘッダーの 16 進ダンプを検査して、この情報を取得できます。オフセット 26(0x1a)の 2 バイトの値に注意してください。

      # hexdump -Cn 4096 path/to/uuid.jrnl
      00000000  51 4c 53 66 02 00 00 00  1c 62 0c f1 e2 4c 42 0d  |QLSf.....b...LB.|  
      00000010  5a 6b 00 00 00 00 00 00  01 00 01 00 00 00 00 00  |Zk..............|
      00000020  00 02 00 00 00 00 00 00  00 10 00 00 00 00 00 00  |................|
      00000030  34 63 b9 54 00 00 00 00  8e 61 ef 2c 00 00 00 00  |4c.T.....a.,....|
      00000040  2f 00 00 00 00 00 00 00  08 00 54 70 6c 53 74 6f  |/.........TplSto|
      00000050  72 65 00 00 00 00 00 00  00 00 00 00 00 00 00 00  |re..............|
      00000060  00 00 00 00 00 00 00 00  00 00 00 00 00 00 00 00  |................|
      

      ディレクトリーのサイズディレクトリーが複数ある場合には pNNN/efp/、上記の手順 b. でコピーされるファイルのサイズを考慮し、それらが正しい efp サイズの in_use ディレクトリーにコピーされるようにする必要があります。

      例1.3 パーティションで使用されている複数のサイズ

      qls
       └── jrnl
            ├── queue-1
            │    └──jrnl1_file.jrnl  (size 2101248)
            └── queue-2
                 └──jrnl2_file.jrnl  (size 4198400)
      

      これら両方のファイルがパーティションに属すると仮定して pNNN、新しい pNNN/efp/2048k/ ディレクトリーにコピー jrnl1_file.jrnl され、新しい pNN/efp/4096k/ ディレクトリーに jrnl2_file.jrnl コピーされます。
6. トランザクション準備済みリスト(TPL)は、トランザクションの準備およびコミット/中止の境界を記録する特別なキューです。新しいストアでは、という新しいディレクトリーに置かれ tpl2ます。
   1. tpl2 ディレクトリーを作成します。

      # mkdir tpl2
      

   2. ジャーナルファイルがディレクトリーにあり、シンボリックリンクが新しい tpl tpl2 ディレクトリーに作成されている場合を除き、上記の手順 4 で説明するプロセスを繰り返します。
      1. 現在のジャーナルファイルを一覧表示します。

         # ls -la tpl
         

      2. ジャーナルファイルを tpl ディレクトリーから、上記の手順 4 の一部としてコピーした他のファイル pNNN/efp/[size]k/in_use と共に正しいディレクトリーにコピーします。

         # cp tpl/* p001/efp/2048k/in_use/
         

      3. 新しい tpl2 ディレクトリーにこれらのファイルへのシンボリックリンクを作成します。

         # ln -s abs_path_to/qls/p001/efp/2048k/in_use/efp_journal_1_file_name.jrnl tpl2/
         

      4. コピーした各ファイルに対して上記の手順を繰り返し tplます。
   複数のパーティションまたは複数の EFP サイズが使用されている場合は、上記の note 手順 4 を参照し、必要に応じて説明するように適切な調整を行います。
7. qls ディレクトリーの適切な所有権を復元します。

   # chown -R qpidd:qpidd /absolute_path_to/qls
   

8. qls ディレクトリーの SELinux コンテキストの復元

   # restorecon -FvvR /abs_path_to/qls
   

手順1.3 メッセージブローカートラフィックのファイアウォールの設定

1. テキストエディターで /etc/sysconfig/iptables ファイルを開きます。
2. ポートの着信接続を許可する INPUT ルールをファイル 5672 に追加します。新しいルールは、REJECT トラフィックの INPUT ルールの前に追加する必要があります。

   -A INPUT -p tcp -m tcp --dport 5672  -j ACCEPT

3. 変更内容を /etc/sysconfig/iptables ファイルに保存します。
4. iptables サービスを再起動して、ファイアウォールの変更を有効にします。

   # service iptables restart

手順1.4 推定メッセージサイズ

1. デフォルトのメッセージヘッダーコンテンツ（Java タイムスタンプや message-id など）: 55 バイト
2. ルーティングキー（例： "testQ" = 5 バイト）
3. Java クライアントは以下を追加します。
   • content-type （「text/plain」の場合は 10 バイト）
   • user-id （認証のために SASL に渡されるユーザー名、文字列サイズに等しいバイト数）
4. アプリケーションヘッダー：
   • アプリケーションヘッダーのオーバーヘッド - 8 バイト
   • テキストヘッダープロパティーの場合： property_name_size + property_value_size + 4 bytes

手順1.5 ログからのメッセージサイズの決定

1. 以下を追加してトレースロギングを有効に /etc/qpid/qpidd.confします。

   log-enable=trace+:qpid::SessionState::receiverRecord
   log-enable=info+
   log-to-file=/path/to/file.log

   このロギングは大量のディスク領域を消費するため、テストの実行後にこの行を削除して、オフにする必要があります。
2. (re)Broker を起動します。
3. qpid クライアントからサンプルメッセージパターンを送信します。このサンプルメッセージパターンは、メッセージヘッダーとボディーの平均サイズが実際のユースケースに一致するように、通常の使用状況に対応する必要があります。
4. メッセージパターンの送信後、ログファイル内のログレコード用に grep を実行します。

   2012-10-16 08:56:20 trace guest@QPID.2fa0df51-6131-463e-90cc-45895bea072c: recv cmd 2: header (121 bytes); properties={{MessageProperties: content-length=9; message-id=d096f253-56b9-33df-9673-61c55dcba4ae; content-type=text/plain; user-id=guest; application-headers={property1:V2:6:str16(value1),property2:V2:6:str16(value2)}; }{DeliveryProperties: priority=4; delivery-mode=2; timestamp=1350370580363; exchange=; routing-key=testQ; }}

   このサンプルのログエントリーには、ヘッダーサイズ（121 バイト）とメッセージボディーサイズ（この場合は 9 バイト）の両方が content-length=9 として含まれます。

• Red Hat Enterprise Messaging は通常、実稼働環境のシナリオではサービスとして実行されます。root 権限でブローカーをサービスとして起動するには、以下のコマンドを実行します。

  service qpidd start

  メッセージブローカーは以下のメッセージで開始します。

  Starting Qpid AMQP daemon:                                 [  OK  ]

• サービスとして実行中のブローカーの状態を確認するには、service status コマンドを使用します。コマンドでブローカーを停止し service stopます。

  # service qpidd status
  qpidd (pid PID) is running...
  
  # service qpidd stop
  Stopping Qpid AMQP daemon:                                 [  OK  ]
  

• root で以下のコマンドを実行します。

  chkconfig qpidd on

1. 利用可能なポート（例： 5555 および 5556 ）を選択します。
2. --data-dir コマンドを使用して、新しいブローカーを起動し、それぞれに新しいデータディレクトリーを指定します。

   $ qpidd -p 5555 --data-dir /tmp/qpid/store/1

   $ qpidd -p 5556 --data-dir /tmp/qpid/store/2

手順6.1 メッセージングサーバーでの Infiniband の設定

• Infiniband 用にロック可能なメモリーの割り当て

  編集 /etc/security/limits.conf して、Infiniband のロック可能なメモリーを割り当てます。
  たとえば、サーバーを実行しているユーザーが qpidd で、64 接続(64*8192=524288)をサポートする場合は、以下のエントリーを追加します。

  qpidd soft memlock 524288
  qpidd hard memlock 524288
  

手順6.2 メッセージングクライアントでの Infiniband の設定

• Infiniband 用にロック可能なメモリーの割り当て

  ロック可能なメモリー /etc/security/limits.conf を割り当てるには編集します。
  全ユーザーの制限（例： 16 接続をサポートする(16 *8192=32768)を設定するには、以下のエントリーを追加します。

  * soft memlock 32768
  

  特定ユーザーの制限を設定する場合は、制限を設定する際にそのユーザーの UID を使用します。

  andrew soft memlock 32768
  

手順8.1 ローカルパスワードファイルを使用した SASL の設定

1. saslpasswd2 コマンドを使用して、新しいユーザーをデータベースに追加します。認証および ACL 承認のユーザー ID は、フォームを使用し user-id@domainます。
   ブローカーに正しいレルムが設定されていることを確認します。これは、設定ファイルを編集するか、-u オプションを使用して実行できます。ブローカーのデフォルトレルムはです QPID。

   # saslpasswd2 -f /var/lib/qpidd/qpidd.sasldb -u QPID new_user_name

2. 既存のユーザーアカウントは、以下の -f オプションを使用して一覧表示できます。

   # sasldblistusers2 -f /var/lib/qpidd/qpidd.sasldb
   

   注記
   のユーザーデータベース /var/lib/qpidd/qpidd.sasldb は、 qpidd ユーザーがのみ読み取り可能です。 qpidd ユーザー以外のユーザーからブローカーを起動する場合は、設定ファイルを変更するか、認証をオフにする必要があります。

   このファイルは、qpidd ユーザーが読み取る必要があることに注意してください。このファイルを削除して再作成すると、qpidd ユーザーに読み取り権限があることを確認してください。認証試行は失敗します。
3. 認証をオンまたはオフにするには、ブローカーの起動時に auth yes|no オプションを使用します。

   # /usr/sbin/qpidd --auth yes
   
   # /usr/sbin/qpidd --auth no
   

   また、/etc/qpid/qpidd.conf 設定ファイルに適切な行を追加して、認証をオンまたはオフにすることもできます。

   auth=no
   
   auth=yes
   

   SASL 設定ファイルは Red Hat Enterprise Linux /etc/sasl2/qpidd.conf のにあります。

1. ACL の使用を開始するには、--acl-file コマンドを使用してパスとファイル名を指定します。ファイル名には以下の .acl 拡張子が必要です。

   $ qpidd --acl-file ./aclfilename.acl

2. 必要に応じて、--connection-limit-per-user およびコマンドを使用して、ユーザーごとにアクティブな接続の数を制限することが --connection-limit-per-ip できます。この制限は、--acl-file コマンドが指定されている場合にのみ適用できます。
3. cat コマンドでファイルを表示し、テキストエディターで編集できるようになりました。パスとファイル名が見つからない場合は、起動に qpidd 失敗します。

1. qpidd ブローカーまたは qpidd メッセージングクライアントを実行する各マシンに、Kerberos ワークステーションソフトウェアおよび Cyrus SASL GSSAPI をインストールします。

   $ sudo yum install cyrus-sasl-gssapi krb5-workstation
   

2. の mech_list 行 /etc/sasl2/qpidd.conf を以下のように変更します。

   mech_list: GSSAPI

3. 次の行を追加 /etc/qpid/qpidd.confします。

   auth=yes
   realm=QPID

4. Kerberos データベースに Qpid ブローカーを登録します。
   従来は、Kerberos プリンシパルはプライマリー、インスタンス、レルムの 3 つの部分に分けられます。一般的な Kerberos V5 形式は以下のとおりです primary/instance@REALM。ブローカーの場合、プライマリーは qpiddインスタンスは完全修飾ドメイン名で、REALM は Kerberos ドメインレルムです。デフォルトでは、このレルムはですが QPID、以下の例に従って qpid.conf で異なるレルムを指定できます。

   realm=EXAMPLE.COM

   たとえば、完全修飾ドメイン名で Kerberos ドメイン名が dublduck.example.com の場合 EXAMPLE.COM、プリンシパル名はになり qpidd/dublduck.example.com@EXAMPLE.COMます。

   FDQN=`hostname --fqdn`
   REALM="EXAMPLE.COM"
   kadmin -r $REALM  -q "addprinc -randkey -clearpolicy qpidd/$FQDN"

   これで、ブローカーの Kerberos キータブファイルを作成します。ブローカーはキータブファイルへの読み取りアクセスが必要になります。以下のスクリプトはキータブファイルを作成し、ブローカーの読み取りアクセスを許可します。

   QPIDD_GROUP="qpidd"
   kadmin -r $REALM  -q "ktadd -k /etc/qpidd.keytab qpidd/$FQDN@$REALM"
   chmod g+r /etc/qpidd.keytab
   chgrp $QPIDD_GROUP /etc/qpidd.keytab
   

   キータブファイルのデフォルトの場所はです /etc/krb5.keytab。別のキータブファイルを使用する場合は、以下のように KRB5_KTNAME 環境変数にファイルの名前を含める必要があります。

   export KRB5_KTNAME=/etc/qpidd.keytab

   正しく設定されている場合、に設定して Kerberos サポートをブローカーで有効にできるようになりました。 AUTH および realm にあるオプション /etc/qpid/qpidd.conf:

   CDATA[# /etc/qpid/qpidd.conf
   auth=yes
   realm=EXAMPLE.COM

   ブローカーを再起動して、これらの設定をアクティベートします。
5. 各 Qpid ユーザーが Kerberos データベースに登録され、クライアントマシンで Kerberos が正しく設定されていることを確認してください。Qpid ユーザーは、Qpid メッセージングクライアントを実行するアカウントです。正しく設定されている場合、以下のコマンドは成功します。

   $ kinit user@REALM.COM

6. Java JMS クライアントの追加設定

   Java JMS クライアントには追加の手順が必要です。
   1. Java JVM は以下の引数で実行する必要があります。

      -Djavax.security.auth.useSubjectCredsOnly=false

      現在のスレッドを所有する「subject」から取得する代わりに、SASL GSSAPI クライアントが Kerberos 認証情報を明示的に取得するよう強制します。

      -Djava.security.auth.login.config=myjas.conf

      jass 設定ファイルを指定します。以下は、JASS 設定ファイルのサンプルです。

      com.sun.security.jgss.initiate {
          com.sun.security.auth.module.Krb5LoginModule required useTicketCache=true;
      };

      -Dsun.security.krb5.debug=true

      トラブルシューティングの詳細なデバッグ情報を有効にします。

   2. クライアント接続 URL は、以下の Kerberos 固有のブローカープロパティーを指定する必要があります。
      • sasl_mechsをに設定する必要があり GSSAPIます。
      • sasl_protocolqpidd ブローカーのプリンシパルに設定する必要があります（例：/） qpidd。
      • sasl_serverSASL サーバーのホストに設定する必要があります（例：） sasl.com。
      Kerberos 接続の接続 URL の例を以下に示します。

      amqp://guest@clientid/testpath?brokerlist='tcp://localhost:5672?sasl_mechs='GSSAPI'&sasl_protocol='qpidd'&sasl_server='<server-host-name>''

1. 認証局(CA)により署名された証明書が必要です。この証明書はクライアントによって信頼される必要もあります。サーバー認証に加えてクライアント認証が必要な場合は、クライアント証明書も CA で署名し、ブローカーによって信頼される必要があります。
   証明書データベースは、Mozilla Network Security Services(NSS) certutil ツールにより作成および管理されます。このユーティリティーの詳細は、Mozilla Web サイト （SSL 接続の設定およびテストのチュートリアルなど）を参照してください。証明書データベースは通常、パスワードで保護されます。パスワードを指定する最も安全な方法は、データベースの作成時にパスワードファイルを使用し、ブローカーの起動時に ssl-cert-password-file オプションでパスワードファイルを指定することです。
   以下のスクリプトは、certutil を使用して証明書データベースを作成する方法を示しています。

   mkdir ${CERT_DIR}
   certutil -N -d ${CERT_DIR} -f ${CERT_PW_FILE}
   certutil -S -d ${CERT_DIR} -n ${NICKNAME} -s "CN=${NICKNAME}" -t "CT,," -x -f ${CERT_PW_FILE} -z /usr/bin/certutil
   

   ブローカーの起動時 ssl-cert-password-file に ${CERT_PW_FILE} の値を設定 ssl-cert-db し、${CERT_DIR} の値に設定し、${NICKNAME} の値 ssl-cert-name に設定し ます。
2. ブローカーの起動時に以下の SSL オプションを使用できます。

   --ssl-use-export-policy

   NSS エクスポートポリシーを使用します。このオプションを指定すると、サーバーは NSS エクスポートポリシーを使用した暗号化のUS エクスポート制限に準拠します。指定しない場合、サーバーはそのポリシーを使用します。詳細は、Mozilla SSL Export Policy Function のドキュメント を参照してください。

   --ssl-cert-password-file PATH

   必須。証明書データベースへのアクセスに使用するパスワードを含むプレーンテキストファイル。

   --ssl-cert-db PATH

   必須。証明書データベースが含まれるディレクトリーへのパス。

   --ssl-cert-name NAME

   使用する証明書の名前。デフォルトはです localhost.localdomain。

   --ssl-port NUMBER

   SSL 接続をリッスンするポート。ポートを指定しないと、ポート 5671 が使用されます。

   選択した SSL ポートが SSL 以外の接続のポートと同じ場合（例： --ssl-port と --port オプションが同じ場合）、SSL 暗号化および暗号化されていない接続の両方を同じポートに確立できます。ただし、この設定では IPv6 はサポートされません。

   --ssl-require-client-authentication

   SSL ハンドシェイク中に SSL クライアント認証（クライアント証明書の検証）が必要になります。これは SASL 認証の前に発生し、SASL から独立しています。

   このオプションは、SSL 接続の EXTERNAL SASL メカニズムを有効にします。クライアントが EXTERNAL メカニズムを選択する場合、クライアントのアイデンティティーは検証された SSL 証明書から取得され CN、を使用して、ドメイン DCを作成します。たとえば、証明書にプロパティーが含まれる場合 CN=bob DC=acme DC=com、クライアントのアイデンティティーはになり bob@acme.comます。

   クライアントが別の SASL メカニズムを選択する場合、クライアント証明書からアイデンティティーの取得は、SASL ハンドシェイク時にネゴシエートされたものに置き換えられます。

   --ssl-sasl-no-dict

   ディクショナリー攻撃によって攻撃される可能性のある SASL メカニズムを許可しないでください。これにより、よりも弱いメカニズムが選択されないようにします。これは EXTERNAL、ディクショナリー攻撃による影響を受けません。

   --require-encryption

   これにより、暗号化された接続 qpidd のみが許可されます。これは、SSL-port 上で EXTERNAL SASL を使用するクライアント、または TCP ポートに GSSAPI を使用するクライアントのみを意味します。

手順8.2 ブローカーでの SSL 証明書の作成

1. ブローカーで以下のコマンドを実行し、証明書をエクスポートします。

   # cd /var/lib/qpidd
   
   # mkdir qpid_nss_db
   # cd qpid_nss_db
   # ls
   # echo password > ssl_pw_file
   # cat ssl_pw_file
   password
   
   # certutil -S -d . -n qrootCA -s "CN=qrootCA" -t "CT,," -x -m 1000 -v 120 -f ssl_pw_file
   # certutil -S -n "fully-qualified-server-name.com" -s "CN="fully-qualified-server-name.com -c qrootCA -t ",," -m 1001 -v 120 -d . -f ssl_pw_file
   # certutil -S -n client -s "CN=client" -t ",," -m 1005 -v 120 -c qrootCA -d . -f ssl_pw_file
   # pk12util -d . -o client.p12 -n client
   Enter Password or Pin for "NSS Certificate DB":
   Enter Password or Pin for "NSS Certificate DB":
   Enter password for PKCS12 file:
   Re-enter password:
   pk12util: PKCS12 EXPORT SUCCESSFUL
   # openssl pkcs12 -in client.p12 -out client.pem -nodes -clcerts
   Enter Import Password:
   MAC verified OK

2. ファイルが存在することを確認します。

   # ls
   cert8.db  client.p12  client.pem  key3.db  secmod.db  ssl_pw_file

手順8.3 qpid_nss_db フォルダーを他のブローカーマシンにコピーし、その所有者 qpidd として設定します。

1. 他のブローカーで以下のコマンドを実行し、最初のブローカーからファイルをコピーします。

   # scp -r qpid_nss_db root@other-broker.com:/var/lib/qpidd
   # chown -R qpidd:qpidd qpid_nss_db

2. ファイルとそのパーミッションを確認します。

   # ll
   total 89896
   -rw-r-----. 1 qpidd qpidd        0 Jul 16 06:27 lock
   -rw-r--r--. 1 qpidd qpidd 91989014 Nov  1 06:52 qpidd.log
   -rw-------. 1 qpidd qpidd    12288 Oct  7 05:32 qpidd.sasldb
   drwxr-xr-x. 2 qpidd qpidd     4096 Nov  6 04:32 qpid_nss_db
   -rw-r-----. 1 qpidd qpidd       37 Jul 16 06:27 systemId

手順8.4 ブローカー設定ファイルの変更

• ブローカー設定ファイルを編集し /etc/qpid/qpidd.confます。

  ssl-require-client-authentication=no
  log-to-file=/var/lib/qpidd/qpidd.log
  ssl-port=5671
  log-enable=info+
  ssl-cert-password-file=/var/lib/qpidd/qpid_nss_db/ssl_pw_file
  ssl-cert-name=fully-qualified-server-name.com
  auth=no
  ssl-cert-db=/var/lib/qpidd/qpid_nss_db

手順8.5 ブローカーの起動

• ブローカーを起動し、SSL ポートでリッスンしていることを確認します。

  # service qpidd restart
  Stopping Qpid AMQP daemon:             [  OK  ]
  Starting Qpid AMQP daemon:             [  OK  ]
  
  # netstat -nap | grep qpidd
  tcp        0      0 0.0.0.0:5671                0.0.0.0:*                   LISTEN      25184/qpidd
  tcp        0      0 0.0.0.0:5672                0.0.0.0:*                   LISTEN      25184/qpidd
  tcp        0      0 :::5671                     :::*                        LISTEN      25184/qpidd
  tcp        0      0 :::5672                     :::*                        LISTEN      25184/qpidd
  

手順8.6 Windows マシンにエクスポートするフォルダーの作成

1. 以下の手順を実行します。
   • Windows マシンにエクスポートするフォルダーの作成
   • .txt 形式で新しいパスワードファイルを作成します。
   • 認証局の証明書を .cer 形式にエクスポート
   • クライアント証明書を .pfx 形式にエクスポートする

   # mkdir windir
   # echo password2 > windir/win_pw_file.txt
   # cat windir/win_pw_file.txt
   password2
   # certutil -L -d qpid_nss_db -n qrootCA -f ssl_pw_file -a > windir/qrootCA.cer
   # pk12util -d qpid_nss_db -n client  -k qpid_nss_db/ssl_pw_file -w windir/win_pw_file.txt -o windir/client.pfx
           pk12util: PKCS12 EXPORT SUCCESSFUL

2. ファイルが存在することを確認します。

   # ls windir
   client.pfx  qrootCA.cer  win_pw_file.txt

手順8.7 Windows マシンへのファイルのコピー

• Windows マシンに windir フォルダーをコピーします。

手順8.8 認証局のインストール - GUI

1. Windows マシンでの実行 mmc
2. File / をクリックします。 Add/Remove Snap-in...
3. Certificates -> -> Add -> -> Computer account -> Local computer Finish -> を選択します。 OK
4. コンソールのアンパック証明書（ローカルコンピューター）
5. Trusted Root Certification Authorities を右クリックし、選択します。 All Tasks/Import...
6. パスを qrootCA.cer ファイルに設定し、Trusted Root Certification Authorities 証明書ストアを選択してアクションを確認し、コンソール設定を保存します。

手順8.9 認証局のインストール - コマンドライン

• 以下のコマンドを実行して、コマンドラインで証明書をインポートします。

  certmgr.exe -add -c C:\windir\qrootca.cer -s -r localMachine root

手順8.10 接続のテスト

• コマンドラインで以下のコマンドを実行し、接続をテストします（環境変数を設定する必要はありません）。

  C:\qpid_VS2008\bin\Release>spout.exe --broker broker-server.com:5671 --connection-options {transport:ssl} "amq.topic"

手順8.11 Windows 証明書ストアへの証明書のインストール

1. run mmc
2. File / をクリックします。 Add/Remove Snap-in...
3. Certificates -> -> Add> -> My user account Finish -> を選択します。 OK
4. コンソールの展開 Certificates - Current User
5. 右クリックし Personalます。
6. を選択し All Tasks / Importます。
7. client.pfx ファイルへのパスの割り当て
8. をクリックし Nextます。
9. からのパスワードを入力します win_pw_file.txt （この場合はpassword2 ）。
10. コンソール設定 Certificate Store Personal を選択して保存します。
11. ブローカー設定を変更してクライアント認証を必要とするようにし、再起動します。
12. 環境変数を設定します。

    >set QPID_SSL_CERT_STORE=My
    >set QPID_SSL_CERT_NAME=client

13. メッセージを送信してテストします。

    >C:\qpid_VS2008\bin\Release>spout.exe --broker broker-server.com:5671 --connection-options {transport:ssl,sasl-mechanisms:EXTERNAL} amq.topic
    

手順8.12 環境経由で証明書を指定する

1. Windows マシンに環境変数を設定します。

   >set QPID_SSL_CERT_FILENAME=<path_to_the_client.pfx>
   >set QPID_SSL_CERT_PASSWORD_FILE=<path_to_the_win_pw_file.txt>
   >set QPID_SSL_CERT_NAME=client

   例：

   >C:\qpid_VS2008\bin\Release>set QPID_SSL_CERT_FILENAME=C:\windir\client.pfx
   
   >C:\qpid_VS2008\bin\Release>set  QPID_SSL_CERT_PASSWORD_FILE=C:\windir\win_pw_fil
   e.txt
   
   >C:\qpid_VS2008\bin\Release>set QPID_SSL_CERT_NAME=client

2. メッセージを送信してテストします。

   C:\qpid_VS2008\bin\Release>spout.exe --broker broker-server.com:5671 --connection-options {transport:ssl,sasl-mechanisms:EXTERNAL} amq.topic

1. qpid-tool以下を開始します。

   $ qpid-tool admin/mysecretpassword@mybroker:5672
   Management Tool for QPID
   qpid:

2. ACL リストをチェックして、オブジェクト ID を取得します。

   qpid: list acl
   Object Summary:
       ID   Created   Destroyed  Index
       =================================
       103  12:57:41  -          116

3. 必要に応じて、ACL を確認できます。

   qpid: show 103
   Object of type: org.apache.qpid.acl:acl:_data(23510fc1-dc51-a952-39c2-e18475c1677e)
       Attribute              103
       =================================================
       brokerRef              116
       policyFile             /tmp/reload.acl
       enforcingAcl           True
       transferAcl            False
       lastAclLoad            Tue Oct 30 12:57:41 2012
       maxConnectionsPerIp    0
       maxConnectionsPerUser  0
       maxQueuesPerUser       0
       aclDenyCount           0
       connectionDenyCount    0
       queueQuotaDenyCount    0

4. ACL を再読み込みするには、ACL オブジェクトの reload メソッドを呼び出します。

   qpid: call 103 reloadACLFile
   qpid: OK (0) - {}

1. ACL ファイルのユーザー ID は <user-id>@<domain> の形式になります。ドメインはブローカーの SASL 設定を使用して設定され、qpidd の domain/realm は使用され、--realm デフォルトは「QPID」に設定されています。
2. ACL ファイル内の各行は、ユーザーに特定の権限を付与または拒否します。
   1. ACL ファイルの最後の行がの場合 acl deny all all、ACL は 拒否モード を使用し、明示的に許可される権限のみが付与されます。

      acl allow user@QPID all all
      acl deny all all
      

      このサーバーでは、拒否モードがデフォルトです。アクションは実行 user@QPID できますが、nobody は使用できません。
   2. ACL ファイルの最後の行がの場合 acl allow all all、ACL は 許可モード を使用し、明示的に拒否されるもの以外のすべての権限が付与されます。

      acl deny user@QPID all all
      acl allow all all
      

      このサーバーでは、allow mode がデフォルトになります。ACL は他のすべてのユーザーがアクションの実行を許可しますが、user@QPID すべてのパーミッションを拒否します。
3. ACL 処理は、以下の行のいずれかが発生すると終了します。

   acl allow all all
   

   acl deny all all
   

   このステートメントの 1 つの行は無視されます。

   acl allow all all
   acl deny user@QPID all all # This line is ignored !!!
   

4. ACL 構文は、特定のアクションに対して詳細なアクセス権限を許可します。

   acl allow carlt@QPID create exchange name=carl.*
   acl allow fred@QPID create all
   acl allow all consume queue
   acl allow all bind exchange
   acl deny all all
   

5. ACL ファイルはユーザーグループを定義して、そのファイルにパーミッションを割り当てることができます。

   group admin ted@QPID martin@QPID
   acl allow admin create all
   acl deny all all
   

1. user = all、host != all
   これらはグローバルルールを定義し、特定のユーザールールの前に適用されます。これらのルールを使用して、AMPQ プロトコルが実行され、ユーザー名がネゴシエートされる前に接続を拒否することができます。
2. user != all、host = any legal host or 'all'
   これらは、ユーザールールを定義します。これらのルールはグローバルルールの後に適用され、AMQP プロトコルでユーザー ID がネゴシエートされた後に適用されます。
3. user = all、host = all
   このルールは、他のルールがマッチしない場合に何を実行するかを定義します。デフォルト値は「ALLOW」です。このタイプのルールは 1 つだけ定義できます。

手順9.1 qpidd HA コンポーネントのインストール手順

1. 端末を開き、スーパーユーザーアカウントに切り替えます。
2. yum install qpid-cpp-server-ha を実行して、必要なすべてのコンポーネントをインストールします。

手順9.2 Red Hat Linux HA クラスターコンポーネントのインストール手順

1. 「 RHEL Server High Availability」チャンネルにシステムをサブスクライブします。
2. 端末を開き、スーパーユーザーアカウントに切り替えます。
3. yum install -y rgmanager ccs を実行して、必要なすべてのコンポーネントをインストールします。
4. HA クラスタリングを開始する前に、Network Manager を無効にします。ha クラスタリングは、Network Manager の開始または有効化で正常に機能しません。

   # chkconfig NetworkManager off

5. rgmanager、cman、および ricci サービスをアクティベートします。

   # chkconfig rgmanager on
   # chkconfig cman on
   # chkconfig ricci on

6. qpidd サービスを非アクティブにします。

   # chkconfig qpidd off

   rgmanager chkconfig が qpidd を起動し、停止するため、qpidd サービスは オフになっ ている必要があります。通常のシステム init プロセスも qpidd の起動および停止を試みると、rgmanager が qpidd プロセスの追跡を失う可能性があります。
   qpidd をオフにしないと、qpidd プロセスが実際に実行中の場合に停止される qpidd サービスが clustat 表示されます。この場合、qpidd ログには以下のようなエラーが表示されます。

   critical Unexpected error: Daemon startup failed: Cannot lock /var/lib/qpidd/lock: Resource temporarily unavailable

1. ricci サービスを起動します。

   service ricci start

2. 以前に ricci パスワードを設定していない場合は、ここで設定します。

   passwd ricci

3. 新規クラスターを作成します。

   ccs -h localhost --createcluster qpid-test

4. 3 つのノードを追加します。

   ccs -h localhost --addnode node1.example.com
   ccs -h localhost --addnode node2.example.com
   ccs -h localhost --addnode node3.example.com

5. をそれぞれに追加 failoverdomain します。

   ccs -h localhost --addfailoverdomain node1-domain restricted
   ccs -h localhost --addfailoverdomain node2-domain restricted
   ccs -h localhost --addfailoverdomain node3-domain restricted

6. をそれぞれに追加 failoverdomainnode します。

   ccs -h localhost --addfailoverdomainnode node1-domain node1.example.com
   ccs -h localhost --addfailoverdomainnode node2-domain node2.example.com
   ccs -h localhost --addfailoverdomainnode node3-domain node3.example.com

7. スクリプトを追加します。

   ccs -h localhost --addresource script name=qpidd file=/etc/init.d/qpidd
   ccs -h localhost --addresource script name=qpidd-primary file=/etc/init.d/qpidd-primary

8. 仮想 IP アドレスを追加します。

   ccs -h localhost --addresource ip address=20.0.20.200 monitor_link=1

9. 各ノードに qpidd サービスを追加します。失敗した場合は再起動する必要があります。

   ccs -h host --addservice node1-qpidd-service domain=node1-domain recovery=restart
   ccs -h localhost --addsubservice node1-qpidd-service script ref=qpidd
   ccs -h localhost --addservice node2-qpidd-service domain=node2-domain recovery=restart
   ccs -h localhost --addsubservice node2-qpidd-service script ref=qpidd
   ccs -h localhost --addservice node3-qpidd-service domain=node3-domain recovery=restart
   ccs -h localhost --addsubservice node3-qpidd-service script ref=qpidd

10. プライマリーサービスを追加し qpidd ます。これは一度に 1 つのノードでのみ実行され、任意のノードで実行できます。

    ccs --host localhost --addservice qpidd-primary-service recovery=relocate autostart=1 exclusive=0
    ccs -h localhost --addsubservice qpidd-primary-service script ref=qpidd-primary
    ccs -h localhost --addsubservice qpidd-primary-service ip ref=20.0.20.200