6.4. Kerberos との統合
AMQP プロトコルでメッセージを送受信する場合、クライアントは Simple Authentication and Security Layer (SASL) フレームワークの GSSAPI メカニズムを使用して、AMQ Broker が認証する Kerberos セキュリティー認証情報を送信できます。Kerberos 認証情報は、認証されたユーザーを LDAP ディレクトリーまたはテキストベースのプロパティーファイルで設定された割り当てられたロールにマッピングすることで、承認にも使用できます。
Transport Layer Sockets (TLS) と SASL を併用して、メッセージングアプリケーションのセキュリティーを確保できます。SASL はユーザー認証を行い、TLS はデータの整合性を確保します。
AMQ Broker が Kerberos 認証情報を認証および承認する前に、Kerberos インフラストラクチャーをデプロイし、設定する必要があります。Kerberos のデプロイメントに関する詳細は、オペレーティングシステムのドキュメントを参照してください。たとえば、オペレーティングシステムが RHEL 7 の場合は、システムレベル認証ガイドの Kerberos の使用 の章を参照してください。Windows 用の Kerberos 認証の概要 も利用できます。
AMQ Broker が Kerberos 認証情報を認証および承認する前に、Kerberos インフラストラクチャーをデプロイし、設定する必要があります。
Oracle または IBM JDK のユーザーは、Java Cryptography Extension(JCE) をインストールする必要があります。詳細は、Oracle version of the JCE または IBM version of the JCE のドキュメントを参照してください。
6.4.1. Kerberos を使用するためのネットワーク接続の有効化
AMQ Broker は、Simple Authentication and Security Layer (SASL) フレームワークの GSSAPI メカニズムを使用して、Kerberos セキュリティー認証情報と統合します。AMQ Broker で Kerberos を使用するには、Kerberos 認証情報を使用するクライアントを認証または承認する各 acceptor を GSSAPI メカニズムを使用するように設定する必要があります。
前提条件
AMQ Broker が Kerberos 認証情報を認証および承認する前に、Kerberos インフラストラクチャーをデプロイし、設定する必要があります。
手順
ブローカーを停止します。
ブローカーが Linux で実行されている場合:
BROKER_INSTANCE_DIR/bin/artemis stopブローカーがサービスとして Windows で実行されている場合:
BROKER_INSTANCE_DIR\bin\artemis-service.exe stop
-
BROKER_INSTANCE_DIR/etcにあるbroker.xml設定ファイルを開きます。 次の例に示すように、名前と値のペア
saslMechanisms=GSSAPIを、acceptorの URL のクエリー文字列に追加します。<acceptor name="amqp"> tcp://0.0.0.0:5672?protocols=AMQP;saslMechanisms=GSSAPI </acceptor>
その結果、Kerberos クレデンシャルの認証時に GSSAPI メカニズムを使用するアクセプターが作成されます。
(オプション)
PLAINおよびANONYMOUSSASL メカニズムもサポートされます。GSSAPIに加えてこれらの他のメカニズムを使用する場合は、それらをsaslMechanismsのリストに追加します。各値は必ずコンマで区切ります。次の例では、名前と値のペアsaslMechanisms=GSSAPIを変更して、値PLAINを追加します。<acceptor name="amqp"> tcp://0.0.0.0:5672?protocols=AMQP;saslMechanisms=GSSAPI,PLAIN </acceptor>
結果は、
GSSAPIおよびPLAINSASL メカニズムの両方を使用するアクセプターです。ブローカーを起動します。
ブローカーが Linux で実行されている場合:
BROKER_INSTANCE_DIR/bin/artemis runブローカーがサービスとして Windows で実行されている場合:
BROKER_INSTANCE_DIR\bin\artemis-service.exe start
関連情報
アクセプターの詳細は、アクセプター を参照してください。
