4.3. Operator ベースのブローカーデプロイメント用のセキュリティー設定の作成

1. カスタムリソース (CR) インスタンスの設定を開始して、ブローカーデプロイメントのユーザーと関連するセキュリティー設定を定義します。

   1. OpenShift コマンドラインインターフェイスの使用:

      1. ブローカーデプロイメントのプロジェクトに CR をデプロイする権限を持つユーザーとして OpenShift にログインします。

         oc login -u <user> -p <password> --server=<host:port>

      2. ダウンロードした Operator インストールアーカイブの deploy/crs ディレクトリーに含まれる broker_activemqartemissecurity_cr.yaml というサンプル CR ファイルを開きます。

   2. OpenShift Container Platform Web コンソールの使用

      1. ブローカーデプロイメントのプロジェクトに CR をデプロイする権限を持つユーザーとしてコンソールにログインします。
      2. アドレス CRD に基づいて新規 CR インスタンスを起動します。左側のペインで、Administration Custom Resource Definitions をクリックします。
      3. Active MQArtemis Security CRDをクリックします。
      4. Instances タブをクリックします。

      5. ActiveMQArtemisSecurity の作成をクリックします。

         コンソールで、YAML エディターが開き、CR インスタンスを設定できます。

2. CR の Spec セクションで、ユーザーとロールを定義する行を追加します。以下に例を示します。

   apiVersion: broker.amq.io/v1beta1
   kind: ActiveMQArtemisSecurity
   metadata:
     name: ex-prop
   spec:
     loginModules:
       propertiesLoginModules:
         - name: "prop-module"
           users:
             - name: "sam"
               password: "samspassword"
               roles:
                 - "sender"
             - name: "rob"
               password: "robspassword"
               roles:
                 - "receiver"
     securityDomains:
       brokerDomain:
         name: "activemq"
         loginModules:
           - name: "prop-module"
             flag: "sufficient"
     securitySettings:
       broker:
         - match: "#"
           permissions:
             - operationType: "send"
               roles:
                 - "sender"
             - operationType: "createAddress"
               roles:
                 - "sender"
             - operationType: "createDurableQueue"
               roles:
                 - "sender"
             - operationType: "consume"
               roles:
                 - "receiver"
                 ...

   注記

   前の例の要素には常に値を指定してください。たとえば、securityDomains.brokerDomain の値またはロールの値を指定しないと、設定によって予期しない結果が生じる可能性があります。

   上記の設定では、ユーザーを 2 つ定義しています。

   • sender のロールが割り当てられた sam という名前のユーザーを定義する prop-module という propertiesLoginModule。
   • receiver のロールが割り当てられた rob という名前のユーザーを定義する prop-module という propertiesLoginModule。

   これらのロールのプロパティーは、 securityDomains セクションの brokerDomain セクションと broker セクションで定義されます。たとえば、send ロールは、そのロールが割り当てられたユーザーが任意のアドレスに永続キューを作成できるように定義されています。デフォルトでは、設定は現在のネームスペースの CR によって定義されたすべてのデプロイ済みブローカーに適用されます。特定のブローカーに設定を限定する場合は、「セキュリティーのカスタムリソースの設定リファレンス」 に記載の applyToCrNames オプションを使用します。

   注記

   metadata セクションで、namespace プロパティーを追加し、OpenShift Container Platform Web コンソールを使用して CR インスタンスを作成する場合にのみ値を指定する必要があります。指定する値は、ブローカーデプロイメントの OpenShift プロジェクトの名前です。

3. CR インスタンスをデプロイします。

   1. OpenShift コマンドラインインターフェイスの使用:

      1. CR ファイルを保存します。

      2. ブローカーデプロイメントのプロジェクトに切り替えます。

         $ oc project <project_name>

      3. CR インスタンスを作成します。

         $ oc create -f <path/to/address_custom_resource_instance>.yaml

   2. OpenShift Web コンソールの使用

      1. CR の設定が完了したら、Create をクリックします。

手順

1. oc create secret コマンドを使用してシークレットを作成し、各ユーザーの名前とパスワードを追加します。シークレット名は、security-properties-module name の命名規則に従う必要があります。ここで、module name は、CR で設定されたログインモジュールの名前です。以下に例を示します。

   oc create secret generic security-properties-prop-module \
     --from-literal=sam=samspassword \
     --from-literal=rob=robspassword

2. CR の spec セクションで、ロール情報とともにシークレットで指定したユーザー名を追加しますが、各ユーザーのパスワードは含めません。以下に例を示します。

   apiVersion: broker.amq.io/v1beta1
   kind: ActiveMQArtemisSecurity
   metadata:
     name: ex-prop
   spec:
     loginModules:
       propertiesLoginModules:
         - name: "prop-module"
           users:
             - name: "sam"
               roles:
                 - "sender"
             - name: "rob"
               roles:
                 - "receiver"
     securityDomains:
       brokerDomain:
         name: "activemq"
         loginModules:
           - name: "prop-module"
             flag: "sufficient"
     securitySettings:
       broker:
         - match: "#"
           permissions:
             - operationType: "send"
               roles:
                 - "sender"
             - operationType: "createAddress"
               roles:
                 - "sender"
             - operationType: "createDurableQueue"
               roles:
                 - "sender"
             - operationType: "consume"
               roles:
                 - "receiver"
                 ...

3. CR インスタンスをデプロイします。

   1. OpenShift コマンドラインインターフェイスの使用:

      1. CR ファイルを保存します。

      2. ブローカーデプロイメントのプロジェクトに切り替えます。

         $ oc project <project_name>

      3. CR インスタンスを作成します。

         $ oc create -f <path/to/address_custom_resource_instance>.yaml

   2. OpenShift Web コンソールの使用

      1. CR の設定が完了したら、Create をクリックします。