5.2. クライアントの認証

手順

1. <broker_instance_dir>/etc/login.config 設定ファイルを開きます。デフォルトでは、新しい AMQ Broker 7.12 インスタンスのこのファイルには次の行が含まれます。

   activemq {
      org.apache.activemq.artemis.spi.core.security.jaas.PropertiesLoginModule sufficient
          debug=false
          reload=true
          org.apache.activemq.jaas.properties.user="artemis-users.properties"
          org.apache.activemq.jaas.properties.role="artemis-roles.properties";
            };

   activemq

   設定のエイリアス。

   org.apache.activemq.artemis.spi.core.security.jaas.PropertiesLoginModule

   実装クラス。

   sufficient

   PropertiesLoginModule に必要とされる成功レベルを指定するフラグ。設定可能な値は次のとおりです。

   • 必須: ログインモジュールが正常に実行される必要があります。認証は、成功または失敗に関係なく、指定のエイリアスで設定されたログインモジュールのリストの実行をそのまま継続します。
   • 必須: ログインモジュールが正常に実行される必要があります。失敗により、即座に制御がアプリケーションに返されます。認証は、指定のエイリアス下で設定されたログインモジュールのリストを実行しません。
   • sufficient: ログインモジュールは正常に実行される必要はありません。成功した場合には、制御がアプリケーションに返り、認証はこれ以上続行しません。認証に失敗すると、認証試行により、指定のエイリアス下で設定されたログインモジュールのリストが続行されます。
   • オプション: ログインモジュールは正常に実行される必要はありません。認証は、成功または失敗に関係なく、指定のエイリアスで設定されたログインモジュールのリストを継続します。

   org.apache.activemq.jaas.properties.user

   ログインモジュール実装のユーザーとパスワードのセットを定義するプロパティーファイルを指定します。

   org.apache.activemq.jaas.properties.role

   ユーザーをログインモジュール実装に定義されたロールにマップするプロパティーファイルを指定します。

2. <broker_instance_dir>/etc/artemis-users.properties 設定ファイルを開きます。

3. ユーザーを追加して、ユーザーにパスワードを割り当てます。以下に例を示します。

   user1=secret
   user2=access
   user3=myPassword

4. <broker_instance_dir>/etc/artemis-roles.properties 設定ファイルを開きます。

5. artemis-users.properties ファイルに追加したユーザーにロール名を割り当てます。以下に例を示します。

   admin=user1,user2
   developer=user3

6. <broker_instance_dir>\etc\bootstrap.xml 設定ファイルを開きます。

7. 必要に応じて、以下のようにセキュリティードメインエイリアス (このインスタンスでは activemq) をファイルに追加します。

   <jaas-security domain="activemq"/>

手順

1. 基本的なユーザーとパスワード認証用に指定した <broker_instance_dir>/etc/login.config 設定ファイルを開きます。

2. 以前追加したプロパティーログインモジュール設定の後に、ゲストログインモジュール設定を追加します。以下に例を示します。

   activemq {
     org.apache.activemq.artemis.spi.core.security.jaas.PropertiesLoginModule sufficient
         debug=true
         org.apache.activemq.jaas.properties.user="artemis-users.properties"
         org.apache.activemq.jaas.properties.role="artemis-roles.properties";
   
     org.apache.activemq.artemis.spi.core.security.jaas.GuestLoginModule sufficient
         debug=true
         org.apache.activemq.jaas.guest.user="guest"
         org.apache.activemq.jaas.guest.role="restricted";
   };

   org.apache.activemq.artemis.spi.core.security.jaas.GuestLoginModule

   実装クラス。

   org.apache.activemq.jaas.guest.user

   匿名ユーザーに割り当てられたユーザー名。

   org.apache.activemq.jaas.guest.role

   匿名ユーザーに割り当てられたロール。

手順

1. 以前ブローカーキーストアにインポートされたユーザー証明書からサブジェクト 識別名 (DN) を取得します。

   1. キーストアファイルから一時ファイルに証明書をエクスポートします。以下に例を示します。

      keytool -export -file <file_name> -alias broker-localhost -keystore broker.ks -storepass <password>

   2. エクスポートされた証明書の内容を出力します。

      keytool -printcert -file <file_name>

      出力は以下のようになります。

      Owner: CN=localhost, OU=broker, O=Unknown, L=Unknown, ST=Unknown, C=Unknown
      Issuer: CN=localhost, OU=broker, O=Unknown, L=Unknown, ST=Unknown, C=Unknown
      Serial number: 4537c82e
      Valid from: Thu Oct 19 19:47:10 BST 2006 until: Wed Jan 17 18:47:10 GMT 2007
      Certificate fingerprints:
               MD5:  3F:6C:0C:89:A8:80:29:CC:F5:2D:DA:5C:D7:3F:AB:37
               SHA1: F0:79:0D:04:38:5A:46:CE:86:E1:8A:20:1F:7B:AB:3A:46:E4:34:5C

      Owner エントリーは Subject DN です。Subject DN の入力の使用形式はプラットフォームによって異なります。上記の文字列は、以下のように表現することもできます。

      Owner: `CN=localhost,\ OU=broker,\ O=Unknown,\ L=Unknown,\ ST=Unknown,\ C=Unknown`

2. 証明書ベースの認証を設定します。

   1. <broker_instance_dir>/etc/login.config 設定ファイルを開きます。証明書ログインモジュールを追加し、ユーザーとロールのプロパティーファイルを参照します。以下に例を示します。

      activemq {
          org.apache.activemq.artemis.spi.core.security.jaas.TextFileCertificateLoginModule
              debug=true
              org.apache.activemq.jaas.textfiledn.user="artemis-users.properties"
              org.apache.activemq.jaas.textfiledn.role="artemis-roles.properties";
      };

      org.apache.activemq.artemis.spi.core.security.jaas.TextFileCertificateLoginModule

      実装クラス。

      org.apache.activemq.jaas.textfiledn.user

      ログインモジュール実装のユーザーとパスワードのセットを定義するプロパティーファイルを指定します。

      org.apache.activemq.jaas.textfiledn.role

      ユーザーをログインモジュール実装に定義されたロールにマップするプロパティーファイルを指定します。

   2. <broker_instance_dir>/etc/artemis-users.properties 設定ファイルを開きます。ユーザーおよび対応する DN はこのファイルで定義されます。以下に例を示します。

      system=CN=system,O=Progress,C=US
      user=CN=humble user,O=Progress,C=US
      guest=CN=anon,O=Progress,C=DE

      前述の設定に基づいて、system という名前のユーザーは CN=system,O=Progress,C=US Subject DN にマッピングされます。

   3. <broker_instance_dir>/etc/artemis-roles.properties 設定ファイルを開きます。利用可能なロールと、それらのロールを保持しているユーザーは、このファイルで定義されています。以下に例を示します。

      admins=system
      users=system,user
      guests=guest

      上記の設定では、users ロールに対して、複数のユーザーをコンマ区切りリストとしてリスト表示します。

   4. 以下に示すように、セキュリティードメインエイリアス (このインスタンスでは activemq) が bootstrap.xml で参照されていることを確認します。

      <jaas-security domain="activemq"/>

1. ブローカーはクライアントの TLS/SSL 証明書を読み取り、証明書のサブジェクトからアイデンティティーを取得します。
2. 証明書サブジェクトは、証明書ログインモジュールによってブローカー ID にマッピングされます。その後、ブローカーはロールを基にしてユーザーを承認します。

手順

1. 編集する URI が含まれるリソースを開きます。

   amqps://localhost:5500

2. sslEnabled=true パラメーターを追加して、接続の TSL/SSL を有効にします。

   amqps://localhost:5500?sslEnabled=true

3. クライアントトラストストアおよびキーストアに関連するパラメーターを追加して、ブローカーで TSL/SSL 証明書の交換を有効にします。

   amqps://localhost:5500?sslEnabled=true&trustStorePath=<trust_store_path>&trustStorePassword=<trust_store_password>&keyStorePath=<key_store_path>&keyStorePassword=<key_store_password>

4. パラメーター saslMechanisms=EXTERNAL を追加し、TSL/SSL 証明書で見つかったアイデンティティーを使用してブローカーがクライアントを認証するよう要求します。

   amqps://localhost:5500?sslEnabled=true&trustStorePath=<trust_store_path>&trustStorePassword=<trust_store_password>&keyStorePath=<key_store_path>&keyStorePassword=<key_store_password>&saslMechanisms=EXTERNAL