5.3. クライアントの承認

手順

1. <broker_instance_dir>/etc/broker.xml 設定ファイルを開きます。

2. <security-settings> 要素内に単一の <security-setting> 要素を追加します。match キーには、アドレスを指定します。以下に例を示します。

   <security-settings>
       <security-setting match="my.destination">
           <permission type="send" roles="producer"/>
       </security-setting>
   </security-settings>

   上記の設定に基づいて、producer ロールのメンバーにはアドレス my.destination の 送信 パーミッションが割り当てられています。

手順

1. <broker_instance_dir>/etc/broker.xml 設定ファイルを開きます。

2. <security-settings> 要素内に単一の <security-setting> 要素を追加します。match キーには、アドレスを指定します。以下に例を示します。

   <security-settings>
       <security-setting match="my.destination">
           <permission type="consume" roles="consumer"/>
       </security-setting>
   </security-settings>

   上記の設定に基づいて、consumer ロールのメンバーには、アドレス my.destination の consume パーミッションが割り当てられています。

手順

1. <broker_instance_dir>/etc/broker.xml 設定ファイルを開きます。

2. <security-settings> 要素内に単一の <security-setting> 要素を追加します。match キーの場合は、全 アドレスへのアクセスを設定するには、番号記号 (#) ワイルドカード文字を指定します。以下に例を示します。

   <security-settings>
       <security-setting match="#">
           <permission type="createDurableQueue" roles="guest"/>
           <permission type="deleteDurableQueue" roles="guest"/>
           <permission type="createNonDurableQueue" roles="guest"/>
           <permission type="deleteNonDurableQueue" roles="guest"/>
           <permission type="createAddress" roles="guest"/>
           <permission type="deleteAddress" roles="guest"/>
           <permission type="send" roles="guest"/>
           <permission type="browse" roles="guest"/>
           <permission type="consume" roles="guest"/>
           <permission type="manage" roles="guest"/>
       </security-setting>
   </security-settings>

   上記の設定に基づいて、すべてのキューの guest ロールのメンバーに、全パーミッションが付与されます。これは、すべてのユーザーに guest ロールを割り当てるように匿名認証を設定する開発のシナリオで役に立ちます。

1. <broker_instance_dir>/etc/broker.xml 設定ファイルを開きます。

2. <security-settings> 要素内に単一の <security-setting> 要素を追加します。match キーの場合は、一致するアドレス セット に設定を適用する番号記号 (#) ワイルドカード文字を含めます。以下に例を示します。

   <security-setting match="globalqueues.europe.#">
      <permission type="createDurableQueue" roles="admin"/>
      <permission type="deleteDurableQueue" roles="admin"/>
      <permission type="createNonDurableQueue" roles="admin, guest, europe-users"/>
      <permission type="deleteNonDurableQueue" roles="admin, guest, europe-users"/>
      <permission type="send" roles="admin, europe-users"/>
      <permission type="consume" roles="admin, europe-users"/>
   </security-setting>

   match=globalqueues.europe.#

   番号記号 (#) ワイルドカード文字は、ブローカーによって "任意のシーケンスの単語" として解釈されます。単語はピリオド (.) で区切られています。この例では、セキュリティー設定は、文字列 globalqueues.europe で始まるアドレスに適用されます。

   permission type="createDurableQueue"

   admin ロールが割り当てられたユーザーのみが、文字列 globalqueues.europe で始まるアドレスにバインドされた永続キューを作成したり、削除したりできます。

   permission type="createNonDurableQueue"

   admin ロール、guest、または europe-users ロールが割り当てられたユーザーは、文字列 globalqueues.europe で始まるアドレスにバインドされた一時キューを作成したり、削除したりできます。

   permission type="send"

   admin ロールまたは europe-users ロールが割り当てられたユーザーは、文字列 globalqueues.europe で始まるアドレスにバインドされたキューにメッセージを送信できます。

   permission type="consume"

   admin ロールまたは europe-users ロールが割り当てられたユーザーは、文字列 globalqueues.europe で始まるアドレスにバインドされたキューからメッセージを消費できます。

3. (オプション) 異なるセキュリティー設定をアドレスのより限定的なセットに適用するには、別の <security-setting> 要素を追加します。match キーには、より具体的なテキスト文字列を指定します。以下に例を示します。

   <security-setting match="globalqueues.europe.orders.#">
      <permission type="send" roles="europe-users"/>
      <permission type="consume" roles="europe-users"/>
   </security-setting>

   2 つ目の security-setting 要素では、globalqueues.europe.orders.# の照合は、最初の security-setting 要素で指定した globalqueues.europe.# 照合に比べると、具体的です。globalqueues.europe.orders.# に一致するアドレスの場合には、createDurableQueue、deleteDurableQueue、createNonDurableQueue、deleteNonDurableQueue はファイルの最初の security-setting 要素から継承され ません。たとえば、globalqueues.europe.orders.plastics アドレスの場合には、存在するパーミッションは、ロール europe-users の send と consume のみです。

   したがって、ある security-setting ブロックで指定されたパーミッションは、別のブロックに継承されないため、これらのアクセス許可を指定しないだけで、より詳細な security-setting ブロックのパーミッションを効果的に拒否できます。

手順

1. <broker_instance_dir>/etc/broker.xml 設定ファイルを開きます。

2. 指定のキューに、ユーザー キーを追加します。値を割り当てます。以下に例を示します。

   <address name="ExampleQueue">
      <anycast>
         <queue name="ExampleQueue">
            <user>admin</user>
         </queue>
      </anycast>
   </address>

   上記の設定に基づいて、admin ユーザーはキュー ExampleQueue に割り当てられます。

手順

1. <broker_instance_dir>/etc/management.xml 設定ファイルを開きます。

2. role-access 要素を検索し、設定を編集します。以下に例を示します。

   <role-access>
       <match domain="org.apache.activemq.artemis">
          <access method="list*" roles="view,update,amq"/>
          <access method="get*" roles="view,update,amq"/>
          <access method="is*" roles="view,update,amq"/>
          <access method="set*" roles="update,amq"/>
          <access method="*" roles="amq"/>
       </match>
   </role-access>

   • この場合、ドメイン名が org.apache.activemq.apache の MBean 属性を照合検索します。
   • 一致する MBean 属性に対する view、update、または amq ロールへのアクセスは、ロールを追加する list*、get*、set*、is*、および * アクセスメソッドによって制御されます。method = "*"(ワイルドカード) 構文は、設定にリストされていない他の前メソッドをすべて指定する方法として使用されます。設定の各アクセスメソッドが MBean メソッド呼び出しに変換されます。
   • 呼び出された MBean メソッドは、設定に記載されているメソッドと照合されます。たとえば、ドメインが org.apache.activemq.artemis の MBean で listMessages というメソッドを呼び出すと、ブローカーは list メソッドの設定で定義されたロールと、アクセスの照合を行います。

   • MBean の完全なメソッド名を使用してアクセスを設定することもできます。以下に例を示します。

     <access method="listMessages" roles="view,update,amq"/>

3. ブローカーを起動または再起動します。

   • Linux の場合: <broker_instance_dir>/bin/artemis run

   • Windows の場合: <broker_instance_dir>\bin\artemis-service.exe start

     MBean プロパティーに一致する key 属性を追加して、ドメイン内の特定の MBean を照合することもできます。

手順

1. ブローカーがこのファイル内のデフォルトの RBAC 設定を使用しないようにするために、management.xml ファイルから authorisation 要素の設定を削除します。

   1. <broker_instance_dir>/etc/management.xml ファイルを編集します。
   2. ファイルから authorisation 要素の設定を削除します。
   3. <broker_instance_dir>/etc/management.xml ファイルを編集します。

2. ブローカー JVM に環境変数を追加して、ブローカーが broker.xml ファイル内の RBAC 設定を使用するように設定します。

   1. <broker_instance_dir>/etc/artemis.profile ファイルを開きます。

   2. Java システム引数の JAVA_ARGS list に次の引数を追加します。

      -Djavax.management.builder.initial=org.apache.activemq.artemis.core.server.management.ArtemisRbacMBeanServerBuilder

   3. artemis.profile ファイルを保存します。
3. 管理操作に対する RBAC を設定するために、<broker_instance_dir>/etc/broker.xml ファイルを開きます。

4. security-settings 要素を検索し、管理操作用の security-setting 要素を追加します。

   管理操作のアドレス一致の形式は次のとおりです。

   <_management-rbac-prefix_>.<_resource type_>.<_resource name_>.<_operation_>

   management-rbac-prefix パラメーターのデフォルト値は mops です。

   次の RBAC 設定の例では、アドレス一致内の番号記号 (#) により、admin ロールにすべての MBean に対する view および edit パーミッションが付与されます。

   <security-settings>
     ..
     <security-setting match="mops.#">
      <permission type="view" roles="admin"/>
      <permission type="edit" roles="admin"/>
     </security-setting>
     ..
   </security-setting>

5. <broker_instance_dir>/etc/broker.xml 設定ファイルを開きます。

1. <broker_instance_dir>/etc/broker.xml 設定ファイルを開きます。

2. resource-limit-settings 要素を追加します。max-connections および max-queues の値を指定します。以下に例を示します。

   <resource-limit-settings>
      <resource-limit-setting match="myUser">
         <max-connections>5</max-connections>
         <max-queues>3</max-queues>
      </resource-limit-setting>
   </resource-limit-settings>

   max-connections

   一致したユーザーがブローカー上で作成できるセッションの数を定義します。デフォルトは -1 で、制限がないことを意味します。セッション数を制限する場合は、AMQ Core Protocol JMS クライアントからブローカーへの接続ごとに 2 つのセッションが作成されることを考慮してください。

   max-queues

   一致したユーザーが作成できるキューの数を定義します。デフォルトは -1 で、制限がないことを意味します。