5.3. 클라이언트 승인

프로세스

1. &lt ;broker_instance_dir> /etc/broker.xml 구성 파일을 엽니다.

2. < security- settings> 요소에 단일 <security-setting > 요소를 추가합니다. 일치 키의 경우 주소를 지정합니다. 예를 들면 다음과 같습니다.

   <security-settings>
       <security-setting match="my.destination">
           <permission type="send" roles="producer"/>
       </security-setting>
   </security-settings>

   이전 구성을 기반으로 생산자 역할의 멤버는 my.destination 주소에 대한 전송 권한이 있습니다.

프로세스

1. &lt ;broker_instance_dir> /etc/broker.xml 구성 파일을 엽니다.

2. < security- settings> 요소에 단일 <security-setting > 요소를 추가합니다. 일치 키의 경우 주소를 지정합니다. 예를 들면 다음과 같습니다.

   <security-settings>
       <security-setting match="my.destination">
           <permission type="consume" roles="consumer"/>
       </security-setting>
   </security-settings>

   이전 구성을 기반으로 소비자 역할의 멤버는 my.destination 주소에 대한 사용 권한을 갖습니다.

프로세스

1. &lt ;broker_instance_dir> /etc/broker.xml 구성 파일을 엽니다.

2. < security- settings> 요소에 단일 <security-setting > 요소를 추가합니다. 일치 키의 경우 모든 주소에 대한 액세스를 구성하려면 숫자 기호(#) 와일드카드 문자를 지정합니다. 예를 들면 다음과 같습니다.

   <security-settings>
       <security-setting match="#">
           <permission type="createDurableQueue" roles="guest"/>
           <permission type="deleteDurableQueue" roles="guest"/>
           <permission type="createNonDurableQueue" roles="guest"/>
           <permission type="deleteNonDurableQueue" roles="guest"/>
           <permission type="createAddress" roles="guest"/>
           <permission type="deleteAddress" roles="guest"/>
           <permission type="send" roles="guest"/>
           <permission type="browse" roles="guest"/>
           <permission type="consume" roles="guest"/>
           <permission type="manage" roles="guest"/>
       </security-setting>
   </security-settings>

   이전 구성을 기반으로 모든 큐에 대한 guest 역할의 멤버에게 모든 권한이 부여됩니다. 이 기능은 모든 사용자에게 게스트 역할을 할당하도록 익명 인증이 구성된 개발 시나리오에서 유용할 수 있습니다.

1. &lt ;broker_instance_dir> /etc/broker.xml 구성 파일을 엽니다.

2. < security- settings> 요소에 단일 <security-setting > 요소를 추가합니다. 일치 키의 경우 일치하는 주소 집합에 설정을 적용하려면 숫자 기호(#) 와일드카드 문자를 포함합니다. 예를 들면 다음과 같습니다.

   <security-setting match="globalqueues.europe.#">
      <permission type="createDurableQueue" roles="admin"/>
      <permission type="deleteDurableQueue" roles="admin"/>
      <permission type="createNonDurableQueue" roles="admin, guest, europe-users"/>
      <permission type="deleteNonDurableQueue" roles="admin, guest, europe-users"/>
      <permission type="send" roles="admin, europe-users"/>
      <permission type="consume" roles="admin, europe-users"/>
   </security-setting>

   match=globalqueues.europe.#

   숫자 기호(#) 와일드카드 문자는 브로커에서 "모든 순서의 단어"로 해석됩니다. 마침표(.)로 구분됩니다. 이 예제에서 보안 설정은 globalqueues.europe 문자열로 시작하는 모든 주소에 적용됩니다.

   permission type="createDurableQueue"

   admin 역할이 있는 사용자만 globalqueues.europe 문자열로 시작하는 주소에 바인딩된 Cryostat 큐를 생성하거나 삭제할 수 있습니다.

   permission type="createNonDurableQueue"

   역할 admin,guest 또는 europe-users 가 있는 모든 사용자는 globalqueues.europe 문자열로 시작하는 주소에 바인딩된 임시 큐를 만들거나 삭제할 수 있습니다.

   권한 유형="send"

   역할 admin 또는 europe-users 를 사용하는 모든 사용자는 문자열 globalqueues.europe로 시작하는 주소에 바인딩된 큐로 메시지를 보낼 수 있습니다.

   permission type="consume"

   역할 admin 또는 europe-users 를 사용하는 모든 사용자는 문자열 globalqueues.europe로 시작하는 주소에 바인딩된 대기열의 메시지를 사용할 수 있습니다.

3. (선택 사항) 보다 좁은 주소 세트에 다른 보안 설정을 적용하려면 다른 < security-setting> 요소를 추가합니다. 일치 키의 경우 더 구체적인 텍스트 문자열을 지정합니다. 예를 들면 다음과 같습니다.

   <security-setting match="globalqueues.europe.orders.#">
      <permission type="send" roles="europe-users"/>
      <permission type="consume" roles="europe-users"/>
   </security-setting>

   두 번째 security-setting 요소에서 globalqueues.europe.orders.# match는 첫 번째 security-setting 요소에 지정된 globalqueues.europe.# 보다 더 구체적입니다. globalqueues.europe.orders.# 과 일치하는 모든 주소의 경우 createDurableQueue,deleteDurableQueue,createNonDurableQueue,deleteNonDurableQueue 에서는 파일의 첫 번째 security-setting 요소에서 상속 되지 않습니다. 예를 들어 globalqueues.europe.orders.plastics 주소의 경우 존재하는 유일한 권한은 europe-users 역할에 대해 전송 및 소비 됩니다.

   따라서 한 security-setting 블록에 지정된 권한이 다른 블록에 상속되지 않으므로 해당 권한을 지정하지 않고 보다 구체적인 security-setting 블록에서 권한을 효과적으로 거부할 수 있습니다.

프로세스

1. &lt ;broker_instance_dir> /etc/broker.xml 구성 파일을 엽니다.

2. 지정된 큐의 경우 사용자 키를 추가합니다. 값을 할당합니다. 예를 들면 다음과 같습니다.

   <address name="ExampleQueue">
      <anycast>
         <queue name="ExampleQueue">
            <user>admin</user>
         </queue>
      </anycast>
   </address>

   이전 구성을 기반으로 admin 사용자는 ExampleQueue 큐에 할당됩니다.

프로세스

1. &lt ;broker_instance_dir> /etc/management.xml 구성 파일을 엽니다.

2. role-access 요소를 검색하고 구성을 편집합니다. 예를 들면 다음과 같습니다.

   <role-access>
       <match domain="org.apache.activemq.artemis">
          <access method="list*" roles="view,update,amq"/>
          <access method="get*" roles="view,update,amq"/>
          <access method="is*" roles="view,update,amq"/>
          <access method="set*" roles="update,amq"/>
          <access method="*" roles="amq"/>
       </match>
   </role-access>

   • 이 경우 도메인 이름이 org.apache.activemq.apache 인 모든 Cryostat 속성에 일치가 적용됩니다.
   • 일치하는 Cryostat 속성에 대한 보기,업데이트 또는 amq 역할의 액세스는 목록*, get* , set*, is* 및 * 액세스 방법 중 에 대한 액세스 권한을 제어합니다. method="*"( wildcard) 구문은 구성에 나열되지 않은 다른 모든 방법을 지정하는 catch-all 방법으로 사용됩니다. 구성의 각 액세스 메서드는 Cryostat 메서드 호출로 변환됩니다.
   • 호출된 Cryostat 메서드는 구성에 나열된 메서드와 일치합니다. 예를 들어 org.apache.activemq.artemis 도메인을 사용하여 Cryostat에서 listMessages 라는 메서드를 호출하면 브로커는 목록 메서드 구성에 정의된 역할에 다시 액세스합니다.

   • 전체 메서드 이름을 사용하여 액세스를 구성할 수도 있습니다. 예를 들면 다음과 같습니다.

     <access method="listMessages" roles="view,update,amq"/>

3. 브로커를 시작하거나 다시 시작합니다.

   • Linux에서: & lt;broker_instance_dir> /bin/artemis 실행

   • Windows에서: & lt;broker_instance_dir> \bin\artemis-service.exe start

     Cryostat 속성과 일치하는 키 특성을 추가하여 도메인 내의 특정 Cryostat를 일치시킬 수도 있습니다.

프로세스

1. 브로커가 이 파일에서 기본 RBAC 구성을 사용하지 못하도록 management.xml 파일에서 권한 부여 요소 구성을 삭제합니다.

   1. < broker_instance_dir>/etc/management.xml 파일을 편집합니다.
   2. 파일에서 권한 부여 요소 구성을 삭제합니다.
   3. < broker_instance_dir>/etc/management.xml 파일을 저장합니다.

2. 브로커 JVM에 환경 변수를 추가하여 broker.xml 파일에서 RBAC 구성을 사용하도록 브로커를 구성합니다.

   1. &lt ;broker_instance_dir>/etc/artemis.profile 파일을 엽니다.

   2. Java 시스템 인수의 JAVA_ARGS 목록에 다음 인수를 추가합니다.

      -Djavax.management.builder.initial=org.apache.activemq.artemis.core.server.management.ArtemisRbacMBeanServerBuilder

   3. Artemis .profile 파일을 저장합니다.
3. &lt ;broker_instance_dir> /etc/broker.xml 파일을 열어 관리 작업에 대한 RBAC를 구성합니다.

4. security-settings 요소를 검색하고 관리 작업에 대한 security-setting 요소를 추가합니다.

   관리 작업의 일치 주소 형식은 다음과 같습니다.

   <_management-rbac-prefix_>.<_resource type_>.<_resource name_>.<_operation_>

   management-rbac-prefix 매개변수의 기본값은 mops 입니다.

   다음 예제 RBAC 구성에서 일치 주소의 숫자 기호(#)는 admin 역할 보기를 부여하고 모든 Cryostat에 대한 권한을 편집합니다.

   <security-settings>
     ..
     <security-setting match="mops.#">
      <permission type="view" roles="admin"/>
      <permission type="edit" roles="admin"/>
     </security-setting>
     ..
   </security-setting>

5. &lt ;broker_instance_dir> /etc/broker.xml 구성 파일을 저장합니다.

1. &lt ;broker_instance_dir> /etc/broker.xml 구성 파일을 엽니다.

2. resource-limit-settings 요소를 추가합니다. max-connections 및 max-queues 의 값을 지정합니다. 예를 들면 다음과 같습니다.

   <resource-limit-settings>
      <resource-limit-setting match="myUser">
         <max-connections>5</max-connections>
         <max-queues>3</max-queues>
      </resource-limit-setting>
   </resource-limit-settings>

   max-connections

   일치하는 사용자가 브로커에서 생성할 수 있는 세션 수를 정의합니다. 기본값은 -1 이며 이는 제한이 없음을 의미합니다. 세션 수를 제한하려면 AMQ Core Protocol JMS 클라이언트에서 브로커에 대한 각 연결이 두 개의 세션을 생성하는 경우를 고려하십시오.

   max-queues

   일치하는 사용자가 생성할 수 있는 대기열 수를 정의합니다. 기본값은 -1 이며 이는 제한이 없음을 의미합니다.