5.4. 使用 LDAP 进行身份验证和授权

流程

1. 打开 <broker_instance_dir>/etc/broker.xml 配置文件。

2. 在 security-settings 元素内，添加 security-setting 元素来配置权限。例如：

   <security-settings>
       <security-setting match="#">
           <permission type="createDurableQueue" roles="user"/>
           <permission type="deleteDurableQueue" roles="user"/>
           <permission type="createNonDurableQueue" roles="user"/>
           <permission type="deleteNonDurableQueue" roles="user"/>
           <permission type="send" roles="user"/>
           <permission type="consume" roles="user"/>
       </security-setting>
   </security-settings>

   上述配置 将所有 队列的特定权限分配给 用户 角色的成员。

3. 打开 <broker_instance_dir>/etc/login.config 文件。

4. 根据您使用的目录服务，配置 LDAP 登录模块。

   1. 如果您使用 Microsoft Active Directory 目录服务，请添加类似此示例的配置：

      activemq {
        org.apache.activemq.artemis.spi.core.security.jaas.LDAPLoginModule required
           debug=true
           initialContextFactory=com.sun.jndi.ldap.LdapCtxFactory
           connectionURL="LDAP://localhost:389"
           connectionUsername="CN=Administrator,CN=Users,OU=System,DC=example,DC=com"
           connectionPassword=redhat.123
           connectionProtocol=s
           connectionTimeout="5000"
           authentication=simple
           userBase="dc=example,dc=com"
           userSearchMatching="(CN={0})"
           userSearchSubtree=true
           readTimeout="5000"
           roleBase="dc=example,dc=com"
           roleName=cn
           roleSearchMatching="(member={0})"
           roleSearchSubtree=true
           ;
      };

      注意

      如果您使用的是 Microsoft Active Directory，并且您需要为 connectionUsername 属性指定的值包含一个空格（如 OU=System Accounts），则必须将值括在一对双引号("")并使用反斜杠(\)来转义对中的每个双引号。例如, connectionUsername="CN=Administrator,CN=Users,OU=\"System Accounts\",DC=example,DC=com"。

   2. 如果使用 ApacheDS 目录服务，请添加类似以下示例的配置：

      activemq {
        org.apache.activemq.artemis.spi.core.security.jaas.LDAPLoginModule required
           debug=true
           initialContextFactory=com.sun.jndi.ldap.LdapCtxFactory
           connectionURL="ldap://localhost:10389"
           connectionUsername="uid=admin,ou=system"
           connectionPassword=secret
           connectionProtocol=s
           connectionTimeout=5000
           authentication=simple
           userBase="dc=example,dc=com"
           userSearchMatching="(uid={0})"
           userSearchSubtree=true
           userRoleName=
           readTimeout=5000
           roleBase="dc=example,dc=com"
           roleName=cn
           roleSearchMatching="(member={0})"
           roleSearchSubtree=true
           ;
      };

      debug

      打开调试(true)或 off(false)。默认值为 false。

      initialContextFactory

      必须始终设置为 com.sun.jndi.ldap.LdapCtxFactory

      connectionURL

      使用 LDAP URL __<ldap://Host:Port> 的目录服务器的位置。您可以选择性地通过添加正斜杠 /，后面跟目录树中特定节点的 DN 来验证这个 URL。Apache DS 的默认端口为 10389，而 Microsoft AD 的默认值为 389。

      connectionUsername

      打开与目录服务器连接的用户的可分辨名称(DN)。例如，uid=admin,ou=system。目录服务器通常需要客户端显示用户名/密码凭据才能打开连接。

      connectionPassword

      与 connectionUsername 中的 DN 匹配的密码。在目录服务器中，在 Directory Information Tree (DIT)中，密码通常作为 userPassword 属性存储在对应的目录条目中。

      connectionProtocol

      任何值都受支持，但实际上未使用。必须显式设置这个选项，因为它没有默认值。

      connectionTimeout

      指定代理可以花费的最长时间（毫秒）连接到目录服务器。如果代理无法在此时间内连接到该目录，它会中止连接尝试。如果为此属性指定零或以下值，则改为使用底层 TCP 协议的超时值。如果没有指定值，代理会无限期地等待建立连接，或者底层网络超时。

      当为连接请求连接池时，此属性指定代理在已达到最大池大小并且正在使用池中所有连接时等待连接的最长时间。如果您指定了零或以下值，代理会无限期等待连接可用。否则，代理会在达到最长等待时间时中止连接尝试。

      身份验证

      指定绑定到 LDAP 服务器时使用的身份验证方法。此参数可以设置为 simple （需要用户名和密码）或 none （允许匿名访问）。

      userBase

      选择 DIT 的特定子树以搜索用户条目。子树由 DN 指定，它指定子树的基节点。例如，通过将这个选项设置为 ou=User,ou=ActiveMQ,ou=system，搜索用户条目仅限于 ou=User,ou=ActiveMQ,ou=system node 下的子树。

      userSearchMatching

      指定 LDAP 搜索过滤器，应用到 userBase 选择的子树。如需更多信息，请参阅以下 第 5.4.1.1 节 “搜索匹配参数” 部分。

      userSearchSubtree

      指定用户条目的搜索深度，相对于 userBase 指定的节点。此选项是一个布尔值。指定值 false 表示搜索尝试匹配 userBase 节点的一个子条目（映射到 javax.naming.directory.SearchControls.ONELEVEL_SCOPE）。指定值 true 表示搜索会尝试匹配属于 userBase 节点 子树 的任何条目（映射到 javax.naming.directory.SearchControls.SUBTREE_SCOPE）。

      userRoleName

      用户条目的属性名称，其中包含用户的角色名称列表。角色名称由代理的授权插件解释为组名称。如果省略此选项，则不会从用户条目中提取角色名称。

      readTimeout

      指定代理可以等待从目录服务器接收到 LDAP 请求的最大时间（以毫秒为单位）。如果代理没有收到来自目录服务器的响应，代理会中止请求。如果您指定的值为零或以下值，或者您没有指定值，代理会无限期地等待从目录服务器响应到 LDAP 请求。

      roleBase

      如果角色数据存储直接存储在目录服务器中，则可以使用角色选项的组合（roleBase、roleBase、roleSearchMatching、roleSearchSubtree 和 roleName）作为指定 userRoleName 选项的替代选择（或补充）。此选项选择 DIT 的特定子树来搜索角色/组条目。子树由 DN 指定，它指定子树的基节点。例如，通过将此选项设置为 ou=Group,ou=ActiveMQ,ou=system，搜索 role/group 条目仅限于 ou=Group,ou=ActiveMQ,ou=system 节点下面的子树。

      roleName

      包含角色/组名称的角色条目的属性类型（如 C、O、OU 等）。如果省略此选项，则有效禁用角色搜索功能。

      roleSearchMatching

      指定 LDAP 搜索过滤器，应用到 roleBase 选择的子树。如需更多信息，请参阅以下 第 5.4.1.1 节 “搜索匹配参数” 部分。

      roleSearchSubtree

      指定角色条目的搜索深度，相对于 roleBase 指定的节点。如果设置为 false （默认值），则搜索将尝试匹配 roleBase 节点的子条目之一（映射到 javax.naming.directory.SearchControls.ONELEVEL_SCOPE）。如果为 true，它将尝试匹配属于 roleBase 节点子树的任何条目（映射到 javax.naming.directory.SearchControls.SUBTREE_SCOPE）。

      注意

      Apache DS 使用 DN 路径的 OID 部分。Microsoft Active Directory 使用 CN 部分。例如，您可以在 Apache DS 中使用 DN 路径，如 as oid=testuser,dc=example,dc=com，而您可能在 Microsoft Active Directory 中使用 DN 路径，如 cn=testuser,dc=example,dc=com。

5. 启动或重启代理（服务或进程）。