5.3. 授权客户端

流程

1. 打开 & lt;broker_instance_dir> /etc/broker.xml 配置文件。

2. 在 <security-settings> 项中添加一个单一的 <security-setting> 项。对于 match 键，指定一个地址。例如：

   <security-settings>
       <security-setting match="my.destination">
           <permission type="send" roles="producer"/>
       </security-setting>
   </security-settings>

   根据上述配置，制作者 角色的成员具有地址 my.destination 的 发送 权限。

流程

1. 打开 & lt;broker_instance_dir> /etc/broker.xml 配置文件。

2. 在 <security-settings> 项中添加一个单一的 <security-setting> 项。对于 match 键，指定一个地址。例如：

   <security-settings>
       <security-setting match="my.destination">
           <permission type="consume" roles="consumer"/>
       </security-setting>
   </security-settings>

   根据上述配置，consumer 角色的成员具有地址 my.destination 的 consume 权限。

流程

1. 打开 & lt;broker_instance_dir> /etc/broker.xml 配置文件。

2. 在 <security-settings> 项中添加一个单一的 <security-setting> 项。对于 match 键，要配置 对所有 地址的访问，请指定数字符号(#)通配符。例如：

   <security-settings>
       <security-setting match="#">
           <permission type="createDurableQueue" roles="guest"/>
           <permission type="deleteDurableQueue" roles="guest"/>
           <permission type="createNonDurableQueue" roles="guest"/>
           <permission type="deleteNonDurableQueue" roles="guest"/>
           <permission type="createAddress" roles="guest"/>
           <permission type="deleteAddress" roles="guest"/>
           <permission type="send" roles="guest"/>
           <permission type="browse" roles="guest"/>
           <permission type="consume" roles="guest"/>
           <permission type="manage" roles="guest"/>
       </security-setting>
   </security-settings>

   根据上述配置，所有权限都将赋予所有 队列的客户机 角色的成员。这在配置了匿名身份验证以为每个用户分配 客户机 角色的开发场景中很有用。

1. 打开 & lt;broker_instance_dir> /etc/broker.xml 配置文件。

2. 在 <security-settings> 项中添加一个单一的 <security-setting> 项。对于 match 键，包括数字符号(#)通配符字符，以将设置应用到匹配的地址 集。例如：

   <security-setting match="globalqueues.europe.#">
      <permission type="createDurableQueue" roles="admin"/>
      <permission type="deleteDurableQueue" roles="admin"/>
      <permission type="createNonDurableQueue" roles="admin, guest, europe-users"/>
      <permission type="deleteNonDurableQueue" roles="admin, guest, europe-users"/>
      <permission type="send" roles="admin, europe-users"/>
      <permission type="consume" roles="admin, europe-users"/>
   </security-setting>

   match=globalqueues.europe.#

   数字符号(#)通配符字符由代理解释为"任意单词序列"。词语以句点（）分隔。在本例中，安全设置应用于以字符串 globalqueues.europe开头的任何地址。

   权限类型="createDurableQueue"

   只有具有 admin 角色的用户才能创建或删除 durable 队列，绑定到以字符串 globalqueues.europe开头的地址。

   权限类型="createNonDurableQueue"

   任何具有 admin、guest 或 europe-users 角色的用户都可以创建或删除绑定到字符串 globalqueues.europe开头的临时队列。

   权限类型="send"

   具有 admin 或 europe-users 角色的任何用户可以发送消息到绑定到以字符串 globalqueues.europe开头的地址的队列。

   权限类型="consume"

   任何具有 admin 或 europe-users 角色的用户都可以使用绑定到以字符串 globalqueues.europe开头的地址的队列中的消息。

3. （可选）将不同的安全设置应用到更严格的地址集合，请添加另一个 < security-setting> 元素。对于 match 键，请指定更具体的文本字符串。例如：

   <security-setting match="globalqueues.europe.orders.#">
      <permission type="send" roles="europe-users"/>
      <permission type="consume" roles="europe-users"/>
   </security-setting>

   在第二个 security-setting 元素中，globalqueues.europe.orders.# match 比第一个 security-setting 元素中指定的 globalqueues.europe.# 匹配更具体。对于匹配 globalqueues.europe.orders.# 的每个地址，存在权限 createDurableQueue,deleteDurableQueue,createNonDurableQueue,deleteNonDurableQueue 不会从 文件中的第一个 security-setting 元素继承。例如，对于地址 globalqueues.europe.orders.plastics，存在的唯一权限会被 发送 并消耗 角色 europe-users。

   因此，由于在一个 security-setting 块中指定的权限不会被另一个继承，所以您可以通过指定这些权限来有效地拒绝更具体的 security-setting 块的权限。

流程

1. 打开 & lt;broker_instance_dir> /etc/broker.xml 配置文件。

2. 对于给定的队列，添加用户 密钥。分配值。例如：

   <address name="ExampleQueue">
       <anycast>
          <queue name="ExampleQueue" user="admin"/>
       </anycast>
   </address>

   根据上述配置，admin 用户分配给队列 ExampleQueue。

流程

1. 打开 & lt;broker_instance_dir> /etc/management.xml 配置文件。

2. 搜索 role-access 元素并编辑配置。例如：

   <role-access>
       <match domain="org.apache.activemq.artemis">
          <access method="list*" roles="view,update,amq"/>
          <access method="get*" roles="view,update,amq"/>
          <access method="is*" roles="view,update,amq"/>
          <access method="set*" roles="update,amq"/>
          <access method="*" roles="amq"/>
       </match>
   </role-access>

   • 在本例中，匹配应用到任何 MBean 属性，其域名为 org.apache. located.apache.apache.apache。
   • 访问 view, update, 或 amq 角色来匹配 MBean 属性由您添加到角色的 list*, get*, set*, is*, 和 * 访问方法控制。方法="*" (wildcard)语法用作一种捕获方式，用于指定配置中没有列出的所有其他方法。配置中的每个访问方法都会转换为 MBean 方法调用。
   • 调用的 MBean 方法与配置中列出的方法匹配。例如，如果您在带有 org.apache.activemq.artemis 域的 MBean 上调用 listMessages 的方法，则代理将访问返回到 列表 方法配置中定义的角色。

   • 您还可以使用完整的 MBean 方法名称配置访问权限。例如：

     <access method="listMessages" roles="view,update,amq"/>

3. 启动或重启代理。

   • 在 Linux: & lt;broker_instance_dir> /bin/artemis run
   • 在 Windows: & lt;broker_instance_dir> \bin\artemis-service.exe start

流程

1. 打开 & lt;broker_instance_dir> /etc/management.xml 配置文件。

2. 搜索 whitelist 元素并编辑配置：

   <whitelist>
      <entry domain="hawtio"/>
   </whitelist>

   在这个示例中，任何带有域 hawtio 的 MBean 被允许在没有身份验证的情况下进行访问。您还可以为 MBean 属性使用表单 < entry domain="hawtio" key="type=*"/& gt; 的通配符条目来匹配。

3. 启动或重启代理。

   • 在 Linux: & lt;broker_instance_dir> /bin/artemis run
   • 在 Windows: & lt;broker_instance_dir> \bin\artemis-service.exe start

1. 打开 & lt;broker_instance_dir> /etc/broker.xml 配置文件。

2. 添加 resource-limit-settings 元素。为 max-connections 和 max-queues 指定值。例如：

   <resource-limit-settings>
      <resource-limit-setting match="myUser">
         <max-connections>5</max-connections>
         <max-queues>3</max-queues>
      </resource-limit-setting>
   </resource-limit-settings>

   max-connections

   定义匹配用户可以向代理发出的连接数量。默认值为 -1，这表示没有限制。

   max-queues

   定义匹配用户可以创建的队列数。默认值为 -1，这表示没有限制。