5.5. 使用 Kerberos 进行身份验证和授权

流程

1. 停止代理。

   1. 在 Linux 中：

      <broker_instance_dir>/bin/artemis stop

   2. 在 Windows 中：

      <broker_instance_dir>\bin\artemis-service.exe stop

2. 打开 & lt;broker_instance_dir> /etc/broker.xml 配置文件。

3. 将 name-value 对 saslMechanisms=GSSAPI 添加到 acceptor URL 的查询字符串。

   <acceptor name="amqp">
     tcp://0.0.0.0:5672?protocols=AMQP;saslMechanisms=GSSAPI
   </acceptor>

   上述配置意味着在验证 Kerberos 凭证时，接受者使用 GSSAPI 机制。

4. （可选）还支持 PLAIN 和 ANONYMOUS SASL 机制。要指定多个机制，请使用用逗号分开的列表。例如：

   <acceptor name="amqp">
     tcp://0.0.0.0:5672?protocols=AMQP;saslMechanisms=GSSAPI,PLAIN
   </acceptor>

   结果是使用 GSSAPI 和 PLAIN SASL 机制的接受者。

5. 启动代理。

   1. 在 Linux 中：

      <broker_instance_dir>/bin/artemis run

   2. 在 Windows 中：

      <broker_instance_dir>\bin\artemis-service.exe start

流程

1. 停止代理。

   1. 在 Linux 中：

      <broker_instance_dir>/bin/artemis stop

   2. 在 Windows 中：

      <broker_instance_dir>\bin\artemis-service.exe stop

2. 打开 & lt;broker_instance_dir> /etc/login.config 配置文件。

3. 添加名为 amqp-sasl-gssapi 的配置范围。以下示例显示了在 JDK 和 JDK 版本中的 Krb5LoginModule 的配置。

   amqp-sasl-gssapi {
       com.sun.security.auth.module.Krb5LoginModule required
       isInitiator=false
       storeKey=true
       useKeyTab=true
       principal="amqp/my_broker_host@example.com"
       debug=true;
   };

   amqp-sasl-gssapi

   默认情况下，代理上的 GSSAPI 机制使用名为 amqp-sasl-gssapi 的 JAAS 配置范围来获取其 Kerberos 接受器凭证。

   Krb5LoginModule

   Krb5LoginModule 的这个版本由 JDK 和 OpenJDK 版本提供。通过引用 Java 供应商的文档来验证 Krb5LoginModule 及其可用选项的完全限定类名称。

   useKeyTab

   Krb5LoginModule 配置为在验证主体时使用 Kerberos keytab。使用 Kerberos 环境中的工具生成 keytab。有关生成 Kerberos keytab 的详情，请查看厂商中的文档。

   主体

   Principal 设置为 amqp/my_broker_host@example.com。这个值必须与 Kerberos 环境中创建的服务主体对应。有关创建服务主体的详情，请查看厂商中的文档。

4. 启动代理。

   1. 在 Linux 中：

      <broker_instance_dir>/bin/artemis run

   2. 在 Windows 中：

      <broker_instance_dir>\bin\artemis-service.exe start

流程

1. 停止代理。

   1. 在 Linux 中：

      <broker_instance_dir>/bin/artemis stop

   2. 在 Windows 中：

      <broker_instance_dir>\bin\artemis-service.exe stop

2. 打开 & lt;broker_instance_dir> /etc/login.config 配置文件。

3. 为 AMQ Broker Krb5LoginModule 和 LDAPLoginModule 添加配置。通过引用 LDAP 供应商中的文档来验证配置选项。

   下面是一个配置示例。

   org.apache.activemq.artemis.spi.core.security.jaas.Krb5LoginModule required
       ;
   org.apache.activemq.artemis.spi.core.security.jaas.LDAPLoginModule optional
       initialContextFactory=com.sun.jndi.ldap.LdapCtxFactory
       connectionURL="ldap://localhost:1024"
       authentication=GSSAPI
       saslLoginConfigScope=broker-sasl-gssapi
       connectionProtocol=s
       userBase="ou=users,dc=example,dc=com"
       userSearchMatching="(krb5PrincipalName={0})"
       userSearchSubtree=true
       authenticateUser=false
       roleBase="ou=system"
       roleName=cn
       roleSearchMatching="(member={0})"
       roleSearchSubtree=false
       ;

   注意

   上例中显示的 Krb5LoginModule 版本通过 AMQ Broker 分发，并将 Kerberos 身份转换为代理身份，供其他 AMQ 模块用于角色映射。

4. 启动代理。

   1. 在 Linux 中：

      <broker_instance_dir>/bin/artemis run

   2. 在 Windows 中：

      <broker_instance_dir>\bin\artemis-service.exe start