5.3. 授权客户端

流程

1. 打开 & lt;broker_instance_dir> /etc/broker.xml 配置文件。

2. 在 <security-settings> 项中添加一个单一的 <security-setting> 项。对于 match 键，指定一个地址。例如：

   <security-settings>
       <security-setting match="my.destination">
           <permission type="send" roles="producer"/>
       </security-setting>
   </security-settings>

   根据前面的配置，制作者 角色的成员具有地址 my.destination 的 发送 权限。

流程

1. 打开 & lt;broker_instance_dir> /etc/broker.xml 配置文件。

2. 在 <security-settings> 项中添加一个单一的 <security-setting> 项。对于 match 键，指定一个地址。例如：

   <security-settings>
       <security-setting match="my.destination">
           <permission type="consume" roles="consumer"/>
       </security-setting>
   </security-settings>

   根据上述配置，consumer 角色的成员具有地址 my.destination 的 consume 权限。

流程

1. 打开 & lt;broker_instance_dir> /etc/broker.xml 配置文件。

2. 在 <security-settings> 项中添加一个单一的 <security-setting> 项。对于 match 键，若要配置为对所有地址的访问，使用数字符号 (#) 通配符字符。例如：

   <security-settings>
       <security-setting match="#">
           <permission type="createDurableQueue" roles="guest"/>
           <permission type="deleteDurableQueue" roles="guest"/>
           <permission type="createNonDurableQueue" roles="guest"/>
           <permission type="deleteNonDurableQueue" roles="guest"/>
           <permission type="createAddress" roles="guest"/>
           <permission type="deleteAddress" roles="guest"/>
           <permission type="send" roles="guest"/>
           <permission type="browse" roles="guest"/>
           <permission type="consume" roles="guest"/>
           <permission type="manage" roles="guest"/>
       </security-setting>
   </security-settings>

   根据前面的配置，所有权限都会被授予所有队列上的 guest 角色的成员。这在一个开发场景中非常有用，其中将匿名身份验证配置为为每个用户分配 guest 角色。

1. 打开 & lt;broker_instance_dir> /etc/broker.xml 配置文件。

2. 在 <security-settings> 项中添加一个单一的 <security-setting> 项。对于 match 键，请包含数字符号(DSL)通配符字符，以将设置应用到匹配的地址 集合。例如：

   <security-setting match="globalqueues.europe.#">
      <permission type="createDurableQueue" roles="admin"/>
      <permission type="deleteDurableQueue" roles="admin"/>
      <permission type="createNonDurableQueue" roles="admin, guest, europe-users"/>
      <permission type="deleteNonDurableQueue" roles="admin, guest, europe-users"/>
      <permission type="send" roles="admin, europe-users"/>
      <permission type="consume" roles="admin, europe-users"/>
   </security-setting>

   match=globalqueues.europe.#

   数字符号(DSL)通配符字符由代理解释为"任何单词序列"。词语用句点(.)分隔。在本例中，安全设置适用于以字符串 globalqueues.europe开头的任何地址。

   permission type="createDurableQueue"

   只有具有 admin 角色的用户才能创建和删除绑定到以字符串 globalqueues.europe开头的地址的危险队列。

   permission type="createNonDurableQueue"

   具有角色 admin、guest 或 europe-users 的用户都可以创建和删除绑定到以字符串 globalqueues.europe开头的地址的临时队列。

   permission type="send"

   任何角色 admin 或 europe-users 的用户都可以发送消息到绑定到以字符串 globalqueues.europe开头的地址。

   permission type="consume"

   具有角色 admin 或 europe-users 的任何用户都可以使用绑定到以字符串 globalqueues.europe开头的地址的消息。

3. （可选）要将不同的安全设置应用到更为严格的地址集合，请添加另一个 < security-setting> 元素。对于 match 键，请指定更具体的文本字符串。例如：

   <security-setting match="globalqueues.europe.orders.#">
      <permission type="send" roles="europe-users"/>
      <permission type="consume" roles="europe-users"/>
   </security-setting>

   在第二个 security-setting 元素中，globalqueues.europe.orders.# 的匹配比第一个 security-setting 元素中的 globalqueues.europe.# 匹配更加具体。对于与 globalqueues.europe.orders.# 匹配的任何地址，权限 createDurableQueue, deleteDurableQueue, createNonDurableQueue, deleteNonDurableQueue 不是从文件的第一个 security-setting 元素继承的。例如，对于地址 globalqueues.europe.orders.plastics，唯一存在的权限才会为角色 europe-users 发送 和使用。

   因此，由于在一个 安全设置 块中指定的权限不会被另一个继承，因此您可以通过不指定这些权限来有效地拒绝更具体的 安全设置 块的权限。

流程

1. 打开 & lt;broker_instance_dir> /etc/broker.xml 配置文件。

2. 对于给定队列，添加用户 密钥。分配一个值。例如：

   <address name="ExampleQueue">
       <anycast>
          <queue name="ExampleQueue" user="admin"/>
       </anycast>
   </address>

   根据前面的配置，admin 用户被分配给队列 ExampleQueue。

流程

1. 打开 & lt;broker_instance_dir> /etc/management.xml 配置文件。

2. 搜索 role-access 元素并编辑配置。例如：

   <role-access>
       <match domain="org.apache.activemq.artemis">
          <access method="list*" roles="view,update,amq"/>
          <access method="get*" roles="view,update,amq"/>
          <access method="is*" roles="view,update,amq"/>
          <access method="set*" roles="update,amq"/>
          <access method="*" roles="amq"/>
       </match>
   </role-access>

   • 在本例中，匹配项应用于具有域名 org.apache.activemq.apache 的任何 MBean 属性。
   • 访问 view, update, 或 amq 角色来匹配 MBean 属性由您添加到角色的 list*, get*, set*, is*, 和 * 访问方法控制。method="*" (通配符) 语法作为一个 catch-all 的方式，适用于没有在配置中列出的所有其他方法。配置中的每个访问方法都转换为 MBean 方法调用。
   • 调用的 MBean 方法与配置中列出的方法匹配。例如，如果您在带有 org.apache.activemq.artemis 域的 MBean 上调用名为 listMessages 的方法，那么代理会将访问权限与 list 方法配置中定义的角色匹配。

   • 您还可以使用完整的 MBean 方法名称来配置访问。例如：

     <access method="listMessages" roles="view,update,amq"/>

3. 启动或重启代理。

   • On Linux: <broker_instance_dir>/bin/artemis run
   • 在 Windows 上： <broker_instance_dir&gt; \bin\artemis-service.exe start

流程

1. 打开 & lt;broker_instance_dir> /etc/management.xml 配置文件。

2. 搜索 whitelist 元素并编辑配置：

   <whitelist>
      <entry domain="hawtio"/>
   </whitelist>

   在本例中，任何具有域 hawtio 的 MBean 都被允许访问，而无需身份验证。您也可以使用 < entry domain="hawtio" key="type=rhacm"/> 形式的通配符条目来匹配 MBean 属性。

3. 启动或重启代理。

   • On Linux: <broker_instance_dir>/bin/artemis run
   • 在 Windows 上： <broker_instance_dir&gt; \bin\artemis-service.exe start

1. 打开 & lt;broker_instance_dir> /etc/broker.xml 配置文件。

2. 添加 resource-limit-settings 元素。为 max-connections 和 max-queues 指定值。例如：

   <resource-limit-settings>
      <resource-limit-setting match="myUser">
         <max-connections>5</max-connections>
         <max-queues>3</max-queues>
      </resource-limit-setting>
   </resource-limit-settings>

   max-connections

   定义匹配用户可以在代理上创建的会话数量。默认值为 -1， 这意味着没有限制。如果要限制会话数量，请考虑从 AMQ 核心协议 JMS 客户端到代理的连接会创建两个会话。

   max-queues

   定义匹配用户可以创建的队列数量。默认值为 -1， 这意味着没有限制。