Red Hat Summit 红帽全球峰会支持控制台（Console）开发人员开始试用联系人

第 5 章 保护代理

5.1. 安全连接
复制链接

当代理连接到消息传递客户端或代理连接到其他代理时，您可以使用传输层安全(TLS)来保护这些连接。

您可以使用两个 TLS 配置：

  • 单向 TLS，其中只有代理提供证书。这是最常见的配置。
  • 双向（或 mutual）TLS，其中代理和客户端（或其他代理）都存在证书。

5.1.1. 配置单向 TLS
复制链接

以下流程演示了如何为单向 TLS 配置给定接受者。

  1. 打开 & lt;broker_instance_dir> /etc/broker.xml 配置文件。

  2. 对于给定的接受者，添加 sslEnabled 键并将值设为 true。另外，添加 keyStorePath 和 keyStorePassword 密钥。设置与代理密钥存储对应的值。例如： 

    <acceptor name="artemis">tcp://0.0.0.0:61616?sslEnabled=true;keyStorePath=../etc/broker.keystore;keyStorePassword=1234!</acceptor>
    Copy to Clipboard Toggle word wrap

5.1.2. 配置双向 TLS
复制链接

以下流程演示了如何配置双向 TLS。

先决条件

流程

  1. 打开 & lt;broker_instance_dir&gt; /etc/broker.xml 配置文件。

  2. 对于您之前为单向 TLS 配置的 acceptor，请添加 needClientAuth 密钥。将值设为 true。例如： 

    <acceptor name="artemis">tcp://0.0.0.0:61616?sslEnabled=true;keyStorePath=../etc/broker.keystore;keyStorePassword=1234!;needClientAuth=true</acceptor>
    Copy to Clipboard Toggle word wrap

  3. 上一步中的配置假定客户端的证书由可信提供者签名。如果客户端证书 不是由 可信供应商（例如自签名）签名，那么代理需要将客户端证书导入到信任存储中。在这种情况下，添加 trustStorePath 和 trustStorePassword 密钥。设置与代理信任存储对应的值。例如： 

    <acceptor name="artemis">tcp://0.0.0.0:61616?sslEnabled=true;keyStorePath=../etc/broker.keystore;keyStorePassword=1234!;needClientAuth=true;trustStorePath=../etc/client.truststore;trustStorePassword=5678!</acceptor>
    Copy to Clipboard Toggle word wrap
注意

AMQ Broker 支持多种协议，每个协议和平台都有不同的方法来指定 TLS 参数。但是，在使用核心协议(a bridge)的客户端时，TLS 参数是在连接器 URL 上配置，就像在代理的 acceptor 上一样。

如果自签名证书在 Java 虚拟机(JVM)信任存储中被列为可信证书，则 JVM 不会验证证书的到期日期。在生产环境中，红帽建议您使用证书颁发机构签名的证书。

5.1.3. TLS 配置选项
复制链接

下表显示了所有可用的 TLS 配置选项。

Expand
选项备注

sslEnabled

指定是否为连接启用 SSL。必须设置为 true 才能启用 TLS。默认值为 false。

keyStorePath

在接受者上使用时：到包含代理 证书的代理上的 TLS 密钥存储的路径（无论是自签名还是由颁发机构签名）。

在连接器上使用时： 包含客户端证书的客户端上的 TLS 密钥存储的路径。只有在您使用双向 TLS 时，这才与连接器相关。虽然您可以在代理上配置这个值，但它会被下载并使用。如果客户端需要使用与代理上设置的不同路径，它可以使用标准的 javax.net.ssl.keyStore 系统属性或特定于 AMQ 的 org.apache.activemq.ssl.keyStore 系统属性或 AMQ 的 org.apache.activemq.ssl.keyStore 系统属性覆盖代理设置。如果客户端上的另一个组件已使用标准 Java 系统属性，则特定于 AMQ 的系统属性很有用。

keyStorePassword

在接受者上使用时： 代理上密钥存储的密码。

在连接器上使用时： 客户端上密钥存储的密码。只有在您使用双向 TLS 时，这才与连接器相关。虽然您可以在代理上配置这个值，但它会被下载并使用。如果客户端需要使用与代理上设置的不同密码，那么它可以使用标准的 javax.net.ssl.keyStorePassword 系统属性或特定于 AMQ 的 org.apache.activemq.ssl.keyStorePassword 系统属性或 AMQ 的 org.apache.activemq.ssl.keyStorePassword 系统属性来覆盖代理设置。如果客户端上的另一个组件已使用标准 Java 系统属性，则特定于 AMQ 的系统属性很有用。

trustStorePath

在 接受器上使用时： 代理上 TLS 信任存储的路径，其中包含代理信任的所有客户端的密钥。只有在您使用双向 TLS 时，这才与接受者相关。

在 连接器上使用时： 客户端上 TLS 信任存储的路径，其中包含客户端信任的所有代理的公钥。虽然您可以在代理上配置这个值，但它会被下载并使用。如果客户端需要使用与服务器上设置的不同路径，那么它可以使用标准的 javax.net.ssl.trustStore 系统属性或 AMQ 特定的 org.apache.activemq.ssl.trustStore 系统属性或 AMQ 特定的 org.apache.activemq.ssl.trustStore 系统属性来覆盖服务器端设置。如果客户端上的另一个组件已使用标准 Java 系统属性，则特定于 AMQ 的系统属性很有用。

trustStorePassword

在 接受者中使用时： 代理上信任存储的密码。只有在您使用双向 TLS 时，这才与接受者相关。

在连接器中使用时： 客户端上信任存储的密码。虽然您可以在代理上配置这个值，但它会被下载并使用。如果客户端需要使用与代理上设置的不同密码，那么它可以使用标准的 javax.net.ssl.trustStorePassword 系统属性或特定于 AMQ 的 org.apache.activemq.ssl.trustStorePassword 系统属性或 AMQ 的 org.apache.activemq.ssl.trustStorePassword 系统属性来覆盖代理设置。如果客户端上的另一个组件已使用标准 Java 系统属性，则特定于 AMQ 的系统属性很有用。

enabledCipherSuites

以逗号分隔的密码套件列表，用于接受器或连接器的 TLS 通信。

指定客户端应用程序支持的最安全密码套件。如果您指定了代理和客户端通用的、以逗号分隔的密码套件列表，或者您没有指定任何密码套件、代理和客户端相互协商要使用的密码套件。如果您不知道要指定哪个密码套件，您可以首先与以 debug 模式运行的客户端建立 broker-client 连接，以验证代理和客户端通用的密码套件。然后，在代理上配置 enabledCipherSuites。

可用的密码套件取决于代理和客户端使用的 TLS 协议版本。如果在升级代理后默认 TLS 协议版本有变化，您可能需要选择早期的 TLS 协议版本，以确保代理和客户端可以使用通用密码套件。如需更多信息，请参阅 enabledProtocols。

enabledProtocols

无论在接受者或连接器中使用，这是以逗号分隔的用于 TLS 通信的协议列表。如果没有指定 TLS 协议版本，代理将使用 JVM 的默认版本。

如果代理使用 JVM 的默认 TLS 协议版本，且升级代理后该版本会改变，代理和客户端使用的 TLS 协议版本可能会不兼容。虽然建议您使用更新的 TLS 协议版本，但您可以在 enabledProtocols 中指定较早的版本，以便与不支持较新的 TLS 协议版本的客户端进行交互。

needClientAuth

此属性仅适用于接受者。它指示客户端连接到需要双向 TLS 的接受者。有效值为 true 或者 false。默认值为 false。

返回顶部
Red Hat logoGithubredditYoutubeTwitter

学习

尝试、购买和销售

社区

关于红帽文档

通过我们的产品和服务，以及可以信赖的内容，帮助红帽用户创新并实现他们的目标。 了解我们当前的更新.

让开源更具包容性

红帽致力于替换我们的代码、文档和 Web 属性中存在问题的语言。欲了解更多详情，请参阅红帽博客.

關於紅帽

我们提供强化的解决方案，使企业能够更轻松地跨平台和环境（从核心数据中心到网络边缘）工作。

Theme

© 2025 Red Hat