5.5. 使用 Kerberos 进行身份验证和授权

流程

1. 停止代理。

   1. 对于 Linux：

      <broker_instance_dir>/bin/artemis stop

      Copy to Clipboard Toggle word wrap

   2. 对于 Windows：

      <broker_instance_dir>\bin\artemis-service.exe stop

      Copy to Clipboard Toggle word wrap
2. 打开 & lt;broker_instance_dir> /etc/broker.xml 配置文件。

3. 将 name-value 对 saslMechanisms=GSSAPI 添加到 acceptor 的 URL 的查询字符串中。

   <acceptor name="amqp">
     tcp://0.0.0.0:5672?protocols=AMQP;saslMechanisms=GSSAPI
   </acceptor>

   Copy to Clipboard Toggle word wrap

   前面的配置意味着 acceptor 在验证 Kerberos 凭证时使用 GSSAPI 机制。

4. （可选）另外还支持 PLAIN 和 ANONYMOUS SASL 机制。要指定多个机制，请使用逗号分隔的列表。例如：

   <acceptor name="amqp">
     tcp://0.0.0.0:5672?protocols=AMQP;saslMechanisms=GSSAPI,PLAIN
   </acceptor>

   Copy to Clipboard Toggle word wrap

   结果是一个接受者，它使用 GSSAPI 和 PLAIN SASL 机制。

5. 启动代理。

   1. 对于 Linux：

      <broker_instance_dir>/bin/artemis run

      Copy to Clipboard Toggle word wrap

   2. 对于 Windows：

      <broker_instance_dir>\bin\artemis-service.exe start

      Copy to Clipboard Toggle word wrap

流程

1. 停止代理。

   1. 对于 Linux：

      <broker_instance_dir>/bin/artemis stop

      Copy to Clipboard Toggle word wrap

   2. 对于 Windows：

      <broker_instance_dir>\bin\artemis-service.exe stop

      Copy to Clipboard Toggle word wrap
2. 打开 & lt;broker_instance_dir> /etc/login.config 配置文件。

3. 添加名为 amqp-sasl-gssapi 的配置范围。以下示例显示了在 JDK 的 Oracle 和 OpenJDK 版本中找到的 Krb5LoginModule 的配置。

   amqp-sasl-gssapi {
       com.sun.security.auth.module.Krb5LoginModule required
       isInitiator=false
       storeKey=true
       useKeyTab=true
       principal="amqp/my_broker_host@example.com"
       debug=true;
   };

   Copy to Clipboard Toggle word wrap

   amqp-sasl-gssapi

   默认情况下，代理上的 GSSAPI 机制实现使用名为 amqp-sasl-gssapi 的 JAAS 配置范围来获取其 Kerberos acceptor 凭证。

   Krb5LoginModule

   此版本的 Krb5LoginModule 由 JDK 的 Oracle 和 OpenJDK 版本提供。通过引用 Java 供应商中的文档来验证 Krb5LoginModule 及其可用选项的完全限定类名称。

   useKeyTab

   Krb5LoginModule 配置为在验证主体时使用 Kerberos keytab。keytab 使用 Kerberos 环境中的工具生成。有关生成 Kerberos keytab 的详细信息，请参阅厂商中的文档。

   主体

   Principal 设置为 amqp/my_broker_host@example.com。这个值必须与在 Kerberos 环境中创建的服务主体对应。有关创建服务主体的详情，请查看厂商中的文档。

4. 启动代理。

   1. 对于 Linux：

      <broker_instance_dir>/bin/artemis run

      Copy to Clipboard Toggle word wrap

   2. 对于 Windows：

      <broker_instance_dir>\bin\artemis-service.exe start

      Copy to Clipboard Toggle word wrap

流程

1. 停止代理。

   1. 对于 Linux：

      <broker_instance_dir>/bin/artemis stop

      Copy to Clipboard Toggle word wrap

   2. 对于 Windows：

      <broker_instance_dir>\bin\artemis-service.exe stop

      Copy to Clipboard Toggle word wrap
2. 打开 & lt;broker_instance_dir> /etc/login.config 配置文件。

3. 添加 AMQ Broker Krb5LoginModule 和 LDAPLoginModule 的配置。通过引用 LDAP 供应商中的文档来验证配置选项。

   下面是一个示例配置。

   org.apache.activemq.artemis.spi.core.security.jaas.Krb5LoginModule required
       ;
   org.apache.activemq.artemis.spi.core.security.jaas.LDAPLoginModule optional
       initialContextFactory=com.sun.jndi.ldap.LdapCtxFactory
       connectionURL="ldap://localhost:1024"
       authentication=GSSAPI
       saslLoginConfigScope=broker-sasl-gssapi
       connectionProtocol=s
       userBase="ou=users,dc=example,dc=com"
       userSearchMatching="(krb5PrincipalName={0})"
       userSearchSubtree=true
       authenticateUser=false
       roleBase="ou=system"
       roleName=cn
       roleSearchMatching="(member={0})"
       roleSearchSubtree=false
       ;

   Copy to Clipboard Toggle word wrap
   注意

   上例中显示的 Krb5LoginModule 版本与 AMQ Broker 一起发布，并将 Kerberos 身份转换为代理身份，供其他 AMQ 模块用于角色映射。

4. 启动代理。

   1. 对于 Linux：

      <broker_instance_dir>/bin/artemis run

      Copy to Clipboard Toggle word wrap

   2. 对于 Windows：

      <broker_instance_dir>\bin\artemis-service.exe start

      Copy to Clipboard Toggle word wrap