5.4. 使用 LDAP 进行身份验证和授权

流程

1. 打开 & lt;broker_instance_dir> /etc/broker.xml 配置文件。

2. 在 security-settings 元素中，添加一个 security-setting 元素来配置权限。例如：

   <security-settings>
       <security-setting match="#">
           <permission type="createDurableQueue" roles="user"/>
           <permission type="deleteDurableQueue" roles="user"/>
           <permission type="createNonDurableQueue" roles="user"/>
           <permission type="deleteNonDurableQueue" roles="user"/>
           <permission type="send" roles="user"/>
           <permission type="consume" roles="user"/>
       </security-setting>
   </security-settings>

   前面的配置 将所有 队列的特定权限 分配给用户 角色的成员。

3. 打开 & lt;broker_instance_dir> /etc/login.config 文件。

4. 根据您要使用的目录服务配置 LDAP 登录模块。

   1. 如果您使用 Microsoft Active Directory 目录服务，请添加类似以下示例的配置：

      activemq {
        org.apache.activemq.artemis.spi.core.security.jaas.LDAPLoginModule required
           debug=true
           initialContextFactory=com.sun.jndi.ldap.LdapCtxFactory
           connectionURL="LDAP://localhost:389"
           connectionUsername="CN=Administrator,CN=Users,OU=System,DC=example,DC=com"
           connectionPassword=redhat.123
           connectionProtocol=s
           connectionTimeout="5000"
           authentication=simple
           userBase="dc=example,dc=com"
           userSearchMatching="(CN={0})"
           userSearchSubtree=true
           readTimeout="5000"
           roleBase="dc=example,dc=com"
           roleName=cn
           roleSearchMatching="(member={0})"
           roleSearchSubtree=true
           ;
      };

      注意

      如果您使用 Microsoft Active Directory，并且您需要为 connectionUsername 的属性指定的值包含一个空格（如 OU=System Accounts），那么您必须将该值放在一对双引号("")中，并使用反斜杠(\)转义对对中的每个双引号。例如： connectionUsername="CN=Administrator,CN=Users,OU=\"System Accounts\",DC=example,DC=com"。

   2. 如果您使用 ApacheDS 目录服务，请添加类似以下示例的配置：

      activemq {
        org.apache.activemq.artemis.spi.core.security.jaas.LDAPLoginModule required
           debug=true
           initialContextFactory=com.sun.jndi.ldap.LdapCtxFactory
           connectionURL="ldap://localhost:10389"
           connectionUsername="uid=admin,ou=system"
           connectionPassword=secret
           connectionProtocol=s
           connectionTimeout=5000
           authentication=simple
           userBase="dc=example,dc=com"
           userSearchMatching="(uid={0})"
           userSearchSubtree=true
           userRoleName=
           readTimeout=5000
           roleBase="dc=example,dc=com"
           roleName=cn
           roleSearchMatching="(member={0})"
           roleSearchSubtree=true
           ;
      };

      debug

      打开调试(true)或关闭(false)。默认值为 false。

      initialContextFactory

      必须始终设置为 com.sun.jndi.ldap.LdapCtxFactory

      connectionURL

      使用 LDAP URL __<ldap://Host:Port> 的目录服务器的位置。可以选择通过添加正斜杠 /，后跟目录树中特定节点的 DN 来证明此 URL。Apache DS 的默认端口为 10389，而对于 Microsoft AD，默认为 389。

      connectionUsername

      打开与目录服务器连接的用户的可分辨名称(DN)。例如： uid=admin,ou=system。目录服务器通常需要客户端提供用户名/密码凭证来打开连接。

      connectionPassword

      与 connectionUsername 的 DN 匹配的密码。在目录服务器中，在 Directory Information Tree (DIT)中，密码通常作为 userPassword 属性存储在对应的目录条目中。

      connectionProtocol

      支持任何值，但实际没有被使用。必须明确设置这个选项，因为它没有默认值。

      connectionTimeout

      以毫秒为单位指定代理连接到目录服务器的最长时间。如果代理无法连接到该目录，它会中止连接尝试。如果为此属性指定 0 或更小的值，则会使用底层 TCP 协议的超时值。如果没有指定值，代理会无限期等待建立连接，或者底层网络超时。

      当为连接请求连接池时，此属性指定代理达到最大池大小并且池中所有连接都被使用时的最大时间。如果您指定的值为零或更少，代理会无限期等待连接可用。否则，代理会在达到最长等待时间时中止连接尝试。

      身份验证

      指定绑定到 LDAP 服务器时使用的身份验证方法。这个参数可以设置为 simple （需要用户名和密码）或 none （允许匿名访问）。

      userBase

      选择 DIT 的特定子树来搜索用户条目。子树由 DN 指定，用于指定子树的基本节点。例如，通过将此选项设置为 ou=User,ou=ActiveMQ,ou=system，对用户条目的搜索仅限于 ou=User,ou=ActiveMQ,ou=system 节点下的子树。

      userSearchMatching

      指定一个 LDAP 搜索过滤器，它应用到 userBase 所选的子树。详情请查看以下 第 5.4.1.1 节 “搜索匹配参数” 部分。

      userSearchSubtree

      指定用户条目的搜索深度，相对于 userBase 指定的节点。这个选项是一个布尔值。指定一个 false 值表示搜索尝试匹配 userBase 节点的子条目之一（映射到 javax.naming.directory.SearchControls.ONELEVEL_SCOPE）。指定一个 true 值表示搜索尝试匹配属于 userBase 节点 子树 的任何条目（映射到 javax.naming.directory.SearchControls.SUBTREE_SCOPE）。

      userRoleName

      包含用户的角色名称的用户条目属性的名称。角色名称由代理的授权插件解释为组名称。如果省略这个选项，则不会从用户条目中提取角色名称。

      readTimeout

      指定代理可以从目录服务器接收响应到 LDAP 请求的最大时间（以毫秒为单位）。如果代理没有从目录服务器收到响应，代理会中止请求。如果您指定的值为零或更少，或者未指定值，代理会无限期等待从目录服务器响应 LDAP 请求的响应。

      roleBase

      如果角色数据存储在目录服务器中，可以使用角色选项的组合(roleBase、roleSearchMatching、roleSearchSubtree、roleName和 roleName )作为指定 userRoleName 选项的替代选择。此选项选择 DIT 的特定子树来搜索角色/组条目。子树由 DN 指定，用于指定子树的基本节点。例如，通过将此选项设置为 ou=Group,ou=ActiveMQ,ou=system，对 role/group 条目的搜索仅限于 ou=Group,ou=ActiveMQ,ou=system 节点下的子树。

      roleName

      包含角色/组名称的角色条目的属性类型（如 C、O、OU 等）。如果省略了这个选项，则有效禁用角色搜索功能。

      roleSearchMatching

      指定一个 LDAP 搜索过滤器，它应用到 roleBase 所选的子树。详情请查看以下 第 5.4.1.1 节 “搜索匹配参数” 部分。

      roleSearchSubtree

      指定角色条目的搜索深度，相对于 roleBase 指定的节点。如果设置为 false （默认值），搜索会尝试匹配 roleBase 节点的子条目之一（映射到 javax.naming.directory.SearchControls.ONELEVEL_SCOPE）。如果为 true，它会尝试匹配属于 roleBase 节点子树的任何条目（映射到 javax.naming.directory.SearchControls.SUBTREE_SCOPE）。

      注意

      Apache DS 使用 DN 路径的 OID 部分。Microsoft Active Directory 使用 CN 部分。例如，您可以在 Apache DS 中使用 DN 路径，如 oid=testuser,dc=example,dc=com，而您可以在 Microsoft Active Directory 中使用 DN 路径，如 cn=testuser,dc=example,dc=com。

5. 启动或重启代理（服务或进程）。

流程

1. 打开 & lt;broker_instance_dir> /etc/broker.xml 配置文件。

2. 在 security-settings 元素中，添加 security-setting-plugin 元素。例如：

   <security-settings>
       <security-setting-plugin class-name="org.apache.activemq.artemis.core.server.impl.LegacyLDAPSecuritySettingPlugin">
           <setting name="initialContextFactory" value="com.sun.jndi.ldap.LdapCtxFactory"/>
           <setting name="connectionURL" value="ldap://localhost:1024"/>`ou=destinations,o=ActiveMQ,ou=system`
           <setting name="connectionUsername" value="uid=admin,ou=system"/>
           <setting name="connectionPassword" value="secret"/>
           <setting name="connectionProtocol" value="s"/>
           <setting name="authentication" value="simple"/>
       </security-setting-plugin>
   </security-settings>

   class-name

   实现是 org.apache.activemq.artemis.core.server.impl.LegacyLDAPSecuritySettingPlugin。

   initialContextFactory

   用于连接到 LDAP 的初始上下文工厂。它必须始终设置为 com.sun.jndi.ldap.LdapCtxFactory （默认值）。

   connectionURL

   使用 LDAP URL <ldap://Host:Port> 指定 目录服务器 的位置。您可以选择通过添加正斜杠 /，后跟目录树中特定节点的可分辨名称(DN)来证明此 URL。例如： ldap://ldapserver:10389/ou=system。默认值为 ldap://localhost:1024。

   connectionUsername

   打开到目录服务器连接的用户的 DN。例如： uid=admin,ou=system。目录服务器通常需要客户端提供用户名/密码凭证来打开连接。

   connectionPassword

   与 connectionUsername 的 DN 匹配的密码。在目录服务器中，在 Directory Information Tree (DIT)中，密码通常作为 userPassword 属性存储在对应的目录条目中。

   connectionProtocol

   当前未使用。未来，此选项可能会允许您选择连接到目录服务器的安全套接字层(SSL)。必须明确设置这个选项，因为它没有默认值。

   身份验证

   指定绑定到 LDAP 服务器时使用的身份验证方法。此参数的有效值为 simple （用户名和密码）或 none （匿名）。默认值为 simple。

   注意

   不支持 简单的身份验证和安全层(SASL)身份验证。

1. 在命令提示符中，使用 mask 工具加密密码：

   $ <broker_instance_dir>/bin/artemis mask <password>

   result: 3a34fd21b82bf2a822fa49a8d8fa115d

2. 打开 & lt;broker_instance_dir> /etc/login.config 文件。找到 connectionPassword 参数：

   connectionPassword = <password>

3. 将纯文本密码替换为加密值：

   connectionPassword = 3a34fd21b82bf2a822fa49a8d8fa115d

4. 使用标识符 "ENC （）" 嵌套加密值：

   connectionPassword = "ENC(3a34fd21b82bf2a822fa49a8d8fa115d)"