5.4. 使用 LDAP 进行身份验证和授权

流程

1. 打开 & lt;broker_instance_dir> /etc/broker.xml 配置文件。

2. 在 security-settings 元素中，添加一个 security-setting 元素来配置权限。例如：

   <security-settings>
       <security-setting match="#">
           <permission type="createDurableQueue" roles="user"/>
           <permission type="deleteDurableQueue" roles="user"/>
           <permission type="createNonDurableQueue" roles="user"/>
           <permission type="deleteNonDurableQueue" roles="user"/>
           <permission type="send" roles="user"/>
           <permission type="consume" roles="user"/>
       </security-setting>
   </security-settings>

   Copy to Clipboard Toggle word wrap

   上述配置 将所有 队列的特定权限 分配给用户 角色的成员。

3. 打开 & lt;broker_instance_dir> /etc/login.config 文件。

4. 根据您使用的目录服务，配置 LDAP 登录模块。

   1. 如果您使用 Microsoft Active Directory 目录服务，请添加类似以下示例的配置：

      activemq {
        org.apache.activemq.artemis.spi.core.security.jaas.LDAPLoginModule required
           debug=true
           initialContextFactory=com.sun.jndi.ldap.LdapCtxFactory
           connectionURL="LDAP://localhost:389"
           connectionUsername="CN=Administrator,CN=Users,OU=System,DC=example,DC=com"
           connectionPassword=redhat.123
           connectionProtocol=s
           connectionTimeout="5000"
           authentication=simple
           userBase="dc=example,dc=com"
           userSearchMatching="(CN={0})"
           userSearchSubtree=true
           readTimeout="5000"
           roleBase="dc=example,dc=com"
           roleName=cn
           roleSearchMatching="(member={0})"
           roleSearchSubtree=true
           ;
      };

      Copy to Clipboard Toggle word wrap
      注意

      如果您使用 Microsoft Active Directory，而您需要为 connectionUsername 属性指定的值包含一个空格（例如 OU=System Accounts），那么您必须将该值放在一对双引号("")中，并使用反斜杠(\)来转义对中的每个双引号。例如, connectionUsername="CN=Administrator,CN=Users,OU=\"System Accounts\",DC=example,DC=com"。

   2. 如果您使用 ApacheDS 目录服务，请添加类似以下示例的配置：

      activemq {
        org.apache.activemq.artemis.spi.core.security.jaas.LDAPLoginModule required
           debug=true
           initialContextFactory=com.sun.jndi.ldap.LdapCtxFactory
           connectionURL="ldap://localhost:10389"
           connectionUsername="uid=admin,ou=system"
           connectionPassword=secret
           connectionProtocol=s
           connectionTimeout=5000
           authentication=simple
           userBase="dc=example,dc=com"
           userSearchMatching="(uid={0})"
           userSearchSubtree=true
           userRoleName=
           readTimeout=5000
           roleBase="dc=example,dc=com"
           roleName=cn
           roleSearchMatching="(member={0})"
           roleSearchSubtree=true
           ;
      };

      Copy to Clipboard Toggle word wrap

      debug

      打开调试(true)或关闭(假)。默认值为 false。

      initialContextFactory

      必须始终设置为 com.sun.jndi.ldap.LdapCtxFactory

      connectionURL

      使用 LDAP URL 的目录服务器的位置__<ldap://Host:Port>。通过添加正斜杠 / 以及目录树中特定节点的 DN，可以选择性地验证此 URL。对于 Microsoft AD，Apache DS 的默认端口为 10389，默认为 389。

      connectionUsername

      打开与目录服务器的连接的用户的区分名称(DN)。例如： uid=admin,ou=system。目录服务器通常需要客户端提供用户名/密码凭证才能打开连接。

      connectionPassword

      与来自 connectionUsername 的 DN 匹配的密码。在目录服务器中，在 Directory Information Tree (DIT)中，密码通常作为 userPassword 属性存储在对应的目录条目中。

      connectionProtocol

      支持任何值，但实际上没有使用。必须明确设置这个选项，因为它没有默认值。

      connectionTimeout

      指定代理连接到目录服务器所需的最长时间（以毫秒为单位）。如果代理无法在此时间内连接到目录 sever，它会中止连接尝试。如果为此属性指定 0 或更小的值，则会使用底层 TCP 协议的超时值。如果没有指定值，代理会无限期等待建立连接，或者底层网络超时。

      当为连接请求连接池时，此属性指定在达到最大池大小并且使用池中所有连接时代理等待连接的最长时间。如果您指定了零或更少的值，代理会无限期等待连接可用。否则，代理会在达到最大等待时间时中止连接尝试。

      身份验证

      指定绑定到 LDAP 服务器时使用的身份验证方法。这个参数可以设置为 simple （需要用户名和密码）或 none （允许匿名访问）。

      userBase

      选择 DIT 的特定子树来搜索用户条目。子树由 DN 指定，用于指定子树的基本节点。例如，通过将此选项设置为 ou=User,ou=ActiveMQ,ou=system，搜索用户条目仅限于 ou=User,ou=ActiveMQ,ou=system 节点下的子树。

      userSearchMatching

      指定一个 LDAP 搜索过滤器，它应用到 userBase 所选的子树。详情请查看 第 5.4.1.1 节 “搜索匹配参数” 部分。

      userSearchSubtree

      相对于 userBase 指定的节点，指定用户条目的搜索深度。此选项是一个布尔值。指定 false 值表示搜索会尝试匹配 userBase 节点的一个子条目（映射到 javax.naming.directory.SearchControls.ONELEVEL_SCOPE）。值为 true 表示搜索会尝试与属于 userBase 节点 的子树 的任何条目匹配（映射到 javax.naming.directory.SearchControls.SUBTREE_SCOPE）。

      userRoleName

      用户条目的名称，其中包含用户的角色名称列表。角色名称由代理的授权插件解释为组名称。如果省略这个选项，则不会从用户条目中提取角色名称。

      readTimeout

      指定代理可以等待从目录服务器接收响应到 LDAP 请求的最长时间（以毫秒为单位）。如果代理目前没有收到来自目录服务器的响应，代理会中止请求。如果您指定了零或更少的值，或者没有指定值，代理会无限期等待目录服务器的响应到 LDAP 请求。

      roleBase

      如果角色数据直接存储在目录服务器中，可以使用角色选项(roleBase,roleSearchMatching,roleSearchSubtree, 和 roleName)作为指定 userRoleName 选项的替代方案。这个选项选择 DIT 的特定子树来搜索角色/组条目。子树由 DN 指定，用于指定子树的基本节点。例如，通过将此选项设置为 ou=Group,ou=ActiveMQ,ou=system，搜索 role/group 条目仅限于 ou=Group,ou=ActiveMQ,ou=system 节点下的子树。

      roleName

      包含角色/组名称（如 C、O、OU 等）的角色条目的属性类型。如果省略这个选项，则角色搜索功能会有效地禁用。

      roleSearchMatching

      指定一个 LDAP 搜索过滤器，它应用到 roleBase 所选的子树。详情请查看 第 5.4.1.1 节 “搜索匹配参数” 部分。

      roleSearchSubtree

      指定与 roleBase 指定的节点相关的角色条目的搜索深度。如果设置为 false （默认值）搜索会尝试匹配 roleBase 节点的一个子条目（映射到 javax.naming.directory.SearchControls.ONELEVEL_SCOPE）。如果为 true，它会尝试匹配属于 roleBase 节点子树的任何条目（映射到 javax.naming.directory.SearchControls.SUBTREE_SCOPE）。

      注意

      Apache DS 使用 DN 路径的 OID 部分。Microsoft Active Directory 使用 CN 部分。例如，您可以在 Apache DS 中使用 DN 路径，如 oid=testuser,dc=example,dc=com，而您可能在 Microsoft Active Directory 中使用一个 DN 路径，如 cn=testuser,dc=example,dc=com。

5. 启动或重启代理（服务或进程）。

流程

1. 打开 & lt;broker_instance_dir> /etc/broker.xml 配置文件。

2. 在 security-settings 元素中，添加 security-setting-plugin 元素。例如：

   <security-settings>
       <security-setting-plugin class-name="org.apache.activemq.artemis.core.server.impl.LegacyLDAPSecuritySettingPlugin">
           <setting name="initialContextFactory" value="com.sun.jndi.ldap.LdapCtxFactory"/>
           <setting name="connectionURL" value="ldap://localhost:1024"/>`ou=destinations,o=ActiveMQ,ou=system`
           <setting name="connectionUsername" value="uid=admin,ou=system"/>
           <setting name="connectionPassword" value="secret"/>
           <setting name="connectionProtocol" value="s"/>
           <setting name="authentication" value="simple"/>
       </security-setting-plugin>
   </security-settings>

   Copy to Clipboard Toggle word wrap

   class-name

   该实施是 org.apache.activemq.artemis.core.server.impl.LegacyLDAPSecuritySettingPlugin。

   initialContextFactory

   用于连接到 LDAP 的初始上下文工厂。它必须始终设置为 com.sun.jndi.ldap.LdapCtxFactory （即默认值）。

   connectionURL

   使用 LDAP URL <ldap://Host:Port> 指定 目录服务器 的位置。您可选择通过在目录树中添加特定节点的正斜杠 /，后跟特定节点的可分辨名称(DN)来确定此 URL。例如： ldap://ldapserver:10389/ou=system。默认值为 ldap://localhost:1024。

   connectionUsername

   打开与目录服务器连接的用户的 DN。例如： uid=admin,ou=system。目录服务器通常需要客户端提供用户名/密码凭证才能打开连接。

   connectionPassword

   与来自 connectionUsername 的 DN 匹配的密码。在目录服务器中，在 Directory Information Tree (DIT)中，密码通常作为 userPassword 属性存储在对应的目录条目中。

   connectionProtocol

   当前未使用。未来，这个选项可能允许您为与目录服务器的连接选择安全套接字层(SSL)。必须明确设置这个选项，因为它没有默认值。

   身份验证

   指定绑定到 LDAP 服务器时使用的身份验证方法。此参数的有效值为 simple （用户名和密码）或 none （匿名）。默认值为 simple。

   注意

   不支持 简单身份验证和安全层(SASL)身份验证。

1. 在命令提示符下，使用 mask 工具加密密码：

   $ <broker_instance_dir>/bin/artemis mask <password>

   Copy to Clipboard Toggle word wrap

   result: 3a34fd21b82bf2a822fa49a8d8fa115d

   Copy to Clipboard Toggle word wrap

2. 打开 & lt;broker_instance_dir> /etc/login.config 文件。找到 connectionPassword 参数：

   connectionPassword = <password>

   Copy to Clipboard Toggle word wrap

3. 将纯文本密码替换为加密值：

   connectionPassword = 3a34fd21b82bf2a822fa49a8d8fa115d

   Copy to Clipboard Toggle word wrap

4. 使用标识符 "ENC （）" 嵌套加密值：

   connectionPassword = "ENC(3a34fd21b82bf2a822fa49a8d8fa115d)"

   Copy to Clipboard Toggle word wrap