4.3. 配置身份验证和授权

流程

1. 使用新的 JAAS 登录模块配置创建一个文本文件，并将文件保存为 login.config。将文件保存为 login.config，正确的密钥会插入到您从文本文件创建的 secret 中。以下是登录模块配置示例：

   activemq {
      org.apache.activemq.artemis.spi.core.security.jaas.PropertiesLoginModule sufficient
         reload=true
         org.apache.activemq.jaas.properties.user="new-users.properties"
         org.apache.activemq.jaas.properties.role="new-roles.properties";
   
      org.apache.activemq.artemis.spi.core.security.jaas.PropertiesLoginModule sufficient
         reload=false
         org.apache.activemq.jaas.properties.user="artemis-users.properties"
         org.apache.activemq.jaas.properties.role="artemis-roles.properties"
         baseDir="/home/jboss/amq-broker/etc";
   };

   Copy to Clipboard Toggle word wrap

   在 secret 中配置 JAAS 登录模块并在 CR 中添加对 secret 的引用后，AMQ Broker 不再使用默认的登录模块。但是，Operator 需要在默认登录模块中引用的 artemis-users.properties 文件中的用户与代理进行身份验证。要确保 Operator 可以在配置新的 JAAS 登录模块后与代理进行身份验证，您必须：

   • 在新的登录模块配置中包含默认属性登录模块，如上例中所示。在示例中，默认属性登录模块使用 artemis-users.properties 和 artemis-roles.properties 文件。如果您在新的登录模块配置中包含默认登录模块，您必须将 baseDir 设置为 /home/jboss/amq-broker/etc 目录，其中包含每个代理 Pod 上的默认属性文件。

   • 将 Operator 所需的用户和角色信息添加到新登录模块配置中引用的属性文件中。您可以从代理 Pod 上的 /home/jboss/amq-broker/etc 目录中 复制此信息。

     注意

     只有在代理首次调用登录模块时，才会加载登录模块中引用的属性文件。代理会按照 login.config 文件中列出的顺序调用登录模块，直到它找到登录模块来验证用户。通过将包含 Operator 使用的凭证的登录模块放在 login.config 文件的末尾，当代理验证 Operator 时，所有前面的登录模块都会被调用。因此，任何状态消息都指出该属性文件在代理中不可见。

2. 如果您创建的 login.config 文件包含属性登录模块，请确保模块中指定的用户和角色文件包含用户和角色信息。例如：

   new-users.properties

   ruben=ruben01!
   anne=anne01!
   rick=rick01!
   bob=bob01!

   Copy to Clipboard Toggle word wrap

   new-roles.properties

   admin=ruben, rick
   group1=bob
   group2=anne

   Copy to Clipboard Toggle word wrap

3. 使用 oc create secret 命令从使用新登录模块配置创建的文本文件中创建 secret。如果登录模块配置包含属性登录模块，请在机密中包含相关的用户和角色文件。例如：

   oc create secret generic custom-jaas-config --from-file=login.config --from-file=new-users.properties --from-file=new-roles.properties

   Copy to Clipboard Toggle word wrap
   注意

   secret 名称必须具有 -jaas-config 后缀，以便 Operator 可以识别 secret 包含登录模块配置，并将任何更新传播到每个代理 Pod。

   有关如何创建 secret 的更多信息，请参阅 Kubernetes 文档中的 Secret。

4. 将您创建的 secret 添加到代理部署的自定义资源(CR)实例中。

   1. 使用 OpenShift 命令行界面：

      1. 以具有特权的用户身份登录 OpenShift，以便在代理部署的项目中部署 CR。

      2. 编辑部署的 CR。

          oc edit ActiveMQArtemis <CR instance name> -n <namespace>

         Copy to Clipboard Toggle word wrap

   2. 使用 OpenShift Container Platform Web 控制台：

      1. 以具有特权的用户身份登录控制台，以便在代理部署的项目中部署 CR。
      2. 在左侧窗格中，点 Operators Installed Operator。
      3. 点 Red Hat Integration - AMQ Broker for RHEL 8 (Multiarch) operator。
      4. 点 AMQ Broker 选项卡。
      5. 单击 ActiveMQArtemis 实例名称的名称。

      6. 点 YAML 标签。

         在控制台中，会打开 YAML 编辑器，供您配置 CR 实例。

5. 创建一个 extraMounts 元素和一个 secrets 元素，并添加 secret 的名称。以下示例将名为 custom-jaas-config 的 secret 添加到 CR 中。

   deploymentPlan:
     ...
     extraMounts:
       secrets:
       - "custom-jaas-config"
     ...

   Copy to Clipboard Toggle word wrap

6. 在 CR 中，为代理配置的角色授予权限。

   1. 在 CR 的 spec 部分，添加一个 brokerProperties 元素并添加权限。您可以为单个地址授予角色权限。或者，您可以使用 # 符号指定通配符匹配，为所有地址授予角色权限。例如：

      spec:
        ...
        brokerProperties:
        - securityRoles.#.group2.send=true
        - securityRoles.#.group1.consume=true
        - securityRoles.#.group1.createAddress=true
        - securityRoles.#.group1.createNonDurableQueue=true
        - securityRoles.#.group1.browse=true
        ...

      Copy to Clipboard Toggle word wrap

      在示例中，group2 角色分配为所有地址 发送 权限，并且分配 group1 角色 消耗、createAddress、createNonDurableQueue 并将权限浏览到 所有地址。

      注意

      在 Java 属性文件中，冒号(:)是一个保留字符，用于分隔键/值对中的键和值。如果要向完全限定队列名称(FQQN)授予权限，它由地址名称和以冒号(::)分隔的队列名称组成，则必须使用反斜杠(\)字符来转义 FQQN 中的冒号字符。例如：

      spec:
        ...
        brokerProperties:
        - 'securityRoles."my-address\:\:my-queue".group2.send=true'

      Copy to Clipboard Toggle word wrap

7. 保存 CR。

   Operator 在每个 Pod 上的 /amq/extra/secrets/secret 名称 目录中挂载 login.config 文件，并将代理 JVM 配置为读取挂载的 login.config 文件，而不是默认的 login.config 文件。如果 login.config 文件包含属性登录模块，则引用的用户和角色属性文件也会挂载到每个 Pod 上。

8. 查看 CR 中的状态信息，以验证部署中的代理是否使用 secret 中的 JAAS 登录模块进行身份验证。

   1. 使用 OpenShift 命令行界面：

      1. 获取代理 CR 中的状态条件。

         $ oc get activemqartemis -o yaml

         Copy to Clipboard Toggle word wrap

   2. 使用 OpenShift Web 控制台：

      1. 在 CR 中，进入到 status 部分。

   3. 在状态信息中，验证存在 JaasPropertiesApplied 类型，这表示代理正在使用 secret 中配置的 JAAS 登录模块。例如：

      - lastTransitionTime: "2023-02-06T20:50:01Z"
        message: ""
        reason: Applied
        status: "True"
        type: JaasPropertiesApplied

      Copy to Clipboard Toggle word wrap

      当您更新 secret 中的任何文件时，reason 字段的值会显示 OutofSync，直到 OpenShift Container Platform 将 secret 中的最新文件传播到每个代理 Pod。例如，如果您在 new-users-properties 文件中添加新用户并更新 secret，您会看到以下状态信息，直到更新的文件被传播到每个 Pod：

      - lastTransitionTime: "2023-02-06T20:55:20Z"
        message: 'new-users.properties status out of sync, expected: 287641156, current: 2177044732'
        reason: OutOfSync
        status: "False"
        type: JaasPropertiesApplied

      Copy to Clipboard Toggle word wrap

9. 当您在 secret 中引用的属性文件中更新用户或组信息时，请使用 oc set data 命令更新 secret。您必须再次读取到 secret 的所有文件，包括 login.config 文件。例如，如果您向此流程前面创建的 new-users.properties 文件中添加新用户，请使用以下命令更新 custom-jaas-config secret：

   oc set data secret/custom-jaas-config --from-file=login.config=login.config --from-file=new-users.properties=new-users.properties --from-file=new-roles.properties=new-roles.properties

   Copy to Clipboard Toggle word wrap