5.2. 验证客户端

流程

1. 打开 & lt;broker_instance_dir> /etc/login.config 配置文件。默认情况下，新的 AMQ Broker 7.13 实例中此文件包括以下行：

   activemq {
      org.apache.activemq.artemis.spi.core.security.jaas.PropertiesLoginModule sufficient
          debug=false
          reload=true
          org.apache.activemq.jaas.properties.user="artemis-users.properties"
          org.apache.activemq.jaas.properties.role="artemis-roles.properties";
            };

   Copy to Clipboard Toggle word wrap

   activemq

   配置的别名。

   org.apache.activemq.artemis.spi.core.security.jaas.PropertiesLoginModule

   实施类。

   足够

   指定 PropertiesLoginModule 需要哪个级别的成功。您可以设置的值有：

   • 必需 ：需要登录模块才能成功。无论成功或失败如何，身份验证将继续在给定别名下配置的登录模块列表。
   • requisite ：需要登录模块才能成功。失败会立即将控制权返回到应用。身份验证不会停机给定别名下配置的登录模块的列表。
   • sufficient: 登录模块不需要成功。如果成功，则控制会返回应用程序，身份验证也不会进一步继续。如果失败，身份验证会尝试继续在给定别名下配置的登录模块列表。
   • 可选 登录模块不是必需的。无论成功或失败如何，身份验证将继续在给定别名下配置的登录模块列表。

   org.apache.activemq.jaas.properties.user

   指定为登录模块实现定义一组用户和密码的属性文件。

   org.apache.activemq.jaas.properties.role

   指定将用户映射到登录模块实施定义的角色的属性文件。

2. 打开 & lt;broker_instance_dir> /etc/artemis-users.properties 配置文件。

3. 添加用户并为用户分配密码。例如：

   user1=secret
   user2=access
   user3=myPassword

   Copy to Clipboard Toggle word wrap
4. 打开 & lt;broker_instance_dir> /etc/artemis-roles.properties 配置文件。

5. 将角色名称分配给您之前添加到 artemis-users.properties 文件中的用户。例如：

   admin=user1,user2
   developer=user3

   Copy to Clipboard Toggle word wrap
6. 打开 & lt;broker_instance_dir> /etc/bootstrap.xml 配置文件。

7. 如有必要，将您的安全域别名（在这个实例中，activemq）添加到文件中，如下所示：

   <jaas-security domain="activemq"/>

   Copy to Clipboard Toggle word wrap

流程

1. 打开之前为基本用户和密码身份验证配置的 & lt;broker_instance_dir> /etc/login.config 配置文件。

2. 在您之前添加的属性登录模块配置后，添加客户机登录模块配置。例如：

   activemq {
     org.apache.activemq.artemis.spi.core.security.jaas.PropertiesLoginModule sufficient
         debug=true
         org.apache.activemq.jaas.properties.user="artemis-users.properties"
         org.apache.activemq.jaas.properties.role="artemis-roles.properties";
   
     org.apache.activemq.artemis.spi.core.security.jaas.GuestLoginModule sufficient
         debug=true
         org.apache.activemq.jaas.guest.user="guest"
         org.apache.activemq.jaas.guest.role="restricted";
   };

   Copy to Clipboard Toggle word wrap

   org.apache.activemq.artemis.spi.core.security.jaas.GuestLoginModule

   实施类。

   org.apache.activemq.jaas.guest.user

   分配给匿名用户的用户名。

   org.apache.activemq.jaas.guest.role

   分配给匿名用户的角色。

流程

1. 从之前导入到代理密钥存储的用户证书获取 Subject Distinguished Names (DNs)。

   1. 将密钥存储文件中的证书导出到临时文件。例如：

      keytool -export -file <file_name> -alias broker-localhost -keystore broker.ks -storepass <password>

      Copy to Clipboard Toggle word wrap

   2. 打印导出的证书的内容：

      keytool -printcert -file <file_name>

      Copy to Clipboard Toggle word wrap

      输出结果类似如下：

      Owner: CN=localhost, OU=broker, O=Unknown, L=Unknown, ST=Unknown, C=Unknown
      Issuer: CN=localhost, OU=broker, O=Unknown, L=Unknown, ST=Unknown, C=Unknown
      Serial number: 4537c82e
      Valid from: Thu Oct 19 19:47:10 BST 2006 until: Wed Jan 17 18:47:10 GMT 2007
      Certificate fingerprints:
               MD5:  3F:6C:0C:89:A8:80:29:CC:F5:2D:DA:5C:D7:3F:AB:37
               SHA1: F0:79:0D:04:38:5A:46:CE:86:E1:8A:20:1F:7B:AB:3A:46:E4:34:5C

      Copy to Clipboard Toggle word wrap

      Owner 条目是主题 DN。用于输入 Subject DN 的格式取决于您的平台。以上字符串也可以表示为;

      Owner: `CN=localhost,\ OU=broker,\ O=Unknown,\ L=Unknown,\ ST=Unknown,\ C=Unknown`

      Copy to Clipboard Toggle word wrap

2. 配置基于证书的身份验证。

   1. 打开 & lt;broker_instance_dir> /etc/login.config 配置文件。添加证书登录模块并引用用户和角色属性文件。例如：

      activemq {
          org.apache.activemq.artemis.spi.core.security.jaas.TextFileCertificateLoginModule
              debug=true
              org.apache.activemq.jaas.textfiledn.user="artemis-users.properties"
              org.apache.activemq.jaas.textfiledn.role="artemis-roles.properties";
      };

      Copy to Clipboard Toggle word wrap

      org.apache.activemq.artemis.spi.core.security.jaas.TextFileCertificateLoginModule

      实施类。

      org.apache.activemq.jaas.textfiledn.user

      指定为登录模块实现定义一组用户和密码的属性文件。

      org.apache.activemq.jaas.textfiledn.role

      指定将用户映射到登录模块实施定义的角色的属性文件。

   2. 打开 & lt;broker_instance_dir> /etc/artemis-users.properties 配置文件。用户及其对应的 DN 在此文件中定义。例如：

      system=CN=system,O=Progress,C=US
      user=CN=humble user,O=Progress,C=US
      guest=CN=anon,O=Progress,C=DE

      Copy to Clipboard Toggle word wrap

      例如，基于上述配置，名为 system 的用户映射到 CN=system,O=Progress,C=US Subject DN。

   3. 打开 & lt;broker_instance_dir> /etc/artemis-roles.properties 配置文件。可用的角色和包含这些角色的用户在此文件中定义。例如：

      admins=system
      users=system,user
      guests=guest

      Copy to Clipboard Toggle word wrap

      在前面的配置中，对于 users 角色，您将以逗号分隔列表列出多个用户。

   4. 请确保您的安全域别名（在本例中是 activemq）在 bootstrap.xml 中引用，如下所示：

      <jaas-security domain="activemq"/>

      Copy to Clipboard Toggle word wrap

1. 代理读取客户端的 TLS/SSL 证书，以从证书的主题获取身份。
2. 证书主题由证书登录模块映射到代理身份。然后，代理会根据其角色授权用户。

流程

1. 打开包含 URI 的资源以进行编辑：

   amqps://localhost:5500

   Copy to Clipboard Toggle word wrap

2. 添加参数 sslEnabled=true 来为连接启用 TSL/SSL ：

   amqps://localhost:5500?sslEnabled=true

   Copy to Clipboard Toggle word wrap

3. 添加与客户端信任存储和密钥存储相关的参数，以便使用代理启用 TSL/SSL 证书交换：

   amqps://localhost:5500?sslEnabled=true&trustStorePath=<trust_store_path>&trustStorePassword=<trust_store_password>&keyStorePath=<key_store_path>&keyStorePassword=<key_store_password>

   Copy to Clipboard Toggle word wrap

4. 添加参数 saslMechanisms=EXTERNAL，以使用其 TSL/SSL 证书中找到的身份请求代理验证客户端：

   amqps://localhost:5500?sslEnabled=true&trustStorePath=<trust_store_path>&trustStorePassword=<trust_store_password>&keyStorePath=<key_store_path>&keyStorePassword=<key_store_password>&saslMechanisms=EXTERNAL

   Copy to Clipboard Toggle word wrap