5.3. 授权客户端

流程

1. 打开 & lt;broker_instance_dir> /etc/broker.xml 配置文件。

2. 在 <security-settings> 项中添加一个单一的 <security-setting> 项。对于 match 键，指定一个地址。例如：

   <security-settings>
       <security-setting match="my.destination">
           <permission type="send" roles="producer"/>
       </security-setting>
   </security-settings>

   Copy to Clipboard Toggle word wrap

   根据上述配置，生产者 角色的成员具有地址 my.destination 的 发送 权限。

流程

1. 打开 & lt;broker_instance_dir> /etc/broker.xml 配置文件。

2. 在 <security-settings> 项中添加一个单一的 <security-setting> 项。对于 match 键，指定一个地址。例如：

   <security-settings>
       <security-setting match="my.destination">
           <permission type="consume" roles="consumer"/>
       </security-setting>
   </security-settings>

   Copy to Clipboard Toggle word wrap

   根据上述配置，consumer 角色的成员具有地址 my.destination 的 consume 权限。

流程

1. 打开 & lt;broker_instance_dir> /etc/broker.xml 配置文件。

2. 在 <security-settings> 项中添加一个单一的 <security-setting> 项。对于 match 键，若要配置为对所有地址的访问，使用数字符号 (#) 通配符字符。例如：

   <security-settings>
       <security-setting match="#">
           <permission type="createDurableQueue" roles="guest"/>
           <permission type="deleteDurableQueue" roles="guest"/>
           <permission type="createNonDurableQueue" roles="guest"/>
           <permission type="deleteNonDurableQueue" roles="guest"/>
           <permission type="createAddress" roles="guest"/>
           <permission type="deleteAddress" roles="guest"/>
           <permission type="send" roles="guest"/>
           <permission type="browse" roles="guest"/>
           <permission type="consume" roles="guest"/>
           <permission type="manage" roles="guest"/>
       </security-setting>
   </security-settings>

   Copy to Clipboard Toggle word wrap

   根据上述配置，所有权限都授予所有队列上的 guest 角色成员。这在将匿名身份验证配置为为每个用户分配 guest 角色的开发场景非常有用。

1. 打开 & lt;broker_instance_dir> /etc/broker.xml 配置文件。

2. 在 <security-settings> 项中添加一个单一的 <security-setting> 项。对于 match 键，请包含数字符号(#)通配符字符，以将设置应用到匹配的 一组 地址。例如：

   <security-setting match="globalqueues.europe.#">
      <permission type="createDurableQueue" roles="admin"/>
      <permission type="deleteDurableQueue" roles="admin"/>
      <permission type="createNonDurableQueue" roles="admin, guest, europe-users"/>
      <permission type="deleteNonDurableQueue" roles="admin, guest, europe-users"/>
      <permission type="send" roles="admin, europe-users"/>
      <permission type="consume" roles="admin, europe-users"/>
   </security-setting>

   Copy to Clipboard Toggle word wrap

   match=globalqueues.europe.#

   代理将数字符号(#)通配符字符解释为"任意单词序列"。词语以句点(.)分隔。在本例中，安全设置适用于以字符串 globalqueues.europe开头的任何地址。

   permission type="createDurableQueue"

   只有具有 admin 角色的用户才能创建或删除持久队列，绑定到以字符串 globalqueues.europe开头的地址。

   permission type="createNonDurableQueue"

   具有 admin、guest 或 europe-users 角色的任何用户都可以创建和删除绑定到以字符串 globalqueues.europe开头的地址的临时队列。

   权限 type="send"

   具有 admin 或 europe-users 角色的任何用户可以发送消息到绑定至以字符串 globalqueues.europe开头的地址。

   权限 type="consume"

   具有 admin 或 europe-users 角色的任何用户可以消耗来自队列绑定到以字符串 globalqueues.europe开头的地址的消息。

3. （可选）要将不同的安全设置应用到更严格的地址集合，请添加另一个 < security-setting> 元素。对于 match 键，指定更具体的文本字符串。例如：

   <security-setting match="globalqueues.europe.orders.#">
      <permission type="send" roles="europe-users"/>
      <permission type="consume" roles="europe-users"/>
   </security-setting>

   Copy to Clipboard Toggle word wrap

   在第二个 security-setting 元素中，globalqueues.europe.orders.# 的匹配比第一个 security-setting 元素中的 globalqueues.europe.# 匹配更加具体。对于与 globalqueues.europe.orders.# 匹配的任何地址，权限 createDurableQueue, deleteDurableQueue, createNonDurableQueue, deleteNonDurableQueue 不是从文件的第一个 security-setting 元素继承的。例如，对于地址 globalqueues.europe.orders.plastics，存在的唯一权限是为 europe-users 角色 发送 和使用 的权限。

   因此，由于一个 security-setting 块中指定的权限不会被另一个继承，因此您可以通过不指定这些权限来有效地在更具体的 security-setting 块中拒绝权限。

流程

1. 打开 & lt;broker_instance_dir> /etc/broker.xml 配置文件。

2. 对于给定队列，添加用户 密钥。分配一个值。例如：

   <address name="ExampleQueue">
      <anycast>
         <queue name="ExampleQueue">
            <user>admin</user>
         </queue>
      </anycast>
   </address>

   Copy to Clipboard Toggle word wrap

   根据上述配置，admin 用户分配到队列 ExampleQueue。

流程

1. 打开 & lt;broker_instance_dir> /etc/management.xml 配置文件。

2. 搜索 role-access 元素并编辑配置。例如：

   <role-access>
       <match domain="org.apache.activemq.artemis">
          <access method="list*" roles="view,update,amq"/>
          <access method="get*" roles="view,update,amq"/>
          <access method="is*" roles="view,update,amq"/>
          <access method="set*" roles="update,amq"/>
          <access method="*" roles="amq"/>
       </match>
   </role-access>

   Copy to Clipboard Toggle word wrap
   • 在本例中，匹配应用到具有域名 org.apache.activemq.apache 的任何 MBean 属性。
   • 访问 view, update, 或 amq 角色来匹配 MBean 属性由您添加到角色的 list*, get*, set*, is*, 和 * 访问方法控制。method="*" (通配符) 语法作为一个 catch-all 的方式，适用于没有在配置中列出的所有其他方法。配置中的每个访问方法都会转换为 MBean 方法调用。
   • 调用的 MBean 方法与配置中列出的方法匹配。例如，如果您在带有 org.apache.activemq.artemis 域的 MBean 上调用了 listMessages 的方法，则代理会将访问重新与 list 方法配置中定义的角色匹配。

   • 您还可以使用完整的 MBean 方法名称来配置访问权限。例如：

     <access method="listMessages" roles="view,update,amq"/>

     Copy to Clipboard Toggle word wrap

3. 启动或重启代理。

   • 在 Linux: & lt;broker_instance_dir> /bin/artemis run

   • 在 Windows: & lt;broker_instance_dir> \bin\artemis-service.exe start

     您还可以通过添加与 MBean 属性匹配的 key 属性来匹配域中的特定 MBeans。

流程

1. 从 management.xml 文件中删除 authorisation 元素配置，以防止代理使用这个文件中的默认 RBAC 配置。

   1. 编辑 & lt;broker_instance_dir>/etc/management.xml 文件。
   2. 从文件中删除 作者 元素配置。
   3. 保存 & lt;broker_instance_dir>/etc/management.xml 文件。

2. 在 broker JVM 中添加环境变量，将代理配置为使用 broker.xml 文件中的 RBAC 配置。

   1. 打开 & lt;broker_instance_dir>/etc/artemis.profile 文件。

   2. 将以下参数添加到 Java 系统参数的 JAVA_ARGS 列表中 ：

      -Djavax.management.builder.initial=org.apache.activemq.artemis.core.server.management.ArtemisRbacMBeanServerBuilder

   3. 保存 artemis.profile 文件。
3. 打开 & lt;broker_instance_dir> /etc/broker.xml 文件，为管理操作配置 RBAC。

4. 搜索 security-settings 元素，再添加一个 security-setting 元素来管理操作。

   管理操作匹配地址的格式是：

   <_management-rbac-prefix_>.<_resource type_>.<_resource name_>.<_operation_>

   management-rbac-prefix 参数的默认值为 mops。

   在以下示例中，匹配地址中的数字符号(TALM)将 admin 角色 视图 和编辑权限授予 所有 MBeans。

   <security-settings>
     ..
     <security-setting match="mops.#">
      <permission type="view" roles="admin"/>
      <permission type="edit" roles="admin"/>
     </security-setting>
     ..
   </security-setting>

   Copy to Clipboard Toggle word wrap
5. 保存 & lt;broker_instance_dir> /etc/broker.xml 配置文件。

1. 打开 & lt;broker_instance_dir> /etc/broker.xml 配置文件。

2. 添加 resource-limit-settings 元素。指定 max-connections 和 max-queues 的值。例如：

   <resource-limit-settings>
      <resource-limit-setting match="myUser">
         <max-connections>5</max-connections>
         <max-queues>3</max-queues>
      </resource-limit-setting>
   </resource-limit-settings>

   Copy to Clipboard Toggle word wrap

   max-connections

   定义匹配用户可以在代理上创建的会话数量。默认值为 -1，这意味着没有限制。如果要限制会话数量，请考虑从 AMQ 核心协议 JMS 客户端连接到代理的每个连接创建两个会话。

   max-queues

   定义匹配用户可以创建的队列数。默认值为 -1，这意味着没有限制。