5.4. 使用 LDAP 进行身份验证和授权

流程

1. 打开 & lt;broker_instance_dir> /etc/broker.xml 配置文件。

2. 在 security-settings 元素内，添加一个 security-setting 元素来配置权限。例如：

   <security-settings>
       <security-setting match="#">
           <permission type="createDurableQueue" roles="user"/>
           <permission type="deleteDurableQueue" roles="user"/>
           <permission type="createNonDurableQueue" roles="user"/>
           <permission type="deleteNonDurableQueue" roles="user"/>
           <permission type="send" roles="user"/>
           <permission type="consume" roles="user"/>
       </security-setting>
   </security-settings>

   上述配置 将所有 队列的特定权限 分配给用户 角色的成员。

3. 打开 & lt;broker_instance_dir> /etc/login.config 文件。

4. 根据您使用的目录服务，配置 LDAP 登录模块。

   1. 如果您使用 Microsoft Active Directory 目录服务，请添加类似以下示例的配置：

      activemq {
        org.apache.activemq.artemis.spi.core.security.jaas.LDAPLoginModule required
           debug=true
           initialContextFactory=com.sun.jndi.ldap.LdapCtxFactory
           connectionURL="LDAP://localhost:389"
           connectionUsername="CN=Administrator,CN=Users,OU=System,DC=example,DC=com"
           connectionPassword=redhat.123
           connectionProtocol=s
           connectionTimeout="5000"
           authentication=simple
           userBase="dc=example,dc=com"
           userSearchMatching="(CN={0})"
           userSearchSubtree=true
           readTimeout="5000"
           roleBase="dc=example,dc=com"
           roleName=cn
           roleSearchMatching="(member={0})"
           roleSearchSubtree=true
           ;
      };

      注意

      如果您使用 Microsoft Active Directory，并且需要为 connectionUsername 属性指定的值包含一个空格（如 OU=System Accounts），那么您必须将值包含在一对双引号中("")，并使用反斜杠(\)来转义每个双引号中的双引号。例如： connectionUsername="CN=Administrator,CN=Users,OU=\"System Accounts\",DC=example,DC=com"。

   2. 如果您使用 ApacheDS 目录服务，请添加类似以下示例的配置：

      activemq {
        org.apache.activemq.artemis.spi.core.security.jaas.LDAPLoginModule required
           debug=true
           initialContextFactory=com.sun.jndi.ldap.LdapCtxFactory
           connectionURL="ldap://localhost:10389"
           connectionUsername="uid=admin,ou=system"
           connectionPassword=secret
           connectionProtocol=s
           connectionTimeout=5000
           authentication=simple
           userBase="dc=example,dc=com"
           userSearchMatching="(uid={0})"
           userSearchSubtree=true
           userRoleName=
           readTimeout=5000
           roleBase="dc=example,dc=com"
           roleName=cn
           roleSearchMatching="(member={0})"
           roleSearchSubtree=true
           ;
      };

      debug

      打开(true)或关闭调试(false)。默认值为 false。

      initialContextFactory

      必须始终设置为 com.sun.jndi.ldap.LdapCtxFactory

      connectionURL

      使用 LDAP URL、_<ldap://Host:Port> 的目录服务器的位置。通过添加正斜杠 /，后跟目录树中特定节点的 DN，可以选择验证此 URL。Apache DS 的默认端口为 10389，而 Microsoft AD 的默认端口为 389。

      connectionUsername

      打开目录服务器连接的用户的可分辨名称(DN)。例如： uid=admin,ou=system。目录服务器通常需要客户端提供用户名/密码凭据才能打开连接。

      connectionPassword

      与来自 connectionUsername 的 DN 匹配的密码。在目录服务器中，在 Directory Information Tree (DIT)中，密码通常以 userPassword 属性存储在对应的目录条目中。

      connectionProtocol

      支持任何值，但实际上并没有使用。必须明确设置这个选项，因为它没有默认值。

      connectionTimeout

      指定代理可以连接到目录服务器的最大时间（以毫秒为单位）。如果代理此时无法连接到目录，它将中止连接尝试。如果为此属性指定 0 或更小的值，则会使用底层 TCP 协议的超时值。如果没有指定值，代理会无限期等待建立连接，或者底层网络超时。

      当为连接池请求连接池时，此属性指定代理在达到最大池大小以及池中所有连接都处于使用时等待的时间。如果您指定了零个或更少值，代理会无限期等待连接可用。否则，当达到最大等待时间时，代理会中止连接尝试。

      身份验证

      指定绑定到 LDAP 服务器时使用的验证方法。这个参数可以设置为 simple （这需要用户名和密码）或 none （允许匿名访问）。

      userBase

      选择要搜索用户条目的 DIT 的特定子树。子树由 DN 指定，用于指定子树的基本节点。例如，通过将此选项设置为 ou=User,ou=ActiveMQ,ou=system，对用户条目的搜索仅限于 ou=User,ou=ActiveMQ,ou=system 节点下的子树。

      userSearchMatching

      指定一个 LDAP 搜索过滤器，它应用到 userBase 所选的子树。详情请查看下面的 第 5.4.1.1 节 “搜索匹配参数” 部分。

      userSearchSubtree

      指定用户条目的搜索深度，相对于 userBase 指定的节点。此选项是一个布尔值。指定一个 false 值表示搜索会尝试与 userBase 节点的其中一个子条目匹配（映射到 javax.naming.directory.SearchControls.ONELEVEL_SCOPE）。指定一个 true 值意味着搜索会尝试匹配属于 userBase 节点 子树的 任何条目（映射到 javax.naming.directory.SearchControls.SUBTREE_SCOPE）。

      userRoleName

      包含用户角色名称列表的用户条目属性名称。角色名称由代理的授权插件解释为组名称。如果省略这个选项，则不会从用户条目中提取角色名称。

      readTimeout

      指定代理可以等待从目录服务器接收响应到 LDAP 请求的最长时间（以毫秒为单位）。如果代理没有收到来自目录服务器的响应，代理会中止请求。如果您指定了零个或更少值，或者您没有指定值，代理会无限期等待从目录服务器的响应到 LDAP 请求。

      roleBase

      如果角色数据直接存储在目录服务器中，可以使用角色选项的组合(roleBase,roleSearchMatching,roleSearchSubtree, 和 roleName)作为指定 userRoleName 选项的替代选择。此选项选择 DIT 的特定子树来搜索 role/group 条目。子树由 DN 指定，用于指定子树的基本节点。例如，通过将此选项设置为 ou=Group,ou=ActiveMQ,ou=system，搜索 role/group 条目仅限于 ou=Group,ou=ActiveMQ,ou=system 节点下的子树。

      roleName

      包含 role/group 名称的角色条目的属性类型（如 C、O、OU 等）。如果省略此选项，则有效禁用角色搜索功能。

      roleSearchMatching

      指定一个 LDAP 搜索过滤器，它应用到 roleBase 所选的子树。详情请查看下面的 第 5.4.1.1 节 “搜索匹配参数” 部分。

      roleSearchSubtree

      指定角色条目的搜索深度，相对于 roleBase 指定的节点。如果设置为 false （默认值），搜索会尝试匹配 roleBase 节点的其中一个子条目（映射到 javax.naming.directory.SearchControls.ONELEVEL_SCOPE）。如果为 true，它会尝试匹配属于角色 Base 节点的子树的任何条目（映射到 javax.naming.directory.SearchControls.SUBTREE_SCOPE）。

      注意

      Apache DS 使用 DN 路径的 OID 部分。Microsoft Active Directory 使用 CN 部分。例如，您可以使用 Apache DS 中的 oid=testuser,dc=example,dc=com 等 DN 路径，而您可以在 Microsoft Active Directory 中使用 cn=testuser,dc=example,dc=com 等 DN 路径。

5. 启动或重启代理（服务或进程）。

流程

1. 打开 & lt;broker_instance_dir> /etc/broker.xml 配置文件。

2. 在 security-settings 元素内，添加 security-setting-plugin 元素。例如：

   <security-settings>
       <security-setting-plugin class-name="org.apache.activemq.artemis.core.server.impl.LegacyLDAPSecuritySettingPlugin">
           <setting name="initialContextFactory" value="com.sun.jndi.ldap.LdapCtxFactory"/>
           <setting name="connectionURL" value="ldap://localhost:1024"/>`ou=destinations,o=ActiveMQ,ou=system`
           <setting name="connectionUsername" value="uid=admin,ou=system"/>
           <setting name="connectionPassword" value="secret"/>
           <setting name="connectionProtocol" value="s"/>
           <setting name="authentication" value="simple"/>
       </security-setting-plugin>
   </security-settings>

   class-name

   实施是 org.apache.activemq.artemis.core.server.impl.LegacyLDAPSecuritySettingPlugin。

   initialContextFactory

   用于连接到 LDAP 的初始上下文工厂。它必须始终设置为 com.sun.jndi.ldap.LdapCtxFactory （即默认值）。

   connectionURL

   使用 LDAP URL 指定目录服务器的位置，<ldap://Host:Port&gt ;。您可选择通过添加正斜杠 /，后跟目录树中特定节点的可分辨名称(DN)来选择性地验证此 URL。例如： ldap://ldapserver:10389/ou=system。默认值为 ldap://localhost:1024。

   connectionUsername

   打开到目录服务器连接的用户的 DN。例如： uid=admin,ou=system。目录服务器通常需要客户端提供用户名/密码凭据才能打开连接。

   connectionPassword

   与来自 connectionUsername 的 DN 匹配的密码。在目录服务器中，在 Directory Information Tree (DIT)中，密码通常以 userPassword 属性存储在对应的目录条目中。

   connectionProtocol

   当前未使用。以后，这个选项可能会允许您选择与目录服务器的连接的安全套接字层(SSL)。必须明确设置这个选项，因为它没有默认值。

   身份验证

   指定绑定到 LDAP 服务器时使用的验证方法。此参数的有效值为 simple （用户名和密码）或 none （匿名）。默认值为 simple。

   注意

   不支持 简单身份验证和安全层(SASL)身份验证。

1. 在命令提示符中，使用 mask 工具来加密密码：

   $ <broker_instance_dir>/bin/artemis mask <password>

   result: 3a34fd21b82bf2a822fa49a8d8fa115d

2. 打开 & lt;broker_instance_dir> /etc/login.config 文件。找到 connectionPassword 参数：

   connectionPassword = <password>

3. 将明文密码替换为加密值：

   connectionPassword = 3a34fd21b82bf2a822fa49a8d8fa115d

4. 使用标识符 "ENC （）" 嵌套加密值：

   connectionPassword = "ENC(3a34fd21b82bf2a822fa49a8d8fa115d)"