4.3. 配置身份验证和授权

流程

1. 创建一个带有新 JAAS 登录模块配置的文本文件，并将文件保存为 login.config。将文件保存为 login.config，正确的密钥会插入到您从文本文件创建的 secret 中。

   注意

   您必须在 login.config 文件中包括 Operator 使用代理进行身份验证所需的凭证。您可以通过添加默认属性登录模块，该模块使用 artemis-users.properties 和 artemis.roles 属性文件，如下例所示。或者，您可以将 artemis-users.properties 和 artemis.roles.properties 的内容添加到 login.config 文件中配置的其他用户和角色属性文件。

   login.config 文件示例

   以下示例有一个属性登录模块，用于验证用户以及 Operator 使用代理进行身份验证所需的默认属性登录模块：

   activemq {
      org.apache.activemq.artemis.spi.core.security.jaas.PropertiesLoginModule sufficient
         reload=true
         org.apache.activemq.jaas.properties.user="new-users.properties"
         org.apache.activemq.jaas.properties.role="new-roles.properties";
   
      org.apache.activemq.artemis.spi.core.security.jaas.PropertiesLoginModule sufficient
         reload=false
         org.apache.activemq.jaas.properties.user="artemis-users.properties"
         org.apache.activemq.jaas.properties.role="artemis-roles.properties"
         baseDir="/home/jboss/amq-broker/etc";
   };

   Copy to Clipboard Toggle word wrap

   以下示例有一个 LDAP 登录模块，用于验证用户以及 Operator 使用代理进行身份验证所需的默认属性登录模块：

   activemq {
      org.apache.activemq.artemis.spi.core.security.jaas.LDAPLoginModule sufficient
          debug=true
          reload=true
          initialContextFactory="com.sun.jndi.ldap.LdapCtxFactory"
          connectionURL="ldap://ldap.company.com:389"
          connectionUsername="cn=read-only-admin,dc=example,dc=com"
          connectionPassword="password"
          connectionProtocol="s"
          connectionTimeout="5000"
          authentication="simple"
          userBase="dc=example,dc=com"
          userSearchMatching="(uid={0})"
          userSearchSubtree=true
          readTimeout="5000"
          roleBase="dc=example,dc=com"
          roleName="cn"
          roleSearchMatching="(uniqueMember={0})"
          roleSearchSubtree=false
          ;
      org.apache.activemq.artemis.spi.core.security.jaas.PropertiesLoginModule sufficient
          reload=false
          org.apache.activemq.jaas.properties.user="artemis-users.properties"
          org.apache.activemq.jaas.properties.role="artemis-roles.properties"
          baseDir="/home/jboss/amq-broker/etc"
          ;
   };

   Copy to Clipboard Toggle word wrap
   注意

   将包含 Operator 用来与代理进行身份验证的凭证的属性文件放在 login.config 文件的末尾。这样可确保在代理验证 Operator 时载入所有登录模块中的属性文件。否则，自定义资源可能会具有状态消息，显示代理上一些属性文件不可见，直到使用所有登录模块为止。

2. 如果您创建的 login.config 文件包含属性登录模块，请确保模块中指定的用户和角色文件包含用户和角色信息。例如：

   new-users.properties

   ruben=ruben01!
   anne=anne01!
   rick=rick01!
   bob=bob01!

   Copy to Clipboard Toggle word wrap

   new-roles.properties

   admin=ruben, rick
   group1=bob
   group2=anne

   Copy to Clipboard Toggle word wrap

3. 使用 oc create secret 命令从使用新登录模块配置创建的文本文件中创建 secret。如果登录模块配置包含属性登录模块，还要在机密中包含关联的用户和角色文件。例如：

   oc create secret generic custom-jaas-config --from-file=login.config --from-file=new-users.properties --from-file=new-roles.properties

   Copy to Clipboard Toggle word wrap
   注意

   secret 名称必须具有后缀 -jaas-config，以便 Operator 可以识别 secret 包含登录模块配置，并将任何更新传播到每个代理 pod。

   有关如何创建 secret 的更多信息，请参阅 Kubernetes 文档中的 Secret。

4. 将您创建的 secret 添加到代理部署的自定义资源(CR)实例中。

   1. 创建 extraMounts 元素和一个 secrets 元素，并添加 secret 的名称。以下示例将名为 custom-jaas-config 的 secret 添加到 CR 中。

      deploymentPlan:
        ...
        extraMounts:
          secrets:
          - "custom-jaas-config"
        ...

      Copy to Clipboard Toggle word wrap

5. 在 CR 中，向代理中配置的角色授予权限。

   1. 在 CR 的 spec 部分，添加一个 brokerProperties 元素并添加权限。您可以为单个地址授予角色权限。或者，您可以使用 # 符号指定通配符匹配，为所有地址授予角色权限。例如：

      spec:
        ...
        brokerProperties:
        - securityRoles.#.group2.send=true
        - securityRoles.#.group1.consume=true
        - securityRoles.#.group1.createAddress=true
        - securityRoles.#.group1.createNonDurableQueue=true
        - securityRoles.#.group1.browse=true
        ...

      Copy to Clipboard Toggle word wrap

      在示例中，将 group2 角色分配给所有地址，并且分配 group1 角色使用 ,createAddress,createNonDurableQueue 和 浏览所有地址的权限。

      注意

      在 Java 属性文件中，冒号(:)是一个保留字符，用于分隔键/值对中的键和值。如果要向完全限定队列名称(FQQN)授予权限，它由地址名称和以冒号(::)分隔的队列名称组成，则必须使用反斜杠(\)字符来转义 FQQN 中的冒号字符。例如：

      spec:
        ...
        brokerProperties:
        - 'securityRoles."my-address\:\:my-queue".group2.send=true'

      Copy to Clipboard Toggle word wrap

6. 保存 CR。

   Operator 将 login.config 文件挂载到每个 pod 上的 /amq/extra/secrets/secret 名称 目录中，并将 broker JVM 配置为读取挂载的 login.config 文件，而不是默认的 login.config 文件。如果 login.config 文件包含属性登录模块，则引用的用户和角色属性文件也会挂载到每个 pod 上。

7. 查看 CR 中的状态信息，以验证部署中的代理是否使用 secret 中的 JAAS 登录模块进行身份验证。

   1. 在 CR 中，导航到 status 部分。

   2. 验证存在 JaasPropertiesApplied 类型，这表示代理正在使用机密中配置的 JAAS 登录模块。例如：

      - lastTransitionTime: "2023-02-06T20:50:01Z"
        message: ""
        reason: Applied
        status: "True"
        type: JaasPropertiesApplied

      Copy to Clipboard Toggle word wrap

      当您更新 secret 中的任何文件时，reason 字段的值会显示 OutofSync，直到 OpenShift Container Platform 将 secret 中的最新文件传播到每个代理 pod。例如，如果您向 new-users-properties 文件中添加新用户并更新 secret，您会看到以下状态信息，直到更新的文件传播到每个 pod：

      - lastTransitionTime: "2023-02-06T20:55:20Z"
        message: 'new-users.properties status out of sync, expected: 287641156, current: 2177044732'
        reason: OutOfSync
        status: "False"
        type: JaasPropertiesApplied

      Copy to Clipboard Toggle word wrap

8. 当您在 secret 中引用的属性文件中更新用户或角色信息时，请使用 oc set data 命令更新 secret。您必须再次将所有文件添加到 secret 中，包括 login.config 文件。例如，如果您向此流程前面创建的 new-users.properties 文件中添加新用户，请使用以下命令更新 custom-jaas-config secret：

   oc set data secret/custom-jaas-config --from-file=login.config=login.config --from-file=new-users.properties=new-users.properties --from-file=new-roles.properties=new-roles.properties

   Copy to Clipboard Toggle word wrap