5.3.2. 配置基于用户和角色的授权

步骤

1. 打开 <broker-instance-dir>/etc/broker.xml 配置文件。

2. 在 <security-settings> 元素中添加单个 <security-setting> 元素。对于 match 键，指定一个地址。例如：

   <security-settings>
       <security-setting match="my.destination">
           <permission type="send" roles="producer"/>
       </security-setting>
   </security-settings>

   根据前面的配置，producer 角色的成员具有地址 my.destination 的 发送 权限。

步骤

1. 打开 <broker-instance-dir>/etc/broker.xml 配置文件。

2. 在 <security-settings> 元素中添加单个 <security-setting> 元素。对于 match 键，指定一个地址。例如：

   <security-settings>
       <security-setting match="my.destination">
           <permission type="consume" roles="consumer"/>
       </security-setting>
   </security-settings>

   根据前面的配置，consumer 角色的成员 使用 地址 my.destination。

步骤

1. 打开 <broker-instance-dir>/etc/broker.xml 配置文件。

2. 在 <security-settings> 元素中添加单个 <security-setting> 元素。对于 match 键，若要配置 对所有 地址的访问，请指定数字符号(#)通配符。例如：

   <security-settings>
       <security-setting match="#">
           <permission type="createDurableQueue" roles="guest"/>
           <permission type="deleteDurableQueue" roles="guest"/>
           <permission type="createNonDurableQueue" roles="guest"/>
           <permission type="deleteNonDurableQueue" roles="guest"/>
           <permission type="createAddress" roles="guest"/>
           <permission type="deleteAddress" roles="guest"/>
           <permission type="send" roles="guest"/>
           <permission type="browse" roles="guest"/>
           <permission type="consume" roles="guest"/>
           <permission type="manage" roles="guest"/>
       </security-setting>
   </security-settings>

   根据前面的配置，所有权限都会被授予所有队列上 guest 角色的成员。在配置了匿名身份验证以为每个用户分配 guest 角色的开发场景中非常有用。

1. 打开 <broker-instance-dir>/etc/broker.xml 配置文件。

2. 在 <security-settings> 元素中添加单个 <security-setting> 元素。对于 match 键，包括数字符号(#)通配符，以将设置应用到 一组 匹配的地址。例如：

   <security-setting match="globalqueues.europe.#">
      <permission type="createDurableQueue" roles="admin"/>
      <permission type="deleteDurableQueue" roles="admin"/>
      <permission type="createNonDurableQueue" roles="admin, guest, europe-users"/>
      <permission type="deleteNonDurableQueue" roles="admin, guest, europe-users"/>
      <permission type="send" roles="admin, europe-users"/>
      <permission type="consume" roles="admin, europe-users"/>
   </security-setting>

   match=globalqueues.europe.#

   数字符号(#)通配符字符由代理解释为"任一单词序列"。词语以句点（） 分隔。在本例中，安全设置应用到以字符串 globalqueues.europe开头的任何地址。

   permission type="createDurableQueue"

   只有具有 admin 角色的用户才能创建或删除与字符串 globalqueues.europe开头的地址的持久队列。

   permission type="createNonDurableQueue"

   任何具有 admin 角色、guest 或 europe-users 的用户都可以创建和删除绑定到以字符串 globalqueues.europe开头的地址的临时队列。

   permission type="send"

   任何具有 admin 或 europe-users 角色的用户都可以发送消息到以字符串 globalqueues.europe开头的地址。

   permission type="consume"

   任何角色 admin 或 europe-users 的用户都可以使用与字符串 globalqueues.europe开头的地址绑定中的消息。

3. （可选）将不同的安全设置应用到一组更严格的地址集，请添加另一个 <security-setting> 元素。对于 match 键，指定更具体的文本字符串。例如：

   <security-setting match="globalqueues.europe.orders.#">
      <permission type="send" roles="europe-users"/>
      <permission type="consume" roles="europe-users"/>
   </security-setting>

   在第二个 security-setting 元素中，globalqueues.europe.orders.# match 比第一个 security-setting 元素中指定的 globalqueues.europe.# 匹配。对于与 globalqueues.europe.orders.# 匹配的任何地址，权限 createDurableQueue,deleteDurableQueue,createNonDurableQueue 不会 继承该文件中的第一个 security-setting 元素。例如，对于地址 globalqueues.europe.orders.plastics，存在的唯一权限是 发送和 使用 角色 europe-users。

   因此，由于一个 security-setting 块中指定的权限不会被另一个继承，因此您可以通过不指定这些权限来有效地拒绝更具体的 security-setting 块中的权限。

步骤

1. 打开 <broker-instance-dir>/etc/broker.xml 配置文件。

2. 对于给定队列，添加用户 密钥。分配值。例如：

   <address name="ExampleQueue">
       <anycast>
          <queue name="ExampleQueue" user="admin"/>
       </anycast>
   </address>

   根据前面的配置，admin 用户分配到队列 ExampleQueue。