5.5.2. 使用 Kerberos 凭证验证客户端

步骤

1. 停止代理。

   1. 在 Linux 中：

      <broker_instance_dir>/bin/artemis stop

   2. 在 Windows 上：

      <broker_instance_dir>\bin\artemis-service.exe stop

2. 打开 <broker_instance_dir>/etc/login.config 配置文件。

3. 添加名为 amqp-sasl-gssapi 的配置范围。以下示例显示了在 JDK 的 Oracle 和 OpenJDK 版本中找到的 Krb5LoginModule 的配置。

   amqp-sasl-gssapi {
       com.sun.security.auth.module.Krb5LoginModule required
       isInitiator=false
       storeKey=true
       useKeyTab=true
       principal="amqp/my_broker_host@example.com"
       debug=true;
   };

   amqp-sasl-gssapi

   默认情况下，代理上的 GSSAPI 机制实施使用名为 amqp-sasl-gssapi 的 JAAS 配置范围来获取其 Kerberos 接收器凭证。

   Krb5LoginModule

   此版本的 Krb5LoginModule 由 JDK 的 Oracle 和 OpenJDK 版本提供。通过引用 Java 供应商的文档，验证 Krb5LoginModule 及其可用选项的完全限定类名称。

   useKeyTab

   Krb5LoginModule 在验证主体时使用 Kerberos keytab。keytabs 使用来自 Kerberos 环境的工具生成。有关生成 Kerberos keytab 的详情，请查看您的厂商文档。

   principal

   Principal 设置为 amqp/my_broker_host@example.com。这个值必须与在 Kerberos 环境中创建的服务主体对应。有关创建服务主体的详情，请查看您的厂商文档。

4. 启动代理。

   1. 在 Linux 中：

      <broker_instance_dir>/bin/artemis run

   2. 在 Windows 上：

      <broker_instance_dir>\bin\artemis-service.exe start