5.3. 授权客户端

流程

1. 打开 & lt;broker_instance_dir> /etc/broker.xml 配置文件。

2. 在 <security-settings> 项中添加一个单一的 <security-setting> 项。对于 match 键，请指定地址。例如：

   <security-settings>
       <security-setting match="my.destination">
           <permission type="send" roles="producer"/>
       </security-setting>
   </security-settings>

   根据上述配置，制作者 角色的成员具有地址 my.destination 的 发送 权限。

流程

1. 打开 & lt;broker_instance_dir> /etc/broker.xml 配置文件。

2. 在 <security-settings> 项中添加一个单一的 <security-setting> 项。对于 match 键，请指定地址。例如：

   <security-settings>
       <security-setting match="my.destination">
           <permission type="consume" roles="consumer"/>
       </security-setting>
   </security-settings>

   根据上述配置，consumer 角色的成员具有地址 my.destination 的 consume 权限。

流程

1. 打开 & lt;broker_instance_dir> /etc/broker.xml 配置文件。

2. 在 <security-settings> 项中添加一个单一的 <security-setting> 项。对于 match 键，若要配置为对所有地址的访问，使用数字符号 (#) 通配符字符。例如：

   <security-settings>
       <security-setting match="#">
           <permission type="createDurableQueue" roles="guest"/>
           <permission type="deleteDurableQueue" roles="guest"/>
           <permission type="createNonDurableQueue" roles="guest"/>
           <permission type="deleteNonDurableQueue" roles="guest"/>
           <permission type="createAddress" roles="guest"/>
           <permission type="deleteAddress" roles="guest"/>
           <permission type="send" roles="guest"/>
           <permission type="browse" roles="guest"/>
           <permission type="consume" roles="guest"/>
           <permission type="manage" roles="guest"/>
       </security-setting>
   </security-settings>

   根据上述配置，所有权限都授予所有队列的 guest 角色的成员。这在将匿名身份验证配置为为每个用户分配 guest 角色时非常有用。

1. 打开 & lt;broker_instance_dir> /etc/broker.xml 配置文件。

2. 在 <security-settings> 项中添加一个单一的 <security-setting> 项。对于 match 键，请包含数字符号(#)通配符字符，以将设置应用到匹配的地址 集合。例如：

   <security-setting match="globalqueues.europe.#">
      <permission type="createDurableQueue" roles="admin"/>
      <permission type="deleteDurableQueue" roles="admin"/>
      <permission type="createNonDurableQueue" roles="admin, guest, europe-users"/>
      <permission type="deleteNonDurableQueue" roles="admin, guest, europe-users"/>
      <permission type="send" roles="admin, europe-users"/>
      <permission type="consume" roles="admin, europe-users"/>
   </security-setting>

   match=globalqueues.europe.#

   数字符号(#)通配符字符由代理解释为"任意单词序列"。单词用句点(.)分隔。在本例中，安全设置适用于以字符串 globalqueues.europe开头的任何地址。

   permission type="createDurableQueue"

   只有具有 admin 角色的用户才能创建或删除绑定到字符串 globalqueues.europe的地址的持久队列。

   permission type="createNonDurableQueue"

   具有 admin、guest 或 europe-users 角色的任何用户可以创建或删除绑定到字符串 globalqueues.europe的地址的临时队列。

   permission type="send"

   具有 admin 或 europe-users 角色的任何用户可以发送消息到绑定到字符串 globalqueues.europe的地址的队列。

   permission type="consume"

   具有 admin 或 europe-users 角色的任何用户都可以使用绑定到以字符串 globalqueues.europe开头的队列的消息。

3. （可选） 要将不同的安全设置应用到更严格的地址集合，请添加另一个 < security-setting> 元素。对于 match 键，请指定更具体的文本字符串。例如：

   <security-setting match="globalqueues.europe.orders.#">
      <permission type="send" roles="europe-users"/>
      <permission type="consume" roles="europe-users"/>
   </security-setting>

   在第二个 security-setting 元素中，globalqueues.europe.orders.# 的匹配比第一个 security-setting 元素中的 globalqueues.europe.# 匹配更加具体。对于与 globalqueues.europe.orders.# 匹配的任何地址，权限 createDurableQueue, deleteDurableQueue, createNonDurableQueue, deleteNonDurableQueue 不是从文件的第一个 security-setting 元素继承的。例如，对于地址 globalqueues.europe.orders.plastics，唯一存在的权限为 europe-users 发送 和使用。

   因此，因为一个 security-setting 块中指定的权限不会被另一个继承，因此您可以通过不指定这些权限，实际上可以有效地拒绝更具体的 security-setting 块中的权限。

流程

1. 打开 & lt;broker_instance_dir> /etc/broker.xml 配置文件。

2. 对于给定队列，添加用户 密钥。分配一个值。例如：

   <address name="ExampleQueue">
       <anycast>
          <queue name="ExampleQueue" user="admin"/>
       </anycast>
   </address>

   根据前面的配置，admin 用户分配到队列 ExampleQueue。

流程

1. 打开 & lt;broker_instance_dir> /etc/management.xml 配置文件。

2. 搜索 role-access 元素并编辑配置。例如：

   <role-access>
       <match domain="org.apache.activemq.artemis">
          <access method="list*" roles="view,update,amq"/>
          <access method="get*" roles="view,update,amq"/>
          <access method="is*" roles="view,update,amq"/>
          <access method="set*" roles="update,amq"/>
          <access method="*" roles="amq"/>
       </match>
   </role-access>

   • 在本例中，匹配应用于具有域名 org.apache.activemq.apache 的任何 MBean 属性。
   • 访问 view, update, 或 amq 角色来匹配 MBean 属性由您添加到角色的 list*, get*, set*, is*, 和 * 访问方法控制。method="*" (通配符) 语法作为一个 catch-all 的方式，适用于没有在配置中列出的所有其他方法。配置中的每个访问方法都会转换为 MBean 方法调用。
   • 调用的 MBean 方法与配置中列出的方法匹配。例如，如果您在带有 org.apache.activemq.artemis 域的 MBean 上调用名为 listMessages 的方法，则代理会将访问权限匹配回 列表 方法配置中定义的角色。

   • 您还可以使用完整的 MBean 方法名称配置访问权限。例如：

     <access method="listMessages" roles="view,update,amq"/>

3. 启动或重启代理。

   • 在 Linux: & lt;broker_instance_dir> /bin/artemis run

   • 在 Windows 上： <broker_instance_dir&gt; \bin\artemis-service.exe start

     您还可以通过添加与 MBean 属性匹配的 key 属性来匹配域中的特定 MBeans。

流程

1. 从 management.xml 文件中删除 authorisation 元素配置，以防止代理使用此文件中的默认 RBAC 配置。

   1. 编辑 & lt;broker_instance_dir>/etc/management.xml 文件。
   2. 从文件中删除 authorisation 元素配置。
   3. 保存 & lt;broker_instance_dir>/etc/management.xml 文件。

2. 在代理 JVM 中添加环境变量，将代理配置为使用 broker.xml 文件中的 RBAC 配置。

   1. 打开 & lt;broker_instance_dir>/etc/artemis.profile 文件。

   2. 在 Java 系统参数的 JAVA_ARGS 列表 中添加以下参数：

      -Djavax.management.builder.initial=org.apache.activemq.artemis.core.server.management.ArtemisRbacMBeanServerBuilder

   3. 保存 artemis.profile 文件。
3. 打开 & lt;broker_instance_dir> /etc/broker.xml 文件，以配置 RBAC 来管理操作。

4. 搜索 security-settings 元素，再为管理操作添加一个 security-setting 元素。

   管理操作的匹配地址的格式是：

   <_management-rbac-prefix_>.<_resource type_>.<_resource name_>.<_operation_>

   management-rbac-prefix 参数的默认值为 mops。

   在以下示例 RBAC 配置中，匹配地址中的数字符号(#)将 admin 角色 视图 和编辑 权限授予所有 MBeans。

   <security-settings>
     ..
     <security-setting match="mops.#">
      <permission type="view" roles="admin"/>
      <permission type="edit" roles="admin"/>
     </security-setting>
     ..
   </security-setting>

5. 保存 & lt;broker_instance_dir> /etc/broker.xml 配置文件。

1. 打开 & lt;broker_instance_dir> /etc/broker.xml 配置文件。

2. 添加 resource-limit-settings 元素。为 max-connections 和 max-queues 指定值。例如：

   <resource-limit-settings>
      <resource-limit-setting match="myUser">
         <max-connections>5</max-connections>
         <max-queues>3</max-queues>
      </resource-limit-setting>
   </resource-limit-settings>

   max-connections

   定义匹配用户可以在代理上创建的会话数量。默认值为 -1， 这意味着没有限制。如果要限制会话数量，请考虑从 AMQ 核心协议 JMS 客户端到代理的连接会创建两个会话。

   max-queues

   定义匹配用户可以创建的队列数。默认值为 -1， 这意味着没有限制。